CN101695022B

CN101695022B - 一种服务质量管理方法及装置

Info

Publication number: CN101695022B
Application number: CN2009102104235A
Authority: CN
Inventors: 刘浩
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2009-11-02
Filing date: 2009-11-02
Publication date: 2012-03-14
Anticipated expiration: 2029-11-02
Also published as: CN101695022A

Abstract

本发明公开了一种服务质量管理方法，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，包括以下步骤：所述网络管理设备接收来自所述接入设备的远程用户拨号认证RADIUS报文，所述RADIUS报文中携带所述代理客户端对应的用户名称和密码；所述网络管理设备对所述RADIUS报文中携带的用户名称和密码进行认证，在认证通过后，通知所述接入设备打开所述代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络，并对所述代理客户端对应的指定用户开启服务质量QoS策略，使通过认证后的用户能够访问所述服务器或者因特网。本发明实现对认证用户的服务质量管理。本发明同样公开了一种应用上述方法的装置。

Description

一种服务质量管理方法及装置

技术领域

本发明涉及通信技术领域，尤其涉及一种服务质量管理方法及装置。

背景技术

随着网络技术的发展和网络影响的扩大，企业网络中的接入用户的身份管理变得日益重要。通过接入用户的身份管理，企业员工、合作伙伴等合法用户可以正常访问企业的各种资源，非法用户被拒之门外。通常，企业网络可以采用802.1x认证或Portal(入口)认证来实现对接入用户的身份认证和管理。

其中，802.1x认证基于端口或者MAC(Media Access Control，媒体访问控制)地址，是一种二层认证协议。基于802.1X认证接入的用户身份认证流程，具体包括：当用户有访问网络需求时，打开802.1x客户端程序，输入已经申请、登记过的用户名和密码，发起连接请求(EAPOL-Start报文)，客户端程序将发出请求认证的报文给设备端；设备端收到请求认证的数据帧后，发出一个请求帧(EAP-Request/Identity报文)，要求用户的客户端程序发送输入的用户名；客户端程序响应设备端发出的请求，将用户名信息通过数据帧(EAP-Response/Identity报文)发送给设备端，设备端将客户端发送的数据帧经过封包处理后(RADIUS Access-Request报文)送给认证服务器进行处理；RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证)服务器收到设备端转发的用户名信息后，将该信息与数据库中的用户名表对比，找到该用户名对应的密码信息，用随机生成的一个加密字对用户名信息进行加密处理，同时也将该加密字通过RADIUS Access-Challenge报文发送给设备端，由设备端转发给客户端程序；客户端程序收到由设备端传来的加密字(EAP-Request/MD5 Challenge报文)后，用该加密字对密码部分进行加密处理(该加密算法通常是不可逆的，生成EAP-Response/MD5 Challenge报文)，并通过设备端传给认证服务器；RADIUS服务器将收到的已加密的密码信息(RADIUS Access-Request报文)和本地经过加密运算后的密码信息进行对比，如果相同，则认为该用户为合法用户，反馈认证通过的消息(RADIUSAccess-Accept报文和EAP-Success报文)；设备收到认证通过消息后将端口改为授权状态，允许用户通过端口访问网络，在此期间，设备端会通过向客户端定期发送握手报文的方法，对用户的在线情况进行监测，缺省情况下，如果两次握手请求报文都得不到客户端应答，设备端就会让用户下线，防止用户因为异常原因下线而设备无法感知；客户端也可以发送EAPOL-Logoff报文给设备端，主动要求下线，设备端把端口状态从授权状态改变成未授权状态，并向客户端发送EAP-Failure报文。上述流程中，基于802.1x的用户身份认证的控制点是启动了802.1x认证的接入层交换机，相关的策略交互是在AAA服务器和接入交换机上完成。

Portal认证是一个三层协议，未认证用户上网时，设备强制用户登录到特定站点，用户可以免费访问其中的服务。当用户需要使用互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。用户可以主动访问已知的Portal认证网站，输入用户名和密码进行认证，该方式称作主动认证；如果用户试图通过HTTP访问其他外网，将被强制访问Portal认证网站，从而开始Portal认证过程，该方式称作强制认证。

