CN117201153A - 跨设备的访问控制方法及装置 - Google Patents

Abstract

本说明书提供一种跨设备的访问控制方法及装置，涉及通信技术领域。一种跨设备的访问控制方法，包括：与对端BRAS建立BGP连接；若接收到主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配IP地址；生成与分配的IP地址相对应的UNR，基于用户组信息生效部署的QoS策略；向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使对端BRAS记录UNR和用户组信息，并基于用户组信息生效自身部署的QoS策略，其中，用户组信息携带在第一BGP路由报文的扩展团体属性中。通过上述方法，能够提升网络设备的资源利用率。

Description

跨设备的访问控制方法及装置

技术领域

本说明书涉及通信技术领域，尤其涉及一种跨设备的访问控制方法及装置。

背景技术

随着网络技术的发展，用户对于网络安全和管理的要求也逐渐提升，用户对不同网络区域之间相互访问进行精细化控制的需求也逐渐增加。在网络分区的场景下，每一个区域中设置有BRAS(宽带远程接入服务器，Broadband Remote Access Server)对本区域的用户设备进行管理。

在多个网络区域中，同一个用户会被配置有不同的IP(互联网协议，InternetProtocol)地址。在部署QoS(服务质量，Quality of Service)策略时，需要在不同的网络区域中创建基于IP地址的ACL(访问控制列表，Access Control List)规则实现，需要创建的ACL数量与需要进行控制的源IP地址以及目的IP地址的相关。在需要进行控制的源IP地址和目的IP地址不断增加的情况下，ACL数量会呈现爆炸式的增长，增加了BRAS中的资源占用，降低了网络设备的资源利用率。

发明内容

为克服相关技术中存在的问题，本说明书提供了一种跨设备的访问控制方法及装置。

根据本说明书实施例的第一方面，提供了一种跨设备的访问控制方法，包括：

与对端宽带远程接入服务器BRAS建立边界网关协议BGP连接；

若确定主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配互联网协议IP地址；

生成与分配的IP地址相对应的用户网络路由UNR，基于用户组信息生效部署的服务质量QoS策略；

向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使对端BRAS记录UNR和用户组信息，并基于用户组信息生效自身部署的QoS策略，其中，用户组信息携带在第一BGP路由报文的扩展团体属性中。

可选的，该方法，还包括：

接收对端BRAS所发送的、接入对端BRAS的主机的UNR第二BGP路由报文，其中，第二BGP路由报文的扩展团体属性中携带有用户组信息。

可选的，BGP包含内部边界网关协议IBGP和/或外部边界网关协议EBGP。

可选的，QoS策略中包含源用户组信息和目的用户组信息。

根据本说明书实施例的第二方面，提供了一种跨设备的访问控制装置，包括：

连接单元，用于与对端BRAS建立BGP连接；

认证单元，用于若确定主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配IP地址；

生效单元，用于生成与分配的IP地址相对应的UNR，基于用户组信息生效部署的QoS策略；

路由单元，用于向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使对端BRAS记录UNR和用户组信息，并基于用户组信息生效自身部署的QoS策略，其中，用户组信息携带在第一BGP路由报文的扩展团体属性中。

可选的，该装置，还包括：

接收单元，用于接收对端BRAS所发送的、接入对端BRAS的主机的UNR的第二BGP路由报文，其中，第二BGP路由报文的扩展团体属性中携带有用户组信息。

可选的，BGP包含IBGP和/或EBGP。

可选的，QoS策略中包含源用户组信息和目的用户组信息。

根据本说明书实施例的第三方面，提供了一种网络设备，包括收发器、处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的机器可执行指令，处理器被机器可执行指令促使：实现上述任一项的方法步骤。

根据本说明书实施例的第四方面，提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，机器可执行指令促使处理器：实现上述任一项的方法步骤。

