CN115589337A - 网络连接方法与系统 - Google Patents

Abstract

本申请提供一种网络连接方法与系统，该网络连接方法包括：获取用户账号，并将用户账号发送至安全策略服务器；从安全策略服务器，根据用户账号获取目标安全策略；根据目标安全策略和本地安全策略判断客户端是否满足联网要求；若客户端满足联网要求，则允许客户端联网。本申请实施例提供的网络连接方法在客户端引入应用程序，该应用程序与安全策略服务器进行交互；应用程序通过比对判断，确认终端是否符合接入网络的条件；减小客户端受到病毒或其他网络攻击的危害，能够提升客户端的网络安全。

Description

网络连接方法与系统

技术领域

本申请涉及网络连接领域，具体而言，涉及一种网络连接方法与系统。

背景技术

信息化应用给企业带来方便的同时，也延伸出非常大的安全和效率问题，用户终端容易受病毒和网络攻击、网络侵入等危害网络安全行为的影响。

目前，普遍用户都是通过安装或升级杀毒软件等方式来防御危害网络安全的行为，属于被动防御，这些方式普遍无法满足个人/企业的安全需要。

发明内容

本申请实施例的目的在于提供一种网络连接方法与系统，通过在客户端引入限制客户端网络连接，认证客户端是否满足网络连接要求的应用程序，通过应用程序安全策略自动下发并应用策略则可实现主动防御，根据安全策略要求不同，实现从服务器到客户端自动下发安全策略，从而控制客户端的安全，提高用户终端网络安全。

第一方面，本申请实施例提供种网络连接方法，方法应用于客户端的应用程序；该网络连接方法包括：接收根据用户账号确定的目标安全策略，并将用户账号发送至安全策略服务器；从安全策略服务器，根据用户账号获取目标安全策略；根据目标安全策略和本地安全策略判断客户端是否满足联网要求；若客户端满足联网要求，则允许客户端联网。

在上述实现过程中，本申请实施例提供的应用于客户端应用程序的网络连接方法，通过客户端通过用户账号向安全策略服务器获取目标安全策略，完成目标安全策略的下发后，客户端应用程序根据目标安全策略和本地安全策略对客户端是否满足联网要求进行判断；若客户端满足联网要求，则允许客户端联网，用户才能接入互联网；使用本申请实施例提供的网络连接方法，能够通过安全策略服务器主动下发的安全策略限制客户端的网络连接行为，能够提升客户端的网络安全。

可选地，在本申请实施例中，其中，目标安全策略包括若干目标子策略；本地安全策略包括若干本地安全子策略；根据目标安全策略和本地安全策略判断客户端是否满足联网要求包括：根据目标子策略在客户端查找对应的本地子策略；判断客户端是否存在与每个目标子策略对应的本地子策略；若客户端存在所有与每个目标子策略对应的本地子策略，则将每个存在的本地子策略判定为第一类子策略；判定客户端满足联网要求。

在上述实现过程中，根据目标安全策略和本地安全策略判断客户端是否满足联网要求时，主要是根据目标子策略在客户端查找是否有与目标子策略对应的本地子策略。如果所有的目标子策略都能够在客户端查找到对应的本地子策略，那么就可以直接判定客户端满足联网要求。

可选地，在本申请实施例中，根据目标安全策略和本地安全策略判断客户端是否满足联网要求还包括：根据目标子策略在客户端查找对应的本地子策略；判断客户端是否存在与每个目标子策略对应的本地子策略；若客户端不存在与目标子策略对应的本地子策略，则将该不存在的本地子策略判定为第二类子策略；根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求；第二类子策略的类型包括强制类子策略和非强制类子策略。

在上述实现过程中，根据目标子策略在客户端查找对应的本地子策略，若应该存在于客户端却未存在于客户端的本地子策略，就将该本地子策略判定为第二类子策略。进一步地，第二类子策略的类型不同会产生不同的结果，根据不同的类型去指导客户端进行联网；能够高效地对客户端是否能够联网进行判断，并给出相应的修改建议或修改要求。

可选地，在本申请实施例中，根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：判断第二类子策略的类型是否包括强制类子策略；若第二类子策略为强制类子策略，则判定客户端不满足联网要求，并根据类型为强制类子策略的第二类子策略生成修改要求。

在上述实现过程中，在存在第二类子策略的基础上判断第二类子策略的类型，如果判断第二类子策略的类型包括强制类子策略，那么直接判定客户端不满足联网要求；并且会根据该类型为强制类子策略的第二类子策略生成修改要求，指导客户端根据该修改要求进行修改直至满足联网要求，从而保证客户端的联网安全。

可选地，在本申请实施例中，若第二类子策略为均非强制类子策略，则判定客户端满足联网要求，并根据类型为非强制类子策略的第二类子策略生成修改建议。

在上述实现过程中，在存在第二类子策略的基础上判断第二类子策略的类型，如果判断第二类子策略的类型均为非强制类子策略，那么直接判定客户端满足联网要求；但会根据类型为非强制类子策略的第二类子策略生成修改建议，建议客户端进行相应的修改，以提升用户的网络安全性。

可选地，在本申请实施例中，认证子服务器用于切换认证前域和认证后域；根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：判断用户是否发起修改操作；若用户发起修改操作，则将修改要求和/或修改建议发送至认证后域；从认证前域获取目标修改内容，并根据目标修改内容修改本地安全策略；重新判断客户端是否满足联网要求。

