CN106936804B - 一种访问控制方法以及认证设备 - Google Patents

Abstract

本发明实施例提供了一种访问控制方法以及认证设备，用于实现对终端IP地址进行动态的访问控制。本发明实施例方法包括：认证设备获取终端的介质访问控制MAC地址和当前网际协议IP地址；所述认证设备向服务器发送认证请求，所述认证请求包含所述终端的MAC地址和当前的IP地址；所述认证设备接收所述服务器发送的认证响应报文，所述认证响应报文包含与所述终端的MAC地址和当前的IP地址对应的访问控制策略；所述认证设备根据所述访问控制策略对所述终端当前的IP地址执行访问控制。做到对终端动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

Description

一种访问控制方法以及认证设备

技术领域

本发明涉及网络通信技术，尤其涉及一种访问控制方法。

背景技术

现有的计算机网络中，通常需要对终端执行访问控制。访问控制是按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术。访问控制是几乎所有***都需要用到的一种技术。

常用的访问控制技术例如包括IEEE 802.1x技术，一旦终端通过IEEE 802.1x认证后，接入设备以介质访问控制MAC地址识别终端，即该终端的网际协议IP地址便不会再受到控制，对其IP地址的控制一般通过访问控制列表ACL进行，用于配置来限制或者放通某些IP地址的访问权限。ACL是路由器和交换机接口的指令列表，用来控制端口进出的数据包。配置ACL后，可以限制网络流量，允许特定设备访问，指定转发特定端口数据包等。ACL既可以在路由器上配置，也可以在具有ACL功能的业务软件上进行配置。

由于ACL技术对终端的IP地址只能通过掩码配置，对于分散或者连续的IP地址配置十分不方便。而且由于ACL只能进行静态配置，终端IP或者端口变化后需要通过网管或者命令行界面CLI修改配置，不能做到动态调整。另外由于在每种协议、每个方向、每个接口都需要配置一个ACL，因此ACL的配置相当复杂。

发明内容

本发明实施例提供了一种访问控制方法以及认证设备，用于实现对终端IP进行动态的访问控制。

有鉴于此，本发明实施例第一方面提供了一种访问控制方法，该方法包括：认证设备获取终端的MAC地址和当前的IP地址，终端的IP地址可以为IPv4协议的IP地址，也可以为IPv6协议的IP地址，此处不作限定。该认证设备向服务器发送包含该终端的MAC地址和当前的IP地址的认证请求，需要说明的是，认证请求不仅携带该终端的MAC地址和IP地址，还可以携带认证设备本身的接入信息，包括该终端接入的所述认证设备的端口信息或者该终端所属的VLAN的信息，比如该终端所属的VLAN的标识，只要能让服务器知道该认证设备的地址以使得认证设备可以收到服务器的返回信息，此处不作限定。该认证设备接收该服务器发送包含与该终端的MAC地址和当前的IP地址对应的访问控制策略的认证响应报文，该访问控制策略也可以包括对该终端的原来的IP地址的访问控制策略，还可以参考该终端需要访问的网址，还可以参考当下的时间点，服务器在存储的访问策略就不同的参考因素进行匹配，找到相应的匹配的访问控制策略，被认证响应报文携带，被发送到认证设备，此处不作限定。该认证设备根据该访问控制策略对该终端当前的IP地址执行访问控制，也可以在允许/禁止当前的IP地址访问的前提下，允许/禁止该终端当前的IP地址和原来的IP地址同时访问网络。在一些可行的实施例中，若该终端为例如防火墙设备或者路由器设备等允许多个IP地址同时访问网络的类型，此处不作限定。

由于认证设备可以获取终端的IP地址和MAC地址并向服务器发送认证请求，且在服务器中设置了对终端的不同IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略，基于IP地址对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

结合本发明实施例的第一方面，在本发明实施例的第一方面的第一种实施方式中，包括：当需要对访问控制策略进行调整的时候，可以在服务器端进行修改，发送的策略修改报文到认证设备，该策略修改报文包含针对该终端的访问控制修改策略；该认证设备根据该访问控制修改策略对该终端当前的IP地址执行访问控制。

