CN101827366A - 无线网络用户隔离方法、单元及设备 - Google Patents

Abstract

本发明提供一种无线网络用户隔离方法、单元及设备，其中方法包括：接收到无线数据包后，从转发结果中获取转发信息；当判断出启用接入点用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；当判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。本发明通过基于转发信息，如六元组信息，判断目的接口是否属于同一个接入点实现了AP用户隔离，不需要利用VLAN隔离功能及三层认证，因此，既可以用于二层交换过程，也可以用于三层路由过程，操作实施简便。并且，该方法对原有的数据存储结构、数据交换和转发性能基本没有影响。

Description

无线网络用户隔离方法、单元及设备

技术领域

本发明涉及无线网络安全技术领域，尤其涉及一种无线网络用户隔离方法、单元及设备。

背景技术

在现有的无线网络，如无线局域网(Wireless Local Area Network，简称：WLAN)中，由于无线用户的流动性和不确定性，需要对用户之间的互访进行隔离。用户隔离包括同一个接入点(Access Point，简称：AP)下的用户隔离和同一个接入控制器(Access Controller，简称：AC)下的用户隔离。现有技术中实现用户隔离的方式主要有以下三种：

方式1：同一AP内部采用媒体访问控制(Media Access Controlling，简称：MAC)层的互访控制原理隔离用户，确保同一AP下的不同用户之间不能二层相通；

方式2：不同AP之间采用MAC地址访问控制或组网汇聚设备二层隔离技术，如虚拟局域网(Virtual Local Area Network，简称：VLAN)等进行隔离，以保证不同AP下的用户不能直接相通；

方式3：AC通过用户访问控制列表(Access Control List，简称：ACL)的三层互控访问，使所有用户只有通过AC认证后才能进行三层受控互通。

但是，现有的用户隔离技术中，有的仅限于MAC地址控制，有的则需要利用VLAN隔离功能及三层认证，操作实施复杂。

发明内容

本发明提供一种无线网络用户隔离方法、单元及设备，用以简便地实现无线网络用户隔离。

本发明一实施例提供一种无线网络用户隔离方法，其中包括：

接收到无线数据包后，从转发结果中获取转发信息；

当判断出启用接入点用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；

当判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。

本发明另一实施例提供一种无线网络用户隔离控制单元，其中包括：

信息获取模块，用于当接收到无线数据包后，从转发结果中获取转发信息；

第一判断模块，用于判断是否启用接入点用户隔离；

第二判断模块，用于当第一判断模块判断出启用接入点用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；

数据包处理模块，用于当第二判断模块判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。

本发明再一实施例提供一种接入点设备，其中包括：上述无线网络用户隔离控制单元。

本发明又一实施例提供一种接入控制器设备，其中包括：上述无线网络用户隔离控制单元。

本发明通过基于转发信息，如六元组信息，判断目的接口是否属于同一个接入点实现了AP用户隔离，不需要利用VLAN隔离功能及三层认证，因此，既可以用于二层交换过程，也可以用于三层路由过程，操作实施简便。并且，该方法对原有的数据存储结构、数据交换和转发性能基本没有影响。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所述无线网络用户隔离方法实施例一的流程图；

图2为本发明所述无线网络用户隔离方法实施例二的流程图；

图3为本发明所述无线网络用户隔离方法实施例三的流程图；

图4为本发明所述无线网络用户隔离方法实施例四的流程图；

图5为本发明所述无线网络用户隔离单元实施例一的结构示意图；

图6为本发明所述无线网络用户隔离单元实施例二的结构示意图；

图7为本发明所述无线网络用户隔离单元实施例三的结构示意图；

图8为本发明所述无线网络用户隔离单元实施例四的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明所述无线网络用户隔离方法实施例一的流程图，如图所示，该方法包括如下步骤：

步骤100，接收到无线数据包后，从转发结果中获取转发信息。

其中，所述转发结果可以是二层交换过程中的转发结果或三层路由过程中的转发结果。所述转发信息具体可以为六元组信息，包括：源WLAN标识、目的WLAN标识、源MAC地址、目的MAC地址、源接口及目的接口；或者也可包括：源VLAN标识、目的VLAN标识、源MAC地址、目的MAC地址、源接口及目的接口。

