CN101697550A - 一种双栈网络访问权限控制方法和系统 - Google Patents

Abstract

本发明提供了一种双栈网络访问权限控制方法和系统。本发明通过在RADIUS服务器上确定用户的访问权限的配置信息，并将配置信息发送给客户端，由客户端配置用户的访问权限，可以限制用户对IPv4或IPv6网络资源的访问，从而杜绝可能的非法操作，达到保护这些资源的目的。

Description

一种双栈网络访问权限控制方法和系统

技术领域

本发明涉及一种双栈网络访问权限控制方法和系统，属于数据通信技术领域。

背景技术

802.1x称为基于端口的访问控制协议(Port Based Network AccessControl Protocol)。基于端口的访问控制能够提供一种对连接到局域网(Local Area Network，简称LAN)的设备或用户进行认证和授权的手段。通过这种方式的认证，能够在LAN这种多点访问环境中提供一种点对点的识别用户的方式。这里端口是指连接到LAN的一个单点结构，可以是被认证系统的媒体访问控制(Media Access Control，简称MAC)地址，也可以是服务器或网络设备连接LAN的物理端口，或者是在IEEE 802.11(TheInstitute of Electrical and Electronics Engineers，美国电气和电子工程师协会)无线LAN环境中定义的工作站和访问点。

802.1x认证体系中有三种角色：

1.Supplicant客户端：

客户端指LAN所连接的一端的实体(entity)，通常是运行在用户计算机上的客户端软件。它向认证系统(Authenticator)发起请求，对用户身份的合法性进行检验。

2.Authenticator认证系统：

认证系统指在LAN连接的一端用于认证另一端设备的实体(entity)，通常是交换机。

3.Authentication Server认证服务器：

认证服务器指为认证系统提供认证服务的实体。这里认证服务器所提供的服务是指通过检验客户端发送来的身份标识，来判断该请求者是否有权使用认证系统所提供的网络服务。通常使用远程用户拨号认证系统(Remote Authentication Dial In User Service，简称RADIUS)服务器作为认证服务器。

RADIUS是当前流行的AAA协议，AAA是授权(Authorization)、认证(Authentication)和计费(Accounting)的简称。

RADIUS协议采用客户/服务器(Client/Server)结构，采用UDP作为传输协议。RADIUS的客户端通常运行于网络接入服务器(Network AccessServer，简称NAS)上，客户端的任务是将用户的信息发送到指定的服务器，然后根据服务器的不同响应进行处理。RADIUS服务器通常运行于一台工作站上，其任务是接收客户发来的请求，认证用户的权限，并返回客户向用户提供服务时所需的配置信息。RADIUS的服务器端的数据库中存放着所有的安全信息。

网络接入服务器在前述802.1x认证体系中即Authenticator，通常由交换机承担此角色。

由于因特网(Internet)的规模以及目前网络中数量庞大的IPv4用户和设备，IPv4到IPv6的过渡不可能一次性实现。在IPv4到IPv6的过渡期间，需要解决IPv6结点与IPv4结点互通的问题。

实现IPv6结点与IPv4结点互通的最直接的方式是在IPv6结点中加入IPv4协议栈。具有双协议栈的结点称作“IPv6/v4结点”，这些结点既可以收发IPv4分组，也可以收发IPv6分组。它们可以使用IPv4协议与IPv4结点互通，也可以直接使用IPv6协议与IPv6结点互通。

IPv6与IPv4网络将会长期共存，实际应用中普遍使用双协议栈。在这种应用场景下，存在一些安全问题，如恶意用户可以使用IPv6非法访问采用了IPv4和IPv6两种协议的LAN的网络资源，攻击者可以通过安装了双栈IPv6主机，建立由IPv6到IPv4的隧道，绕过防火墙对IPv4网络进行攻击。

发明内容

本发明的目的是提供一种双栈网络访问权限控制方法和系统，使得用户只有在经过许可的情况下才能访问网络中的IPv4或IPv6资源。

为实现上述目的，本发明提供了一种双栈网络访问权限控制方法，所述方法包括：

步骤S1，客户端发送包括用户认证信息的认证请求；

步骤S2，认证交换机接收到认证请求后，将认证请求中的用户认证信息传递给远程用户拨号认证系统RADIUS服务器；

步骤S3，RADIUS服务器根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息；

步骤S4，客户端收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

为了实现上述目的，本发明还提供了一种RADIUS服务器，用于根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息。

