[发明专利]一种隔离内外网络的方法、认证服务器及接入交换机

说明书

技术领域

本发明涉及网络访问控制技术领域，具体涉及一种隔离内外网络的方法、认证服务器及接入交换机。

背景技术

随着网络技术和因特网技术的成熟和高速发展，越来越多的企事业单位开始组建网络来实现办公自动化和共享因特网的信息。内部网络(Intranet，本文中简称为内网)相对而言是安全的，既不会受到来自外网(Internet，本文中简称为外网，如互联网)的黑客袭击，也不会泄密。但外网是充斥着不安全的因素：黑客、恶意攻击、病毒等等，时刻威胁着内网的安全。如果用户在使用互联网的同时，需要访问内网，则可能会导致互联网上的不安全因素通过用户的终端(如个人电脑)作为转发桥梁，进入企业内网，直接威胁企业的信息安全。

图1是一种典型的终端连接内外网的结构示意图。如图1所示，终端通过接入交换机连接到内网，具体的，终端是连接到该接入交换机上的一个端口，通过该接入交换机转发来自终端的报文，实现终端与其它设备的通信。图1中，接入交换机还可以通过出口网关连接到外网，如因特网。图1中只示出了一个终端，当然接入交换机下可以接多个终端。在接入交换机和出口网关之间还连接有汇聚交换机。企业用户(终端)同时连接互联网和内网，这可能导致互联网的恶意攻击通过终端转发到内网中的内网服务器，带来安全威胁。

为解决上述安全问题，现有技术的一种解决方案是：为企业建立两套物理隔离的网络，其中一个网络(这里称为第一网络)连接internet，另一个网络(这里称为第二网络)连接企业网络服务器。在每一台需要既访问内网也需要访问外网的终端上，安装双网卡，其中一个网卡连接到上述第一网络，另一网卡连接到上述第二网络。同时安装双网卡隔离软件，该软件用于保证这两个网卡不能同时工作，以此来保证内、外网的物理隔离。

上述解决方案通过将内外网物理隔离，其安全系数高。但是，由于需要分别为内网和外网各建一套网络，且两个网络物理隔离，这导致网络拓扑复杂，网络设备成本加倍，维护工作量加倍，同时由于需要为主机配置能够支持隔离方式的双网卡系统和安装双网卡设备，也会导致终端成本的增加。并且，上述方案还要求在终端上安装双网卡隔离软件，这也增加了用户操作难度和网络管理复杂度。

发明内容

本发明所要解决的技术问题是提供一种隔离内外网络的方法、认证服务器及接入交换机，用以简便、高效地实现内外网隔离并降低实现内外网隔离的成本。

为解决上述技术问题，本发明提供方案如下：

一种隔离内外网络的方法，终端与接入交换机上的第一端口连接，接入交换机连接内网以及通过出口网关连接外网，包括步骤：

S11，所述认证服务器根据所述终端通过所述出口网关发起的访问外网的身份认证请求，对所述终端进行访问外网的身份认证；

S12，在所述终端访问外网的身份认证通过后，所述认证服务器向所述出口网关下发第一策略，以及根据预先保存的所述终端、所述接入交换机和所述第一端口之间的关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第二策略，其中，所述第一策略用于通知所述出口网关允许所述终端和外网进行通信，所述第二策略用于通知所述接入交换机对于所述第一端口接收到的报文只转发其中目的地址为所述出口网关的报文。

上述的方法，其中，在步骤S12之后还包括：

S13，所述认证服务器接收所述终端通过所述出口网关发送的内外网访问切换请求；

S14，所述认证服务器根据所述内外网访问切换请求，向所述出口网关下发第三策略，以及查找所述关联信息，确定所述终端对应的所述接入交换机和所述第一端口，并向所述接入交换机下发针对所述第一端口的第四策略，所述第三策略用于通知所述出口网关阻止所述终端和外网进行通信，所述第四策略用于通知所述接入交换机对于所述第一端口接收到的报文都进行转发。

上述的方法，其中，所述步骤S11之前还包括：

所述认证服务器接收所述终端通过所述接入交换机发送的访问内网的身份认证请求，并接收所述接入交换机发送的所述接入交换机的标识和所述第一端口的端口号信息；

所述认证服务器根据所述访问内网的身份认证请求中携带的终端的用户名和内网访问密码信息对所述终端进行访问内网的身份认证，以及根据所述终端的用户名、所述接入交换机的标识和所述第一端口的端口号信息，建立并保存所述关联信息；

所述认证服务器在所述终端访问内网的身份认证通过后，向所述接入交换机返回指示所述终端通过访问内网的身份认证的第一响应消息。