CN114338139B

CN114338139B - 一种上网行为管理支持终端类型控制的方法

Info

Publication number: CN114338139B
Application number: CN202111616414.3A
Authority: CN
Inventors: 梁世颍
Original assignee: Beijing Abt Networks Co ltd
Current assignee: Beijing Abt Networks Co ltd
Priority date: 2021-12-27
Filing date: 2021-12-27
Publication date: 2023-03-24
Anticipated expiration: 2041-12-27
Also published as: CN114338139A

Abstract

本申请提供一种上网行为管理支持终端类型控制的方法：ACG应用控制网关设备通过restful接口接收DDI地址管理设备获取的用户信息；ACG应用控制网关设备根据用户IP构建用来存储用户信息的哈希链表；ACG应用控制网关设备根据哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引；ACG应用控制网关设备根据ID索引中的终端类型信息与预设控制策略中终端类型信息进行匹配，得到匹配结果；ACG应用控制网关设备根据所述匹配结果判断是否匹配成功；当匹配成功，经过ACG应用控制网关设备的流量命中对应的预设控制策略，ACG应用控制网关设备根据对应的预设控制策略对终端类型的客户进行控制和管理。

Description

一种上网行为管理支持终端类型控制的方法

技术领域

本申请涉及软件开发与应用技术领域，尤其涉及一种上网行为管理支持终端类型控制的方法。

背景技术

随着网络硬件的不断发展，越来越多的员工使用自己的硬件终端办公，这也就出现时下比较流行的BYOD(Bring Your Own Device)模式。BYOD指携带自己的设备办公，这些设备包括个人电脑、手机或平板等设备。员工可以在机场、酒店以及咖啡厅等公共场所，登录公司邮箱、在线办公系统，不受时间、地点、设备、人员以及网络环境的限制。

员工可在自己的设备上安装很多公司的软件，以便可以使用公司的资源。当员工的设备比如手机上安装了这样的管理软件，员工自己的手机就变成了公司的设备，可持续与服务器同步。

目前相关技术针对BYOD的行为管理方案包括ACG自身通过报文和认证系统的识别，但是该管理方案并未对终端类型进行具体区分，导致无法进行精细化控制和管理。

发明内容

本申请提供了一种上网行为管理支持终端类型控制的方法，以解决目前相关技术针对BYOD的行为管理方案不区分具体的终端类型，无法进行精细化控制和管理的问题。

本申请提供一种上网行为管理支持终端类型控制的方法，包括以下步骤：

ACG应用控制网关设备通过restful接口接收DDI地址管理设备获取的用户信息；其中，所述用户信息包括用户IP和用户终端类型信息；

ACG应用控制网关设备根据用户IP构建用来存储用户信息的哈希链表；

ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引；

ACG应用控制网关设备根据所述ID索引中的终端类型信息与预设控制策略中终端类型信息进行匹配，得到匹配结果；其中，预设控制策略包括多种不同种类的控制策略，在匹配过程中根据不同种类的控制策略优先级顺序进行匹配；

ACG应用控制网关设备根据所述匹配结果判断所述ID索引中的终端类型信息与预设控制策略中终端类型信息是否匹配成功；

当所述ID索引中的终端类型信息与预设控制策略中终端类型信息匹配成功，经过ACG应用控制网关设备的流量命中对应的预设控制策略，ACG应用控制网关设备根据对应的预设控制策略对终端类型的客户进行控制和管理。

可选的，ACG应用控制网关设备根据调用SAM+提供的用户上线、下线的restful接口接收DDI地址管理设备发送的用户信息。

可选的，ACG应用控制网关设备接收用户信息并根据用户IP构建用来存储用户信息的哈希链表包括：ACG应用控制网关设备收到用户上线信息后进行解析，根据用户IP构建哈希链表，存储用户信息；ACG应用控制网关设备收到用户下线信息，将根据用户IP从哈希链表中删除。

可选的，ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引包括：

ACG应用控制网关设备根据流量源IP地址，匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引。

可选的，预设控制策略中终端类型的信息在策略中以位图的形式存储，即每一种终端类型对应唯一的ID；其中预设控制策略包括上网行为控制策略、审计控制策略和流量控制策略，每条上网行为控制策略、审计控制策略和流量控制策略可以配置一种或者多种终端类型。

