CN112804372B

CN112804372B - 一种用户终端分组方法、系统、装置及存储介质

Info

Publication number: CN112804372B
Application number: CN202011641322.6A
Authority: CN
Inventors: 王文鲁
Original assignee: Wuhan Sipuling Technology Co Ltd
Current assignee: Wuhan Sipuling Technology Co Ltd
Priority date: 2020-12-31
Filing date: 2020-12-31
Publication date: 2023-03-24
Anticipated expiration: 2040-12-31
Also published as: CN112804372A

Abstract

本发明涉及一种用户终端分组方法、系统、装置及计算机可读存储介质，所述方法包括以下步骤：创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组。本发明提供的用户终端分组方法提高了用户终端分组的效率。

Description

一种用户终端分组方法、系统、装置及存储介质

技术领域

本发明涉及用户终端分组技术领域，尤其涉及一种用户终端分组方法、系统、装置及计算机可读存储介质。

背景技术

企业的正常运作离不开信息资源的支持，企业的重要信息一旦被泄露会使企业顿失市场竞争优势，甚至会遭受灭顶之灾。因此，企业要保持健康可持续性发展，信息安全是基本的保证之一。随着网络环境的日益恶化以及企业自身的发展伴随着越来越多的商业泄密事件的发生，信息安全问题逐渐被提上议事日程，企业管理者也逐渐走出以往的误区，信息安全建设成了企业首要任务，一些中小企业也纷纷加入到这个日益庞大的队伍中来，企业通常购买具有权限控制功能的安全设备对用户组划分权限避免信息泄露。

由于公司规模不一样，当人数较少时，管理员可以通过手动创建多个用户，并且把创建的用户归属于特定组来完成用户分组；但是对于规模较大的公司来说，这种通过手动创建用户来实现用户终端分组的效率较低，并且会给网络管理员带来极大的负担甚至难以实现。此外，现有用户终端分组方案只适用于员工采用静态IP办公的网络环境(每个员工都有一个固定IP)，不适用于采用DHCP方式获取IP地址的办公环境(IP地址是在开机时获取的，是不固定的)，管理员无法提前获知员工分配的IP并基于IP地址制定上网权限策略。

发明内容

有鉴于此，有必要提供了一种用户终端分组方法、系统、装置及计算机可读存储介质，用以解决现有技术中用户终端分组的效率较低的问题。

本发明提供了一种用户终端分组方法，包括以下步骤：

创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；

配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；

遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；

将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组。

进一步地，所述配置用户组及其IP绑定地址范围，具体包括：使用web配置用户组及其IP绑定地址范围。

进一步地，将所述用户组及其IP绑定地址范围存储在全局链表中，具体包括：

利用web进程对用户组的IP绑定地址范围进行合法性检查，在用户组的IP绑定地址范围的情况下，将对应的用户组及其IP绑定地址范围存储至全局链表中。

进一步地，将对应的用户组及其IP绑定地址范围存储在全局链表中，具体包括：

利用web进程对用户组及其IP绑定地址范围以链表的形式进行组装，并将组装后的用户组及其IP绑定地址范围下发至控制进程；控制进程收到所述组装后的用户组及其IP绑定地址范围后，对其进行解析并存储至全局链表中。

进一步地，遍历所述全局链表，具体包括：

在所有用户组及其IP绑定地址范围存储至全局链表中后，启动定时器，在预设时间后定时器开始执行，在定时器执行时，开始遍历所述全局链表。

进一步地，所述用户终端分组方法还包括，在生成含有用户组及其IP绑定地址范围的bv树后，进行编译生成所述含有用户组及其IP绑定地址范围的bv树的查询引擎。

进一步地，将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组，具体包括：

通过查询引擎将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，若一个用户IP地址在bv树中某一个用户组的IP绑定地址范围内，则匹配成功，该用户IP地址所对应的用户终端属于该用户组。

本发明还提供了一种用户终端分组系统，包括bv树初始化模块、全局链表生成模块、bv树生成模块及分组模块；

所述bv树初始化模块，用于创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；

所述全局链表生成模块，用于配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；

所述bv树生成模块，用于遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；

所述分组模块，用于将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组。

本发明还提供了一种用户终端分组装置，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如上述技术方案所述的用户终端分组方法。