其中，WLAN标识和VLAN标识与服务组合识别码(Service SetIdentifier，简称：SSID)通常是一一对应的关系，即知道WLAN标识、VLAN标识或SSID之一就可以推知其他两项。

步骤200，判断是否启用AP用户隔离，当启用AP用户隔离时，执行步骤300。

其中，AP用户隔离是指在一个AP上实现无线网络用户的隔离，是否启用AP用户隔离根据用户的配置信息进行判断，例如命令行界面(CommandLine Interface，简称：CLI)和WEB配置等。具体地，对于胖(Fat)AP架构，该判断过程只能在AP上实现；对于瘦(Fit)AP架构，该判断过程既可以在AP上实现，也可以在AC上实现。

另外，如果不启用AP用户隔离，则可以直接传输处理所述无线数据包，具体可参见以下有关步骤320的说明；或者也可以继续判断是否启用AC用户隔离，具体可参见以下有关步骤400的说明。

步骤300，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点，若属于，则执行步骤301，否则执行步骤320。

其中，由于AP用于将接收到的无线数据包从一个接口转发到另一个接口，因此，所述源接口必然属于接收该无线数据包的AP，而目的接口是否也属于该AP则需要通过本步骤进行判断；所述同一个接入点是指接收到所述无线数据包的AP。具体地，可以通过接口属性进行判断，胖AP架构和瘦AP架构均适用。

此处所述判断源接口和目的接口是否属于同一个AP与现有技术通过MAC地址表来判断源接口和目的接口是否相同不一样，现有技术是是基于二层转发技术查找接口，而本实施例所述方法是基于转发信息，如六元组信息，因此既可以用于二层交换过程，也可以用于三层路由过程。

步骤301，丢弃所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口属于同一个接入点，则需要进行AP用户隔离，因此丢弃该无线数据包。

步骤320，传输处理所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口不属于同一个接入点，则无需进行AP用户隔离，而继续执行正常的传输处理过程，例如，以根据实际应用的配置，将该无线数据包传给其他AP，或者传给AC或者直接传给当前AP下的无线用户等。

本实施例所述方法通过判断目的接口是否属于同一个接入点实现了AP用户隔离，不需要利用VLAN隔离功能及三层认证，因此，操作实施简便。并且，该方法对原有的数据存储结构、数据交换和转发性能基本没有影响。

另外，该方法既可以应用于胖AP架构，又可以应用于瘦AP架构，且对于瘦AP架构，该方法可以共用一套软件代码，既可以在AP端实施，也可以在AC端实施，甚至可以AP端及AC两端实施，因此具有较高的灵活性。

图2为本发明所述无线网络用户隔离方法实施例二的流程图，本实施例在上述方法实施例一的步骤200之后包括如下步骤：

步骤250，判断所述转发信息中携带的源网络标识与目的网络标识是否相同，若相同，则执行步骤300，否则执行步骤320。

其中，所述源网络标识及所述目的网络标识分别为源WLAN标识和目的WLAN标识，或者分别为源VLAN标识和目的VLAN标识。相同的WLAN标识表示同一个WLAN网络，不同的WLAN标识表示不同的WLAN网络；类似地，相同的VLAN标识表示同一个VLAN网络，不同的VLAN标识表示不同的VLAN网络。

步骤300，判断所述转发信息中携带的源接口和目的接口是否属于同一个AP，若属于，则执行步骤301，否则执行步骤320。

当判断出源网络标识与目的网络标识相同时，尚不能完全确定需要进行AP用户隔离，因此，还需进行本步骤中的判断。

步骤301，当判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口属于同一个接入点，则需要进行AP用户隔离，因此丢弃该无线数据包。

