CN114124886A

CN114124886A - 基于终端设备类型的网络地址转换控制方法及装置

Info

Publication number: CN114124886A
Application number: CN202111314967.3A
Authority: CN
Inventors: 马瑞武; 吴兴; 赵振洋; 丁传玉
Original assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Current assignee: Beijing Topsec Technology Co Ltd; Beijing Topsec Network Security Technology Co Ltd; Beijing Topsec Software Co Ltd
Priority date: 2021-11-08
Filing date: 2021-11-08
Publication date: 2022-03-01

Abstract

本发明公开了一种基于终端设备类型的网络地址转换控制方法及装置。基于终端设备类型的网络地址转换控制方法，包括：设置用于NAT规则引用的角色对象，并为角色对象设置对应的合法终端设备列表和关联用户列表；获取访问用户的用户信息和设备类型信息，并结合合法终端设备列表和关联用户列表，对访问用户所用设备进行合法性认证。采用本发明，可以避免员工云办公过程中公司数据被泄露的问题，可以提高网络通信的安全性。

Description

基于终端设备类型的网络地址转换控制方法及装置

技术领域

本发明涉及网络通信领域，尤其涉及一种基于终端设备类型的网络地址转换控制方法及装置。

背景技术

随着社会的发展，企业对员工办公方式的需求不再局限于去公司固定的工位去办公。云办公等办公方式逐渐得到部分企业的支持。

为了支持员工的云办公需求，同时满足企业的高等级保密需求，企业一般会给员工派发公司定制的终端设备(固定终端、移动终端)来访问公司内部资源数据来远程办公。但是存在一些员工云办公时不使用公司派发定制的终端设备访问公司内部的高等级保密数据，造成公司机密泄露的风险。

发明内容

本发明实施例提供一种基于终端设备类型的网络地址转换控制方法及装置，用以解决现有技术中员工云办公造成公司机密泄露的风险的问题。

根据本发明实施例的基于终端设备类型的网络地址转换控制方法，包括：

设置用于NAT规则引用的角色对象，并为所述角色对象设置对应的合法终端设备列表和关联用户列表；

获取访问用户的用户信息和设备类型信息，并结合所述合法终端设备列表和关联用户列表，对所述访问用户所用设备进行合法性认证。

根据本发明的一些实施例，所述获取访问用户的用户信息和设备类型信息，并结合所述合法终端设备列表和关联用户列表，对所述访问用户所用设备进行合法性认证，包括：

根据所述用户信息，结合所述关联用户列表，确定所述访问用户所属角色对象；

根据所述设备类型信息，结合所述合法终端设备列表，判断所述访问用户所用设备是否在所述访问用户所属角色对象对应的合法终端设备列表中，若是，则对所述访问用户执行网络地址转换，否则，不对所述访问用户执行网络地址转换。

根据本发明的一些实施例，所述方法还包括：

获取所述访问用户的目标返问信息，当且仅当所述目标访问信息属于限定访问信息时，对所述访问用户所用设备进行合法性认证。

根据本发明的一些实施例，所述方法还包括：

对所述访问用户的用户信息进行安全认证，当且仅当所述访问用户的用户信息通过安全认证，对所述访问用户所用设备进行合法性认证。

根据本发明实施例的基于终端设备类型的网络地址转换控制装置，包括：

设置单元，用于设置用于NAT规则引用的角色对象，并为所述角色对象设置对应的合法终端设备列表和关联用户列表；

认证单元，用于获取访问用户的用户信息和设备类型信息，并结合所述合法终端设备列表和关联用户列表，对所述访问用户所用设备进行合法性认证。

根据本发明的一些实施例，所述认证单元，用于：

根据本发明实施例的计算机可读存储介质，所述计算机可读存储介质上存储有信息传递的实现程序，所述程序被处理器执行时实现如上所述的基于终端设备类型的网络地址转换控制方法的步骤。