本发明还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机该程序被处理器执行时，实现如上述任一技术方案所述的用户终端分组方法。

与现有技术相比，本发明的有益效果包括：通过创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组；提高了用户终端分组的效率。

附图说明

图1为本发明提供的用户终端分组方法的流程示意图；

图2为本发明提供的用户终端分组系统的结构框图。

具体实施方式

下面结合附图来具体描述本发明的优选实施例，其中，附图构成本申请一部分，并与本发明的实施例一起用于阐释本发明的原理，并非用于限定本发明的范围。

实施例1

本发明实施例提供了一种用户终端分组方法，其流程示意图，如图1所示，所述方法包括以下步骤：

S1、创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；

S2、配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；

S3、遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；

S4、将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组。

需要说明的是，在整个网络中，各个访问网络的用户的权限可能是各不相同的，可以将具有相同权限的用户划为一组，这样就形成了用户组。

一个具体实施例中，网络安全设备启动时，创建bv树(行为树)ugroup_bip_bvt，并进行初始化，对bv树的初始化包括对bv树中每个维度tree(树)的节点的初始化和每个维度key(键值)的bit大小的初始化；

优选的，所述配置用户组及其IP绑定地址范围，具体包括：使用web配置用户组及其IP绑定地址范围。

优选的，将所述用户组及其IP绑定地址范围存储在全局链表中，具体包括：

一个具体实施例中，通过web配置IP绑定地址，web进程对输入的IP绑定地址范围进行合法性检查，允许单个IP(192.168.1.1)、IP/掩码(192.168.1.1/16)、IP范围(192.168.1.1-192.168.1.254)这三种形式的IP绑定地址范围，即这三种形式的IP绑定地址范围为合法。

优选的，将对应的用户组及其IP绑定地址范围存储在全局链表中，具体包括：

一个具体实施例中，如果配置的ip绑定地址范围合法，web进程进行对用户组及其ip绑定地址范围以链表的形式进行组装并下发到控制进程；控制进程接收到web进程下发的数据之后进行解析，并存储在全局链表__static_space.group_list。

优选的，遍历所述全局链表，具体包括：

一个具体实施例中，当所有用户组及其IP绑定地址范围全部解析完成并存储到全局链表__static_space.group_list之后，启动定时器，定时器5s(即预设时间)之后执行；定时器执行时，会遍历链表__static_space.group_list，针对链表上存储的每个用户组及其IP地址绑定范围创建一个节点node(节点node包含IP地址和掩码)，并插入bv树ugroup_bip_bvt中，

优选的，还包括，在生成含有用户组及其IP绑定地址范围的bv树后，进行编译生成所述含有用户组及其IP绑定地址范围的bv树的查询引擎。

一个具体实施例中，生成含有用户组及其IP绑定地址范围的bv树后，即所有节点插入完成之后，进行编译生成查询引擎。

优选的，将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组，具体包括：

一个具体实施例中，在用户组识别流程中，以将用户IP地址进行bv树匹配，确定该用户对应的IP地址是否属于某个特定的用户组(即bv树中的用户组)，如果查到该用户对应的IP地址属于某个特定用户组，匹配成功，根据匹配结果，获取用户组ID，若用户组ID在bv树中不存在，则以用户的IP地址作为用户名创建一个用户，并且把创建的用户归属于bv树中的用户组，如果同名用户已经存在，则不创建。

另一个具体实施例中，某公司要求研发部门不允许上外网，对应IP段为(192.168.1.1-192.168.1.255)销售部门允许上外网，对应IP段为(192.168.2.1-192.168.2.255)；

则创建研发组绑定IP地址范围(192.168.1.1-192.168.1.255)，如果研发组某一成员开机分配到的IP地址为192.168.1.100，那么首先查找是否存在用户名为192.168.1.100的用户，如果没有则以用户名192.168.2.100创建用户，并且该用户划分到研发组，如果存在用户名为192.168.2.100的用户则不创建用户。