步骤320，传输处理所述无线数据包。

当判断出源网络标识与目的网络标识不相同时，则表明AP接收到的该无线数据包要转发给处于不同网络的AP或AC，而肯定不是转发给本AP，因此无需进行AP用户隔离，只需继续执行正常的传输处理过程。本实施例所述在判断源接口和目的接口是否属于同一个接入点之前先判断源网络标识与目的网络标识是否相同，当判断出源网络标识与目的网络标识不相同时，则表明无需进行AP用户隔离，因此可以不再继续执行判断源接口和目的接口是否属于同一个接入点的步骤。由于判断接口归属的过程比判断标识是否相同的过程更为复杂，因此，通过减少针对接口归属的判断操作，有利于进一步提高AP用户隔离过程的便利性。

图3为本发明所述无线网络用户隔离方法实施例三的流程图，如图所示，包括如下步骤：

步骤100，接收到无线数据包后，从转发结果中获取转发信息。

步骤200，判断是否启用AP用户隔离，当启用AP用户隔离时，执行步骤300，否则，当不启用AP用户隔离时，则执行步骤400。

此处需要说明的是，步骤300及其后各步骤均与上述方法实施例一或二中的内容相同，此处不再赘述，另外，由于篇幅所限，图3中也不再重复绘制步骤300及其后各步骤。

步骤400，判断是否启用AC用户隔离，若启用，则执行步骤410，否则执行步骤320。

其中，AC用户隔离是指在一个AC上实现无线网络用户的隔离，由于胖AP架构中不存在独立的AC设备，因此，本实施例实际上仅适用于瘦AP架构的情形。对于瘦AP架构，该判断过程既可以在AP上实现，也可以在AC上实现。另外，是否启用AC用户隔离需根据用户的配置信息进行判断，例如CLI和WEB配置等。

步骤410，判断所述转发信息中携带的源接口和目的接口是否属于同一个AC，若属于，则执行步骤411，否则执行步骤320。

其中，由于AC用于从AP接收无线数据包，并将接收到的该无线数据包从一个接口转发到另一个接口，因此，所述源接口必然属于接收该无线数据包的AC，而目的接口是否也属于该AC则需要通过本步骤进行判断；所述同一个AC是指接收到所述无线数据包的AC。具体地，可以通过接口属性进行判断，且仅适用于瘦AP架构。

步骤411，丢弃所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口属于同一个AC，则需要进行AC用户隔离，因此丢弃该无线数据包。

步骤320，传输处理所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口不属于同一个AC，则无需进行AC用户隔离，而继续执行正常的传输处理过程。

本实施例所述方法针对瘦AP架构通过判断目的接口是否属于同一个AC实现了AC用户隔离，不需要利用VLAN隔离功能及三层认证，因此，操作实施简便。并且，该方法对原有的数据存储结构、数据交换和转发性能基本没有影响。

图4为本发明所述无线网络用户隔离方法实施例四的流程图，本实施例在上述方法实施例三的步骤400之后包括如下步骤：

步骤405，判断所述转发信息中携带的源网络标识与目的网络标识是否相同，若相同，则执行步骤410，否则执行步骤320。

其中，所述源网络标识及所述目的网络标识分别为源WLAN标识和目的WLAN标识，或者分别为源VLAN标识和目的VLAN标识。相同的WLAN标识表示同一个WLAN网络，不同的WLAN标识表示不同的WLAN网络；类似地，相同的VLAN标识表示同一个VLAN网络，不同的VLAN标识表示不同的VLAN网络。

步骤410，判断所述转发信息中携带的源接口和目的接口是否属于同一个AC，若属于，则执行步骤411，否则执行步骤320。

当判断出源网络标识与目的网络标识相同时，尚不能完全确定需要进行AP用户隔离，因此，还需进行本步骤中的判断。

步骤411，丢弃所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口属于同一个AC，则需要进行AC用户隔离，因此丢弃该无线数据包。

步骤320，传输处理所述无线数据包。

如果判断所述转发信息中携带的源接口和目的接口不属于同一个AC，则无需进行AC用户隔离，而继续执行正常的传输处理过程。

本实施例所述方法在判断源接口和目的接口是否属于同一个AC之前先判断源网络标识与目的网络标识是否相同，当判断出源网络标识与目的网络标识不相同时，则表明无需进行AC用户隔离，因此可以不再继续执行判断源接口和目的接口是否属于同一个AC的步骤。由于判断接口归属的过程比判断标识是否相同的过程更为复杂，因此，通过减少针对接口归属的判断操作，有利于进一步提高AC用户隔离过程的便利性。

