CN101557405A - 一种入口认证方法及其对应的网关设备、服务器 - Google Patents

Abstract

本发明公开了一种入口Portal认证方法，应用于包括Portal网关设备和Portal服务器的网络系统中，所述方法包括以下步骤：所述Portal服务器构造心跳报文，并按照心跳周期向所述Portal网关设备发送心跳报文；所述Portal网关设备判断在探测周期内是否接收到来自所述Portal服务器的心跳报文，其中所述探测周期不小于所述心跳周期，所述Portal网关设备根据判断结果进行Portal认证。本发明在Portal服务器无法正常工作的情况下允许用户继续使用网络，增强了网络的可用性和可部署性。本发明同样公开了对应的网关设备、服务器。

Description

一种入口认证方法及其对应的网关设备、服务器

技术领域

本发明涉及互联网技术领域，尤其涉及一种入口认证方法和其对应的网关设备、服务器。

背景技术

在现有技术的组网环境中，用户通过自身所在的客户端连接到局域网设备后，可以访问网络中的设备和资源，在便于用户共享网络资源的同时，却影响了网络的安全性能。为加强对网络资源的安全控制和运营管理，需要对用户的访问进行控制。例如，在某些场合，企业需要提供内部关键资源给外部用户访问，为保证安全，一般通过Portal(入口)认证技术在接入层以及需要保护的关键数据入口处对用户实施访问控制。

Portal认证也称为Web(网页)认证，即通过HTTP(Hypertext TransferProtocol，超文本传输协议)页面接收用户输入的用户名和密码，对用户进行认证。在Portal认证中，用于进行Portal认证的网站称为门户网站，未认证的用户在连接到互联网时，首先会被强制登录到门户网站进行认证，只有认证通过后才可以使用该门户网站之外的资源。因此，Portal认证可以为企业、运营商提供相应的管理功能，使所有用户登录门户网站进行认证。

如图1所示，为现有技术中的一种Portal认证系统的结构示意图，包括Portal客户端101、Portal服务器102、BAS(Broadband Access Server，宽带接入服务器)设备103和AAA(Authentication Authorization Accounting，认证、授权与计费)服务器104。其中，Portal客户端101为Portal认证系统中发起认证请求的客户端，可以是运行HTTP协议的浏览器；Portal服务器102为Portal认证系统中接收来自Portal客户端101的认证请求的服务器，用于提供基于WEB认证的界面，与BAS设备103交互认证客户端的身份信息；BAS设备103用于向Portal服务器102重定向HTTP认证请求，并与Portal服务器102和AAA服务器104交互，完成对用户的认证、授权和计费；AAA服务器104与BAS设备103进行交互，对用户进行认证、授权和计费。

当未认证的用户通过Portal客户端101访问互联网时，向BAS设备103发送HTTP请求，该HTTP请求由BAS设备103重定向到Portal服务器102的Web认证主页上；用户在认证主页或认证对话框中输入认证信息后提交，Portal服务器102会将用户的认证信息传递给BAS设备103；BAS设备103与AAA服务器104通信，进行用户认证和计费；用户通过认证后，BAS设备103打开用户与互联网的通路，允许用户访问互联网。

在实际组网过程中，如果用户数量较多，可以将不同用户对应的Portal客户端101连接到不同的交换机，并通过不同的交换机接入到不同的BAS设备103上，所有的BAS设备可以通过核心路由器(或高端交换机)连接到互联网，Portal服务器102放置在机房中，通过交换机连接到上述核心路由器(或高端交换机)。

需要说明的是，Portal认证系统也可以不采用外部独立的Portal服务器102，而由BAS设备103实现Portal服务器102的功能，将Portal服务器102内置于BAS设备103中。由于内置Portal服务器102的BAS设备103支持Web用户直接认证，因此，不需要部署额外的Portal服务器102，增强了Portal认证的通用性。但是，内置Portal服务器102的BAS设备103仅能向用户提供通过Web方式登录和下线的基本功能，并不能完全替代独立的Portal服务器102。

然而，Portal认证在实际应用中还存在以下缺陷，在Portal服务器受到网络、硬件故障或病毒的影响而导致服务中断时，会造成新用户无法上线和在线用户无法下线的问题，即出现所谓的“吊死”现象，给网络用户带来很大的不便。为了解决上述缺陷，需要提供一种在Portal服务器无法正常工作的情况下，使用户仍然可以正常使用网络的Portal认证方法。

目前，在业界提供的Portal认证方法中，可以由Portal网关设备检测Portal服务器的工作状态，当Portal网关设备检测到Portal服务器不能正常工作时停止Portal认证，使用户可以免认证使用网络；当Portal网关设备检测到Portal服务器恢复正常后恢复Portal认证，使在线用户在访问门户网站之外的资源时被强制登录到Portal认证窗口，对在线用户进行认证。

上述根据Portal服务器的工作状态确定是否需要进行认证的Portal认证方法不易于在复杂的网络中部署，在Portal服务器内置于Portal网关设备的情况下，如果Portal服务器不能正常工作，则整个Portal网关设备都处于不稳定的状态下，Portal认证方法处于一种可能失效的状态下，稳定性大为降低，不适用于需要分布式部署的应用场景；在Portal服务器外置于Portal网关设备的情况下，需要Portal服务器和Portal网关设备之间进行信息同步，目前还没有相关的通信协议支持Portal服务器和Portal网关设备之间的通信，实用性较差。

此外，业界还提供了一种利用Portal双机实现的Portal认证方法，在Portal认证系统中部署主用Portal服务器和备用Portal服务器，当Portal网关设备检测到主用Portal服务器不能正常工作时，将来自Portal客户端的认证请求定向到备用Portal服务器，由备用Portal服务器提供免费的门户服务和基于WEB认证的界面。Portal网关设备与备用Portal服务器交互认证客户端的身份信息，对用户进行认证。

