CN106211161A

CN106211161A - 一种设备反制方法及装置

Info

Publication number: CN106211161A
Application number: CN201610482055.XA
Authority: CN
Inventors: 廖亮; 刘志君
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2016-06-23
Filing date: 2016-06-23
Publication date: 2016-12-07
Anticipated expiration: 2036-06-23
Also published as: CN106211161B

Abstract

本发明实施例公开了一种设备反制方法及装置，应用于接入控制器，该方法包括：监听各个虚拟安全域VSD内的接入点AP反馈的检测报文，根据所述检测报文生成无线设备的设备信息，所述设备信息包括设备参数；根据所配置的反制策略和所述设备信息，从所述无线设备中确定待反制设备；通过执行设备对所述待反制设备进行反制，其中，所述执行设备为基于所述待反制设备的设备参数从大到小排序的前N₁个AP，所述N₁为正整数。应用本发明实施例，提高了设备反制效果。

Description

一种设备反制方法及装置

技术领域

本发明涉及网络安全技术领域，特别涉及一种设备反制方法及装置。

背景技术

如图1所示，WLAN中包括至少一个AC(Access Controller，接入控制器)，每一AC负责管理至少一个VSD(Virtual Security Domain，虚拟安全域)中设备的无线连接，其中，VSD之间可以交叠，每一AC下挂载着至少一个AP(Access Point，接入点)(AP包括：探测AP和普通AP)，AC下挂载的AP分布在各个VSD内，普通AP为客户端提供无线接入服务，探测AP执行对本地VSD内各个设备的检测、反制等任务。

为了保证接入WLAN的客户端的安全，对接入该WLAN的非法AP、非法客户端等非法设备进行反制的过程包括：

1、各个探测AP扫描其射频范围内的无线设备，将扫描到的设备信息上报给与其通信连接的AC；

2、AC接收到无线设备信息后，根据设备信息以及该探测AP所属的VSD1内预设的分类策略，对设备进行分类，生成设备类型信息表；

3、在AC内记录有对应VSD1的反制策略，且该VSD1的设备类型信息表中包括上述反制策略中被反制的设备类型时，向VSD1内的探测AP下发反制列表，假设，该反制列表中包括设备F的信息，则设备F为待反制设备，探测AP对设备F进行反制，切断设备F的无线连接。如果设备F处于VSD1的边缘，且仅VSD1内的配置了对应设备F的反制策略，存在VSD1内的探测AP对该设备F的反制效果较差的问题。

