[发明专利]一种隔离内外网络的方法、认证服务器及接入交换机

权利要求书

1.一种隔离内外网络的方法，终端与接入交换机上的第一端口连接，接入交换机连接内网以及通过出口网关连接外网，其特征在于，包括步骤：

S11，所述认证服务器根据所述终端通过所述出口网关发起的访问外网的身份认证请求，对所述终端进行访问外网的身份认证；

S12，在所述终端访问外网的身份认证通过后，所述认证服务器向所述出口网关下发第一策略，以及根据预先保存的所述终端、所述接入交换机和所述第一端口之间的关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第二策略，其中，所述第一策略用于通知所述出口网关允许所述终端和外网进行通信，所述第二策略用于通知所述接入交换机对于所述第一端口接收到的报文只转发其中目的地址为所述出口网关的报文。

2.如权利要求1所述的方法，其特征在于，在步骤S12之后还包括：

S13，所述认证服务器接收所述终端通过所述出口网关发送的内外网访问切换请求；

S14，所述认证服务器根据所述内外网访问切换请求，向所述出口网关下发第三策略，以及查找所述关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第四策略，所述第三策略用于通知所述出口网关阻止所述终端和外网进行通信，所述第四策略用于通知所述接入交换机对于所述第一端口接收到的报文都进行转发。

3.如权利要求1所述的方法，其特征在于，所述步骤S11之前还包括：

所述认证服务器接收所述终端通过所述接入交换机发送的访问内网的身份认证请求，并接收所述接入交换机发送的所述接入交换机的标识和所述第一端口的端口号信息；

所述认证服务器根据所述访问内网的身份认证请求中携带的终端的用户名和内网访问密码信息对所述终端进行访问内网的身份认证，以及根据所述终端的用户名、所述接入交换机的标识和所述第一端口的端口号信息，建立并保存所述关联信息；

所述认证服务器在所述终端访问内网的身份认证通过后，向所述接入交换机返回指示所述终端通过访问内网的身份认证的第一响应消息。

4.如权利要求3所述的方法，其特征在于，

所述步骤S11中，所述认证服务器进一步根据所述访问外网的身份认证请求中携带的所述终端的用户名和外网访问密码信息，进行所述访问外网的身份认征。

5.如权利要求4所述的方法，其特征在于，所述访问内网的身份认证请求是802.1x认证请求，所述访问外网的身份认证请求是门户Portal认证请求。

6.一种隔离内外网络的方法，终端与接入交换机上的第一端口连接，接入交换机连接内网以及通过出口网关连接外网，其特征在于，包括步骤：

S21，在所述终端访问外网时，所述接入交换机对于所述第一端口接收到的报文只转发其中目的地址为所述出口网关的报文，所述出口网关允许所述终端和外网进行通信；

S22，当所述终端需要访问内网时，所述认证服务器接收所述终端通过所述出口网关发送的内外网访问切换请求，

S23，所述认证服务器根据所述内外网访问切换请求，向所述出口网关下发第三策略，以及查找预先保存的所述终端、所述接入交换机和所述第一端口之间的关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第四策略，所述第三策略用于通知所述出口网关阻止所述终端和外网进行通信，所述第四策略用于通知所述接入交换机对于所述第一端口接收到的报文都进行转发。

7.如权利要求6所述的方法，其特征在于，在步骤S23之后还包括：

S24，所述认证服务器接收所述终端通过所述出口网关发起的访问外网的身份认证请求，对所述终端进行访问外网的身份认证；

S25，在所述终端访问外网的身份认证通过后，所述认证服务器向所述出口网关下发第一策略，以及根据所述关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第二策略，其中，所述第一策略用于通知所述出口网关允许所述终端和外网进行通信，所述第二策略用于通知所述接入交换机对于所述第一端口接收到的报文只转发其中目的地址为所述出口网关的报文。