專利名稱：可信終端系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本實(shí)用新型涉及一種計(jì)算機(jī)內(nèi)網(wǎng)系統(tǒng)，特別涉及一種只允許可信終端接入網(wǎng)絡(luò)而
阻止其他計(jì)算機(jī)接入網(wǎng)絡(luò)的可信終端系統(tǒng)。
背景技術(shù)：
目前的一些終端認(rèn)證大多從網(wǎng)絡(luò)層控制計(jì)算機(jī)的非法接入，使得非授權(quán)終端數(shù)據(jù) 流可以進(jìn)入網(wǎng)絡(luò)，造成如ARP包、非法廣播、ping攻擊、惡意病毒、木馬數(shù)據(jù)流在網(wǎng)絡(luò)中泛 Y皿。 此外， 一些終端認(rèn)證直接利用交換機(jī)的普通端口 ，沒有對(duì)端口進(jìn)行控制，只是對(duì)數(shù) 據(jù)的普通轉(zhuǎn)發(fā)，不能對(duì)計(jì)算機(jī)的接入進(jìn)行控制。 此外，一些終端認(rèn)證為彈出界面，要求用戶輸入相關(guān)認(rèn)證信息進(jìn)行認(rèn)證，非常麻 煩，并且也給非法破譯密碼等非法連入網(wǎng)絡(luò)創(chuàng)造了條件。 因此，目前的內(nèi)部網(wǎng)絡(luò)不能阻止外界計(jì)算機(jī)非法接入，因而極易造成信息泄露，帶 來很大的信息安全隱患，如何控制非法主機(jī)接入內(nèi)部網(wǎng)絡(luò)是目前很多企、事業(yè)單位共同關(guān) 心的問題。

發(fā)明內(nèi)容為了解決現(xiàn)有技術(shù)存在的非法主機(jī)接入問題，本實(shí)用新型提供了一種可信終端系
統(tǒng)，以防止外部主機(jī)非法接入內(nèi)部網(wǎng)絡(luò)，保護(hù)網(wǎng)絡(luò)內(nèi)部計(jì)算機(jī)及數(shù)據(jù)安全。
本實(shí)用新型的上述目的是這樣實(shí)現(xiàn)的，一種可信終端系統(tǒng)，包括局域網(wǎng)；通過所
述局域網(wǎng)互聯(lián)的多個(gè)計(jì)算機(jī)；連接所述局域網(wǎng)的具有受控端口的交換機(jī)；以及連接所述交
換機(jī)以對(duì)所述計(jì)算機(jī)經(jīng)由所述交換機(jī)發(fā)出的認(rèn)證請(qǐng)求進(jìn)行認(rèn)證的認(rèn)證服務(wù)器。 其中，所述多個(gè)計(jì)算機(jī)之每個(gè)經(jīng)由所述局域網(wǎng)分別連接所述交換機(jī)的一個(gè)相應(yīng)的
受控端口 ；所述認(rèn)證服務(wù)器連接所述交換機(jī)的一個(gè)其他端口 。 其中，所述交換機(jī)包括具有多個(gè)分別連接所述多個(gè)計(jì)算機(jī)的受控端口和連接所
述認(rèn)證服務(wù)器其他端口的交換芯片；以及連接所述交換芯片以根據(jù)所述認(rèn)證服務(wù)器的認(rèn)證
結(jié)果對(duì)連接所述計(jì)算機(jī)的端口進(jìn)行控制的端口控制模塊。 其中，所述計(jì)算機(jī)具有一個(gè)啟動(dòng)計(jì)算機(jī)工作的USB密鑰。 本實(shí)用新型具有以下技術(shù)效果 1、可以對(duì)當(dāng)前內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)的所有服務(wù)器、終端計(jì)算機(jī)進(jìn)行訪問控制的授權(quán)認(rèn) 證。 2、可以保證只有經(jīng)過主管部門授權(quán)認(rèn)證的計(jì)算機(jī)，才可以順利通過基于交換機(jī)端 口的訪問控制認(rèn)證，進(jìn)而才可以自由的應(yīng)用單位內(nèi)部的計(jì)算機(jī)網(wǎng)絡(luò)以及其中的資源。 3、通過可信終端管理程序和基于端口的訪問控制機(jī)制的配合，使未經(jīng)過相關(guān)主管 部門授權(quán)的計(jì)算機(jī)無法擅自接入內(nèi)部的計(jì)算機(jī)網(wǎng)絡(luò)。
