CN102215597B - 一种接入策略管理方法和设备 - Google Patents

Abstract

本发明公开了一种接入策略管理方法和设备，通过应用本发明的技术方案，在待接入设备所满足的接入条件所对应的接入策略中，选择优先级最高的接入策略应用在该待接入设备中，从而，结合可以结合的各种维度的条件自动选择组合了各种维度授权的最优接入策略，以实现待接入设备的接入策略的选择，使待接入设备的接入策略选择更加灵活，为待接入设备选择更加匹配的接入策略，实现接入策略的自动化管理。

Description

一种接入策略管理方法和设备

技术领域

本发明涉及通信技术领域，特别涉及一种接入策略管理方法和设备。

背景技术

网络接入控制技术方案由安全策略服务器、AAA服务器、接入设备和接入终端软件等组成。接入终端接入网络时首先进行身份认证，并根据配置的接入规则信息，对用户进行授权、绑定等功能。由接入设备控制其只能访问一个受限的网络区域(称作“隔离区”)，然后进行安全认证，当安全策略服务器检测到该接入终端符合安全要求才解除其隔离限制，允许终端访问其他网络资源。

如图1所示，为现有技术中的一个网络接入控制技术方案的典型组网示意图。

现有技术根据不同接入位置区域(不同的接入设备和不同的客户端IP地址)进行不同的接入网络权限(设备侧接入权限控制，如ACL、VLAN等)的设置。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

对于接入来说，现有技术只是针对接入位置区域角度进行接入条件的区分，而对于授权来说，现有技术只是限制了设备侧的接入网络权限。

发明内容

本发明提供一种接入策略管理方法和设备，解决如何对待接入设备进行接入策略的灵活管理的问题。

为达到上述目的，本发明一方面提供了一种接入策略管理方法，具体包括以下步骤：

接入管理设备接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息；

所述接入管理设备根据所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件；

当所述接入管理设备确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，所述接入管理设备根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合。

优选的，所述接入条件，具体包括以下信息的一项或多项：

接入位置区域信息；

用户侧信息；

设备侧信息；

接入时间信息。

优选的，所述接入位置区域信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的标识信息，和/或所述待接入设备所对应的IP地址信息；

所述用户侧信息，具体包括所述待接入设备的MAC地址信息，和/或所述待接入设备所对应的无线SSID信息；

所述设备侧信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的类型信息；

所述接入时间信息，具体包括所述待接入设备发送所述接入请求的时间信息。

优选的，所述接入策略，至少包括以下信息的一项或多项：

设备侧的授权信息；

服务器侧的授权信息；

所述待接入设备的功能限制；

预设的安全策略功能限制。

优选的，所述设备侧的授权信息，具体包括VLAN的授权信息，和/或预设的ACL信息；

所述服务器侧的授权信息，具体包括所述接入管理设备所绑定的属性信息；

所述待接入设备的功能限制，具体包括对所述待接入设备所对应的类型的设备的网络访问限制策略。

优选的，所述接入控制设备，具体为：

AAA认证服务器，和/或安全策略服务器。

优选的，所述接入管理设备根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合，具体包括：

当存在至少两个接入策略所对应的优先级信息相同时，所述接入管理设备确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。

另一方面，本发明还提供了一种接入管理设备，具体包括：

接收模块，用于接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息；

查询模块，用于根据所述接收模块所接收到的所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件；

确定模块，用于当所述查询模块确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合。

优选的，所述接入管理设备，具体为：

AAA认证服务器，和/或安全策略服务器。

优选的，所述确定模块，具体用于：

当所述查询模块查询到存在至少两个接入策略所对应的优先级信息相同时，确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。

与现有技术相比，本发明具有以下优点：

通过应用本发明的技术方案，在待接入设备所满足的接入条件所对应的接入策略中，选择优先级最高的接入策略应用在该待接入设备中，从而，结合可以结合的各种维度的条件自动选择组合了各种维度授权的最优接入策略，以实现待接入设备的接入策略的选择，使待接入设备的接入策略选择更加灵活，为待接入设备选择更加匹配的接入策略，实现接入策略的自动化管理。

