CN101631312A - 基于瘦AP架构的Portal认证方法 - Google Patents

Abstract

提供了一种基于瘦AP架构的Portal认证方法，其特征在于，Portal客户端被划分为驻留于AP上的第一Portal客户端和驻留于无线接入控制器AC上的第二Portal客户端，其中，第一Portal客户端负责完成用户的HTTP访问重定向、用户异常下线检测功能，第二Portal客户端主要负责完成与Portal服务器、Radius服务器的通信。通过在AP与AC之间进行通信使AP上的第一Portal客户端和第二Portal客户端协作完成原有的Portal客户端的功能，从而在本地转发模式下也能实现Portal认证，并降低了AC的性能消耗。

Description

基于瘦AP架构的Portal认证方法

技术领域

本发明涉及一种Portal认证方法，具体地，涉及一种基于瘦AP架构的Portal认证方法。

背景技术

Portal是一种基于web的应用程序，它主要提供个性化、单点登录、不同来源的内容整合以及存放信息系统的表示层。Portal认证通常也称为Web认证，一般将Portal认证网站称为门户网站。

当未认证用户上网时，接入设备强制用户通过WEB方式登录到指定站点，用户只能免费访问指定站点的服务，当用户在门户网站通过认证后才可以使用互联网资源。如果用户主动访问已知的Portal认证网站，输入用户名和密码进行认证，这种开始Portal认证的方式称作主动认证。如果用户试图通过HTTP访问指定站点以外其他站点，将被强制访问Portal认证网站进行Portal认证，这种方式称作强制认证。

图1示出的是传统的有线Portal认证架构网络的示意图。如图1所示，用户机101-1、101-2和101-3有线连接到接入设备100。接入设备可以是已知的任何接入设备。接入设备100通过网络与Portal服务器102和Radius服务器连接。在传统Portal认证架构中，接入设备100在逻辑上分为两个模块：Portal客户端(Portal Client)和Radius客户端(Radius Client)。其中，Portal客户端主要负责与Portal服务器通信，Radius客户端主要负责与Radius服务器通信，二者互相配合完成Portal认证。

Portal认证通常包括：用户上线流程、用户主动下线流程和用户异常下线流程。图2到图4分别示出了Portal认证中的用户上线流程、用户主动下线流程和用户异常下线流程。

在图2中，用户机(即，图2中的客户端)首先发起HTTP请求。此时，驻留于接入设备中的Portal客户端截获到该请求，并回应客户端HTTP重定向指令。用户机接收到重定向指令后，向重定向指令携带的网址发起新的访问请求。Portal服务器接收到该请求之后返回认证页面。用户在该认证页面上填写诸如用户名、密码的认证信息，并向Portal服务器提交认证。Portal服务器接收到认证信息后，从中提取用户名、密码等信息并通知Portal客户端。Portal客户端接收到信息后通知驻留于接入设备上的Radius客户端发起认证。随后，Radius客户端向Radius服务器(即，图2中的AAA服务器)发起Radius认证请求。在认证成功之后，Radius服务器通知Radius客户端认证成功。Radius客户端将此消息通知Portal客户端。最后，Portal客户端分别将认证成功的消息通知用户机和Portal服务器。通过以上操作，完成了用户的Portal认证的上线认证过程。

图2中，在Portal服务器的用户上线认证成功之后，Portal服务器会推送给用户认证成功页面(见图2的步骤12)。该页面包含“下线”按钮，当用户点击此按钮时，则用户机启动用户主动下线认证流程，如图3所示。

