WO2010003322A1 - 终端访问的控制方法、***和设备 - Google Patents

终端访问的控制方法、***和设备 Download PDF

Info

Publication number
WO2010003322A1
WO2010003322A1 PCT/CN2009/070427 CN2009070427W WO2010003322A1 WO 2010003322 A1 WO2010003322 A1 WO 2010003322A1 CN 2009070427 W CN2009070427 W CN 2009070427W WO 2010003322 A1 WO2010003322 A1 WO 2010003322A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
server
policy configuration
access
unit
Prior art date
Application number
PCT/CN2009/070427
Other languages
English (en)
French (fr)
Inventor
张屹
Original Assignee
成都市华为赛门铁克科技有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 成都市华为赛门铁克科技有限公司 filed Critical 成都市华为赛门铁克科技有限公司
Priority to US12/478,113 priority Critical patent/US20100005181A1/en
Publication of WO2010003322A1 publication Critical patent/WO2010003322A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a method, system, and device for controlling terminal access. Background technique
  • a gateway is usually used to implement separation of pre-authentication domains and post-authentication domains to protect system resources.
  • the pre-authentication domain refers to an area that can be accessed before the terminal authentication is passed.
  • the system usually places system resources such as an authentication server, a patch server, and an anti-virus server, so that the terminal can access and implement security repair through these servers, so that the authentication can be performed. Access resources that need to be accessed in the domain after authentication.
  • the post-authentication domain refers to the zone that can be accessed after the terminal is authenticated. This zone usually places system resources that need to be protected.
  • the terminal can access the resources of the post-authentication domain only after it is authorized. Therefore, it is necessary to realize the separation of the pre-authentication domain and the post-authentication domain at a low cost.
  • a method for implementing access control in a software manner is provided in the prior art, for example, an address resolution protocol (ARP) spoofing method is adopted: After the user passes the authentication, the network can be accessed; For a terminal that has not passed the authentication, the network cannot be accessed normally.
  • ARP address resolution protocol
  • the method can only implement the switching function of the access control, that is, the network cannot be accessed before passing the authentication; after the authentication, all the networks can be accessed. Resources. However, there are many different network resources in the network, and different network resources need to be distinguished according to the authorization rights of different users. When it is accessible, the methods in the prior art cannot meet the needs of the user. Summary of the invention
  • An embodiment of the present invention provides a method, a system, and a device for controlling terminal access, which are used to control access rights of different terminals after access.
  • An embodiment of the present invention provides a method for controlling terminal access, including:
  • the access rights of the terminal are controlled according to the modified local settings.
  • An embodiment of the present invention further provides a control system for terminal access, including:
  • the terminal includes an agent, and the agent is configured to receive a policy configuration sent by the network side server, and modify the local setting according to the received policy configuration to control the access authority of the terminal;
  • a server configured to perform authentication when the terminal accesses the network, generate a policy configuration according to an authorization scope of the terminal identity, and send the policy configuration to the proxy on the terminal.
  • An embodiment of the present invention further provides a proxy device, including:
  • a receiving unit configured to receive a policy configuration sent by the server, where the policy configuration is generated by the network side server after the terminal accesses the network, and is generated according to the authorized range of the terminal identity; the configuration unit is configured to receive according to the receiving unit The policy configuration modifies the local setting; the control unit is configured to control the access authority of the terminal according to the local setting modified by the configuration unit.
  • the agent may be configured to send a policy configuration to the agent on the terminal, so that the agent controls the access authority of the terminal according to the policy configuration.
  • FIG. 1 is a flowchart of a method for controlling terminal access in an embodiment of the present invention
  • FIG. 2 is a flow chart of terminal access control by using an IPSec policy in an embodiment of the present invention
  • FIG. 3 is a schematic structural diagram of a control system for accessing a terminal in an embodiment of the present invention
  • FIG. 4 is a schematic structural diagram of a proxy in an embodiment of the present invention
  • FIG. 5 is a schematic structural diagram of a server in an embodiment of the present invention. detailed description
  • a method for controlling terminal access includes the following steps:
  • Step s l 01 Receive a policy configuration sent by the network side server, where the policy configuration is generated by the network side server when the terminal accesses the network, and is generated according to the authorized range of the terminal identity.
  • Step s i 02. Modify the local settings according to the received policy configuration.
  • Step s 1 03. Control the access rights of the terminal according to the modified local settings.
  • the control of accessing the terminal in the embodiment of the present invention is implemented by a proxy function located on the terminal.
  • the agent controls the area that the terminal can access according to the control rules issued by the network side server.
  • the terminal Before the authentication of the terminal and the access authentication server is passed, the terminal can only access the area where the network-side server is located, that is, the pre-authentication domain, according to the default control rule preset by the proxy.
  • the network side server delivers the corresponding policy configuration to the agent of the terminal according to the authorization scope of the terminal identity. Under the control of the agent, the terminal can access the authorized service resource, that is, is authorized. Post-authentication domain.
  • the method for assigning the policy to the agent on the terminal may be configured to enable the agent to configure the terminal according to the policy. Access rights are controlled. Therefore, the simple and flexible division of the pre-authentication domain and the post-authentication domain without the terminal is realized, and the requirements of the multi-terminal access control are satisfied.