采用本发明实施例，可以避免员工云办公过程中公司数据被泄露的问题，可以提高网络通信的安全性。

上述说明仅是本发明技术方案的概述，为了能够更清楚了解本发明的技术手段，而可依照说明书的内容予以实施，并且为了让本发明的上述和其它目的、特征和优点能够更明显易懂，以下特举本发明的具体实施方式。

附图说明

通过阅读下文实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。在附图中：

图1是本发明实施例中基于终端设备类型的网络地址转换控制方法流程图；

图2是本发明实施例中NAT规则配置示意图。

具体实施方式

下面将参照附图更详细地描述本发明的示例性实施例。虽然附图中显示了本发明的示例性实施例，然而应当理解，可以以各种形式实现本发明而不应被这里阐述的实施例所限制。相反，提供这些实施例是为了能够更透彻地理解本发明，并且能够将本发明的范围完整的传达给本领域的技术人员。另外，在一些实例中，并未详细示出公知的方法、结构和技术，以便不模糊对本说明书的理解。

本发明第一方面实施例提出一种基于终端设备类型的网络地址转换控制方法，如图1所示，包括：

S1，设置用于NAT规则引用的角色对象，并为所述角色对象设置对应的合法终端设备列表和关联用户列表；角色对象可以根据实际需求进行定义，然后在NAT规则设置过程中对角色对象进行引用。合法终端设备列表中罗列了角色对象所能够使用的所有设备类型信息，合法终端设备列表可以包含一个或多个设备类型信息。合法终端设备列表也可以根据实际需求进行设置，例如，合法终端设备列表中所包含的终端设备可以是公司派发定制的终端设备。每个角色对象可以与一个或者多个用户对应。关联用户列表中包含了一个或多个用户信息。

S2，获取访问用户的用户信息和设备类型信息，并结合所述合法终端设备列表和关联用户列表，对所述访问用户所用设备进行合法性认证。可以理解，在接收到用户的访问报文后，可以获取报文中携带的用户信息和设备类型信息，对比合法终端设备列表和关联用户列表，以对访问用户所用设备进行合法性认证。

虽然在相关技术中，为解决员工云办公时不使用公司派发定制的终端设备访问公司内部的高等级保密数据，造成公司机密泄露的风险的问题，一些厂家在NAT设备上配置NAT规则后还需继续配置访问控制规则(支持访问控制功能)，通过访问控制功能来限制非公司定制的终端设备的访问公司内部高等级机密数据，NAT功能只进行网络地址转换。但这种技术要求采购的NAT设备中必须支持访问控制功能，这样会增加采购成本，同时配置访问控制策略不仅增加了设备的管理维护成本而且降低了系统的稳定性。

对比上述技术方案，采用本发明上述实施例，可以避免在NAT设备上配置NAT规则后还需继续配置访问控制规则(支持访问控制功能)，通过访问控制功能来限制非公司定制的终端设备的访问公司数据，NAT功能只需完成网络地址转换即可，可以简化NAT设备的功能，提高了系统的稳定性，同时降低了NAT设备管理维护的难度、也降低了企业采购设备的成本。

在上述实施例的基础上，进一步提出各变型实施例，在此需要说明的是，为了使描述简要，在各变型实施例中仅描述与上述实施例的不同之处。

根据所述用户信息，结合所述关联用户列表，确定所述访问用户所属角色对象；可以理解，通过比对访问用户的用户信息与所有角色对象的关联用户列表，确定访问用户的用户信息位于哪个角色对象的关联用户列表中，就可以确定访问用户所属的角色对象。访问用户的用户信息在哪个角色对象的关联用户列表中，则访问用户就属于哪个角色对象。

可以理解，在确定了访问用户的角色对象后，就可以获得该角色对象的合法终端设备列表，然后判断访问用户的设备类型信息是否在该合法终端设备列表，也就是判断访问用户所用设备是否在所述访问用户所属角色对象对应的合法终端设备列表中。

根据本发明的一些实施例，所述方法还包括：

获取所述访问用户的目标返问信息，当且仅当所述目标访问信息属于限定访问信息时，对所述访问用户所用设备进行合法性认证。如此设置，可以使得仅仅用户在访问目标返问信息，才对访问用户所用设备进行合法性认证。