以下結(jié)合附圖對(duì)本實(shí)用新型進(jìn)行詳細(xì)說明。
圖1是本實(shí)用新型的可信終端系統(tǒng)的配置圖； 圖2是顯示本實(shí)用新型的可信終端系統(tǒng)的對(duì)入網(wǎng)請(qǐng)求進(jìn)行處理的示意圖； 圖3是圖2所述的交換機(jī)的原理圖； 圖4是顯示圖3所示交換機(jī)的用于數(shù)據(jù)流交換和認(rèn)證信息傳輸?shù)氖疽鈭D。
具體實(shí)施方式
圖1顯示了本實(shí)用新型的可信終端系統(tǒng)的配置，圖1所示的可信終端系統(tǒng)包括局 域網(wǎng)2，它可以是以太網(wǎng)或無線局域網(wǎng)；通過所述局域網(wǎng)2互聯(lián)的多個(gè)計(jì)算機(jī)1 ;經(jīng)由所述 局域網(wǎng)2連接所述計(jì)算機(jī)1的具有受控端口的交換機(jī)3，該交換機(jī)3可以根據(jù)認(rèn)證結(jié)果接受 或拒絕計(jì)算機(jī)的入網(wǎng)請(qǐng)求；以及連接所述交換機(jī)3的認(rèn)證服務(wù)器4，該認(rèn)證服務(wù)器4對(duì)所述 計(jì)算機(jī)1經(jīng)由所述交換機(jī)3發(fā)送的認(rèn)證請(qǐng)求進(jìn)行認(rèn)證或識(shí)別，并將認(rèn)證或識(shí)別后得到的認(rèn) 證結(jié)果返回給交換機(jī)3。 圖2顯示了交換機(jī)3和認(rèn)證服務(wù)器4處理計(jì)算機(jī)1的入網(wǎng)請(qǐng)求的情形。如圖2所 示，假定在計(jì)算機(jī)A、 B和C中，計(jì)算機(jī)A和B是可信計(jì)算機(jī)，而計(jì)算機(jī)C是非法接入的計(jì)算 機(jī)。當(dāng)計(jì)算機(jī)A C啟動(dòng)時(shí)，分別經(jīng)由交換機(jī)3向服務(wù)器4發(fā)送認(rèn)證請(qǐng)求。由于計(jì)算機(jī)A 和B是可信計(jì)算機(jī)，因此服務(wù)器4向交換機(jī)3發(fā)送"計(jì)算機(jī)A和B認(rèn)證成功"的認(rèn)證結(jié)果， 使交換機(jī)3打開分別連接計(jì)算機(jī)A和B的受控端口 ；而由于計(jì)算機(jī)C不是可信計(jì)算機(jī)，因此 服務(wù)器4向交換機(jī)3發(fā)送"計(jì)算機(jī)C認(rèn)證失敗"的認(rèn)證結(jié)果，使交換機(jī)3的連接計(jì)算機(jī)C的 受控端口處于斷開狀態(tài)，從而拒絕計(jì)算機(jī)C入網(wǎng)。 如圖1和2所示，多個(gè)計(jì)算機(jī)1如計(jì)算機(jī)A C之每個(gè)經(jīng)由局域網(wǎng)2分別連接所 述交換機(jī)1的一個(gè)相應(yīng)的受控端口 ；認(rèn)證服務(wù)器4連接所述交換機(jī)1的一個(gè)其他端口。 圖3顯示了本實(shí)用新型的可根據(jù)服務(wù)器的認(rèn)證結(jié)果控制受控端口狀態(tài)的交換機(jī)3 的原理。