一种终端设备接入网络的控制方法、装置和存储介质

摘要

本发明实施例公开了一种终端设备接入网络的控制方法、装置、服务器及存储介质，该方法包括：根据交换机发送的接入事件获取对应的目标终端设备的设备信息以及接入端口；根据该设备信息以及接入端口，若判断目标终端设备的接入方式正确，记录目标终端设备的当前网络接入时长；若确定目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在当前网络接入时长内，未获取到目标终端设备的认证客户端上报的身份信息，向交换机发送无效标识，以使交换机断开目标终端设备的网络接入。本发明实施例提供的技术方案，实现了对接入内部局域网络的终端设备的管控，极大地提升了内部局域网络的通信安全，节省了大量的人力成本和时间成本。

权利要求

1.一种终端设备接入网络的控制方法，其特征在于，包括：

当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入；

若确定所述目标终端设备的当前网络接入时长小于第一预设时长阈值，且在所述当前网络接入时长内，获取到所述目标终端设备的认证客户端上报的身份信息，则根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效；

所述身份信息包括硬盘信息；

所述根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效，包括：根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配；所述设备硬盘映射表包括各终端设备的设备信息与各硬盘信息的对应关系；

若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息匹配，则确定所述目标终端设备的网络接入有效；

若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息不匹配，则确定所述目标终端设备的网络接入无效。

2.根据权利要求1所述的方法，其特征在于，在记录所述目标终端设备的当前网络接入时长后，还包括：根据所述目标终端设备的当前网络接入时长，更新所述目标终端设备的累计网络接入时长；

若确定所述目标终端设备的累计网络接入时长大于等于第二预设时长阈值，且在所述累计网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入；其中，所述第二预设时长阈值大于所述第一预设时长阈值。

3.根据权利要求2所述的方法，其特征在于，在更新所述目标终端设备的累计网络接入时长后，还包括：当获取到所述交换机发送的与所述目标终端设备相关的离开事件时，若确定所述目标终端设备的当前网络接入时长小于所述第一预设时长阈值，且所述目标终端设备的当前累计网络接入时长小于所述第二预设时长阈值，则记录所述目标终端设备的当前累计网络接入时长；

当再次获取到所述交换机发送的与所述目标终端设备相关的接入事件，且判断所述目标终端设备的接入方式正确时，继续更新所述目标终端设备的累计网络接入时长，直至所述累计网络接入时长大于等于所述第二预设时长阈值，或再次获取到所述交换机发送的与所述目标终端设备相关的离开事件，或获取到所述目标终端设备的认证客户端上报的身份信息为止。

4.根据权利要求2所述的方法，其特征在于，在确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息后，还包括：发出第一报警提示；

和/或在确定所述目标终端设备的累计网络接入时长大于等于第二预设时长阈值，且在所述累计网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息后，还包括：发出第二报警提示。

5.根据权利要求1所述的方法，其特征在于，在判断所述目标终端设备的接入方式是否正确后，还包括：若确定所述目标终端设备的接入方式不正确，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第三报警提示。

6.根据权利要求1所述的方法，其特征在于，所述根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确，包括：根据设备端口映射表，判断所述目标终端设备的设备信息与所述目标终端设备的接入端口是否匹配；其中，所述设备端口映射表包括各终端设备的设备信息与各端口的对应关系；

若所述目标终端设备的设备信息与所述接入端口匹配，则确定所述目标终端设备的接入方式正确；

若所述目标终端设备的设备信息与所述接入端口不匹配，则确定所述目标终端设备的接入方式不正确。

7.根据权利要求1所述的方法，其特征在于，在根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确前，还包括：判断所述目标终端设备的设备信息是否有效；

若确定所述目标终端设备的设备信息无效，则向所述目标终端设备发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第四报警提示；

所述根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确，包括：若确定所述目标终端设备的设备信息有效，则根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确。

8.一种终端设备接入网络的控制装置，其特征在于，包括：

目标信息获取模块，用于当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

接入方式判断模块，用于根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

当前网络接入时长获取模块，用于若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

无效标识发送模块，用于若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入；

网络接入判断模块，用于若确定所述目标终端设备的当前网络接入时长小于第一预设时长阈值，且在所述当前网络接入时长内，获取到所述目标终端设备的认证客户端上报的身份信息，则根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效；所述身份信息包括硬盘信息；