这里的目标访问信息可以由公司自行设定，例如，公司可以设置高等级保密数据作为目标访问信息。

根据本发明的一些实施例，所述方法还包括：

下面参照图2以一个具体的实施例详细描述根据本发明实施例的基于终端设备类型的网络地址转换控制方法。值得理解的是，下述描述仅是示例性说明，而不是对本发明的具体限制。凡是采用本发明的相似结构及其相似变化，均应列入本发明的保护范围。

本发明实施例的基于终端设备类型的网络地址转换控制方法，可以在不支持访问控制功能的NAT设备上根据用户终端设备类型来判断外网用户是否可以访问企业内网高等级保密数据的需求，满足用户的云办公安全。公司只需要在现有的网络安全通信设备上根据需求任意的定义角色对象和与角色对相关联的用户认证服务器，用户认证服务器具有终端设备类型识别功能。NAT规则引用角色对象，报文通过角色对象关联的用户认证服务器去确认用户终端是否认证成功。认证成功则进行网络地址转换，认证失败则拒绝进行网络地址转换。这不仅节省了中小企业更换NAT设备的成本，而且降低了NAT设备管理维护的难度，提高了系统的稳定性。

具体的，本发明实施例的基于终端设备类型的网络地址转换控制方法，包括如下步骤：

首先，在网络安全通信设备启动时会创建一个用户认证服务器系统，该用户认证服务器系统提供用户合法性的认证，包括终端设备类型识别功能。

其次，在网络安全通信设备上根据需求配置用户认证服务器和使能终端设备类型识别功能。

最后，在网络安全通信设备上根据需求定义用户角色对象，来供NAT规则引用。定义的角色对象需与用户认证服务器进行关联。

下面以一个距离示例对上述所述方法进行详细介绍。

一、本实施给出了一条具体NAT规则的配置，具体描述如下：

(1)在NAT设备启动后配置角色对象：角色R；NAT规则：NAT。NAT引用角色R作为NAT规则的匹配条件。

(2)在NAT设备上配置用户认证服务器，使能终端设备类型识别功能，同时关联用户认证服务器和角色R。

(3)在NAT设备上添加三个用户的用户信息(包括支持的终端设备类型)：用户1：某品牌定制类型手机终端、用户2：某品牌定制类型平板终端、用户3：某品牌定制类型笔记本终端。添加成功后把三个用户与角色R进行关联。具体引用规则如图2所示。

二、用户认证过程，具体描述如下：

用户认证服务器系统启动后开始执行通过实施一中添加的三个用户的认证工作，用户认证服务器系统作为认证服务端，接收、处理认证请求端发来的用户认证请求。

公网用户通过定制终端设备发起用户认证，当认证请求到达用户认证服务器后通过配置的用户信息和用户支持的终端设备类型等相关规则进行认证，用户认证服务器模块会记录用户终端设备类型的合法性。

三、控制网络地址转换的实施过程。具体描述如下：

当用户进行认证后，此时用户就可以在公网通过网络安全通信设备访问内网了。具体的例如用户1去访问内网的高等级保密数据时不仅需要进行用户认证，还需要经过配置的NAT规则进行网络地址转换才能访问成功。当用户1用笔记本去认证时用户认证服务器模块会记录用户1终端设备类型不合法。此时当访问数据到达网络安全通信设备后会去匹配NAT规则，由于用户认证服务器模块记录了用户1终端设备非法，所以就不在执行网络地址转换，访问失败。

同理当用户2用非公司派发的平板电脑去认证时用户认证服务器模块会记录用户2终端设备类型不合法。此时当访问数据到达网络安全通信设备后会去匹配NAT规则，由于用户认证服务器模块记录了用户2终端设备非法，所以就不在执行网络地址转换，访问失败。

此时用户2改用公司派发的平板电脑去重新认证，用户认证服务器模块会刷新用户2终端设备类型为合法。此时当访问数据到达网络安全通信设备后会去匹配NAT规则，由于用户认证服务器模块记录了用户2终端设备合法，所以就执行网络地址转换，访问成功。

