CN113271285B - 接入网络的方法和装置 - Google Patents

接入网络的方法和装置 Download PDF

Info

Publication number
CN113271285B
CN113271285B CN202010093171.9A CN202010093171A CN113271285B CN 113271285 B CN113271285 B CN 113271285B CN 202010093171 A CN202010093171 A CN 202010093171A CN 113271285 B CN113271285 B CN 113271285B
Authority
CN
China
Prior art keywords
terminal
network
network access
detection
access
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN202010093171.9A
Other languages
English (en)
Other versions
CN113271285A (zh
Inventor
张强
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Jingdong Century Trading Co Ltd
Beijing Wodong Tianjun Information Technology Co Ltd
Original Assignee
Beijing Jingdong Century Trading Co Ltd
Beijing Wodong Tianjun Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Jingdong Century Trading Co Ltd, Beijing Wodong Tianjun Information Technology Co Ltd filed Critical Beijing Jingdong Century Trading Co Ltd
Priority to CN202010093171.9A priority Critical patent/CN113271285B/zh
Publication of CN113271285A publication Critical patent/CN113271285A/zh
Application granted granted Critical
Publication of CN113271285B publication Critical patent/CN113271285B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0281—Proxies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了接入网络的方法和装置，涉及计算机技术领域。该方法的一具体实施方式包括：从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。该实施方式降低了硬件成本，提高了终端接入网络的安全性。