  • the control of the terminal authority can use the access authentication server to deliver Internet protocol security (Internet Protocol Secur) i ty, IPSec) The way the policy is implemented.
  • the access authentication server implements control over different access rights by issuing different IPSec policies to different terminals. Specifically, after the terminal is authenticated, the access authentication server queries the authorized range of the terminal, obtains the predefined IPSec policy corresponding to the authorized range, and then delivers the obtained IPSec policy to the terminal; The IPSec policy can only access authorized resources at the IP layer.
  • Figure 2 The process of this implementation is shown in Figure 2, including:
  • Step s 201 The agent on the terminal is started, and the local default IPSec policy setting is used. This setting enables the terminal to access only the pre-authentication domain where the access authentication server is located.
  • Step s 202 The user inputs the authentication information on the terminal, and submits the authentication information to the access authentication server.
  • Step s 203 The access authentication server authenticates the authentication information of the user. If the authentication fails, the process returns to step s 202 to remind the user to re-authenticate; if the authentication passes, the process proceeds.
  • Step s204 The access authentication server sends the corresponding IPSec policy configuration to the agent of the terminal according to the authorization status of the user.
  • the access authentication server should block any network communication from the Windows Server 2003 or Windows XP-based terminal to the User Datagram Protocol (UDP) port 1434 on any other terminal, and then access the authentication server. Send the corresponding IPSec policy and assemble it into the following script to run.
  • UDP User Datagram Protocol
  • Step s205 The agent of the terminal changes the local setting according to the received IPSec policy configuration. Taking the IPSec policy delivered by the access authentication server in the above step s204 as an example, the agent will generate a policy of "Block UDP 1434 Filter” in the "Local Security Settings - -> IP Security Policy” of the terminal. This strategy effectively prevents the computer running SQL Server 2000 from spreading the "Slammer" worm.
  • Step s 206 The terminal accesses the authorized resource according to the local setting.
  • the agent may be configured by sending a policy configuration (such as IPSec policy configuration) to the agent on the terminal.
  • a policy configuration such as IPSec policy configuration
  • the access authority of the terminal is controlled according to the policy configuration. Therefore, the simple and flexible division of the pre-authentication domain and the post-authentication domain of the non-terminal is realized, and the requirements of the multi-terminal access control are satisfied.
  • the embodiment of the present invention further provides a control system for terminal access, as shown in FIG. 3, including: at least one terminal 10, wherein each terminal 10 includes an agent 20.
  • the agent 20 is configured to receive the policy configuration sent by the network side server 30, and modify the local setting according to the received policy configuration to control the access authority of the terminal 10.
  • the terminal 10 can access the protected system resources 40 within the scope of its access rights under the control of the agent 20.
  • the server 30 is configured to authenticate the terminal 10 when the terminal 10 accesses the network, according to the terminal.
  • the authorization scope of the 10 identity generates a policy configuration and sends the policy to the agent 20 on the terminal 10.
  • the configuration is used to control the access rights of the terminal 10, so that the terminal 10 accesses the protected system resource 40 within the scope of its access rights.
  • the protected system resource 40 is used to provide resources to the terminal 10 with access rights for access.
  • the structure of the proxy 20 is as shown in FIG. 4, and includes:
  • the receiving unit 21 is configured to receive a policy configuration sent by the server 30, where the policy configuration may be configured for an IPSec policy.
  • the policy configuration is generated by the server 30 when the terminal 10 accesses the network, and is generated according to the authorization range of the identity of the terminal 10.
  • the configuration unit 22 is configured to modify the local setting according to the policy configuration received by the receiving unit 21.
  • the control unit 23 is configured to control the access authority of the terminal 10 according to the local settings modified by the configuration unit 22.
  • the sending unit 24 is configured to send an authentication request of the terminal 10 to the server 30.
  • the default configuration unit 25 is configured to provide a local preset default control rule to the control unit 23 for controlling the access authority of the terminal 10 before the sending unit 24 sends the authentication request of the terminal 10 to the server 30.
  • the structure of the server 30 is as shown in FIG. 5, and includes:
  • the server receiving unit 31 is configured to receive an authentication request sent by the agent 20 on the terminal 10.
  • the server policy configuration generating unit 32 is configured to generate a corresponding policy configuration according to the authorization scope of the terminal identity when the server receiving unit 31 receives the authentication request.
  • This policy configuration can be configured for IPSec policies.
  • the server sending unit 33 is configured to send the policy configuration generated by the server policy configuration generating unit 32 to the agent 20 on the terminal 10.
  • the method for sending a policy configuration (such as IPSec policy configuration) to the agent on the terminal may be performed.
  • a policy configuration such as IPSec policy configuration
  • Enable the proxy to configure access to the terminal based on the policy Permissions are controlled. Therefore, the pre-authentication domain and the post-authentication domain of the non-terminal are flexibly divided, and the requirements of the multi-terminal access control are met.
  • the storage medium may be a magnetic disk, an optical disk, a Read-Only Memory (ROM), or a Random Accu s Memory (RAM).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Storage Device Security (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