由于当网络访问策略需要改变时，可以通过在服务器端对策略进行修改，因此不需要对逐个IP地址在逐个网关设备上进行配置，因此网络访问策略修改的过程十分简单，从而简化了运营和维护。

结合本发明实施例的第一方面、第一方面的第一种实施方式，在本发明实施例的第一方面的第二种具体实施方式，包括：当该终端通过IEEE 802.1x协议接入网络后，可以通过向认证设备发送动态主机配置协议DHCP报文获取IP地址。该DHCP报文携带自身的MAC地址，认证设备根据MAC地址在预留的IP地址段中选取一个IP地址分配给终端，则终端可以使用该IP进行网络的访问。

由于认证设备通过DHCP报文从预置的IP地址段给予终端分配一个IP地址，满足了无固定IP地址而需要动态获取IP地址的终端的需求。

结合本发明实施例的第一方面、第一方面的第一种实施方式、第一方面的第二种实施方式以及第一方面的第三种实施方式，在本发明实施例的第一方面的第三种实施方式中，包括：终端可以是在预先对MAC地址与IP地址进行绑定配置。该MAC地址可以绑定一个或多个IP地址，而且可以使用这些IP地址中的一个或多个同时访问网络，例如防火墙设备、路由器设备等。当该终端通过MAC认证接入网络后，由于该终端是绑定了MAC地址和IP地址，因此该终端不需要另外再获取IP地址，可以直接使用与MAC地址绑定的IP地址进行访问网络。

由于认证设备通过预先给予终端配置了一个IP地址段，从而满足了需要配置静态的固定IP地址的终端的需求。

结合本发明实施例的第一方面、第一方面的第一种实施方式、第一方面的第二种实施方式以及第一方面的第三种实施方式，在本发明实施例的第一方面的第四种实施方式中，包括：终端向认证设备发送ARP报文，该ARP报文包括该终端的IP地址、该终端的MAC地址以及该认证设备的IP地址。当认证设备收到该ARP报文时，认证设备将终端的IP地址和MAC地址的映射关系添加到本地ARP表中。

由于认证设备通过接收ARP报文获取终端的MAC地址和该终端的当前的IP地址，因此认证设备可以生成针对该终端的访问控制的认证请求，从而可得到针对该IP地址的认证响应报文。

本发明实施例第二方面提供了一种认证设备，包括：获取模块，用于获取终端的MAC地址和当前的IP地址，也可以包括原来的IP地址，此处不作限定；发送模块，用于向服务器发送认证请求，该认证请求包含该获取模块获取的该终端的MAC地址和当前的IP地址，也可以包括原来的IP地址，此处不作限定；第一接收模块，用于接收该服务器发送的认证响应报文，该认证响应报文包含与该终端的MAC地址和当前的IP地址对应的访问控制策略，也可以包括原来的IP地址，此处不作限定；第一执行模块，用于根据该访问控制策略对该终端当前的IP地址执行访问控制，也可以对该终端原来的IP地址执行访问控制，此处不作限定。

由于获取模块可以获取终端的IP地址和MAC地址并发送模块向服务器发送认证请求，且第一接收模块接收了在服务器中设置了的对终端的不同IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略，基于IP地址第一执行模块对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

结合本发明实施例的第二方面，在本发明实施例的第二方面的第一种实施方式中，包括：第二接收模块接收该服务器发送的策略修改报文，该策略修改报文包含针对该终端的访问控制修改策略，第二执行模块根据该访问控制修改策略对该终端当前的IP地址执行访问控制。

由于当网络访问策略需要改变时，可以通过在服务器端对策略进行修改，因此不需要对逐个IP地址在逐个网关设备上进行配置，因此网络访问策略修改的过程十分简单，从而简化了运营和维护。

结合本发明实施例的第二方面、第二方面的第一种实施方式，在本发明实施例的第二方面的第二种具体实施方式，包括：第三接收模块接收该终端发送的动态主机配置协议DHCP报文，分配模块根据该DHCP报文为该终端分配一个IP地址。

由于认证设备通过DHCP报文从预置的IP地址段给予终端分配一个IP地址，满足了无固定IP地址而需要动态获取IP地址的终端的需求。

结合本发明实施例的第二方面、第二方面的第一种实施方式、第二方面的第二种实施方式以及第二方面的第三种实施方式，在本发明实施例的第二方面的第三种实施方式中，包括：分配模块为该终端配置IP地址段。