图5为本发明所述无线网络用户隔离控制单元实施例一的结构示意图，如图所示，该无线网络用户隔离控制单元10包括：信息获取模块11、第一判断模块12、第二判断模块13及数据包处理模块14，其工作原理如下：

无线网络用户隔离控制单元10接收到无线数据包后，由信息获取模块11从转发结果中获取转发信息，其中，所述转发结果可以是二层交换过程中的转发结果或三层路由过程中的转发结果，所述转发信息具体可以为六元组信息等；

第一判断模块12判断是否启用接入点用户隔离，具体地，可以根据用户的配置信息进行判断；第一判断模块12判断出启用AP用户隔离时，由第二判断模块13判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；当第二判断模块13判断出所述的源接口和目的接口属于同一个接入点时，由数据包处理模块14丢弃所述无线数据包。

本实施例所述单元通过判断目的接口是否属于同一个接入点实现了AP用户隔离，不需要利用VLAN隔离功能及三层认证，因此，操作实施简便。并且，对原有的数据存储结构、数据交换和转发性能基本没有影响。

图6为本发明所述无线网络用户隔离控制单元实施例二的结构示意图，如图所示，该无线网络用户隔离控制单元10进一步包括第三判断模块15，其工作原理如下：

上述信息获取模块11从转发结果中获取转发信息之后，先由第三判断模块15判断信息获取模块11获取的所述转发信息中携带的源网络标识与目的网络标识是否相同，其中，所述源网络标识及所述目的网络标识分别为源WLAN标识和目的WLAN标识，或者分别为源VLAN标识和目的VLAN标识；

此后，当第三判断模块15判断出所述源网络标识与目的网络标识相同时，由所述第二判断模块13判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点。

本实施例所述单元通过增加第三判断模块15，在第二判断模块13判断源接口和目的接口是否属于同一个接入点之前先判断源网络标识与目的网络标识是否相同，当判断出源网络标识与目的网络标识不相同时，则表明无需进行AP用户隔离，因此可以不再继续执行判断源接口和目的接口是否属于同一个接入点的步骤。由于判断接口归属的过程比判断标识是否相同的过程更为复杂，因此，通过减少针对接口归属的判断操作，有利于进一步提高AP用户隔离过程的便利性。

另外需要说明的，上述实施例一及实施例二中所述的无线网络用户隔离控制单元10既可以设置于胖AP架构的AP设备中，或者也可以设置于瘦AP架构中的AP设备和/或AC设备中，且AP设备和AC设备可以共用一套软件代码，因此具有较高的灵活性。

图7为本发明所述无线网络用户隔离控制单元实施例三的结构示意图，如图所示，该无线网络用户隔离控制单元10在上述实施例一或实施例二的基础上进一步包括第四判断模块16和第五判断模块17，其工作原理如下：

当第一判断模块12判断出不启用接入点用户隔离时，第四判断模块16进一步判断是否启用接入控制器用户隔离，具体地，可以根据用户的配置信息进行判断，例如CLI和WEB配置等；当第四判断模块16判断出启用接入控制器用户隔离时，由第五判断模块17判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器；当第五判断模块17判断出所述的源接口和目的接口属于同一个接入控制器时，由数据包处理模块14丢弃所述无线数据包。

本实施例所述单元针对瘦AP架构通过判断目的接口是否属于同一个AC实现了AC用户隔离，不需要利用VLAN隔离功能及三层认证，因此，操作实施简便。并且，对原有的数据存储结构、数据交换和转发性能基本没有影响。

图8为本发明所述无线网络用户隔离控制单元实施例四的结构示意图，如图所示，该无线网络用户隔离控制单元10在上述实施例三的基础上进一步包括第六判断模块18和第五判断模块17，其工作原理如下：

