WO2012116519A1 - 一种网络设备差异化授权的方法及系统 - Google Patents

一种网络设备差异化授权的方法及系统 Download PDF

Info

Publication number
WO2012116519A1
WO2012116519A1 PCT/CN2011/073608 CN2011073608W WO2012116519A1 WO 2012116519 A1 WO2012116519 A1 WO 2012116519A1 CN 2011073608 W CN2011073608 W CN 2011073608W WO 2012116519 A1 WO2012116519 A1 WO 2012116519A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
authentication
authorization
user information
permission
Prior art date
Application number
PCT/CN2011/073608
Other languages
English (en)
French (fr)
Inventor
朱起辉
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2012116519A1 publication Critical patent/WO2012116519A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the invention relates to the field of network authority setting, in particular to a method and system for differentiating authorization of a network device. Background technique
  • TACACS+ Terminal Access Controller Access Control System
  • TACACS+ provides independent authentication, 4 authorization, and "i" long-term authentication, separating authentication, authorization, and accounting, and connecting data between network devices and security servers. Transfer encryption.
  • the TACACS+ needs to set an authorization relationship for each user on all the network devices.
  • the differentiated authorization means that different users have different authorizations on the network device. This method is not only cumbersome to operate, but also requires an authorization relationship for all users on the newly added network device when the network device is expanded. The maintenance overhead is huge. Summary of the invention
  • the main object of the present invention is to provide a method and system for differentiated authorization of network devices, simplifying the process of differentiated settings, and facilitating network maintenance.
  • the present invention provides a method for differentiated authorization of a network device, the method comprising: determining that after the authentication is passed, the network device accesses the controller through the terminal to access the control system
  • the TACACS server authorizes the user and opens the corresponding rights for the user according to the authorization result.
  • the determining the authentication includes: the TACACS server reads the user information in the authentication request sent by the network device, compares it with the locally saved user information, determines that the two are the same, and then queries according to the device address in the authentication request. If the user right corresponding to the user information pre-stored locally determines that the device address does not belong to the Refuse permission in the user right, the authentication is determined to pass.
  • the authorization of the user by the TACACS server includes: the network device determines that the authentication is passed, and sends an authorization request including the user information and the device address to the TACACS server; or the user executes the command on the network device, and the network device sends the TACACS server to the TACACS server. Send an authorization request containing user information, device address, and commands.
  • the TACACS server authorizing the user includes: the TACACS server queries the device group in which the device address is located in the user right corresponding to the user information according to the device address and the user information in the authorization request sent by the network device. Obtaining the permission command set in the permission list corresponding to the device group, and sending the permission command set to the network device; or the TACACS server querying the user right corresponding to the user information according to the device address and the user information in the authorization request sent by the network device, the device address If the device group in the device determines that the command in the authorization request matches any one of the permission commands in the permission list corresponding to the device group, the authorization is passed.
  • the present invention also provides a system for differentiated authorization of a network device, the system comprising: an information input module, an authentication and authorization module; An information input module, configured to receive user information input by the user, and send the user information to the authentication and authorization module for authentication;
  • the authentication and authorization module is configured to authenticate the user according to the user information, and when the authentication is determined, the user is authorized, and the network device opens the corresponding authority for the user according to the authorization result.
  • system further includes a configuration module, and a configuration module, configured to configure user rights;
  • the authentication and authorization module is specifically configured to read the user information in the authentication request sent by the information input module, compare with the user information in the configuration module, determine the match between the two, and then query and configure according to the device address in the authentication request.
  • the user right corresponding to the user information in the module determines that the device address does not belong to the Refuse authority in the user right, and then determines that the authentication is passed.
  • the information input module is further configured to receive an authentication response returned by the authentication and authorization module, and send an authorization request including the user information and the device address to the authentication and authorization module; or, the user executes the command, and sends the user information to the authentication and authorization module, Device address and authorization request for the command.
  • the authentication and authorization module is further configured to: according to the device address and the user information in the authorization request, query the device group corresponding to the user information, the device group where the device address is located, and obtain the permission in the permission list corresponding to the device group.
  • the command set is sent to the network device; or, according to the device address and the user information in the authorization request, the device group corresponding to the user information, the device group where the device address is located, and the command corresponding to the device group in the authorization request are queried. If any of the permission commands in the permission command set in the permission list matches, the authorization is sent to the network device through the response.