Description

接入网络的方法和装置
技术领域
本发明涉及计算机技术领域，尤其涉及一种接入网络的方法和装置。
背景技术
企业可以只允许合法的、信任的设备(例如PC、服务器、移动设备)接入网络，访问具有敏感数据的网络资源，而不允许其它设备接入网络或者不允许访问具有敏感数据的网络资源。
目前的实现方式，往往需要对企业已经有的网络架构或网络设备进行改造。例如，采用IP-MAC实名绑定的方案，在企业不需要IP绑定的场景下无法灵活调整网络架构；对于已稳定运行的没有IP-MAC绑定方案的网络***，则需要大规模地改造网络。采用旁路部署的方案，则需要交换机功能的支持，老旧的交换机无法支持这种方案，需要大范围地更新硬件设备。这些方式产生高昂的硬件改造成本。
除了硬件成本之外，改造网络需要处理的数据量大，风险极高，甚至会成为***瓶颈。例如，基于NAT的网络准入方法，需要解析网络数据包，处理数据量大。并且在设备接入网络前，没有对设备做安全检查控制，带来风险隐患。
发明内容
有鉴于此，本发明实施例提供一种接入网络的方法和装置，采用代理(Agent)、策略服务(Policy Service)和IP过滤相结合的方法，有效对接入网络的终端进行安全检查，实现基于IP的网络接入管理，防范风险、降低要处理的数据量并且降低硬件成本。
为实现上述目的，根据本发明实施例的一个方面，提供了一种接入网络的方法，包括：
从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；
经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及
经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。
根据本发明实施例的一个方面，提供了一种接入网络的方法，其特征在于，所述经由策略服务PS利用所述检测信息生成所述终端的网络访问策略包括：
所述策略服务基于接收到检测信息确定所述终端的入网权限；
在所述入网权限符合入网条件的情况下，根据所述入网权限确定所述网络访问策略并将所述网络访问策略发送至所述IP过滤服务实体；
在所述入网权限不符合入网条件的情况下，向所述终端返回不符合入网条件的原因。
根据本发明实施例的一个方面，提供了一种接入网络的方法，其特征在于，所述对所述终端进行检测包括以下中的一个或多个：
企业固定资产检测、黑名单进程检测、病毒库更新时间检测、域帐户检测、终端防火墙状态检测、终端IP检测、以及终端硬件信息检测。
根据本发明实施例的一个方面，提供了一种接入网络的方法，其特征在于，还包括：
IP过滤服务实体根据接收到的所述网络访问策略为所述终端设置IP访问规则列表。
根据本发明实施例的一个方面，提供了一种接入网络的方法，其特征在于，所述IP访问规则列表包括所述终端的IP和所述终端能够访问的IP段、所述终端不能够访问的IP段。
根据本发明实施例的一个方面，其特征在于，所述检测信息是通过UDP报文发送至所述PS实体的。
根据本发明实施例的一个方面，提供了一种接入网络的装置，其特征在于，包括：
检测模块，用于从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；
策略模块，用于经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及
过滤模块，用于经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。
上述发明中的一个实施例具有如下优点或有益效果：因为采用代理(Agent)、策略服务(Policy Service)和IP过滤的方法，有效对接入网络的终端进行安全检查、确定网络访问策略、相应地对数据进行过滤，实现基于IP的网络接入管理，防范风险、降低要处理的数据量并且降低硬件成本。
上述的非惯用的可选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。
附图说明
附图用于更好地理解本发明，不构成对本发明的不当限定。其中：
图1A是现有的网络接入拓扑示意图；
图1B是根据本发明实施例的网络接入拓扑的示意图；
图2是根据本发明实施例的接入网络的方法的主要流程的示意图；
图3是根据本发明实施例的接入网络过程的时序示意图
图4是根据本发明实施例的接入网络的装置的主要模块的示意图；
图5是本发明实施例可以应用于其中的示例性***架构图；
图6是适于用来实现本发明实施例的终端设备或服务器的计算机***的结构示意图。
具体实施方式
以下结合附图对本发明的示范性实施例做出说明，其中包括本发明实施例的各种细节以助于理解，应当将它们认为仅仅是示范性的。因此，本领域普通技术人员应当认识到，可以对这里描述的实施例做出各种改变和修改，而不会背离本发明的范围和精神。同样，为了清楚和简明，以下的描述中省略了对公知功能和结构的描述。
图1A是现有的网络接入拓扑***。
现有的网络拓扑如图1A所示，在现有***中，终端通过入网帐户和密码获得接入网络的权限，或在通过在终端设备安装证书来获得接入网络的权限。在通过远程认证拨号用户服务(Remote Authentication Dial-In User Server，RADIUS)和Active Directory(活动目录，AD)的认证后，获得IP，接入网络。实际应用中企业的实际网络拓扑，可以采用其它不同的设置，例如，帐户的认证形式、设备的部署、防火墙或路由器的设置等。
图1B是根据本发明实施例的网络接入拓扑的示意图。
根据本发明实施例的网络接入***，主要包括代理(Agent)、策略服务(PolicyService，PS)、IP过滤服务三个部分。在一种实施方式中，Agent、PS、IP过滤服务三个部分的作用主要是：
Agent：Agent实体的主要功能是在网络设备认证通过，获得IP后对终端设备进行检测，将检测结果、终端的IP、MAC地址等信息作为检测信息报告给PS实体。
PS(Policy Service，策略服务)：PS实体根据Agent实体上报的检测信息，确定出设备的网络权限，生成网络访问策略。
IP过滤服务：IP过滤服务实体工作在网络模型的IP层，根据PS实体设置的网络访问策略，对终端设备发往IDC(Internet Data Center，互联网数据中心)或互联网网络资源的数据进行转发、拦截等操作。
图2是根据本发明实施例的接入网络的方法的主要流程的示意图，如图2所示，接入网络的方法的主要流程包括步骤S201、S202和S203。
步骤S201：经由终端上的Agent对终端进行检测，生成检测信息。
如图1B所示，要接入网络的终端上安装有Agent应用作为Agent实体。在用户选择连接网络、或者开机自启动连接网络时，终端设备可以通过诸如802.1x协议与诸如交换机的网络接入设备交互，完成帐户信息的认证。图1B表示的是交换机作为网络接入设备的中继模式，采用MD5认证的方式。需要注意的是，图1B中采用的实施方式仅为示例，本发明实施例可以采用任何能够其他中继模式、认证方式。
RADIUS实体：可以是RADIUS服务器，在802.1x认证接入方案中充当服务器角色。RADIUS服务器负责对交换机发来终端用户的帐户和密码进行校验，并且根据身份认证结果给交换机下发网络访问权限。例如，在新员工入职领取到新电脑，尚未从管理员处获取帐户和密码，未经RADIUS校验无法接入办公网。终端认证成功后，RADIUS服务器才会给交换机下发预设的网络访问权限；终端设备通过DHCP，获得IP地址信息；终端用户才能接入网络。