对于利用Portal双机实现的Portal认证方法，由于该方法需要部署至少两台Portal服务器，引入了过高的硬件成本，在实际应用中的推广难度较大。

发明内容

本发明提供了一种入口认证方法和其对应的网关设备、服务器，使企业用户在不增加投资成本的情况下，保证Portal服务器在无法正常工作时仍然能够正常使用网络，并在Portal服务器恢复时及时认证，最大限度地保护企业网络安全。

本发明提供了一种入口Portal认证方法，应用于包括Portal网关设备和Portal服务器的网络系统中，所述方法包括以下步骤：

所述Portal服务器构造心跳报文，并按照心跳周期向所述Portal网关设备发送心跳报文；

所述Portal网关设备判断在探测周期内是否接收到来自所述Portal服务器的心跳报文，其中所述探测周期不小于所述心跳周期，所述Portal网关设备根据判断结果进行Portal认证。

优选地，所述心跳报文为服务器心跳报文时，所述Portal网关设备根据判断结果进行Portal认证，具体包括：

当所述Portal网关设备在所述探测周期内没有接收到所述服务器心跳报文时，所述Portal网关设备关闭Portal认证，允许未认证用户访问网络；

当所述Portal网关设备在所述探测周期内接收到所述服务器心跳报文，所述Portal网关设备获取未认证用户的认证信息，并根据所述认证信息对未认证用户进行Portal认证。

优选地，所述Portal网关设备关闭Portal认证后，还包括：

当所述Portal网关设备接收到来自所述Portal服务器的服务器心跳报文时，所述Portal网关设备恢复Portal认证，获取用户的认证信息，并根据所述认证信息对用户进行Portal认证。

优选地，所述心跳报文为在线用户对应的用户心跳报文，所述Portal网关设备根据判断结果进行Portal认证，具体包括：

当所述Portal网关设备在所述探测周期内没有接收到所述在线用户对应的用户心跳报文时，所述Portal网关设备将所述在线用户的用户信息从用户列表中删除，对所述在线用户进行下线操作，所述用户列表中包含所述Portal网关设备保存的在线用户的用户信息；

当所述Portal网关设备在所述探测周期内接收到所述在线用户对应的用户心跳报文时，所述Portal网关设备将所述在线用户的用户信息保留在所述用户列表中，允许所述在线用户继续访问网络。

优选地，在所述Portal网关设备关闭认证后，所述Portal网关设备接收到来自所述Portal服务器的用户心跳报文之后，还包括：

所述Portal网关设备判断所述接收到的用户心跳报文中的用户信息是否全部包含在所述用户列表中，如果所述用户信息没有全部包含在所述用户列表中，则向所述Portal服务器返回同步确认报文，所述同步确认报文中携带包含在所述用户心跳报文但不包含在所述用户列表中的用户信息；

所述Portal服务器接收到所述同步确认报文后，从在线列表中删除所述同步确认报文中的用户信息，所述在线列表中包含所述Portal服务器保存的在线用户的用户信息。

优选地，所述Portal服务器按照心跳周期向Portal网关设备发送心跳报文之前，还包括：

在所述Portal服务器上配置所述心跳周期和在所述Portal网关设备上配置所述探测周期。

优选地，所述用户心跳报文中包含对应用户的互联网协议IP地址。

本发明还提供了一种Portal网关设备，应用于包括Portal网关设备和Portal服务器的网络系统中，所述Portal网关设备包括：

收发模块，至少用于接收来自所述Portal服务器的心跳报文，所述心跳报文由所述Portal服务器按照心跳周期发送；

判断模块，与所述收发模块电性连接，用于判断所述收发模块在所述计时模块计时的探测周期内是否接收到来自所述Portal服务器的心跳报文；

计时模块，与所述判断模块电性连接，用于根据所述当所述判断模块接收到的所述收发模块传来的心跳报文，对探测周期进行计时，所述探测周期不小于所述心跳周期；

处理模块，与所述判断模块电性连接，用于根据所述判断模块的判断结果进行Portal认证。

优选地，当所述心跳报文为服务器心跳报文时，所述处理模块具体用于：

当所述判断模块在所述服务器心跳报文探测周期内没有接收到所述服务器心跳报文时，所述处理模块根据判断模块的指示关闭Portal认证，允许未认证用户访问网络；

当所述判断模块在所述服务器心跳报文探测周期内接收到所述服务器心跳报文，所述处理模块继续获取未认证用户的认证信息，并根据所述认证信息对未认证用户进行Portal认证。

优选地，当所述心跳报文为在线用户对应的用户心跳报文时，所述处理模块具体用于：

当所述判断模块在所述探测周期内没有接收到所述在线用户对应的用户心跳报文时，根据所述判断模块的指示，将所述在线用户的用户信息从所述用户列表中删除，对所述在线用户进行下线操作；

当所述判断模块在所述探测周期内接收到所述在线用户对应的用户心跳报文时，所述处理模块将所述在线用户的用户信息保留在所述用户列表中，允许所述在线用户继续访问网络。

优选地，在关闭Portal认证之后，所述处理模块还用于：

当所述判断模块接收到来自所述收发模块重新传来的服务器心跳报文时，恢复Portal认证，获取用户的认证信息，并根据所述认证信息对用户进行Portal认证；

当所述判断模块接收到所述心跳报文为离线用户对应的用户心跳报文时，向所述Portal服务器返回同步确认报文，通知所述Portal服务器所述离线用户已下线，所述同步确认报文中携带所述离线用户的用户信息。

优选地，所述Portal网关设备，还包括：

配置模块，用于设定所述心跳报文的探测周期。

本发明还提供了一种Portal服务器，应用于包括Portal网关设备和Portal服务器的网络系统中，所述Portal服务器包括：

构造模块，用于构造心跳报文；

收发模块，与所述构造模块电性连接，至少用于按照心跳周期向所述Portal网关设备发送所述构造模块构造的心跳报文；

计时模块，与所述收发模块电性连接，用于在所述收发模块发送心跳报文时，对所述心跳周期进行计时。

优选地，所述Portal服务器，还包括：

配置模块，与所述计时模块电性连接，用于配置所述心跳报文的心跳周期，供所述计时模块使用，所述探测周期为所述Portal网关设备探测所述心跳报文的周期，所述探测周期不小于所述心跳周期。