终端访问的控制方法、 ***和设备
本申请要求于 2008 年 07 月 07 日提交中国专利局、 申请号为 200810127680. 8 , 发明名称为 "终端访问的控制方法、 ***和设备" 的中 国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及通信技术领域， 尤其涉及一种终端访问的控制方法、 *** 和设备。 背景技术
在终端接入控制领域， 通常釆用网关来实现认证前域和认证后域的分 隔以保护***资源。其中，认证前域是指终端认证通过前能够访问的区域； 该区域通常放置认证服务器、 补丁服务器、 防病毒服务器等***资源， 使 终端能够访问并通过这些服务器实现安全修复， 以便能够通过认证并访问 认证后域中需要访问的资源。 认证后域是指终端认证通过后能够访问的区 域； 该区域通常放置需要被保护的***资源。 终端只有在被授权后， 才能 访问认证后域的资源。 因此需要在低成本的情况下， 实现认证前域和认证 后域的分隔。
现有技术中提供了通过软件方式实现接入控制的方法， 例如采用地址 解析协议 ( Addres s Re so lut i on Pro toco l , ARP ) 欺骗的方式： 当用户认 证通过后， 则可以访问网络； 对于没有认证通过的终端， 则无法正常访问 网络。
发明人在实现本发明的过程中， 发现现有技术中存在以下问题： 该方法只能实现接入控制的开关功能， 即没有通过认证前不能访问网 络； 通过认证之后， 就能访问网络的所有资源。 但是对于网络中有多种不 同的网络资源， 对于不同的网络资源需要根据不同用户的授权权限来区别 是否可以访问时， 现有技术中的方法无法满足用户的需要。 发明内容
本发明的实施例提供一种终端访问的控制方法、 ***和设备， 用于对 不同终端接入后的访问权限进行控制。
本发明的实施例提供一种终端访问的控制方法， 包括：
接收网络侧服务器发送的策略配置 , 所述策略配置由所述网络侧服务 器在终端接入网络时进行认证后， 根据终端身份的授权范围生成；
根据所述策略配置修改本地设置；
根据修改的本地设置对终端的访问权限进行控制。
本发明的实施例还提供一种终端访问的控制***， 包括：
至少一个终端， 所述终端上包括代理， 所述代理用于接收网络侧服务 器发送的策略配置， 并根据接收的策略配置修改本地设置以对所述终端的 访问权限进行控制；
服务器， 用于在所述终端接入网络时进行认证， 根据终端身份的授权 范围生成策略配置， 并向所述终端上的所述代理发送所述策略配置。
本发明的实施例还提供一种代理设备， 包括：
接收单元， 用于接收服务器发送的策略配置， 所述策略配置由网络侧 服务器在终端接入网络时进行认证后， 根据终端身份的授权范围生成； 配置单元， 用于根据所述接收单元接收的策略配置修改本地设置； 控制单元， 用于根据所述配置单元修改的本地设置， 对终端的访问权 限进行控制。
与现有技术相比 , 本发明的实施例具有以下优点：
在需要对终端接入网络后的访问进行控制时， 可以通过向终端上的代 理下发策略配置的方法， 使得代理根据该策略配置对终端的访问权限进行 控制。 从而实现了对不用终端的认证前域和认证后域筒便灵活的划分， 满 足了多终端接入控制的要求。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案， 下面将对 实施例或现有技术描述中所需要使用的附图作一筒单地介绍， 显而易见 地， 下面描述中的附图仅仅是本发明的一些实施例， 对于本领域普通技术 人员来讲， 在不付出创造性劳动性的前提下， 还可以根据这些附图获得其 他的附图。
图 1是本发明的实施例中终端访问的控制方法的流程图；
图 2是本发明的实施例中通过 IPSec策略进行终端访问控制的流程 图；
图 3是本发明的实施例中终端访问的控制***的结构示意图； 图 4是本发明的实施例中代理的结构示意图；
