CN110769462B

CN110769462B - 网络访问控制方法和装置

Info

Publication number: CN110769462B
Application number: CN201911017459.1A
Authority: CN
Inventors: 魏方征; 雷振华
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2019-10-24
Filing date: 2019-10-24
Publication date: 2023-03-28
Anticipated expiration: 2039-10-24
Also published as: CN110769462A

Abstract

本申请提供一种网络访问控制方法及装置，应用于网关设备中，所述方法包括：接收来自连接的各个AC的访问请求报文；根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略；根据所述访问请求报文对应的控制策略处理所述访问请求报文。应用本申请的实施例，可以大大减少控制策略的配置成本与维护成本。

Description

网络访问控制方法和装置

技术领域

本申请涉及网络通信技术领域，特别设计一种网络访问控制方法和装置。

背景技术

在某些特殊行业的办公环境中需要严格控制用户的上网行为，例如只能访问指定的统一资源定位系统(Uniform Resource Locator，URL)。以银行为例进行说明，在实际建设时银行的无线控制器(Access Controller，AC)和公共的AC往往混用在一起，这样需要进行网络访问控制时就只能针对银行用户的访问进行控制，不能影响其他用户的行为。

目前，网络访问控制方法的具体过程为：网关设备通过分光或者镜像的方式获取宽带接入服务器(Broadband Access Server，BAS)和远程用户拨号认证系统(RemoteAuthentication Dial In User Service，Radius)服务器之间的Radius认证/计费报文，从而获取用户名和互联网协议(Internet Protocol，IP)地址的对应关系，针对每个用户名设置对应的控制策略，后续接收到来自AC的访问请求报文时，根据访问请求报文中携带的源IP地址确定控制策略，并根据控制策略处理访问请求报文。

上述方法中，需要收集用户名与IP地址的对应关系，并对每个用户名设置对应的控制策略，当用户名很多时，控制策略的配置与维护成本会很高。

发明内容

有鉴于此，本申请提供一种网络访问控制方法和装置，以解决相关技术中存在的控制策略的配置与维护成本会很高的问题。

具体地，本申请是通过如下技术方案实现的：

一种网络访问控制方法，应用于网关设备中，所述方法包括：

接收来自连接的各个AC的访问请求报文；

根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略；

根据所述访问请求报文对应的控制策略处理所述访问请求报文。

一种网络访问控制装置，应用于网关设备中，所述装置包括：

接收模块，用于接收来自连接的各个AC的访问请求报文；

确定模块，用于根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略；

处理模块，用于根据所述访问请求报文对应的控制策略处理所述访问请求报文。

一种电子设备，所述电子设备包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存储的程序时，实现上述的方法步骤。

一种计算机可读存储介质，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现上述的方法步骤。

由以上本申请提供的技术方案可见，可以预先建立SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系，在接收来自连接的各个AC的访问请求报文后，根据第一对应关系、第二对应关系和访问请求报文携带的第一源IP地址确定访问请求报文对应的控制策略，最后根据访问请求报文对应的控制策略处理访问请求报文，不再针对每个用户名配置一个控制策略，而是针对每个SSID配置一个控制策略，由于每个用户的变动不会影响SSID且SSID的数量很有限、变动的频率也很低，从而大大减少控制策略的配置成本与维护成本。

附图说明

图1为本申请示出的一种网络访问控制方法的流程图；

图2为本申请示出的一种网络访问控制装置的结构示意图；

图3为本申请示出的一种电子设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

为了解决上述问题，本发明实施例提供了一种网络访问控制方法，以大大减少控制策略的配置成本与维护成本。请参见图1，图1为本申请示出的一种网络访问控制方法的流程图，应用于网关设备中。

S11：接收来自连接的各个AC的访问请求报文。

网关设备可以连接多个AC，这些AC中包括公用AC和特殊行业的AC，当用户需要访问网络时，可以使用终端发送访问请求报文，终端连接的AP接收到访问请求报文后，会转发连接的AC，该AC再进一步转发给连接的网关设备，从而网关设备可以接收来自这些AC的访问请求报文。

S12：根据服务集标识(Service Set Identifier，SSID)与IP地址的第一对应关系、SSID与控制策略的第二对应关系和访问请求报文携带的第一源IP地址确定访问请求报文对应的控制策略。

每个AP设置的无线局域网(Wireless Local Area Net，WLAN)会有一个SSID，连接到该WLAN的终端会有IP地址，因此可以预先设置SSID与IP地址的对应关系，该对应关系可以定位第一对应关系，该对应关系中的每个表项用来标识IP地址对应的终端所连接的SSID；由于AP连接的AC也是一定的，也就是说可以预先针对每个SSID设置对应的控制策略，从而可以预先设置SSID与控制策略的对应关系，该对应关系可以定义为第二对应关系。

网关设备在接收到访问请求报文后，就可以根据第一对应关系、第二对应关系和访问请求报文携带的源IP地址来确定访问请求报文对应的控制策略。

S13：根据访问请求报文对应的控制策略处理访问请求报文。

具体的，上述S12中的根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和访问请求报文携带的第一源IP地址确定访问请求报文对应的控制策略，实现过程具体包括：

