JP6619894B2

JP6619894B2 - アクセス制御

Info

Publication number: JP6619894B2
Application number: JP2018560827A
Authority: JP
Inventors: 鴻殊施
Original assignee: New H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2016-05-20
Filing date: 2017-05-17
Publication date: 2019-12-11
Anticipated expiration: 2037-05-17
Also published as: WO2017198163A1; EP3461072A1; EP3461072A4; JP2019515608A; US11146551B2; CN107404470A; US20190141036A1; EP3461072B1

Description

関連する出願の参照
本開示は、２０１６年５月２０日に提出された出願番号が２０１６１０３４５９６８.７であり、発明の名称が「アクセス制御方法及び装置」である中国特許出願の優先権を主張するものであり、当該出願の内容は全て本文に取り込まれる。

本開示は、ネットワークアクセス制御に関する。

ＶＸＬＡＮ（ＶｉｒｔｕａｌｅＸｔｅｎｓｉｂｌｅＬＡＮ、仮想拡張可能ローカルエリアネットワーク（ＶＸＬＡＮ））は、ＩＰ（ＩｎｔｅｒｎｅｔＰｒｏｔｏｃｏｌ、インターネットプロトコル）ネットワークに基づいて、「ＭＡＣ（ＭｅｄｉａＡｃｃｅｓｓＣｏｎｔｒｏｌ、メディアアクセス制御）ｉｎＵＤＰ（ＵｓｅｒＤａｔａｇｒａｍＰｒｏｔｏｃｏｌ、ユーザーデータグラムプロトコル）」カプセル化形式を用いた２層ＶＰＮ（ＶｉｒｔｕａｌＰｒｉｖａｔｅＮｅｔｗｏｒｋ、仮想専用ネットワーク）技術である。ＶＸＬＡＮは、既存のサービス提供業者又は企業ＩＰネットワークに基づいて、分散された物理サイトに２層インターコネクションを提供し、且つ異なるテナントに業務アイソレーションを提供する。

ＶＸＬＡＮネットワークにおいて、ユーザーに対するアクセス認証を実現するために、ＶＴＥＰ（ＶＸＬＡＮＴｕｎｎｅｌＥｎｄＰｏｉｎｔ、ＶＸＬＡＮトンネルエンドポイント）とユーザー端末の間に２層スイッチを追加し、当該２層スイッチ上でユーザーに対してアクセス認証を行う。例えば、あるユーザーに対してアクセス認証を行う過程において、当該２層スイッチは、認証サーバに認証要求を送信する。認証サーバは、当該認証要求に基づいて当該ユーザーに対して認証を行い、ユーザーが認証を通過した後、当該ユーザーにＶＬＡＮ（ＶｉｒｔｕａｌＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋ、仮想局域网）を割り当てる。当該ＶＬＡＮはＶＬＡＮ１と表記する。認証サーバは、ＶＬＡＮ１の識別子を当該２層スイッチに送信する。当該２層スイッチは、ＶＬＡＮ１の識別子を受信した後、本設備上の当該ユーザー端末を接続するユーザーポートをＶＬＡＮ１に関連付ける。その後、当該ユーザー端末が送信したユーザーパケットが当該２層スイッチに到達した後、当該２層スイッチは、当該ユーザーパケットをＶＬＡＮ１の識別子でカプセル化し、ＶＴＥＰに送信する。

ＶＴＥＰの各々の物理ポート上で、予めＡＣ（ＡｔｔａｃｈｍｅｎｔＣｉｒｃｕｉｔ、接続回路）インタフェースを作成する。ＶＴＥＰは、ある物理ポートに当該ユーザー端末からのユーザーパケットを受信した後、当該物理ポート及びＶＬＡＮ１がマッチングするＡＣインタフェースを検索し、当該ＡＣインタフェースに関連付けられたＶＸＬＡＮ識別子を確定する。そして、ＶＴＥＰは、確定されたＶＸＬＡＮ識別子に基づいて、当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、カプセル化後のパケットを転送する。

本開示の一例に基づいて例示するＶＸＬＡＮネットワークのネットワーキング模式図である。本開示の一例に基づいて例示するアクセス制御方法のインタラクティブフローチャートである。本開示の一例に基づいて例示するＶＴＥＰのハードウェア構造模式図である。本開示の一例に基づいて例示するアクセス制御論理の機能モジュールブロック図である。本開示の別の例に基づいて例示するアクセス制御論理の機能モジュールブロック図である。

