CN112383500B

CN112383500B - 一种对涉及投屏设备的访问请求进行控制的方法及系统

Info

Publication number: CN112383500B
Application number: CN202010545898.6A
Authority: CN
Inventors: 吴键铭
Original assignee: Lingbo Technology Beijing Co ltd
Current assignee: Lingbo Technology Beijing Co ltd
Priority date: 2020-06-15
Filing date: 2020-06-15
Publication date: 2022-09-06
Anticipated expiration: 2040-06-15
Also published as: CN112383500A

Abstract

本发明公开了一种对涉及投屏设备的访问请求进行控制的方法及系统，其中方法包括：确定用户设备的归属区域和与用户设备相关联的投屏设备的标识符；当确定用户设备和投屏设备的鉴权状态均为鉴权成功时，获取所述用户设备动态信息，以及获取所述投屏设备的属性信息和当前设置；当用户设备的归属区域与设备位置相匹配时，根据当前设置确定投屏设备是否允许访问；当允许访问时，在当前位置与设备位置的距离小于或等于距离阈值时，将所述数据报文转发给投屏设备，以促使所述投屏设备根据所述数据报文生成应答消息；以及将所述应答消息发送给所述用户设备，以促使所述用户设备根据所述应答消息与所述投屏设备建立数据连接，从而对投屏设备进行访问。

Description

一种对涉及投屏设备的访问请求进行控制的方法及系统

技术领域

本发明涉及数据访问控制领域，并且更具体地，涉及一种对涉及投屏设备的访问请求进行控制的方法及系统。

背景技术

目前，诸如酒店客房无线网络的建筑物内部网络实际上是一种公共网络。在这种网络中，一个无线控制器(AC，Wireless Controller)管理很多个接入点(AP，AccessPoint)，并且多个AP可以发射同一个无线网络名称的信号(SSID，Service SetIDentifier)以覆盖建筑物的多个楼层的多个房间。考虑到网络安全，以及诸如酒店的建筑物内部中大多数客人是互不相识的并且没有直接相互通信的需要，无线控制器通常都会开启用户隔离技术，使得接入到同一无线网络下的设备各自可以正常访问互联网，但是无法直接互通。这样可以避免病毒传播或恶意网络攻击行为。这种公共无线网络的用户隔离功能提升了网络安全，但同时也影响了当下流行的在投屏设备上进行的投屏应用的部署和应用：

用户在家庭无线网络中常用的多屏互动/投屏等多媒体应用：即将手机或平板电脑的视频和音频投放到部署于同一无线网络的机顶盒设备、智能电视等显示设备中，使得用户可以在大屏幕上直接观看手机或平板电脑上的视频内容，或者将视频游戏投放到机顶盒或智能电视等显示设备中，使用手机或平板电脑作为视频游戏操纵杆，以及将音频投送到智能音箱等。目前，苹果操作系统iOS和Android安卓系统都支持类似的多屏互动。例如，苹果iOS的“隔空投放”应用使用空中播放AirPlay协议，Android则使用数字生活网络联盟DLNA(Digital Living Network Alliance)协议。

然而，上述应用都需要使用者的设备(以下简称用户设备)与诸如酒店客房的建筑物内支持AirPlay、DLNA或谷歌媒体流Chromecast等的机顶盒、电视棒或者智能电视等显示设备(也可以被称为投屏设备)直接进行通信。例如，AirPlay、DLNA以及谷歌Chromecast协议的共同点是存在一个“发现”过程，即用户设备使用投屏应用时，会发送一个组播消息，投屏设备收到这个消息后进行单播应答。因此，用户设备知晓了投屏设备的IP地址以及可以提供的服务，之后客人设备就可以直接与投屏设备进行后续的通信流程。

为绕过同一无线网络中不能直接互通的限制，可以将投屏设备部署到另一个无线或有线网络中。例如，将所有的投屏设备连入一个专用视频业务网络。但这种方式会带来严重的安全问题：用户设备的组播请求通告无法直接达到另一个网络。即使使用组播路由手段的方式将组播通告转发到投屏设备所在网络，但组播请求会被所有房间的投屏设备收到并应答，客人设备就看到了所有房间的投屏设备。

如果考虑在诸如酒店的建筑物中完全模拟家用环境，例如在每个客房或区域的AP发射独立的SSID(例如，房间号)以建立每个房间独立的Wi-Fi网络，并对Wi-Fi信号加密，则可以一定程度解决上述安全问题。但是，这种方式也会带来额外的管理开销和安全问题：为了网络安全，需要经常手工更换每个房间的Wi-Fi密码，否则仍然会发生安全问题。例如，当客人再次入住时，就可以访问曾经入住过的房间的无线网络，对曾经入住过的房间的机顶盒、智能电视或物联智控设备进行控制或攻击干扰。

综上所述，现有的公共无线网络无法在保证必要的安全隔离的基础上，兼顾客房内的多屏互动、物联网智控等本地应用。

发明内容

根据本发明的一个方面，提供一种对涉及投屏设备的访问请求进行控制的方法，所述方法包括：

对所转发的数据报文进行内容监测，当确定所述数据报文包括涉及投屏设备的访问请求时，对所述访问请求进行解析以确定用户设备的标识符，根据所述用户设备的标识符获取所述用户设备的属性信息，并基于所述用户设备的属性信息确定所述用户设备的归属区域，基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符；

基于用户设备的标识符确定所述用户设备的鉴权状态，基于投屏设备的标识符确定所述投屏设备的鉴权状态，当确定所述用户设备和投屏设备的鉴权状态均为鉴权成功时，获取所述用户设备动态信息，以及获取所述投屏设备的属性信息和当前设置；

基于所述投屏设备的属性信息确定所述投屏设备的设备位置，当所述用户设备的归属区域与所述设备位置相匹配时，根据所述当前设置确定所述投屏设备是否允许访问；

当根据所述当前设置确定所述投屏设备允许访问时，根据所述用户设备的动态信息确定所述用户设备的当前位置，在所述当前位置与所述设备位置的距离小于或等于距离阈值时，将所述数据报文转发给投屏设备，以促使所述投屏设备根据所述数据报文生成应答消息；以及

将所述应答消息发送给所述用户设备，以促使所述用户设备根据所述应答消息与所述投屏设备建立数据连接，从而对投屏设备进行访问。

其中根据所述用户设备的动态信息确定所述用户设备的当前位置包括：根据所述用户设备所接入的接入点AP来确定用户设备的当前位置。

还包括，当接收到来自所述用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使所述用户设备根据所述鉴权请求消息生成鉴权响应消息；

对所述鉴权响应消息进行解析以确定用户设备的身份信息和鉴权信息；

根据用户设备的身份信息在业务系统数据库中进行检索以获取与用户设备相关联的认证信息；

基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态；

用户设备的认证信息包括：预先设置的分配信息和用户设备的私有信息；

用户设备的鉴权信息包括：预先设置的分配信息和用户设备的私有信息；

基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态包括：

针对于用户设备，当认证信息中预先设置的分配信息和用户设备的私有信息，与鉴权信息中预先设置的分配信息和用户设备的私有信息相匹配时，确定鉴权状态为鉴权成功。

当鉴权状态为鉴权成功时，允许所述用户设备接入第一网络，并且将所述用户设备的属性信息存储在在线用户设备列表中；

所述用户设备的属性信息包括：用户设备的标识符、用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域。

当鉴权状态为鉴权失败时，拒绝所述用户设备接入第一网络。

还包括，当接收到来自所述投屏设备的网络接入请求时，向鉴权系统发送MAC鉴权请求消息以促使所述鉴权系统根据所述鉴权请求消息生成鉴权响应消息；

对所述鉴权响应消息进行解析以确定投屏设备的标识信息和MAC地址；

根据标识信息在业务系统数据库中进行检索以获取与投屏设备相关联的预先存储的MAC地址；

基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果对投屏设备进行鉴权以确定鉴权状态。

当基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果为相同时，确定鉴权状态为鉴权成功时，允许所述投屏设备接入第二网络，并且将所述投屏设备的属性信息存储在在线投屏设备列表中；

