[发明专利]一种在通信网络系统中进行分散式安全控制的方法和装置

权利要求书

1.一种在集中式无线网络中进行分散式安全控制的方法， 通信网络包括接入控制器和一个或多个无线终止设备，以及一个 或多个用户终端，其特征在于，包括如下步骤：

c.所述接入控制器通过侦听DHCP服务器发送给所述用户 终端的DHCP ACK消息获得一个或多个预定的网络层地址和数 据链路层地址的地址对组合来创建网络安全控制机制，所述网络 安全控制机制用于在所述一个或多个无线终止设备上对来自所 述用户终端的数据包进行合法性检查；

d.所述接入控制器通过CAPWAP协议消息将所述网络安全 控制机制发送给一个或多个无线终止设备；

e.所述无线终止设备从来自所述用户终端的数据包中获取 所述数据包的源网络层地址和源数据链路层地址的地址对组合， 并确定所述数据包的源网络层地址和源数据链路层地址的地址 对组合是否为所述一个或多个预定的网络层地址和数据链路层 地址的地址对组合中的一个，如果不是，则丢弃所述数据包。

2.一种在集中式无线网络的接入控制器中用于引导通信网 络系统中的一个或多个无线终止设备进行分散式安全控制的方 法，所述通信网络系统还包括一个或多个用户终端，其特征在于， 包括如下步骤：

m.所述接入控制器通过侦听DHCP服务器发送给所述用户 终端的DHCP ACK消息获得一个或多个预定的网络层地址和数 据链路层地址的地址对组合来创建网络安全控制机制，所述网络 安全控制机制用于在所述一个或多个无线终止设备上对来自所 述用户终端的数据包进行合法性检查；

n.所述接入控制器通过CAPWAP协议消息将所述网络安全 控制机制发送给一个或多个无线终止设备。

3.一种在集中式无线网络的无线终止设备中进行分散式安 全控制的方法，其中，通信网络还包括接入控制器和一个或多个 所述无线终止设备，以及一个或多个用户终端，其特征在于，包 括如下步骤：

s.接收来自所述接入控制器的CAPWAP协议消息，其中所 述CAPWAP协议消息包括网络安全控制机制；

t.所述无线终止设备从来自所述用户终端的数据包中获取 所述数据包的源网络层地址和源数据链路层地址的地址对组合， 并确定所述数据包的源网络层地址和源数据链路层地址的地址 对组合是否为一个或多个预定的网络层地址和数据链路层地址 的地址对组合中的一个，如果不是，则丢弃所述数据包。

4.一种在集中式无线网络的接入控制器中用于引导通信网 络系统中的一个或多个无线终止设备进行分散式安全控制的装 置，所述通信网络系统还包括一个或多个用户终端，其特征在于， 包括：

-创建装置，用于通过侦听DHCP服务器发送给所述用户终 端的DHCP ACK消息获得一个或多个预定的网络层地址和数据 链路层地址的地址对组合来创建网络安全控制机制，所述网络安 全控制机制用于在所述一个或多个无线终止设备上对来自所述 用户终端的数据包进行合法性检查；

-配置装置，用于通过CAPWAP协议消息将所述网络安全 控制机制发送给所述一个或多个无线终止设备。

5.一种在集中式无线网络的无线终止设备中进行分散式安 全控制的装置，其中，通信网络还包括接入控制器和一个或多个 所述无线终止设备，以及一个或多个用户终端，其特征在于，包 括：

-配置装置，用于接收来自所述接入控制器的CAPWAP协 议消息，其中所述CAPWAP协议消息包括网络安全控制机制；

-检查装置，用于从来自所述用户终端的数据包中获取所述 数据包的源网络层地址和源数据链路层地址的地址对组合，并确 定所述数据包的源网络层地址和源数据链路层地址的地址对组 合是否为一个或多个预定的网络层地址和数据链路层地址的地 址对组合中的一个，如果不是，则丢弃所述数据包。