CN1571378A - 一种基于链路层协议实现网络连接控制的方法和装置 - Google Patents

Abstract

本发明提供一种基于链路层协议实现网络连接控制的方法，包括：设置链路层协议预定状态对应的控制操作；在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，由与该状态对应的所述控制操作控制网络终端用户的网络连接。本发明还提供一种基于链路层协议实现网络连接控制的装置，包括：链路层协议模块、业务控制模块。本发明充分利用链路层协议面向连接的特点，限制宽带网络终端用户同时接入宽带网络的数量，防止宽带网络终端用户的IP地址欺骗行为，实现宽带网络终端的认证计费功能，同时由于本发明采用注册机制，使链路层协议与业务控制无关，增强了本发明所述装置的灵活性，从而实现了提高宽带网络的安全性、可运营性和可管理性的目的。

Description

一种基于链路层协议实现网络连接控制的方法和装置

技术领域

本发明涉及网络通讯技术领域，具体涉及一种基于链路层协议实现网络连接控制的方法和装置。

背景技术

随着计算机的迅速发展，计算机通讯网络已经深入到我们的工作和生活中。如今宽带网络已走入普通家庭，成为目前计算机通讯网络中的重要组成部分。

宽带网络使人们摆脱了电话拨号等窄带上网的上网速度慢、报文传输速度缓慢等束缚，宽带网络给人们带来了信息高速公路的感受，使人们完全体会到上网冲浪的乐趣。

随着宽带网络的迅速发展，宽带网络的接入技术也逐步发展起来，人们可以采用以太网接入、ADSL(非对称数字用户线路)接入等方式接入宽带网络。

在人们采用各种接入方式接入宽带网络，并利用宽带上网时，对于提供宽带业务的网络运营商来说，对采用各种接入方式接入宽带网络的网络终端用户进行网络访问控制是非常重要的。实现对网络终端用户的网络访问控制可使宽带网络处于一种可运营、可管理的状态，而这种网络的可运营、可管理的状态是宽带网络运营商所必须的。

目前对宽带网络终端用户的网络访问控制管理存在三个主要的问题：

1.安全问题。

当宽带网络终端用户采用以太网接入方式与宽带网络连接时，存在网络终端用户非法设置其网络终端的IP(国际互连网协议)地址的问题，该非法设置的IP地址可能与其他合法网络终端的IP地址冲突，从而导致合法的网络终端用户不能正常上网。

2.接入用户数限制问题。

宽带网络终端用户在开通宽带上网方式以后，一个VLAN(虚拟局域网)下和一个ADSL接入中存在很多人同时上网的情况。很多人同时上网会占用系统的IP地址等资源，这是宽带网络运营商所不希望的。

3.认证计费问题。

对于宽带网络终端的认证计费问题，网络通讯设备应该能够对以各类接入方式接入宽带网络的网络终端用户进行认证计费控制。在IETF(工程任务组)提供的建议中，只有PPP(点对点协议)协议能够实现对网络终端用户进行基本的认证计费功能，其他协议则不具有认证计费的控制功能，比如采用以太网接入方式与网络终端连接时，则不能实现对网络终端用户认证计费的控制。

综上所述，目前宽带网络由于不能对以各种接入方式接入宽带网络的网络终端用户实现严格的网络访问控制，致使宽带网络的安全性差、可运营性和可管理性差。

发明内容

本发明的目的在于，提供一种基于链路层协议实现网络连接控制的方法，本发明充分利用链路层协议面向连接的特点，在链路层协议中注册相应的接口函数，并通过各接口函数对应的回调函数实现宽带网络终端的网络连接控制，从而实现了提高宽带网络的安全性、可运营性和可管理性的目的。

为达到上述目的，本发明提供的基于链路层协议实现网络连接的方法，包括：

a、设置链路层协议预定状态对应的控制操作；

b、在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，由与该状态对应的所述控制操作控制网络终端用户的网络连接。