本说明书的实施例提供的技术方案可以包括以下有益效果：

本说明书实施例中，在主机通过认证后，获取下发的用户组信息，通过BRAS之间所建立的BGP连接向对端通告主机的UNR和用户组信息，通过用户组信息生效在BRAS中所部署的QoS策略，从而避免通过IP地址生效QoS策略时，需要通过大量的ACL进行流量分类，降低了BRAS中的资源占用，提升了网络设备的资源利用率。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书一起用于解释本说明书的原理。

图1是本申请所涉及的一种跨设备的访问控制方法的流程图；

图2是本申请一实施方式所涉及的一种跨设备的访问控制方法所适用的组网结构图；

图3是本申请一实施方式所涉及的一种跨设备的访问控制方法所适用的组网结构图；

图4是本申请一实施方式所涉及的一种跨设备的访问控制方法所适用的组网结构图；

图5是本申请所涉及的一种跨设备的访问控制装置的结构示意图；

图6是本申请所涉及的一种网络设备的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本说明书的一些方面相一致的装置和方法的例子。

在本说明书使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书。在本说明书和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请提供了一种跨设备的访问控制方法，如图1所示，包括：

S100、与对端BRAS建立BGP连接。

在如图2所示的组网中，包含有至少两台BRAS，两台BRAS之间建立有BGP连接，一台为本端BRAS，另一台作为对端BRAS，本端和对端是相对概念，并不作为限制。具体而言，BRAS之间的连接可以是直接连接，也可以是通过一台路由器进行连接，直接连接的情况下，BRAS之间基于BGP协议完成连接，在通过一台路由器连接的情况下，BRAS与该路由器之间可以通过IS-IS(中间系统到中间系统，Intermediate System-to-Intermediate System)协议，OSPF(开放最短路径优先，Open Shortest Path First)协议或BGP(边界网关协议，BorderGateway Protocol)协议建立连接。在建立连接后，BRAS之间通过BGP协议实现BRAS之间连接的建立。在图2中，包含BRAS1和BRAS2，BRAS1和BRAS2分别连接到路由器，通过路由器连接互联网，BRAS1所在的区域为家属区，BRAS2所在的区域为教学区。可选的，该BGP可以包含内部边界网关协议IBGP和/或外部边界网关协议EBGP。

在一台BRAS可以连接有交换设备形成接入网络，在该接入网络下可以连接有若干主机，该主机的形态包含PC(个人电脑，Personal Computer)、摄像头和打印机等。

在BRAS上预先部署有QoS(服务质量，Quality of Service)策略，在QoS策略中包含有用户组信息，QoS策略通过用户组信息的匹配能够实现数据流的分类，并结合流行为的设置实现对于用户数据流的控制。

在组网中，通过BRAS还可以实现对于主机的用户认证和IP地址的分配等，对于BRAS所具备的能力不做限制。在DHCP(动态主机配置协议，Dynamic Host ConfigurationProtocol)服务器的IP地址池中使能UNR(用户网络路由，User Network Route)路由的发布功能，使得一台BRAS下的UNR路由能够被对端BRAS所获知。或者，BRAS也可以进行远端认证，即作为路由器的网关连接有认证服务器和DHCP服务器。在BRAS接收到主机发送的认证请求后，可以将认证请求通过路由器转发至认证服务器进行认证，其中用户信息与用户组信息之间的关联设置于认证服务器上，BRAS通过与认证服务器进行的交互，使得BRAS能够获取到用户组信息。在确认认证请求通过认证后，BRAS可以通过与DHCP服务器的交互获取到为主机分配的IP地址。

S101、若确定到主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配IP地址。

在图2中，假设用户需要从家属区的主机登录访问教学区的打印机进行使用，用户通过家属区主机1进行登录，输入用户信息(户名和密码)用进行认证，主机1生成认证请求并发送至BRAS1。BRAS1通过自身所记录的、许可的信息(或者，通过与BRAS1连通的认证服务器)与接收到的认证请求中用户信息进行比对。

若BRAS1能够确认本次的认证请求是未允许的用户，则可以直接丢弃该认证报文或向该主机1发送未通过认证的通知(或者，BRAS1的认证是通过认证服务器进行，则可以将认证服务器发送的未通过认证的通知转发至主机1)。这样一来，用户无法进行后续的访问。

