CN101711031A - 一种本地转发中的Portal认证方法和接入控制器 - Google Patents

Abstract

本发明公开了一种本地转发中的Portal认证方法和接入控制器。本发明中，接入控制器AC对于配置了Portal认证的VLAN中接入的客户端，只有在对客户端的Portal认证通过时，才向AP发送本地转发控制消息。从而在由AC-FITAP组成的WLAN中，在不引入其他协议以及增加额外设备的情况下，实现本地转发的同时支持Portal认证。

Description

一种本地转发中的Portal认证方法和接入控制器

技术领域

本发明涉及通讯技术领域，尤其涉及一种本地转发中的Portal认证方法和接入控制器。

背景技术

现有的WALN(Wireless Local Area Network，无线局域网)中，多台无线接入点AP(Access Point，接入点)通过AC(Access Controller，接入控制器)集中控制。对于无线集中式管理架构中的AP，由于把Station(客户端)上线管理、密钥协商/更新、数据转发等操作交给AC实现，因此称为FIT AP。其中AC与FITAP之间的数据传输使用LWAPP(Light Weight Access PointProtocol，轻量接入点协议)隧道，其组网示意图如图1所示。LWAPP隧道的建立使AP在数据转发时不必考虑与AC之间复杂的路由关系，使AC与AP之间的联系变得简单。

现有技术中，Portal认证作为一种常用的认证方式，通常也称为Web认证。未认证用户上网时，支持Portal认证的设备强制用户登录到特定站点，用户可以免费访问其中的服务。当用户需要使用互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。

在AP所使用的射频技术发展到11n以后，现有AC的性能已经无法满足对AP转发进入AC的所有用户流量进行管理，在这种情况下，出现了本地转发技术，即用户流量不再需要通过FIT AP封装发送给AC、由AC进行集中转发，而是由FIT AP直接进行本地转发。本地转发是一种在AP上完成客户端之间数据交互的转发模式。在集中式WLAN架构中，AP会将客户端的数据报文透传给AC，由AC集中处理。随着客户端速率的不断提高，AC的转发压力也随之增大。采用本地转发后，AP直接转发客户端的数据，AC不再参与数据转发，大大减轻了AC的负担。

AP上线管理、密钥协商/更新等管理工作仍然在AC进行，只是把报文转发功能转移到了AP实现。Client用户在AC上线时，AC判断用户链路协商通过，向AP下发本地转发控制消息。AP接受后续的Client的数据业务报文时，判断本地记录了Client的本地转发标记，则数据业务报文直接在本地转发。

在认证方式上，用户可以主动访问已知的Portal认证网站，输入用户名和密码进行认证，这种开始Portal认证的方式称作主动认证。反之，如果用户试图通过HTTP访问其他外网，将被强制访问Portal认证网站，从而开始Portal认证过程，这种方式称作强制认证。

Portal认证作为一种三层认证，必须配置在路由口上。在二层业务进入三层转发时，Portal认证模块在三层转发流程中生效。Portal认证协议主要应用于基于WEB的宽带接入认证系统中，完成用户的认证和授权。整个Portal认证过程涉及到了认证客户端(Portal Client)，认证服务器端(Portal Server)，BAS(Broadband Access Server，宽带接入服务器)和AAA(Authentication/Authorization/Accounting，验证/授权/计费)服务器。逻辑框架如图2所示。

Portal对流量的控制可以分为以下集中情况：

路由器三层口：Portal基于三层路由器接口配置。在无用户认证时，Portal向该接口下发了“deny all“过滤规则，所有报文都不能被接口收发。如果有用户认证成功，则Portal向该接口下发了“permit用户IP”的规则，该用户流量可以通过；

支持VLAN三层转发的二层设备：Portal基于VLAN三层虚接口配置。在无用户认证时，Portal向该VLAN(Virtual Local Area Network，虚拟局域网)下的所有二层物理端口下发了“deny all“过滤规则，所有报文都不能被接口收发。如果有用户认证成功，则Portal向该VLAN下的所有二层物理端口下发了“permit用户IP”的规则，该用户流量可以从该VLAN所属的任何二层物理口成功接入；

