WO2010031263A1 - 一种实现安全接入控制的方法及系统、服务器 - Google Patents

一种实现安全接入控制的方法及系统、服务器 Download PDF

Info

Publication number
WO2010031263A1
WO2010031263A1 PCT/CN2009/072062 CN2009072062W WO2010031263A1 WO 2010031263 A1 WO2010031263 A1 WO 2010031263A1 CN 2009072062 W CN2009072062 W CN 2009072062W WO 2010031263 A1 WO2010031263 A1 WO 2010031263A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
security
network
authentication result
switch
Prior art date
Application number
PCT/CN2009/072062
Other languages
English (en)
French (fr)
Inventor
谢永方
孙微佳
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Priority to EP09813984.3A priority Critical patent/EP2328319B1/en
Publication of WO2010031263A1 publication Critical patent/WO2010031263A1/zh
Priority to US13/051,142 priority patent/US8407462B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]

Definitions

  • the present invention relates to the field of computer Internet, and in particular, to a method, system and server for implementing secure access control.
  • the prior art network access control system deploys an 802.1X switch between the terminal and the internal network or the external network, and installs security control software on each terminal.
  • the 802.1X switch controls the access rights of the terminal.
  • the security control software implements the security policy delivered by the server and monitors the operation of the terminal. This implements the secure access control of the terminal access network and the security of the intranet.
  • the 802.1X switch controls the terminal's access right to open or close the terminal's access to the network. Once the terminal accesses the network, the terminal can browse the inside. Any information of the network or the external network is not subject to any restrictions, and the prior art security access control does not finely control the authority of the terminal to access the network.
  • Embodiments of the present invention provide a method, system, and server for implementing secure access control, which can finely control the authority of a terminal to access a network.
  • a method for implementing network security access control comprising:
  • the security access control gateway controls the access network resource of the terminal according to the authentication result
  • a server comprising:
  • a first authentication module configured to receive terminal identity information that is forwarded by the switch and encrypted by using a two-way encryption manner; decrypt the terminal identity information encrypted by using the two-way encryption method, and verify the decrypted terminal identity information;
  • the switch returns an authentication result, so that the switch controls the terminal to access the network according to the authentication result;
  • a second authentication module configured to encrypt the terminal identity information decrypted by the first authentication module by using a one-way encryption manner; verify the terminal identity information encrypted by using the one-way encryption mode; and return to the security access control gateway The authentication result is obtained, so that the security access control gateway controls the terminal to access the network resource according to the authentication result; and sends a security policy to the security control module of the terminal, where the terminal security control module is based on the security policy Said terminal monitoring.
  • a system for implementing network security access control includes: a server, a switch, a security access control gateway, and a terminal; the terminal includes: a sending module and a security control module,
  • the sending module is configured to send, to the switch, terminal identity information that is encrypted by using a two-way encryption manner;
  • the security control module receives a security policy delivered by the server, and monitors the terminal according to the security policy;
  • the server is configured to: receive terminal identity information that is encrypted by using the two-way encryption mode forwarded by the switch; decrypt the terminal identity information that is encrypted by using the two-way encryption mode, and verify the decrypted terminal identity information;
  • the switch returns the authentication result; using one-way encryption Encrypting the decrypted terminal identity information; authenticating the terminal identity information encrypted by using the one-way encryption mode; returning the authentication result to the security access control gateway; and transmitting the security to the security control module of the terminal Strategy
  • the switch is configured to forward, by the terminal, terminal identity information that is encrypted by using a two-way encryption manner to the server, receive an authentication result returned by the server, and control the terminal access network according to the authentication result. ;
  • the security access control gateway is configured to receive an authentication result returned by the server, and control the terminal to access the network resource according to the authentication result.
  • the method After the authentication of the terminal identity information using the two-way encryption mode and the one-way encryption mode is performed, the method returns the authentication result, and the switch controls the terminal access network according to the authentication result, and the security access control gateway accesses the network resource to the terminal according to the returned authentication result.
  • the security policy is sent to the terminal to monitor the terminal.
  • the security access control gateway controls the access rights of the terminal to the network, and the security policy of the terminal is used to monitor the operation of the terminal. By adding a security access control gateway, the terminal can be more finely controlled. Permissions.
  • Embodiments of the present invention are capable of more comprehensively addressing the security issues of the intranet.
  • FIG. 1 is a flowchart showing a system for implementing network security access control according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for implementing network security access control according to an embodiment of the present invention
  • a server structure diagram provided by an embodiment of the invention
  • FIG. 4 is a system diagram of implementing network security access control according to an embodiment of the present invention.
  • the embodiment of the invention provides a method, a system and a server for implementing network security access control, which are used for solving the security problem of the intranet.
  • FIG. 1 shows a system deployment structure for implementing network security access control according to an embodiment of the present invention.
  • the security access control gateway acts as a gateway device for the terminal to connect to the internal network or the external network.
  • the switch is connected to the security access control gateway.
  • the switch is connected to different terminals, and the security control software is installed on the terminal.
  • the server and the security access control gateway and the switch respectively Connected, the terminal sends identity authentication information to the server through the switch, and the server returns the authentication result to the switch and the security access control gateway, and returns a security policy to the security control module of the terminal.
  • the server maintains a database of identity information of a legitimate user and performs access authentication for the end user.
  • the server pre-imports all legal user identity information into the database, saves each user's account number and password, verifies the correctness of the account and password when the user accesses the network, and can further check the media access control of the terminal (MAC if necessary).
  • Media Access Control Media Access Control address information
  • user account information to be logged into the domain server account information that the user wants to log in to the lightweight directory access protocol server, etc., can uniquely indicate the identity of the user or the terminal to determine whether to let the terminal Access to the designated network.
  • the switch supports the 802.1x protocol.
  • the 802.1x protocol controls whether the switch port is opened or closed, and the access layer isolates unauthorized terminals from accessing the network.
  • the 802.1x protocol controls the switch to isolate the mutual access between the terminals connected to each port of the switch, effectively controlling the transmission of files or other data between the terminals, and effectively isolating the infection between the terminals.
  • the security access control gateway restricts the terminal from accessing the network resources of the specified IP segment according to the privilege level of the terminal user accessing the network verified by the server.
  • the security software monitors the operation of the terminal according to the security policy issued by the server, checks and resolves the security problem of the terminal, and monitors and blocks the operation of the security policy on the terminal.
  • the internal network is the intranet to be accessed by the terminal
  • the external network is the Internet that the terminal wants to access or the server that needs to be connected through the Internet.
  • FIG. 2 is a flowchart of a method for implementing network security access control according to an embodiment of the present invention.
  • the server verifies the user name and password information of the terminal, confirms whether the terminal is open to the Internet, the level of the terminal user accessing the network, and the security policy issued by the terminal.
  • the switch supporting the 802.1x protocol opens or closes the access rights of the terminal to access the network according to the authentication result returned by the server.
  • the security access control device opens the specified IP address segment to the terminal according to the privilege level of the terminal accessing the network returned by the server.
  • Step 201 The security control software on the terminal monitors the operation of the terminal according to the security policy delivered by the server, monitors the port that the terminal accesses the network, allows or prohibits the terminal from installing or running the software specified by the administrator, and checks and corrects the patch of the terminal system. Install, monitor, and disable the terminal to run certain processes, and so on.
  • the specific process is as follows: Step 201: The terminal sends, by using the switch, the terminal identity information encrypted by using the encrypted two-way encryption manner to the server;
  • the terminal is connected to the switch, and the encrypted terminal identity information sent by the terminal is sent to the server through the switch.
  • the two-way encryption mode is a two-way encryption mode supported by the switch. It can be DES, 3DES or AES.
  • the server After receiving the encrypted terminal identity information forwarded by the switch, the server performs step 202.
  • Step 202 The server decrypts the terminal identity information encrypted by the two-way encryption method, and verifies the decrypted terminal identity information.
  • the server maintains a database of identity information of a legitimate user and performs access authentication for the end user.
  • the server pre-imports all legal user identity information into the database, saves each user's account number and password, and verifies the correctness of the account and password when the user accesses the network.
  • Corresponding to each user on the server is the user's access to the network, the access level of the network, and the corresponding security policy that needs to be monitored. After the server verifies that the terminal user name and password are correct, it returns the user's access network rights and the access level of the network according to the user name, and the required security policy.
  • Step 203 The server returns an authentication result to the switch, and the switch turns on or off the port of the terminal accessing the network according to the returned authentication result.
  • the authentication result returned by the server to the switch includes: the access authority of the user; includes: if the returned authentication result is that the terminal has the right to access the network, the switch opens the port of the terminal to access the network; if the returned authentication result is that the terminal does not access the network Permission, the switch closes the terminal to access the end of the network mouth.
