[发明专利]基于安全组的网络访问控制方法、装置和电子设备

说明书

本发明提供一种基于安全组的网络访问控制方法、装置和电子设备，用于解决较大规模网络中用户权限控制受VLAN个数限制，访问控制的精细度低和灵活性差的技术问题。本发明通过微分段划分安全组的方式，将用户身份与VLAN解耦，用户身份与安全组进行绑定，安全组规模可扩展到4k以上，通过安全组策略可灵活规划安全组之间的网络访问控制策略，且用户IP地址与VLAN解耦，用户网络访问权限由安全组策略进行控制，用户迁移时安全组策略无需变化，从而做到用户迁移时的策略随行，提高了用户网络访问权限管理和控制的精细度、灵活性和管理效率。

技术领域

本发明涉及通信及云计算技术领域，尤其涉及一种基于安全组的网络访问控制方法、装置和电子设备。

背景技术

在传统虚拟局域网(Virtual Local Area Network，VLAN)组网场景下，组网层次一般分别是：核心层、汇聚层、接入层。用户通过接入设备进入VLAN网络中，VLAN网关位于汇聚设备，用户终端配置静态IP地址或者动态主机配置协议DHCP动态分配IP地址，经认证授权计费AAA服务器认证通过后，可访问同一VLAN内的其它资源。如果存在多个VLAN之间需要互访，可以通过动态路由协议将路由打通，此时，用户的接入网络和接入VLAN即代表了用户的权限，通过配置访问控制列表(Access Control List，ACL)规则可以对用户权限进行控制。然而，VLAN的数量有限，最大只支持4K个安全组，无法满足大规模场景下用户对权限的精细划分和权限控制。在一个VLAN网关内上线的用户，身份只能属于当前VLAN，即用户IP和VLAN强耦合，无法灵活地控制用户权限。

发明内容

有鉴于此，本发明提供一种基于安全组的网络访问控制方法、装置和电子设备，用于解决较大规模网络中用户权限控制受VLAN个数限制，访问控制的精细度低和灵活性差的技术问题。

基于本发明实施例的一方面，本发明提供了一种基于安全组的网络访问控制方法，该方法应用于受网管系统管理和控制的网络设备，该方法包括：

接收网管系统发送的用户IP地址与安全组映射关系，将用户IP地址对应的安全组记录到用户的主机路由中；

接收网管系统发送的安全组策略路由PBR，所述PBR包括匹配条件和执行动作字段；

当接收到用户报文时，基于PBR对用户报文进行访问控制；所述访问控制指网络设备通过PBR中的匹配条件匹配用户报文中的源安全组和目的安全组，对命中PBR的报文按PBR指定的执行动作进行控制操作。

进一步地，所述方法还包括：接收网管系统发送的缺省安全组和子网的映射关系；在网络设备未接收到网管系统下发的用户IP地址与安全组的映射关系的情况下，在用户的主机路由中记录该用户所在子网对应的缺少安全组。

进一步地，所述用户IP地址与安全组映射关系包括：同一VLAN内不同用户的IP地址与相同安全组的映射关系和/或同一VLAN内不同用户的IP地址与不同安全组的映射关系。

进一步地，在用户迁移到不同的VLAN且该用户所属安全组不变的情况下，该用户迁入的VLAN内的网络设备基于相同的PBR对用户报文进行访问控制。

基于本发明实施例的另一方面，一种基于安全组的网络访问控制装置，该装置应用于受网管系统管理和控制的网络设备，该装置包括：

映射关系记录模块，用于接收网管系统发送的用户IP地址与安全组映射关系，将用户IP地址对应的安全组记录到用户的主机路由中；

安全组策略模块，用于接收网管系统发送的安全组策略路由PBR，所述PBR包括匹配条件和执行动作字段；

访问控制模块，用于在接收到用户报文时，基于PBR对用户报文进行访问控制；所述访问控制指通过PBR中的匹配条件匹配用户报文中的源安全组和目的安全组，对命中PBR的报文按PBR指定的执行动作进行控制操作。