[发明专利]网络访问控制的实现方法及装置

权利要求书

1.一种网络访问控制的实现方法，其特征在于，所述方法应用于汇聚交换机；其中，汇聚交换机通过overlay技术在汇聚交换机之间、汇聚交换机与核心交换机之间建立可扩展虚拟局域网络的VXLAN隧道，所述方法包括：

接收软件定义网络SDN控制器通过EVPN机制下发的用户组信息，其中，所述用户组信息中包括：用户组以及对应的VLAN、VXLAN和网段；

在本设备上配置用户组对应的VLAN、VXLAN以及网段，建立所述VLAN、VXLAN以及网段之间的对应关系，并配置所述网段的网关的IP地址和MAC地址；

在本设备上配置与用户组相关的访问控制列表ACL规则，所述ACL规则中包括：属于同一用户组中的、被禁止进行用户间互相访问的用户报文的源IP地址所属的第一网段和目的IP地址所属的第二网段；

接收到接入交换机发来的与用户组相关的用户报文之后，将所述用户报文的源IP地址与所述ACL规则中的所述第一网段进行匹配，并将所述用户报文的目的IP地址与所述ACL规则中的所述第二网段进行匹配；其中，所述用户报文的源IP地址为与该用户所属用户组绑定的VLAN所对应的网段中的IP地址；

若均匹配，则确定属于同一用户组中的多个用户将进行用户间相互访问，丢弃所述用户报文，以禁止属于同一用户组中的多个用户进行用户相互访问。

2.根据权利要求1所述的方法，其特征在于，将所述用户报文的源IP地址与所述ACL规则中的所述第一网段进行匹配，并将所述用户报文的目的IP地址与所述ACL规则中的所述第二网段进行匹配之后，还包括：

若所述用户报文的源IP地址与所述第一网段不匹配，和/或，所述用户报文的目的IP地址与所述第二网段不匹配，则根据所述目的IP地址在路由表中查找对应的出接口；

若查找到的出接口为本设备的下行端口，则通过查找到的下行端口转发所述用户报文；

若查找到的出接口为VXLAN隧道接口，则查找与所述用户报文中封装的VLAN对应的VXLAN，并对所述用户报文进行VXLAN封装后进行转发。

3.根据权利要求1所述的方法，其特征在于，在接收到接入交换机发来的用户报文之前，还包括：

在接收到所述接入交换机发来的所述用户的地址解析协议ARP请求报文之后，确定对应的网关，其中，所述ARP请求报文是所述用户向目标IP地址发送用户报文之前发出的，当所述目标IP地址与所述ARP请求报文的源IP地址属于同一网段时，所述ARP请求报文的目的IP地址为所述目标IP地址，当所述目标IP地址与所述ARP请求报文的源IP地址属于不同网段时，所述ARP请求报文的目的IP地址为所述源IP地址所属网段的网关IP地址；

若所述ARP请求报文的目的IP地址是该网关的IP地址，则将该网关的MAC地址携带在ARP应答报文中发送给所述接入交换机，若所述ARP请求报文的目的IP地址不是该网关的IP地址，则在该网关配置了ARP代理功能时，将该网关的MAC地址携带在ARP应答报文中发送给所述接入交换机，以使所述用户接收到所述接入交换机转发来的所述ARP应答报文之后，建立所述目标IP地址与该网关的MAC地址的对应关系，向所述接入交换机发送目的IP地址为所述目标IP地址、目的MAC地址是该网关的MAC地址的所述用户报文。

4.根据权利要求3所述的方法，其特征在于，所述确定对应的网关包括：

根据所述ARP请求报文中封装的VLAN，确定该VLAN对应的网段的网关；

或者，根据所述ARP请求报文的源IP地址，确定该源IP地址所属网段的网关。