如果用户未点击“下线”按钮而直接关闭浏览器(或关机)，或则长时间未访问网络，则用户机确认用户异常下线，用户机启动异常下线认证流程。

图3和图4的流程对于本领域的技术人员来说是已知的，因此不再进行详细描述。

近年来，随着无线通信技术的发展，发展了基于瘦无线接入点(AP)架构的无线接入系统。瘦AP架构是相对于传统的“胖AP”架构的一种无线接入点架构。瘦AP的传输机制相当于有线网络中的集线器，在无线局域网中不停地接收和传送数据，任何一台装有无线网卡的设备均可通过AP来分享资源。理论上，当网络中增加一个无线AP之后，即可成倍地扩展网络覆盖直径，还可使网络中容纳更多的网络设备。与传统的胖“AP”不同，瘦AP通过网络与接入控制设备(AC，例如，无线控制器或无线交换机)连接，由AC控制用户通过AP传输的数据，从而降低了AP的功能复杂度。

图5是示出在基于瘦AP架构下的现有无线Portal认证系统的网络图。在图5中，无线AP(以下简称为AP)与用户无线连接。无线接入控制器(以下简称为AC)作为接入设备其上驻留了Portal客户端和Radius客户端，分别与Portal服务器和Radius服务器连接。AP通过网络与AC连接，并可将用户数据发送到AC并由AC将数据转发到外部的Portal服务器和Radius服务器以进行Portal认证。这样，以无线AP、无线AC和连接无线AP、无线AC的网络为基础构成了WLAN接入系统。在基于瘦AP架构的WLAN下，无线Portal认证过程与图2-图4中示出的认证过程类似。

图6-图8分别示出了在无线Portal认证架构中的用户上线认证流程、用户主动下线流程和用户异常下线流程。从图6-图8可以看出，除了增加了AP连接在AC和无线用户之间之外，其过程与图2-图4示出的过程基本相同。

然而，在现有技术的瘦AP架构的本地转发模式下，如果业务流不经过AC，则现有技术方案无法完成Portal认证。图9示出了瘦AP架构的本地转发模式。在图9中，无线用户STA1和STA2的数据经由无线接入点AP1和AP2和路由器Router-A、Router-B或Router-C直接转发到外部互联网，而没有将数据通过AC，如图9中的数据流901和902所示。由于数据没有通过AC，因此驻留在AC上的Portal客户端和Radius客户端无法接收到该数据并对用户进行Portal认证。

另外，在现有的瘦AP架构下的Portal认证方法中，驻留在AC上的Portal客户端需要监听用户的HTTP访问，判断用户状态，如果用户没有经过认证，则Portal客户端截获此HTTP访问，并作为回应使用户进行HTTP重定向，即，使用户重定向到Portal服务器。如果用户的数量较大，则Portal客户端必须频繁地监听和截获用户的HTTP访问，从而将极大地消耗AC的性能。通常，现有无线Portal认证方法将消耗AC大1/3的性能。

发明内容

本发明的示例性实施例克服了上述的缺点。本发明的示例性实施例旨在提出一种基于瘦无线接入点(AP)架构的本地转发模式的Portal认证方法，该方法允许用户的业务流不经过无线接入控制器(AC)而直接转发，并且同时能够降低AC的性能消耗，提高AC的效率。

根据本发明的一方面，提供了一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端被划分为驻留于AP上的第一Portal客户端和驻留于无线接入控制器AC上的第二Portal客户端，所述方法包括以下步骤：第一Portal客户端截获用户的HTTP访问，确定是否需要对用户进行Portal认证；如果第一Portal客户端确定需要对用户进行Portal认证，则通知第二Portal客户端用户准备发起Portal认证；第二Portal客户端从Portal服务器接收用户的用户名和密码，并将用户信息通知Radius客户端以请求Radius客户端发起认证；在从Radius客户端获得认证结果后，第二Portal客户端更新用户认证状态，并将认证结果通知第一Portal客户端和Portal服务器；第一Portal客户端更新用户认证状态。

根据本发明的另一方面，还提供了一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端被划分为驻留于AP的第一Portal客户端和驻留于无线接入控制器AC的第二Portal客户端，所述方法包括以下步骤：第二Portal客户端从Portal服务器接收到用户下线的通知，更新用户认证状态为下线；第二Portal客户端请求Radius客户端确认用户下线成功，并从Radius客户端收到下线成功的通知；第二Portal客户端通知第一Portal客户端用户下线成功，第一Portal客户端更新用户认证状态为下线。

