CN112839331A - 一种用于无线局域网Portal认证逃生的用户信息认证方法 - Google Patents

Abstract

本发明公开了一种用于无线局域网Portal认证逃生的用户信息认证方法，包括：当Portal***正常时，获取认证成功的第一接入终端的MAC地址和接入SSID；并且根据所述第一接入终端的MAC地址和接入SSID对Portal***中存储的第一可认证用户列表进行更新，得到第二可认证用户列表；当所述Portal***异常时，获取第二接入终端的MAC地址和接入SSID，并且查询所述第二可认证用户列表，判断所述第二接入终端是否为可认可用户；其中，如果所述第二接入终端为可认可用户，则允许所述第二接入终端接入；否则不允许所述第二接入终端接入。本发明提供的用于无线局域网Portal认证逃生的用户信息认证方法，获取到的用户信息更加准确，并且无需其他功能设备即可实现Portal逃生。

Description

一种用于无线局域网Portal认证逃生的用户信息认证方法

技术领域

本发明属于无线局域网PORTAL认证逃生技术领域，特别涉及一种用于无线局域网Portal认证逃生的用户信息认证方法。

背景技术

Portal认证通常也称为web认证。用户可以主动访问已知的Portal认证网站，输入用户名和密码进行主动认证。或者在未认证用户试图通过http访问外网网址时，被强制弹出Portal认证网站从而开始Portal认证过程。

Portal***的典型组网方式由五个基本要素组成：认证客户端、接入设备、Portal服务器、认证计费服务器、安全策略服务器。基于该五要素的Portal认证过程包括，当用户访问网络时，在web网页浏览器输入一个互联网地址，此http请求经过接入设备时被重定向到Portal服务器，浏览器上将显示出Portal服务器的web认证主页；用户在web认证主页上输入用户名和密码后提交，Portal服务器将用户的认证信息传给接入设备；接入设备与认证计费服务器通信，完成用户认证开始计费；认证通过后，接入设备允许用户访问互联网，并根据安全策略服务器的配置来控制用户访问不同的网络资源。

在Portal实际组网应用中，如果Portal***异常，或者与接入设备的通信中断，就会导致未认证用户无法接入，在线用户无法正常下线引起收费异常等问题。此时，便产生了Portal逃生的需求。Portal逃生的实施需依赖于两大功能：其一是接入设备能够周期性检测Portal***是否正常，其二是接入设备能够确定可认证用户，只有确定可认证用户，才能尽可能地识别不同用户的流量，确保Portal逃生后能够按照Portal***正常时的方式来完成用户认证，降低Portal***异常产生的影响。

对于可认证用户信息的获取，现有技术的方式为：在Portal服务器上记录认证用户的用户名称及对应的IP地址等信息，然后通过协议报文定时向接入设备发送这些用户信息，接入设备收到协议报文后，解析出用户信息并存储到本地，作为可认证用户。当接入设备探测到Portal***异常开始逃生时，接入设备根据未认证用户的请求数据中携带的IP地址从本地存储的可认证用户信息中查找，从而控制此用户的接入。

采用现有技术方案时，需要Portal服务器和接入设备均支持处理用户信息同步的协议报文，而实际上该协议报文并没有固定标准，多数是各厂商的私有定义。为了实现Portal逃生功能，客户不得不同时升级Portal服务器和接入设备，造成不必要的资源浪费。同时，在很多组网环境下，IP地址是采用DHCP动态获取的方式，同一个用户每次Portal认证时使用的IP地址并不固定，如果通过IP地址来识别用户，准确性较差。

发明内容

本发明的目的提供一种用于无线局域网Portal认证逃生的用户信息认证方法，当Portal***正常时，基于认证成功的终端的MAC地址和接入SSID更新可认证用户列表；当Portal***异常，开始逃生时，在本地可认证用户列表中查找接入终端的MAC地址，即可准确判断出是否应允许该用户接入，完成Portal逃生；与现有技术相比，本发明获取到的用户信息更加准确，并且无需其他功能设备就能够实现逃生功能。

本发明提供的技术方案为：

一种用于无线局域网Portal认证逃生的用户信息认证方法，包括：

当Portal***正常时，获取认证成功的第一接入终端的MAC地址和接入SSID；并且根据所述第一接入终端的MAC地址和接入SSID对Portal***中存储的第一可认证用户列表进行更新，得到第二可认证用户列表；