Portal框架主要由五个基本要素组成：认证客户端、接入设备、Portal服务器、认证/计费服务器和安全策略服务器。Portal认证流程具体包括：Portal用户通过HTTP协议发起认证请求，HTTP报文经过接入设备时，对于访问Portal服务器或设定的免费访问地址的HTTP报文，接入设备允许其通过；对于访问其它地址的HTTP报文，接入设备将其重定向到Portal服务器。Portal服务器提供Web页面供用户输入用户名和密码来进行认证。Portal服务器与接入设备之间进行CHAP(Challenge Handshake Authentication Protocol，质询握手验证协议)认证交互。若采用PAP(Password Authentication Protocol，密码验证协议)认证则直接进入下一步骤。Portal服务器将用户输入的用户名和密码组装成认证请求报文发往接入设备，同时开启定时器等待认证应答报文。接入设备与RADIUS服务器之间进行RADIUS协议报文的交互。接入设备向Portal服务器发送认证应答报文。Portal服务器向客户端发送认证通过报文，通知客户端认证(上线)成功。Portal服务器向接入设备发送认证应答确认。客户端和安全策略服务器之间进行安全信息交互。安全策略服务器检测接入终端的安全性是否合格，包括是否安装防病毒软件、是否更新病毒库、是否安装了非法软件、是否更新操作系统补丁等。安全策略服务器根据用户的安全性授权用户访问非受限资源，授权信息保存到接入设备中，接入设备将使用该信息控制用户的访问。上述认证过程中，Portal认证是一个三层的认证过程，实际部署中往往部署在企业的出口处，例如路由器、高端交换机等，部署的控制点较高，因此在用户认证之前仍然可以访问企业局域网中的各种资源。

上述分析的802.1x方案和Portal方案都可以实现网络接入用户的身份认证功能，同时通过RADIUS属性向认证设备下发QOS等流量、带宽策略，然而在实际应用中，局域网的带宽基本是100M以上，因此局域网内部对流量的控制并不迫切。另一方面，企业通过路由器等网关接入Internet，其带宽往往在2M～5M左右，带宽瓶颈十分明显，因此必须针对用户进行级别不同的带宽控制。针对企业的上述需求，采用802.1x认证可以在网络接入层对网络用户进行身份认证，通过RADIUS的标准属性Filter-Id向接入交换机下发QoS的标识，如果Filter-Id是数字，则匹配接入交换机上配置的ACL；如果Filter-Id是字符串中，则匹配QoS Profile，可以保证用户接入企业网络即可进行认证，保证任何一个接入用户都是合法的，但是QoS只能下发到接入交换机，控制局域网的流量没有任何实际意义。

网络也可以采用Portal认证时，由于Portal协议是三层认证，因此认证点必须部署在用户流量经过的且是三层设备上，通常是网关或者Internet出口路由器上，该方案也可以下发QoS标识，下发方式与上述RADIUS属性方式相同，因此，QoS只能下发在网关或者Internet出口路由器，由于认证部署位置较高，终端用户接入网络可以随意访问网络中的资源而不需要认证。

发明内容

本发明提供了一种服务质量管理方法及装置，用于实现对认证用户的服务质量管理。

本发明提供了一种服务质量管理方法，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，包括以下步骤：

所述网络管理设备接收来自所述接入设备的远程用户拨号认证RADIUS报文，所述RADIUS报文中携带所述代理客户端对应的用户名称和密码；

所述网络管理设备对所述RADIUS报文中携带的用户名称和密码进行认证，在认证通过后，通知所述接入设备打开所述代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络，并对所述代理客户端对应的指定用户开启服务质量QoS策略，使通过认证后的用户能够访问所述服务器或者因特网。

