[发明专利]一种网络访问控制策略管理系统

说明书

本发明提供一种网络访问控制策略管理系统，包括：部署在访问控制设备中的策略辅助服务软件；部署在业务终端的业务终端代理软件；部署在管理员终端的策略审批管理软件；所述访问控制设备、业务终端和管理员终端之间通过网络通信连接。本发明能够基于用户确认和管理员审批，有效地实现访问控制策略的实时、精准、完整地收集，随业务访问需求变化及时、动态调整，以及在网络访问控制点精准地实现。

技术领域

本发明涉及网络访问控制技术领域，具体而言，涉及一种网络访问控制策略管理系统。

背景技术

在一些业务种类多、通信关系复杂的网络环境建设初期，管理员难以快速、精准、完整地收集网络业务访问需求，从而指导网络访问控制策略的配置；即使在获取到网络业务访问需求后，由于访问需求的数据庞大、关系复杂，管理员也难以恰当地给网络中每一个网络访问控制点配置策略；在网络环境运行过程中，网络业务访问需求的变化难以及时反馈给管理员，造成网络业务的访问控制无法实现最小化，出现隐形漏洞。现有的解决方案都无法实时、精准、完整地维护网络访问控制点的访问控制策略。

发明内容

本发明旨在提供一种网络访问控制策略管理系统，以解决现有的解决方案都无法实时、精准、完整地维护网络访问控制点的访问控制策略的问题。

本发明提供的一种网络访问控制策略管理系统，包括：

部署在访问控制设备中的策略辅助服务软件；

部署在业务终端的业务终端代理软件；

部署在管理员终端的策略审批管理软件；

所述访问控制设备、业务终端和管理员终端之间通过网络通信连接。

进一步的，所述网络访问控制策略管理系统的运行流程包括：

S1，业务终端发起访问，生成业务访问IP包，该业务访问IP包通过网络到达访问控制设备；

S2，访问控制设备捕获业务访问IP包，由策略辅助服务软件提取业务访问IP包的信息，并根据提取的信息检查访问控制设备自身的访问控制策略集中是否存在对应的访问控制策略，根据结果选择不同的方式来生成网络访问控制策略辅助请求，并将网络访问控制策略辅助请求封装为IP包，然后将封装的IP包发送给发起访问的业务终端的业务终端代理软件；

S3，业务终端代理软件收到请求IP包后，解析请求IP包获得业务访问IP包的信息并呈现给用户进行确认；用户审查请求业务访问IP包的信息，确认许可或者禁止，其中确认的许可包含有效期信息；业务终端代理软件将业务访问IP包的信息、用户确认结果和有效期信息进行组装，生成策略辅助请求回执，并将策略辅助请求回执封装为回执IP包，再将回执IP包发送给访问控制设备的策略辅助服务软件；

S4策略辅助服务软件收到回执IP包后，将回执IP包以及访问控制设备IP地址转发至策略审批管理软件；

S5，策略审批管理软件收到回执IP包后，解析回执IP包获得业务访问IP包的信息、用户确认结果和有效期信息，并获得访问控制设备IP地址，将业务访问IP包的信息、用户确认结果、有效期信息和访问控制设备IP地址呈现给管理员进行审批，管理员审批完成后，策略审批管理软件将业务访问IP包的信息、用户确认结果和有效期信息进行组装，生成策略执行指令，并将策略执行指令封装为执行IP包，然后将执行IP包发送给访问控制设备的策略辅助服务软件；

S6，策略辅助服务软件收到执行IP包后，解析执行IP包获得业务访问IP包的信息、用户确认结果和有效期信息，并进行如下操作：

(1)若用户确认结果为许可，且访问控制设备自身的访问控制策略集中不存在对应的访问控制策略，则利用业务访问IP包的信息和有效期信息生成访问控制策略，并将生成的访问控制策略添加到访问控制策略集中，并加载生效，放行业务访问IP包；