CN111835678A - 基于邀请机制的半开放式无线网络访问的线上授权方法 - Google Patents

Abstract

本发明公布了一种基于邀请机制的半开放式无线网络访问的线上授权方法及系统。基于邀请机制实现被邀请人即访客的网络访问权限的自动下发，采用多种线上授权方法授权访客访问半开放式无线网络，达到对访客的网络访问权限进行精细化管控的目的。采用本发明提供的技术方案，可为不同类别的访客分配相应合适的网络访问权限，实现在相同授权方式下对不同访客的网络访问权限自动区别，由此解决现有访客网络授权管理中无法区分访客网络访问权限，甚至存在访客可能获得和受访单位内部人员相同网络权限的安全漏洞的问题。

Description

基于邀请机制的半开放式无线网络访问的线上授权方法

技术领域

本发明涉及无线网络建设与无线网络访问控制技术，尤其涉及一种基于邀请机制的半开放式无线网络访客访问权限的线上精细化管控方法及线上授权系统。

背景技术

使用真实姓名接入无线网是国家在无线网管理中的普遍要求(详见《中华人民共和国网络安全法》第三章第二十四条)。目前，基于web-portal的无线准入技术被广泛采用。访客在接入无线网时，移动终端的浏览器被自动(部分终端需要手动主动操作)打开并跳转至访客管理页面，提示访客提交个人信息进行注册，获得一段时间(一小时、几小时或半天)的无线网使用权限。这种无线访客管理技术适合全开放式网络环境，如机场、商场、咖啡厅等。全开放式环境对访客身份限定较少，以提供面向大众的、方便的无线网接入为主要目标。注册过程要求用户提交姓名等描述性信息，很难验证信息准确性。较为严格的注册过程要求提供手机号，进行短信验证，依托于移动、联通、电信等移动通信运营商的手机号实名机制来辅助验证用网用户的身份。在一人拥有多个手机号、为了使用移动运营商的费率优惠政策频繁更换手机号、以及手机套号等多种社会现象存在的情况下，把手机号作为辅助手段进行身份确认有一定的意义。

园区无线网是指由单位出资建设的内部网络，用户规模从几百人到几万人不等。主要服务对象为单位内部人员。上网收费、资源提供和服务质量保障、安全管控等管理政策明确清晰。与此同时，同行交流、厂商拜访、会议组织等日常工作又提出了将内部网络有条件地开放给外部人员的要求。与全开放式网络面向所有到访者提供无线接入的目标不同，园区无线网开放的目标是为工作提供方便，通常面向和单位有业务来往的人群，到访客人有单位内部人员负责接待，是一种半开放式无线网络。有以下两个主要特点：

1.由于园区网承载大量单位内部业务，对访客身份识别的要求高于全开放式网络。

2.园区网访客的来访时间，长短不一。可以是半天左右的交流，可以是几天的会议，也可以是几周到几个月的短期停留。

对于园区网这种半开放式无线网而言，依靠手机短信借助通信运营商的手机号实名来验证访客身份，略显不足。目前，园区网多采用线下人工参与的方式进行访客管理。通常由受访人员出具证明，网络管理人员审核访客身份，人工创建园区网访客账号。这种方式可以达到管理目标，但工作效率较低。

发明内容

为了克服上述现有技术的不足，本发明提供一种基于邀请机制的半开放式无线网络访客的线上管控方法及线上授权系统，访客指的是实际到访后有使用无线网络需求的访客。在以服务单位内部员工为主的园区网中，本发明为有工作关系的访客提供一种使用无线网络的网络访问方式。对于访客来讲，该方法便捷可用。对于园区网络管理员来讲，该方法可管可控。

本发明一方面将现行采用的传统访客授权模式由人工窗口办理转到了线上多种途径办理，包括面对面授权、邀请人预授权等方式；另一方面实现了基于访客身份的网络访问权限自动下发，实现了访问权限的精细化控制，由此改变了传统意义上的单位网络由专职网络运维人员进行管理的思路，在仅限内部人员使用的园区无线网中，通过内部人员对访客的访前邀请或到访授权，让使用网络的单位内部人员参与到网络管理中，在可查、可管、可控的前提下，为访客提供一种便捷地接入和使用无线网的方式，改变过去访客无法使用园区内部网络或者园区网访客管控不到位的情况。采用本发明技术方案，可实现有单位内部用户参与的访客管理，在方便访客使用单位无线网络的同时，可提升单位无线网络运维和安全管理的能力和效率。

