CN101184100A

CN101184100A - 基于动态主机配置协议的用户接入认证方法

Info

Publication number: CN101184100A
Application number: CNA2007103021264A
Authority: CN
Inventors: 赵真富; 冯健; 陈卫
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-12-14
Filing date: 2007-12-14
Publication date: 2008-05-21
Also published as: WO2009079896A1

Abstract

本发明公开了一种基于动态主机配置协议的用户接入认证方法及IP地址分配方法。其中，该用户接入认证方法包括：S102，动态主机配置协议服务器或中继站接收到来自动态主机配置协议用户设备的动态主机配置协议发现消息后，通过动态主机配置协议的扩展选项，向动态主机配置协议用户设备发送接入认证通知信息；S104，动态主机配置协议用户设备根据接入认证通知信息判断是否进行接入认证，并在判断结果为是的情况下，通过动态主机配置协议的扩展选项，向动态主机配置协议服务器或中继站发送接入认证属性信息；以及S106，动态主机配置协议服务器或中继站利用接入认证属性信息发起对动态主机配置协议用户设备的接入认证。

Description

基于动态主机配置协议的用户接入认证方法

技术领域

本发明涉及通信领域，更具体地涉及一种基于动态主机配置协议的用户接入认证方法及IP地址分配方法。

背景技术

随着以太网技术的发展，以太网技术逐渐从局域网扩展到城域网、城际网，动态主机配置协议(Dynamic Host ConfigurationProtocol，简称DHCP)的应用范围也逐渐扩展到了城域和城际，逐渐成为运营商开展业务时选择的网络IP地址管理技术。如中国网通公司开展的IP电视(即，IPTV)业务基本都是基于DHCP实现用户的动态接入的。

但是，由于DHCP协议本身只是实现了网络IP地址的动态分配和管理，本身并不支持基于用户的接入认证与授权过程，所以运营商在开展如IPTV等业务时，相应的宽带接入设备必须借助于802.1x、Web Portal、静态配置等类似技术实现用户的接入认证，这就为终端设备用户的业务接入带来了复杂性，并提高了设备的研发成本。

发明内容

鉴于以上所述的一个或多个问题，本发明提供了一种基于动态主机配置协议的用户接入认证方法及IP地址分配方法。

根据本发明实施例的基于动态主机配置协议的用户接入认证方法，包括以下步骤：S102，动态主机配置协议服务器或中继站接收到来自动态主机配置协议用户设备的动态主机配置协议发现消息后，通过动态主机配置协议的扩展选项，向动态主机配置协议用户设备发送接入认证通知信息；S104，动态主机配置协议用户设备根据接入认证通知信息判断是否进行接入认证，并在判断结果为是的情况下，通过动态主机配置协议的扩展选项，向动态主机配置协议服务器或中继站发送接入认证属性信息；以及S106，动态主机配置协议服务器或中继站利用接入认证属性信息发起对动态主机配置协议用户设备的接入认证。

其中，在动态主机配置协议服务器或中继站支持多种接入认证方法的情况下，接入认证通知信息中包含多种接入认证方法的列表以及相应的接入认证属性。

其中，步骤S104包括以下步骤：动态主机配置协议用户设备判断多种接入认证方法中是否存在其能够支持的接入认证方法；如果判断结果为是，则动态主机配置协议用户设备选择一个或多个其能够支持的接入认证方法中的一种进行接入认证处理，并通过动态主机配置协议的扩展选项向动态主机配置协议服务器或中继站发送相应的接入认证属性消息，否则忽略后续的接入认证处理。

其中，动态主机配置协议服务器或中继站通过动态主机配置协议的扩展选项的唯一确定的选项值分别对多个接入认证方法进行标识。在步骤S106中，动态主机配置协议服务器或中继站还向动态主机配置协议用户设备返回接入认证结果以及相应的授权信息。

其中，在步骤S102中，通过动态主机配置协议提供消息承载动态主机配置协议的扩展选项；在步骤S104中，通过动态主机配置协议请求消息承载动态主机配置协议的扩展选项。

