CN103874069B - 一种无线终端mac认证装置和方法 - Google Patents

Abstract

本发明提供一种无线终端MAC认证装置和方法。所述方法包括：获取无线终端的标识属性；在无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，查询所述无线终端是否已经在所述绑定服务器上绑定；在无线终端已经在所述绑定服务器上绑定时，接收绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求；在无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给绑定服务器，所述绑定请求中携带有无线终端的所述标识属性。通过本发明的技术方案提高了用户的上网体验。

Description

一种无线终端MAC认证装置和方法

技术领域

本发明涉及无线通信技术，尤其涉及一种无线终端MAC认证装置和方法。

背景技术

在智能手机越来越普及的今天，手机接入的安全认证一直是业界关注的焦点，由于手机终端屏幕小，页面适配、输入方式等问题造成用户使用现有认证操作过程复杂，体验差。现有具备Portal认证方式因客户端需要多步操作，接入设备与服务器进行多次交互才能完成认证过程，而在2G/3G的网络模式下，因为信号传输速率低，会让用户感觉认证过程很漫长，与固定网络体验感觉差距较大；而EAP-SIM认证受限于终端和网络，部署受很大限制；传统的MAC认证，以无线关联或者DHCP报文触发MAC认证，实现用户无感知认证。但当前的MAC认证存在一定问题，用户的MAC地址为用户的唯一认证介质，但是MAC地址很容易被仿冒，一旦MAC地址被仿冒就容易引起安全问题。因此，在运营网络中，MAC地址认证应用场景有很大的局限性。

发明内容

有鉴于此，本发明提供一种无线终端MAC认证装置和方法。

具体地，本发明是通过如下技术方案实现的：

一种无线终端MAC认证装置，应用在无线接入控制设备上，所述装置包括：

属性获取单元，用于获取无线终端的标识属性，所述标识属性用于标识无线终端的身份信息；

绑定查询单元，用于在所述无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，所述绑定查询请求中携带有无线终端的标识属性，用以供绑定服务器查询所述无线终端是否已经在所述绑定服务器上绑定；

自动认证单元，用于在所述无线终端已经在所述绑定服务器上绑定时，接收所述绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求；

认证触发单元，用于在所述无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给所述绑定服务器，所述绑定请求中携带有无线终端的所述标识属性。

进一步地，所述装置包括：

自动验证单元，用于在认证请求通过后，定期向绑定服务器发送无线终端身份验证请求，所述身份验证请求中携带有无线终端的标识属性，用以供所述绑定服务器验证所述无线终端的身份是否合法。

进一步地，所述装置还包括：

强制下线单元，用于在所述绑定服务器验证无线终端的身份非法或者在预设的时间内所述无线终端的流量小于预设的第二阈值时，强制所述无线终端下线。

进一步地，所述强制下线单元，进一步用于在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

进一步地，所述无线终端的标识属性有多个，包括有无线终端的MAC地址以及无线报文中的vendor specific属性、DHCP option12、DHCP option55、DHCP option60中的一个或者多个。

一种无线终端MAC认证方法，应用在无线接入控制设备上，所述方法包括：

获取无线终端的标识属性，所述标识属性用于标识无线终端的身份信息；

在所述无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，所述绑定查询请求中携带有无线终端的标识属性，用以供绑定服务器查询所述无线终端是否已经在所述绑定服务器上绑定；

在所述无线终端已经在所述绑定服务器上绑定时，接收所述绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求；

在所述无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给所述绑定服务器，所述绑定请求中携带有无线终端的所述标识属性。

进一步地，所述方法包括：

在认证请求通过后，定期向绑定服务器发送无线终端身份验证请求，所述身份验证请求中携带有无线终端的标识属性，用以供所述绑定服务器验证所述无线终端的身份是否合法。

进一步地，所述方法还包括：

在所述绑定服务器验证无线终端的身份非法或者在预设的时间内所述无线终端的流量小于预设的第二阈值时，强制所述无线终端下线。

进一步地，所述方法还包括：

在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

进一步地，所述无线终端的标识属性有多个，包括有无线终端的MAC地址以及无线报文中的vendor specific属性、DHCP option12、DHCP option55、DHCP option60中的一个或者多个。

