[發明專利]基于端末的網絡訪問控制系統

有效

• 申請號: 201210030423.9
• 申請日: 2012-02-10
• 公開（公告）號: CN102594814A
• 公開（公告）日: 2012-07-18
• 發明（設計）人: 張輝
• 申請（專利權）人: 福建升騰資訊有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 福州市鼓樓區京華專利事務所(普通合伙) 35212
• 代理人: 宋連梅

1.一種基于端末的網絡訪問控制系統，其特征在于：包括網絡準入控制模塊、網絡限制模塊以及網卡中間層過濾驅動模塊；

所述網絡準入控制模塊根據用戶的身份進行網絡認證來確定是否允許用戶使用的終端設備連接網絡；

所述網絡限制模塊負責將服務器端下發的網絡訪問控制策略進行解析，并轉換成能供所述網卡中間層過濾驅動模塊處理的訪問控制列表，所述訪問控制列表包括IP地址/IP地址范圍字段、本地端口范圍字段、遠程端口范圍字段、internet使用的協議類型字段，終端設備中網絡數據幀的流量方向字段以及權限字段；將訪問控制列表分發給所述網卡中間層過濾驅動模塊；所述網絡訪問控制策略包括：訪問的IP地址/IP地址范圍信息、本地端口范圍信息、遠程端口范圍信息、internet使用的協議類型信息、終端設備中網絡數據幀的流量方向信息、權限信息；所述權限信息包括：允許和禁止，所述終端設備中網絡數據幀的流量方向信息包括接收和發送；

所述網卡中間層過濾驅動模塊負責對終端設備的網卡接收的網絡數據幀進行過濾，攔截所述網絡訪問控制策略中禁止的網絡訪問行為。

2.根據權利要求1所述的基于端末的網絡訪問控制系統，其特征在于：所述網卡中間層過濾驅動模塊具體工作如下：

網卡中間層過濾驅動模塊對網卡接收的網絡數據幀進行識別操作，根據數據幀提取出網絡數據包，判斷網絡數據包是否為IP數據包，否，則將網絡數據包進行放行，是，則根據IP數據包的格式，解析出源地址信息、目的地址信息、源端口信息、目的端口信息以及internet使用的協議類型信息；并根據解析的這些信息對所述訪問控制列表進行查找比較，如果發現訪問控制列表中存在對應的IP數據包解析出來的信息，則判斷訪問控制列表中對應信息行中的權限信息，如果權限信息為禁止，則丟棄所述IP數據包，如果權限信息為允許，則將IP數據包放行；如果訪問控制列表中不存在對應的IP數據包解析出來的信息，則放行IP數據包；其中，所述解析的這些信息對所述訪問控制列表進行查找比較時，訪問控制列表中的IP地址/IP地址范圍、本地端口范圍及遠程端口范圍在不同的所述流量方向上有不同的比較方式：所述終端設備中網絡數據幀的流量方向信息為發送時，訪問控制列表中的IP地址/IP地址范圍、本地端口范圍、遠程端口范圍、internet使用的協議類型需要分別與IP數據包解析出的目的地址、源端口、目的端口及協議類型進行比較是否匹配；所述終端設備中網絡數據幀的流量方向信息為接收時，訪問控制列表中的IP地址/IP范圍、本地端口范圍、遠程端口范圍、internet使用的協議類型需要分別與IP數據包解析出的源地址、目的端口、源端口及協議類型進行比較是否匹配。

3.根據權利要求1所述的基于端末的網絡訪問控制系統，其特征在于：還包括管理員變更網絡訪問控制策略模塊；該模塊是管理員直接在服務器端變更網絡訪問控制策略后下發變更后的網絡訪問控制策略觸發所述網絡限制模塊進行操作。