所述投屏设备的属性信息包括：投屏设备的标识符、投屏设备的IP地址、投屏设备的MAC地址、投屏设备的设备位置。

还包括，当投屏设备的投屏功能页被选择时，促使所述投屏设备向业务系统发送二维码请求消息，所述二维码请求消息包括投屏设备的标识符；

促使所述业务系统根据所述二维码请求消息生成二维码并将所述二维码返回给投屏设备，所述二维码包括加密的时间戳、投屏设备的设备位置和网关处理接口。

其中，二维码是业务系统后台推送的。当用户操作诸如互动电视的投屏设备进入到投屏功能页，业务系统就会推送二维码。此外，在二维码周边提供指示说明以提示用户，如果不是使用房间号(例如，短信验证码或Hotspot 2.0等其它鉴权手段)加入到酒店Wi-Fi，才需要通过扫描二维码来使用投屏设备。

促使所述业务系统根据所述二维码请求消息生成二维码包括：

促使所述业务系统对所述二维码请求消息进行解析，以获取投屏设备的标识符；

基于投屏设备的标识符获取投屏设备的设备位置；

生成加密的时间戳和网关处理接口；

基于加密的时间戳、投屏设备的设备位置和网关处理接口生成二维码。

还包括，促使所述投屏设备将从业务系统接收的二维码提供给用户设备，以使得所述用户设备能够根据二维码中的网关处理接口来提交包括加密的时间戳和投屏设备的设备位置的数据报文。

对数据报文中加密的时间戳和投屏设备的设备位置进行解密并确定时间戳是否有效，解析数据报文的以太网报头信息以获取用户设备的MAC地址；

当确定时间戳有效时，确定所述投屏设备的设备位置是否为有效位置；

当确定所述投屏设备的设备位置为有效位置时，根据设备位置为有效位置为所述用户设备设置归属区域。

利用用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域构成用户设备的属性信息；

将所述用户设备的属性信息存储在在线用户设备列表中。

所述根据所述用户设备的标识符获取所述用户设备的属性信息包括：

根据所述用户设备的标识符在在线用户设备列表中进行查询，以确定所述用户设备的属性信息；

所述在线用户设备列表包括多个用户设备的属性信息；

所述基于所述用户设备的属性信息确定所述用户设备的归属区域包括：

对所述用户设备的属性信息进行解析以确定所述用户设备的归属区域。

所述基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符包括：

基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备；

将与所述归属区域相关联的投屏设备作为与所述用户设备相关联的投屏设备；

确定与所述用户设备相关联的投屏设备的标识符。

基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备包括：

对在线投屏设备列表进行检索以确定处于工作状态的多个投屏设备；

获取工作状态的每个投屏设备的属性信息，其中投屏设备的属性信息包括：投屏设备的标识符、投屏设备的IP地址、投屏设备的MAC地址、投屏设备的设备位置；

将投屏设备的设备位置与归属区域相匹配的投屏设备作为与所述归属区域相关联的投屏设备。

所述数据报文包括：业务类型、源地址、数据内容、协议版本和附加信息。

当业务类型为访问投屏设备时，确定所述数据报文包括涉及投屏设备的访问请求。

所述访问请求包括：用户设备的标识符、访问时间长度和访问权限。

所述投屏设备为投屏设备，并且所述应答消息包括投屏设备的IP地址。

根据本发明的一个方面，提供一种对涉及投屏设备的访问请求进行控制的系统，所述系统包括：

监测单元，对所转发的数据报文进行内容监测，当确定所述数据报文包括涉及投屏设备的访问请求时，对所述访问请求进行解析以确定用户设备的标识符，根据所述用户设备的标识符获取所述用户设备的属性信息，并基于所述用户设备的属性信息确定所述用户设备的归属区域，基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符；

获取单元，基于用户设备的标识符确定所述用户设备的鉴权状态，基于投屏设备的标识符确定所述投屏设备的鉴权状态，当确定所述用户设备和投屏设备的鉴权状态均为鉴权成功时，获取所述用户设备动态信息，以及获取所述投屏设备的属性信息和当前设置；

确定单元，基于所述投屏设备的属性信息确定所述投屏设备的设备位置，当所述用户设备的归属区域与所述设备位置相匹配时，根据所述当前设置确定所述投屏设备是否允许访问；

转发单元，当根据所述当前设置确定所述投屏设备允许访问时，根据所述用户设备的动态信息确定所述用户设备的当前位置，在所述当前位置与所述设备位置的距离小于或等于距离阈值时，将所述数据报文转发给投屏设备，以促使所述投屏设备根据所述数据报文生成应答消息；以及

发送单元，将所述应答消息发送给所述用户设备，以促使所述用户设备根据所述应答消息与所述投屏设备建立数据连接，从而对投屏设备进行访问。

还包括，初始化单元，当接收到来自所述用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使所述用户设备根据所述鉴权请求消息生成鉴权响应消息；

初始化单元对所述鉴权响应消息进行解析以确定用户设备的身份信息和鉴权信息；

初始化单元根据用户设备的身份信息在业务系统数据库中进行检索以获取与用户设备相关联的认证信息；

初始化单元基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态；

初始化单元基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态包括：

针对于用户设备，当认证信息中预先设置的分配信息和用户设备的私有信息，与鉴权信息中预先设置的分配信息和用户设备的私有信息相匹配时，初始化单元确定鉴权状态为鉴权成功。

当鉴权状态为鉴权成功时，初始化单元允许所述用户设备接入第一网络，并且初始化单元将所述用户设备的属性信息存储在在线用户设备列表中；

当鉴权状态为鉴权失败时，初始化单元拒绝所述用户设备接入第一网络。

还包括初始化单元，当接收到来自所述投屏设备的网络接入请求时，向鉴权系统发送MAC鉴权请求消息以促使所述鉴权系统根据所述鉴权请求消息生成鉴权响应消息；

初始化单元对所述鉴权响应消息进行解析以确定投屏设备的标识信息和MAC地址；

初始化单元根据标识信息在业务系统数据库中进行检索以获取与投屏设备相关联的预先存储的MAC地址；

初始化单元基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果对投屏设备进行鉴权以确定鉴权状态。

当基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果为相同时，初始化单元确定鉴权状态为鉴权成功时，允许所述投屏设备接入第二网络，并且将所述投屏设备的属性信息存储在在线投屏设备列表中；

还包括初始化单元，当投屏设备的投屏功能页被选择时，促使所述投屏设备向业务系统发送二维码请求消息，所述二维码请求消息包括投屏设备的标识符；

初始化单元促使所述业务系统根据所述二维码请求消息生成二维码并将所述二维码返回给投屏设备，所述二维码包括加密的时间戳、投屏设备的设备位置和网关处理接口。

初始化单元促使所述业务系统根据所述二维码请求消息生成二维码包括：

初始化单元促使所述业务系统对所述二维码请求消息进行解析，以获取投屏设备的标识符；

初始化单元基于投屏设备的标识符获取投屏设备的设备位置；

初始化单元生成加密的时间戳和网关处理接口；

初始化单元基于加密的时间戳、投屏设备的设备位置和网关处理接口生成二维码。

还包括，初始化单元促使所述投屏设备将从业务系统接收的二维码提供给用户设备，以使得所述用户设备能够根据二维码中的网关处理接口来提交包括加密的时间戳和投屏设备的设备位置的数据报文。

初始化单元对数据报文中加密的时间戳和投屏设备的设备位置进行解密并确定时间戳是否有效，解析数据报文的以太网报头信息以获取用户设备的MAC地址；

当确定时间戳有效时，初始化单元确定所述投屏设备的设备位置是否为有效位置；

当确定所述投屏设备的设备位置为有效位置时，初始化单元根据设备位置为有效位置为所述用户设备设置归属区域。

初始化单元利用用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域构成用户设备的属性信息；

将所述用户设备的属性信息存储在在线用户设备列表中。

所述监测单元根据所述用户设备的标识符获取所述用户设备的属性信息包括：

监测单元根据所述用户设备的标识符在在线用户设备列表中进行查询，以确定所述用户设备的属性信息；

所述在线用户设备列表包括多个用户设备的属性信息；

所述监测单元基于所述用户设备的属性信息确定所述用户设备的归属区域包括：

监测单元对所述用户设备的属性信息进行解析以确定所述用户设备的归属区域。

所述监测单元基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符包括：

监测单元基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备；

监测单元将与所述归属区域相关联的投屏设备作为与所述用户设备相关联的投屏设备；

监测单元确定与所述用户设备相关联的投屏设备的标识符。

监测单元基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备包括：

监测单元对在线投屏设备列表进行检索以确定处于工作状态的多个投屏设备；

监测单元获取工作状态的每个投屏设备的属性信息，其中投屏设备的属性信息包括：投屏设备的标识符、投屏设备的IP地址、投屏设备的MAC地址、投屏设备的设备位置；

监测单元将投屏设备的设备位置与归属区域相匹配的投屏设备作为与所述归属区域相关联的投屏设备。

当业务类型为访问投屏设备时，监测单元确定所述数据报文包括涉及投屏设备的访问请求。

本发明主要涉及网络内的访问控制方法，可以应用于诸如酒店行业等其它行业，可以使得客人在诸如酒店客房的建筑物无线网络环境中也能完成与家庭无线网络环境类似的多屏互动(投屏)应用。本发明的关键点在于保持现有的诸如酒店客房的建筑物内的有线和无线网络结构不变，并且保证有线和无线网络安全前提下，使得诸如酒店的建筑物内能够提供与家庭无线网络环境体验一致的多屏互动和物联智控应用。

