CN101924636A - 相关认证信息下发方法、装置及网络设备 - Google Patents

Abstract

本发明提供一种相关认证信息下发方法、装置及网络设备，方法包括：接收客户端发送的认证请求，所述认证请求包含所述客户端的用户信息；根据所述用户信息对所述客户端进行身份认证；在对所述客户端进行身份认证后向所述客户端下发相关认证信息；在向所述客户端下发所述相关认证信息之后，向所述客户端发送身份认证结果。本发明的相关认证信息下发方法、装置及网络设备，通过在客户端的认证过程中增加操作流程，向客户端下发相关认证信息。且基于整个认证过程与接入交换机的类型、型号等无关，在实现相关认证信息下发的同时实现对接入交换机的兼容。

Description

相关认证信息下发方法、装置及网络设备

技术领域

本发明涉及网络通信领域，尤其涉及一种相关认证信息下发方法、装置及网络设备。

背景技术

802.1X协议是基于客户端/服务器端(Client/Server)模式的访问控制和认证协议。802.1x协议会在客户端(例如用户或设备)获得局域网(Local Area Network；简称为：LAN)或无线局域网(Wireless Local Area Network；简称为：WLAN)提供的各种业务之前，对连接到交换机端口的客户端进行认证，以限制未经授权的客户端通过交换机端口访问LAN或WLAN。其中，802.1x协议通过允许客户端的基于局域网的可扩展身份认证协议(Extensible Authentication Protocol over LAN；简称为：EAPOL)数据通过交换机端口，并通过认证服务器对用户或设备进行认证。当认证通过以后，客户端的正常数据就可以顺利地通过交换机的端口来访问LAN或WLAN。

如图1所示，在802.1X认证体系中有三种角色：客户端11、接入交换机12和认证服务器13。其中，客户端11是指LAN或WLAN所连接的一端的实体(entity)，接入交换机12是LAN或WLAN所连接的用于认证客户端11的实体(entity)。认证服务器13指为接入交换机12提供认证服务的实体。远程用户拨号认证协议(Remote Authentication Dial In User Service；简称为：Radius)是一种在网络接入交换机12和认证服务器13间传输认证、授权和配置信息的协议，通常将认证服务器称之为Radius服务器13。

基于Radius协议的认证过程为：认证客户端向接入交换机发出认证请求，认证请求中包含用户信息；接入交换机把用户信息通过Radius协议发送给Radius服务器；Radius服务器根据用户信息，通过接入交换机与认证客户端进行交互以对用户身份进行认证，并将认证结果通过Radius协议返回给接入交换机；如果认证通过，接入交换机允许用户接入网络；如果认证失败，接入交换机拒绝用户接入网络。其中，Radius服务器对客户端的身份认证过程具体为：Radius服务器在接收到用户的认证请求时生成随机加密字并保存，并将加密字通过接入交换机发送给客户端；客户端根据和Radius服务器预先约定的加密算法，对随机加密、用户名和密码进行加密处理，并将加密结果通过接入交换机发送给Radius服务器；Radius服务器接收客户端的加密结果，同时Radius服务器也会用与客户端相同的加密算法对随机加密字、用户名和密码进行加密处理，并获取加密结果；然后，Radius服务器会将自己的加密结果和客户端的加密结果进行比对，根据比对结果完成对客户端的身份认证。

在上述认证过程中，客户端和Radius服务器之间需要传输完成身份认证必须的用户信息、加密字、口令信息以及认证结果等信息。通常在认证结束后，Radius服务器还需要向客户端下发账户余额、客户端升级信息、广告信息以及认证失败原因等信息，称之为相关认证信息。起初相关认证信息是以私有属性方式进行传输，例如Radius服务器通过向接入交换机发送简单网络管理协议(Simple Network Management Protocol；简称为：SNMP)报文实现下发相关认证信息。其中，SNMP协议主要是帮助管理员简化对支持SNMP协议的设备的设置操作，它通常包含两个参数分别为：基本管理信息(Management Information Base；简称为：MIB)和对象标识符(Object Identifier；简称为：OID)。MIB是一系列定义对象的集合，该集合主要包括需要保存对象的数据项目，数据类型，以及允许在每个数据项目中的操作等。MIB的主要用途是让SNMP协议通过查询或设置在MIB中相应对象的值，实现对网络设备状态的监视或管理。MIB是一个树形的结构，OID就是树上的一个个节点。而接入交换机为通过SNMP报文实现下传功能，需要定义私有的MIB和OID。不同交换机的MIB和OID是不一样的，不同厂商的MIB和OID更不一样。而Radius服务器要使用SNMP报文传输信息，需要兼容不同厂商不同的交换机，这对Radius服务器来说将很不方便。