在上述实现过程中，在本申请实施例中，当需要修改本地安全策略时，首先是用户根据提示发出修改操作，修改操作对应的修改要求和/或修改建议最初是放在安全后域中；会在认证子服务器的处理下，在认证前域获得目标修改内容；完成修改后，重新判断是否满足联网要求。使用本申请实施例提供的网络连接方法，能够使用户在安全策略服务器下发的安全策略的指导下修正自身安全策略，减少联网后被不良网络行为侵害的可能性。

第二方面，本申请实施例提供一种网络连接方法，该网络连接方法应用于安全策略服务器；安全策略服务器包括认证子服务器；方法包括：由安全策略服务器，获取用户账号；根据用户账号查询对应的目标安全策略，并将目标安全策略发送至客户端的应用程序；获取客户端联网操作结果，并由认证子服务器根据联网操作结果切换认证前域和认证后域；其中，联网操作结果包括允许客户端联网和不允许客户端联网。

在上述实现过程中，在安全策略服务器一侧，根据用户账号获取对应的目标安全策略；并将目标安全策略反馈给客户端；再根据客户端的联网操作结果判断是否需要将认证域从认证后域切换至认证前域，以实现客户端的联网，保证客户端网络环境的安全。

在一可选地实施例中，由认证子服务器根据联网操作结果切换认证前域和认证后域包括：判断联网操作结果是否为不允许客户端联网；若联网操作结果为不允许客户端联网，则当收到客户端发出的修改要求时，将修改要求对应的链接由认证后域放入认证前域，以生成目标修改内容。

在上述实现过程中，本申请实施例提供的网络连接方法通过在安全策略服务器的认证子服务器控制认证域的切换，从而确保用户在未通过认证之前无法连接网络，但又能够保证客户端能够按照提示完成各项安全策略的布置。

第三方面，本申请实施例提供一种网络连接系统，网络连接系统应用于客户端的应用程序；网络连接系统包括：信息获取模块、目标策略获取模块以及网络连接模块；信息获取模块，用于获取用户账号，并将用户账号发送至安全策略服务器；目标策略获取模块，用于从安全策略服务器，根据用户账号获取目标安全策略；网络连接模块，用于根据目标安全策略和本地安全策略判断客户端是否满足联网要求；以及网络连接模块，还用于在客户端满足联网要求时，允许客户端联网。

第四方面，本申请实施例提供一种网络连接系统，网络连接系统应用于安全策略服务器；网络连接系统包括：信息接收模块、目标策略查询模块以及认证域切换模块；信息接收模块，用于获取用户账号；目标策略查询模块，用于根据用户账号查询对应的目标安全策略，并将目标安全策略发送至客户端的应用程序；以及认证域切换模块，用于获取客户端联网操作结果，并由认证子服务器根据联网操作结果切换认证前域和认证后域；其中，联网操作结果包括允许客户端联网和不允许客户端联网。

第五方面，本申请实施例提供一种电子设备，所述电子设备包括存储器和处理器，所述存储器中存储有程序指令，所述处理器读取并运行所述程序指令时，执行上述任一实现方式中的步骤。

第六方面，本申请实施例还提供一种计算机可读存储介质，所述可读取存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述任一实现方式中的步骤。

附图说明

为了更清楚地说明本申请实施例的技术方案，下面将对本申请实施例中所需要使用的附图作简单地介绍，应当理解，以下附图仅示出了本申请的某些实施例，因此不应被看作是对范围的限定，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他相关的附图。

图1为本申请实施例提供的应用于客户端应用程序的网络连接方法的第一流程图；

图2为本申请实施例提供的客户端联网要求判断流程图；

图3为本申请实施例提供的第二类子策略包括强制类子策略时，判断客户端是否满足联网要求的流程图；

图4为本申请实施例提供的第二类子策略的类型包括强制类子策略时，判断客户端是否满足联网要求的流程图；

图5为本申请实施例提供的不存在第一类子策略且第二类子策略为强制类子策略时，判断客户端是否满足联网要求的流程图；

图6为本申请实施例提供的不存在第一类子策略且第二类子策略包括强制类子策略和非强制类子策略时，判断客户端是否满足联网要求的流程图；

图7为本申请实施例提供的应用于客户端应用程序的网络连接方法的第二流程图；

图8为本申请实施例提供的客户端与服务器之间的交互示意图；

图9为本申请实施例提供的修改所述本地安全策略的流程图；

图10为本申请实施例提供的应用于安全策略服务器的网络连接方法的流程图；

图11为本申请实施例提供的客户端网络连接系统的模块示意图；

图12为本申请实施例提供的安全策略服务器端网络连接系统的模块示意图；

图13为本申请实施例提供的电子设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行描述。例如，附图中的流程图和框图显示了根据本发明的多个实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。另外，在本发明各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

申请人在研究过程中发现，信息化应用给企业带来方便的同时，也延伸出非常大的安全和效率问题，用户终端容易受病毒和网络攻击、网络侵入等危害网络安全行为的影响。目前，普遍用户都是通过安装或升级杀毒软件等方式来防御危害网络安全的行为，但这些方式普遍无法满足个人/企业的安全需要。

基于此，本申请提供一种网络连接方法与系统，从服务器到客户端通过应用程序主动下发安全策略并应用安全策略进行主动防御，从而控制客户端的安全，提高客户端的网络安全。

请参看图1，图1为本申请实施例提供的应用于客户端应用程序的网络连接方法的第一流程图；该网路连接方法包括：

步骤S100：接收根据用户账号确定的目标安全策略，并将用户账号发送至安全策略服务器。

在上述步骤S100中，获取用户的用户账号，并将用户账号发送给安全策略服务器。需要说明的是，本申请实施例中的用户可以是单独的个体用户、公司的某个部门、子公司或公司等；可以理解的是，不同的用户群体通常对应不同的安全策略，而用户群体与安全策略的对应关系是开发人员在安全策略服务器侧进行配置。