当第四判断模块16判断出启用接入控制器用户隔离时，先由第六判断模块18判断所述转发信息中携带的源网络标识与目的网络标识是否相同；此后，当第六判断模块18判断出所述源网络标识与目的网络标识相同时，再由所述第五判断模块17判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器。

本实施例所述单元通过进一步设置第六判断模块18，在由第五判断模块17判断源接口和目的接口是否属于同一个AC之前先判断源网络标识与目的网络标识是否相同，当判断出源网络标识与目的网络标识不相同时，则表明无需进行AC用户隔离，因此可以不再继续执行判断源接口和目的接口是否属于同一个AC的步骤。由于判断接口归属的过程比判断标识是否相同的过程更为复杂，因此，通过减少针对接口归属的判断操作，有利于进一步提高AC用户隔离过程的便利性。

其中，AC用户隔离是指在一个AC上实现无线网络用户的隔离，由于胖AP架构中不存在独立的AC设备，因此，本实施例所述无线网络用户隔离控制单元10仅适于设置于瘦AP架构中的AP设备和/或AC设备中。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (11)

1.一种无线网络用户隔离方法，其特征在于，包括：

接收到无线数据包后，从转发结果中获取转发信息；

当判断出启用接入点用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；

当判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。

2.根据权利要求1所述的方法，其特征在于，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点之前还包括：

判断所述转发信息中携带的源网络标识与目的网络标识是否相同；

当判断出所述源网络标识与目的网络标识相同时，执行所述判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点的步骤。

3.根据权利要求2所述的方法，其特征在于，还包括：

当判断出不启用接入点用户隔离时，判断是否启用接入控制器用户隔离；

当判断出启用接入控制器用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器；

当判断出所述的源接口和目的接口属于同一个接入控制器时，丢弃所述无线数据包。

4.根据权利要求3所述的方法，其特征在于，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器之前还包括：

判断所述转发信息中携带的源网络标识与目的网络标识是否相同；

当判断出所述源网络标识与目的网络标识相同时，执行所述判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器的步骤。

5.根据权利要求2～4中任一所述的方法，其特征在于：所述源网络标识及所述目的网络标识分别为源WLAN标识和目的WLAN标识，或者分别为源VLAN标识和目的VLAN标识。

6.一种无线网络用户隔离控制单元，其特征在于，包括：

信息获取模块，用于当接收到无线数据包后，从转发结果中获取转发信息；

第一判断模块，用于判断是否启用接入点用户隔离；

第二判断模块，用于当第一判断模块判断出启用接入点用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点；

数据包处理模块，用于当第二判断模块判断出所述的源接口和目的接口属于同一个接入点时，丢弃所述无线数据包。

7.根据权利要求6所述的无线网络用户隔离控制单元，其特征在于，还包括：

第三判断模块，用于判断信息获取模块获取的所述转发信息中携带的源网络标识与目的网络标识是否相同；

所述第二判断模块还用于当第三判断模块判断出所述源网络标识与目的网络标识相同时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入点。

8.根据权利要求6或7所述的无线网络用户隔离控制单元，其特征在于，还包括：

第四判断模块，用于当第一判断模块判断出不启用接入点用户隔离时，判断是否启用接入控制器用户隔离；

第五判断模块，用于当第四判断模块判断出启用接入控制器用户隔离时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器；

所述数据包处理模块还用于当第五判断模块判断出所述的源接口和目的接口属于同一个接入控制器时，丢弃所述无线数据包。

9.根据权利要求8所述的无线网络用户隔离控制单元，其特征在于，还包括：

第六判断模块，用于判断所述转发信息中携带的源网络标识与目的网络标识是否相同；

所述第五判断模块还用于当第六判断模块判断出所述源网络标识与目的网络标识相同时，判断所述转发信息中携带的源接口和目的接口是否属于同一个接入控制器。

10.一种接入点设备，其特征在于，包括：权利要求6～9中任一所述的无线网络用户隔离控制单元。

11.一种接入控制器设备，其特征在于包括：权利要求6～9中任一所述的无线网络用户隔离控制单元。

Images