附图说明

图1为现有技术中的一个网络接入控制技术方案的典型组网示意图；

图2为本发明所提出的一种接入策略管理方法的流程示意图；

图3为本发明所提出的一种具体应用场景下接入策略管理方法的流程示意图；

图4为本发明实施例中所提出的接入位置区域配置示意图；

图5为本发明实施例中所提出的服务基础信息的配置示意图；

图6为本发明实施例中所提出的接入策略的配置示意图；

图7为本发明所提出的一种接入管理设备的结构示意图。

具体实施方式

如背景技术所述，现有技术中的接入策略管理方案存在对接入策略的管理和应用方案比较单一，无法实现多维度的接入策略管理的缺陷。

为了克服这样的问题，本发明提出了一种结合多维度的接入条件，实现多维度的接入策略的自动管理的方案。

如图2所示，为本发明所提出的一种接入策略管理方法的流程示意图，该方法具体包括以下步骤：

步骤S201、接入管理设备接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息。

这里的待接入设备，具体指通过发送接入请求来请求接入的设备，具体的设备类型并不会影响本发明的保护范围。

步骤S202、所述接入管理设备根据所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件。

其中，在具体的应用场景中，接入条件具体包括以下信息的一项或多项：

(1)接入位置区域信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的标识信息，和/或所述待接入设备所对应的IP地址信息。

(2)用户侧信息，具体包括所述待接入设备的MAC地址信息，和/或所述待接入设备所对应的无线SSID信息。

(3)设备侧信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的类型信息。

(4)接入时间信息，具体包括所述待接入设备发送所述接入请求的时间信息。

在具体的应用场景中，具体的接入条件可以采用上述的任何一种或多种条件的组合，具体应用哪种或哪几种接入条件所带来的接入条件内容的变化，以及所采用的上述信息的具体形式，都可以根据实际需要进行调整，这样的变化并不影响本发明的保护范围。

步骤S203、当所述接入管理设备确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，所述接入管理设备根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合。

其中，在具体的应用场景中，接入策略至少包括以下信息的一项或多项：

(1)设备侧的授权信息，具体包括VLAN的授权信息，和/或预设的ACL信息。

(2)服务器侧的授权信息，具体包括所述接入管理设备所绑定的属性信息。

(3)待接入设备的功能限制，具体包括对所述待接入设备所对应的类型的设备的网络访问限制策略。

(4)预设的安全策略功能限制。

在具体的应用场景中，具体的接入策略可以采用上述的任何一种或多种条件的组合，具体应用哪种或哪几种接入策略所带来的接入策略或接入策略组合的内容的变化，以及所采用的上述策略的具体形式，都可以根据实际需要进行调整，这样的变化并不影响本发明的保护范围。

需要进一步指出的是，上述的接入控制设备的具体表现形式可以为：

AAA认证服务器，和/或安全策略服务器，具体采取哪种形式可以根据实际需要进行调整。

在步骤S203的实际应用过程中，当存在至少两个接入策略所对应的优先级信息相同时，所述接入管理设备确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。

与现有技术相比，本发明具有以下优点：

通过应用本发明的技术方案，在待接入设备所满足的接入条件所对应的接入策略中，选择优先级最高的接入策略应用在该待接入设备中，从而，结合可以结合的各种维度的条件自动选择组合了各种维度授权的最优接入策略，以实现待接入设备的接入策略的选择，使待接入设备的接入策略选择更加灵活，为待接入设备选择更加匹配的接入策略，实现接入策略的自动化管理。

为了进一步阐述本发明的技术思想，现结合具体的应用场景，对本发明的技术方案进行说明。

本发明提出了一个多维度的接入策略管理方法，结合各种维度条件自动选择客户端应该使用的接入策略(接入策略也是各种维度授权信息的组合)，当存在多个满足条件的接入策略时，通过优先级设置筛选出最优的接入策略。

