CN1501656A

CN1501656A - 一种选择802.1x认证方式的方法

Info

Publication number: CN1501656A
Application number: CNA021487685A
Authority: CN
Inventors: 婷邹; 邹婷
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2002-11-19
Filing date: 2002-11-19
Publication date: 2004-06-02
Anticipated expiration: 2022-11-19
Also published as: CN1266910C

Abstract

本发明公开了一种选择802.1X认证方式的方法，涉及局域网通信认证领域，该方法包括：802.1X的设备端向客户端请求获取用户名和安全认证参数，然后将得到的信息送至认证服务器进行认证，该方法还包括：设备端根据认证服务器当前支持的认证协议类型选定802.1X认证方式，并发起该选定认证方式对应的认证流程进行设备端与客户端的认证信息交互。当认证服务器支持一种以上认证协议时，设备端根据安全程度选定认证方式。通过本发明，用户能够自由选择认证方式，运营商也可以针对安全级别给用户明确清晰的答复；认证***有了更大的兼容性，扩大了组网方式。

Description

一种选择802.1X认证方式的方法

技术领域

本发明涉及局域网通信认证领域，特别是一种选择802.1X认证方式的方法。

背景技术

IEEE 802.1X协议是2001年6月由电气和电子工程师协会(IEEE)标准化组织正式通过的基于端口的网络控制协议。以前的网络访问协议，如：IEEE 802局域网协议定义的局域网(LAN)不提供接入认证。一般来说，只要用户能接入局域网控制设备，如城域网交换机(LanSwitch)，用户就可以访问局域网中的设备或资源。但是对于电信接入、写字楼局域网以及移动办公等应用，设备提供者希望能对用户的接入进行控制和配置，为此产生了IEEE 802.1X协议，用以满足局域网接入控制的需求。

IEEE 802.1X协议的推出，为宽带接入用户提供了更加方便、安全的接入手段。IEEE 802.1X协议定义了基于端口的网络控制协议，其典型的应用方式为以太网交换机的一个物理端口连接一台客户端计算机或IEEE 802.1X协议定义的无线局域网接入方式，其中端口可以是物理端口，也可以是逻辑端口。基于端口的网络接入控制是在网络设备的物理接入级对接入客户端进行认证和控制，这里的物理接入级指的是以太网交换或宽带接入设备的端口。连接在该类端口上的客户端如果不能通过认证服务器的认证，就无法访问网络内的资源；如果能通过认证服务器的认证，就可以自动动态配置并访问网络资源，这是区别于传统以太网交换机的重要特征。

图1为IEEE 802.1X协议***的结构示意图，如图1所示，IEEE 802.1X协议***共有三个实体：客户端(Supplicant System)101、设备端(Authenticator System)103和认证服务器***(Authentication ServerSystem)109。其中，客户端101内部有客户端端口状态实体(Supplicant PAE)102；设备端103内部有设备端提供业务(Services offered by AuthenticationSystem)104、设备端端口状态实体(Authenticator PAE)105、受控端口(Controlled Port)106、未授权端口(Port Unauthorized)107和非受控端口(Uncontrolled Port)108；认证服务器***109内部有认证服务器(Authentication Server)110。设备端103与认证服务器***109通过端对端的可扩展认证协议(PPP EAP，PPP Extensible Authentication Protocol)交换认证信息；设备端103与客户端101通过关于局域网的EAP(EAPoL，EAP over LAN)交换认证信息。非受控端口108始终处于双向连通状态，主要用来传递EAPoL协议帧，可保证随时接收和发送EAPoL协议帧。受控端口106只有在认证通过的状态下才打开，用于传递网络资源和服务，负责控制网络资源和业务的访问。

图2为基于IEEE 802.1X协议的认证过程消息序列图，如图2所示：

步骤201～步骤202：用户登录网络，客户端收到用户登录信息后，向设备端发送认证过程开始报文EAPoL-Start。

步骤203～步骤204：设备端收到客户端发送的EAPoL-Start报文后，向客户端发送请求用户名报文EAPoL-Request[Identity]；客户端收到设备端发送的请求用户名报文EAPoL-Request[Identity]后，向设备端发送响应用户名报文EAPoL-Response[Identity]。

步骤205～步骤206：设备端收到客户端发送的响应用户名报文EAPoL-Response[Identity]后，向客户端发送请求用户安全认证参数报文EAPoL-Request[安全认证参数]；客户端收到设备端发送的请求用户安全认证参数报文EAPoL-Request[安全认证参数]后，向设备端发送响应用户安全认证参数报文EAPoL-Response[安全认证参数]。