本发明在成熟的诸如酒店客网的建筑物网络的接入网关的基础上，使用了最低成本的纯软件手段解决了如何在诸如酒店客房的建筑物无线网络中部署与用户家用环境中体验一致的多屏互动/投屏应用的问题，并解决了上述应用场景的网络和应用安全问题。采用本发明，诸如酒店的建筑物内无需增加任何硬件投入，只需要合理规划无线网络、视频设备网络，通过对接入控制网关或无线控制器进行软件升级和配置，即可使诸如酒店的建筑物现有的无线网络平滑升级到可支持多屏互动应用的智能网络。

附图说明

通过参考下面的附图，可以更为完整地理解本发明的示例性实施方式：

图1为根据本发明实施方式的对涉及投屏设备的访问请求进行控制的方法的流程图；

图2为根据本发明实施方式的由网关设备进行访问控制的示意图；

图3为根据本发明实施方式的由网关设备进行组播/单播代理的流程图；

图4为根据本发明实施方式的通过二维码实现访问控制的示意图；

图5为根据本发明实施方式的安全转发处理的流程图；以及

图6为根据本发明实施方式的对涉及投屏设备的访问请求进行控制的系统的结构示意图。

具体实施方式

现在参考附图介绍本发明的示例性实施方式，然而，本发明可以用许多不同的形式来实施，并且不局限于此处描述的实施例，提供这些实施例是为了详尽地且完全地公开本发明，并且向所属技术领域的技术人员充分传达本发明的范围。对于表示在附图中的示例性实施方式中的术语并不是对本发明的限定。在附图中，相同的单元/元件使用相同的附图标记。

除非另有说明，此处使用的术语(包括科技术语)对所属技术领域的技术人员具有通常的理解含义。另外，可以理解的是，以通常使用的词典限定的术语，应当被理解为与其相关领域的语境具有一致的含义，而不应该被理解为理想化的或过于正式的意义。

物业管理系统PMS(Property Management System)，通常特指酒店行业的物业管理系统，也称之为酒店前台系统。PMS是酒店的核心IT(信息技术)系统，并且管理所有酒店客房的状态和当前入住的所有客人的信息。酒店内部署的其它与客房业务相关的第三方IT系统，比如宽带上网系统，电话计费系统，视频点播系统等，都需要通过PMS提供的一个专门的应用程序接口进行对接，以获取必要的房态和入住客人信息。这个应用程序接口被称为PMS接口。

入口站点(Portal)鉴权：Portal鉴权是一种通用的公共网络鉴权方法。公网网络在进行部署时，通常在专门的网关设备或者无线控制器上开启Portal鉴权功能。Portal鉴权的具体方法包括：当用户设备(例如，移动终端)或者PC等上网设备接入到公共网络时，网关设备或控制器如果判定用户设备没有经过鉴权，则在用户设备访问任意网址时，将用户浏览器导向到一个指定的鉴权页面。用户通过用户设备输入鉴权信息(用户名/手机号和密码等)通过鉴权后，才允许上网。Portal鉴权特别适用于酒店、商场等提供公共有线或无线网络的营运场所。目前，主流移动终端(iOS、Android和视窗Windows 10等)都内置了Portal鉴权功能，在用户接入到需要鉴权的无线网络中时，可以自动打开鉴权页面，或者提示用户当前网络需要鉴权，点击提示后打开鉴权页面。

媒体访问控制(MAC)鉴权：根据设备的MAC地址对用户设备进行鉴权。如果设备的MAC地址在允许列表当中，则通过鉴权，才允许设备接入到网络中。

投屏设备可以是各种类型的或由任意厂家生产的能够响应于用户设备(移动终端、平板电脑、手机等)的请求，对用户设备中的内容进行投屏显示的显示设备(智能电视等)或显示控制设备(例如，机顶盒)。

图1为根据本发明实施方式的对涉及投屏设备的访问请求进行控制的方法100的流程图。为解决多屏互动应用在公共无线网络内的应用部署问题，方法100提出了以接入控制网关或无线控制器(以下简称网关设备)为基础，在合理的网络架构的前提下(将投屏设备按业务划分到与用户设备所处的无线网络相独立的另一有线或无线网络中)。方法100结合必要的鉴权手段，基于网关设备实现特殊的代理和访问控制功能，解决现有技术中所提到的各个关键问题。

方法100使用户设备的公共无线网络环境中能够进行与家庭无线网络环境中相类似的多屏互动(投屏)。方法100保持现有建筑物内的有线和无线网络结构不变，并且保证有线和无线网络安全前提下，使得建筑物内能够提供与家庭无线网络环境体验一致的多屏互动和物联智控应用。

在步骤101，对所转发的数据报文进行内容监测，当确定数据报文包括涉及投屏设备的访问请求时，对访问请求进行解析以确定用户设备的标识符，根据用户设备的标识符获取用户设备的属性信息，并基于用户设备的属性信息确定用户设备的归属区域，基于用户设备的归属区域确定与用户设备相关联的投屏设备的标识符。

通常，网关设备用于对数据报文进行转发，以使得网络内部的设备能够与外部进行交互。为此，网关设备对所转发的数据报文进行内容监测，以根据数据报文的内容进行相应处理。数据报文至少包括：业务类型、源地址、数据内容、协议版本和附加信息等内容。业务类型包括：数据业务或投屏业务(即，涉及投屏设备的访问请求)。源地址是用户设备或请求设备的网络地址(例如，IP地址)。数据内容包括用户设备的标识符、用户设备的身份信息、用户设备的鉴权信息等。可选地，当业务类型为投屏业务时，在数据内容部分中包括访问请求。协议版本用于指示当前使用的协议的版本号。附加信息用于包括可以使用的任何其他信息。根据用户设备的标识符获取用户设备的属性信息包括：根据用户设备的标识符在在线用户设备列表中进行检索，以确定用户设备的属性信息。基于用户设备的属性信息确定用户设备的归属区域包括：将用户设备的属性信息中的归属区域确定为用户设备的归属区域。

业务系统数据库用于存储接口数据和投屏设备表。在接口数据中包括多个用户设备的信息项。其中每个用户设备的信息项可以包括用户设备的归属区域、姓氏、姓名、电话号码、IP地址、MAC地址等。投屏设备表包括多个投屏设备的信息项，每个投屏设备的信息项包括：投屏设备的标识符、MAC地址、IP地址、设备类型、设备位置等。

基于用户设备的归属区域确定与用户设备相关联的投屏设备的标识符包括：根据用户设备的归属区域在业务系统数据库的投屏设备表中进行检索，将归属区域与每个投屏设备的信息项中的设备位置进行匹配。当检索到与归属区域相匹配的设备位置时，将这个信息项的投屏设备的标识符确定为与用户设备相关联的投屏设备的标识符。其中将归属区域与每个投屏设备的信息项中的设备位置进行匹配包括：确定投屏设备的信息项中的设备位置是否位于归属区域内。如果在归属区域内，则确定归属区域与设备位置匹配。否则，确定归属区域与设备位置不匹配。