当所述Portal***异常时，获取第二接入终端的MAC地址和接入SSID，并且查询所述第二可认证用户列表，判断所述第二接入终端是否为可认可用户；

其中，如果所述第二接入终端为可认可用户，则允许所述第二接入终端接入；否则不允许所述第二接入终端接入。

优选的是，得到所述第二可认证用户列表的方法，包括：

将所述第一接入终端的MAC地址和接入SSID与所述第一可认证用户列表进行比对；其中，

如果比对结果为不匹配，则将所述第一接入终端设置为可认证用户，并根据所述第一接入终端的MAC地址和接入SSID，对所述第一可认证用户列表进行更新，得到所述第二可认证用户列表；

如果比对结果为匹配，则所述第二可认证用户列表保持与所述第一可认证用户列表相同。

优选的是，判断所述比对结果是否匹配的方法为：

遍历所述第一可认证用户列表的存储条目，将所述第一接入终端的MAC地址与第一可认证用户列表的存储条目中的可认证终端MAC地址进行比对；

其中，如果所述第一接入终端与所述第一可认证用户列表中的一行存储条目的MAC地址相同，并且接入SSID相同，则比对结果匹配；

否则，比对结果为不匹配。

优选的是，当所述比对结果为不匹配时，

如果所述第一接入终端的MAC地址与所述第一可认证用户列表中的一行存储条目的MAC地址相同，但接入SSID不同；则将所述第一接入终端的MAC地址及本次认证的接入SSID生成新存储条目，并用新存储条目替换所述第一可认证用户列表中MAC地址相同的存储条目；

如果所述第一接入终端的MAC地址与所述第一可认证用户列表中的一行存储条目的MAC地址和接入SSID均不同；则将所述第一接入终端的MAC地址及本次认证的接入SSID，并将生成的新存储条目添加至所述第一可认证用户列表中。

优选的是，所述的用于无线局域网Portal认证逃生的用户信息认证方法，还包括：

如果所述第一可认证用户列表为空，根据所述第一接入终端的MAC地址和接入SSID，生成存储条目，并添加至所述第一可认证用户列表中，得到所述第二可认证用户列表。

优选的是，所述存储条目包括：接入端的MAC地址、接入SSID和认证时间。

优选的是，所述的用于无线局域网Portal认证逃生的用户信息认证方法，还包括：

如果比对结果为匹配，则将所述匹配的存储条目中的认证时间修改为所述第二接入终端的本次认证时间。

优选的是，所述的用于无线局域网Portal认证逃生的用户信息认证方法，还包括：

根据所述第一可认证用户列表的存储条目中的认证时间，确定可认证用户的不活跃时长；如果所述不活跃时长超过预设时长，则将该可认证用户对应的存储条目删除。

本发明的有益效果是：

本发明提供的用于无线局域网Portal认证逃生的用户信息认证方法，当Portal***正常时，基于认证成功的终端的MAC地址和接入SSID更新可认证用户列表，可准确获取接入用户信息；当Portal***异常时，利用无线控制器上存储的可认证用户列表，可准确判断出是否应允许该用户接入，仅通过无线控制器即可实现Portal逃生功能，无需与Portal***中其它设备再进行特殊交互，将使Portal逃生功能对Portal***中的设备要求降低。

附图说明

图1为本发明所述的用于无线局域网Portal认证逃生的用户信息认证方法的应用场景示意图。

图2为本发明所述的Portal***组成示意图。

图3为本发明所述的用于Portal逃生的用户信息的获取方法的流程图。

图4为本发明所述的将接入终端的MAC地址和接入SSID与预设的可认证用户列表进行比对的流程图。

图5为本发明所述的接入终端的MAC地址与可认证列表中的存储条目的MAC地址不匹配时，可认证列表中的更新流程图。

图6为本发明所述的比对结果匹配时，可认证列表中的更新流程图。

图7为本发明所述的删除不活跃用户对应的存储条目的的流程图。

具体实施方式

下面结合附图对本发明做进一步的详细说明，以令本领域技术人员参照说明书文字能够据以实施。

本发明提供了一种用于无线局域网Portal认证逃生的用户信息认证方法，该方法包括两个部分，第一部分为获取用于Portal逃生的用户信息，第二部分为Portal逃生的用户认证。

