WO2008106850A1 - Procédé et système de commande d'accès à un réseau - Google Patents

Procédé et système de commande d'accès à un réseau Download PDF

Info

Publication number
WO2008106850A1
WO2008106850A1 PCT/CN2007/003675 CN2007003675W WO2008106850A1 WO 2008106850 A1 WO2008106850 A1 WO 2008106850A1 CN 2007003675 W CN2007003675 W CN 2007003675W WO 2008106850 A1 WO2008106850 A1 WO 2008106850A1
Authority
WO
WIPO (PCT)
Prior art keywords
network
gateway device
network connection
access control
user
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/CN2007/003675
Other languages
English (en)
French (fr)
Inventor
Wei Miao
Deqiang Liao
Yanjian Zhou
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to EP07855712A priority Critical patent/EP2124398A4/en
Priority to US12/530,073 priority patent/US20100303087A1/en
Publication of WO2008106850A1 publication Critical patent/WO2008106850A1/zh
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/2866—Architectures; Arrangements
    • H04L67/30—Profiles
    • H04L67/306—User profiles
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/78—Architectures of resource allocation
    • H04L47/782—Hierarchical allocation of resources, e.g. involving a hierarchy of local and centralised entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation
    • H04L47/80—Actions related to the user profile or the type of traffic
    • H04L47/808—User-type aware
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/102—Entity profiles