优选地，所述网络管理设备接收来自接入设备的RADIUS报文之前，还包括：

所述代理客户端获取用户输入的用户名称和密码，将所述用户名称和密码发送到所述接入设备，向所述接入设备发起Dotlx认证；

所述接入设备将所述用户名称和密码封装成RADIUS报文，并将所述RADIUS报文发送到所述网络管理设备。

优选地，所述的方法，还包括：

所述网络管理设备启动802.1x认证，通过扩展的集群协议将配置信息封装到集群报文中，并将所述集群报文下发到所述接入设备；

所述接入设备接收来自所述网络管理设备的集群报文，根据所述集群报文中的配置信息进行配置。

优选地，所述网络管理设备对所述RADIUS报文中携带的用户名称和密码进行认证，具体包括：

所述网络管理设备解析所述RADIUS报文，获取所述RADIUS报文中的用户名称、密码和因特网协议IP地址，根据所述用户名称查找数据库，判断对所述数据库的查找结果是否与所述密码匹配，如果匹配，则判断通过认证；如果不匹配，则判断未通过认证。

优选地，所述网络管理设备对代理客户端对应的指定用户开启QoS策略，具体包括：

所述网络管理设备根据所述用户名称查询数据，获取预置的服务质量策略，并将所述服务质量策略应用到所述用户名称对应的IP地址。

本发明还提供了一种服务质量管理装置，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，所述装置包括收发模块、认证模块和管理模块，

所述收发模块，用于接收来自所述接入设备的RADIUS报文，所述RADIUS报文中携带所述代理客户端对应的用户名称和密码；在所述认证模块认证通过所述RADIUS报文后，通知所述接入设备打开所述代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络；

所述认证模块，用于对所述收发模块接收到的RADIUS报文中携带的用户名称和密码进行认证；

所述管理模块，用于在所述认证模块认证通过后，对所述代理客户端对应的指定用户开启服务质量QoS策略，使通过认证后的用户能够访问所述服务器或者因特网。

优选地，所述收发模块，还用于启动802.1x 认证，通过扩展的集群协议将配置信息封装到集群报文中，并将所述集群报文下发到所述接入设备，使所述接入设备根据所述集群报文中的配置信息进行配置。

优选地，所述收发模块，还用于解析所述RADIUS报文，获取所述RADIUS报文中的用户名称、密码和IP地址，并将所述用户名称、密码和IP地址发送到所述认证模块。

优选地，所述认证模块，具体用于根据所述用户名称查找数据库，判断对所述数据库的查找结果是否与所述密码匹配，如果匹配，则判断通过认证，将所述用户名称和所述IP地址发送到所述收发模块和所述管理模块；如果不匹配，则判断未通过认证。

优选地，所述管理模块，具体用于根据所述用户名称查询数据，获取预置的服务质量策略，并将所述述QoS策略应用到所述用户名称对应的IP地址。

与现有技术相比，本发明具有以下优点：

本发明通过在接入层部署802.1x认证，在网络管理设备上针对认证用户执行预置的QoS带宽管理策略，能够保证用户合法接入企业局域网的同时，联动网络管理设备针对该接入用户下发不同QoS，保证不同用户具有不同的带宽利用率和网络使用体验，能够在接入层控制网络接入用户的认证的同时，在Internet出口处控制该用户带宽，从而实现局域网内部和Internet出口处的带宽管理和优化。

附图说明

图1为本发明中的一种服务质量管理方法流程图；

图2为本发明应用场景中的服务质量管理流程图；

图3为本发明应用场景中的服务质量管理装置结构示意图。

具体实施方式

本发明提供的技术方案中，其核心思想为将RADIUS认证服务器集成在网络管理设备中，通过集群协议自动协商802.1x和RADIUS的参数并进行自动配置，实现基于802.1x用户认证的简易部署。通过在接入层部署802.1x认证，在网络管理设备上针对认证用户执行预置的QoS带宽管理策略，能够保证用户合法接入企业局域网的同时，联动网络管理设备针对该接入用户下发不同QoS，保证不同用户具有不同的带宽利用率和网络使用体验。