由以上描述可以看出，本发明绑定无线终端的多种标识属性，同时根据接入终端的标识属性定期查询其身份是否合法，一旦发现身份不合法，即强制下线，以此防止MAC仿冒，维护用户网上安全。

附图说明

图1是本发明一种实施方式中无线终端MAC认证装置的逻辑结构图；

图2是本发明一种实施方式中无线终端MAC认证方法的流程示意图；

图3是本发明一种实施方式中未绑定无线终端的绑定流程示意图；

图4是本发明一种实施方式中已绑定无线终端的身份验证流程示意图。

具体实施方式

本申请提供一种无线终端的MAC认证方案，通过对MAC认证流程进行优化，采用MAC地址与多种终端属性绑定，例如：802.11vendor ID、DHCP option12、OPTION55和/或option60等多属性，提高MAC认证的可靠性。此方法无需终端改造，即可实现安全、可靠的无感知认证。同时，通过定期验证无线终端绑定的属性来验证其的合法性，防止仿冒者。

下面以软件实现为例，详细描述本发明具体实现。本发明提供的无线终端MAC认证装置，运行在无线接入控制设备上。所述无线接入控制设备包括有：BRAS(BroadbandRemote Access Server，宽带远程接入服务器)、AC(Access Controller，接入控制器)等设备。作为本发明装置的运行载体，所述无线接入控制设备通常至少包括有：CPU、内存以及非易失性存储器，当然还可能包括有各种转发芯片和I/O接口等硬件。请参考图1和图2，所述装置包括有：属性获取单元、绑定查询单元、自动认证单元、自动验证单元、认证触发单元以及强制下线单元。在一个示例性的实施方案中，该装置在运行过程中执行如下处理步骤：

步骤101，属性获取单元获取无线终端的标识属性，所述标识属性用于标识无线终端的身份信息。

本步骤中，所述无线终端的标识属性有多种。其中，至少包括有无线终端的MAC地址，还可以包括有无线报文中的vendor specific属性、DHCP报文中的option12、option55以及option60等属性中的至少一种。这些属性都属于报文中固有用来标识用户信息的，很难被仿冒，这里仅列举几种了常用报文中的属性，熟悉本领域的技术人员根据技术常识可知，其他未列举的报文中包含的可以标识用户身份的属性一样可以使用在本发明的技术方案中，在此不再做进一步赘述。

在具体实现中，无线终端关联SSID（Service Set Identifier，服务集标识符）。在这个过程中，所述属性获取单元从关联过程收到的报文中获取终端的vendor specific属性，该属性用于标识生产该终端的厂家，其格式为TLV。这个属性很难被仿冒，故具有较高的可靠性。

无线终端获取IP地址，所述属性获取单元通过DHCP SNOOPING监听地址申请过程交互的报文，从报文携带的字段中获取所述无线终端的多个DHCP（Dynamic HostConfiguration Protocol，动态主机配置协议）属性，比如，从DHCP option12选项中获取主机名称，从DHCP option60选项中获取网卡的厂家标识，从DHCP option55选项中获取网卡的综合信息，这些信息与无线终端的类型一一对应，即每种终端类型都对应相同的option55选项。上述的这些属性均可用于标识终端，确保终端的唯一性，避免终端被仿冒，进一步提高认证的可靠性。

步骤102，绑定查询单元在所述无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，所述绑定查询请求中携带有无线终端的标识属性，用以供绑定服务器查询所述无线终端是否已经在所述绑定服务器上绑定。

本步骤中，所述绑定服务器用于绑定用户的标识属性，其可以是一台单独的服务器，也可以和Portal服务器或者AAA（Authentication、Authorization、Accounting，验证、授权、记账）服务器集成在一起。所述绑定查询单元监控无线终端的流量，并通过流量门限触发绑定查询。所述第一阈值可以由网络管理人员根据实际情况进行设置，比如：在5分钟内累计流量达到10KB就触发绑定查询。以此来避免由于无线终端后台更新（如：天气预报更新）所引发的频繁查询流程。

