CN101925065A

CN101925065A - 认证方法、装置、***和无线接入点

Info

Publication number: CN101925065A
Application number: CN201010246878.5A
Authority: CN
Inventors: 陈宏�
Original assignee: Beijing Star Net Ruijie Networks Co Ltd
Current assignee: Beijing Star Net Ruijie Networks Co Ltd
Priority date: 2010-08-05
Filing date: 2010-08-05
Publication date: 2010-12-22

Abstract

本发明提供一种认证方法、装置、***和无线接入点，该认证方法可以包括：无线接入点接收无线终端发送的使用所述无线终端的用户的用户信息；确定所述无线接入点与管理所述无线接入点的无线控制器之间的隧道处于中断状态之后，所述无线接入点将所述用户信息发送给身份认证服务器，以便所述身份认证服务器对所述用户的身份进行认证。本发明实施例实现了在无线接入点与无线控制器之间的隧道处于中断状态时，由无线接入点提供认证代理，完成对用户的身份认证。

Description

认证方法、装置、***和无线接入点

技术领域

本发明涉及通信技术领域，尤其涉及一种认证方法、装置、***和无线接入点。

背景技术

在一个全网要求身份认证的网络中，当一个用户借助无线终端试图接入到网络中时，首先需要输入用户名和密码，无线接入点(Access Point；以下简称：AP)接收到上述用户名和密码后，将该用户名和密码打包传输到无线控制器(Access Controller；以下简称：AC)上，AC作为该用户的认证代理与身份认证服务器进行认证，之后AC将认证结果通告给AP。若认证成功，AP接收并转发该用户的数据报文，丢弃所有未认证或者认证失败的用户的数据报文。

上述身份认证过程由AC代理完成的原因是AC作为整网AP的控制器，AC需要收集所有认证用户的信息并进行集中管理。其中，AC对AP的管理需要在两者之间建立一条互相可达的通道，即无线接入点的控制和配置(Control And Provisioning of Wireless Access Points；以下简称：CAPWAP)隧道，CAPWAP隧道用于承载AC与AP之间的通讯报文；CAPWAP隧道可用的前提是AC与AP之间的网络可达。

从上述身份认证过程可以看出，AC是一个关键部件，一旦AC出现故障不能正常工作或者AC与AP之间的网络中断的时候，CAPWAP隧道中断，打算借助无线终端接入网络的用户将无法进行身份认证，从而导致该用户不能正常访问网络。

发明内容

本发明实施例提供一种认证方法、装置、***和无线接入点，以在无线接入点与无线控制器之间的隧道处于中断状态时，由无线接入点提供认证代理，实现对用户的身份认证。

本发明实施例提供一种认证方法，包括：

无线接入点接收无线终端发送的使用所述无线终端的用户的用户信息；

确定所述无线接入点与管理所述无线接入点的无线控制器之间的隧道处于中断状态之后，所述无线接入点将所述用户信息发送给身份认证服务器，以便所述身份认证服务器对所述用户的身份进行认证。

本发明实施例提供一种认证装置，包括：

接收模块，用于接收无线终端发送的使用所述无线终端的用户的用户信息；

发送模块，用于在确定所述认证装置与管理所述认证装置的无线控制器之间的隧道处于中断状态之后，将所述接收模块接收的用户信息发送给身份认证服务器，以便所述身份认证服务器对所述用户的身份进行认证。

本发明实施例还提供一种无线接入点，包括上述认证装置。

本发明实施例还提供一种认证***，包括：无线终端、无线控制器、身份认证服务器和上述无线接入点。

通过本发明实施例，无线接入点接收到无线终端发送的使用该无线终端的用户的用户信息之后，如果无线接入点确定该无线接入点与管理该无线接入点的无线控制器之间的隧道处于中断状态，则该无线接入点将上述用户信息发送给身份认证服务器，以便身份认证服务器对上述用户的身份进行认证；从而实现了在无线接入点与无线控制器之间的隧道处于中断状态时，由无线接入点提供认证代理，完成对用户的身份认证。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明认证方法一个实施例的流程图；

