一种网络准入控制方法、装置、终端及存储介质制造方法及图纸

本发明专利技术实施例适用于计算机安全技术领域，提供了一种网络准入控制方法、装置、终端及存储介质，其中，网络准入控制方法包括：判断在终端的网络协议栈中抓取到的数据包是否由终端发出，得到判断结果；在判断结果表征数据包由终端发出的情况下，在数据包中添加预设标识，并将添加了预设标识的数据包放回网络协议栈，以实现将数据包发送至对端设备；在判断结果表征数据包不是由所述终端发出的情况下，基于数据包中是否存在预设标识，确定是否将数据包放回网络协议栈，以发送至终端中与数据包对应的应用。应用。应用。

【技术实现步骤摘要】
一种网络准入控制方法、装置、终端及存储介质


[0001]本专利技术涉及计算机安全
，尤其涉及一种网络准入控制方法、装置、终端及存储介质。

技术介绍

[0002]网络准入控制可以防止病毒和蠕虫等黑客技术对数据安全造成危害，相关技术中网络准入控制需要通过交换机实现，对连接到交换机上的设备进行认证，只有在验证成功后，交换机端口才会被放开，否则只允许特定的认证流量通过。相关技术通过交换机来实现网络准入，需要修改大量的交换机配置，部署难度较大。