其中，结合各种维度条件自动选择接入策略的操作过程的具体处理方式可以举例如下：

可以通过接入位置区域(不同的接入设备、不同的客户端IP地址等)，用户侧的用户信息(不同的客户端MAC地址、不同的无线SSID等)，设备相关信息(如不同的设备类型等)，以及不同的时间(不同接入时段)等来自动选择接入策略。

其中的各种维度授权信息的组合的接入策略可以包括设备策略授权、服务器授权以及根据客户端功能的授权等。

进一步的，本发明所提出的技术方案还可以对接入条件进行扩展：

接入条件可以是各种维度条件的结合，比如说接入位置区域(不同的接入设备、不同的客户端IP地址等)，用户侧信息(不同的客户端MAC地址、不同的无线SSID等)、设备侧信息(如不同的接入设备类型等)和时间角度(不同的接入时段)等等。

另一方面，本发明所提出的技术方案还对接入策略进行了扩展：

接入策略从设备侧不同的授权信息(VLAN、ACL等)、到服务器侧的授权(绑定不同的属性等)和客户端功能限制(防内网外联等)以及不同的安全策略功能限制等。

根据上述的技术思路，在具体的实施场景中，AAA认证服务器和安全策略服务器可以根据各种维度条件(接入位置区域、用户侧信息和时间角度)和优先级查找需要使用接入策略(设备侧授权、服务器授权和客户端功能限制)，并对客户端使用该接入策略。

为了实现上述的技术方案，需要预先在网络***中进行相应的多维度的接入策略的配置，相应的配置过程如图3所示，具体包括：

步骤S301、划分接入位置区域，把接入设备划分为不同的接入位置区域。

在本实施例中，相应的接入位置区域配置示意图如图4所示。

步骤S302、划分接入IP地址组、接入MAC地址组和无线SSID地址组。

步骤S303、划分不同的接入时段。

例如每日8:30～17:00和每日17:00～24:00。

步骤S304、划分不同的接入规则。

接入规则包括不同的授权信息(如VLAN、ACL等)、不同的认证绑定信息、不同的客户端配置信息(防内网外联等)。

步骤S305、划分不同的安全策略。

包括不同的隔离ACL和安全ACL，终端安全软件、可控软件组等功能。

步骤S306、配置服务基础信息，并且为不同的接入条件组合配置不同接入策略，接入策略包括接入规则、不同安全策略和优先级。

相应的，如图5所示，为本发明实施例中所提出的服务基础信息的配置示意图，如图6所示，为本发明实施例中所提出的接入策略的配置示意图。

在完成了上述的接入策略的配置过程后，如果接入管理设备接收到一个设备发送的接入请求，则根据接入请求中所携带的信息查询该设备所满足的接入条件，并在其中选择最高优先级的接入策略，对该设备进行应用，相应的处理过程参照前述的步骤S201至步骤S203中的说明，在此不再赘述。

通过上述的设置，在为接入用户申请服务的过程中，该用户就能在不同的条件(研发区和用服区)，使用不同的接入策略。而且对于相同的区域，不同的客户端或者不同的时段或者不同的无线SSID等进行接入，也可以使用不同接入策略。

与现有技术相比，本发明具有以下优点：

通过应用本发明的技术方案，在待接入设备所满足的接入条件所对应的接入策略中，选择优先级最高的接入策略应用在该待接入设备中，从而，结合可以结合的各种维度的条件自动选择组合了各种维度授权的最优接入策略，以实现待接入设备的接入策略的选择，使待接入设备的接入策略选择更加灵活，为待接入设备选择更加匹配的接入策略，实现接入策略的自动化管理。