为了实现上述目的，本发明又提供了一种客户端，用于发送包括用户认证信息的认证请求；以及在收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

为了实现上述目的，本发明再提供了一种双栈网络访问权限控制系统，所述系统包括客户端、认证交换机和RADIUS服务器；

所述客户端用于发送包括用户认证信息的认证请求；以及在收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限；

所述认证交换机与客户端和RADIUS服务器连接，用于接收到客户端发来的认证请求后，将认证请求中的用户认证信息传递给RADIUS服务器；

所述RADIUS服务器用于根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息。

本发明通过在RADIUS服务器上确定用户的访问权限的配置信息，并将配置信息发送给客户端，由客户端配置用户的访问权限，可以限制用户对IPv4或IPv6网络资源的访问，从而杜绝可能的非法操作，达到保护这些资源的目的。

附图说明

图1为本发明一种双栈网络访问权限控制方法实施例一示意图

图2为本发明一种双栈网络访问权限控制方法实施例二示意图

图3为本发明一种双栈网络访问权限控制系统实施例一示意图

图4为本发明一种双栈网络访问权限控制系统实施例二示意图

图5为本发明一种双栈网络访问权限控制系统实施例三示意图

具体实施方式

本发明的目的是提供一种双栈网络访问权限控制方法和系统，使得用户只有在经过许可的情况下才能访问网络中的IPv4或IPv6资源。

下面结合附图对本发明进行说明，本发明提供了一种双栈网络访问权限控制方法，图1给出了本发明一种双栈网络访问权限控制方法实施例一示意图，所述方法包括：

步骤S1，客户端发送包括用户认证信息的认证请求；

例如所述客户端可以为802.1x认证客户端。

步骤S2，认证交换机接收到认证请求后，将认证请求中的用户认证信息传递给RADIUS服务器；

所述认证交换机可以为网络接入交换机。

步骤S3，RADIUS服务器根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息；

所述用户的访问权限的配置信息可以为配置值，例如：

配置值为0表示禁止访问IPv4和IPv6网络；

配置值为1表示允许访问IPv4网络且禁止访问IPv6网络；

配置值为2表示禁止访问IPv4网络且允许访问IPv6网络；

配置值为3表示允许访问IPv4和IPv6网络。

步骤S4，客户端收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

所述根据消息中的所述配置信息配置用户的访问权限具体可以为：

当所述配置信息为禁止访问IPv4和IPv6网络的配置时，禁用用户主机上的IPv4和IPv6协议；

当所述配置信息为允许访问IPv4网络且禁止访问IPv6网络的配置时，启用用户主机上的IPv4协议，并禁用用户主机上的IPv6协议；

当所述配置信息为禁止访问IPv4网络且允许访问IPv6网络的配置时，禁用用户主机上的IPv4协议，并启用用户主机上的IPv6协议；

当所述配置信息为允许访问IPv4和IPv6网络的配置时，启用用户主机上的IPv4和IPv6协议。

本发明通过在RADIUS服务器上确定用户的访问权限的配置信息，并将配置信息发送给客户端，由客户端配置用户的访问权限，可以限制用户对IPv4或IPv6网络资源的访问，从而杜绝可能的非法操作，达到保护这些资源的目的。

图2给出了本发明一种双栈网络访问权限控制方法实施例二示意图，本实施例除了包括方法实施例一的步骤外，所述步骤S1之前还包括步骤S5：在RADIUS服务器的用户数据库中添加用户和访问权限的配置信息。