所述网络接入判断模块，具体包括：

设备硬盘映射表获取单元，用于根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配；所述设备硬盘映射表包括各终端设备的设备信息与各硬盘信息的对应关系；

第一硬盘匹配执行单元，用于若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息匹配，则确定所述目标终端设备的网络接入有效；

第二硬盘匹配执行单元，用于若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息不匹配，则确定所述目标终端设备的网络接入无效。

9.一种服务器，其特征在于，所述服务器包括：

一个或多个处理器；

存储装置，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现如权利要求1‑7中任一所述的终端设备接入网络的控制方法。

10.一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时用于执行如权利要求1‑7中任一所述的终端设备接入网络的控制方法。

说明书

一种终端设备接入网络的控制方法、装置和存储介质

技术领域

[0001] 本发明实施例涉及计算机网络技术领域，尤其涉及一种终端设备接入网络的控制方法、装置、服务器和存储介质。

背景技术

[0002] 随着计算机技术的不断进步，各企业、事业单位的内部计算机网络也在不断发展，网络规模和设备数量迅速扩大，因此，对接入内部计算机网络的各终端设备的管控，也变得尤为重要。

[0003] 现有技术中，对于接入内部计算机网络的终端设备，主要是通过网络管理人员的定期检查，更新各终端设备和交换机的设备信息，并通过防火墙等安全工具来防止网络攻击行为。

[0004] 但是这样的设备管控方式，设备信息和防火墙需要耗费大量的人力成本和时间成本进行维护，同时，防火墙等安全工具通常用于内部网络与外部网络(例如，互联网)之间的通信保护，并不适合本地终端设备接入内部网络的管控，对接入内部计算机网络的本地终端设备的管控效果较差。

发明内容

[0005] 本发明实施例提供了一种终端设备接入网络的控制方法、装置、服务器和存储介质，以对接入内部局域网络的终端设备进行管控。

[0006] 第一方面，本发明实施例提供了一种终端设备接入网络的控制方法，包括：

[0007] 当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

[0008] 根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

[0009] 若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

[0010] 若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0011] 第二方面，本发明实施例提供了一种终端设备接入网络的控制装置，包括：

[0012] 目标信息获取模块，用于当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

[0013] 接入方式判断模块，用于根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

[0014] 当前网络接入时长获取模块，用于若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

[0015] 无效标识发送模块，用于若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0016] 第三方面，本发明实施例还提供了一种服务器，所述服务器包括：

[0017] 一个或多个处理器；

[0018] 存储装置，用于存储一个或多个程序；

[0019] 当所述一个或多个程序被所述一个或多个处理器执行，使得所述一个或多个处理器实现本发明任意实施例所述的终端设备接入网络的控制方法。

[0020] 第四方面，本发明实施例还提供了一种包含计算机可执行指令的存储介质，所述计算机可执行指令在由计算机处理器执行时实现本发明任意实施例所述的终端设备接入网络的控制方法。

[0021] 本发明实施例提供的技术方案，根据交换机发送的接入事件，获取到对应的目标终端设备的设备信息以及接入端口，并在判断目标终端设备的接入方式正确，且目标终端设备的本次网络接入时长，已超过未安装认证客户端的终端设备的单次允许最长接入时间时，向交换机发送无效标识，以使交换机断开目标终端设备的网络接入，实现了对接入内部局域网络的终端设备的管控，极大地提升了内部局域网络的通信安全，避免了对设备信息及防火墙等安全工具的维护操作，节省了大量的人力成本和时间成本。

附图说明

[0022] 图1A是本发明实施例一提供的一种终端设备接入网络的控制方法的应用场景示意图；

[0023] 图1B是本发明实施例一提供的一种终端设备接入网络的控制方法的流程图；

[0024] 图2是本发明实施例二提供的一种终端设备接入网络的控制方法的流程图；

[0025] 图3是本发明实施例三提供的一种终端设备接入网络的控制装置的结构框图；

[0026] 图4是本发明实施例四提供的一种服务器的结构框图。

具体实施方式

[0027] 下面结合附图和实施例对本发明作进一步的详细说明。可以理解的是，此处所描述的具体实施例仅用于解释本发明，而非对本发明的限定。另外还需要说明的是，为了便于描述，附图中仅示出了与本发明相关的部分而非全部结构。