以下、本開示の実施例における図面を結合して、本開示の実施例における技術方案を明瞭かつ完全に記述する。明らかに、記述される実施例は、ただ本開示の一部の実施例であり、全部の実施例ではない。本開示における実施例に基づいて、本分野における通常の知識を有する者により創造的労働をしない前提で取得されるすべての他の実施例は、全部本開示が保護を請求する範囲に属する。

本開示の以下の実施例において、アクセス制御方法及び当該方法を応用可能なアクセス制御装置を提供する。

図１に示すようなネットワーキングにおいて、ユーザー端末１２０-１、１２０-２、１２０-３、１２０-４、１２０-５、．．．１２０-ｎ（以下、ユーザー端末１２０と総称する）は、ＶＴＥＰ１３０-１、１３０-２、１３０-３、．．．１３０-ｎ（以下、ＶＴＥＰ１３０と総称する）にぞれぞれアクセスされ、各々のユーザー端末１２０は、そのアクセスされたＶＴＥＰ１３０を介してＶＸＬＡＮネットワークにアクセスされる。なお、ＶＴＥＰ１３０は、アクセス認証機能を有効にし、３層ルーティング設備１４０を介して認証サーバ１５０と通信する。当該ネットワーキングにおいて、ユーザー端末１２０は、２層スイッチを経由せず、直接ＶＴＥＰ１３０にアクセスする。

図２は、本開示の一例が例示するアクセス制御方法のインタラクティブフローチャートである。

ステップＳ１０１で、ユーザー端末からのユーザーアクセス要求を受信した時、ＶＴＥＰ１３０は、認証サーバがユーザーに対して認証を行うように、認証サーバ１５０に認証要求パケットを送信する。

当該例でおいて、ユーザーに対する認証方式は、ＭＡＣアドレス認証方式又は８０２．１ｘプロトコル認証方式である。

ＭＡＣアドレス認証方式を使用する場合、ＶＴＥＰ１３０が、ユーザー端末が送信したイーサネット（登録商標）パケットを受信した後、ユーザに対して認証を行ったことがあるか否かを判断する。ユーザーに対して認証を行ったことがない場合、ＶＴＥＰ１３０は、認証サーバ１５０にユーザー名及び暗号がキャリーされている認証要求パケットを送信する。ユーザー名及び暗号は、いずれも当該ユーザー端末のＭＡＣアドレス、例えば、当該イーサネットパケットのソースＭＡＣアドレスであり、ＶＴＥＰ１３０に格納された固定ユーザー名及び暗号であることも可能である。この時、上記のイーサネットパケットは、ユーザーアクセス要求である。

８０２．１ｘプロトコル認証方式を使用する場合、ＶＴＥＰ１３０がユーザー端末からの８０２．１ｘ認証要求パケットを受信した後、ユーザーに対して認証を行ったことがあるか否かを判断する。ユーザーに対して認証を行ったことがない場合、ＶＴＥＰ１３０は、認証サーバ１５０にユーザー名及び暗号がキャリーされている認証要求パケットを送信する。ユーザー名及び暗号は、８０２．１ｘ認証要求パケットにキャリーされているユーザー名及び暗号である。この時、上記の８０２．１ｘ認証要求パケットは、ユーザーアクセス要求である。

一例によれば、ユーザーに対して認証を行ったことがあるが否かを判断する方法は、以下の通りである。当該イーサネットパケット又は８０２．１ｘ認証要求パケットのソースＭＡＣアドレスに基づいて、認証記録テーブルでマッチングするエントリを検索する。マッチングするエントリが検索されなかった場合、ユーザーに対して認証を行ったことがないことを表示し、この時、当該認証記録テーブルに一つのエントリを追加し、当該エントリは、当該ソースＭＡＣアドレス、アクセス認証状態及び許可情報を含み、アクセス認証状態は、「認証中」として設定される。

また、認証要求パケットに、ＶＴＥＰ１３０上の当該ユーザー端末を接続するユーザーポートの識別子、当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮの情報が更にキャリーされている。当該ユーザーポートは、当該イーサネットパケット又は８０２．１ｘ認証要求パケットを受信したユーザーポートであり、当該ユーザー端末のＭＡＣアドレスは、当該イーサネットパケット又は８０２．１ｘ認証要求パケットのソースＭＡＣアドレスであり、当該ユーザー端末が属するＶＬＡＮは、当該イーサネットパケット又は８０２．１ｘ認証要求パケットにキャリーされているＶＬＡＮ情報により示される。