创建销售组绑定IP地址范围(192.168.2.1-192.168.2.255)，如果销售部某一成员开机分配到的IP地址为192.168.2.100，那么首先查找是否存在用户名为192.168.2.100的用户，如果没有则以用户名192.168.2.100创建用户，并且该用户划分到销售组，如果存在用户名为192.168.2.100的用户则不创建用户。配置上网权限策略1，配置研发组，权限为不允许上网；配置上网权限策略2，配置销售组，权限为允许上网；当配置完上述策略后，管理员无需关心IP范围(192.168.1.1-192.168.1.255)内的用户何时上线，员工的IP地址是否变化。

实施例2

本发明实施例提供了一种用户终端分组系统，其结构框图，如图2所示，所述系统包括bv树初始化模块1、全局链表生成模块2、bv树生成模块3及分组模块4；

所述bv树初始化模块1，用于创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；

所述全局链表生成模块2，用于配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；

所述bv树生成模块3，用于遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；

所述分组模块4，用于将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组。

实施例3

本发明实施例提供了一种用户终端分组装置，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如实施例1所述的用户终端分组方法。

实施例4

本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机该程序被处理器执行时，实现如实施例1所述的用户终端分组方法。

本发明公开了一种用户终端分组方法、系统、装置及计算机可读存储介质，通过创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中；遍历所述全局链表，针对所述全局链表上存储的用户组及其IP绑定地址范围创建节点，将所述节点插入至初始化后的bv树，生成含有用户组及其IP绑定地址范围的bv树；将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组；通过创建bv树绑定用户组及其IP地址范围，可以极大提高IP地址匹配用户组效率，从而极大提高用户终端分组的效率，从而提高了用户终端分组的效率。

通过本发明所述技术方案，创建用户组时可以添加绑定范围，以IP地址作为用户名自动创建用户并完成用户分组，网络管理员可以预先基于用户组配置上网权限策略，无需关心某IP是否上线以及何时上线，当网络结构调整时，网络管理员只需要更改用户组的IP绑定范围，无需关心具体用户，减轻了网络管理员的负担并且实现了用户终端分组的灵活管理。

本发明技术方案解决了无法基于IP地址自动完成用户终端分组以及针对分组进行控制的缺陷，还可以解决企业规模较大时网络管理员无法通过手动创建用户完成用户分组的缺陷以及DHCP场景下无法预先基于特定IP范围创建用户上网权限策略问题。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。

Claims

1.一种用户终端分组方法，其特征在于，包括以下步骤：

创建bv树，并对所述bv树进行初始化，得到初始化后的bv树；

配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中，其中，所述IP为采用DHCP方式所获取；

将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组；

配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中，包括：

用web进程对用户组的IP绑定地址范围进行合法性检查，在用户组的IP绑定地址范围的情况下，对用户组及其IP绑定地址范围以链表的形式进行组装，并将组装后的用户组及其IP绑定地址范围下发至控制进程；控制进程收到所述组装后的用户组及其IP绑定地址范围后，对其进行解析并存储至全局链表中。

2.根据权利要求1所述的用户终端分组方法，其特征在于，遍历所述全局链表，具体包括：

3.根据权利要求1所述的用户终端分组方法，其特征在于，还包括，在生成含有用户组及其IP绑定地址范围的bv树后，进行编译生成所述含有用户组及其IP绑定地址范围的bv树的查询引擎。

4.根据权利要求3所述的用户终端分组方法，其特征在于，将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组，具体包括：

5.一种用户终端分组系统，其特征在于，包括bv树初始化模块、全局链表生成模块、bv树生成模块及分组模块；

所述全局链表生成模块，用于配置用户组及其IP绑定地址范围，将所述用户组及其IP绑定地址范围存储至全局链表中，其中，所述IP为采用DHCP方式所获取；

所述分组模块，用于将输入的用户IP地址与所述含有用户组及其IP绑定地址范围的bv树进行匹配，根据匹配结果进行用户终端分组；

6.一种用户终端分组装置，其特征在于，包括处理器以及存储器，所述存储器上存储有计算机程序，所述计算机程序被所述处理器执行时，实现如权利要求1-4任一所述的用户终端分组方法。

7.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时，实现如权利要求1-4任一所述的用户终端分组方法。