CN113094719A - 访问控制方法、装置、设备 - Google Patents

Abstract

本发明实施例提供一种访问控制方法、装置、设备，该方法包括：网络设备响应于访问控制规则的设置请求，从服务器中获取与设置请求对应的用户集合,将从用户集合中选择的目标用户通知至服务器，以使服务器建立访问控制规则与目标用户的用户标识之间的第一对应关系；接收服务器发送的访问控制规则与终端设备标识之间的第二对应关系，根据所述第二对应关系对所述目标用户进行网络访问控制，其中，目标用户通过当前使用的终端设备和用户标识接入设定网络时，服务器获取到与该用户标识对应的所述终端设备标识。将对访问控制规则与终端设备标识之间对应关系的配置转换为对访问控制规则所作用的人员的选择，实现简单、高效。

Description

访问控制方法、装置、设备

技术领域

本发明涉及互联网技术领域，尤其涉及一种访问控制方法、装置、设备。

背景技术

在诸如网关、无线控制器(Wireless Access Point Controller，简称AC)等网络设备上设置访问控制规则，可以实现对用户的网络访问行为的监控。

传统地，在网络设备上进行访问控制规则的配置时，具体的是设置访问控制规则与用户终端设备的MAC地址或者IP地址之间的对应关系。比如，若想实现禁止某用户访问某服务器的目的，传统的方式是在网络设备上配置该服务器的访问地址与该用户的终端设备的MAC地址之间的对应关系。从而，当网络设备接收到具有该MAC地址的终端设备对该服务器的网络访问请求时，拒绝该网络访问请求。

为实现上述访问控制规则的配置，需要运维人员获取用户终端设备的MAC地址或IP地址，进而手动地在网络设备上完成上述配置，配置麻烦且不灵活。而且，在一个用户具有多个终端设备的情形下，上述配置过程将变得更加繁琐。

发明内容

本发明实施例提供一种访问控制方法、装置、设备，用以实现访问控制规则在网络设备中的高效配置。

第一方面，本发明实施例提供一种访问控制方法，应用于网络设备，所述方法包括：

响应于访问控制规则的设置请求，从服务器中获取与所述设置请求对应的用户集合；

将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，其中，所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时，所述服务器获取到与所述用户标识对应的所述终端设备标识；

根据所述第二对应关系对所述目标用户进行网络访问控制。

第二方面，本发明实施例提供一种访问控制装置，应用于网络设备，包括：

获取模块，用于响应于访问控制规则的设置请求，从服务器中获取与所述设置请求对应的用户集合；

发送模块，用于将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

接收模块，用于接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，其中，所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时，所述服务器获取到与所述用户标识对应的所述终端设备标识；

控制模块，用于根据所述第二对应关系对所述目标用户进行网络访问控制。

第三方面，本发明实施例提供一种网络设备，包括第一处理器和第一存储器，其中，所述第一存储器上存储有可执行代码，当所述可执行代码被所述第一处理器执行时，使所述第一处理器执行第一方面中的访问控制方法。

本发明实施例提供了一种非暂时性机器可读存储介质，所述非暂时性机器可读存储介质上存储有可执行代码，当所述可执行代码被网络设备的处理器执行时，使所述处理器执行第一方面中的访问控制方法。

第四方面，本发明实施例提供一种访问控制方法，应用于服务器，所述方法包括：

响应于在网络设备上对访问控制规则的设置请求，将与所述设置请求对应的用户集合发送至所述网络设备，以供从所述用户集合中选择出目标用户；

根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

获取所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时与所述终端设备对应的终端设备标识；

将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，以使所述网络设备根据所述第二对应关系对所述目标用户进行网络访问控制。

第五方面，本发明实施例提供一种访问控制装置，应用于服务器，包括：

发送模块，用于响应于在网络设备上对访问控制规则的设置请求，将与所述设置请求对应的用户集合发送至所述网络设备，以供从所述用户集合中选择出目标用户；

建立模块，用于根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

获取模块，用于获取所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时与所述终端设备对应的终端设备标识；

所述发送模块，还用于将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，以使所述网络设备根据所述第二对应关系对所述目标用户进行网络访问控制。

第六方面，本发明实施例提供一种服务器，包括第二处理器和第二存储器，其中，所述第二存储器上存储有可执行代码，当所述可执行代码被所述第二处理器执行时，使所述第二处理器执行第四方面中的访问控制方法。