Definitions

  • the present invention relates to the field of communications, and in particular, to a network access control method and system.
  • BACKGROUND OF THE INVENTION With the development of the Internet, the content provided by the Internet has exploded at an explosive level.
  • the Internet provides people with all aspects of information and is an indispensable factor in people's lives, work, and entertainment. But everything has its advantages and disadvantages.
  • the knowledge of the Internet is all-encompassing. Its healthy knowledge and timely information can really help people and benefit people.
  • the Internet also has violent and obscene content, which affects people's normal life, and even makes minors go astray. Can we design a mechanism to control the Internet content that users are exposed to, so that people only accept healthy information? The result is yes.
  • This service uses the access device of the operator to monitor the online behavior of the user and provides two accounts (normal online account and green Internet account) for the user.
  • two accounts normally online account and green Internet account
  • the service provider monitors the Internet content accessed by the green Internet access account. Once the user is found to have access to the restricted content, the service provider immediately restricts the user from continuing to access the restricted-level network content by means of an illegal attack.
  • the present invention proposes a new green Internet service mode: On the existing green Internet access, the gateway device is used for user identification, and multiple dialing interfaces are used, and the policy routing method is adopted to completely solve various problems. The problem of users surfing the Internet at the same time.
  • An object of the present invention is to provide a network access control method and system to implement management of online behavior of users.
  • the gateway device establishes a common network connection to the network management device;
  • S104 the gateway device receives the relevant gateway design from the network management device. Setting the parameter information of the service type of the application, and establishing, according to the parameter information, a network connection that matches the service type requested by the gateway device on the outgoing network connection; and
  • S 106 the gateway device selects the common according to the user type control. A network connection or a network connection matching the type of service requested by the gateway device, thereby performing network access control.
  • the step S104 includes: S1042: The gateway device receives, from the gateway device, parameter information about a service type applied by the gateway device.
  • Step S1044 The gateway device obtains, from the parameter information, connection parameters of the network connection that match the service type applied by the gateway device, and The network access control parameter; and S1046, the gateway device establishes, according to the connection parameter, a network connection that matches the service type requested by the gateway device on the basis of the common network connection.
  • Step S106 includes the following steps: S1062: The gateway device identifies the user type by using the user information; S1064, the gateway device selects a common network connection or a network connection that matches the service type requested by the gateway device according to the user type; S1066, the gateway device passes the The network access control parameters of the network connection matched by the service type requested by the gateway device are used for network access control.
  • the user type includes at least one of the following two types: a normal user and a network access restricted user.
  • the normal network connection and the network connection that matches the type of service requested by the gateway device are dial-up network connections. During the network connection process, the gateway device only recognizes the user type once.
  • the network access control system includes: a first network connection device, configured to establish a common network connection from the gateway device to the network management device; and a second network connection device, configured to receive a service type requested by the gateway device from the network management device Parameter information, and based on the parameter information, establish a network connection to the network management device that matches the service type requested by the gateway device on the basis of the common network connection; and the network access control device, configured to select a common network connection according to the user type control Or a network connection that matches the type of service requested by the gateway device, thereby performing network access control.
  • the second network connection device includes: an information receiving device, configured to receive parameter information about a service type applied by the gateway device from the network management device, and a parameter obtaining device, configured to obtain, from the parameter information, a service type that is requested by the gateway device The connection parameters and network access control parameters of the network connection; and the network connection device, which is used in the ordinary network connection according to the connection parameters! ⁇ From, establish a network connection that matches the type of service requested by the gateway device.
  • the network access control device includes: a type identifying device, configured to identify a user type by using user information; and a connection selecting device, configured to select a common network connection or a network connection that matches a service type requested by the gateway device according to the user type; Device for passing with a gateway device The network access control parameters of the network connection of the applied service type are matched to perform network access control.
  • the user type includes at least one of the following two types: a normal user and a network access restricted user.
  • the normal network connection and the network connection that matches the type of service requested by the gateway device are dial-up network connections.
  • the network access control system only recognizes the user type once.
  • FIG. 1 a to FIG. 1 c are flowcharts of a network access control method and steps thereof according to an embodiment of the present invention
  • FIG. 2 is a flowchart for implementing the network access control method shown in FIGS. 1a to 1c 3 is a block diagram of a network access control system according to still another embodiment of the present invention
  • FIG. 4 is a block diagram of a network access control system for implementing the network access control method shown in FIG.
  • FIG. 5 is a detailed block diagram of the home gateway device in the network access control system shown in FIG. DETAILED DESCRIPTION OF THE INVENTION
  • FIG. 1a a network access control method according to an embodiment of the present invention is illustrated. As shown in FIG.
  • the network access control method includes the following steps: S102: A gateway device establishes a common network connection to a network management device; S104, the gateway device receives, from the network management device, parameter information about a service type applied by the gateway device, and according to The parameter information is used to establish a network connection that matches the service type applied by the gateway device to the network management device based on the common network connection; and S106, the gateway device selects a common network connection or matches the service type applied by the gateway device according to the user type control. Network connection Connect, thereby performing network access control.
  • step S104 includes: S1042: The gateway device receives, from the gateway device, parameter information about a service type applied by the gateway device.
  • Step S1044 The gateway device obtains, from the parameter information, a service type that is matched by the service type applied by the gateway device.
  • Step S106 includes the following steps: S1062: The gateway device identifies the user type by using the user information; S1064, the gateway device selects a common network connection or a network matching the service type requested by the gateway device according to the user type. Connecting; S1066: The gateway device performs network access control by using network access control parameters of the network connection that matches the service type requested by the gateway device.
  • the user type includes at least one of the following two types: a normal user and a network access restricted user.
  • the normal network connection and the network connection that matches the type of service requested by the gateway device are dial-up network connections.
  • the gateway device only recognizes the user type once.
  • FIG. 2 a network access control system for implementing the network access control method shown in FIGS. 1a to 1c and its steps will be described.
  • the network access control system includes: a first network connection device 202, configured to establish a common network connection from the gateway device to the network management device; and a second network connection device 204, configured to receive a related gateway from the network management device.
  • the parameter information of the service type applied by the device establishes a network connection to the network management device that matches the service type requested by the gateway device, and the network access control device 206, according to the user
  • the type control selects a normal network connection or a network connection that matches the type of service requested by the gateway device, thereby performing network access control.