由于认证设备通过预先给予终端配置了一个IP地址段，从而满足了需要配置静态的固定IP地址的终端的需求。

结合本发明实施例的第二方面、第二方面的第一种实施方式、第二方面的第二种实施方式以及第二方面的第三种实施方式，在本发明实施例的第二方面的第四种实施方式中，包括：第一接收模块接收该终端发送的地址解析协议ARP报文，该ARP报文携带该终端的MAC地址和该终端的当前的IP地址。

由于认证设备通过接收ARP报文获取终端的MAC地址和该终端的当前的IP地址，因此认证设备可以生成针对该终端的访问控制的认证请求。

本申请第三方面提供了一种服务器，包括：收发器、存储器、处理器以及总线；收发器、存储器以及处理器通过总线连接；收发器用于获取终端的MAC地址和当前的IP地址，也可以包括原来的IP地址，此处不作限定，向服务器发送认证请求，认证请求包含终端的MAC地址和当前的IP地址，也可以包括原来的IP地址，此处不作限定，接收服务器发送的认证响应报文，认证响应报文包含与终端的MAC地址和当前的IP地址对应的访问控制策略，也可以包括原来的IP地址，此处不作限定；存储器用于存储程序和收发器获取的终端的MAC地址和当前的IP地址、向服务器发送的认证请求以及服务器发送的认证响应报文，此处不作限定；处理器用于当认证设备运行时，执行程序以及根据访问控制策略对终端当前的IP地址执行访问控制，也可以对终端原来的IP地址执行访问控制，此处不作限定。

从以上技术方案可以看出，本发明实施例具有以下优点：

本发明实施例中，由于认证设备可以获取终端的IP地址和MAC地址并向服务器发送认证请求，且在服务器中设置了对终端的不同IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略，基于IP地址对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

附图说明

图1为本发明实施例中访问控制***的框架示意图；

图2为本发明实施例中访问控制方法一个实施例示意图；

图3为本发明实施例中认证设备一个实施例示意图；

图4为本发明实施例中认证设备另一个实施例示意图；

图5为本发明实施例中认证设备另一个实施例示意图；

图6为本发明实施例中认证设备另一个实施例示意图；

图7为本发明实施例中认证设备另一个实施例示意图；

图8为本发明实施例中认证设备另一个实施例示意图；

图9为本发明实施例中认证设备另一个实施例示意图；

图10为本发明实施例中认证设备另一个实施例示意图。

具体实施方式

本发明实施例提供了一种访问控制方法以及认证设备，用于实现对终端IP进行动态的访问控制。

为了使本技术领域的人员更好地理解本发明实施例方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”、“第三”、“第四”等(如果存在)是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的实施例能够以除了在这里图示或描述的内容以外的顺序实施。此外，术语“包括”、“包含”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

如图1所示，是一种访问控制***的架构示意图。在本发明实施例中，该终端可以包括手机、平板电脑或笔记本电脑等移动终端，也可以为台式电脑、路由器设备或者防火墙设备，此处不作限定。在一些可行的实施例中，认证设备可以为以太网交换机或者局域网交换机，只要能连接终端以及服务器并实现本发明实施例中的访问控制的方法的功能，此处不作限定。在一些可行的实施例中，该服务器可以为AAA服务器(AAA：验证Authentication、授权Authorization和记账Accounting)，也可以为其他实现对来访的终端进行验证、授权和记账功能的服务器，此处不作限定。本发明实施例中以AAA服务器为例进行说明。认证设备获取终端的MAC地址和当前的IP地址后，向服务器发送包含终端的MAC地址和该终端当前的IP地址的认证请求，该服务器向该认证设备发送认证响应报文，该认证响应报文包含与终端的MAC地址和该终端当前的IP地址对应的访问控制策略，该认证设备根据访问控制策略对该终端当前的IP地址执行访问控制。