第一部分，用于Portal逃生的用户信息的获取方法包括：

(1)当Portal***正常时，获取接入终端的MAC地址和连接的SSID；

(2)如果所述接入终端Portal认证成功，则将所述接入终端MAC地址与预设的可认证用户列表进行比对；

(3)如果比对结果为不匹配，则将所述接入终端设置为可认证用户，并根据所述接入终端的MAC地址和SSID，更新所述可认证用户列表。

本发明中所述的接入终端可以理解为安装有网页浏览器或者Portal客户端软件的终端设备，例如PC机或手机，用户通过接入终端访问网络；无线控制器的主要作用是在认证前将用户所有HTTP请求都重定向到Portal服务器；认证过程中与Portal服务器、认证计费服务器、安全策略服务器交互，完成认证计费、安全策略的功能；认证成功后，允许用户访问授权的互联网资源。Portal服务器用于接入终端的认证请求，提供web认证的界面的服务器。

如图1所示，为本实施例中的应用场景示意图，终端(手机)通过无线网络与无线接入点连接，无线接入点与无线控制器进行有线连接，在终端成功通过无线网络连接到Internet网络之前，需完成Portal***的认证过程，如果认证成功，则允许接入，如果认证失败，则不允许接入。

如图2所示，为本实施例中的Portal***组成示意图，Portal***对终端的认证过程包括：当用户访问网络时，在web网页浏览器输入一个互联网地址，此http请求经过接入设备时被重定向到Portal服务器，浏览器上将显示出Portal服务器的web认证主页；用户在web认证主页上输入用户名和密码后提交，Portal服务器将用户的认证信息传给无线控制器；无线控制器与认证计费服务器通信，完成用户认证开始计费；认证通过后，无线控制器通知无线接入点允许用户访问互联网，并根据安全策略服务器的配置来控制用户访问不同的网络资源。

由上述认证过程可知，Portal认证过程中的所有设备都需要与无线控制器进行交互，无线控制器可以获取用户的全部信息，若把每个用户的信息在无线控制器上进行存储，那么在Portal***运行一段时间达到稳态后，无线控制器上的用户信息将与Portal服务器和认证计费服务器上的用户信息达到一致。并且，每个终端(如PC机或手机)的MAC地址是固定不变的，具有唯一性，因此，可以通过MAC地址来准确识别出每个终端。在无线控制器上记录终端的MAC地址与用户的对应关系，即可在Portal逃生时，直接根据数据流信息中的介质访问控制MAC地址，精确得到流量的所属用户。

为了在Portal认证场景下，只由无线控制器即可实现Portal逃生功能，并且在portal逃生时能够更精准的识别出流量的所属认证用户，如图3所示，本实施例中提供的用于Portal逃生的用户信息获取方法具体包括：

步骤301，当Portal***正常时，获取被接入设备重定向到Portal服务器的数据流信息；所述数据流信息包括接入终端的MAC地址和接入SSID；

在本实施例中，接入终端的MAC地址从接入终端发送给无线控制器的数据流信息中获取，该数据流信息可以是HTTP、DHCP等协议报文，在Portal认证过程中，该数据流信息同时被无线控制器重定向到Portal服务器；接入终端的连接SSID，则由接入终端连接的无线接入点上报给无线控制器。

步骤302，如果所述接入终端Portal认证成功，则将所述接入终端的MAC地址与预设的可认证用户列表进行比对；

在另一种实施例中，在将所述接入终端的MAC地址与预设的可认证用户列表进行比对之前，还包括：判断预设的可认证用户列表是否为空，如果所述预设的可认证用户列表为空，则根据所述接入终端的介质访问控制MAC地址，生成存储条目，并添加至所述可认证用户列表中。

预设的可认证用户列表中的存储条目如果为空，说明接入设备或其他功能实体还未获取到可认证用户信息。预设可认证用户列表时，应定义列表中存储条目对用户信息的存储规则，然后根据定义的存储规则将相应的用户信息生成存储条目。例如，当在Portal服务器***正常时，终端A的数据流信息(http请求流量)http请求流量到无线控制器后，无线控制器判断此流量之前未经认证，就根据MAC1创建临时用户a，根据MAC1，可以查询到无线接入点上报的用户连接SSID1，并向终端A推送Portal服务器的web认证页面。终端A的用户在认证页面输入用户名a和密码提交后，认证信息由Portal服务器与Portal***中其他设备进行交互，并将认证成功的结果发送给无线控制器。这时无线控制器就将MAC1、连接SSID1、和认证时间生成存储条目，记录添加到本地的可认证用户表中，此时，原本为空的可认证用户表中，就包括一行存储条目。Portal***运行一段时间后，接入设备上存储的可认证用户列表中可能将包含三行存储条目：

