CN101465862A - 认证业务切换处理方法与装置、网络设备与通信系统 - Google Patents

Abstract

本发明公开了一种认证业务切换处理方法与装置、网络设备与通信系统，其中，方法包括：主认证服务器失效后，根据预先存储的主认证服务器地址，以预先设置的刺探周期向所述主认证服务器地址发送认证请求报文，该认证请求报文中包括预设用户名和密码；根据预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，识别所述主认证服务器是否恢复认证功能；在所述主认证服务器恢复认证功能时，将认证业务切换回所述主认证服务器。本发明实施例可以降低由于人工激活主认证服务器导致的出错率与增加的网络管理成本，及时将认证业务切换回主认证服务器，有效保证用户正常使用网络与对网络设备进行维护管理。

Description

认证业务切换处理方法与装置、网络设备与通信系统

技术领域

本发明涉及通信技术，尤其是一种认证业务切换处理方法与装置、网络设备与通信系统。

背景技术

在通信过程中，为了对用户的操作进行安全管理控制，通常需要对用户的身份进行合法性认证。只有在用户身份通过合法性认证后，才允许该用户进行其请求的操作。

如图1所示，为对个人计算机(personal computer，以下简称：PC)用户进行认证的一个场景示意图。用户PC接入网络时，用户在PC上的802.1x认证客户端上输入用户名与密码信息，并发起入网认证请求。802.1x认证客户端通过802.1x认证协议报文将入网认证请求发送给网络设备，其中的入网认证请求中包括用户输入的用户名与密码信息，网络设备通常情况下是网络接入服务器(Network Access Server，以下简称：NAS)。网络设备通过远程用户拨号认证系统(Remote Authentication Dial In User Service，以下简称：RADIUS)协议将入网认证请求转发给认证服务器。认证服务器基于自身存储的认证信息对入网认证请求中的用户名和密码进行认证。如果认证服务器通过认证认为该用户名和密码匹配正确，认证服务器生成认证成功的认证结果，如果认证服务器认为该用户名和密码匹配错误，则生成认证失败的认证结果，并通过RADIUS协议将认证成功或认证失败的认证结果返回给网络设备。网络设备根据认证服务器返回的认证结果，在上述用户名与密码通过认证的情况下，允许相应的PC进行网络通信，否则，网络设备拒绝相应的PC通过网络通信。

除此之外，还有对网络设备自身的登录认证，认证过程与图1类似。为了避免用户随意修改网络设备上的配置，从而影响网络的正常运行，就需要为网络设备设置登录的用户名和密码。为了对登录网络设备的用户名与密码进行统一的维护、管理，通常情况下，将所有为网络设备设置的用户名和密码存储在认证服务器，通过认证服务器统一管理所有可登录网络设备的用户名和密码。如图2所示，为对网络设备管理员进行认证的一个场景示意图。在有用户要登录网络设备时，在网络设备上输入登录的用户名与密码，并发起登录认证请求，该登录认证请求中携带有输入的用户名与密码。网络设备将登录认证请求发送给认证服务器，通常情况下也是通过RADIUS协议发送。认证服务器基于存储的用户名与密码与对登录认证请求中的用户名和密码进行认证。如果认证服务器通过认证认为该用户名和密码匹配正确，认证服务器生成认证成功的认证结果，如果认证服务器认为该用户名和密码匹配错误，则生成认证失败的认证结果，并将认证成功或认证失败的认证结果返回给网络设备。网络设备根据认证服务器返回的认证结果决定是否允许该用户登录网络设备进行相应操作，并将认证结果反馈该用户。