在网络通信领域，几乎所有***都需要用到访问控制。访问控制是按用户身份及其所归属的某项定义组来限制用户对某些信息项的访问，或限制对某些控制功能的使用的一种技术。

常用的访问控制技术例如包括IEEE 802.1x认证技术或者MAC认证技术。一旦终端通过IEEE 802.1x认证或者MAC认证后，接入设备以MAC地址识别终端，即该终端的IP地址便不会再受到控制，对终端的IP地址的控制一般通过ACL进行，用于配置来限制或者放通某些IP地址的访问权限。

由于ACL技术对终端的IP地址只能通过掩码配置，对于分散或者连续的IP地址配置十分不方便。而且由于ACL只能进行静态配置，终端的IP地址或者终端的端口变化后需要通过网管或者CLI修改配置，不能做到动态调整。另外由于在每种协议、每个方向、每个接口都需要配置一个ACL表项，因此ACL的配置相当复杂。

本发明实施例中，由于在服务器中设置了对不同终端的IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略判断如何对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

为便于理解，下面对本发明实施例中的具体流程进行描述，请参阅图2，本发明实施例中访问控制方法一个实施例包括：

201、终端获得IP地址。

在一些可行的实施例中，终端可以通过IEEE 802.1x协议接入网络，即当该终端接入网络时，认证设备对此做出回应，则该终端需要通过填写用户名和密码，以此作为信息发送到认证设备，若认证设备认为该用户名和密码符合要求，则会放通该终端的MAC地址的访问权限。当该终端通过IEEE 802.1x协议接入网络后，可以通过向认证设备发送动态主机配置协议DHCP报文获取IP地址。该DHCP报文携带自身的MAC地址，认证设备根据MAC地址在预留的IP地址段中选取一个IP地址分配给终端，则终端可以使用该IP进行网络的访问。在本发明实施例中，通过上述IEEE 802.1x协议接入网络的终端，如大多数的个人电脑和移动终端，终端的MAC地址无固定的IP地址，而是需要动态获取IP地址，而且该终端在一个时间段只能有一个IP地址。当有新的IP地址被某一终端使用时，该终端原来的IP地址就会被禁止访问。

在一些可行的实施例中，终端可以通过MAC地址认证接入网络，即当该终端接入网络时，认证设备只需通过该终端的MAC地址确定是否放通该终端的访问权限，而不需要终端填写用户名和密码。在本发明实施例中，终端可以是在预先对MAC地址与IP地址进行绑定配置。该MAC地址可以绑定一个或多个IP地址，而且可以使用这些IP地址中的一个或多个同时访问网络，例如防火墙设备、路由器设备等。当该终端通过MAC地址认证接入网络后，由于该终端是绑定了MAC地址和IP地址，因此该终端不需要另外再获取IP地址，可以直接使用与MAC地址绑定的IP地址进行访问网络。

202、认证设备获取终端的MAC地址和IP地址。

在一些可行的实施例中，终端的IP地址可以为IPv4协议的IP地址，也可以为IPv6协议的IP地址，此处不作限定。在本发明实施例中，就IP地址为IPv4为例对认证设备获取终端的MAC地址和IP地址的过程进行说明。

当终端的IP地址为IPv4协议时，终端接入网络时，向认证设备发送ARP报文，该ARP报文包括该终端的IP地址、该终端的MAC地址以及认证设备的IP地址。当认证设备收到该ARP报文时，则将终端的IP地址和MAC地址映射关系添加到该认证设备的本地ARP表中。

当该终端的IP地址为IPv6的协议的IP地址时，将不使用ARP报文，而是使用邻居发现ND报文，该终端使用ND报文获取认证设备的MAC地址的具体工作过程，为描述的方便和简洁，可以参考前述方法实施例中当IP地址为IPv4的对应过程，在此不再赘述。

203、认证设备向服务器发送认证请求，认证请求包含终端的MAC地址和IP地址。

在本发明实施例中，认证设备获取了终端的MAC地址和IP地址之后，会发送携带该终端的MAC地址和IP地址的认证请求到服务器，以获取该服务器对该终端的访问控制策略。

当终端的IP地址发生了变化，认证设备发送的认证请求可以携带该终端的当前的IP地址和原来的IP地址，也可以携带该终端当前的IP地址，此处不作限定。在一些可行的实施例中，当服务器接收到认证请求时，会从缓存的数据中获取该终端的原来的IP地址，并向所述认证设备返回携带针对终端的当前的IP地址对应的访问控制策略和针对所述终端原来的IP地址的访问控制策略，比如针对终端的当前的IP地址对应的访问控制策略可以是“允许访问”，针对所述终端原来的IP地址的访问控制策略可以是“禁止访问”。

