CN1142662C - 同时支持基于不同设备网络接入认证的方法 - Google Patents

Abstract

本发明涉及一种同时支持基于不同设备网络接入认证的方法。该方法为：将基于接入控制设备的认证方式的认证报文经接入点设备的非受控端口在用户与接入控制设备间传送，或将基于接入点设备的认证方式的认证报文经接入点设备的非受控端口传送到接入点设备，进行用户接入网络的认证；且用户通过认证后，将接入点设备的受控端口打开。本发明实现了在网络接入过程中，用户既可以选择基于接入点设备的认证方式，如802.1x认证等；也可以选择基于接入控制设备的认证方式，如WEB认证方式等；使得用户可以根据需要动态自由地选择认证方式，方便了用户在许多公共场所进行网络接入。

Description

同时支持基于不同设备网络接入认证的方法

技术领域

本发明涉及网络通信技术领域，尤其涉及一种同时支持基于不同设备网络接入认证的方法。

背景技术

目前常用的以太网组网方式如图1所示，一个LANSwitch(以太网交换机)可以接多个PC(计算机)，LANSwitch通过以太网线路连接在接入控制设备上。对于无线局域网技术，计算机的无线网卡和无线接入点相连，一个接入点可以接多个计算机，无线接入点通过以太网线路接在接入控制设备上。接入控制设备可以是具有用户管理功能的LANSwitch或者路由器，或者具有类似功能的以太网用户接入管理设备。

图一在实际的组网中，PC可以直接接在接入点设备中，也可以通过接入点设备下的HUB(网络集线器)、LanSwitch等设备连接到接入点设备中，PC也可以通过VDSL和VDSL Switch(VDSL交换机)相连，其中在VDSL线路中传递的是以太网格式的报文。在无线局域网中，可以使用但不限于802.11、802.11a、802.11b、802.11g等无线以太网协议来连接PC和接入点。同时，在网络中还需要放置RADIUS认证服务器，进行用户身份合法性的认证，实现网络接入控制，方便网络运营商对网络接入用户的管理。

目前，网络运营商所采用的网络接入控制方法包括WEB认证、802.1x认证等多种已经被广泛应用的认证方法。802.1x即IEEE 802.1x，是一种基于端口的访问控制协议，且为一种基于以太网技术的认证协议。目前，802.1x以其协议安全、实现简单，和其他认证协议一起，给使用ADSL(非对称数字用户环线)、VDSL(甚高速数字用户线路)、LAN(局域网)等多种宽带接入方式的用户提供了新的认证方式；802.1x认证通常是在最接近用户的设备上实现，所以802.1x认证是在接入点设备上实现接入认证过程，如在LANSwitch(以太网交换机)和无线接入点)上。而另一种广泛应用的WEB认证方法，通常是在以太网的接入控制设备上实现的，用户进行WEB认证时，需要将认证报文经接入点设备发送至接入控制设备进行认证。

但由于802.1x协议规定，接入点设备上仅有主要用来传递EAPOL(基于局域网的可扩展认证协议)认证报文的非受控端口始终处于双向连通状态，保证客户端始终可以发出或接受认证；而其他报文都经接入点设备的受控端口进行传送，但受控端口在未授权时处于被阻塞状态，无法进行报文的传递。只有在802.1x认证通过后，授权受控端口开通，才能够传递业务报文。

因此，当用户需要使用WEB认证方法时，或者使用802.1x认证方法进行认证将接入点的非受控端口打开，或者在接入点上为用户配置打开非受控端口，使得用户可以进行WEB认证，否则，用户无法动态自由选择认证方式，而只能使用某一种认证方法进行网络的接入，限制了用户的认证选择。

而在许多公共场所上网，即使某用户只用一种认证方法，由于用户接入网络前，网络无法获取用户信息，因此无法事先给用户配置对应的认证方法。这必将限制部分未使用该网络默认的认证方法进行网络接入的用户正常接入网络，为用户正常使用网络带来了不便。

因此，现有技术无法满足用户希望任意选择多种认证方法中的一种进行网络接入认证的需求。

发明内容

本发明的目的是提供一种同时支持基于不同设备网络接入认证的方法，从而使用户在接入网络过程中，可以根据需要选择基于接入点设备的认证方式或基于接入控制设备的认证方式接入网络。

本发明的目的是这样实现的：同时支持基于不同设备网络接入认证的方法，其特征在于：将基于接入控制设备的认证方式的认证报文经接入点设备的非受控端口在用户与接入控制设备间传送，或将基于接入点设备的认证方式的认证报文经接入点设备的非受控端口传送到接入点设备，进行用户接入网络的认证；且用户通过认证后，将接入点设备的受控端口打开。