图2为本发明认证过程一个实施例的示意图；

图3为本发明认证装置一个实施例的结构示意图；

图4为本发明认证装置另一个实施例的结构示意图；

图5为本发明认证***一个实施例的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明认证方法一个实施例的流程图，如图1所示，该认证方法可以包括：

步骤101，AP接收无线终端发送的使用该无线终端的用户的用户信息。

本实施例中的用户信息可以为用户名和密码，当然本发明实施例并不仅限于此，该用户信息也可以为其他可以标识用户身份的信息，例如：用户标识和/或通行证号；本发明实施例对此不作限定。

步骤102，确定AP与管理该AP的AC之间的隧道处于中断状态之后，AP将上述用户信息发送给身份认证服务器，以便身份认证服务器对上述用户的身份进行认证。

其中，AP与管理该AP的AC之间的隧道可以为CAPWAP隧道。

本实施例中，AP将上述用户信息发送给身份认证服务器，由身份认证服务器对上述用户的身份进行认证之后，AP还可以接收身份认证服务器发送的该用户的认证结果。本实施例中，身份认证服务器可以通过一条消息，例如：认证响应消息或其他消息将该用户的认证结果发送给AP，本实施例对此不作限定。

在获得用户的认证结果之后，AP可以保存认证成功的用户的用户信息，并在AP与管理该AP的AC之间的隧道恢复连通之后，将保存的用户信息发送给上述AC。

另外，在获得用户的认证结果之后，AP可以接收并转发认证成功的用户的数据报文；和/或，AP丢弃未认证或认证失败的用户的数据报文。

上述实施例中，AP接收到无线终端发送的使用该无线终端的用户的用户信息之后，如果AP确定该AP与管理该AP的AC之间的隧道处于中断状态，则该AP将上述用户信息发送给身份认证服务器，以便身份认证服务器对上述用户的身份进行认证；从而实现了在AP与AC之间的隧道处于中断状态时，由AP提供认证代理，完成对用户的身份认证。

下面结合图2对本发明提供的认证方法进行详细说明，图2为本发明认证过程一个实施例的示意图。

在一个全网要求身份认证的网络中，当一个用户借助无线终端试图接入到该网络中时，首先需要输入该用户的用户信息，例如：该用户的用户名和密码，无线终端会将该用户的用户名和密码发送给AP，如图2中虚线箭头所示；AP接收到该用户的用户名和密码之后，会检测当前CAPWAP隧道的状态，如果由于网络或AC出现故障导致CAPWAP隧道处于中断状态，则AP会将自己作为该用户的认证代理与身份认证服务器进行认证，即AP会直接将该用户的用户名和密码发送给身份认证服务器，如图2中点划线箭头所示，并接收身份认证服务器发送的该用户的认证结果，如图2中双点划线箭头所示。然后，AP可以接收并转发认证成功的用户的数据报文，丢弃所有未认证或者认证失败的用户的数据报文。

另外，AP可以保存由自身代理认证成功的用户的用户信息，之后当网络或AC恢复正常工作，CAPWAP隧道恢复连通之后，AP可以将该AP所保存的通过自身代理认证成功的用户信息同步到AC上，以确保AC作为整网AP的控制器，拥有认证成功的所有用户的用户信息并进行集中管理。

本发明实施例提供的认证方法解决了在一个全网要求身份认证的网络中，网络或AC出现故障导致CAPWAP隧道处于中断状态的情景中，用户无法借助无线终端进行身份认证接入AP并访问网络的问题，提高了无线网络的可用性。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

图3为本发明认证装置一个实施例的结构示意图，本实施例中的认证装置可以作为AP，或AP的一部分，实现本发明图1所示实施例的流程。如图3所示，该认证装置可以包括：接收模块31和发送模块32；

其中，接收模块31，用于接收无线终端发送的使用该无线终端的用户的用户信息；

发送模块32，用于在确定该认证装置与管理该认证装置的AC之间的隧道处于中断状态之后，将接收模块31接收的用户信息发送给身份认证服务器，以便该身份认证服务器对该用户的身份进行认证。