[0028] 本发明提供的一种终端设备接入网络的控制方法，可以应用于如图1A所示的应用场景中，通过图1A中的管理服务器01实现；其中，管理服务器01用于管理多个终端设备03的内部网络(即局域网络)接入行为；如图1A所示，内部网络包括一台管理服务器01，一台或多台交换机02，多台终端设备03；每台交换机02连接一台或多台终端设备03。

[0029] 实施例一

[0030] 图1B为本发明实施例一提供的一种终端设备接入网络的控制方法的流程图，本实施例可适用于对接入内部局域网络的终端设备进行管控，该方法可以由本发明实施例中的终端设备接入网络的控制装置来执行，该装置可以通过软件和/或硬件实现，并可以集成在内部局域网络的服务器中，典型的，集成在如图1A所示的管理服务器01中，该方法具体包括如下步骤：

[0031] S110、当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口。

[0032] 终端设备通过交换机接入局域网络后，触发交换机的Link Up事件(即接入事件)，交换机实时获取到该终端设备的设备信息，以及该终端设备接入的交换机的端口标识，并将上述接入事件发送给内部局域网络的管理服务器；管理服务器根据获取到的接入事件，解析获取对应的终端设备(即目标终端设备)的设备信息以及接入的交换机的端口；其中，设备信息是终端设备的标识信息，用于区分不同的终端设备；设备信息可以包括预先命名完成的设备名称，不同的终端设备可以根据使用者的不同，预先设定不同的设备名称。

[0033] 可选的，在本发明实施例中，所述设备信息包括网际协议地址和/或媒体存取控制地址；媒体存取控制(Media Access Control，MAC)地址，是终端设备中网卡(Network Interface Card)的物理地址，是由终端设备制造商生产时烧录在网卡的EPROM(Erasable Programmable Read‑Only Memory，可擦除可编程只读存储器)中，存储了数据传输时发出数据和接收数据的主机地址，是标识局域网节点的标识信息，具有唯一性；网际协议(Internet Protocol，IP)地址，在本发明实施例中是终端设备在局域网络中的逻辑地址，同样具有唯一性；因此，将IP地址和/或MAC地址作为终端设备的设备信息，不但简化了各终端设备的身份识别过程，也避免了预设其它区别标识信息，提高了对各终端设备身份识别的准确性。

[0034] S120、根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确。

[0035] 交换机作为一种网络扩容器材，能为局域网或者局域网的子网络提供较多的连接端口，将多个终端设备连接入局域网中；每台交换机均包括多种类型的端口，例如，Access端口和Trunk端口；其中，Access端口是交换机用来连接终端设备的端口，Trunk端口是交换机之间或者交换机与上层设备(例如，本发明实施例中的管理服务器)之间的通信端口；不同类型的端口，数据收发逻辑不同，因此，在获取到目标终端设备接入的端口后，可以根据端口类型，确定该端口是否为Access端口，避免将用户侧的终端设备错连入Trunk端口中，导致网络通信出错。

[0036] 可选的，在本发明实施例中，所述根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确，包括：根据设备端口映射表，判断所述目标终端设备的设备信息与所述目标终端设备的接入端口是否匹配；其中，所述设备端口映射表包括各终端设备的设备信息与各端口的对应关系；若所述目标终端设备的设备信息与所述接入端口匹配，则确定所述目标终端设备的接入方式正确；若所述目标终端设备的设备信息与所述接入端口不匹配，则确定所述目标终端设备的接入方式不正确。设备端口映射表预先存储于服务器中，反应了各终端设备的设备信息与交换机端口的映射关系；基于设备端口映射表，实现了对各终端设备的管控，使得每台终端设备只能连接对应的一个或多个端口(例如，多个端口中存在备用端口，在该终端设备对应的端口出现异常时，该终端设备可通过指定的备用端口接入交换机)，避免了由于交换机端口乱用导致通信异常的现象发生。

[0037] 可选的，在本发明实施例中，在根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确前，还包括：判断所述目标终端设备的设备信息是否有效；若确定所述目标终端设备的设备信息无效，则向所述目标终端设备发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第四报警提示；所述根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确，包括：若确定所述目标终端设备的设备信息有效，则根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确。如果判断目标终端设备的设备信息无效，表明该目标终端设备为无效的终端设备，存在外部终端设备非法接入的风险，且该风险等级较高，此时，第四报警提示会在报警提示信息中标注该目标终端设备的设备信息，以及风险等级为高风险的风险提示。