  • the port described here is the port that the terminal connects to the switch.
  • Step 204 The server encrypts the decrypted terminal identity information by using a one-way encryption mode.
  • the one-way encryption mode is a one-way encryption mode, which may be MD5 or SHA1.
  • Step 205 The server verifies the identity information of the terminal encrypted by using the one-way encryption mode; the server maintains an identity information database of a legitimate user, and performs access identity verification on the terminal user.
  • the server pre-imports all legal user identity information into the database, saves each user's account number and password, and verifies the correctness of the account and password when the user accesses the network.
  • Corresponding to each user on the server is the user's access to the network, the level of access to the network, and the corresponding security policy that needs to be monitored.
  • the server verifies that the terminal user name and password are correct, it returns the user's access network rights and the access level of the network according to the user name, and the required security policy.
  • Step 206 The server returns an authentication result to the security access control gateway, and the security access control gateway controls the terminal accessing the network resource according to the authentication result.
  • the authentication result returned by the server to the security access control gateway includes: the privilege level of the terminal accessing the network;
  • the security access control gateway controls the terminal accessing the network resource according to the authentication result, and the security access control gateway accesses the network resource of the specified IP address segment to the terminal through the switch according to the privilege level of the terminal accessing the network.
  • the privilege level of accessing the network includes: opening all access rights to the terminal, opening network access rights of some IP addresses to the terminal, or opening network access rights of one or several IP addresses to the terminal.
  • Step 207 The server sends a security policy to the terminal.
  • the security policy delivered by the server to the terminal includes: monitoring the port on which the terminal accesses the network, monitoring the process running on the terminal, and checking whether the terminal installs illegal software;
  • the security control software installed on the terminal monitors the terminal according to the security policy, including: monitoring a port that the terminal accesses the network, monitoring a process running on the terminal, and checking whether the terminal is in accordance with illegal software.
  • the security access control method provided by the embodiment of the present invention the switch supporting the 802.1x protocol turns on or off the access authority of the terminal according to the authentication result of the terminal identity information, and the secure access control gateway is based on the identity information of the terminal.
  • the authentication result specifically controls the terminal accessing network resources.
  • the security control software installed on the terminal specifically executes the security policy delivered by the server to monitor the terminal.
  • the embodiment of the invention implements fine control of the terminal accessing the network through the cooperation of the switch, the security access control gateway and the security control software, and ensures the security of the network content.
  • the security access control gateway and the 802.1x switch support the terminal to access the specific resources of the intranet, effectively control the access of the illegal user to the intranet resources, and limit the access level of the terminal user, thereby further ensuring the intranet resources.
  • Security At the same time, it also realizes the control terminal's access to the external network, effectively controls the leakage of internal terminal information, and strengthens network security.
  • the security control software is run on the terminal, and the terminal is monitored according to the security policy delivered by the server, and the abnormality of the terminal is discovered in time to further ensure the security of the deployed network.
  • a server structure embodiment that implements the above method is provided as follows.
  • FIG. 3 is a structural diagram of a server provided by an embodiment of the present invention.
  • a server comprising:
  • the first authentication module 310 is configured to receive terminal identity information that is forwarded by the switch and is encrypted by using a two-way encryption manner; decrypt the terminal identity information that is encrypted by using the two-way encryption mode, and verify the decrypted terminal identity information; The switch returns an authentication result, and the switch controls the terminal to access the network according to the authentication result;
  • the second authentication module 320 is configured to encrypt the terminal identity information that is decrypted by the first authentication module by using a one-way encryption manner, and verify the terminal identity information that is encrypted by using the one-way encryption mode; to the secure access control gateway.
  • the security access control gateway controls the terminal to access the network resource according to the authentication result; and sends a security policy to the security control module of the terminal, where the terminal security control module is configured according to the security policy Monitoring the terminal.
  • the authentication result returned by the first authentication module 310 to the switch includes the terminal having the right to access the network or the terminal not having the right to access the network.
  • the authentication result returned by the second authentication module 320 to the security access control gateway includes the permission level of the terminal accessing the network.
  • the security policy that is sent by the second authentication module 320 to the security control module of the terminal includes: monitoring a port that the terminal accesses the network, monitoring a process running on the terminal, and checking whether the terminal is illegal. software.
  • FIG. 4 is a system diagram for implementing network security access control according to an embodiment of the present invention.
  • a system for implementing network security access control comprising: a server 300, a switch 200, a security access control gateway 400, and a terminal 100;
  • the terminal 100 includes: a sending module 110 and a security control module 120;
  • the sending module 110 is configured to send, to the switch 200, terminal identity information that is encrypted by using a two-way encryption manner;
  • the security control module 120 is configured to receive a security policy that is sent by the server 300, and monitor the terminal according to the security policy;
  • the security policy issued by the server 300 to the security control module 120 of the terminal 100 includes: monitoring the port that the terminal accesses the network, monitoring the process running on the terminal, and checking whether the terminal installs illegal software; the security control module 120 monitors the terminal 100 according to the security policy. , including: monitoring the port on which the terminal accesses the network, monitoring the process running on the terminal, and checking whether the terminal is in accordance with illegal software.
  • the switch 200 is configured to forward, by using the terminal 100, the terminal identity information encrypted by using the two-way encryption mode to the server 300, and receive the authentication result returned by the server 300, and the terminal is determined according to the authentication result. 100 access to the network for control;
  • the authentication result returned by the server 300 to the switch 200 includes the access authority of the user.
  • the method includes: if the returned authentication result is that the terminal has the right to access the network, the switch 200 opens the port of the terminal to access the network; if the returned authentication result is that the terminal does not have access The authority of the network, the switch 200 closes the port where the terminal accesses the network.
  • the port described herein is the port to which the terminal 100 is connected to the switch 200.
  • the server 300 is configured to receive terminal identity information that is forwarded by the switch 200 and that is encrypted by using a two-way encryption manner; decrypt the terminal identity information that is encrypted by using the two-way encryption mode, and verify the decrypted terminal identity information. Returning the authentication result to the switch 200; encrypting the decrypted terminal identity information by using a one-way encryption method; verifying the terminal identity information encrypted by using the one-way encryption mode; and performing the secure access control gateway Returning the authentication result to the 400; sending a security policy to the security control module 120 of the terminal 100;
  • the security access control gateway 400 is configured to receive the authentication result returned by the server 300, and control the terminal 100 to access the network resource according to the authentication result.
  • the authentication result returned by the server to the security access control gateway includes: the privilege level of the terminal accessing the network;
  • the security access control gateway 400 controls the terminal to access network resources according to the authentication result.
  • the security access control gateway 400 opens the network resource of the specified IP address segment to the terminal 100 through the switch 200 according to the privilege level of the terminal accessing the network.
  • the privilege level of accessing the network includes: opening all access rights to the terminal 100, opening the network access right of the partial IP address to the terminal 100, or opening the network access right of one or several IP addresses to the terminal 100.
  • the switch 200 supporting the 802.1x protocol turns on or off the Internet access authority of the terminal 100 according to the authentication result of the terminal identity information, and the security access control gateway 400 authenticates the terminal according to the authentication result of the terminal identity information.
  • the security control module 120 of the terminal 100 specifically performs the security policy delivered by the server 300, and monitors the terminal 100.
  • the security of the switch 200, the security access control gateway 400, and the terminal 100 are implemented in the embodiment of the present invention.
  • the control module 120 works together to implement fine control of the terminal access network and ensure the security of the network content.
  • the security access control gateway 400 and the 802.1x-enabled switch 200 control the specific resources of the terminal to access the intranet, effectively control the access of the illegal user to the intranet resources, and limit the access level of the terminal user, thereby further ensuring the intranet.
  • Security of the resource at the same time, it also controls the terminal to access the external network, effectively controls the leakage of the internal terminal information, and strengthens the network security; further, the security control module 120 of the terminal 100, according to the security policy delivered by the server 300, the terminal 100 Monitoring is performed to detect the abnormality of the terminal 100 in time, and further ensuring the security of the deployed network.
  • multiple terminals may exist, and the switch is connected to the server and the secure access control gateway.
  • the implementation of the invention only takes the network security access control of one terminal as an example to illustrate the realization of the network security access control system, and the same applies to the network security access control of other terminals in the network.
  • the storage medium may be a magnetic disk, an optical disk, a read-only memory (ROM), or a random access memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Description