  • the user rights corresponding to the user information are configured on the TACACS server, and when the network is expanded, according to the different permission levels of the user, only in the device group corresponding to the user rights. Adding the address of the expanded device can simplify the process of differentiated settings and facilitate network maintenance.
  • FIG. 1 is a schematic flowchart of a method for implementing differentiated authorization of a network device according to the present invention
  • Figure 2 is an example diagram of a default permission list
  • Figure 3a, b are diagrams of privileged device groups and corresponding special permission lists
  • FIG. 4 is a schematic diagram of a system composition for implementing differentiated authorization of a network device according to the present invention. detailed description
  • the basic idea of the present invention is: After determining that the user authentication is passed, the network device authorizes the user through the TACACS server, and opens the corresponding authority for the user according to the authorization result.
  • the method for differentiating authorization of a network device provided by the present invention is as shown in FIG. 1 , and the specific steps are as follows:
  • Step 101 The network device determines that the user authentication is passed through the TACACS server.
  • the user inputs user information on the network device, and logs in to the network device, where the network device sends an authentication request to the TACACS server.
  • the authentication request includes user information, Device address; the user information includes a username and a password.
  • the TACACS server receives the authentication request, obtains the user information, compares it with the locally saved user information, and determines that the two are the same. Then the user information entered by the user is correct. Otherwise, the user information entered by the user is incorrect, and the authentication fails; the TACACS server determines the user input. After the user information is correct, the device searches for the user rights corresponding to the user information stored in the local authentication, and determines that the device address does not belong to the Refuse permission in the user right, and the authentication passes; otherwise, the authentication fails. .
  • the user authority corresponds to the user information, and includes a device group and a corresponding permission list, where the device group includes a default device group and a privileged device group, where the default device group includes a device address, and a default permission.
  • the privileged device group includes a device address corresponding to a special permission list
  • the default permission list includes a default permission level
  • a corresponding default right Limit command set the default permission command set contains preset default permission commands.
  • the permission level (Privilege), that is, the default permission level is Level 0, and the command command set (Shell Command Authorization Set), that is, the default permission command set is Command Set- Default, Command Set-Default may include a predefined default permission command; the special permission list includes a special permission level, and a corresponding special permission command set, where the special permission command set includes a preset special permission command,
  • the privileged device group is device group A (Device Group A) and device group B (Device Group B).
  • the device address (Device IP) in Device Group A is 192.168.0.2, in Device Group B.
  • the address of the device is between 192.168.0.11 and 192.168.0.133.
  • the special permission level corresponding to Device Group A is Level 15 and the special permission command set is Command Set A.
  • the special set is predefined in Command Set A.
  • the permission command that is, the user's permission level on the device address 192.168.0.2 is Level 15 and has a special permission command.
  • the corresponding permission level in Device Group B is Refuse, and the special permission command set is Command Set B, that is, the network device with user address 192.168.0.11 to 192.168.0.133 It was rejected for use.
  • each user information may correspond to one or more privileged device groups and corresponding special permission lists, and each special permission list may correspond to different special permission command sets, and the default permission command set and the special permission command set may be Define the permission commands in them as needed. If the special permission level corresponding to the special permission list is Refuse, the user is denied to log in at the device. In this way, if the network device is expanded, the network device is added, and the device address can be added to the default device or the privileged device group according to the user's rights on the network device, and the corresponding device does not need to be set for each user on the network device. permission.
  • the TACACS server determines that the authentication is passed, and the response to the network device includes the user authentication pass.
  • the authentication response of the information determining that the authentication fails, and replying to the network device with the authentication response including the user authentication failure message.
  • Step 102 The network device performs authorization by using a TACACS server.
  • the network device receives the authentication response that includes the user authentication pass message replied by the TACACS server, and sends an authorization request to the TACACS server, where the authorization request includes the user information and the device address; the TACACS server queries the user information according to the device address.
  • User permission obtain the device group where the device address is located, and read the permission command set in the permission list corresponding to the device group. That is, if the device address belongs to the default device group, the user has default permissions on the device. If the device address belongs to the privileged device group, the user has special rights on the device.
