CN101267339A - 用户管理方法和装置 - Google Patents

Abstract

本发明涉及通信领域，尤其涉及一种用户管理方法和装置，其中用户管理方法包括步骤：对用户进行身份认证；身份认证为合法后，业务路由器对用户的管理权限认证；管理权限认证通过后，根据所述用户的管理权限对业务进行配置管理。与现有技术相比，采用本发明实施方式提供的技术方案，通过适当的授权给下级用户，可以降低运维成本，提高效率和问题的及时解决，提升客户满意度。

Description

用户管理方法和装置

技术领域

本发明涉及通信领域，尤其涉及一种用户管理方法和装置。

背景技术

目前，业务路由器(Service Router，SR)的用户侧通常会接入大量的网吧用户、企业用户，但是从同一端口接入的多个网吧用户，容易出现ARP(Address Resolution Protocol，地址解析协议报文)冲突和恶意仿冒，导致正常用户无法上网。而企业的二层网络在接入到业务路由器时，需要经常调整ACL(access control list，访问控制列表)，来限制企业内用户的访问权限；或需要调整某些用户的带宽和优先级，使得关键业务得到服务保证。这些工作，都需要网吧管理员、企业网管理员等向运营商提出申请，然后经过大量流程审核才可能得到实施。实际运维过程中，这种情况的处理时间较长，这导致了较低的效率和较高的成本。

现在技术中提出了VR(Vertual Router，虚拟路由器)的概念，即在真实的路由器上划分一部分资源，形成一个虚拟的路由器，租赁给最终用户。最终用户拥有这个虚拟路由器的管理权限，进行配置或组网，来满足实际业务开展的需要。但是采用VR的做法比较复杂，实际的应用场景也受到局限。

发明内容

本发明的实施方式提供一种用户管理方法和装置，以解决现有技术网络运维成本高、效率低下的问题。

本发明解决上述技术问题的一个实施方式是：提供一种用户管理方法，包括步骤：对用户进行身份认证；身份认证为合法后，业务路由器对用户的管理权限认证；管理权限认证通过后，根据所述用户的管理权限对业务进行配置管理。

本发明解决上述技术问题的另一个实施方式是：提供一种用户管理装置，包括管理权限认证模块，在用户的身份合法性认证通过后，所述管理权限认证模块，用于认证用户的管理权限；用户的管理权限认证通过后，进行管理配置或修改。

优选地，所述管理权限认证模块包括：ACL配置权限判定模块、ARP配置权限判定模块和QoS配置权限判定模块中的一个或多个，其中，所述ACL配置权限判定模块、所述ARP配置权限判定模块和所述QoS配置权限判定模块根据需要来分别或单独确定用户是否有足够的ACL配置权限、ARP配置权限和QoS配置权限，认证通过后才能进行相关的配置。

与现有技术相比，采用本发明实施方式提供的技术方案，通过适当的授权给下级用户，可以降低运维成本，提高效率和问题的及时解决，提升客户满意度。

附图说明

图1为本发明实施例的用户管理方法流程图；

图2为本发明实施例的用户管理方法举例流程图；

图3为本发明实施例的用户管理装置的结构框图。

具体实施方式

以下结合具体实施方式来说明本发明的实现过程。

本发明的发明人在研究相关技术的过程中发现，现有技术的低效率、高成本，虽然有管理制度的因素，但根本原因还是由于现有的业务路由器没有提供一个行之有效的授权用户实行自我管理的功能。

在业务路由器SR上实现资源、特性的授权管理：运营商或上级资源供应商在业务路由器SR上将各种IP资源、接口、带宽资源等进行分类配置，并进行权限配置，之后运营商把IP资源、接口、带宽资源租售给网吧用户和企业用户的同时，向网吧管理员、企业网管理员分配受限用户名和密码，每个受限用户名被分配一定的管理权限，该管理权限预先设置，可以通过签约或者协议确定，比如为某个公司分配特定的IP地址段、接口、带宽资源，该公司可以在该分配的资源范围内进行管理设置，超出分配范围的部分则没有权限进行配置和管理设置。

管理员使用受限用户名和密码登陆SR后，经过鉴权，该管理员可以对所属的IP、接口、带宽做设置，如配置静态ARP防止ARP仿冒；配置与所属IP相关的ACL来控制用户的访问权限；配置所属IP中某些IP对应的优先级和带宽，来保证服务质量。本发明实施例的用户管理方法流程图如图1所示，该方法包括：

