CN1705270A - 一种控制网络访问的系统及方法 - Google Patents

Abstract

本发明提供一种控制网络访问的系统，以克服现有技术中的网络访问控制技术容易被绕过，安全性较低的问题。所述的控制网络访问的系统包括有：网络接入设备，与网络接入设备互连的用户终端、策略服务器和认证计费服务器；所述用户终端通过网络接入设备接入网络；所述认证计费服务器对用户进行认证和计费，将用户的认证结果发送给网络接入设备，将用户的上线、下线信息发送给策略服务器；所述策略服务器将注册用户配置的用以实现控制网络访问的信息发送给网络接入设备，由网络接入设备根据该信息对注册用户的报文进行过滤。另外，本发明还提供一种控制网络访问的方法。

Description

一种控制网络访问的系统及方法

技术领域

本发明涉及通信领域的网络技术，具体指一种控制网络访问的系统及方法。

背景技术

随着计算机技术、网络技术的发展，各种网络业务的普及推广，接入Internet(因特网)的家庭用户越来越多，Internet在人们的日常工作、学习、生活中发挥的影响力也越来越大。互联网包罗万象的内容让它成为了学习知识及开阔视野的重要途径，但是其中也存在大量色情、暴力等不健康信息，很不利于未成年人的身心健康。可见，如何实现对网络访问的有效控制，使未成年人在利用网络获得知识的同时，又不受网络上不健康内容的影响是非常必要的，于是就在家庭用户上网时就有了“父母控制”功能的需要，这里的“父母控制”即是通过对网络访问实施控制，进而去保证未成年人在网络上不接触不健康的内容。

在现有技术中，已经有一些技术方案可以实现对网络访问的控制，如下为最为常见的方案：

如图1所示，利用IE浏览器中自带的“分级审查”功能来实现网络访问控制，IE浏览器在菜单“工具-Internet选项-内容”中有分级审查的功能设置，其设置页面如图1所示，用户可以做分级审查内容的设置，包括分级许可、允许或禁止访问的站点等，启用该功能后会提示输入一个密码，如图2所示，可见保障该功能的安全措施就在于这个密码，所以为了密码的安全，需要定期更新密码。

上述的技术方案虽然在一定程度上控制了网络的访问，但由于只依赖于密码来保障该功能的实现，所以具有如下缺点：

1.上述功能的设置或者软件的应用需要一定的计算机应用知识。但在现实中，对计算机技术、网络技术不熟悉的家长比较多，很多家长只知道一些简单的计算机操作，而不一定知道如何正确应用这些软件来做网络访问控制。例如很多用户并不知道IE浏览器的这个功能以及如何设置这个功能。

2.由于所述功能的设置或软件控制都是在用户计算机上实现的，所以上述的安全措施很容易被绕过。由于计算机、网络技术的发展非常迅速，很多接受能力强、学习能力强的未成年人常常比家长懂得更多的计算机知识，进而使得他们可以利用自己的知识计算机较容易地突破访问限制。

例如：假如父母在IE中设置了“分级审查”功能，正常情况未成年人不知道家长设置的密码，不能改变IE设置来躲避访问控制，但是由于这个安全措施是在本地计算机上实现的，所以，只要未成年人删除注册表中的对应键值“HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Ratings”的内容就很容易得使“分级审查”功能失效。

另外，也可使用“诺顿网络安全特警”等其它需要安装在用户计算机上的软件来实现网络访问的控制，但如果未成年人将所述的软件删除，那么就可以实现自由访问，可见，这种方案同样不是很实用，安全性较低。

发明内容

本发明目的在于提供一种控制网络访问的系统及方法，以克服现有技术中的网络访问控制技术容易被绕过，安全性较低的问题。

为解决上述的缺点，本发明提供如下的技术方案：

一种控制网络访问的系统，包括：网络接入设备，与网络接入设备互连的用户终端、策略服务器和认证计费服务器；

所述用户终端通过网络接入设备接入网络；

所述认证计费服务器对用户进行认证和计费，将用户的认证结果发送给网络接入设备，将用户的上线、下线信息发送给策略服务器；

所述策略服务器将注册用户配置的用以实现控制网络访问的信息发送给网络接入设备，由网络接入设备根据该信息对注册用户的报文进行过滤。

所述的网络接入设备具体包括：网络接入服务器、宽带网络接入服务器、路由器、三层交换机、防火墙、访问控制设备或/和内容过滤设备。

所述的系统还包括配置服务器，该配置服务器作为Web服务器为用户提供配置接口，用户可以通过此接口来配置需要过滤的信息。

所述的配置服务器和所述的策略服务器合设为一体；或者为相互独立的服务器。

所述用以实现控制网络访问的信息主要包括两种信息：一是经过分类的需要被过滤的网站地址或不良信息URL；二是注册了父母控制网络访问功能的用户信息及网络访问控制策略配置。