可选的，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理步骤包括：

如果匹配成功，命中上网行为控制策略，该终端类型的用户可以进行上网；如果不成功，未命中上网行为控制策略，不允许上网。

可选的，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理还包括：

当进行上网后，继续匹配，如果匹配成功，命中审计策略，则对该终端类型的用户进行上网行为审计；如果不成功，则不进行审计。

如果匹配成功，命中流量控制策略，则对该终端类型的用户进行流量方面的控制；如果不成功，则不进行流量管控。

可选的，可通过向ACG应用控制网关设备中直接导入终端类型文件，对终端类型列表更新，以及对新增终端类型的控制和管理。

可选的，还包括：基于相同的用户当预设控制策略中优先级最高的控制策略被成功匹配后，下次匹配针对优先级次之的控制策略进行匹配，不再对优先级最高的控制策略进行匹配。

本申请提供一种上网行为管理支持终端类型控制的方法，包括以下步骤：ACG应用控制网关设备通过restful接口接收DDI地址管理设备获取的用户信息；ACG应用控制网关设备根据用户IP构建用来存储用户信息的哈希链表；ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引；ACG应用控制网关设备根据所述ID索引中的终端类型信息与预设控制策略中终端类型信息进行匹配，得到匹配结果；ACG应用控制网关设备根据所述匹配结果判断所述ID索引中的终端类型信息与预设控制策略中终端类型信息是否匹配成功；当匹配成功，经过ACG应用控制网关设备的流量命中对应的预设控制策略，ACG应用控制网关设备根据对应的预设控制策略对终端类型的客户进行控制和管理。

本申请提供的上网行为管理支持对终端类型的方法可以做到精细化管理和控制，且支持终端类型文件导入，快速更新终端类型列表。其中，由于终端类型列表以位图形式存储，可以实现策略中终端类型的快速匹配。针对不同的终端类型匹配不同的控制策略：上网行为控制、上网行为审计以及分配不同的带宽控制策略，适用多种不同应用场景。本申请提供的方法支持终端类型文件导入，实现快速更新终端类型列表，进而满足对新增终端类型的控制。

附图说明

为了更清楚地说明本申请的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的上网行为管理支持终端类型控制的方法流程示意图。

具体实施方式

下面将详细地对实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下实施例中描述的实施方式并不代表与本申请相一致的所有实施方式。仅是与权利要求书中所详述的、本申请的一些方面相一致的系统和方法的示例。

需要说明的是，本申请中对于术语的简要说明，仅是为了方便理解接下来描述的实施方式，而不是意图限定本申请的实施方式。除非另有说明，这些术语应当按照其普通和通常的含义理解。

本申请中说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”等是用于区别类似或同类的对象或实体，而不必然意味着限定特定的顺序或先后次序，除非另外注明(Unless otherwise indicated)。应该理解这样使用的用语在适当情况下可以互换，例如能够根据本申请实施例图示或描述中给出那些以外的顺序实施。

此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖但不排他的包含，例如，包含了一系列组件的产品或设备不必限于清楚地列出的那些组件，而是可包括没有清楚地列出的或对于这些产品或设备固有的其它组件。

术语“上网行为管理”是指帮助互联网用户控制和管理对互联网的使用。其包括对网页访问过滤、网络应用控制、带宽流量管理、信息收发审计、用户行为分析。

术语“DDI设备”是指DHCP/DNS/IP address management即DHCP/DNS/IP地址管理设备。

术语“ACG设备”是指Application Control Gateway即应用控制网关。

ACG作为行为管理主要是以用户为中心，展开对用户一系列上网行为的管理和控制，随着网络硬件的不断发展，越来越多的员工，客户使用自己的硬件终端去办公，这也就出现时下比较流行的BYOD(Bring Your Own Device)，那么针对BYOD的行为管理方案除了ACG自身通过报文和认证系统的识别之外，还希望通过对设备的终端类型进行管理和控制。