本发明提供的技术方案是：

一种基于邀请机制的半开放式无线网络访问权限的线上授权方法，提出基于邀请的机制，采用多种线上授权方法为访客授权，实现访客的网络访问权限的自动下发，达到对访客的网络访问权限进行精细化控制的目的。本发明包括访客授权模块、访客数据库、访客认证模块、访问权限控制模块，通过无线网络无线控制器和开源认证服务器确定邀请人、认证无线网络和动态网段分配，实现对网络访客进行分类和授权。包括如下步骤：

1)确定邀请人，限定邀请人身份；

2)建立基于邀请的授权机制；包括：

21)将被邀请人(无线网访客)和邀请人(单位内部人员)建立关联；

22)建立多种适应性认可授权机制，赋予访客打开网络访问的权限，接入无线网；包括：面对面授权、邀请人预授权、访客请求授权；

23)邀请人通过步骤22)的授权机制完成对访客授权；

3)访客的访问权限管控，包括：

31)设置访客ID的内部用户名格式localid@scope；在访客数据库中自动生成体现访客身份信息的访客ID和对应的密码；

其中localid为系统随机生成，scope是用户类别(如：分校/分支机构工作人员、一般工作交流人员、会议参加者、合作交流等)

32)根据统一格式的访客用户名，对访客进行分类，专门为访客设置认证无线网络，包括：设计相应的授权流程，设置网络运维中的联动网络设备、权限管理等；

4)访客到访后，关联专门为访客设置的认证无线网络，输入ID和密码进行认证；

5)访问权限控制服务器利用Radius动态网段分配技术，根据访客ID中的类别信息，自动下发相应的网段到无线网控制器，进而访客可获得与其访问权限相匹配的IP地址，即可访问网络。

通过上述方法步骤，为不同类别的访客分配相应合适的网络访问权限，实现在相同授权方式下对不同访客的网络访问权限自动区别，由此解决现有访客网络授权管理中无法区分访客网络访问权限，甚至存在访客可能获得和受访单位内部人员相同网络权限的安全漏洞的问题。

本发明具体实施时，采用思科无线网络无线控制器和Freeradius开源认证服务器，为访客设置认证无线网络包括如下步骤：

1.在无线网络控制器上添加Radius服务器

思科控制器Security——>AAA——>RADIUS——>Authentication——>New，填写IP地址及密钥，点击Apply，完成添加Radius服务器。

2.在控制器上创建访客无线网SSID并选择802.1X作为认证方式

思科控制器WLANs——>Create New，填写Profile及SSID名称，点击Apply，完成创建WLAN。在Security表项下，选择认证方式为802.1X。另外，在Advanced表项下，勾选“AllowAAAOverride”以允许控制器接受Ra-dius发送的动态网段分配指令。

3.在Radius服务器中配置动态网段

为访客划定身份属性，可以通过两种方式实现：一是在访客的身份ID中加入域名，通过域名确定访客身份属性及相应的网络访问权限；二是对访客进行分组，访客自动获得所在组的网络访问权限。两种方式下，均可通过在Radius服务器的$RADIUS_HOME/etc/raddb/sites-availble/default文件的post-auth模块中添加相应的配置激活动态网段功能。

本发明中，引入“邀请人”角色、以“访客身份”为基础、采用“认可授权”的方式，在保证单位内部业务安全运行的同时，支持多种应用场景下、不同类别的访客“有限制地”使用单位内部无线网络。

A.以“邀请人”为主体的邀请机制

这是本发明方法的核心内容。邀请人必须是单位内部人员。被邀请人是因工作关系需要使用单位内部网络的外部人员。外部人员身份及受邀请使用单位网络的时间，由邀请人确定。邀请人发出邀请，意味着了解被邀请人身份，认可并授权被邀请人使用本单位网络。单位可根据管理需要，将邀请人限定为某一类人员，比如某一级别以上的管理人员。由于邀请机制将被邀请人(无线网访客)和邀请人(单位内部人员)建立了一定的关联，从方便使用的角度考虑，可适度放宽邀请权限设置原则，比如开放给高校中的所有老师。

B.适应多种到访场景的“认可授权”机制。

根据访客用网习惯和到访场景的不同，本方法设计了面对面授权、邀请人预授权、访客请求授权三种方式。需要开发软件系统，控制哪些内部用户拥有访客邀请权限，可记录访客信息并关联邀请人，可根据访客信息赋予访客打开网络访问的权限，接入单位无线网。