所述的链路层协议为以太网上的点对点协议或以太网的链路层协议。

当所述的控制操作由函数实现时，所述的步骤b包括：

在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，所述链路层协议通过函数名称调用对应的函数，控制网络终端用户的网络连接。

当所述的步骤a为在链路层协议预定状态注册相应的接口函数；所述接口函数的函数指针对应回调函数时，所述的步骤b包括：

在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，所述链路层协议通过相应的函数指针调用对应的回调函数，控制网络终端用户的网络连接。

所述的链路层协议预定状态包括：连接初始状态；

当网络终端用户发起以太网上的点对点协议请求或动态主机控制协议请求时，为所述的连接初始状态；

所述的连接初始状态对应的控制操作为：

当网络接入设备端口下网络终端用户的数目不小于预定最大接入用户数目时，禁止网络终端用户建立网络连接；

当网络接入设备端口下网络终端用户的数目小于所述预定最大接入用户数目时，为所述网络终端用户分配IP地址，并保存所述IP地址与该网络终端用户的MAC地址的对应关系。

所述的链路层协议预定状态还包括：连接建立状态；

当网络终端用户发起链路控制协议请求或地址解析协议请求时，为所述的连接建立状态；

所述的连接建立状态对应的控制操作为：

当网络终端用户的建立连接IP地址与该网络终端用户的MAC地址的对应关系和所述链路层协议保存的IP地址与MAC地址的对应关系相符时，允许该网络终端用户建立网络连接；否则，不允许该网络终端用户建立网络连接。

所述的链路层协议扩展申请认证功能后，所述的链路层协议的预定状态还包括：认证状态；

当网络终端用户进行链路控制协议协商成功时或发起入口认证时，为所述的认证状态；

所述的认证状态对应的控制操作为：

当网络终端用户认证失败时，断开该网络终端用户的网络连接。

所述的链路层协议的预定状态还包括：连接成功状态和连接拆除状态；

当链路层协议接收到网络终端用户的上网请求时，为所述的连接成功状态；

当链路层协议接收到网络终端用户的下网标志时，为所述的连接拆除状态；

所述的连接成功状态对应的控制操作为：

当链路层协议接收到网络终端用户的上网请求时，开始对该网络终端用户进行计费；

当链路层协议接收到网络终端用户的下网标志时，结束对该网络终端用户的计费。

本发明还提供一种基于实现本发明方法的装置，包括：

链路层协议模块：根据网络终端用户传输来的信息，将相关信息传输至业务控制模块，并根据业务控制模块传输来的控制信息控制所述网络终端用户的网络连接；

业务控制模块：根据所述链路层协议模块传输来的相关信息，确定应对所述网络终端用户进行的网络连接控制，并将控制信息传输至所述链路层协议模块。

所述的链路层协议模块包括：

连接初始链路层子模块：接收网络终端用户传输来的以太网上的点对点协议请求或动态主机控制协议请求，将所述请求信息传输至连接初始业务子模块，并根据连接初始业务子模块传输来的相应控制信息响应网络终端用户传输来的连接请求；

连接建立链路层子模块：接收网络终端用户传输来的链路控制协议请求或地址解析协议请求，将所述请求信息传输至连接建立业务子模块，并响应连接建立业务子模块传输来的该网络终端用户是否为合法用户的判断结果；

认证链路层子模块：接收网络终端用户传输来的认证信息，将所述认证信息传输至认证业务子模块，当接收到认证业务子模块传输来的认证通过的信息后，将网络终端用户传输来的上网请求传输至连接成功业务子模块，并将网络终端用户传输来的下网标志传输至连接拆除业务子模块；

所述的业务控制模块包括：

连接初始业务子模块：根据预定最大接入用户数和所述连接初始链路层子模块传输来的以太网上的点对点协议请求或动态主机控制协议请求确定对该网络终端用户建立连接的控制信息，并将该控制信息传输至所述连接初始链路层子模块；

连接建立业务子模块：根据所述连接建立链路层子模块传输来的链路控制协议请求或地址解析协议请求判断该网络终端用户是否为具有合法IP地址的网络终端用户，并将该判断结果传输至所述连接建立链路层子模块；

