CN101083660A

CN101083660A - 基于会话控制的动态地址分配协议的ip网认证鉴权方法

Info

Publication number: CN101083660A
Application number: CNA2007101060438A
Authority: CN
Inventors: 姚宏亮; 王地; 佟立群; 裴立杰; 袁长海; 金明岩
Original assignee: BEIJING RUNWAY SCIENCE AND TECHNOLOGY Co Ltd
Current assignee: BEIJING RUNWAY SCIENCE AND TECHNOLOGY Co Ltd
Priority date: 2007-05-30
Filing date: 2007-05-30
Publication date: 2007-12-05

Abstract

本发明是一种基于会话控制的动态地址分配协议的IP网认证鉴权方法(以下简称为SESSION DHCP)，即通过DHCP扩展实现用户名和用户口令以CHAP方式认证的地址安全分配的方法。本发明的核心是在标准的DHCP报文交互过程中实现安全的CHAP认证，对网络中所有支持DHCP协议的设备均没有任何影响和特殊要求，只更改和优化了客户端与服务端的处理流程，达到实现CHAP认证的目的。本发明可以根据用户名和用户口令的认证结果仅为通过认证的合法用户、终端分配IP地址，从而极大的保证了通过DHCP方式分配地址的安全性，而且本发明中可以将用户名、用户口令的认证统一由AAA服务器完成和管理。

Description

基于会话控制的动态地址分配协议的IP网认证鉴权方法

技术领域

本发明涉及计算机网络技术，特别是一种宽带网用户接入认证管理方法。

背景技术

1、DHCP协议

DHCP协议来源于局域网应用，为了安全性的考虑扩展了OPTION90(RFC3118)以用来进行基于用户名、用户口令的认证，但是OPTION90的认证方式因为没有采用Challenge机制，难于防范重放等攻击，在实际网络运营中是不安全的，目前并没有实际使用的案例，但DHCP也先天的具有部署与网络拓扑无关的灵活性等一系列优点。

2、PPP协议

PPP协议是目前广域网上应用最广泛的协议之一，它的优点在于简单、具备用户验证能力、可以解决IP分配等。但是PPP协议的服务端采用的网关式部署方式极大的限制了网络结构的灵活性，同时服务端还必须在客户端上网的全过程内进行PPP报文和IP报文的转换，使得PPP协议的服务端成为了网络瓶颈。

3、CHAP协议

CHAP全称为：Challenge Handshake Authentication Protocol(挑战握手认证协议)

CHAP协议基本过程是认证者先发送一个随机挑战信息给对方，接收方根据此挑战信息和共享的密钥信息，使用单向HASH函数计算出响应值，然后发送给认证者，认证者也进行相同的计算，验证自己的计算结果和接收到的结果是否一致，一致则认证通过，否则认证失败。这种认证方法的优点即在于密钥信息不需要在通信信道中发送，而且每次认证所交换的信息都不一样，可以很有效地避免监听攻击。使用CHAP的安全性在于挑战信息的长度、随机性和单向HASH算法的可靠性。

新的发明方法将充分结合DHCP和PPP协议的优点，能够完成安全的基于用户名密码的认证、用户在网状态的判断和控制、精确时长采集等功能。

发明内容

本发明的目的是以DHCP协议的先天优势为基础，融入PPP协议在认证和会话控通过对DHCP协议服务端和客户端处理流程的完善完成对用户的认证、授权和用户的在网状态判断以及控制。

本发明的价值是克服了标准DHCP协议不能够进行完善的用户身份认证和不能够进行用户会话控制的先天缺陷，同时改变了传统意义上PPP协议网络瓶颈的部署和实现方式，充分利用了DHCP协议服务端部署与网络拓扑无关性的优势，满足宽带接入网络用户认证管理电信级的应用，具体特点如下：

1)在认证实现流程上，SESSION DHCP继承了PPP的优点，在此方面具有和PPP同等的安全性。

2)在部署方式上，SESSION DHCP具有标准DHCP的全部先天优势，因为SESSIONDHCP的认证控制报文与数据报文是分离的，所以认证控制报文能够被网络设备RELAY到任何目的地，从而对网络的拓扑结构没有任何依赖也不需要改变已有网络的结构。