用户进行认证之前还包括：用户通过接入点设备的非受控端口在用户与接入控制设备间进行DHCP动态主机配置协议报文的传送，以为用户分配IP地址。

所述的基于接入控制设备的认证方式为WEB(环球网)认证方式时，所述的认证报文包括：基于DHCP(动态主机配置协议)的报文、基于HTTP(超文本传输协议)的报文和基于DNS(域名服务)的报文。

所述的基于接入点设备的认证方式为802.1x认证方式时，具体认证过程包括：

a、用户通过接入点设备的非受控端口向接入点设备发送认证开始报文，并根据接入点设备发来的用户身份请求报文，将用户的身份信息发送给接入点设备；

b、接入点设备将用户的身份信息发送给认证服务器，并由认证服务器为其生成一个CHALLENGE(挑战码)返回给接入点设备；

c、接入点设备将该CHALLENGE发送给用户，由用户采用MD5(消息摘要5)加密算法对其进行加密，加密后的CHALLENGE通过接入点设备发送给认证服务器；

d、认证服务器接收加密后的CHALLENGE，并对其进行认证；

e、将认证结果通过接入点设备发送给用户，对于认证通过的用户，通知接入点设备打开该用户对应的受控端口。

对于认证前已分配了IP地址的用户，所述的步骤e还包括：对于认证通过的用户，如果需要更换IP地址，则用户通过接入点设备的非受控端口和已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送为用户分配新的IP地址。

所述的其于接入控制设备的认证过程包括：

f、用户将HTTP请求报文通过接入点设备的非受控端口发送给接入控制设备，并强制到Portal服务器；

g、Portal(入口)服务器获取用户的身份认证信息，及由接入控制设备为该用户生成的CHALLENGE；

h、Portal服务器将CHALLENGE利用MD5加密算法加密后与用户身份认证信息一起发送给接入控制设备；

i、接入控制设备将所述信息发送给RADIUS认证服务器进行用户认证；

j、将认证结果通过Portal服务器发送给接入控制设备，对于认证通过的用户，通知接入点设备打开该用户对应的受控端口。

对于认证前已分配了IP地址的用户，所述的步骤j还包括：对于认证通过的用户，如果需要为其分配新的IP地址，则用户通过接入点设备的非受控端口或已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送为用户分配新的IP地址。

由所述技术方案可以看出，本发明实现了在网络接入过程中，用户既可以选择基于接入点设备的认证方式，如802.1x认证等；也可以选择基于接入控制设备的认证方式，如WEB认证方式等。基于不同设备的多种认证方式同时支持，使得用户可以根据需要动态自由地选择认证方式，使用户在许多公共场所接入网络时，无需事先为其配置对应的认证方法，方便了用户的接入网络，提高了网络运营商的服务质量。

附图说明

图1为本发明应用的网络环境示意图；

图2为本发明所述的WEB认证的具体实施流程图；

图3为本发明所述的802.1x认证的具体实施流程图。

具体实施方式

目前的局域网络组网结构如图1所示，PC(个人计算机)通过接入点(AP)设备接入网络，接入点设备与接入控制设备相连。本发明的实现使用户既可以采用基于接入点设备的认证过程进行身份认证，如802.1x认证，又可以采用基于接入控制设备的认证过程进行身份认证，如WEB认证。

本发明的具体实现过程如图2、图3所示：

步骤1：用户通过标准的DHCP(动态主机配置协议)过程，从接入控制设备获取到相应的IP地址。此时，接入点设备允许DHCP协议流走非受控端口，因此可以DHCP协议流通过接入点设备；

如果是手工配置IP地址的用户，则省略步骤1；

用户获取相应的IP地址后，便可以根据需要选择认证方式，即可以选择基于接入点设备的认证方式，也可以选择基于接入控制设备的认证方式，如果用户选择了基于接入控制设备的WEB认证方式，则可以通过执行步骤2至步骤14进行用户接入网络的认证，如图2所示：

步骤2：用户选择WEB认证，此时用户打开IE，访问某个网站，用户通过向接入控制设备发送“HTTP Request user-url”消息发起HTTP(超文本传输协议)请求；

接入点设备允许WEB认证的HTTP/HTTPs流走非受控端口，因此HTTP/HTTPs流可以通过接入点设备；如果允许强制Portal(入口)，此时用户访问网站的可能是任意IP地址，因此此时应该允许所有的HTTP/HTTPs流通过；如果不允许强制Portal，就只允许到指定Portal服务器进行WEB认证的HTTP/HTTPs流通过接入点设备；特别的，在HTTP请求前，可能还有DNS(域名服务)报文交互，此时应该允许指定的或者任意的URL(统一资源定位，也就是我们常说的WWW网址)对应的DNS请求报文通过；