  • the second network connection device 204 includes: an information receiving device 2042, configured to receive parameter information about a service type requested by the gateway device from the network management device, where the parameter obtaining device 2044 is configured to obtain, from the parameter information, the application with the gateway device.
  • the network access control device 206 includes: a type identifying device 2062, configured to identify a user type by using user information; and a connection selecting device 2064, configured to select a normal network connection or a network connection that matches a service type requested by the gateway device according to the user type.
  • Access control device 2066 The network access control is used for network access control parameters of the network connection matched by the service type requested by the gateway device.
  • the user type includes at least one of the following two types: a normal user and a network access restricted user.
  • the normal network connection and the network connection that matches the type of service requested by the gateway device are dial-up network connections.
  • the network access control system only recognizes the user type once.
  • FIG. 3 a network access control method according to still another embodiment of the present invention will be described.
  • the network access control service shown in Figure 3 requires the user to open the service to the local office, and requires the cooperation of the network management device, the service service device, and the gateway device to implement a complete network access control process.
  • S302 The user powers on the home gateway device, and dials with a common account provided by the administrator to establish a normal connection.
  • the gateway device automatically performs a registration operation on the local network management device according to the configuration information of the network management device saved on the network device.
  • the network management device After completing the registration and authentication of the gateway, the network management device queries the service requested by the gateway device and discovers the green Internet service. At this time, the network management device automatically sets the parameter information of the green Internet access (such as the green Internet access account, user name, and password). Push to the home gateway device.
  • the parameter information of the green Internet access such as the green Internet access account, user name, and password.
  • the gateway device After receiving the information, the gateway device immediately dials the green Internet account in the information; at the same time, the user management module in the home gateway device establishes a user account according to the user information in the information; the green internet management module according to the information Establish a user's network filtering policy, and configure filtering rules that cannot pass by default at the network layer of the gateway.
  • the home gateway device After receiving the packet, the home gateway device cannot determine the type of the user to send the packet, so the packet is first discarded, and the Http redirect packet is returned, and the user's browser is redirected to the user of the gateway device. On the permissions configuration page.
  • S314 The user inputs a user name and a password under the guidance of the user rights configuration page prompt, and then the user management module of the gateway device performs an authentication operation on the information.
  • the user management module obtains information such as the IP address or MAC address of the user terminal by using the packet, and binds the user name, and notifies the green network management module of the IP or MAC information content together, and the green internet management module According to the binding relationship between the IP/MAC information and the user, the user's policy is established on the corresponding IP and MAC address; at the same time, the gateway policy routing module generates a policy routing rule for the IP/MAC address information.
  • the user accesses the Internet again.
  • the first step is to enter the route processing part to perform the routing operation.
  • the message automatically selects the required Wan. Interface (common interface or green Internet interface).
  • the packet enters the filtering part of the green Internet control. Since the network layer of the gateway device establishes a new rule according to the IP/MAC of the user, the network layer of the gateway no longer forces the return of the Http redirect message. Let the user's Http ⁇ ⁇ ⁇ text pass smoothly at the network layer, and finally the 4 ⁇ text enters the corresponding Wan connection module to send out.
  • the packet is accessed by the office, and the service provider obtains the user's packet, and extracts the content of the packet, and binds the source address and the dialed account information of the packet. , sent to the business service provider's policy server.
  • the policy server determines, according to the user information and the content of the packet, whether the packet is within the access authority of the user. If the access does not exceed the authority, the policy server does not process; otherwise, step S324 is performed immediately.
  • the service service provider After determining that the user access is over-authorized, the service service provider sends a TCP-suppressed spoofing packet to the gateway at the access device side. When the user receives the browser and mistakes the connection, the normal operation is not performed. Thereby implementing the entire network access control process.
  • FIG. 4 and FIG. 5 a network access control system for implementing the network access control method shown in FIG. 3 will be described.
  • the network access control system mainly includes a green internet portal 402, a policy server 404, a content server 406, a network management device 408, an access device 410, a home gateway device 412, an internet server 414, and the like.
  • the green internet portal 402 is provided by the service provider for setting a network filtering policy.
  • the content server 406 provides hierarchical information of the URL address on the Internet for the policy server to query and determine the message type.
  • the network management device 408 is a general term for the service management and receiving devices of the local office, and includes many parts (such as a foreground device, a 97 system, an access control server (ACS), etc.).
  • the network management device opens the service for the user and sends the user information to the service service provider and the home gateway device.
  • the access device 410 is also a general term for the equipment of the central office (traffic party) at the access end, including a DSL Acess Multiplexer (Dslam) and a Broadband Remote Access Server (BRAS).
  • Dslam DSL Acess Multiplexer
  • BRAS Broadband Remote Access Server
  • the home gateway device 412 is a main implementer of multiple user functions in the green Internet service, and the gateway implements user authentication, user routing, and user access content filtering. As shown in FIG.
  • the gateway device 412 for implementing functions such as user authorization identification, dynamic routing, and the like includes a user management module 4122, a policy routing module 4124, a green internet access module 4126, a dialing (WAN) connection module 4128, and the like. .
  • the process of implementing the functions of the user authorization and the dynamic routing of the gateway is as follows: The user applies for the green Internet service to the administrator. After the service is enabled, the network management device automatically pushes the service parameter information to the gateway device of the user.
  • the Wan connection module establishes a green Internet dial-up connection based on the established ordinary Wan connection; the user management module establishes a green Internet user, such as a parent or a child, according to the user information in the information; The green Internet management module configures the default network access rule at the gateway network layer. At the same time, the parent and child filtering policies are configured.
  • the Http message arrives at the gateway device and is immediately discarded by the gateway device's default policy. The user is redirected to the network rights configuration page. The user enters the user name and password under the guidance of the page prompt.
  • the user management module performs the authentication operation.
  • the user management module obtains the user's IP or MAC information through the packet. And notify the policy routing module In respect of IP / MAC establish policy routing rule; notify the green Internet management module, the user's policy to take effect.
  • the Http message arrives at the protocol of the gateway device ⁇ «, first selects the corresponding normal connection or the green Internet connection through the policy routing processing part, and then passes through the network layer filtering part to enter the new The processing policy is not discarded, but is passed directly. Finally, it is sent through the ordinary Wan connection or the green Internet access connection, thereby completing the authentication management process for the user authority.
  • the invention realizes the network access control function by using the cooperation of the central office, the service service provider, and the user's gateway device.
  • the bureau is responsible for user service authority acceptance
  • the service service provider provides network access filtering service
  • the user gateway device implements user management, thereby solving the problem of multiple users accessing the Internet at the same time.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