可选的，当认证设备获取了终端的MAC地址和所述终端当前的IP地址之后，会从缓存的MAC地址对应的表中检查是否存在该终端原来的IP地址，若存在且该终端原来的IP地址与该终端当前的IP地址相同，则认证设备向服务器发送的认证请求中仅携带该终端当前的IP地址，或者，认证设备也可以不发送认证请求，此处不作限定；否则，若认证设备确定该终端原来的IP地址与该终端当前的IP地址不同，则可以将该终端当前的IP地址以及该终端原来的IP地址包括在发往服务器的认证请求，或者，认证设备也可以不把原来的IP地址包括在发往服务器的认证请求，此处不作限定，以得到服务器中对该终端的各个IP地址的访问控制策略。

需要说明的是，该认证请求不仅携带该终端的MAC地址和IP地址，还携带认证设备本身的接入信息，该认证设备本身的接入信息包括该终端接入的、该认证设备的端口信息，该认证设备本身的接入信息包括该终端所属的虚拟局域网VLAN信息，比如该终端所属的VLAN标识，只要能让服务器知道该认证设备的地址以使得认证设备可以收到服务器的返回信息，此处不作限定。

在一些可行的实施例中，认证请求可以为间隔一定的时间发送一次，例如20分钟发送一次，也可以为一旦被触动就会广播发送报文，如当认证设备接收到ARP报文的时候向服务器发送认证请求，此处不作限定。

204、认证设备接收服务器发送的认证响应报文，认证响应报文包含与终端的MAC地址和IP地址对应的访问控制策略。

在一些可行的实施例中，当服务器根据终端的MAC地址和IP地址，在存储的访问控制策略中查找匹配的访问控制策略，将查找到的、匹配的访问控制策略发送给认证设备。在另外的可行的实施例中，也可以默认为不允许这样的MAC地址和IP地址访问，此处不作限定。

可选的，服务器查找匹配的访问控制策略时，可能不仅仅参考该终端的MAC地址和IP地址，还可以参考该终端需要访问的网址，还可以参考当下的时间点，此处不作限定。服务器在存储的访问策略就不同的参考因素进行匹配，找到相应的匹配的访问控制策略，被认证响应报文携带，被发送到认证设备。在本发明实施例中，服务器在查找匹配的访问控制策略时，以仅考虑终端的MAC地址和IP地址为例进行说明。

需要说明的是，并非所有MAC地址和IP地址都能找到对应的访问控制策略，在一些可行的实施例中，若服务器无法根据终端的MAC地址和IP地址找到对应的访问控制策略，则默认不对该MAC地址和IP地址做出访问控制，也可以默认为不允许这样的MAC地址和IP地址访问，此处不作限定。

205、认证设备根据访问控制策略对终端的IP地址执行访问控制。

在一些可行的实施例中，该访问控制策略可以为允许/禁止该终端当前的IP地址访问，也可以为允许/禁止该终端的当前的IP地址在当前的时间段访问特定的网址，在此不作限定。

在另一些可行的实施例中，也可以在允许当前的IP地址访问的前提下，允许/禁止该终端当前的IP地址和原来的IP地址同时访问网络。在一些可行的实施例中，若该终端为例如防火墙设备或者路由器设备等允许多个IP地址同时访问网络的类型。

在另一些可行的实施例中，该终端可以为大多数的手持终端或者个人电脑，在一个时间段内只能使用一个IP地址，而且该IP地址为动态的，则可以在允许该终端当前的IP地址访问网络的前提下，禁止该终端的原来的IP地址。

需要说明的是，可选的，也可以考虑把当前的时间和特定的网址作为综合参考的因素，即可以通过终端的MAC地址、当前的IP地址、原来的IP地址、当前的时间段和当前需要访问的网络，找到匹配的对该终端当前的IP地址和原来的IP地址进行访问控制的策略，以指示该终端当前的IP地址和原来的IP地址是否可以在当下访问当前的网址。