3)在可靠性上，SESSION DHCP的服务端具有完善的冗余热切互备和负载均衡机制。

4)在统一管理上，SESSION DHCP可以统一进行管理和控制，包括地址池、地址分配状态信息、地址分配服务器、认证服务器，易于全网统一规划和管理，易于进行全网策略调整。

5)在多业务应用支持上：

可以识别终端类型，对不同业务终端分配不同的IP地址，城域网设备可以根据不同的IP地址授予不同的QOS与访问权限。

可以根据终端所处的物理位置或逻辑子网和终端类型，给不同厂商的不同终端提供自动配置选项。

可以根据不同的终端采取不同的认证方式，灵活选择例如用户名密码、OPTION82、OPTION61等方式自由组合。例如IAD和IPphone就可以不使用用户名和密码进行认证，而采用通过校验终端中烧入的加密串码和OPTION82的合法性来进行地址分配的认证。

6)在自动业务选择上，SESSION DHCP SERVER在用户通过认证之后，可以根据用户预定义的业务属性将业务标识插入ACK报文中，业务选择网关解析报文后可以根据用户业务属性标识配置相应的带宽、优先级、访问权限、数据流向等参数；用户业务属性的传递也可以在SESSION DHCP SERVER和业务选择网关之间以带外的方式进行。

7)在扩展性上，整套服务端系统均为软件结构，升级平滑，易于进行功能扩展。

为达到上述目的，本发明的技术解决方案是在DHCP协议的交互报文中完成挑战口令、单向加密的用户口令、用户名的传递。当客户端接入网络时，首先按照DHCP协议发出获得地址的DISCOVER请求报文，当认证系统接收到该请求后根据预定义的地址分配策略封装一个OFFER报文，并在OFFER报文中插入一个挑战口令返回给客户端，挑战口令包括一个随机生成的挑战字串和一个Secret ID；客户端收到OFFER报文后使用挑战字串、用户口令和Secret ID以MD5单向哈希算法加密，并将加密结果、用户名和Secret ID通过REQUEST报文发送给认证系统；认证系统通过用户名在数据库中查找出明文的用户口令，采用同样的方式重复客户端的加密过程并比对加密结果，一致则认证通过，向客户端发送ACK报文，不通过向客户端发送NAK报文；客户端若收到ACK报文就将获得到的地址等信息与网卡绑定并开始使用网络，若收到NAK报文则恢复到初始状态。认证阶段的报文皆为广播包，认证即可以在本地完成也可以通过RADIUS协议在计费系统完成。

认证通过后即建立客户端与认证系统之间一对一的会话，并为每一个会话分配唯一的SESSION ID，此后进入会话维护阶段，会话维护通过单播的REQUEST和ACK报文的交互完成。为防范第三方仿冒攻击，认证系统会随机的在会话维护阶段的ACK报文中发送挑战口令，客户端需要通过REQUEST报文进行回复，随时对客户端进行校验。

所述的宽带网用户接入管理方法，会话维护的周期是用户上网的整个周期。当客户端程序认证授权后，会话开始生效。当用户下线后，该会话失效。系统自身提供了用户管理功能，可以独立使用，同时提供了二次开发接口，可以与其他的计费平台配合使用。会话的开始时间和结束时间将作为该用户的上网记录，传递给计费系统。

本发明作为接入管理方法，在不改变现有网络拓扑、基本不影响网络性能的情况下，通过软件完成宽带用户的接入、管理；该方法提供了一种可伸缩的结构，可以满足不同级别的应用；是一个高稳定的结构，每个模块可以部署在多台服务器上，模块之间任务自动分配，实现了任务在各个模块之间的平滑转移，理论上，增加启动模块的数目，就意味着处理能力的增加，所以本方法可以作为一个电信级别的应用。

附图说明

图1 SESSION DHCP认证实现流程；

图2 SESSION DHCP会话维护；

图3 SESSION DHCP时长采集；

图4 SESSION DHCP应用。

具体实施方式

本发明宽带网用户接入管理方法的接入系统分为服务端和客户端两部分，是一个分布式体系结构的软件系统，具有任务负载均衡功能、系统热备份功能，完全满足电信级应用。

1 通信流程

1.1认证鉴权阶段

用户使用基于SESSION DHCP的认证鉴权系统，通过标准DHCP协议报文交互完成挑战口令、用户名、用户口令的加密和传递，实现标准的CHAP认证过程，示意图见附图1 SESSION DHCP认证实现流程。