在基于认证服务器的认证场景下，如果认证服务器失效，不接受网络设备发起的认证请求，会给网络运行带来灾难性的后果。例如：所有的用户都不能通过认证，从而无法使用网络通信，网络管理员也不能登录网络设备进行相应的管理、信息查询。为了避免该情况出现，网络管理员通常会配置备用认证方法。现有的备用认证方法主要有备份认证服务器认证方法、本地认证方法与免认证方法。备份认证服务器认证方法是在主认证服务器失效的情况下，网络设备将认证请求发送给主认证服务器的备份认证服务器，通过备份认证服务器进行认证，以保证网络的正常运行。本地认证方法是在主认证服务器失效的情况下，使用网络设备自身的数据库进行用户名和密码的匹配；针对网络设备自身的登录认证，管理员可以在网络设备上预先配置应急用户名和密码，以在主认证服务器故障时管理员可以通过应急用户名和密码继续正常管理网络设备。免认证方法是在主服务器失效的情况下，网络设备忽略用户名与密码的匹配，让所有PC都可以进行网络通信，所有的用户都可以登录管理网络设备。

在上述三种备用认证方法中，本地认证方法与免认证方法都是应急措施，无法保证网络与网络设备的安全性。备份认证服务器认证方法为目前最常采用的方法，其涉及主认证服务器与备份认证服务器两个服务器上数据信息的实时同步更新，较为复杂。另外，由于资金、维护周期等原因，备份认证服务器的性能、容量、稳定性等各项指标一般都不及主认证服务器。因此，为了保证网络的安全与正常运行，在主认证服务器恢复认证功能后，需要将认证业务切换回主认证服务器。

现有技术中，主要采用以下两种方法将认证业务由备份认证服务器切换回主认证服务器：第一种方法是，手工在网络设备上激活主认证服务器。现有的部分网络设备上，提供了相关激活命令。但方法操作复杂，易于出错，并且增加了网络管理成本，另外由于人工发现的滞后性，导致无法及时切换回主认证服务器。第二种方法是，无论主认证服务器是否成功恢复认证功能，都定时将认证业务试探性地切换回主认证服务器。该方法中，如果主认证服务器未成功恢复认证功能，将认证业务切换回主认证服务器后，会导致从认证业务切换回主认证服务器与发现主认证服务器未成功恢复这段时间内，用户的认证失败，从而影响该一段时间内用户正常使用网络与对网络设备进行维护管理。

发明内容

本发明实施例的目的是：提供一种认证业务切换处理方法与装置、网络设备与通信系统，有效识别主认证服务器的认证功能是否成功恢复，并在主认证服务器的认证功能成功恢复认证功能的情况下，将认证业务切换回主认证服务器，保证用户正常使用网络与对网络设备进行维护管理。

为解决上述技术问题，本发明实施例提供的一种认证业务切换处理方法，包括：

主认证服务器失效后，根据预先存储的主认证服务器地址，以预先设置的刺探周期向所述主认证服务器地址发送认证请求报文，该认证请求报文中包括预设用户名和密码；

根据预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，识别所述主认证服务器是否恢复认证功能；

在所述主认证服务器恢复认证功能时，将认证业务切换回所述主认证服务器。

本发明实施例提供的一种认证业务切换处理装置，包括：

第一存储模块，用于存储主认证服务器地址；

第二存储模块，用于存储预先设置的刺探周期；

第三存储模块，用于存储预设用户名和密码；

发送模块，用于在主认证服务器失效后，根据所述主认证服务器地址，以所述预先设置的刺探周期向所述主认证服务器地址发送认证请求报文，该认证请求报文中包括所述预设用户名和密码；

计时模块，用于在所述发送模块发送所述预设用户名和密码后，按照预设时间开始计时；

接收模块，用于接收主认证服务器针对所述认证请求报文返回的认证响应报文；

识别模块，用于根据所述计时模块的计时信息，根据所述接收模块在预设时间内是否接收到主认证服务器返回的认证响应报文，识别所述主认证服务器是否恢复认证功能；

切换模块，用于根据所述识别模块的识别结果，在所述主认证服务器恢复认证功能时，将认证业务切换回所述主认证服务器。

本发明实施例提供的一种网络设备，包括通信业务处理模块和认证业务处理模块，还包括本发明上述实施例提供的认证业务切换处理装置，用于对所述认证业务处理模块上的认证业务进行切换处理。

