[发明专利]一种端点准入防御中的报文控制方法及接入设备

权利要求书

1.一种端点准入防御中的报文控制方法，其特征在于，包括如下步骤：

在出端口上下发隔离类访问控制列表ACL和安全类ACL，所述隔离类 ACL的匹配规则为：判断上行报文是否携带第一标记，以及，该上行报文的 目的地址是否为允许的目的地址；所述安全类ACL的匹配规则为：判断上行 报文是否携带第二标记，以及，该上行报文的目的地址是否为允许的目的地址；

在入端口上为未通过安全状态认证的用户终端下发第一类型ACL，为通 过安全状态认证的用户终端下发第二类型ACL，所述第一类型ACL和第二类 型ACL的匹配规则为：判断上行报文的源地址是否为允许的源地址；

对在入端口接收到的匹配第一类型ACL的上行报文设置第一标记后转发 到出端口，对在入端口接收到的匹配第二类型ACL的上行报文设置第二标记 后转发到出端口；

在出端口对匹配所述隔离类ACL或者所述安全类ACL的上行报文进行转 发。

2.如权利要求1所述的报文控制方法，其特征在于：

所述第一标记和第二标记为报文的差分服务代码点DSCP中的优先级，或 者，为报文的802.1P协议头中的优先级。

3.如权利要求1所述的报文控制方法，其特征在于：

所述第一标记和第二标记为在报文头中增加的字段的值；

所述方法还包括：在对匹配所述隔离类ACL或者所述安全类ACL的上行 报文进行转发之前，删除该上行报文中的所述增加的字段。

4.如权利要求1所述的报文控制方法，其特征在于：

所述源地址为用户终端的MAC地址。

5.一种端点准入防御中的报文控制方法，其特征在于，包括如下步骤：

在接入设备的上游设备的入端口上下发隔离类ACL和安全类ACL，所述 隔离类ACL的匹配规则为：判断上行报文是否携带第一标记，以及，该上行 报文的目的地址是否为允许的目的地址；所述安全类ACL的匹配规则为：判 断上行报文是否携带第二标记，以及，该上行报文的目的地址是否为允许的目 的地址；

在接入设备的入端口上为未通过安全状态认证的用户终端下发第一类型 ACL，为通过安全状态认证的用户终端下发第二类型ACL，所述第一类型ACL 和第二类型ACL的匹配规则为：判断上行报文的源地址是否为允许的源地址；

接入设备对在入端口接收到的匹配第一类型ACL的上行报文设置第一标 记后转发到出端口，对在入端口接收到的匹配第二类型ACL的上行报文设置 第二标记后转发到出端口，并在出端口对设置了第一、二标记的上行报文进行 转发；

上游设备对接收到的匹配所述隔离类ACL或者所述安全类ACL的上行报 文进行转发。

6.一种端点准入防御中的接入设备，其特征在于，包括：

第一ACL下发模块，用于在出端口上下发隔离类ACL和安全类ACL， 所述隔离类ACL的匹配规则为：判断上行报文是否携带第一标记，以及，该 上行报文的目的地址是否为允许的目的地址；所述安全类ACL的匹配规则为： 判断上行报文是否携带第二标记，以及，该上行报文的目的地址是否为允许的 目的地址；

第二ACL下发模块，用于在入端口上为未通过安全状态认证的用户终端 下发第一类型ACL，为通过安全状态认证的用户终端下发第二类型ACL，所 述第一类型ACL的匹配规则为：判断上行报文的源地址是否为允许的源地址； 所述第二类型ACL的匹配规则为：判断上行报文的源地址是否为允许的源地 址；

第二ACL处理模块，用于对在入端口接收到的匹配第一类型ACL的上行 报文设置第一标记后转发到出端口，对在入端口接收到的匹配第二类型ACL 的上行报文设置第二标记后转发到出端口；

第一ACL处理模块，用于在出端口对匹配所述隔离类ACL或者所述安全 类ACL的上行报文进行转发。

7.如权利要求6所述的接入设备，其特征在于：

所述第一标记和第二标记为报文的差分服务代码点DSCP中的优先级，或 者，为报文的802.1P协议头中的优先级。