CN101895526B - 拨号认证方法及*** - Google Patents

Abstract

本发明涉及一种拨号认证方法，包括以下步骤：当浏览器插件监控到浏览器的访问请求时，如果主机尚未建立网络连接，则向网络侧的认证管理平台发出连接建立请求；认证管理平台接收到连接建立请求后，建立主机与认证管理平台之间的限制性连接；如果用户通过认证管理平台的身份认证，则认证管理平台解除主机连接的限制，以实现主机的正常的互联网访问。本发明还涉及一种拨号认证***。本发明通过WEB浏览器实现ADSL拨号用户的身份认证，利用WEB浏览器直接建立网络连接，而不需要专用的网络连接建立程序，简化了用户操作；同时把ADSL拨号接入认证与运营商自有WEB应用认证整合起来，为运营商提供了安全可靠的认证方式。

Description

拨号认证方法及***

技术领域

本发明涉及宽带接入用户身份认证技术领域，尤其涉及一种ADSL拨号用户身份认证的实现方法及***。

背景技术

目前，对ADSL拨号上网用户进行身份认证的普遍做法是为用户分配指定的帐号/密码，而用户则使用操作***自带的或专门定制开发的程序来输入或预先配置帐号/密码，该程序通过PPPoE协议把帐号/密码提交到服务器端，认证通过后，建立起拨号连接，然后用户再打开WEB浏览器进行网页浏览或其他访问互联网的操作。在这种模式下，用户访问互联网必须预先正确地配置好网络连接，每次上网也必须先主动运行指定的程序来建立网络连接，而运营商往往通过用户IP来实现ADSL接入认证和WEB应用认证的整合。

上述的方法，充分利用PPPoE协议的用户认证能力，在技术上简单而有效地实现了ADSL拨号上网用户进行身份认证，但存在不足之处。首先，进行网站浏览的用户，必须先运行指定的程序来建立网络连接，增加了用户的操作环节。其次，由于ADSL拨号认证和WEB应用认证是分离的，这给网络运营商所期望的用户接入认证和应用认证整合设置了障碍。目前基于用户IP实现用户接入认证和应用认证整合的方法，准确率低，存在着较高的技术风险。

在现有的酒店拨号上网***中，虽然通过LAN或WLAN方式，实现了在用户接上网线后(或连接无线网后)，使用DHCP协议自动建立分配IP建立网络连接，但该***不存在拨号建立网络连接的过程，难以直接应用于ADSL拨号上网***。

发明内容

本发明的目的是提出一种拨号认证方法及***，能够既简化用户上网操作，又安全可靠地实现ADSL接入认证和WEB应用认证的整合。

为实现上述目的，本发明提供了一种拨号认证方法，包括以下步骤：

当预先安装的浏览器插件监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则所述浏览器插件向网络侧的认证管理平台发出连接建立请求；

所述认证管理平台接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；

如果用户通过所述认证管理平台的身份认证，则所述认证管理平台解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

进一步的，所述认证管理平台的身份认证过程具体包括：

在建立所述主机与所述认证管理平台之间的限制性连接之后，所述浏览器插件触发所述浏览器通过限制性连接再次访问所述网站；

所述认证管理平台中的宽带远程接入服务器(BRAS)判断本次访问的用户并未通过身份认证，则将该次访问请求重定向到所述认证管理平台中的认证门户服务器，否则将访问请求转发到所述网站；

所述认证门户服务器向所述浏览器返回认证页面，并接收所述浏览器按照认证页面提交的认证信息，然后向所述宽带远程接入服务器发出认证请求；

所述宽带远程接入服务器对所述认证请求进行检验，如果通过，则配置访问控制列表以解除所述主机连接的限制，并标记该连接已通过身份认证，然后向所述认证门户服务器返回成功标识；

所述认证门户服务器根据所述成功标识生成表示用户身份的令牌，并将所述令牌写入所述浏览器的cookie中，然后调用所述浏览器插件重新访问所述网站。

进一步的，所述建立所述主机与所述认证管理平台之间的限制性连接的操作具体为：

所述主机与所述认证管理平台之间使用PPPoE协议进行交互，所述认证管理平台为所述主机分配公网IP地址，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互。

进一步的，所述建立所述主机与所述认证管理平台之间的限制性连接的操作具体为：所述主机与所述认证管理平台之间使用PPPoE协议进行交互，所述认证管理平台为所述主机分配内网IP地址，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互；

在所述宽带远程接入服务器检验所述认证请求通过时，还包括为所述主机分配公网IP地址的操作，所述认证门户服务器将所述公网IP地址返回给所述浏览器，并由所述浏览器插件进行公网IP地址的配置。