若BRAS1能够确认本次的认证请求是允许的用户，则BRAS1可以确定与该用户信息相关联的用户组信息，并且为该用户分配IP地址。此后，BRAS1可以通过通告的方式，向主机1IP地址。具体而言，BRAS1可以在认证通过报文中携带IP地址。

在BRAS1确定出用户的用户组信息以及IP地址时，可以在BRAS1的会话表中记录关于该用户的会话信息，该会话信息中包含有IP地址、用户组信息MAC(媒体访问控制，MediaAccess Control)地址以及上线接口等。

S102、生成与分配的IP地址相对应的UNR，基于用户组信息生效部署的QoS策略。

BRAS1在确定为主机1分配的IP地址后，可以生成对应的UNR，基于网络部署的不同，该UNR可以为BGP IPv4单播路由、BGP-VPN(虚拟专用网络，Virtual Private Network)IPv4单播路由、BGP IPv6单播路由、BGP-VPN IPv6单播路由、BGP IPv4单播标签路由、BGP-VPN IPv4单播标签路由、BGP VPNv4路由或BGP VPNv4路由等，具体的视组网而定。

在UNR中，可以引入用户组信息，即在记录UNR的路由表中增加一个字段用于记录用户组信息，比如用户的主机1记录用户组信息为教师组。

此时，BRAS1一侧与该用户组信息相关的QoS策略生效。

S103、向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使对端BRAS记录UNR和用户组信息，并基于用户组信息生效自身部署的QoS策略。

在BRAS1生成UNR后，可以向对端BRAS(即BRAS2)发送该UNR和用户组信息，比如，可以通过第一BGP路由报文中携带UNR，并在扩展团体属性中携带用户组信息，该第一BGP路由报文可以为更新(UPDATA报文)。

BRAS2接收到第一BGP路由报文后，将其中所携带的UNR和用户组信息记录于自身的路由表中。

假设，在BRAS1和BRAS2上生效了一条QoS策略为“允许教师组访问任意用户组的成员”，由于BRAS1和BRAS2中都获取到了用户组信息以及该用户组信息相关联的UNR，可以分别生效自身的QoS策略实现对于主机1和打印机之间流量的转发，无论该打印机是否被分配到某一个用户组中。

另外，也可以通过在BRAS1和BRAS2上生效一条QoS策略为“允许教师组访问打印机(可以通过打印机的IP地址实现)”，此时，主机1也可以通过BRAS1和BRAS2实现对于打印机的访问。

通过上述方式，在BRAS接收到主机1发送的数据报文时，BRAS可以根据数据报文中的目的IP地址查找路由表，并且根据源IP地址查找BRAS中会话表，确定该源IP地址所对应的用户是否通过了认证。如果会话表中存在该主机的会话信息，则获取到该用户被授权的用户组信息，根据用户组信息在QoS策略中的ACL规则进行查找，确定数据报文的流分类，再基于流分类的结果匹配的流行为确定该数据报文是否能够实现跨设备的转发。

在此过程中，由于通过用户组信息替代了ACL规则中的IP地址匹配，使得用户在不同区域登录的情况下，即使用户被分配了不同的IP地址，也可以通过同一个用户组信息匹配QoS策略中的ACL规则，相对于通过IP地址进行匹配ACL规则的情况下，可以减少QoS策略中ACL规则的配置数量，降低了ACL规则在BRAS上的资源占用，以使资源能够被用于其他的运算和存储过程，提升了网络设备的资源利用率。

在这一过程中，如果在BRAS上配置了禁止该用户组信息的访问，即使BRAS根据目的IP地址查找了对应的路由，也无法通过对端BRAS将该数据报文转发到目的地址。

在这一过程中，如果在BRAS上未查找到与数据报文的源IP地址、MAC地址和VLAN(虚拟局域网，Virtual Local Access Network)等信息相匹配的会话，则认为该用户未通过认证，需要根据该数据报文重新进行认证。