B1.邀请人预授权方式

这种方式是一种提前准备的方式，在访客到访之前，由邀请人设置好访客信息，完成认可授权。访客到达后，接入无线网络即可直接使用。

这种方式要求单位内部管理系统为内部用户提供提前邀请访客功能，可由邀请人填写访客信息；可根据访客信息，提前赋予打开网络访问的权限。

这种授权模式的特点是：访客体验好，到访即可以使用。是本发明邀请授权方法的核心方法之一，适用于各种应用场景，从短期的面对面拜访，到大量访客同时到访的会议，到中长期交流访问。提前授权使访客感受不到管理策略的存在，融管理于无形。

B2.面对面授权方式

这种方式适用于访客和邀请人同处一处的情况。邀请人为访客提供包含了邀请人信息的二维码。访客扫描后填写访客身份信息。管理系统关联访客和邀请人信息，完成授权。访客当时可以接入网络。

这种方式要求单位内部管理系统为内部用户提供面对面邀请访客功能，可展示二维码；可以实时打开访客的网络访问权限。特点是：实时、便捷、简单、高效。适用于短时间、小规模的面对面交流，访客用网时间短，一般为半天或者一天。

B3.访客请求授权方式

这种方式为访客到访后先提交用网申请、邀请人后授权的一种方式。在访客接入单位内部无线网的时候，由系统自动引导，提示访客提交个人信息和邀请人信息。邀请人完成授权，访客使用无线网络。

这是一种先请求后授权模式，在没有提前邀请的情况下使用。优点是：不要求访客和邀请人同时在场，即可完成授权。缺点是：访客用网体验稍差，需要等邀请人授权之后，才可以用网。访客提交申请后，通常需要采用其他的方式通知邀请人完成授权。这种授权方式的适用于访客临时到访且暂时无法由邀请人面对面授权的场景。

C.以“访客身份”为基础的访问权限管理。

针对不同的访客身份，赋予不同的访问权限，是本发明的另一个核心方法。

本发明中，无论采用哪种授权方式，访客提供的基本信息至少都包含用户姓名和访客身份类别两部分内容。用户姓名由邀请人或者到访者输入，访客身份类别由系统给出几个选项，每一个选项对应一类访客访问权限。访客在系统内部的用户名格式为：localid@scope。其中localid为系统随机生成，scope是用户类别。用户类别由邀请人确认，通常为：分校/分支机构工作人员、一般工作交流人员、会议参加者、合作交流等。各单位可根据实际情况设定。

网络管理系统根据统一格式的访客用户名，对访客进行分类，设计授权流程，联动网络运维中的网络设备、权限管理等相关设置，为不同身份的访客分配合适的网络访问权限，具体包括如下几种情况：

C.1：一般工作交流人员/会议参加者：

这类人员和本单位的工作联系较少，通常是一般工作交流，如商务来访、参加会议等。他们的主要需求是可以使用无线网访问互联网，不需要访问单位内部系统。

C.2：分校/分支机构工作人员：

这类人员不是本单位长期工作人员，没有单位内部上网账号，但和本单位具有较密切的工作关系。除了具有在本单位无线上网和访问互联网的需求之外，同时希望有权限访问一部分仅限单位内部人员访问线上系统。

C.3：合作交流：

除了C.1和C.2两种情况，本发明也适用于支持其他类型的访客权限。他们通常都有使用本单位无线网的需求，可访问内部系统的权限，依访客类型有所区别，可依具体情况具体设定。

基于上述方法，本发明还提供了一种基于邀请机制的半开放式无线网络访客授权访问管控系统，包括：邀请人访客管理页面模块、邀请人二维码页面模块、访客申请页面模块、访客数据库模块和访问权限控制服务器模块；

其中，邀请人访客管理页面模块用于事前邀请人预授权或访客认可授权；

邀请人二维码页面模块为由邀请人提供、包含邀请人信息的供访客扫描的二维码页面；

访客申请页面模块用于访客提交个人身份信息和邀请人信息；

访客数据库模块用于存放访客的个人信息，包括与访客身份属性相关的临时网络账号、访客姓名、证件类型、证件号码、邀请人信息等；

访问权限控制服务器模块用于判断访客身份，并根据访客身份，设置不同的网络访问权限；其他网络设备据此实施网络权限控制。具体实施时，网络设备包括802.1X无线网认证、Radius动态网段分配。

与现有技术相比，本发明的有益效果是：

本发明提供一种基于邀请机制的半开放式无线网络访客管理方法，针对不同类型访客上网需求不同的特点，有效地解决园区无线网访客的管理问题。改变过去的网络管理工作由运维部门统一管理、运维人员负担重的现状，单位内部员工可根据工作需要随时向来访人员赋予本单位网络使用权限，访客可实时上网。由于邀请人和访客身份关联关系的存在，在提高便捷程度的同时，邀请机制保证了访客身份的可管可控，整体提升了单位无线网络的运维和安全管理水平。本发明的技术优势主要体现在以下三个方面：