步骤S101：从安全策略服务器，根据用户账号获取目标安全策略。

在上述步骤S101中，将用户的用户账号信息发送给安全策略服务器后，再从安全策略服务器目标安全策略；其中，目标安全策略是与用户相匹配的安全策略。安全策略的类型包括但不限于操作系统策略、杀毒软件策略、应用程序策略、浏览器策略。

示例性地，从杀毒软件策略进行举例说明，若用户是单独的个体用户，那么与单独的个体用户对应的目标安全策略可能是要求单独个体用户安装杀毒软件A或安全软件B；若用户是某公司的某个部门，那么与某公司某部门对应的目标安全策略可能是同时安装杀毒软件A和安全软件B，推荐安装监控软件C。需要说明的是以上关于杀毒软件策略与用户的对应关系只是示例性地，在实际应用中也可以存在其他的对应关系，本申请实施例上述对应关系的描述不能成为本申请实施例目标安全策略与用户的对应关系的限制。

步骤S102：根据目标安全策略和本地安全策略判断客户端是否满足联网要求。

在上述步骤S102中，客户端的应用程序从安全策略服务器获取到与用户对应的目标安全策略后，应用程序在客户端根据目标安全策略和本地安全策略进行判断，最终确认客户端是否满足联网要求。

需要说明的是，本申请实施例中的本地安全策略可以是本地关于操作系统策略、杀毒软件策略、应用程序策略、浏览器策略具体情况；例如本地安装了哪些杀毒软件，本地安装的杀毒软件是否与目标安全策略相符。

步骤S103：若客户端满足联网要求，则允许客户端联网。

在上述步骤S103中，若应用程序判断客户端满足联网要求，那么就允许客户端联网，用户才能接入互联网。

通过图1可知，本申请实施例提供的应用于客户端应用程序的网络连接方法，通过客户端通过用户账号向安全策略服务器获取目标安全策略，完成目标安全策略的下发后，客户端应用程序根据目标安全策略和本地安全策略对客户端是否满足联网要求进行判断；若客户端满足联网要求，则允许客户端联网，用户才能接入互联网；使用本申请实施例提供的网络连接方法，能够通过安全策略服务器主动下发的安全策略限制客户端的网络连接行为，能够提升客户端的网络安全。

请参看图2，图2为本申请实施例提供的客户端联网要求判断流程图；在本申请实施例中，目标安全策略包括若干目标子策略；本地安全策略包括若干本地安全子策略；示例性地，若目标安全策略为杀毒软件策略，目标安全策略A包括必须安装安全软件B、必须安装安全软件C、建议安装监控软件D；其中，必须安装安全软件B、必须安装安全软件C、建议安装监控软件D就是三个不同的目标子策略。

根据目标安全策略和本地安全策略判断客户端是否满足联网要求包括：

步骤S200：根据目标子策略在客户端查找对应的本地子策略。

在上述步骤S200中，客户端应用程序获取到相应的目标安全策略后，根据目标安全策略的目标子策略去判断本地是否有对应的本地子策略；可以理解的是，本申请实施例中提供的一个目标安全策略可包括若干个目标子策略。本领域技术人员可以将每个目标子策略作为对照依据，对照本地端是否包括对应的本地子策略。

需要说明的是，在本申请实施例中，可以将不同用户的客户端具有若干本地子安全策略的组合看做不同的本地安全策略。

步骤S201：判断客户端是否存在与每个目标子策略对应的本地子策略。

步骤S202：若客户端存在所有与每个目标子策略对应的本地子策略，则将每个存在的本地子策略判定为第一类子策略。

在上述步骤S201-步骤S202中，分别判断每个客户端是否存在与目标子策略对应的本地子策略。若应用程序在客户端找到了所有与目标子策略对应的本地子策略，就将每个与目标子策略对应的本地子策略判定为第一类子策略。

也就是说，在本申请实施例提供的网络连接方法中将能够在客户端找到的与目标子策略对应的本地子策略判定为第一类子策略。

步骤S203：判定客户端满足联网要求。

在上述步骤S203中，在客户端找到所有与目标子策略对应的本地子策略，并将其判定为第一类子策略后；进一步地，判断第一类子策略的类型，并判断客户端满足联网要求。

需要说明的是，在本申请实施例提供的网络连接方法中的所有子策略都可以分为强制类子策略和非强制类子策略；其原因在于，由安全策略服务器下发的所有安全策略中的子安全策略都分为强制项和非强制项；其中，强制项是要求用户必须具备的条件；非强制项是推荐用户具备的条件；示例性地，目标安全策略A中包括目标子策略B（安装安全软件B）、目标子策略C（安装安全软件C）、目标子策略D（推荐安装监控软件D）；其中，安全子策略B和目标子策略C是强制项，若应用程序判断用户不包括目标子策略B和目标子策略C将会直接不允许用户联网；目标子策略D是非强制项，若应用程序为检测到用户安装监控软件D，并不会直接不允许用户联网，而是会将信息推荐给用户，推荐用户安装该监控软件。

通过图2可知，根据目标安全策略和本地安全策略判断客户端是否满足联网要求时，主要是根据目标子策略在客户端查找是否有与目标子策略对应的本地子策略。如果所有的目标子策略都能够在客户端查找到对应的本地子策略，那么就可以直接判定客户端满足联网要求。