进一步的，所述认证信息至少包括账号和密码。

为实现上述目的，本发明提供了一种拨号认证***，包括：

浏览器插件，预先安装在主机中，用于当监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则向网络侧的认证管理平台发出连接建立请求；

认证管理平台，用于在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；如果用户通过所述认证管理平台的身份认证，则解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

进一步的，所述认证管理平台具体包括：

宽带远程接入服务器，用于在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接，并在接收到所述浏览器再次访问所述网站的访问请求时判断本次访问的用户是否通过身份认证，是则将该次访问请求重定向到所述认证管理平台中的认证门户服务器，否则将访问请求转发到所述网站；以及在接收到所述认证门户服务器发出的认证请求时，对所述认证请求进行检验，如果通过，则配置访问控制列表以解除所述主机连接的限制，并标记该连接已通过身份认证，然后向所述认证门户服务器返回成功标识；

认证门户服务器，用于在接收到所述访问请求时，向所述浏览器返回认证页面，并接收所述浏览器按照认证页面提交的认证信息，然后向所述宽带远程接入服务器发出认证请求；以及当接收到所述宽带远程接入服务器返回的成功标识之后，生成表示用户身份的令牌，并将所述令牌写入所述浏览器的cookie中，然后调用所述浏览器插件重新访问所述网站。

进一步的，所述宽带远程接入服务器包括：

IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配公网IP地址。

进一步的，所述宽带远程接入服务器包括：

二次IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配内网IP地址，并在检验所述认证请求通过时，为所述主机分配公网IP地址，然后通过所述认证门户服务器将所述公网IP地址返回给所述浏览器，并由所述浏览器插件进行公网IP地址的配置。

进一步的，所述认证信息至少包括账号和密码。

基于上述技术方案，本发明通过WEB浏览器实现ADSL拨号用户的身份认证，在预先安装浏览器插件的情况下，可以利用WEB浏览器直接建立网络连接，而不需要专用的网络连接建立程序，简化了用户操作；同时把ADSL拨号接入认证与运营商自有WEB应用认证整合起来，为运营商提供了安全可靠的认证方式。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明拨号认证方法的一实施例的流程示意图。

图2为本发明拨号认证方法的另一实施例的信令交互示意图。

图3为本发明拨号认证方法的又一实施例的信令交互示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图1所示，为本发明拨号认证方法的一实施例的流程示意图。本实施例的流程包括以下步骤：

步骤101、当预先安装的浏览器插件监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则所述浏览器插件向网络侧的认证管理平台发出连接建立请求；

步骤102、所述认证管理平台接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；

步骤103、如果用户通过所述认证管理平台的身份认证，则所述认证管理平台解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

在本实施例中，浏览器插件能够监控用户接入网络的请求，并在主机未建立网络连接时发起连接建立流程，这种方式取代了现有的专用拨号程序，减少了用户的使用环节，更加简便和易于操作。浏览器插件在触发主机向认证管理平台进行认证的过程中，通过建立限制性的连接避免外部的访问请求对认证流程的干扰，降低了技术风险。

下面再给出一个具体的拨号认证流程的实施例，参见图2，为本发明拨号认证方法的另一实施例的信令交互示意图。在本实施例中，用户需要预先安装浏览器插件，这种浏览器插件可以在首次或上一次用户上网的过程中提示用户下载安装，或者捆绑到运营商提供的上网插件中一起进行安装。拨号认证流程如下：

步骤201、用户打开浏览器(例如IE、FireFox等)，在地址栏输入某个网站(例如www.abc.com)，并通过回车键发出访问请求。

步骤202、安装在浏览器的浏览器插件会监控到该次访问请求，并且也检测到运行该浏览器的主机(也就是本地主机)尚未建立网络连接，这时则启动建立网络连接的过程，在该过程中，主机与网络侧的认证管理平台中的BRAS之间使用PPPoE协议进行交互，BRAS为主机分配公网IP地址，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互。

步骤203、在限制性连接建立后，浏览器插件触发浏览器通过限制性连接再次访问该网站(www.abc.com)。

步骤204、BRAS接收到访问请求后，对本次访问的用户是否通过身份认证进行判断，如果尚未通过身份认证，则将该次访问请求重定向到认证管理平台中的认证门户服务器(例如www.auth.com)；否则将访问请求直接转发到网站(www.abc.com)。

步骤205、认证门户服务器接收访问请求后，检查到该浏览器的cookie中未包括本网站的令牌，因此向该浏览器返回认证页面，认证页面可以提供供用户填写的账号和密码等认证信息的留空。