本发明实施例提供了一种非暂时性机器可读存储介质，所述非暂时性机器可读存储介质上存储有可执行代码，当所述可执行代码被服务器的处理器执行时，使所述处理器执行第四方面中的访问控制方法。

在本发明实施例中，某服务器中存储有包含若干用户的通讯录，当需要针对这些用户中的全部或部分进行网络访问控制时，运维人员可以在网络设备上发起某个访问控制规则的设置操作，进而，该网络设备基于与该服务器间的通信获取包含这些用户的用户集合，运维人员从中选择出该访问控制规则所针对的目标用户，将选择的目标用户通知服务器，服务器建立该访问控制规则与目标用户的用户标识之间的第一对应关系。当目标用户以某个终端设备以及分配给其的用户标识接入网络时，服务器可以以该用户标识为依据，获取该目标用户当前使用的终端设备的标识，比如MAC地址，从而，基于访问控制规则与目标用户的用户标识之间的第一对应关系，可以建立该访问控制规则与该终端设备标识之间的第二对应关系，并将该第二对应关系下发至网络设备，从而网络设备便可以根据该第二对应关系对该目标用户进行网络访问控制。

在上述方案中，由于服务器中维护了用户维度的信息，并且当用户接入网络时服务器能够基于维护的用户信息自动获取用户当前使用的终端设备标识，从而，可以将运维人员对访问控制规则与终端设备标识之间对应关系的配置转换为运维人员对访问控制规则所作用的人员的选择，实现简单、高效。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的访问控制方法的流程图；

图2为本发明一实施例提供的一种配置访问控制规则的过程中的界面变化示意图；

图3为本发明另一实施例提供的访问控制方法的流程图；

图4为本发明另一实施例提供的访问控制方法的流程图；

图5为本发明实施例提供的一种访问控制装置的结构示意图；

图6为与图5所示实施例提供的访问控制装置对应的网络设备的结构示意图；

图7为本发明实施例提供的另一种访问控制装置的结构示意图；

图8为与图7所示实施例提供的访问控制装置对应的服务器的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

在本发明实施例中使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本发明。在本发明实施例和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义，“多种”一般包含至少两种。

取决于语境，如在此所使用的词语“如果”、“若”可以被解释成为“在……时”或“当……时”或“响应于确定”或“响应于检测”。类似地，取决于语境，短语“如果确定”或“如果检测(陈述的条件或事件)”可以被解释成为“当确定时”或“响应于确定”或“当检测(陈述的条件或事件)时”或“响应于检测(陈述的条件或事件)”。

另外，下述各方法实施例中的步骤时序仅为一种举例，而非严格限定。

图1为本发明一实施例提供的访问控制方法的流程图，如图1所示，该访问控制方法可以包括如下步骤：

101、响应于访问控制规则的设置请求，网络设备从服务器中获取与设置请求对应的用户集合。

102、网络设备将从用户集合中选择的目标用户通知至服务器。

103、服务器建立访问控制规则与目标用户的用户标识之间的第一对应关系。

104、服务器获取目标用户通过当前使用的终端设备和用户标识接入设定网络时与该终端设备对应的终端设备标识。

105、服务器建立访问控制规则与目标用户的终端设备标识之间的第二对应关系。

106、服务器将第二对应关系发送至网络设备。

107、网络设备根据第二对应关系对目标用户进行网络访问控制。

本实施例中，网络设备可以是网关、无线控制器(AC)等设备，服务器是指维护有若干用户信息的服务器，该服务器可以是位于云端的独立主机或主机集群。

以某企业场景为例，网络设备可以是该企业内部署的AC、网关等设备，服务器中维护的用户信息可以是该企业的所有员工的相关信息，比如可以包括员工所属的部门、员工姓名、以及为每个员工分配的用户标识，等等。其中，为每个员工分配的用户标识用于唯一性地标识每个员工，可以是一串由数字、字母等组成的字符串。

以企业场景为例，实际应用中，出于信息安全等目的，可能需要设置某些员工不允许访问某些资源，也可能需要对某些部门的员工进行网络访问流量的限制，此时，企业的运维人员(下面称为设置者)需要在上述网络设备中设置相对应的访问控制规则以及访问控制规则所针对的对象。对网络设备而言，该对象是指终端设备标识，终端设备标识比如可以为MAC地址。从而，当网络设备发现与某访问控制规则对应的MAC地址发起网络访问请求时，网络设备根据与该MAC地址对应的访问控制规则对该网络访问请求进行处理。举例来说，比如该访问控制规则具体体现为某个设备的URL，与该访问控制规则对应的MAC地址包括：MAC1、MAC2，那么意味着不允许具有MAC1或MAC2的终端设备访问该设备，从而，如果网络设备发现具有MAC1的终端设备发起针对该设备的网络访问请求时，拒绝该网络访问请求。