请参看图3，图3为本申请实施例提供的第二类子策略包括强制类子策略时，判断客户端是否满足联网要求的流程图；根据目标安全策略和本地安全策略判断客户端是否满足联网要求包括：

步骤S300：根据目标子策略在客户端查找对应的本地子策略。

步骤S301：判断客户端是否存在与每个目标子策略对应的本地子策略。

在上述步骤S300-步骤S301中，根据目标子策略在客户端查找对应的本地子策略，并判断客户端是否存在与每个目标子策略对应的本地子策略。

步骤S302：若客户端不存在与目标子策略对应的本地子策略，则将该不存在的本地子策略判定为第二类子策略。

在上述步骤S302中，如果客户端不存在与目标子策略对应的本地子策略，那么将客户端不存在与目标子策略对应的本地子策略判定为第二类子策略。

也就是说，在本申请实施例中，应用程序没有在客户端找到的与目标子策略对应的本地子策略为第二类子策略。

步骤S303：根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求。

在上述步骤S303中，在确定子策略中包括第二类子策略（即客户端本应该存在却不存在的本地子策略），那么根据第二类子策略的类型判断客户端是否满足联网要求，在存在第二类子策略的情况下，客户端的应用程序均会生成对应的修改建议和/或修改要求。

通过图3可知，根据目标子策略在客户端查找对应的本地子策略，若应该存在于客户端却未存在于客户端的本地子策略，就将该本地子策略判定为第二类子策略。进一步地，第二类子策略的类型不同会产生不同的结果，根据不同的类型去指导客户端进行联网；能够高效地对客户端是否能够联网进行判断，并给出相应的修改建议或修改要求。

请参看图4，图4为本申请实施例提供的第二类子策略的类型包括强制类子策略时，判断客户端是否满足联网要求的流程图；根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：

步骤S400：判断第二类子策略的类型是否包括强制类子策略。

步骤S401：若第二类子策略包括强制类子策略，则判定客户端不满足联网要求，并根据类型为强制类子策略的第二类子策略生成修改要求。

在上述步骤S400-步骤S401中，如果判段第二类子策略的类型包括强制类的，那么应用程序将根据这个强制类的子策略生成对应的修改要求；同时，判定客户端不满足联网要求，客户端不能实现网络连接。

通过图4可知，在存在第二类子策略的基础上判断第二类子策略的类型，如果判断第二类子策略的类型包括强制类子策略，那么直接判定客户端不满足联网要求；并且会根据该类型为强制类子策略的第二类子策略生成修改要求，指导客户端根据该修改要求进行修改直至满足联网要求，从而保证客户端的联网安全。

以下给出两种与上述实施例（图4）对应的可能的实施方式，请结合参看图5和图6；图5为本申请实施例提供的不存在第一类子策略且第二类子策略为强制类子策略时，判断客户端是否满足联网要求的流程图；图6为本申请实施例提供的不存在第一类子策略且第二类子策略包括强制类子策略和非强制类子策略时，判断客户端是否满足联网要求的流程图。

请参看图5，当客户端不存在第一类子策略且第二类子策略为强制类子策略时，判断客户端是否满足联网要求包括：

步骤S500：若客户端不存在与目标子策略对应的本地子策略，则将客户端不存在与目标子策略对应的本地子策略判定为第二类子策略。

在上述步骤S500中，如果客户端不存在与目标子策略对应的本地子策略，那么将客户端不存在与目标子策略对应的本地子策略判定为第二类子策略。

步骤S501：判断第二类子策略的类型。

步骤S502：若第二类子策略为强制类子策略，则生成修改要求，并判定客户端不满足联网要求。

在上述步骤S501-步骤S502中，在已经认定不存在第一类子策略的情况下，判定第二类子策略的类型是强制类的，那么应用程序将根据这个强制类的子策略生成对应的修改要求；同时，判定客户端不满足联网要求，客户端不能实现网络连接。通过图5可知，如果客户端不存在与目标子策略对应的本地子策略，那么将客户端不存在的本地子策略判定为第二类子策略；进行一步地，若第二类子策略是强制类的，那么可以直接判定客户端不满足联网要求，并且生成修改要求。也就是说，本申请实施例提供的网络连接方法给出了一种直接判定客户端不满足联网要求的方法，能够高效地对客户端是否能够联网进行判断，并给出相应的建议。

请参看图6，当客户端不存在第一类子策略且第二类子策略包括强制类子策略和非强制类子策略时，判断客户端是否满足联网要求包括：

步骤S600：若第二类子策略为非强制类子策略，则判断是否存在类型为强制类子策略的第二类子策略。

在上述步骤S600中，如果判断第二类子策略为非强制类子策略，那么需要进一步判断是否存在其他类型为强制类子策略的第二类子策。

步骤S601：若存在类型为强制类子策略的第二类子策略，则生成修改要求和修改建议，并判定客户端不满足联网要求。

在上述步骤S601中，如果存在类型为强制类子策略的第二类子策略，那么就根据强制类子策略和非强制类子策略生成修改要求和修改建议，并判定客户端不满足联网要求。

也就是说，这种情况可以总结为：安全策略服务器下发的安全策略中的目标子策略均不能在客户端找到，但这些不能找到的第二类子策略一部分为非强制类型的，另一部分为强制类型的，那么判定客户端不满足联网要求。