一种实现安全接入控制的方法及系统、 服务器
本申请要求于 2008 年 9 月 19 日提交中国专利局、 申请号为 200810149348.1、发明名称为 "一种实现安全接入控制的方法及系统、服务器" 的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及计算机互联网领域，尤其涉及一种实现安全接入控制的方法及 系统、 服务器。
背景技术
由于企业内部网络变得越来越庞大， 网络结构越来越复杂， 内部的终端数 也不断增长， 而且现实网络中病毒、 木马的泛滥， 非授权人员访问导致信息外 泄等，都给企业的网络安全带来了巨大的隐患，严重的干扰甚至中断企业的正 常业务， 于是企业纷纷寻找适合自己的网络安全方案。 除了部署防病毒和防火 墙系统之外，很多企业会通过部署网络接入控制系统来实现接入认证、对终端 进行安全性检查， 从而解决内网的安全性问题。
现有技术网络接入控制系统是在终端和内网或外网之间部署 802.1X交换 机， 在每个终端上安装安全控制软件。 802.1X 交换机对终端访问网络权限进 行控制， 安全控制软件执行服务器下发的安全策略， 监控终端的运行， 从而实 现终端访问网络的安全接入控制以及企业内网的安全。
在实现本发明的过程中， 发明人发现现有技术中至少存在如下问题： 802.1X 交换机控制终端上网权限是打开或关闭终端访问网络的权限， 一旦打 开终端访问网络的权限，终端就可以浏览内网或外网的任何信息而不受任何限 制， 现有技术的安全接入控制并不能精细地控制终端访问网络的权限。
发明内容
本发明实施例提供一种实现安全接入控制的方法及系统、服务器， 能够精 细地控制终端访问网络的权限。
为解决上述技术问题，本发明所提供的实现安全接入控制的方法及系统实 施例是通过以下技术方案实现的：
一种实现网络安全接入控制的方法， 包括：
接收交换机转发的使用双向加密方式加密的终端身份信息； 对所述使用双向加密方式加密的终端身份信息进行解密，并对解密后的终 端身份信息进行验证；
向所述交换机返回认证结果，以便交换机依据认证结果对所述终端访问网 络进行控制；
使用单向加密方式对所述解密后的终端身份信息进行加密；
对使用单向加密方式加密的终端身份信息进行验证；
向安全接入控制网关返回认证结果，以便安全接入控制网关依据认证结果 对所述终端访问网络资源进行控制；
向所述终端的安全控制模块下发安全策略，以便所述终端的安全控制模块 依据所述安全策略对所述终端进行监控。
一种服务器， 包括：
第一认证模块，用于接收交换机转发的使用双向加密方式加密的终端身份 信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并对解密后的 终端身份信息进行验证； 向所述交换机返回认证结果， 以便交换机依据所述认 证结果对所述终端访问网络进行控制；
第二认证模块，用于使用单向加密方式对所述第一认证模块解密的终端身 份信息进行加密；对所述使用单向加密方式加密的终端身份信息进行验证； 向 安全接入控制网关返回认证结果，以便安全接入控制网关依据所述认证结果对 所述终端访问网络资源进行控制； 向所述终端的安全控制模块下发安全策略， 所述终端安全控制模块依据所述安全策略对所述终端监控。
一种实现网络安全接入控制的系统， 包括： 服务器， 交换机， 安全接入控 制网关和终端； 所述终端包括： 发送模块和安全控制模块，
所述发送模块，用于向所述交换机发送使用双向加密方式加密的终端身份 信息；
所述安全控制模块，接收所述服务器下发的安全策略，依据所述安全策略 对终端进行监控；
所述服务器：用于接收所述交换机转发的使用双向加密方式加密的终端身 份信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并对解密后 的终端身份信息进行验证； 向所述交换机返回认证结果； 使用单向加密方式对 所述解密后的终端身份信息进行加密；对所述使用单向加密方式加密的终端身 份信息进行验证； 向所述安全接入控制网关返回认证结果； 向所述终端的安全 控制模块下发安全策略；
所述交换机，用于将所述终端发送的使用双向加密方式加密的终端身份信 息转发至所述服务器，接收所述服务器返回的认证结果， 并依据所述认证结果 对所述终端访问网络进行控制；
所述安全接入控制网关， 用于接收所述服务器返回的认证结果， 并依据所 述认证结果对所述终端访问网络资源进行控制。
本发明实施对使用双向加密方式和单向加密方式的终端身份信息验证之 后， 返回认证结果， 交换机根据认证结果对终端访问网络进行控制， 安全接入 控制网关根据返回的认证结果对终端访问网络资源进行控制； 且认证后， 向终 端发送安全策略，对终端进行监控。本发明实施例通过安全接入控制网关分别 对终端访问网络的权限进行控制，通过下发的安全策略对终端的运行情况进行 监控， 通过增加安全接入控制网关， 能更精细地控制终端的上网权限。 本发 明实施例能够更全面地解决内网的安全问题。
附图说明
为了更清楚地说明本发明实施例技术方案，下面将对实施例描述中所需要 使用的附图作一筒单地介绍，显而易见地， 下面描述中的附图仅仅是本发明的 一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1示出了本发明实施例提供的实现网络安全接入控制的系统部署结构； 图 2示出了本发明实施例提供的实现网络安全接入控制的方法流程图； 图 3示出了本发明实施例提供的服务器结构图；
图 4示出了本发明实施例提供的实现网络安全接入控制的系统图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是 全部的实施例。基于本发明中的实施例， 本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。 本发明实施例提供了一种实现网络安全接入控制的方法及系统、 服务器， 用于解决内网的安全性问题。
图 1示出了本发明实施例提供的实现网络安全接入控制的系统部署结构。 安全接入控制网关作为终端连接内网或外网的网关设备，交换机与安全接 入控制网关连接， 交换机下连接不同的终端， 终端上安装安全控制软件； 服务 器分别与安全接入控制网关和交换机连接，终端通过交换机向服务器发送身份 认证信息，服务器向交换机和安全接入控制网关返回认证结果， 并向终端的安 全控制模块返回安全策略。
