CN102271136A - Nat网络环境下的访问控制方法和设备 - Google Patents

Abstract

本发明提出了一种在NAT网络环境下的访问控制方法和设备。该方法包括以下步骤：接收来自内部客户端设备的HTTP访问请求；解析所述HTTP访问请求中的认证标识；验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致；以及如果通过验证，则允许所述HTTP访问请求，否则拒绝所述HTTP访问请求。通过本发明的方案，可以有效地防止网络资源盗用。

Description

NAT网络环境下的访问控制方法和设备

技术领域

本发明涉及网络通信领域，更具体地，涉及一种在网络地址转换(Network Address Translation，简称NAT)网络环境下的访问控制方法和设备。

背景技术

随着互联网的迅速发展，IP地址短缺已成为一个十分突出的问题。为了解决这个问题，出现了多种解决方案，作为其中一种在目前网络环境中比较有效的方法，提出了NAT功能。

NAT功能指在一个网络内部，可以根据需要自定义内部私有IP地址，而不需要经过申请。在网络内部，各计算机间通过私有IP地址进行通讯。而当内部计算机要与外部互联网进行通讯时，具有NAT功能的设备(比如：路由器)负责将其私有IP地址转换为合法的IP地址(即经过申请的IP地址)进行通信。

目前在校园网或企业网中普遍部署利用NAT功能的网络，这类网络也称为NAT网络。NAT网络中通常有众多的内部用户，而与外部联网的网络资源则是有限的，例如合法的IP地址是有限的，与外网连接的带宽等也是有限的。于是需要有效地管理网络资源。网络运营商需要对用户的网上行为进行监控管理，对用户访问外网进行控制，防止非法用户盗用网络资源访问外网。因此，需要一种NAT网络环境下的控制用户访问外部网络的方法和实现该控制的设备。

发明内容

本发明的目的在于提供一种有效地防止网络资源被盗用的方案。本发明提出在NAT网络的客户端设备上的浏览器中安装接入认证插件，用于在客户端进行HTTP访问时在HTTP访问请求报文中添加独有的认证标识。接入控制网关在接收到HTTP访问请求报文时，通过验证其中是否包含与客户端设备在登录认证时提供的认证标识一致的认证标识，来过滤该HTTP访问请求。通过这种方式，可以有效地防止没有登录的用户盗用网络资源。

根据本发明的一个方面，提供了一种在网络地址转换NAT网络环境下的访问控制方法，包括以下步骤：接收来自内部客户端设备的HTTP访问请求；解析所述HTTP访问请求中的认证标识；验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致；以及如果通过验证，则允许所述HTTP访问请求，否则拒绝所述HTTP访问请求。

在一个实施例中，所述认证标识包括下述中的至少一个：由NAT设备分配给客户端设备的私有IP地址、客户端设备的MAC地址、验证码。

根据本发明的另一方面，提供了一种用于网络地址转换NAT网络环境下的接入控制网关，包括：接收装置，用于接收来自内部客户端设备的HTTP访问请求；解析装置，用于解析所述HTTP访问请求中的认证标识；验证装置，用于验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致；以及过滤装置，用于在HTTP访问请求通过验证时，允许所述HTTP访问请求，以及在其他情况下拒绝所述HTTP访问请求。

附图说明

通过下面结合附图说明本发明的优选实施例，将使本发明的上述及其它目的、特征和优点更加清楚，其中：

图1示出了本发明所应用的NAT网络的组成示意图；

图2示出了根据本发明的一个实施例的在NAT网络环境下的访问控制方法的流程图；

图3示出了根据本发明的一个实施例的在接入控制网关处执行的在NAT网络环境下的访问控制方法的流程图；

图4示出了根据本发明的一个实施例的用于网络地址转换NAT网络环境下的接入控制网关400的框图。

具体实施方式

为了清楚详细地阐述本发明，下面给出了一些本发明的具体实施例。根据本发明的实施例，能够支持NAT网络中的通过登录认证的用户访问外网，防止非法用户盗用网络资源。

下面参照附图对本发明的优选实施例进行详细说明。对于NAT网络的内部客户端设备之间的访问，其与现有技术类似，在此不进行详细描述。本发明将主要考虑NAT网络中的客户端设备访问外部网络的情形。