需要注意的是，没有安装Agent的终端设备，即使帐户、密码认证通过，也不能入网访问网络资源。
Agent检测到终端获得了IP信息后，对终端设备进行检测。在一种实施方式中，例如在终端要接入企业网络的时候，Agent对终端进行检测可以包括，例如：
企业固定资产检测：判断该终端是否属于企业的资产，如果是外部终端，可能需要进行额外的准入设置；
黑名单进程检测：检测该终端上是否安装有黑名单进程。企业的黑名单可以是根据历史数据生成的；
病毒库更新时间检测：检测该终端的病毒库的更新时间。在一种实施方式中，可以设置特定更新时间，在该特定时间之前更新病毒库的终端，不准许接入网络；
域帐户检测：检测该终端的帐户，判断该帐户是否在需要接入的域中，不在域中的帐户可以不准许接入网络；
终端防火墙状态检测：检测该终端的防火墙状态，判断该终端的防火墙状态是否符合准入标准，例如，未开启防火墙或者防火墙设置不符合准入标准的终端不准许接入网络；
终端IP检测：检测该终端的IP地址，判断该IP地址是否符合准入标准。在一种实施方式中，例如，可以将特定IP段的终端设置为不准许接入网络；
终端硬件信息检测：检测该终端的硬件信息，判断硬件信息是否符合准入标准。在一种实施方式中，可以设置某一类硬件设备不准许接入网络，例如仅允许计算机终端接入网络而不允许移动电话接入网络。
在Agent实体检测终端并获得检测信息后，终端将检测信息发送至PS实体。可以直接通过Agent实体来发送检测信息，也可以通过任何其他可用的发送应用来发送检测信息。在一种实施方式中，例如可以以UDP数据包的形式发送检测信息，也可以使用任何适用的数据包形式发送检测信息。
步骤S202：由策略服务PS实体根据检测信息为该终端生成网络访问策略。
在该步骤中，PS实体收到检测信息后，确定终端的入网权限，根据确定的入网权限生成网络访问策略。在确定终端的入网权限后，PS实体判断该设备是否符合入网条件。在一种实施方式中，PS实体可以根据终端的检测信息预先设置入网条件，例如未安装最新病毒库的终端不准许接入网络、特定类型的终端不准许接入网络等。在另一种实施方式中，PS实体还可以根据接入网络的终端数目设置入网条件，例如仅允许特定数目的终端接入网络等。
如果PS实体判断设备不符合入网条件，则告知Agent实体不准许进入的错误原因；如果判断设备符合入网条件，则将生成的入网权限策略发送给IP过滤服务实体。
步骤S203：由IP过滤服务根据网络访问策略对该终端发来的数据进行过滤。
IP过滤服务根据收到的网络访问策略，将终端的IP和终端可访问的IP段、不可访问的IP段设置到IP访问规则列表，指定用于过滤网络通信流量的规则集合。例如，可以创建以下类型的规则集合：包过滤规则集合、网络地址转换(Network Address Translation,NAT)规则集合等。
在终端访问网络资源时，IP过滤服务根据设置的IP访问规则，确定对来自该终端的数据的操作，例如转发、丢弃等。
此外，当Agent实体与PS实体间的通信中断时，PS实体向IP过滤服务实体发送撤销与该Agent对应的IP访问规则。
图3是根据本发明实施例的网络接入过程的时序示意图。
从图中可以看出，参与接入网络过程的包括Agent、终端、接入设备(诸如交换机)、RADIUS、PS、IP过滤服务和防火墙几个实体。图3中步骤1-11为终端认证过程，Agent实体、PS实体和IP过滤实体尚未参与网络接入过程。需要注意的是，在此以EAP(ExtensibleAuthentication Protocol)协议为例进行说明，但本发明实施例可以以任何合适的协议来实现，而不限于EAP。
1、终端向接入设备发送EAPOL-start(EAP Over LAN，基于局域网的扩展认证协议开始)。
2、接入设备对终端返回EAP Request/Identity(EAP请求/身份证明)消息，要求终端发送身份标识。
3、终端对EAP Request进行响应，返回EAP Response/Identity(EAP响应/身份证明)消息，在EAP Response/Identity消息中可以包括与终端相关联的用户标识符、口令等。
4、接入设备在收到EAP Response/Identity消息后，将向EAP Response/Identity消息封装到RADIUS Access Request(RADIUS访问请求)消息中，发送至RADIUS实体。
5、RADIUS实体识别出与该终端对应的用户，随即会返回RADIUS AccessChallenge(EAP-Request/MD5 Challenge)(RADIUS访问质询(EAP请求/MD5质询))消息作为认证质询。
6、接入设备向终端返回RADIUS Access Challenge认证质询消息，其中包含有(EAP Request/MD5 Challenge)消息。
7、终端在收到EAP Request/MD5 Challenge消息后，将密码和Challenge质询经过MD5算法后生成经质询的密码，发送给接入设备
8、接入设备将质询、经质询的密码和用户标识等通过RADIUS Access Request(EAP Response/MD5 challenge))(RADIUS访问请求(EAP请求/MD5质询))消息一起发送至RADIUS实体，由RADIUS实体进行认证。
9、RADIUS实体根据用户的信息利用MD5算法，判断该用户是否合法，然后利用RADIUS Access Accept(RADIUS访问接受)消息回应认证成功/失败消息到接入设备。如果认证成功，对与该终端对应的用户进行授权；如果认证失败，流程到此结束。
10、接入设备将EAP Success(EAP成功)消息返回给终端。
11、终端利用DHCP获取IP。
图3中的步骤12开始，由Agent实体、PS实体和IP过滤实体为终端进行网络接入：
12、终端上的Agent实体成功获取到IP，触发本发明实施例所述的接入网络的过程。
13、Agent实体利用UDP消息将前文所述对终端进行检测生成的检测信息数据发送至PS实体。需要注意的是，UDP报文仅为示例，也可以采用TCP报文等能够实现本实施例的报文。
14、PS实体根据检测信息数据确定该终端的访问权限，根据访问权限生成该终端的网络访问策略。
15、终端发送数据流。
16、终端发送的数据流没有直接发送至防火墙，而是经由IP过滤服务实体根据网络访问策略对其进行过滤。根据IP过滤策略，对终端发送来的数据流进行过滤，对不能发送至防护墙的IP访问数据进行拦截、丢弃等操作。
17、由IP过滤服务实体将过滤后的数据流发送至防火墙。
图4是根据本发明实施例的接入网络的装置的主要模块的示意图，如图4所示，接入网络的装置包括Agent实体、PS实体、IP过滤服务实体三个部分，其中包括模块401、402、403、404。
模块401：检测模块，位于Agent实体，用于对终端进行检测并生成检测信息数据。
模块402：策略模块，位于PS实体，用于利用所述检测信息数据生成所述终端的网络访问策略。
模块403：过滤模块，位于IP过滤实体，用于根据网络访问策略对从终端接收的数据进行过滤。
图5示出了可以应用本发明实施例的接入网络的方法或接入网络的装置的示例性***架构500。
如图5所示，***架构500可以包括终端设备501、502、503，网络504和服务器备505。网络504用以在终端设备501、502、503和服务器505之间提供通信链路的介质。网络504可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