为了实现本发明的技术方案，本发明还提出了一种接入管理设备，其结构示意图如图7所示，具体包括：

接收模块71，用于接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息；

查询模块72，用于根据所述接收模块71所接收到的所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件；

确定模块73，用于当所述查询模块72确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合。

具体的，该接入管理设备具体为AAA认证服务器，和/或安全策略服务器。

进一步的，所述确定模块73，具体用于：

当所述查询模块72查询到存在至少两个接入策略所对应的优先级信息相同时，确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。

与现有技术相比，本发明具有以下优点：

通过应用本发明的技术方案，在待接入设备所满足的接入条件所对应的接入策略中，选择优先级最高的接入策略应用在该待接入设备中，从而，结合可以结合的各种维度的条件自动选择组合了各种维度授权的最优接入策略，以实现待接入设备的接入策略的选择，使待接入设备的接入策略选择更加灵活，为待接入设备选择更加匹配的接入策略，实现接入策略的自动化管理。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施场景所述的方法。

本领域技术人员可以理解附图只是一个优选实施场景的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施场景中的装置中的模块可以按照实施场景描述进行分布于实施场景的装置中，也可以进行相应变化位于不同于本实施场景的一个或多个装置中。上述实施场景的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施场景的优劣。

以上公开的仅为本发明的几个具体实施场景，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (9)

1.一种接入策略管理方法，其特征在于，具体包括以下步骤：

接入管理设备接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息；

所述接入管理设备根据所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件；

当所述接入管理设备确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，所述接入管理设备根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合；

其中，所述接入条件，具体包括以下信息的一项或多项：

接入位置区域信息；

用户侧信息；

设备侧信息；

接入时间信息。

2.如权利要求1所述的方法，其特征在于，

所述接入位置区域信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的标识信息，和/或所述待接入设备所对应的IP地址信息；

所述用户侧信息，具体包括所述待接入设备的MAC地址信息，和/或所述待接入设备所对应的无线SSID信息；

所述设备侧信息，具体包括所述待接入设备所属的接入位置区域所对应的接入设备的类型信息；

所述接入时间信息，具体包括所述待接入设备发送所述接入请求的时间信息。

3.如权利要求1所述的方法，其特征在于，所述接入策略，至少包括以下信息的一项或多项：

设备侧的授权信息；

服务器侧的授权信息；

所述待接入设备的功能限制；

预设的安全策略功能限制。

4.如权利要求3所述的方法，其特征在于，

所述设备侧的授权信息，具体包括VLAN的授权信息，和/或预设的ACL信息；

所述服务器侧的授权信息，具体包括所述接入管理设备所绑定的属性信息；

所述待接入设备的功能限制，具体包括对所述待接入设备所对应的类型的设备的网络访问限制策略。

5.如权利要求1所述的方法，其特征在于，所述接入控制设备，具体为：

AAA认证服务器，和/或安全策略服务器。

6.如权利要求1所述的方法，其特征在于，所述接入管理设备根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合，具体包括：

当存在至少两个接入策略所对应的优先级信息相同时，所述接入管理设备确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。

7.一种接入管理设备，其特征在于，具体包括：

接收模块，用于接收待接入设备所发送的接入请求，所述接入请求中携带所述待接入设备所对应的信息；

查询模块，用于根据所述接收模块所接收到的所述待接入设备所对应的信息查询所述待接入设备所满足的接入条件；

确定模块，用于当所述查询模块确定所述待接入设备满足至少一个接入条件，且所述至少一个接入条件对应了多个接入策略时，根据所述多个接入策略所对应的优先级信息，确定对所述待接入设备应用优先级最高的接入策略或接入策略组合；

其中，所述接入条件，具体包括以下信息的一项或多项：

接入位置区域信息；

用户侧信息；

设备侧信息；

接入时间信息。

8.如权利要求7所述的接入管理设备，其特征在于，具体为：

AAA认证服务器，和/或安全策略服务器。

9.如权利要求7所述的接入管理设备，其特征在于，所述确定模块，具体用于：

当所述查询模块查询到存在至少两个接入策略所对应的优先级信息相同时，确定对所述待接入设备应用所述至少两个接入策略所组成的接入策略组合。