[0038] 可选的，在本发明实施例中，在判断所述目标终端设备的接入方式是否正确后，还包括：若确定所述目标终端设备的接入方式不正确，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第三报警提示。如果判断目标终端设备的接入方式不正确，表明该目标终端设备为有效的终端设备，但是接入了错误的交换机端口，可能存在交换机端口乱用以及通信异常的风险，且该风险等级为低风险，此时，第三报警提示会在报警提示信息中标注该目标终端设备的设备信息、当前错误接入的端口标识、应正确接入的端口标识，以及风险等级为低风险的风险提示。

[0039] S130、若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长。

[0040] 当前网络接入时长，是从获取到交换机发送的该目标终端设备的当前接入事件开始，到当前时刻的时长。

[0041] S140、若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0042] 认证客户端是预先安装于终端设备上的检测程序，可以用于主动获取终端设备的身份信息，例如，IP地址和MAC地址；还可以用于获取用户输入的身份信息，例如，账号和密码等校验信息，通过用户输入的校验信息，进一步确定终端设备使用者的身份，以此判断该终端设备的网络接入是否有效。第一预设时长阈值，是在未获取到终端设备的认证客户端上报的身份信息时，允许该终端设备单次接入局域网络的最长接入时间。

[0043] 为了便于对局域网络中的各终端设备进行管理，需要各终端设备安装认证客户端，进而管理服务器可以通过终端设备安装的认证客户端，获取各终端设备的身份信息，同时，为了满足终端设备的实际工作需求，也为未安装认证客户端的终端设备提供了限定时长的单次使用时间，即第一预设时长阈值，在第一预设时长阈值内，可以确保正常接入局域网络。

[0044] 可选的，在本发明实施例中，在记录所述目标终端设备的当前网络接入时长后，还包括：根据所述目标终端设备的当前网络接入时长，更新所述目标终端设备的累计网络接入时长；若确定所述目标终端设备的累计网络接入时长大于等于第二预设时长阈值，且在所述累计网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入；其中，所述第二预设时长阈值大于所述第一预设时长阈值。为了避免一台终端设备通过频繁接入、离开局域网络的方式，规避安装认证客户端，还可以通过获取该终端设备的累计网络接入时长的方式，管控该终端设备是否允许接入内部局域网络；其中，第二预设时长阈值，是在未获取到终端设备的认证客户端上报的身份信息时，允许该终端设备多次接入局域网络的总接入时间。

[0045] 可选的，在本发明实施例中，在更新所述目标终端设备的累计网络接入时长后，还包括：当获取到所述交换机发送的与所述目标终端设备相关的离开事件时，若确定所述目标终端设备的当前网络接入时长小于所述第一预设时长阈值，且所述目标终端设备的当前累计网络接入时长小于所述第二预设时长阈值，则记录所述目标终端设备的当前累计网络接入时长；当再次获取到所述交换机发送的与所述目标终端设备相关的接入事件，且判断所述目标终端设备的接入方式正确时，继续更新所述目标终端设备的累计网络接入时长，直至所述累计网络接入时长大于等于所述第二预设时长阈值，或再次获取到所述交换机发送的与所述目标终端设备相关的离开事件，或获取到所述目标终端设备的认证客户端上报的身份信息为止。目标终端设备离开内部局域网络时，触发交换机的Link Down事件(即离开事件)，交换机实时获取到该目标终端设备的设备信息和离开端口，并向管理服务器发送离开事件；如果目标终端设备本次接入网络的时间较短，即当前网络接入时长小于第一预设时长阈值，且该目标终端设备的累计网络接入时长小于第二预设时长阈值，管理服务器记录该目标终端设备的当前累计网络接入时长，并在该目标终端设备再次接入内部局域网络时，继续更新累计网络接入时长。

[0046] 可选的，在本发明实施例中，在确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息后，还包括：发出第一报警提示；和/或在确定所述目标终端设备的累计网络接入时长大于等于第二预设时长阈值，且在所述累计网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息后，还包括：发出第二报警提示。如果终端设备未安装认证客户端，管理服务器不便于对该终端设备进行管控，也无法获取该终端设备的身份信息，存在一定的安全风险，且该风险等级可设定为中风险，此时，第一报警提示会在报警提示信息中标注该目标终端设备的设备信息，本次网络接入已超时的标识信息，以及风险等级为中风险的风险提示；第二报警提示会在报警提示信息中标注该目标终端设备的设备信息，累计网络接入已超时的标识信息，以及风险等级为中风险的风险提示。

