[发明专利]一种访问权限管控系统、方法、芯片及电子设备

说明书

本申请公开了一种访问权限管控系统、方法、芯片及电子设备，该系统包括Leaf设备、Spine设备以及SDN控制器，其中，Leaf设备用于接收各个用户端的认证请求，并将所有认证请求转发给SDN控制器；Spine设备用于接收用户端的访问请求中携带的IP地址，并确定IP地址所属的用户组ClassID；并在SDN控制器下发的权限管控策略中，确定出用户组ClassID对应的访问权限，进而对用户端的访问请求进行权限管控。基于以上系统，将认证和策略部署在不同设备上，可以扩大表项容量。同时，针对用户组的权限管控策略，可以实现同一个用户组内的用户端具有相同的访问权限，并且不同用户组内的用户端拥有不同的访问权限。

技术领域

本申请涉及计算机领域，特别是涉及一种访问权限管控系统、方法、芯片及电子设备。

背景技术

随着互联网的快速发展，在企业不同的办公场景中，对员工网络访问过程进行控制的策略各不相同。比如，在自带设备(Bring Your Own Device，BYOD)办公场景中，要求同一个部门所有员工的笔记本或者手机终端，在不同的工位或者会议室能够随时接入网关，并要求同一个部门的所有员工都有相同的访问权限，而不同部门的员工具有不同的访问权限。

现有的网络访问权限管控策略通常采取接入认证方式结合访问控制列表(AccessControl list，ACL)规则来实现，其中，接入认证方式包括web认证和802.1x认证。这种网络访问权限管控策略将认证和访问权限管控策略都部署在同台设备上，存在表项容量限制，无法做到大容量。

发明内容

本申请提供了一种访问权限管控系统、方法、芯片及电子设备，该系统将认证和访问权限管控策略部署在不同设备上，可以扩大表项容量，同时，因为权限管控策略是对用户组的访问权限的控制，而不对组内具体的用户端单独设置访问权限，因此，可以实现在同一个用户组内的所有用户端都具有相同的访问权限，并且不同用户组内的用户端拥有不同的访问权限。

第一方面，本申请提供了一种访问权限管控系统，所述系统包括Leaf设备、Spine设备以及SDN控制器，所述Leaf设备用于接收各个用户端的认证请求，并将所有认证请求转发给所述SDN控制器；接收第一用户端的访问请求，并将所述访问请求中携带的所述第一用户端对应的第一IP地址转发给Spine设备；

所述Spine设备用于接收所述第一IP地址，并确定所述第一IP地址所属的第一用户组ClassID；在所述SDN控制器下发的权限管控策略中，确定出所述第一用户组ClassID对应的第一访问权限；根据所述第一访问权限，对所述第一用户端的所述访问请求进行权限管控。

基于上述系统，因为所述权限管控策略是对用户组的访问权限的控制，而不对组内具体的用户端单独设置访问权限，因此，在同一个用户组内的所有用户端都具有相同的访问权限。进一步，当所述权限管控策略中包含的两个用户组之间的访问权限设定为不相同的情况下，可以实现不同用户组内的用户端拥有不同的访问权限。

同时，由于该系统将认证点部署在Leaf设备上，将访问权限策略管控点部署在Spine设备上，将认证和访问权限管控部署在不同设备上，可以扩大表项容量。

在一种可能的设计中，所述SDN控制器用于获取所述认证请求通过的所有用户端的用户端信息；将所述用户端信息中的全部用户端IP地址及全部用户组名下发到Spine设备，其中，所述用户端信息包括用户组名、用户端IP地址；

所述Spine设备还用于根据各个用户组名分别生成对应的用户组ClassID，并将同一用户组名的IP地址与用户组名对应的用户组ClassID绑定。

基于上述系统，可以实现在策略管控设备上将所有通过认证请求的用户端IP地址与该IP地址所属的用户组ClassID进行关联，以使某一用户端接入访问请求时，通过查询该用户端IP地址，便可找到该用户端所属的用户组ClassID。