服务器是维护一个合法用户的身份信息数据库，对终端用户进行接入身份 验证。服务器预先导入所有合法用户身份信息到数据库，保存每一个用户的帐 号和密码，在用户接入网络时验证其帐号和密码的正确性， 必要时还可以更深 入的审核终端的介质访问控制 （MAC, Media Access Control )地址信息、 用 户在要登录域服务器上的帐号信息、用户在要登录轻量级目录访问协议服务器 上的帐号信息等可以唯一表示用户或终端身份的信息，以确定是否让终端接入 指定网络网。
交换机支持 802.1x协议， 802.1x协议控制交换机端口的打开或者关闭， 在接入层隔离未经授权的终端接入网络。 另外， 802.1x协议控制交换机隔离 交换机各个端口连接的终端之间的互访，有效地控制终端之间文件或其他数据 的传输， 有效地隔离病毒在终端之间的感染。
安全接入控制网关根据服务器验证的终端用户访问网络的权限级别，限制 终端访问指定 IP段的网络资源。
终端上安装安全控制软件， 根据服务器下发的安全策略监控终端的运行， 监控终端访问网络的端口， 允许或禁止终端安装或运行管理员指定的软件，检 查和修正终端系统的补丁安装， 监视和禁止终端运行某些进程等。 总的来说， 安全软件根据服务器下发的安全策略监控终端的运行，检查和解决终端的安全 问题， 并监控和阻止终端上违反安全策略的操作。
需要说明的是： 内网是终端要访问的企业内网， 外网是终端要访问的互联 网或需要通过互联网连接的服务器等。
以下结合附图详细说明本发明实施例提供的实现网络安全接入控制的方 法及系统、 服务器。
图 2示出了本发明实施例提供的实现网络安全接入控制的方法流程图。 本实施例从终端向服务器发起认证开始，服务器验证终端的用户名和密码 信息， 确认是否对终端开放上网权限， 终端用户访问网络的级别， 对终端下发 怎样的安全策略等。 认证通过后， 支持 802.1x协议的交换机根据服务器返回 的认证结果， 开放或关闭终端访问网络的权限； 安全接入控制设备根据服务器 返回的终端访问网络的权限级别， 向终端开放指定 IP地址段的网络资源； 而 终端上的安全控制软件根据服务器下发的安全策略，监控终端的运行，监控终 端访问网络的端口， 允许或禁止终端安装或运行管理员指定的软件，检查和修 正终端系统的补丁安装， 监视和禁止终端运行某些进程等。 具体过程如下： 步骤 201、 终端通过交换机向服务器发送使用加密双向加密方式加密的终 端身份信息；
终端连接在交换机下，终端发送的加密的终端身份信息通过交换机发送到 服务器。 双向加密方式是交换机支持的双向加密方式， 可以采用 DES、 3DES 或 AES几种加密方式， 服务器收到交换机转发的加密的终端身份信息后， 执 行步骤 202。
步骤 202、 服务器将使用双向加密方式加密的终端身份信息进行解密， 并 对解密的终端身份信息进行验证；
服务器是维护一个合法用户的身份信息数据库，对终端用户进行接入身份 验证。服务器预先导入所有合法用户身份信息到数据库，保存每一个用户的帐 号和密码，在用户接入网络时验证其帐号和密码的正确性。服务器上与每个用 户对应的还有该用户的访问网络的权限，访问网络的权限级别以及所对应的需 要监控的安全策略。服务器验证终端用户名和密码正确后，再根据用户名返回 该用户的访问网络权限以及访问网络的权限级别， 以及所需要的安全策略。
步骤 203、 服务器向交换机返回认证结果， 交换机根据返回的认证结果打 开或关闭终端访问网络的端口；
服务器向交换机返回的认证结果包括： 该用户的上网权限； 包括： 若返回 的认证结果是终端有访问网络的权限， 则交换机打开终端访问网络的端口； 若 返回的认证结果是终端没有访问网络的权限，则交换机关闭终端访问网络的端 口。 此处所述端口是终端与交换机连接的端口。
步骤 204、 服务器使用单向加密方式对解密的终端身份信息进行加密； 单向加密方式是单向的加密方式， 具体可以是 MD5或 SHA1。
步骤 205、 服务器对使用单向加密方式加密的终端身份信息进行验证； 服务器是维护一个合法用户的身份信息数据库，对终端用户进行接入身份 验证。服务器预先导入所有合法用户身份信息到数据库，保存每一个用户的帐 号和密码，在用户接入网络时验证其帐号和密码的正确性。服务器上与每个用 户对应的还有该用户的访问网络的权限，访问网络的级别以及所对应的需要监 控的安全策略。服务器验证终端用户名和密码正确后，再根据其用户名返回该 用户的访问网络权限以及访问网络的权限级别， 以及所需要的安全策略。
步骤 206、 服务器向安全接入控制网关返回认证结果， 安全接入控制网关 依据认证结果对终端访问网络资源进行控制；
服务器向安全接入控制网关返回的认证结果包括：所述终端访问网络的权 限级别；
安全接入控制网关依据认证结果对终端访问网络资源进行控制， 包括： 安 全接入控制网关依据所述终端访问网络的权限级别通过交换机向终端开放访 问指定 IP地址段的网络资源。 访问网络的权限级别包括： 向终端开放所有的 访问权限， 向终端开放部分 IP地址的网络访问权限， 或者是向终端开放一个 或几个 IP地址的网络访问权限。
步骤 207、 服务器向终端下发安全策略；
服务器向终端下发的安全策略包括：监控终端访问网络的端口，监控终端 上运行的进程和检查终端是否安装非法软件；
终端上安装的安全控制软件依据所述安全策略对所述终端进行监控， 包 括： 监控终端访问网络的端口， 监控终端上运行的进程， 检查终端是否按照非 法软件。
综上所述， 本发明实施例提供的安全接入控制方法， 支持 802.1x协议的 交换机根据对终端身份信息的认证结果打开或关闭终端的上网权限，安全接入 控制网关根据对终端身份信息的认证结果对终端访问网络资源进行具体的控 制，终端上安装的安全控制软件具体执行服务器下发的安全策略对终端进行监 控； 本发明实施例通过交换机、 安全接入控制网关和安全控制软件共同作用， 实现对终端访问网络的精细控制， 保证网络内容的安全。 具体的， 安全接入控 制网关和支持 802.1x交换机控制终端访问内网的具体资源， 有效地控制非法 用户访问内网资源，且对终端用户的访问权限级别做限定， 更进一步保证内网 资源的安全性； 同时也实现控制终端访问外网的权限，有效控制内部终端信息 的泄露， 加强网络安全。 进一步的， 终端上运行安全控制软件， 根据服务器下 发的安全策略对终端进行监控，及时发现终端的异常， 更进一步保证部署网络 的安全。