其中，集群协议应用于网络设备的集群中，用于解决大量分散的网络设备的集中管理问题。上述集群中包括管理设备、成员设备和候选设备，其中，管理设备通过发送集群报文对集群内部的设备进行配置和管理，包括拓扑收集以及集群的建立和维护。集群报文限制在集群通讯所使用的管理VLAN内，以实现与其他报文的隔离，增强安全性。集群中的管理设备和成员设备通过管理VLAN实现内部通讯。

下面将结合本发明中的附图，对本发明的技术方案进行清楚、完整地描述。如图1所示，为本发明中的一种服务质量管理方法流程图，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，该方法包括以下步骤：

步骤101，网络管理设备接收来自接入设备的RADIUS报文，该RADIUS报文中携带代理客户端对应的用户名称和密码。

步骤102，网络管理设备对RADIUS报文中携带的用户名称和密码进行认证，在认证通过后，通知接入设备打开代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络，并对代理客户端对应的指定用户开启QoS策略，使通过认证后的用户能够访问服务器或者因特网。

以下结合应用场景，对本发明中的服务质量管理方法进行详细、具体的描述。如图2所示，为本发明应用场景中的服务质量管理流程图，具体包括以下步骤：

步骤201，网络管理员通过WEB登录到网络管理设备，在网络管理设备上启动802.1x认证。

具体地，网络管理员在网络管理设备上启动成员设备的802.1x认证，图形化配置802.1x认证，指明启动802.1x认证的端口或全局启动802.1x认证。网络管理设备内嵌RADIUS认证服务器，具有内嵌式用户管理功能，可以为路由器或汇聚层交换机。其中，汇聚交换机通常链接服务器等设备，路由器通常作为Internet的出口，网络位置均较高，是执行QoS策略的理想设备。

步骤202，网络管理设备通过扩展的集群协议将配置信息封装到集群报文中，并将该集群报文下发到接入设备。

其中，接入设备可以为接入交换机，配置信息包括RADIUS参数和控制命令等信息。

步骤203，接入设备接收来自网络管理设备的集群报文，根据该集群报文中的配置信息进行配置。

具体地，接入设备可以向网络管理设备查询802.1x配置参数，该配置参数包括认证IP地址、端口号、加密字等。接入设备接收到来自网络管理设备的RADIUS参数，并根据该RADIUS参数自行完成配置，同时执行控制报文中的控制命令，例如，打开端口的802.1x认证和启动802.1x握手等。

步骤204，用户通过代理客户端上安装的认证代理软件进行802.1x认证，在代理客户端输入用户名称和密码，通过代理客户端向接入设备发起Dotlx认证。

步骤205，接入设备将用户名称和密码等信息封装成RADIUS报文，并将该RADIUS报文发送到网络管理设备。

步骤206，网络管理设备对用户名称和密码进行认证，在认证通过后，通过RADIUS报文通知接入设备打开代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络。

具体地，网络管理设备解析接收到的RADIUS报文，获取该RADIUS报文中的用户名称、密码和IP地址，根据该用户名称查找数据库，判断对该数据库的查找结果是否与密码匹配，如果匹配，则判断通过认证；如果不匹配，则判断未通过认证。

步骤207，网络管理设备对代理客户端对应的指定用户开启QoS策略，使通过认证后的用户能够访问服务器或者Internet。

具体地，网络管理设备根据用户名称查询数据，获取预置的服务质量策略，并将该服务质量策略应用到该用户名称对应的IP地址。

需要说明的是，本发明方法可以根据实际需要对各个步骤顺序进行调整。

本发明基于802.1x认证管理方案，通过在接入层部署802.1x认证，在网络管理设备上针对认证用户执行预置的QoS带宽管理策略，能够保证用户合法接入企业局域网的同时，联动网络管理设备针对该接入用户下发不同QoS，保证不同用户具有不同的带宽利用率和网络使用体验，能够在接入层控制网络接入用户的认证的同时，在Internet出口处控制该用户带宽，从而实现局域网内部和Internet出口处的带宽管理和优化。