发明内容

本发明实施例公开了一种设备反制方法及装置，以提高设备反制效果。

为达到上述目的，本发明实施例公开了一种设备反制方法，应用于接入控制器，所述方法包括：

监听各个虚拟安全域VSD内的接入点AP反馈的检测报文，根据所述检测报文生成无线设备的设备信息，所述设备信息包括设备参数；

根据所配置的反制策略和所述设备信息，从所述无线设备中确定待反制设备；

通过执行设备对所述待反制设备进行反制，其中，所述执行设备为基于所述待反制设备的设备参数从大到小排序的前N₁个AP，所述N₁为正整数。

在本发明的一种实现方式中，所述设备参数包括：接收信号强度指示器RSSI值和时间参数；

在通过执行设备对所述待反制设备进行反制之前，所述方法还包括：

根据所述待反制设备的设备参数对所述AP进行排序；

根据所述RSSI值的排序结果，从大到小选择出前N₂个AP，所述N₂为正整数；

根据所述时间参数的排序结果，从大到小选择出前N₃个AP，所述N₃为正整数；

从N₂个AP和N₃个AP，确定N₁个AP。

在本发明的一种实现方式中，所述通过执行设备对所述待反制设备进行反制，包括：

向执行设备下发对应所述待反制设备的反制列表；

当下发对应所述待反制设备的反制列表的时长超过第一预设时间时，清除所述执行设备中对应所述待反制设备的反制列表。

在本发明的一种实现方式中，所述向执行设备下发反制列表之后，还包括：

当第二预设时间内未接收到所述执行设备反馈的对应所述待反制设备的检测报文时，清除所述执行设备中对应所述待反制设备的反制列表。

在本发明的一种实现方式中，所述AP包括探测AP和普通AP，其中，所述普通AP的资源占用率低于预设阈值。

本发明还提供了一种设备反制装置，应用于接入控制器，所述装置包括：

监听单元，用于监听各个虚拟安全域VSD内的接入点AP反馈的检测报文，根据所述检测报文生成无线设备的设备信息，所述设备信息包括设备参数；

确定单元，用于根据所配置的反制策略和所述设备信息，从所述无线设备中确定待反制设备；

反制单元，用于通过执行设备对所述待反制设备进行反制，其中，所述执行设备为基于所述待反制设备的设备参数从大到小排序的前N₁个AP，所述N₁为正整数。

所述装置，还包括：

选择单元，用于根据所述待反制设备的设备参数对所述AP进行排序；根据所述RSSI值的排序结果，从大到小选择出前N₂个AP，所述N₂为正整数；根据所述时间参数的排序结果，从大到小选择出前N₃个AP，所述N₃为正整数；从N₂个AP和N₃个AP，确定N₁个AP。

在本发明的一种实现方式中，所述反制单元，包括：

下发模块，用于向执行设备下发对应所述待反制设备的反制列表；

清除模块，用于当下发对应所述待反制设备的反制列表的时长超过第一预设时间时，清除所述执行设备中对应所述待反制设备的反制列表。

在本发明的一种实现方式中，所述清除模块，还用于：

由上可知，本发明实施例中，AC在确定了待反制设备后，根据设备信息，选择出对应该待反制设备的设备参数从大到小排序的前N₁个AP，作为执行设备，通过选出的执行设备对待反制设备进行反制。从整个网络出发考虑执行反制的AP，能够选择出对待反制设备反制效果最好的AP，进而提高了设备反制效果。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为背景技术中一种WLAN网络结构示意图；

图2为本发明实施例提供的一种设备反制方法的流程示意图；

图3为本发明实施例提供的一种WLAN网络结构示意图；

图4为本发明实施例提供的一种设备反制装置的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

下面通过具体实施例，对本发明进行详细说明。

参考图2，图2为本发明实施例提供的一种设备反制方法的流程示意图，该方法应用于接入控制器，包括：

S201：监听各个VSD内的AP反馈的检测报文，根据所述检测报文生成无线设备的设备信息；

这里，检测报文中可以包括：RSSI(Receive Signal Strength Indicator，接收信号强度指示器)和设备标识；根据检测报文生成的设备信息可以包括：RSSI值、时间参数和设备标识等。RSSI值和时间参数等可以统称为设备参数，设备参数可以用于评价AP执行设备反制的效果好坏。

设备标识可以包括：无线设备的MAC(Media Access Control，媒体访问控制)地址、IP(Internet Protocol，网络协议)地址等中的一种或多种。在对无线设备进行反制时，可以根据待反制设备的设备标识，查找到对应的待反制设备，并进行反制。

在本发明的一种实现方式中，各个VSD内的AP可以按照预设时间间隔T₁扫描其射频范围内的无线设备，AP可以每扫描到一个无线设备，就将针对该无线设备的检测报文上报给AC；另外，在扫描到无线设备后，AP还可以按照预设时间间隔T₂，将针对所有扫描到的无线设备的检测报文上报给AC。假设，预设时间间隔T₁为1s，预设时间间隔T₂为10s，AP₁在10:00:01时扫描到了无线设备D₁，那么AP₁可以将针对D₁的检测报文发送给AC，在10:00:02时AP₁扫描到了无线设备D₂，那么AP₁再将针对D₂的检测报文发送给AC，保证了AC能够及时获得无线设备的信息；另外，AP₁也可以每隔1s扫描一次无线设备，若在10:00:01-10:00:10之间扫描到了D₁、D₂和D₃，则可以在10:00:10时将针对D₁、D₂和D₃的检测报文发送给AC，而不是每扫描一次，就上报一次，减少了AP的工作量。

AC接收到AP反馈的针对无线设备的检测报文后，可以结合接收该检测报文的时间生成针对各无线设备的设备信息中。

值得一提的是，上述AP可以是探测AP，在VSD内，探测AP用于检测无线设备，并将针对无线设备的检测报文上报给AC，还可以接收AC下发的反制列表，根据该反制列表对待反制设备进行反制，但探测AP不会进行数据报文的转发。另外，在VSD内的资源剩余较大的情况下，进行数据报文转发的普通AP也可以具有设备反制的功能，也就是，普通AP可以接收AC下发的反制列表，根据该反制列表对待反制设备进行反制，使得普通AP具有探测AP的功能。举例来说，在普通AP的系统资源占用低于预设的资源阈值(例如，普通AP的CPU占用率等)时，判定该普通AP的资源剩余较大，从而通知普通AP也对其所处的VSD内的无线设备进行检测，并定时向AC上报检测报文。AC接到普通AP的检测报文时，处理与探测AP相同，在此不再描述。当普通AP的系统资源占用高于预设的资源阈值时，则通知AP不进行检测和上报。