由上述介绍可知，为了实现对终端设备的网络访问控制，核心的一点是在网络设备中设置访问控制规则与终端设备标识之间的对应关系，该对应关系表明访问控制规则的作用对象是具有该终端设备标识的终端设备。

而本实施例即为提供一种便捷地将访问控制规则与终端设备标识之间的对应关系配置到网络设备中的方案，该方案的重点在于上述服务器中维护的用户信息(包括用户姓名、用户标识)。

具体来说，网络设备具有URL，设置者可以通过浏览器访问该URL以访问该网络设备的配置界面，在该配置界面中可以进行访问控制规则的配置。

如图2中所示，可选地，在该配置界面中可以包括输入框201，以及选择控件202。

其中，输入框201用于进行访问控制规则的输入，该访问控制规则比如为某个设备的URL、限定的网络速率(如10MB/s)。

其中，选择控件202是与上述服务器对应的，该对应关系表现为：当该选择控件202被选中后，网络设备可以向服务器发送用户选择请求，以便从服务器中获得与当前设置的访问控制规则对应的备选的用户集合。

仍以企业场景为例，由于在实际应用中，服务器中维护的可能不止一家企业的员工信息，因此，网络设备向服务器发送的用户选择请求中可以包括上述访问控制规则的设置者的身份信息。从而，服务器在根据该身份信息确定设置者的权限后，获取与该设置者对应的用户集合，并反馈至网络设备，网络设备显示该用户集合。在图2中，假设该用户集合中包括：用户a、用户b、用户c和用户d。

其中，上述设置者的身份信息可以是该设置者登录服务器所需的用户账号和登录密码。服务器中预先存储有该设置者的身份信息与用户集合的对应关系，从而，当服务器确定本地存储有当前接收到的用户选择请求中所携带的设置者身份信息后，将与其对应的用户集合反馈至网络设备。

在图2中，假设设置者从用户集合中选择出的目标用户为用户a和用户b。从而，网络设备基于该设置者的选择结果，将选择出的用户a和用户b通知至服务器，服务器建立设置者当前设置的访问控制规则与该用户a和用户b分别对应的用户标识之间的第一对应关系。

其中，可选地，网络设备可以将设置者当前设置的访问控制规则及时间戳，连同选择出的用户a和用户b一起通知至服务器，从而，服务器建立用户a、用户b各自对应的用户标识与该访问控制规则的第一对应关系。此时，假设该访问控制规则为：限速10MB/s，时间戳为：Time，用户a的用户标识表示为IDa,用户b的用户标识表示为IDb,则第一对应关系可以表示为：[Time，限速10MB/s：IDa、IDb]。

但是，实际上，服务器中其实无需存储上述访问控制规则，从而，可选地，网络设备基于设置者对上述访问控制规则的设置，可以生成一个表征该访问控制规则的标识，称为规则标识，该规则标识可以是随机产生的一串字符串，用于唯一表征这条访问控制规则。从而，网络设备可以将该规则标识与选择出的用户a和用户b一起通知至服务器，从而，服务器建立用户a、用户b与该规则标识的第一对应关系。假设当前设置的访问控制规则为：限速10MB/s，与之对应的规则标识为100011，用户a的用户标识表示为IDa,用户b的用户标识表示为IDb,则第一对应关系可以表示为：[100011：IDa、IDb]。可以理解的是，此时，网络设备侧也维护由该规则标识与该访问控制规则的对应关系。

通过以上过程可知，设置者仅需将访问控制规则输入到网络设备中，以及从服务器提供的与该访问控制规则对应的备选用户中选择该访问控制规则所作用的目标用户，完成“人”这个维度的选择即可，而不需要关注终端设备标识这个“设备”维度的信息，操作简单方便。

基于上述第一对应关系的建立，相当于服务器得知有一个访问控制规则需要作用到上述目标用户：用户a和用户b。接下来的任务是将上述访问控制规则与该目标用户的用户标识之间的第一对应关系转换为该访问控制规则与该目标用户的终端设备标识之间的第二对应关系。