如圖3所示，該交換機(jī)3包括具有多個(gè)經(jīng)由局域網(wǎng)2分別連接所述計(jì)算機(jī)A C 的受控端口 311、312、313和連接認(rèn)證服務(wù)器4的其他端口 314的交換芯片31 ;以及連接所 述交換芯片31以根據(jù)認(rèn)證服務(wù)器的認(rèn)證結(jié)果對(duì)連接計(jì)算機(jī)的端口進(jìn)行控制的端口控制模 塊32。 交換芯片31可以在來自計(jì)算機(jī)A C的數(shù)據(jù)包中添加受控端口號(hào)，以便端口控制
模塊32根據(jù)服務(wù)器4的認(rèn)證結(jié)果的數(shù)據(jù)包對(duì)交換芯片31的受控端口進(jìn)行控制。 服務(wù)器4通常用數(shù)據(jù)包中的標(biāo)志位表示認(rèn)證結(jié)果，這樣端口控制芯片32就可以根
據(jù)該標(biāo)志位對(duì)交換芯片的受控端口進(jìn)行控制，即當(dāng)標(biāo)志位為認(rèn)證成功符號(hào)時(shí)，打開連接相
應(yīng)計(jì)算機(jī)的受控端口，允許該計(jì)算機(jī)的數(shù)據(jù)流傳送；而當(dāng)關(guān)于某個(gè)計(jì)算機(jī)認(rèn)證請(qǐng)求的標(biāo)志
位為認(rèn)證失敗符號(hào)時(shí)，使相關(guān)的受控端口處于斷開狀態(tài)，從而拒絕該計(jì)算機(jī)入網(wǎng)。 此外，本實(shí)用新型的可信計(jì)算機(jī)1可以有一個(gè)啟動(dòng)計(jì)算機(jī)工作的USB密鑰。 下面參照?qǐng)D4對(duì)本實(shí)用新型的原理進(jìn)行詳細(xì)說明。 對(duì)于不帶USB密鑰的可信計(jì)算機(jī)A和B，可信計(jì)算機(jī)A和B通過交換機(jī)認(rèn)證信息 傳送單元向認(rèn)證服務(wù)器發(fā)送認(rèn)證請(qǐng)求信息，認(rèn)證服務(wù)器收到請(qǐng)求信息后，對(duì)信息進(jìn)行識(shí)別， 通過交換機(jī)端口向可信終端轉(zhuǎn)發(fā)應(yīng)答信息。若成功，端口控制模塊32根據(jù)認(rèn)證成功的標(biāo)志位，打開受控端口311和312(使其圖中的開關(guān)閉合)，使其可以通過數(shù)據(jù)流交換單元進(jìn)行數(shù) 據(jù)交換；否則，端口控制模塊32根據(jù)認(rèn)證失敗的標(biāo)志位維持受控端口斷開狀態(tài)，拒絕計(jì)算 機(jī)A和B連入網(wǎng)絡(luò)。 對(duì)于帶有USB密鑰的可信計(jì)算機(jī)A和B，必須首先插入U(xiǎn)SB密鑰，啟動(dòng)時(shí)，可信計(jì)算 機(jī)讀取USB密鑰信息，將讀取的信息通過交換機(jī)端口向認(rèn)證服務(wù)器發(fā)送，認(rèn)證服務(wù)器收到 請(qǐng)求信息后，對(duì)信息進(jìn)行識(shí)別，通過交換機(jī)任意端口向可信終端轉(zhuǎn)發(fā)應(yīng)答信息。若成功，則 開始通信，否則，拒絕終端連入網(wǎng)絡(luò)。 本實(shí)用新型基于端口的訪問控制，在交換機(jī)的端口處對(duì)所有入網(wǎng)請(qǐng)求的計(jì)算機(jī)都 默認(rèn)是阻斷其信息流的，即，在該端口處除可信終端的認(rèn)證信息數(shù)據(jù)流以外的其他所有數(shù) 據(jù)流全部被阻斷。