用户可以使用终端设备501、502、503通过网络504与服务器505交互，以接收或发送消息等。终端设备501、502、503上可以安装有各种通讯客户端应用，例如购物类应用、网页浏览器应用、搜索类应用、即时通信工具、邮箱客户端、社交平台软件等(仅为示例)。
终端设备501、502、503可以是具有显示屏并且支持网页浏览的各种电子设备，包括但不限于智能手机、平板电脑、膝上型便携计算机和台式计算机等等。
服务器505可以是提供各种服务的服务器，例如对用户利用终端设备501、502、503所浏览的购物类网站提供支持的后台管理服务器(仅为示例)。后台管理服务器可以对接收到的产品信息查询请求等数据进行分析等处理，并将处理结果(例如目标推送信息、产品信息--仅为示例)反馈给终端设备。
需要说明的是，本发明实施例所提供的接入网络的方法一般由PS实体和IP过滤服务实体执行，相应地，接入网络的装置一般设置于服务器505中。
应该理解，图5中的终端设备、网络和网络设备的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和网络设备。
下面参考图6，其示出了适于用来实现本发明实施例的终端设备的计算机***600的结构示意图。图6示出的终端设备仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。
如图6所示，计算机***600包括中央处理单元(CPU)601，其可以根据存储在只读存储器(ROM)602中的程序或者从存储部分608加载到随机访问存储器(RAM)603中的程序而执行各种适当的动作和处理。在RAM 603中，还存储有***600操作所需的各种程序和数据。CPU 601、ROM 602以及RAM 603通过总线604彼此相连。输入/输出(I/O)接口605也连接至总线604。
以下部件连接至I/O接口605：包括键盘、鼠标等的输入部分606；包括诸如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分607；包括硬盘等的存储部分608；以及包括诸如LAN卡、调制解调器等的网络接口卡的通信部分609。通信部分609经由诸如因特网的网络执行通信处理。驱动器610也根据需要连接至I/O接口605。可拆卸介质611，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器610上，以便于从其上读出的计算机程序根据需要被安装入存储部分608。
特别地，根据本发明公开的实施例，上文参考流程图描述的过程可以被实现为计算机软件程序。例如，本发明公开的实施例包括一种计算机程序产品，其包括承载在计算机可读介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分609从网络上被下载和安装，和/或从可拆卸介质611被安装。在该计算机程序被中央处理单元(CPU)601执行时，执行本发明的***中限定的上述功能。
需要说明的是，本发明所示的计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质或者是上述两者的任意组合。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的***、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子可以包括但不限于：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机访问存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD-ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本发明中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行***、装置或者器件使用或者与其结合使用。而在本发明中，计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行***、装置或者器件使用或者与其结合使用的程序。计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括但不限于：无线、电线、光缆、RF等等，或者上述的任意合适的组合。
附图中的流程图和框图，图示了按照本发明各种实施例的***、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的***来实现，或者可以用专用硬件与计算机指令的组合来实现。
描述于本发明实施例中所涉及到的模块可以通过软件的方式实现，也可以通过硬件的方式来实现。所描述的模块也可以设置在处理器中，例如，可以描述为：一种处理器包括检测模块、策略模块、过滤模块、和确定模块。其中，这些模块的名称在某种情况下并不构成对该模块本身的限定，例如，检测单元还可以被描述为“检测终端状态的模块”。
作为另一方面，本发明还提供了一种计算机可读介质，该计算机可读介质可以是上述实施例中描述的设备中所包含的；也可以是单独存在，而未装配入该设备中。上述计算机可读介质承载有一个或者多个程序，当上述一个或者多个程序被一个该设备执行时，使得该设备包括：
从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；
经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及
经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。
根据本发明实施例的技术方案，其特征在于，所述经由策略服务PS利用所述检测信息生成所述终端的网络访问策略包括：
所述策略服务基于接收到检测信息确定所述终端的入网权限；
在所述入网权限符合入网条件的情况下，根据所述入网权限确定所述网络访问策略并将所述网络访问策略发送至所述IP过滤服务实体；
在所述入网权限不符合入网条件的情况下，向所述终端返回不符合入网条件的原因。
根据本发明实施例的技术方案，其特征在于，所述对所述终端进行检测包括以下中的一个或多个：
企业固定资产检测、黑名单进程检测、病毒库更新时间检测、域帐户检测、终端防火墙状态检测、终端IP检测、以及终端硬件信息检测。
根据本发明实施例的技术方案，其特征在于，还包括：
IP过滤服务实体根据接收到的所述网络访问策略为所述终端设置IP访问规则列表。
根据本发明实施例的技术方案，其特征在于，所述IP访问规则列表包括所述终端的IP和所述终端能够访问的IP段、所述终端不能够访问的IP段。
根据本发明实施例的技术方案，其特征在于，所述检测信息是通过UDP报文发送至所述PS实体的。
根据本实施例的技术方案因为采用代理(Agent)、策略服务(Policy Service)和IP过滤的方法，有效对接入网络的终端进行安全检查、确定网络访问策略、相应地对数据进行过滤，防范风险、降低要处理的数据量并且降低硬件成本。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，取决于设计要求和其他因素，可以发生各种各样的修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。