其中，在步骤S106中，动态主机配置协议服务器或中继站通过动态主机配置协议的扩展选项向动态主机配置协议用户设备返回接入认证结果以及相应的授权信息。具体的，通过动态主机配置协议确认消息或动态主机配置协议否认消息承载动态主机配置协议的扩展选项。

根据本发明实施例的利用了上述用户接入认证方法的IP地址分配方法，包括以下步骤：动态主机配置协议用户设备请求动态主机配置协议服务器或中继站为其分配IP地址资源；动态主机配置协议服务器或中继站对动态主机配置协议用户设备进行接入认证；以及如果动态主机配置协议用户设备通过接入认证，则动态主机配置协议服务器或中继站响应于动态主机配置协议用户设备的请求，为动态主机配置协议用户设备分配IP地址，否则动态主机配置协议服务器或中继站拒绝为动态主机配置协议用户设备分配IP地址。

本发明通过DHCP协议的扩展选项携带用户接入认证信息，从而将DHCP用户设备的接入认证与用户设备的动态IP地址分配过程相结合，简化了基于DHCP协议的用户业务复杂性，降低了用户设备的研发成本，同时，也降低了运营商的设备维护成本。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明的一个实施例的基于动态主机配置协议的用户接入认证方法的流程图；

图2是根据本发明的另一实施例的基于动态主机配置协议的用户接入认证方法的时序图；以及

图3是应用图1和图2所示方法的网络的网络架构示意图。

具体实施方式

本发明的主要思想在于：通过扩展DHCP协议的选项，携带用户接入认证信息，在不影响DHCP协议处理流程及其动态IP地址分配功能的情况下，简化宽带接入设备对DHCP用户设备的接入认证处理，实现在完成动态IP地址分配的同时，实现DHCP用户设备的认证和授权。

其中，通过定义新的DHCP协议选项，利用此DHCP选项记录和传递用户接入认证及授权等信息，在不改变DHCP协议处理流程和基本功能的情况下，将DHCP用户设备的接入认证和授权处理与DHCP动态IP地址分配过程完美融合。为了后续可能的业务扩展需要，通过DHCP扩展选项的子选项分别记录涉及DHCP接入的用户认证和授权信息，如接入认证方法标识、接入认证用户名、接入用户密码、接入认证挑战值、接入认证MAC值等内容，具体的内容可根据所选择的接入认证方法决定。

下面参考附图，详细说明本发明的具体实施方式。

参考图1，说明根据本发明的一个实施例的基于DHCP的用户接入认证方法。如图1所示，该方法包括以下步骤：

S102，DHCP CLIENT(即，动态主机配置协议用户设备)发起DHCPDISCOVER(即，动态主机配置协议发现)消息，搜寻能够提供动态IP地址分配的DHCP SERVER(即，动态主机配置协议服务器)。DHCP SERVER收到DHCPDISCOVER消息后，根据认证需要，在向DHCP CLIENT返回的DHCPOFFER(即，动态主机配置提供)消息中，打入标识自己需要对DHCP CLIENT进行接入认证的选项。其中，在DHCP SERVER支持多种接入认证方法的情况下，可以在DHCPOFFER中打入所支持的接入认证方法列表及相应的认证、授权属性(例如，采用挑战握手认证协议(ChallengeHandshake Authentication Protocol，简称CHAP)时，需要同时携带挑战值)。这样，DHCP CLIENT可以根据自己的能力支持情况选择匹配的接入认证方法进行接入认证。其中，不同的接入认证方法通过唯一确定的选项值进行标识。

S104，DHCP CLIENT接收到DHCP SERVER返回的DHCPOFFER消息后，如果不能识别相关的接入认证选项，则忽略后续的接入认证处理；如果能识别和处理相应的接入认证选项，则根据自己的能力支持情况，挑选匹配的接入认证方法进行接入认证处理；如果没有自己所能支持的接入认证方法，则忽略后续的接入认证处理，只进行动态IP地址的申请。如果DHCP CLIENT找到自己最匹配的、可支持的接入认证方法，则根据此接入认证方法的需要，将相应的接入认证属性(例如，用户名、密钥等信息)提交给DHCP SERVER进行接入认证。