此外，为了能够识别用户设备，当网关设备接收到来自用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使用户设备根据鉴权请求消息生成鉴权响应消息。鉴权响应消息通常可以包括：用户设备的身份信息和鉴权信息等。其中身份信息例如是电话号码、IP地址、MAC地址、用户姓名、用户身份证号等。鉴权信息例如是归属区域、分配信息(例如，所分配的位置的编号)、密码、用户姓名、用户身份证号等。鉴权信息还可以是预先设置的分配信息(例如，归属区域、归属网络、所分配的位置的编号)和用户设备的私有信息(密码、用户姓名、用户身份证号、电话号码等)。

网关设备实现对用户设备的有效身份鉴权机制，使得网关设备可以获得用户设备与位置区域之间的归属关系(或与投屏设备之间的对应关系)。网关设备实现接口业务，与信息系统对接，就能获得建筑物内所有位置的状态(位置处于可用或不可用状态)，以及用户设备的鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)。用户设备在建筑物内上网时需要经过Portal鉴权，用户设备在鉴权页面中使用位置标识和鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)进行身份鉴权后，网关设备将用户设备的MAC地址，IP地址，房间信息等加入到在线用户设备列表中。属性信息例如是用户设备或移动设备的标识符、IP地址、MAC地址或归属区域等。

网关设备对鉴权响应消息进行解析以确定用户设备的身份信息和鉴权信息。根据用户设备的身份信息在业务系统数据库中进行检索以获取与用户设备相关联的认证信息。业务系统数据库中存储多条用户设备记录，每条用户设备记录可以用户设备的相关信息，每条用户设备记录的属性可以包括电话号码、IP地址、MAC地址、用户姓名、用户身份证号、归属区域、归属网络、所分配的位置的编号、密码等。例如，当身份信息为电话号码时，可以根据电话号码在业务系统数据库中进行检索以获取与用户设备相关联的认证信息，认证信息例如可以是用户设备的记录中的用户姓名、密码等。

基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态。例如，当认证信息中的(用户通过用户设备预先存储的)密码与鉴权信息中的(用户通过用户设备当前输入的)密码相同时，确定鉴权状态为鉴权成功；否则，确定鉴权状态为鉴权失败。

例如，业务系统数据库获得所有位置区域的状态(位置区域处于有效或失效状态)，以及用户设备的鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)，例如，接口数据包括：位置区域标识、姓氏、姓名、手机号码等。用户设备访问网络时需要经过Portal鉴权。为了进行Portal鉴权，用户设备可以在鉴权页面中使用房间号和鉴权信息(例如，姓氏、姓名、密码和电话号码等私人信息)进行身份鉴权时，网关设备根据通过接口所获得的接口数据(认证信息)对用户设备所提交的鉴权信息进行身份鉴权。

优选地，用户设备的认证信息可以包括：预先设置的分配信息和用户设备的私有信息等。用户设备的鉴权信息包括：预先设置的分配信息和用户设备的私有信息等。可以发现，认证信息和鉴权信息的内容至少部分是相同的。并且认证信息是预先被存储在业务系统数据库中的信息，而鉴权信息是用户设备希望继续身份鉴权时所提交的信息。

基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态包括：针对于用户设备，当认证信息的预先设置的分配信息和用户设备的私有信息，与鉴权信息的预先设置的分配信息和用户设备的私有信息相匹配(例如，内容相同)时，确定鉴权状态为鉴权成功。

当鉴权状态为鉴权成功时，允许用户设备接入第一网络，并且将用户设备的属性信息存储在在线用户设备列表中。用户设备的属性信息包括：用户设备的标识符、用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域。当鉴权状态为鉴权失败时，拒绝用户设备接入第一网络。应当了解的是，用户设备能够接入第一网络，而投屏设备能够接入第二网络。第一网络可以是无线局域网。第二网络可以是无线局域网或以太网。第一网络和第二网络均是二层网络，分别终结于网关的不同虚拟局域网VLAN(或不同网口)。

例如，当通过认证信息对用户设备所提交的鉴权信息进行身份鉴权的结果是鉴权成功时，网关设备将用户设备的MAC地址，IP地址，房间信息等保存到在线用户设备列表中。在线用户设备列表中包括在线用户设备的列表，在在线用户设备的列表中多条记录，每条记录均包括用户设备用户设备或移动设备的IP地址、MAC地址或房间号等属性信息。

为了能够识别同屏设备，当网关设备接收到来自投屏设备的网络接入请求时，向鉴权系统发送MAC鉴权请求消息以促使所述鉴权系统根据所述鉴权请求消息生成鉴权响应消息。鉴权响应消息可以包括投屏设备的标识信息和MAC地址等。网关设备实现对投屏设备的鉴权功能。网关设备本身，或者网关设备的后台业务系统中，可以登记和维护机顶盒/智能电视等投屏设备与客房的一对一静态绑定关系。当已登记的投屏设备接入到网络中时，网关通过MAC鉴权，将投屏设备的MAC地址，IP地址，房间号信息等加入到投屏设备在线列表中。

网关设备对鉴权响应消息进行解析以确定投屏设备的标识信息和MAC地址。网关设备根据标识信息在业务系统数据库中进行检索以获取与投屏设备相关联的预先存储的MAC地址。业务系统数据库中存储多条投屏设备记录，每条投屏设备记录可以投屏设备的相关信息，每条投屏设备记录的属性可以包括标识信息、IP地址、MAC地址、位置信息、所分配的位置的编号等。例如，可以根据投屏设备的标识信息在业务系统数据库中的多条投屏设备记录中进行检索以获取与投屏设备相关联的认证信息，认证信息例如可以是投屏设备的记录中的IP地址、MAC地址、位置信息、所分配的位置的编号等。

基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果对投屏设备进行鉴权以确定鉴权状态。例如，投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址相同时，确定鉴权状态为鉴权成功；否则，确定鉴权状态为鉴权失败。

网关设备实现对投屏设备(智能显示器或机顶盒)的鉴权功能。在业务系统数据库中，可以预先存储投屏设备的设备列表或投屏设备表。例如，当投屏设备新加入网络时，可以将投屏设备的MAC地址、投屏设备的IP地址、位置类型、位置编号(所分配的位置的编号)、位置信息等信息存储在投屏设备的设备列表或投屏设备表中。投屏设备的设备列表包括多个投屏设备记录，每个投屏设备记录可以包括多个属性，例如，投屏设备的MAC地址、投屏设备的IP地址、位置类型、位置编号(所分配的位置的编号)、位置信息等。例如，网关设备本身，或者网关设备的后台业务系统中，可以登记和维护投屏设备与位置的一对一静态绑定关系。

当网关设备基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果为相同时，确定鉴权状态为鉴权成功时，允许投屏设备接入第二网络，并且将投屏设备的属性信息存储在在线投屏设备列表中。投屏设备的属性信息包括：投屏设备的标识符、投屏设备的IP地址、投屏设备的MAC地址、投屏设备的设备位置等。

当投屏设备接入到第二网络中时，网关设备通过MAC鉴权，将新加入的投屏设备与设备列表中的多个投屏设备记录进行比较。当确定新加入的投屏设备与多个投屏设备记录中的一个投屏设备记录相匹配时，确定投屏设备的鉴权状态为鉴权成功状态。随后，网关设备将投屏设备的MAC地址，IP地址，房间号信息等加入到在线设备表的投屏设备在线列表中。

对于某些不能提供数据接口的建筑，或者鉴权时使用了短信验证码或Hotspot2.0等其它鉴权手段的情况，用户设备连入Wi-Fi后没有位置身份(例如，位置标识符)。网关设备无法得知用户设备与具体位置(例如，位置标识符)之间的归属关系。对于此情况，本发明实现一个扫码加入的技术方案，即用户设备访问房间内投屏设备的投屏应用时，投屏设备推送一个二维码显示在显示屏幕上。二维码隐含了网关设备的API入口(用于处理投屏请求的应用的接口)以及包含位置标识符的参数。用户设备扫描二维码后，就调用了网关设备的API，网关设备将用户设备MAC地址绑定到当前位置。这样用户设备就拥有了当前位置的身份，等同于使用位置信息进行Portal鉴权。

当(例如，投屏设备)投屏设备的投屏功能页被选择时，促使投屏设备向业务系统发送二维码请求消息，二维码请求消息包括投屏设备的标识符。促使业务系统根据二维码请求消息生成二维码并将二维码返回给投屏设备，二维码包括加密的时间戳、投屏设备的设备位置和网关处理接口。