因此，對(duì)于未經(jīng)主管部門授權(quán)認(rèn)證的非法接入內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)，在其通 過交換機(jī)連接內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)時(shí)，該非法接入的計(jì)算機(jī)既不可能向內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)發(fā)送任 何數(shù)據(jù)流，也不可能截獲計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部的任何數(shù)據(jù)流，從而達(dá)到對(duì)計(jì)算機(jī)非法接入的控 制和對(duì)計(jì)算機(jī)網(wǎng)絡(luò)內(nèi)部數(shù)據(jù)流的保護(hù)。 本實(shí)用新型的可信計(jì)算機(jī)是指能夠通過交換機(jī)和認(rèn)證服務(wù)器認(rèn)證的計(jì)算機(jī)。只有 以802. l.x協(xié)議向交換機(jī)發(fā)送認(rèn)證信息，交換機(jī)才能收到該認(rèn)證信息，交換機(jī)再把收到的 認(rèn)證信息轉(zhuǎn)發(fā)給認(rèn)證服務(wù)器，認(rèn)證服務(wù)器從認(rèn)證信息中提取用戶名和密碼，當(dāng)用戶名和密 碼完全正確時(shí)，請(qǐng)求才能通過，交換機(jī)默認(rèn)為關(guān)閉的端口才會(huì)打開，數(shù)據(jù)才能正常交互。故， 可信計(jì)算機(jī)能以802. l.x協(xié)議向交換機(jī)發(fā)送包含有用戶名和密碼的認(rèn)證信息，且能夠通過 認(rèn)證服務(wù)器認(rèn)證，這樣的終端計(jì)算機(jī)稱為可信終端。 計(jì)算機(jī)的認(rèn)證請(qǐng)求和服務(wù)器的認(rèn)證結(jié)果的幀格式由三部分組成，第一部分包括本 機(jī)MAC、目標(biāo)MAC和數(shù)據(jù)包類型；第二部分為標(biāo)志位；第三部分為包括用戶名和密碼的數(shù)據(jù) 內(nèi)容。服務(wù)器收到計(jì)算機(jī)發(fā)出的認(rèn)證請(qǐng)求后，檢查計(jì)算機(jī)的MAC、用戶名和密碼，如果它們是 正確的，則回送例如0x03的標(biāo)志位表示的認(rèn)證成功的認(rèn)證結(jié)果；如果錯(cuò)誤它們是錯(cuò)誤的， 則回送例如0x04的標(biāo)志位表示的認(rèn)證失敗的認(rèn)證結(jié)果。交換機(jī)3的端口控制模塊32根據(jù) 該標(biāo)志位的符號(hào)對(duì)交換芯片31的相應(yīng)受控端口進(jìn)行控制。 本實(shí)用新型具有以下技術(shù)效果 1、可以對(duì)當(dāng)前內(nèi)部計(jì)算機(jī)網(wǎng)絡(luò)的所有服務(wù)器、終端計(jì)算機(jī)進(jìn)行訪問控制的授權(quán)認(rèn) 證。受控端口只有在認(rèn)證通過之后才打開，用于傳遞網(wǎng)絡(luò)資源和服務(wù)。如果用戶未通過認(rèn) 證，受控端口處于未認(rèn)證狀態(tài)，則用戶無法訪問認(rèn)證系統(tǒng)提供的服務(wù)。受控端口可配置為雙 向受控、僅輸入受控2種方式，以適應(yīng)不同的應(yīng)用環(huán)境。 2、可以保證只有經(jīng)過主管部門(如，信息中心或者保密處等職能部門)授權(quán)認(rèn)證 的計(jì)算機(jī)，才可以順利通過基于交換機(jī)端口的訪問控制認(rèn)證，才可以自由的應(yīng)用單位內(nèi)部 的計(jì)算機(jī)網(wǎng)絡(luò)以及其中的資源。 