本发明实施例提供的一种通信系统，包括网络设备与主认证服务器，还包括本发明上述实施例提供的认证业务切换处理装置，用于对所述网络设备上的认证业务进行切换处理。

基于本发明上述实施例提供的认证业务切换处理方法与装置、网络设备与通信系统，可以在主认证服务器失效后，通过向主认证服务器发送认证请求报文有效识别主认证服务器的认证功能成功是否成功恢复，并在主认证服务器的认证功能成功恢复时，自动将网络设备上的认证业务切换回主认证服务器，与现有技术相比，可以降低由于人工激活主认证服务器导致的出错率与增加的网络管理成本，及时将认证业务切换回主认证服务器，并且在主认证服务器的认证功能成功恢复后才切换，可以有效保证用户正常使用网络与对网络设备进行维护管理。

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

附图说明

图1为对PC用户进行认证的一个场景示意图；

图2为对网络设备管理员进行认证的一个场景示意图；

图3为本发明认证业务切换处理方法一个实施例的流程图；

图4为本发明认证业务切换处理方法另一个实施例的流程图；

图5为本发明认证业务切换处理装置一个实施例的结构示意图；

图6为本发明认证业务切换处理装置另一个实施例的结构示意图；

图7为本发明网络设备一个实施例的结构示意图；

图8为本发明网络设备另一个实施例的结构示意图；

图9为本发明通信系统一个实施例的结构示意图；

图10为本发明通信系统另一个实施例的结构示意图；

图11为本发明通信系统又一个实施例的结构示意图；

图12为本发明通信系统再一个实施例的结构示意图。

具体实施方式

本发明的实施例中，可以预先设置或更新刺探周期，该刺探周期具体可以为零时长或大于零的任意时长。并且可以根据实际需求调整。在主认证服务器失效后，可以通过本发明实施例提供的认证业务切换处理方法进行认证业务的切换。在本发明的各实施例中，若采用本地认证方法或免认证方法，则不需要设置备份认证服务器，此时的主认证服务器也就是网络设备的认证服务器。如图3所示，本发明认证业务切换处理方法一个实施例的流程图，其包括以下步骤：

步骤101，主认证服务器失效后，根据预先存储的主认证服务器地址，以预先设置的刺探周期向主认证服务器地址发送认证请求报文，该认证请求报文中包括预设用户名和密码。

其中的预设用户名、密码可以由管理员手动配置，也可以厂商预设，甚至可以随机产生，并可以被随时更新。在主认证服务器失效后，根据预设用户名与密码自动构成特定的认证请求报文去定时刺探主认证服务器，相应的刺探周期等信息可以随着网络环境的变化而调整。

步骤102，根据预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，也即：认证结果，识别主认证服务器是否恢复认证功能。

如果认证服务器恢复了正常的认证功能，就会收到网络设备发出的认证请求报文，针对其中的用户名密码进行匹配，并根据匹配结果响应认证成功或认证失败的认证响应报文，也即：认证结果报文。对于网络设备本身，可以忽略该认证响应报文本身的信息，不论其内容表示认证成功或认证失败，只要有收到主认证服务器返回的认证响应报文，即可认为主认证服务器的认证功能已恢复正常。

步骤103，在主认证服务器是否恢复认证功能时，将认证业务切换回主认证服务器。

现有技术中，还会通过主认证服务器是否响应PING请求报文来检测主认证服务器是否恢复，但在实际运作中，主认证服务器中运行的认证程序本身的恢复与否，与操作系统是否响应PING请求没有必然关系。并且，通常情况下，认证服务器为了防止攻击，都会关闭操作系统的PING响应功能，因此，该方法的应用场景受限，容易误判。本发明的实施例中，直接通过主认证服务器是否响应认证请求报文来有效识别主认证服务器的认证功能成功是否成功恢复，判断结果准确，并在主认证服务器的认证功能成功恢复时，自动将网络设备上的认证业务切换回主认证服务器，无需管理员手工切换，与现有技术相比，可以降低由于人工激活主认证服务器导致的出错率与增加的网络管理成本，减少了网络管理员的工作强度及复杂性，可以及时将认证业务切换回主认证服务器，极大地增加了网络的可用性及安全性，并且在主认证服务器的认证功能成功恢复后才切换，可以有效保证用户正常使用网络与对网络设备进行维护管理。并且，可以避免由于长时间使用本地认证和免认证方法失去的网络安全控制效果，降低了黑客侵入、病毒传播的可能行。在本发明实施例的认证业务切换处理，可以不中断通信业务。