该第二对应关系的建立过程如下：

以企业场景为例，目标用户为该企业中的员工，该目标用户可以先通过某个终端设备接入该企业的无线局域网，进而在通过该终端设备进行网络访问。本实施例中，目标用户在接入该无线局域网时需要输入服务器分配给该目标用户的用户标识，该用户标识与该目标用户一一对应。在接入该无线局域网时，该用户标识的作用为对该目标用户进行身份鉴权，即只有该目标用户输入的用户标识是服务器分配给该目标用户的，该目标用户才能够接入该无线局域网。另外，在目标用户以当前使用的某个终端设备凭借上述用户标识接入该无线局域网时，服务器可以获得该终端设备的标识，比如MAC地址，从而，以上述用户标识为依据，服务器可以将上述访问控制规则与目标用户的用户标识之间的第一对应关系转换为该访问控制规则与该目标用户的终端设备标识之间的第二对应关系。

假设上述用户a当前使用的终端设备的标识表示为MACa，用户b当前使用的终端设备的标识表示为MACb，则基于上述两种第一对应关系的表示方式可知，第二对应关系可以表示为：[Time，限速10MB/s：MACa、MACb]，或者，[100011：MACa、MACb]。

服务器将上述第二对应关系下发至网络设备，可选地，网络设备可以直接存储该第二对应关系，也可以对该第二对应关系进行简单的变形处理。

该变形处理比如为：网络设备中最终存储的第二对应关系可以表示为：[限速10MB/s：MACa、MACb]。其中，当服务器以上述举例的第一种方式：[Time，限速10MB/s：MACa、MACb]表示第二对应关系时，网络设备可以基于本地存储的各访问控制规则对应的时间戳查询得到与上述时间戳Time对应的访问控制规则：限速10MB/s，从而存储[限速10MB/s：MACa、MACb]这个对应关系。其中，当服务器以上述举例的第二种方式：[100011：MACa、MACb]表示第二对应关系时，网络设备可以基于本地存储的各访问控制规则对应的规则标识查询得到与上述规则标识对应的访问控制规则：限速10MB/s，从而存储[限速10MB/s：MACa、MACb]这个对应关系。

基于网络设备中该[限速10MB/s：MACa、MACb]这个对应关系的设置结果，网络设备对目标用户的网络访问控制体现为：

网络设备接收某个终端设备发送的网络访问请求，该网络访问请求中包括终端设备标识，比如为MAC地址，假设为MACa。继而，网络设备根据上述对应关系发现该MACa命中一条访问控制规则：限速10MB/s，进而根据该访问控制规则对该网络访问请求进行处理，即将该目标用户的网络流量限制在10MB/s。

由上述方案可知，一方面，通过上述方案，设置者仅需针对需要配置的访问控制规则进行其所作用的用户的选择，不再需要进行与访问控制规则对应的终端设备标识的手动配置，操作简单；另一方面，由于为每个用户分配唯一的用户标识，且用户接入网络时需要输入该用户标识，基于此，不管用户当前接入网络时所使用的终端设备是否发生改变，都可以以该用户标识为依据，获得用户当前使用的终端设备的标识，以保证针对该用户的访问控制规则的可靠实施。

图3为本发明另一实施例提供的访问控制方法的流程图，如图3所示，可以包括如下步骤：

301、响应于访问控制规则的设置请求，网络设备从服务器中获取与该设置请求对应的用户集合以及与访问控制规则对应的规则标识。

在前述实施例中，假设网络设备基于设置者对访问控制规则的设置操作，可以生成与该访问控制规则对应的规则标识。本实施例中，该规则标识也可以是由服务器生成的。比如，如前文所述，服务器在基于设置者的身份信息得知设置者的权限后，一方面获取与该设置者匹配的用户集合，另一方面，可以生成一个规则标识，以表征该设置者当前设置的访问控制规则。

302、网络设备对应存储规则标识和访问控制规则。

303、网络设备将从用户集合中选出的目标用户和规则标识通知至服务器。

其中，网络设备具体是将目标用户的用户名称通知至服务器。

304、服务器建立规则标识与目标用户的接入密码之间的第一对应关系，接入密码用于接入对应于设定网络的无线接入点。

本实施例中，假设用于唯一地标识一个用户的用户标识为接入某无线接入点(Access Point，简称AP)的接入密码。每个用户被分配的接入密码是不同的，因此，以接入密码可以识别出对应的用户。可以理解的是，服务器中预先存储有用户名称以及接入密码的对应关系。