S202：根据所配置的反制策略和设备信息，从无线设备中确定待反制设备；

在本发明的一种实现方式中，网络中的无线设备包括AP和客户端等，基于所配置的反制策略，待反制设备可以为：外部AP、潜在外部AP、配置错误的AP、潜在授权AP、禁用AP(Rogue AP)、未确定分类的AP、潜在Rogue AP、未授权客户端、关联错误的客户端、未确定分类的客户端中的一种或几种。

AC生成无线设备的设备信息后，会根据根据分类策略对无线设备进行分类，生成设备类型信息表。

AC中还配置有针对每一VSD的反制策略，当AC对无线设备进行分类后，根据所属VSD对应的反制策略，结合无线设备的设备类型信息，确定出待反制设备。

在本发明的一种实现方式中，AC中配置的针对每一VSD的反制策略可以是不同的，根据不同VSD的反制策略，可以确定出不同的待反制设备，如根据配置的针对第一VSD的反制策略，确定无线设备F为待反制设备，但是，当根据配置的针对第二VSD的反制策略时，可以确定无线设备F不是待反制设备。

WLAN(无线局域网)中，各个无线设备具有漫游性质，也就是，当前时刻一个无线设备仅能被VSD₁内的AP检测到，也许下一刻VSD₁不能检测到该无线设备，而VSD₂内的AP能检测到该无线设备，另外，多个VSD可能都检测到了一个无线设备，若根据反制策略，确定该无线设备在至少有两个VSD内是待反制设备，则可以从待反制设备对应的VSD中选择一个VSD，对该无线设备进行反制。如：确定对该待反制设备的RSSI值最大的AP所在的VSD为执行针对该待反制设备的反制策略的VSD。这样，避免多个VSD内同时对该待反制设备进行反制，浪费网络资源。

S203：通过执行设备对待反制设备进行反制。

设备参数中RSSI值和时间参数是用于评价AP执行设备反制的效果好坏的重要参数，RSSI值越大，采用该RSSI值对应AP对无线设备进行反制时的效果越好；当时间参数越大(即，检测的时间越新)，则可以更准确地表示无线设备现阶段所处的位置，从而更好地进行反制。时间参数，可以是AC接收AP反馈的设备信息的时间、AP检测到该设备F的时间等。在实际应用中，可以基于多种设备参数对AP进行排序，也可以仅基于一种设备参数对AP进行排序。

结合设备参数，可以对待反制设备的设备参数从大到小排序，确定出前N₁个AP作为执行设备，也就是，执行设备为基于待反制设备的设备参数从大到小排序的前N₁个AP，这里，N₁为正整数。具体地，确定执行设备的过程可以包括：

S01、根据待反制设备的设备参数对AP进行排序；

具体地，根据RSSI值对AP进行排序，根据时间参数对AP进行排序。

S02、根据RSSI值的排序结果，从大到小选择出前N₂个AP，N₂为正整数；

为了保证对待反制设备进行反制的效果，N₂可以设置为不小于2的值。

假设，N₂为2，AP1对待反制设备的RSSI值为54，AP₂对待反制设备的RSSI值为48，AP₃对待反制设备的RSSI值为64，64>54>48，则可以选择AP1和AP3对待反制设备进行反制。

S03、根据时间参数的排序结果，从大到小选择出前N₃个AP，N₃为正整数；

对待反制设备的RSSI值最大的AP，其获取该待反制设备的信息的时间可能较早，因无线设备具有漫游性质，当前时刻该AP也许不能检测到该待反制设备，或对待反制设备的RSSI值已经减小，此时，为了保证对待反制设备进行反制的效果，N₃可以设置为不小于1的值。

值得一提的是，S1可以在S2前执行，也可以在S2之后执行，也可以与S2同时执行，S1和S2没有固定的执行顺序。N₂个AP和N₃个AP中可能存在相同的AP，如AP₁既是对待反制设备的RSSI值最大的AP，也是最新的时间参数对应的AP，那么，N₂个AP和N₃个中都包含该AP₁。