在一些可行的实施例中，不仅上述的几种访问控制策略，还可以有其他类型的访问控制策略，例如禁止该终端当前的IP地址和原来的IP地址，此处不作限定。本步骤则根据接受得到的认证响应报文里携带的访问控制策略对该终端的IP地址进行访问控制。

206、认证设备接收服务器发送的策略修改报文，策略修改报文包含针对终端的访问控制修改策略。

在一些可行的实施例中，当需要对访问控制策略进行调整的时候，可以在服务器端进行修改。当修改完毕后，认证设备接收服务器发送的策略修改报文，策略修改报文包含针对终端的访问控制修改策略。可选的，当修改完毕后，服务器可以向认证设备下发特定MAC地址和IP地址策略变更的转交地址协议COA报文，该COA报文包括指示认证设备对终端最新的访问控制策略。

207、认证设备根据访问控制修改策略对终端的IP地址执行访问控制。

本发明实施例中，认证设备根据访问控制修改策略对终端的IP地址执行访问控制，可选的，该策略修改报文可以包括针对不同的MAC地址和IP地址的策略的最新版本，也可以为对该终端在不同时间段和不同特定网页限制访问的修改，此处不作限定。

本发明实施例中，由于在服务器中设置了对不同终端的IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略判断如何对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

请参考图3，本发明实施例还提供一种认证设备300，该认证设备包括：

获取模块301，用于获取终端的MAC地址和当前的IP地址。

发送模块302，用于向服务器发送认证请求，认证请求包含获取模块301获取的终端的MAC地址和当前的IP地址。

第一接收模块303，用于接收服务器发送的认证响应报文，认证响应报文包含与发送模块302发送的，终端的MAC地址和当前的IP地址对应的访问控制策略。

第一执行模块304，用于根据第一接收模块303接收的访问控制策略对终端当前的IP地址执行访问控制。

请参考图4，在一些实施例中，该认证设备还包括：

第二接收模块305，用于接收服务器发送的策略修改报文，策略修改报文包含针对终端的访问控制修改策略。

第二执行模块306，认证设备根据访问控制修改策略对终端当前的IP地址执行访问控制。

请参考图5，在一些实施例中，该认证设备还包括：

第三接收模块307，用于接收终端发送的DHCP报文。

分配模块308，用于根据DHCP报文为终端分配一个IP地址。

请参考图6，在一些实施例中，该认证设备还包括：

配置模块309，用于为终端配置IP地址段。

请参考图7，在一些实施例中，该发送模块302包括：

第一接收单元3011，用于接收终端发送的ARP报文，ARP报文携带终端的MAC地址和当前的IP地址。

请参考图8，在一些实施例中，该发送模块302包括：

读取单元3021，用于从本地缓存中读取终端原来的IP地址。

发送单元3022，用于当获取单元获取的终端当前的IP地址，与读取单元读取的终端原来的IP地址不同时，向服务器发送认证请求，认证请求包含终端的原来的IP地址和当前的IP地址以及终端的MAC地址。

请参考图9，在一些实施例中，该第一执行模块304包括：

执行单元3041，用于根据访问控制策略对终端当前的IP地址和原来的IP地址分别执行访问控制。

本发明实施例中，由于在服务器中设置了对不同终端的IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略判断如何对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

所述认证设备300可以是图1或图2所述的认证设备，可以执行图2中的认证设备所执行的各个步骤。

上面从模块化功能实体的角度对本发明实施例中的认证设备进行描述，下面从硬件处理的角度对本发明实施例中的认证设备进行描述，请参阅图10，本发明实施例提供了一种认证设备400，包括：

收发器401、存储器402、处理器403以及总线404。

收发器401、存储器402以及处理器403通过总线404连接。

收发器401用于获取终端的MAC地址和当前的IP地址；向服务器发送认证请求，认证请求包含终端的MAC地址和当前的IP地址；接收服务器发送的认证响应报文，认证响应报文包含与终端的MAC地址和当前的IP地址对应的访问控制策略。

