CN117459311A - 一种基于IPv6的设备身份安全校验方法、设备及介质 - Google Patents

Abstract

本申请公开了一种基于IPv6的设备身份安全校验方法、设备及介质，用以解决如下技术问题：如何基于IPv6的唯一IP地址属性，实现对设备身份安全的校验。方法包括：构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。本申请通过上述方法实现了基于IPv6的唯一IP地址属性，对设备身份进行安全校验。

Description

一种基于IPv6的设备身份安全校验方法、设备及介质

技术领域

本申请涉及数据安全技术领域，尤其涉及一种基于IPv6的设备身份安全校验方法、设备及介质。

背景技术

随着企业数字化改造的不断进行，企业内部边缘设备数量越来越多，传感器、监控等数据采集设备的数量也越来越多。新采购的***想要兼容旧设备十分困难，新设备接入老***也很困难，跨地区设备认证也十分麻烦。

IPv4由于地址数量有限，NAT技术滥用导致设备与IP地址无法一一对应，不能单纯根据IP地址授权数据访问。IPv6技术的出现解决了这一问题，IPv6拥有海量地址池，可以做到每台设备拥有独立的IP地址，使基于IPv6的设备身份校验成为了可能。

发明内容

本申请实施例提供了一种基于IPv6的设备身份安全校验方法、设备及介质，用以解决如下技术问题：如何基于IPv6的唯一IP地址属性，实现对设备身份安全的校验。

第一方面，本申请实施例提供了一种基于IPv6的设备身份安全校验方法，其特征在于，方法包括：构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

在本申请的一种实现方式中，构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中，具体包括：构建IPv6地址白名单的存储数据结构；基于存储数据结构，将白名单客户端信息，记录于IPv6地址白名单；对IPv6地址白名单进行数据压缩，并将压缩后的IPv6地址白名单存储于数据库。

在本申请的一种实现方式中，存储数据结构包括：IPv6地址、允许访问资源配置、单位时间内允许访问次数、创建时间、创建人联系方式。

在本申请的一种实现方式中，对IPv6地址白名单进行数据压缩，具体包括：将IPv6地址均分为两组子地址；将两组子地址进行二进制数转换，以获得两组二进制数组，并对二进制数组进行十进制转换，以将IPv6地址压缩为两组十进制数字。

在本申请的一种实现方式中，在构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中之后，方法还包括：在服务器网关处配置客户端TCP直连IP，以覆盖原有通信连接；配置请求检索程序，以在客户端发送数据访问请求的情况下，基于检索程序检索数据访问请求，确定客户端的请求IPv6地址。

在本申请的一种实现方式中，配置请求检索程序，具体包括：确定数据访问请求中的待检索请求头信息；其中，待检索请求头信息包括：Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for；定义待检索请求头信息的检索优先级顺序；其中，检索优先级顺序为Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for。

在本申请的一种实现方式中，校验请求IPv6地址，具体包括：确定请求IPv6地址是否被封禁，以及确定数据访问请求是否为越权访问；在确定请求IPv6地址被封禁或确定数据访问请求为越权访问的情况下，丢弃数据访问请求。

在本申请的一种实现方式中，方法还包括：将数据访问请求的访问信息记录于日志数据库；其中，访问信息包括：请求时间、请求来源IP、访问资源、请求结果；基于日志数据库中的日志信息，对访问情况进行风控。

第二方面，本申请实施例还提供了一种基于IPv6的设备身份安全校验设备，其特征在于，设备包括：至少一个处理器；以及，与至少一个处理器通信连接的存储器；其中，存储器存储有可被至少一个处理器执行的指令，指令被至少一个处理器执行，以使至少一个处理器能够：构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

第三方面，本申请实施例还提供了一种基于IPv6的设备身份安全校验的非易失性计算机存储介质，存储有计算机可执行指令，其特征在于，计算机可执行指令设置为：构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

本申请实施例提供的一种基于IPv6的设备身份安全校验方法、设备及介质，借助IPv6每台设备都拥有唯一IP地址的特性，能够在特殊条件下完成对设备身份的认证及设备权限的管理，使用该方法开发的软件***具有良好的兼容性，能够支持对绝大多数联网设备进行身份认证及数据采集。该方法提供了多重安全保障机制，基于IP的身份认证***存在一定的安全风险，该方法利用日志设置阈值动态监控请求，及时阻断异常请求，能够最大限度避免因IP伪造带来的***风险。

