CN1874226A - 终端接入方法及*** - Google Patents

Abstract

本发明公开了一种终端接入方法，包括：当终端接入网络接入设备时，网络接入设备获取与该用户对应的接入策略；网络接入设备按照获取的接入策略将所述终端连接到其要访问的应用。本发明还公开了一种终端接入***，包括：通过网络相连的网络接入设备、应用服务器、接入策略设备。利用本发明，可以减轻终端接入设备的配置工作量，实现终端接入的灵活应用。

Description

终端接入方法及***

技术领域

本发明涉及网络通信技术领域，具体涉及一种终端接入方法及***。

背景技术

目前，随着网络技术的不断发展，终端接入应用在金融、证券、教育、医疗、交通等行业越来越重要。终端接入是指终端设备与路由器相连，通过路由器完成终端设备与网络服务器或终端设备之间的数据交互。最常用的终端接入方式主要采用在终端接入设备上由人工配置应用的方式，主要包括：配置应用、端口号、使用的加密算法，以及认证字符串等信息。这种配置不仅会带来较大的工作量，而且还需要终端用户具有一定的网络知识，配置工作比较烦琐；而且配置完毕后，当应用或者端口号、或者认证字符串等发生变化时，就需要重新对每一个终端接入设备上的配置进行相应的修改，当终端接入设备很多时，给修改工作带来了极大的不便。同时这种配置方式也使得终端接入不够灵活，限制了终端使用多种应用的需求，因而也就无法实现针对用户的应用策略。

发明内容

本发明的主要目的是提供一种终端接入方法，以克服现有技术中终端接入时网络接入设备配置工作量大的缺点，减轻终端接入设备的配置工作量，实现终端接入的灵活应用。

本发明的另一个目的是提供一种终端接入***，以对不同用户实现不同的接入，提高终端接入应用的灵活性。

为此，本发明提供如下的技术方案：

一种终端接入方法，所述方法包括步骤：

当终端接入网络接入设备时，网络接入设备获取与该用户对应的接入策略；

网络接入设备按照获取的接入策略将所述终端连接到其要访问的应用。

所述方法进一步包括：

在网络中的认证服务器上预先配置与用户对应的接入策略。

所述网络接入设备获取与该用户对应的接入策略的步骤包括：

当终端接入网络接入设备时，网络接入设备将该终端的用户信息上传给所述认证服务器；

认证服务器将与该用户对应的接入策略下发给网络接入设备。

所述用户信息包括：用户名，和/或用户IP地址，和/或用户端口号。

所述网络接入设备将该终端的用户信息上传给所述认证服务器的步骤包括：

网络接入设备向所述认证服务器发送认证请求消息，在该认证请求消息中携带获取的用户信息。

所述方法进一步包括：

在认证服务器将与该用户对应的接入策略下发给所述网络接入设备之前，认证服务器根据收到的用户信息对该用户进行认证。

所述方法进一步包括：

预先在网络接入设备上配置认证策略；

当网络中存在多种不同类型的认证服务器时，根据所述认证策略选择对接入终端用户进行认证的认证服务器。

可选地，所述认证服务器为radius服务器，网络接入设备通过radius协议向所述认证服务器发送认证请求消息。

可选地，所述认证服务器为tacacs+服务器，网络接入设备通过tacacs+协议向所述认证服务器发送认证请求消息。

所述方法进一步包括：

当与用户对应的接入策略发生变化后，更新所述认证服务器上与该用户对应的接入策略；

当终端用户重新接入所述网络接入设备时，所述认证服务器将与该用户对应的接入策略下发给所述网络接入设备。

所述接入策略包括：应用的IP地址，和/或应用的端口号，和/或加密方法，和/或与应用提供商的认证字符串。

一种终端接入***，包括：通过网络相连的网络接入设备和应用服务器，接入策略设备，通过网络与所述网络接入设备相连，用于存储用户接入策略，并在终端接入网络接入设备时，将与该终端用户对应的接入策略下发给所述网络接入设备。