[0047] 本发明实施例提供的技术方案，根据交换机发送的接入事件，获取到对应的目标终端设备的设备信息以及接入端口，并在判断目标终端设备的接入方式正确，且目标终端设备的本次网络接入时长，已超过未安装认证客户端的终端设备的单次允许最长接入时间时，向交换机发送无效标识，以使交换机断开目标终端设备的网络接入，实现了对接入内部局域网络的终端设备的管控，极大地提升了内部局域网络的通信安全，避免了对设备信息及防火墙等安全工具的维护操作，节省了大量的人力成本和时间成本。

[0048] 实施例二

[0049] 图2为本发明实施例二提供的一种终端设备接入网络的控制方法的流程图，本实施例在上述技术方案的基础上进行具体化，在本发明实施例中，若确定所述目标终端设备的当前网络接入时长小于第一预设时长阈值，且在所述当前网络接入时长内，获取到所述目标终端设备的认证客户端上报的身份信息，该方法具体包括如下步骤：

[0050] S210、当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口。

[0051] S220、根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确。

[0052] S230、若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长。

[0053] S240、若确定所述目标终端设备的当前网络接入时长小于第一预设时长阈值，且在所述当前网络接入时长内，获取到所述目标终端设备的认证客户端上报的身份信息，则根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效。

[0054] 可选的，在本发明实施例中，所述身份信息包括硬盘信息；所述根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效，包括：根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配；其中，所述设备硬盘映射表包括各终端设备的设备信息与各硬盘信息的对应关系；若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息匹配，则确定所述目标终端设备的网络接入有效；若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息不匹配，则确定所述目标终端设备的网络接入无效。设备硬盘映射表预先存储于服务器中，反应了各终端设备的设备信息与硬盘信息的映射关系；基于设备硬盘映射表，实现了对各终端设备的管控，使得每台终端设备只能使用指定的一个或多个硬盘，避免了终端设备使用外接硬盘，造成信息泄露等风险的存在。

[0055] 可选的，在本发明实施例中，在根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配前，还包括：判断所述目标终端设备的硬盘信息是否有效；若所述目标终端设备的硬盘信息无效，则向所述目标终端设备发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第五报警提示；所述根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配，包括：若所述目标终端设备的硬盘信息有效，则根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配。如果判断目标终端设备的硬盘信息无效，表明该目标终端设备虽然为有效的终端设备，但可能使用了外接硬盘，因此，同样可能存在信息泄露的安全风险，且该风险等级为中风险，此时，第五报警提示会在报警提示信息中标注该目标终端设备的设备信息、当前错误使用的硬盘信息、正确的硬盘信息，以及风险等级为中风险的风险提示。

[0056] S250、若确定所述目标终端设备的网络接入无效，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0057] 如果确定目标终端设备的网络接入无效，则向交换机发送无效标识，交换机在获取到无效标识后，会断开与目标终端设备的网络连接，保证局域网络的通信安全；特别的，服务器不论是出于何种原因，在判断目标终端设备存在潜在风险后，其目的都是使交换机断开目标终端设备的网络接入，因此，不需要进一步区分各种无效标识，只需要向交换机发送相同的无效标识即可。

[0058] 可选的，在本发明实施例中，在确定所述目标终端设备的网络接入无效后，还包括：发出第六报警提示；其中，所述第六报警提示的风险等级低于所述第五报警提示。由于在上述技术方案中，目标终端设备的硬盘信息有效，表明目标终端设备使用了已登记注册的硬盘，但该硬盘并非与目标终端设备对应的硬盘，可能存在硬盘拆卸、随意使用的不安全现象，不便于对终端设备的管控，也同样存在信息泄露的安全风险，但该安全风险相比于前述安全风险，风险等级较低，可以设定为低风险，因此，第六报警提示会在报警提示信息中标注该目标终端设备的设备信息、当前错误使用的硬盘信息、正确的硬盘信息，以及风险等级为低风险的风险提示。