S106，DHCP SERVER接收到DHCP CLIENT的DHCPREQUEST(即，动态主机配置协议请求)消息后，如果没有发现接入认证选项，则不发起认证、授权、计费服务器(authentication，authorization，and accounting，简称AAA)认证，也不干涉后续的DHCP地址申请流程，但DHCP在成功获得IP地址后将只拥有受限的网络访问权限；如果发现存在接入认证选项，则取出相关的用户接入认证信息，发起AAA认证，如果认证成功，则DHCP CLIENT在成功获得动态IP地址后将获得相应帐号的网络访问权限；否则，即使DHCP CLIENT能成功申请到动态IP地址，也将只拥有受限的网络访问权限。根据应用需要，DHCP SERVER可选择是否将接入认证结果和授权信息通过DHCPACK(动态主机配置确认)/DHCPNAK(动态主机配置否认)消息发送给DHCP CLIENT。

当DHCP SERVER接收到DHCP CLIENT发送的DHCPDECLINE(即，动态主机配置协议拒绝)和DHCPRELEASE(即，动态主机配置协议释放)消息后，需要回收DHCP CLIENT之前所获得的外网访问权限。

其中，在某些特定的应用场景中，需要提高动态IP地址资源的有效利用率，不允许将IP地址资源分配给不支持接入认证的DHCPCLIENT或认证失败的DHCP CLIENT。这时，对不支持接入认证的DHCP CLIENT或认证失败的DHCP CLIENT，直接根据结果回应DHCPNAK消息以拒绝分配动态IP地址。

其中，可以根据应用的需要，将DHCP用户接入认证选项信息承载在下列消息中：DHCPDISCOVER、DHCPOFFER、DHCPREQUEST、DHCPACK、DHCPNAK。

其中，当宽带接入设备上采用DHCP RELAY(即，动态主机配置协议中继站)而不是DHCP SERVER直接面向接入用户设备进行动态IP地址分配时，DHCP用户设备的接入认证和授权处理可以由DHCP RELAY向DHCP CLIENT发起，DHCP RELAY在收到DHCPCLIENT的接认证信息后，向AAA发起用户认证，并根据AAA返回的结果设置DHCP用户的接入权限。

参考图2，说明根据本发明的另一实施例的基于动态主机配置协议的用户接入认证方法。如图2所示，该方法包括以下步骤：

S202，子网1中的DHCP CLIENT发起DHCPDISCOVER消息，搜寻能够提供动态IP地址分配的DHCP SERVER；

S204，宽带接入路由器上的DHCP SERVER收到DHCPDISCOVER消息后，进行正常的DHCP消息处理，并根据认证需要，在DHCPOFFER消息中打入标识自己需要对DHCPCLIENT进行接入认证的选项，选项中需要标识出自己支持或提供的接入认证方法，其中包括选择的CHAP接入认证方法，及CHAP认证所需要的挑战值等属性，然后将DHCPOFFER发送给DHCPCLIENT；

S206，DHCP CLIENT在收到DHCP SERVER返回的DHCPOFFER消息后，识别出DHCP SERVER需要进行基于CHAP的接入认证处理，提取CHAP认证相关的挑战值等属性进行CHAP相关计算，并在DHCPREQUEST消息中打入CHAP计算结果，提交给DHCP SERVER进行接入认证；

S208，DHCP SERVER在收到DHCP CLIENT的DHCPREQUEST消息后，如果发现存在接入认证选项，则取出相关的用户接入认证信息，向AAA服务器发起接入认证；

S210，DHCP SERVER收到AAA服务器返回的接入认证结果后，检查接入认证结果，如果接入认证成功，则记录用户接入认证、授权结果，允许DHCP CLIENT在成功获得动态IP地址后正常访问外网；否则，不允许DHCP CLIENT访问外网；

S212，DHCP SERVER向DHCP CLIENT返回DHCPACK/DHCPNAK消息，对本例而言，需要通过接入认证结果控制动态IP地址的分配；因此，认证通过后才允许以DHCPACK给DHCP CLIENT分配动态IP地址，实现接入；当DHCP CLIENT得到IP地址且通过接入认证后，才得到相关授权可以进行外网的访问，否则，将不能进行外网的访问；