步骤207～步骤208：设备端将用户名和安全认证参数发送至认证服务器，由认证服务器进行认证；认证服务器将认证信息报文发送至设备端。

步骤209：设备端收到认证服务器发送的认证信息报文后，将认证信息报文EAPoL-Success或EAPoL-Failure发送至客户端。

WINDOWS XP操作***实现了基于IEEE 802.1X协议的客户端软件的应用。802.1X客户端软件应用于基于IEEE 802.1X协议客户端的用户接入，该客户端软件可以同时适用于有线和无线领域。但目前用户不能通过WINDOWS XP操作***提供的802.1X客户端软件自由选择认证方式，即无法选择采用质询握手认证协议(CHAP，Challenge Handshake AuthenticationProtocol)，或EAP，或密码认证协议(PAP，Password Authentication Protocol)。这对802.1X客户端用户的易用性是非常不利的。而且，运营商和用户之间对于采用哪一种认证方式及其安全程度都不能确定。

另外，大多数802.1X设备端也不能选择认证方式，即无法选择采用CHAP、或EAP、或PAP。同时，一些认证服务器只支持CHAP、EAP或PAP认证方式中的一种或几种，如果设备端与客户端应用的认证协议是认证服务器不支持的，而设备端又无法自主地选择认证方式，这样就会限制组网的灵活性，缩小IEEE 802.1X协议的应用范围。

发明内容

有鉴于此，本发明的目的在于提供一种选择802.1X认证方式的方法，能够在多种802.1X认证方式中进行选择，从而实现***的兼容性，加强组网灵活性，扩展802.1X协议的应用。

为了达到上述目的，本发明提供了一种选择802.1X认证方式的方法，802.1X的设备端向客户端请求获取用户名和安全认证参数，然后将得到的信息送至认证服务器进行认证，其特征在于该方法还包括：设备端根据当前认证服务器所支持的认证协议类型选定设备端与客户端之间当前可用的认证方式，并发起该选定认证方式对应的认证流程进行设备端与客户端的认证信息交互。

该方法进一步包括：在802.1X认证协议中预先设置密码验证协议的类型值。

认证服务器当前支持的认证协议类型为质询握手认证协议、或端对端的可扩展认证协议、或密码认证协议，或三者的任意组合。

较佳地，设备端判断认证服务器当前是否只支持一种认证方式，如果是，则设备端选定认证服务器支持的认证方式发起认证流程；否则，设备端根据安全程度选定认证方式，然后以选定的认证方式发起认证流程。

802.1X设备端根据认证服务器上的认证机制选择认证方式，从而设备端能根据当前应用环境灵活选择认证方式，运营商也可以针对安全级别给用户明确清晰的答复。对于支持PAP、CHAP和EAP认证方式当中的一种或几种的认证服务器，有了更大的兼容性，扩大了组网方式，同时扩大了IEEE802.1X协议的应用范围。

附图说明

图1为IEEE 802.1X协议***的结构示意图；

图2为基于IEEE 802.1X协议的认证过程消息序列图；

图3为EAP报文格式组成的示意图；

图4为本发明选择802.1X认证方式的实现流程示意图；

图5为选择CHAP认证方式的IEEE 802.1X协议认证消息序列图；

图6为选择PAP认证方式的IEEE 802.1X协议认证消息序列图；

图7为选择EAP认证方式的IEEE 802.1X协议认证消息序列图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图对本发明作进一步地详细描述。

EAP是对PPP的扩展，它是一种通用的认证协议，支持多种认证机制，如MD5-挑战(MD5-Challenge)、传输层安全(TLS)、智能卡(smart cards)、Kerberos加密协议、公钥加密(Public Key Encryption)、一次性密码(One-TimePassword)等等。EAP在认证阶段才选择使用哪种认证机制，因此设备端在确定使用哪种认证机制之前可以请求充足的信息，确定最终应用的认证方式。

图3为EAP报文格式组成的示意图，如图3所示，各域从左到右依次进行传输。

代码(Code)域301：该域占用一个字节，用于标识EAP报文的类型。该域包含以下四种类型值：请求(Request)、响应(Response)、成功(Success)和失败(Failure)。