  • the TACACS server will obtain the default permission command set in the default permission list or the special permission command set in the special permission list. Internet equipment.
  • the user executes a command on the network device, that is, the user inputs a command on the network device, and the network device sends an authorization request including the command, the user information, and the device address to the TACACS server; the TACACS server obtains the user authority according to the device address and the user information.
  • the device group where the device address is located if the command entered by the user matches any one of the permission commands in the permission command set in the permission list corresponding to the device group; that is, the command entered by the user and the default device Any of the default permission command sets in the default permission list corresponding to the group
  • the command belongs to the privilege command set in the privilege list corresponding to the device group, and the user has the privilege to execute the command, and the TACACS server replies to the network device with an authorization response, otherwise, The command does not belong to the permission command set in the permission list corresponding to the device group. The user does not have the permission to execute the command.
  • the TACACS server replies to the network device with the authorization failure response.
  • Step 103 The network device opens the corresponding authority to the user according to the authorization result.
  • the network device responds with a default permission command set or special permission according to the TACACS server.
  • the authorization response of the command set opening the corresponding authority to the user, that is, allowing the user to execute the command in the default permission command set or the special permission command set; or
  • the network device allows the user to execute the command on the network device according to the Authenticated Response replied by the TACACS server, and refuses to allow the user to execute the command on the network device according to the Authenticated Response replied by the TACACS server.
  • the present invention further provides a network device differentiated authorization system.
  • the system includes: an information input module 401, an authentication and authorization module 402; wherein the information input module 401 is located in a network device.
  • the authentication and authorization module 402 is located at the TACACS server;
  • the information input module 401 is configured to receive user information input by the user, and send the user information to the authentication and authorization module 402 for authentication; the user information includes a user name and a password;
  • the authentication and authorization module 402 is configured to authenticate the user according to the user information, and when determining that the user passes the authentication on the network device, return the authentication result to the network device through the authentication response; authorize the user, and return the authorization result to the network device.
  • the network device opens the corresponding authority to the user according to the authorization result.
  • the system further includes: a configuration module 403 for configuring user rights.
  • the user authority corresponds to the user information, and includes a device group and a corresponding permission list, where the device group includes a default device group and a privileged device group; wherein the default device group includes a device address, and a default permission
  • the privileged device group includes a device address corresponding to the special permission list
  • the default permission list includes a default permission level, and a corresponding default permission command set, where the default permission command set includes a preset default The permission command
  • the special permission list includes a special permission level, and a corresponding special permission command set, where the special permission command set includes a preset special permission command.
  • the authentication and authorization module 402 is specifically configured to compare the user information with the locally saved user information according to the user information in the authentication request sent by the information input module, and determine that the two are the same; Further, the user right corresponding to the locally stored user information is queried according to the device address in the authentication request, and it is determined that the device address does not belong to the user right, and the privileged device group corresponds to
  • the information input module 401 is further configured to: send an authorization request including the user information and the device address to the authentication and authorization module 402 according to the authentication response that is included in the authentication and authorization module and the authentication and authorization message is sent; or
  • the user executes the command and sends an authorization request containing the user information, the device address, and the command to the authentication and authorization module 402.
  • the authentication and authorization module 402 is specifically configured to: according to the user information in the authorization request, query the user authority corresponding to the user information in the configuration module, and then obtain the permission command set in the permission list corresponding to the device group where the device address is located according to the device address, that is, if The device address belongs to the default device group, and the default permission command set in the default permission list corresponding to the default device group is sent to the network device. If the device address belongs to the privileged device group, the special device group corresponding to the device address is corresponding. The special permission command set in the permission list is sent to the network device; or
  • the user information in the authorization request query the user authority corresponding to the user information, according to the location of the device address.
  • the command in the authorization request is obtained, and the command is determined to be consistent with any one of the permission commands in the permission command set, and the network device is replied to the authorization response; otherwise, the authorization is returned to the network device.