技术实现思路

[0003]为了解决上述问题，本专利技术实施例提供了一种网络准入控制方法、装置、终端及存储介质，以至少解决相关技术通过交换机实现网络准入的部署难度较大的问题。
[0004]本专利技术的技术方案是这样实现的：
[0005]第一方面，本专利技术实施例提供了一种网络准入控制方法，应用于终端中安装的客户端，所述方法包括：
[0006]判断在所述终端的网络协议栈中抓取到的数据包是否由所述终端发出，得到判断结果；
[0007]在所述判断结果表征所述数据包由所述终端发出的情况下，在所述数据包中添加预设标识，并将添加了预设标识的数据包放回网络协议栈，以实现将所述数据包发送至对端设备；
[0008]在所述判断结果表征所述数据包不是由所述终端发出的情况下，基于所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0009]上述方案中，在所述判断结果表征所述数据包由所述终端发出的情况下，还包括：
[0010]在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话；
[0011]相应地，所述在所述判断结果表征所述数据包不是由所述终端发出的情况下，基于所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：
[0012]在所述判断结果表征所述数据包不是由所述终端发出的情况下，判断是否存在与接收的所述数据包对应的会话；
[0013]若存在对应的会话，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；
[0014]若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0015]上述方案中，所述在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话，包括：
[0016]在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话，并标注该会话为主动；
[0017]所述若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：
[0018]若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，标注该会话为被动，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；
[0019]相应地，所述若存在对应的会话，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：
[0020]若存在对应的会话，则进一步判断该会话是主动发起还是被动响应；
[0021]若是主动发起，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；
[0022]若是被动响应，则判断所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0023]上述方案中，所述在所述数据包中添加预设标识，包括：
[0024]确定所述数据包的网际互连协议IP报文中的设定字段的值；
[0025]基于设定规则对所述设定字段的值进行修改，得到所述预设标识。
[0026]上述方案中，在判断在所述终端的网络协议栈中抓取到的数据包是否由所述终端发出之前，所述方法还包括：
[0027]连接设定网关；
[0028]在基于所述设定网关推送的认证页面认证成功的情况下，开启所述客户端抓取数据包和在数据包中添加预设标识的权限。
[0029]上述方案中，所述将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用发送至所述终端中与所述数据包对应的应用，包括：
[0030]删除所述数据包中的预设标识；
[0031]将删除了预设标识的数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0032]上述方案中，所述客户端基于WinDivert框架实现对所述终端的数据包抓取以及修改操作。
[0033]第二方面，本专利技术实施例提供了一种网络准入控制方法，应用于终端中安装的客户端，所述方法包括：
[0034]判断在所述终端的网络协议栈中抓取到的数据包的地址是否为预设地址；
[0035]若是所述预设地址，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0036]上述方案中，所述预设地址包括媒体存取控制MAC地址和IP地址。
[0037]上述方案中，所述判断在所述终端的网络协议栈中抓取到的数据包的地址是否为
预设地址，包括：
[0038]从设定网关获取预设地址列表，判断在所述终端的网络协议栈中抓取到的数据包的地址是否在所述预设地址列表中；
[0039]若在所述预设地址列表中，确定在所述终端的网络协议栈中抓取到的数据包的地址为预设地址。
[0040]上述方案中，所述方法还包括：
[0041]连接所述设定网关；
[0042]在基于所述设定网关推送的认证页面认证成功的情况下，将所述终端的预设地址发送至所述设定网关，以使所述设定网关将所述终端的预设地址记录在所述预设地址列表中。
[0043]第三方面，本专利技术实施例提供了一种网络准入控制装置，该装置包括：
[0044]第一判断模块，用于判断在所述终端的网络协议栈中抓取到的数据包是否由所述终端发出，得到判断结果；
[0045]添加模块，用于在所述判断结果表征所述数据包由所述终端发出的情况下，在所述数据包中添加预设标识，并将添加了预设标识的数据包放回网络协议栈，以实现将所述数据包发送至对端设备；
[0046]确定模块，用于在所述判断结果表征所述数据包不是由所述终端发出的情况下，基于所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
[0047]第四方面，本专利技术实施例提供了一种网络准入控制装置，该装置包括：
[0048]第二判断模块，用于判断在所述终端的网络协议栈中抓取到的接收数据包的地址是否为预设地址；
[0049]发送模块，用于若是所述预设地址，则将所述接收数据包放回网络协议栈，本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网络准入控制方法，应用于终端中安装的客户端，其特征在于，所述方法包括：判断在所述终端的网络协议栈中抓取到的数据包是否由所述终端发出，得到判断结果；在所述判断结果表征所述数据包由所述终端发出的情况下，在所述数据包中添加预设标识，并将添加了预设标识的数据包放回网络协议栈，以实现将所述数据包发送至对端设备；在所述判断结果表征所述数据包不是由所述终端发出的情况下，基于所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。2.根据权利要求1所述的方法，其特征在于，在所述判断结果表征所述数据包由所述终端发出的情况下，还包括：在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话；相应地，所述在所述判断结果表征所述数据包不是由所述终端发出的情况下，基于所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：在所述判断结果表征所述数据包不是由所述终端发出的情况下，判断是否存在与接收的所述数据包对应的会话；若存在对应的会话，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。3.根据权利要求2所述的方法，其特征在于，所述在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话，包括：在不存在与所述数据包对应会话的情况下，创建与所述数据包对应的会话，并标注该会话为主动；所述若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：若不存在对应的会话，则判断所述数据包中是否存在预设标识，在判断存在所述预设标识时，创建会话，标注该会话为被动，并将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；相应地，所述若存在对应的会话，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用，包括：若存在对应的会话，则进一步判断该会话是主动发起还是被动响应；若是主动发起，则将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用；若是被动响应，则判断所述数据包中是否存在预设标识，确定是否将所述数据包放回网络协议栈，以发送至所述终端中与所述数据包对应的应用。
4.根据权利要求1所述的方法，其特征在于，所述在所述数据包中添加预设标识，包括：确定所述数据包的网际互连协议IP报文中的设定字段的值；基于设定规则对所述设定字段的值进行修改，得到所述预设标识。5.根据权利要求1所述的方法，其特征在于，在判断在所述终端的网络协议栈中抓取到的数据包是否由所述终端发出之前，所述方法还包括：连接设定网关；在基于所述设定网关推送的认证页面认证成功的情况下，开启所述...

【专利技术属性】
技术研发人员：黄辉煌，张志良，
申请(专利权)人：深信服科技股份有限公司，
类型：发明
国别省市：