认证业务子模块：根据所述认证链路层子模块传输来的认证信息对该网络终端用户进行认证，并将认证结果传输至认证链路层子模块；

连接成功业务子模块：根据所述认证链路层子模块传输来的网络终端用户的上网请求，开始对该网络终端用户进行计费；

连接拆除业务子模块：根据所述认证链路层子模块传输来的网络终端用户的下网标志，结束对该网络终端用户的计费。

利用本发明，在链路层协议预定状态对应的控制操作，对网络终端用户的接入数量进行网络连接控制，对进行IP地址欺骗行为的网络终端用户进行网络连接控制，有效的限制了同时接入宽带网络终端数量，防止了宽带网络终端用户的IP地址欺骗行为，从而保证了合法宽带网络终端用户的上网权限和网络通讯系统的IP地址等资源的合理利用。并利用链路层协议在宽带网络中实现宽带网络终端的认证计费功能；由于本发明在链路层协议中采用注册机制，使链路层协议的接口完全开放，增强了本发明所述装置的灵活性，从而实现了提高宽带网络的安全性、可运营性和可管理性的目的。

附图说明

图1是本发明的链路层协议状态示意图；

图2是本发明的在链路层协议注册接口函数的原理图；

图3是本发明的基于链路层协议实现网络连接控制的装置。

具体实施方式

本发明通过在链路层协议的预定状态设置对应的控制操作；在宽带网络终端用户建立网络连接过程中，当链路层协议迁移到预定状态时，由与该状态对应的所述控制操作控制网络终端用户的网络连接。

根据宽带网络需要实现的对网络终端用户的网络连接控制，如果将网络终端用户从申请连接到对其进行计费到最后网络终端用户下网，结束对其计费的过程进行状态分析，整个过程中具有明显特征的状态如附图1所示，包括：连接初始状态、连接建立状态、认证状态、连接成功状态和连接拆除状态。在这些具有明显特征的状态处可通过相应的控制操作，实现相应的网络连接控制。

在现有的协议中只有PPP协议存在以上几种状态，在以太网协议及其他类型的协议中一般都不提供上述这几种状态，当宽带网络终端用户采用PPP协议接入宽带网络时，宽带网络运营商可通过PPP协议提供的上述几种状态实现对网络终端用户的认证计费功能，但是不能够实现对网络接入设备端口下的网络终端接入数量进行控制。

本发明充分考虑到链路层协议是面向连接的协议，能够很好的标识一个网络终端用户，而在链路层协议之上的协议是面向无连接的协议，所以如果在链路层协议上分析抽象出连接初始状态、连接建立状态、认证状态、连接成功状态和连接拆除状态，在这些状态处设置相应的控制操作，在链路层协议迁移到预定状态时，通过预定状态对应的控制操作来进行限制网络终端接入数量、网络终端用户的IP地址欺骗、网络终端用户的认证计费等网络连接控制，是一种简单、高效、易于实现的方法。

由于链路层协议不能够完全提供上述这几种状态，所以需要在链路层协议中扩展相应的状态模块，如增加PORTAL(入口)模块后，可使链路层协议完全具备上述这几种状态，从而可以在每个状态处设置一个对应的控制操作，这样在链路层协议迁移到这些状态时，由对应的控制操作完成相应的网络连接控制。控制操作可通过函数实现。

本发明的基于链路层协议实现网络连接控制的具体方法如下所述：

在本具体实施例中，将对应于链路层协议状态的所有的控制操作称为业务控制模块。业务控制模块可采用注册机制在链路层协议的预定状态注册回调函数，注册过程采用通用注册机制，其注册机制的基本原理如附图2所示，在图2中：链路层协议提供注册接口函数，该函数的入口参数是业务控制模块提供的回调函数。业务控制模块在初始化过程中或配置过程中，调用链路层协议各状态模块提供的注册接口函数，链路层协议各状态模块将业务控制模块提供的回调函数保存在一个函数指针中，在链路层协议迁移到预定的状态时，通过该状态模块保存的函数指针调用业务控制模块提供的回调函数。