S04、从N₂个AP和N₃个AP，确定N₁个AP。

具体地，可以从N₂个AP和N₃个AP中随机的选择出N₁个AP；也可以综合RSSI值和时间参数对AP进行排序，从大到小选择出前N₁个AP。N₁、N₂和N₃之间的大小关系要满足N₂+N₃≥N₁。

值得一提的是，N₁个AP中可以包括各个VSD内的AP。

在确定了执行设备后，AC可以向执行设备下发对应待反制设备的反制列表，执行设备根据对应待反制设备的反制列表，对该待反制设备进行反制。

在本发明的一种实现方式中，在AC向执行设备下发对应待反制设备的反制列表之后，若AC还可以接收到针对该待反制设备的检测报文，这可以理解为：对待反制设备的反制一直没有成功，执行设备对该待反制设备的反制效果不佳。

这种情况下，可以在AC上预先设置一个时间(第一预设时间)，若AC下发对应待反制设备的反制列表的时长超过第一预设时间后，AC还能够接收到AP反馈的针对该待反制设备的检测报文，则清除执行设备中对应该待反制设备的反制列表，具体为，

S11、AC向执行设备下发删除指令；

S12、执行设备根据删除指令，删除对应待反制设备的反制列表。

这样，有效地避免了无用的反制列表占用执行设备的存储空间，影响执行设备的工作效率，同时，避免了执行设备根据反制列表持续对待反制设备进行反制，浪费网络资源。

在本发明的一种实现方式中，清除执行设备中对应待反制设备的反制列表之后，可以再次重新确定出新的执行设备，并通过新的执行设备对待反制设备进行反制。

在本发明的另一种实现方式中，还可以在AC上预先设置一个第二预设时间，AC在向执行设备下发对应待反制设备的反制列表之后，若第二预设时间段内没有接收到各个VSD内的AP发送的针对该待反制设备的检测报文，则表明对该待反制设备反制成功，AC可以向执行设备下发删除指令，指示执行设备删除对应该待反制设备的反制列表，避免对应已反制成功的待反制设备的反制列表占用执行设备的存储空间，影响执行设备的工作效率。

下面结合一实例，说明设备反制的过程。

假设，如图3所示，AC负责管理3个VSD，分别为VSD₁、VSD₂和VSD₃，在VSD₁中包括3个探测AP分别为：探测AP₁、探测AP₂和探测AP₃，探测AP₁、探测AP₂和探测AP₃可以检测到4个无线设备D₁、D₂、D₃和D₄，且这4个无线设备均为待反制设备，另外，VSD₂中包括1个探测AP₄，VSD₃中包括1个探测AP₅，AP₄和AP₅均能检测到D₂和D₃，每个探测AP对各个无线设备的RSSI值大小如表1所示。

表1

	探测AP₁	探测AP₂	探测AP₃	探测AP₄	探测AP₅
						D₁	65	34	63	0	0
D₂	55	49	72	75	41
						D₃	68	74	47	59	80
D₄	69	57	32	0	0

AC接收到各个无线设备的检测报文的时间参数(时分秒)大小如表2所示。

表2

	探测AP₁	探测AP₂	探测AP₃	探测AP₄	探测AP₅
						D₁	10:00:07	10:00:01	10:00:04	0	0
D₂	10:00:03	10:00:07	10:00:03	10:00:02	10:00:02
						D₃	10:00:04	10:00:05	10:00:07	10:00:03	10:00:01
D₄	10:00:02	10:00:06	10:00:07	0	0

假设，N₁为3，N₂为2，N₃为1，以D₁为例，根据表1中各个探测AP对D₁的RSSI值，针对D₁，RSSI值的排序结果为：34<63<65，则AP的排序结果为：探测AP₂<探测AP₃<探测AP₁，那么可以选择出2个AP为：探测AP₁和和AP₃；根据表2中各个探测AP对D₁的时间参数，针对D₁，时间参数的排序结果为：10:00:01<10:00:04<10:00:07，则AP的排序结果为：探测AP₂<探测AP₃<探测AP₁，那么可以选择出1个AP为：探测AP₁；因此选择出对D₁进行反制的3个AP(执行设备)为：探测AP₁和探测AP₃。