本发明实施例中的认证请求报文不会对认证服务器造成本质上的功能和性能影响，但是，为了避免人为通过认证请求报文恶意攻击认证服务器，可以将刺探周期设置为一定时长。

如图4所示，为本发明认证业务切换处理方法另一个实施例的流程图，其包括以下步骤：

步骤201，主认证服务器失效后，根据预先存储的主认证服务器地址，以预先设置的刺探周期向主认证服务器地址发送认证请求报文，该认证请求报文中包括预设用户名和密码。

步骤202，根据预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，识别主认证服务器是否恢复认证功能。若主认证服务器恢复认证功能，执行步骤203。否则，若主认证服务器未恢复认证功能，不执行后续认证业务的切换处理操作。

步骤203，识别网络设备当前采用的认证方法，判断该网络设备当前采用的认证方法是否为备份认证服务器认证方法。若是备份认证服务器认证方法，执行步骤204。否则，若网络设备当前采用的认证方法为本地认证方法或免认证方法，执行步骤205。

步骤204，将网络设备当前时刻及以后时刻接收到的认证请求对应的认证业务切换回主认证服务器，该认证请求可以是入网认证请求，也可以是登录认证请求。

步骤205，直接将网络设备上所有的认证业务切换回主认证服务器。

如果网络设备当前采用的备用认证方法主要有备份认证服务器认证方法，当前已经向备份认证服务器转发认证请求报文，但还未收到备份认证服务器的认证响应报文，有些认证协议约定网络设备与认证服务器之间需要多次报文交互，继续在备份认证服务器上进行认证处理，直到整个认证过程完成，得到认证服务返回的认证结果，从而可以避免整个认证过程被拆分到两个认证服务器进行导致的认证失败。如果是一个新发起的认证请求，则直接切换到主认证服务器上进行认证。

如图5所示，为本发明认证业务切换处理装置一个实施例的结构示意图，该实施例的认证业务切换处理装置可用于实现本发明如图3所示实施例的认证业务切换处理流程，其包括第一存储模块301、第二存储模块302、第三存储模块303、发送模块304、计时模块305、接收模块306、识别模块307与切换模块308。其中，第一存储模块301用于存储主认证服务器地址。第二存储模块302用于存储预先设置的刺探周期。第三存储模块303用于存储预设用户名和密码。具体地，第一存储模块301、第二存储模块302与第三存储模块303中的任意一个或多个可以一体设置。发送模块304用于在主认证服务器失效后，根据第一存储模块301中存储的主认证服务器地址，以第二存储模块302中预先设置的刺探周期向主认证服务器地址发送认证请求报文，该认证请求报文中包括第三存储模块303中的预设用户名和密码。计时模块305用于在发送模块304发送预设用户名和密码后，按照预设时间开始计时。接收模块306用于接收主认证服务器返回的认证响应报文。识别模块307用于根据计时模块305的计时信息，根据接收模块306在预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，识别主认证服务器是否恢复认证功能。切换模块308用于根据识别模块307的识别结果，在主认证服务器是否恢复认证功能时，将认证业务切换回主认证服务器。