但是目前上网行为管理产品，对过设备的终端进行管理和控制，还停留在终端是移动端和PC端层面，并不区分具体的终端类型，无法进行精细化控制和管理。

目前上网行为管理产品，对经过设备的终端控制，还停留在终端是移动端和PC端的层面，不区分具体的终端类型，无法进行精细化控制和管理，也就无法满足BYOD使用场景。

上网行为管理产品主要依赖于对用户IP进行策略控制，但是BYOD场景的用户终端类型是不变的，IP是发生变化的，缺少灵活的控制。

基于上述原因，本申请提供一种上网行为管理支持终端类型控制的方法，来解决上述问题。

参见图1，为本申请实施例提供的上网行为管理支持终端类型控制的方法流程示意图。

本申请提供的上网行为管理支持终端类型控制的方法，包括以下步骤：

在实际应用中，ACG应用控制网关设备预先配置多种控制策略，匹配条件包含指定的终端类型信息，终端类型信息在策略中以位图的形式存储，即每一种终端类型对应唯一的ID，在策略中以位图的形式存储。预设控制策略包括多种不同种类的控制策略，包括但不限于：上网行为控制策略、审计策略和流量控制策略。

具体地，ACG应用控制网关设备根据调用SAM+提供的用户上线、下线的restful接口接收DDI地址管理设备发送的用户信息。

在实际应用中，ACG设备依赖于DDI设备获取用户信息(包括用户IP、用户终端类型等信息)，DDI设备获取用户信息后，调用SAM+提供的用户上线、下线的restful接口(http://SAM服务器地址:端口号/sam/rest/dhcp/userOnline)，以json格式上传相关信息到ACG设备。

具体地，ACG应用控制网关设备接收用户信息并根据用户IP构建用来存储用户信息的哈希链表包括：ACG应用控制网关设备收到用户上线信息后进行解析，根据用户IP构建哈希链表，存储用户信息；ACG应用控制网关设备收到用户下线信息，将根据用户IP从哈希链表中删除。

在实际应用中，ACG应用控制网关设备当接收到用户上线信息后，将该用户IP信息记录在哈希链表中，当接收到该用户下线信息后，将该用户IP信息从哈希链表中删除，以做到对每次上线的用户的终端类型进行控制和管理

具体地，ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引包括：

在实际应用中，流量经过ACG设备，根据流量源IP地址，先匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引，去和策略中配置的终端类型位图进行匹配查找。其中，预设控制策略中终端类型的信息在策略中以位图的形式存储，即每一种终端类型对应唯一的ID；其中预设控制策略包括上网行为控制策略、审计控制策略和流量控制策略，每条上网行为控制策略、审计控制策略和流量控制策略可以配置一种或者多种终端类型。

在匹配过程中根据不同种类的控制策略优先级顺序进行匹配，即先匹配优先级最高的控制策略，当匹配成功后，匹配优先级次之的控制策略，如此类推。在每次控制过程中，当优先级最高的控制策略匹配成功后，后续不再对该优先级最高的控制策略进行匹配。

具体地，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理步骤包括：

具体地，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理还包括：

下面，本申请针对上网行为控制策略、审计策略和流量控制策略进行说明。

上网行为控制策略、审计策略以及流量控制策略分别为三种不同种类的控制策略，根据优先级排序，上网行为控制策略以及流量控制策略的优先级要高于审计策略，所以在实际运行过程中需要先对上网行为控制策略以及流量控制策略进行匹配以及控制之后，才可对审计策略进行匹配和控制。由于，上网行为控制策略以及流量控制策略是相互独立的，不存在相互联系，所以在实际应用中根据不同的场景，可能只进行一种或多种控制策略，下面结合具体场景进行详细说明。

在一种可行的实施方案中，比如某个公司市场部门终端类型是Mac_OS_9和Motorola_Android，研发部门终端类型Microsoft_Windows_10，公司规定研发部门不允许访问外部网络，市场部允许访问外部网络，且市场部不使用公司内网也能访问公司内部资源。

那么针对终端类型为Microsoft_Windows_10的用户的预设控制策略包括上网行为控制策略以及流量控制策略。

针对终端类型为Mac_OS_9和Motorola_Android的用户的预设控制策略包括上网行为控制策略、审计控制策略以及流量控制策略。

需要注意的是，在本实施方案中上网行为控制策略，允许上网指的是允许访问外网，对公司内网访问没有影响(内部的局域网)，用户可以无限制的访问公司内网。

具体场景如下：当用户(张三)想要访问外网，该流量经过ACG设备，根据流量源IP地址，匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引得到用户ID(张三)与终端类型(Microsoft_Windows_10)，将上述信息与预设控制策略中配置的终端类型位图进行匹配查找。