现有技术中AC-FIT AP Portal认证的组网示意图如图3所示；现有技术中AP本地转发的示意图如图4所示。

现有技术中存在的问题在于：在采用本地转发的情况下，如果应用于需要Portal认证的网络中，就需要单独部署一台Portal认证设备，无法使用原有的将AC作为Portal认证设备的实现方式。这样在采用本地转发的情况下，由于增加了额外的Portal认证设备，因此增加了整网的设备数量，进而增加了实现方案的成本，或者是开发处理能力更加强大的AC控制器并且改变AC所使用的上行链路接口。例如以500个使用802.1ln技术的FIT AP为例，上行链路带宽保守估计需要50G。

发明内容

本发明提供了一种本地转发中的Portal认证方法和接入控制器，用于在由AC-FIT AP组成的WLAN中，在不增加额外设备以及不改变现网网络架构的情况下，实现本地转发的同时支持Portal认证。

本发明提供了一种本地转发中的Portal认证方法，应用于包括接入控制器AC和接入点AP的无线局域网WLAN中，所述AP支持本地转发，所述方法包括：

AC检测到AP下需要进行本地转发的客户端上线时，对所述客户端进行Portal认证；在所述客户端的Portal认证通过前，不向所述AP下发关于所述客户端的本地转发控制消息；

所述AC在所述客户端的Portal认证通过时，向所述AP发送关于所述客户端的本地转发控制消息，将所述客户端的流量在所述AP进行本地转发。

其中，所述AC对所述客户端进行Portal认证前，还包括：

所述AC判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证，所述判断结果为是时，触发对所述客户端的Portal认证。

其中，所述AC判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证包括：

所述AC获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与所述客户端所属的VLAN对应的三层路由VLAN虚接口；

所述AC获取配置了Portal认证的三层路由VLAN虚接口集合，判断所述集合中是否包括与所述客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断所述客户端所属的VLAN配置了Portal认证，否则判断未配置。

其中，所述AC对所述客户端进行Portal认证时，还包括：所述AC记录所述客户端的IP地址与MAC地址的对应关系、或为所述客户端分配标识并记录标识与MAC地址的对应关系；

所述AC在对一客户端的Portal认证通过时，根据通过认证的客户端的IP地址或标识，获取通所述客户端的MAC地址，根据所述客户端的MAC地址向所述AP发送关于所述客户端的本地转发控制消息。

其中，所述AC在判断所述客户端所属的VLAN未配置Portal认证时，生成关于所述客户端的本地转发控制消息并向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

本发明还提供了一种接入控制器AC，应用于包括AC和AP的WLAN中，所述AP支持本地转发，所述AC包括：

Portal认证单元，用于检测到AP下需要进行本地转发的客户端上线时，对所述客户端进行Portal认证；

转发控制单元，用于当所述Portal认证单元对所述客户端的Portal认证通过时，将关于所述客户端的本地转发控制消息向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

其中，还包括：

Portal认证判断单元，用于检测到通过AP接入网络的客户端上线时，判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证；所述判断结果为是时，触发所述Portal认证单元对所述客户端的Portal认证。

其中，所述Portal认证判断单元，具体用于：

获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与所述客户端所属的VLAN对应的三层路由VLAN虚接口；

获取配置了Portal认证的三层路由VLAN虚接口集合，判断所述集合中是否包括与所述客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断所述客户端所属的VLAN配置了Portal认证，否则判断未配置。

其中，所述Portal认证单元还用于：对客户端进行Portal认证时，记录所述客户端的IP地址与MAC地址的对应关系、或为所述客户端分配标识并记录标识与MAC地址的对应关系；在对一客户端的Portal认证通过时，根据通过认证的客户端的IP地址或标识，获取所述客户端的MAC地址，根据所述客户端的MAC地址通知所述转发控制单元向所述AP发送关于所述客户端的本地转发控制消息。

