CN109756520B - 动态访问控制方法、设备及计算机可读存储介质 - Google Patents

Abstract

本发明实施例提供一种动态访问控制方法、设备及计算机可读存储介质。本发明实施例通过接收局域网内的通信设备向外网发送的访问报文，并检测该访问报文是否为域名区块链域名注册报文，若是则根据该域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启外网中的通信设备对第一IP地址和第一端口号的访问，以及获取区块链账本中的第二IP地址和第二端口号，当确定区块链账本中的第二IP地址和第二端口号为局域网内的通信设备的IP地址和端口号时，则开启外网中的通信设备对第二IP地址和第二端口号的访问，使得防火墙可以动态更新访问控制列表，相比于手工配置防火墙的访问规则，提高了局域网和外网的通信效率。

Description

动态访问控制方法、设备及计算机可读存储介质

技术领域

本发明实施例涉及通信技术领域，尤其涉及一种动态访问控制方法、设备及计算机可读存储介质。

背景技术

所谓防火墙指的是一个由软件和硬件设备组合而成、在内部网和外部网之间、专用网与公共网之间的边界上构造的保护屏障.是一种获取安全性方法的形象说法，它是一种计算机硬件和软件的结合，使Internet与Intranet之间建立起一个安全网关(SecurityGateway)，从而保护内部网免受非法用户的侵入，防火墙主要由服务访问规则、验证工具、包过滤和应用网关4个部分组成，防火墙就是一个位于计算机和它所连接的网络之间的软件或硬件。该计算机流入流出的所有网络通信和数据包均要经过此防火墙。

在网络中，所谓“防火墙”，是指一种将内部网和公众访问网(如Internet)分开的方法，它实际上是一种隔离技术。防火墙是在两个网络通讯时执行的一种访问控制尺度，它能允许你“同意”的人和数据进入你的网络，同时将你“不同意”的人和数据拒之门外，最大限度地阻止网络中的黑客来访问你的网络。换句话说，如果不通过防火墙，公司内部的人就无法访问Internet，Internet上的人也无法和公司内部的人进行通信。

当前的企业防火墙都是基于预先配置的访问控制列表，比如一个企业中固定的几台服务器可以接收外部的访问，但是其他的服务器则通过防火墙设置使得所有的访问都被禁止。但是如果该局域网位于静态防火墙下，则该外网对终端的访问则需要手工配置防火墙的访问规则，如果有大量终端需要被外网节点访问，则手工配置将导致局域网和外网的通信效率下降。

发明内容

本发明实施例提供一种动态访问控制方法、设备及计算机可读存储介质，以提高局域网和外网的通信效率。

第一方面，本发明实施例提供一种动态访问控制方法，包括：

接收局域网内的通信设备向外网发送的访问报文；

当确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问；

获取区块链账本中的第二IP地址和第二端口号；

当确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

第二方面，本发明实施例提供一种服务器，包括：

存储器；

处理器；

通讯接口；以及

计算机程序；

其中，所述计算机程序存储在所述存储器中，并被配置为由所述处理器执行以下操作：

通过所述通讯接口接收局域网内的通信设备向外网发送的访问报文；

当确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问；

获取区块链账本中的第二IP地址和第二端口号；

当确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

第三方面，本发明实施例提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行以实现第一方面所述的方法。

本发明实施例提供的动态访问控制方法、设备及计算机可读存储介质，通过接收局域网内的通信设备向外网发送的访问报文，并检测该访问报文是否为域名区块链域名注册报文，若是则根据该域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启外网中的通信设备对第一IP地址和第一端口号的访问，以及获取区块链账本中的第二IP地址和第二端口号，当确定区块链账本中的第二IP地址和第二端口号为局域网内的通信设备的IP地址和端口号时，则开启外网中的通信设备对第二IP地址和第二端口号的访问，使得防火墙可以动态更新访问控制列表，相比于手工配置防火墙的访问规则，提高了局域网和外网的通信效率。

附图说明

图1为本发明实施例提供的一种通信系统的示意图；

图2为本发明实施例提供的动态访问控制方法流程图；

图3为本发明另一实施例提供的动态访问控制方法流程图；

图4为本发明另一实施例提供的动态访问控制方法流程图；

图5为本发明实施例提供的服务器的结构示意图。

通过上述附图，已示出本公开明确的实施例，后文中将有更详细的描述。这些附图和文字描述并不是为了通过任何方式限制本公开构思的范围，而是通过参考特定实施例为本领域技术人员说明本公开的概念。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

本发明实施例提供的动态访问控制方法，可以适用于图1所示的通信系统。如图1所示，该通信系统包括：局域网、互联网和域名区块链网络，其中，互联网和域名区块链网络统称为外网，终端设备11、终端设备12和服务器13属于局域网内的通信设备，服务器14为防火墙，服务器15为互联网中的通信设备，服务器16为域名区块链网络中的节点。可以理解的是，服务器14可以位于局域网和互联网之间，同时也位于局域网和域名区块链网络之间，其中，域名区块链网络可以位于互联网之中，也可以位于互联网之外。在其他实施例中，防火墙也可以部署于局域网中的某个通信设备上。

本发明实施例提供的动态访问控制方法，旨在解决现有技术的如上技术问题。

下面以具体地实施例对本发明的技术方案以及本申请的技术方案如何解决上述技术问题进行详细说明。下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。下面将结合附图，对本发明的实施例进行描述。

图2为本发明实施例提供的动态访问控制方法流程图。本发明实施例针对现有技术的如上技术问题，提供了动态访问控制方法，该方法具体步骤如下：

步骤201、接收局域网内的通信设备向外网发送的访问报文。

在本实施例中，如图1所示的服务器14可设置有访问控制列表，该访问控制列表可包括局域网内的所有通信设备的IP地址和端口号，该服务器14可在该访问控制列表中设置局域网内的哪些通信设备可以被外网访问，例如被互联网中的通信设备访问，也可以在该访问控制列表中设置局域网内的哪些通信设备不可以被外网访问。

该服务器14可以实时监测局域网内的通信设备向外网发送的访问报文，例如，服务器14接收到了局域网内的服务器13访问外网的访问报文。

在一些实施例中，所述方法还包括：当确定所述访问报文为包括域名区块链特征的报文，则丢弃所述访问报文。

在本实施例中，服务器14可以禁止局域网内的通信设备与域名区块链网络中的节点相互通信，也就是说，服务器14可以禁止局域网内的通信设备与域名区块链网络中的节点为相邻节点，可以理解的是，此处的相邻节点是指连接上的相邻，不是物理位置上的相邻，比如可以通过限制时延，例如10ms以内的为相邻节点。服务器14是局域网内的通信设备在域名区块链网络中的唯一一个相邻节点，服务器14起到枢纽的作用。因此，当服务器14接收到服务器13访问外网的访问报文时，检测该访问报文是否为包括域名区块链特征的报文，如果该访问报文是包括域名区块链特征的报文，例如具有区块链协议特征的报文，报文中包括了智能合约等明显特征，则服务器14可以禁止该访问报文转发。

步骤202、当确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问。

当服务器14确定服务器13发送的访问报文不是包括域名区块链特征的报文时，还可以检测该访问报文是否为域名区块链域名注册报文。该域名区块链域名注册报文可以包括服务器13的域名、IP地址和端口号，当服务器14确定该访问报文是域名区块链域名注册报文时，此处，可以将服务器13的IP地址记为第一IP地址，将服务器13的端口号记为第一端口号，服务器14可以根据该访问报文中的服务器13的域名对应的第一IP地址和第一端口号，开启外网中的通信设备对该第一IP地址和第一端口号的访问，使得外网中的通信设备可以访问该第一IP地址和第一端口号。

步骤203、获取区块链账本中的第二IP地址和第二端口号。

在本实施例中，域名区块链网络中的节点可以包括记账节点，该记账节点可以对区块链账本进行记账，具体的，该记账节点可以将局域网中能够被外网访问的部分通信设备的IP地址和端口号记录在该区块链账本中，由于服务器14与域名区块链网络连接，因此，服务器14可以实时更新和查询该区块链账本中记录的IP地址和端口号。

步骤204、当确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

此处，将区块链账本中的IP地址记为第二IP地址，将区块链账本中的端口号记为第二端口号，当服务器14确定区块链账本中的第二IP地址和第二端口号是局域网内某个通信设备的IP地址和端口号时，开启外网中的通信设备对该第二IP地址和第二端口号的访问，并更新服务器14中的访问控制列表。

可选地，所述确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号，包括：确定所述第二IP地址和所述第二端口号属于所述局域网对应的子网网段。

例如，服务器14保护的子网网段是202.103.55.00/24，当服务器14确定区块链账本中的所述第二IP地址和所述第二端口号属于该子网网段时，则对于访问该第二IP地址和第二端口号的报文，该服务器14均允许其访问，其他情况，则拒绝访问。

本发明实施例通过接收局域网内的通信设备向外网发送的访问报文，并检测该访问报文是否为域名区块链域名注册报文，若是则根据该域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启外网中的通信设备对第一IP地址和第一端口号的访问，以及获取区块链账本中的第二IP地址和第二端口号，当确定区块链账本中的第二IP地址和第二端口号为局域网内的通信设备的IP地址和端口号时，则开启外网中的通信设备对第二IP地址和第二端口号的访问，使得防火墙可以动态更新访问控制列表，相比于手工配置防火墙的访问规则，提高了局域网和外网的通信效率。

图3为本发明另一实施例提供的动态访问控制方法流程图。在上述实施例的基础上，本实施例提供的动态访问控制方法，还包括如下步骤：

步骤301、接收所述域名对应的更新后的第三IP地址。

当局域网内的通信设备例如服务器13对应的IP地址发生变化时，服务器13还可以将其域名和更新后的IP地址发送给服务器14，此处，可以将服务器13更新后的IP地址记为第三IP地址。

步骤302、根据所述域名对应的第三IP地址，更新访问控制列表，所述访问控制列表包括允许被所述外网中的通信设备访问的IP地址和端口号。

服务器14可以根据服务器13的域名查询访问控制列表，从该访问控制列表中查询获得该服务器13的域名和历史IP地址，将该历史IP地址替换为第三IP地址。

本发明实施例通过接收所述域名对应的更新后的第三IP地址，根据所述域名对应的第三IP地址，更新访问控制列表，使得防火墙可以实时更新访问控制列表，进一步提高了局域网和外网的通信效率。

图4为本发明另一实施例提供的动态访问控制方法流程图。在上述实施例的基础上，本实施例提供的动态访问控制方法，具体包括如下步骤：

步骤401、接收所述域名对应的更新后的第三IP地址。

当局域网内的通信设备例如服务器13对应的IP地址发生变化时，服务器13还可以将其域名和更新后的IP地址发送给服务器14，此处，可以将服务器13更新后的IP地址记为第三IP地址。

步骤402、确定所述第三IP地址是否属于防火墙保护的子网网段。

当服务器14接收到服务器13的域名和更新后的IP地址即第三IP地址后，首先判断该第三IP地址是否属于防火墙即服务器14保护的子网网段。

步骤403、当所述第三IP地址属于防火墙保护的子网网段时，将所述访问控制列表中的所述第一IP地址替换为所述第三IP地址。

如果服务器14确定第三IP地址属于防火墙保护的子网网段，则将访问控制列表中服务器13对应的该历史IP地址替换为第三IP地址。如果服务器14确定第三IP地址不属于防火墙保护的子网网段，则将访问控制列表中服务器13对应的该历史IP地址删除，而不进行替换操作。

本发明实施例通过接收所述域名对应的更新后的第三IP地址，当第三IP地址属于防火墙保护的子网网段时，根据所述域名对应的第三IP地址，更新访问控制列表，使得防火墙可以有效保护局域网，避免局域网受到外网的攻击。

图5为本发明实施例提供的服务器的结构示意图。该服务器上部署有防火墙，例如，上述实施例中的服务器14。本发明实施例提供的服务器可以执行动态访问控制方法实施例提供的处理流程，如图5所示，服务器50包括：存储器51；处理器52；通讯接口53；以及计算机程序；其中，所述计算机程序存储在所述存储器51中，并被配置为由所述处理器52执行以下操作：通过所述通讯接口53接收局域网内的通信设备向外网发送的访问报文；当确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问；获取区块链账本中的第二IP地址和第二端口号；当确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

可选的，所述处理器52确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，具体用于：确定所述第二IP地址和所述第二端口号属于所述局域网对应的子网网段。

可选的，所述处理器52还用于：通过所述通讯接口53接收所述域名对应的更新后的第三IP地址；根据所述域名对应的第三IP地址，更新访问控制列表，所述访问控制列表包括允许被所述外网中的通信设备访问的IP地址和端口号。

可选的，所述处理器52还用于：在所述通讯接口53接收所述域名对应的更新后的第三IP地址之后，确定所述第三IP地址是否属于防火墙保护的子网网段；所述处理器52根据所述域名对应的第三IP地址，更新访问控制列表时，具体用于：当所述第三IP地址属于防火墙保护的子网网段时，将所述访问控制列表中的所述第一IP地址替换为所述第三IP地址。

可选的，所述处理器52还用于：当确定所述访问报文为包括域名区块链特征的报文，则丢弃所述访问报文。

图5所示实施例的服务器可用于执行上述方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

另外，本发明实施例还提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行以实现上述实施例所述的动态访问控制方法。

在本发明所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用硬件加软件功能单元的形式实现。

上述以软件功能单元的形式实现的集成的单元，可以存储在一个计算机可读取存储介质中。上述软件功能单元存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)或处理器(processor)执行本发明各个实施例所述方法的部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

本领域技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。上述描述的装置的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims (11)

1.一种动态访问控制方法，其特征在于，包括：

服务器接收局域网内的通信设备向外网发送的访问报文，所述服务器位于所述局域网和所述外网之间，所述外网包括互联网和域名区块链网络；

当所述服务器确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问，其中，所述域名区块链域名注册报文包括所述局域网内的通信设备的域名、IP地址和端口号；

所述服务器获取区块链账本中的第二IP地址和第二端口号；

当所述服务器确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

2.根据权利要求1所述的方法，其特征在于，所述服务器确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号，包括：

所述服务器确定所述第二IP地址和所述第二端口号属于所述局域网对应的子网网段。

3.根据权利要求1或2所述的方法，其特征在于，所述方法还包括：

所述服务器接收所述域名对应的更新后的第三IP地址；

所述服务器根据所述域名对应的第三IP地址，更新访问控制列表，所述访问控制列表包括允许被所述外网中的通信设备访问的IP地址和端口号。

4.根据权利要求3所述的方法，其特征在于，所述服务器接收所述域名对应的更新后的第三IP地址之后，所述方法还包括：

所述服务器确定所述第三IP地址是否属于防火墙保护的子网网段；

所述服务器根据所述域名对应的第三IP地址，更新访问控制列表，包括：

当所述第三IP地址属于防火墙保护的子网网段时，所述服务器将所述访问控制列表中的所述第一IP地址替换为所述第三IP地址。

5.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当所述服务器确定所述访问报文为包括域名区块链特征的报文，则丢弃所述访问报文。

6.一种服务器，其特征在于，包括：

存储器；

处理器；

通讯接口；以及

计算机程序；

其中，所述计算机程序存储在所述存储器中，并被配置为由所述处理器执行以下操作：

通过所述通讯接口接收局域网内的通信设备向外网发送的访问报文，所述服务器位于所述局域网和所述外网之间，所述外网包括互联网和域名区块链网络；

当确定所述访问报文为域名区块链域名注册报文时，根据所述域名区块链域名注册报文中的域名对应的第一IP地址和第一端口号，开启所述外网中的通信设备对所述第一IP地址和所述第一端口号的访问，其中，所述域名区块链域名注册报文包括所述局域网内的通信设备的域名、IP地址和端口号；

获取区块链账本中的第二IP地址和第二端口号；

当确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，则开启所述外网中的通信设备对所述第二IP地址和所述第二端口号的访问。

7.根据权利要求6所述的服务器，其特征在于，所述处理器确定所述区块链账本中的所述第二IP地址和所述第二端口号为所述局域网内的通信设备的IP地址和端口号时，具体用于：

确定所述第二IP地址和所述第二端口号属于所述局域网对应的子网网段。

8.根据权利要求6或7所述的服务器，其特征在于，所述处理器还用于：

通过所述通讯接口接收所述域名对应的更新后的第三IP地址；

根据所述域名对应的第三IP地址，更新访问控制列表，所述访问控制列表包括允许被所述外网中的通信设备访问的IP地址和端口号。

9.根据权利要求8所述的服务器，其特征在于，所述处理器还用于：

在所述通讯接口接收所述域名对应的更新后的第三IP地址之后，确定所述第三IP地址是否属于防火墙保护的子网网段；

所述处理器根据所述域名对应的第三IP地址，更新访问控制列表时，具体用于：

当所述第三IP地址属于防火墙保护的子网网段时，将所述访问控制列表中的所述第一IP地址替换为所述第三IP地址。

10.根据权利要求6所述的服务器，其特征在于，所述处理器还用于：

当确定所述访问报文为包括域名区块链特征的报文，则丢弃所述访问报文。

11.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-5任一项所述的方法。

Images