如下提供实现上述方法的服务器结构实施例。
图 3示出了本发明实施例提供的服务器结构图。
一种服务器， 包括：
第一认证模块 310, 用于接收交换机转发的使用双向加密方式加密的终端 身份信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并对所述 解密的终端身份信息进行验证； 向所述交换机返回认证结果， 所述交换机依据 所述认证结果对所述终端访问网络进行控制；
第二认证模块 320, 用于使用单向加密方式对所述第一认证模块解密的终 端身份信息进行加密； 对所述使用单向加密方式加密的终端身份信息进行验 证； 向安全接入控制网关返回认证结果， 所述安全接入控制网关依据所述认证 结果对所述终端访问网络资源进行控制；向所述终端的安全控制模块下发安全 策略， 所述终端安全控制模块依据所述安全策略对所述终端监控。
进一步的，所述第一认证模块 310向所述交换机返回的认证结果包括所述 终端有访问网络的权限或终端没有访问网络的权限。
进一步的，所述第二认证模块 320向安全接入控制网关返回的认证结果包 括所述终端访问网络的权限级别。
进一步的，所述第二认证模块 320所述向终端的安全控制模块下发的安全 策略包括： 监控所述终端访问网络的端口，监控所述终端上运行的进程和检查 所述终端是否按照非法软件。
本发明实施例还提供实现网络安全接入控制的系统，图 4示出了本发明实 施例提供的实现网络安全接入控制的系统图。 一种实现网络安全接入控制的系统， 包括： 服务器 300, 交换机 200, 安 全接入控制网关 400和终端 100;
所述终端 100, 包括： 发送模块 110和安全控制模块 120;
所述发送模块 110, 用于向所述交换机 200发送使用双向加密方式加密的 终端身份信息；
所述安全控制模块 120, 用于接收所述服务器 300下发的安全策略， 依据 所述安全策略对终端进行监控；
服务器 300向终端 100的安全控制模块 120下发的安全策略包括：监控终 端访问网络的端口， 监控终端上运行的进程和检查终端是否安装非法软件； 安全控制模块 120依据安全策略对终端 100进行监控， 包括： 监控终端访 问网络的端口， 监控终端上运行的进程， 检查终端是否按照非法软件。
所述交换机 200, 用于将所述终端 100发送的使用双向加密方式加密的终 端身份信息转发至所述服务器 300, 接收所述服务器 300返回的认证结果， 并 依据所述认证结果对所述终端 100访问网络进行控制；
服务器 300向交换机 200返回的认证结果包括该用户的上网权限； 包括： 若返回的认证结果是终端有访问网络的权限，则交换机 200打开终端访问网络 的端口； 若返回的认证结果是终端没有访问网络的权限， 则交换机 200关闭终 端访问网络的端口。 此处所述端口是终端 100与交换机 200连接的端口。
所述服务器 300, 用于接收所述交换机 200转发的使用双向加密方式加密 的终端身份信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并 对所述解密的终端身份信息进行验证； 向所述交换机 200返回认证结果； 使用 单向加密方式对所述解密的终端身份信息进行加密；对所述使用单向加密方式 加密的终端身份信息进行验证； 向所述安全接入控制网关 400返回认证结果； 向所述终端 100的安全控制模块 120下发安全策略；
所述安全接入控制网关 400, 用于接收所述服务器 300返回的认证结果， 并依据所述认证结果对所述终端 100访问网络资源进行控制。
服务器向安全接入控制网关返回的认证结果包括：所述终端访问网络的权 限级别；
所述安全接入控制网关 400依据认证结果对终端访问网络资源进行控制， 包括：所述安全接入控制网关 400依据所述终端访问网络的权限级别通过交换 机 200向终端 100开放访问指定 IP地址段的网络资源。 访问网络的权限级别 包括： 向终端 100开放所有的访问权限， 向终端 100开放部分 IP地址的网络 访问权限， 或者是向终端 100开放一个或几个 IP地址的网络访问权限。
本发明实施例安全接入控制系统， 支持 802.1x协议的交换机 200根据对 终端身份信息的认证结果打开或关闭终端 100的上网权限，安全接入控制网关 400根据对终端身份信息的认证结果对终端访问网络资源进行具体的控制， 终 端 100的安全控制模块 120具体执行服务器 300下发的安全策略， 对终端 100 进行监控； 本发明实施例通过交换机 200、 安全接入控制网关 400和终端 100 的安全控制模块 120共同作用， 实现对终端访问网络的精细控制，保证网络内 容的安全。 具体的， 安全接入控制网关 400和支持 802.1x交换机 200控制终 端访问内网的具体资源，有效地控制非法用户访问内网资源，且对终端用户的 访问权限级别做限定， 更进一步保证内网资源的安全性； 同时也实现控制终端 访问外网的权限， 有效控制内部终端信息的泄露， 加强网络安全； 进一步的， 终端 100的安全控制模块 120, 根据服务器 300下发的安全策略对终端 100进 行监控， 及时发现终端 100的异常， 更进一步保证部署网络的安全。
在实现网络安全接入控制的系统中，可以存在多个终端， 同时通过交换机 与服务器和安全接入控制网关连接。本发明实施只以一个终端的网络安全接入 控制为例说明实现网络安全接入控制系统，同样适用与网络中其他终端的网络 安全接入控制。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程， 是可以通过计算机程序来指令相关的硬件来完成，所述的程序可存储于一计算 机可读取存储介质中，该程序在执行时，可包括如上述各方法的实施例的流程。 其中，所述的存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory, ROM )或随机存储记忆体（Random Access Memory, RAM )等。
以上对本发明所提供的一种实现网络安全接入控制的方法及系统、服务器 进行了详细介绍， 对于本领域的一般技术人员， 依据本发明实施例的思想， 在 具体实施方式及应用范围上均会有改变之处， 综上所述，本说明书内容不应理 解为对本发明的限制。