步骤S602：若不存在类型为强制类子策略的第二类子策略，则生成修改建议，并判定客户端满足联网要求。

在上述步骤S602中，如果不存在类型为强制类子策略的第二类子策略，那么就根据非强制类子策略生成修改建议，并判定客户端满足联网要求。

也就是说，这种情况可以总结为：安全策略服务器下发的安全策略中的目标子策略均不能在客户端找到，但这些不能找到的第二类子策略全部为非强制类型的，即，安全策略服务器下发的安全策略中的各个子策略均为非强制性的；因此，在这种情况下可以判定客户端满足联网要求，但也会给出相应的修改建议。

通过图6可知，当第二类子策略为非强制类子策略时，进一步判断是否还存在其他的类型为强制类子策略的第二类子策略；若存在，则判断客户端不满足联网要求；若不存在，则判断客户端满足联网要求；但都会给出相应的建议，能够准确地在客户端不存在与目标子策略对应的本地子策略的情况下，判断用户是否满足联网要求。

在一可选地实施例中，若第二类子策略的类型仅有非强制类子策略时，则判定客户端满足联网要求，并根据类型为非强制类子策略的第二类子策略生成修改建议。

由此可知，在存在第二类子策略的基础上判断第二类子策略的类型，如果判断第二类子策略的类型均为非强制类子策略，那么直接判定客户端满足联网要求；但会根据类型为非强制类子策略的第二类子策略生成修改建议，建议客户端进行相应的修改，以提升用户的网络安全性。

接下来举出一个本申请提供的网络连接方法的实施例，应用于客户端的应用程序，在本实施例中将该应用程序命名为终端助手，终端助手可以实现与安全策略服务器进行交互，以及判断客户端是否能够联网。

在一可选地实施例中，网络安全服务器中首先配置有关于用户与策略的对应关系；同样地，一条或多条子策略组成网络安全策略；而每一条子策略都可以定性为强制类子策略和非强制类子策略。

在判断客户端是否满足联网要求时，存在以下情况：满足网络安全策略中任意一个子策略即满足联网要求；满足网络安全策略中所有子策略即满足联网要求；满足所有强制类子策略即满足联网要求。

需要说明的是，安全策略按类型可以分为：操作系统策略、杀毒软件策略、应用程序策略、浏览器策略。细化到检查项类型又分为注册表、进程、服务，通过服务端管控工具统一配置。下面将每种策略对应的检查项进行举例说明。

（1）应用程序策略：①终端安全助手：检查类型：进程，进程名称：“TerminalStandardzation.Client.WinForm.Start”。

（2）操作系统策略：

①Windows 7：检查类型：注册表，注册表路径：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion”，注册表键值：“CurrentVersion：6.1”；

②Windows 8.1：检查类型：注册表，注册表路径：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion”，注册表键值：“CurrentVersion：6.3”；

③Windows Vista：检查类型：注册表，注册表路径：“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion” ，注册表键值：“CurrentVersion：6.0”。

（3）杀毒软件策略：

①杀毒软件A：检查类型：服务，服务名称：anti-virus software A；

②安全软件B：配置为杀毒软件策略，检查项为进程，通过进程名称“anti-virussoftware B”来识别。

（4）浏览器策略：①浏览器A；②浏览器B；③浏览器C。

终端助手从安全策略服务器中获取到安全策略后，可以按照上述项目进行检查核对，从而实现对客户端是否满足联网要求进行判断。

请结合参看图7，图7为本申请实施例提供的应用于客户端应用程序的网络连接方法的第二流程图；

步骤S700：终端助手根据用户账号从安全策略服务器中获取对应的安全策略。

在上述步骤S700中，用户登录终端助手时，通过验证当前账号密码确认身份后，再根据账号在安全策略服务器中查询到对应的安全策略，然后将查询到的安全策略返回给终端助手。

需要说明的是，用户每次登录终端助手，在确认账号密码输入正确后会根据账号实时的拉取当前账号所有关联策略信息；再用策略进行检查，所以每次登录认证时策略均为实时策略。若不登录，终端助手会根据上一次登录的账号定期（数分钟）从服务器拉取该账号关联策略，或者助手右上角的刷新按钮主动拉取刷新。本领域技术人员可以理解的是，所有拉取策略的动作需要传递账号和当前版本号到安全策略服务器，安全策略服务器策略拉取主要通过账号关联，也可以设置版本号限制，仅对某版本号以上的支持。

步骤S701：通过安全积分得出客户端的安全分数。

在上述步骤S701中，通过安全积分得出客户端的安全分数；需要说明的是，安全分数的得到主要依赖上述的几种情况（满足网络安全策略中任意一个子策略即满足联网要求；满足网络安全策略中所有子策略即满足联网要求；满足所有强制类子策略即满足联网要求），积分的规则与上述几种是否满足联网要求相关，可以将其理解为本申请实施例的一种变形的实施方式。

示例性地，终端助手通过检查策略进行打分，将满分设置为100分，安全策略服务器端配置策略分为强制子策略（必查项）和非强制子策略（非必查项）；客户端拉取到策略以后进行检查；若不通过，强制子策略若未通过则直接扣除至不及格的分数，例如扣50分，非强制子策略未通过则扣除合理的分数，例如扣5分；全部检查完成后助手展示最终打分结果。需要说明的是，本申请实施例中是设置的强制子策略和非强制类子策略分别对应不同的分数，但具体的设置分数不是必须不变的，本申请实施例提供的具体分数不能够成为本申请实施例打分制的限制。

本领域技术人员可以理解的是，示例性地，可设置满分100分，60分为及格，通过与不通过判定以是否达到60分为判定；因强制子策略一条即扣50分钟，直接低于60分；非强制子策略一条只扣5分，数量不够多情况下不会引起结果差异；在服务器端进行安全策略配置时。