优选地，所述收发模块，还用于接收来自所述Portal网关设备的同步确认报文，所述同步确认报文中包含离线用户的用户信息。

与现有技术相比，本发明具有以下优点：

本发明由Portal网关设备根据来自Portal服务器的心跳报文与Portal服务器同步服务器信息和用户信息，在Portal服务器无法正常工作的情况下允许用户继续使用网络，增强了网络的可用性和可部署性，且便于管理和维护。

附图说明

图1为现有技术中的一种Portal认证系统的结构示意图；

图2为本发明中的一种入口认证方法流程图；

图3为本发明中的一种入口认证的应用场景流程图；

图4为本发明中的另一种入口认证的应用场景流程图；

图5为本发明中的一种Portal网关设备的结构示意图；

图6为本发明中的一种Portal服务器的结构示意图；

图7为本发明中的一种入口认证系统的结构示意图。

具体实施方式

本发明提供的技术方案中，其核心思想为将Portal网关设备和Portal服务器分开部署，并在Portal网关设备和Portal服务器之间定时同步服务器状态信息和用户状态信息，并根据服务器状态信息和用户状态信息实现Portal认证。

本发明中的Portal网关设备和Portal服务器可以通过两者之间的通信协议实现以下功能：Portal服务器可以向Portal网关设备发送服务器心跳报文，向Portal网关设备通知自身的状态，使Portal网关设备可以及时发现Portal Server是否正常工作；Portal服务器还可以向Portal网关设备发送用户心跳报文，与Portal网关设备同步用户状态信息。

本发明提供了一种入口认证方法，应用于包括Portal网关设备和Portal服务器的网络系统中，该方法的流程示意图如图2所示，包括以下步骤：

步骤201，Portal服务器构造心跳报文，并按照心跳周期向Portal网关设备发送心跳报文。

具体地，Portal服务器按照心跳周期向Portal网关设备发送心跳报文之前，还需要分别在Portal服务器上配置报文心跳周期以及在Portal网关设备上配置报文探测周期，其中要求报文心跳周期小于报文探测周期，否则会导致在Portal服务器正常工作的情况下，Portal网关设备仍然无法在探测周期内接收到来自Portal服务器的心跳报文。而Portal服务器所构造并向Portal网关设备发送的心跳报文可以是服务器心跳报文，也可以是用户心跳报文。

其中，服务器心跳报文属于Portal空报文，用于标识Portal服务器工作正常，没有配置对应的回应报文。Portal网关设备接收到来自Portal服务器的服务器心跳报文后，根据该服务器的心跳报文重新计算所述服务器心跳报文深测周期，且不需要向Portal服务器返回相应的回应报文。

用户心跳报文中包含在线用户的用户信息，该用户信息可以是用户的IP(Internet Protocol，互联网协议)地址，具体地，用户心跳报文中的IP地址采用4字节无符号整型表示，中间无分隔符，一个用户心跳报文可以包含多个用户的用户信息。在某些异常情况下，如Portal服务器从故障中恢复正常时，由于Portal服务器与Portal网关设备中的用户信息不同步，Portal服务器还可以向Portal网关设备发送包含离线用户的用户信息的用户心跳报文。

步骤202，Portal网关设备判断在报文探测周期内是否接收到来自Portal服务器的心跳报文，并根据判断结果进行Portal认证。

当Portal网关设备在服务器心跳报文探测周期内接收到Portal服务器构造并向之发送的服务器心跳报文后，Portal网关设备则对服务器心跳报文探测周期清零，重新计算下一个服务器心跳报文探测周期时间；如果Portal网关设备在服务器心跳报文探测周期内没有收到服务器心跳报文，则判断该Portal服务器工作不正常，关闭Portal认证，切换至Portal逃生模式，允许未认证用户访问网络，使用户发送的报文可以直接通过；如果在服务器心跳报文探测周期内接收到来自Portal服务器的服务器心跳报文，确定该Portal服务器工作正常，继续获取未认证用户的认证信息，并根据该认证信息对未认证用户进行Portal认证，只有在认证通过时才允许用户访问网络中的资源。

当Portal网关设备在用户心跳报文探测周期内接收到Portal服务器构造并向之发送的用户心跳报文时，同样，Portal网关设备需要对用户心跳报文探测周期清零，并重新计算用户心跳报文探测周期时间；如果在用户心跳报文探测周期内没有接收到该在线用户对应的用户心跳报文，将该在线用户的用户信息从用户列表中删除，并对该在线用户进行下线操作；如果在用户心跳报文探测周期内接收到该在线用户对应的心跳报文，将该在线用户的用户信息保留在用户列表中，允许该在线用户继续访问网络。

本发明由Portal网关设备根据来自Portal服务器的心跳报文与Portal服务器同步服务器信息和用户信息，在Portal服务器无法正常工作的情况下允许用户继续使用网络，增强了网络的可用性和可部署性，且便于管理和维护。

本发明通过上述实施方式提供了一种入口认证方法，以下结合具体的应用场景对上述入口认证方法进行详细的叙述。该应用场景中，Portal服务器所构造并向Portal网关设备发送的心跳报文为服务器心跳报文，Portal网关设备通过服务器定时器检测服务器心跳报文，其具体流程图如图3所示，包括以下步骤：

步骤301，在Portal服务器上配置服务器心跳周期，在Portal网关设备上配置服务器心跳报文探测周期。

其中，服务器心跳周期为Portal服务器向Portal网关设备发送服务器心跳报文的周期，Portal服务器并不针对每一台Portal网关设备配置服务器心跳周期，而是将服务器心跳周期作为系统配置项，对系统中所有的Portal网关设备配置相同的服务器心跳周期；服务器心跳报文探测周期为Portal网关设备探测是否接收到来自Portal服务器的服务器心跳报文的周期，Portal服务器可以对系统中所有的Portal网关设备配置相同的服务器心跳报文探测周期，也可以针对不同的Portal网关设备配置不同的服务器心跳报文探测周期。