采用注册接口函数的方法，链路层协议在状态迁移过程中通过业务控制模块注册的函数指针调用回调函数，并将相关信息，如MAC(媒体接入控制)地址、VLAN ID(虚拟局域网编号)等信息通知业务控制模块，这些信息与具体的业务无关。如果在预定状态有对应的回调函数，则调用该函数实现相应的控制操作；如果在预定状态没有对应的回调函数，则按链路层协议正常的处理流程进行处理，不进行业务控制。这样，如果某些路由器不需要进行网络连接控制，在路由器中不设置业务控制模块即可。从而保证了采用注册机制后的链路层协议的通用性。由于业务控制模块与链路层协议相互独立，链路层协议不会感知到具体的业务，链路层协议代码不受业务的影响，业务控制模块扩展起来方便，从而避免了因为业务控制模块的变化导致链路层协议代码的频繁修改。保证了链路层协议代码的独立稳定。采用注册的方式还可以将链路层协议的注册接口开放给第三方，由第三方在其基础上开发增值业务。

上述通过在链路层协议中注册回调函数，利用回调函数实现对应的网络连接控制的方法，也可以通过其他方法实现。如：在链路层协议的各状态模块中保存相应的函数名称，在链路层协议迁移到预定的状态时，通过该状态模块保存的函数名称调用业务控制模块提供的函数，由相应的函数实现网络终端用户的网络连接控制。这种方法同样可以实现本发明的目的，但是这样链路层协议会过多的感知业务的存在，使链路层协议与业务绑定太紧，业务控制模块扩展困难，同时业务控制模块的变化会导致链路层协议代码的频繁修改，对链路层协议代码的稳定不利。

下面以PPPoE(以太网上的点对点)协议为例对本发明通过各状态实现网络连接控制的方法详细说明。

当PPP(点对点)协议收到网络终端用户发送的PPPoE请求时，进入连接初始状态，此时PPPoE协议需要与业务控制模块协商是否允许为该网络终端用户建立连接，其协商过程为：PPPoE协议将相关信息如VLAN ID(虚拟局域网编号)等信息传输至业务控制模块，表示有一个对应于VLAN ID的网络终端用户要建立连接。业务控制模块根据相关信息决定是否允许该用户建立连接，如网络接入设备中对应于VLAN ID的用户数是否小于最大接入用户数量，如果对应于VLAN ID的用户数小于最大接入用户数量，则通知PPPoE协议该网络终端用户可以接入，如果对应于VLAN ID的用户数不小于最大接入用户数量，则通知PPPoE协议该网络终端用户不可以接入，PPPoE协议拒绝为该网络终端用户建立连接。

当PPPoE协议与业务控制模块协商为该网络终端用户建立连接后，进入PPP协议的LCP(链路控制协议)状态，LCP状态即为连接建立状态。PPP协议收到用户发起的LCP协商报文以后，通知业务控制模块是否允许进行PPP协商，如果业务控制模块允许进行PPP协商，则给PPP协议部分发送允许协商的信息，如果业务控制模块不允许进行PPP协商，则给PPP协议部分发送不允许协商的信息。

如果业务控制模块通知PPP协议部分允许协商，则PPP协议与网络终端用户进行正常的LCP协商，LCP协商通过以后，进入认证阶段。网络终端用户发起认证请求，PPP协议部分收到认证请求以后，由于PPP协议本身并不处理认证信息，需要将认证信息传输至业务控制模块，由业务控制模块根据认证信息进行相关的处理，并向PPP协议返回认证结果。

认证通过以后PPP协议与网络终端用户进行IPCP(国际互连网协议控制协议)协商，协商通过以后进入连接成功状态，PPP协议向业务控制模块上报PPP连接成功状态，如果连接成功，业务控制模块开始对该网络终端用户进行计费，如果连接不成功，业务控制模块不对该网络终端用户计费。