图 5是本发明的实施例中服务器的结构示意图。 具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而 不是全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作 出创造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本发明的实施例中提供一种终端访问的控制方法， 如图 1所示， 包括以下 步骤：
步骤 s l 01、接收网絡侧服务器发送的策略配置， 所述策略配置由所述 网络侧服务器在终端接入网络时进行认证后， 根据终端身份的授权范围生 成。
步骤 s i 02、 根据接收的策略配置修改本地设置。
步骤 s 1 03、 根据修改的本地设置对终端的访问权限进行控制。 具体的， 本发明实施例中对终端访问的控制由位于终端上的代理功能实 现。代理根据网络侧服务器下发的控制规则对终端能够访问的区域进行控制。 在终端与接入认证服务器的认证通过前，根据代理本地预设的缺省控制规则， 终端只能访问网络侧服务器所在的区域， 即认证前域。 终端与网络侧服务器 的认证通过后， 网络侧服务器根据终端身份的授权范围， 下发相应的策略配 置给终端的代理， 在代理的控制下， 终端就能够访问被授权的业务资源， 即 被授权的认证后域。
通过使用本发明实施例提供的终端访问的控制方法， 在需要对终端接入 网络后的访问进行控制时 , 可以通过向终端上的代理下发策略配置的方法， 使得代理根据该策略配置对终端的访问权限进行控制。 从而实现了对不用终 端的认证前域和认证后域简便灵活的划分， 满足了多终端接入控制的要求。
以下结合具体的应用场景， 对本发明的实施方式作进一步说明。
在对不同的终端授权不同的被访问资源的实现方式上， 以网络侧的服务 器为接入认证服务器为例， 对终端权限的控制可以釆用接入认证服务器下发 因特网协议安全（ Internet Protocol Secur i ty, IPSec ) 策略的方式实现。 接入认证服务器通过对不同的终端下发不同的 IPSec策略， 实现对不同的访问 权限的控制。 具体的， 当终端通过认证后， 接入认证服务器查询到终端的授 权范围， 获取与该授权范围对应的已经预定义的 IPSec策略， 然后将该获取到 的 IPSec策略下发到终端； 则终端根据该 IPSec策略， 在 IP层只能访问被授权 的资源。 该实现的流程如图 2所示， 包括：
步骤 s 201、 终端上的代理启动， 并使用本地的缺省 IPSec策略设置， 该设置使得终端只能访问接入认证服务器所在的认证前域。
步骤 s 202、 用户在终端上输入认证信息， 并提交给接入认证服务器。 步骤 s 203、接入认证服务器对用户的认证信息进行认证， 如果认证不 通过， 则返回步骤 s 202 , 提醒用户重新认证； 如果认证通过， 则进行步骤 步骤 s204、 接入认证服务器根据该用户的授权状况， 把对应的 IPSec 策略配置下发给终端的代理。
例如， 接入认证服务器要阻止从基于 Windows Server 2003 或 Windows XP的终端发往任何其他终端上的用户数据 4艮协议（ User Datagram Protocol, UDP) 1434端口的任何网络通信， 则接入认证服务器下发相应 IPSec策略并在终端组装成如下脚本运行即可。
IPSeccmd.exe -w REG - p "Block UDP 1434 Filter" - r "Block Outbound UDP 1434 Rule" -f 0=*: 1434: UDP -n BLOCK
步骤 s205、 终端的代理根据收到的 IPSec策略配置 改本地设置。 以上述步骤 s204中接入认证服务器下发的 IPSec策略为例， 则代理 会在终端的 "本地安全设置 - - >IP安全策略"中将生成 "Block UDP 1434 Filter" 的策略。 通过该策略， 可以有效地阻止运行 SQL Server 2000的 计算机传播 "Slammer" 蠕虫病毒。