为了克服上述不兼容的问题，现有技术采用在客户端和Radius服务器13之间建立一台专门的消息服务器14来实现客户端和Radius服务器13之间信息(包括相关认证信息)的传递，其中网络拓扑结构如图2所示。具体的：Radius服务器13把相关认证信息发送给消息服务器14，消息服务器14收到后向客户端11转发。客户端11收到后，根据约定好的规则根据相关认证信息的内容进行相应的处理。且客户端11定时向消息服务器14发送心跳报文，证明其还在线。若消息服务器14在一定时间内收不到客户端的11心跳报文，则向Radius服务器13发送客户端11不在线的报文，Radius服务器13收到后对客户端11进行扣费等下线处理。另外，客户端11还可以把自身的一些信息(如操作系统，使用几块网卡等客户端信息)发送给消息服务器14，消息服务器14再发送给Radius服务器13，从而实现其他的功能。

但是，无论上述哪一种信息传输方式均是在认证结束后实现的。而有时为了实现一些特殊功能，需要将相关认证信息在认证过程中下发给客户端，而现有技术方案无法解决该技术问题。

发明内容

本发明提供一种相关认证信息下发方法、装置及网络设备，用以在认证过程中向客户端下发相关认证信息，且同时可达到兼容不同交换机的目的。

本发明提供一种相关认证信息下发方法，包括：

接收客户端发送的认证请求，所述认证请求包含所述客户端的信息；

根据所述客户端的信息对所述客户端进行身份认证；

在对所述客户端进行身份认证后向所述客户端下发相关认证信息；

在向所述客户端下发所述相关认证信息之后，向所述客户端发送身份认证结果。

本发明提供一种相关认证信息下发装置，包括：

第一接收模块，用于接收客户端发送的认证请求，所述认证请求中包含所述客户端的信息；

认证模块，用于根据所述客户端的信息对所述客户端进行身份认证；

第一发送模块，用于在对所述客户端进行身份认证后向所述客户端下发相关认证信息；

第二发送模块，用于在所述第一发送模块向所述客户端下发所述相关认证信息之后，向所述客户端发送身份认证结果。

本发明提供一种网络设备，其包括本发明提供的相关认证信息下发装置。

本发明的相关认证信息下发方法、装置及网络设备，通过在客户端的认证过程中增加操作流程，向客户端下发相关认证信息。本发明通过在认证过程中增加向客户端下发认证相关信息的交互操作的技术方案，实现在认证过程中向客户端下发相关认证信息，同时由于在客户端认证过程中接入交换机只对交互报文进行转发，因此，整个认证过程与接入交换机的类型、型号等无关，因此，本发明技术方案同时还可实现对接入交换机的兼容。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为现有802.1x系统的网络拓扑结构示意图；

图2为现有802.1x系统下设置消息服务器的网络拓扑结构示意图；

图3为本发明实施例一提供的相关认证信息下发方法的流程图；

图4为本发明实施例二提供的相关认证信息下发方法的流程图；

图5为本发明实施例三提供的相关认证信息下发装置的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

图3为本发明实施例一提供的相关认证信息下发方法的流程图。本实施例的执行主体为相关认证信息下发装置，该相关认证信息下发装置可以为Radius服务器，如图3所示，本实施例的相关认证信息下发方法，具体包括：

步骤301，接收客户端发送的认证请求，其中认证请求包含客户端的信息；

具体的，在802.1x系统中，客户端在通过接入交换机接入LAN或者WLAN之前，需要向相关认证信息下发装置发送认证请求以进行身份认证。相关认证信息下发装置接收到认证请求时，负责对客户端进行身份认证。通常客户端的信息是指客户端预先申请注册的用户名、密码等信息。

步骤302，根据客户端的信息对客户端进行身份认证；

例如：相关认证信息下发装置可以通过解析认证请求，获取其中的客户端的用户名与密码等信息，并与预存储的用户列表中的用户名和密码进行比对，以判断该客户端是否为合法用户。若匹配到一致的，则说明该客户端为合法用户；反之，说明该客户端为非法用户。但并不限于此，而为了保证对客户端身份认证的准确性，通常采用和客户端进行交互的方式进行认证，例如可扩展身份验证协议(Extensible Authentication Protocol；简称为：EAP)协议中的认证过程。