所述接入策略设备包括：

接入策略存储模块，用于存储用户接入策略信息；

认证模块，用于根据所述网络接入设备提供的用户信息对接入终端用户进行认证；

接入策略下发模块，分别与所述接入策略存储模块和所述认证模块相连，用于根据所述认证模块对用户的认证结果将与该用户对应的接入策略下发给所述网络接入设备。

所述接入策略设备与所述网络接入设备通过radius协议或tacacs+协议进行通信。

由以上本发明提供的技术方案可以看出，本发明根据接入用户的不同，由接入策略设备向网络接入设备下发相应的终端接入策略，网络接入设备根据接入策略自动进行相应参数的配置，从而大大减少了配置工作量，并使不同的用户实现了不同的接入，提高了终端接入的灵活性。而且当应用或者端口号、或者认证字符串等信息发生改变时，只需要在接入策略设备上完成对用户相应策略的修改，然后将修改后的参数下发给相应网络接入设备，网络接入设备即可根据收到的策略完成相应配置参数的修改，从而极大地减少了配置修改的工作量，提高了终端接入效率。

附图说明

图1是本发明方法的一个优选实施例的实现流程图；

图2是本发明方法采用radius服务器对用户进行认证的流程图；

图3是本发明方法采用tacacs+服务器对用户进行认证的流程图；

图4是本发明***的组网示意图；

图5是本发明***在金融行业应用时的组网示意图。

具体实施方式

本发明的核心是在用户接入网络中设置接入策略设备，并在该设备上为不同用户配置相应的接入策略。在终端接入网络时，网络接入设备获取该终端的用户信息，并根据该用户信息从接入策略设备上获得该用户对应的接入策略，按照该接入策略对终端接入参数进行配置，从而使终端依照该策略进行应用连接。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和实施方式对本发明作进一步的详细说明。

参照图1所示本发明方法的一个优选实施例的实现流程，包括以下步骤：

步骤101：在认证服务器上预先配置与用户对应的接入策略。

为了实现终端接入的灵活应用，可以预先确定需要区分的终端用户的类型，对不同类型的用户采取不同的接入策略，并将这些策略预先配置并存储到连接到网络的认证服务器上。

步骤102：当有终端接入网络接入设备时，网络接入设备获取该终端的用户信息，并将该用户信息发送给网络中的认证服务器。

所述用户信息可以是用户名、或者用户IP地址、或者用户端口号等信息中的某一个或多个组合。

比如，当网络接入设备检测到有终端接入时，可以向其发送输入用户名和密码的消息，并在终端上显示该消息。当用户在终端上完成输入以后，网络接入设备得到该终端的用户名和密码。然后，网络接入设备将获得的用户名和密码信息发送给网络中的认证服务器。

认证服务器根据收到的用户名和密码信息对该用户进行认证，认证通过后，网络接入设备就应该将该用户连接到需要访问的应用。由于预先没有对网络接入设备配置应用的方式，因此需要认证服务器将网络接入设备所需的配置信息下发给该网络接入设备。

认证服务器可以采用radius服务器或者tacacs+服务器或者本地认证服务器。为了支持不同的认证方式，还可以预先在网络接入设备上配置相应的认证策略，例如配置先向radius发送认证，如果radius主机不存在，再向tacacs+发送认证请求的方案。认证过程将在后面详细描述。

步骤103：认证服务器将与该用户对应的接入策略下发给所述网络接入设备。

由于在网络接入设备发送的认证请求消息中包含终端的用户信息，这样认证服务器就可以根据该信息查找与该用户对应的接入策略，该策略包括：应用的IP地址、应用的端口号、加密方法、以及和应用服务器的认证字符串等信息。

步骤104：网络接入设备按照收到的接入策略将所述终端连接到其要访问的应用。

根据不同的用户信息，从认证服务器上下发的属性会有所不同，例如对用户A来说可以下发连接到应用服务器A上去的属性；对于用户B可以下发连接到应用服务器B上去的属性，从而方便地实现了终端的灵活接入。而且，当与该用户对应的接入策略发生变化后，只需更新认证服务器上配置的接入策略，无需逐一去修改每个网络接入设备上的配置信息。当终端用户重新接入网络接入设备时，认证服务器将与该用户对应的修改后的接入策略下发给该网络接入设备，即可保证终端的正确接入。可见，利用本发明，大大减轻了修改终端接入设备配置带来的工作量。

在上述实施例中，描述了在认证服务器上配置用户接入策略，并在对接入的终端用户的认证后将与其对应的接入策略下发给网络接入设备，使网络接入设备可以按照该接入策略对终端接入参数进行配置。

在存储并下发用户接入策略时，本发明并不局限于网络中的认证服务器，也可以通过专用设备或其他网元设备来存储并下发用户的接入策略。如果需要，这些设备也可以完成对终端接入用户信息的检查过程。