3、可以使未經(jīng)過相關(guān)主管部門授權(quán)的計(jì)算機(jī)無法擅自接入內(nèi)部的計(jì)算機(jī)網(wǎng)絡(luò)。 盡管上文對(duì)本實(shí)用新型進(jìn)行了詳細(xì)說明，但是本實(shí)用新型不限于此，本技術(shù)領(lǐng)域 技術(shù)人員可以根據(jù)本實(shí)用新型的原理進(jìn)行各種修改。因此，凡按照本實(shí)用新型原理所作的 修改，都應(yīng)當(dāng)理解為落入本實(shí)用新型的保護(hù)范圍。
權(quán)利要求一種可信終端系統(tǒng)，其特征在于包括局域網(wǎng)(2)；通過所述局域網(wǎng)(2)互聯(lián)的多個(gè)計(jì)算機(jī)(1)；連接所述局域網(wǎng)(2)的具有受控端口的交換機(jī)(3)；以及連接所述交換機(jī)(3)以對(duì)所述計(jì)算機(jī)(1)經(jīng)由交換機(jī)(3)發(fā)出的認(rèn)證請(qǐng)求進(jìn)行認(rèn)證的認(rèn)證服務(wù)器(4)。
2. 根據(jù)權(quán)利要求l所述的可信終端系統(tǒng)，其特征在于，所述多個(gè)計(jì)算機(jī)(1)之每個(gè)經(jīng)由 局域網(wǎng)(2)分別連接所述交換機(jī)(1)的一個(gè)相應(yīng)的受控端口 ；認(rèn)證服務(wù)器(4)連接所述交換機(jī)(1)的一個(gè)其他端口。
3. 根據(jù)權(quán)利要求1或2所述的可信終端系統(tǒng)，其特征在于，所述交換機(jī)(3)包括 具有多個(gè)分別連接所述多個(gè)計(jì)算機(jī)(1)的受控端口和連接所述認(rèn)證服務(wù)器(4)其他端口的交換芯片(31);以及連接所述交換芯片(31)以根據(jù)所述認(rèn)證服務(wù)器(4)的認(rèn)證結(jié)果對(duì)連接計(jì)算機(jī)的端口 進(jìn)行控制的端口控制模塊(32)。
4. 根據(jù)權(quán)利要求3所述可信終端系統(tǒng)，其特征在于，所述計(jì)算機(jī)(1)具有一個(gè)啟動(dòng)計(jì)算 機(jī)工作的USB密鑰。
專利摘要本實(shí)用新型是一種可信終端系統(tǒng)，包括諸如以太網(wǎng)或無線局域網(wǎng)的局域網(wǎng)；通過所述局域網(wǎng)互聯(lián)的多個(gè)計(jì)算機(jī)；經(jīng)由所述局域網(wǎng)連接所述計(jì)算機(jī)的具有受控端口的交換機(jī)，該交換機(jī)可以根據(jù)認(rèn)證結(jié)果接受或拒絕計(jì)算機(jī)的入網(wǎng)請(qǐng)求；以及連接所述交換機(jī)的認(rèn)證服務(wù)器，該認(rèn)證服務(wù)器對(duì)所述計(jì)算機(jī)經(jīng)由交換機(jī)發(fā)送的認(rèn)證請(qǐng)求進(jìn)行認(rèn)證或識(shí)別，并將認(rèn)證或識(shí)別后得到的認(rèn)證結(jié)果返回給交換機(jī)。本實(shí)用新型可以有效地防止外部計(jì)算機(jī)接入屬于內(nèi)部網(wǎng)絡(luò)的局域網(wǎng)，從而提高了網(wǎng)絡(luò)安全性能。
文檔編號(hào)H04L29/06GK201491035SQ20092022240
公開日2010年5月26日 申請(qǐng)日期2009年9月7日 優(yōu)先權(quán)日2009年9月7日
發(fā)明者于晴, 王海洋 申請(qǐng)人:北京鼎普科技股份有限公司