Abstract

本发明公开一种网络设备差异化授权的方法，包括：确定认证通过后；网络设备通过TACACS服务器对用户进行授权，并根据授权结果为用户开放相应权限。本发明还公开了一种网络设备差异化授权的系统，采用本发明所述的方法及系统，简化差异化设置的过程，有利于网络维护。

Description

一种网络设备差异化授权的方法及系统 技术领域
本发明涉及网络权限设置领域， 特别是指一种网络设备差异化授权的 方法及系统。 背景技术
随着 Internet的高速发展， 越来越多的应用得以通过网络实现， 拨号用 户、专线用户以及各种商用业务的发展使 Internet面临许多挑战。如何安全、 有效、 可靠的保证计算机网络信息资源的存取、 用户如何以合法身份登录 网络设备、 怎样授予用户相应的权限， 以及怎样记录用户的操作记录成为 网络服务需要考虑和解决的问题。 正是基于此， 认证授权计费 （AAA, Authentication Authorization Accounting )协议逐渐发展完善起来 , 成为网络 设备解决上述问题的标准。
终端访问控制器访问控制系统 ( TACACS+ )是基于客户端 -服务器模式 的 AAA协议， 是一种为路由器、 网络访问服务器和其他互联的计算设备通 过一个或多个集中的服务器提供访问控制的协议； TACACS+提供了独立的 认证、 4受权和 "i己贝长月良务, 将认证 ( authentication )、 4受权 ( authorization ) 和计费 （accounting )相分离， 并且将网络设备和安全服务器之间的数据传 输加密。
但是，针对网络设备的差异化授权， TACACS+需要在所有网络设备上， 针对每个用户分别设置授权关系； 其中， 所述差异化授权是指不同用户在 网络设备有不同的授权。 这种方式不但操作繁瑣， 而且在后期网络设备扩 容时， 需要在新添加的网络设备上为所有用户设置授权关系， 维护开销巨 大。 发明内容
有鉴于此， 本发明的主要目的在于提供一种网络设备差异化授权的方 法及系统， 简化差异化设置的过程， 有利于网络维护。
为达到上述目的， 本发明的技术方案是这样实现的：
本发明提供了一种网络设备差异化授权的方法， 该方法包括： 确定认证通过后， 网络设备通过终端访问控制器访问控制系统
TACACS服务器对用户进行授权， 并根据授权结果为用户开放相应权限。
上述方案中， 所述确定认证通过包括： TACACS服务器读取网络设备 发送的认证请求中的用户信息， 与本地保存的用户信息比较， 确定两者相 同时， 再根据认证请求中的设备地址， 查询本地预存的所述用户信息对应 的用户权限， 确定设备地址不属于用户权限中的拒绝 Refuse权限， 则确定 认证通过。
上述方案中， 所述通过 TACACS服务器对用户进行授权包括： 网络设 备确定认证通过， 向 TACACS服务器发送包含用户信息以及设备地址的授 权请求； 或者， 用户在网络设备上执行命令， 网络设备向 TACACS服务器 发送包含用户信息、 设备地址以及命令的授权请求。
上述方案中， 所述 TACACS服务器对用户进行授权包括： TACACS月良 务器根据网络设备发送的授权请求中的设备地址及用户信息， 查询用户信 息对应的用户权限中， 设备地址所在的设备组， 获取所述设备组对应的权 限列表中的权限命令集， 发送给网络设备； 或者， TACACS服务器根据网 络设备发送的授权请求中的设备地址及用户信息， 查询用户信息对应的用 户权限中， 设备地址所在的设备组， 确定授权请求中的命令， 与所述设备 组对应的权限列表中的权限命令集中任意一个权限命令相符， 则授权通过。
本发明还提供了一种网络设备差异化授权的系统， 该系统包括： 信息 输入模块、 认证授权模块； 信息输入模块， 用于接收用户输入的用户信息， 并将用户信息发送给 认证授权模块进行认证；
认证授权模块， 用于根据用户信息对用户进行认证， 在确定认证通过 时， 对用户进行授权， 由网络设备根据授权结果为用户开放相应权限。
上述方案中， 该系统进一步包括配置模块； 配置模块， 用于配置用户 权限；
相应的， 认证授权模块， 具体用于读取信息输入模块发送的认证请求 中的用户信息， 与配置模块中的用户信息比较， 确定两者相符时， 再根据 认证请求中的设备地址， 查询配置模块中所述用户信息对应的用户权限， 确定设备地址不属于用户权限中的 Refuse权限， 则确定认证通过。
上述方案中， 信息输入模块， 还用于接收认证授权模块返回的认证响 应， 向认证授权模块发送包含用户信息及设备地址的授权请求； 或者， 用 户执行命令， 向认证授权模块发送包含用户信息、 设备地址以及命令的授 权请求。