步骤S702：终端助手得分通过设定值（例如，60分）则允许登录，不通过则提醒用户根据安全策略要求进行操作。

在上述步骤S702中，终端助手最终得分超过设定值，则判断用户满足联网要求，允许登录。若不通过，终端助手则会提示用户根据安全策略要求进行操作。需要说明的是，其中，策略不通过时，通常要求用户自行处理，对于一些通过软件安装即可处理的策略，可以配置下载地址，用户点击即可下载对应软件。

但当用户不满足联网要求时，客户端实质上是没有进行联网的；下面分别介绍当客户端满足联网要求时，终端助手如何控制客户端进行联网；以及当客户端不满足联网要求时，终端助手如何控制客户端能够下载对应的软件。

当客户端满足联网要求时，终端助手如何控制客户端进行联网。

示例性地，请结合参看图8，图8为本申请实施例提供的客户端与服务器之间的交互示意图；在图8中，portal服务器，主要是定时监测客户端是否在一段时间内保持在线；若检测到客户端离线或长时间离线，则在该客户端重新上线时，需要重新进行认证。接入设备，在不管控客户端网络的情况下是不包括此接入设备的；接入设备的主要作用是将想要通过认证方式接入网络的设备进行隔离，可以将它们在认证前域和认证后域之间进行切换。认证计费服务器，执行以及保证执行认证域切换操作。安全策略服务器，保存不同客户对应的不同安全策略，以及向客户端下发不同的安全策略。

在图8中，（1）终端助手提供用户输入用户名和密码来进行认证。助手将加密后登录信息发给portal服务器；（2）Portal服务器与接入设备之间进行CHAP（ChallengeHandshake Authentication Protocol，质询握手验证协议）认证交互；（3）Portal服务器将用户输入的用户名和密码组装成认证请求报文发往接入设备，同时开启定时器等待认证应答报文；（4）接入设备与RADIUS服务器之间进行RADIUS协议报文的交互；（5）接入设备向Portal服务器发送认证应答报文；（6）Portal服务器向客户端发送认证通过报文，通知客户端认证（上线）成功；（7）Portal服务器向接入设备发送认证应答确认；（8）客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测接入终端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。（9）授权登录。

在一可选地实施例中，当客户端不满足联网要求时，终端助手如何控制客户端能够下载对应的软件。安全策略服务器包括认证子服务器；若客户端不满足联网要求，则提示用户根据修改要求通过认证子服务器，修改本地安全策略至满足联网要求。

示例性地，认证设备将网络划分为两类，一类地址为认证前域，即接上网线或者wifi跟交换机发生连通后即可访问的地址；另一类叫认证后域，即需要登录通过认证后才可访问的地址；对于强制类子策略，若需要提供下载地址下载工具处理的，通常将工具下载地址放在认证前域服务器，未通过认证时用户仍然可以点击下载按钮弹出下载对应软件。

由此可知，当用户不满足联网要求时，客户端应用程序就会提示用户根据修改要求通过认证子服务器修改本地安全策略至满足联网要求；从而实现了通过安全策略服务器主动下发安全策略，并控制客户端的安全策略至满足联网要求，通过这种终端证书安全策略自动下发的方式，不允许非法登录，能够有效保障客户端的安全。

请参看图9，图9为本申请实施例提供的修改本地安全策略的流程图；本申请实施例中的认证子服务器用于切换认证前域和认证后域；根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：

步骤S900：判断用户是否发起修改操作。

步骤S901：若用户发起修改操作，则将修改要求发送至认证后域。

在上述步骤S900-步骤S900中，用户发起修改操作后，修改操作对应的修改要求和/或修改建议会对应发送给认证子服务器中的认证后域。

步骤S902：从认证前域获取目标修改内容，并根据目标修改内容修改本地安全策略。

步骤S903：重新判断客户端是否满足联网要求。

在上述步骤S902-步骤S903中，当认证子服务器完成对该修改要求和/或修改建议的处理后，在认证前域会生成目标修改内容；客户端获取该目标修改内容，并根据该修改内容修改本地安全策略。本地安全策略修改完成后，重新判断客户端是否满足联网要求。

通过图9可知，在本申请实施例中，当需要修改本地安全策略时，首先是用户根据提示发出修改操作，修改操作对应的修改要求和/或修改建议最初是放在安全后域中；会在认证子服务器的处理下，在认证前域获得目标修改内容；完成修改后，重新判断是否满足联网要求。使用本申请实施例提供的网络连接方法，能够使用户在安全策略服务器下发的安全策略的指导下修正自身安全策略，减少联网后被不良网络行为侵害的可能性。

请参看图10，图10为本申请实施例提供的应用于安全策略服务器的网络连接方法的流程图；该安全策略服务器包括认证子服务器，该网络连接方法包括：

步骤S1010：由安全策略服务器，获取用户账号。

步骤S1020：根据用户账号查询对应的目标安全策略，并将目标安全策略发送至客户端的应用程序。

在上述步骤S1010-S1020中，安全策略服务器获取账号，根据获取到的账号信息，查找与用户对应的目标安全策略，并将目标安全策略发送至客户端的应用程序。

步骤S1030：获取客户端联网操作结果，并由认证子服务器根据联网操作结果切换认证前域和认证后域。

在上述步骤S1030中，安全策略服务器获取客户端联网操作结果，该联网操作结果包括客户端满足联网要求和客户端不满足联网要求。若结果是允许客户端联网，那么就由认证子服务器将认证域从认证后域切换为认证前域，由此完成客户端的联网操作。