同理当用户3用公司派发的笔记本去认证时，用户认证服务器模块会记录用户3终端设备类型合法。此时当访问数据到达网络安全通信设备后会去匹配NAT规则，由于用户认证服务器模块记录了用户3终端设备合法，所以就执行网络地址转换，访问成功。

到此具体实施案例过程描述完成。

本发明实施例的关键在于：

NAT规则需要引用角色对象，角色对象会与用户认证模块进行关联。用户在访问企业内网高等级保密数据前需要先进行用户认证。

用户认证时认证信息包含了终端设备类型信息，终端设备类型识别器会识别用户认证时携带的终端设备类型是否合法，合法后会在用户认证模块中记录用户终端设备类型的合法性。

角色对象关联用户认证模块的用户终端设备合法性是作为报文是否进行NAT转换的条件。用户认证模块的用户终端设备类型合法则进行网络地址转换，不合法则不进行网络地址转换。

与现有技术相比，本发明通过NAT规则引用的角色对象和角色对象关联的用户认证模块来检测用户的终端设备类型进而决定是否进行NAT转换，相较于增加访问控制策略功能不仅简化了NAT设备的功能，提高了系统的稳定性；同时简化了NAT设备配置管理的成本等有益效果。

需要说明的是，以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

本发明第二方面实施例提出一种基于终端设备类型的网络地址转换控制装置，包括：

角色对象可以根据实际需求进行定义，然后在NAT规则设置过程中对角色对象进行应用。合法终端设备列表中罗列了角色对象所能够使用的所有设备类型信息，合法终端设备列表可以包含一个或多个设备类型信息。合法终端设备列表也可以根据实际需求进行设置，例如，合法终端设备列表中所包含的终端设备可以是公司派发定制的终端设备。每个角色对象可以与一个或者多个用户对应。关联用户列表中包含了一个或多个用户信息。

在接收到用户的访问报文后，可以获取报文中携带的用户信息和设备类型信息，对比合法终端设备列表和关联用户列表，以对访问用户所用设备进行合法性认证。

根据本发明的一些实施例，所述认证单元，用于：

需要说明的是，上述描述中，使用用于表示元件的诸如“模块”、“部件”或“单元”的后缀仅为了有利于本发明的说明，其本身没有特定的意义。因此，“模块”、“部件”或“单元”可以混合地使用。

本发明第三方面实施例提出一种计算机可读存储介质，所述计算机可读存储介质上存储有信息传输的实现程序，所述程序被处理器执行时实现如上第一方面实施例所述的基于终端设备类型的网络地址转换控制方法的步骤。

需要说明的是，本实施例所述计算机可读存储介质包括但不限于为：ROM、RAM、磁盘或光盘等。所述程序被处理器可以是手机，计算机，服务器，空调器，或者网络设备等。

参考术语“一个实施例”、“一些实施例”、“示意性实施例”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。尽管在此所述的一些实施例包括其它实施例中所包括的某些特征而不是其它特征，但是不同实施例的特征的组合意味着处于本发明的范围之内并且形成不同的实施例。描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。例如，在权利要求书中，所要求保护的实施例的任意之一都可以以任意的组合方式来使用。

术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

Claims

1.一种基于终端设备类型的网络地址转换控制方法，其特征在于，包括：

2.如权利要求1所述的方法，其特征在于，所述获取访问用户的用户信息和设备类型信息，并结合所述合法终端设备列表和关联用户列表，对所述访问用户所用设备进行合法性认证，包括：

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

5.一种基于终端设备类型的网络地址转换控制装置，其特征在于，包括：

6.如权利要求5所述的装置，其特征在于，所述认证单元，用于：

7.如权利要求5所述的装置，其特征在于，所述认证单元，用于：

8.如权利要求5所述的装置，其特征在于，所述认证单元，用于：

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有信息传递的实现程序，所述程序被处理器执行时实现如权利要求1至4中任一项所述的基于终端设备类型的网络地址转换控制方法的步骤。