促使业务系统根据二维码请求消息生成二维码包括：促使业务系统对二维码请求消息进行解析，以获取投屏设备的标识符；基于投屏设备的标识符获取投屏设备的设备位置；生成加密的时间戳和网关处理接口；基于加密的时间戳、投屏设备的设备位置和网关处理接口生成二维码。

还包括，促使投屏设备将从业务系统接收的二维码提供给用户设备，以使得用户设备能够根据二维码中的网关处理接口来提交包括加密的时间戳和投屏设备的设备位置的数据报文。

对数据报文中加密的时间戳和投屏设备的设备位置进行解密并确定时间戳是否有效，解析数据报文的以太网报头信息以获取用户设备的MAC地址；当确定时间戳有效时，确定投屏设备的设备位置是否为有效位置；当确定投屏设备的设备位置为有效位置时，根据设备位置为有效位置为用户设备设置归属区域。利用用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域构成用户设备的属性信息；将用户设备的属性信息存储在在线用户设备列表中。

举例来说，当用户希望使用设备位置的互动电视进行投屏动作时，用户打开或开启互动电视。通过操作互动电视，访问互动电视的投屏功能页。响应于操作指令，互动电视向互动电视业务系统发送二维码请求，以请求设备位置的投屏二维码。

响应于接收到来自互动电视的二维码请求，互动电视业务系统生成二维码。其中二维码包含了统一资源定位符URL，URL指向网关设备处理投屏业务的API接口，并且URL具有加密的时间戳和用于指示设备位置的参数。互动电视业务系统将所生成的二维码发送给互动电视。

响应于接收到来自互动电视业务系统的二维码，互动电视显示二维码，提示用户扫描二维码以启动投屏处理。用户使用用户设备扫描由客房内的互动电视所显示的二维码，以确定网关设备处理投屏业务的API接口并将加密的时间戳和用于指示设备位置的参数通过API接口提供给网关设备。

响应于接收到来自用户设备的加密的时间戳和用于指示设备位置的参数，网关设备对加密的时间戳和用于指示设备位置的参数进行解密以获得时间戳和用于指示设备位置的参数。当时间戳和设备位置有效时，获取用户设备的MAC地址并将用户设备的MAC地址加入到互动电视所在的设备位置。将用于指示处理成功的响应消息发送给用户设备或移动设备，从而提示用户可以开始进行投屏。

响应于从网关设备接收到用于指示处理成功的响应消息，使用用户设备搜索房间内的投屏设备并与投屏设备建立连接以开始投屏。互动电视根据来自用户设备的数据来播放投送的视频内容。

网关设备针对同屏应用等的“组播发现”环节，即AirPlay、Chromecast所用的多播域名解析服务器MDNS协议，和DLNA所用的简单服务发现协议SSDP协议，实现一个组播/单播代理。当用户设备发起组播消息请求查找可用的投屏设备时，网关设备查找用户设备的归属区域或归属位置的投屏设备是否在线。如果在线，则将组播消息转为单播消息，直接发送给位于另一个网络的与用户设备的归属区域相匹配或与归属位置相同的投屏设备。投屏设备应答后，用户设备就获得了投屏设备的IP地址和可用业务信息，就可与投屏设备进行后续的业务数据交换。

具体地，在步骤1，启动网关设备的组播/单播代理流程。在步骤2，接收到用户设备的MDNS或SSDP组播消息。在步骤3，根据源MAC/IP查询在线设备表以得到用户设备的归属区域，在步骤4，查询投屏设备的设备在线表，根据位置标识查询所属的位置是否存在在线投屏设备。在步骤5，确定是否存在与用户设备属于相同位置的在线投屏设备，即用户设备的归属区域是否存在在线投屏设备。如果否，则继续步骤7结束。附加地，可以向用户设备提示当前位置不存在在在线投屏设备。如果是，则进行步骤5，对每个投屏设备，将组播请求以太包的组播目的MAC地址替换为在线投屏设备的MAC地址后，将报文发送给在线投屏设备。

根据用户设备的标识符获取用户设备的属性信息包括：根据用户设备的标识符在在线用户设备列表中进行查询，以确定用户设备的属性信息。其中在线用户设备列表包括多个用户设备的属性信息。用户设备的属性信息包括：用户设备的标识符、用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域。其中用户设备的归属区域可以是业务系统或服务器为用户设备所分配的区域，例如归属区域是建筑物内的一个子区域，一间房间等

基于用户设备的属性信息确定用户设备的归属区域包括：对用户设备的属性信息进行解析以确定用户设备的归属区域。基于用户设备的归属区域确定与用户设备相关联的投屏设备的标识符包括：基于用户设备的归属区域确定与归属区域相关联的投屏设备；将与归属区域相关联的投屏设备作为与用户设备相关联的投屏设备。确定与用户设备相关联的投屏设备的标识符。

基于用户设备的归属区域确定与归属区域相关联的投屏设备包括：对在线投屏设备列表进行检索以确定处于工作状态的多个投屏设备；获取工作状态的每个投屏设备的属性信息，其中投屏设备的属性信息包括：投屏设备的标识符、投屏设备的IP地址、投屏设备的MAC地址、投屏设备的设备位置；将投屏设备的设备位置与归属区域相匹配的投屏设备作为与归属区域相关联的投屏设备。

当业务类型为访问投屏设备或投屏设备时，确定数据报文包括涉及投屏设备的访问请求。访问请求包括：用户设备的标识符、访问时间长度和访问权限。投屏设备为投屏设备，并且应答消息包括投屏设备的IP地址。

在步骤102，基于用户设备的标识符确定用户设备的鉴权状态，基于投屏设备的标识符确定投屏设备的鉴权状态，当确定用户设备和投屏设备的鉴权状态均为鉴权成功时，获取用户设备动态信息，以及获取投屏设备的属性信息和当前设置。其中在业务系统数据库中存储每个用户设备的鉴权状态，并且存储每个投屏设备的鉴权状态。用户设备的动态信息包括用户设备的当前位置、当前数据传输速率、当前状态等。投屏设备的当前设置包括投屏设备的每个功能的设置。例如，是否允许投屏功能。

在步骤103，基于投屏设备的属性信息确定投屏设备的设备位置，当用户设备的归属区域与设备位置相匹配时，根据当前设置确定投屏设备是否允许访问。其中当设备位置位于用户设备的归属区域中时，确定用户设备的归属区域与设备位置相匹配。当设备位置位于用户设备的归属区域中时，确定用户设备的归属区域与设备位置相匹配。通常，系统可以设置某些位置处的投屏设备不允许用户设备访问，例如某些位置处的投屏设备处于维修状态、故障状态、保留状态或禁止访问状态。当投屏设备处于维修状态、故障状态、保留状态或禁止访问状态时，将这个设备位置处的投屏设备设置为不允许访问，即不允许用户设备进行投屏操作或访问。因此，本申请可以根据当前设置确定投屏设备是否允许访问。

在步骤104，当根据当前设置确定投屏设备允许访问时，根据用户设备的动态信息确定用户设备的当前位置，在当前位置与设备位置的距离小于或等于距离阈值时，将数据报文转发给投屏设备，以促使投屏设备根据数据报文生成应答消息。其中用户设备的动态信息包括用户设备的当前位置、当前数据传输速率、当前状态等。投屏设备的当前设置包括投屏设备的每个功能的设置。例如，距离阈值为10米、8米、6米、5米、3米等。通常，可以根据室内定位技术(例如，接入点AP定位)来确定用户设备的当前位置，而投屏设备的设备位置通常是固定的。在本申请中，可以通过确定用户设备是否接入到当前房间、归属区域或当前位置的AP来判断用户设备的当前位置。通常，每个房间、归属区域或当前位置都仅设置一个AP。当用户设备的当前位置与投屏设备的设备位置的距离小于或等于距离阈值时，将来自用户设备的数据报文(包含访问请求)转发给投屏设备，以促使投屏设备根据数据报文生成应答消息。投屏设备根据数据报文生成应答消息包括：投屏设备对数据报文进行解析以确定用户设备的通信地址(例如IP地址)，基于投屏设备的通信地址(例如，IP地址)生成应答消息。

