[发明专利]资源访问控制方法及装置

说明书

本申请提出资源访问控制方法及装置。方法包括：接入设备在硬件存储器中记录终端公共表项的属性到允许终端用户访问的公共资源的映射关系；接入设备接收终端发来的资源访问请求，在硬件存储器中查找到该终端对应的终端公共表项，根据终端公共表项的属性到允许终端用户访问的公共资源的映射关系，确定允许该终端用户访问的公共资源；接入设备判断资源访问请求要访问的公共资源是否包含在所确定的允许该终端用户访问的公共资源中，若是，将资源访问请求转发出去；否则，丢弃资源访问请求。本申请只需使用较少的硬件存储资源，就可实现对主机的资源访问控制。

技术领域

本申请涉及访问控制技术领域，尤其涉及资源访问控制方法及装置。

背景技术

图1为终端接入网络的典型应用示意图，其中，AAA(Authentication、Authorization and Accounting，认证、授权和计费)服务器为终端提供：认证、授权及计费服务。终端被AAA服务器认证授权后，相关授权信息由AAA服务器通过网管协议通知接入交换机或无线路由器，最终由接入交换机或无线路由器控制终端允许访问的公共资源。

在未被认证前，终端只能访问免费的服务器群组，认证后可访问收费服务器群组和因特网。根据用户付费情况不同，其允许访问的资源群组也不同。

接入交换机或无线路由器对终端访问资源的控制一般通过ACL(Access ControlList，访问控制列表)实现。每个终端的每个授权均需使用一条ACL表项，来控制终端是否允许访问某资源群组。每条ACL表项由条件和执行动作两部分组成，其中，条件一般为：匹配接入终端的SIP(Source Internet Protocol，源IP)地址，执行动作为：允许访问某一资源群组，该资源群组通常以其所在网段表示。

ACL一般存放在TCAM(Ternary Content Addressable Memory，三态内容寻址存储器)中。由于TCAM的价格比较昂贵，接入交换机或无线路由器的TCAM规格比较小，其上只能存储很少ACL表项，而当接入交换机或无线路由器下挂的终端的数量较多，或者每个终端允许访问的公共资源数目较多时，就会导致ACL表项的数目较多，从而导致TCAM的容量无法满足要求，也就是说，使用TCAM来存储ACL表项，无法满足大量的或精细化的主机访问控制需求。

发明内容

本申请实施例提供资源访问控制方法及装置。

本申请的技术方案是这样实现的：

一种资源访问控制方法，该方法包括：

接入设备在硬件存储器中记录终端公共表项的属性到允许终端用户访问的公共资源的映射关系；

接入设备接收终端发来的资源访问请求，在硬件存储器中查找到所述终端对应的终端公共表项，根据所述终端公共表项的属性到允许终端用户访问的公共资源的映射关系，确定允许终端用户访问的公共资源；

接入设备判断所述资源访问请求要访问的公共资源是否包含在所确定的允许终端用户访问的公共资源中，若是，将所述资源访问请求转发出去；否则，丢弃所述资源访问请求。

一种资源访问控制装置，位于接入设备上，该装置包括：

存储处理模块：在硬件存储器中记录终端公共表项的属性到允许终端用户访问的公共资源的映射关系；

访问控制模块：接收终端发来的资源访问请求，在硬件存储器中查找到所述终端对应的终端公共表项，根据所述终端公共表项的属性到允许终端用户访问的公共资源的映射关系，确定允许终端用户访问的公共资源；判断所述资源访问请求要访问的公共资源是否包含在所确定的允许终端用户访问的公共资源中，若是，将所述资源访问请求转发出去；否则，丢弃所述资源访问请求。

可见，本申请实施例中，只需使用很少的硬件存储资源，即可实现对主机访问资源的控制。