[发明专利]一种互联网用户访问权限的控制方法及系统

权利要求书

1.一种互联网用户访问权限的控制方法，所述方法基于DHCPv6 Option 38来调整互联网用户的访问权限，其特征在于，所述方法包括如下步骤：

S1.用户终端发送DHCPv6请求，中继单元在DHCPv6请求中附加Option 38后中转到DHCPv6服务器；

S2.DHCPv6服务器对Option 38信息与预存的信息进行匹配，如匹配成功，DHCPv6服务器分配一次IPv6地址，用户终端获得第一次IPv6地址；

S3.认证单元对用户终端的认证请求进行认证，如通过认证，用户终端再次发送DHCPv6请求，中继单元对DHCPv6请求附加认证后的Option 38信息中转给DHCPv6服务器；

S4.DHCPv6服务器对Option 38信息与预存的信息进行匹配，如匹配成功，DHCPv6服务器分配二次IPv6地址，用户终端获得第二次IPv6地址；

S5.用户终端根据两次IPv6地址访问网络。

2.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S1中Option 38为缺省设置，包括用户的未认证状态加上接入层交换机的CPU MAC地址。

3.根据权利要求2所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S1中通过中继单元的Snooping模块在DHCPv6请求中附加缺省设置的Option 38。

4.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S1中中继单元接到用户的DHCPv6请求后，在802.1x认证表项里查询DHCPv6请求的源MAC是否通过认证，如果用户未通过认证，中继单元附加未通过认证标识的Option38到DHCPv6请求尾部；如果用户已经通过认证，则附加已认证Option38到DHCPv6请求尾部。

5.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S2中与DHCPv6服务器中预存的信息匹配过程具体为在DHCPv6服务中配置有多个Option 38，每个不同的Option 38内容下配置相应的地址池，如果用户终端的DHCPv6请求中Option 38内容与DHCP服务器上其中一个Option 38匹配，则从相应的地址池中分配IP给DHCPv6请求。

6.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S2中第一次IPv6地址由中继单元对返回的DHCPv6响应剥离并保存其中的Option 38信息然后转发给用户终端。

7.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，步骤S3中认证单元对用户终端的802.1x认证请求进行认证，如通过认证，认证后的Option 38内容由认证服务器通过报文下发给中继单元；用户终端再次发送DHCPv6请求，中继单元的DHCPv6 Snooping模块将保存的认证后的Option 38信息添加到DHCPv6请求的Option 38中。

8.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，步骤S3中用户终端通过认证后，中继单元将第一次IPv6地址和MAC地址绑定在接入交换机端口上，DHCPv6 Snooping模块在获得DHCPv6 REPLY包后更新用户访问所有资源的IPv6地址和ND的ACL表项。

9.根据权利要求1所述的互联网用户访问权限的控制方法，其特征在于，所述步骤S5中用户终端根据两次IPv6地址，通过汇聚层交换机配置的访问权限访问网络，其中，汇聚交换机中利用硬件ACL表项配置两次IPv6地址网段的访问权限。