一种控制网络访问的方法，包括如下步骤：

A、用户终端向网络接入设备发起接入请求；

B、网络接入设备向认证计费服务器发送认证信息；

C、认证计费服务器根据认证信息判断是否为合法用户，如果是，则将用户认证通过的消息通知网络接入设备和策略服务器，并进行步骤D；否则将认证失败的消息通知网络接入设备，并进行步骤E；

D、策略服务器根据数据库中的用户信息判断所述用户是否注册了控制网络访问服务，如果是则将该用户配置的实现控制网络访问的信息发送给网络接入设备；

E、网络接入设备根据接收到的认证消息进行下述处理：

如果接收到用户认证通过消息和该用户的实现控制网络访问的信息，则将该用户接入网络并根据该实现控制网络访问的信息对用户报文进行过滤；

如果接收到用户认证失败的消息，则拒绝用户接入；

否则，将用户接入网络并不限制访问。

在步骤A之前，还包括步骤：用户注册，即用户在策略服务器的数据库中增加用户信息，并获得一个初始配置。

在步骤A和步骤B间，还可以包括如下步骤：

用户配置，即在步骤A中所获得的初始配置基础上，用户根据需要，用通过配置服务器来细化选择要控制访问的内容类别。

所述步骤E中的网络接入设备对注册用户的报文过滤有如下三种方式：一、对于一般的路由器、宽带网络接入服务器或三层交换机，可以通过访问控制列表的方式来实现报文过滤；二、对于有支持URL过滤功能的网络设备，可以通过自身的过滤功能来实现报文过滤；三、在注册此服务的用户数量多时，也可以设置专门的防火墙来实现报文过滤。

所述的方法还包括如下步骤：

F、用户下线时，先和认证计费服务器确认下线；

G、认证计费服务器将用户下线的消息通知给网络接入设备，网络接入设备将用户设置为未认证状态，用户不能访问Internet；

H、认证计费服务器同时将用户下线的消息通知给策略服务器，策略服务根据数据库中的用户信息判断新下线用户是否注册了控制网络访问服务，如果是注册用户，则通知网络接入设备取消该用户相关的过滤设置。

本发明具有如下优点：

1、由于在终端用户计算机上不需安装专用的软件，而是通过网络接入设备来实现网络访问的控制，所以使得控制更有效，更安全；

2、由于控制网络访问中的限制是在网络接入设备来完成，而未成人不能通过用户计算机来更改配置，所以控制更可靠；

3、家长不必担心在家中上网时未成年人受网络不良信息的侵扰，并且有较好的易用性和较高的可靠性；用户不必有很多的计算机应用知识就可以达到访问控制的目的，也不必担心被保护的未成年人自己突破访问控制的防线；也不必关注新出现的不良信息站点地址或URL；

4、对于ISP(Internet服务提供商)来说，可以作为增值业务向用户推广，以获得收益。

附图说明

图1为现有技术中利用IE浏览器时出现的内容分级审查设置页面；

图2为现有技术中利用IE浏览器实现网络访问控制时出现的密码输入页面；

图3为本发明控制网络访问的系统的结构图；

图4为本发明控制网络访问的系统中配置服务器提供的用户配置功能示意Web页面；

图5为本发明控制网络访问的方法中用户上网的流程图。

具体实施方式

下面结合附图对本发明的技术方案作详细介绍：

如图3所示，为本发明控制网络访问的系统的结构图，所述的控制网络访问的系统包括：

用户计算机，作为用户终端；

网络接入设备，所述的用户计算机通过该网络接入设备可以实现与INTERNET相连，该网络接入设备包括用户计算机到Internet之间的各种网络设备，如：网络接入服务器(NAS)，宽带网络接入服务器(BNAS)，路由器，三层交换机，防火墙等，也包括为了辅助本功能实现而设置的访问控制设备、内容过滤设备等，由于所述的这些设备的连接关系为现有技术，就不再细述。