在步骤105，将应答消息发送给用户设备，以促使用户设备根据应答消息与投屏设备建立数据连接，从而对投屏设备进行访问。在用户设备接收到来自投屏设备的应答消息后，对应答消息进行解析以确定投屏设备的通信地址。处于第一网络中的用户设备根据通信地址与处于第二网络中的投屏设备建立通信连接(或数据连接)，从而对投屏设备进行访问。用户设备可以通过通信连接将需要投屏的多媒体数据(例如，音视频数据)发送给投屏设备。

网关设备实现路由转发功能。网关设备实现严格的安全转发规则检查，包括：对于属于相同位置区域的设备，才允许相互直接通信，使得用户设备与归属区域内的投屏设备之间的数据流(视频流、控制信令和应答等)可以正常被路由转发，并且保证信息不会被泄漏给其它房间的设备。检查用户设备的归属区域是否开启了同屏业务，如果没有允许，则禁止转发。检查用户设备是否在所允许的投屏地理范围内，具体可以通过检查用户设备所在网络，以及接入的AP位置，如果不在可允许范围内，则禁止转发。如果可以进行转发，则网关设备能够为用户设备和投屏设备进行数据转发，从而实现用户设备利用投屏设备进行投屏操作。

具体地址，网关设备的安全转发处理的流程图从步骤11处开始。在步骤12，确定IP报文的源地址和目的地址是否都属于被鉴权设备(即，鉴权状态为鉴权成功的设备)，如果否，则进行步骤16，进行正常或普通IP报文的转发，即实现常规的数据转发功能。如果是，则进行步骤13。在步骤13，确定源地址和目的地址所归属的位置的位置标识是否相同。如果否，则进行步骤17，丢弃报文。如果是，则进行步骤14。在步骤14，确定源地址和目的地址所归属的位置区域是否具有同屏业务权限。如果否，则进行步骤17，丢弃报文。如果是，则进行步骤15。在步骤15，确定用户设备是否在允许的投屏位置范围内。如果否，则进行步骤507，丢弃报文。如果是，则进行步骤506，进行正常或普通IP报文的转发。

根据本发明的一个实施方式，以多屏互动应用在酒店客房无线网络的应用部署为例进行说明。本发明提出了在酒店客网接入控制网关或无线控制器(以下简称网关)的基础上，在合理的网络架构的前提下(将客房投屏设备按业务划分到相对于客房无线网络独立的有线或无线网络中)，结合必要的鉴权手段，实现特殊的代理和访问控制功能，解决上述背景技术中所提到的各个关键问题。

1、网关设备实现对住店客人的用户设备或移动设备的有效身份鉴权机制，使得网关设备可以获得客人的用户设备或移动设备与客房之间的归属关系。多数酒店都可以提供PMS接口，网关设备只要实现PMS接口业务，与PMS(酒店物业管理系统)对接，就能获得所有酒店客房的房态(客房处于打开或关闭状态)，以及入住客人的鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)。客人的用户设备或移动设备在酒店上网时需要经过Portal鉴权，客人的用户设备或移动设备在鉴权页面中使用房间号和鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)进行身份鉴权后，网关设备将客人的用户设备或移动设备的MAC地址，IP地址，房间信息等加入到客人设备在线列表中。如图2所示，在线设备表或在线设备列表中保存在线用户设备或在线移动设备的属性信息。属性信息例如是用户设备或移动设备的标识符、IP地址、MAC地址或房间号等。

2、对于某些不能提供PMS接口的酒店，或者客人鉴权时使用了短信验证码或Hotspot 2.0等其它鉴权手段的情况，客人的用户设备或移动设备连入酒店Wi-Fi后没有房间身份(例如，房间号)。网关设备无法得知客人的用户设备或移动设备与具体房间(例如，房间号)之间的归属关系。对于此情况，本发明实现一个扫码加入的技术方案，即客人访问房间内投屏设备的投屏应用时，投屏设备推送一个二维码显示在显示屏幕上。二维码隐含了网关设备的API入口(用于处理投屏请求的应用的接口)以及包含房间身份的参数。客人的用户设备或移动设备扫描二维码后，就调用了网关设备的API，网关设备将客人的用户设备或移动设备的MAC地址绑定到当前房间。这样客人设备就拥有了本房间的身份，等同于使用房号进行Portal鉴权。

由此可知，在本申请中，在无法实现监测到用户设备的投屏动作时，投屏设备可以主动推送二维码。二维码是诸如互动电视的投屏设备的投屏功能页里固定推送的。互动电视的功能页可以进行提示：“如果是短信验证码或Hotspot 2.0等其它鉴权手段加入Wi-Fi的，请扫码后投屏”。如果用户设备已经是通过房间身份方式进行鉴权的，只要互动电视处于开机状态下(不需要开机后用遥控器操作走到投屏功能页)，就可以直接投屏。

图4为根据本发明实施方式的通过二维码实现访问控制的示意图。如图4所示，在所示出的时序图中，包括四个实体：住店客人(用户设备或移动终端)、客房内的互动电视(投屏设备或显示设备)、互动电视业务系统和网关设备。当住店客人希望使用客房内的互动电视进行投屏动作时，住店客人在步骤401处打开或开启客房内的互动电视。通过操作客房内的互动电视，在步骤402，访问客房内的互动电视的投屏功能页。响应于住店客人的操作指令，客房内的互动电视在步骤403向互动电视业务系统发送二维码请求，以请求本房间(客房内的互动电视所在的房间)的投屏二维码。

响应于接收到来自互动电视的二维码请求，互动电视业务系统在步骤405生成二维码。其中二维码包含了统一资源定位符URL，URL指向网关设备处理投屏业务的API接口(例如，加入房间API的接口)，并且URL具有加密的时间戳和用于指示房间号的参数。互动电视业务系统将所生成的二维码发送给客房内的互动电视。

响应于接收到来自互动电视业务系统的二维码，在步骤404，客房内的互动电视显示二维码，提示客人扫描二维码以启动投屏处理。在步骤406，住店客人使用用户设备或移动设备扫描由客房内的互动电视所显示的二维码，以确定网关设备处理投屏业务的API接口并将加密的时间戳和用于指示房间号的参数通过API接口提供给网关设备。

响应于接收到来自用户设备或移动设备的加密的时间戳和用于指示房间号的参数，在步骤407，网关设备对加密的时间戳和用于指示房间号的参数进行解密以获得时间戳和用于指示房间号的参数。当时间戳和房间号有效时，获取用户设备或移动设备的MAC地址并将用户设备或移动设备的MAC地址加入到客房内的互动电视所在的房间。将用于指示处理成功的响应消息发送给用户设备或移动设备，从而提示住店客人可以开始进行投屏。

响应于从网关设备接收到用于指示处理成功的响应消息，在步骤408，住店客人使用用户设备或移动设备搜索房间内的投屏设备并与投屏设备建立连接以开始投屏。在步骤409，互动电视根据来自用户设备或移动设备的数据来播放投送的视频内容。

3、网关设备实现对投屏设备的鉴权功能。网关设备本身，或者网关设备的后台业务系统中，可以登记和维护机顶盒/智能电视等投屏设备与客房的一对一静态绑定关系。当已登记的投屏设备接入到网络中时，网关通过MAC鉴权，将投屏设备的MAC地址，IP地址，房间号信息等加入到投屏设备在线列表中。

图2为根据本发明实施方式的由网关设备进行访问控制的示意图。在网关设备中可以设置或包括：客人设备鉴权模块202、投屏设备鉴权模块203、组播转单播代理模块207和数据流转发模块208。

客人设备鉴权模块202实现PMS接口业务，与PMS(酒店物业管理系统)对接，从业务系统数据库201获得所有酒店客房的房态(客房处于打开或关闭状态)，以及入住客人的鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)，例如，PMS接口数据包括：房间号、客人姓氏、客人会员号、手机号码、名字全称等。客人手机204在酒店上网时需要经过Portal鉴权。为了进行Portal鉴权，客人手机204在鉴权页面中使用房间号和鉴权信息(例如，姓氏、姓名、密码和生日等私人信息)进行身份鉴权时，客人设备鉴权模块202根据通过PMS接口所获得的PMS接口数据对客人手机204所提交的鉴权信息进行身份鉴权。当通过PMS接口数据对客人手机204所提交的鉴权信息进行身份鉴权的结果是鉴权成功时，客人设备鉴权模块202将客人手机204的MAC地址，IP地址，房间信息等加入到客人设备在线列表中。在线设备表206中包括在线用户设备的列表，在在线设备表206中存在多条记录，每条记录均包括用户设备用户设备或移动设备的IP地址、MAC地址或房间号等属性信息。