网络访问控制方法及系统 技术领域 本发明涉及通信领域， 更具体地涉及一种网络访问控制方法及系统。 背景技术 随着互联网的发展， 互联网提供的内容呈爆炸级的增长。 互联网为人们 提供了各方各面的信息， 并成为人们生活、 工作、 以及娱乐中不可缺少的因 素。 但凡事有利就有弊， 互联网的知识包罗万象， 其健康的知识、 及时的信 息确实可以给人们带来帮助、 让人们获益匪浅。 但与此同时， 互联网也存在 暴力淫秽内容， 从而影响人们的正常生活， 甚至让未成年人走向歧途。 能否 设计一种机制来控制用户所接触的互联网内容， 让人们只接受健康的信息 呢？ 结果是肯定的。 目前， 业界已经存在一种绿色上网业务， 这种业务利用 运营商的接入设备把用户的上网行为监控起来，并且为用户提供两个帐号（正 常上网帐号、 绿色上网帐号）。 当家长上网时， 采用正常帐号上网， 而小孩上 网时， 采用绿色上网帐号。 业务商在接入设备这一侧监控绿色上网帐号访问 的互联网内容， 一旦发现用户访问受限内容， 则立即通过非法 4艮文攻击的办 法， 限制用户继续访问该限制级的网络内容。 尽管这种业务可以解决过滤互 联网内容的问题， 但是由于机制上的缺陷， 使用起来存在很多问题。 如， 该 方法不能解决家里有多种用户同时上网的问题， 如父母和小孩不能同时访问 互联网等。 针对上述问题， 本发明提出了一种新的绿色上网业务模式： 在现有的绿 色上网 出上， 利用网关设备进行用户识别， 并利用多个拨号接口， 采用策 略路由的方法， 彻底解决多种用户同时上网的问题。 发明内容 本发明的目的在于提供一种网络访问控制方法及系统，以实现对用户的 上网行为的管理。 才艮据本发明的网络访问控制方法包 4舌以下步骤： S102, 网关设备建立到 网管设备的普通网络连接； S104, 网关设备接收来自网管设备的有关网关设 备申请的业务类型的参数信息， 并根据参数信息， 在普通网络连接的 出上 建立到网管设备的与网关设备申请的业务类型匹配的网络连接； 以及 S 106 , 网关设备根据用户类型控制选择普通网络连接或与网关设备申请的业务类型 匹配的网络连接， 从而进行网络访问控制。 其中， 步骤 S104 包括： S1042, 网关设备接收来自网关设备的有关网 关设备申请的业务类型的参数信息； S1044, 网关设备从参数信息中获取与 网关设备申请的业务类型匹配的网络连接的连接参数和网络访问控制参数； 以及 S1046, 网关设备根据连接参数， 在普通网络连接的基础上， 建立与网 关设备申请的业务类型匹配的网络连接。 其中， 步骤 S106 包括以下步骤： S1062, 网关设备通过用户信息来识 别用户类型； S1064, 网关设备根据用户类型选择普通网络连接或与网关设 备申请的业务类型匹配的网络连接； S1066, 网关设备通过与网关设备申请 的业务类型匹配的网络连接的网络访问控制参数来进行网络访问控制。 其中， 用户类型至少包括以下两种中的至少一种： 普通用户和网络访问 受限用户。 普通网络连接和与网关设备申请的业务类型匹配的网络连接都是 拨号式网络连接。在网络连接过程中， 网关设备仅对用户类型进行一次识别。 根据本发明的网络访问控制系统包括： 第一网络连接设备， 用于建立从 网关设备到网管设备的普通网络连接； 第二网络连接设备， 用于接收来自网 管设备的有关网关设备申请的业务类型的参数信息， 并根据参数信息， 在普 通网络连接的基础上， 建立到网管设备的与网关设备申请的业务类型匹配的 网络连接； 以及网络访问控制设备， 用于根据用户类型控制选择普通网络连 接或与网关设备申请的业务类型匹配的网络连接， 从而进行网络访问控制。 其中， 第二网络连接设备包括： 信息接收装置， 用于接收来自网管设备 的有关网关设备申请的业务类型的参数信息； 参数获取装置， 用于从参数信 息中获取与网关设备申请的业务类型匹配的网络连接的连接参数和网络访问 控制参数； 以及网络连接装置， 用于根据连接参数， 在普通网络连接的！ ^出 上， 建立与网关设备申请的业务类型匹配的网络连接。 其中， 网络访问控制设备包括： 类型识别装置， 用于通过用户信息来识 别用户类型； 连接选择装置， 用于根据用户类型选择普通网络连接或与网关 设备申请的业务类型匹配的网络连接； 访问控制装置， 用于通过与网关设备 申请的业务类型匹配的网络连接的网络访问控制参数来进行网络访问控制。 其中， 用户类型至少包括以下两种中的至少一种： 普通用户和网络访问 受限用户。 普通网络连接和与网关设备申请的业务类型匹配的网络连接都是 拨号式网络连接。 在网络连接过程中， 网络访问控制系统仅对用户类型进行 一次识别。 通过本发明， 可以充分利用现有局方和业务提供方的网络设备， 节约新 增业务投资， 同时可以解决多种用户同时上网的问题（如父母和小孩可以同 时访问互联网）。 附图说明 此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部 分， 本发明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的 不当限定。 