如图6所示，为本发明认证业务切换处理装置另一个实施例的结构示意图，该实施例的认证业务切换处理装置可用于实现本发明如图4所示实施例的认证业务切换处理流程，与图5所示的实施例相比，该实施例的认证业务切换处理装置中，切换模块308包括识别单元401与切换单元402。其中，识别单元401用于识别网络设备当前采用的认证方法，判断网络设备当前采用的认证方法为本地认证方法、免认证方法还是备份认证服务器认证方法。切换单元402用于根据识别单元401的识别结果，若网络设备当前采用的认证方法为本地认证方法或免认证方法，则直接将网络设备上所有的认证业务切换回主认证服务器；若网络设备当前采用的认证方法为备份认证服务器认证方法，将网络设备当前时刻及以后时刻接收到的认证请求对应的认证业务切换回主认证服务器。其中的认证请求可以是入网认证请求，也可以是登录认证请求。

本发明实施例提供的一种网络设备，包括通信业务处理模块501和认证业务处理模块502，还包括认证业务切换处理装置503。其中，认证业务处理模块502与认证服务器结合，处理用户的认证业务，包括将PC发送的入网认证请求或用户发送的登录认证请求转发给认证服务器，以及将认证服务器发送的认证结果转发给PC或用户，以及在主认证服务器的认证功能失效的情况下，采用备用认证方法处理认证业务，其中的备用认证方法可以是备份认证服务器认证方法、本地认证方法或免认证方法。其中的认证服务器可以是主认证服务器或该主认证服务器的备份认证服务器。通信业务处理模块501用于根据认证业务处理模块502接收到的认证结果，或采用免认证方法的指示，允许或拒绝相应的PC进行网络通信。认证业务切换处理装置503用于对认证业务处理模块502上的认证业务进行切换处理，在主认证服务器恢复认证功能时，将认证业务切换回主认证服务器。具体地，该认证业务切换处理装置503可以采用如5或图6所示的实施例。如图7所示，为本发明网络设备一个实施例的结构示意图，该实施例的网络设备采用图5所示实施例的认证业务切换处理装置。如图8所示，为本发明网络设备另一个实施例的结构示意图，该实施例中，网络设备采用图6所示实施例的认证业务切换处理装置。认证业务切换处理装置503可以通过认证业务处理模块502进行用户名和密码的匹配，以及通过网络设备自身的数据库进行用户名和密码的匹配还是通过备份认证服务器进行用户名和密码的匹配，来确定认证业务处理模块502当前采用免认证方法、本地认证方法还是备份认证服务器认证方法，从而执行认证业务的切换。

本发明实施例提供的一种通信系统，包括网络设备1与对该网络设备1上的认证业务进行认证处理的主认证服务器2，还包括认证业务切换处理装置3，用于对网络设备1上的认证业务进行切换处理。该实施例中的认证业务切换处理装置3具体可以采用如5或图6所示的实施例。如图9所示，为本发明通信系统一个实施例的结构示意图，该实施例中的认证业务切换处理装置3采用图5所示实施例的认证业务切换处理装置。如图10所示，为本发明通信系统另一个实施例的结构示意图，该实施例中的认证业务切换处理装置3采用图6所示实施例的认证业务切换处理装置。

另外，本发明实施例提供的通信系统还可以包括主认证服务器2的备份认证服务器4，在主认证服务器2的认证功能失效后，认证业务切换处理装置3将网络设备1上的认证业务切换到备份认证服务器4，由备份认证服务器4对网络设备1上的认证业务进行认证。如图11所示，为本发明通信系统又一个实施例的结构示意图。如图12所示，为本发明通信系统再一个实施例的结构示意图。

在本发明实施例的通信系统中，认证业务切换处理装置3与网络设备1可以一体设置，即认证业务切换处理装置3可以设置在网络设备1中。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

本发明实施例直接通过主认证服务器是否响应认证请求报文来有效识别主认证服务器的认证功能成功是否成功恢复，判断结果准确，降低了由于人工激活主认证服务器导致的出错率与增加的网络管理成本，减少了网络管理员的工作强度及复杂性，极大地增加了网络的可用性及安全性，可以有效保证用户正常使用网络与对网络设备进行维护管理，避免由于长时间使用本地认证和免认证方法失去的网络安全控制效果，降低了黑客侵入、病毒传播的可能行。