後で特に説明がない限り、本開示に係るユーザーポートは、いずれもＶＴＥＰ上のユーザーアクセス要求を受信したポートを指す。

ステップＳ１０２で、認証サーバ１５０は、当該認証要求パケットを受信した後、当該ユーザーに対して認証を行い、ユーザーが認証を通過した後、当該ユーザーに対応する許可情報を検索する。

当該許可情報は、ＶＳＩ（ＶｉｒｔｕａｌＳｗｉｔｃｈＩｎｓｔａｎｃｅ、仮想スイッチインスタンス）識別子であり、ＶＸＬＡＮ識別子であることも可能である。

認証サーバ１５０は、当該認証要求パケットにキャリーされているユーザー名及び暗号に基づいて、当該ユーザーに対して認証を行い、ユーザーが認証を通過した後、当該ユーザーに対応する許可情報を検索する。一つの許可情報は、一つ又は複数のユーザーに対応し、一つのユーザーは、一つの許可情報のみに対応する。

ステップＳ１０３で、認証サーバ１５０は、ＶＴＥＰ１３０に認証を通過した当該ユーザーの許可情報を送信する。

ステップＳ１０４で、ＶＴＥＰ１３０は、当該許可情報を受信した後、本設備上の、当該ユーザー端末を接続するユーザーポート上でＡＣインタフェースを作成し、当該ＡＣインタフェースを当該許可情報に関連付ける。

ステップＳ１０３で、認証サーバ１５０は、以下のいずれか一つの方式を用いて当該許可情報を送信する。

一例によれば、認証サーバ１５０は、ユーザーが認証を通過した後、ＶＴＥＰ１３０に認証通過パケットを送信する。当該認証通過パケットのＶｅｎｄｏｒＳｐｅｃｉｆｉｃ（ベンダーカスタム）フィールドに当該許可情報をキャリーする。例えば、ＶｅｎｄｏｒＳｐｅｃｉｆｉｃフィールドは、ＴＬＶ（ＴｙｐｅＬｅｎｇｔｈＶａｌｕｅ、種類・長さ・値）フォーマットである。Ｔｙｐｅフィールドの値は、特定値、例えば、１６０に設定され、当該ＶｅｎｄｏｒＳｐｅｃｉｆｉｃフィールドが許可情報をキャリーするために用いられることを示す。Ｖａｌｕｅフィールドは、当該許可情報をキャリーするために用いられる。

このように、ステップＳ１０４で、ＶＴＥＰ１３０は、認証サーバ１５０が送信した認証通過パケットを受信した後、本設備の、当該ユーザー端末を接続するユーザーポート上でＡＣインタフェースを作成する。当該ＡＣインタフェースとユーザーポート及び当該ユーザー端末が属するＶＬＡＮとがマッチングするか、或いは、当該ユーザーポート及び当該ユーザー端末のＭＡＣアドレスがマッチングするか、或いは、当該ユーザーポートと当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮとがマッチングする。そして、ＶＴＥＰ１３０は、当該ＡＣインタフェースを当該認証通過パケットにキャリーされている当該許可情報に関連付ける。

別の一例によれば、ＶＴＥＰ１３０が送信した認証要求パケットに、ＶＴＥＰの、当該ユーザー端末を接続するユーザーポートの識別子、当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮが更にキャリーされている。このため、認証サーバ１５０は、ユーザーが認証を通過した後、ＶＴＥＰ１３０に認証通過パケット及び配置情報を送信する可能であり、当該配置情報は、ＶＴＥＰ１３０の、当該ユーザー端末を接続するユーザーポートの識別子、当該ユーザー端末のＭＡＣアドレス、当該ユーザー端末が属するＶＬＡＮ及び当該ユーザーの許可情報を含む。認証サーバ１５０は、Ｎｅｔｃｏｎｆ（ネットワーク配置）プロトコル又はＯＶＳＤＢ（ＯｐｅｎｖＳｗｉｔｃｈＤａｔａｂａｓｅ、オープン仮想スイッチデータベース）管理プロトコル等を使用して配置情報を送信する。