前面已经提到，当终端接入网络接入设备时，网络接入设备获取该终端的用户信息，并通过认证请求消息将获得的用户信息发送给网络中的认证服务器。根据实际应用需要，认证服务器可以为radius服务器或者tacacs+服务器或者本地认证服务器。下面分别详细说明采用不同认证服务器时对用户的认证流程。

本技术领域人员知道，radius是一种在网络接入服务器和共享认证服务器间传输认证、授权和配置信息的协议。radius使用UDP(用户数据报协议)作为其传输协议。

radius服务器支持多种认证机制。它可以验证来自PPP(点对点通信协议)、PAP(密码认证协议)、CHAP(挑战屋手认证协议)和UNIX***登录的用户信息的有效性。

当终端连接到网络接入设备后，网络接入设备提示输入用户名和密码；用户输入用户名和密码后，报文送达网络接入设备端口，此时该端口对于此用户来说是非授权状态，网络接入设备将报文打上相应端口的PVID(端口虚拟局域网标识符)，然后根据用户名所带域名送到相应域中进行认证，如果该域配置了radius认证方式，那么网络接入设备就将该报文转为radius报文送给相应的认证服务器，认证服务器如果存在相应的用户名和密码，则返回认证成功消息给网络接入设备，此时所述端口对该用户变为授权状态；如果用户名不存在或者密码错误等，则返回认证不成功消息给网络接入设备，端口仍然为非授权状态。

本发明方法中采用radius服务器对用户进行认证的流程如图2所示：

1.网络接入设备向终端请求用户名和密码；

2.终端用户输入用户名和密码；

3.网络接入设备向radius服务器发送认证请求消息，在该请求消息中不仅携带用户名和密码信息；

4.radius服务器检查是否存在该用户名和密码，如果存在，获取与该用户对应的接入策略；

5.向网络接入设备返回认证成功消息，并在该消息中包含与用户对应的接入策略信息。这样，网络接入设备就可根据该信息将终端连接到需要访问的应用上；

6.如果用户名和密码不存在，则radius服务器向网络接入设备返回认证失败消息。这样，网络接入设备拒绝将终端连接到需要访问的应用上。

tacacs+通过控制***进行终端访问控制，也是基于客户-服务器模式的AAA(Authentication，Authorization，Audit，认证、授权、审计)协议。与radius协议的区别主要在于：

1、传送协议tacacs+利用TCP(传输控制协议)传送，而radius基于UDP。

2、包加密tacacs+是整个包加密，而radius只加密用户口令。

3、认证和授权tacacs+允许认证和授权独立而radius是使两者集成使用。

本发明方法中采用tacacs+服务器对用户进行认证的流程如图3所示：

1.网络接入设备向终端设备请求输入用户名；

2.终端用户输入用户名；

3.网络接入设备得到用户输入的用户名后，向tacacs+服务器发送带有用户名的认证请求；

4.tacacs+服务器收到该认证请求消息后，检查存储的信息是否有该用户，如果有，则向网络接入设备回应认证继续报文；如果没有，则向网络接入设备返回认证失败报文；

5.网络接入设备收到tacacs+服务器的认证继续报文后，向终端设备请求输入密码；

6.终端用户输入密码；

7.网络接入设备得到用户输入的密码后，向tacacs+服务器发送带有密码的认证请求；

8.tacacs+服务器对收到的密码进行验证，如果密码正确，则向网络接入设备返回认证成功报文；否则，返回认证失败报文。

如果认证成功，tacacs+服务器可以将一些属性值通过认证成功报文的msg域或者data域返回给网络接入设备；当然也可以再进行授权操作，即网络接入设备向tacacs+服务器发送授权请求，然后tacacs+通过授权回应报文将属性值进行返回。

当然，也可以采用其他认证方式，并在认证通过后，由认证服务器将与该用户对应的接入策略下发给网络接入设备，使网络接入设备根据该接入策略中的网络接入参数将终端连接到需要访问的应用上。

参照图4，图4是本发明***的组网示意图：

该***包括：通过网络相连的网络接入设备S1、应用服务器S2、接入策略设备S3。其中，接入策略设备S3用于在终端S0接入网络接入设备S1时，根据网络接入设备提供的用户信息将与该用户对应的接入策略下发给网络接入设备S1，网络接入设备S1根据该接入策略提供的参数将终端S0连接到需要访问的应用服务器S2上。

