CN102045398B - 一种基于Portal的分布式控制方法和设备 - Google Patents

Abstract

本发明公开了一种基于Portal的分布式控制方法和设备，该方法包括：Portal服务器接收来自客户端的连接请求报文，如果所述客户端在线，则根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；当所述客户端认证通过时，所述Portal服务器通知所述客户端访问所述策略下发BAS对应的资源。本发明中，满足分布式策略下发的需求，在分布式场景下实现资源的访问。

Description

一种基于Portal的分布式控制方法和设备

技术领域

本发明涉及通信技术领域，特别是涉及一种基于Portal的分布式控制方法和设备。

背景技术

在传统的网络环境中，用户只要能够接入到局域网设备就可访问网络中的设备或资源，为了加强网络资源的安全控制和运营管理，很多情况下需要对用户的访问进行控制。例如，在一些公共场合、小区或公司的网络接入点，提供接入服务的供应商希望只允许付费的合法用户接入，则可为每个用户提供接入网络的账号和密码；另外，一些企业会提供一些内部关键资源给外部用户访问，且希望经过有效认证的用户才可以访问这些资源。

现有的802.1x(基于端口访问控制和认证的协议)和PPPoE(Point to PointProtocol over Ethernet，以太网上的PPP)等访问控制方式，需要客户端的配合且只能在接入层对用户的访问进行控制；Portal(门户)认证提供一种灵活的访问控制方式，不需要安装客户端且可以在接入层以及需要保护的关键数据入口处实施访问控制。

在Portal认证过程中，未认证用户上网时，设备强制用户登录到特定站点，用户可免费访问其中的服务。当用户需要使用互联网中的其它信息时，在门户网站进行认证，并只有认证通过后，才可使用互联网资源。基于Portal认证的特点，目前城域网架构中，一般采用Portal认证的方式来实现用户的安全认证。其中认证控制点在城域网为BAS(Broad Access Server，宽带接入服务器)。

如图1所示，为Portal认证框架示意图，其中包括：(1)Portal客户端，使用Web浏览器或客户端，其提供用户可见的Portal上下线界面，处理相应的客户端侧认证流程。(2)Portal服务器，为Portal认证的核心，其检测到Portal客户端发起认证，与BAS交互，使BAS在认证通过后对用户开放相应的权限。(3)BAS，为控制用户的核心设备，其接受Portal服务器发送的用户认证请求，并将其转换为相应的RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)认证报文，到AAA(Authentication AuthorizationAccounting，认证授权和计费)服务器进行用户身份认证。(4)AAA服务器，对用户进行身份认证。

Portal认证的上线流程如图2所示，包括：(1)Portal用户上线，发送连接请求或强制重定向到Portal服务器的认证网页。(2)Portal服务器向BAS发送认证请求。(3)BAS将认证请求转换为RADIUS认证报文到AAA服务器进行身份认证，认证成功后向Portal服务器返回认证成功，开放此用户的访问权限。(4)Portal服务器通知客户端Portal认证成功。

Portal认证的下线流程如图3所示，包括：(1)Portal用户通过HTTP(HyperText Transfer Protocol，超文本传输协议)发送下线请求。(2)Portal服务器向BAS发送下线请求。(3)BAS向AAA发送计费结束报文，成功后向Portal服务器返回下线请求确认，关闭此用户的访问权限。(4)Portal服务器通知客户端Portal下线成功。

在Portal协议认证框架内，Portal服务器通过配置获知哪个BAS用来认证哪些IP地址的用户，并可实现BAS与用户地址网段的一一对应关系，同一个IP地址的用户在一个网络中只能在一台BAS上进行认证。

现有园区网中，用户的控制方式发生了变化，在园区网不同的位置，利用ACL(Access Control List，访问控制列表)下发的方式对用户进行分布式的策略控制，以限制用户对某类资源的访问。其中，这种访问是基于用户身份控制(不基于IP地址控制)的，在BAS上进行控制时将用户身份与IP地址对应，因此，现有利用Portal对用户在园区网中进行分布式控制是不可行的。

具体的，现有Portal认证协议框架下，每个用户的IP只在一台BAS上进行认证，当需要对该用户进行分布式的策略控制时，需要该用户的IP在多台BAS上进行认证，而Portal服务器上只配置了BAS与IP地址的一一对应关系，因此无法实现分布式的策略控制。

发明内容

本发明提供一种基于Portal的分布式控制方法和设备，以在分布式场景下实现资源的访问。

为了达到上述目的，本发明提供一种基于Portal的分布式控制方法，应用于包括客户端、Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中，该方法包括：

所述Portal服务器接收来自所述客户端的连接请求报文，如果所述客户端在线，则根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；

当所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证通过时，所述Portal服务器通知所述客户端访问所述策略下发BAS对应的资源。