Claims

权 利 要 求
1、 一种实现网络安全接入控制的方法， 其特征在于， 包括：
接收交换机转发的使用双向加密方式加密的终端身份信息；
对所述使用双向加密方式加密的终端身份信息进行解密，并对解密后的终 端身份信息进行验证；
向所述交换机返回认证结果，以便交换机依据认证结果对所述终端访问网 络进行控制；
使用单向加密方式对所述解密后的终端身份信息进行加密；
对使用单向加密方式加密的终端身份信息进行验证；
向安全接入控制网关返回认证结果，以便安全接入控制网关依据认证结果 对所述终端访问网络资源进行控制；
向所述终端的安全控制模块下发安全策略，以便所述终端的安全控制模块 依据所述安全策略对所述终端进行监控。
2、 根据权利要求 1所述的实现网络安全接入控制的方法， 其特征在于， 所述向所述交换机返回的认证结果包括：
向所述交换机返回表示所述终端有访问网络的权限的认证结果，以便所述 交换机打开所述终端访问网络的端口； 或者
向所述交换机返回表示终端没有访问网络的权限的认证结果，以便所述交 换机关闭所述终端访问网络的端口。
3、 根据权利要求 1所述的实现网络安全接入控制的方法， 其特征在于， 所述向安全接入控制网关返回的认证结果包括： 所述终端访问网络的权限级 别，以便所述安全接入控制网关依据所述终端访问网络的权限级别向所述终端 开放访问指定 IP地址段的网络资源。
4、 根据权利要求 1所述的实现网络安全接入控制的方法， 其特征在于， 所述向终端的安全控制模块下发的安全策略包括：
向所述终端的安全控制模块下发关于监控所述终端访问网络的端口，和监 控所述终端上运行的进程， 和检查所述终端是否安装非法软件的安全策略， 以 便依据所述安全策略监控所述终端访问网络的端口，和监控所述终端上运行的 进程， 和检查所述终端是否按照非法软件。
5、 根据权利要求 1至 4所述的任一项实现网络安全接入控制的方法， 其 特征在于， 所述双向加密方式包括： DES、 3DES或 AES;
所述单向加密方式包括： MD5或 SHA1。
6、 一种服务器， 其特征在于， 包括：
第一认证模块，用于接收交换机转发的使用双向加密方式加密的终端身份 信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并对解密后的 终端身份信息进行验证； 向所述交换机返回认证结果， 以便所述交换机依据所 述认证结果对所述终端访问网络进行控制；
第二认证模块，用于使用单向加密方式对所述第一认证模块解密的终端身 份信息进行加密；对所述使用单向加密方式加密的终端身份信息进行验证； 向 安全接入控制网关返回认证结果，所述安全接入控制网关依据所述认证结果对 所述终端访问网络资源进行控制； 向所述终端的安全控制模块下发安全策略， 以便所述终端安全控制模块依据所述安全策略对所述终端监控。
7、 根据权利要求 6所述的服务器， 其特征在于， 所述第一认证模块向所 述交换机返回的认证结果包括：所述终端有访问网络的权限或终端没有访问网 络的权限。
8、 根据权利要求 7所述的服务器， 其特征在于， 所述第二认证模块向安 全接入控制网关返回的认证结果包括： 所述终端访问网络的权限级别。
9、 根据权利要求 8所述的服务器， 其特征在于， 所述第二认证模块所述 向终端的安全控制模块下发的安全策略包括： 监控所述终端访问网络的端口， 监控所述终端上运行的进程和检查所述终端是否按照非法软件。
10、 一种实现网络安全接入控制的系统， 其特征在于， 包括： 服务器， 交 换机， 安全接入控制网关和终端；
所述终端包括： 发送模块和安全控制模块，
所述发送模块，用于向所述交换机发送使用双向加密方式加密的终端身份 信息；
所述安全控制模块，接收所述服务器下发的安全策略，依据所述安全策略 对终端进行监控；
所述服务器：用于接收所述交换机转发的使用双向加密方式加密的终端身 份信息； 将所述使用双向加密方式加密的终端身份信息进行解密， 并对解密后 的终端身份信息进行验证； 向所述交换机返回认证结果； 使用单向加密方式对 所述解密后的终端身份信息进行加密；对所述使用单向加密方式加密的终端身 份信息进行验证； 向所述安全接入控制网关返回认证结果； 向所述终端的安全 控制模块下发安全策略；
所述交换机，用于将所述终端发送的使用双向加密方式加密的终端身份信 息转发至所述服务器，接收所述服务器返回的认证结果， 并依据所述认证结果 对所述终端访问网络进行控制；
所述安全接入控制网关， 用于接收所述服务器返回的认证结果， 并依据所 述认证结果对所述终端访问网络资源进行控制。
PCT/CN2009/072062 2008-09-19 2009-06-01 一种实现安全接入控制的方法及系统、服务器 WO2010031263A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP09813984.3A EP2328319B1 (en) 2008-09-19 2009-06-01 Method, system and server for realizing the secure access control
US13/051,142 US8407462B2 (en) 2008-09-19 2011-03-18 Method, system and server for implementing security access control by enforcing security policies