S1、对用户进行身份合法性认证，可以通过用户输入的用户名和密码来进行身份认证，确定该用户是否有权进行以后的管理配置操作。该认证可以在业务路由器SR上实现，也可以在专门的认证服务器，比如AAA服务器(Authentication，Authorization，Accounting Server，认证、鉴权和计费服务器)或RADIUS服务器(Remote Authentication Dial In User Service，远程用户拨号认证系统)上实现。认证通过后，允许其进入S2的认证过程。认证方式也可以不采用用户名和密码的形式，而采用其他形式，比如通过有管理权限的用户的IP地址认证，或通过有管理权限的用户的MAC地址认证确认登录者的身份，或在网段内设定某网址属于合法的有管理权限的用户的地址等。

S2、对用户的ARP配置权限、ACL配置权限和QoS配置权限等管理权限进行认证

S2的认证，进一步确定有配置权限的用户是否有ARP配置权限、ACL配置权限和QoS配置权限中的一个或多个权限，以及确定有配置ARP配置权限、ACL配置权限和QoS配置权限的阈值，这些阈值由运营商或上级网络资源提供商预先设置。

S3、前述S2的认证通过后，用户即可根据其预先从运营商或上级网络资源提供商处获取的相应权限，在该权限范围内进行ARP、ACL和QoS配置中的一种或多种进行配置。

由于静态ARP、ACL属于整台业务路由器SR的资源，所以对于不同的管理员，应该有配置数目上的限制。

举例：用户从运营商租赁了一个100M的接口(Ethernet 0/1)和255个IP地址(211.10.10.0/24)，运营商给用户分配了一个受限用户名和密码(用户名：abc密码：123)，可以登陆到SR配置静态ARP 100个，ACL规则50个，QoS策略10个。具体管理过程如图2所示。

用户登录业务路由器的界面，输入受限用户名abc和对应的密码123，以寻求认证授权；

业务路由器SR根据用户输入的受限用户名和密码，进行管理权限授权认证；如果认证失败，则向用户返回错误提示信息，表明用户名或密码不正确或无效；如果认证成功，则该用户可以继续进行其他认证，包括ARP、ACL、QoS等的配置权限认证。

(1)ARP配置权限认证

判断用户配置的静态ARP的IP地址是否属于预先分配给该用户的网址所在的211.10.10.0/24网段，如果该用户的配置的静态ARP的IP地址不属于预先分配给该用户的网址所在的211.10.10.0/24网段，则意味着执行失败，返回错误提示信息a；如果该用户的配置的静态ARP的IP地址属于预先分配给该用户的网址所在的211.10.10.0/24网段，则继续判断用户配置静态ARP的数目是否小于等于100，也就是运营商给该用户提供的ARP配置权限阈值，如果该用户配置静态ARP的数目已经大于100，则拒绝其继续配置增加新的静态ARP，增加新的静态ARP执行失败，返回错误提示信息d，但是，此时，用户仍然可以在该阈值权限范围内配置改变原有的静态ARP配置，比如删除或修改原先配置的静态ARP；如果该用户配置静态ARP的数目小于等于100，则增加静态ARP配置执行成功，配置新增的静态ARP生效。

(2)ACL配置权限认证

判断用户配置的ACL的源IP地址或目的IP地址是否属于预先分配给该用户的网址所在的211.10.10.0/24网段，如果该用户配置的ACL的源IP地址或目的IP地址不属于预先分配给该用户的网址所在的211.10.10.0/24网段，则意味着配置ACL执行失败，返回错误提示信息b；如果该用户配置的ACL的源IP地址或目的IP地址属于预先分配给该用户的网址所在的211.10.10.0/24网段，则继续判断用户配置ACL规则的数目是否小于等于50，也就是运营商给该用户提供的ACL规则配置权限阈值，如果该用户配置ACL规则的数目已经大于50，则拒绝其继续配置增加新的ACL规则，配置增加新的ACL规则执行失败，返回错误提示信息e，但是，此时用户仍然可以在其阈值权限范围内，配置改变原有的ACL规则，比如修改或删除某些原有的ACL规则；如果该用户配置ACL规则的数目小于等于50，则新增ACL规则配置执行成功，配置的新增ACL规则生效。

(3)QoS配置权限认证

判断用户配置的QoS带宽保证的总带宽是否小于等于100M，如果用户配置的QoS带宽保证的总带宽大于100M，则意味着用户配置QoS带宽执行失败，返回错误提示信息c；如果用户配置的QoS带宽保证的总带宽小于等于100M，则继续判断用户配置QoS策略的数目是否小于等于10，也就是运营商给该用户提供的QoS策略配置数目阈值，如果该用户配置QoS策略的数目已经大于10，则拒绝其继续新增QoS策略配置，用户的新增QoS策略配置执行失败，返回错误提示信息f，但是，此时，此时用户仍然可以在其阈值权限范围内，配置改变原有的QoS策略，比如修改或删除某些原有的QoS策略；如果该用户配置QoS策略的数目小于等于10，则QoS策略配置执行成功，配置新增的QoS策略生效。