投屏设备鉴权模块203实现对投屏设备(客房内的智能电视或机顶盒)205的鉴权功能。在业务系统数据库201中，可以预先存储投屏设备的设备列表。投屏设备205的设备列表包括多个属性，例如，投屏设备205的MAC地址、投屏设备205的IP地址、房间设备类型、房间号等。例如，网关设备本身，或者网关设备的后台业务系统中，可以登记和维护机顶盒/智能电视等投屏设备与客房的一对一静态绑定关系。当投屏设备205接入到网络中时，投屏设备鉴权模块203通过MAC鉴权，将新加入的投屏设备205与设备列表中的多个记录进行比较。当确定新加入的投屏设备205与多个记录中的一个记录相匹配时，确定投屏设备205的鉴权状态为鉴权成功状态。随后，投屏设备鉴权模块203将投屏设备205的MAC地址，IP地址，房间号信息等加入到在线设备表206的投屏设备在线列表中。

4、网关设备的组播转单播代理模块207针对同屏应用等的“组播发现”环节，即AirPlay、Chromecast所用的多播域名解析服务器MDNS协议，和DLNA所用的简单服务发现协议SSDP协议，实现一个组播/单播代理。当客人手机204发起组播消息请求查找可用的投屏设备时，组播转单播代理模块207查找客人所在房间的投屏设备205是否在线。如果在线，则将组播消息转为单播消息，直接发送给位于另一个网络的与客人所在房间相同的投屏设备205。投屏设备205应答后，客人手机204就获得了投屏设备205的IP地址和可用业务信息，就可与投屏设备205进行后续的业务数据交换。

图3为根据本发明实施方式的由网关设备进行组播/单播代理的流程图。在步骤301，启动组播转单播代理模块207的组播/单播代理流程。在步骤302，组播转单播代理模块207接收到客人设备的MDNS或SSDP组播消息。在步骤303，组播转单播代理模块207根据源MAC/IP查询客人在线设备表以得到客人所属的房间的房间号。在步骤304，组播转单播代理模块207查询投屏设备的设备在线表，根据房间号查询所属的房间是否存在在线投屏设备。在步骤305，确定是否存在与客人设备同房间的在线投屏设备，即客人设备的所属房间是否存在在线投屏设备。如果否，则继续步骤307结束。附加地，可以向客人设备提示当前房间不存在在在线投屏设备。如果是，则进行步骤305，对每个投屏设备，将组播请求以太包的组播目的MAC地址替换为在线投屏设备的MAC地址后，将报文发送给在线投屏设备。继续步骤307结束。

5、网关的数据流转发模块208实现路由转发功能。数据流转发模块208实现严格的安全转发规则检查，包括：对于属于同房间的设备，才允许相互直接通信，使得客人手机204与房间内的投屏设备205之间的数据流(视频流、控制信令和应答等)可以正常被路由转发，并且保证信息不会被泄漏给其它房间的设备。检查客人房间是否开启了同屏业务，如果没有允许，则禁止转发。检查客人设备是否在所允许的投屏地理范围内，具体可以通过检查客人设备所在网络(房间网络，而不是大堂网络)，以及接入的AP位置(房间AP)，如果不在可允许范围内，则禁止转发。如果可以进行转发，则数据流转发模块208能够为客人手机204和投屏设备205进行数据转发，从而实现客人手机204利用投屏设备205进行投屏操作。

图5为根据本发明实施方式的安全转发处理的流程图。数据流转发模块208的安全转发处理的流程图从步骤501处开始。在步骤502，确定IP报文的源地址和目的地址是否都属于被鉴权设备(即，鉴权状态为鉴权成功的设备)，如果否，则进行步骤506，进行正常或普通IP报文的转发，即实现常规的数据转发功能。如果是，则进行步骤503。在步骤503，确定源地址和目的地址所归属的房间的房间号是否相同。如果否，则进行步骤507，丢弃报文。如果是，则进行步骤504。在步骤504，确定源地址和目的地址所归属的房间是否具有同屏业务权限。如果否，则进行步骤507，丢弃报文。如果是，则进行步骤505。在步骤505，确定客人设备是否在允许的投屏位置范围内。如果否，则进行步骤507，丢弃报文。如果是，则进行步骤506，进行正常或普通IP报文的转发。

图6为根据本发明实施方式的对涉及显示设备的访问请求进行控制的系统600的结构示意图。

为解决多屏互动应用在公共无线网络内的应用部署问题，系统600提出了以接入控制网关或无线控制器(以下简称网关设备)为基础，在合理的网络架构的前提下(将投屏设备按业务划分到与用户设备所处的无线网络相独立的另一有线或无线网络中)。系统600结合必要的鉴权手段，基于网关设备实现特殊的代理和访问控制功能，解决现有技术中所提到的各个关键问题。系统600使用户设备的公共无线网络环境中能够进行与家庭无线网络环境中相类似的多屏互动(投屏)。系统600保持现有建筑物内的有线和无线网络结构不变，并且保证有线和无线网络安全前提下，使得建筑物内能够提供与家庭无线网络环境体验一致的多屏互动和物联智控应用。

系统600包括：监测单元601、获取单元602、确定单元603、转发单元604、发送单元605以及初始化单元606。监测单元601对所转发的数据报文进行内容监测，当确定数据报文包括涉及投屏设备的访问请求时，对访问请求进行解析以确定用户设备的标识符，根据用户设备的标识符获取用户设备的属性信息，并基于用户设备的属性信息确定用户设备的归属区域，基于用户设备的归属区域确定与用户设备相关联的投屏设备的标识符。

获取单元602基于用户设备的标识符确定用户设备的鉴权状态，基于投屏设备的标识符确定投屏设备的鉴权状态，当确定用户设备和投屏设备的鉴权状态均为鉴权成功时，获取用户设备动态信息，以及获取投屏设备的属性信息和当前设置。其中在业务系统数据库中存储每个用户设备的鉴权状态，并且存储每个投屏设备的鉴权状态。用户设备的动态信息包括用户设备的当前位置、当前数据传输速率、当前状态等。投屏设备的当前设置包括投屏设备的每个功能的设置。例如，是否允许投屏功能。

确定单元603基于投屏设备的属性信息确定投屏设备的设备位置，当用户设备的归属区域与设备位置相匹配时，根据当前设置确定投屏设备是否允许访问。其中当设备位置位于用户设备的归属区域中时，确定用户设备的归属区域与设备位置相匹配。当设备位置位于用户设备的归属区域中时，确定用户设备的归属区域与设备位置相匹配。通常，系统可以设置某些位置处的投屏设备不允许用户设备访问，例如某些位置处的投屏设备处于维修状态、故障状态、保留状态或禁止访问状态。当投屏设备处于维修状态、故障状态、保留状态或禁止访问状态时，将这个设备位置处的投屏设备设置为不允许访问，即不允许用户设备进行投屏操作或访问。因此，本申请可以根据当前设置确定投屏设备是否允许访问。

转发单元604当根据当前设置确定投屏设备允许访问时，根据用户设备的动态信息确定用户设备的当前位置，在当前位置与设备位置的距离小于或等于距离阈值时，将数据报文转发给投屏设备，以促使投屏设备根据数据报文生成应答消息。其中用户设备的动态信息包括用户设备的当前位置、当前数据传输速率、当前状态等。投屏设备的当前设置包括投屏设备的每个功能的设置。例如，距离阈值为10米、8米、6米、5米、3米等。通常，可以根据室内定位技术(例如，接入点AP定位)来确定用户设备的当前位置，而投屏设备的设备位置通常是固定的。在本申请中，可以通过确定用户设备是否接入到当前房间、归属区域或当前位置的AP来判断用户设备的当前位置。通常，每个房间、归属区域或当前位置都仅设置一个AP。当用户设备的当前位置与投屏设备的设备位置的距离小于或等于距离阈值时，将来自用户设备的数据报文(包含访问请求)转发给投屏设备，以促使投屏设备根据数据报文生成应答消息。投屏设备根据数据报文生成应答消息包括：投屏设备对数据报文进行解析以确定用户设备的通信地址(例如IP地址)，基于投屏设备的通信地址(例如，IP地址)生成应答消息。