标识符(Identifier)域302：该域占用一个字节，用于将Request和Response对应起来。Identifier与设备端的端口共同标识一个唯一的认证过程，因此每个端口最多只有256个认证进程。设备端端口状态实体决定一个EAP-Request[身份(Identity)]报文的Identifier值，客户端端口状态实体在相应的EAP-Response[Identity]中使用相同的Identifier值。当此次响应失败，设备端端口状态实体重传请求时，请求报文的Identifier值保持不变。

数据(Data)域304：该域占用零个或多个字节，采用的格式与Code域的类型值相关。

长度(Length)域303：该域占用两个字节，用于说明EAP报文的长度，长度计算包括Code域、Identifier域、Length域和Data域。

类型(Type)域305：该域占用一个字节，它主要定义了各种认证机制。Type的取值包括下列7种：

身份(Identity)：用于查询用户的身份，每一个Identity类型的Request报文必须对应一个Identity类型的Response报文；

通知(Notification)：用于从设备端向客户端发送一条可显示的信息，客户端应该将这条信息显示给用户，如果无法显示则记入日志，每一个Notification类型的Request报文必须对应一个Notification类型的Response报文；

拒绝(Nak)：仅适用于Response报文，当Response报文中期望的认证不被接受时，就需要发送Nak类型的Response报文；

MD5-Challenge：与CHAP协议中的MD5类似，MD5-Challenge类型的Request报文中包含了Challenge信息，每一个MD5-Challenge类型的Request报文必须对应一个MD5-Challenge类型的Response报文；

One-Time Password：该类型的Request报文中包含一个OTP Challenge信息，每一个One-Time Password类型的Request报文必须对应一个One-TimePassword类型的Response报文；

通用令牌卡(Generic Token Card)：该类型是为要求用户输入各种令牌卡(Token Card)信息而进行定义的，Generic Token Card类型的Request报文中包含一条美国信息交换标准码(ASCII)文本信息，对应的GenericToken Card类型的Response报文中包含认证所必需的有关Token Card的信息，通常这些信息由用户从Token Card设备读取并以ASCII文本进行输入；

密码验证(PAP)：该类型与PPP PAP类似，不同的是，PPP PAP必须由客户端发起，而EAP中的PAP可以由设备端发起，在Request报文中使用类型值7发起PAP认证，请求对方的密码，密码在网上以明文方式传送，每一个PAP类型的Request报文必须对应一个PAP类型的Response报文。由于目前802.1X中不支持PAP认证协议，为了扩大802.1X协议的应用范围，PAP是本发明根据实际需要增加的一种认证方式，是EAP PAP，在具体操作中就是增加该PAP参数用以发起PAP认证方式。

EAP报文中还包括类型数据306。类型数据是对上一层更细化的分类。类型数据中进一步包括数值大小307、数值308和名称309。

设备端根据当前认证服务器所支持的认证协议类型设置可选择的认证方式，如CHAP、PAP、EAP，图4为本发明选择802.1X认证方式的实现流程示意图，如图4所示，包括步骤401～步骤405：

设备端在启动认证机制时，首先判断认证服务器支持几种认证方式：如果认证服务器只支持一种认证方式，则设备端选定认证服务器支持的认证方式，发起相应的认证流程，并采用该认证方式支持的报文格式与客户端进行认证信息的交互；如果认证服务器支持多种认证方式，则设备端根据安全程度选定一种认证方式，即安全程度最高的为首选的认证方式，发起相应的认证流程，并采用该认证方式支持的报文格式与客户端进行认证信息交互。

图5为选择CHAP认证方式的IEEE 802.1X协议认证消息序列图，如图5所示：

步骤501～步骤504：与步骤201～步骤204相同。

步骤505～步骤506：设备端收到客户端发送的响应用户名报文EAPoL-Response[Identity]后，向客户端发送请求用户密码报文EAPoL-Request[MD5-Challenge]，向客户端进行MD5质询；客户端收到设备端发送的请求用户密码报文EAPoL-Request[MD5-Challenge]后，将经过MD5加密算法计算过的用户密码通过响应用户密码报文EAPoL-Response[MD5-Challenge]发送至设备端。

步骤507～步骤508：设备端将用户名和密码通过远端拨号接入用户认证服务(Radius，Remote Authentication Dialin User Series)报文发送至认证服务器，由认证服务器进行认证，或者直接在接入设备(交换机)上进行本地认证；认证服务器或接入设备根据用户名和密码判断用户是否通过认证，并将认证信息报文发送至设备端。