附图说明

此处所说明的附图用来提供对本申请的进一步理解，构成本申请的一部分，本申请的示意性实施例及其说明用于解释本申请，并不构成对本申请的不当限定。在附图中：

图1为本申请实施例提供的一种基于IPv6的设备身份安全校验方法流程图；

图2为本申请实施例提供的一种基于IPv6的设备身份安全校验设备内部结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合本申请具体实施例及相应的附图对本申请技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

本申请实施例提供了一种基于IPv6的设备身份安全校验方法、设备及介质，用以解决如下技术问题：如何基于IPv6的唯一IP地址属性，实现对设备身份安全的校验。

下面通过附图对本申请实施例提出的技术方案进行详细的说明。

图1为本申请实施例提供的一种基于IPv6的设备身份安全校验方法流程图。如图1所示，本申请实施例提供的一种基于IPv6的设备身份安全校验方法，具体包括以下步骤：

步骤101、构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中。

在本申请的一个实施例中，为实现基于IPv6的唯一IP地址属性，对设备身份安全校验，首先需要在服务器端构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中。

需要说明的是，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系。

具体地，构建IPv6地址白名单的存储数据结构；基于存储数据结构，将白名单客户端信息，记录于IPv6地址白名单；对IPv6地址白名单进行数据压缩，并将压缩后的IPv6地址白名单存储于数据库。

在本申请的一个实施例中，存储数据结构包括：IPv6地址、允许访问资源配置、单位时间内允许访问次数、创建时间、创建人联系方式。

在本申请的一个实施例中，对IPv6地址白名单进行数据压缩，具体包括：将IPv6地址均分为两组子地址；将两组子地址进行二进制数转换，以获得两组二进制数组，并对二进制数组进行十进制转换，以将IPv6地址压缩为两组十进制数字。

在本申请的一个实施例中，在构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中之后，方法还包括：在服务器网关处配置客户端TCP直连IP，以覆盖原有通信连接；配置请求检索程序，以在客户端发送数据访问请求的情况下，基于检索程序检索数据访问请求，确定客户端的请求IPv6地址。

在本申请的一个实施例中，配置请求检索程序，具体包括：确定数据访问请求中的待检索请求头信息；其中，待检索请求头信息包括：Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for；定义待检索请求头信息的检索优先级顺序；其中，检索优先级顺序为Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for。

步骤102、在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址。

在本申请的一个实施例中，在客户端需要进行数据访问的情况下，基于请求检索程序，确定数据访问请求中的待检索请求头信息，并通过待检索请求头信息的检索优先级顺序，读取客户端的请求IPv6地址。

步骤103、校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

在本申请的一个实施例中，在基于数据访问请求，读取客户端的请求IPv6地址之后，校验请求IPv6地址。

具体地，确定请求IPv6地址是否被封禁，以及确定数据访问请求是否为越权访问；在确定请求IPv6地址被封禁或确定数据访问请求为越权访问的情况下，丢弃数据访问请求。

在本申请的一个实施例中，在确定请求IPv6地址通过的情况下，根据IPv6地址白名单配置客户端对应的读写权限。

在本申请的一个实施例中，方法还包括：将数据访问请求的访问信息记录于日志数据库；其中，访问信息包括：请求时间、请求来源IP、访问资源、请求结果；基于日志数据库中的日志信息，对访问情况进行风控。

在本申请的一个实施例中，基于日志数据库中的日志信息，对访问情况进行风控，具体包括：对以下行为进行监测：

1.未被授权IP多次请求；

2.已被授权IP单位时间内访问次数超出白名单配置；

3.已被授权IP多次越权访问资源；

针对不同的情况，会使用邮件、短信等方式进行告警，同时采取以下措施保障***安全：针对行为1，封禁该IP并禁止该IP地址进行任何访问；针对行为2，封禁该IP直到下一个单位时间；针对行为3，封禁该IP地址并通知该白名单配置人，如需继续使用则需要白名单配置人手动解封。

以上为本申请提出的方法实施例。基于同样的发明构思，本申请实施例还提供了一种基于IPv6的设备身份安全校验设备，其结构如图2所示。

图2为本申请实施例提供的一种基于IPv6的设备身份安全校验设备内部结构示意图。如图2所示，设备包括：

至少一个处理器201；

以及，与至少一个处理器通信连接的存储器202；

其中，存储器202存储有可被至少一个处理器执行的指令，指令被至少一个处理器201执行，以使至少一个处理器201能够：

构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；

在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；

校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

本申请的一些实施例提供的对应于图1的一种基于IPv6的设备身份安全校验的非易失性计算机存储介质，存储有计算机可执行指令，计算机可执行指令设置为：

构建IPv6地址白名单，并将IPv6地址白名单存储于数据库中；其中，IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；

