CN101166093A

CN101166093A - 一种认证方法和系统

Info

Publication number: CN101166093A
Application number: CNA2007101430416A
Authority: CN
Inventors: 彭琳
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2007-08-22
Filing date: 2007-08-22
Publication date: 2008-04-23

Abstract

本发明公开了一种认证方法，包括以下步骤：认证设备的受控端口接收到交换设备发送的报文时，获取报文的类型以及发送该报文的终端所属的VLAN；认证设备根据该报文的类型、发送该报文的终端所属的VLAN以及预设的VLAN属性，对报文进行处理。本发明还公开了一种认证系统，通过使用本发明提供的方法，实现了认证过程中对上网的用户终端的细致划分，使得不需要认证的用户终端也可以通过同一端口接入，大大增强了组网的灵活性，节约了成本，减少了网络管理和维护的工作量。

Description

一种认证方法和系统

技术领域

本发明涉及通信技术领域，尤其涉及一种认证方法和系统。

背景技术

用户访问局域网的方式，从最初始的无任何保护的网络访问接入到做简单的Mac地址绑定，发展到现在采用PPPoE(Point to Point Protocol overEthernet，以太网点对点协议)、Web、VPN(Virtual Private Network，虚拟专用网)、无线网的WEP(Wireless Encryption Protocol，无线加密协议)、802.1X认证等多样化的访问接入体系，其安全、高效和便利性也得到了较快的发展和提高。由于PPPoE在纯以太网络环境接入控制中存在种种缺陷，IEEE(Institute of Electrical and Electronics Engineers，电气和电子工程师学会)在2001年正式颁布了IEEE 802.1X标准，它是一种基于端口的网络接入控制技术，在网络设备的物理接入级对接入设备进行认证和控制，连接在该类端口上的用户设备如果能通过认证，就可以访问LAN内的资源；如果不能通过认证，则无法访问LAN(Local Area Network，局域网)内的资源，相当于物理上断开连接。

802.1X的体系结构如图1所示。它的体系结构中包括三个部分，即客户端系统、设备端系统和认证服务器系统三部分。

其中，客户端一般为一个用户终端设备，用户通过启动客户端软件发起802.1X认证；设备端通常为支持802.1x协议的网络设备，它为客户端提供接入局域网的端口，该端口可以是物理端口，也可以是逻辑端口；认证服务器用于实现用户的认证、授权和计费，通常为RADIUS(Remote AuthenticationDial In User Service，远程认证拨号用户服务)服务器。

现有的802.1X是配置在交换机的接入端口上，所有通过该端口的数据报文都要经过认证，这就使实际应用具有很大的局限性。在实际应用中，用户需要细致的划分。例如在图2所示的组网应用中，用户接入的二层交换机S3526不支持802.1X，承担认证功能的是汇聚层交换机S6506，802.1X配置在S6506的接入端口P1、P2、P3、P4上。在用户中，存在特殊的PCD和PCE不需要认证就可以上网。由于同一接入层交换机下的所有用户上行都要经过同一汇聚层交换机的接入端口，例如S3526-1下的用户PAC～PCE流量都要通过S6506-1的P1端口，或者在MSTP(Multi-Service Transport Platform，多业务传送平台)发生切换时经过S6506-2的P3端口，这些流量在P1或P3处都要经过802.1X认证，否则会被丢弃。PCA的用户在上网时会主动发起802.1X认证请求，汇聚层交换机通过和RADIUS Server的交互对该用户进行认证，认证通过则允许该用户上网。而PCD和PCE的用户不需要认证，也不会触发认证请求，但是其数据报文也要通过配置了802.1X的P1或P3，汇聚层交换机无法区分同一端口上来的流量哪些需要认证哪些不需要，所以PCD和PCE的报文可能会被丢弃，无法实现这些用户的细分。

对于该问题，现有技术中提出了一些不同的解决方法。如在网络中添加接入层交换机，把不需要认证的用户单独接入，该接入层交换机上连到汇聚层交换机的端口不进行802.1X认证。如图3所示，新增S3526-3，不需认证的PCD和PCE单独从该交换机接入，上行到汇聚层交换机的端口P5和P6不配置802.1X。或在汇聚层交换机配置了802.1X的端口下写入不需要认证的客户端的静态MAC，如图2所示，在S6506-1的端口P1和S6506-2的端口P3下写入PCD和PCE的静态MAC(Media Access Control，媒体接入控制)，这样PCD和PCE的数据流量到达S6506-1和S6506-2后会直接通过而无需认证。

