[发明专利]一种基于VLAN构造的访问控制方法

权利要求书

1.一种基于VLAN构造的访问控制方法，应用于总体系统，其特征在于：所述总体系统包括安全区管理单元、系统管理单元、隔离组管理单元、访问管理单元、端口IP绑定单元；所述安全区管理单元用于根据地理位置或实际区域，划分安全区，将所述交换机设备分配至指定安全区；所述系统管理单元用于根据实际部门分配，创建对应的系统；所述隔离组管理单元用于根据安全区和系统的对应关系，管理和分配隔离组，使得同一个隔离组的成员可以互相访问，不同隔离组之间的成员不能访问，完成访问隔离；所述访问管理单元用于根据配置的隔离组，设置跨隔离组访问的端口成员，完成访问控制；所述端口IP绑定单元用于配置隔离组成员的端口IP绑定，仅允许绑定的IP进行通信，其他的IP无法通信；所述方法包括以下步骤：

S1.进行安全区划分，将整体网络分为若干安全区，同时为安全区分配交换机设备；

S2.在所述交换机设备上，建立物理端口或VLAN的逻辑接口的过滤条件；

S3.改变所述交换机设备接入端口的VLAN的TAG属性和PVID分配的逻辑拓扑结构，对网络和网络逻辑拓扑进行整体规划，具体为：将各安全区、业务、系统等按访问控制的不同访问功能和属性，划分成多个用于访问控制的VLAN，使安全区、业务、系统内所有VLAN间能够互访，安全区中每个VLAN与其它安全区中对应的VLAN按访问控制要求形成新的可互访VLAN组，即访问控制VLAN组；

S4.进行系统设定，划分若干系统；

S5.按系统和安全区建立隔离组，同组内成员能够给互相访问，不同组成员不能够互相访问，具体的，还包括比较各网络交换机端口加入用户组和控制组的数量，若数量一样，检查其加入的用户组和访问控制组是否相同，若相同，为该端口分配同样的VLANID，若不相同，为每个网络通讯端口分配合适的VLANID，并计算出该端口允许通讯的VLAN；

S6.建立跨系统、安全区的访问控制组，下发VLAN配置和允许的VLAN，形成用户所需要的VLAN隔离保护和访问控制逻辑拓扑结构，其本身的VLAN和其可以访问的VLAN，使不同隔离组的成员之间能够互相访问；

S7.对每台所述交换机设备的访问组端口进行IP绑定。

2.根据权利要求1所述的一种基于VLAN构造的访问控制方法，其特征在于：所述S7之后还包括：在多个安全区/业务/系统间建立指定的访问对象，并建立不同安全区之间源和目标的阻断和互通的访问可控制的关系，建立IP的访问控制关系和建立端口的访问控制关系。