[发明专利]一种跨多级网络边界的网络资源访问接入控制方法

说明书

技术领域

本发明涉及一种跨多级网络边界的网络资源访问接入控制方法，特别是涉及一种适用于在WebNat服务技术和PKI身份认证体系的基础上，跨多级网络边界的网络资源访问安全接入控制方法。

背景技术

WebNat服务主要作用在于告知未认证的应用客户端跳转到Web认证服务完成与接入控制网关的双向身份鉴别。

身份认证技术是鉴别用户身份，提取用户身份标识的一种安全技术，是进行权限控制的前提。

接入控制技术是用于控制用户访问行为的一种安全手段。跨网接入控制中所有数据都经过接入控制网关，由接入控制网关根据认证通过用户的IP以及相应的访问控制列表对流入内网的数据进行控制。即该接入控制方法通过断路访问控制的方式保护需要加固的应用服务。用户只有通过接入控制网关的身份认证以及相应的授权才能访问受保护的应用服务。

发明内容

本发明要解决的技术问题是提供一种将接入控制网关服务器部署在两个或者多个网络域的边界，用于对用户从一个网络域访问另一个网络域的行为进行控制的，跨多级网络边界的网络资源访问安全接入控制方法。

基于PKI体系的身份认证可以作为第三方公共授权机构，使通信双方能够确认彼此身份和验证交互信息。基于该体系的公钥技术，结合其他加密技术，可以开发出适用于网络应用安全新需求的双强因子认证策略，有效地保证数字签名和数字信封的数据完整性、数据保密性和交易不可否认性。

本发明采用的技术方案如下： 一种跨多级网络边界的网络资源访问接入控制方法，具体方法步骤为：步骤一、客户端访问内网服务时，接入控制网关检测其是否带有有效的已认证通过信息，有则进入步骤三，无则进入步骤二向客户端发起认证请求，要求客户端进行认证；步骤二，客户端从USBKEY中读取用户的公钥证书链和签名，提交给接入控制网关，发起连接认证请求；三，接入控制网关的认证模块验证请求的合法性后，验证用户签名的真实性；

还包括，客户端对接入控制网关进行身份验证。

作为优选，所述步骤二中，客户端的认证方法步骤为：A、客户端向服务器发起认证请求；B、服务器下发随机数对客户端产生挑战；C、客户端收到随机数，并用自身私钥对服务挑战进行签名，并连带自身证书发给服务器；D、服务器收到客户端签名数据和证书，并对证书进行有效验证；E、服务器从有效证书中获取用户公钥，验证用户签名，以确定用户身份。

作为优选，所述方法还包括：采用路由或网桥模式进行网络部署。

作为优选，所述方法还包括：对终端用户和计算机之间进行终端绑定。

作为优选，所述方法还包括：采用WebNat服务对http协议重定向。

作为优选，所述方法还包括：在接入控制网关内设置防火墙模块。

作为优选，所述方法还包括：认证通过后，系统利用用户的IP地址以及基于角色的访问控制策略完成对用户要访问的目标地址、网段服务的访问权限的细粒度控制。

作为优选，所述方法还包括：在认证阶段，用户所有操作都在接入控制网关数据库中形成审计日志。

与现有技术相比，本发明的有益效果是：利用WebNat服务技术实现了终端用户认证行为的自动触发以及终端用户访问远端服务应用通信路由的透明性。依照常规C/S模式，系统由接入控制网关服务器和接入认证客户端软件组成，有效实现了跨多级网络域进行资源访问的用户和设备的身份鉴别，彻底解决了跨多级网络域边界的接入安全性问题。

附图说明

图1为本发明其中一实施例的网关服务器层次示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

本说明书（包括任何附加权利要求、摘要和附图）中公开的任一特征，除非特别叙述，均可被其他等效或者具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

如图1所示，接入控制网关服务器分为三个层次：最上层应用服务层（串口服务、证书认证服务、WebNat服务、Web认证服务等），中间内部服务层（管理服务、加密设备服务、策略控制模块），最底层基础服务（数据库与加密设备），三层之间下层为上层提供相应的服务。