步骤303，在对客户端进行身份认证后向客户端下发相关认证信息；

其中，本实施例的相关认证信息可以包括账户余额、客户端升级信息、最新版本的客户端、私用通信技术(Private Communications Technology；简称为：PCT)系统补丁、广告信息或认证失败原因信息等，也可以是上述信息的任意组合。相关认证信息下发装置通过向客户端下发客户端的账户余额、客户端升级信息、广告信息等，以便于客户端根据上述信息进行相应操作，例如进行账户充值、版本升级等。而当客户端认证失败时，相关认证信息下发装置向客户端下发认证失败原因，例如：客户端账户余额不足、客户端版本过低、账户名称错误等，以使客户端了解认证失败原因，并进行相应处理。

在本实施例中，相关认证信息下发装置在对客户端进行身份认证之后，直接向客户端下发上述相关认证信息。在该步骤中，相关认证信息下发装置并不限定客户端是否认证成功，只要对客户端进行了身份认证就可以向客户端下发上述相关认证信息。而当认证失败后，该相关认证信息还可包含认证失败原因信息。

步骤304，在向客户端下发相关认证信息之后，向客户端发送身份认证结果。

其中，在本实施例中可以根据客户端和相关认证信息下发装置之间预先约定的协议向客户端发送身份认证结果。例如：若客户端无需向相关认证信息下发装置返回相关认证响应，则相关认证信息下发装置在向客户端下发相关认证信息之后，直接向客户端返回身份认证结果。若客户端需要向相关认证信息下发装置返回相关认证响应，则相关认证信息下发装置可以在客户端向其返回相关认证响应之后，向客户端发送身份认证结果。

本实施例相关认证信息下发方法，通过在客户端的认证过程中增加操作流程，向客户端下发相关认证信息；基于认证过程中接入交换机只对报文进行转发，而与接入交换机的型号、其生产厂家或是支持的协议等信息均无关的特性，在认证过程中实现向客户端下发相关认证信息的同时，实现对交换机的兼容。

进一步，在本实施例中，相关认证信息下发装置向客户端发送的相关认证信息可以是根据预先约定自发发送的，即无需客户端向相关认证信息下发装置发送请求。例如：相关认证信息下发装置可以与各个客户端之间预先预定在认证过程中下发账户余额、广告信息等；又例如：还可以做出如下约定：当客户端的认证请求中携带有客户端软件版本信息时，相关认证信息下发装置判断客户端软件版本是否最新版本；当判断出客户端软件版本比较低时，自动向客户端发送软件版本更新信息，例如将软件版本由1.0版本更新为版本2.0；当客户端收到更新信息时自动向软件提供商的服务器请求下载最新版本软件。进一步，在本实施例中相关认证信息还可以直接向客户端提供数据量较大的信息，例如：最新版本的客户端软件；这样客户端可以根据接收到的客户端软件直接升级本地软件。由于本实施例是在认证过程中增加交互过程实现相关认证信息的下发的，因此，对于数据量较大的信息的下发，可以通过增加多次交互过程实现；且在多次交互过程中，可以自动完成信息的分割和组合。其中信息分割和组合可以采用现有技术，本实施例不再详细赘述。而现有技术中由于受认证报文字节数的限制，因此，无法传输大容量信息。

其中，当客户端接收到相关认证信息下发装置下发的相关认证信息之后，会向相关认证信息下发装置返回响应，即相关认证响应。则本实施例的相关认证信息下发方法还包括：相关认证信息下发装置接收客户端发送的相关认证响应，其中，相关认证响应是所述客户端根据接收到的所述相关认证信息生成并发送的。具体的，客户端通过接入交换机将该相关认证响应发送给相关认证信息下发装置，相关认证信息下发装置根据该相关认证响应可以获知客户端已经成功接收相关认证信息。

下面将结合具体应用环境和应用协议进一步说明本发明技术方案。

实施例二

图4为本发明实施例二提供的相关认证信息下发方法的流程图。本实施例可基于实施例一，且在本实施例中将以相关认证信息下发装置为Radius服务器为执行主体，并结合图1所示网络拓扑结构。其中，客户端和接入交换机之间采用EAPOL协议进行信息传输；而客户端、接入交换机和Radius服务器(具体是指相关认证信息下发装置)之间采用Radius协议进行认证信息的传输。本实施例的方法具体包括：