根据本发明的另一方面，还提供了一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端驻留于AP的第一Portal客户端和驻留于无线接入控制器AC的第二Portal客户端，所述方法包括以下步骤：第一Portal客户端检测到用户异常下线，更新用户认证状态为下线；第一Portal客户端通知第二Portal客户端用户异常下线；第二Portal客户端通知Radius客户端用户异常下线并从Radius客户端接收用户下线成功的通知；第二Portal客户端通知Portal服务器用户异常下线。

附图说明

通过下面结合附图对实施例的详细描述，本发明的上述和/或其他方面将会变得清楚和更容易理解，其中：

图1是示出传统的有线Portal认证系统的网络的示意图；

图2是示出传统的有线Portal认证方法的用户上线流程的示图；

图3是示出传统的有线Portal认证方法的用户主动下线流程的示图；

图4是示出传统的有线Portal认证方法的用户异常下线流程的示图；

图5是示出在基于瘦AP架构的现有Portal认证系统的网络图；

图6是示出基于瘦AP架构的现有Portal认证方法的用户上线流程的示图；

图7是示出基于瘦AP架构的现有Portal认证方法的用户主动下线流程的示图；

图8是示出基于瘦AP架构的现有Portal认证方法的异常下线流程的示图；

图9示出了瘦AP架构的本地转发模式；

图10是示出根据本发明的基于瘦AP架构的Portal认证系统的网络图；

图11是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的用户上线流程的示图；

图12是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的用户主动下线流程的示图；

图13是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的异常下线流程的示图。

具体实施方式

下面将参照附图10-图13描述根据本发明的Portal认证方法的各种流程。

图10是示出根据本发明的基于瘦AP架构的Portal认证系统的网络图。无线用户通过AP接入WLAN接入系统，AP通过网络和路由器R与AC连接。AC通过路由R与WLAN外部的Portal服务器和Radius服务器进行通信。与图5示出的Portal认证系统不同的是，图10中的认证系统的无线局域网WLAN可以在执行图9的本地转发功能的同时进行Portal认证，即，将来自无线用户的业务数据通过无线AP和路由器R直接转发到外部网络而不经过AC，同时实现Portal认证。为了在本地转发模式下执行Portal认证，本发明在逻辑上将Portal客户端分为两部分，一部分驻留在AP上，主要负责完成用户的HTTP访问重定向、用户异常下线检测功能(以下称为第一Portal客户端)；另一部分驻留在AC上，主要负责完成与Portal服务器、Radius服务器的通信(以下称为第二Portal客户端)。通过在AP与AC之间传输控制数据使AP上的第一Portal客户端和第二Portal客户端协作完成原有的Portal客户端的功能，从而在本地转发模式下也能实现Portal认证，并降低了AC的性能消耗。

接下来，将参照图11-13描述根据本发明实施例的Portal认证方法的各种流程。

图11是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的用户上线流程的示图。

在步骤1101，用户随意访问一个HTTP站点，此时，无线客户端将HTTP请求发送到与之连接的AP。接下来，在步骤1102，驻留于AP的第一Portal客户端截获到用户的HTTP访问后，查看本地用户状态数据库以确定用户是否已经通过Portal认证。如果用户已经通过Portal认证，则放行，转发此HTTP访问；如果用户未通过Portal认证，且用户的HTTP访问是到已配置好的Portal服务器，则放行，转发此HTTP访问；否则，如果用户未通过Portal认证且用户的HTTP访问不是到已配置好的Portal服务器，则不允许访问网络，丢弃用户此HTTP访问，同时回应用户HTTP重定向指令，使用户重定向到配置好的Portal服务器网址，强制用户进行Portal认证。

接下来，在步骤1103，第一Portal客户端通知第二客户端Portal客户端此用户准备发起Portal认证。此时，第二Portal客户端可设定用户认证超时定时器。此步骤目的是在以后的步骤中检查Portal服务器的通知是否超时，将在以后进行具体的描述。