通过图10可知，在安全策略服务器一侧，根据用户账号获取对应的目标安全策略；并将目标安全策略反馈给客户端；再根据客户端的联网操作结果判断是否需要将认证域从认证后域切换至认证前域，以实现客户端的联网，保证客户端网络环境的安全。

在一可选地实施例中，由认证子服务器根据联网操作结果切换认证前域和认证后域包括：判断联网操作结果是否为不允许客户端联网。若联网操作结果为不允许客户端联网，则当收到客户端发出的修改要求时，将修改要求对应的链接由认证后域放入认证前域，以生成目标修改内容。

需要说明的是，若客户端不满足联网要求的原因是客户端未安装或升级杀毒软件A，那么就会提示并指导客户端进行安装或升级杀毒软件A；需要安装必然需要连接网络，此时，本申请实施例提供的网络连接方法是在服务器端将安装或升级杀毒软件A的链接从认证后域放到认证前域，从而实现杀毒软件A的升级会下载。

由此可知，本申请实施例提供的网络连接方法通过在安全策略服务器的认证子服务器控制认证域的切换，从而确保用户在未通过认证之前无法连接网络，但由能够保证客户端能够按照提示完成各项安全策略的布置。

请参看图11，图11为本申请实施例提供的客户端网络连接系统的模块示意图；该网络连接系统100包括：信息获取模块110、目标策略获取模块120以及网络连接模块130。

信息获取模块110，用于接收根据用户账号确定的目标安全策略，并将用户账号发送至安全策略服务器。

目标策略获取模块120，用于从安全策略服务器，根据用户账号获取目标安全策略。

网络连接模块130，用于根据目标安全策略和本地安全策略判断客户端是否满足联网要求；以及网络连接模块130，还用于在客户端满足联网要求时，允许客户端联网。

在一可选地实施例中，目标安全策略包括若干目标子策略；本地安全策略包括若干本地安全子策略；网络连接模块130根据目标安全策略和本地安全策略判断客户端是否满足联网要求包括：网络连接模块130根据目标子策略在客户端查找对应的本地子策略；判断客户端是否存在与每个目标子策略对应的本地子策略；若客户端存在所有与每个目标子策略对应的本地子策略，网络连接模块130将每个存在的本地子策略判定为第一类子策略；判定客户端满足联网要求。在一可选地实施例中，网络连接模块130根据目标安全策略和本地安全策略判断客户端是否满足联网要求还包括：网络连接模块130根据目标子策略在客户端查找对应的本地子策略；判断客户端是否存在与每个目标子策略对应的本地子策略；若客户端不存在与目标子策略对应的本地子策略，网络连接模块130将该不存在的本地子策略判定为第二类子策略；根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求。

在一可选地实施例中，网络连接模块130根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：判断第二类子策略的类型是否包括强制类子策略；若第二类子策略为强制类子策略，网络连接模块130判定客户端不满足联网要求，并根据类型为强制类子策略的第二类子策略生成修改要求。

在一可选地实施例中，若第二类子策略为均非强制类子策略，网络连接模块130判定客户端满足联网要求，并根据类型为非强制类子策略的第二类子策略生成修改建议。

在一可选地实施例中，认证子服务器用于切换认证前域和认证后域。网络连接模块130根据第二类子策略的类型判断客户端是否满足联网要求，并生成修改建议和/或修改要求包括：网络连接模块130判断用户是否发起修改操作；若用户发起修改操作，则将修改要求和/或修改建议发送至认证后域。网络连接模块130从认证前域获取目标修改内容，并根据目标修改内容修改本地安全策略；网络连接模块130重新判断客户端是否满足联网要求。

请参看图12，图12为本申请实施例提供的安全策略服务器端网络连接系统的模块示意图；网络连接系统200包括：信息接收模块210、目标策略查询模块220以及认证域切换模块230。

信息接收模块210，用于获取用户账号。

目标策略查询模块220，用于根据用户账号查询对应的目标安全策略，并将目标安全策略发送至客户端的应用程序。

认证域切换模块230，用于获取客户端联网操作结果，并由认证子服务器根据联网操作结果切换认证前域和认证后域；其中，联网操作结果包括允许客户端联网和不允许客户端联网。

在一可选地实施例中，认证域切换模块230由认证子服务器根据联网操作结果切换认证前域和认证后域包括：认证域切换模块230判断联网操作结果是否为不允许客户端联网；若联网操作结果为不允许客户端联网，则当收到客户端发出的修改要求时，将修改要求对应的链接由认证后域放入认证前域，以生成目标修改内容。

请参看图13，图13为本申请实施例提供的电子设备的结构示意图。本申请实施例提供的一种电子设备300，包括：处理器301和存储器302，存储器302存储有处理器301可执行的机器可读指令，机器可读指令被处理器301执行时执行如上的方法。

基于同一发明构思，本申请实施例还提供一种计算机可读存储介质，所述计算机可读存储介质中存储有计算机程序指令，所述计算机程序指令被一处理器读取并运行时，执行上述任一实现方式中的步骤。

所述计算机可读存储介质可以是随机存取存储器（Random Access Memory，RAM），只读存储器（Read Only Memory，ROM），可编程只读存储器（Programmable Read-OnlyMemory，PROM），可擦除只读存储器（Erasable Programmable Read-Only Memory，EPROM），电可擦除只读存储器（Electric Erasable Programmable Read-Only Memory，EEPROM）等各种可以存储程序代码的介质。其中，存储介质用于存储程序，所述处理器在接收到执行指令后，执行所述程序，本发明实施例任一实施例揭示的过程定义的电子终端所执行的方法可以应用于处理器中，或者由处理器实现。

