CN113473465B - 基于无线融合网络分流的专网细粒度访问控制方法及系统 - Google Patents

Abstract

本发明属于网络融合领域，特别是涉及一种基于无线融合网络分流的专网细粒度访问控制方法及系统，该方法包括：无线融合网络分流器获取本地网络数据包；无线融合网络分流器对获取的数据包中的信标信息进行判断，若终端设备信标信息存在无线融合网络分流器的信标列表中，则将分流控制信号直接分流至本地网络中；否则无线融合网络分流器将数据包输入到访问控制装置中进行数据包的鉴权，若满足访问控制权限则更新分流器的信标列表，并分流至本地网络，若不满足访问控制权限，则分流至核心网；本发明实现了无线融合网络分流的细粒度访问控制，可根据用户自定义专网网络资源的访问权限，保证了传输性能的同时，以满足用户的实际情况与特殊需求。

Description

基于无线融合网络分流的专网细粒度访问控制方法及系统

技术领域

本发明属于网络融合领域，特别是涉及一种基于无线融合网络分流的专网细粒度访问控制方法及系统。

背景技术

随着半导体工艺与移动通信技术的迅猛发展，以智能小车、智能机器人、智能摄像头为代表的无线网络终端设备，正全方位融入智能制造、自动驾驶及智慧城市等众多领域。IDC预测截止2025年网络边缘终端产生的实时数据量将达到163ZB，网络带宽、网络时延及隐私保护等问题逐渐成为无线网络传输的瓶颈。无线融合网络分流器得以研发，旨在将根据无线终端设备数据包访问的网络资源进行区分：若是访问本地网络资源，直接将数据包分流至本地网络；若不是访问本地网络资源，则将数据包分流至核心网。

无线融合网络分流器主要的优势有：一是低延迟，减少数据包传输路径，将访问本地网络资源的数据包，直接在分流器分流至本地网络，提高了传输的速度；二是高安全，使得本地网络资源不出厂，不用传递至核心网再转回，提高了数据隔离性，确保了用户的核心数据与隐私保护。然而，在无线融合网络分流器提升低延迟、数据隔离性的同时，如何进一步按用户的实际情况与特殊需求，根据用户自定义本地网络网络资源及其访问权限，以确保本地网络访问资源的安全，则是亟待解决的关键问题。

发明内容

为解决以上现有技术存在的问题，本发明提出了一种基于无线融合网络分流的专网细粒度访问控制方法，该方法包括：

步骤1：无线融合网络分流器提取本地网络的无线终端设备数据包，无线终端设备数据包包括主要信息及信标信息；无线融合网络分流器将信标信息定时发送给访问控制装置；

步骤2：访问控制模块判断信标信息是否有效；若信标信息有效，则执行步骤步骤3，若信标信息无效，则执行步骤4；

步骤3：对无线融合网络分流器访问本地资源的权限鉴权；若满足本地资源访问权限，则将数据包直接分流至本地网络中；若不满足本地资源访问权限，则将数据包分流至核心网；

步骤4：对终端进行身份鉴权，若不满足身份权限，则直接将数据包分流至核心网；若满足身份权限，对无线融合网络分流器访问本地资源的权限鉴权，若满足本地资源访问权限，则生成终端的信标信息并同步至无线融合网络分流器的信标列表，同时将数据包直接分流至本地网络中，若不满足本地资源访问权限，将数据包分流至核心网。

优选的，本地网络包括无线终端设备和其他网络资源，其他网络资源为本地服务器。

优选的，本地网络数据包通过光纤专线传输到无线融合网络分流器中；无线融合网络分流器中的数据通过光口或网口传输到访问控制装置中。

优选的，访问控制模块判断信标信息是否有效的过程包括：无线融合网络分流器中设置有信标列表，并将信标列表存储在访问控制模块中；访问控制模块根据终端设备信标信息在无线融合网络分流器的信标列表中进行查找，若终端设备信标信息存在无线融合网络分流器的信标列表中，则信标信息有效；若终端设备信标信息不存在无线融合网络分流器的信标列表中，则信标信息无效。