在一些组网中，BRAS1和BRAS2所部署的QoS策略中，分别包含有BRAS1一侧的区域中所包含的主机的用户组信息以及BRAS2一侧的区域中所包含的主机的用户组信息。举例而言，在QoS策略中设置有源用户组信息以及目的用户组信息，此时，在BRAS1和BRAS2上需要分别记录对端BRAS上所连接的主机所关联的用户组信息。此时，上述的方法中，还包括：

S104、接收对端BRAS所发送的、携带有接入对端BRAS的主机的UNR的第二BGP路由报文。

其中，第二BGP路由报文的扩展团体属性中携带有用户组信息。在BRAS2生成接入BRAS2的主机的UNR后，可以向对端BRAS(即BRAS1)发送该UNR和用户组信息，比如，可以通过第二BGP路由报文中携带UNR，并在扩展团体属性中携带用户组信息，该第二BGP路由报文可以为更新(UPDATA报文)。

此时，BRAS1在接收到第二BGP路由报文后，可以从中获取到UNR，并从扩展团体属性中解析出用户组信息。比如，如图3所示，在BRAS2下的打印机、摄像头等11台设备属于重要设备组。BRAS2在接收到第一BGP路由报文后，也同样可以从中获取到UNR，并从扩展团体属性中解析出用户组信息，比如，在BRAS1和BRAS2的组网下有10名用户登录，属于教师组。

在通过IP地址进行QoS策略时，为了能够使得每一位用户都能够访问重要设备组中的每一台设备，需要设置2×11×10条ACL规则来实现QoS策略中基于ACL规则的流分类，即需要220条ACL规则，其中，2表示用户可能在BRAS1上登录或者在BRAS2上登录存在2个不同的IP地址，11表示一个用户的一个IP地址向重要设备组中的设备访问时需要的ACL规则的数量，10表示每一台设备向用户登录的主机发送数据需要的数量。

如果采用用户组信息的QoS策略，在BRAS1和BRAS2上，只需要配置两条QoS策略，即源用户组信息为教师组、目的用户组信息为重要设备组的QoS策略以及源用户组信息为重要设备组、目的用户组信息为教师组的QoS策略。

通过对比可以看出，基于用户组信息配置QoS策略时，能够极大地减少QoS策略的数量，提升网络设备的资源利用率。

可选的，QoS策略中包含源用户组信息和目的用户组信息。即在一台BRAS上配置的QoS策略中，可以分别包含基于源用户组信息和目的用户组信息的流行为，以实现基于源和目的这样更精细的访问控制。

在如图4所示的场景中，包含有BRAS3和BRAS4，这两台BRAS分别设置于同一个区域，与图2和图3中BRAS1和BRAS2通过EBGP协议建立连接不同，BRAS3和BRAS4之间通过IBGP协议建立连接。在BRAS3和BRAS4下部署有不同的设备，比如在BRAS3下部署有主机1，在BRAS4下部署有主机2，在BRAS3和BRAS4中配置有QoS策略。

在使用主机1的用户通过认证后，可以通过获取到的用户组信息生效BRAS3和BRAS4中的QoS策略，从而在BRAS3接收到主机1的数据报文时，实现主机1到主机2的访问控制。

也就是说，进行跨设备的访问控制时，BRAS之间建立BGP连接即可，不限于IBGP和EBGP。

相对应的，本申请还提供了一种跨设备的访问控制装置，如图5所示，包括：

连接单元，用于与对端BRAS建立BGP连接；

认证单元，用于若接收到主机发送的认证请求通过认证，则向获取该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配IP地址；

生效单元，用于生成与分配的IP地址相对应的UNR，基于用户组信息生效部署的QoS策略；

路由单元，用于向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使对端BRAS记录UNR和用户组信息，并基于用户组信息生效自身部署的QoS策略，其中，用户组信息携带在第一BGP路由报文的扩展团体属性中。