步骤206、用户在认证页面输入上网用的账号和密码，例如账号为acc，密码为pwd，并提交认证信息。

步骤207、认证门户服务器接收浏览器按照认证页面提交的认证信息，然后向BRAS发出认证请求。

步骤208、BRAS对该认证请求进行检验，如果通过，则配置访问控制列表以解除主机连接的限制，并标记该连接已通过身份认证。

步骤209、BRAS向认证门户服务器返回成功标识。

步骤210、认证门户服务器根据成功标识生成表示用户身份的令牌，并将令牌写入该浏览器的cookie中，然后调用所述浏览器插件重新访问网站(www.abc.com)。

步骤211、浏览器插件触发浏览器通过限制性连接再次访问该网站(www.abc.com)，BRAS接收到访问请求后，对本次访问的用户是否通过身份认证进行判断，如果通过身份认证，则将访问请求直接转发到网站(www.abc.com)，进而用户可以正常访问网站内容了。

在本实施例中，认证信息并不仅限于账号和密码，还可以包括其他认证信息，例如指纹信息、校验码等。在步骤208中BRAS验证未通过的时候，则向认证门户服务器返回失败标识，进一步还可以提供失败原因等信息，再由认证门户服务器将相应的失败提示，或者重新要求用户输入的页面返回给浏览器。

如图3所示，为本发明拨号认证方法的又一实施例的信令交互示意图。在上一实施例中，在建立限制性连接时，BRAS为主机分配了公网IP地址，这可能导致不必要的浪费，因此本实施例在上一实施例的基础上，采用了一些办法来克服这种不必要浪费。

在本实施例中，步骤202’替换了步骤202，其步骤为：安装在浏览器的浏览器插件会监控到该次访问请求，并且也检测到运行该浏览器的主机(也就是本地主机)尚未建立网络连接，这时则启动建立网络连接的过程。在该过程中，主机与认证管理平台中的BRAS之间使用PPPoE协议进行交互，BRAS为主机分配内网IP地址(如10.17.43.8)，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互。

本实施例采用步骤208’-210a替换了上一实施例的步骤208-210，即：步骤208’、BRAS检验认证请求通过时，为主机分配公网IP地址(如61.144.66.88)。

步骤209’、BRAS将公网IP地址和成功标识返回给认证门户服务器。

步骤210’、认证门户服务器认证门户服务器根据成功标识生成表示用户身份的令牌，并将令牌写入该浏览器的cookie中，然后将认证成功页面以及公网IP地址返回给浏览器，并调用所述浏览器插件重新访问网站(www.abc.com)。

步骤210a、浏览器插件进行公网IP地址的配置。

本实施例通过两次的IP分配，避免了公网IP地址的不必要浪费。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本发明还提供了一种拨号认证***的实施例，包括：浏览器插件和认证管理平台。浏览器插件预先安装在主机中，当监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则向网络侧的认证管理平台发出连接建立请求。认证管理平台在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；如果用户通过所述认证管理平台的身份认证，则解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

在上述技术方案中，认证管理平台可以具体包括：宽带远程接入服务器和认证门户服务器。其中宽带远程接入服务器在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接，并在接收到所述浏览器再次访问所述网站的访问请求时判断本次访问的用户是否通过身份认证，是则将该次访问请求重定向到所述认证管理平台中的认证门户服务器，否则将访问请求转发到所述网站；以及在接收到所述认证门户服务器发出的认证请求时，对所述认证请求进行检验，如果通过，则配置访问控制列表以解除所述主机连接的限制，并标记该连接已通过身份认证，然后向所述认证门户服务器返回成功标识。

认证门户服务器在接收到所述访问请求时，向所述浏览器返回认证页面，并接收所述浏览器按照认证页面提交的认证信息，然后向所述宽带远程接入服务器发出认证请求；以及当接收到所述宽带远程接入服务器返回的成功标识之后，生成表示用户身份的令牌，并将所述令牌写入所述浏览器的cookie中，然后调用所述浏览器插件重新访问所述网站。

在上述实施例中，宽带远程接入服务器可以包括：IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配公网IP地址。

在另一实施例中，宽带远程接入服务器还可以包括：二次IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配内网IP地址，并在检验所述认证请求通过时，为所述主机分配公网IP地址，然后通过所述认证门户服务器将所述公网IP地址返回给所述浏览器，并由所述浏览器插件进行公网IP地址的配置。

前述认证信息至少包括账号和密码，还可以包括其他用于认证的认证信息。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims (10)