其中，AP所对应的设定网络，比如可以是AP所处位置的无线局域网，该无线局域网的网络名称可以以AP的服务集标识(Service Set Identifier，简称SSID)表征。

305、目标用户通过终端设备以接入密码接入无线接入点时，无线接入点将终端设备标识和接入密码发送至服务器。

目标用户接入AP的过程简单来说就是：目标用户通过终端设备搜索周围存在的无线网络名称，当发现对应于上述AP的无线网络名称后，选中该无线网络名称，从而触发终端设备与该AP的通信连接的建立。在触发终端设备与该AP的通信连接的建立时，可以弹出接入密码输入界面，目标用户输入分配给自己的接入密码。AP验证该接入密码正确，则与该终端设备建立通信连接，并且获取该终端设备的标识，比如MAC地址。进而，AP可以将该终端设备标识和接入密码发送至服务器，以使得服务器根据该接入密码和终端设备标识得知与该接入密码对应的目标用户当前使用的终端设备信息。

306、服务器建立规则标识与目标用户的终端设备标识之间的第二对应关系。

307、服务器将第二对应关系发送至网络设备。

308、网络设备根据第二对应关系对应存储访问控制规则与目标用户的终端设备标识，以用于对目标用户进行网络访问控制。

图3所示实施例中未展开描述的内容可以参见前述其他实施例中的相关说明，在此不赘述。

在一些实际应用场景中，比如在企业场景下，企业可能会部署自己的内部通信系统，比如通过某种即时通信应用程序进行员工之间的即时通信交流。此时，本发明实施例提供的访问控制方案也可以在该场景内部署实施。

此时，前文中所提及的服务器为运行有即时通信应用程序的服务器，网络设备中安装有与该即时通信应用程序对应的软件开发工具包(Software Development Kit，简称SDK)，基于该SDK，网络设备可以与该服务器通过即时通信应用程序进行通信交互。同样地，上述AP中也安装有该即时通信应用程序的SDK。如图4所示，在该场景下，访问控制方案的实施可以包括如下步骤：

401、网络设备显示配置界面，该配置界面中包括访问控制规则输入框和选择控件。

实际应用中，设置者可以通过浏览器访问网络设备，以通过浏览器显示上述配置界面。上述选择控件是通过网络设备中的上述SDK开发得到的。

402、网络设备响应于设置者输入访问控制规则的操作，从服务器中获取与该访问控制规则对应的规则标识。

403、网络设备存储规则标识与访问控制规则的对应关系。

404、网络设备响应于设置者对选择控件的操作，向服务器发送用户选择请求，用户选择请求中包括设置者的身份信息。

405、服务器根据设置者的身份信息获取与该设置者对应的企业通讯录。

406、服务器将企业通讯录发送至网络设备。

在企业场景下，该设置者可以是企业中的网络运维人员，可以预先在服务器中注册该设置者与企业间的对应关系，该对应关系的创建意味着该设置者有权限对该企业内的全部员工进行网络访问控制。上述企业通讯录中包括企业内的若干员工相关信息。为保证员工的个人隐私，提供给网络设备的企业通讯录中可以仅包括员工的姓名这个维度的信息，而诸如手机号码等敏感信息不提供。

407、网络设备将设置者从企业通讯录中选择出的目标用户以及规则标识发送至服务器。

408、服务器建立规则标识与目标用户的接入密码之间的第一对应关系。

409、目标用户通过终端设备以接入密码接入无线接入点时，无线接入点将终端设备标识和接入密码发送至服务器。

410、服务器建立规则标识与目标用户的终端设备标识之间的第二对应关系。

411、服务器将第二对应关系发送至网络设备。

412、网络设备根据第二对应关系对应存储访问控制规则与目标用户的终端设备标识，以用于对目标用户进行网络访问控制。

在图4中并未详细示意出的过程可以参见前述其他实施例中的相关说明，在此不赘述。

以下将详细描述本发明的一个或多个实施例的访问控制装置。本领域技术人员可以理解，这些访问控制装置均可使用市售的硬件组件通过本方案所教导的步骤进行配置来构成。

图5为本发明实施例提供的一种访问控制装置的结构示意图，如图5所示，该装置包括：获取模块11、发送模块12、接收模块13、控制模块14。

获取模块11，用于响应于访问控制规则的设置请求，从服务器中获取与所述设置请求对应的用户集合。

发送模块12，用于将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系。

接收模块13，用于接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，其中，所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时，所述服务器获取到与所述用户标识对应的所述终端设备标识。