上述实施例中，接收模块31接收到无线终端发送的使用该无线终端的用户的用户信息之后，如果确定该AP与管理该AP的AC之间的隧道处于中断状态，则发送模块32将上述用户信息发送给身份认证服务器，以便身份认证服务器对上述用户的身份进行认证；从而实现了在AP与AC之间的隧道处于中断状态时，由AP提供认证代理，完成对用户的身份认证，提高了网络的可用性。

图4为本发明认证装置另一个实施例的结构示意图，与图3所示的认证装置相比，不同之处在于，图4所示的认证装置中，接收模块31还可以接收身份认证服务器发送的用户的认证结果。

本实施例中，该认证装置还可以包括：保存模块33，用于保存认证成功的用户的用户信息；发送模块32还可以在隧道恢复连通之后，将保存模块33保存的用户信息发送给上述AC。

本实施例中，接收模块31还可以接收认证成功的用户的数据报文；发送模块32还可以转发接收模块31接收的数据报文；

本实施例中的认证装置还可以包括：丢弃模块34，用于丢弃未认证或认证失败的用户的数据报文。

上述认证装置实现了在AP与AC之间的隧道处于中断状态时，由AP提供认证代理，完成对用户的身份认证，提高了网络的可用性。

图5为本发明认证***一个实施例的结构示意图，如图5所示，该认证***可以包括：无线终端51、AC 52、AP 53和身份认证服务器54；

其中，AP 53可以接收无线终端51发送的使用该无线终端51的用户的用户信息，确定AP 53与管理该AP 53的AC 52之间的隧道处于中断状态之后，AP 53将上述用户信息发送给身份认证服务器54，以便该身份认证服务器54对该用户的身份进行认证。具体地，该AP 53可以通过本发明图3或图4所示的认证装置实现。

在实际实现时，无线终端51、AC 52、AP 53和身份认证服务器54可以按照图2进行组网。

上述实施例中，AP 53接收到无线终端51发送的使用该无线终端51的用户的用户信息之后，如果AP 53确定该AP 53与管理该AP 53的AC 52之间的隧道处于中断状态，则该AP 53将上述用户信息发送给身份认证服务器54，以便身份认证服务器54对上述用户的身份进行认证；从而实现了在AP 53与AC 52之间的隧道处于中断状态时，由AP 53提供认证代理，完成对用户的身份认证。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种认证方法，其特征在于，包括：

2.根据权利要求1所述的方法，其特征在于，所述无线接入点将所述用户信息发送给身份认证服务器，以便所述身份认证服务器对所述用户的身份进行认证之后，还包括：

所述无线接入点接收所述身份认证服务器发送的所述用户的认证结果。

3.根据权利要求1或2所述的方法，其特征在于，还包括：

所述无线接入点保存认证成功的用户的用户信息，并在所述隧道恢复连通之后，将保存的用户信息发送给所述无线控制器。

4.根据权利要求1或2所述的方法，其特征在于，还包括：

所述无线接入点接收并转发认证成功的用户的数据报文；和/或，

所述无线接入点丢弃未认证或认证失败的用户的数据报文。

5.一种认证装置，其特征在于，包括：

6.根据权利要求5所述的装置，其特征在于，

所述接收模块，还用于接收所述身份认证服务器发送的所述用户的认证结果。

7.根据权利要求5或6所述的装置，其特征在于，还包括：

保存模块，用于保存认证成功的用户的用户信息；

所述发送模块，还用于在所述隧道恢复连通之后，将所述保存模块保存的用户信息发送给所述无线控制器。

8.根据权利要求5或6所述的装置，其特征在于，

所述接收模块，还用于接收认证成功的用户的数据报文；所述发送模块，还用于转发所述接收模块接收的数据报文；

所述认证装置还包括：

丢弃模块，用于丢弃未认证或认证失败的用户的数据报文。

9.一种无线接入点，其特征在于，包括权利要求5-8任意一项所述的认证装置。

10.一种认证***，其特征在于，包括：无线终端、无线控制器、身份认证服务器和权利要求9所述的无线接入点。