在步骤1104，用户从第一Portal客户端收到HTTP重定向指令后，向重定向指令携带的网址的Portal服务器发起HTTP请求。

在Portal服务器接收到用户发起的HTTP请求之后，在步骤1105，Portal服务器回应用户请求的认证页面。

在步骤1106，用户输入诸如用户名、密码的用户信息，发起认证。

在步骤1107，Portal服务器收到用户的认证请求后，提取出用户信息，并将用户信息通知第二Portal客户端。此时，如果在步骤1103中设置的用户认证定时器超时，则第二Portal客户端丢弃此通知或者通知Portal服务器认证超时。

在步骤1108，第二Portal客户端将用户信息(包括用户名、密码、用户MAC地址等二层信息、用户IP地址等三层信息等)通知同样驻留于AC中的Radius客户端，请求Radius客户端发起认证。

随后，在步骤1109，Radius客户端向Radius服务器发起Radius认证请求。在步骤1110，Radius服务器接收到该请求后进行Radius认证，然后向Radius客户端返回认证结果。

在步骤1111，Radius客户端通知第二Portal客户端认证结果，如果认证成功，则第二Portal客户端更新用户认证状态。

接下来，在步骤1112，第二Portal客户端通知第一Portal客户端认证结果，第一Portal客户端更新用户认证状态。

在步骤1113，第二Portal客户端通知Portal服务器认证结果。

在步骤1114，Portal服务器通知用户认证结果。

以上步骤中，步骤1112可以与步骤1113互换。

在步骤1103与步骤1112中，第一Portal客户端与第二Portal客户端之间采用的通讯机制不做限定。

图12是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的用户主动下线流程的示图。

首先，在步骤1201，用户点击页面中的“下线”按钮，向Portal服务器发起主动下线请求。

在步骤1202，Portal服务器收到用户下线请求后，通知第二Portal客户端用户请求下线。

在步骤1203，第二Portal客户端将用户认证状态更新为“下线”，并将用户下线消息通知给Radius客户端。

在步骤1204，Radius客户端通知Radius服务器用户下线，停止计费。

在步骤1205，Radius服务器确认用户下线后，通知Radius客户端用户下线成功。

在步骤1206，Radius客户端通知第二Portal客户端用户下线成功。

在步骤1207，第二Portal客户端通知第一Portal客户端用户下线，随后第一Portal客户端将用户认证状态更新为下线。

在步骤1208，第二Portal客户端通知Portal服务器用户下线成功。

在步骤1209，Portal服务器通知用户下线成功。

以上步骤中，步骤1207可以与步骤1208互换顺序，步骤1207可以在步骤1202与步骤1203之间执行，或者，步骤1207还可以在步骤1203与步骤1204之间执行。

根据本发明的实施例，步骤1207中的第一Portal客户端与第二Portal客户端之间的通讯机制不做限定。具体地，如果第一Portal客户端与第二Portal客户端是一个进程中的两个线程，则第一Portal客户端和第二Portal客户端可以采用函数调用的方式进行通讯，也可以采用进程间通讯方式来进行通讯。如果第一Portal客户端和第二Portal客户端是两个进程，则第一Portal客户端与第二Portal客户端可以采用进程间通讯方式进行通讯，例如，共享内存、消息、socket等进程间通讯方式可作为第一Portal客户端与第二Portal客户端之间的通讯方式。通讯协议可由AP厂家自行定义。