[0059] 本发明实施例提供的技术方案，根据交换机发送的接入事件，获取到对应的目标终端设备的设备信息以及接入端口，并在判断目标终端设备的接入方式正确，且在目标终端设备的本次网络接入中，获取到目标终端设备的认证客户端上报的身份信息时，若根据目标终端设备的认证客户端上报的身份信息，判断目标终端设备的网络接入无效时，向交换机发送无效标识，以使交换机断开目标终端设备的网络接入，进一步实现了对接入内部局域网络的终端设备的管控，极大地提升了内部局域网络的通信安全，避免了对设备信息及防火墙等安全工具的维护操作，节省了大量的人力成本和时间成本。

[0060] 实施例三

[0061] 图3是本发明实施例三所提供的一种终端设备接入网络的控制装置的结构框图，该装置具体包括：目标信息获取模块310、接入方式判断模块320、当前网络接入时长获取模块330和无效标识发送模块340；

[0062] 目标信息获取模块310，用于当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

[0063] 接入方式判断模块320，用于根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

[0064] 当前网络接入时长获取模块330，用于若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

[0065] 无效标识发送模块340，用于若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0066] 本发明实施例提供的技术方案，根据交换机发送的接入事件，获取到对应的目标终端设备的设备信息以及接入端口，并在判断目标终端设备的接入方式正确，且目标终端设备的本次网络接入时长，已超过未安装认证客户端的终端设备的单次允许最长接入时间时，向交换机发送无效标识，以使交换机断开目标终端设备的网络接入，实现了对接入内部局域网络的终端设备的管控，极大地提升了内部局域网络的通信安全，避免了对设备信息及防火墙等安全工具的维护操作，节省了大量的人力成本和时间成本。

[0067] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0068] 累计网络接入时长获取模块，用于根据所述目标终端设备的当前网络接入时长，更新所述目标终端设备的累计网络接入时长；

[0069] 累计时长超时确定模块，用于若确定所述目标终端设备的累计网络接入时长大于等于第二预设时长阈值，且在所述累计网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入；其中，所述第二预设时长阈值大于所述第一预设时长阈值。

[0070] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0071] 当前累计网络接入时长获取模块，用于当获取到所述交换机发送的与所述目标终端设备相关的离开事件时，若确定所述目标终端设备的当前网络接入时长小于所述第一预设时长阈值，且所述目标终端设备的当前累计网络接入时长小于所述第二预设时长阈值，则记录所述目标终端设备的当前累计网络接入时长；

[0072] 累计网络接入时长更新执行模块，用于当再次获取到所述交换机发送的与所述目标终端设备相关的接入事件，且判断所述目标终端设备的接入方式正确时，继续更新所述目标终端设备的累计网络接入时长，直至所述累计网络接入时长大于等于所述第二预设时长阈值，或再次获取到所述交换机发送的与所述目标终端设备相关的离开事件，或获取到所述目标终端设备的认证客户端上报的身份信息为止。

[0073] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0074] 第一报警提示模块，用于发出第一报警提示；

[0075] 和/或第二报警提示模块，用于发出第二报警提示。

[0076] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0077] 第三报警提示模块，用于若确定所述目标终端设备的接入方式不正确，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第三报警提示。

[0078] 可选的，在上述技术方案的基础上，接入方式判断模块320，具体包括：

[0079] 设备端口映射表获取单元，用于根据设备端口映射表，判断所述目标终端设备的设备信息与所述目标终端设备的接入端口是否匹配；其中，所述设备端口映射表包括各终端设备的设备信息与各端口的对应关系；

[0080] 第一端口匹配执行单元，用于若所述目标终端设备的设备信息与所述接入端口匹配，则确定所述目标终端设备的接入方式正确；

[0081] 第二端口匹配执行单元，用于若所述目标终端设备的设备信息与所述接入端口不匹配，则确定所述目标终端设备的接入方式不正确。

[0082] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0083] 设备信息判断模块，用于判断所述目标终端设备的设备信息是否有效；

[0084] 第四报警提示模块，用于若确定所述目标终端设备的设备信息无效，则向所述目标终端设备发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第四报警提示。

[0085] 可选的，在上述技术方案的基础上，接入方式判断模块320，具体用于若确定所述目标终端设备的设备信息有效，则根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确。

[0086] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0087] 网络接入判断模块，用于若确定所述目标终端设备的当前网络接入时长小于第一预设时长阈值，且在所述当前网络接入时长内，获取到所述目标终端设备的认证客户端上报的身份信息，则根据所述目标终端设备的认证客户端上报的身份信息，判断所述目标终端设备的网络接入是否有效。