发送单元605将应答消息发送给用户设备，以促使用户设备根据应答消息与投屏设备建立数据连接，从而对投屏设备进行访问。在用户设备接收到来自投屏设备的应答消息后，对应答消息进行解析以确定投屏设备的通信地址。处于第一网络中的用户设备根据通信地址与处于第二网络中的投屏设备建立通信连接(或数据连接)，从而对投屏设备进行访问。用户设备可以通过通信连接将需要投屏的多媒体数据(例如，音视频数据)发送给投屏设备。

初始化单元606用于为了能够识别用户设备，当网关设备接收到来自用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使用户设备根据鉴权请求消息生成鉴权响应消息。鉴权响应消息通常可以包括：用户设备的身份信息和鉴权信息等。其中身份信息例如是电话号码、IP地址、MAC地址、用户姓名、用户身份证号等。鉴权信息例如是归属区域、分配信息(例如，所分配的位置的编号)、密码、用户姓名、用户身份证号等。鉴权信息还可以是预先设置的分配信息(例如，归属区域、归属网络、所分配的位置的编号)和用户设备的私有信息(密码、用户姓名、用户身份证号、电话号码等)。

已经通过参考少量实施方式描述了本发明。然而，本领域技术人员所公知的，正如附带的专利权利要求所限定的，除了本发明以上公开的其他的实施例等同地落在本发明的范围内。

通常地，在权利要求中使用的所有术语都根据他们在技术领域的通常含义被解释，除非在其中被另外明确地定义。所有的参考“一个/所述/该[装置、组件等]”都被开放地解释为所述装置、组件等中的至少一个实例，除非另外明确地说明。这里公开的任何方法的步骤都没必要以公开的准确的顺序运行，除非明确地说明。

Claims

1.一种对涉及投屏设备的访问请求进行控制的方法，所述方法包括：

将所述应答消息发送给所述用户设备，以促使所述用户设备根据所述应答消息与所述投屏设备建立数据连接，从而对投屏设备进行访问；

促使所述业务系统根据所述二维码请求消息生成二维码并将所述二维码返回给投屏设备，所述二维码包括加密的时间戳、投屏设备的设备位置和网关处理接口；

其中，促使所述业务系统根据所述二维码请求消息生成二维码包括：

基于投屏设备的标识符获取投屏设备的设备位置；

生成加密的时间戳和网关处理接口；

基于加密的时间戳、投屏设备的设备位置和网关处理接口生成二维码;

2.根据权利要求1所述的方法，还包括，当接收到来自所述用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使所述用户设备根据所述鉴权请求消息生成鉴权响应消息；

基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态。

3.根据权利要求2所述的方法，

4.根据权利要求3所述的方法，当鉴权状态为鉴权成功时，允许所述用户设备接入第一网络，并且将所述用户设备的属性信息存储在在线用户设备列表中；

5.根据权利要求3所述的方法，当鉴权状态为鉴权失败时，拒绝所述用户设备接入第一网络。

6.根据权利要求1所述的方法，还包括，当接收到来自所述投屏设备的网络接入请求时，向鉴权系统发送MAC鉴权请求消息以促使所述鉴权系统根据所述鉴权请求消息生成鉴权响应消息；

7.根据权利要求6所述的方法，当基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果为相同时，确定鉴权状态为鉴权成功时，允许所述投屏设备接入第二网络，并且将所述投屏设备的属性信息存储在在线投屏设备列表中；

8.根据权利要求1所述的方法，对数据报文中加密的时间戳和投屏设备的设备位置进行解密并确定时间戳是否有效，解析数据报文的以太网报头信息以获取用户设备的MAC地址；

9.根据权利要求8所述的方法，利用用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域构成用户设备的属性信息；

将所述用户设备的属性信息存储在在线用户设备列表中。

10.根据权利要求1所述的方法，所述根据所述用户设备的标识符获取所述用户设备的属性信息包括：

所述在线用户设备列表包括多个用户设备的属性信息；

11.根据权利要求10所述的方法，所述基于所述用户设备的属性信息确定所述用户设备的归属区域包括：

12.根据权利要求1或11所述的方法，所述基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符包括：

确定与所述用户设备相关联的投屏设备的标识符。

13.根据权利要求12所述的方法，基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备包括：

14.根据权利要求1所述的方法，所述数据报文包括：业务类型、源地址、数据内容、协议版本和附加信息。

15.根据权利要求14所述的方法，当业务类型为访问投屏设备时，确定所述数据报文包括涉及投屏设备的访问请求。

16.根据权利要求1所述的方法，所述访问请求包括：用户设备的标识符、访问时间长度和访问权限。

17.根据权利要求1所述的方法，并且所述应答消息包括投屏设备的IP地址。

18.一种对涉及投屏设备的访问请求进行控制的系统，所述系统包括：

发送单元，将所述应答消息发送给所述用户设备，以促使所述用户设备根据所述应答消息与所述投屏设备建立数据连接，从而对投屏设备进行访问；

初始化单元促使所述业务系统根据所述二维码请求消息生成二维码并将所述二维码返回给投屏设备，所述二维码包括加密的时间戳、投屏设备的设备位置和网关处理接口；

初始化单元生成加密的时间戳和网关处理接口；

初始化单元基于加密的时间戳、投屏设备的设备位置和网关处理接口生成二维码;

19.根据权利要求18所述的系统，还包括，初始化单元，当接收到来自所述用户设备的网络接入请求时，向用户设备发送鉴权请求消息以促使所述用户设备根据所述鉴权请求消息生成鉴权响应消息；

初始化单元基于用户设备的认证信息和鉴权信息的比对结果对用户设备进行鉴权以确定鉴权状态。

20.根据权利要求19所述的系统，

21.根据权利要求20所述的系统，当鉴权状态为鉴权成功时，初始化单元允许所述用户设备接入第一网络，并且初始化单元将所述用户设备的属性信息存储在在线用户设备列表中；

22.根据权利要求20所述的系统，当鉴权状态为鉴权失败时，初始化单元拒绝所述用户设备接入第一网络。

23.根据权利要求18所述的系统，还包括初始化单元，当接收到来自所述投屏设备的网络接入请求时，向鉴权系统发送MAC鉴权请求消息以促使所述鉴权系统根据所述鉴权请求消息生成鉴权响应消息；

24.根据权利要求23所述的系统，当基于投屏设备的MAC地址和与投屏设备相关联的预先存储的MAC地址的比对结果为相同时，初始化单元确定鉴权状态为鉴权成功时，允许所述投屏设备接入第二网络，并且将所述投屏设备的属性信息存储在在线投屏设备列表中；

25.根据权利要求18所述的系统，初始化单元对数据报文中加密的时间戳和投屏设备的设备位置进行解密并确定时间戳是否有效，解析数据报文的以太网报头信息以获取用户设备的MAC地址；

26.根据权利要求25所述的系统，初始化单元利用用户设备的IP地址、用户设备的MAC地址、用户设备的归属区域构成用户设备的属性信息；

将所述用户设备的属性信息存储在在线用户设备列表中。

27.根据权利要求18所述的系统，所述监测单元根据所述用户设备的标识符获取所述用户设备的属性信息包括：

所述在线用户设备列表包括多个用户设备的属性信息；

28.根据权利要求27所述的系统，所述监测单元基于所述用户设备的属性信息确定所述用户设备的归属区域包括：

29.根据权利要求18或28所述的系统，所述监测单元基于所述用户设备的归属区域确定与所述用户设备相关联的投屏设备的标识符包括：

监测单元确定与所述用户设备相关联的投屏设备的标识符。

30.根据权利要求29所述的系统，监测单元基于所述用户设备的归属区域确定与所述归属区域相关联的投屏设备包括：

31.根据权利要求18所述的系统，所述数据报文包括：业务类型、源地址、数据内容、协议版本和附加信息。

32.根据权利要求31所述的系统，当业务类型为访问投屏设备时，监测单元确定所述数据报文包括涉及投屏设备的访问请求。

33.根据权利要求18所述的系统，所述访问请求包括：用户设备的标识符、访问时间长度和访问权限。

34.根据权利要求18所述的系统，并且所述应答消息包括投屏设备的IP地址。