另外，结合表1中各个探测AP对无线设备的RSSI值和表2中AC接收到各个无线设备的检测报文的时间参数，可以确定：

对D2进行反制的3个AP为：探测AP2、探测AP3和探测AP4；

对D3进行反制的3个AP为：探测AP2、探测AP3和探测AP5；

对D4进行反制的3个AP为：探测AP1、探测AP2和探测AP3。

这种情况下，生成针对各个探测AP的反制列表，反制列表中包括探测AP对各个无线设备的RSSI值的大小，如表3-表7所示。

表3

	探测AP₁
		D1	65
D4	69

表4

	探测AP₂
		D2	49
D3	74
		D4	57

表5

	探测AP₃
		D1	63
D2	72
		D3	47
D4	32

表6

	探测AP₄
		D2	75

表7

	探测AP₅
		D3	80

将各个反制列表下发给对应的探测AP，探测AP根据获得反制列表对待反制设备进行反制。

应用上述各个实施例，AC在确定了待反制设备后，根据设备信息，选择出对应该待反制设备的设备参数从大到小排序的前N₁个AP，作为执行设备，通过选出的执行设备对待反制设备进行反制。从整个网络出发考虑执行反制的AP，能够选择出对待反制设备反制效果最好的AP，进而提高了设备反制效果。

参考图4，图4为本发明实施例提供的一种设备反制装置的结构示意图，应用于AC，该装置包括：

监听单元401，用于监听各个虚拟安全域VSD内的接入点AP反馈的检测报文，根据所述检测报文生成无线设备的设备信息，所述设备信息包括设备参数；

确定单元402，用于根据所配置的反制策略和所述设备信息，从所述无线设备中确定待反制设备；

反制单元403，用于通过执行设备对所述待反制设备进行反制，其中，所述执行设备为基于所述待反制设备的设备参数从大到小排序的前N₁个AP，所述N₁为正整数。

在本发明的一种实现方式中，所述设备参数包括：RSSI值和时间参数；

所述设备反制装置还可以包括：

选择单元(图4中未示出)，用于根据所述待反制设备的设备参数对所述AP进行排序；根据所述RSSI值的排序结果，从大到小选择出前N₂个AP，所述N₂为正整数；根据所述时间参数的排序结果，从大到小选择出前N₃个AP，所述N₃为正整数；从N₂个AP和N₃个AP，确定N₁个AP。

在本发明的一种实现方式中，反制单元403，可以包括：

下发模块(图4中未示出)，用于向执行设备下发对应所述待反制设备的反制列表；

清除模块(图4中未示出)，用于当下发对应所述待反制设备的反制列表的时长超过第一预设时间时，清除所述执行设备中对应所述待反制设备的反制列表。

在本发明的一种实现方式中，上述清除模块，还可以用于：

值得一提的是，上述AP可以包括探测AP和普通AP，其中，所述普通AP的低于预设的资源阈值。

对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个......”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

本领域普通技术人员可以理解实现上述方法实施方式中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，所述的程序可以存储于计算机可读取存储介质中，这里所称得的存储介质，如：ROM/RAM、磁碟、光盘等。

以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims

1.一种设备反制方法，应用于接入控制器，其特征在于，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述设备参数包括：接收信号强度指示器RSSI值和时间参数；

根据所述待反制设备的设备参数对所述AP进行排序；

从N₂个AP和N₃个AP，确定N₁个AP。

3.根据权利要求1所述的方法，其特征在于，所述通过执行设备对所述待反制设备进行反制，包括：

向执行设备下发对应所述待反制设备的反制列表；

4.根据权利要求3所述的方法，其特征在于，所述向执行设备下发反制列表之后，还包括：

5.根据权利要求1-4任一项所述的方法，其特征在于，所述AP包括探测AP和普通AP，其中，所述普通AP的资源占用率低于预设阈值。

6.一种设备反制装置，应用于接入控制器，其特征在于，所述装置包括：

7.根据权利要求6所述的装置，其特征在于，所述设备参数包括：接收信号强度指示器RSSI值和时间参数；

所述装置还包括：

8.根据权利要求6所述的装置，其特征在于，所述反制单元，包括：

9.根据权利要求8所述的装置，其特征在于，所述清除模块，还用于：

10.根据权利要求6-9任一项所述的装置，其特征在于，所述AP包括探测AP和普通AP，其中，所述普通AP的低于预设的资源阈值。