进一步的，收发器401包括ZigBee、Wi-Fi、LTE(Long Term Evolution，长期演进)、RFID(Radio Frequency Identification，射频识别技术)、NFC(Near FieldCommunication，近场通信)、红外、UWB(Ultra Wideband，超宽带)的一种或多种组合，此处不作限定；也可以包括EIA-RS-232C标准下的通信接口，即数据终端设备(英文：DataTerminal Equipment，缩写：DTE)和数据通信设备(英文：Data Circuit-terminatingEquipment，缩写：DCE)之间串行二进制数据交换接口技术标准的通信接口，也可以包括RS-485协议下的通信接口，此处不作限定。

存储器402用于存储程序和收发器401获取的终端的MAC地址和当前的IP地址、向服务器发送的认证请求以及服务器发送的认证响应报文。

存储器402可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器402也可以包括非易失性存储器(英文：non-volatile memory)，例如快闪存储器(英文：flash memory)，硬盘(英文：hard diskdrive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)；存储器403还可以包括上述种类的存储器的任意组合，此处不作限定。

可选地，存储器402还可以用于存储程序指令，处理器403可以调用该存储器402中存储的程序指令，执行图2所示实施例中的一个或多个步骤，或其中可选的实施方式，使得该认证设备400实现上述方法的功能。

处理器403用于当认证设备400运行时，执行程序以及根据访问控制策略对终端当前的IP地址执行访问控制。

处理器403可以是中央处理器(英文：central processing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。

处理器403还可以进一步包括硬件芯片。上述硬件芯片可以是专用集成电路(英文：application-specific integrated circuit，缩写：ASIC)，可编程逻辑器件(英文：programmable logic device，缩写：PLD)或其任意组合。上述PLD可以是复杂可编程逻辑器件(英文：complex programmable logic device，缩写：CPLD)，现场可编程逻辑门阵列(英文：field-programmable gate array，缩写：FPGA)，通用阵列逻辑(英文：generic arraylogic,缩写：GAL)或其任意组合。

可选地，所述认证设备400可以是图1～9中任一所述的认证设备，可以执行图2中的认证设备所执行的各个步骤。

本发明实施例中，由于在服务器中设置了对不同终端的IP地址和MAC地址的访问控制策略，因此不需要对逐个IP地址在逐个网关设备上进行配置，即不需要静态配置，而是可以通过服务器返回的对该终端的网络访问策略判断如何对该终端执行访问控制，从而做到动态的访问控制，而且配置过程十分简单，从而简化了运营和维护。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的***，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本申请所提供的几个实施例中，应该理解到，所揭露的***，装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个***，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-OnlyMemory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (13)

1.一种访问控制方法，其特征在于，包括：

认证设备获取终端的介质访问控制MAC地址和所述终端的当前网际协议IP地址；

所述认证设备向服务器发送认证请求，所述认证请求包含所述终端的MAC地址和所述终端的当前IP地址；

所述认证设备接收所述服务器发送的认证响应报文，所述认证响应报文包含与所述终端的MAC地址和所述终端的当前IP地址对应的访问控制策略；

所述认证设备根据所述访问控制策略对所述终端的当前IP地址执行访问控制；

所述认证设备向所述服务器发送认证请求，所述认证请求包含所述终端的MAC地址和所述终端的当前IP地址包括：

所述认证设备从本地缓存中读取所述终端原来的IP地址；

若所述认证设备确定所述终端当前的IP地址和所述终端原来的IP地址不同，则向所述服务器发送所述认证请求，所述认证请求包含所述终端当前的IP地址以及所述终端的MAC地址；