控制模块14，用于根据所述第二对应关系对所述目标用户进行网络访问控制。

可选地，所述服务器为运行有即时通信应用程序的服务器；所述网络设备中安装有与所述即时通信应用程序对应的软件开发工具包，以使所述网络设备通过所述软件开发工具包与所述服务器进行通信。

可选地，所述用户标识是分配给所述目标用户的接入密码，所述目标用户与所述接入密码一一对应，所述接入密码用于接入对应于所述设定网络的无线接入点。所述目标用户通过所述终端设备以所述接入密码接入所述无线接入点时，所述无线接入点将所述终端设备标识和所述接入密码发送至所述服务器。

可选地，所述获取模块11具体用于：通过所述发送模块12向所述服务器发送用户选择请求，所述用户选择请求中包括所述设置请求对应的设置者的身份信息；通过所述接收模块13接收所述服务器在根据所述身份信息确定所述设置者的权限后反馈的与所述设置者对应的所述用户集合。

可选地，所述装置还包括：显示模块，用于响应于访问控制规则的设置请求，显示与所述服务器对应的选择控件。所述发送模块12具体可以用于：响应于对所述选择控件的操作，向所述服务器发送所述用户选择请求。

可选地，所述获取模块11具体用于：从服务器中获取与所述设置请求对应的用户集合和规则标识，所述规则标识与所述访问控制规则对应。所述发送模块12具体用于：将所述目标用户和所述规则标识通知至所述服务器，以使所述服务器建立所述规则标识与所述用户标识之间的第一对应关系。所述接收模块13具体用于：接收所述服务器发送的所述规则标识与终端设备标识之间的第二对应关系。

可选地，所述接收模块13还用于：接收所述终端设备发送的网络访问请求，所述网络访问请求中包括所述终端设备标识。所述控制模块14具体用于：根据所述第二对应关系确定与所述终端设备标识对应的所述规则标识；根据与所述规则标识对应的所述访问控制规则对所述网络访问请求进行处理。

图5所示装置可以执行前述各实施例中网络设备所执行的步骤，本实施例未详细描述的部分，可参考前述实施例的相关说明，在此不再赘述。

在一个可能的设计中，上述图5所示的访问控制装置的结构可实现为诸如AC、网关等网络设备。如图6所示，该网络设备可以包括：第一处理器21、第一存储器22。其中，所述第一存储器22上存储有可执行代码，当所述可执行代码被所述第一处理器21执行时，至少使所述第一处理器21实现前述实施例中网络设备所执行的各步骤。

其中，该网络设备的结构中还可以包括第一通信接口23，用于与其他设备或通信网络通信。

另外，本发明实施例提供了一种非暂时性机器可读存储介质，所述非暂时性机器可读存储介质上存储有可执行代码，当所述可执行代码被网络设备的处理器执行时，使所述处理器执行前述各实施例中的网络设备所执行的各步骤。

图7为本发明实施例提供的另一种访问控制装置的结构示意图，位于终端设备，如图7所示，该装置包括：发送模块31、建立模块32、获取模块33。

发送模块31，用于响应于在网络设备上对访问控制规则的设置请求，将与所述设置请求对应的用户集合发送至所述网络设备，以供从所述用户集合中选择出目标用户。

建立模块32，用于根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系。

获取模块33，用于获取所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时与所述终端设备对应的终端设备标识。

所述发送模块31，还用于将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，以使所述网络设备根据所述第二对应关系对所述目标用户进行网络访问控制。

可选地，所述服务器为运行有即时通信应用程序的服务器；所述网络设备中安装有与所述即时通信应用程序对应的软件开发工具包，以使所述网络设备通过所述软件开发工具包与所述服务器进行通信。

可选地，所述用户标识是分配给所述目标用户的接入密码，所述目标用户与所述接入密码一一对应，所述接入密码用于接入对应于所述设定网络的无线接入点。所述目标用户通过所述终端设备以所述接入密码接入所述无线接入点时，所述无线接入点将所述终端设备标识和所述接入密码发送至所述服务器。