当然，在实际组网中，可以有多个不同的应用服务器，也可以有多种不同协议的接入策略设备，比如，可以使用Radius服务器或者tacacs+服务器作为接入策略设备，预先在该服务器上配置与各用户对应的接入策略。网络接入设备S1可以直接与接入策略设备S3相连，也可以经过一个或多个路由器与接入策略设备S3相连。

终端S0可以是异步终端(DTE)、计算机(PC)、图像设备、ATM(自动柜员机)终端设备、POS(销售点)终端设备、网络终端设备以及各种能连接到网络设备的终端设备等。可以通过以下多种方式接入网络：

1.通过调制解调器接入DDN(数字数据网)：在模拟专用网和电话网上开放的数据业务采用这种方式，当用户在距DDN的接入点比较远的情况下采用。

2.通过DDN的数据终端设备接入DDN：用户直接利用DDN提供的远程数据终端设备接入DDN，而无需增加单独的调制解调器。

3.通过用户集中设备接入DDN：适用于用户数据接口需要量大且用户已具备集中设备的情况。用户集中设备可以是零次群复用设备，也可以是DDN所提供的小型复用器。

当然，还可以采用其他方式接入，在此不再一一列举。

为了实现对用户接入策略的下发，接入策略设备S3包括：

接入策略存储模块S31、认证模块S32、接入策略下发模块S33。其中，接入策略存储模块S31用于存储用户接入策略信息；认证模块S32用于根据网络接入设备提供的用户信息对接入用户进行认证；接入策略下发模块S33分别与接入策略存储模块S31和认证模块S32相连，用于根据认证模块S32对用户的认证结果将与该用户对应的接入策略下发给网络接入设备。

当终端S0通过拨号或其他方式连接到网络接入设备S1上时，网络接入设备S1获取终端S0的用户信息，然后将该用户信息发送给接入策略设备S3。接入策略设备S3收到该信息后，由认证模块S32对该用户进行认证，可以通过radius协议或tacacs+协议对接入用户进行认证。认证通过后，通知接入策略下发模块S33，接入策略下发模块S33收到通知后，从接入策略存储模块S31中获取与该用户对应的接入策略，并将其发送给网络接入设备S1。这样，网络接入设备S1就可以按照该接入策略提供的参数将终端S0连接到该用户需要访问的应用。

当与用户对应的接入策略发生变化后，更新接入策略存储模块S31上存储的接入策略。当终端S0重新接入网络接入设备S1时，接入策略设备S3将与该用户对应的修改后的接入策略下发给该网络接入设备S1，从而保证了终端的正确接入。

本发明***可以应用于金融、证券、教育、医疗、交通等多种行业。

例如，图5是本发明***在金融行业应用时的组网示意图：

银行网点使用具有终端接入功能的路由器S02。通过路由器S02的广域网口连接支行的路由器S03，并最终连接到支行的前置机(UNIX服务器上)S04、S05。通过DDN网络将支行的路由器S03连接到市行的路由器S07。认证服务器S06与支行的路由器S03相连。

银行业务运行于支行的UNIX服务器上，它把各种业务界面通过路由器S03、S02推送到终端S0上。同时，网点营业员在终端上输入的数据也将被传送到UNIX服务器上，从而完成数据的交互过程。为了方便进行偏远地区的终端接入，终端也可以通过长线驱动器方式、Modem(调制解调器)拨号方式或X.25 PAD(Packet Assembly/Disassembly facility，分组汇集/拆卸设备)方式连接到路由器上，同样可以实现路由器提供的所有终端接入。

假设在金融行业的网点使用，现在有以下三种业务类型：储蓄、外汇、基金。那么就可以简单地定义三个用户：chuxu，waihui，jijin，在要连接的认证服务器上分别配置这三个用户及其对应的接入策略，具体如下：

chuxu，IP地址是1.1.1.1，端口号是9000，使用的加密方法是aes；

waihui，IP地址是1.1.1.3，端口号是8000，使用的加密方法是3des；

jijin，IP地址是1.1.1.5，端口号是7000，使用的加密方法是md5。

当某终端用户需要进行储蓄业务时，只需要输入用户名chuxu和相应的密码，那么网络就先和认证服务器建立连接，将用户名和密码等相关需要验证的属性发送给服务器，服务器根据这个用户名将开始配置的属性(例如：应用的IP地址，应用的端口号，加密方法等属性)下发给网络设备。网络设备完成该对应，就可以实现和对应的储蓄应用进行连接。