条目1-MAC1、SSID1、认证时间2019-06-14 12:23；

条目2-MAC2、SSID2、认证时间2019-06-14 12:25；

条目3-MAC3、SSID3、认证时间2019-06-14 13:30。

可以看出，在认证用户列表中，每一条存储条目均体现出MAC地址与SSID的对应关系。

步骤303，如果比对结果为不匹配，则将所述接入终端设置为可认证用户，并根据所述接入终端的MAC地址，更新所述可认证用户列表。

如图4所示，在一种实施例中，所述将接入终端的MAC地址与预设的可认证用户列表进行比对，包括如下步骤：

步骤401，遍历所述可认证用户列表的存储条目，将所述接入终端的MAC地址与所述存储条目中的可认证终端介质访问控制MAC地址进行比对；

步骤402，如果存在一行存储条目的可认证终端MAC地址与所述接入终端的MAC地址匹配，则比对接入SSID；

步骤403，如果存储条目的可认证终端的接入SSID与接入终端的接入SSID相同，则比对结果为匹配；

步骤404，如果存储条目的可认证终端的接入SSID与接入终端的接入SSID不相同，则比对结果为不匹配；

步骤405，如果每行存储条目的可认证终端MAC地址与所述接入终端的MAC地址均不匹配，则比对结果为不匹配。

例如，假设当前可认证用户列表中包含三行存储条目：

条目1-MAC1、SSID1、认证时间2019-06-14 12:23；

条目2-MAC2、SSID2、认证时间2019-06-14 12:25；

条目3-MAC3、SSID3、认证时间2019-06-15 13:30。

若接入终端的MAC地址为MAC4，则比对结果为不匹配。

若接入终端的MAC地址为MAC1，接入SSID为SSID1，则比对结果为匹配，且存储条目1为匹配的存储条目；

若接入终端的MAC地址为MAC2，接入SSID为SSID2，则比对结果为匹配，且存储条目2为匹配的存储条目。

即如果存在一行存储条目的可认证终端MAC地址与所述接入终端的MAC地址匹配，并且存储条目中的SSID与所述连接SSID相同，则比对结果为匹配；

如果存在一行存储条目的可认证终端MAC地址与所述接入终端的MAC地址匹配，并且存储条目中的SSID与所述连接SSID不同，则比对结果为不匹配；

如果每行存储条目的可认证终端MAC地址与所述接入终端的MAC地址均不匹配，则比对结果为不匹配。

采用上述比对方法，只对接入终端的MAC地址和接入SSID与存储条目中可认证终端MAC地址和接入SSID比对，一方面简化数据处理步骤，另一方面，避免了当用户名称等其他信息发生变化时，造成的匹配不准确的情况。

如图5所示，在一种实施例中，如果每行存储条目的可认证终端MAC地址与所述接入终端的MAC地址均不匹配，根据接入终端的MAC地址，更新所述可认证用户列表，包括：

步骤501，将所述接入终端的MAC地址、本次认证接入的SSID以及本次认证时间生成存储条目；

步骤502，将生成的存储条目添加至所述可认证用户列表中。

采用上述方式，逐渐将首次接入的用户信息生成存储条目，添加到可认证用户列表中，所述用户信息包括接入终端的MAC地址、本次认证的接入SSID以及本次认证时间。接入终端的MAC地址，用于Portal逃生时作为判断用户是否允许接入；本次认证的连接SSID，用于建立接入终端与SSID的对应关系，以便在Portal逃生时直接根据终端MAC判断连接的SSID是否一致；本次认证时间，用于保证可认证用户列表的有效性。

在另一种实施例中，如果存在一行存储条目的可认证终端MAC地址与所述接入终端的MAC地址匹配，但接入终端本次认证的SSID与所述匹配的存储条目中的SSID不同，则将所述匹配的存储条目中的SSID修改为所述接入终端本次认证的SSID；以及，将所述匹配的存储条目中的认证时间修改为所述接入终端的本次认证时间。采用这种方式，可以更新存储条目中接入终端与SSID的对应关系，更新认证时间有利于保证可认证用户列表的有效性。

如图6所示，在另一种实施例中，所述的用于Portal逃生的用户信息获取方法还包括：

步骤601，如果比对结果为匹配，则将所述匹配的存储条目中的认证时间修改为所述接入终端的本次认证时间；以保证可认证用户列表的有效性。

如图7所示，在另一种实施例中，所述的用于Portal逃生的用户信息获取方法还包括：

步骤701，根据所述可认证用户列表的存储条目中的认证时间，确定可认证用户的不活跃时长；

步骤702，如果所述不活跃时长超过预设时长，则将该可认证用户对应的存储条目删除。

采用这种方式，能够保证可认证用户列表的有效性，将失效用户对应的存储条目删除，还能节省本地存储空间，提高查找效率。

第二部分，用于Portal逃生的用户认证方法包括：

(1)当Portal***异常，接入终端开始Portal逃生时，无线控制器根据所述接入终端的MAC地址和SSID，从本发明的第一部分所述的可认证用户列表中，查询所述接入终端是否为可认证用户；如果所述接入终端是可认证用户，则使所述接入终端认证成功；如果所述接入终端非可认证用户，则使所述接入终端认证失败。