上述方案中， 认证授权模块， 还用于根据授权请求中的设备地址及用 户信息， 查询用户信息对应的用户权限中， 设备地址所在的设备组， 获取 所述设备组对应的权限列表中的权限命令集， 发送给网络设备； 或者， 根 据授权请求中的设备地址及用户信息， 查询用户信息对应的用户权限中， 设备地址所在的设备组， 若授权请求中的命令与所述设备组对应的权限列 表中的权限命令集中任意一个权限命令相符， 则将授权通过响应发送给网 络设备。
由此可见， 釆用本发明所述的方法及系统， 通过在 TACACS服务器上 配置与用户信息对应的用户权限， 网络扩容时， 根据用户的不同权限级别， 只需在用户权限对应的设备组中增加扩容的设备地址即可， 简化了差异化 设置过程， 有利于网络维护。 附图说明
图 1为本发明实现网络设备差异化授权的方法流程示意图；
图 2为缺省权限列表示例图；
图 3a、 b为特权设备组及相应的特殊权限列表示例图；
图 4为本发明实现网络设备差异化授权的系统组成示意图。 具体实施方式
本发明的基本思想是： 确定用户认证通过后， 网络设备通过 TACACS 服务器对用户进行授权， 根据授权结果为用户开放相应权限。
下面通过具体实施例与附图来对本发明进行详细说明。
本发明提供的网络设备差异化授权的方法， 如图 1 所示， 具体步骤如 下：
步骤 101、 网络设备通过 TACACS服务器确定用户认证通过； 本步骤中， 用户在网络设备上输入用户信息， 登录网络设备， 网络设 备向 TACACS服务器发送认证请求； 这里，所述认证请求中包括用户信息、 设备地址； 所述用户信息包括用户名、 密码。
TACACS服务器接收认证请求， 获取用户信息， 与本地保存的用户信 息比较， 确定两者相同， 则用户输入的用户信息正确， 否则， 用户输入的 用户信息错误， 认证不通过； TACACS 服务器确定用户输入的用户信息正 确后， 再根据认证请求中的设备地址， 查询本地预存的所述用户信息对应 用户权限， 确定设备地址不属于用户权限中的拒绝（Refuse )权限， 则认证 通过； 否则， 认证不通过。
这里， 所述用户权限与用户信息对应， 包括设备组及对应的权限列表， 所述设备组包括缺省设备组与特权设备组， 其中， 所述缺省设备组包含设 备地址， 与缺省权限列表相对应， 所述特权设备组包含设备地址与特殊权 限列表相对应， 所述缺省权限列表包括缺省权限级别， 以及相应的缺省权 限命令集， 缺省权限命令集中包含预置的缺省权限命令。
以图 2所示的缺省权限列表为例， 其中的权限级别 （Privilege ), 即缺 省权限级别为 Level 0, 权限命令集（ Shell Command Authorization Set ), 即 缺省权限命令集为 Command Set-Default, Command Set-Default中可以包含 预先定义的缺省权限命令； 所述特殊权限列表包括特殊权限级别， 以及相 应的特殊权限命令集， 所述特殊权限命令集中包含预置的特殊权限命令， 图 3a所示， 特权设备组分别为设备组 A ( Device Group A ) 以及设备组 B ( Device Group B ), 其中， Device Group A中的设备地址 ( Device IP )为 192.168.0.2, Device Group B中的设备地址为 192.168.0.11至 192.168.0.133 之间的地址，如图 3b所示， Device Group A对应的特殊权限级别为 Level 15 , 特殊权限命令集为 Command Set A, Command Set A中预先定义了特殊权限 命令， 也就是说， 用户在设备地址为 192.168.0.2上的权限级别为 Level 15 , 具有特殊权限命令集 Command Set A中的命令权限； 同样的， Device Group B中对应的权限级别为 Refuse,特殊权限命令集为 Command Set B,也就是 说， 用户在设备地址为 192.168.0.11至 192.168.0.133的网络设备上被拒绝 使用。
根据需求， 每个用户信息可以对应一到多个特权设备组及相应的特殊 权限列表， 每个特殊权限列表可以对应不同的特殊权限命令集， 所述缺省 权限命令集以及特殊权限命令集可根据需要自行定义其中的权限命令。 其 中， 若特殊权限列表对应的特殊权限级别为 Refuse, 则是拒绝用户在该设 备登录。 这样， 若网络设备扩容时， 增加网络设备， 只需根据用户在网络 设备上的权限， 在缺省设备或特权设备组中增加设备地址即可， 不需要在 网络设备上针对每个用户设置相应的权限。
TACACS服务器确定认证通过， 向网络设备回复包含用户认证通过消 息的认证响应； 确定认证不通过， 向网络设备回复包含用户认证不通过消 息的认证响应。
步骤 102、 网络设备通过 TACACS服务器进行授权；