在本申请所提供的实施例中，应该理解到，所揭露装置和方法，可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，又例如，多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些通信接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

另外，作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

再者，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

可以替换的，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本发明实施例所述的流程或功能。

所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线（例如同轴电缆、光纤、数字用户线（DSL））或无线（例如红外、无线、微波等）方式向另一个网站站点、计算机、服务器或数据中心进行传输。

在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请的保护范围，对于本领域的技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本申请的保护范围之内。

Claims (10)

1.一种网络连接方法，其特征在于，所述方法应用于客户端的应用程序；所述方法包括：

获取用户账号，并将所述用户账号发送至安全策略服务器；

从所述安全策略服务器接收根据所述用户账号确定的目标安全策略；

根据所述目标安全策略和本地安全策略判断所述客户端是否满足联网要求；

若所述客户端满足联网要求，则允许所述客户端联网。

2.根据权利要求1所述的方法，其特征在于，其中，所述目标安全策略包括若干目标子策略；所述本地安全策略包括若干本地安全子策略；

所述根据所述目标安全策略和本地安全策略判断所述客户端是否满足联网要求，包括：

根据所述目标子策略在所述客户端查找对应的本地子策略；

判断所述客户端是否存在与每个所述目标子策略对应的本地子策略；

若客户端存在所有与所述每个所述目标子策略对应的本地子策略，则将每个存在的所述本地子策略判定为第一类子策略；

判定所述客户端满足联网要求。

3.根据权利要求1所述的方法，其特征在于，所述根据所述目标安全策略和本地安全策略判断所述客户端是否满足联网要求，包括：

根据所述目标子策略在所述客户端查找对应的本地子策略；

判断所述客户端是否存在与每个所述目标子策略对应的本地子策略；若所述客户端不存在与所述目标子策略对应的本地子策略，则将该不存在的所述本地子策略判定为第二类子策略；

根据所述第二类子策略的类型判断所述客户端是否满足联网要求，并生成修改建议和/或修改要求；其中，所述第二类子策略的类型包括强制类子策略和非强制类子策略。

4.根据权利要求3所述的方法，其特征在于，所述根据所述第二类子策略的类型判断所述客户端是否满足联网要求，并生成修改建议和/或修改要求，包括：

识别所述第二类子策略的类型；

若所述第二类子策略包括强制类子策略，则判定所述客户端不满足联网要求，并根据类型为所述强制类子策略的所述第二类子策略生成修改要求。

5.根据权利要求4所述的方法，其特征在于，所述根据所述第二类子策略的类型判断所述客户端是否满足联网要求，并生成修改建议和/或修改要求，还包括：

若所述第二类子策略为均非强制类子策略，则判定所述客户端满足联网要求，并根据类型为所述非强制类子策略的所述第二类子策略生成修改建议。

6.根据权利要求3所述的方法，其特征在于，其中，所述安全策略服务器还包括用于切换认证前域和认证后域的认证子服务器；

所述根据所述第二类子策略的类型判断所述客户端是否满足联网要求，并生成修改建议和/或修改要求，包括：

判断用户是否发起修改操作；

若用户发起所述修改操作，则将所述修改建议和/或修改要求发送至所述认证后域；

从所述认证前域获取目标修改内容，并根据所述目标修改内容修改所述本地安全策略；

重新判断所述客户端是否满足联网要求。

7.一种网络连接方法，其特征在于，所述方法应用于安全策略服务器；所述安全策略服务器包括认证子服务器；所述方法包括：

由所述安全策略服务器，获取用户账号；

根据所述用户账号查询对应的目标安全策略，并将所述目标安全策略发送至客户端的应用程序；

获取所述客户端联网操作结果，并由所述认证子服务器根据所述联网操作结果切换认证前域和认证后域；其中，所述联网操作结果包括允许所述客户端联网和不允许所述客户端联网。

8.根据权利要求7所述的方法，其特征在于，由所述认证子服务器根据所述联网操作结果切换认证前域和认证后域，包括：

判断所述联网操作结果是否为所述不允许所述客户端联网；

若所述联网操作结果为不允许所述客户端联网，则当收到所述客户端发出的修改要求时，将所述修改要求对应的链接由所述认证后域放入所述认证前域，以生成目标修改内容。

9.一种网络连接系统，其特征在于，所述网络连接系统应用于客户端的应用程序；所述网络连接系统包括：信息获取模块、目标策略获取模块以及网络连接模块；

所述信息获取模块，用于获取用户账号，并将所述用户账号发送至安全策略服务器；

所述目标策略获取模块，用于从所述安全策略服务器，根据所述用户账号获取目标安全策略；

所述网络连接模块，用于根据所述目标安全策略和本地安全策略判断所述客户端是否满足联网要求；以及

所述网络连接模块，还用于在所述客户端满足联网要求时，允许所述客户端联网。

10.一种网络连接系统，其特征在于，所述网络连接系统应用于安全策略服务器；所述网络连接系统包括：信息接收模块、目标策略查询模块以及认证域切换模块；

所述信息接收模块，用于接收根据用户账号确定的目标安全策略；

所述目标策略查询模块，用于根据所述用户账号查询对应的目标安全策略，并将所述目标安全策略发送至客户端的应用程序；以及

所述认证域切换模块，用于获取所述客户端联网操作结果，并由所述认证子服务器根据所述联网操作结果切换认证前域和认证后域；其中，所述联网操作结果包括允许所述客户端联网和不允许所述客户端联网。

Images