[發明專利]基于智能交換機物理端口和MAC地址的接入控制方法和系統

有效

• 申請號: 201410213223.6
• 申請日: 2014-05-20
• 公開（公告）號: CN103957171B
• 公開（公告）日: 2017-05-31
• 發明（設計）人: 劉建兵;薛鋒
• 申請（專利權）人: 劉建兵;薛鋒
• 主分類號: H04L12/911
• 分類號: H04L12/911;H04L12/947;H04L12/24;H04L29/06
• 代理公司: 中科專利商標代理有限責任公司11021
• 代理人: 宋焰琴

1.一種基于智能交換機物理端口和MAC地址的接入控制方法，該方法包括步驟：

步驟1，從已經建立SNMP協議連接的接入交換機上，讀取連接交換機MAC表數據，該數據包括MAC-PORT對應關系；

步驟2，將獲得的MAC表數據發送給數據歸并模塊；

步驟3，數據歸并模塊對SNMP采集來的數據進行歸并處理，從不同交換機的數據格式歸并出MAC-PORT格式，同時發送給過濾器A；

步驟4，數據歸并模塊將歸并后的數據發送給過濾器B；

步驟5，過濾器A將從數據歸并模塊收到的數據與MAC/PORT緩存中前一周期緩存的數據比較，確定新增加的MAC，并將該新增加的MAC對應的MAC-PORT發送給MAC認證模塊；

步驟6，過濾器B將從數據歸并模塊接收的數據與MAC/PORT緩存中前一周期緩存的數據比較，確定減少的MAC，以發現交換機上離線的設備，將離線狀態寫入MAC認證庫；

步驟7，過濾器A以接收的數據刷新MAC/PORT緩存；

步驟8，MAC認證模塊檢索收到的MAC是否已經在MAC認證庫中，如果存在則認證通過，如果不存在，則確定MAC接入設備不是合法設備；

該方法進一步包括以下步驟：

在終端上運行客戶端程序保護MAC地址，周期比較操作系統緩存的MAC與網絡適配器物理MAC的一致性，發現不一致，則將緩存MAC改正為物理MAC；

某交換機端口因接入設備不合法被關閉后，關閉執行模塊將產生一條該端口的執行數據，該數據包括交換機標識WID、端口號PORT、MAC地址和時間戳，這個數據被記錄在執行數據表中；關閉執行模塊還將產生一條報警數據，保存在數據庫中，用于查詢；

掃描模塊對執行數據表中的記錄逐條掃描，檢查每條記錄的時間戳與當前時間的差是否達到端口時長，如到達則向開啟執行模塊發開啟端口指 令，其中WID-MAC-PORT是指令參數，WID是執行指令的交換機號，PORT是交換機端口號，執行完畢后從執行數據表中刪除該條記錄；

掃描模塊對執行數據表中的記錄逐條掃描，檢查每條記錄的時間戳與當前時間的差是否達到端口時長，如到達則向開啟執行模塊發開啟端口指令，其中WID-MAC-PORT是指令參數，WID是執行指令的交換機號，PORT是交換機端口號，執行完畢后從執行數據表中刪除該條記錄；如沒有到達，則檢查下一條記錄，直至檢查到最后一條記錄，再從第一條開始逐條檢查，如此循環往復；

執行數據表中尚未到達端口時長的記錄經管理員確認為合法MAC后，被加入窗口期，該記錄WID-MAC-PORT被重置時間戳，開啟對應的交換機端口，加入窗口數據表；

掃描模塊對窗口數據表中的記錄逐條掃描，檢查每條記錄的時間戳與當前時間的差是否達到窗口時長，如到達則向關閉執行模塊發關閉端口指令，其中WID-MAC-PORT是指令參數，WID是執行指令的交換機號，PORT是交換機端口號，執行完畢后從窗口數據表中刪除該條記錄；如沒有到達，則檢查下一條記錄，直至檢查到最后一條記錄，再從第一條開始逐條檢查，如此循環往復。

2.根據權利要求1所述的方法，其特征在于，進一步包括步驟：

步驟9，MAC認證模塊將不合法接入設備對應的MAC-PORT發送到關閉執行模塊處理；

步驟10，所述關閉執行模塊將不合法的MAC對應的端口PORT作為關閉端口參數經SNMP發送給交換機；

步驟11，交換機按接收的端口PORT參數關閉MAC所在端口，實現非法MAC接入設備的斷網。

3.根據權利要求1所述的方法，其特征在于，在步驟1，通過輪詢和TRAP方式讀取連接交換機MAC表數據。