在附图中： 图 1 a至图 1 c是根据本发明实施例的网络访问控制方法及其步骤的流程 图； 图 2是用于实现图 la至图 lc所示的网络访问控制方法及其步骤的网络 访问控制系统的框图； 图 3是 居本发明又一实施例的网络访问控制方法的流程示意图； 图 4是用于实现图 3所示的网络访问控制方法的网络访问控制系统的框 图； 以及 图 5是图 4中所示的网络访问控制系统中的家庭网关设备的详细框图。 具体实施方式 参考图 la, 说明根据本发明实施例的网络访问控制方法。 如图 1所示， 该网络访问控制方法包括以下步骤： S102, 网关设备建立到网管设备的普通 网络连接； S104, 网关设备接收来自网管设备的有关网关设备申请的业务类 型的参数信息， 并根据参数信息， 在普通网络连接的基础上建立到网管设备 的与网关设备申请的业务类型匹配的网络连接； 以及 S106, 网关设备根据用 户类型控制选择普通网络连接或与网关设备申请的业务类型匹配的网络连 接， 从而进行网络访问控制。 其中， 如图 lb所示， 步骤 S104包括： S1042, 网关设备接收来自网关 设备的有关网关设备申请的业务类型的参数信息； S1044, 网关设备从参数 信息中获取与网关设备申请的业务类型匹配的网络连接的连接参数和网络访 问控制参数； 以及 S1046, 网关设备根据连接参数， 在普通网络连接的 出 上， 建立与网关设备申请的业务类型匹配的网络连接。 其中， 口图 lc所示， 步骤 S106包括以下步骤： S1062, 网关设备通过 用户信息来识别用户类型； S1064, 网关设备才艮据用户类型选择普通网络连 接或与网关设备申请的业务类型匹配的网络连接； S1066, 网关设备通过与 网关设备申请的业务类型匹配的网络连接的网络访问控制参数来进行网络访 问控制。 其中， 用户类型至少包括以下两种中的至少一种： 普通用户和网络访问 受限用户。 普通网络连接和与网关设备申请的业务类型匹配的网络连接都是 拨号式网络连接。在网络连接过程中， 网关设备仅对用户类型进行一次识别。 参考图 2, 说明用于实现图 la至图 lc所示的网络访问控制方法及其步 骤的网络访问控制系统。 如图 2所示， 该网络访问控制系统包括： 第一网络 连接设备 202, 用于建立从网关设备到网管设备的普通网络连接； 第二网络 连接设备 204, 用于接收来自网管设备的有关网关设备申请的业务类型的参 数信息， 并根据参数信息， 在普通网络连接的基础上， 建立到网管设备的与 网关设备申请的业务类型匹配的网络连接； 以及网络访问控制设备 206, 用 于根据用户类型控制选择普通网络连接或与网关设备申请的业务类型匹配的 网络连接， 从而进行网络访问控制。 其中， 第二网络连接设备 204 包括： 信息接收装置 2042， 用于接收来 自网管设备的有关网关设备申请的业务类型的参数信息； 参数获取装置 2044, 用于从参数信息中获取与网关设备申请的业务类型匹配的网络连接的 连接参数和网络访问控制参数；以及网络连接装置 2046,用于根据连接参数， 在普通网络连接的 出上，建立与网关设备申请的业务类型匹配的网络连接。 其中， 网络访问控制设备 206 包括： 类型识别装置 2062, 用于通过用 户信息来识别用户类型； 连接选择装置 2064， 用于根据用户类型选择普通网 络连接或与网关设备申请的业务类型匹配的网络连接； 访问控制装置 2066, 用于通过与网关设备申请的业务类型匹配的网络连接的网络访问控制参数来 进行网络访问控制。 其中， 用户类型至少包 4舌以下两种中的至少一种： 普通用户和网络访问 受限用户。 普通网络连接和与网关设备申请的业务类型匹配的网络连接都是 拨号式网络连接。 在网络连接过程中， 网络访问控制系统仅对用户类型进行 一次识别。 参考图 3 , 说明根据本发明又一实施例的网络访问控制方法。 图 3所示 的网络访问控制业务需要用户到局方开通业务， 并且需要局方网管设备、 业 务服务设备、 以及网关设备的共同配合才能实现完整的网络访问控制流程。 下面将以用户开通业务为起点， 描述整个业务流程。 如图 3所示， 该流程包 括以下步骤：
S302, 用户把家庭网关设备上电， 并用局方提供的普通帐号进行拨号， 建立普通连接。
S304, 网关设备根据其上保存的网管设备的配置信息， 自动到局方网管 设备上进行注册操作。
S306 ,网管设备完成网关的注册鉴权后 ,查询该网关设备所申请的业务， 发现绿色上网业务， 这时， 网管设备自动把绿色上网的参数信息 （如绿色上 网帐号、 用户名、 和密码）推送到家庭网关设备上。
S308, 网关设备收到该信息后， 立即用该信息中的绿色上网帐号进行拨 号； 同时， 家庭网关设备中的用户管理模块根据该信息中的用户信息建立用 户帐号； 绿色上网管理模块根据该信息建立用户的网络过滤策略， 并且在网 关的网络层配置缺省不能通过的过滤规则。
S310, 用户开始访问互联网， 这时用户的浏览器终端发出 Http 4艮文。
S312 , 家庭网关设备收到该报文后， 由于无法判定发送该报文的用户类 型， 所以首先把报文丢弃， 并返回 Http重定向报文， 将用户的浏览器重定向 到网关设备的用户权限配置页面上。
S314, 用户在用户权限配置页面提示的指导下， 输入用户名和密码， 然 后网关设备的用户管理模块对该信息进行鉴权操作。 S316, 鉴权成功后， 用户管理模块通过报文获得用户终端的 IP或 MAC 地址等信息， 并和用户名绑定， 并把该 IP或 MAC信息内容一起通知绿色上 网管理模块， 绿色上网管理模块根据该 IP/MAC信息和用户的绑定关系， 把 该用户的策略建立在对应的 IP和 MAC地址上； 同时， 网关策略路由模块就 该 IP/MAC地址信息生成策略路由规则。