本步骤中， 网络设备收到 TACACS服务器回复的包含用户认证通过消 息的认证响应， 向 TACACS服务器发送授权请求， 所述授权请求中包含用 户信息、 设备地址； TACACS 服务器根据设备地址， 查询用户信息对应的 用户权限， 获取设备地址所在的设备组， 读取设备组对应的权限列表中的 权限命令集， 也就是说， 若设备地址属于缺省设备组， 则用户在该设备上 有缺省权限， 若设备地址属于特权设备组， 则用户在该设备上有特殊权限， TACACS服务器将获取的缺省权限列表中的缺省权限命令集或者特殊权限 列表中的特殊权限命令集， 通过授权响应发送给网络设备。
或者， 用户在网络设备上执行命令， 即用户在网络设备输入命令， 网 络设备将包含命令、 用户信息以及设备地址的授权请求， 发送给 TACACS 服务器； TACACS 服务器根据设备地址及用户信息， 获取用户权限对应的 设备组中， 设备地址所在的设备组， 若用户输入的命令与所述设备组对应 的权限列表中的权限命令集中任意一个权限命令相符； 也就是说， 用户输 入的命令与缺省设备组对应的缺省权限列表中的缺省权限命令集中的任意
命令集中的任意一个权限命令相符， 则所述命令属于所述设备组对应的权 限列表中的权限命令集， 用户有执行该命令的权限， TACACS服务器向网 络设备回复授权通过响应， 否则， 所述命令不属于所述设备组对应的权限 列表中的权限命令集， 用户没有执行该命令的权限， TACACS服务器向网 络设备回复授权不通过响应。
步骤 103、 网络设备根据授权结果， 开放相应权限给用户。
网络设备根据 TACACS服务器回复的包含缺省权限命令集或特殊权限 命令集的授权响应， 开放相应权限给用户， 即允许用户执行缺省权限命令 集或特殊权限命令集中的命令； 或者，
网络设备根据 TACACS服务器回复的包含授权通过响应， 允许用户在 网络设备执行命令； 根据 TACACS服务器回复的包含授权不通过响应， 拒 绝用户在网络设备执行命令。
基于上述方法， 本发明还提供了一种网络设备差异化授权的系统， 如 图 4所示， 该系统包括： 信息输入模块 401、 认证授权模块 402; 其中， 所 述信息输入模块 401位于网络设备， 认证授权模块 402位于 TACACS服务 器；
信息输入模块 401 , 用于接收用户输入的用户信息， 并将用户信息发送 给认证授权模块 402进行认证； 所述用户信息包含用户名及密码；
认证授权模块 402, 用于根据用户信息对用户进行认证， 在确定用户在 网络设备上认证通过时， 通过认证响应将认证结果返回给网络设备； 对用 户进行授权， 将授权结果返回给网络设备， 由网络设备根据授权结果开放 相应权限给用户。
该系统进一步包括： 配置模块 403 , 用于配置用户权限。
这里， 所述用户权限与用户信息对应， 包含设备组及对应的权限列表， 所述设备组包括缺省设备组与特权设备组； 其中， 所述缺省设备组包含设 备地址， 与缺省权限列表对应， 所述特权设备组包含设备地址， 与特殊权 限列表对应； 所述缺省权限列表包括缺省权限级别， 以及相应的缺省权限 命令集， 缺省权限命令集中包含预置的缺省权限命令； 所述特殊权限列表 包括特殊权限级别， 以及相应的特殊权限命令集， 所述特殊权限命令集中 包含预置的特殊权限命令。
所述认证授权模块 402具体用于， 根据信息输入模块发送的认证请求 中的用户信息， 将用户信息与本地保存的用户信息比较， 确定两者相同； 进一步的， 根据认证请求中的设备地址查询本地预存的所述用户信息对应 的用户权限， 确定所述设备地址不属于用户权限中， 特权设备组对应的
Refuse权限， 则认证通过。
信息输入模块 401 进一步用于， 根据认证授权模块回复的包含认证通 过消息的认证响应， 向认证授权模块 402发送包含用户信息、 设备地址的 授权请求； 或者，
用户执行命令， 向认证授权模块 402发送包含用户信息、 设备地址以 及命令的授权请求。
认证授权模块 402具体用于， 根据授权请求中的用户信息， 查询配置 模块中用户信息对应的用户权限， 然后根据设备地址， 获取设备地址所在 设备组对应的权限列表中的权限命令集， 即若设备地址属于缺省设备组， 将缺省设备组对应的缺省权限列表中的缺省权限命令集发送给网络设备， 若设备地址属于特权设备组， 将设备地址所在的特权设备组对应的特殊权 限列表中的特殊权限命令集发送给网络设备； 或者，
根据授权请求中的用户信息， 查询用户信息对应的用户权限， 根据设 设备地址所在的
然后获取授权请求中的命令， 确定所述命令与所述权限命令集中任意一个 权限命令相符， 向网络设备回复授权通过响应； 否则， 向网络设备回复授 权不通过口向应。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保 护范围。