步骤 s 206、 终端根据本地设置， 访问被授权的资源。
通过使用本发明实施例提供的终端访问的控制方法， 在需要对终端接 入网络后的访问进行控制时， 可以通过向终端上的代理下发策略配置（如 IPSec策略配置） 的方法， 使得代理根据该策略配置对终端的访问权限进 行控制。 从而实现了对不用终端的认证前域和认证后域简便灵活的划分， 满足了多终端接入控制的要求。
本发明的实施例还提供一种终端访问的控制***，如图 3所示， 包括： 至少一个终端 10, 其中每个终端 10上包括代理 20。 其中代理 20用 于接收网络侧服务器 30发送的策略配置， 并根据接收的策略配置修改本 地设置， 以对终端 10的访问权限进行控制。 终端 10可以在代理 20的控 制下， 在其访问权限范围内访问被保护的***资源 40。
服务器 30, 用于在终端 10接入网络时对终端 10进行认证， 根据终端
10身份的授权范围生成策略配置，并向终端 10上的代理 20发送所述策略 配置， 用于对终端 10的访问权限进行控制， 使终端 10在其访问权限范围 内访问被保护的***资源 40。
被保护的***资源 40, 用于将资源提供给具有访问权限的终端 10进 行访问。
具体的， 上述代理 20的结构如图 4所示， 包括：
接收单元 21, 用于接收服务器 30发送的策略配置， 该策略配置可以 为 IPSec策略配置。 所述策略配置由服务器 30在终端 10接入网絡时进行 认证后， 根据终端 10身份的授权范围生成。
配置单元 22, 用于根据接收单元 21接收的策略配置修改本地设置。 控制单元 23, 用于根据配置单元 22修改的本地设置， 对终端 10的访 问权限进行控制。
另外， 还包括：
发送单元 24, 用于向服务器 30发送终端 10的认证请求。
缺省配置单元 25， 用于在发送单元 24向服务器 30发送终端 10的认 证请求前， 将本地预设的缺省控制规则提供给控制单元 23, 用于对终端 10的访问权限进行控制。
具体的， 上述服务器 30的结构如图 5所示， 包括：
服务器接收单元 31 ,用于接收来自终端 10上代理 20发送的认证请求。 服务器策略配置生成单元 32, 用于在服务器接收单元 31接收到认证 请求时， 根据终端身份的授权范围， 生成相应的策略配置。 该策略配置可 以为 IPSec策略配置。
服务器发送单元 33, 用于将服务器策略配置生成单元 32生成的策略 配置向终端 10上的代理 20发送。
通过使用本发明实施例提供的终端访问的控制***和设备， 在需要对 终端接入网络后的访问进行控制时， 可以通过向终端上的代理下发策略配 置 （如 IPSec策略配置） 的方法， 使得代理根据该策略配置对终端的访问 权限进行控制。 从而实现了对不用终端的认证前域和认证后域筒便灵活的 划分， 满足了多终端接入控制的要求。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分 流程， 是可以通过计算机程序来指令相关的硬件来完成， 所述的程序可存 储于一计算机可读取存储介质中， 该程序在执行时， 可包括如上述各方法 的实施例的流程。 其中， 所述的存储介质可为磁碟、 光盘、 只读存储记忆 体 ( Read- On ly Memory , ROM )或随机存储记忆体 ( Random Acce s s Memory , RAM ) 等。
以上公开的仅为本发明的几个具体实施例， 但是， 本发明并非局限于 此， 任何本领域的技术人员能思之的变化都应落入本发明的保护范围。
最后应说明的是： 以上实施例仅用以说明本发明的技术方案而非对其进 行限制， 尽管参照较佳实施例对本发明进行了详细的说明， 本领域的普通技 术人员应当理解： 其依然可以对本发明的技术方案进行修改或者等同替换， 而这些修改或者等同替换亦不能使修改后的技术方案脱离本发明技术方案的 4青神和范围。