S214，当DHCP CLIENT访问网络完成或关机时，发送DHCPRELEASE消息通知下线；当DHCP SERVER收到DHCPCLIENT发送的DHCPRELEASE消息后，需要回收DHCP CLIENT之前所获得的动态IP地址和外网访问权限。

图3是应用图1和图2所示方法的网络的网络架构示意图。如图3所示，该网络包括接入路由器、出口路由器、交换机、子网1、以及子网2。

如下描述了在ZXR10系列宽带接入路由器中实施基于DHCP的用户接入认证方法的步骤。其中，在网络中的接入路由器内设置有DHCP SERVER，以实现DHCP用户设备的动态接入。

为了便于进行业务的收费，只有认证通过的DHCP CLIENT才能进行外网的访问，否则，不允许访问外网。通常情况下，为了能支持DHCP用户设备的接入认证与授权，通常会在DHCP CLIENT和DHCP SERVER之间启用WEB portal或802.1X等协议进行接入认证。为了简化宽带接入设备的接入认证和授权处理，并实现对DHCP用户设备的可控IP地址的分配和认证接入，在网络中的DHCP CLIENT和DHCP SERVER之间使用了根据本发明实施例的方法。

图3中使用了两台ZXR10路由器设备，分别为宽带接入路由器和出口路由器。其中，宽带接入路由器在完成路由器功能的同时兼作宽带接入服务器(Broadband Remote Access Server，简称BRAS)功能，采用内嵌DHCP SERVER完成对所有内部子网用户的动态IP地址分配和接入。接入路由器通过上行接口GEI 2/1接入互联网，通过下行接口FEI 1/1连接交换机1和交换机2，接入子网1和子网2的DHCP用户设备。

为了简化描述在DHCP CLIENT和DHCP SERVER间实施基于DHCP的用户接入方法的处理步骤，特以图中的宽带接入路由器和子网1的DHCP CLIENT1作为例子，假设DHCP CLIENT和DHCPSERVER间都能支持CHAP接入认证方法(采用其他认证方法的处理过程类似，不再详述)，则在DHCP CLIENT和DHCP SERVER间进行动态IP地址分配和认证、授权的处理步骤如下：

1)子网1中的DHCP CLIENT1发起DHCPDISCOVER消息，搜寻能够提供动态IP地址分配的DHCP SERVER；

2)宽带接入路由器上的DHCP SERVER收到DHCPDISCOVER消息后，进行正常的DHCP的动态IP地址分配，并根据认证需要，在DHCPOFFER消息中打入标识自己需要对DHCP CLIENT进行接入认证的选项，选项中需要标识出自己支持的接入认证方法，其中包括选择的CHAP接入认证方法，及CHAP认证所需要的挑战值等属性；

3)DHCP CLIENT在收到DHCP SERVER返回的DHCPOFFER消息后，识别出DHCP SERVER需要进行基于CHAP的接入认证处理，则提取CHAP认证相关的挑战值等属性进行CHAP相关计算，并在DHCPREQUEST消息中打入CHAP计算结果，提交给DHCPSERVER进行接入认证；

4)DHCP SERVER在收到DHCP CLIENT的DHCPREQUEST消息后，如果发现存在接入认证选项，则取出相关的用户接入认证信息，发起AAA接入认证，如果接入认证成功，则记录用户认证、授权结果，允许DHCP CLIENT在成功获得动态IP地址后正常访问外网；否则，不允许DHCP CLIENT访问外网；

5)在DHCP SERVER收到DHCP CLIENT发送的DHCPDECLINE和DHCPRELEASE消息后，需要回收DHCPCLIENT之前所获得的外网访问权限。

综上所述，本发明通过简单的DHCP协议选项扩展，将DHCP用户设备的接入AAA认证、授权处理与DHCP协议动态IP地址分配过程完美融合，在不变更DHCP协议动态分配IP地址的网络交互流程的情况下，同时实现了DHCP用户设备的接入认证和授权，极大地简化了宽带接入设备基于DHCP开展业务时需要其他协议实现接入认证和授权所带来的接入认证处理复杂性，极大地降低了研发和维护成本。