步骤3：接入控制设备截获用户的HTTP请求，由于用户没有认证过，就强制到Portal服务器，即向强制Portal服务器发送“HTTP Request portal-url”消息，请求相应的认证WEB页面；

步骤4：Portal服务器根据收到的消息通过发送“HTTP Response portal-url”消息，向用户终端推送WEB认证页面；

步骤5：用户在WEB认证页面上填入用户名、密码等信息，提交到Portal服务器，即用户向Portal服务器发送“HTTPs POST portal-url”消息，消息中承载有用户名usemame和密码pwd；

步骤6：Portal服务器接收到用户信息，必须按照CHAP(质询握手认证协议)流程，向接入控制设备请求Challenge；

步骤7：接入控制设备为该用户生成一个Challenge，包括Challenge ID(挑战码标识)和Challenge，并将返回给用户；

步骤8：Porta服务器将密码和Challenge ID和Challenge做MD5算法后的Challenge-Password(挑战码密码)，和用户名一起通过“REQ AUTH”消息提交到接入控制设备，发起认证过程；

步骤9：接入控制设备将Challenge ID(即chaID)、Challenge、Challenge-Password(即Pwd)和用户名(即usemame)等用户信息通过“Access-Request”消息发送到RADIUS(远程)认证服务器，由RADIUS认证服务器进行认证；

步骤10：RADIUS认证服务器根据所述用户信息判断该用户是否合法，然后将认证成功/失败“Access-Accept/Access-Reject”消息发送到接入控制设备；如果成功，携带协商参数，以及用户的相关业务属性给用户授权；

步骤11：接入控制设备通过发送“ACK AUTH”消息将认证结果发送给Portal服务器，还包括相关业务属性，如用户开通的业务、用户的帐单情况等；

步骤12：Portal服务器根据认证结果，向用户发送“HTTP Response portal-url”消息，进行认证结果页面的推送；

步骤13：同时，Portal服务器还通过发送“AFF_ACK_AUTH”消息回应接入控制设备收到认证结果报文；

步骤14：用户认证成功后，通知接入点设备打开该用户的受控端口，用户通过打开的受控端口进行相应的网络访问；如果认证失败，则流程到此结束，并通知用户无法进行网络访问。

对于认证成功的用户，接入控制设备还需要对其进行后续的授权、计费等流程。由于已经分配了IP地址，此时用户可以直接使用原来的IP地址进行网络访问；如果认证成功后，ISP(网络服务提供商)要求用户更换IP地址，则用户重新通过DHCP过程获取IP地址，即用户通过接入点设备的非受控端口或认证通过后已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送，为用户分配新的IP地址。

如果用户选择了基于接入点设备的802.1x认证方式，则可以通过执行步骤15至步骤25进行用户接入网络的认证，如图3所示：

步骤15：用户选择802.1x认证，以EAP-MD5(基于MD5的可扩展认证协议，其中MD5，Message Digest 5，消息摘要5，一种加密算法)为例，用户向接入点设备发送一个“EAPoL-Start”报文，开始802.1x接入认证过程；

步骤16：接入点设备向用户发送“EAP-Request/Identity”(身份请求)报文，请求用户将用户名发送过来；

步骤17：用户接到身份请求报文后，回应“EAP-Response/Identity”报文给接入点设备，将用户的用户名发送给接入点设备；

步骤18：接入点设备以EAP Over RADIUS(基于RADIUS协议的EAP)的报文格式向RADIUS认证服务器发送“Access-Request”(接入请求)报文，报文中包含有用户发给接入点设备的EAP-Message(EAP认证信息)、“EAP-Response/Identity”(EAP认证身份响应)报文，将用户名提交RADIUS认证服务器；

步骤19：RADIUS认证服务器为该用户产生一个128 bit的Challenge，RADIUS认证服务器回应接入点设备一个“Access-Challenge”(接入挑战码)报文，包含有EAP-Message和“EAP-Request/MD5-Challenge”报文，“EAP-Request/MD5-Challenge”报文需要发送给接入点设备中用户对应的Challenge；

步骤20：接入点设备向用户发送“EAP-Request/MD5-Challenge”报文，请求用户对Challenge采用MD5算法进行处理；

步骤21：用户收到“EAP-Request/MD5-Challenge”报文后，对Challenge做MD5算法后生成Challenge-Password(挑战码密码)，并通过“EAP-Response/MD5-Challenge”报文将其发送给接入点设备；