其中，所述转发控制单元，还用于在所述Portal认证判断单元判断所述客户端所属的VLAN未配置Portal认证时，生成关于所述客户端的本地转发控制消息并向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

与现有技术相比，本发明具有以下优点：

在由AC-FIT AP组成的WLAN中，在不引入其他协议以及增加额外设备的情况下，实现本地转发的同时支持Portal认证。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是现有技术中AC与AP间的LWAPP隧道示意图；

图2是现有技术中Portal认证框架的结构示意图；

图3是现有技术中AC-FIT AP Portal认证的组网示意图；

图4是现有技术中AP本地转发的示意图；

图5是本发明中提供的本地转发中的Portal认证方法流程图；

图6是本发明中提供的AC的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明中提供了一种本地转发中的Portal认证方法，应用于包括接入控制器AC和接入点AP的无线局域网WLAN中，该AP支持本地转发，如图5所示，该方法包括：

步骤s501、AC检测到AP下需要进行本地转发的客户端上线时，对该客户端进行Portal认证；在该客户端的Portal认证通过前，不向AP下发关于该客户端的本地转发控制消息。

步骤s502、AC在客户端的Portal认证通过时，向AP发送关于该客户端的本地转发控制消息，将该客户端的流量在AP进行本地转发。

上述步骤中，在具体的实现方式上，AC可以在对客户端进行Portal认证时，记录客户端的IP(Internet Protocol，因特网协议)地址与MAC(MediumAccess Control，媒体接入控制)地址的对应关系；或为客户端分配一个标识，并记录客户端的标识与MAC地址的对应关系。当对一客户端的Portal认证通过时，根据该通过Portal认证的客户端的IP地址或者标识，以及记录的上述对应关系，获取客户端的MAC地址，根据客户端的MAC地址向AP发送关于该客户端的本地转发控制消息。

另外，在网络中还可以根据需要进行进一步配置，使得部分接入AP的客户端需要进行Portal认证后才可以进行本地转发，部分客户端无需进行Portal认证即可进行本地转发。对此，本发明提供了以下实现方式：

在AP上进行配置，一个AP可以组建一个BSS(Basic Service Set，基本服务集)或多个BSS，每个BSS拥有不同的BSS ID。对于每个BSS，一些AP还可以同时支持多个SSID(Service Set Identifier，服务集标识)。因此，可以基于BSS ID或者SSID进行VLAN的划分。Portal认证是基于VLAN三层路由虚接口配置，因此在VLAN划分后，可以在AC上将VLAN配置为三层路由VLAN虚接口，根据VLAN为单位进行Portal认证的配置。

AC可以将需要进行Portal认证的VLAN组成“配置了Portal认证的三层路由VLAN虚接口集合”，对于通过该集合中VLAN接入的客户端，需要进行Portal认证；对于其它VLAN配置为不需要Portal认证。

在步骤s501中，AC检测到AP下需要进行本地转发的客户端上线时，首先进一步判断客户端所属的VLAN是否配置了Portal认证。具体的判断方法可以为：

AC根据客户端接入AP时分配的BSSID或者SSID，获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与客户端所属的VLAN对应的三层路由VLAN虚接口；AC获取配置了Portal认证的三层路由VLAN虚接口集合，判断该集合中是否包括与客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断客户端所属的VLAN配置了Portal认证，并进行步骤s501～s502所示的流程；否则判断未配置，此时AC可以不进行Portal认证的步骤，直接生成关于客户端的本地转发控制消息并向将客户端接入网络的AP发送，将客户端的流量在AP进行本地转发。