使用上述方法时，存在以下问题：添加接入层交换机的方法增加了设备成本和网络复杂度；而在汇聚层交换机配置静态MAC的方法在特殊用户的数量小且固定的情况下可以使用，否则会极大的增加网络管理的工作量，并且提高了故障发生的几率。

发明内容

本发明解决的问题是提供一种认证方法，以实现认证过程中对上网的用户终端的细致划分与接入。

为达到上述目的，本发明提供一种认证方法，包括以下步骤：

认证设备的受控端口接收到交换设备发送的报文时，获取报文的类型以及发送所述报文的终端所属的VLAN；

所述认证设备根据所述报文的类型、发送所述报文的终端所属的VLAN以及预设的VLAN属性，对所述报文进行处理

其中，所述认证设备的受控端口接收到交换设备发送的报文前，还包括步骤：配置所述认证设备以及所述交换设备，

所述配置具体为：

配置所述认证设备与交换设备连接的端口为具有认证功能的受控端口；

划分所述交换设备下不同终端所属的VLAN，将不同的VLAN配置为不需认证的非受控VLAN或需要认证的受控VLAN，并将所述交换设备下的VLAN信息通知所述认证设备。

其中，所述认证设备的受控端口接收到交换设备发送的报文的步骤前还包括：

所述交换设备接收到终端发送的报文；

所述交换设备获取发送所述报文的终端所属的VLAN，并在所述报文中添加所述VLAN的标识；

所述交换设备向所述认证设备发送所述携带VLAN标识的报文。

其中，所述认证设备获取发送报文的终端所属的VLAN的步骤具体为：

所述认证设备根据所述报文中携带的VLAN的标识，获取发送所述报文的终端所属的VLAN。

其中，所述认证设备根据报文的类型、发送报文的终端所属的VLAN以及预设的VLAN属性，对报文进行处理的步骤具体包括：

对于来自所述非受控VLAN内终端的认证协议报文直接丢弃；

对于来自所述非受控VLAN内终端的除认证协议报文外的其他协议报文，上送到CPU进行处理；

对于来自所述非受控VLAN内终端的数据报文，直接进行报文的转发。

其中，所述认证设备根据所述报文的类型、发送报文的终端所属的VLAN以及预设的VLAN属性，对报文进行处理的步骤具体包括：

对于来自所述受控VLAN内终端的认证协议报文，上送到CPU进行处理；

对于来自所述受控VLAN内终端的除认证协议报文外的其他协议报文，上送到CPU进行处理；

对于来自所述受控VLAN内已通过认证的终端的数据报文，进行报文的转发；

对于来自所述受控VLAN内未通过认证的终端的数据报文，进行丢弃。

其中，所述认证为基于802.1X的认证。

本发明还提供一种认证系统，包括：

交换设备，用于将来自不同VLAN的报文发送到所述认证设备；

认证设备，用于在接收到所述交换设备发送的报文时，根据所述报文的类型、发送所述报文的终端所属的VLAN以及预设的VLAN属性，对所述报文进行处理。

其中，所述交换设备进一步包括：

VLAN配置单元，用于划分本设备下不同终端所属的VLAN，将不同的VLAN配置为不需认证的非受控VLAN或需要认证的受控VLAN，并将所述VLAN信息通知所述认证设备；