步骤22：接入点设备再将Challenge-Password、EAP-Message及EAP-Response通过“Access-Request”报文送到RADIUS认证服务器，由RADIUS认证服务器对用户进行认证，RADIUS认证服务器根据用户信息判断用户是否可以通过认证；

步骤23：RADIUS认证服务器向接入点设备发送认证成功或认证失败报文；如果用户认证成功，报文中携带协商参数，如授权信息等，以及用户的相关业务属性，如预付费信息、开通的业务等；

如果认证成功还需要通知接入点设备打开受控端口，用户可以通过打开的受控端口进行相应的网络访问；

步骤24：接入点设备根据认证结果，向用户发送“EAP-Success/EAP-Failure”(认证成功或认证失败)报文，通知用户认证结果；如果认证失败，则流程结束；

步骤25：由于已经分配了IP地址，此时用户可以直接使用原来的IP地址进行网络访问；

如果认证成功后，ISP(网络服务提供商)要求用户更换IP地址，则用户重新通过DHCP过程获取IP地址，即用户通过接入点设备的非受控端口或认证通过后已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送为用户分配新的IP地址。

用户获取相应的IP地址并接入网络后，还需要进行后续的授权、计费等流程。

由于接入点设备上802.1x认证信息均通过接入控制设备，接入控制设备可以侦听接入点设备发起的认证信息，比如RADIUS协议报文，从中获取用户认证信息，从而方便在接入控制设备上对用户进行管理控制。

Claims (7)

1、一种同时支持基于不同设备网络接入认证的方法，其特征在于：

将基于接入控制设备的认证方式的认证报文经接入点设备的非受控端口在用户与接入控制设备间传送，或将基于接入点设备的认证方式的认证报文经接入点设备的非受控端口传送到接入点设备，进行用户接入网络的认证；

且用户通过认证后，将接入点设备的受控端口打开。

2、根据权利要求1所述的同时支持基于不同设备网络接入认证的方法，其特征在于：用户进行认证之前还包括：用户通过接入点设备的非受控端口在用户与接入控制设备间进行动态主机配置协议DHCP报文的传送，以为用户分配互联网协议IP地址。

3、根据权利要求1所述的同时支持基于不同设备网络接入认证的方法，其特征在于：所述的基于接入控制设备的认证方式为环球网WEB认证方式时，所述的认证报文包括：基于DHCP的报文、基于超文本传输协议HTTP的报文和基于域名服务DNS的报文。

4、根据权利要求2所述的同时支持基于不同设备网络接入认证的方法，其特征在于：所述的基于接入点设备的认证方式为802.1x认证方式时，具体认证过程包括：

a、用户通过接入点设备的非受控端口向接入点设备发送认证开始报文，并根据接入点设备发来的用户身份请求报文，将用户的身份信息发送给接入点设备；

b、接入点设备将用户的身份信息发送给认证服务器，并由认证服务器为其生成一个挑战码CHALLENGE返回给接入点设备；

c、接入点设备将该CHALLENGE发送给用户，由用户采用消息摘要5MD5加密算法对其进行加密，加密后的CHALLENGE通过接入点设备发送给认证服务器；

d、认证服务器接收加密后的CHALLENGE，并对用户进行认证；

e、将认证结果通过接入点设备发送给用户，对于认证通过的用户，通知接入点设备打开该用户对应的受控端口。

5、根据权利要求4所述的同时支持基于不同设备网络接入认证的方法，其特征在于：对于认证前已分配了IP地址的用户，所述的步骤e还包括：对于认证通过的用户，如果需要更换IP地址，则用户通过接入点设备的非受控端口或已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送为用户分配新的IP地址。

6、根据权利要求1或2所述的同时支持基于不同设备网络接入认证的方法，其特征在于：所述的基于接入控制设备的认证过程包括：

f、用户将HTTP清求报文通过接入点设备的非受控端口发送给接入控制设备，并强制到入口Portal服务器；

g、Portal服务器获取用户的身份认证信息，及由接入控制设备为该用户生成的CHALLENGE；

h、Portal服务器将CHALLENGE利用MD5加密算法加密后与用户身份认证信息一起发送给接入控制设备；

i、接入控制设备将接收到的信息发送给RADIUS认证服务器进行用户认证；

j、将认证结果通过Portal服务器发送给接入控制设备，对于认证通过的用户，通知接入点设备打开该用户对应的受控端口。

7、根据权利要求6所述的同时支持基于不同设备网络接入认证的方法，其特征在于：对于认证前已分配了IP地址的用户，所述的步骤j还包括：对于认证通过的用户，如果需要为其分配新的IP地址，则用户通过接入点设备的非受控端口或已打开的受控端口在用户与接入控制设备间进行DHCP报文的传送为用户分配新的IP地址。

Images