步骤509：设备端根据认证服务器发送的认证信息报文向客户端发送EAPoL-Success，端口已被授权，进行后续工作；或EAPoL-Failure报文，端口被拒绝授权，客户端无法访问网络资源。

以上步骤完整地实现了CHAP认证方式下的认证过程。

图6为选择PAP认证方式的IEEE 802.1X协议认证消息序列图，如图6所示：

步骤601～步骤604：与步骤201～步骤204相同。

步骤605～步骤606：设备端收到客户端发送的响应用户名报文EAPoL-Response[Identity]后，向客户端发送请求用户密码报文EAPoL-Request[PAP]，请求用户密码；客户端收到设备端发送的请求用户密码报文EAPoL-Request[PAP]后，将用户密码通过响应用户密码报文EAPoL-Response[PAP]发送至设备端。

步骤607～步骤608：设备端将用户名和密码通过Radius报文发送至认证服务器，由认证服务器进行认证，或者直接在接入设备(交换机)上进行本地认证；认证服务器或接入设备根据用户名和密码判断用户是否通过认证，并将认证信息报文发送至设备端。

步骤609：设备端根据认证服务器发送的认证信息报文向客户端发送EAPoL-Success，端口已被授权，进行后续工作；或EAPoL-Failure报文，端口被拒绝授权，客户端无法访问网络资源。

以上步骤完整地实现了PAP认证方式下的认证过程。

图7为选择EAP认证方式的IEEE 802.1X协议认证消息序列图，如图7所示：

步骤701～步骤704：与步骤201～步骤204相同。

步骤705：设备端收到客户端发送的响应用户名报文EAPoL-Response[Identity]后，将EAPoL格式的报文转换为EAP格式的报文，通过EAP over Radius报文将响应用户名报文EAP-Response[Identity]透传至认证服务器。

步骤706～步骤707：认证服务器收到设备端透传的响应用户名报文EAP-Response[Identity]后，向设备端发送请求用户密码报文EAP-Request[OTP，OTP Challenge]，请求用户密码；设备端收到认证服务器发送的EAP-Request[OTP，OTP Challenge]报文后，将EAP格式的报文转换为EAPoL格式的报文，并将请求用户密码报文EAPoL-Request[OTP，OTP Challenge]透传至客户端。

步骤708～步骤710：客户端收到设备端透传的请求用户密码报文EAPoL-Request[OTP，OTP Challenge]后，将用户密码通过响应用户密码报文EAPoL-Response[OTP，OTPpw]发送至设备端；设备端收到客户端发送的响应用户密码报文EAPoL-Response[OTP，OTPpw]后，将EAPoL格式的报文转换为EAP格式的报文，通过EAP over Radius报文将响应用户密码报文EAP-Response[OTP，OTPpw]透传至认证服务器；认证服务器收到设备端透传的响应用户密码报文EAP-Response[OTP，OTPpw]后进行认证，并将认证信息报文EAP-Success或EAP-Failure发送至设备端。

步骤711：设备端将EAP格式的报文转换为EAPoL格式的报文，设备端将EAPoL-Success发送至客户端，端口已被授权，进行后续工作；或将EAPoL-Failure报文发送至客户端，端口被拒绝授权，客户端无法访问网络资源。

以上步骤完整地实现了EAP认证方式下的认证过程。

总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims

1、一种选择802.1X认证方式的方法，802.1X的设备端向客户端请求获取用户名和安全认证参数，然后将得到的信息送至认证服务器进行认证，其特征在于该方法还包括：设备端根据当前认证服务器所支持的认证协议类型选定设备端与客户端之间当前可用的认证方式，并发起该选定认证方式对应的认证流程进行设备端与客户端的认证信息交互。

2、根据权利要求1所述的方法，其特征在于该方法进一步包括：在802.1X认证协议中预先设置密码验证协议的类型值。

3、根据权利要求1所述的方法，其特征在于：所述认证服务器当前支持的认证协议类型为质询握手认证协议、或端对端的可扩展认证协议、或密码认证协议，或三者的任意组合。

4、根据权利要求1或3所述的方法，其特征在于该方法进一步包括：设备端判断认证服务器当前是否只支持一种认证方式，如果是，则设备端选定认证服务器支持的认证方式发起认证流程；否则，设备端根据安全程度选定认证方式，然后以选定的认证方式发起认证流程。