1.1.1认证鉴权工作流程

1、客户端发送广播的DISCOVER报文。

2、SERVER收到DISCOVER报文后根据预定义的地址分配策略封装广播的OFFER报文，在返回给客户端的OFFER报文中插入一个挑战口令(challenge)，其中包括一个任意生成的挑战字串(arbitrary challengestring)和根据挑战字串生成的Secret ID。

3、客户端收到OFFER报文后，使用MD5单向哈希算法(one-way hashingalgorithm)以挑战字串加密用户口令和Secret ID，客户端将加密后的结果、Secret ID、与用户名一同插入到广播的REQUEST报文中发送给SERVER。

4、SERVER接收到广播REQUEST报文后，通过用户名查找到明文的用户口令，根据Secret ID找出发送给此客户端的挑战字串，重复客户端的单向哈希加密过程，然后将结果与客户端发送过来的加密字段进行比对。

5、若比对结果一致则认证通过，SERVER向客户端发送广播的ACK报文，若认证没有通过则向客户端发送广播的NAK报文且在NAK报文中插入错误代码。

6、客户端若收到ACK报文则将获得的IP地址等信息与网卡绑定并开始使用网络，若收到NAK报文则显示错误信息，同时恢复到初始状态。

1.1.2认证阶段的超时处理

1)客户端发送DISCOVER报文后若没有收到OFFER报文则按标准DHCP流程重新发送DISCOVER报文，本协议中规定应在1、4、8、16秒分别重发且需等待一个1～1000ms的随机时长，四次重发均失败后则等待5分钟后再次重发。

2)SERVER发送OFFER报文，一定时间间隔后没有收到REQUEST报文则认为客户端超时，此时回收分配的地址重新使用。超时时长设定为5s，此参数在SERVER中可更改。

3)客户端发送广播REQUEST报文后，一定时间间隔后若没有收到ACK报文则认为服务端超时，客户端需按超时间隔再重发2次REQUEST报文；若仍未收到回应则恢复到初始状态。超时时长设定为2s，此参数可更改。

1.2会话建立阶段

1.2.1会话建立

认证通过后，即建立起会话，并为该会话分配唯一的进程ID，即SESSION ID，服务端将在广播ACK报文中插入SESSION ID返回给客户端。会话建立起来后就开始了SESSION DHCP会话阶段，服务端收到用户第一个单播的REQUEST报文即确认了用户上线。

1.2.2租期设置

认证阶段

在认证阶段，服务端将设置一个比较短的租期时长(例如10S)，以避免认证超时时间过长。

会话阶段

在会话阶段，将根据应用情况和应用策略设置一个较长的租期(例如60S)

来完成会话报文的交互以及时长的采集。

会话维护报文交互时长T：租期＝3T

会话维护报文超时时长：T1＝T，T2＝2T，T3＝2.5T

1.3会话阶段

SERVER在客户端认证通过后建立起会话，进入会话阶段，在这个阶段中已建立好点对点连接的双方(这种点对点的结构是一种逻辑上的点对点关系)就采用单播的REQUEST报文和ACK报文的交互来进行会话的维护。在整个会话过程中，SERVER将不定时的对客户端进行挑战认证，会话阶段中的挑战口令维护与认证阶段的挑战口令维护是完全分离的。

1.3.1会话阶段维护过程

1)SERVER在OFFER报文中给定租期的时长，客户端根据租期计算出T的时长，以T为间隔定时向服务端发送单播REQUEST报文。

2)服务端在收到REQUEST报文后给客户端回应单播的ACK报文。

示意图见附图2 SESSION DHCP会话维护。

1.3.2会话阶段的挑战验证

1) SERVER通过产生的随机数确定将在哪一个ACK报文中发送挑战口令，SERVER可以设置在每100个ACK报文中发送挑战口令的报文个数，数量设置范围为0～99。