由于用户(张三)的终端类型是Microsoft_Windows_10，则因为与上网行为控制策略匹配失败，不允许访问外部网络。

由于研发需要，用户(张三)需要浏览大量相关文献以及相关技术，所以预设控制策略中针对该种终端类型无需配置流量控制策略，不进行带宽管控。

当用户(李四)想要访问外网，该流量经过ACG设备，根据流量源IP地址，匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引得到用户ID(李四)与终端类型(Mac_OS_9)，将上述信息与预设控制策略中配置的终端类型位图进行匹配查找。

由于用户(李四)的终端类型是Mac_OS_9，与上网行为控制策略匹配成功，允许访问外部网络。

由于用户(李四)的终端类型是Mac_OS_9，与流量控制策略匹配成功，对终端类型为Mac_OS_9的用户进行较为宽松的带宽管控。

当用户(李四)允许访问外部网络之后，继续匹配，将用户(李四)的ID以及终端类型与审计控制策略的终端类型位图进行匹配。

由于用户(李四)的终端类型是Mac_OS_9，与审计控制策略匹配成功，对用户(李四)进行审计控制。

控制策略配置允许终端类型是Mac_OS_9的用户访问外部网络和公司内网，且流量控制策略对终端类型是Mac_OS_9进行较为宽松的带宽管控，但是也需要配置审计策略，以便公司对这些用户行为进行审计和溯源。

控制策略配置允许终端类型是Motorola_Android的用户可访问外部网络和公司内网，且流量控制策略对终端类型Motorola_Android进行较为宽松的带宽管控，但是也需要配置审计策略，以便公司对这些用户行为进行审计和溯源。

管理员也可以根据实际需要变更某个终端类型是否增加控制策略匹配或者开放某个控制策略权限，即可以对终端类型是Microsoft_Windows_10的研发部门临时访问外网(仅限本次，当该终端类型对应的用户下线后，就恢复原先不允许访问外网的策略)。

随着网络硬件的不断发展，越来越多的员工，员工使用自己的硬件终端去办公，这也就出现时下比较流行的BYOD(Bring Your Own Device)，那么针对BYOD的行为管理方案除了ACG自身通过报文和认证系统的识别之外，还希望通过对设备的终端类型进行管理和控制。上述技术问题在本申请提供的另一种可行的实施方案中得到解决。

在另一种可行的实施方案中，员工因为不可抗因素而居家办公，由于ACG设备的设定，不允许未被记录的终端类型访问内网，所以员工无法使用自己的设备办公，这时用户可使用公司配置的办公设备Motorola_Android进行办公，但是仍需对其进行上网行为控制和管理。

例如用户(王五)是研发人员，当用户(王五)使用Motorola_Android设备进行办公，也是需要对其进行识别、使用对应的控制策略控制以及管理。

当用户(王五)想要访问内网，该流量经过ACG设备，根据流量源IP地址，匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引得到用户ID(王五)与终端类型(Motorola_Android)，将上述信息与预设控制策略中配置的终端类型位图进行匹配查找。

由于用户(王五)的终端类型是Motorola_Android，与上网行为控制策略匹配成功，允许访问内部网络。

当用户(王五)允许访问外部网络之后，继续匹配，将用户(王五)的ID以及终端类型与审计控制策略的终端类型位图进行匹配。

由于用户(王五)的终端类型是Motorola_Android，与审计控制策略匹配成功，对用户(王五)进行审计控制。

在实际应用中，在BYOD场景中还会存在另一种情况，员工并没有将单位默认办公的终端设备带在身边，这时因为不可抗因素而居家办公，使用自己的设备会无法登陆公司内网，导致无法完成规定的任务，这时候管理员可以将该员工的终端类型信息录入预设的控制策略中，使得该员工可以居家办公，完成交代的工作。

例如用户(赵六)的终端类型是iphone ios，但是该终端类型并不是公司默认的办公设备，使用该设备将无法完成居家办公，这时用户(赵六)可以跟管理员临时申请开放权限，管理员将用户(赵六)的终端类型是iphone ios临时预先设置相应的控制策略以及权限，并附有一定的条件(比如在某段时限内访问或者允许访问部分内网中的文件)。

当用户(赵六)想要访问内网，该流量经过ACG设备，根据流量源IP地址，匹配到具体用户，根据用户结构体中的终端类型，计算出对应的ID索引得到用户ID(赵六)与终端类型(iphone ios)，将上述信息与预设控制策略中配置的终端类型位图进行匹配查找。

