[发明专利]网络准入控制方法及系统

权利要求书

1.一种基于数字签名的ARP扩展协议的网络准入控制方法，包括以下步骤：

签发步骤：签名服务器为用户端主机签发数字签名证书；

下发步骤：将所述数字签名证书下发到所述用户端主机；以及

扩展步骤：所述用户端主机使用所述数字签名证书扩展ARP协议进行网络通信。

2.根据权利要求1所述的网络准入控制方法，其中，所述扩展步骤包括：

生成步骤，所述用户端主机生成证书数据库，所述证书数据库用于存储、验证由所述签发服务器签发的所述数字签名证书。

3.根据权利要求2所述的网络准入控制方法，所述扩展步骤还包括：

数据包发送步骤，用于所述用户端主机发送数据包，所述数据包发送步骤包括：

截获步骤，所述证书数据库截获待发送的ARP数据包；

计算步骤，计算ARP数据包签名信息；

填充步骤，当所述ARP数据包签名信息不是扩展ARP数据包时，填充扩展的主机和签名字段，获得扩展ARP数据包；以及

发送步骤，发送所述扩展ARP数据包。

4.根据权利要求2所述的网络准入控制方法，所述扩展步骤还包括：

数据包接收步骤，用于所述用户端主机接收数据包，所述数据包接收步骤包括：

接收步骤，所述用户端主机接收ARP数据包；

第一判断步骤，对接收到的ARP数据包，判断是否是扩展ARP数据包；

验证步骤，当通过所述第一判断步骤中判断出是所述扩展ARP数据包时，由所述证书数据库对数字签名是否合法进行验证；

还原步骤，当通过所述验证步骤验证为合法的数字签名时，将所述扩展ARP数据包还原为标准ARP数据包；以及

交付步骤，将所述标准ARP数据包交付给所述用户端主机。

5.根据权利要求4所述的网络准入控制方法，其中，所述数据包接收步骤还包括：

丢弃步骤，当通过所述验证步骤验证为非法的数字签名时，丢弃所述扩展ARP数据包。

6.根据权利要求3或4所述的网络准入控制方法，其中，所述数据包接收步骤还包括：

第二判断步骤，当通过所述第一判断步骤判断出所述ARP数据包不是扩展ARP数据包时，进一步判断所述ARP数据包是否是网关ARP数据包，当是网关ARP数据包时，进入所述交付步骤，否则进行丢弃。

7.一种基于数字签名的ARP扩展协议的网络准入控制系统，包括：

签发模块：签名服务器为用户端主机签发数字签名证书；

下发模块：将所述数字签名证书下发到所述用户端主机；以及

扩展模块：所述用户端主机使用所述数字签名证书扩展ARP协议进行网络通信。

8.根据权利要求7所述的网络准入控制系统，其中，

生成模块，所述用户端主机生成证书数据库，所述证书数据库用于存储、验证由所述签发服务器签发的所述数字签名证书。

9.根据权利要求8所述的网络准入控制系统，所述扩展模块还包括：

数据包发送模块，用于所述用户端主机发送数据包，所述数据包发送模块包括：

截获模块，所述证书数据库截获待发送的ARP数据包；

计算模块，计算ARP数据包签名信息；

填充模块，当所述ARP数据包签名信息不是扩展ARP数据包时，填充扩展的主机和签名字段，获得扩展ARP数据包；以及

发送模块，发送所述扩展ARP数据包。

10.根据权利要求7所述的网络准入控制系统，所述扩展模块还包括：

数据包接收模块，用于所述用户端主机接收数据包，所述数据包接收模块包括：

接收模块，所述用户端主机接收ARP数据包；

第一判断模块，对接收到的ARP数据包，判断是否是扩展ARP数据包；

验证模块，当通过所述第一判断模块判断出是所述扩展ARP数据包时，由所述证书数据库对数字签名是否合法进行验证；

还原模块，当通过所述验证模块验证为合法的数字签名时，将所述扩展ARP数据包还原为标准ARP数据包；以及

交付模块，将所述标准ARP数据包交付给所述用户端主机。