优选的，访问控制模块对数据包进行鉴权的过程包括：访问控制模块实时获取数据包同步的信标；判断同步后的信标是否在无线融合网络分流器的合法信标列表中，若存在，则为合法访问，否则据据接收分流数据包。

一种基于无线融合网络分流的专网细粒度访问控制系统，该装置包括本地网络、无线融合网络分流器、访问控制装置以及核心网；所述无线融合网络分流器部署在本地网络与核心网之间；所述访问控制装置设置在无线融合网络分流器的一侧；所述访问控制装置包括策略管理模块、鉴权模块以及同步模块；

所述策略管理模块用于管理合法终端身份、本地网络资源的访问权限；

所述鉴权模块负责无线终端设备身份鉴权，若是合法身份，按照访问规则生成有效信标；对具有合法信标的终端，判定其数据包是否满足策略管理模块的本地网络资源的访问权限；

所述同步模块监控信标状态，将有效信标实时同步给无线融合网络分流器。

优选的，无线融合网络分流器通过光纤专线连接本地网，无线融合网络分流器通过光口或网口旁路连接访问控制装置。

优选的，策略管理模块管理的专网访问资源信息包括资源的IP及端口号，以及合法终端信息。

优选的，鉴权模块对无线终端设备数据包信息进行鉴权的过程包括：根据策略管理模块管理的访问控制信息对无线终端设备数据包信息进行身份鉴权；若该终端设备合法，则根据访问权限及其他关键信息，通过哈希算法生成当前终端设备访问的有效信标；其他关键信息包括终端账号、密码、MAC地址以及时间戳；判定合法终端数据包是否满足本地网络资源的访问权限，若满足则将数据包分流至本地网络，否则分流至核心网；将新生成的信标信息返回给终端设备，同时通过同步模块同步给无线融合网络分流器，终端设备定时发送信标给无线融合网络分流器，以保持分流通信状态；若是非法终端设备，则由同步模块及时反馈给无线融合网络分流器。

进一步的，有效信标为根据Hash函数生成的且状态为激活状态的唯一信标。

优选的，同步模块采用MQTT协议同步信息给无线融合网络分流器，具体的过程包括：通过实时监控信标状态，定时监控策略管理模块管理的专网访问控制信息；若访问控制信息发生更新，则实时同步无线融合网络分流器的信标列表。

本发明提出的访问控制装置可以独立于无线融合网络分流器，与无线融合网络分流器进行并行部署，具有良好的扩展性；其次，本发明实现了无线融合网络分流的细粒度访问控制，可根据用户自定义专网网络资源的访问权限，保证了传输性能的同时，以满足用户的实际情况与特殊需求。最后，本发明可动态地更新访问控制信息，具有良好的实时性能。

附图说明

图1为本发明的实施部署图；

图2为本发明的访问控制装置主要功能模块图；

图3为本发明的专网细粒度访问控制策略图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

一种基于无线融合网络分流的专网细粒度访问控制方法，该方法包括：无线融合网络分流器获取本地网络的无线终端设备数据包，无线终端设备数据包包括主要信息及信标信息；无线融合网络分流器对获取的信标信息进行判断，若终端设备信标信息存在无线融合网络分流器的信标列表中，则将分流控制信号直接分流至本地网络中；若无线融合网络分流器的信标列表中不存在终端设备信标信息，则无线融合网络分流器将获取的无线终端设备数据包输入到访问控制装置中进行数据包的鉴权，若满足访问控制权限则更新分流器的信标列表，并分流至本地网络，若不满足访问控制权限，则分流至核心网。