S318, 用户再次上网， 该报文进入网关设备的网络层时， 首先是进入路 由处理部分进行选路操作， 由于有了步骤 S216 中配置的策略路由信息， 所 以该报文自动选择所需要的 Wan接口 （普通接口或绿色上网接口）。 选路结 束后， 报文进入绿色上网控制的过滤部分， 由于网关设备的网络层根据该用 户的 IP/MAC建立了新的规则， 所以网关的网络层不再强制返回 Http重定向 文， 而是让用户的 Http ·ί艮文在网络层顺利通过， 最后该 4艮文进入对应的 Wan连接模块发送出去。
S320,报文通过局方接入设备，业务服务提供方在此处获取用户的报文， 并取出该报文的访问内容， 并和该报文的源地址、 拨号帐号等信息绑定在一 起， 发送到业务服务提供方的策略服务器。
S322, 策略服务器根据该用户信息以及报文内容， 判断该报文是否在该 用户的访问权限之内， 如果访问没有越权， 则不处理； 否则立即执行步骤 S324。
S324 , 判断该用户访问越权后， 业务服务提供方在接入设备侧向网关发 送 TCP中止连接的欺骗报文， 当用户浏览器收到后， 误认为连接已经中断， 则不再进行正常工作， 从而实现整个网络访问控制流程。 参考图 4、 图 5， 说明用于实现图 3所示的网络访问控制方法的网络访 问控制系统。 如图 4所示， 该网络访问控制系统主要包括绿色上网门户网站 402、 策略服务器 404、 内容服务器 406、 网管设备 408、 接入设备 410、 以 及家庭网关设备 412、 互联网服务器 414等。 其中： 绿色上网门户网站 402由业务服务提供方提供，供用户设定网络过滤策 略。 内容月良务器 406提供互联网上 URL地址的分级信息， 以供策略服务器 查询， 判断报文类型。 网管设备 408是局方的业务管理、 受理设备的总称， 具体包含很多部分 (如前台设备、 97系统、访问控制服务器（ Access Control Server, 简称 ACS ) 等）。 网管设备为用户开通业务， 并把用户信息发送到业务服务提供方以及家 庭网关设备上。 接入设备 410也是局方（业务方）在接入端的设备总称， 包含数字用户 线接入月良务器（DSL Acess Multiplexer, Dslam )、 宽带接入艮务器（ Broadband Remote Access Server, 简称 BRAS )、 交换机、 镜像交换机等。 该部分的主要 功能包括： 建立用户的拨号连接； 镜像用户传输的报文； 提取报文中的关键 信息 （如报文访问 URL地址、 报文 IP、 对应用户信息等）； 同后方的策略服 务器通讯， 分析判断用户是否有权访问； 以及发送伪造的禁止访问报文等工 作。 家庭网关设备 412是绿色上网业务中多种用户功能的主要实现者，该网 关实现用户鉴权、 用户选路、 用户访问内容过滤等工作。 其中， 如图 5所示， 用于实现用户权限鉴定、 4艮文动态路由等功能的网 关设备 412包括用户管理模块 4122、策略路由模块 4124、绿色上网模块 4126、 拨号（ Wan )连接模块 4128等。 网关设备实现用户权限鉴定、 报文动态路由 等功能的流程为： 用户到局方申请绿色上网业务， 业务开通后， 局方网管设 备自动把业务参数信息推送到用户的网关设备上； 网关设备的 Wan连接模块 根据绿色上网的参数信息， 在已建立的普通 Wan连接的基础上， 再建立绿色 上网拨号连接； 用户管理模块根据该信息中的用户信息， 建立绿色上网用户， 如家长， 小孩等； 绿色上网管理模块在网关网络层配置缺省不可访问互联网 的规则， 同时， 配置家长和小孩的过滤策略； 用户开始访问互联网， Http报 文到达网关设备， 立即被网关设备的缺省策略丢弃， 并将用户重定向到网络 权限配置页面上， 用户在页面提示的指导下， 输入用户名和密码； 用户管理 模块进行鉴权操作，鉴权成功后，用户管理模通过报文获取用户的 IP或 MAC 信息， 并通知策略路由模块， 就该 IP/MAC建立策略路由规则； 同时通知绿 色上网管理模块， 将该用户的策略生效。 当用户完成认证页面的工作， 再次访问互联网时， Http报文到达网关设 备的协议^ «， 首先通过策略路由处理部分选择对应的普通连接或绿色上网连 接， 然后经过网络层过滤部分， 进入新的处理策略， 不再被丢弃， 而是直接 通过， 最后通过普通 Wan连接或者绿色上网 Wan连接发送出去， 从而完成 对用户权限的鉴权管理流程。 通过以上流程， 实现了用户鉴权功能， 并解决了多种用户同时上网的管 理问题。 本发明利用局方、 业务服务提供方、 以及用户的网关设备的共同作用， 实现了网络访问控制功能。 在这个业务中， 局方负责用户业务权限受理， 业 务服务提供方提供网络访问过滤服务， 用户网关设备实现用户管理， 从而解 决了多用户同时上网的问题。 本领于技术人员将很容易了解到本发明其它优点和修改。 因此， 本发明 更广泛的方面并不限于本文中示出以及描述的特定细节和典型实施例。因此， 可在不脱离由权利要求及其等效物所限定的本发明的精神或范围的条件下做 出各种修改。