如果网络终端用户不想继续上网，可以主动下线，PPP协议收到网络终端用户的下线标志后，进入连接拆除状态。PPP协议需要将网络终端用户下线的信息传输至业务控制模块，业务控制模块根据网络终端用户下线的信息结束对该网络终端用户的计费。

对于以太网接入用户，通过本发明的各状态实现网络连接控制的方法如下所述。

网络终端用户发起DHCP(动态主机控制协议)请求，请求分配IP(网际协议)地址。链路层协议中的DHCP模块收到网络终端用户传输来的DHCP请求时，进入连接初始状态。DHCP模块将网络终端用户的DHCP请求信息、该网络终端用户对应的VLAN ID(虚拟局域网编号)信息等传输至业务控制模块。业务控制模块根据相关信息决定是否允许该用户建立连接，如网络接入设备中对应于VLAN ID的用户数是否小于预定最大接入用户数量，如果对应于VLAN ID的网络终端接入数小于预定最大接入用户数量，则通知DHCP模块该网络终端用户可以接入，DHCP模块会给该网络终端用户分配一个合法的IP地址，业务控制模块保存该IP地址和网络终端用户的MAC地址的对应关系。如果对应于VLAN ID的用户数不小于预定最大接入用户数量，则通知DHCP模块该网络终端用户不可以接入，DHCP模块不给该网络终端用户分配IP地址。

网络终端用户接收到DHCP模块传输来的IP地址以后，发起ARP(地址解析协议)请求，链路层协议部分中的ARP模块收到网络终端用户传输来的ARP请求以后，进入连接建立状态。ARP模块将是否允许连接建立的信息及VLAN ID、MAC地址、IP地址等信息传输至业务控制模块，业务控制模块根据VLAN ID、MAC地址、IP地址判断该网络终端用户是否是一个合法的用户，如果MAC地址与IP地址的对应关系与其保存的MAC地址与IP地址的对应关系相同，则将允许建立IP连接的信息传输至ARP模块。如果MAC地址与IP地址的对应关系与其保存的MAC地址与IP地址的对应关系不相同，则将不允许建立IP连接的信息传输至ARP模块。

当网络终端用户接收到ARP模块传输来的IP地址后，网络终端用户上网，发起Portal(入口)认证，输入Portal认证的用户名、口令信息，链路层协议中扩展的Portal模块收到网络终端用户传输来的用户名、口令信息以后进入认证状态，并向业务控制模块发起认证请求，业务控制模块向链路层协议反馈认证结果。

当链路层协议部分接收到认证通过的信息后，向网络终端用户发送认证通过的信息。网络终端用户收到认证通过的信息后点击上网标志，发送上网请求，Portal模块收到网络终端用户的上网请求消息以后，进入连接成功状态。Portal模块将连接成功的信息传输至业务控制模块，业务控制模块根据接收到的连接成功的信息开始对该网络终端用户进行计费。

网络终端用户上网完毕，点击下线标志，Portal模块收到网络终端用户的下线请求以后进入连接拆除状态。Portal模块将连接拆除的信息传输至业务控制模块，业务控制模块结束对该网络终端用户的计费。

在本具体实施方式中描述的方法同样适用于在窄带网络中实现网络连接控制。

本发明提供的基于链路层协议实现网络连接控制的装置如附图3所示。

图3包括业务控制模块300和链路层协议模块310。

业务控制模块300包括：连接初始业务子模块301、连接建立业务子模块302、认证业务子模块303、连接成功业务子模块304、连接拆除业务子模块305。

链路层协议模块310包括：连接初始链路层子模块311、连接建立链路层子模块312、认证链路层子模块313。

下面以本发明的装置对太网接入用户的网络连接控制为例，来详细说明本发明的装置。

当连接初始链路层子模块311接收到网络终端用户传输来DHCP请求时，将网络终端用户的DHCP请求信息、该网络终端用户对应的VLAN ID信息等传输至连接初始业务子模块301。连接初始业务子模块301根据相关信息决定是否允许该用户建立连接，如网络接入设备中对应于VLAN ID的用户数是否小于预定最大接入用户数，如果对应于VLAN ID的用户数小于预定最大接入用户数，则通知连接初始链路层子模块311该网络终端用户可以接入，连接初始链路层子模块311会给该网络终端用户分配一个合法的IP地址，连接初始业务子模块301保存该IP地址和网络终端用户的MAC地址的对应关系。如果对应于VLAN ID的用户数不小于预定最大接入用户数，则通知连接初始链路层子模块311该网络终端用户不可以接入，连接初始链路层子模块311不给该网络终端用户分配IP地址。