一种基于无线融合网络分流的专网细粒度访问控制方法的具体实施方式，如图3所示，该方法包括：

步骤1：无线融合网络分流器提取本地网络的无线终端设备数据包，无线终端设备数据包包括主要信息及信标信息；无线融合网络分流器将信标信息定时发送给访问控制装置；

步骤2：访问控制模块判断信标信息是否有效；若信标信息有效，则执行步骤步骤3，若信标信息无效，则执行步骤4；

步骤3：对无线融合网络分流器访问本地资源的权限鉴权；若满足本地资源访问权限，则将数据包直接分流至本地网络中；若不满足本地资源访问权限，则将数据包分流至核心网；

步骤4：对终端进行身份鉴权，若不满足身份权限，则直接将数据包分流至核心网；若满足身份权限，对无线融合网络分流器访问本地资源的权限鉴权，若满足本地资源访问权限，则生成终端的信标信息并同步至无线融合网络分流器的信标列表，同时将数据包直接分流至本地网络中，若不满足本地资源访问权限，将数据包分流至核心网。

一种基于无线融合网络分流的专网细粒度访问控制方法的具体实施方式，该过程的具体步骤包括：

步骤1：采用无线融合网络分流器提取本地网络的无线数据包；所述数据包主要包括主要特征信息和信标信息；所述主要特征信息包括：终端账号、密码、MAC地址以及时间戳。

步骤2：判定本地网络无线终端设备的信标是否存在于无线融合网络分流器的信标列表(终端设备定时发送信标给无线融合网络分流器，以保持分流通信状态)，判定其是否有效，若有效则转至步骤3，若无效则转至步骤4；生成无线融合网络分流器的信标列表的过程为鉴权模块对无线融合网络分流器访问本地资源的权限鉴权，若满足本地资源访问权限，则生成终端的信标信息，并将生成的终端信标信息通过同步模块发送到无线融合网络分流器中，无线融合网络分流器将所有的信标进行集合，得到无线融合网络分流器的信标列表。

步骤3：满足用户自定义的网络资源访问权限，转至本地网络，转至结束步骤7；

步骤4：利用访问控制装置中鉴权模块对数据包主要特征信息进行鉴权判定，根据用户自定义的网络资源访问权限，判定数据包是否满足访问控制策略，若满足则重新生成信标，返回给无线终端设备，转至步骤5；

步骤5：接受到最新信标信息，同步更新无线融合网络分流器的信标列表(同步模块采用MQTT协议同步信息给无线融合网络分流器)，转至步骤3；

步骤6：数据包不满足访问控制权限要求，则直接分流至核心网，同时转至结束步骤7；访问控制权限要求为：若数据包访问本地网络资源，不合法终端设备以及合法终端设备数据包不满足其本地资源的访问权限，则仍分流至核心网；若数据包直接访问核心网，则分流至核心网络。

步骤7：结束访问控制。

优选的，访问控制装置的策略管理模块管理的专网访问资源信息包括资源的IP及端口号。

可选的，策略管理模块向用户提供管理界面，可按用户特定需求，对专网访问资源与访问权限进行自定义。自定义访问权限包括，配置合法终端范围和本地网络资源的访问权限，访问权限为合法终端可以进行访问，不合法终端禁止访问。

权模块对无线终端设备数据包信息进行鉴权，具体包括以下步骤：

步骤1：根据策略管理模块管理的访问控制信息，对数据包信息进行鉴权；进行鉴权包括判定终端是否是合法终端，判定合法终端访问的资源是否满足本地网络资源的访问权限。

步骤2：若满足专网资源的访问权限，根据访问权限及其他关键信息，通过哈希算法生成当前终端设备访问的有效信标；其他关键信息包括终端账号、密码、MAC地址以及时间戳；有效信标为根据Hash函数生成的且状态为激活状态的唯一信标，即将账号、密码、mac地址以及时间戳进行Hash处理，得到有效信标。

步骤3：新生成的信标信息返回给终端设备，同时通过同步模块同步给无线融合网络分流器，终端设备定时发送信标给无线融合网络分流器，以保持分流通信状态；

步骤4：若不满足专网资源的访问权限，则由同步模块及时反馈给无线融合网络分流器。

优选的，有效信标是指根据Hash函数生成的且状态为激活状态的唯一信标。

同步模块的同步策略为：通过实时监控信标状态，定时监控策略管理模块管理的专网访问控制信息；若访问控制信息发生更新，则实时同步无线融合网络分流器的信标列表。

实时同步给无线融合网络分流器，具体是指由同步模块采用MQTT协议同步信息给无线融合网络分流器，即：通过实时监控信标状态，定时监控策略管理模块管理的专网访问控制信息；若访问控制信息发生更新，则实时同步无线融合网络分流器的信标列表。

