[發明專利]一種防止非法訪問內網的內網保護方法

有效

• 申請號: 201910146962.0
• 申請日: 2019-02-27
• 公開（公告）號: CN109922058B
• 公開（公告）日: 2021-01-05
• 發明（設計）人: 嚴俊杰
• 申請（專利權）人: 江西網是科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都眾恒智合專利代理事務所(普通合伙) 51239
• 代理人: 王育信

1.一種防止非法訪問內網的內網保護方法，其特征在于，包括以下步驟：

(S1)設立終端路由器、內網服務器和交換機，將內網服務器和交換機分別與終端路由器進行連接，將員工設備與交換機進行連接；

(S2)在內網服務器設立每個員工的內網網絡的內網賬號和與內網賬號對應的密碼，設立與內網賬號相對應的認證表單，將員工設備的IP地址和MAC地址添加于認證表單中進行綁定，建立認證機制；

(S3)在終端路由器將IP網段分為服務器網段、員工網段和訪客網段，將內網服務器和員工設備IP對應配置于服務器網段和員工網段中，然后在終端路由器上設立用于防止ARP欺騙的ARP欺騙保護機制以及WiFi賬號和密碼；

(S4)設備通過WiFi賬號和密碼進行內網網絡接入，由終端路由器判斷設備IP屬性，如果設備是動態IP，則進入步驟(S5)；如果設備是靜態IP，則終端路由器判斷設備IP地址網段進行相應的接入；

(S5)由內網服務器判斷接入設備MAC地址是否與內網賬號綁定，如果已綁定，則終端路由器分配綁定員工網段IP地址，進入步驟(S8)；如果未綁定，則終端路由器分配訪客網段IP地址，進入步驟(S6)；

(S6)由終端路由器對設備訪問網段進行判斷，如果訪問內網網絡，則進入步驟(S7)；如果設備訪問外網網絡，則根據終端路由器設置的訪問權限做相應的接入；

(S7)內網服務器認證機制發生響應，設備通過內網賬號和相應密碼進行認證，通過認證后，臨時放行此設備并設置臨時放行時間，如果設備通過認證后仍為動態IP的訪客網段IP地址，在臨時放行時間內，設備向終端路由器發送request續租報文，終端路由器回復設備NACK報文并重新分配員工網段IP地址，并將設備的MAC地址與IP地址進行綁定，進入步驟(S8)；若設備認證未通過，則拒絕該設備的訪問；

(S8)設備向終端路由器發送自檢ARP，終端路由器判斷當前設備的MAC和IP是否與終端路由器記錄一致，如果不一致，則終端路由器判斷該設備靜態IP手動設置為服務器網段或員工網段地址從而形成沖突，觸發ARP欺騙保護機制，保護內網安全；如果一致且設備IP為員工網段IP地址，則進入步驟(S9)；

(S9)內網服務器放行該設備的所有訪問。

2.根據權利要求1所述的一種防止非法訪問內網的內網保護方法，其特征在于，所述步驟(S4)中，終端路由器通過設備接入時發送的discover報文判斷設備IP屬性，如果為無dhcp報文的discover報文，則為靜態IP，如果為具有dhcp報文的discover報文，則為動態IP。

3.根據權利要求2所述的一種防止非法訪問內網的內網保護方法，其特征在于，所述步驟(S3)中，在終端路由器還設置了用于是否允許訪客網段設備訪問外網網絡的第一功能開關，用于是否允許訪客網段設備訪問內網網絡的第二功能開關；第一功能開關和第二功能開關的打開或關閉均由內網管理員進行設置。

4.根據權利要求3所述的一種防止非法訪問內網的內網保護方法，其特征在于，所述步驟(S4)中，終端路由器對靜態IP設備判斷IP地址網段進行接入的具體過程為：

(S41)由終端路由器對設備IP地址網段進行判斷，如果為訪客網段，則進入步驟(S6)，如果為服務器網段或員工網段，則進入步驟(S42)；

(S42)由內網服務器判斷接入設備MAC地址是否與賬號綁定，如果已綁定，則進入步驟(S8)；如果未綁定，則進入步驟(S7)。

5.根據權利要求4所述的一種防止非法訪問內網的內網保護方法，其特征在于，所述步驟(S6)中，設備訪問外網網絡，根據終端路由器設置的訪問權限做相應接入的具體過程為：如果第一功能開關打開，表示允許訪客網段設備訪問外網網絡，則進入步驟(S8)，如果第一功能開關關閉，表示不允許訪客網段設備訪問外網網絡，則進入步驟(S7)。

6.根據權利要求5所述的一種防止非法訪問內網的內網保護方法，其特征在于，所述步驟(S7)中：如果設備通過認證后IP地址為靜態IP的訪客網絡地址，該設備臨時放行時間到期后，認證機制產生響應，設備在認證機制中再次進行認證。