Claims

权 利 要 求 书
一种网络访问控制方法， 其特征在于， 包括以下步骤：
S102 , 网关设备建立到网管设备的普通网络连接；
S 104 ,所述网关设备接收来自所述网管设备的有关所述网关设备申 请的业务类型的参数信息， 并根据所述参数信息， 在所述普通网络连接 的基础上建立到所述网管设备的与所述网关设备申请的业务类型匹配的 网络连接； 以及
S106,所述网关设备根据用户类型控制选择所述普通网络连接或与 所述网关设备申请的业务类型匹配的网络连接，从而进行网络访问控制。 根据权利要求 1所述的网络访问控制方法， 其特征在于， 所述步骤 S 104 包括：
S1042 , 所述网关设备接收来自所述网关设备的有关所述网关设备 申请的业务类型的参数信息；
S 1044， 所述网关设备从所述参数信息中获取与所述网关设备申请 的业务类型匹配的网络连接的连接参数和网络访问控制参数； 以及
S1046 , 所述网关设备根据所述连接参数， 在所述普通网络连接的 基础上， 建立与所述网关设备申请的业务类型匹配的网络连接。 根据权利要求 2所述的网络访问控制方法， 其特征在于， 所述步骤 S 106 包括以下步骤：
S1062, 所述网关设备通过用户信息来识别所述用户类型；
S1064, 所述网关设备根据所述用户类型选择所述普通网络连接或 与所述网关设备申请的业务类型匹配的网络连接； 以及
S1066, 所述网关设备通过与所述网关设备申请的业务类型匹配的 网络连接的所述网络访问控制参数来进行网络访问控制。 根据权利要求 3所述的网络访问控制方法， 其特征在于， 所述普通网络 连接和与所述网关设备申请的业务类型匹配的网络连接都是拨号式网络 连接。 根据上述权利要求 3或 4所述的网络访问控制方法， 其特征在于， 在网 络连接过程中， 所述网关设备仅对所述用户类型进行一次识别。 一种网络访问控制系统， 其特征在于， 包括：
第一网络连接设备，用于建立从网关设备到网管设备的普通网络连 接；
第二网络连接设备，用于接收来自所述网管设备的有关所述网关设 备申请的业务类型的参数信息， 并根据所述参数信息， 在所述普通网络 连接的基础上 , 建立到所述网管设备的与所述网关设备申请的业务类型 匹配的网络连接； 以及
网络访问控制设备，用于根据用户类型控制选择所述普通网络连接 或与所述网关设备申请的业务类型匹配的网络连接， 从而进行网络访问 控制。 根据权利要求 6所述的网络访问控制系统， 其特征在于， 所述第二网络 连接设备包括：
信息接收装置，用于接收来自所述网管设备的有关所述网关设备申 请的业务类型的参数信 , ；
参数获取装置，用于从所述参数信息中获取与所述网关设备申请的 业务类型匹配的网络连接的连接参数和网络访问控制参数； 以及
网络连接装置， 用于根据所述连接参数， 在所述普通网络连接的基 础上， 建立与所述网关设备申请的业务类型匹配的网络连接。
8. 根据权利要求 7所述的网络内容获取系统， 其特征在于， 所述网络访问 控制设备包括：
类型识别装置， 用于通过所述用户信息来识别所述用户类型； 连接选择装置，用于根据所述用户类型选择所述普通网络连接或与 所述网关设备申请的业务类型匹配的网络连接；
访问控制装置，用于通过与所述网关设备申请的业务类型匹配的网 络连接的所述网络访问控制参数来进行网络访问控制。
9. 根据权利要求 8所述的网络访问控制系统， 其特征在于， 所述用户类型 包括以下两种中的至少一种： 普通用户和网络访问受限用户。
10. 根据上述权利要求 8或 9所述的网络访问控制系统， 其特征在于， 在网 络连接过程中，所述网络访问控制系统仅对所述用户类型进行一次识别。
PCT/CN2007/003675 2007-03-06 2007-12-19 Procédé et système de commande d'accès à un réseau Ceased WO2008106850A1 (fr)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP07855712A EP2124398A4 (en) 2007-03-06 2007-12-19 METHOD AND SYSTEM FOR CONTROLLING ACCESS TO A NETWORK
US12/530,073 US20100303087A1 (en) 2007-03-06 2007-12-19 Method and System for Controlling Network Access

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200710086705.X 2007-03-06
CNB200710086705XA CN100571216C (zh) 2007-03-06 2007-03-06 网络访问控制方法及系统

Publications (1)

Publication Number Publication Date
WO2008106850A1 true WO2008106850A1 (fr) 2008-09-12

Family

ID=38744488

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2007/003675 Ceased WO2008106850A1 (fr) 2007-03-06 2007-12-19 Procédé et système de commande d'accès à un réseau

Country Status (4)

Country Link
US (1) US20100303087A1 (zh)
EP (1) EP2124398A4 (zh)
CN (1) CN100571216C (zh)
WO (1) WO2008106850A1 (zh)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100571216C (zh) * 2007-03-06 2009-12-16 中兴通讯股份有限公司 网络访问控制方法及系统
US8683544B2 (en) * 2008-05-14 2014-03-25 Bridgewater Systems Corp. System and method for providing access to a network using flexible session rights
US8863267B2 (en) * 2009-06-26 2014-10-14 Oracle International Corporation Subscriber based policy for service network gateways
CN102480437A (zh) * 2010-11-23 2012-05-30 中兴通讯股份有限公司 一种对家庭网关上网数据进行控制的方法及装置
CN103138979B (zh) * 2011-11-30 2016-08-03 华为终端有限公司 网络接入管理方法和网络接入设备
CN103840939A (zh) * 2012-11-27 2014-06-04 镇江精英软件科技有限公司 用网卡mac地址对信息系统特殊操作进行再认证的方法
US9497068B1 (en) * 2013-03-15 2016-11-15 Google Inc. Personal analytics and usage controls
CN103227750B (zh) * 2013-04-26 2016-05-25 华为技术有限公司 控制报文传输的方法、装置和系统
CN104767715B (zh) * 2014-01-03 2018-06-26 华为技术有限公司 网络接入控制方法和设备
CN106375265A (zh) * 2015-07-22 2017-02-01 中兴通讯股份有限公司 家庭网关及其通信管理方法、通信系统
CN105306470B (zh) * 2015-11-04 2018-10-09 武汉丰天信息网络有限公司 利用二维码或定位手段分类wifi访客和防盗网的方法
CN106657082B (zh) * 2016-12-27 2019-01-08 杭州盈高科技有限公司 一种快速的http重定向方法

Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020049806A1 (en) 2000-05-16 2002-04-25 Scott Gatz Parental control system for use in connection with account-based internet access server
EP1475938A2 (en) 2003-05-09 2004-11-10 Microsoft Corporation Web access to secure data
US20040223602A1 (en) * 2003-05-05 2004-11-11 Zhi-Chun Honkasalo Method, system and network element for authorizing a data transmission
CN1602014A (zh) * 2003-09-25 2005-03-30 国际商业机器公司 为网络处理器调度连接的方法与装置
US20050144297A1 (en) 2003-12-30 2005-06-30 Kidsnet, Inc. Method and apparatus for providing content access controls to access the internet
CN1812355A (zh) * 2005-01-26 2006-08-02 华为技术有限公司 一种保证端到端业务服务质量的方法及接入网络
US20060195888A1 (en) 2005-02-28 2006-08-31 France Telecom System and method for managing virtual user domains
GB2432276A (en) 2005-11-11 2007-05-16 Educentric Ltd Connecting to the internet
CN101026582A (zh) * 2007-03-06 2007-08-29 中兴通讯股份有限公司 网络访问控制方法及系统

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7042988B2 (en) * 2001-09-28 2006-05-09 Bluesocket, Inc. Method and system for managing data traffic in wireless networks
US7698384B2 (en) * 2003-06-26 2010-04-13 International Business Machines Corporation Information collecting system for providing connection information to an application in an IP network
US7882745B2 (en) * 2006-09-20 2011-02-08 Schlumberger Technology Corporation Method and system to invert tectonic boundary or rock mass field in in-situ stress computation

Patent Citations (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20020049806A1 (en) 2000-05-16 2002-04-25 Scott Gatz Parental control system for use in connection with account-based internet access server
US20040223602A1 (en) * 2003-05-05 2004-11-11 Zhi-Chun Honkasalo Method, system and network element for authorizing a data transmission
EP1475938A2 (en) 2003-05-09 2004-11-10 Microsoft Corporation Web access to secure data
CN1602014A (zh) * 2003-09-25 2005-03-30 国际商业机器公司 为网络处理器调度连接的方法与装置
US20050144297A1 (en) 2003-12-30 2005-06-30 Kidsnet, Inc. Method and apparatus for providing content access controls to access the internet
CN1812355A (zh) * 2005-01-26 2006-08-02 华为技术有限公司 一种保证端到端业务服务质量的方法及接入网络
US20060195888A1 (en) 2005-02-28 2006-08-31 France Telecom System and method for managing virtual user domains
GB2432276A (en) 2005-11-11 2007-05-16 Educentric Ltd Connecting to the internet
CN101026582A (zh) * 2007-03-06 2007-08-29 中兴通讯股份有限公司 网络访问控制方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2124398A4

Also Published As

Publication number Publication date
EP2124398A1 (en) 2009-11-25
CN100571216C (zh) 2009-12-16
EP2124398A4 (en) 2011-10-05
US20100303087A1 (en) 2010-12-02
CN101026582A (zh) 2007-08-29

Similar Documents

Publication Publication Date Title
CN100571216C (zh) 网络访问控制方法及系统
CN101465856B (zh) 一种对用户进行访问控制的方法和系统
JP4754964B2 (ja) 無線網制御装置及び無線網制御システム
JP4023240B2 (ja) ユーザ認証システム
US7773532B2 (en) Method for enabling communication between two network nodes via a network address translation device (NAT)
CN101102291B (zh) 基于pppoe代理功能实现用户接入互联网的方法
US20080276294A1 (en) Legal intercept of communication traffic particularly useful in a mobile environment
US20020002621A1 (en) Multiple network connections from a single ppp link with partial network address translation
CN1647451B (zh) 用于在网络环境中监视信息的装置、方法和系统
CN101212374A (zh) 实现校园网资源远程访问的方法和系统
JP2002118562A (ja) 認証拒否端末に対し特定条件でアクセスを許容するｌａｎ
JP2003085059A (ja) ファイアウォール設定方法およびその装置
US7116349B1 (en) Method of videophone data transmission
CN114944927B (zh) 基于Portal认证的无客户端互斥访问平台
US8769623B2 (en) Grouping multiple network addresses of a subscriber into a single communication session
CN100413291C (zh) 宽带网络上的业务区分和业务服务质量控制的实现方法
CN108429773B (zh) 认证方法及认证系统
US7630386B2 (en) Method for providing broadband communication service
US20100278174A1 (en) Method and Arrangement for Network Roaming of Corporate Extension Identities
WO2020029793A1 (zh) 一种上网行为管理系统、设备及方法
CN107528928A (zh) 一种专线用户上线管理的方法及装置
US20070234418A1 (en) Method and apparatus of remote access message differentiation in VPN endpoint routers
KR20110059919A (ko) 웹 리다이렉트를 이용한 비정상 행위 단말의 제한을 위한 네트워크 접속 관리 방법 및 장치
JP2009258965A (ja) 認証システム、認証装置、通信設定装置および認証方法
CN100488192C (zh) 利用pppoe协议实现网络专线接入的方法

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 07855712

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2007855712

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 12530073

Country of ref document: US