专利名称：一种安全控制方法和设备的制作方法
技术领域：
本发明涉及通信技术领域，特别是涉及一种安全控制方法和设备。
背景技术：
随着IP视频监控技术的发展，IP视频监控的部署越来越广泛，对IP视频监控的安全性也提出了越来越高的要求。在IP视频监控系统中，任何节点的网络安全得不到保障， 则会导致整个IP视频监控系统存在极大的安全隐患。如图1所示，为IP视频监控系统的组网示意图，包括EC(Encoder，编码器)、接入交换机、VM (Video Management，视频管理)服务器、DM (Data Management，数据管理)服务器，各EC通过接入交换机接入到IP网络中，且各EC上无法加载其他的安全软件。由于EC上无法加载其他的安全软件，因此EC的安全性无法得到保证，IP视频监控系统的安全性也无法得到保证。例如，使用相同的EC设备名和IP地址替换已接入的EC 就可以接入IP视频监控系统，因此，如果有黑客的PC替换EC接入到IP视频监控系统，则有较大的安全隐患。
发明内容
本发明提供一种安全控制方法和设备，以提高终端设备接入的安全性，保证监控系统的安全性。为了达到上述目的，本发明提供一种安全控制方法，应用于包括终端设备和接入设备的监控系统中，该方法包括以下步骤所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文。所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系，具体包括当所述接入设备第一次接收到来自所述终端设备的报文时，所述接入设备获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与所述接入设备的端口之间的对应关系时， 所述接入设备记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。所述接入设备转发所述报文，具体包括在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的 MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，所述接入设备转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，所述接入设备丢弃所述报文；在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的 MAC地址一致，所述接入设备转发所述报文；其中在所述接入设备侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，所述接入设备确认所述终端设备注册成功。所述接入设备转发所述报文，之后还包括如果所述接入设备在预设周期内没有在所述端口上接收到来自所述终端设备的 KeepaLive报文，则当所述接入设备从所述端口接收到报文时，所述接入设备丢弃接收到的报文。所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括监控系统中的编码设备。一种接入设备，应用于包括终端设备和所述接入设备的监控系统中，所述接入设备包括获得模块，用于获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；接收模块，用于从所述端口接收到来自所述终端设备的报文；处理模块，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时， 丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文。所述获得模块，具体用于当接入设备第一次接收到来自所述终端设备的报文时， 获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC 地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与接入设备的端口之间的对应关系时，记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。所述处理模块，具体用于在所述终端设备注册成功之前，如果所述报文的源MAC 地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的 MAC地址一致，则转发所述报文；其中在侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，确认所述终端设备注册成功。所述处理模块，还用于在转发所述报文之后，如果在预设周期内没有在所述端口上接收到来自所述终端设备的Ke^aLive报文，则当从所述端口接收到报文时，丢弃接收到的报文。所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括监控系统中的编码设备。与现有技术相比，本发明至少具有以下优点通过在接入设备上对终端设备(如编码设备)进行MAC (Media Access Control，介质访问控制)地址认证，可提高终端设备接入的安全性，保证监控系统的安全性，避免黑客或者其他恶意流量的攻击。
图1是现有技术中IP视频监控系统的组网示意图；图2是本发明提供的一种安全控制方法流程图；图3是本发明提出的一种接入设备的结构示意图。