このように、ステップＳ１０４で、ＶＴＥＰ１３０は、認証サーバ１５０が送信した配置情報を受信した後、当該配置情報に基づいて当該ユーザーポート上でＡＣインタフェースを作成する。当該ＡＣインタフェースと当該ユーザーポート及び当該ユーザー端末が属するＶＬＡＮとがマッチングするか、或いは、当該ユーザーポート及び当該ユーザー端末のＭＡＣアドレスがマッチングするか、又は、当該ユーザーポートと当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮとがマッチングする。そして、ＶＴＥＰ１３０は、当該ＡＣインタフェースを当該許可情報に関連付ける。

当該ユーザーポートをＰｏｒｔ１と表記し、当該ユーザー端末のＭＡＣアドレスをＭＡＣ１と表記し、当該ユーザー端末が属するＶＬＡＮをＶＬＡＮ１と表記すると仮定する。ユーザーポートＰｏｒｔ１上でＡＣインタフェース（ＡＣ１と表記）を作成する時、対応するマッチングルールを定義する。当該マッチングルールは、ＡＣインタフェースであるＡＣ１とユーザーポートＰｏｒｔ１及びユーザー端末が属するＶＬＡＮであるＶＬＡＮ１とがマッチングさせるために用いられ、即ち、ユーザーポートＰｏｒｔ１に受信した所属するＶＬＡＮがＶＬＡＮ１であるユーザーパケットとＡＣインタフェースであるＡＣ１とがマッチングする。或いは、当該マッチングルールは、ＡＣインタフェースであるＡＣ１とユーザーポートＰｏｒｔ１及びユーザー端末ＭＡＣアドレスＭＡＣ１とがマッチングさせるために用いられ、即ち、ユーザーポートＰｏｒｔ１に受信したソースＭＡＣアドレスがＭＡＣ１であるユーザーパケットとＡＣインタフェースであるＡＣ１とがマッチングする。或いは、当該マッチングルールは、ＡＣインタフェースであるＡＣ１とユーザーポートＰｏｒｔ１とユーザー端末ＭＡＣアドレスＭＡＣ１及びユーザー端末が所属するＶＬＡＮであるＶＬＡＮ１とがマッチングさせるために用いられ、即ち、ユーザーポートＰｏｒｔ１に受信したソースＭＡＣアドレスがＭＡＣ１であり、所属するＶＬＡＮがＶＬＡＮ１であるユーザーパケットとＡＣインタフェースであるＡＣ１とがマッチングする。

また、ステップＳ１０４で、ＶＴＥＰ１３０は、更に、認証記録テーブル内のユーザー端末ＭＡＣアドレスＭＡＣ１を含むエントリにおけるアクセス認証状態を「認証通過」に変更し、当該許可情報を当該エントリに追加する。

この時点で、当該ユーザーのアクセス要求は、許可され、従って、ユーザー端末によりオンラインで正常にユーザーパケットを送信する。

ステップＳ１０５で、ＶＴＥＰ１３０は、当該ＡＣインタフェースにユーザーパケットを受信した後、当該ＡＣインタフェースに関連付けられた許可情報を検索し、当該許可情報に基づいて当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行った後、ＶＸＬＡＮカプセル化するユーザーパケットを送信する。

例えば、ＶＴＥＰ１３０は、ユーザーポートＰｏｒｔ１にユーザーパケットを受信した後、ユーザーポートＰｏｒｔ１及び当該ユーザーパケットにキャリーされているＶＬＡＮ識別子「ＶＬＡＮ１」に対応するＡＣインタフェースであるＡＣ１を確定し、従って、当該ＡＣインタフェースであるＡＣ１に関連付けられた許可情報を検査する。或いは、ＶＴＥＰ１３０は、ユーザーポートＰｏｒｔ１にユーザーパケットを受信した後、ユーザーポートＰｏｒｔ１及び当該ユーザーパケットのソースＭＡＣアドレスＭＡＣ１に対応するＡＣインタフェースであるＡＣ１を確定し、従って、当該ＡＣインタフェースであるＡＣ１に関連付けられた許可情報を検索する。或いは、ＶＴＥＰ１３０は、ユーザーポートＰｏｒｔ１にユーザーパケットを受信した後、ユーザーポートＰｏｒｔ１、当該ユーザーパケットのソースＭＡＣアドレスＭＡＣ１及び当該ユーザーパケットにキャリーされているＶＬＡＮ識別子「ＶＬＡＮ１」に対応するＡＣインタフェースであるＡＣ１を確定し、従って、当該ＡＣインタフェースであるＡＣ１に関連付けられた許可情報を検索する。