2)SERVER在确定的ACK报文中插入挑战口令发送给客户端，挑战口令包括一个随机产生的挑战字串和SESSION ID。

3)客户端接收到带有挑战口令的ACK报文后，以挑战字串、用户名和SESSIONID采用MD5单向哈希算法进行加密，将加密后的结果和SESSION ID一同插入到REQUEST报文中发送给SERVER。

4)SERVER收到返回的REQUEST报文后根据SESSION ID取出用户名和挑战字串，重复客户端的加密过程并将结果进行比对，若结果一致则继续会话维护过程；若结果不一致则认为此次校验失败，系统增加一次校验失败记录。

5)SERVER在发送出携带挑战口令的ACK报文后将检验收到的第一个REQUEST报文中是否插入了加密结果和SESSION ID，若符合将执行校验步骤，若没有相应的数据插入则认为此次校验失败，系统增加一次校验失败记录。

6)认证系统可以设置同一会话在维护过程中的挑战认证失败次数阀值，超过阀值则认为此会话非法，将在客户端发送REQUEST报文时回复NAK报文终止会话。阀值设置范围为1～100个。

1.3.3会话阶段的超时处理

1)REQUEST报文超时。

SERVER在发送会话维护的单播ACK报文后，若在3T时长既租期内没有收到REQUEST报文即为超时，此时SERVER将终止此用户会话，回收已分配的地址重新使用。

2)ACK报文超时。

客户端在T1时间发送单播REQUEST报文后，若没有收到服务端回应即认为T1超时，在T2时间再次发送单播的REQUSET报文，若没有收到回应即认为T2超时，T2超时后客户端在T3时间再次发送一个广播REQUEST报文，若租期已到还没收到回应的ACK报文，客户端则认为会话终止，同时恢复到初始状态。

1.4会话阶段的终止流程

1.4.1客户端终止

1)客户端发送RELEASE报文终止。

2)ACK报文超时终止。

1.4.2服务端终止

1)REQUEST报文超时终止。

2)在会话维护报文的交互过程中，SERVER可以随时回复NAK报文终止。

1.5用户下线阶段通信流程

1.5.1用户正常下线通信流程

客户端发送RELEASE报文终止会话为用户正常下线，用户正常下线后SERVER收回地址重新使用。

1.5.2用户异常下线通信流程

客户端没有发送RELEASE报文就结束了SESSION DHCP的使用为用户异常下线(例如客户端发生死机或断网)，用户异常下线时SERVER将通过会话阶段的REQUEST报文超时来判断。SERVER在发送会话维护的单播ACK报文后，若在3T时长既租期内没有收到REQUEST报文即为超时，此时SERVER将终止此用户会话，回收已分配的地址重新使用。

1.6时长采集流程

1)认证通过后，服务端收到用户第一个会话维护的REQUEST报文即确认用户上线，设定此时服务端的时间为用户上线时间。

2)用户正常下线时，收到用户正常下线发送的RELEASE报文则完成本次时长采集。同时网络设备在DHCPSNOOPING列表中删除此用户的设置。

3)用户异常下线时，即在会话维护的单播REQUEST报文超时的情况下，以终止会话的时刻为结束时间减去一个租期的时长(3T)做为本次采集的时长，既结束时间为收到最后一个REQUEST报文的时刻。同时网络设备在此用户租期满时从DHCPSNOOPING列表中删除此用户的设置。

示意图见附图3 SESSION DHCP时长采集。

1.7客户端要求

1)客户端提供拨号界面，输入用户名、密码，点击确认按钮后发送DISCOVER报文并开始SESSION DHCP交互过程。

2)拨号程序可以设置选择不认证而使用标准DHCP功能，既可以通过参数设置而选择使用具备认证功能的SESSION DHCP服务器还是标准DHCP服务器。

选择认证功能时将只接受带有OPTION1000的SESSION DHCP OFFER报文；

不选择认证功能时将接受没有OPTION1000的标准DHCP OFFER报文，同时不显示拨号界面。

3)收到认证通过的广播ACK报文后，将获得的地址等信息与网卡绑定，同时开始使用网络。

4)认证阶段客户端发送广播REQUEST报文后，一定时间间隔后若没有收到ACK报文则认为服务端超时，客户端需按超时间隔再重发2次REQUEST报文；若仍未收到回应则恢复到初始状态。超时时长设定为2s，此参数可更改。