绑定服务器接收到所述无线终端绑定查询请求时，从所述绑定查询请求中获取无线终端标识属性，判断本地是否保存有相同标识属性。如果否，则确定所述无线终端没有绑定，返回查询结果给无线接入控制设备。如果是，确定所述无线终端已经绑定，从AAA服务器获取所述无线终端对应的认证信息，并模拟Portal服务器向无线接入设备发起认证。具体地，所述绑定服务器从AAA服务器获取所述无线终端对应的登录账号和密码，模拟Portal服务器向所述无线接入控制设备发起认证，以触发无线接入控制设备自发为无线终端认证登录信息，减少用户手动认证。

步骤103，认证触发单元在所述无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给所述绑定服务器，所述绑定请求中携带有无线终端的所述标识属性。

请参考图3，如果无线终端没有在所述绑定服务器上绑定，则需要用户进行Portal认证，只有在Portal认证通过后，才会将无线终端的标识属性绑定到绑定服务器上。具体地，所述认证触发单元等待用户进行Web访问，在用户通过无线终端打开Web浏览器时，进行重定向，并推送Portal URL给浏览器，用户在Portal页面上输入登录账号和密码，提交认证请求。Portal服务器根据用户输入的登录账号和密码向无线接入控制设备发起认证，所述认证触发单元进而向AAA服务器发起认证请求以验证所述登录账号和密码，并在认证通过后将无线终端的标识属性携带在绑定请求中发送给绑定服务器，以实现绑定以及后续的查询。当无线终端的流量再次超过所述第一阈值时，返回到步骤102。

步骤104，自动认证单元在所述无线终端已经在所述绑定服务器上绑定时，接收所述绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求。

请参考图4，本步骤中，无线接入控制设备接收到绑定服务器发起的认证，会认为是由Portal服务器发起，进而根据其中携带的所述无线终端对应的登录账号和密码向AAA服务器发起认证请求。这个认证过程由无线接入设备自动进行，无线终端不会感知。举例来说，用户到某地使用手机首次上网，在Portal认证通过后，所述认证触发单元将该手机的标识属性发送到绑定服务器上绑定。用户下次再使用该手机到同一个地方上网时，绑定服务器经查询发现该手机的标识属性已经绑定，就会从AAA服务器获取该手机对应的登录账号和密码，然后模拟Portal服务器向AC发起认证，AC进而向AAA服务器发起认证，以实现自动认证的过程，避免了让用户频繁使用手机进行Portal认证，提高上网体验。也就是说，在用户首次认证通过后，绑定用户无线终端的标识属性，当用户再次请求接入网络的时候，如果所述无线终端的标识属性一致，那么默认用户为合法者，通过自动认证过程允许用户直接上网，后续再通过定期的自动查询来确认无线终端的合法性。

步骤105，自动验证单元在认证请求通过后，定期向绑定服务器发送无线终端身份验证请求，所述身份验证请求中携带有无线终端的标识属性，用以供所述绑定服务器验证所述无线终端的身份是否合法。

由于自动认证单元向AAA服务器发起的认证请求中携带的无线终端登录账号和密码是绑定服务器从AAA服务器上获取的，所以所述自动认证单元发起的认证请求一定会通过。所述自动验证单元在认证通过后，通知绑定服务器认证结果。用户感知不到这个自动认证的过程，可以正常上网。实施自动验证单元定期（比如：30分钟）向绑定服务器发送身份验证请求，以此来验证无线终端是否为仿冒者。

具体地，所述属性获取单元会实时获取并更新本地保存的无线终端标识属性，所述自动验证单元将所述标识属性携带在身份验证请求报文中发送给绑定服务器。绑定服务器查询身份验证请求报文中携带的标识属性是否和本地之前保存的无线终端绑定的标识属性一致。具体地，绑定服务器通常以MAC地址为基准查询，即查询所述身份验证请求报文中携带的MAC地址对应的其他标识属性是否和之前保存的一致。如果一致，则说明当前接入的无线终端身份合法。如果不一致，则说明当前接入的无线终端是仿冒者。所述绑定服务器将验证结果反馈给无线接入控制设备，以供其进行下一步处理。定期对无线终端进行身份验证，可以防止非法者通过仿冒合法无线终端的MAC地址接入网络，维护用户上网安全。