1.一种拨号认证方法，包括以下步骤：

当预先安装的浏览器插件监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则所述浏览器插件向网络侧的认证管理平台发出连接建立请求；

所述认证管理平台接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；

如果用户通过所述认证管理平台的身份认证，则所述认证管理平台解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

2.根据权利要求1所述的拨号认证方法，其中所述认证管理平台的身份认证过程具体包括：

在建立所述主机与所述认证管理平台之间的限制性连接之后，所述浏览器插件触发所述浏览器通过限制性连接再次访问所述网站；

所述认证管理平台中的宽带远程接入服务器判断本次访问的用户并未通过身份认证，则将该次访问请求重定向到所述认证管理平台中的认证门户服务器，否则将访问请求转发到所述网站；

所述认证门户服务器向所述浏览器返回认证页面，并接收所述浏览器按照认证页面提交的认证信息，然后向所述宽带远程接入服务器发出认证请求；

所述宽带远程接入服务器对所述认证请求进行检验，如果通过，则配置访问控制列表以解除所述主机连接的限制，并标记该连接已通过身份认证，然后向所述认证门户服务器返回成功标识；

所述认证门户服务器根据所述成功标识生成表示用户身份的令牌，并将所述令牌写入所述浏览器的cookie中，然后调用所述浏览器插件重新访问所述网站。

3.根据权利要求2所述的拨号认证方法，其中所述建立所述主机与所述认证管理平台之间的限制性连接的操作具体为：

所述主机与所述认证管理平台之间使用PPPoE协议进行交互，

所述认证管理平台为所述主机分配公网IP地址，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互。

4.根据权利要求2所述的拨号认证方法，其中所述建立所述主机与所述认证管理平台之间的限制性连接的操作具体为：所述主机与所述认证管理平台之间使用PPPoE协议进行交互，所述认证管理平台为所述主机分配内网IP地址，并在访问控制列表中加入连接限制，将建立的网络连接仅限于所述主机与所述认证管理平台之间的交互；

在所述宽带远程接入服务器检验所述认证请求通过时，还包括为所述主机分配公网IP地址的操作，所述认证门户服务器将所述公网IP地址返回给所述浏览器，并由所述浏览器插件进行公网IP地址的配置。

5.根据权利要求2-4任一所述的拨号认证方法，其中所述认证信息至少包括账号和密码。

6.一种拨号认证***，包括：

浏览器插件，预先安装在主机中，用于当监控到浏览器的访问网站的请求时，如果运行该浏览器的主机尚未建立网络连接，则向网络侧的认证管理平台发出连接建立请求；

认证管理平台，用于在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接；如果用户通过所述认证管理平台的身份认证，则解除所述主机连接的限制，以实现所述主机的正常的互联网访问。

7.根据权利要求6所述的拨号认证***，其中所述认证管理平台具体包括：

宽带远程接入服务器，用于在接收到所述连接建立请求后，建立所述主机与所述认证管理平台之间的限制性连接，并在接收到所述浏览器再次访问所述网站的访问请求时判断本次访问的用户是否通过身份认证，是则将该次访问请求重定向到所述认证管理平台中的认证门户服务器，否则将访问请求转发到所述网站；以及在接收到所述认证门户服务器发出的认证请求时，对所述认证请求进行检验，如果通过，则配置访问控制列表以解除所述主机连接的限制，并标记该连接已通过身份认证，然后向所述认证门户服务器返回成功标识；

认证门户服务器，用于在接收到所述访问请求时，向所述浏览器返回认证页面，并接收所述浏览器按照认证页面提交的认证信息，然后向所述宽带远程接入服务器发出认证请求；以及当接收到所述宽带远程接入服务器返回的成功标识之后，生成表示用户身份的令牌，并将所述令牌写入所述浏览器的cookie中，然后调用所述浏览器插件重新访问所述网站。

8.根据权利要求7所述的拨号认证***，其中所述宽带远程接入服务器包括：

IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配公网IP地址。

9.根据权利要求7所述的拨号认证***，其中所述宽带远程接入服务器包括：

二次IP分配模块，用于在建立所述主机与所述认证管理平台之间的限制性连接时，使用PPPoE协议进行交互，为所述主机分配内网IP地址，并在检验所述认证请求通过时，为所述主机分配公网IP地址，然后通过所述认证门户服务器将所述公网IP地址返回给所述浏览器，并由所述浏览器插件进行公网IP地址的配置。

10.根据权利要求7-9任一所述的拨号认证***，其中所述认证信息至少包括账号和密码。

Images