5)会话阶段ACK报文超时的情况下，解除网卡的IP设置绑定，恢复到初始拨号状态。

6)用户点击断开按钮时发送下线的RELEASE报文，结束本次上网。

7)任何时候发送完REQUEST报文收到返回的NAK报文后，将恢复到初始状态，若报文中插有错误代码将显示错误信息。

1.8SESSION DHCP的应用

SESSION DHCP应用灵活而安全的特性使得该协议的适用范围广阔，不但能够对现有的INTERNET业务提供支持，而且更加适合IPTV、NGN、3G、无线城域网等逐渐发展起来的新兴业务，能够对这些新兴业务的开展提供完善的接入网认证管理解决方案。示意图见附图4 SESSION DHCP应用。

2设备的DHCP Snooping功能要求(推荐)

1)设备收到SERVER发送给客户端的第一个广播的ACK报文后即建立对应的DHCP Snooping绑定表，允许客户端上网。

2)设备收到SERVER回复给客户端REQUEST续租报文的ACK报文后，刷新DHCP Snooping绑定表中客户端的租期设置。

3)设备收到SERVER回复给客户端REQUEST续租报文的NAK报文后，删除DHCP Snooping绑定表中此客户端的设置，禁止客户端使用网络

4)设备在DHCP Snooping绑定表中客户端的租期已满时即删除此客户端的绑定表配置，禁止此客户端使用网络。

优势分析

融合了传统的接入认证管理方式优点的SESSION DHCP在以下几个方面更加具有优势。

1、实现了CHALLENGE加密方式的用户名和密码认证，确保了网络接入的安全可控。

2、基于会话维护控制功能实现用户控制，可以有效的控制和感知用户的全程上网行为，并实现精确的时长采集。

3、旁路式架构不会带来网络单点，且不改变网络拓扑结构。

4、IP地址集中管理，统一分配，便于资源的回收利用。通过长期与运营商合作的经验，我们意识到，分散IP地址管理时对于IP地址资源的管理复杂性非常高，地址资源一旦分配到某台设备上，再次回收就需要进行全网的重新规划，需要动用大量的人力进行相关的统计工作。润汇公司的SESSION DHCP认证方式是专门研发的基于DHCP协议的宽带网用户接入认证，采用集中管理IP地址池，并监控各个地址池资源的使用情况，大大简化了管理的复杂性。

Claims

1、一种基于会话控制的动态地址分配协议的IP网认证鉴权方法，其特征包括：

A.在标准的DHCP报文交互过程中实现CHAP认证，

B.服务端在收到客户端发送的DISCOVER报文后，根据预定义的地址分配策略封装OFFER报文，在返回给客户端的OFFER报文中插入一个挑战口令(challenge)，

C.服务端需要将挑战口令(challenge)传递给客户端，

D.客户端需要将使用挑战口令(challenge)以MD5单向哈希算法加密的用户口令和明文的用户名传递给服务端，

E.服务端需要通过用户名查找到明文的用户口令，使用与客户端同样的方法进行加密，然后比对加密的结果，若一致则认证通过，

F.服务端需要在判断客户端认证通过后向客户端发送ACK报文，反之发送NAK报文。

2、如权利要求1所述的方法，客户端收到OFFER报文后，使用MD5单向哈希算法(one-way hashing algorithm)以挑战字串加密用户口令和Secret ID，客户端将加密后的结果、Secret ID、与用户名一同插入到广播的REQUEST报文中发送给服务端。

3、如权利要求1所述的方法，服务端接收到广播REQUEST报文后，通过用户名查找到明文的用户口令，根据Secret ID找出发送给此客户端的挑战字串，重复客户端的单向哈希加密过程，然后将结果与客户端发送过来的加密字段进行比对。

4、如权利要求1所述的方法，若比对结果一致则认证通过，服务端向客户端发送广播的ACK报文，若认证没有通过则向客户端发送广播的NAK报文并且在NAK报文中插入错误代码。

5.如权利要求1所述的方法，客户端若收到ACK报文则将获得的IP地址等信息与网卡绑定并开始使用网络，若收到NAK报文则显示错误信息，同时恢复到初始状态。