具体实施方式

本发明旨在提出一种接入设备及终端接入控制方法，解决现有技术在启动逃生模式后对所有新接入终端直接放行存在的具有较大安全风险，或者控制所有新接入终端接入受限网络而影响正常业务开展的问题。其核心思想是：接入设备在终端认证通过后对合法终端的相关信息进行扫描，并加密作为指纹信息存储在本地，当接入设备与认证服务器之间网络连接异常导致认证服务器不可达时，接入设备进入逃生模式，该模式下接入设备会在终端获取到IP地址后进行扫描操作，并将扫描到的信息加密后与指纹库中的数据进行对比，并根据比对结果以及对应的放行策略，对该终端的网络接入进行控制。

实施例：

如图2所示，本实施例中的接入设备结构如图2所示，包括：嗅探扫描模块、指纹数据库模块、链路检测模块、接入认证模块、逃生控制模块；具体的，

链路检测模块，用于通过检测接入设备与认证服务器之间的链路，判断认证服务器是否可达，若可达，则触发接入认证模块，否则，触发逃生控制模块；

接入认证模块，用于向认证服务器发起认证流程，在终端认证通过后触发嗅探扫描模块；

嗅探扫描模块，用于对终端进行嗅探扫描，获取终端的相关信息；

指纹数据库模块，用于将认证通过后的终端的相关信息作为对应终端的指纹信息并存储；逃生控制模块，用于在终端获取IP地址后通过嗅探扫描模块获取终端的相关信息，并与指纹数据库中的数据进行匹配，根据匹配结果并结合对应的放行策略对终端接入进行控制。

本实施例中的接入设备支持dot1xfreeip(dot1x免认证IP)功能，以便允许用户在完成认证前能获取到IP地址。在接入设备与认证服务器间链路正常时，终端正常的进行接入认证，认证通过后，接入设备对该合法接入终端进行嗅探扫描，获取终端基本信息以及终端开放服务和端口信息，上述信息将作为终端指纹的基础信息，存储至本地指纹数据库中。

当接入设备与认证服务器之间因网络链接异常导致认证服务器不可达，接入设备进入逃生模式，该模式下，接入设备会在终端获取到IP地址后进行嗅探扫描，并将扫描到的信息加密后与指纹库中的数据做对比，并根据比对结果以及对应的放行策略，对该终端接入进行控制；这样既能保证认证服务器不可达时，合法终端的接入控制，避免影响正常业务开展，也保障了网络的安全性。

基于上述接入设备，本实施例还提出了一种终端接入控制方法，其流程如图3所示，包括以下实施步骤：

1、终端请求接入网络：

本步骤中，当终端通过接入设备请求接入网络时，接入设备首先判断当前认证服务器是否可达，若是，则进入步骤2，否则，接入设备进入逃生模式，执行步骤3；

2、启动正常认证流程：

本步骤中，接入设备向认证服务器发起认证流程，终端进行正常的接入认证，如果认证成功，则授权终端正常访问网络，则该终端可以接入全权限网络；如果认证失败，且达到一定次数(比如3次)时，认证失败，说明此终端并非合法终端，拒绝该终端接入网络。

另外，若终端认证通过，则接入设备对该终端进行嗅探扫描，可扫描获取终端基本信息(操作系统、MAC、IP、接入端口索引ID等)、终端开放服务和端口信息(如ftp:21、telnet:23、rtsp:554、smtp:25等等)。上述信息将被作为终端指纹的重要信息源，使用指定的加密方式加密后存储在接入设备上的终端指纹数据库中。

为了提高后续对终端接入控制的灵活性，本实施例中的指纹分为一级指纹和二级指纹，具体而言，可以将终端MAC地址+操作系统名称字符串+索引ID16进制值(salt)使用MD5算法加密后作为一级指纹；将终端开放服务名称+端口信息字符串+终端MAC地址使用MD5算法加密后作为二级指纹。

3、启动逃生控制流程：

在接入设备进入逃生模式后，free ip功能(认证前IP地址获取功能)生效，终端可以在认证前获取到IP地址，接入设备侧通过该终端的ARP报文、DHCP报文获取到该终端IP地址，然后在设备上启用一个与该IP地址同网段的三层接口地址，同时针对终端IP地址下发host类型ACL，从而限制终端仅能与所述三层接口IP地址通讯。便于对该终端执行嗅探扫描同时限制该终端对网络中其他资源的访问。执行扫描时优先进行终端基本信息扫描，再进行终端开放服务和端口信息扫描。

一级指纹校验：获取到终端基本信息后，即将对应基本信息使用与步骤2中相同的加密方式进行加密，以得到该终端一级指纹信息，并将该一级指纹信息与本地数据库中的一级指纹信息进行比对，如果二者匹配，则对该终端进行受限放行，使该终端暂时接入受限网络，此时该终端可以访问网络中部分非敏感资源，接着还要进行二级指纹校验。如果一级指纹不匹配，则可以根据实际应用场景的配置策略，拒绝该终端接入网络，或者允许该终端接入受限网络。

二级指纹校验：获取到终端开放服务和端口信息后，使用与步骤2中相同的加密方式进行加密，以得到该终端二级指纹，并将该二级指纹信息与本地数据库中的二级指纹信息进行比对，如果二者匹配，便将该终端划入正常网络，此时该终端可访问所有网络资源。如果二级指纹匹配失败，该终端仍然只能接入受限网络。

需要说明的是，针对此前从未接入认证过的终端，由于缺少初始指纹，此类终端在进行一级指纹校验过程中，会因为未识别到指纹造成匹配失败，可根据实际使用场景中确认安全策略，如：直接拒绝接入或者允许接入特殊受限网络。

另外，为了提高指纹库中的指纹的准确性，可以对指纹库进行动态更新，即，在服务器可达的情况下，每次终端认证成功后，都会通过嗅探扫描获取该终端的相关信息，并更新其在指纹库中的指纹信息。