需要说明的是，服务器心跳报文探测周期不小于服务器心跳周期，以保证在Portal服务器正常工作的情况下，Portal网关设备能够在服务器心跳报文探测周期内接收到来自Portal服务器的服务器心跳报文。

另外，由于同一网络中可能同时存在不同配置的Portal网关设备，Portal服务器还需要针对每一台Portal网关设备配置是否支持服务器心跳报文的开关；如果某个Portal网关设备不支持服务器心跳报文，则Portal服务器不向该Portal网关设备发送服务器心跳报文。

步骤302，Portal服务器构造服务器心跳报文，并按照服务器心跳周期向Portal网关设备发送服务器心跳报文。

其中，服务器心跳报文属于Portal空报文，用于标识Portal服务器工作正常，没有配置对应的回应报文，Portal网关设备接收到来自Portal服务器的服务器心跳报文后，不需要向Portal服务器返回相应的回应报文，从而减少了Portal网关设备多次发送回应报文而对系统资源的大量占用。

步骤303，Portal网关设备启动服务器定时器，判断在服务器心跳报文探测周期内是否接收到来自Portal服务器的服务器心跳报文。

本发明中，根据具体实施场景的需要，服务器心跳报文探测周期的长度可以进行预先设置，在数值大小上，应该不小于Portal服务器所配置的服务器心跳周期，服务器心跳报文探测周期长度的具体变化并不影响本发明的保护范围。

需要指出的是，上述Portal网关设备上的服务器定时器可以是独立的新增定时器，也可以是更新了设置后的已有定时器；服务器定时器的计时起始点可以设置为该Portal网关设备启动完成时刻的时间点，也可以设置为该Portal网关设备接收到第一个服务器心跳报文的时间点。

如果Portal网关设备在服务器心跳报文探测周期内接收到Portal服务器发送的服务器心跳报文，则转入步骤304；

如果Portal网关设备在服务器心跳报文探测周期内没有接收到Portal服务器发送的服务器心跳报文，则转入步骤305。

步骤304，Portal网关设备继续进行Portal认证。

具体地，如果Portal网关设备在服务器心跳报文探测周期内接收到Portal服务器发送的服务器心跳报文，则确定该Portal服务器工作正常，继续进行Portal认证，获取未认证用户的认证信息，并根据该认证信息对未认证用户进行Portal认证，只有在认证通过时才允许用户访问网络中的资源。

步骤305，Portal网关设备关闭Portal认证，允许所有用户访问网络。

具体地，如果Portal网关设备在服务器心跳报文探测周期内没有接收到Portal服务器发送的服务器心跳报文，则确定该Portal服务器工作不正常，关闭Portal认证，切换至逃生模式，允许所有用户访问网络，使用户发送的报文可以直接通过。Portal网关设备在逃生模式下，不再处理接收到的用户心跳报文，而是等待在线用户自行老化，在老化时间到达时，将该在线用户的信息从用户列表中删除，对该在线用户进行下线操作。

需要说明的是，在Portal网关设备关闭Portal认证后，如果Portal服务器恢复正常，则继续构造并向Portal网关设备发送服务器心跳报文，本应用场景还包括以下步骤：

步骤306，Portal网关设备接收来自Portal服务器的服务器心跳报文。

具体地，本步骤中的服务器心跳报文也属于Portal空报文，用于标识Portal服务器恢复正常，也没有配置对应的回应报文，Portal网关设备重新接收到来自Portal服务器的服务器心跳报文后，不需要向Portal服务器返回相应的回应报文。

步骤307，Portal网关设备恢复Portal认证。

具体地，如果Portal网关设备在逃生模式下接收到来自Portal服务器的服务器心跳报文，则恢复Portal认证，保留用户列表中包含的在线用户的用户信息，并根据接收到的用户心跳报文处理在线用户的用户信息。

本发明中，Portal网关设备在执行完本步骤之后，还可以继续执行步骤303，判断在服务器心跳报文探测周期内是否接收到来自Portal服务器的服务器心跳报文。

需要说明的是，本发明方法可以根据实际需要对各个步骤顺序进行调整。

本发明由Portal网关设备根据来自Portal服务器的服务器心跳报文确定Portal服务器是否正常工作，在Portal服务器无法正常工作的情况下允许用户继续使用网络，增强了网络的可用性和可部署性；由Portal服务器配置相关的参数，便于管理和维护，降低了维护开销和运营成本。

在另一种应用场景中，Portal服务器所构造并向Portal网关设备发送的心跳报文为用户心跳报文，Portal网关设备通过用户定时器检测用户心跳报文，其具体流程图如图4所示，包括以下步骤：

步骤401，在Portal服务器上配置用户心跳周期，在Portal网关设备上配置用户心跳报文探测周期。

其中，用户心跳周期为Portal服务器向Portal网关设备发送用户心跳报文的周期，Portal服务器并不针对每一台Portal网关设备配置用户心跳周期，而是将用户心跳周期作为系统配置项，对系统中所有的Portal网关设备配置相同的用户心跳周期；用户心跳报文探测周期为Portal网关设备探测是否接收到来自Portal服务器的用户心跳报文的周期，Portal服务器可以对系统中所有的Portal网关设备配置相同的用户心跳报文探测周期，也可以针对不同的Portal网关设备配置不同的用户心跳报文探测周期。

需要说明的是，用户心跳报文探测周期不小于用户心跳周期，以保证在Portal服务器正常工作的情况下，Portal网关设备能够在用户心跳报文探测周期内接收到来自Portal服务器的用户心跳报文。

另外，由于同一网络中可能同时存在不同配置的Portal网关设备，Portal服务器还需要针对每一台Portal网关设备配置是否支持用户心跳报文的开关；如果某个Portal网关设备不支持用户心跳报文，则Portal服务器不向该Portal网关设备发送用户心跳报文。