图13是示出根据本发明实施例的基于瘦AP架构的Portal认证方法的异常下线流程的示图。

在步骤1301，第一Portal客户端检测到用户异常下线(即，用户关机或关闭浏览器而没有经过主动下线流程)，更新用户认证状态为下线。

在步骤1302，第一Portal客户端通知第二Portal客户端用户异常下线。

在步骤1303，第二Portal客户端通知同样驻留于AC上的Radius客户端用户异常下线。

在步骤1304，Radius客户端通知Radius服务器用户异常下线，停止计费。

在步骤1305，Radius服务器确认用户下线，并通知Radius客户端用户下线成功。

在步骤1306，Radius客户端通知第二Portal客户端用户下线成功。

最后，在步骤1307，第二Portal客户端通知Portal服务器用户异常下线。

以上步骤中，步骤1307可以在步骤1302与步骤1303之间执行。步骤1301中，第一Portal客户端检测用户异常下线的机制可以是本领域技术人员已知的任何检测方法。在步骤1302中的第一Portal客户端与第二Portal客户端之间的通讯机制不做限定。

以上参照附图对根据本发明的Portal认证方法的流程进行了描述。根据本发明的Portal认证方法至少可以带来以下有益效果：支持在瘦AP架构的本地转发模式中的Portal认证，允许用户的业务流不经过AC，从而将AC的性能压力分散到各个AP之上，降低了AC的负担，消除了由于AC性能的瓶颈引起的Portal认证效率的降低。

虽然已经参照本发明的若干示例性实施例示出和描述了本发明，但是本领域的技术人员将理解，在不脱离权利要求及其等同物限定的本发明的精神和范围的情况下，可以在形式和细节上做出各种改变。

Claims (6)

1、一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端被划分为驻留于AP上的第一Portal客户端和驻留于无线接入控制器AC上的第二Portal客户端，所述方法包括以下步骤：

(a)第一Portal客户端截获用户的HTTP访问，确定是否需要对用户进行Portal认证；

(b)如果第一Portal客户端确定需要对用户进行Portal认证，则通知第二Portal客户端用户准备发起Portal认证；

(c)第二Portal客户端从Portal服务器接收用户的用户名和密码，并将用户信息通知Radius客户端以请求Radius客户端发起认证；

(d)在从Radius客户端获得认证结果后，第二Portal客户端更新用户认证状态，并将认证结果通知第一Portal客户端和Portal服务器；

(e)第一Portal客户端更新用户认证状态。

2、一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端被划分为驻留于AP的第一Portal客户端和驻留于无线接入控制器AC的第二Portal客户端，所述方法包括以下步骤：

(a)第二Portal客户端从Portal服务器接收到用户下线的通知，更新用户认证状态为下线；

(b)第二Portal客户端请求Radius客户端确认用户下线成功，并从Radius客户端收到下线成功的通知；

(c)第二Portal客户端通知第一Portal客户端用户下线成功，第一Portal客户端更新用户认证状态为下线。

3、如权利要求2所述的Portal认证方法，其特征在于步骤(c)和步骤(b)的顺序相反。

4、一种基于瘦无线接入点AP架构的Portal认证方法，其特征在于，Portal客户端驻留于AP的第一Portal客户端和驻留于无线接入控制器AC的第二Portal客户端，所述方法包括以下步骤：

(a)第一Portal客户端检测到用户异常下线，更新用户认证状态为下线；

(b)第一Portal客户端通知第二Portal客户端用户异常下线；

(c)第二Portal客户端通知Radius客户端用户异常下线并从Radius客户端接收用户下线成功的通知；

(d)第二Portal客户端通知Portal服务器用户异常下线。

5、如权利要求4所述的Portal认证方法，其中，所述步骤(d)位于步骤(b)与步骤(c)之间。

6、一种基于瘦无线接入点AP架构的Portal认证系统，包括Portal客户端、Radius客户端、Portal服务器和Radius服务器，其特征在于：Portal客户端被划分为驻留于AP上的第一Portal客户端和驻留于无线接入控制器AC上的第二Portal客户端，其中，

第一Portal客户端用于完成用户的HTTP访问重定向和用户异常下线检测功能，第二Portal客户端用于与Portal服务器和Radius服务器通信，第一Portal客户端与第二Portal客户端之间以预定的通信方式和通信协议通信以进行协同工作。

Images