图1示出了本发明所应用的NAT网络的组成示意图。

如图1所示，该NAT网络包括客户端设备100、NAT设备200、Portal服务器300和接入控制网关400。应该理解，尽管未在图中示出，但是该NAT网络还可以包括其他客户端和服务器，等等。

客户端设备100可以是用户使用的任何支持联网的计算设备，例如台式计算机、笔记本计算机、膝上型计算机等等。当客户端100接入NAT网络时，其通过NAT设备200自动配置IP地址，例如IPv4地址，该地址也称为私有IP地址。在NAT网络内部，不同的客户端设备之间通过该私有IP地址进行通信。

NAT设备200可以是任何现有的或以后开发的具有NAT功能的设备。NAT设备200与客户端设备100相耦合，用于为接入NAT网络的设备提供所属网段的私有地址，例如给接入NAT网络的客户端设备100提供私有IP地址。此外，NAT设备200还用于在接收到客户端100访问外网的HTTP请求时，将报头中的源地址转换成合法的IP地址(即经过申请的IP地址)。

Portal服务器300提供根据本发明的浏览器接入认证插件的下载和用户认证。当Portal服务器接收到客户端设备的HTTP请求时，先检查客户端设备所用的浏览器是否安装了该接入认证插件，若未安装则向客户端推出插件下载提示。客户端设备100的浏览器安装了该接入认证插件之后，该插件将在客户端生成的HTTP请求中添加认证标识。该认证标识可以唯一地标识该客户端设备，例如其可以是该设备的私有IP地址(例如，IPv4地址)、MAC地址和校验码、其他唯一标识，或者其任意组合。

所述接入认证插件例如可以利用微软推出的BHO(浏览器辅助对象)来实现，于是该插件可以称为BHO插件。BHO是浏览器对第三方程序员开放交互接口的业界标准，通过简单的代码就可以进入浏览器领域的“交互接口”(INTERACTION Interface)，通过这个接口，可以容易地获取客户端设备的地址信息，如IP地址、和/或MAC地址等。可选地，接入认证插件还可以按预定的算法计算出校验码。

在确认接入认证插件安装完毕并正常启用后，Portal服务器向客户端设备100推出用户登录认证页面。用户可以根据该登录认证页面的提示填写用户名、密码等。接入认证插件将解析登录认证页面的页面脚本，在其中填充客户端设备的认证标识，例如IP地址、MAC地址、和/或校验码。于是，在用户填充用户名、密码等登录认证项目后，点击联网按钮，将登录认证项目和客户端设备的认证标识发送给Portal服务器。Portal服务器将根据接收的认证项目来认证用户，允许合法用户登录，或者拒绝非法用户登录。可选地，Portal服务器可以与单独的认证服务器进行通信，来执行对用户的认证。当通过登录认证后，Portal服务器将获取的客户端设备的认证标识发送给接入控制网关进行存储。优选地，与客户端设备的认证标识一起，Portal服务器还向接入控制网关发送用户名、密码等登录认证信息，已供接入控制网关将客户端设备的认证标识和用户的登录认证信息关联地存储。

接入控制网关400是NAT网络与外部网络的接口。其接收到的客户端设备100访问外网的HTTP请求进行过滤，判断该客户端设备是否经过登录认证。具体地，接入控制网关400查看该HTTP访问请求中是否包含客户端设备的认证标识。并且查看客户端设备的认证标识与其保存的客户端设备在登录认证时提供的认证标识是否一致。如果一致，则认为通过了登录认证，放行该次HTTP访问请求。在其他情况下，都拒绝该次访问。通过这种方式，可以有效地防止没有登录的用户盗用网络资源。优选地，在拒绝访问的同时将该HTTP请求重定向到Portal服务器，以便进行浏览器接入认证插件的安装以及登录认证操作。在一个优选实施例中，接入控制网关400对于访问免费外部地址的HTTP请求不进行上述过滤操作。而仅对访问其他外部地址的HTTP请求执行上述过滤操作。

在一个优选实施例中，认证标识包括客户端设备的地址(IP地址，和/或MAC地址)以及校验码。接入控制网关400接收客户端100发来的HTTP访问请求，解析出由插件添加的认证标识，与该用户在登录时保存的信息进行比较，根据结果，采取下述访问控制策略，具体如下：

