CN102333094B

CN102333094B - 一种安全控制方法和设备

Info

Publication number: CN102333094B
Application number: CN201110307826.9A
Authority: CN
Inventors: 王军; 周迪
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Information Technologies Co Ltd
Priority date: 2011-10-12
Filing date: 2011-10-12
Publication date: 2014-10-29
Anticipated expiration: 2031-10-12
Also published as: CN102333094A

Abstract

本发明公开了一种安全控制方法和设备，该方法包括：接入设备获得终端设备的MAC地址与自身端口之间的对应关系；当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文。本发明中，可提高终端设备接入的安全性，保证监控***的安全性。

Description

一种安全控制方法和设备

技术领域

本发明涉及通信技术领域，特别是涉及一种安全控制方法和设备。

背景技术

随着IP视频监控技术的发展，IP视频监控的部署越来越广泛，对IP视频监控的安全性也提出了越来越高的要求。在IP视频监控***中，任何节点的网络安全得不到保障，则会导致整个IP视频监控***存在极大的安全隐患。

如图1所示，为IP视频监控***的组网示意图，包括：EC(Encoder，编码器)、接入交换机、VM(Video Management，视频管理)服务器、DM(DataManagement，数据管理)服务器，各EC通过接入交换机接入到IP网络中，且各EC上无法加载其他的安全软件。

由于EC上无法加载其他的安全软件，因此EC的安全性无法得到保证，IP视频监控***的安全性也无法得到保证。例如，使用相同的EC设备名和IP地址替换已接入的EC就可以接入IP视频监控***，因此，如果有黑客的PC替换EC接入到IP视频监控***，则有较大的安全隐患。

发明内容

本发明提供一种安全控制方法和设备，以提高终端设备接入的安全性，保证监控***的安全性。

为了达到上述目的，本发明提供一种安全控制方法，应用于包括终端设备和接入设备的监控***中，该方法包括以下步骤：

所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；

当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文。

所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系，具体包括：

当所述接入设备第一次接收到来自所述终端设备的报文时，所述接入设备获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，

当静态配置所述终端设备的MAC地址与所述接入设备的端口之间的对应关系时，所述接入设备记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。

所述接入设备转发所述报文，具体包括：

在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，所述接入设备转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，所述接入设备丢弃所述报文；

在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文；其中：

在所述接入设备侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，所述接入设备确认所述终端设备注册成功。

所述接入设备转发所述报文，之后还包括：

如果所述接入设备在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当所述接入设备从所述端口接收到报文时，所述接入设备丢弃接收到的报文。

所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括：监控***中的编码设备。

一种接入设备，应用于包括终端设备和所述接入设备的监控***中，所述接入设备包括：

获得模块，用于获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；

接收模块，用于从所述端口接收到来自所述终端设备的报文；

处理模块，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时，丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文。

所述获得模块，具体用于当接入设备第一次接收到来自所述终端设备的报文时，获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与接入设备的端口之间的对应关系时，记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。

所述处理模块，具体用于在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；

在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，则转发所述报文；其中：

在侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，确认所述终端设备注册成功。

所述处理模块，还用于在转发所述报文之后，如果在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当从所述端口接收到报文时，丢弃接收到的报文。

与现有技术相比，本发明至少具有以下优点：通过在接入设备上对终端设备(如编码设备)进行MAC(Media Access Control，介质访问控制)地址认证，可提高终端设备接入的安全性，保证监控***的安全性，避免黑客或者其他恶意流量的攻击。

附图说明

图1是现有技术中IP视频监控***的组网示意图；

图2是本发明提供的一种安全控制方法流程图；

图3是本发明提出的一种接入设备的结构示意图。

具体实施方式

本发明提出一种安全控制方法，该方法应用于包括终端设备、接入设备、VM服务器、DM服务器的监控***中，该终端设备为无法安装认证软件的终端设备(如无法安装802.1X认证软件的终端设备)，且该终端设备包括但不限于：监控***中的编码设备(如EC)。以图1为本发明参考网络模型示意图，则该终端设备为EC，接入设备为接入交换机，EC1连接到接入交换机的端口Port1上，EC2连接到接入交换机的端口Port2上，EC3连接到接入交换机的端口Port3上。

如图2所示，该安全控制方法包括以下步骤：

步骤201，接入设备获得终端设备的MAC地址与自身端口之间的对应关系，该端口为终端设备接入到接入设备的端口。以图1为例，接入交换机获得EC1的MAC地址与Port1的对应关系、获得EC2的MAC地址与Port2的对应关系、获得EC3的MAC地址与Port3的对应关系。

本步骤中，接入设备获得MAC地址与端口之间的对应关系，具体包括：

方式一、在接入设备连接终端设备的端口上配置MAC地址认证功能，当终端设备第一次上线时，在接入设备上对该终端设备的MAC地址进行MAC地址认证。基于此，当接入设备第一次接收到来自终端设备的报文时，接入设备获得该终端设备的MAC地址(即报文中的源MAC地址)、以及第一次接收到报文的端口，并记录终端设备的MAC地址与端口之间的对应关系。

方式二、在接入设备连接终端设备的端口上，由网络管理员静态配置终端设备的MAC地址，即该端口只允许源MAC地址是静态配置的MAC地址的报文能够被转发。基于此，当静态配置终端设备的MAC地址与接入设备的端口之间的对应关系时，则接入设备可直接记录静态配置的终端设备的MAC地址与端口之间的对应关系。