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008101493481A CN101378358B (zh) 2008-09-19 2008-09-19 一种实现安全接入控制的方法及系统、服务器
CN200810149348.1 2008-09-19

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/051,142 Continuation US8407462B2 (en) 2008-09-19 2011-03-18 Method, system and server for implementing security access control by enforcing security policies

Publications (1)

Publication Number Publication Date
WO2010031263A1 true WO2010031263A1 (zh) 2010-03-25

Family

ID=40421709

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/072062 WO2010031263A1 (zh) 2008-09-19 2009-06-01 一种实现安全接入控制的方法及系统、服务器

Country Status (4)

Country Link
US (1) US8407462B2 (zh)
EP (1) EP2328319B1 (zh)
CN (1) CN101378358B (zh)
WO (1) WO2010031263A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103001968A (zh) * 2012-12-14 2013-03-27 温州电力局 一种网络监测系统及方法
CN104135729A (zh) * 2014-07-30 2014-11-05 国家电网公司 一种无线终端安全接入信息内网的系统及方法
US10237271B2 (en) 2013-07-03 2019-03-19 Hewlett Packard Enterprise Development Lp Access terminal

Families Citing this family (35)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101378358B (zh) * 2008-09-19 2010-12-15 成都市华为赛门铁克科技有限公司 一种实现安全接入控制的方法及系统、服务器
US8671207B2 (en) * 2008-12-12 2014-03-11 Panasonic Corporation Communication network system
CN102404363B (zh) * 2010-09-10 2015-08-26 联想(北京)有限公司 一种访问方法及装置
CN102299928A (zh) * 2011-09-13 2011-12-28 航天科工深圳（集团）有限公司 一种网络终端业务认证方法及装置
CN102916981A (zh) * 2012-11-20 2013-02-06 北京恒华伟业科技股份有限公司 网络权限的控制方法和装置
CN104159271B (zh) * 2013-05-15 2018-07-31 华为技术有限公司 边界控制方法、接入控制器和系统
CN103369531B (zh) * 2013-07-02 2017-07-04 新华三技术有限公司 一种基于终端信息进行权限控制的方法及装置
CN104602038B (zh) * 2013-10-30 2018-01-12 中国电信股份有限公司 一种端口控制方法和系统
CN103686728B (zh) * 2013-11-19 2017-04-26 国家电网公司 基于区域认证的电力专用无线网络系统及无线传输方法
CN103812661B (zh) * 2014-03-10 2017-02-08 中国电子科技集团公司第三十四研究所 一种在lmp中采用认证安全实现邻居发现的方法
EP2990978B1 (en) * 2014-08-28 2020-11-18 Vodafone GmbH Operating a device for forwarding protected content to a client unit
US9552493B2 (en) * 2015-02-03 2017-01-24 Palo Alto Research Center Incorporated Access control framework for information centric networking
CN104753962A (zh) * 2015-04-23 2015-07-01 厦门雅迅网络股份有限公司 一种obd安全管理方法和系统
CN105162763B (zh) * 2015-07-29 2020-12-04 网神信息技术（北京）股份有限公司 通讯数据的处理方法和装置
CN105262777A (zh) * 2015-11-13 2016-01-20 北京奇虎科技有限公司 一种基于局域网的安全检测方法和装置
CN105978900A (zh) * 2016-06-27 2016-09-28 安徽科成信息科技有限公司 一种新型网络监控装置
CN105933346A (zh) * 2016-06-27 2016-09-07 安徽科成信息科技有限公司 一种网络巡警
CN107786525B (zh) * 2016-08-31 2020-06-12 北京国双科技有限公司 网页页面的账号验证方法和装置
CN108494731B (zh) * 2018-02-08 2021-04-02 中国电子科技网络信息安全有限公司 一种基于双向身份认证的抗网络扫描方法
CN108667832B (zh) * 2018-04-28 2022-11-01 北京东土军悦科技有限公司 基于配置信息的认证方法、服务器、交换机和存储介质
CN109510829A (zh) * 2018-11-21 2019-03-22 张天真 一种网络终端控制方法
CN109922058B (zh) * 2019-02-27 2021-01-05 江西网是科技有限公司 一种防止非法访问内网的内网保护方法
CN110430179A (zh) * 2019-07-26 2019-11-08 西安交通大学 一种针对内外网安全访问的控制方法与系统
CN113271285B (zh) * 2020-02-14 2023-08-08 北京沃东天骏信息技术有限公司 接入网络的方法和装置
CN111343088B (zh) * 2020-02-21 2021-01-29 清华大学 一种报文传输方法及装置、终端、存储介质
CN111343193B (zh) * 2020-03-06 2022-06-07 咪咕文化科技有限公司 云网络端口安全防护方法、装置、电子设备及存储介质
CN113300872A (zh) * 2020-11-11 2021-08-24 众源科技(广东)股份有限公司 一种安全网关
CN112448957B (zh) * 2020-11-27 2023-04-25 成都新希望金融信息有限公司 网络隔离方法、装置、系统、服务端和可读存储介质
CN112615829A (zh) * 2020-12-08 2021-04-06 北京北信源软件股份有限公司 一种终端接入认证方法及系统
CN112910882B (zh) * 2021-01-28 2022-08-12 山东有人物联网股份有限公司 网络管理方法、装置、系统及计算机可读存储介质
US20230171099A1 (en) * 2021-11-27 2023-06-01 Oracle International Corporation Methods, systems, and computer readable media for sharing key identification and public certificate data for access token verification
CN113901507B (zh) * 2021-12-08 2022-04-19 粤港澳大湾区数字经济研究院(福田) 一种多参与方的资源处理方法及隐私计算系统
CN115001804B (zh) * 2022-05-30 2023-11-10 广东电网有限责任公司 应用于野外站的旁路访问控制系统、方法及存储介质
CN115277237A (zh) * 2022-08-01 2022-11-01 中国银行股份有限公司 移动终端接入企业内网的控制方法及装置
CN116527403B (zh) * 2023-07-03 2023-09-08 国网四川省电力公司信息通信公司 用于局域网的网络安全控制方法和系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553638A (zh) * 2003-06-06 2004-12-08 华为技术有限公司 一种基于身份认证的地址转换方法
CN101022340A (zh) * 2007-03-30 2007-08-22 武汉烽火网络有限责任公司 实现城域以太网交换机接入安全的智能控制方法
CN101378358A (zh) * 2008-09-19 2009-03-04 成都市华为赛门铁克科技有限公司 一种实现安全接入控制的方法及系统、服务器