[0088] 可选的，在上述技术方案的基础上，所述身份信息包括硬盘信息。

[0089] 可选的，在上述技术方案的基础上，网络接入判断模块，具体包括：

[0090] 设备硬盘映射表获取单元，用于根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配；其中，所述设备硬盘映射表包括各终端设备的设备信息与各硬盘信息的对应关系；

[0091] 第一硬盘匹配执行单元，用于若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息匹配，则确定所述目标终端设备的网络接入有效；

[0092] 第二硬盘匹配执行单元，用于若所述目标终端设备的设备信息与所述目标终端设备的硬盘信息不匹配，则确定所述目标终端设备的网络接入无效。

[0093] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0094] 硬盘信息判断模块，用于判断所述目标终端设备的硬盘信息是否有效；

[0095] 第五报警提示模块，用于若所述目标终端设备的硬盘信息无效，则向所述目标终端设备发送无效标识，以使所述交换机断开所述目标终端设备的网络接入，并发出第五报警提示。

[0096] 可选的，在上述技术方案的基础上，设备硬盘映射表获取单元，具体用于若所述目标终端设备的硬盘信息有效，则根据设备硬盘映射表，判断所述目标终端设备的设备信息与所述目标终端设备的硬盘信息是否匹配。

[0097] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0098] 网络接入无效确定模块，用于若确定所述目标终端设备的网络接入无效，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0099] 可选的，在上述技术方案的基础上，终端设备接入网络的控制装置，还包括：

[0100] 第六报警提示模块，用于发出第六报警提示；其中，所述第六报警提示的风险等级低于所述第五报警提示。

[0101] 上述装置可执行本发明任意实施例所提供的终端设备接入网络的控制方法，具备执行方法相应的功能模块和有益效果。未在本实施例中详尽描述的技术细节，可参见本发明任意实施例提供的方法。

[0102] 实施例四

[0103] 图4为本发明实施例四提供的一种服务器的结构示意图。图4示出了适于用来实现本发明实施方式的示例性设备12的框图。图4显示的设备12仅仅是一个示例，不应对本发明实施例的功能和使用范围带来任何限制。

[0104] 如图4所示，设备12以通用计算设备的形式表现。设备12的组件可以包括但不限于：一个或者多个处理器或者处理单元16，存储器28，连接不同系统组件(包括存储器28和处理单元16)的总线18。

[0105] 总线18表示几类总线结构中的一种或多种，包括存储器总线或者存储器控制器，外围总线，图形加速端口，处理器或者使用多种总线结构中的任意总线结构的局域总线。举例来说，这些体系结构包括但不限于工业标准体系结构(ISA)总线，微通道体系结构(MAC)总线，增强型ISA总线、视频电子标准协会(VESA)局域总线以及外围组件互连(PCI)总线。

[0106] 设备12典型地包括多种计算机系统可读介质。这些介质可以是任何能够被设备12访问的可用介质，包括易失性和非易失性介质，可移动的和不可移动的介质。

[0107] 存储器28可以包括易失性存储器形式的计算机系统可读介质，例如随机存取存储器(RAM)30和/或高速缓存存储器32。设备12可以进一步包括其它可移动/不可移动的、易失性/非易失性计算机系统存储介质。仅作为举例，存储系统34可以用于读写不可移动的、非易失性磁介质(图4未显示，通常称为“硬盘驱动器”)。尽管图4中未示出，可以提供用于对可移动非易失性磁盘(例如“软盘”)读写的磁盘驱动器，以及对可移动非易失性光盘(例如CD‑ROM,DVD‑ROM或者其它光介质)读写的光盘驱动器。在这些情况下，每个驱动器可以通过一个或者多个数据介质接口与总线18相连。存储器28可以包括至少一个程序产品，该程序产品具有一组(例如至少一个)程序模块，这些程序模块被配置以执行本发明各实施例的功能。

[0108] 具有一组(至少一个)程序模块42的程序/实用工具40，可以存储在例如存储器28中，这样的程序模块42包括但不限于操作系统、一个或者多个应用程序、其它程序模块以及程序数据，这些示例中的每一个或某种组合中可能包括网络环境的实现。程序模块42通常执行本发明所描述的实施例中的功能和/或方法。