(1)无法从访问请求中解析出认证标识。判定为非法访问用户的HTTP访问，接入控制网关400将阻止此次HTTP访问，并重定向至由Portal服务器300提供的登录认证页面；

(2)能从访问请求中解析出客户端地址信息，但是校验码错误。接入控制网关400将判定此次访问为非法访问用户伪造指定的BHO插件进行HTTP访问。根据此判定结果，接入控制网关400会阻止此次HTTP访问，并重定向至由Portal服务器300提供的登录认证页面；

(3)能从访问请求中解析出客户端地址信息，校验码也正常，但是与接入控制网关400中预存的在线绑定关系不一致，判定为用户本次为异地登录访问。根据此判定结果，接入控制网关400将阻止此次HTTP访问，并重定向至由Portal服务器300提供的登录认证页面；

(4)能从访问请求中解析出客户端地址信息，校验码和在线绑定关系都正常无误。判定为用户正常的HTTP访问，接入控制网关400将开放本次HTTP的访问请求。

图2示出了根据本发明的一个实施例的在NAT网络环境下的访问控制方法的流程图。

(1)客户端设备100接入网络，接受NAT设备200分配的固定网段的私有地址。

(2)客户端设备100希望访问外网，发送HTTP访问请求。

(3)该HTTP请求经由NAT设备200到达接入控制网关400。接入控制网关400对该HTTP访问请求进行检查，并且根据下述预定的访问控制策略进行操作。如果该HTTP访问请求是对访问Portal服务器300或设定的免费外部访问地址的HTTP报文，接入控制网关400允许其通过。对于访问其它外部地址的HTTP报文，接入网关判断客户端设备100是否通过登录认证。在本例中，该客户端设备100是新接入的设备，没有通过登录认证，于是接入控制网关400将该HTTP请求重定向到Portal服务器300。

(4)Portal服务器300接收到该HTTP请求后，检查客户端设备所用的浏览器是否安装了接入认证插件，例如BHO插件。若未安装则向客户端推出插件下载提示。在客户端设备100的浏览器安装了该插件之后，该插件将在客户端以后生成的HTTP请求中添加认证标识，如该设备的私有IP地址(例如，IPv4地址)、MAC地址和校验码等。Portal服务器300继而将接收到的HTTP请求重定向到登录认证页面，提示用户进行登录操作。浏览器上安装的接入认证插件将解析登录认证页面的页面脚本，在其中填充客户端设备的认证标识。于是，该认证标识和用户填写的登录认证信用一起发送给Portal服务器。

(5)在登录成功后，Portal服务器300将接收到的客户端100的认证标识发送给接入控制网关400进行保存。优选地，Portal服务器300也可以将用户登录信息(例如，用户名以及密码等等)发送给接入控制网关400，与客户端100的认证标识关联地保存。

(6)此后，当客户端设备100发送访问外部网络的HTTP请求时，安装好的接入认证插件在客户端设备100的HTTP访问请求当中填充认证标识。将填充了认证标识的HTTP访问请求发送给接入控制网关400。

(7)接入控制网关400对客户端100的HTTP访问请求进行解析，获取由客户端设备100的浏览器上安装的接入认证插件填充的认证标识，并与客户端设备100进行登录操作时由Portal服务器300发送给接入控制网关400的对应信息进行比较验证。

(8)若信息匹配验证通过，接入控制网关400将开放客户端设备100当次的HTTP访问请求。如果验证没有通过，则接入控制网关400将该将该HTTP请求重定向到Portal服务器300。重复(4)的操作。

图3示出了根据本发明的一个实施例的在接入控制网关处执行的在NAT网络环境下的访问控制方法的流程图。

如图所示，步骤S310，接入控制网关接收到来自内部客户端设备的HTTP访问请求。

在步骤S320，解析所述HTTP访问请求中的认证标识。如果客户端设备上没有安装接入认证插件，则HTTP请求中不包含这样的认证标识。于是，解析不出该认证标识。于是接入控制网关将该HTTP请求重定向到Portal服务器，以便安装接入控制插件和进行登录认证操作。如果在客户端设备安装了浏览器接入认证插件，该插件在生成的HTTP访问请求中填充该认证标识。于是在步骤S320中将解析出认证标识，则前进到步骤S330。