VLAN获取单元，用于在接收到报文时，根据所述VLAN配置单元的配置，获取发送所述报文的终端所属的VLAN；

标识添加单元，用于根据所述VLAN获取单元获取到的发送报文的终端所属的VLAN，在报文中添加所述VLAN的标识；

报文发送单元，用于将所述标识添加单元进行加标识处理后的报文向所述认证设备发送。

其中，所述认证设备进一步包括：

端口配置单元，用于将本设备的端口配置为具有认证功能的受控端口，且对与本设备连接的所述交换设备下各VLAN的信息进行预先配置；

判断单元，用于在接收到所述交换设备发送的报文时，获取报文的类型以及发送所述报文的终端所属的VLAN；

处理单元，用于根据所述端口配置单元的配置、以及所述判断单元获取的报文的类型和发送报文的终端所属的VLAN，对所述报文进行处理。

其中，所述认证设备为汇聚层交换设备，所述交换设备为接入层交换设备。

与现有技术相比，本发明具有以下优点：

实现了认证中对上网的用户终端的细致划分，使得不需要认证的用户终端也可以通过受控端口接入，大大增强了组网的灵活性，节约了成本，减少了网络管理和维护的工作量。

附图说明

图1是现有技术中802.1X的体系结构示意图；

图2是现有技术中802.1X认证的一组网结构示意图；

图3是现有技术中解决802.1X认证问题的一组网结构示意图；

图4是本发明的一种认证方法的流程图；

图5是本发明的一种认证方法的另一流程图；

图6是本发明的认证方法的一应用场景示意图；

图7是本发明的认证系统的结构示意图。

具体实施方式

本发明的核心思想在于：将认证设备端的受控端口下的VLAN划分为两种虚VLAN：受控VLAN和非受控VLAN。其中，对于受控VLAN，在未经过认证的非授权状态下禁止发送任何报文，在授权状态下可以传递数据报文；对于非受控VLAN，始终允许数据报文通过。

如图4所示，本发明的一种认证方法包括以下步骤：

步骤s401、配置认证设备及其受控端口。

具体的，配置认证设备具有认证功能，配置其端口为具有认证功能的受控端口。

步骤s402、配置受控端口下的VLAN。

配置受控端口下的VLAN，受控端口还进一步与交换设备连接，交换设备下不同类型的用户终端属于不同的VLAN，VLAN分为两种：受控VLAN和非受控VLAN。其中，将不需要进行认证即可上网的用户终端划分到非受控VLAN，一般用户终端划分到受控VLAN。对于非受控VLAN，端口下发ACL，使所有来自非受控VLAN的数据报文即使源MAC未知也要学习MAC并且转发该报文，来自非受控VLAN的认证报文会被丢弃。对于受控VLAN，所有来自受控VLAN的报文按照现有技术中的处理方法进行处理。

步骤s403、认证设备接收交换设备发送的报文，判断报文的类型以及发送报文的终端所属的VLAN。

步骤s404、认证设备根据报文的类型以及发送报文的终端所属的VLAN，对报文进行处理。

具体的，认证设备的受控端口接收到来自受控VLAN的终端发送的报文时，处理原则如下：对于认证协议报文，上送到CPU进行处理；对于其他非认证协议报文如路由协议报文，上送到CPU进行处理；对于经过认证的终端发送的、源MAC已知的数据报文，进行报文的转发；对于未经过认证的终端发送的、源MAC未知的数据报文，直接丢弃。

具体的，认证设备的受控端口接收到来自非受控VLAN的终端发送的报文时，处理原则如下：对于认证协议报文，直接丢弃；对于除认证协议报文外的其他协议报文如路由协议报文，上送到CPU进行处理；对于数据报文，直接进行报文的转发。

以下以认证协议为802.1X认证为例，对上述步骤s401～s404的认证方法进行详细描述，如图5所示，该认证方法包括如下步骤：

步骤s501、配置认证设备，在认证设备的全局和端口下配置802.1X。

步骤s502、配置受控端口下的受控VLAN和非受控VLAN。

受控端口还进一步与交换设备连接，交换设备下不同类型的用户终端属于不同的VLAN，使所有来自非受控VLAN的数据报文即使源MAC未知，也要学习该MAC并且转发该报文，而来自非受控VLAN的802.1X报文直接丢弃。对于来自受控VLAN的报文，按照现有技术中的处理方法进行处理。

步骤s503、受控端口接收到报文时，判断其来自受控VLAN或是非受控VLAN。来自非受控VLAN时，进行步骤s504；来自受控VLAN时，进行步骤s506。

步骤s504、判断该报文是否为802.1X报文，若为802.1X报文，则直接丢弃该报文。否则进行步骤s505。

步骤s505、判断该报文是否为需要CPU进行处理的协议报文，如果是则上送CPU，否则该报文为数据报文，直接进行报文转发即可。

步骤s506、判断该报文是否为802.1X报文，若为802.1X报文，则上送CPU；否则进行步骤s507。

步骤s507，判断该报文是否为需要CPU进行处理的协议报文，若是则上送CPU，否则进行步骤s508。

步骤s508、判断该报文的源MAC是否已知，如果已知则转发该报文，否则直接丢弃该源MAC未知的报文。

以下结合一个具体的组网场景，对本发明的实施方式作进一步的说明。如图6所示，网络中的接入层交换机S3526-1以及S-3526-2下部署用户终端PC，接入层交换机无802.1X认证功能，其通过双归属上行到汇聚层交换机S6506-1和S6506-2，由汇聚层交换机进行802.1X认证。目前的应用组网中，普遍使用该组网方式。与接入层交换机连接的各用户终端中，PCD与PCE为特殊用户，其不需要802.1X认证即可上网。