可选地，所述装置还包括：

接收模块，用于接收所述网络设备发送的用户选择请求，所述用户选择请求中包括所述设置请求对应的设置者的身份信息；

鉴权模块，用于根据所述身份信息确定所述设置者的权限后获取与所述设置者对应的所述用户集合。

可选地，所述发送模块31具体用于：将与所述设置请求对应的用户集合以及为所述设置请求分配的规则标识发送至所述网络设备。所述建立模块32具体用于：根据所述网络设备对选择出所述目标用户和所述规则标识的通知，建立所述规则标识与所述用户标识之间的第一对应关系。所述发送模块31还用于：将所述规则标识与所述终端设备标识之间的第二对应关系发送至所述网络设备。

图7所示装置可以执行前述各实施例中服务器所执行的步骤，本实施例未详细描述的部分，可参考前述实施例的相关说明，在此不再赘述。

在一个可能的设计中，上述图7所示的访问控制装置的结构可实现为服务器。如图8所示，该服务器可以包括：第二处理器41、第二存储器42。其中，所述第二存储器42上存储有可执行代码，当所述可执行代码被所述第二处理器41执行时，至少使所述第二处理器41实现前述实施例中服务器所执行的各步骤。

其中，该服务器的结构中还可以包括第二通信接口43，用于与其他设备或通信网络通信。

另外，本发明实施例提供了一种非暂时性机器可读存储介质，所述非暂时性机器可读存储介质上存储有可执行代码，当所述可执行代码被服务器的处理器执行时，使所述处理器执行前述各实施例中的服务器所执行的各步骤。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助加必需的通用硬件平台的方式来实现，当然也可以通过硬件和软件结合的方式来实现。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以计算机产品的形式体现出来，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明实施例提供的访问控制方法可以由某一种或多种程序/软件来执行，该程序/软件可以由网络侧提供，前述实施例中提及的网络设备、服务器可以将所需的相应程序/软件下载到本地的非易失性存储介质中，并在其需要执行前述访问控制方法时，通过CPU将该程序/软件读取到内存中，进而由CPU执行该程序/软件以实现前述实施例中所提供的访问控制方法，执行过程可以参见前述图1至图4中的示意。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (18)

1.一种访问控制方法，其特征在于，应用于网络设备，所述方法包括：

响应于访问控制规则的设置请求，从服务器中获取与所述设置请求对应的用户集合；

将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，其中，所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时，所述服务器获取到与所述用户标识对应的所述终端设备标识；

根据所述第二对应关系对所述目标用户进行网络访问控制。

2.根据权利要求1所述的方法，其特征在于，所述服务器为运行有即时通信应用程序的服务器；所述网络设备中安装有与所述即时通信应用程序对应的软件开发工具包，以使所述网络设备通过所述软件开发工具包与所述服务器进行通信。

3.根据权利要求1所述的方法，其特征在于，所述用户标识是分配给所述目标用户的接入密码，所述目标用户与所述接入密码一一对应，所述接入密码用于接入对应于所述设定网络的无线接入点；

所述目标用户通过所述终端设备以所述接入密码接入所述无线接入点时，所述无线接入点将所述终端设备标识和所述接入密码发送至所述服务器。

4.根据权利要求1所述的方法，其特征在于，所述从服务器中获取与所述设置请求对应的用户集合，包括：

向所述服务器发送用户选择请求，所述用户选择请求中包括所述设置请求对应的设置者的身份信息；

接收所述服务器在根据所述身份信息确定所述设置者的权限后反馈的与所述设置者对应的所述用户集合。

5.根据权利要求4所述的方法，其特征在于，所述向所述服务器发送用户选择请求，包括：

响应于访问控制规则的设置请求，显示与所述服务器对应的选择控件；

响应于对所述选择控件的操作，向所述服务器发送所述用户选择请求。

6.根据权利要求1至5中任一项所述的方法，其特征在于，所述从服务器中获取与所述设置请求对应的用户集合，包括：

从服务器中获取与所述设置请求对应的用户集合和规则标识，所述规则标识与所述访问控制规则对应；

所述将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系，包括：

将所述目标用户和所述规则标识通知至所述服务器，以使所述服务器建立所述规则标识与所述用户标识之间的第一对应关系；

所述接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，包括：

接收所述服务器发送的所述规则标识与终端设备标识之间的第二对应关系。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