采用这种方式，利用无线控制器上存储的可认证用户列表，只需要无线控制器即可实现Portal逃生功能，无需与Portal***中其它设备再进行特殊交互，将使Portal逃生功能对Portal***中的设备要求降低。

综上所示，采用本发明提供的用于Portal逃生的用户信息获取方法，当Portal***正常时，接入设备可直接获取接入终端的MAC地址，无需其他附加设备；而由于MAC地址是接入终端的唯一确定的硬件地址，因此基于认证成功的终端的MAC地址的可认证用户列表，也具有唯一确定性，因此，与现有技术相比，采用本发明中的方法获取到的用户信息更加准确。当Portal***异常，开始逃生时，接入设备通过在本地可认证用户列表中查找接入终端的MAC地址，并获取连接SSID，即可准确判断出是否应允许该用户接入，完成Portal逃生，而无需其他功能设备。

尽管本发明的实施方案已公开如上，但其并不仅仅限于说明书和实施方式中所列运用，它完全可以被适用于各种适合本发明的领域，对于熟悉本领域的人员而言，可容易地实现另外的修改，因此在不背离权利要求及等同范围所限定的一般概念下，本发明并不限于特定的细节和这里示出与描述的图例。

Claims (8)

1.一种用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，包括：

当Portal***正常时，获取认证成功的第一接入终端的MAC地址和接入SSID；并且根据所述第一接入终端的MAC地址和接入SSID对Portal***中存储的第一可认证用户列表进行更新，得到第二可认证用户列表；

当所述Portal***异常时，获取第二接入终端的MAC地址和接入SSID，并且查询所述第二可认证用户列表，判断所述第二接入终端是否为可认可用户；

其中，如果所述第二接入终端为可认可用户，则允许所述第二接入终端接入；否则不允许所述第二接入终端接入。

2.根据权利要求1所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，得到所述第二可认证用户列表的方法，包括：

将所述第一接入终端的MAC地址和接入SSID与所述第一可认证用户列表进行比对；其中，

如果比对结果为不匹配，则将所述第一接入终端设置为可认证用户，并根据所述第一接入终端的MAC地址和接入SSID，对所述第一可认证用户列表进行更新，得到所述第二可认证用户列表。

3.根据权利要求2所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，判断所述比对结果是否匹配的方法为：

遍历所述第一可认证用户列表的存储条目，将所述第一接入终端的MAC地址与第一可认证用户列表的存储条目中的可认证终端MAC地址进行比对；

其中，如果所述第一接入终端与所述第一可认证用户列表中的一行存储条目的MAC地址相同，并且接入SSID相同，则比对结果匹配；

否则，比对结果为不匹配。

4.根据权利要求3所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，当所述比对结果为不匹配时，

如果所述第一接入终端的MAC地址与所述第一可认证用户列表中的一行存储条目的MAC地址相同，但接入SSID不同；则将所述第一接入终端的MAC地址及本次认证的接入SSID生成新存储条目，并用新存储条目替换所述第一可认证用户列表中MAC地址相同的存储条目；

如果所述第一接入终端的MAC地址与所述第一可认证用户列表中的一行存储条目的MAC地址和接入SSID均不同；则将所述第一接入终端的MAC地址及本次认证的接入SSID，并将生成的新存储条目添加至所述第一可认证用户列表中。

5.根据权利要求2-4任意一项所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，还包括：

如果所述第一可认证用户列表为空，根据所述第一接入终端的MAC地址和接入SSID，生成存储条目，并添加至所述第一可认证用户列表中，得到所述第二可认证用户列表。

6.根据权利要求5所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，所述存储条目包括：接入端的MAC地址、接入SSID和认证时间。

7.根据权利要求6所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，还包括：如果比对结果为匹配，则将所述匹配的存储条目中的认证时间修改为所述第二接入终端的本次认证时间。

8.根据权利要求7所述的用于无线局域网Portal认证逃生的用户信息认证方法，其特征在于，还包括：

根据所述第一可认证用户列表的存储条目中的认证时间，确定可认证用户的不活跃时长；如果所述不活跃时长超过预设时长，则将该可认证用户对应的存储条目删除。

Images