在客户端需要进行数据访问的情况下，基于数据访问请求，读取客户端的请求IPv6地址；

校验请求IPv6地址，并根据IPv6地址白名单配置客户端对应的读写权限。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于物联网设备和介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请实施例提供的***和介质与方法是一一对应的，因此，***和介质也具有与其对应的方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述***和介质的有益技术效果。

本领域内的技术人员应明白，本申请的实施例可提供为方法、***、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种基于IPv6的设备身份安全校验方法，其特征在于，所述方法包括：

构建IPv6地址白名单，并将所述IPv6地址白名单存储于数据库中；其中，所述IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；

在客户端需要进行数据访问的情况下，基于数据访问请求，读取所述客户端的请求IPv6地址；

校验所述请求IPv6地址，并根据所述IPv6地址白名单配置所述客户端对应的读写权限。

2.根据权利要求1所述的一种基于IPv6的设备身份安全校验方法，其特征在于，构建IPv6地址白名单，并将所述IPv6地址白名单存储于数据库中，具体包括：

构建IPv6地址白名单的存储数据结构；

基于所述存储数据结构，将白名单客户端信息，记录于所述IPv6地址白名单；

对所述IPv6地址白名单进行数据压缩，并将压缩后的所述IPv6地址白名单存储于所述数据库。

3.根据权利要求2所述的一种基于IPv6的设备身份安全校验方法，其特征在于，

所述存储数据结构包括：IPv6地址、允许访问资源配置、单位时间内允许访问次数、创建时间、创建人联系方式。

4.根据权利要求3所述的一种基于IPv6的设备身份安全校验方法，其特征在于，对所述IPv6地址白名单进行数据压缩，具体包括：

将所述IPv6地址均分为两组子地址；

将所述两组子地址进行二进制数转换，以获得两组二进制数组，并对所述二进制数组进行十进制转换，以将所述IPv6地址压缩为两组十进制数字。

5.根据权利要求1所述的一种基于IPv6的设备身份安全校验方法，其特征在于，在构建IPv6地址白名单，并将所述IPv6地址白名单存储于数据库中之后，所述方法还包括：

在服务器网关处配置客户端TCP直连IP，以覆盖原有通信连接；

配置请求检索程序，以在客户端发送数据访问请求的情况下，基于所述检索程序检索所述数据访问请求，确定客户端的请求IPv6地址。

6.根据权利要求5所述的一种基于IPv6的设备身份安全校验方法，其特征在于，配置请求检索程序，具体包括：

确定所述数据访问请求中的待检索请求头信息；其中，所述待检索请求头信息包括：Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for；

定义待检索请求头信息的检索优先级顺序；其中，所述检索优先级顺序为Proxy-Client-IP、X-Real-IP、WL-Proxy-Client-IP、X-Real-IP、x-forwarded-for。

7.根据权利要求1所述的一种基于IPv6的设备身份安全校验方法，其特征在于，校验所述请求IPv6地址，具体包括：

确定所述请求IPv6地址是否被封禁，以及确定所述数据访问请求是否为越权访问；

在确定所述请求IPv6地址被封禁或确定所述数据访问请求为越权访问的情况下，丢弃所述数据访问请求。

8.根据权利要求1所述的一种基于IPv6的设备身份安全校验方法，其特征在于，所述方法还包括：

将所述数据访问请求的访问信息记录于日志数据库；其中，所述访问信息包括：请求时间、请求来源IP、访问资源、请求结果；

基于所述日志数据库中的日志信息，对访问情况进行风控。

9.一种基于IPv6的设备身份安全校验设备，其特征在于，所述设备包括：

至少一个处理器；

以及，与所述至少一个处理器通信连接的存储器；

其中，所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

构建IPv6地址白名单，并将所述IPv6地址白名单存储于数据库中；其中，所述IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；

在客户端需要进行数据访问的情况下，基于数据访问请求，读取所述客户端的请求IPv6地址；

校验所述请求IPv6地址，并根据所述IPv6地址白名单配置所述客户端对应的读写权限。

10.一种基于IPv6的设备身份安全校验的非易失性计算机存储介质，存储有计算机可执行指令，其特征在于，所述计算机可执行指令设置为：

构建IPv6地址白名单，并将所述IPv6地址白名单存储于数据库中；其中，所述IPv6地址白名单包括：IPv6地址、IPv6地址与帐号或权限的绑定关系；

在客户端需要进行数据访问的情况下，基于数据访问请求，读取所述客户端的请求IPv6地址；

校验所述请求IPv6地址，并根据所述IPv6地址白名单配置所述客户端对应的读写权限。