以下结合一个具体的应用场景，描述本发明中提供的本地转发中的Portal认证方法的具体实施方式。

首先，AC在检测到Client上线时，对Client进行上线连接处理。Client上线后，AC判断此Client所属VLAN是否配置了Portal认证。

AC作为支持VLAN三层转发的二层交换设备，Portal认证是基于VLAN三层路由虚接口配置，由于VLAN和VLAN路由虚接口一一对应，因此AC有能力判断指定VLAN内的Client是否需要Portal认证。对于判断为需要进行Portal认证的Client，AC对该Client进行标识，暂时不下发关于该Client的本地转发控制消息给相应的AP。因此，无论AC上是否配置了此Client的本地转发，AC都不把此Client的本地转发控制消息下发AP，即Client始终是集中转发。Client所对应的本地转发控制消息被延迟下发。具体的标识方法可以为：AC建立一个列表，对于本地转发控制消息被延迟下发的Client，在列表中存储该Client的MAC地址作为Client的标识。

Client上线后，AC记录Client的IP地址和MAC地址的对应关系，或为Client分配一个标识，并记录Client的标识与MAC地址的对应关系。当Client通过HTTP上网时，触发Portal认证。AC完成Portal认证的全过程，AC中的Portal认证功能完成认证后，根据Client的IP地址或Client的标识查找Client的MAC地址，确定该MAC地址对应的Client通过了Portal认证。之后AC在之前建立的列表中查找该Client的MAC地址，当查找到时则判断对于该Client存在被延迟下发的本地转发控制消息。对于一个Client，只有当AC判断：(1)Client通过了Portal认证；(2)对于该Client存在被延迟下发的本地转发控制消息；两个条件都成立时，则AC将该Client的本地转发控制消息发送到AP，并在已经建立的列表中将该Client的MAC地址删除。AP接收到AC发送的本地转发控制消息时，获取消息中携带的Client的MAC地址；AP在后续的流程中如果根据MAC地址判断接收到该Client的数据业务报文，则直接根据本地维护的路由表项进行本地转发，而不必将报文发送的AC进行转发。

本发明提供的上述方法中，在由AC-FIT AP组成的WLAN中，在不引入其他协议以及增加额外设备的情况下，实现本地转发的同时支持Portal认证。

本发明中还提供了一种接入控制器AC，应用于包括AC和AP的WLAN中，该AP支持本地转发。如图6所示，本发明中提供的AC包括：

Portal认证单元10，用于检测到AP下需要进行本地转发的客户端上线时，对客户端进行Portal认证。

转发控制单元20，用于当Portal认证单元10对客户端的Portal认证通过时，将关于客户端的本地转发控制消息向将客户端接入网络的AP发送，将客户端的流量在AP进行本地转发。

具体的，Portal认证单元10在对客户端进行Portal认证时，可以记录客户端的IP地址与MAC地址的对应关系、或为客户端分配标识并记录标识与MAC地址的对应关系；在对一客户端的Portal认证通过时，根据该通过认证的该客户端的IP地址或标识，获取该客户端的MAC地址，根据该客户端的MAC地址通知转发控制单元20向AP发送关于该客户端的本地转发控制消息。

其中，还包括：

Portal认证判断单元30，用于检测到通过AP接入网络的客户端上线时，判断该客户端所属的虚拟局域网VLAN是否配置了Portal认证；判断结果为是时，触发Portal认证单元10对客户端的Portal认证。

其中，Portal认证判断单元30，具体用于：获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与客户端所属的VLAN对应的三层路由VLAN虚接口；获取配置了Portal认证的三层路由VLAN虚接口集合，判断集合中是否包括与客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断客户端所属的VLAN配置了Portal认证，否则判断未配置。

转发控制单元20还用于在Portal认证判断单元30判断客户端所属的VLAN未配置Portal认证时，生成关于客户端的本地转发控制消息并向将客户端接入网络的AP发送，将客户端的流量在AP进行本地转发。

本发明提供的上述设备中，在由AC-FIT AP组成的WLAN中，在不引入其他协议以及增加额外设备的情况下，实现本地转发的同时支持Portal认证。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的单元或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的单元可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的单元可以合并为一个单元，也可以进一步拆分成多个子单元。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。

