[发明专利]一种基于流粒度的访问控制方法

说明书

本发明公开了一种基于流粒度的访问控制方法，其步骤如下：业务流管理模块对数据包进行类型分析，对数据包进行粗粒度和细粒度判断，分别获取数据包的业务类型和数据流类型；队列管理模块将不同类型的数据包放入不同的类型队列中；利用访问控制管理模块建立以流为粒度的访问控制策略；队列管理模块根据访问控制策略对不同的数据包进行队列调度，若访问控制策略为通过，对每个队列进行依次调度；若访问控制策略未通过，将该队列清空。本发明可以对一个业务进行不同的流划分，比如视频流、音频流、文件流、其他等,且针对用户的需求将业务以流为粒度进行访问控制，可以更安全、更灵活的进行数据通信。

技术领域

本发明涉及访问控制的技术领域，具体涉及一种基于流粒度的访问控制方法。

背景技术

目前，各种应用层出不穷，每种应用通常都包含多种业务流类型。对于企业通讯来说，一般都会包含两种业务类型，一种是敏感业务，另一种是非敏感业务。而某些敏感类业务可能只能在某个部门内使用，或者限制在某层楼使用，这就需要在边界网关处能够对应用进行以流为粒度的访问控制，实现灵活高效的业务通信。

申请号为200910106116.2的中国发明专利公开了一种交换机实现全线速调度业务流的方法，调度带有业务标识的业务流生成一个虚队列，然后对没有业务标识的业务流和虚队列进行调度，其提供了一种业务区分服务方案，可以实现不同业务的带宽区分对待，但是并未提供以流为粒度的访问控制方案。

发明内容

为了解决上述技术问题，本发明提供了一种基于流粒度的访问控制方法，能够支持以流为粒度的访问控制。

为了达到上述目的，本发明的技术方案是：一种基于流粒度的访问控制方法，其步骤如下：

步骤1：业务流管理模块对数据包进行类型分析，对数据包进行粗粒度和细粒度判断，分别获取数据包的业务类型和数据流类型；

步骤2：队列管理模块将不同类型的数据包放入不同的类型队列中；

步骤3：利用访问控制管理模块建立以流为粒度的访问控制策略；

步骤4：队列管理模块根据访问控制策略对不同的数据包进行队列调度，若访问控制策略为通过，对每个队列进行依次调度；若访问控制策略未通过，将该队列清空。

所述业务流管理模块用于对数据包进行捕获处理，并按照类型将数据包放入相应的发送队列中；业务流管理模块包括业务流管理单元，用于对数据包进行捕获并分析业务类型。

所述队列管理模块用于根据访问控制策略对不同类型的数据包进行队列调度；队列管理模块包括队列管理单元，用于将不同类型的数据包放入不同的队列，并协同访问控制管理模块进行队列调度。

所述访问控制管理模块用于根据用户需求建立访问控制策略；访问控制管理模块包括访问控制单元，访问控制单元用于根据用户需求对访问控制策略进行更新维护。

所述业务流管理模块以LKM形式加载在操作系统中，业务流管理模块为内核态，可伴随系统自启动；在业务流管理模块中设有基于Netfilter框架下挂载点添加的钩子函数。

所述访问控制策略存储在访问控制策略表，访问控制策略表在内核态下以二维数组的形式存在，行代表业务类型，列代表数据流类型。

所述业务流管理模块获取数据包的业务类型和数据流类型的方法是：利用业务流识别方法对数据包进行业务类型识别，判断数据包所属的业务类型，判断数据包所属数据流类型，每个业务类型建立一个数据包链表，业务类型判断完成的数据包挂载在的链表后面。

所述业务流识别方法包括L7识别法、DPI或DFI。

所述链表结构采用单向链表实现。