検索された許可情報がＶＳＩ識別子である場合、ＶＴＥＰ１３０は、当該ＶＳＩ識別子に対応するＶＸＬＡＮ識別子を検索し、当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行った後、送信する。検索された許可情報がＶＸＬＡＮ識別子である場合、ＶＴＥＰ１３０は、当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行った後、送信する。

ステップＳ１０６で、ＶＴＥＰ１３０は、ＶＸＬＡＮパケットを受信した後、当該ＶＸＬＡＮパケットに対してカプセル化を解除してユーザーパケットを得、当該ＶＸＬＡＮパケットに対応する許可情報を確定し、当該ユーザーパケットの宛先ＭＡＣアドレスに基づいて、当該許可情報に対応するＭＡＣアドレステーブルから対応するＡＣインタフェースを検索し、当該ユーザーパケットを、当該ＡＣインタフェースに対応するユーザーポートを介して送信する。

その後、ユーザーがオフラインになった後、ＶＴＥＰ１３０は、当該ＡＣインタフェースを削除する。

本開示の上記の実施例の方法において、ユーザー端末からのユーザーアクセス要求を受信した時、ＶＴＥＰは、認証サーバに認証要求パケット送信する。このように、認証サーバは、当該認証要求パケットを受信した後、ユーザーに対して認証を行い、ユーザーが認証を通過した後、当該ユーザーに対応する許可情報をＶＴＥＰに送信する。当該許可情報は、ＶＳＩ識別子又はＶＸＬＡＮ識別子である。ＶＴＥＰは、当該許可情報を受信した後、本設備の当該ユーザー端末を接続するユーザーポート上でＡＣインタフェースを作成し、当該ＡＣインタフェースを当該許可情報に関連付け、従って、ユーザー端末がＶＸＬＡＮネットワークへアクセスすることを制御する。

上記の方法において、ＶＴＥＰは、アクセス認証機能を有する。このため、ＶＴＥＰとユーザー端末の間に２層スイッチを追加してユーザーに対するアクセス認証を行なう必要がなく、従って、ネットワークレベルを効果的に減らし、ネットワーク複雑度を低下させる。ＶＴＥＰは、認証サーバが送信した許可情報を受信した後、予めＶＴＥＰの各々のユーザーポート上でＡＣインタフェース作成する必要なしに動的にＡＣインタフェースを作成し、従って、ハードウェア資源を効果的に節約し、且つＡＣインタフェースの配置作業量を効果的に減少する。

一例において、ＶＴＥＰ設備を提供する。ハードウェアのレベルから言うと、ハードウェアアーキテクチャ模式図は、図３を参照する。本開示の例が提供するＶＴＥＰ設備は、機械可読記憶媒体２０と、プロセッサ１０とを含む。

機械可読記憶媒体２０は、アクセス制御論理に対応する機械可読命令を記憶する。
プロセッサ１０は、システムバス３０を介して機械可読記憶媒体２０と通信し、機械可読記憶媒体に記憶される前記機械可読命令を読み取り及び実行して、本開示の上記の図１の例に開示されるアクセス制御方法を実現する。

ここで、機械可読記憶媒体は、いかなる電子、磁性、光学又は他の物理的な記憶装置であり、例えば、実行可能な命令、データ等の情報を格納又は記憶する。例えば、機械可読記憶媒体は、ＲＡＭ（ＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙ、ランダムアクセスメモリ）、揮発性メモリ、不揮発性メモリ、フラッシュメモリ、記憶ドライブ（例えば、ハードドライブ）、ソリッドステートディスク、いかなる類型の記憶ディスク（例えば、コンパクトディスク、ＤＶＤ等）、或いは、類似した記憶媒体又はそれらの組み合わせである。上記のアクセス制御方法と同様な構想に基づいて、本開示の実施例は、アクセス制御装置を更に提供し、当該アクセス制御装置は、ＶＴＥＰ設備に応用される。図４に示すように、本開示の例が提供するアクセス制御装置５０の構造図である。当該装置は、受信モジュール６０１と、要求送信モジュール６０２と、作成モジュール６０３とを含む。

受信モジュール６０１は、ユーザー端末からのユーザーアクセス要求を受信するために用いられる。なお、受信モジュール６０１は、更に、認証サーバが送信した認証を通過したユーザーの、ＶＳＩ識別子又はＶＸＬＡＮ識別子を含む許可情報を受信するために用いられる。

要求送信モジュール６０２は、受信モジュール６０１がユーザー端末からのユーザーアクセス要求を受信した時、認証サーバがユーザーに対して認証を行うように、認証サーバに認証要求パケットを送信するために用いられる。