通过添加配置信息，可以集中的、系统的在RADIUS服务器上管理用户的IPv4/IPv6访问权限。

本发明还提供了一种RADIUS服务器，用于根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息。

所述RADIUS服务器还可以用于在用户数据库中添加用户和访问权限的配置信息。

一般RADIUS服务器至少有两个功能：用户认证功能、用户数据库，本发明可以对这两个功能进行改造：

1)改造用户数据库，为每个用户添加IPv4/IPv6访问权限的配置值，这个配置值可以有4个，具体如下：

配置值为0表示禁止访问IPv4和IPv6网络；

配置值为1表示允许访问IPv4网络且禁止访问IPv6网络；

配置值为2表示禁止访问IPv4网络且允许访问IPv6网络；

配置值为3表示允许访问IPv4和IPv6网络。

2)改造用户认证功能，在用户认证成功后，从用户数据库中取出IPv4/IPv6访问权限的配置值，下发给802.1x认证客户端。

本发明又提供了一种客户端，用于发送包括用户认证信息的认证请求；以及在收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

所述根据消息中的所述配置信息配置用户的访问权限具体可以为：

当所述配置信息为禁止访问IPv4和IPv6网络的配置时，禁用用户主机上的IPv4和IPv6协议；

当所述配置信息为允许访问IPv4网络且禁止访问IPv6网络的配置时，启用用户主机上的IPv4协议，并禁用用户主机上的IPv6协议；

当所述配置信息为禁止访问IPv4网络且允许访问IPv6网络的配置时，禁用用户主机上的IPv4协议，并启用用户主机上的IPv6协议；

当所述配置信息为允许访问IPv4和IPv6网络的配置时，启用用户主机上的IPv4和IPv6协议。

本发明可以改造802.1x认证客户端，在认证成功后接收RADIUS服务器下发的用户的访问权限的配置信息，例如IPv4/IPv6访问权限的配置值，根据接收到的配置值，对用户可访问的网络进行限制：

若收到的配置值为0，则禁用用户主机上的IPv4协议和IPv6协议，用户对IPv4资源和IPv6资源均不能访问。

若收到的配置值为1，则启用用户主机上的IPv4协议，禁用用户主机上的IPv6协议，用户可以访问IPv4资源，但不能访问IPv6资源。

若收到的配置值为2，则禁用用户主机上的IPv4协议，启用用户主机上的IPv6协议，用户不能访问IPv4资源，但可以访问IPv6资源。

若收到的配置值为3，则启用用户主机上的IPv4协议和IPv6协议，用户既可以访问IPv4资源，也可以访问IPv6资源。

经上述改造，即可实现对用户访问IPv4/IPv6资源时进行访问权限的控制，以只允许访问IPv4资源为例，具体控制过程如下：

1)用户运行802.1x认证客户端，输入用户名和密码发起认证，将认证信息传递给认证交换机；

2)认证交换机将用户认证信息传递给RADIUS服务器；

3)RADIUS服务器将收到的用户认证信息与用户数据库中的用户认证信息进行对比，如果信息一致则认证成功；

4)RADIUS服务器在认证成功的情况下，从用户数据库取出为该用户配置的IPv4/v6访问权限的配置值，例如配置值为1，RADIUS服务器将这个配置值附加在认证成功消息中下发给802.1x客户端；

5)802.1x客户端收到用户的IPv4/v6访问权限的配置值为1，因此启用用户主机上的IPv4协议，禁用用户主机上的IPv6协议；

6)用户可以访问IPv4资源，但不能访问IPv6资源。

本发明再提供了一种双栈网络访问权限控制系统，图3给出了本发明一种双栈网络访问权限控制系统实施例一示意图，所述系统包括客户端、认证交换机和RADIUS服务器；

所述客户端用于发送包括用户认证信息的认证请求；以及在收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

所述认证交换机与客户端和RADIUS服务器连接，用于接收到客户端发来的认证请求后，将认证请求中的用户认证信息传递给RADIUS服务器；

所述认证交换机可以为网络接入交换机。

所述RADIUS服务器用于根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息。

所述RADIUS服务器还可以用于在用户数据库中添加用户和访问权限的配置信息。

图4给出了本发明一种双栈网络访问权限控制系统实施例二示意图，本实施例中包括一台RADIUS服务器，一台IPv4资源服务器，一台IPv6资源服务器，一台认证交换机和一台用户主机。

本实施例的部署方案如下：

1.IPv4资源服务器仅安装IPv4协议，IPv6资源服务器仅安装IPv6协议。

2.认证交换机、用户主机都安装双协议栈。

3.RADIUS服务器不限制，可以安装IPv4、IPv6或双协议栈。

4.认证交换机支持IPv4、IPv6或双协议栈的RADIUS服务器。

5.用户主机安装802.1x认证客户端。

图5给出了本发明一种双栈网络访问权限控制系统实施例三示意图，本实施例中包括一台RADIUS服务器、多台认证交换机和多台用户主机，以及IPv4网络资源和IPv6网络资源。