同样，当该终端用户需要进行外汇业务时，只需要输入用户名waihui和相应的密码，就可以和对应的外汇应用进行连接。如果该用户需要进行基金业务，只需要输入用户名jijin和相应的密码就可以和对于的外汇应用进行连接。

当然也可以配置其它的对应方式，例如不同的类型，或者IP地址等，只要能唯一地标识一个用户就可以完成该功能。

如果在运行中，突然出现事故，储蓄应用的服务器发生了故障，需要更改服务器的IP地址或者其他连接中的信息，只需要在连接的认证服务器中更改相应用户的连接属性，修改接入策略中的参数信息，比如，IP地址、端口号、加密方式等，然后终端用户退出操作重新登录进入即可连接到所需的应用上。如果需要调整一些连接中的其他参数，也可以采用该方式进行。

虽然通过实施例描绘了本发明，本领域普通技术人员知道，本发明有许多变形和变化而不脱离本发明的精神，希望所附的权利要求包括这些变形和变化而不脱离本发明的精神。

Claims (14)

1、一种终端接入方法，其特征在于，所述方法包括步骤：

当终端接入网络接入设备时，网络接入设备获取与该用户对应的接入策略；

网络接入设备按照获取的接入策略将所述终端连接到其要访问的应用。

2、根据权利要求1所述的方法，其特征在于，所述方法进一步包括：

在网络中的认证服务器上预先配置与用户对应的接入策略。

3、根据权利要求2所述的方法，其特征在于，所述网络接入设备获取与该用户对应的接入策略的步骤包括：

当终端接入网络接入设备时，网络接入设备将该终端的用户信息上传给所述认证服务器；

认证服务器将与该用户对应的接入策略下发给网络接入设备。

4、根据权利要求3所述的方法，其特征在于，所述用户信息包括：用户名，和/或用户IP地址，和/或用户端口号。

5、根据权利要求3所述的方法，其特征在于，所述网络接入设备将该终端的用户信息上传给所述认证服务器的步骤包括：

网络接入设备向所述认证服务器发送认证请求消息，在该认证请求消息中携带获取的用户信息。

6、根据权利要求5所述的方法，其特征在于，所述方法进一步包括：

在认证服务器将与该用户对应的接入策略下发给所述网络接入设备之前，认证服务器根据收到的用户信息对该用户进行认证。

7、根据权利要求5所述的方法，其特征在于，所述方法进一步包括：

预先在网络接入设备上配置认证策略；

当网络中存在多种不同类型的认证服务器时，根据所述认证策略选择对接入终端用户进行认证的认证服务器。

8、根据权利要求2所述的方法，其特征在于，所述认证服务器为radius服务器，网络接入设备通过radius协议向所述认证服务器发送认证请求消息。

9、根据权利要求2所述的方法，其特征在于，所述认证服务器为tacacs+服务器，网络接入设备通过tacacs+协议向所述认证服务器发送认证请求消息。

10、根据权利要求2所述的方法，其特征在于，所述方法进一步包括：

当与用户对应的接入策略发生变化后，更新所述认证服务器上与该用户对应的接入策略；

当终端用户重新接入所述网络接入设备时，所述认证服务器将与该用户对应的接入策略下发给所述网络接入设备。

11、根据权利要求1所述的方法，其特征在于，所述接入策略包括：

应用的IP地址，和/或应用的端口号，和/或加密方法，和/或与应用提供商的认证字符串。

12、一种终端接入***，包括：通过网络相连的网络接入设备和应用服务器，其特征在于，所述***还包括：

接入策略设备，通过网络与所述网络接入设备相连，用于存储用户接入策略，并在终端接入网络接入设备时，将与该终端用户对应的接入策略下发给所述网络接入设备。

13、根据权利要求12所述的***，其特征在于，所述接入策略设备包括：

接入策略存储模块，用于存储用户接入策略信息；

认证模块，用于根据所述网络接入设备提供的用户信息对接入终端用户进行认证；

接入策略下发模块，分别与所述接入策略存储模块和所述认证模块相连，用于根据所述认证模块对用户的认证结果将与该用户对应的接入策略下发给所述网络接入设备。

14、根据权利要求12所述的***，其特征在于，所述接入策略设备与所述网络接入设备通过radius协议或tacacs+协议进行通信。

Images