Claims

权 利 要 求 书
1、 一种终端访问的控制方法， 其特征在于， 包括：
接收网络侧服务器发送的策略配置 , 所述策略配置由所述网络侧服务 器在终端接入网络时进行认证后， 根据终端身份的授权范围生成；
根据所述策略配置修改本地设置；
根据修改的本地设置对终端的访问权限进行控制。
2、 如权利要求 1所述的方法， 其特征在于， 所述接收网络侧服务器 发送的策略配置前， 还包括：
向所述网络侧服务器发送认证请求。
3、 如权利要求 1所述的方法， 其特征在于， 所述接收网絡侧服务器 发送的策略配置包括：
接收所述网络侧服务器根据终端身份的授权范围生成并发送的策略 配置。
4、 如权利要求 1或 3所述的方法， 其特征在于， 所述策略配置为因 特网协议安全 IPSec配置。
5、 一种终端访问的控制***， 其特征在于， 包括：
至少一个终端， 所述终端上包括代理， 所述代理用于接收网络侧服务 器发送的策略配置， 并根据接收的策略配置修改本地设置以对所述终端的 访问权限进行控制；
服务器， 用于在所述终端接入网络时进行认证， 根据终端身份的授权 范围生成策略配置， 并向所述终端上的所述代理发送所述策略配置。
6、 如权利要求 5所述的***， 其特征在于 , 所述代理包括： 接收单元， 用于接收所述服务器发送的策略配置；
配置单元， 用于根据所述接收单元接收的策略配置修改本地设置； 控制单元， 用于根据所述配置单元设定的本地设置， 对终端的访问权 限进行控制。
7、 如权利要求 6所述的***， 其特征在于， 所述代理还包括： 发送单元， 用于向所述服务器发送终端的认证请求。 求前， 将本地预设的缺省控制规则提供给所述控制单元， 用于对终端的访 问权限进行控制。
8、 如权利要求 5所述的***， 其特征在于， 所述服务器包括： 服务器接收单元， 用于接收来自所述终端上所述代理发送的认证请 求；
服务器策略配置生成单元， 用于在所述服务器接收单元接收到认证请 求时， 根据终端身份的授权范围， 生成相应的策略配置；
服务器发送单元， 用于将所述服务器策略配置生成单元生成的策略配 置向所述终端上的所述代理发送。
9、 一种代理设备， 其特征在于， 包括：
接收单元， 用于接收服务器发送的策略配置， 所述策略配置由网络侧 服务器在终端接入网絡时进行认证后， 根据终端身份的授权范围生成； 配置单元， 用于根据所述接收单元接收的策略配置修改本地设置； 控制单元， 用于根据所述配置单元修改的本地设置， 对终端的访问权 限进行控制。
1 0、 如权利要求 9所述的代理设备， 其特征在于， 还包括： 发送单元， 用于向所述服务器发送终端的认证请求；
缺省配置单元， 用于在所述发送单元向所述服务器发送终端的认证请求 前， 将本地预设的缺省控制规则提供给所述控制单元， 用于对终端的访问权 限进行控制。
PCT/CN2009/070427 2008-07-07 2009-02-13 终端访问的控制方法、***和设备 WO2010003322A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US12/478,113 US20100005181A1 (en) 2008-07-07 2009-06-04 Method and system for controlling a terminal access and terminal for controlling an access

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008101276808A CN101309279B (zh) 2008-07-07 2008-07-07 终端访问的控制方法、***和设备
CN200810127680.8 2008-07-07

Publications (1)

Publication Number Publication Date
WO2010003322A1 true WO2010003322A1 (zh) 2010-01-14

Family

ID=40125498

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/070427 WO2010003322A1 (zh) 2008-07-07 2009-02-13 终端访问的控制方法、***和设备

Country Status (2)

Country Link
CN (1) CN101309279B (zh)
WO (1) WO2010003322A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111859397A (zh) * 2020-07-23 2020-10-30 国家工业信息安全发展研究中心 终端防护策略配置方法及装置