步骤106，强制下线单元在所述绑定服务器验证所述无线终端的身份非法时，强制所述无线终端下线。

步骤107，强制下线单元在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

上述步骤中，在验证所述无线终端身份非法时，所述强制下线单元与AAA服务器交互，强制无线终端下线，以维护网络安全。进一步地，为了防止仿冒者再次仿冒合法终端接入网络，所述强制下线单元还会通知绑定服务器删除所述无线终端对应的绑定信息。具体地，绑定服务器删除仿冒者仿冒的MAC地址对应的标识属性，这样，当该MAC地址对应的无线终端再次上线时，重新进行Portal认证以及绑定。

进一步地，所述强制下线单元还用于无线终端的流量过小时强制其下线，并通知服务器停止对应用户的计费，以此为用户节省流量。具体地，在预设的时间内，如果所述无线终端的流量小于预设的第二阈值时，与AAA服务器交互并强制所述无线终端下线。所述预设的时间和第二阈值可以由网络管理人员根据实际情况进行设置，比如：在30分钟内流量小于10KB。同样，在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

由以上描述可以看出，本发明绑定无线终端的多种标识属性，同时根据接入终端的标识属性定期查询其身份是否合法，一旦发现身份不合法，即强制下线，以此防止MAC仿冒，维护用户网上安全。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种无线终端MAC认证装置，应用在无线接入控制设备上，其特征在于，所述装置包括：

属性获取单元，用于获取无线终端的标识属性，所述标识属性用于标识无线终端的身份信息；

绑定查询单元，用于在所述无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，所述绑定查询请求中携带有无线终端的标识属性，用以供绑定服务器查询所述无线终端是否已经在所述绑定服务器上绑定；

自动认证单元，用于在所述无线终端已经在所述绑定服务器上绑定时，接收所述绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求；

认证触发单元，用于在所述无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给所述绑定服务器，所述绑定请求中携带有无线终端的所述标识属性；

自动验证单元，用于在认证请求通过后，定期向绑定服务器发送无线终端身份验证请求，所述身份验证请求中携带有无线终端的标识属性，用以供所述绑定服务器验证所述无线终端的身份是否合法。

2.根据权利要求1所述的装置，其特征在于，所述装置还包括：

强制下线单元，用于在所述绑定服务器验证无线终端的身份非法或者在预设的时间内所述无线终端的流量小于预设的第二阈值时，强制所述无线终端下线。

3.根据权利要求2所述的装置，其特征在于，

所述强制下线单元，进一步用于在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

4.根据权利要求1所述的装置，其特征在于，

所述无线终端的标识属性有多个，包括有无线终端的MAC地址以及无线报文中的vendor specific属性、DHCP option12、DHCP option 55、DHCP option60中的一个或者多个。

5.一种无线终端MAC认证方法，应用在无线接入控制设备上，其特征在于，所述方法包括：

获取无线终端的标识属性，所述标识属性用于标识无线终端的身份信息；

在所述无线终端的流量超过预设的第一阈值时，向绑定服务器发送无线终端绑定查询请求，所述绑定查询请求中携带有无线终端的标识属性，用以供绑定服务器查询所述无线终端是否已经在所述绑定服务器上绑定；

在所述无线终端已经在所述绑定服务器上绑定时，接收所述绑定服务器模拟Portal服务器发起的认证，并向AAA服务器发起认证请求；

在所述无线终端没有在所述绑定服务器上绑定时，如果接收到无线终端的Web访问请求，则触发无线终端进行Portal认证，并在Portal认证通过后发送绑定请求给所述绑定服务器，所述绑定请求中携带有无线终端的所述标识属性；

在认证请求通过后，定期向绑定服务器发送无线终端身份验证请求，所述身份验证请求中携带有无线终端的标识属性，用以供所述绑定服务器验证所述无线终端的身份是否合法。

6.根据权利要求5所述的方法，其特征在于，所述方法还包括：

在所述绑定服务器验证无线终端的身份非法或者在预设的时间内所述无线终端的流量小于预设的第二阈值时，强制所述无线终端下线。

7.根据权利要求6所述的方法，其特征在于，所述方法还包括：

在强制无线终端下线后，通知绑定服务器删除所述无线终端对应的绑定信息。

8.根据权利要求5所述的方法，其特征在于，

所述无线终端的标识属性有多个，包括有无线终端的MAC地址以及无线报文中的vendor specific属性、DHCP option12、DHCP option 55、DHCP option60中的一个或者多个。