具体实施例方式本发明提出一种安全控制方法，该方法应用于包括终端设备、接入设备、VM服务器、DM服务器的监控系统中，该终端设备为无法安装认证软件的终端设备(如无法安装 802. IX认证软件的终端设备)，且该终端设备包括但不限于监控系统中的编码设备(如 EC)。以图1为本发明参考网络模型示意图，则该终端设备为EC，接入设备为接入交换机， ECl连接到接入交换机的端口 Portl上，EC2连接到接入交换机的端口 Port2上，EC3连接到接入交换机的端口 Port3上。如图2所示，该安全控制方法包括以下步骤步骤201，接入设备获得终端设备的MAC地址与自身端口之间的对应关系，该端口为终端设备接入到接入设备的端口。以图1为例，接入交换机获得ECl的MAC地址与Portl 的对应关系、获得EC2的MAC地址与Port2的对应关系、获得EC3的MAC地址与Port3的对应关系。本步骤中，接入设备获得MAC地址与端口之间的对应关系，具体包括方式一、在接入设备连接终端设备的端口上配置MAC地址认证功能，当终端设备第一次上线时，在接入设备上对该终端设备的MAC地址进行MAC地址认证。基于此，当接入设备第一次接收到来自终端设备的报文时，接入设备获得该终端设备的MAC地址(即报文中的源MAC地址)、以及第一次接收到报文的端口，并记录终端设备的MAC地址与端口之间的对应关系。方式二、在接入设备连接终端设备的端口上，由网络管理员静态配置终端设备的 MAC地址，即该端口只允许源MAC地址是静态配置的MAC地址的报文能够被转发。基于此， 当静态配置终端设备的MAC地址与接入设备的端口之间的对应关系时，则接入设备可直接记录静态配置的终端设备的MAC地址与端口之间的对应关系。以图1为例，在接入交换机连接ECl的端口 Portl上，手工静态配置ECl的MAC地址(MAC地址1)，并由接入交换机记录MAC地址1与Portl的对应关系；当然，也可以采用 MAC地址认证的方式，在接入交换机的Portl上启用MAC地址认证功能，对于ECl上线后发出的第一个报文，接入交换机通过Portl接收到上述报文时，则接入交换机记录Portl与报文中携带的源MAC地址(作为认证通过的MAC地址)的对应关系。步骤202，当接入设备从端口接收到来自终端设备的报文时，查询该端口的对应关系中记录的MAC地址，如果报文的源MAC地址与对应关系中的MAC地址不一致，执行步骤 203，如果报文的源MAC地址与对应关系中的MAC地址一致，执行步骤204。步骤203，接入设备丢弃报文。
当报文的源MAC地址与对应关系中的MAC地址不一致时，则说明未通过MAC地址认证，因此直接丢弃报文。例如，接入设备在端口 Portl上接收到源MAC地址为MAC地址2 的报文时，如果接入设备记录有Portl与MAC地址1的对应关系，则接入设备直接丢弃该接收到的报文。步骤204，接入设备转发报文。当报文的源MAC地址与对应关系中的MAC地址一致时，则说明通过MAC地址认证， 因此可直接转发报文。例如，接入设备在端口 Portl上接收到源MAC地址为MAC地址1的报文时，如果接入设备记录有Portl与MAC地址1的对应关系，则接入设备直接转发该接收到的报文。需要说明的是，在报文的源MAC地址与对应关系中的MAC地址一致时，还可以有以下情况情况一、在终端设备注册成功(如EC在VM服务器上的注册)之前，如果接收到的报文为来自终端设备的SIP注册请求报文，则接入设备转发接收到的报文；如果接收到的报文不是来自终端设备的SIP注册请求报文，则接入设备直接丢弃接收到的报文。情况二、在终端设备注册成功之后，则无论接收到的报文是何种类型，则接入设备直接转发接收到的报文；其中在接入设备侦听到来自终端设备的SIP注册请求报文，且侦听到发送给终端设备的来自VM服务器的SIP注册成功响应报文时，接入设备确认终端设备注册成功。本发明中，考虑到接入的安全性，并不是所有通过认证的MAC地址所对应的报文就会被转发，在终端设备注册成功之前，接入设备只转发特定的报文(即SIP注册请求报文)，如果不是此类型的报文，则直接丢弃。其中，该特定的报文是UDP^ser Datagram Protocol，用户数据包协议)报文，目的端口为5060。进一步的，在MAC地址认证通过后，接入设备需要继续监测与该MAC地址对应的端口，在一定时间间隔内，如果在该端口收到上行(即来自终端设备)的SIP(SeSSi0n Initiation Protocol，会话初始化协议)注册请求报文和下行(即来自VM服务器)的SIP 注册成功响应报文(如EC与VM服务器之间交互的SIP注册请求报文和SIP注册成功响应报文)，则说明终端设备注册成功之后，该端口是认证通过状态，可以正常转发报文；之后， 无论接收到的报文是何种类型，则接入设备直接转发接收到的报文。本发明中，考虑到接入的安全性，如果接入设备在预设周期内没有在端口上接收到来自终端设备的K^paLive报文(如EC与VM服务器之间需要定期交互K^paLive报文， 当EC未发送Ke^aLive报文时，则EC当前未接入网络)，则当接入设备从端口接收到报文时，接入设备丢弃接收到的报文。具体的，基于安全因素考虑，端口不能永远处于无条件转发状态，因此，处于正常转发状态(即可以发送任何报文)的接入设备端口，需要继续监测SIP的Ke印aLive报文， 如果在一定时间周期内(如三秒钟)没有收到SIP的Ke印aLive报文，则将该端口设置为未通过认证状态，不允许转发报文。综上所述，本发明中，通过在接入设备上对终端设备进行MAC地址认证，可提高终端设备接入的安全性，保证监控系统的安全性，避免黑客或者其他恶意流量的攻击。基于与上述方法同样的发明构思，本发明还提出了一种接入设备，应用于包括终端设备和所述接入设备的监控系统中，如图3所示，所述接入设备包括获得模块11，用于获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；接收模块12，用于从所述端口接收到来自所述终端设备的报文；处理模块13，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时，丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文。所述获得模块11，具体用于当接入设备第一次接收到来自所述终端设备的报文时，获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的 MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与接入设备的端口之间的对应关系时，记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。所述处理模块13，具体用于在所述终端设备注册成功之前，如果所述报文的源 MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致， 且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的 MAC地址一致，则转发所述报文；其中在侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，确认所述终端设备注册成功。所述处理模块13，还用于在转发所述报文之后，如果在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当从所述端口接收到报文时，丢弃接收到的报文。本发明中，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括: 监控系统中的编码设备。其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是⑶-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。上述本发明序号仅仅为了描述，不代表实施例的优劣。以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。
权利要求
1.一种安全控制方法，应用于包括终端设备和接入设备的监控系统中，其特征在于，该方法包括以下步骤所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源 MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文。
2.如权利要求1所述的方法，其特征在于，所述接入设备获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系，具体包括当所述接入设备第一次接收到来自所述终端设备的报文时，所述接入设备获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与所述接入设备的端口之间的对应关系时，所述接入设备记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。
3.如权利要求1所述的方法，其特征在于，所述接入设备转发所述报文，具体包括 在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文，所述接入设备转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，所述接入设备丢弃所述报文；在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的MAC 地址一致，所述接入设备转发所述报文；其中在所述接入设备侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，所述接入设备确认所述终端设备注册成功。
4.如权利要求1所述的方法，其特征在于，所述接入设备转发所述报文，之后还包括 如果所述接入设备在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当所述接入设备从所述端口接收到报文时，所述接入设备丢弃接收到的报文。
5.如权利要求1-4任一项所述的方法，其特征在于，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括监控系统中的编码设备。
6.一种接入设备，应用于包括终端设备和所述接入设备的监控系统中，其特征在于，所述接入设备包括获得模块，用于获得所述终端设备的介质访问控制MAC地址与自身端口之间的对应关系；接收模块，用于从所述端口接收到来自所述终端设备的报文；处理模块，用于当所述报文的源MAC地址与所述对应关系中的MAC地址不一致时，丢弃所述报文；当所述报文的源MAC地址与所述对应关系中的MAC地址一致时，转发所述报文。
7.如权利要求6所述的接入设备，其特征在于，所述获得模块，具体用于当接入设备第一次接收到来自所述终端设备的报文时，获得所述终端设备的MAC地址、以及第一次接收到报文的端口，并记录所述终端设备的MAC地址与所述端口之间的对应关系；或者，当静态配置所述终端设备的MAC地址与接入设备的端口之间的对应关系时，记录静态配置的所述终端设备的MAC地址与所述端口之间的对应关系。
8.如权利要求6所述的接入设备，其特征在于，所述处理模块，具体用于在所述终端设备注册成功之前，如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文为来自所述终端设备的SIP注册请求报文， 则转发所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，且所述报文不是来自所述终端设备的SIP注册请求报文，则丢弃所述报文；在所述终端设备注册成功之后，如果所述报文的源MAC地址与所述对应关系中的MAC 地址一致，则转发所述报文；其中在侦听到来自所述终端设备的SIP注册请求报文，且侦听到发送给所述终端设备的来自VM服务器的SIP注册成功响应报文时，确认所述终端设备注册成功。
9.如权利要求6所述的接入设备，其特征在于，所述处理模块，还用于在转发所述报文之后，如果在预设周期内没有在所述端口上接收到来自所述终端设备的KeepaLive报文，则当从所述端口接收到报文时，丢弃接收到的报文。
10.如权利要求6-9任一项所述的接入设备，其特征在于，所述终端设备为无法安装认证软件的终端设备，且所述终端设备包括监控系统中的编码设备。
全文摘要
本发明公开了一种安全控制方法和设备，该方法包括接入设备获得终端设备的MAC地址与自身端口之间的对应关系；当所述接入设备从所述端口接收到来自所述终端设备的报文时，如果所述报文的源MAC地址与所述对应关系中的MAC地址不一致，所述接入设备丢弃所述报文；如果所述报文的源MAC地址与所述对应关系中的MAC地址一致，所述接入设备转发所述报文。本发明中，可提高终端设备接入的安全性，保证监控系统的安全性。
文档编号H04N7/18GK102333094SQ20111030782
公开日2012年1月25日 申请日期2011年10月12日 优先权日2011年10月12日
发明者周迪, 王军 申请人:杭州华三通信技术有限公司