一方面，内部人员邀请访客使用单位无线网机制，在提高访客身份真实性方面，技术优势明显。关联访客身份和邀请人身份，将校验访客信息真实性的工作从单位网络运维人员转交给邀请人去完成，提高了访客身份的准确性。通过技术手段，支持邀请即上网，同时为单位内部员工的交流活动提供了更大的便利。

另一方面，三种授权方式涵盖了访客到访的各种应用场景。邀请人可在线完成访客授权，不再需要邀请人或者访客前往网络运维部门现场办理用网手续。解决了现有访客管理中信息化程度低、需要大量人力参与的问题，提高了访客管理效率。

最后，访客用网权限管理，在开放用网的同时，实现安全可控。通过对访客身份的进一步细分，实现了在相同授权方式下对不同身份访客的网络访问权限自动区别。解决了现有访客管理中所有访客网络访问权限相同，甚至访客可能获得和受访单位内部人员相同网络权限的安全漏洞。

总之，本方法提出了一种将封闭的单位内部网络开放给部分人群使用的半开放式方法，技术优势明显，管理策略清晰。

附图说明

图1是本发明提供的基于邀请机制的访客权限线上管控方法的流程框图。

图2是本发明方法中邀请人预授权方式的流程框图，适用于上述步骤B1。

图3是本发明方法中面对面邀请方式流程图，适用于上述步骤B2。

图4是本发明方法中访客请求邀请方式流程图，适用于上述步骤B3

具体实施方式

下面结合附图，通过实施例进一步描述本发明，但不以任何方式限制本发明的范围。

本发明提供一种基于邀请机制的半开放式无线网络访客管理方法，能够解决园区半开放式无线网络的访客管理问题。目前，基于邀请机制的无线网络访客管理技术已经实际应用在国内部分顶级高校的无线网络访客管理中。

具体实施中，整个访客管理系统包括如下几个部分：

·邀请人访客管理页面，包括：B1场景中的事前邀请人预授权页面和B3场景中的访客认可授权页面。

·邀请人二维码页面，B2场景中由邀请人提供、包含邀请人信息、访客扫描的二维码页面。

·访客申请页面：应用于B3场景中，提醒访客提交个人身份信息和邀请人信息；

·访客数据库：存放访客的个人信息，包括与访客身份属性相关的临时网络账号、访客姓名、证件类型、证件号码、邀请人信息等；

·访问权限控制服务器：判断访客身份，并根据访客身份，设置不同的网络访问权限。其他网络设备据此实施网络权限控制。

为实现邀请机制的访客管理，本发明采用的主要技术手段包括802.1X无线网认证、Radius动态网段分配等。系统包括：访客授权模块、访客数据库、访客认证模块、访问权限控制模块；实现如下所述：

·邀请人通过前述三种方式完成对访客授权后，在访客数据库中自动生成能够体现访客身份信息的访客ID和对应的密码；

·访客到访后，关联专为访客设置的采用802.1X认证的无线网络，输入ID和密码即可完成认证；

·访问权限控制服务器利用Radius动态网段分配技术，根据访客ID中携带的身份属性，自动下发相应的网段到无线网控制器，进而访客可获得与其访问呢权限相匹配的IP地址。

具体实现方式以思科无线网络无线控制器和Freeradius开源认证服务器为例，包括如下4步：

4.在无线网络控制器上添加Radius服务器

思科控制器Security——>AAA——>RADIUS——>Authentication——>New，填写IP地址及密钥，点击Apply，完成添加Radius服务器。

5.在控制器上创建访客无线网SSID并选择802.1X作为认证方式

思科控制器WLANs——>Create New，填写Profile及SSID名称，点击Apply，完成创建WLAN。在Security表项下，选择认证方式为802.1X。另外，在Advanced表项下，勾选“AllowAAA Override”以允许控制器接受Ra-dius发送的动态网段分配指令。

6.在Radius服务器中配置动态网段

为访客划定身份属性，可以通过两种方式实现：一是在访客的身份ID中加入域名，通过域名确定访客身份属性及相应的网络访问权限；二是对访客进行分组，访客自动获得所在组的网络访问权限。两种方式下，均可通过在Radius服务器的$RADIUS_HOME/etc/raddb/sites-availble/default文件的post-auth模块中添加相应的配置激活动态网段功能，具体的配置代码如下所示。