步骤402，Portal服务器构造用户心跳报文，并按照用户心跳周期向Portal网关设备发送用户心跳报文。

其中，用户心跳报文中可以包含在线用户的用户信息，在某些异常情况下，如Portal服务器从故障中恢复正常时，由于Portal服务器与Portal网关设备中的用户信息不同步，Portal服务器还可以向Portal网关设备发送包含离线用户的用户信息的用户心跳报文。用户心跳报文中包含的用户信息可以是用户的IP地址，用户心跳报文中的IP地址采用4字节无符号整型表示，中间无分隔符，一个用户心跳报文可以包含多个用户的用户信息。假设标识用户信息的属性的最大容量为252个字节，则一个属性最多可以包含252/4＝63个用户的IP地址，如果限制该属性最多可以在用户心跳报文中出现10次，则一个用户心跳报文最多可以包含630个用户的IP地址。

本发明中，Portal服务器对用户心跳报文进行异步处理，包括两个处理线程，即发送报文处理线程和接收报文处理线程，该两个处理线程独立进行，互不等待。Portal服务器中存储有在线列表，该在线列表中包含在线用户的用户信息。一方面，接收报文处理线程接收到来自Portal客户端的用户下线请求或者来自Portal网关设备的用户下线通知后，向Portal客户端发送消息，通知用户已经下线，并将该用户的信息清除出在线列表；另一方面，发送报文处理线程根据在线列表中的用户信息向Portal网关设备发送用户心跳报文，该用户心跳报文中包含在线列表中的用户信息，如果Portal网关设备上的用户数量超过一个用户心跳报文对应的用户数量的上限时，发送报文处理线程可以向该Portal网关设备发送多个用户心跳报文。由于Portal网关设备需要一定时间处理接收到的用户心跳报文，无法同时接收多个用户心跳报文，因此，同一Portal网关设备对应的不同用户心跳报文需要间隔发送，但不同的Portal网关设备对应的用户心跳报文不需要间隔发送，因此可以保证在设定时间内将所有的用户心跳报文发送完毕。

步骤403，Portal网关设备接收到第一个用户心跳报文后启动用户定时器，并判断接收到的用户心跳报文中的用户信息是否全部包含在用户列表中。

其中，用户定时器用于在Portal网关设备接收到用户心跳报文后清零，开始对用户心跳报文检测周期进行计时，计算用户心跳报文探测周期时间。

另外，Portal网关设备将用户心跳报文中的用户信息与用户列表中的用户信息比较，即可判断用户心跳报文中的用户信息是否全部包含在用户列表中。如果Portal网关设备接收到的用户心跳报文中的用户信息全部包含在用户列表中，则执行步骤405；如果Portal网关设备接收到的用户心跳报文中的用户信息没有全部包含在用户列表中，则执行步骤404。

步骤404，Portal网关设备向Portal服务器返回同步确认报文。

具体地，如果Portal网关设备接收到的用户心跳报文中的用户信息没有全部包含在用户列表中，即Portal网关设备接收到的用户心跳报文包含离线用户的用户信息，Portal网关设备向Portal服务器返回同步确认报文，该同步确认报文中携带该用户心跳报文包含的离线用户的用户信息，用于通知Portal服务器该离线用户已下线。Portal服务器接收到同步确认报文后，从在线列表中删除该同步确认报文中的用户信息。

步骤405，Portal网关设备判断在用户心跳报文探测周期内是否接收到在线用户对应的用户心跳报文。

本发明中，根据具体实施场景的需要，用户心跳报文探测周期的长度可以进行预先设置，在数值大小上，应该不小于Portal服务器所配置的用户心跳周期，探测周期长度的具体变化并不影响本发明的保护范围。

如果Portal网关设备在用户心跳报文探测周期内接收到在线用户对应的用户心跳报文，则转入步骤407；

如果Portal网关设备在用户心跳报文探测周期内没有接收到在线用户对应的服务器心跳报文，则转入步骤406。

步骤406，Portal网关设备将在线用户的用户信息从用户列表中删除，对该在线用户进行下线操作。

具体地，当Portal网关设备在用户心跳报文探测周期内没有接收到所述在线用户对应的用户心跳报文时，Portal网关设备将该在线用户的用户信息从用户列表中删除，对该在线用户进行下线操作，向AAA服务器发送该在线用户对应的计费结束报文，并向Portal服务器发送该在线用户对应的下线通知报文。

步骤407，Portal网关设备将在线用户的用户信息保留在用户列表中，允许该在线用户继续访问网络。

具体地，当Portal网关设备在用户心跳报文探测周期内接收到在线用户对应的用户心跳报文时，Portal网关设备将该在线用户的用户信息保留在用户列表中，允许该在线用户继续访问网络，并在后续的流程中继续判断是否在检测周期内接收到该在线用户对应的用户心跳报文。

需要说明的是，本发明方法可以根据实际需要对各个步骤顺序进行调整。

本发明在Portal网关设备和Portal服务器之间同步用户状态信息，并由Portal网关设备根据来自Portal服务器的用户心跳报文确定是否将用户下线，能够方便及时地控制用户的访问权限，解决了Portal服务器故障时在线用户无法下线的问题，增强了网络的可用性和可部署性；由Portal服务器配置相关的参数，便于管理和维护，降低了维护开销和运营成本。

本发明通过上述实施方式提供了一种入口认证方法和应用场景，相应地，本发明还通过以下实施方式提供了一种应用上述方法的设备。

如图5所示，为本发明中的一种Portal网关设备的结构示意图，应用于包括Portal网关设备和Portal服务器的网络系统中，该Portal网关设备包括：

收发模块510，用于接收来自Portal服务器的心跳报文或向Portal服务器发送同步确认报文。

具体地，心跳报文由Portal服务器按照心跳周期发送，可以是服务器心跳报文，也可以是用户心跳报文。服务器心跳报文属于Portal空报文，用于标识Portal服务器工作正常，没有配置对应的回应报文。用户心跳报文中包含在线用户的用户信息，该用户信息可以是用户的IP地址。在某些异常情况下，如Portal服务器从故障中恢复正常时，由于Portal服务器与Portal网关设备中的用户信息不同步，Portal服务器还可以向Portal网关设备发送包含离线用户的用户信息的用户心跳报文。