步骤401，当用户有上网需求时打开802.1x客户端，输入已经申请、登记过的用户名和口令，发起连接请求即发送EAPOL-Start报文。此时，客户端程序将发出请求认证的报文给接入交换机，开始启动一次认证过程。

步骤402，接入交换机收到请求认证的数据帧后，将向客户端发出一个请求帧，即Radius协议中的EAP Request/Identity报文，要求用户的客户端程序发送输入的用户名。

步骤403，客户端程序响应接入交换机发出的请求，将用户名信息通过数据帧，即Radius协议中的EAP Response/Identity报文发送给接入交换机。

步骤404，接入交换机将客户端发送来的数据帧进行封包处理，生成Radius Access-Request报文发送给Radius服务器进行处理。

步骤405，Radius服务器收到接入交换机转发的用户名信息后，将该用户名信息与数据库中的用户名表相比对，找到该用户名对应的口令信息，用随机生成的一个加密字对它进行加密处理。

步骤406，Radius服务器将上述加密字通过Radius Access-Challenge报文传送给接入交换机。

步骤407，接入交换机将接收到的上述Radius Access-Challenge报文进行封装处理，生成EAP-Request/MD5Challenge报文并传给客户端程序。

步骤408，客户端程序收到由接入交换机传来的加密字，即EAP-Request/MD5Challenge报文后，用该加密字对口令部分进行加密处理(其中，本实施例的加密算法是不可逆的)，生成EAP-Response/MD5Challenge报文，并发送给接入交换机。

步骤409，接入交换机将接收到的EAP-Response/MD5Challenge报文进行封包处理，生成Radius Access-Request报文并发送给Radius服务器。

步骤410，Radius服务器将加密后的口令信息，即接收到的RadiusAccess-Request报文和自己经过加密运算后的口令信息进行对比，如果相同，则认为该用户为合法用户，否则，认为该用户为非法用户。

步骤411，Radius服务器将相关认证信息封装到Radius Access-Challenge报文传送给接入交换机。具体的，由于EAP协议对Radius Access-Challenge报文中的名字(name)字段传递的内容没有任何限制，因此，可以将相关认证信息封装到Radius Access-Challenge报文中的name字段中。

步骤412，接入交换机将接收到的上述Radius Access-Challenge报文进行封装处理，生成EAP-Request/MD5Challenge报文并传送给客户端程序。

步骤413，客户端程序接收解析EAP-Request/MD5Challenge报文，获取其中的相关认证信息，并生成接收响应报文，即EAP-Response/MD5Challenge报文，发送给接入交换机，以通过接入交换机向Radius服务器汇报其接收到相关认证信息；另外，客户端通过接收响应报文除了向Radius服务器汇报已经接收到相关认证信息外，还可以向Radius服务器返回根据特定相关认证信息所执行的操作的信息。

步骤414，接入交换机将接收到的EAP-Response/MD5Challenge报文进行封包处理，生成Radius Access-Request报文并发送给Radius服务器。

步骤415，Radius服务器将认证结果封装成Radius Access-Accept/Fall报文，并发送给接入交换。其中，当认证结果为通过时，则生成Radius Access-Accept报文；反之，则生成Radius Access-Fall报文。

步骤416，接入交换机将接收到的上述Radius Access-Accept/Fall报文进行封装处理生成EAP-Succes/Fall报文，并发送给客户端程序。其中，当客户端身份认证通过时，接入交换机将会将其端口状态改为授权状态，允许用户通过该端口访问网络。

本实施例基于EAP协议，对Radius Access-Challenge和EAP Request/MD5-Challeng两个报文进行EAP透传的功能，通过增加认证交互过程完成Radius服务器向客户端下发相关认证信息操作。由于该认证过程中接入交换机只进行报文的封装处理，实现报文的转发，与接入交换机类型、品牌无关，因此，在认证过程中下传相关认证信息的同时可以达到兼容不同接入交换机的目的。即本实施例的技术方案可应用于各种场合，无需限定接入交换机的类型。更进一步，本实施例的技术方案无需消息服务器，只需对现有认证过程进行改变，无需对网络硬件设备进行改动，因此，其实施简单，且可以减小组网代价。