最后所应说明的是：以上实施例仅用以说明本发明的技术方案，而非对本发明作限制性理解。尽管参照上述较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解：其依然可以对本发明的技术方案进行修改或者等同替换，而这种修改或者等同替换并不脱离本发明技术方案的精神和范围。

Claims (11)

1、一种认证业务切换处理方法，其特征在于，包括：

主认证服务器失效后，根据预先存储的主认证服务器地址，以预先设置的刺探周期向所述主认证服务器地址发送认证请求报文，该认证请求报文中包括预设用户名和密码；

根据预设时间内是否接收到主认证服务器针对所述认证请求报文返回的认证响应报文，识别所述主认证服务器是否恢复认证功能；

在所述主认证服务器恢复认证功能时，将认证业务切换回所述主认证服务器。

2、根据权利要求1所述的方法，其特征在于，还包括：预先设置或更新所述刺探周期的操作。

3、根据权利要求2所述的方法，其特征在于，还包括：所述刺探周期为零时长或大于零的任意时长。

4、根据权利要求1、2或3所述的方法，其特征在于，所述将认证业务切换回所述主认证服务器包括：

识别网络设备当前采用的认证方法；

若所述网络设备当前采用的认证方法为本地认证方法或免认证方法，则直接将所述网络设备上所有的认证业务切换回所述主认证服务器；

若所述网络设备当前采用的认证方法为备份认证服务器认证方法，将所述网络设备当前时刻及以后时刻接收到的认证请求对应的认证业务切换回所述主认证服务器，所述认证请求为入网认证请求或登录认证请求。

5、一种认证业务切换处理装置，其特征在于，包括：

第一存储模块，用于存储主认证服务器地址；

第二存储模块，用于存储预先设置的刺探周期；

第三存储模块，用于存储预设用户名和密码；

发送模块，用于在主认证服务器失效后，根据所述主认证服务器地址，以所述预先设置的刺探周期向所述主认证服务器地址发送认证请求报文，该认证请求报文中包括所述预设用户名和密码；

计时模块，用于在所述发送模块发送所述预设用户名和密码后，按照预设时间开始计时；

接收模块，用于接收主认证服务器针对所述认证请求报文返回的认证响应报文；

识别模块，用于根据所述计时模块的计时信息，根据所述接收模块在预设时间内是否接收到主认证服务器返回的认证响应报文，识别所述主认证服务器是否恢复认证功能；

切换模块，用于根据所述识别模块的识别结果，在所述主认证服务器恢复认证功能时，将认证业务切换回所述主认证服务器。

6、根据权利要求5所述的装置，其特征在于，所述第一存储模块、第二存储模块与第三存储模块中的任意一个或多个一体设置。

7、根据权利要求5或6所述的装置，其特征在于，所述切换模块包括：

识别单元，用于识别网络设备当前采用的认证方法；

切换单元，用于根据所述识别单元的识别结果，若所述网络设备当前采用的认证方法为本地认证方法或免认证方法，则直接将所述网络设备上所有的认证业务切换回所述主认证服务器；若所述网络设备当前采用的认证方法为备份认证服务器认证方法，将所述网络设备当前时刻及以后时刻接收到的认证请求对应的认证业务切换回所述主认证服务器，所述认证请求为入网认证请求或登录认证请求。

8、一种网络设备，包括通信业务处理模块和认证业务处理模块，其特征在于，还包括权利要求5、6或7任意一项所述的认证业务切换处理装置，用于对所述认证业务处理模块上的认证业务进行切换处理。

9、一种通信系统，包括网络设备与主认证服务器，其特征在于，还包括权利要求5、6或7任意一项所述的认证业务切换处理装置，用于对所述网络设备上的认证业务进行切换处理。

10、根据权利要求9所述的通信系统，其特征在于，所述认证业务切换处理装置与所述网络设备一体设置。

11、根据权利要求9或10所述的通信系统，其特征在于，还包括所述主认证服务器的备份认证服务器。

Images