Claims

权利要求书
1、 一种网络设备差异化授权的方法， 其特征在于， 该方法包括： 确定认证通过后， 网络设备通过终端访问控制器访问控制系统
TACACS服务器对用户进行授权， 并根据授权结果为用户开放相应权限。
2、根据权利要求 1所述的方法， 其特征在于， 所述确定认证通过包括： TACACS服务器读取网络设备发送的认证请求中的用户信息， 与本地 保存的用户信息比较， 确定两者相同时， 再根据认证请求中的设备地址， 查询本地预存的所述用户信息对应的用户权限， 确定设备地址不属于用户 权限中的拒绝 Refuse权限， 则确定认证通过。
3、 根据权利要求 1或 2所述的方法， 其特征在于， 所述通过 TACACS 服务器对用户进行授权包括：
网络设备确定认证通过， 向 TACACS服务器发送包含用户信息以及设 备地址的授权请求；
或者， 用户在网络设备上执行命令， 网络设备向 TACACS服务器发送 包含用户信息、 设备地址以及命令的授权请求。
4、根据权利要求 3所述的方法， 其特征在于， 所述 TACACS服务器对 用户进行授权包括：
TACACS服务器根据网络设备发送的授权请求中的设备地址及用户信 息， 查询用户信息对应的用户权限中， 设备地址所在的设备组， 获取所述 设备组对应的权限列表中的权限命令集， 发送给网络设备；
或者， TACACS服务器根据网络设备发送的授权请求中的设备地址及 用户信息， 查询用户信息对应的用户权限中， 设备地址所在的设备组， 确 定授权请求中的命令， 与所述设备组对应的权限列表中的权限命令集中任 意一个权限命令相符， 则授权通过。
5、 一种网络设备差异化授权的系统， 其特征在于， 该系统包括： 信息 输入模块、 认证授权模块；
信息输入模块， 用于接收用户输入的用户信息， 并将用户信息发送给 认证授权模块进行认证；
认证授权模块， 用于根据用户信息对用户进行认证， 在确定认证通过 时， 对用户进行授权， 由网络设备根据授权结果为用户开放相应权限。
6、 根据权利要求 5所述的系统， 其特征在于， 该系统进一步包括配置 模块；
配置模块， 用于配置用户权限；
相应的， 认证授权模块， 具体用于读取信息输入模块发送的认证请求 中的用户信息， 与配置模块中的用户信息比较， 确定两者相符时， 再根据 认证请求中的设备地址， 查询配置模块中所述用户信息对应的用户权限， 确定设备地址不属于用户权限中的 Refuse权限， 则确定认证通过。
7、 根据权利要求 5或 6所述的系统， 其特征在于，
信息输入模块， 还用于接收认证授权模块返回的认证响应， 向认证授 权模块发送包含用户信息及设备地址的授权请求； 或者， 用户执行命令， 向认证授权模块发送包含用户信息、 设备地址以及命令的授权请求。
8、 根据权利要求 7所述的系统， 其特征在于，
认证授权模块， 还用于根据授权请求中的设备地址及用户信息， 查询 用户信息对应的用户权限中， 设备地址所在的设备组， 获取所述设备组对 应的权限列表中的权限命令集， 发送给网络设备；
或者， 根据授权请求中的设备地址及用户信息， 查询用户信息对应的 用户权限中， 设备地址所在的设备组， 若授权请求中的命令与所述设备组 对应的权限列表中的权限命令集中任意一个权限命令相符， 则将授权通过 响应发送给网络设备。
PCT/CN2011/073608 2011-03-01 2011-05-03 一种网络设备差异化授权的方法及系统 WO2012116519A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110049596.0A CN102123147B (zh) 2011-03-01 2011-03-01 一种网络设备差异化授权的方法及系统
CN201110049596.0 2011-03-01