本发明在上述实施方式中提供了服务质量管理的方法和应用场景，相应地，本发明还提供了应用上述服务质量管理的方法的装置。

如图3所示，为本发明应用场景中的服务质量管理装置结构示意图，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，该装置包括收发模块310、认证模块320和管理模块330，其中，

收发模块310，用于接收来自所述接入设备的RADIUS报文，所述RADIUS报文中携带所述代理客户端对应的用户名称和密码；在所述认证模块320认证通过所述RADIUS报文后，通知所述接入设备打开所述代理客户端对应的物理端口或者逻辑端口，允许代理客户端接入网络。

上述收发模块310，还用于启动802.1x认证，通过扩展的集群协议将配置信息封装到集群报文中，并将所述集群报文下发到所述接入设备，使所述接入设备根据所述集群报文中的配置信息进行配置。

上述收发模块310，还用于解析所述RADIUS报文，获取所述RADIUS报文中的用户名称、密码和IP地址，并将所述用户名称、密码和IP地址发送到所述认证模块320。

认证模块320，用于对收发模块310接收到的RADIUS报文中携带的用户名称和密码进行认证。

上述认证模块320，具体用于根据所述用户名称查找数据库，判断对所述数据库的查找结果是否与所述密码匹配，如果匹配，则判断通过认证，将所述用户名称和所述IP地址发送到所述收发模块310和所述管理模块330；如果不匹配，则判断未通过认证。

管理模块330，用于在认证模块320认证通过后，对所述代理客户端对应的指定用户开启QoS策略，使通过认证后的用户能够访问所述服务器或者因特网。

上述管理模块330，具体用于根据所述用户名称查询数据，获取预置的服务质量策略，并将所述服务质量策略应用到所述用户名称对应的IP地址。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台终端设备(可以是手机，个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视本发明的保护范围。

Claims

1.一种服务质量管理方法，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，其特征在于，包括以下步骤：

所述接入设备接收来自所述网络管理设备的集群报文，根据所述集群报文中的配置信息进行配置；

2.如权利要求1所述的方法，其特征在于，所述网络管理设备接收来自接入设备的RADIUS报文之前，还包括：

3.如权利要求1所述的方法，其特征在于，所述网络管理设备对所述RADIUS报文中携带的用户名称和密码进行认证，具体包括：

4.如权利要求1所述的方法，其特征在于，所述网络管理设备对代理客户端对应的指定用户开启QoS策略，具体包括：

5.一种服务质量管理装置，应用于包括网络管理设备、接入设备、代理客户端和服务器的网络系统中，其特征在于，所述装置包括收发模块、认证模块和管理模块，

所述管理模块，用于在所述认证模块认证通过后，对所述代理客户端对应的指定用户开启服务质量QoS策略，使通过认证后的用户能够访问所述服务器或者因特网；

其中，所述收发模块，还用于启动802.1x 认证，通过扩展的集群协议将配置信息封装到集群报文中，并将所述集群报文下发到所述接入设备，使所述接入设备根据所述集群报文中的配置信息进行配置。

6.如权利要求5所述的装置，其特征在于，

所述收发模块，还用于解析所述RADIUS报文，获取所述RADIUS报文中的用户名称、密码和IP地址，并将所述用户名称、密码和IP地址发送到所述认证模块。

7.如权利要求6所述的装置，其特征在于，

所述认证模块，具体用于根据所述用户名称查找数据库，判断对所述数据库的查找结果是否与所述密码匹配，如果匹配，则判断通过认证，将所述用户名称和所述IP地址发送到所述收发模块和所述管理模块；如果不匹配，则判断未通过认证。

8.如权利要求7所述的装置，其特征在于，

所述管理模块，具体用于根据所述用户名称查询数据，获取预置的QoS策略，并将所述QoS策略应用到所述用户名称对应的IP地址。