以上ARP、ACL、QoS等的配置权限认证均在用户授权认证之后进行，但是三者可以同时进行，也可以先后完成；或者根据需要只完成部分认证，比如，仅仅需要ACL配置权限认证，以确定该用户是否有权限配置或修改现有的某些ACL表项。

进一步地，在某项配置的阈值已满的情况下，在有相应管理权限的用户登入后，可以设置直接向该用户提示不可进行某项或某些业务的新增配置，以便有管理权限的用户登录后，可以直接在自己的操作权限范围内进行操作。

如果有优先级比较高的任务需完成，但是相应的管理权限的阈值已满，可以删除部分已设置的对象，从而满足该优先级较高的任务；也就是，有管理权限的用户可以对已配置的内容的管理。

本发明实施方式的用户管理方法，通过适当的授权给下级用户，可以降低运维成本，提高效率和问题的及时解决，提升客户满意度。

本发明的另一实施方式还提供一种用户管理装置，该装置包括管理权限认证模块，在用户的身份合法性认证通过后，所述管理权限认证模块，用于认证用户的管理权限；用户通过管理权限认证后，可以在其管理权限范围内执行管理配置或修改或删除的操作。

如图3所示，该用户管理装置具体可以包括ACL配置权限判定模块、ARP配置权限判定模块和QoS配置权限判定模块；其中，ACL配置权限判定模块、ARP配置权限判定模块和QoS配置权限判定模块分别确定用户的ACL配置权限、ARP配置权限和QoS配置权限范围和阈值，认证通过后才能进行相应的配置。比如，用户要进行新增静态ARP的配置，必须在该新增静态ARP的配置完成后，不超出其阈值权限，比如，如果该用户的权限是只能配置100条静态ARP，则一旦其已经配置了100条静态ARP，就不能再配置增加新的静态ARP，但是该用户可以对原先配置的静态ARP执行修改或删除的配置。类似地，对QoS策略和ACL规则的配置也是如此。

ACL配置权限判定模块、ARP配置权限判定模块和QoS配置权限判定模块的判定过程，可以同时进行，也可以先后以任何顺序完成，或者根据需要只完成部分认证，比如，仅仅需要ACL配置权限认证，以确定该用户是否有权限配置或修改或删除现有的某些ACL表项。

为了确保用户管理权限的安全性，该用户管理装置还可以包括鉴权模块，用于根据用户输入的用户名和密码，确定该用户是否有权进行以后的管理配置操作。当然，该认证也可以在其他设备，比如AAA服务器或RADIUS上完成。该鉴权模块可以位于业务路由器上，也可以位于其他网络设备上。

本发明实施方式的用户管理装置，通过适当的授权给下级用户，可以降低运维成本，提高效率和问题的及时解决，提升客户满意度。

本发明实施方式的用户管理方法和装置，可以用存储在机器可读介质上的软件程序来实现。即本发明实施方式还提供一种机器可读存储介质，该机器可读存储介质上存储有执行用户管理方法的程序，该方法包括以下步骤：对用户进行身份认证；身份认证为合法后，业务路由器对用户的管理权限认证；管理权限认证通过后，根据所述用户的管理权限对业务进行配置管理。

所述对用户进行身份认证方式包括：通过验证用户输入的用户名和密码来完成的、通过有管理权限的用户的IP地址认证、或通过有管理权限的用户的MAC地址认证确认登录者的身份，或在网段内设定某网址属于合法的有管理权限的用户的地址。

所述对用户的管理权限认证包括对用户管理的具体业务种类的管理权限认证和/或对该具体业务种类的管理权限阈值的认证。

所述的用户的管理的具体业务种类包括ARP配置、ACL配置和QoS配置中的一种或多种。

所述的对ARP配置权限的认证包括：确定用户配置的静态ARP的IP地址是否属于预先分配给该用户的网址所在的网段，如果是，则为合法。在确定用户配置的静态ARP的IP地址属于预先分配给该用户的网址所在的网段后，进一步确定该用户配置静态ARP的数目是否超过上级供应商预先提供给该用户的ARP配置权限阈值，如果没有超过，则该用户有权继续配置新增静态ARP。

所述的对ACL配置权限的认证包括：确定用户配置的ACL的源IP地址或目的IP地址是否属于预先分配给该用户的网址所在的网段，如果是，则为合法。在确定用户配置的ACL的源IP地址或目的IP地址属于预先分配给该用户的网址所在的网段后，进一步确定该用户配置ACL表项的数目是否超过上级供应商预先提供给该用户的ACL表项配置权限阈值，如果没有超过，则该用户有权继续配置新增ACL表项。