作成モジュール６０３は、受信モジュール６０１が認証サーバからの許可情報を受信した後、本設備のユーザー端末を接続するユーザーポート上でＡＣインタフェースを作成し、当該ＡＣインタフェースを当該許可情報に関連付けるために用いられる。

一例によれば、受信モジュール６０１は、具体的には、認証サーバが、ユーザーが認証を通過した後に、送信した認証通過パケットを受信するために用いられる。当該認証通過パケットのＶｅｎｄｏｒＳｐｅｃｉｆｉｃフィールドに、当該ユーザーの許可情報がキャリーされる。

別の一例によれば、受信モジュール６０１は、具体的には、認証サーバが、ユーザーが認証を通過した後に、送信した認証通過パケット及び配置情報を受信するために用いられる。当該配置情報は、前記ユーザーの許可情報を含む。

当該ＡＣインタフェースと当該ユーザーポート及び当該ユーザー端末が属するＶＬＡＮとがマッチングする。或いは、当該ＡＣインタフェースと当該ユーザーポート及び当該ユーザー端末のＭＡＣアドレスとがマッチングする。また或いは、当該ＡＣインタフェースと当該ユーザーポートと当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮとがマッチングする。

当該ＡＣインタフェースと当該ユーザーポート及び当該ユーザー端末のＭＡＣアドレスとがマッチングする場合、図５に示すように、上記のアクセス制御装置５０は、確定モジュール６０４と、カプセル化送信モジュール６０５とを更に含む。この場合、受信モジュール６０１は、更に、当該ユーザーポートにユーザーパケットを受信するために用いられる。確定モジュール６０４は、受信モジュール６０１が当該ユーザーポートにユーザーパケットを受信した後、当該ユーザーポート及び当該ユーザーパケットのソースＭＡＣアドレスに対応するＡＣインタフェースを確定し、当該ＡＣインタフェースに関連付けられた当該許可情報を確定するために用いられる。カプセル化送信モジュール６０５は、確定モジュール６０４が確定した許可情報に基づいて当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、カプセル化して得たＶＸＬＡＮパケットを送信するために用いられる。

当該ＡＣインタフェースと当該ユーザーポート及び当該ユーザー端末が属するＶＬＡＮとがマッチングする場合、図５に示すように、上記のアクセス制御装置５０は、確定モジュール６０４と、カプセル化送信モジュール６０５とを更に含む。この場合、受信モジュール６０１は、更に、当該ユーザーポートにユーザーパケットを受信するために用いられる。確定モジュール６０４は、受信モジュール６０１が当該ユーザーポートにユーザーパケットを受信した後、当該ユーザーポート及び当該ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定し、当該ＡＣインタフェースに関連付けられた当該許可情報を確定するために用いられる。カプセル化送信モジュール６０５は、確定モジュール６０４が確定した許可情報に基づいて当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、カプセル化して得たＶＸＬＡＮパケットを送信するために用いられる。

当該ＡＣインタフェースと当該ユーザーポートと当該ユーザー端末のＭＡＣアドレス及び当該ユーザー端末が属するＶＬＡＮとがマッチングする場合、図５に示すように、上記のアクセス制御装置５０は、確定モジュール６０４と、カプセル化送信モジュール６０５とを更に含む。この場合、受信モジュール６０１は、更に、当該ユーザーポートからユーザーパケットを受信するために用いられる。確定モジュール６０４は、受信モジュール６０１が当該ユーザーポートからユーザーパケットを受信した後、当該ユーザーポート、当該ユーザーパケットのソースＭＡＣアドレス及び当該ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定し、当該ＡＣインタフェースに関連付けられた当該許可情報を確定するために用いられる。カプセル化送信モジュール６０５は、確定モジュール６０４が確定した許可情報に基づいて当該ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、カプセル化して得たＶＸＬＡＮパケットを送信するために用いられる。

また、図５に示すように、上記のアクセス制御装置５０は、当該ユーザーがオフラインになった後、作成モジュール６０３が作成したＡＣインタフェースを削除するための削除モジュール６０６を更に含む。