Publications (1)

Publication Number Publication Date
WO2012116519A1 true WO2012116519A1 (zh) 2012-09-07

Family

ID=44251600

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/073608 WO2012116519A1 (zh) 2011-03-01 2011-05-03 一种网络设备差异化授权的方法及系统

Country Status (2)

Country Link
CN (1) CN102123147B (zh)
WO (1) WO2012116519A1 (zh)

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102932245A (zh) 2012-10-09 2013-02-13 中兴通讯股份有限公司 一种处理跟踪tacacs+会话的方法及装置
CN113868631A (zh) * 2021-09-13 2021-12-31 中盈优创资讯科技有限公司 一种aaa认证方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101047576A (zh) * 2007-04-13 2007-10-03 华为技术有限公司 一种内容控制方法和系统
CN101170409A (zh) * 2006-10-24 2008-04-30 华为技术有限公司 实现设备访问控制的方法、系统、业务设备和认证服务器
CN101682609A (zh) * 2007-04-27 2010-03-24 艾利森电话股份有限公司 用于改进的服务授权的方法和设备
CN101772022A (zh) * 2008-12-31 2010-07-07 华为终端有限公司 一种控制访问网络终端的方法、装置及系统

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100433750C (zh) * 2003-03-06 2008-11-12 华为技术有限公司 一种基于用户帐号的网络访问控制方法
CN100352203C (zh) * 2003-09-04 2007-11-28 华为技术有限公司 控制宽带网络用户接入网络的方法
CN1874226A (zh) * 2006-06-26 2006-12-06 杭州华为三康技术有限公司 终端接入方法及系统
CN100508597C (zh) * 2007-04-23 2009-07-01 中国科学院计算技术研究所 一种将用户ip地址同用户等级结合的视频点播方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101170409A (zh) * 2006-10-24 2008-04-30 华为技术有限公司 实现设备访问控制的方法、系统、业务设备和认证服务器
CN101047576A (zh) * 2007-04-13 2007-10-03 华为技术有限公司 一种内容控制方法和系统
CN101682609A (zh) * 2007-04-27 2010-03-24 艾利森电话股份有限公司 用于改进的服务授权的方法和设备
CN101772022A (zh) * 2008-12-31 2010-07-07 华为终端有限公司 一种控制访问网络终端的方法、装置及系统

Also Published As

Publication number Publication date
CN102123147B (zh) 2014-12-31
CN102123147A (zh) 2011-07-13

Similar Documents

Publication Publication Date Title
US11063928B2 (en) System and method for transferring device identifying information
KR101534890B1 (ko) 신뢰된 장치별 인증
US9047458B2 (en) Network access protection
CN108964885B (zh) 鉴权方法、装置、系统和存储介质
JP6124687B2 (ja) 画像形成装置、サーバー装置、情報処理方法及びプログラム
US8572686B2 (en) Method and apparatus for object transaction session validation
US10425419B2 (en) Systems and methods for providing software defined network based dynamic access control in a cloud
US20140109179A1 (en) Multiple server access management
US20100146599A1 (en) Client-based guest vlan
US20130047202A1 (en) Apparatus and Method for Handling Transaction Tokens
US10044700B2 (en) Identity attestation of a minor via a parent
KR101451359B1 (ko) 사용자 계정 회복
CN101515932A (zh) 一种安全的Web service访问方法和系统
US20060112269A1 (en) Level-specific authentication system and method in home network
WO2012139528A1 (zh) 授权方法和终端设备
US20060059359A1 (en) Method and system for controlling access privileges for trusted network nodes
US8572690B2 (en) Apparatus and method for performing session validation to access confidential resources
WO2022083212A1 (zh) 一种基于区块链的云平台认证的方法、系统、设备及介质
CN108881218B (zh) 一种基于云存储管理平台的数据安全增强方法及系统
CA3093444A1 (en) System and method for identity and authorization management
US8752157B2 (en) Method and apparatus for third party session validation
CN102271120A (zh) 一种增强安全性的可信网络接入认证方法
US20160285843A1 (en) System and method for scoping a user identity assertion to collaborative devices
TW201430608A (zh) 單點登入系統及方法
US20090327704A1 (en) Strong authentication to a network

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11859843

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11859843

Country of ref document: EP

Kind code of ref document: A1