另外，当收发模块510接收到的用户心跳报文中的用户信息没有全部包含在Portal网关设备保存的用户列表中，即用户心跳报文中包含离线用户的用户信息时，收发模块510向Portal服务器返回同步确认报文，通知Portal服务器该离线用户已下线，该同步确认报文中携带该离线用户的用户信息。

配置模块520，用于设定心跳报文的探测周期。

其中，心跳报文的探测周期为Portal网关设备探测是否接收到来自Portal服务器的心跳报文的周期，配置模块520将心跳报文的探测周期作为系统配置项，对系统中所有的Portal网关设备配置相同的心跳报文的探测周期。需要说明的是，此处配置的心跳报文的探测周期不小于心跳报文的心跳周期，以保证在Portal服务器正常工作的情况下，Portal网关设备能够在探测周期内接收到来自Portal服务器的心跳报文。

计时模块530，与判断模块540电性连接，用于当判断模块540接收到收发模块510传来的心跳报文，对配置模块520配置的心跳报文的探测周期进行计时。

在具体的应用场景中，上述的计时模块530可以具体为一个定时器，当收发模块510在探测周期内接收到Portal服务器构造并向之发送的心跳报文后，计时模块530则对探测周期清零，重新计算探测周期时间。

判断模块540，与收发模块510和计时模块530电性连接，用于判断收发模块510在计时模块530计时的探测周期内是否接收到来自Portal服务器的心跳报文。

在具体的应用场景中，当判断模块540判断在探测周期内接收到服务器心跳报文时，判断Portal服务器工作正常，通知处理模块550继续获取未认证用户的认证信息，并根据该认证信息对未认证用户进行Portal认证，只有在认证通过时才允许用户访问网络中的资源。否则，则通知处理模块550切换至Portal逃生模式，允许未认证用户访问网络，使用户发送的报文可以直接通过。

当判断模块540判断在探测周期内接收到在线用户对应的用户心跳报文时，将该在线用户的用户信息保留在用户列表中，允许该在线用户继续访问网络，并在后续的流程中继续判断是否在检测周期内接收到该在线用户对应的用户心跳报文。否则，则通知处理模块550将该在线用户的用户信息从用户列表中删除，对该在线用户进行下线操作。

除此之外，上述判断模块540，与收发模块510电性连接，还用于在关闭Portal认证之后，当判断模块540接收到来自Portal服务器的服务器心跳报文时，通知处理模块550恢复Portal认证，获取用户的认证信息，并根据该认证信息对用户进行Portal认证。

处理模块550，与判断模块540电性连接，用于根据判断模块540的判断结果进行Portal认证。

当上述心跳报文为服务器心跳报文时，处理模块550，具体用于当判断模块540在服务器心跳报文探测周期内没有接收到服务器心跳报文时，确定Portal服务器工作不正常，关闭Portal认证，切换至Portal逃生模式，允许未认证用户访问网络，使用户发送的报文可以直接通过；

当上述心跳报文为在线用户对应的用户心跳报文，该在线用户的用户信息包含在Portal网关设备保存的用户列表中时，处理模块550，具体用于当判断模块540在探测周期内没有接收到在线用户对应的用户心跳报文时，根据判断模块540的指示，将该在线用户的用户信息从用户列表中删除，对该在线用户进行下线操作，向AAA服务器发送该在线用户对应的计费结束报文，并向Portal服务器发送该在线用户对应的下线通知报文；

另外，本发明中，在处理模块550关闭Portal认证后，如果Portal服务器恢复正常，可以继续构造并按照服务器心跳周期向Portal网关设备发送服务器心跳报文。相应地，在判断模块540接收到收发模块510重新传来的Portal服务器的服务器心跳报文时，通知处理模块550恢复Portal认证，保留用户列表中包含的在线用户的用户信息，并根据接收到的用户心跳报文处理在线用户的用户信息。

本发明由Portal网关设备根据来自Portal服务器的心跳报文与Portal服务器同步服务器信息和用户信息，在Portal服务器无法正常工作的情况下允许用户继续使用网络，增强了网络的可用性和可部署性，且便于管理和维护。

与上述实施方式中的Portal网关设备相对应，本发明还提供了一种Portal服务器，如图6所示，为本发明中的一种Portal服务器的结构示意图，应用于包括Portal网关设备和Portal服务器的网络系统中，该Portal服务器包括：

构造模块610，用于构造心跳报文。

其中，心跳报文可以是服务器心跳报文，也可以是用户心跳报文。服务器心跳报文属于Portal空报文，用于标识Portal服务器工作正常，没有配置对应的回应报文；用户心跳报文中包含在线用户的用户信息，在某些异常情况下，如Portal服务器从故障中恢复正常时，由于Portal服务器与Portal网关设备中的用户信息不同步，构造模块610还会构造离线用户对应的用户心跳报文。

收发模块620，与构造模块610电性连接，用于按照心跳周期向Portal网关设备发送构造模块610构造的心跳报文或者接收来自Portal网关设备的同步确认报文。

具体地，收发模块620可以向多个Portal网关设备分别发送心跳报文，不同Portal网关设备对应的心跳报文可以间隔发送，也可以同时发送。

另外，当收发模块620向Portal网关设备发送的用户心跳报文中的用户信息没有全部包含在Portal网关设备保存的用户列表中，即用户心跳报文中包含离线用户的用户信息时，Portal网关设备返回同步确认报文，通知Portal服务器该离线用户已下线，该同步确认报文中携带该离线用户的用户信息，收发模块620接收上述同步确认报文。

