[發明專利]一種訪問控制方法、裝置及系統

有效

• 申請號: 201911419109.8
• 申請日: 2019-12-31
• 公開（公告）號: CN113132326B
• 公開（公告）日: 2022-08-09
• 發明（設計）人: 黃忠金;梁乾燈
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0893
• 代理公司: 北京中博世達專利商標代理有限公司 11274
• 代理人: 張皎皎

本申請公開了一種訪問控制方法、裝置及系統，涉及通信領域，在端到端VXLAN場景中實現與策略執行點設備規格無關的訪問策略配置，提高組網靈活性。具體方案為：控制點獲取多個組和多份訪問策略的對應關系；確定第一組的用戶通過第一策略執行點接入網絡，其中第一組屬于所述多個組；向第一策略執行點發送與第一組對應的第一訪問策略，第一訪問策略屬于多份訪問策略，第一訪問策略用于確定第一組是否可以被第二組訪問。

技術領域

本申請實施例涉及通信領域，尤其涉及一種訪問控制方法、裝置及系統。

背景技術

在網絡通信中，通常由控制器選擇網絡設備作為策略執行點，向策略執行點部署訪問策略，由策略執行點按照訪問策略對流量報文進行權限和帶寬控制。

訪問策略通常靜態部署，在控制器上統一指定策略執行點，并統一向策略執行點下發全量的訪問策略(網絡中配置的用于訪問控制的大量的訪問測量集合)。大規模的訪問策略對策略執行點的規格要求高，組網上需要把策略執行點規劃在匯聚層或者核心層的設備上。

隨著虛擬擴展局域網(Virtual eXtensible Local Area Network，VXLAN)技術的發展，端到端部署VXLAN(即接入層到核心層建立VLAN隧道)的場景，接入層設備也將作為策略執行點。但是，接入層設備通常都是比較低端的設備(接入交換機，AP等)，難以統一部署大量的策略。

如何在端到端VXLAN場景中實現與策略執行點規格無關的訪問策略配置，成為亟待解決的問題。

發明內容

本申請提供一種訪問控制方法及裝置，在端到端VXLAN場景中實現與策略執行點規格無關的訪問策略配置，提高組網靈活性。

為達到上述目的，本申請實施例采用如下技術方案：

第一方面，本申請提供一種訪問控制方法，該方法可以包括：控制點獲取多個組和多份訪問策略的對應關系；該控制點確定第一組的用戶通過第一策略執行點接入網絡，其中第一組屬于上述多個組；控制點向第一策略執行點發送與第一組對應的第一訪問策略，其中第一訪問策略屬于上述多份訪問策略，第一訪問策略用于確定第一組是否可以被第二組訪問。

通過本申請提供的訪問控制方法，控制點從選取策略執行點在進行策略控制時需用到的訪問策略(該訪問策略用于確定通過該策略執行點接入的網絡的用戶的組是否可以被訪問)發送給策略執行點，實現按需配置，替代了在策略執行點布局全量訪問策略，降低了對策略執行點的規格要求，在端到端VXLAN場景中實現了與策略執行點規格無關的訪問策略配置，提高了組網靈活性。

其中，第一訪問策略是第一組作為目的組對應的訪問策略。第二組可以為一個或多個組。

需要說明的是，控制點可以與其管理的每個策略執行點通過本申請提供的訪問控制方法實現訪問策略配置，本申請僅描述控制點與其管理的一個策略執行點的交互過程，其他不再贅述。

結合第一方面，在一種可能的實現方式中，多個組和多份訪問策略的對應關系中，一個訪問策略有其對應的目的組及源組。本申請中，向策略執行點發送的訪問策略，為通過該策略執行點接入的網絡的用戶的組是否可以被訪問，即通過該策略執行點接入的網絡的用戶的組作為目的組在對應關系中對應的訪問策略。

結合第一方面或上述任一種可能的實現方式，在另一種可能的實現方式中，本申請提供的訪問控制方法還可以包括：控制點向第二策略執行點發送與第一組對應的第二訪問策略，其中第二訪問策略屬于上述多份訪問策略，第二訪問策略用于確定第一組是否可以訪問通過第二策略執行點接入網絡的第三組。實現了對第二訪問策略發送用于確定通過第二策略執行點接入的網絡的用戶的組是否可以被訪問的訪問策略，即通過第二策略執行點接入的網絡的用戶的組作為目的組在對應關系中對應的訪問策略。