Family Cites Families (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2001093055A1 (en) * 2000-06-01 2001-12-06 Safa Soft Co. Ltd Total system for preventing information outflow from inside
CA2443688A1 (en) * 2001-04-09 2002-10-17 Colubris Networks Inc. Authentication and encryption method and apparatus for a wireless local access network
US20040107360A1 (en) * 2002-12-02 2004-06-03 Zone Labs, Inc. System and Methodology for Policy Enforcement
US20030041238A1 (en) * 2001-08-15 2003-02-27 International Business Machines Corporation Method and system for managing resources using geographic location information within a network management framework
WO2003029916A2 (en) * 2001-09-28 2003-04-10 Bluesocket, Inc. Method and system for managing data traffic in wireless networks
AU2003201231A1 (en) * 2002-01-04 2003-07-30 Lab 7 Networks, Inc. Communication security system
US20060031936A1 (en) * 2002-04-04 2006-02-09 Enterasys Networks, Inc. Encryption security in a network system
US7437752B2 (en) * 2002-09-23 2008-10-14 Credant Technologies, Inc. Client architecture for portable device with security policies
DE10393526T5 (de) 2002-10-17 2005-09-29 Enterasys Networks, Inc., Andover System und Verfahren für IEEE 802.1X Benutzerauthentifizierung in einem Netzzutrittsgerät
US8543710B2 (en) * 2004-03-10 2013-09-24 Rpx Corporation Method and system for controlling network access
US20060085853A1 (en) * 2004-10-15 2006-04-20 Simpson William F System and method for managing the execution of unauthorized programs on a university computer network
US20060090196A1 (en) * 2004-10-21 2006-04-27 Van Bemmel Jeroen Method, apparatus and system for enforcing security policies
WO2006059295A1 (en) 2004-12-01 2006-06-08 Koninklijke Philips Electronics, N.V. Associative content retrieval
JP2007005847A (ja) * 2005-06-21 2007-01-11 Alaxala Networks Corp ネットワークにおけるデータ伝送制御
US7437755B2 (en) * 2005-10-26 2008-10-14 Cisco Technology, Inc. Unified network and physical premises access control server
CN100563158C (zh) * 2005-10-26 2009-11-25 杭州华三通信技术有限公司 网络接入控制方法及系统
US7814311B2 (en) * 2006-03-10 2010-10-12 Cisco Technology, Inc. Role aware network security enforcement
FR2899749B1 (fr) * 2006-04-07 2008-07-04 Groupe Ecoles Telecomm Procede de protection d'identite, dispositifs, et produit programme d'ordinateur correspondants.
JP4732974B2 (ja) * 2006-07-27 2011-07-27 株式会社日立製作所 パケット転送制御方法およびパケット転送装置
CN100499554C (zh) * 2007-06-28 2009-06-10 杭州华三通信技术有限公司 网络准入控制方法及网络准入控制系统
US9172686B2 (en) * 2007-09-28 2015-10-27 Alcatel Lucent Facilitating heterogeneous authentication for allowing network access
US20090271852A1 (en) * 2008-04-25 2009-10-29 Matt Torres System and Method for Distributing Enduring Credentials in an Untrusted Network Environment
US8700891B2 (en) * 2008-05-09 2014-04-15 Broadcom Corporation Preserving security association in MACsec protected network through VLAN mapping

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553638A (zh) * 2003-06-06 2004-12-08 华为技术有限公司 一种基于身份认证的地址转换方法
CN101022340A (zh) * 2007-03-30 2007-08-22 武汉烽火网络有限责任公司 实现城域以太网交换机接入安全的智能控制方法
CN101378358A (zh) * 2008-09-19 2009-03-04 成都市华为赛门铁克科技有限公司 一种实现安全接入控制的方法及系统、服务器

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2328319A4 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103001968A (zh) * 2012-12-14 2013-03-27 温州电力局 一种网络监测系统及方法
US10237271B2 (en) 2013-07-03 2019-03-19 Hewlett Packard Enterprise Development Lp Access terminal
CN104135729A (zh) * 2014-07-30 2014-11-05 国家电网公司 一种无线终端安全接入信息内网的系统及方法

Also Published As

Publication number Publication date
US20110179267A1 (en) 2011-07-21
CN101378358B (zh) 2010-12-15
EP2328319A4 (en) 2011-10-19
US8407462B2 (en) 2013-03-26
EP2328319B1 (en) 2015-09-09
CN101378358A (zh) 2009-03-04
EP2328319A1 (en) 2011-06-01

Similar Documents

Publication Publication Date Title
WO2010031263A1 (zh) 一种实现安全接入控制的方法及系统、服务器
US20220147601A1 (en) Systems and Methods for Providing Real Time Security and Access Monitoring of a Removable Media Device
US11190493B2 (en) Concealing internal applications that are accessed over a network
US8407240B2 (en) Autonomic self-healing network
US20080276309A1 (en) System and Method for Securing Software Applications
US20140281539A1 (en) Secure Mobile Framework With Operating System Integrity Checking
US20080148046A1 (en) Real-Time Checking of Online Digital Certificates
US20090193503A1 (en) Network access control
CA2545145A1 (en) One-core, a solution to the malware problems of the internet
US20070011452A1 (en) Multi-level and multi-factor security credentials management for network element authentication
CN113472758B (zh) 访问控制方法、装置、终端、连接器及存储介质
CN111131244B (zh) 防止恶意内容侵染网站页面的方法和系统以及存储介质
CN102882857A (zh) 客户端装置、加密存储装置、远程访问方法及系统
US20240064021A1 (en) Access control method, apparatus, network side device, terminal and blockchain node
CN111526150A (zh) 关于单集群或多集群云电脑远程运维端口零信任自动化规则放行平台及放行方法
CN101764788B (zh) 基于扩展802.1x认证系统的安全接入方法
CN106685912B (zh) 一种应用系统的安全访问方法
US10298588B2 (en) Secure communication system and method
JP6266170B2 (ja) ３層セキュリティおよび算出アーキテクチャ
CN116248405A (zh) 一种基于零信任的网络安全访问控制方法及采用该方法的网关系统、存储介质
Baugher et al. Home-network threats and access controls
US11695799B1 (en) System and method for secure user access and agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11757934B1 (en) Extended browser monitoring inbound connection requests for agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11711396B1 (en) Extended enterprise browser blocking spread of ransomware from alternate browsers in a system providing agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links
US11736520B1 (en) Rapid incidence agentless lateral movement protection from ransomware for endpoints deployed under a default gateway with point to point links

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09813984

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009813984

Country of ref document: EP