一种基于无线融合网络分流的专网细粒度访问控制装置，如图1所示，该装置包括本地网络、无线融合网络分流器、访问控制装置以及核心网；所述无线融合网络分流器部署在本地网络与核心网之间；所述访问控制装置设置在无线融合网络分流器的一侧。

一种基于无线融合网络分流的专网细粒度访问控制装置的具体实施方式，该内容包括：

1)本地网络包括专网的网络资源、无线终端设备，无线终端设备向分流器传递数据包，若是访问专网的网络资源且符合安全访问权限，可通过无线融合分流器分流至本地网络，若不是，则直接传递核心网。

2)无线融合网络分流器通过网线或光纤直连本地网络，串联在本地网络与核心网之间，进行无线终端数据包的分流，将访问专网的网络资源且符合安全访问权限的数据包分流至本地网络，以提升访问性能与安全性，若不满足条件，则分流至核心网络。

3)访问控制装置与无线融合网络分流器进行并行部署，主要通过无线融合网络分流器的旁路链接，在访问控制装置进行用户自定义网络资源访问权限、数据包鉴权、生产信标、同步信标等功能，以辅助无线融合网络分流器按用户自定义网络资源访问权限，进行数据包的分流。

如图2所示，访问控制装置主要包含策略管理模块、鉴权模块、同步模块。略管理模块：负责专网访问资源与访问权限的管理；向用户提供管理界面，可按用户特定需求，对专网访问资源与访问权限进行自定义。鉴权模块：对无线终端设备数据包信息进行鉴权；为终端设备访问生成有效信标；信标返回给终端设备，同时发送给同步模块，以及时同步给无线融合网络分流器。同步模块：实时监控信标状态；若访问控制信息发生更新，实时同步无线融合网络分流器的信标列表；同步模块采用MQTT协议同步信息给无线融合网络分流器。

本专利通过无线融合网络分流器旁路部署访问控制装置，在访问控制装置实现本地网络资源及访问权限，用户可对其访问控制信息进行自定义；同时，访问控制装置联合无线融合网络分流器，进行本地网络资源的访问控制管理，以满足用户的实际情况与特殊需求。其次，本专利采用信标机制，若满足访问控制权限的终端，则在无线融合网络分流器中维护信标列表。当终端设备进行本地网络资源访问时，进行信标对比，若满足条件，则及时返回本地网络。本专利填补了无线融合网络分流器用户自定义访问控制的空白，将助力无线融合网络分流器的广泛应用，同时为突破网络带宽、网络时延及隐私保护等问题提供了有益的探索路径。

以上所举实施例，对本发明的目的、技术方案和优点进行了进一步的详细说明，所应理解的是，以上所举实施例仅为本发明的优选实施方式而已，并不用以限制本发明，凡在本发明的精神和原则之内对本发明所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种基于无线融合网络分流的专网细粒度访问控制方法，其特征在于，包括：

步骤1：无线融合网络分流器提取本地网络的无线终端设备数据包，无线终端设备数据包包括主要信息及信标信息；所述主要信息包括终端账号、密码、MAC地址以及时间戳；无线融合网络分流器将信标信息定时发送给访问控制装置；

步骤2：访问控制装置判断信标信息是否有效；若信标信息有效，则执行步骤步骤3，若信标信息无效，则执行步骤4；

访问控制装置判断信标信息是否有效的过程包括：无线融合网络分流器中设置有信标列表，并将信标列表存储在访问控制装置中；访问控制装置根据终端设备信标信息在无线融合网络分流器的信标列表中进行查找，若终端设备信标信息存在无线融合网络分流器的信标列表中，则信标信息有效；若终端设备信标信息不存在无线融合网络分流器的信标列表中，则信标信息无效；