可选的，该装置，还包括：

接收单元，用于接收对端BRAS所发送的、接入对端BRAS的主机的UNR第二BGP路由报文，其中，第二BGP路由报文的扩展团体属性中携带有用户组信息。

可选的，BGP包含IBGP和/或EBGP。

可选的，QoS策略中包含源用户组信息和目的用户组信息。

相对应的，本申请还提供了一种网络设备，如图6所示，包括收发器、处理器和机器可读存储介质，机器可读存储介质存储有能够被处理器执行的机器可执行指令，处理器被机器可执行指令促使：实现上述任一项的方法步骤。

相对应的，本申请还提供了一种机器可读存储介质，存储有机器可执行指令，在被处理器调用和执行时，机器可执行指令促使处理器：实现上述任一项的方法步骤。

本说明书实施例中，在主机通过认证后，获取下发的用户组信息，通过BRAS之间所建立的BGP连接向对端通告主机的UNR和用户组信息，通过用户组信息生效在BRAS中所部署的QoS策略，从而避免通过IP地址生效QoS策略时，需要通过大量的ACL进行流量分类，降低了BRAS中的资源占用，提升了网络设备的资源利用率。

本领域技术人员在考虑说明书及实践这里申请的发明后，将容易想到本说明书的其它实施方案。本说明书旨在涵盖本说明书的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本说明书的一般性原理并包括本说明书未申请的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本说明书的真正范围和精神由下面的权利要求指出。

应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本说明书的范围仅由所附的权利要求来限制。

以上所述仅为本说明书的较佳实施例而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims (10)

1.一种跨设备的访问控制方法，其特征在于，包括：

与对端宽带远程接入服务器BRAS建立边界网关协议BGP连接；

若确定主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配互联网协议IP地址；

生成与分配的IP地址相对应的用户网络路由UNR，基于用户组信息生效部署的服务质量QoS策略；

向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使所述对端BRAS记录所述UNR和所述用户组信息，并基于所述用户组信息生效自身部署的QoS策略，其中，所述用户组信息携带在所述第一BGP路由报文的扩展团体属性中。

2.根据权利要求1所述的方法，其特征在于，还包括：

接收对端BRAS所发送的、接入对端BRAS的主机的UNR第二BGP路由报文，其中，所述第二BGP路由报文的扩展团体属性中携带有用户组信息。

3.根据权利要求1所述的方法，其特征在于，所述BGP包含内部边界网关协议IBGP和/或外部边界网关协议EBGP。

4.根据权利要求1-3任一项所述的方法，其特征在于，所述QoS策略中包含源用户组信息和目的用户组信息。

5.一种跨设备的访问控制装置，其特征在于，包括：

连接单元，用于与对端BRAS建立BGP连接；

认证单元，用于若确定主机发送的认证请求通过认证，则获取与该认证请求中的用户信息所关联的用户组信息以及为通过认证的主机分配IP地址；

生效单元，用于生成与分配的IP地址相对应的UNR，基于用户组信息生效部署的QoS策略；

路由单元，用于向对端BRAS发送携带有UNR和用户组信息的第一BGP路由报文，以使所述对端BRAS记录所述UNR和所述用户组信息，并基于所述用户组信息生效自身部署的QoS策略，其中，所述用户组信息携带在所述第一BGP路由报文的扩展团体属性中。

6.根据权利要求5所述的装置，其特征在于，还包括：

接收单元，用于接收对端BRAS所发送的、接入对端BRAS的主机的UNR的第二BGP路由报文，其中，所述第二BGP路由报文的扩展团体属性中携带有用户组信息。

7.根据权利要求5所述的装置，其特征在于，所述BGP包含IBGP和/或EBGP。

8.根据权利要求5-7任一项所述的装置，其特征在于，所述QoS策略中包含源用户组信息和目的用户组信息。

9.一种网络设备，其特征在于，包括收发器、处理器和机器可读存储介质，所述机器可读存储介质存储有能够被所述处理器执行的机器可执行指令，所述处理器被所述机器可执行指令促使：实现权利要求1-4任一项所述的方法步骤。

10.一种机器可读存储介质，其特征在于，存储有机器可执行指令，在被处理器调用和执行时，所述机器可执行指令促使所述处理器：实现权利要求1-4任一项所述的方法步骤。