所述认证设备根据所述访问控制策略对所述终端当前的IP地址执行访问控制包括：

所述认证设备根据所述访问控制策略对所述终端当前的IP地址和所述终端原来的IP地址执行访问控制。

2.根据权利要求1所述访问控制方法，所述认证设备根据所述访问控制策略对所述终端的当前IP地址执行访问控制之后还包括：

所述认证设备接收所述服务器发送的策略修改报文，所述策略修改报文包含针对所述终端的访问控制修改策略；

所述认证设备根据所述访问控制修改策略对所述终端当前的IP地址执行访问控制。

3.根据权利要求1或2所述访问控制方法，所述认证设备获取所述终端的当前IP地址包括：

所述认证设备接收所述终端发送的动态主机配置协议DHCP报文；

所述认证设备根据所述DHCP报文为所述终端分配一个IP地址。

4.根据权利要求1或2所述访问控制方法，所述认证设备获取所述终端的MAC地址和所述终端的IP地址之前，还包括：

所述认证设备为所述终端配置IP地址段。

5.根据权利要求3所述访问控制方法，所述认证设备获取所述终端的MAC地址和所述终端的IP地址之前，还包括：

所述认证设备为所述终端配置IP地址段。

6.根据权利要求1或2所述访问控制方法，其特征在于，所述认证设备获取所述终端的MAC地址和所述终端的当前IP地址包括：

所述认证设备接收所述终端发送的地址解析协议ARP报文，所述ARP报文携带所述终端的MAC地址和所述终端的当前IP地址。

7.根据权利要求3所述访问控制方法，其特征在于，所述认证设备获取所述终端的MAC地址和所述终端的当前IP地址包括：

所述认证设备接收所述终端发送的地址解析协议ARP报文，所述ARP报文携带所述终端的MAC地址和所述终端的当前IP地址。

8.一种认证设备，其特征在于，包括：

获取模块，用于获取终端的介质访问控制MAC地址和所述终端当前的网际协议IP地址；

发送模块，用于向服务器发送认证请求，所述认证请求包含所述获取模块获取的所述终端的MAC地址和所述终端当前的IP地址；

第一接收模块，用于接收所述服务器发送的认证响应报文，所述认证响应报文包含与所述终端的MAC地址和所述终端当前的IP地址对应的访问控制策略；

第一执行模块，用于根据所述访问控制策略对所述终端当前的IP地址执行访问控制；

所述发送模块包括：

读取单元，用于从本地缓存中读取所述终端原来的IP地址；

发送单元，用于当获取单元获取的所述终端当前的IP地址，与所述读取单元读取的所述终端原来的IP地址不同时，向所述服务器发送所述认证请求，所述认证请求包含所述终端当前的IP地址以及所述终端的MAC地址；

所述第一执行模块包括：

执行单元，所述认证设备根据所述访问控制策略对所述终端当前的IP地址和所述终端原来的IP地址执行访问控制。

9.根据权利要求8所述认证设备，其特征在于，所述认证设备还包括：

第二接收模块，用于接收所述服务器发送的策略修改报文，所述策略修改报文包含针对所述终端的访问控制修改策略；

第二执行模块，所述认证设备根据所述访问控制修改策略对所述终端当前的IP地址执行访问控制。

10.根据权利要求8所述认证设备，其特征在于，所述认证设备还包括：

第三接收模块，用于接收所述终端发送的动态主机配置协议DHCP报文；

分配模块，用于根据所述DHCP报文为所述终端分配一个IP地址。

11.根据权利要求8或9或10所述认证设备，其特征在于，所述认证设备还包括：

配置模块，用于为所述终端配置IP地址段。

12.根据权利要求8或9或10所述认证设备，其特征在于，所述获取模块包括：

第一接收单元，用于接收所述终端发送的ARP报文，所述ARP报文携带所述终端的MAC地址和所述终端当前的IP地址。

13.一种认证设备，其特征在于，包括：

收发器、存储器、处理器以及总线；

所述收发器、所述存储器以及所述处理器通过总线连接；

所述收发器用于获取终端的MAC地址和所述终端当前的IP地址，向服务器发送认证请求，所述认证请求包含所述终端的MAC地址和所述终端当前的IP地址，接收所述服务器发送的认证响应报文，所述认证响应报文包含与所述终端的MAC地址和所述当前的IP地址对应的访问控制策略；

所述存储器用于存储程序、所述收发器获取的终端的MAC地址和所述终端当前的IP地址、向所述服务器发送的认证请求以及所述服务器发送的所述认证响应报文；

所述处理器用于执行所述存储器存储的程序以及根据所述访问控制策略对所述终端当前的IP地址执行访问控制；

所述收发器具体用于：

从本地缓存中读取所述终端原来的IP地址；

当获取单元获取的所述终端当前的IP地址，与所述读取单元读取的所述终端原来的IP地址不同时，向所述服务器发送所述认证请求，所述认证请求包含所述终端当前的IP地址以及所述终端的MAC地址；

所述处理器具体用于：

根据所述访问控制策略对所述终端当前的IP地址和所述终端原来的IP地址执行访问控制。

Images