Claims (10)

1.一种本地转发中的Portal认证方法，其特征在于，应用于包括接入控制器AC和接入点AP的无线局域网WLAN中，所述AP支持本地转发，所述方法包括：

AC检测到AP下需要进行本地转发的客户端上线时，对所述客户端进行Portal认证；在所述客户端的Portal认证通过前，不向所述AP下发关于所述客户端的本地转发控制消息；

所述AC在所述客户端的Portal认证通过时，向所述AP发送关于所述客户端的本地转发控制消息，将所述客户端的流量在所述AP进行本地转发。

2.如权利要求1所述的方法，其特征在于，所述AC对所述客户端进行Portal认证前，还包括：

所述AC判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证，所述判断结果为是时，触发对所述客户端的Portal认证。

3.如权利要求2所述的方法，其特征在于，所述AC判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证包括：

所述AC获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与所述客户端所属的VLAN对应的三层路由VLAN虚接口；

所述AC获取配置了Portal认证的三层路由VLAN虚接口集合，判断所述集合中是否包括与所述客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断所述客户端所属的VLAN配置了Portal认证，否则判断未配置。

4.如权利要求1所述的方法，其特征在于，所述AC对所述客户端进行Portal认证时，还包括：所述AC记录所述客户端的IP地址与MAC地址的对应关系、或为所述客户端分配标识并记录标识与MAC地址的对应关系；

所述AC在对一客户端的Portal认证通过时，根据通过认证的客户端的IP地址或标识，获取通所述客户端的MAC地址，根据所述客户端的MAC地址向所述AP发送关于所述客户端的本地转发控制消息。

5.如权利要求2或3所述的方法，其特征在于，所述AC在判断所述客户端所属的VLAN未配置Portal认证时，生成关于所述客户端的本地转发控制消息并向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

6.一种接入控制器AC，其特征在于，应用于包括AC和AP的WLAN中，所述AP支持本地转发，所述AC包括：

Portal认证单元，用于检测到AP下需要进行本地转发的客户端上线时，对所述客户端进行Portal认证；

转发控制单元，用于当所述Portal认证单元对所述客户端的Portal认证通过时，将关于所述客户端的本地转发控制消息向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

7.如权利要求6所述的AC，其特征在于，还包括：

Portal认证判断单元，用于检测到通过AP接入网络的客户端上线时，判断所述客户端所属的虚拟局域网VLAN是否配置了Portal认证；所述判断结果为是时，触发所述Portal认证单元对所述客户端的Portal认证。

8.如权利要求7所述的AC，其特征在于，所述Portal认证判断单元，具体用于：

获取客户端所属的VLAN，根据VLAN与三层路由VLAN虚接口的对应关系，获取与所述客户端所属的VLAN对应的三层路由VLAN虚接口；

获取配置了Portal认证的三层路由VLAN虚接口集合，判断所述集合中是否包括与所述客户端所属的VLAN对应的三层路由VLAN虚接口，是则判断所述客户端所属的VLAN配置了Portal认证，否则判断未配置。

9.如权利要求6所述的AC，其特征在于，

所述Portal认证单元还用于：对客户端进行Portal认证时，记录所述客户端的IP地址与MAC地址的对应关系、或为所述客户端分配标识并记录标识与MAC地址的对应关系；在对一客户端的Portal认证通过时，根据通过认证的客户端的IP地址或标识，获取所述客户端的MAC地址，根据所述客户端的MAC地址通知所述转发控制单元向所述AP发送关于所述客户端的本地转发控制消息。

10.如权利要求7或8中所述的AC，其特征在于，所述转发控制单元，还用于在所述Portal认证判断单元判断所述客户端所属的VLAN未配置Portal认证时，生成关于所述客户端的本地转发控制消息并向将所述客户端接入网络的AP发送，将所述客户端的流量在所述AP进行本地转发。

Images