Claims (9)

1.一种接入网络的方法，其特征在于，包括：
从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；没有安装代理Agent的终端不能入网访问网络资源；
经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及
经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。
2.根据权利要求1所述的方法，其特征在于，所述经由策略服务PS利用所述检测信息生成所述终端的网络访问策略包括：
所述策略服务基于接收到检测信息确定所述终端的入网权限；
在所述入网权限符合入网条件的情况下，根据所述入网权限确定所述网络访问策略并将所述网络访问策略发送至所述IP过滤服务实体；
在所述入网权限不符合入网条件的情况下，向所述终端返回不符合入网条件的原因。
3.根据权利要求1所述的方法，其特征在于，所述对所述终端进行检测包括以下中的一个或多个：
企业固定资产检测、黑名单进程检测、病毒库更新时间检测、域帐户检测、终端防火墙状态检测、终端IP检测、以及终端硬件信息检测。
4.根据权利要求1所述的方法，其特征在于，还包括：
IP过滤服务实体根据接收到的所述网络访问策略为所述终端设置IP访问规则列表。
5.根据权利要求4所述的方法，其特征在于，所述IP访问规则列表包括所述终端的IP和所述终端能够访问的IP段、所述终端不能够访问的IP段。
6.根据权利要求1所述的方法，其特征在于，所述检测信息是通过UDP报文发送至所述PS实体的。
7.一种接入网络的装置，其特征在于，包括：
检测模块，用于从终端接收检测信息，所述检测信息是经由所述终端上的代理Agent实体对所述终端进行检测而生成的；没有安装代理Agent的终端不能入网访问网络资源；
策略模块，用于经由策略服务PS利用所述检测信息生成所述终端的网络访问策略；以及
过滤模块，用于经由IP过滤服务根据所述网络访问策略对从所述终端接收的数据进行过滤。
8.一种接入网络的电子设备，其特征在于，包括：
一个或多个处理器；
存储装置，用于存储一个或多个程序，
当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1-6中任一所述的方法。
9.一种计算机可读介质，其上存储有计算机程序，其特征在于，所述程序被处理器执行时实现如权利要求1-6中任一所述的方法。
CN202010093171.9A 2020-02-14 2020-02-14 接入网络的方法和装置 Active CN113271285B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010093171.9A CN113271285B (zh) 2020-02-14 2020-02-14 接入网络的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010093171.9A CN113271285B (zh) 2020-02-14 2020-02-14 接入网络的方法和装置