[0109] 设备12也可以与一个或多个外部设备14(例如键盘、指向设备、显示器24等)通信，还可与一个或者多个使得用户能与该设备12交互的设备通信，和/或与使得该设备12能与一个或多个其它计算设备进行通信的任何设备(例如网卡，调制解调器等等)通信。这种通信可以通过输入/输出(I/O)接口22进行。并且，设备12还可以通过网络适配器20与一个或者多个网络(例如局域网(LAN)，广域网(WAN)和/或公共网络，例如因特网)通信。如图所示，网络适配器20通过总线18与设备12的其它模块通信。应当明白，尽管图中未示出，可以结合设备12使用其它硬件和/或软件模块，包括但不限于：微代码、设备驱动器、冗余处理单元、外部磁盘驱动阵列、RAID系统、磁带驱动器以及数据备份存储系统等。

[0110] 处理单元16通过运行存储在存储器28中的程序，从而执行各种功能应用以及数据处理，例如实现本发明实施例所提供的终端设备接入网络的控制方法。也即：当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0111] 实施例五

[0112] 本发明实施例五还提供了一种计算机可读存储介质，其上存储有计算机程序，该程序被处理器执行时实现如本发明任意实施例所述的终端设备接入网络的控制方法；该方法包括：

[0113] 当获取到交换机发送的接入事件时，根据所述接入事件获取对应的目标终端设备的设备信息以及接入端口；

[0114] 根据所述目标终端设备的设备信息以及接入端口，判断所述目标终端设备的接入方式是否正确；

[0115] 若确定所述目标终端设备的接入方式正确，则记录所述目标终端设备的当前网络接入时长；

[0116] 若确定所述目标终端设备的当前网络接入时长大于等于第一预设时长阈值，且在所述当前网络接入时长内，未获取到所述目标终端设备的认证客户端上报的身份信息，则向所述交换机发送无效标识，以使所述交换机断开所述目标终端设备的网络接入。

[0117] 本发明实施例的计算机存储介质，可以采用一个或多个计算机可读的介质的任意组合。计算机可读介质可以是计算机可读信号介质或者计算机可读存储介质。计算机可读存储介质例如可以是——但不限于——电、磁、光、电磁、红外线、或半导体的系统、装置或器件，或者任意以上的组合。计算机可读存储介质的更具体的例子(非穷举的列表)包括：具有一个或多个导线的电连接、便携式计算机磁盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑磁盘只读存储器(CD‑ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本文件中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。

[0118] 计算机可读的信号介质可以包括在基带中或者作为载波一部分传播的数据信号，其中承载了计算机可读的程序代码。这种传播的数据信号可以采用多种形式，包括但不限于电磁信号、光信号或上述的任意合适的组合。计算机可读的信号介质还可以是计算机可读存储介质以外的任何计算机可读介质，该计算机可读介质可以发送、传播或者传输用于由指令执行系统、装置或者器件使用或者与其结合使用的程序。

[0119] 计算机可读介质上包含的程序代码可以用任何适当的介质传输，包括——但不限于无线、电线、光缆、RF等等，或者上述的任意合适的组合。

[0120] 可以以一种或多种程序设计语言或其组合来编写用于执行本发明操作的计算机程序代码，所述程序设计语言包括面向对象的程序设计语言—诸如Java、Smalltalk、C++，还包括常规的过程式程序设计语言—诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算机上执行、部分地在用户计算机上执行、作为一个独立的软件包执行、部分在用户计算机上部分在远程计算机上执行、或者完全在远程计算机或服务器上执行。在涉及远程计算机的情形中，远程计算机可以通过任意种类的网络——包括局域网(LAN)或广域网(WAN)—连接到用户计算机，或者，可以连接到外部计算机(例如利用因特网服务提供商来通过因特网连接)。

[0121] 注意，上述仅为本发明的较佳实施例及所运用技术原理。本领域技术人员会理解，本发明不限于这里所述的特定实施例，对本领域技术人员来说能够进行各种明显的变化、重新调整和替代而不会脱离本发明的保护范围。因此，虽然通过以上实施例对本发明进行了较为详细的说明，但是本发明不仅仅限于以上实施例，在不脱离本发明构思的情况下，还可以包括更多其他等效实施例，而本发明的范围由所附的权利要求范围决定。