所述的对QoS配置权限的认证包括：确定用户配置的QoS带宽保证的总带宽是否超过上级供应商预先提供给该用户的QoS总带宽，如果没有超过，则为合法。在确定用户配置的QoS带宽保证的总带宽没有超过上级供应商预先提供给该用户的QoS总带宽后，进一步确定该用户配置QoS策略的数目是否超过上级供应商预先提供给该用户的QoS策略配置权限阈值，如果没有超过，则该用户有权继续配置新增QoS策略。

所述ARP配置权限认证、ACL配置权限认证和QoS配置权限认证中的一种或多种权限认证同时进行或以任何顺序完成。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围和不脱离本发明的技术思想范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (14)

1.一种用户管理方法，其特征在于，包括以下步骤：

对用户进行身份认证；

身份认证为合法后，业务路由器对用户的管理权限认证；

管理权限认证通过后，根据所述用户的管理权限对业务进行配置管理。

2.如权利要求1所述的方法，其特征在于，所述对用户进行身份认证方式包括：通过验证用户输入的用户名和密码来完成的、通过有管理权限的用户的IP地址认证、或通过有管理权限的用户的MAC地址认证确认登录者的身份，或在网段内设定某网址属于合法的有管理权限的用户的地址。

3.如权利要求1所述的方法，其特征在于，所述对用户的管理权限认证包括对用户管理的具体业务种类的管理权限认证和/或对该具体业务种类的管理权限阈值的认证。

4.如权利要求3所述的方法，其特征在于，所述的用户的管理的具体业务种类包括ARP配置、ACL配置和QoS配置中的一种或多种。

5.如权利要求4所述的方法，其特征在于，所述的对ARP配置权限的认证包括：确定用户配置的静态ARP的IP地址是否属于预先分配给该用户的网址所在的网段，如果是，则为合法。

6.如权利要求5所述的方法，其特征在于，在确定用户配置的静态ARP的IP地址属于预先分配给该用户的网址所在的网段后，进一步确定该用户配置静态ARP的数目是否超过上级供应商预先提供给该用户的ARP配置权限阈值，如果没有超过，则该用户有权继续配置新增静态ARP。

7.如权利要求4所述的方法，其特征在于，所述的对ACL配置权限的认证包括：确定用户配置的ACL的源IP地址或目的IP地址是否属于预先分配给该用户的网址所在的网段，如果是，则为合法。

8.如权利要求7所述的方法，其特征在于，在确定用户配置的ACL的源IP地址或目的IP地址属于预先分配给该用户的网址所在的网段后，进一步确定该用户配置ACL表项的数目是否超过上级供应商预先提供给该用户的ACL表项配置权限阈值，如果没有超过，则该用户有权继续配置新增ACL表项。

9.如权利要求4所述的方法，其特征在于，所述的对QoS配置权限的认证包括：确定用户配置的QoS带宽保证的总带宽是否超过上级供应商预先提供给该用户的QoS总带宽，如果没有超过，则为合法。

10.如权利要求9所述的方法，其特征在于，在确定用户配置的QoS带宽保证的总带宽没有超过上级供应商预先提供给该用户的QoS总带宽后，进一步确定该用户配置QoS策略的数目是否超过上级供应商预先提供给该用户的QoS策略配置权限阈值，如果没有超过，则该用户有权继续配置新增QoS策略。

11.如权利要求4所述的方法，其特征在于，所述ARP配置权限认证、ACL配置权限认证和QoS配置权限认证中的一种或多种权限认证同时进行或以任何顺序完成。

12.一种用户管理装置，其特征在于，包括管理权限认证模块，其中，

在用户的身份合法性认证通过后，所述管理权限认证模块，用于认证用户的管理权限；

用户通过管理权限认证后，所述管理权限认证模块允许用户在其管理权限范围内进行管理配置或修改。

13.如权利要求12所述的装置，其特征在于，所述管理权限认证模块包括：ACL配置权限判定模块、ARP配置权限判定模块和QoS配置权限判定模块中的一个或多个，其中，

所述ACL配置权限判定模块、所述ARP配置权限判定模块和所述QoS配置权限判定模块根据需要来分别或单独确定用户是否有足够的ACL配置权限、ARP配置权限和QoS配置权限，认证通过后才能进行相关的配置。

14.如权利要求12所述的装置，其特征在于，还包括鉴权模块，所述鉴权模块用于对用户进行身份认证。

Images