接收所述终端设备发送的网络访问请求，所述网络访问请求中包括所述终端设备标识；

根据所述第二对应关系确定与所述终端设备标识对应的所述规则标识；

根据与所述规则标识对应的所述访问控制规则对所述网络访问请求进行处理。

8.一种访问控制方法，其特征在于，应用于服务器，所述方法包括：

响应于在网络设备上对访问控制规则的设置请求，将与所述设置请求对应的用户集合发送至所述网络设备，以供从所述用户集合中选择出目标用户；

根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

获取所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时与所述终端设备对应的终端设备标识；

将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，以使所述网络设备根据所述第二对应关系对所述目标用户进行网络访问控制。

9.根据权利要求8所述的方法，其特征在于，所述服务器为运行有即时通信应用程序的服务器；所述网络设备中安装有与所述即时通信应用程序对应的软件开发工具包，以使所述网络设备通过所述软件开发工具包与所述服务器进行通信。

10.根据权利要求8所述的方法，其特征在于，所述用户标识是分配给所述目标用户的接入密码，所述目标用户与所述接入密码一一对应，所述接入密码用于接入对应于所述设定网络的无线接入点；

所述目标用户通过所述终端设备以所述接入密码接入所述无线接入点时，所述无线接入点将所述终端设备标识和所述接入密码发送至所述服务器。

11.根据权利要求8所述的方法，其特征在于，所述将与所述设置请求对应的用户集合发送至所述网络设备，包括：

接收所述网络设备发送的用户选择请求，所述用户选择请求中包括所述设置请求对应的设置者的身份信息；

根据所述身份信息确定所述设置者的权限后获取与所述设置者对应的所述用户集合；

将所述用户集合发送至所述网络设备。

12.根据权利要求8至11中任一项所述的方法，其特征在于，所述将与所述设置请求对应的用户集合发送至所述网络设备，包括：

将与所述设置请求对应的用户集合以及为所述设置请求分配的规则标识发送至所述网络设备；

所述根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系，包括：

根据所述网络设备对选择出所述目标用户和所述规则标识的通知，建立所述规则标识与所述用户标识之间的第一对应关系；

所述将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，包括：

将所述规则标识与所述终端设备标识之间的第二对应关系发送至所述网络设备。

13.一种访问控制装置，其特征在于，应用于网络设备，所述装置包括：

获取模块，用于响应于访问控制规则的设置请求，从服务器中获取与所述设置请求对应的用户集合；

发送模块，用于将从所述用户集合中选择的目标用户通知至所述服务器，以使所述服务器建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

接收模块，用于接收所述服务器发送的所述访问控制规则与终端设备标识之间的第二对应关系，其中，所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时，所述服务器获取到与所述用户标识对应的所述终端设备标识；

控制模块，用于根据所述第二对应关系对所述目标用户进行网络访问控制。

14.根据权利要求13所述的装置，其特征在于，所述服务器为运行有即时通信应用程序的服务器；所述网络设备中安装有与所述即时通信应用程序对应的软件开发工具包，以使所述网络设备通过所述软件开发工具包与所述服务器进行通信。

15.根据权利要求14所述的装置，其特征在于，所述用户标识是分配给所述目标用户的接入密码，所述目标用户与所述接入密码一一对应，所述接入密码用于接入对应于所述设定网络的无线接入点；

所述目标用户通过所述终端设备以所述接入密码接入所述无线接入点时，所述无线接入点将所述终端设备标识和所述接入密码发送至所述服务器。

16.一种网络设备，其特征在于，包括：存储器、处理器；其中，所述存储器上存储有可执行代码，当所述可执行代码被所述处理器执行时，使所述处理器执行如权利要求1至7中任一项所述的访问控制方法。

17.一种访问控制装置，其特征在于，应用于服务器，所述装置包括：

发送模块，用于响应于在网络设备上对访问控制规则的设置请求，将与所述设置请求对应的用户集合发送至所述网络设备，以供从所述用户集合中选择出目标用户；

建立模块，用于根据所述网络设备对选择出所述目标用户的通知，建立所述访问控制规则与所述目标用户的用户标识之间的第一对应关系；

获取模块，用于获取所述目标用户通过当前使用的终端设备和所述用户标识接入设定网络时与所述终端设备对应的终端设备标识；

所述发送模块，还用于将所述访问控制规则与所述终端设备标识之间的第二对应关系发送至所述网络设备，以使所述网络设备根据所述第二对应关系对所述目标用户进行网络访问控制。

18.一种服务器，其特征在于，包括：存储器、处理器；其中，所述存储器上存储有可执行代码，当所述可执行代码被所述处理器执行时，使所述处理器执行如权利要求8至12中任一项所述的访问控制方法。

Images