装置実施例は、基本的に方法実施例に対応するため、関連箇所は、方法実施例の部分の説明を参照すれば良い。以上記述された装置実施例は、ただ模式的なものであり、その中で記載された分離部品として説明されたユニットは、物理的に分かれていてもいなくても良く、ユニットとして表示された部品は、物理ユニットであってもなくても良く、即ち、一つの場所に位置しても良く、又は複数のネットワークユニットに分布されても良い。実際の必要に基づいてそのうち一部又は全部のモジュールを選んで本実施例の方案の目的を実現する。本分野における通常の知識を有する者は、創造的労働をせずに理解及び実施することができる。

以上、本開示の実施例が提供する方法及び装置を詳細に紹介し、本文において具体的な例を応用して本開示の原理及び実施形態に対して記述した。以上の実施例の説明は、ただ本開示の発明メカニズム及びその核となる思想の理解を促進するために用いられる。一方、本分野における通常の知識を有する者にとって、本開示の思想に基づいて、具体的な実施形態及び応用範囲上で変更箇所があるだろう。要約すると、本明細書の内容は、本開示に対する制限として理解されるべきではない。

Claims

アクセス制御方法であって、
仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰは、ユーザー端末からのユーザーアクセス要求を受信した時、認証サーバがユーザーに対して認証を行うように、前記認証サーバに認証要求パケットを送信するステップと、
前記ＶＴＥＰは、前記認証サーバが送信した、認証を通過した前記ユーザーの、仮想スイッチインスタンスＶＳＩ識別子又は仮想拡張可能ローカルエリアネットワークＶＸＬＡＮ識別子を含む許可情報を受信するステップと、
前記ＶＴＥＰは、本設備の前記ユーザー端末を接続するユーザーポート上で接続回路ＡＣインタフェースを作成するステップと、
前記ＶＴＥＰは、前記ＡＣインタフェースを前記許可情報に関連付けるステップとを含むことを特徴とする方法。
前記ＶＴＥＰは、前記認証サーバが送信した、認証を通過した前記ユーザーの許可情報を受信するステップは、
前記ＶＴＥＰは、ユーザーが認証を通過した後に、前記認証サーバが送信した認証通過パケットを受信するステップを含み、
前記認証通過パケットのベンダーカスタムフィールドに前記ユーザーの許可情報がキャリーされることを特徴とする請求項１に記載の方法。
前記認証サーバが送信した、認証を通過した前記ユーザーの許可情報を受信するステップは、
ユーザーが認証を通過した後に、前記認証サーバが送信した認証通過パケット及び配置情報を受信するステップを含み、
前記配置情報は、前記ユーザーの許可情報を含むことを特徴とする請求項１に記載の方法。
前記ＡＣインタフェースと前記ユーザーポート及び前記ユーザー端末のＭＡＣアドレスとがマッチングし、前記方法は、
前記ＶＴＥＰは、前記ユーザーポートから前記ユーザー端末からのユーザーパケットを受信するステップと、
前記ＶＴＥＰは、前記ユーザーポート及び前記ユーザーパケットのソースＭＡＣアドレスに対応するＡＣインタフェースを確定するステップと、
前記ＶＴＥＰは、確定されたＡＣインタフェースに関連付けられた許可情報を確定するステップと、
前記ＶＴＥＰは、前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行うステップと、
前記ＶＴＥＰは、カプセル化して得たＶＸＬＡＮパケットを送信するステップとを更に含むことを特徴とする請求項１に記載の方法。
前記ＡＣインタフェースと前記ユーザーポート及び前記ユーザー端末が属するＶＬＡＮとがマッチングし、前記方法は、
前記ＶＴＥＰは、前記ユーザーポートに前記ユーザー端末からのユーザーパケットを受信するステップと、
前記ＶＴＥＰは、前記ユーザーポート及び前記ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定するステップと、
前記ＶＴＥＰは、確定されたＡＣインタフェースに関連付けられた許可情報を確定するステップと、
前記ＶＴＥＰは、前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行うステップと、
前記ＶＴＥＰは、カプセル化して得たＶＸＬＡＮパケットを送信するステップとを更に含むことを特徴とする請求項１に記載の方法。
前記ＡＣインタフェースと前記ユーザーポートと前記ユーザー端末のＭＡＣアドレス及び前記ユーザー端末が属するＶＬＡＮとがマッチングし、前記方法は、
前記ＶＴＥＰは、前記ユーザーポートに前記ユーザー端末からのユーザーパケットを受信するステップと、