对于上述组网场景，按照本发明提供的方法，对网络中的设备进行如下配置：

在接入层交换机S3526-1上将不需要802.1X认证即可上网的特殊用户PCD与PCE划分到VLAN10；其他一般用户可以根据需要进行划分，这里假设将PCA与PCB划分到VLAN100，PCC划分为VLAN200。对于与汇聚层交换机连接的上行接口，配置为对上行到汇聚层交换机的报文进行加标识(tag)处理，使用该标识作为报文所属VLAN的标识。例如来自PCD或PCE的报文，在报文中加入标识VLAN10，来自PCA与PCB的报文，在报文中加入标识VLAN100。

在汇聚层交换机S6506-1和S6506-2上配置802.1X认证功能，其端口P1、P2、P3和P4为具有802.1X认证功能受控端口，端口下的各VLAN在默认情况下为受控VLAN，即VLAN100和VLAN200在默认情况下为受控VLAN，无需特别进行配置。另外，配置VLAN10为非受控VLAN。

以下列举使用本发明的方法时对一些典型情况的处理方式：

(1)受控VLAN中的用户如PCA试图不经过802.1X认证直接访问网络：

接入层交换机S3526-1接收到来自PCA的数据报文，获取该数据报文的发送方所属的VLAN后，将该报文加标识VLAN100并通过与汇聚层交换机连接的上行接口向汇聚层交换机S6506-1发送。

汇聚层交换机S6506-1的受控端口P1接收该报文，根据标识VLAN100判断该报文为来自受控VLAN，且该用户之前未经过802.1X认证，报文的源MAC未知，则丢弃该报文。

(2)受控VLAN中的用户如PCB向网络侧发起802.1X认证请求：

接入层交换机S3526-1接收到来自PCB的802.1X协议报文，获取该数据报文的发送方所属的VLAN后，将该报文加标识VLAN100并通过与汇聚层交换机连接的上行接口向汇聚层交换机S6506-1发送。

汇聚层交换机S6506-1的受控端口P1接收该报文，根据标识VLAN100判断该报文为来自受控VLAN，且该报文为802.1X协议报文，则将该报文上送CPU以继续认证流程。

(3)非受控VLAN中的用户如PCC试图不经过802.1X认证直接访问网络：

接入层交换机S3526-1接收到来自PCC的数据报文，获取该数据报文的发送方所属的VLAN后，将该报文加标识VLAN10并通过与汇聚层交换机连接的上行接口向汇聚层交换机S6506-1发送。

汇聚层交换机S6506-1的受控端口P1接收该报文，根据标识VLAN10判断该报文为来自非受控VLAN，则学习该报文的MAC地址并转发该报文。

(4)非受控VLAN中的用户如PCD向网络侧发起802.1X认证请求：

接入层交换机S3526-1接收到来自PCD的802.1X协议报文，获取该数据报文的发送方所属的VLAN后，将该报文加标识VLAN10并通过与汇聚层交换机连接的上行接口向汇聚层交换机S6506-1发送。

汇聚层交换机S6506-1的受控端口P1接收该报文，根据标识VLAN10判断该报文为来自非受控VLAN，且该报文为802.1X协议报文，则将该报文丢弃。

通过使用上述认证方法，以802.1X认证为例，实现了认证过程中对上网的用户终端的细致划分，使得不需要认证的用户终端也可以通过受控端口接入，大大增强了组网的灵活性，节约了成本，减少了网络管理和维护的工作量。对于其他接入系统中的认证方法，只需在交换设备和认证设备的认证协议的配置上进行修改即可，在此不进行详细描述。

本发明还提供了一种认证系统，包括认证设备和交换设备，以认证设备为汇聚层交换设备、交换设备为接入层交换设备为例。该认证系统的结构如图7所示，包括接入层交换设备10和汇聚层交换设备20。其中，接入层交换设备10用于根据预先设定的VLAN，将来自不同VLAN的用户终端的报文进行加标识处理并发送到汇聚层交换设备20；汇聚层交换设备20用于在接收到接入层交换设备10发送的报文时，通过报文中的标识获取其所属VLAN，然后根据预先配置的VLAN信息判断其来自受控VLAN或非受控VLAN，从而根据报文所属VLAN以及报文的类型对报文进行处理。