策略服务器，为控制网络访问功能的核心部件，有一个数据库，用来存放两种主要信息：一是经过分类的需要被过滤的网站地址或不良信息URL(Uniform Resource Locator)；二是注册了父母控制网络访问功能的用户信息及网络访问控制策略配置。所述的被过滤的网站地址和URL信息需要有一定的机制来经常进行更新，可以有专门的第三方机构或ISP(Internet Service Provider：Internet服务提供商)自己来不断发现、补充新出现的不良信息网站、URL。

配置服务器，其作用为提供Web服务器，作为用户配置接口，用户可以通过此接口来配置自己需要过滤的信息，比如选择过滤色情、暴力分类，不过滤游戏分类等。在实际应用时，配置服务器的设置可根据用户量多少来定，可以和所述的策略服务器合在一个物理的服务主机上来实现，也可以分开实现。

认证计费服务器，作用为实现标准的认证、计费功能，另外需要发消息给策略服务器通知用户的上线、下线信息。

请参考图4及图5，下面将对本发明的控制网络访问的方法的流程作具体介绍，所述的方法包括如下步骤：

步骤一、用户注册

在新用户开户或者老用户新申请此功能时，在策略服务器的数据库中增加用户信息，此时用户有相同的初始配置。

初始配置是需要过滤的网站种类的一个缺省设置。例如需要过滤的网站分为色情、暴力、游戏等类别，初始配置可以是选择过滤色情、暴力网站，不过滤游戏网站。

步骤二、用户配置

由于在步骤一中，用户注册此服务时，已经有初始配置，用户可以不再做任何配置就使用该功能。但如果有需要，用户也可以通过配置服务器来细化选择要控制访问的内容类别。进行用户配置时需要身份认证(输入口令或其它认证方式)，这个认证信息需要控制，使未成年人不能得到该论证信息。请参考图4，为用户修改自己的网络访问控制配置策略的一个具体例子，过程为：首先，用户通过在浏览器输入配置服务器的URL(点击ISP的其它Web页面上设置的链接)，呈现如图4的配置页面；然后，用户点选需要过滤的网站种类，也可以自己增加需要过滤的网站IP地址或域名，即可完成用户配置。

步骤三、用户上网

用户上网的具体过程请参考图5，所述的用户上网具体包括如下步骤：

(1)用户上网，首先要认证(可以是PPPoE拨号认证或Web认证，为现有技术)；

(2)认证计费服务器根据认证信息判断是否为合法用户，如果是，则将用户认证通过的消息通知给网络接入设备；

(3)认证计费服务器同时将用户认证通过的消息通知给策略服务器；策略服务器根据数据库中的用户信息判断新上线用户是否注册了控制网络访问服务，如果不是注册用户则不需做什么操作。如果是注册用户，则进行(4)步骤；

(4)策略服务器将用户的过滤设置策略发送给网络接入设备，由网络接入设备根据策略对注册用户的报文进行过滤；

(5)网络接入设备接收到用户认证通过的消息后，将该用户设置为已通过认证，用户可以访问Internet，注册用户是根据配置的过滤策略进行的受限访问，未注册用户仍是无限制访问；

网络接入设备对注册用户的报文过滤的具体实现方式可以根据具体的网络设备来定。例如一般的路由器、BNAS(宽带网络接入服务器)或三层交换机，可以通过ACL(访问控制列表)的方式来实现报文过滤；如果有支持URL过滤功能的网络设备，也可以来实现报文过滤；在注册此服务的用户数量多时，也可以设置专门的防火墙来实现报文过滤。

(6)用户下线时，先和认证计费服务器确认下线；

(7)认证计费服务器将用户下线的消息通知给网络接入设备，网络接入设备将用户设置为未认证状态，用户不能访问Internet；

(8)认证计费服务器同时将用户下线的消息通知给策略服务器，策略服务根据数据库中的用户信息判断新下线用户是否注册了控制网络访问服务，如果不是注册用户则不需做什么操作。如果是注册用户，则进行(9)步骤；

(9)策略服务器通知网络接入设备取消该用户相关的过滤设置。

在实际使用本发明的系统和方法时，除了实现控制网络访问的功能外，还可以实现其他一些功能，如：

目前的网络游戏越来越多，一些未成年人因沉溺于网络游戏而导致学习退步。那么此项功能也可以用于网络游戏控制，根据家长的要求，既可以完全控制不能访问网络游戏的服务器，也可以限时控制。比如每天只允许该用户连接某网络游戏服务器2小时，当天连接时间接近2小时后先推给客户端一个提醒页面，然后再启动对该网络游戏服务器地址的过滤。