Publications (2)

Publication Number Publication Date
CN113271285A CN113271285A (zh) 2021-08-17
CN113271285B true CN113271285B (zh) 2023-08-08

Family

ID=77227258

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010093171.9A Active CN113271285B (zh) 2020-02-14 2020-02-14 接入网络的方法和装置

Country Status (1)

Country Link
CN (1) CN113271285B (zh)

Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1705270A (zh) * 2004-05-26 2005-12-07 华为技术有限公司 一种控制网络访问的***及方法
CN101068183A (zh) * 2007-06-28 2007-11-07 杭州华三通信技术有限公司 网络准入控制方法及网络准入控制***
CN101309279A (zh) * 2008-07-07 2008-11-19 华为技术有限公司 终端访问的控制方法、***和设备
CN101378358A (zh) * 2008-09-19 2009-03-04 成都市华为赛门铁克科技有限公司 一种实现安全接入控制的方法及***、服务器
CN101567888A (zh) * 2008-12-29 2009-10-28 郭世泽 网络反馈主机安全防护方法
CN101582769A (zh) * 2009-07-03 2009-11-18 杭州华三通信技术有限公司 用户接入网络的权限设置方法和设备
CN102271120A (zh) * 2010-06-02 2011-12-07 清大安科（北京）科技有限公司 一种增强安全性的可信网络接入认证方法
CN102594814A (zh) * 2012-02-10 2012-07-18 福建升腾资讯有限公司 基于端末的网络访问控制***
CN104618396A (zh) * 2015-03-04 2015-05-13 浪潮集团有限公司 一种可信网络接入与访问控制***及方法
CN104660523A (zh) * 2013-11-25 2015-05-27 遵义供电局 一种网络准入控制***
CN104796261A (zh) * 2015-04-16 2015-07-22 长安大学 一种网络终端节点的安全接入管控***及方法
CN106411673A (zh) * 2016-11-08 2017-02-15 西安云雀软件有限公司 一种网络准入控制管理平台及管理方法
CN106899561A (zh) * 2015-12-24 2017-06-27 北京奇虎科技有限公司 一种基于acl的tnc权限控制方法和***
CN107222433A (zh) * 2017-04-18 2017-09-29 中国科学院信息工程研究所 一种基于sdn网络路径的访问控制方法及***
CN107623665A (zh) * 2016-07-15 2018-01-23 华为技术有限公司 一种认证方法、设备以及***
CN110519404A (zh) * 2019-08-02 2019-11-29 锐捷网络股份有限公司 一种基于sdn的策略管理方法、装置及电子设备

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040107360A1 (en) * 2002-12-02 2004-06-03 Zone Labs, Inc. System and Methodology for Policy Enforcement