具体的，接入层交换设备10进一步包括：VLAN配置单元11、VLAN获取单元12、标识添加单元13以及报文发送单元14。

VLAN配置单元11，用于对与本接入层交换机连接的用户终端所属的VLAN进行配置，其中，将不需要进行认证的特殊用户终端划分为一个或多个VLAN，称为非受控VLAN，一般的用户终端所在的VLAN称为受控VLAN。其中，上述受控VLAN与非受控VLAN的信息预先也在汇聚层交换设备20进行了配置。

VLAN获取单元12、与VLAN配置单元11连接，用于在接收到用户终端发送的报文时，根据VLAN配置单元11的配置，获取发送该报文的用户终端所属的VLAN。

标识添加单元13，与VLAN获取单元12连接，用于根据VLAN获取单元12获取到的发送报文的用户终端所属的VLAN，在报文中添加标识以作为该报文的发送终端所属的VLAN的标识。

报文发送单元14，与标识添加单元13连接，用于将标识添加单元13进行加标识处理后的报文向汇聚层交换设备20发送。

具体的，汇聚层交换设备20进一步包括：端口配置单元21、判断单元22以及处理单元23。

端口配置单元21，用于对汇聚层交换设备的端口进行配置，配置后的端口为受控端口，具有802.1X认证功能，且对接入层交换设备10下各VLAN属于受控VLAN或非受控VLAN的信息进行了预先配置。

判断单元22，用于在接收到接入层交换设备10发送的报文时，获取报文的类型以及其携带的标识，根据该标识判断报文的发送终端属于受控VLAN或非受控VLAN。

处理单元23，与判断单元22和端口配置单元21连接，用于根据判断单元22获取的报文的类型、报文的发送终端属于受控VLAN或非受控VLAN、以及端口配置单元21中对VLAN的配置，对报文进行相应的处理，该处理包括：(1)对于来自受控VLAN的报文处理原则如下：认证协议报文上送到CPU进行处理；其他协议报文如路由协议报文，上送到CPU进行处理；已通过认证的用户终端发送的、源MAC已知的数据报文，进行报文的转发；未通过认证的用户终端发送的、源MAC未知的数据报文，直接丢弃。(2)对于来自非受控VLAN的报文：认证协议报文直接丢弃；其他非认证协议报文如路由协议报文，上送到CPU进行处理；数据报文，直接进行报文的转发。

通过使用上述认证系统和设备，实现了认证过程中对上网的用户终端的细致划分，使得不需要认证的用户终端也可以通过受控端口接入，大大增强了组网的灵活性，节约了成本，减少了网络管理和维护的工作量。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台网络设备执行本发明各个实施例所述的方法。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims

1.一种认证方法，其特征在于，包括以下步骤：

所述认证设备根据所述报文的类型、发送所述报文的终端所属的VLAN以及预设的VLAN属性，对所述报文进行处理。

2.如权利要求1所述认证方法，其特征在于，所述认证设备的受控端口接收到交换设备发送的报文前，还包括步骤：配置所述认证设备以及所述交换设备，

所述配置具体为：

3.如权利要求2所述认证方法，其特征在于，所述认证设备的受控端口接收到交换设备发送的报文的步骤前还包括：

所述交换设备接收到终端发送的报文；

所述交换设备向所述认证设备发送所述携带VLAN标识的报文。

4.如权利要求3所述认证方法，其特征在于，所述认证设备获取发送报文的终端所属的VLAN的步骤具体为：

5.如权利要求1至4中任一项所述认证方法，其特征在于，所述认证设备根据报文的类型、发送报文的终端所属的VLAN以及预设的VLAN属性，对报文进行处理的步骤具体包括：

对于来自所述非受控VLAN内终端的认证协议报文直接丢弃；

6.如权利要求1至4中任一项所述认证方法，其特征在于，所述认证设备根据所述报文的类型、发送报文的终端所属的VLAN以及预设的VLAN属性，对报文进行处理的步骤具体包括：

7.如权利要求1至4中任一项所述认证方法，其特征在于，所述认证为基于802.1X的认证。

8.一种认证系统，其特征在于，包括：

交换设备，用于将来自不同VLAN的报文发送到所述认证设备；

9.如权利要求8所述认证系统，其特征在于，所述交换设备进一步包括：

10.如权利要求8所述认证系统，其特征在于，所述认证设备进一步包括：

11.如权利要求8所述认证系统，其特征在于，所述认证设备为汇聚层交换设备，所述交换设备为接入层交换设备。