获取访问请求报文携带的第一源IP地址；

在第一对应关系查找第一源IP地址；

若在第一对应关系中查找到第一源IP地址，则确定第一对应关系中第一源IP地址对应的第一SSID；

在第二对应关系中查找第一SSID；

若在第二对应关系中查找到第一SSID，则获取第二对应关系中第一SSID对应的第一控制策略，得到访问请求报文对应的控制策略。

在接收到访问请求报文后，可以获取访问请求报文携带的源IP地址，该源IP地址可以定义为第一源IP地址，然后在第一对应关系查找第一源IP地址，若在第一对应关系中查找到第一源IP地址，则说明保存第一源IP地址对应的SSID，该SSID可以定义为第一SSID，也就是说该IP地址可能是需要进行网络访问控制的IP地址，可以进一步从第一对应关系中确定第一源IP地址对应的第一SSID；然后在第二对应关系中查找第一SSID，若在第二对应关系中查找到第一SSID，则说明存在第一SSID对应的控制策略，该控制策略可以定义为第二控制策略，可以从第二对应关系中获取第一SSID对应的第一控制策略，就可以得到访问请求报文对应的控制策略。

一种可选的实施方式，若在第一对应关系中未查找到第一源IP地址或者在第二对应关系中未查找到第一SSID，则转发访问请求报文。

若在第一对应关系中未查找到第一源IP地址，则说明未保存第一源IP地址对应的SSID，也就是说该IP地址不是需要进行网络访问控制的IP地址，为了不影响用户访问网络，可以直接转发访问请求报文；若在第二对应关系中未查找到第一SSID，则说明不存在第一SSID对应的控制策略，也就无需对该IP地址进行网络访问控制，从而可以直接转发该访问请求报文。

一种可选的实施方式，网关设备分别与BAS、Radius服务器之间通信连接，上述方法还包括：

获取来自BAS或者Radius服务器的Radius报文；

根据Radius报文的类型、Radius报文携带的第二源IP地址与第二SSID更新第一对应关系。

由于网络中的用户可能会出现很多动态变化，为了保证第一对应关系的准确性，可以获取来自BAS或者Radius服务器的Radius报文，具体可以通过分光或者镜像的方式获取，然后根据Radius报文的类型、Radius报文携带的第二源IP地址与第二SSID更新第一对应关系。

其中，上述根据Radius报文的类型、Radius报文携带的第二源IP地址与第二SSID更新第一对应关系，实现过程具体包括：

获取Radius报文的类型标识；

若Radius报文的类型标识为认证上线请求或者计费上线请求，则在第一对应关系中查找包括Radius报文携带的第二源IP地址与第二SSID的第一表项，若在第一对应关系中未查找到第一表项，则在第一对应关系中添加第一表项；

若Radius报文的类型标识为认证下线响应或者计费下线响应，则在第一对应关系中查找第一表项，若在第一对应关系中查找到第一表项，则在第一对应关系中删除第一表项。

在BAS和Radius服务器之间会转发用户的认证、计费相关的Radius报文，因此可以根据Radius报文的类型来更新第一对应关系。例如，当终端(IP地址为192.168.10.3)在SSID为CMCC-EDU的无线网络认证上线或者计费上线时，可以在第一对应关系中添加包括CMCC-EDU与192.168.10.3的表项；当终端(IP地址为192.168.10.3)在SSID为CMCC-EDU的无线网络认证下线或者计费下线时，可以在第一对应关系中删除包括CMCC-EDU与192.168.10.3的表项。

需要说明的是，相关技术中的Radius报文是不携带SSID的，本申请中可以在Radius报文中的设定属性中携带SSID，设定属性可以但不限于设定为called-station-id(属性ID：30)。

一种可选的实施方式，上述方法还包括：

获取第一对应关系中包括的各个SSID；

分别为第一对应关系中包括的各个SSID配置控制策略，得到SSID与控制策略的第二对应关系。

在设置第二对应关系时，可以根据第一对应关系中包括的各个SSID进行设置，分别为第一对应关系中包括的各个SSID配置控制策略，得到SSID与控制策略的第二对应关系。为了保证第二对应关系的准确性，可以定期根据第一对应关系来设置第二对应关系。

请参见图2，图为本申请示出的一种网络访问控制装置的结构示意图，应用于网关设备中，该装置包括：

接收模块21，用于接收来自连接的各个AC的访问请求报文；

确定模块22，用于根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和访问请求报文携带的第一源IP地址确定访问请求报文对应的控制策略；

处理模块23，用于根据访问请求报文对应的控制策略处理访问请求报文。

具体的，确定模块22，用于根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和访问请求报文携带的第一源IP地址确定访问请求报文对应的控制策略，具体用于：

获取访问请求报文携带的第一源IP地址；

在第一对应关系查找第一源IP地址；

在第二对应关系中查找第一SSID；

可选的，处理模块23，还用于：

若在第一对应关系中未查找到第一源IP地址或者在第二对应关系中未查找到第一SSID，则转发访问请求报文。

可选的，网关设备分别与BAS、Radius服务器之间通信连接，上述装置还包括：

获取模块，用于获取来自BAS或者Radius服务器的Radius报文；

更新模块，用于根据Radius报文的类型、Radius报文携带的第二源IP地址与第二SSID更新第一对应关系。

具体的，更新模块，用于根据Radius报文的类型、Radius报文携带的第二源IP地址与第二SSID更新第一对应关系，具体用于：

获取Radius报文的类型标识；

可选的，更新模块，还用于：

获取第一对应关系中包括的各个SSID；

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本申请实施例还提供了一种电子设备，请参见图3所示，包括处理器310、通信接口320、存储器330和通信总线340，其中，处理器310，通信接口320，存储器330通过通信总线340完成相互间的通信。

存储器330，用于存放计算机程序；

处理器310，用于执行存储器330上所存放的程序时，实现上述实施例中任一所述的网络访问控制方法。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括随机存取存储器(Random Access Memory，RAM)，也可以包括非易失性存储器(Non-Volatile Memory，NVM)，例如至少一个磁盘存储器。可选的，存储器还可以是至少一个位于远离前述处理器的存储装置。

上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital SignalProcessing，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

相应地，本申请实施例还提供一种计算机可读存储介质，该计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述实施例中任一所述的网络访问控制方法。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种网络访问控制方法，应用于网关设备中，其特征在于，所述方法包括：

接收来自连接的各个无线控制器AC的访问请求报文；

根据服务集标识SSID与互联网协议IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略；

所述第一对应关系和所述第二对应关系预先设置于所述网关设备;

根据所述访问请求报文对应的控制策略处理所述访问请求报文；

根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略，具体包括：

获取所述访问请求报文携带的第一源IP地址；

在所述第一对应关系查找所述第一源IP地址；

若在所述第一对应关系中查找到所述第一源IP地址，则确定所述第一对应关系中所述第一源IP地址对应的第一SSID；

在所述第二对应关系中查找所述第一SSID；

若在所述第二对应关系中查找到所述第一SSID，则获取所述第二对应关系中所述第一SSID对应的第一控制策略，得到所述访问请求报文对应的控制策略。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

若在所述第一对应关系中未查找到所述第一源IP地址或者在所述第二对应关系中未查找到所述第一SSID，则转发所述访问请求报文。

3.根据权利要求1-2任一所述的方法，其特征在于，所述网关设备分别与宽带接入服务器BAS、远程用户拨号认证系统Radius服务器之间通信连接，所述方法还包括：

获取来自所述BAS或者所述Radius服务器的Radius报文；

根据所述Radius报文的类型、所述Radius报文携带的第二源IP地址与第二SSID更新所述第一对应关系。

4.根据权利要求3所述的方法，其特征在于，根据所述Radius报文的类型、所述Radius报文携带的第二源IP地址与第二SSID更新所述第一对应关系，具体包括：

获取所述Radius报文的类型标识；

若所述Radius报文的类型标识为认证上线请求或者计费上线请求，则在所述第一对应关系中查找包括所述Radius报文携带的第二源IP地址与第二SSID的第一表项，若在所述第一对应关系中未查找到所述第一表项，则在所述第一对应关系中添加所述第一表项；

若所述Radius报文的类型标识为认证下线响应或者计费下线响应，则在所述第一对应关系中查找所述第一表项，若在所述第一对应关系中查找到所述第一表项，则在所述第一对应关系中删除所述第一表项。

5.根据权利要求3所述的方法，其特征在于，所述方法还包括：

获取所述第一对应关系中包括的各个SSID；

分别为所述第一对应关系中包括的各个SSID配置控制策略，得到SSID与控制策略的第二对应关系。

6.一种网络访问控制装置，应用于网关设备中，其特征在于，所述装置包括：

接收模块，用于接收来自连接的各个AC的访问请求报文；

处理模块，用于根据所述访问请求报文对应的控制策略处理所述访问请求报文；

所述确定模块，用于根据SSID与IP地址的第一对应关系、SSID与控制策略的第二对应关系和所述访问请求报文携带的第一源IP地址确定所述访问请求报文对应的控制策略，具体用于：

获取所述访问请求报文携带的第一源IP地址；

在所述第一对应关系查找所述第一源IP地址；

在所述第二对应关系中查找所述第一SSID；

7.一种电子设备，其特征在于，所述电子设备包括处理器、通信接口、存储器和通信总线，其中，处理器，通信接口，存储器通过通信总线完成相互间的通信；

存储器，用于存放计算机程序；

处理器，用于执行存储器上所存储的程序时，实现权利要求1-5任一所述的方法步骤。

8.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质内存储有计算机程序，所述计算机程序被处理器执行时实现权利要求1-5任一所述的方法步骤。