[發(fā)明專利]一種訪問控制方法與相關(guān)設(shè)備

在審

• 申請(qǐng)?zhí)枺?/td>: 202210086933.1
• 申請(qǐng)日: 2022-01-25
• 公開（公告）號(hào): CN116545637A
• 公開（公告）日: 2023-08-04
• 發(fā)明（設(shè)計(jì)）人: 阮玲宏;焦成偉
• 申請(qǐng)（專利權(quán)）人: 華為技術(shù)有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 北京同達(dá)信恒知識(shí)產(chǎn)權(quán)代理有限公司 11291
• 代理人: 望紫薇

一種訪問控制方法與相關(guān)設(shè)備。方法包括：確定第一清單，所述第一清單中包括第一端口的信息、第二端口的信息以及指示信息，所述指示信息用于指示所述第一端口與所述第二端口之間允許或禁止訪問；其中，所述第一端口和所述第二端口屬于同一網(wǎng)絡(luò)平面，所述同一網(wǎng)絡(luò)平面對(duì)應(yīng)同一種業(yè)務(wù)類型，且所述第一端口和所述第二端口對(duì)應(yīng)所述同一種業(yè)務(wù)類型中的不同業(yè)務(wù)；發(fā)送所述第一清單。通過這種方式，同一個(gè)網(wǎng)絡(luò)平面內(nèi)不同業(yè)務(wù)對(duì)應(yīng)的端口隔離開，這樣即便入侵者進(jìn)入該網(wǎng)絡(luò)平面內(nèi)，也無法輕易訪問所有端口。

技術(shù)領(lǐng)域

本申請(qǐng)涉及通信技術(shù)領(lǐng)域，尤其涉及一種訪問控制方法與相關(guān)設(shè)備。

背景技術(shù)

傳統(tǒng)的電信系統(tǒng)通過各種專用的硬件設(shè)備組成，不同的業(yè)務(wù)采用不同專業(yè)硬件設(shè)備。隨著網(wǎng)絡(luò)規(guī)模的增長(zhǎng)，系統(tǒng)越來越復(fù)雜，帶來了諸多的挑戰(zhàn)，包括新增業(yè)務(wù)的開發(fā)上線、系統(tǒng)的運(yùn)維、資源利用率等。為了應(yīng)對(duì)這些挑戰(zhàn)，傳統(tǒng)電信系統(tǒng)與云計(jì)算結(jié)合，利用網(wǎng)絡(luò)功能虛擬化(Network?Function?Virtualization，NFV)技術(shù)將電信網(wǎng)絡(luò)中各個(gè)網(wǎng)絡(luò)設(shè)備的功能從專用硬件平臺(tái)遷移至通用硬件上，實(shí)現(xiàn)硬件設(shè)備資源池化及虛擬化，使網(wǎng)絡(luò)設(shè)備功能不再依賴于專用硬件，資源可以充分靈活共享。這種傳統(tǒng)電信系統(tǒng)與云計(jì)算的結(jié)合被稱為電信云或電信云架構(gòu)。

電信云架構(gòu)包括一個(gè)或多個(gè)網(wǎng)絡(luò)平面，網(wǎng)絡(luò)平面可以是物理通信平面或者邏輯通信界面，而且，一個(gè)網(wǎng)絡(luò)平面內(nèi)所有端口可達(dá)，即可以相互訪問。這種網(wǎng)絡(luò)平面會(huì)影響網(wǎng)絡(luò)信息的安全性，比如，入侵者一旦進(jìn)入某個(gè)網(wǎng)絡(luò)平面，該網(wǎng)絡(luò)平面內(nèi)的所有端口都可以被入侵者訪問到，安全性較低。

發(fā)明內(nèi)容

本申請(qǐng)?zhí)峁┝艘环N訪問控制方法與相關(guān)設(shè)備，用于提升網(wǎng)絡(luò)訪問的安全性。

第一方面，提供一種訪問控制方法。該方法可以由服務(wù)(Server)端執(zhí)行。示例性的，Server端可以是電信云架構(gòu)中的NFV編排器(NFV?Orchestrator，NFVO)。所述方法包括確定第一清單，所述第一清單中包括第一端口的信息、第二端口的信息以及指示信息，所述指示信息用于指示所述第一端口與所述第二端口之間允許或禁止訪問；其中，所述第一端口和所述第二端口屬于同一網(wǎng)絡(luò)平面，所述同一網(wǎng)絡(luò)平面對(duì)應(yīng)同一類業(yè)務(wù)，且所述第一端口和所述第二端口對(duì)應(yīng)所述同一類業(yè)務(wù)中的不同業(yè)務(wù)；發(fā)送所述第一清單。

需要說明的是，目前，處于同一網(wǎng)絡(luò)平面內(nèi)的端口可達(dá)，即同一個(gè)網(wǎng)絡(luò)平面內(nèi)的所有端口之間可以相互訪問。這樣的話，入侵者一旦進(jìn)入某個(gè)網(wǎng)絡(luò)平面內(nèi)，則該網(wǎng)絡(luò)平面內(nèi)的所有端口都可以被訪問。因此，本申請(qǐng)中，以業(yè)務(wù)為隔離粒度將一個(gè)網(wǎng)絡(luò)平面內(nèi)的不同業(yè)務(wù)之間隔離。這樣的話，入侵者進(jìn)入某個(gè)網(wǎng)絡(luò)平面，無法訪問該網(wǎng)絡(luò)平面內(nèi)的所有端口，比如有些業(yè)務(wù)對(duì)應(yīng)的端口入侵者無法訪問到，如此，可以提升網(wǎng)絡(luò)信息安全性。

在一種可能的設(shè)計(jì)中，所述確定第一清單包括：基于第二清單確定所述第一業(yè)務(wù)和所述第二業(yè)務(wù)之間允許或禁止訪問；其中，所述第二清單中包括允許訪問的業(yè)務(wù)和/或禁止訪問的業(yè)務(wù)；基于資產(chǎn)信息確定所述第一業(yè)務(wù)對(duì)應(yīng)所述第一端口，所述第二業(yè)務(wù)對(duì)應(yīng)所述第二端口，且所述第一端口和所述第二端口處于同一網(wǎng)絡(luò)平面內(nèi)；其中，所述資產(chǎn)信息中包括網(wǎng)絡(luò)平面內(nèi)的所有端口，以及每個(gè)端口對(duì)應(yīng)的業(yè)務(wù)；生成所述第一清單。

也就是說，Server端根據(jù)資產(chǎn)信息和第二清單確定第一清單。其中，資產(chǎn)信息是可以動(dòng)態(tài)變化的，比如，有的端口由上線狀態(tài)變?yōu)橄戮€狀態(tài)，有的端口由下線狀態(tài)變?yōu)樯暇€狀態(tài)；或者，有的端口對(duì)應(yīng)的業(yè)務(wù)由業(yè)務(wù)A轉(zhuǎn)移到業(yè)務(wù)B。第二清單中包括哪些業(yè)務(wù)之間允許訪問。因此，通過資產(chǎn)信息和第二清單確定出的第一清單較為準(zhǔn)確。

在一種可能的設(shè)計(jì)中，所述第二清單是預(yù)配置的。