网络终端用户接收到连接初始链路层子模块311传输来的IP地址以后，发起ARP请求，连接建立链路层子模块312收到网络终端用户传输来的ARP请求后，将ARP请求信息及VLAN ID、MAC地址、IP地址等信息传输至连接建立业务子模块302，连接建立业务子模块302根据VLAN ID、MAC地址、IP地址判断该网络终端用户是否是一个合法的用户，如果MAC地址与IP地址的对应关系与其保存的MAC地址与IP地址的对应关系相同，则将允许建立IP连接的信息传输至连接建立链路层子模块312。如果MAC地址与IP地址的对应关系与其保存的MAC地址与IP地址的对应关系不相同，则将不允许建立IP连接的信息传输至连接建立链路层子模块312。连接建立链路层子模块312根据连接建立业务子模块302传输来的判断结果确定是否为所述网络终端用户建立IP连接。

当连接建立链路层子模块312为网络终端用户建立IP连接后，网络终端用户上网，发起Portal认证，输入Portal认证的用户名、口令信息，认证链路层子模块313收到网络终端用户传输来的用户名、口令信息以后进入认证状态，并向认证业务子模块303发起认证请求，认证业务子模块303对该认证请求进行认证并向认证链路层子模块313反馈认证结果。

当认证链路层子模块313接收到认证通过的信息后，向网络终端用户发送认证通过的信息。网络终端用户收到认证通过的信息后点击上网标志，认证链路层子模块313收到网络终端用户的上网请求消息以后，将连接成功的信息传输至连接成功业务子模块304，连接成功业务子模块304根据接收到的连接成功的信息开始对该网络终端用户进行计费。

网络终端用户上网完毕，点击下线标志，认证链路层子模块313收到网络终端用户的下线请求以后进入连接拆除状态。认证链路层子模块313将连接拆除的信息传输至连接拆除业务子模块305，连接拆除业务子模块305结束对该网络终端用户的计费。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化。

Claims (10)

1、一种基于链路层协议实现网络连接控制的方法，其特征在于包括：

a、设置链路层协议预定状态对应的控制操作；

b、在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，由与该状态对应的所述控制操作控制网络终端用户的网络连接。

2、如权利要求1所述的一种基于链路层协议实现网络连接控制的方法，其特征在于所述的链路层协议为以太网上的点对点协议或以太网的链路层协议。

3、权利要求2所述的一种基于链路层协议实现网络连接控制的方法，其特征在于当所述的控制操作由函数实现时，所述的步骤b包括：

在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，所述链路层协议通过函数名称调用对应的函数，控制网络终端用户的网络连接。

4、权利要求2所述的一种基于链路层协议实现网络连接控制的方法，其特征在于当所述的步骤a为在链路层协议预定状态注册相应的接口函数；所述接口函数的函数指针对应回调函数时，所述的步骤b包括：