进一步，在本实施例中，客户端可以通过步骤408中的EAP-Response/MD5Challenge报文，将客户端的一些信息封装到该报文中的name字段中，通过接入交换机提供给Radius服务器。例如客户端可以将其用户网际协议(Internet Protocol；简称为：IP)地址、客户端版本、客户端校验码等信息提供给Radius服务器。Radius服务器可以根据上述信息进一步验证客户端的身份，以提高身份认证的准确性；也可以根据客户端提供的信息进行相应操作。

实施例三

图5为本发明实施例三提供的相关认证信息下发装置的结构示意图。本实施例的相关认证信息下发装置，可以作为Radius服务器(如图1所示)，也可以作为该Radius服务器的功能模块，而设置于该Radius服务器内，主要用于完成相关认证信息的下发。如图5所示，本实施例的相关认证信息下发装置包括：第一接收模块61、认证模块62、第一发送模块63和第二发送模块64。

第一接收模块61，与客户端连接，用于接收客户端发送的认证请求，其中该认证请求中包含客户端的信息。具体的，相关认证下发装置通过接入交换机与客户端连接，并通过接入交换机的转发以接收客户端的认证请求。认证请求中的客户端的信息主要是指认证所需的用户名、密码等信息。进一步，客户端还可以将其自身的其他信息例如客户端的IP地址、使用软件版本号等信息也通过认证请求提供给相关认证信息下发装置，以供相关认证下发装置根据上述信息对客户端做进一步身份认证。

认证模块62，与第一接收模块61连接，用于根据第一接收模块61接收到的客户端的信息对客户端进行身份认证。例如，认证模块62可以解析获取认证请求中的用户名，并与用户信息列表中的预先存储的注册用户的用户名进行匹配，当匹配到一致的用户名时，说明该客户端为合法用户；反之，说明该客户端为非法用户。上述只是提供一种认证模块62对客户端进行身份认证的实施方式，但并不限于此。更为优选的实施方式是认证模块62通过接入交换机与客户端做进一步交互，通过该交互过程对客户端进行身份认证，具体可以参考EPA协议中的身份认证过程。

第一发送模块63，与认证模块62连接，用于在认证模块62对客户端进行身份认证后向客户端下发相关认证信息。其中，本实施例的相关认证信息可以为账户余额、软件版本升级信息、广告信息以及认证失败原因等多种信息。其中账户余额可以是根据客户端和相关认证下发装置固定的协议下发，即只要执行身份认证就下发账户余额，而无需区分客户端是否通过身份认证。因此，本实施例的第一发送模块63具体根据认证模块62是否对客户端进行身份向客户端下发相关认证信息，而并非受限于身份认证结果。具体的，第一发送模块63通过接入交换机将相关认证信息发送给客户端。

第二发送模块64，分别与认证模块62和第一发送模块63连接，用于在第一发送模块63向客户端下发相关认证信息之后，向客户端发送身份认证结果。其中，该身份认证结果包括身份认证通过或身份认证未通过。

本实施例的相关认证信息下发装置，可以用于执行本发明提供的相关认证信息下发方法的流程，具体通过第一接收模块、认证模块、第一发送模块和第二发送模块在对客户端进行身份认证的过程中向客户端下发相关认证信息，基于客户端身份认证过程中接入交换机只起转发作用，而与接入交换机型号、类型等无关的特性，同时达到兼容不同交换机的目的。

进一步，对于一些必须在认证过程中下发给客户端的信息，本实施例的相关认证信息下发装置可以将其作为相关认证信息下发给客户端，以满足认证过程的需求。例如：在认证过程中向客户端下发本次上网时长，以使客户端向用户提供用户上网时间剩余信息，便于用户在上网时间不够时及时进行下线操作等。

进一步，当客户端接收到相关认证信息下发装置发送的相关认证信息时，可根据接收到的相关认证信息生成相关认证响应，并通过接入交换机将该相关认证响应发送给相关认证信息下发装置，具体指第二接收模块65。即相关认证信息下发装置还包括第二接收模块65，用于接收客户端的相关认证响应。则第二发送模块64可以根据第二接收模块65的接收结果向客户端发送身份认证结果，即当第二接收模块65接收到客户端发送的相关认证响应后再发送身份认证结果。其中，相关认证信息下发装置发送给客户端的相关认证信息可以要求客户端返回响应结果，或者有时相关认证信息下发装置要求客户端返回响应结果，则上述技术方案可以通过本实施例的第二接收模块65实现。且通过该技术方案第二接收模块65是否接收到客户端的相关认证响应，可以获知客户端与相关认证信息下发装置之间的通信链路是否正常的。即若接收到相关认证响应，说明链路正常，可以直接发送身份认证结果，进而可以提高发送身份认证结果的成功率；若未接收到相关认证响应，则说明客户端可能无法接收该身份认证结果，则可采取相应措施避免发送，以节约功率。