Radius认证服务器配置方法：

以上实施例采用思科无线网络无线控制器和Freeradius开源认证服务器实现了基于邀请机制的无线网络访客管理。

需要注意的是，公布实施例的目的在于帮助进一步理解本发明，但是本领域的技术人员可以理解：在不脱离本发明及所附权利要求的精神和范围内，各种替换和修改都是可能的。因此，本发明不应局限于实施例所公开的内容，本发明要求保护的范围以权利要求书界定的范围为准。

Claims (7)

1.一种基于邀请机制的半开放式无线网络访问的线上授权方法，基于邀请机制实现被邀请人即访客的网络访问权限的自动下发，采用多种线上授权方法授权访客访问半开放式无线网络，达到对访客的网络访问权限进行精细化管控的目的；具体包括如下步骤：

1)确定邀请人，限定邀请人身份；

2)建立基于邀请的授权机制；包括：

21)将被邀请人和邀请人建立关联；

22)建立多种适应性认可授权机制，赋予访客打开网络访问的权限，接入无线网；包括：面对面授权方式、邀请人预授权方式、访客请求授权方式；

23)邀请人采用步骤22)建立的授权方式完成对访客授权；

3)访客的访问权限管控，包括：

31)对访客进行分类，设置访客ID的内部用户名格式localid@scope；在访客数据库中自动生成体现访客身份信息的访客ID和对应的密码；

其中，localid为系统随机生成，scope是访客用户类别；

32)为访客设置认证无线网络，包括：设计相应的授权流程，设置网络运维中的联动网络设备和权限；

4)访客到访后，关联专门为访客设置的认证无线网络，输入ID和密码进行认证；

5)访问权限控制服务器利用Radius动态网段分配技术，根据访客ID中的类别信息，自动下发相应的网段到无线网控制器，进而访客可获得与其访问权限相匹配的IP地址，即可访问网络；

通过上述方法步骤，为不同类别的访客分配相应合适的网络访问权限，实现在相同授权方式下对不同访客的网络访问权限自动区别，由此解决现有访客网络授权管理中无法区分访客网络访问权限，甚至存在访客可能获得和受访单位内部人员相同网络权限的安全漏洞的问题。

2.如权利要求1所述基于邀请机制的半开放式无线网络访问的线上授权方法，其特征是，步骤32)采用思科无线网络无线控制器和Freeradius开源认证服务器，为访客设置认证无线网络。

3.如权利要求2所述基于邀请机制的半开放式无线网络访问的线上授权方法，其特征是，为访客设置认证无线网络具体包括如下步骤：

321)在无线网络控制器上添加Radius服务器；

322)在无线网络控制器上创建访客无线网SSID并选择802.1X作为认证方式，并设置允许控制器接受Radius发送的动态网段分配指令；

323)在Radius服务器中配置动态网段，为访客划定身份类别属性，添加相应的配置激活动态网段功能。

4.如权利要求3所述基于邀请机制的半开放式无线网络访问的线上授权方法，其特征是，步骤323)为访客划定身份类别属性的方法包括两种：

一是在访客的身份ID中加入域名，通过域名确定访客身份属性及相应的网络访问权限；

二是对访客进行分组，访客自动获得所在组的网络访问权限。

5.如权利要求1所述基于邀请机制的半开放式无线网络访问的线上授权方法，其特征是，用户类别可分为：分校/分支机构工作人员、一般工作交流人员、会议参加者、合作交流人员。

6.利用权利要求1～5所述基于邀请机制的半开放式无线网络访问的线上授权方法实现的基于邀请机制的半开放式无线网络访问的线上授权系统，其特征是，包括：邀请人访客管理页面模块、邀请人二维码页面模块、访客申请页面模块、访客数据库模块和访问权限控制服务器模块；

其中，邀请人访客管理页面模块用于事前邀请人预授权或访客认可授权；

邀请人二维码页面模块为由邀请人提供、包含邀请人信息的供访客扫描的二维码页面；

访客申请页面模块用于访客提交个人身份信息和邀请人信息；

访客数据库模块用于存放访客的个人信息，包括与访客身份属性相关的临时网络账号、访客姓名、证件类型、证件号码、邀请人信息等；

访问权限控制服务器模块用于判断访客身份，并根据访客身份，设置不同的网络访问权限；其他网络设备据此实施网络权限控制。

7.如权利要求6所述基于邀请机制的半开放式无线网络访问的线上授权系统，其特征是，系统的网络设备包括802.1X无线网认证和Radius动态网段分配服务器。

Images