本实施例的部署方案如下：

1.RADIUS服务器必须存在。

2.所有用户都通过认证交换机连接到双栈网络。

3.IPv4网络资源和IPv6网络资源连接到双栈网络。

4.运行于用户主机上的认证客户端控制用户是否可以访问IPv4/IPv6网络资源。

本发明在IPv4/IPv6双协议栈环境中，可以限制用户对IPv4或IPv6网络资源的访问，从而杜绝可能的非法操作，达到保护这些资源的目的。

本发明对用户的网络访问权限的控制不依赖于网络中除接入设备外的其他设备，如防火墙，入侵检测系统(Intrusion Detection Systems，简称IDS)设备等，可以在不具备这些设备或者这些设备不支持IPv6及双协议栈的环境中发挥作用。

本方案可以在单个用户粒度上进行安全控制，并且集中在RADIUS服务器上管理，使用起来非常方便。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (8)

1.一种双栈网络访问权限控制方法，其特征在于，所述方法包括：

步骤S1，客户端发送包括用户认证信息的认证请求；

步骤S2，认证交换机接收到认证请求后，将认证请求中的用户认证信息传递给远程用户拨号认证系统RADIUS服务器；

步骤S3，RADIUS服务器根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息；

步骤S4，客户端收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

2.根据权利要求1所述的方法，其特征在于，所述步骤S1之前还包括步骤S5：在RADIUS服务器的用户数据库中添加用户和访问权限的配置信息。

3.根据权利要求1或2所述的方法，其特征在于，所述根据消息中的所述配置信息配置用户的访问权限具体为：

当所述配置信息为禁止访问IPv4和IPv6网络的配置时，禁用用户主机上的IPv4和IPv6协议；

当所述配置信息为允许访问IPv4网络且禁止访问IPv6网络的配置时，启用用户主机上的IPv4协议，并禁用用户主机上的IPv6协议；

当所述配置信息为禁止访问IPv4网络且允许访问IPv6网络的配置时，禁用用户主机上的IPv4协议，并启用用户主机上的IPv6协议；

当所述配置信息为允许访问IPv4和IPv6网络的配置时，启用用户主机上的IPv4和IPv6协议。

4.一种RADIUS服务器，其特征在于，用于根据用户认证信息对用户进行认证，如果认证成功则在用户数据库中查找所述用户的访问权限的配置信息，并将所述配置信息附加在认证成功消息中发送给客户端，否则向客户端发送认证失败消息。

5.根据权利要求4所述的RADIUS服务器，其特征在于，还用于在用户数据库中添加用户和访问权限的配置信息。

6.一种客户端，其特征在于，用于发送包括用户认证信息的认证请求；以及在收到认证成功消息时，根据消息中的所述配置信息配置用户的访问权限。

7.根据权利要求6所述的客户端，其特征在于，所述根据消息中的所述配置信息配置用户的访问权限具体为：

当所述配置信息为禁止访问IPv4和IPv6网络的配置时，禁用用户主机上的IPv4和IPv6协议；

当所述配置信息为允许访问IPv4网络且禁止访问IPv6网络的配置时，启用用户主机上的IPv4协议，并禁用用户主机上的IPv6协议；

当所述配置信息为禁止访问IPv4网络且允许访问IPv6网络的配置时，禁用用户主机上的IPv4协议，并启用用户主机上的IPv6协议；

当所述配置信息为允许访问IPv4和IPv6网络的配置时，启用用户主机上的IPv4和IPv6协议。

8.一种双栈网络访问权限控制系统，其特征在于，包括客户端、认证交换机和RADIUS服务器；

所述客户端为权利要求6或7所述的任一客户端；

所述认证交换机与客户端和RADIUS服务器连接，用于接收到客户端发来的认证请求后，将认证请求中的用户认证信息传递给RADIUS服务器；

所述RADIUS服务器为权利要求4或5所述的任一RADIUS服务器。

Images