在此需要说明的是，本实施例的相关认证信息下发装置与接入交换机以及客户端之间的身份认证过程可以采用EAP协议，具体如何根据EAP协议进行身份认证结果、相关认证信息以及相关认证响应信息的传输可参照本发明实施例二所描述的方法流程，在此不再详细论述。

综上所述，本实施例的相关认证信息下发装置通过在客户端身份认证过程中增加交互操作的步骤，实现在认证过程中向客户端下发相关认证信息，同时基于客户端身份认证过程中与接入交换机无关的特点，实现对接入交换机的兼容，解决了现有在下发相关认证信息时无法兼容交换机的问题；进一步采用本实施例的相关认证信息下发装置进行相关认证信息的下发时，无需通过专用消息服务器，因此，对于只需传输相关认证信息的网络无需布设消息服务器，进而节省网络建设成本。

实施例四

本发明实施例四提供一种网络设备，其包括本发明上述实施例提供的相关认证信息下发装置。其中，本实施例的网络设备主要用于在802.1x系统中在客户端请求接入网络上时，用于对客户端进行身份认证。本实施例的网络设备可以为各种认证服务器，例如Radius服务器。

本实施例的网络设备由于包含有本发明的相关认证信息下发装置，同样可以用于执行本发明提供的相关认证信息下发方法的流程。且本实施例的网络设备同样可以在对客户端进行身份认证的过程中向客户端下发相关认证信息，且可以达到兼容不同交换机的目的。

进一步，当认证服务器和客户端之间只需进行相关认证信息的交互时，基于本实施例的网络设备在构建网络时可以不用布设消息服务器，故还可以节约网络建设成本。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (9)

1.一种相关认证信息下发方法，其特征在于，包括：

接收客户端发送的认证请求，所述认证请求包含所述客户端的信息；

根据所述客户端的信息对所述客户端进行身份认证；

在对所述客户端进行身份认证后向所述客户端下发相关认证信息；

在向所述客户端下发所述相关认证信息之后，向所述客户端发送身份认证结果。

2.根据权利要求1所述的相关认证信息下发方法，其特征在于，向所述客户端发送身份认证结果之前还包括：

接收所述客户端发送的相关认证响应，所述相关认证响应是所述客户端根据接收到的所述相关认证信息生成并发送的。

3.根据权利要求2所述的相关认证信息下发方法，其特征在于，采用可扩展身份验证协议传输所述身份认证结果和所述相关认证响应。

4.根据权利要求1-3任一项所述的相关认证信息下发方法，其特征在于，采用可扩展身份验证协议传输所述相关认证信息，所述相关认证信息设置于所述可扩展身份验证协议报文的名字字段中。

5.一种相关认证信息下发装置，其特征在于，包括：

第一接收模块，用于接收客户端发送的认证请求，所述认证请求中包含所述客户端的信息；

认证模块，用于根据所述客户端的信息对所述客户端进行身份认证；

第一发送模块，用于在对所述客户端进行身份认证后向所述客户端下发相关认证信息；

第二发送模块，用于在所述第一发送模块向所述客户端下发所述相关认证信息之后，向所述客户端发送身份认证结果。

6.根据权利要求5所述的相关认证信息下发装置，其特征在于，还包括：

第二接收模块，用于在所述第二发送模块向所述客户端发送所述身份认证结果之前，接收所述客户端发送的相关认证响应，所述相关认证响应是所述客户端根据接收到的所述相关认证信息生成并发送的。

7.根据权利要求6所述的相关认证信息下发装置，其特征在于，所述身份认证结果和所述相关认证响应是通过可扩展身份验证协议传输的。

8.根据权利要求5-7任一项所述的相关认证信息下发装置，其特征在于，所述相关认证信息是通过可扩展身份验证协议传输的，且被设置于所述可扩展身份验证协议报文的名字字段中。

9.一种包括权利要求5-8任一项所述的相关认证信息下发装置的网络设备。

Images