前記ＶＴＥＰは、前記ユーザーポート、前記ユーザーパケットのソースＭＡＣアドレス及び前記ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定するステップと、
前記ＶＴＥＰは、確定されたＡＣインタフェースに関連付けられた許可情報を確定するステップと、
前記ＶＴＥＰは、前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行うステップと、
前記ＶＴＥＰは、カプセル化して得たＶＸＬＡＮパケットを送信するステップとを更に含むことを特徴とする請求項１に記載の方法。
前記ＶＴＥＰは、前記ユーザーがオフラインになった後、前記ＡＣインタフェースを削除するステップを更に含むことを特徴とする請求項１に記載の方法。
仮想拡張可能ローカルエリアネットワークトンネルエンドポイントＶＴＥＰ設備であって、プロセッサと、機械可読記憶媒体とを含み、前記機械可読記憶媒体に、前記プロセッサにより実行可能な機械可読命令が記憶され、前記プロセッサは、前記機械可読命令に、
ユーザー端末からのユーザーアクセス要求を受信した時、認証サーバがユーザーに対して認証を行うように、前記認証サーバに認証要求パケットを送信し、
前記認証サーバが送信した、認証を通過した前記ユーザーの、仮想スイッチインスタンスＶＳＩ識別子又は仮想拡張可能ローカルエリアネットワークＶＸＬＡＮ識別子を含む許可情報を受信し、
本設備の前記ユーザー端末を接続するユーザーポート上で接続回路ＡＣインタフェースを作成し、
前記ＡＣインタフェースを前記許可情報に関連付けさせられることを特徴とするＶＴＥＰ設備。
前記認証サーバが送信した、認証を通過した前記ユーザーの許可情報を受信する時、前記機械可読命令は、前記プロセッサに、
前記認証サーバが、ユーザーが認証を通過した後に、送信した認証通過パケットを受信させ、
前記認証通過パケットのベンダーカスタムフィールドに前記ユーザーの許可情報がキャリーされることを特徴とする請求項８に記載のＶＴＥＰ設備。
前記認証サーバが送信した、認証を通過した前記ユーザーの許可情報を受信する時、前記機械可読命令は、前記プロセッサに、
前記認証サーバが、ユーザーが認証を通過した後に、送信した認証通過パケット及び配置情報を受信させ、
前記配置情報は、前記ユーザーの許可情報を含むことを特徴とする請求項８に記載のＶＴＥＰ設備。
前記ＡＣインタフェースと前記ユーザーポート及び前記ユーザー端末のＭＡＣアドレスとがマッチングし、前記機械可読命令は、更に、前記プロセッサに、
前記ユーザーポートに前記ユーザー端末からのユーザーパケットを受信し、
前記ユーザーポート及び前記ユーザーパケットのソースＭＡＣアドレスに対応するＡＣインタフェースを確定し、
確定されたＡＣインタフェースに関連付けられた許可情報を確定し、
前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、
カプセル化して得たＶＸＬＡＮパケットを送信させることを特徴とする請求項８に記載のＶＴＥＰ設備。
前記ＡＣインタフェースと前記ユーザーポート及び前記ユーザー端末が属するＶＬＡＮとがマッチングし、前記機械可読命令は、更に、前記プロセッサに、
前記ユーザーポートに前記ユーザー端末からのユーザーパケットを受信し、
前記ユーザーポート及び前記ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定し、
確定されたＡＣインタフェースに関連付けられた許可情報を確定し、
前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、
カプセル化して得たＶＸＬＡＮパケットを送信させることを特徴とする請求項８に記載のＶＴＥＰ設備。
前記ＡＣインタフェースと前記ユーザーポートと前記ユーザー端末のＭＡＣアドレス及び前記ユーザー端末が属するＶＬＡＮとがマッチングし、前記機械可読命令は、更に、前記プロセッサに、
前記ユーザーポートに前記ユーザー端末からのユーザーパケットを受信し、
前記ユーザーポート、前記ユーザーパケットのソースＭＡＣアドレス及び前記ユーザーパケットにキャリーされているＶＬＡＮ識別子に対応するＡＣインタフェースを確定し、
確定されたＡＣインタフェースに関連付けられた許可情報を確定し、
前記許可情報に基づいて、前記ユーザーパケットに対してＶＸＬＡＮカプセル化を行い、
カプセル化して得たＶＸＬＡＮパケットを送信させることを特徴とする請求項８に記載のＶＴＥＰ設備。
前記機械可読命令は、更に、前記プロセッサに、
前記ユーザーがオフラインになった後、前記ＡＣインタフェースを削除させることを特徴とする請求項８に記載のＶＴＥＰ設備。