以图1为例，在接入交换机连接EC1的端口Port1上，手工静态配置EC1的MAC地址(MAC地址1)，并由接入交换机记录MAC地址1与Port1的对应关系；当然，也可以采用MAC地址认证的方式，在接入交换机的Port1上启用MAC地址认证功能，对于EC1上线后发出的第一个报文，接入交换机通过Port1接收到上述报文时，则接入交换机记录Port1与报文中携带的源MAC地址(作为认证通过的MAC地址)的对应关系。

步骤202，当接入设备从端口接收到来自终端设备的报文时，查询该端口的对应关系中记录的MAC地址，如果报文的源MAC地址与对应关系中的MAC地址不一致，执行步骤203，如果报文的源MAC地址与对应关系中的MAC地址一致，执行步骤204。

步骤203，接入设备丢弃报文。

当报文的源MAC地址与对应关系中的MAC地址不一致时，则说明未通过MAC地址认证，因此直接丢弃报文。例如，接入设备在端口Port1上接收到源MAC地址为MAC地址2的报文时，如果接入设备记录有Port1与MAC地址1的对应关系，则接入设备直接丢弃该接收到的报文。

步骤204，接入设备转发报文。

当报文的源MAC地址与对应关系中的MAC地址一致时，则说明通过MAC地址认证，因此可直接转发报文。例如，接入设备在端口Port1上接收到源MAC地址为MAC地址1的报文时，如果接入设备记录有Port1与MAC地址1的对应关系，则接入设备直接转发该接收到的报文。

需要说明的是，在报文的源MAC地址与对应关系中的MAC地址一致时，还可以有以下情况：

情况一、在终端设备注册成功(如EC在VM服务器上的注册)之前，如果接收到的报文为来自终端设备的SIP注册请求报文，则接入设备转发接收到的报文；如果接收到的报文不是来自终端设备的SIP注册请求报文，则接入设备直接丢弃接收到的报文。

情况二、在终端设备注册成功之后，则无论接收到的报文是何种类型，则接入设备直接转发接收到的报文；其中：在接入设备侦听到来自终端设备的SIP注册请求报文，且侦听到发送给终端设备的来自VM服务器的SIP注册成功响应报文时，接入设备确认终端设备注册成功。

本发明中，考虑到接入的安全性，并不是所有通过认证的MAC地址所对应的报文就会被转发，在终端设备注册成功之前，接入设备只转发特定的报文(即SIP注册请求报文)，如果不是此类型的报文，则直接丢弃。其中，该特定的报文是UDP(User Datagram Protocol，用户数据包协议)报文，目的端口为5060。

进一步的，在MAC地址认证通过后，接入设备需要继续监测与该MAC地址对应的端口，在一定时间间隔内，如果在该端口收到上行(即来自终端设备)的SIP(Session Initiation Protocol，会话初始化协议)注册请求报文和下行(即来自VM服务器)的SIP注册成功响应报文(如EC与VM服务器之间交互的SIP注册请求报文和SIP注册成功响应报文)，则说明终端设备注册成功之后，该端口是认证通过状态，可以正常转发报文；之后，无论接收到的报文是何种类型，则接入设备直接转发接收到的报文。

本发明中，考虑到接入的安全性，如果接入设备在预设周期内没有在端口上接收到来自终端设备的KeepaLive报文(如EC与VM服务器之间需要定期交互KeepaLive报文，当EC未发送KeepaLive报文时，则EC当前未接入网络)，则当接入设备从端口接收到报文时，接入设备丢弃接收到的报文。

具体的，基于安全因素考虑，端口不能永远处于无条件转发状态，因此，处于正常转发状态(即可以发送任何报文)的接入设备端口，需要继续监测SIP的KeepaLive报文，如果在一定时间周期内(如三秒钟)没有收到SIP的KeepaLive报文，则将该端口设置为未通过认证状态，不允许转发报文。

综上所述，本发明中，通过在接入设备上对终端设备进行MAC地址认证，可提高终端设备接入的安全性，保证监控***的安全性，避免黑客或者其他恶意流量的攻击。

基于与上述方法同样的发明构思，本发明还提出了一种接入设备，应用于包括终端设备和所述接入设备的监控***中，如图3所示，所述接入设备包括：

获得模块11，用于获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；

接收模块12，用于从所述端口接收到来自所述终端设备的报文；

处理模块13，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时，丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文。

所述获得模块11，具体用于当接入设备第一次接收到来自所述终端设备的报文时，获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与接入设备的端口之间的对应关系时，记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。

所述处理模块13，具体用于在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；

所述处理模块13，还用于在转发所述报文之后，如果在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当从所述端口接收到报文时，丢弃接收到的报文。

本发明中，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括：监控***中的编码设备。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

1.一种安全控制方法，应用于包括终端设备和接入设备的监控***中，其特征在于，该方法包括以下步骤：

当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文；

其中，所述接入设备转发所述报文，具体包括：

所述接入设备转发所述报文，之后还包括：

2.如权利要求1所述的方法，其特征在于，所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系，具体包括：

3.如权利要求1所述的方法，其特征在于，所述接入设备转发所述报文，还包括：

4.如权利要求1-3任一项所述的方法，其特征在于，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括：监控***中的编码设备。

5.一种接入设备，应用于包括终端设备和所述接入设备的监控***中，其特征在于，所述接入设备包括：

处理模块，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时，丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文；具体用于在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；

6.如权利要求5所述的接入设备，其特征在于，

7.如权利要求5所述的接入设备，其特征在于，

所述处理模块，具体用于在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，则转发所述报文；其中：

8.如权利要求5-7任一项所述的接入设备，其特征在于，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括：监控***中的编码设备。