在网络终端用户建立连接过程中，当链路层协议迁移到预定状态时，所述链路层协议通过相应的函数指针调用对应的回调函数，控制网络终端用户的网络连接。

5、权利要求3或4所述的一种基于链路层协议实现网络连接控制的方法，其特征在于所述的链路层协议预定状态包括：连接初始状态；

当网络终端用户发起以太网上的点对点协议请求或动态主机控制协议请求时，为所述的连接初始状态；

所述的连接初始状态对应的控制操作为：

当网络接入设备端口下网络终端用户的数目不小于预定最大接入用户数目时，禁止网络终端用户建立网络连接；

当网络接入设备端口下网络终端用户的数目小于所述预定最大接入用户数目时，为所述网络终端用户分配IP地址，并保存所述IP地址与该网络终端用户的MAC地址的对应关系。

6、如权利要求3或4所述的一种基于链路层协议实现网络连接控制的方法，其特征在于所述的链路层协议预定状态还包括：连接建立状态；

当网络终端用户发起链路控制协议请求或地址解析协议请求时，为所述的连接建立状态；

所述的连接建立状态对应的控制操作为：

当网络终端用户的建立连接IP地址与该网络终端用户的MAC地址的对应关系和所述链路层协议保存的IP地址与MAC地址的对应关系相符时，允许该网络终端用户建立网络连接；否则，不允许该网络终端用户建立网络连接。

7、如权利要求3或4所述的一种基于链路层协议实现网络连接控制的方法，其特征在于在所述的链路层协议扩展申请认证功能后，所述的链路层协议的预定状态还包括：认证状态；

当网络终端用户进行链路控制协议协商成功时或发起入口认证时，为所述的认证状态；

所述的认证状态对应的控制操作为：

当网络终端用户认证失败时，断开该网络终端用户的网络连接。

8、如权利要求7所述的一种基于链路层协议实现网络连接控制的方法，其特征在于所述的链路层协议的预定状态还包括：连接成功状态和连接拆除状态；

当链路层协议接收到网络终端用户的上网请求时，为所述的连接成功状态；

当链路层协议接收到网络终端用户的下网标志时，为所述的连接拆除状态；

所述的连接成功状态对应的控制操作为：

当链路层协议接收到网络终端用户的上网请求时，开始对该网络终端用户进行计费；

当链路层协议接收到网络终端用户的下网标志时，结束对该网络终端用户的计费。

9、一种基于链路层协议实现网络连接控制的装置，其特征在于包括：

链路层协议模块：将网络终端用户传输来的相关信息传输至业务控制模块，并根据业务控制模块传输来的控制信息控制所述网络终端用户的网络连接；

业务控制模块：根据所述链路层协议模块传输来的相关信息，确定应对所述网络终端用户进行的网络连接控制，并将控制信息传输至所述链路层协议模块。

10、如权利要求9所述的一种基于链路层协议实现网络连接控制的装置，其特征在于所述的链路层协议模块包括：

连接初始链路层子模块：接收网络终端用户传输来的以太网上的点对点协议请求或动态主机控制协议请求，将所述请求信息传输至连接初始业务子模块，并根据连接初始业务子模块传输来的相应控制信息响应网络终端用户传输来的连接请求；

连接建立链路层子模块：接收网络终端用户传输来的链路控制协议请求或地址解析协议请求，将所述请求信息传输至连接建立业务子模块，并响应连接建立业务子模块传输来的该网络终端用户是否为合法用户的判断结果；

认证链路层子模块：接收网络终端用户传输来的认证信息，将所述认证信息传输至认证业务子模块，当接收到认证业务子模块传输来的认证通过的信息后，将网络终端用户传输来的上网请求传输至连接成功业务子模块，并将网络终端用户传输来的下网标志传输至连接拆除业务子模块；

所述的业务控制模块包括：

连接初始业务子模块：根据预定最大接入用户数和所述连接初始链路层子模块传输来的以太网上的点对点协议请求或动态主机控制协议请求确定对该网络终端用户建立连接的控制，并将相应的控制信息传输至所述连接初始链路层子模块；

连接建立业务子模块：根据所述连接建立链路层子模块传输来的链路控制协议请求或地址解析协议请求判断该网络终端用户是否为具有合法IP地址的网络终端用户，并将判断结果传输至所述连接建立链路层子模块；

认证业务子模块：根据所述认证链路层子模块传输来的认证信息对该网络终端用户进行认证，并将认证结果传输至认证链路层子模块；

连接成功业务子模块：根据所述认证链路层子模块传输来的网络终端用户的上网请求，开始对该网络终端用户进行计费；

连接拆除业务子模块：根据所述认证链路层子模块传输来的网络终端用户的下网标志，结束对该网络终端用户的计费。