配置模块630，与计时模块640电性连接，用于配置心跳报文的心跳周期，供计时模块640使用。

其中，心跳周期为Portal服务器向Portal网关设备发送心跳报文的周期。配置模块630并不针对每一台Portal网关设备配置心跳周期，而是将心跳周期作为系统配置项，对系统中所有的Portal网关设备配置相同的心跳周期；探测周期为Portal网关设备探测是否接收到来自Portal服务器的心跳报文的周期，配置模块630可以对系统中所有的Portal网关设备配置相同的探测周期，也可以针对不同的Portal网关设备配置不同的探测周期。

需要说明的是，探测周期不小于心跳周期，以保证在Portal服务器正常工作的情况下，Portal网关设备能够在探测周期内接收到来自Portal服务器的心跳报文。

计时模块640，与收发模块620电性连接，用于在收发模块620发送心跳报文时，对配置模块630配置的心跳周期进行计时。

在具体的应用场景中，上述的计时模块640可以具体为一个定时器，当收发模块620向Portal网关设备发送心跳报文时，计时模块640则对心跳周期清零，重新计算心跳周期时间。

本发明通过Portal服务器构造并向Portal网关设备发送心跳报文，使Portal网关设备和Portal服务器之间同步服务器状态信息和用户状态信息，能够方便及时地控制用户的访问权限，增强了网络的可用性和可部署性，且便于管理和维护。

本发明通过上述实施方式提供了一种入口认证方法和对应的网关设备、服务器，相应地，本发明还通过以下实施方式提供了一种应用上述方法的系统。

如图7所示，为本发明中的一种入口认证系统的结构示意图，包括Portal服务器710和Portal网关设备720，以及至少一客户端。其中，

Portal服务器710，用于构造心跳报文，并按照心跳周期向Portal网关设备720发送心跳报文。

具体地，Portal服务器710所构造并向Portal网关设备720发送的心跳报文可以是服务器心跳报文，也可以是用户心跳报文。其中，服务器心跳报文用于标识Portal服务器710工作正常，且没有配置相应的回应报文；用户心跳报文中包含在线用户的用户信息，在某些异常情况下，如Portal服务器710从故障中恢复正常时，由于Portal服务器710与Portal网关设备720中的用户信息不同步，Portal服务器710还可以向Portal网关设备720发送包含离线用户的用户信息的用户心跳报文。

Portal网关设备720，用于接收来自Portal服务器710的心跳报文，设定心跳报文的探测周期，并对该探测周期计时，判断在该探测周期内是否接收到来自Portal服务器710的心跳报文，并根据判断结果以及预先设定的策略，对Portal认证规则进行设置。

当Portal服务器710所构造并向Portal网关设备720发送的心跳报文为服务器心跳报文时，Portal网关设备720具体根据如下预设策略设置Portal认证规则：

当Portal网关设备720在探测周期内没有接收到服务器心跳报文时，Portal网关设备720确定Portal服务器710工作不正常，关闭Portal认证，切换至Portal逃生模式，允许未认证用户访问网络，使用户发送的报文可以直接通过；当Portal网关设备720在探测周期内接收到服务器心跳报文，Portal网关设备720确定Portal服务器710工作正常，继续获取未认证用户的认证信息，并根据该认证信息对未认证用户进行Portal认证，只有在认证通过时才允许用户访问网络中的资源。

上述Portal网关设备720，还用于在关闭Portal认证之后，当接收到来自Portal服务器710的服务器心跳报文时，恢复Portal认证，获取用户的认证信息，并根据该认证信息对用户进行Portal认证。

本发明中，在Portal网关设备720关闭Portal认证后，如果Portal服务器710恢复正常，可以继续构造并按照服务器心跳周期向Portal网关设备720发送服务器心跳报文。相应地，在Portal网关设备720重新接收到来自Portal服务器710的服务器心跳报文时，Portal网关设备720恢复Portal认证，保留用户列表中包含的在线用户的用户信息，并根据接收到的用户心跳报文处理在线用户的用户信息。

当Portal服务器710所构造并向Portal网关设备720发送的心跳报文为在线用户对应的用户心跳报文，该在线用户的用户信息包含在Portal网关设备720保存的用户列表中时，Portal网关设备720具体根据如下预设策略设置Portal认证规则：

当Portal网关设备720在探测周期内没有接收到在线用户对应的用户心跳报文时，Portal网关设备720将该在线用户的用户信息从用户列表中删除，对该在线用户进行下线操作，向AAA服务器发送该在线用户对应的计费结束报文，并向Portal服务器710发送该在线用户对应的下线通知报文；当Portal网关设备720在探测周期内接收到在线用户对应的用户心跳报文时，Portal网关设备720将该在线用户的用户信息保留在用户列表中，允许该在线用户继续访问网络，并在后续的流程中继续判断是否在检测周期内接收到该在线用户对应的用户心跳报文。

Portal网关设备720，还用于在接收到的心跳报文为离线用户对应的用户心跳报文，即接收到的用户心跳报文中的用户信息没有全部包含在用户列表中时，向Portal服务器710返回同步确认报文，通知Portal服务器710该离线用户已下线，该同步确认报文中携带该离线用户的用户信息。

本发明在Portal网关设备720和Portal服务器710之间同步服务器状态信息和用户状态信息，并由Portal网关设备720根据来自Portal服务器710的用户心跳报文确定是否将对在线用户进行下线操作，根据服务器心跳报文确定是否进行Portal认证，能够方便及时地控制用户的访问权限，增强了网络的可用性和可部署性，且便于管理和维护。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以集成于一体，也可以分离部署；可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (15)

1、一种入口Portal认证方法，应用于包括Portal网关设备和Portal服务器的网络系统中，其特征在于，所述方法包括以下步骤：

所述Portal服务器构造心跳报文，并按照心跳周期向所述Portal网关设备发送心跳报文；

所述Portal网关设备判断在探测周期内是否接收到来自所述Portal服务器的心跳报文，其中所述探测周期不小于所述心跳周期，所述Portal网关设备根据判断结果进行Portal认证。