Patent Citations (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1705270A (zh) * 2004-05-26 2005-12-07 华为技术有限公司 一种控制网络访问的***及方法
CN101068183A (zh) * 2007-06-28 2007-11-07 杭州华三通信技术有限公司 网络准入控制方法及网络准入控制***
CN101309279A (zh) * 2008-07-07 2008-11-19 华为技术有限公司 终端访问的控制方法、***和设备
CN101378358A (zh) * 2008-09-19 2009-03-04 成都市华为赛门铁克科技有限公司 一种实现安全接入控制的方法及***、服务器
CN101567888A (zh) * 2008-12-29 2009-10-28 郭世泽 网络反馈主机安全防护方法
CN101582769A (zh) * 2009-07-03 2009-11-18 杭州华三通信技术有限公司 用户接入网络的权限设置方法和设备
CN102271120A (zh) * 2010-06-02 2011-12-07 清大安科（北京）科技有限公司 一种增强安全性的可信网络接入认证方法
CN102594814A (zh) * 2012-02-10 2012-07-18 福建升腾资讯有限公司 基于端末的网络访问控制***
CN104660523A (zh) * 2013-11-25 2015-05-27 遵义供电局 一种网络准入控制***
CN104618396A (zh) * 2015-03-04 2015-05-13 浪潮集团有限公司 一种可信网络接入与访问控制***及方法
CN104796261A (zh) * 2015-04-16 2015-07-22 长安大学 一种网络终端节点的安全接入管控***及方法
CN106899561A (zh) * 2015-12-24 2017-06-27 北京奇虎科技有限公司 一种基于acl的tnc权限控制方法和***
CN107623665A (zh) * 2016-07-15 2018-01-23 华为技术有限公司 一种认证方法、设备以及***
CN106411673A (zh) * 2016-11-08 2017-02-15 西安云雀软件有限公司 一种网络准入控制管理平台及管理方法
CN107222433A (zh) * 2017-04-18 2017-09-29 中国科学院信息工程研究所 一种基于sdn网络路径的访问控制方法及***
CN110519404A (zh) * 2019-08-02 2019-11-29 锐捷网络股份有限公司 一种基于sdn的策略管理方法、装置及电子设备

Also Published As

Publication number Publication date
CN113271285A (zh) 2021-08-17

Similar Documents

Publication Publication Date Title
CN108616490B (zh) 一种网络访问控制方法、装置及***
US10110638B2 (en) Enabling dynamic authentication with different protocols on the same port for a switch
CN110311929B (zh) 一种访问控制方法、装置及电子设备和存储介质
US9356928B2 (en) Mechanisms to use network session identifiers for software-as-a-service authentication
US8387131B2 (en) Enforcing secure internet connections for a mobile endpoint computing device
US20100197293A1 (en) Remote computer access authentication using a mobile device
JP2016530814A (ja) 大量のｖｐｎ接続を遮断するためのゲートウェイデバイス
US11539695B2 (en) Secure controlled access to protected resources
CN106059802B (zh) 一种终端接入认证方法及装置
WO2011026404A1 (zh) 一种认证授权计费会话更新方法、装置和***
KR101310631B1 (ko) 네트워크 접근 제어 시스템 및 방법
CN114661485A (zh) 基于零信任架构的应用程序接口访问控制的***及方法
CN108781367B (zh) 减少Cookie注入和Cookie重放攻击的方法
US20220150703A1 (en) Asserting user, app, and device binding in an unmanaged mobile device
CN109639658B (zh) 用于电力二次***运维的防火墙的数据传输方法及装置
US20240089178A1 (en) Network service processing method, system, and gateway device
KR101628534B1 (ko) 가상 802.1x 기반 네트워크 접근 제어 장치 및 네트워크 접근 제어 방법
CN113271285B (zh) 接入网络的方法和装置
US9779222B2 (en) Secure management of host connections
CN115296866B (zh) 一种边缘节点的访问方法及装置
JP6076276B2 (ja) 通信システム及び通信方法
TW201721498A (zh) 具安全與功能擴充性的有線區域網路使用者管理系統及方法
CN112565203B (zh) 一种集中管理平台
US11736528B2 (en) Low latency cloud-assisted network security with local cache
CN113691545B (zh) 路由的控制方法、装置、电子设备及计算机可读介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant