[發明專利]一種網絡訪問控制方法及裝置、系統

在審

• 申請號: 201911018686.6
• 申請日: 2019-10-24
• 公開（公告）號: CN111131143A
• 公開（公告）日: 2020-05-08
• 發明（設計）人: 李東聲
• 申請（專利權）人: 天地融科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發明提供了一種網絡訪問控制方法及裝置、系統，該方法包括：當前外網網卡接收第一訪問指令數據并發送至第一協議解析單元；第一協議解析單元將第一訪問指令數據的數據格式轉換為專用協議后獲得第二訪問指令數據，并傳輸至鑒別單元；鑒別單元對第二訪問指令數據中的鑒別數據進行驗證，通過后將第二訪問指令數據傳輸至數據訪問管控單元；數據訪問管控單元判斷訪問者是否有權限對操作對象執行操作指令指示的操作；如果有，將第二訪問指令數據傳輸至第二協議解析單元；第二協議解析單元將第二訪問指令數據的數據格式轉換為網絡協議獲得第三訪問指令數據，通過內網網卡發送至內網服務器執行相應操作。從而實現內外網的隔離以及保證訪問的安全性。

技術領域

本發明涉及一種電子技術領域，尤其涉及一種網絡訪問控制方法及裝置、系統。

背景技術

在辦公環境的內網中，存在大量的文件數據資源，隨著計算機網絡的不斷普及和發展，網絡攻擊威脅越來越嚴重，面對各種威脅，傳統的網絡抵御技術安全效能正在下降，為確保內網的數據安全，需要在內、外網之間建立一個既符合物理隔離安全要求，又能進行數據交換的解決方案。

發明內容

本發明旨在解決上述問題之一。

本發明的主要目的在于提供一種網絡訪問控制裝置。

本發明的另一目的在于提供一種網絡訪問控制系統。

本發明的另一目的在于提供一種網絡訪問控制方法。

為達到上述目的，本發明的技術方案具體是這樣實現的：

本發明一方面提供了一種網絡訪問控制方法，包括：S1、當前外網網卡接收訪問者終端發送的第一訪問指令數據，并將所述第一訪問指令數據發送至調度單元，其中，所述第一訪問指令數據包括：訪問者身份、操作指令、操作對象和鑒別數據；S2、所述調度單元接收所述第一訪問指令數據，并將所述第一訪問指令數據發送至第一協議解析單元；S3、所述第一協議解析單元接收所述第一訪問指令數據，對所述第一訪問指令數據進行解析獲取所述第一訪問指令數據中的內容，并將所述第一訪問指令數據的網絡協議數據格式轉換為專用協議的數據格式后獲得第二訪問指令數據，其中，所述網絡協議與所述專用協議不同，所述第二訪問指令數據包括所述訪問者身份、所述操作指令、所述操作對象和所述鑒別數據；S4、所述第一協議解析單元將所述第二訪問指令數據傳輸至鑒別單元；S5、所述鑒別單元接收所述第二訪問指令數據，并對所述第二訪問指令數據中的所述鑒別數據進行驗證；S6、在驗證通過后，所述鑒別單元將所述第二訪問指令數據傳輸至數據訪問管控單元；S7、所述數據訪問管控單元接收所述第二訪問指令數據，獲取本地預先設置的訪問標記映射表，根據所述訪問標記映射表以及所述第二訪問指令數據中的所述訪問者身份、所述操作指令和所述操作對象判斷所述訪問者是否有權限對所述操作對象執行所述操作指令指示的操作，其中，所述訪問標記映射表指示不同的訪問者身份對不同的操作對象是否有權限執行相應的操作指令指示的操作；S8、在所述訪問者有權限對所述操作對象執行所述操作指令指示的操作的情況下，所述數據訪問管控單元將所述第二訪問指令數據傳輸至第二協議解析單元；S9、所述第二協議解析單元接收所述第二訪問指令數據，將所述第二訪問指令數據的專用協議的數據格式轉換為網絡協議的數據格式獲得第三訪問指令數據，其中，所述第三訪問指令數據中的元素包括所述訪問者身份、所述操作指令和所述操作對象；S10、所述第二協議解析單元將所述第三訪問指令數據發送至內網網卡；S11、所述內網網卡接收所述第三訪問指令數據，并將所述第三訪問指令數據發送至內網服務器執行所述第三訪問指令數據中的操作指令所指示的操作。

可選的，在所述當前外網網卡接收訪問者終端發送的第一訪問指令數據之前，所述方法還包括：所述調度單元檢測到在先外網網卡受到阻塞式攻擊，按照預設策略從多個外網網卡中選擇所述當前外網網卡，禁用所述在先外網網卡，并切換到所述當前外網網卡，其中，所述在先外網網卡是所述調度單元在所述當前外網網卡之前選擇的外網網卡。