有时用户在家中自己上网不想受设定好的过滤规则限制，可以临时登录配置服务器进行配置调整，也可以有其它的易于使用的方法。例如可以通过一个帐号双密码设置(一个密码对应不受限制的访问，家长自己使用；另一个密码对应启用网络访问控制功能的受限访问，给未成年人使用)，或者双帐号(或子帐号)等方式来实现。这样，既提供给用户访问控制的功能，又使用户有非常方便的选择，照顾到家庭成员的不同需要。

Claims (10)

1、一种控制网络访问的系统，其特征在于该系统包括：网络接入设备，与网络接入设备互连的用户终端、策略服务器和认证计费服务器；

所述用户终端通过网络接入设备接入网络；

所述认证计费服务器对用户进行认证和计费，将用户的认证结果发送给网络接入设备，将用户的上线、下线信息发送给策略服务器；

所述策略服务器将注册用户配置的用以实现控制网络访问的信息发送给网络接入设备，由网络接入设备根据该信息对注册用户的报文进行过滤。

2、如权利要求1所述的系统，其特征在于，所述的网络接入设备具体包括：网络接入服务器、宽带网络接入服务器、路由器、三层交换机、防火墙、访问控制设备或/和内容过滤设备。

3、如权利要求2所述的系统，其特征在于，所述的系统还包括配置服务器，该配置服务器作为Web服务器为用户提供配置接口，用户可以通过此接口来配置需要过滤的信息。

4、如权利要求3所述的系统，其特征在于，所述的配置服务器和所述的策略服务器合设为一体；或者为相互独立的服务器。

5、如权利要求1至4中任一项所述的系统，其特征在于，所述用以实现控制网络访问的信息主要包括两种信息：一是经过分类的需要被过滤的网站地址或不良信息URL；二是注册了父母控制网络访问功能的用户信息及网络访问控制策略配置。

6、一种控制网络访问的方法，其特征在于，所述的方法包括如下步骤：

A、用户终端向网络接入设备发起接入请求；

B、网络接入设备向认证计费服务器发送认证信息；

C、认证计费服务器根据认证信息判断是否为合法用户，如果是，则将用户认证通过的消息通知网络接入设备和策略服务器，并进行步骤D；否则将认证失败的消息通知网络接入设备，并进行步骤E；

D、策略服务器根据数据库中的用户信息判断所述用户是否注册了控制网络访问服务，如果是则将该用户配置的实现控制网络访问的信息发送给网络接入设备；

E、网络接入设备根据接收到的认证结果进行下述处理：

如果接收到用户认证通过消息和该用户的实现控制网络访问的信息，则将该用户接入网络并根据该实现控制网络访问的信息对用户报文进行过滤；

如果接收到用户认证失败的消息，则拒绝用户接入；

否则，将用户接入网络并不限制访问。

7、如权利要求6所述的方法，其特征在于，在步骤A之前，还包括步骤：用户注册，即用户在策略服务器的数据库中增加用户信息，并获得一个初始配置。

8、如权利要求6所述的方法，其特征在于，在步骤A和步骤B间，还可以包括如下步骤：

用户配置，即在步骤A中所获得的初始配置基础上，用户根据需要，用通过配置服务器来细化选择要控制访问的内容类别。

9、如权利要求6或7所述的方法，其特征在于所述步骤E中的网络接入设备对注册用户的报文过滤有如下三种方式：一、对于一般的路由器、宽带网络接入服务器或三层交换机，可以通过访问控制列表的方式来实现报文过滤；二、对于有支持URL过滤功能的网络设备，可以通过自身的过滤功能来实现报文过滤；三、在注册此服务的用户数量多时，也可以设置专门的防火墙来实现报文过滤。

10、如权利要求9所述的方法，其特征在于，所述的方法还包括如下步骤：

F、用户下线时，先和认证计费服务器确认下线；

G、认证计费服务器将用户下线的消息通知给网络接入设备，网络接入设备将用户设置为未认证状态，用户不能访问网络；

H、认证计费服务器同时将用户下线的消息通知给策略服务器，策略服务根据数据库中的用户信息判断新下线用户是否注册了控制网络访问服务，如果是注册用户，则通知网络接入设备取消该用户相关的过滤设置。

Images