通过在使用DHCP实现宽带用户接入的无线接入控制器(AC)、宽带接入服务器(BAS)、宽带接入路由器等宽带接入网络设备中实施本发明方法后，使得通过DHCP协议本身就能完成目前需要其他认证、授权相关协议支持才能实现地功能，极大简化基于DHCP实现宽带业务接入的认证和授权带来的复杂性，降低了终端设备的研发成本；同时，也降低了运营商的设备维护成本。

以上所述仅为本发明的实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的权利要求范围之内。

Claims

1.一种基于动态主机配置协议的用户接入认证方法，其特征在于，包括以下步骤：

S102，动态主机配置协议服务器或中继站接收到来自动态主机配置协议用户设备的动态主机配置协议发现消息后，通过动态主机配置协议的扩展选项，向所述动态主机配置协议用户设备发送接入认证通知信息；

S104，所述动态主机配置协议用户设备根据所述接入认证通知信息判断是否进行接入认证，并在判断结果为是的情况下，通过所述动态主机配置协议的扩展选项，向所述动态主机配置协议服务器或中继站发送接入认证属性信息；以及

S106，所述动态主机配置协议服务器或中继站利用所述接入认证属性信息发起对所述动态主机配置协议用户设备的接入认证。

2.根据权利要求1所述的用户接入认证方法，其特征在于，在所述动态主机配置协议服务器或中继站支持多种接入认证方法的情况下，所述接入认证通知信息中包含所述多种接入认证方法的列表以及相应的接入认证属性。

3.根据权利要求2所述的用户接入认证方法，其特征在于，所述步骤S104包括以下步骤：

所述动态主机配置协议用户设备判断所述多种接入认证方法中是否存在其能够支持的接入认证方法；

如果判断结果为是，则所述动态主机配置协议用户设备选择一个或多个其能够支持的接入认证方法中的一种进行接入认证处理，并通过所述动态主机配置协议的扩展选项向所述动态主机配置协议服务器或中继站发送相应的接入认证属性信息，否则忽略后续的接入认证处理。

4.根据权利要求3所述的用户接入认证方法，其特征在于，所述动态主机配置协议服务器或中继站通过所述动态主机配置协议的扩展选项的唯一确定的选项值分别对所述多个接入认证方法进行标识。

5.根据权利要求4所述的用户接入认证方法，其特征在于，在所述步骤S106中，所述动态主机配置协议服务器或中继站还向所述动态主机配置协议用户设备返回接入认证结果以及相应的授权信息。

6.根据权利要求5所述的用户接入认证方法，其特征在于，在所述步骤S102中，通过动态主机配置协议提供消息承载所述动态主机配置协议的扩展选项。

7.根据权利要求6所述的用户接入认证方法，其特征在于，在所述步骤S104中，通过动态主机配置协议请求消息承载所述动态主机配置协议的扩展选项。

8.根据权利要求7所述的用户接入认证方法，其特征在于，在所述步骤S106中，所述动态主机配置协议服务器或中继站通过所述动态主机配置协议的扩展选项向所述动态主机配置协议用户设备返回接入认证结果以及相应的授权信息。

9.根据权利要求8所述的用户接入认证方法，其特征在于，在所述步骤S106中，通过动态主机配置协议确认消息或动态主机配置协议否认消息承载所述动态主机配置协议的扩展选项。

10.一种利用了上述权利要求中的任一项所述的用户接入认证方法的IP地址分配方法，其特征在于，包括以下步骤：

动态主机配置协议用户设备请求动态主机配置协议服务器或中继站为其分配IP地址资源；

所述动态主机配置协议服务器或中继站对所述动态主机配置协议用户设备进行接入认证；以及

如果所述动态主机配置协议用户设备通过接入认证，则所述动态主机配置协议服务器或中继站响应于所述动态主机配置协议用户设备的请求，为所述动态主机配置协议用户设备分配IP地址，否则所述动态主机配置协议服务器或中继站拒绝为所述动态主机配置协议用户设备分配IP地址。