[发明专利]一种安全策略的管理方法和设备

权利要求书

1.一种安全策略的管理方法，该方法应用于包括接入点AP、用户设备和管理服务器的网络中，其特征在于，所述方法包括以下步骤：

所述AP接收来自所述用户设备的链路层发现协议LLDP报文，所述LLDP报文中携带所述用户设备的设备信息；其中，所述用户设备的设备信息包括：用户设备的软件版本、用户设备的硬件版本、用户设备的厂商信息；

所述AP将所述用户设备的设备信息发送给管理服务器，由所述管理服务器利用所述用户设备的设备信息确定所述用户设备是否进行用户角色认证；

所述AP在收到来自管理服务器的用户设备需要进行用户角色认证的通知时，将用户角色认证信息发送给管理服务器，由所述管理服务器利用所述用户设备的设备信息和用户角色认证信息确定所述用户设备的安全策略；

所述AP在收到来自所述管理服务器的所述用户设备的安全策略之后，利用所述用户设备的安全策略对所述用户设备进行安全管理；

其中，当用户设备从其它AP漫游到本AP时，所述AP将所述用户设备的MAC地址和本AP的MAC地址发送给管理服务器；由管理服务器利用所述用户设备的MAC地址查找当前是否存在已经向所述用户设备下发的安全策略；如果是，则由所述管理服务器查找该安全策略中是否包括所述AP的MAC地址；

如果包括所述AP的MAC地址，则所述AP接收来自所述管理服务器的该安全策略，并利用该安全策略对所述用户设备进行安全管理；如果不包括所述AP的MAC地址，则所述AP接收来自所述管理服务器的对所述用户设备进行强制下线的通知，并对所述用户设备进行强制下线处理。

2.如权利要求1所述的方法，其特征在于，所述AP接收来自所述用户设备的链路层发现协议LLDP报文之前，所述方法还包括：

所述用户设备获得本用户设备的设备信息，将本用户设备的设备信息添加到LLDP报文，并将所述LLDP报文封装到802.11报文中，并以关联AP的基本服务集标识BSSID为目的地址向所述AP发送所述802.11报文。

3.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述AP将本AP的介质访问控制MAC地址和所述用户设备申请连接的时间点发送给管理服务器；由所述管理服务器利用所述AP的MAC地址确定所述AP的位置，并利用用户设备的软件版本、用户设备的硬件版本、用户设备的厂商信息、AP的位置、用户设备申请连接的时间点确定所述用户设备是否进行用户角色认证；以及，由所述管理服务器利用用户设备的软件版本、用户设备的硬件版本、用户设备的厂商信息、AP的位置、用户设备申请连接的时间点、用户角色认证信息确定所述用户设备的安全策略。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述AP在收到来自管理服务器的用户设备需要进行用户角色认证的通知之前，所述AP禁止处理来自所述用户设备的LLDP报文之外的其它报文。

5.如权利要求1所述的方法，其特征在于，所述方法还包括：

所述管理服务器在获知向所述用户设备下发的安全策略的生效时间段已过时，通知所述用户设备对应的AP对所述用户设备进行强制下线，并由所述用户设备对应的AP对所述用户设备进行强制下线处理。