访问控制装置实时获取数据包同步的信标；判断同步后的信标是否在无线融合网络分流器的合法信标列表中，若存在，则为合法访问，否则据据接收分流数据包；

步骤3：访问控制装置对无线融合网络分流器访问本地资源的权限鉴权；若满足本地资源访问权限，则将数据包直接分流至本地网络中；若不满足本地资源访问权限，则将数据包分流至核心网；

步骤4：访问控制装置对终端进行身份鉴权，若不满足身份权限，则直接将数据包分流至核心网；若满足身份权限，对无线融合网络分流器访问本地资源的权限鉴权，若满足本地资源访问权限，则根据访问权限及数据包的主要信息，通过哈希算法生成终端新的信标信息并同步至无线融合网络分流器的信标列表，同时将数据包直接分流至本地网络中，若不满足本地资源访问权限，将数据包分流至核心网。

2.根据权利要求1所述的一种基于无线融合网络分流的专网细粒度访问控制方法，其特征在于，本地网络数据包通过光纤专线传输到无线融合网络分流器中；无线融合网络分流器中的数据通过光口或网口传输到访问控制装置中。

3.一种基于无线融合网络分流的专网细粒度访问控制系统，其特征在于，该系统包括本地网络、无线融合网络分流器、访问控制装置以及核心网；所述无线融合网络分流器部署在本地网络与核心网之间；所述访问控制装置设置在无线融合网络分流器的一侧；无线融合网络分流器通过光纤专线连接本地网，无线融合网络分流器通过光口或网口旁路连接访问控制装置；

无线融合网络分流器提取本地网络的无线终端设备数据包，无线终端设备数据包包括主要信息及信标信息；所述主要信息包括终端账号、密码、MAC地址以及时间戳；无线融合网络分流器将信标信息定时发送给访问控制装置；

所述访问控制装置包括访问控制模块、策略管理模块、鉴权模块以及同步模块；

所述访问控制模块用于判断信标信息是否有效；无线融合网络分流器中设置有信标列表，并将信标列表存储在访问控制模块中；访问控制模块根据终端设备信标信息在无线融合网络分流器的信标列表中进行查找，若终端设备信标信息存在无线融合网络分流器的信标列表中，则信标信息有效；若终端设备信标信息不存在无线融合网络分流器的信标列表中，则信标信息无效；

所述策略管理模块用于管理合法终端身份、本地网络资源的访问权限；

所述鉴权模块负责对具有无效信标的无线终端设备进行身份鉴权，若是合法身份，按照访问规则生成有效信标；对具有有效信标或合法身份的终端，判定其数据包是否满足策略管理模块的本地网络资源的访问权限；

鉴权模块对无线终端设备数据包信息进行鉴权的过程包括：根据策略管理模块管理的访问控制信息对无线终端设备数据包信息进行身份鉴权；若该终端设备合法，则根据访问权限及数据包的主要信息，通过哈希算法生成当前终端设备访问的有效信标；判定合法终端数据包是否满足本地网络资源的访问权限，若满足则将数据包分流至本地网络，否则分流至核心网；将新生成的信标信息返回给终端设备，同时通过同步模块同步给无线融合网络分流器，终端设备定时发送信标给无线融合网络分流器，以保持分流通信状态；若是非法终端设备，则由同步模块及时反馈给无线融合网络分流器；

所述同步模块监控信标状态，将有效信标实时同步给无线融合网络分流器；具体包括：同步模块采用MQTT协议同步信息给无线融合网络分流器，即通过实时监控信标状态，定时监控策略管理模块管理的专网访问控制信息；若访问控制信息发生更新，则实时同步无线融合网络分流器的信标列表。

4.根据权利要求3所述的一种基于无线融合网络分流的专网细粒度访问控制系统，其特征在于，有效信标为根据Hash函数生成的且状态为激活状态的唯一信标。

Images