2、如权利要求1所述的方法，其特征在于，所述心跳报文为服务器心跳报文时，所述Portal网关设备根据判断结果进行Portal认证，具体包括：

当所述Portal网关设备在所述探测周期内没有接收到所述服务器心跳报文时，所述Portal网关设备关闭Portal认证，允许未认证用户访问网络；

当所述Portal网关设备在所述探测周期内接收到所述服务器心跳报文，所述Portal网关设备获取未认证用户的认证信息，并根据所述认证信息对未认证用户进行Portal认证。

3、如权利要求2所述的方法，其特征在于，所述Portal网关设备关闭Portal认证后，还包括：

当所述Portal网关设备接收到来自所述Portal服务器的服务器心跳报文时，所述Portal网关设备恢复Portal认证，获取用户的认证信息，并根据所述认证信息对用户进行Portal认证。

4、如权利要求1所述的方法，其特征在于，所述心跳报文为在线用户对应的用户心跳报文，所述Portal网关设备根据判断结果进行Portal认证，具体包括：

当所述Portal网关设备在所述探测周期内没有接收到所述在线用户对应的用户心跳报文时，所述Portal网关设备将所述在线用户的用户信息从用户列表中删除，对所述在线用户进行下线操作，所述用户列表中包含所述Portal网关设备保存的在线用户的用户信息；

当所述Portal网关设备在所述探测周期内接收到所述在线用户对应的用户心跳报文时，所述Portal网关设备将所述在线用户的用户信息保留在所述用户列表中，允许所述在线用户继续访问网络。

5、如权利要求2或3所述的方法，其特征在于，在所述Portal网关设备关闭认证后，所述Portal网关设备接收到来自所述Portal服务器的用户心跳报文之后，还包括：

所述Portal网关设备判断所述接收到的用户心跳报文中的用户信息是否全部包含在所述用户列表中，如果所述用户信息没有全部包含在所述用户列表中，则向所述Portal服务器返回同步确认报文，所述同步确认报文中携带包含在所述用户心跳报文但不包含在所述用户列表中的用户信息；

所述Portal服务器接收到所述同步确认报文后，从在线列表中删除所述同步确认报文中的用户信息，所述在线列表中包含所述Portal服务器保存的在线用户的用户信息。

6、如权利要求1所述的方法，其特征在于，所述Portal服务器按照心跳周期向Portal网关设备发送心跳报文之前，还包括：

在所述Portal服务器上配置所述心跳周期和在所述Portal网关设备上配置所述探测周期。

7、如权利要求5所述的方法，其特征在于，所述用户心跳报文中包含对应用户的互联网协议IP地址。

8、一种Portal网关设备，应用于包括Portal网关设备和Portal服务器的网络系统中，其特征在于，所述Portal网关设备包括：

收发模块，至少用于接收来自所述Portal服务器的心跳报文，所述心跳报文由所述Portal服务器按照心跳周期发送；

判断模块，与所述收发模块电性连接，用于判断所述收发模块在所述计时模块计时的探测周期内是否接收到来自所述Portal服务器的心跳报文；

计时模块，与所述判断模块电性连接，用于根据所述当所述判断模块接收到的所述收发模块传来的心跳报文，对探测周期进行计时，所述探测周期不小于所述心跳周期；

处理模块，与所述判断模块电性连接，用于根据所述判断模块的判断结果进行Portal认证。

9、如权利要求8所述Portal网关设备，其特征在于，当所述心跳报文为服务器心跳报文时，所述处理模块具体用于：

当所述判断模块在所述服务器心跳报文探测周期内没有接收到所述服务器心跳报文时，所述处理模块根据判断模块的指示关闭Portal认证，允许未认证用户访问网络；

当所述判断模块在所述服务器心跳报文探测周期内接收到所述服务器心跳报文，所述处理模块继续获取未认证用户的认证信息，并根据所述认证信息对未认证用户进行Portal认证。

10、如权利要求8所述Portal网关设备，其特征在于，当所述心跳报文为在线用户对应的用户心跳报文时，所述处理模块具体用于：

当所述判断模块在所述探测周期内没有接收到所述在线用户对应的用户心跳报文时，根据所述判断模块的指示，将所述在线用户的用户信息从所述用户列表中删除，对所述在线用户进行下线操作；

当所述判断模块在所述探测周期内接收到所述在线用户对应的用户心跳报文时，所述处理模块将所述在线用户的用户信息保留在所述用户列表中，允许所述在线用户继续访问网络。

11、如权利要求9或10所述Portal网关设备，其特征在于，在关闭Portal认证之后，所述处理模块还用于：

当所述判断模块接收到来自所述收发模块重新传来的服务器心跳报文时，恢复Portal认证，获取用户的认证信息，并根据所述认证信息对用户进行Portal认证；

当所述判断模块接收到所述心跳报文为离线用户对应的用户心跳报文时，向所述Portal服务器返回同步确认报文，通知所述Portal服务器所述离线用户已下线，所述同步确认报文中携带所述离线用户的用户信息。

12、如权利要求8所述Portal网关设备，其特征在于，还包括：

配置模块，用于设定所述心跳报文的探测周期。

13、一种Portal服务器，应用于包括Portal网关设备和Portal服务器的网络系统中，其特征在于，所述Portal服务器包括：

构造模块，用于构造心跳报文；

收发模块，与所述构造模块电性连接，至少用于按照心跳周期向所述Portal网关设备发送所述构造模块构造的心跳报文；

计时模块，与所述收发模块电性连接，用于在所述收发模块发送心跳报文时，对所述心跳周期进行计时。

14、如权利要求13所述Portal服务器，其特征在于，还包括：

配置模块，与所述计时模块电性连接，用于配置所述心跳报文的心跳周期，供所述计时模块使用，所述探测周期为所述Portal网关设备探测所述心跳报文的周期，所述探测周期不小于所述心跳周期。

15、如权利要求13所述Portal服务器，其特征在于，

所述收发模块，还用于接收来自所述Portal网关设备的同步确认报文，所述同步确认报文中包含离线用户的用户信息。

Images