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101309279B (zh) * 2008-07-07 2011-04-20 成都市华为赛门铁克科技有限公司 终端访问的控制方法、***和设备
CN101562620B (zh) * 2009-06-02 2013-01-02 成都市华为赛门铁克科技有限公司 一种终端互访的方法和控制装置
US8839346B2 (en) 2010-07-21 2014-09-16 Citrix Systems, Inc. Systems and methods for providing a smart group
CN104009872B (zh) * 2014-06-09 2018-03-27 中国联合网络通信集团有限公司 一种业务访问管控方法、***、终端及运营商策略服务器
CN104484599B (zh) * 2014-12-16 2017-12-12 北京奇虎科技有限公司 一种基于应用程序的行为处理方法和装置
CN106658498A (zh) * 2016-12-05 2017-05-10 上海斐讯数据通信技术有限公司 一种Portal认证的快速漫游方法及WiFi设备
CN113271285B (zh) * 2020-02-14 2023-08-08 北京沃东天骏信息技术有限公司 接入网络的方法和装置

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1627683A (zh) * 2003-12-09 2005-06-15 鸿富锦精密工业（深圳）有限公司 单一认证授权管理***及方法
US20070150559A1 (en) * 2005-12-28 2007-06-28 Intel Corporation Method and apparatus for dynamic provisioning of an access control policy in a controller hub
CN101309279A (zh) * 2008-07-07 2008-11-19 华为技术有限公司 终端访问的控制方法、***和设备

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100474825C (zh) * 2003-09-12 2009-04-01 华为技术有限公司 域认证和用户网络权限控制统一处理的方法及***
CN1705270A (zh) * 2004-05-26 2005-12-07 华为技术有限公司 一种控制网络访问的***及方法
CN100492991C (zh) * 2007-02-08 2009-05-27 华为技术有限公司 网元管理的方法、***及网元

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1627683A (zh) * 2003-12-09 2005-06-15 鸿富锦精密工业（深圳）有限公司 单一认证授权管理***及方法
US20070150559A1 (en) * 2005-12-28 2007-06-28 Intel Corporation Method and apparatus for dynamic provisioning of an access control policy in a controller hub
CN101309279A (zh) * 2008-07-07 2008-11-19 华为技术有限公司 终端访问的控制方法、***和设备

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111859397A (zh) * 2020-07-23 2020-10-30 国家工业信息安全发展研究中心 终端防护策略配置方法及装置

Also Published As

Publication number Publication date
CN101309279A (zh) 2008-11-19
CN101309279B (zh) 2011-04-20

Similar Documents

Publication Publication Date Title
US11190493B2 (en) Concealing internal applications that are accessed over a network
US10356612B2 (en) Method of authenticating a terminal by a gateway of an internal network protected by an access security entity providing secure access
KR100894555B1 (ko) 속성 증명서를 이용하여 네트워크 디바이스에 대한 인증을가능케 하는 시스템 및 방법
US8407462B2 (en) Method, system and server for implementing security access control by enforcing security policies
CA2607001C (en) Preventing fraudulent internet account access
JP5736511B2 (ja) ゼロサインオン認証
WO2010003322A1 (zh) 终端访问的控制方法、***和设备
KR101159355B1 (ko) 클라이언트 장치를 안전하게 준비하는 방법 및 시스템
US9438630B2 (en) Network access control using subnet addressing
CN107534557A (zh) 提供访问控制和单点登录的身份代理
CN114615328A (zh) 一种安全访问控制***和方法
US20140289830A1 (en) Method and system of a secure access gateway
AU2004302606B2 (en) Preventing unauthorized access of computer network resources
JP2009538478A5 (zh)
WO2007008976A1 (en) Technique for authenticating network users
US20210160237A1 (en) Secure Controlled Access To Protected Resources
CN101986598B (zh) 认证方法、服务器及***
CN111416826B (zh) 一种应用服务安全发布及访问的***及方法
WO2008034319A1 (fr) Procédé, système et dispositif d'authentification destinés à un dispositif de réseau
WO2006058493A1 (fr) Procede et systeme d'authentification de domaine et d'autorite de reseau
JP2004032525A (ja) ユーザ認証ＱｏＳポリシー管理システム、方法及びＬＡＮスイッチ
EP2896177A1 (en) Method and devices for registering a client to a server
US20100005181A1 (en) Method and system for controlling a terminal access and terminal for controlling an access
WO2010040309A1 (zh) 一种接入方法、网络***和装置
WO2009006842A1 (fr) Procédé d'évaluation du statut de sécurité côté web et système d'authentification de sécurité

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09793797

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1)EPC

122 Ep: pct application non-entry in european phase

Ref document number: 09793797

Country of ref document: EP

Kind code of ref document: A1