由于管理员临时开放权限，所以用户(赵六)终端类型的iphone ios，与上网行为控制策略匹配成功，允许访问内部网络。但是由于管理员设定访问期限，用户(赵六)终端类型的iphone ios在指定期限1月15日至1月25日可以访问公司内网，但是在1月25日之后用户(赵六)终端类型的iphone ios将无法再访问内网。

当用户(赵六)允许访问内部网络之后，继续匹配，将用户(赵六)的ID以及终端类型与审计控制策略的终端类型位图进行匹配。

由于用户(赵六)的终端类型是iphone ios，与审计控制策略匹配成功，对用户(赵六)进行审计控制。

在实际应用中，ACG设备支持终端类型文件导入，对新加入的终端类型进行控制和管理。

需要注意的是，本申请提供的上网行为管理支持对终端类型的方法并不仅仅针对上述提及的几个具体终端类型，上述实施方案只是本申请总的构思下的几个示例，并不构成本申请保护范围的限定。

本申请提供的实施例之间的相似部分相互参见即可，以上提供的具体实施方式只是本申请总的构思下的几个示例，并不构成本申请保护范围的限定。对于本领域的技术人员而言，在不付出创造性劳动的前提下依据本申请方案所扩展出的任何其他实施方式都属于本申请的保护范围。

Claims

1.一种上网行为管理支持终端类型控制的方法，其特征在于，包括以下步骤：

ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，确定具体用户，从而得到对应的终端类型，以计算出对应的ID索引；

ACG应用控制网关设备根据所述ID索引中的用户信息以及终端类型信息与预设控制策略中终端类型信息进行匹配，得到匹配结果；其中，预设控制策略包括多种不同种类的控制策略，在匹配过程中根据不同种类的控制策略优先级顺序进行匹配；预设控制策略包括上网行为控制策略、审计控制策略和流量控制策略，每条上网行为控制策略、审计控制策略和流量控制策略可以配置一种或者多种终端类型；ACG应用控制网关设备根据所述匹配结果判断所述ID索引中的终端类型信息与预设控制策略中终端类型信息是否匹配成功；

在用户ID对应的流量源IP地址与预设控制策略中的记录IP地址相同且所述ID索引中的终端类型与预设控制策略中的终端类型信息匹配成功时，经过ACG应用控制网关设备的流量命中对应的预设控制策略，ACG应用控制网关设备根据对应的预设控制策略对终端类型的客户进行控制和管理；

在用户ID对应的流量源IP地址与预设控制策略中的记录IP地址不同或所述ID索引中的终端类型与预设控制策略中的终端类型信息匹配不成功时，与上网行为控制策略进行匹配，如果匹配成功，命中上网行为控制策略，该终端类型的用户可以进行上网；如果不成功，未命中上网行为控制策略，不允许上网。

2.根据权利要求1所述的上网行为管理支持终端类型控制的方法，其特征在于，ACG应用控制网关设备根据调用SAM+提供的用户上线、下线的restful接口接收DDI地址管理设备发送的用户信息。

3.根据权利要求2所述的上网行为管理支持终端类型控制的方法，其特征在于，ACG应用控制网关设备接收用户信息并根据用户IP构建用来存储用户信息的哈希链表包括：ACG应用控制网关设备收到用户上线信息后进行解析，根据用户IP构建哈希链表，存储用户信息；ACG应用控制网关设备收到用户下线信息，将根据用户IP从哈希链表中删除。

4.根据权利要求1所述的上网行为管理支持终端类型控制的方法，其特征在于，ACG应用控制网关设备根据所述哈希链表以及经过的流量确定流量源的IP地址，得到对应的ID索引包括：

5.根据权利要求1所述的上网行为管理支持终端类型控制的方法，其特征在于，预设控制策略中终端类型的信息在策略中以位图的形式存储，即每一种终端类型对应唯一的ID。

6.根据权利要求5所述的上网行为管理支持终端类型控制的方法，其特征在于，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理还包括：

7.根据权利要求5所述的上网行为管理支持终端类型控制的方法，其特征在于，当匹配成功，流量命中对应的预设控制策略，根据对应的预设控制策略对终端类型的客户进行控制和管理步骤包括：

8.根据权利要求1所述的上网行为管理支持终端类型控制的方法，其特征在于，可通过向ACG应用控制网关设备中直接导入终端类型文件，对终端类型列表更新，以及对新增终端类型的控制和管理。