[發明專利]用戶的識別方法及裝置、系統

有效

• 申請號: 202011257218.7
• 申請日: 2020-11-10
• 公開（公告）號: CN112468455B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 陳揚;李帥;李家順;張作濤;楊啟軍
• 申請（專利權）人: 山石網科通信技術股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京康信知識產權代理有限責任公司 11240
• 代理人: 董文倩

本申請公開了一種用戶的識別方法及裝置、系統。其中，該方法包括：接收服務器發送的用戶信息，其中，用戶信息至少包括源端口段，源端口段是服務器檢測到登錄事件后為用戶分配的，用戶通過源端口段包括的多個源端口訪問互聯網，登錄事件用于表征用戶成功連接服務器；依據用戶信息確定經過防火墻的流量所對應的用戶。本申請解決了Terminal?Server多用戶辦公環境下用戶上網流量的源IP是相同的，防火墻不能識別特定的用戶，不能只根據流量源IP對每個用戶的流量進行控制的技術問題。

技術領域

本申請涉及通信領域，具體而言，涉及一種用戶的識別方法及裝置、系統。

背景技術

防火墻是網絡安全的基礎設備，無論是在網絡的出口還是網絡內部，都有大量的防火墻設備來保證網絡的安全。

單點登錄(Single?Sign?On，SSO)：是在多個應用系統中，用戶只需要登錄一次就可以訪問所有相互信任的應用系統。它包括可以將這次主要的登錄映射到其他應用中用于同一個用戶的登錄機制。它是目前比較流行的企業業務整合的解決方案之一。

AAA：Authentication(認證)、Authorization(授權)、Accouting(計費)的簡稱，是網絡安全的一種管理機制，提供了認證、授權、計費三種安全功能。AAA一般采用C/S結構，客戶端運行于網絡接入服務器(Network?Access?Server，NAS，如防火墻、路由器等)上，服務器上則集中管理用戶信息。NAS對于用戶來講是服務器端，對服務器來說是客戶端。AAA服務器的三種安全服務功能具體如下：

1)認證：確認遠端訪問用戶的身份，判斷訪問者是否為合法的網絡用戶。確保只有受信的用戶可以訪問網絡資源，同時對用戶行為進行管理和審計。

2)授權：對不同用戶賦予不同的權限，限制用戶可以使用的服務。

3)計費：記錄用戶使用網絡服務中的所有操作，包括使用的服務類型、起始時間、數據流量等，它不僅是一種計費手段，也對網絡安全起到了監視作用。

傳統的網絡設備，管理的基本單位是IP地址，而現代防火墻設備管理的基本單位是用戶，支持基于用戶的流量管理和監控功能。防火墻必須能夠根據流量的某些特征(如IP地址)識別出該流量所屬的用戶。用戶識別是防火墻的基礎功能，可應用于多種場景，如用戶的監控，策略的控制等。為了實現基于用戶的管理，防火墻需要對上網用戶的身份進行AAA認證。AAA認證就是一個將網絡流量的某些特征(如IP地址)與一個具體用戶建立映射關系的過程。防火墻支持的常見認證方式有以下幾種：

1)本地認證：防火墻上預先配置存儲了授權用戶的用戶名和密碼。訪問用戶通過web認證頁面等方式將標識其身份的用戶名和密碼發送給防火墻。防火墻使用本地存儲的用戶名和密碼做比對和驗證。整個認證過程在防火墻上進行，故稱為本地認證。

2)外部認證服務器認證：訪問用戶通過web認證頁面等將標識其身份的用戶名和密碼發送給防火墻。防火墻將接收到的用戶名和密碼發送到第三方認證服務器，驗證過程在外部認證服務器上進行。常見的外部認證服務器有radius服務器、LDAP服務器和AD服務器等。

3)單點登錄認證：訪問用戶將標識其身份的用戶名和密碼發送給第三方認證服務器，認證通過后，第三方認證服務器將標識該認證用戶的身份信息(如IP地址與用戶的映射關系)發送給防火墻。防火墻只負責記錄認證用戶的身份信息而不參與認證過程，該方式即為防火墻的單點登錄認證，典型的單點登錄方式有AD單點登錄等。