在步骤S330，验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致。如果一致，则通过验证，前进到步骤S340。否则，前进到步骤S350。

在步骤S340中，允许所述HTTP访问请求。

在步骤S350中，拒绝所述HTTP访问请求。

优选地，所述认证标识包括下述中的至少一个：由NAT设备分配给客户端设备的私有IP地址、客户端设备的MAC地址、验证码。

优选地，当接入控制网关拒绝HTTP访问请求时，还将所述HTTP请求重定向到Portal服务器，以便安装浏览器接入认证插件和执行登录认证。

优选地，在客户端设备登录认证时，接入控制网关还接收Portal服务器发送的客户端设备提供的认证标识。

应该理解，上面示出的方法仅是示例性的，本发明的方法并不局限于上面示出的步骤和顺序。在不同的实施例中，可以进行修改和变化。例如，上面方法300中的步骤S340和S350不是顺序进行的，而是根据具体实施例择一进行的。

图4示出了根据本发明的一个实施例的用于网络地址转换NAT网络环境下的接入控制网关400的框图。如图所示，接入控制网关400包括接收装置410、解析装置420、验证装置430、过滤装置440。接收装置410用于接收来自内部客户端设备的HTTP访问请求。解析装置420用于解析所述HTTP访问请求中的认证标识。验证装置430用于验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致。过滤装置440用于在HTTP访问请求通过验证时，允许所述HTTP访问请求，以及在其他情况下拒绝所述HTTP访问请求。

接收装置410、解析装置420、验证装置430以及过滤装置440分别用于执行图3中的步骤S310、S320、S330、以及S340和S350。在此不再赘述。

优选地，接入控制网关400进一步包括保存装置，用于保存来自Portal服务器的客户端设备在登录认证时提供的认证标识。

根据本发明的实施例，能够利用在客户端设备上的浏览器中安装接入认证插件，在HTTP访问请求报文中添加认证标识。通过接入控制网关来验证该认证标识识别该HTTP访问请求是否是合法登录用户的请求，从而可以有效地防止没有登录的用户盗用网络资源。

应当注意，为了使本发明更容易理解，上面的描述省略了对于本领域的技术人员来说是公知的、并且对于本发明的实现可能是必需的更具体的一些技术细节。

提供本发明的说明书的目的是为了说明和描述，而不是用来穷举或将本发明限制为所公开的形式。对本领域的普通技术人员而言，许多修改和变更都是显而易见的。本领域技术人员还应该理解，可以通过软件、硬件、固件或者它们的结合的方式，来实现本发明实施例中的方法和装置。

因此，应该理解，选择并描述实施例是为了更好地解释本发明的原理及其实际应用，并使本领域普通技术人员明白，在不脱离本发明实质的前提下，所有修改和变更均落入由权利要求所限定的本发明的保护范围之内。

Claims (5)

1.一种在网络地址转换NAT网络环境下的访问控制方法，包括以下步骤：

接收来自客户端设备的HTTP访问请求，

解析所述HTTP访问请求中的认证标识，

验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致，以及

如果通过验证，则允许所述HTTP访问请求，否则拒绝所述HTTP访问请求。

2.根据权利要求1所述的访问控制方法，其中所述认证标识包括下述中的至少一个：验证码、由NAT设备分配给客户端设备的私有IP地址、客户端设备的MAC地址。

3.根据权利要求1所述的访问控制方法，其中所述认证标识是由安装在所述客户端设备中的浏览器接入认证插件填充在HTTP访问请求中的。

4.根据权利要求1所述的访问控制方法，其中拒绝所述HTTP访问请求包括将所述HTTP请求重定向到Portal服务器，以便安装浏览器接入认证插件和执行登录认证。

5.一种用于网络地址转换NAT网络环境下的接入控制网关，包括：

接收装置，用于接收来自客户端设备的HTTP访问请求，

解析装置，用于解析所述HTTP访问请求中的认证标识，

验证装置，用于验证解析出的认证标识是否与所述客户端设备在登录认证时提供的认证标识相一致，以及

过滤装置，用于在HTTP访问请求通过验证时，允许所述HTTP访问请求，以及在HTTP访问请求未能通过验证时，拒绝所述HTTP访问请求。

Images