所述Portal服务器接收来自所述客户端的连接请求报文，具体包括：

在提示所述客户端是否访问所述策略下发BAS对应的资源的重定向页面上，所述Portal服务器接收来自所述客户端的连接请求报文。

所述客户端在线，之前还包括：

当所述身份认证BAS根据所述客户端的身份认证信息到所述认证服务器上对所述客户端认证通过时，所述Portal服务器通知所述客户端访问网络。

所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证，具体包括：

所述策略下发BAS根据所述客户端的身份认证信息向所述认证服务器发送身份认证请求报文；所述认证服务器根据所述身份认证信息对所述客户端进行认证。

所述客户端访问所述策略下发BAS对应的资源，之前还包括：

所述认证服务器向所述策略下发BAS下发允许所述客户端访问所述策略下发BAS对应的资源的策略ACL。

所述方法还包括：

当所述客户端在所述身份认证BAS上下线时，所述Portal服务器确定与所述身份认证BAS对应的策略下发BAS，并将所述客户端在对应的策略下发BAS上下线。

一种Portal服务器，应用于包括客户端、所述Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中，该Portal服务器包括：

连接请求报文接收模块，用于接收来自所述客户端的连接请求报文；

认证请求报文发送模块，用于当所述客户端在线时，根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；

资源访问通知模块，用于当所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证通过时，通知所述客户端访问所述策略下发BAS对应的资源。

所述连接请求报文接收模块，具体用于在提示所述客户端是否访问所述策略下发BAS对应的资源的重定向页面上，接收来自所述客户端的连接请求报文。

还包括：

网络访问通知模块，用于当所述身份认证BAS根据所述客户端的身份认证信息到所述认证服务器上对所述客户端认证通过时，通知客户端访问网络。

还包括：

下线处理模块，用于当所述客户端在所述身份认证BAS上下线时，确定与所述身份认证BAS对应的策略下发BAS，并将所述客户端在对应的策略下发BAS上下线。

与现有技术相比，本发明至少具有以下优点：

使得Portal协议支持单一IP地址在多个BAS上进行认证或策略下发的过程，满足分布式策略下发的需求，在分布式场景下实现资源的访问。

附图说明

图1是现有技术中Portal认证框架示意图；

图2是现有技术中Portal认证的上线流程示意图；

图3是现有技术中Portal认证的下线流程示意图；

图4是本发明提供的一种基于Portal的分布式控制方法流程图；

图5是本发明一种应用场景下的组网示意图；

图6是本发明提出的一种Portal服务器的结构图。

具体实施方式

针对现有Portal协议的限制，本发明提出一种基于Portal的分布式控制方法和设备，使Portal协议支持IP地址在多个BAS上进行认证或策略下发的过程，满足用户的分布式策略下发需求，在分布式场景下实现资源的访问。本发明中，客户端(即用户侧)在BAS上只需要进行一次身份认证，则访问其他的受限制资源时，可自动的将该客户端所应用的策略下发到BAS上，无需再次输入用户身份信息(如用户名、密码等)。

下面结合附图对本发明实施例进行详细描述。

本发明提出一种基于Portal的分布式控制方法，该方法应用于包括客户端(即Portal用户所使用的客户端)、Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中。其中，在Portal服务器上配置了IP地址与BAS的对应关系，为了满足多个BAS上下发策略的需求，可在Portal服务器上将身份认证BAS与策略下发BAS区分开，针对一个认证客户端的IP地址，有一个身份认证BAS，并可有多个策略下发BAS。例如，客户端1通过BAS 1进行身份认证并访问网络时，则Portal服务器上会配置客户端1的IP地址与BAS 1的对应关系，BAS 1为客户端1的身份认证BAS；另外，当BAS2、BAS 3和BAS 4分别有对应的受限资源(如内部资料等)可提供给客户端访问时，则BAS 2、BAS 3和BAS 4为策略下发BAS。

如图4所示，该方法包括以下步骤：

步骤401，客户端发送HTTP(Hyper Text Transfer Protocol，超文本传输协议)请求给身份认证BAS。其中，当客户端有网络访问需求时，可任意输入一个网址，发送HTTP请求。

步骤402，身份认证BAS对该客户端进行重定向。其中，当接收到HTTP请求后，由于客户端没有通过认证，则身份认证BAS向客户端发送重定向报文，该重定向报文中携带了Portal服务器的地址信息。

步骤403，客户端根据重定向报文访问Portal服务器。

本发明中，可区分身份认证BAS的重定向页面和策略下发BAS的重定向页面。身份认证BAS的重定向页面可针对客户端输入身份认证信息(如用户名、密码等)；策略下发BAS的重定向页面可提示客户端是否访问策略下发BAS对应的资源。

本步骤中，是在身份认证BAS的重定向页面上进行的，即用户需要输入身份认证信息。

步骤404，Portal服务器通过身份认证BAS和认证服务器对该客户端进行认证，并在认证通过时通知客户端Portal认证成功。

具体的，由于Portal服务器上配置了客户端IP地址与身份认证BAS的对应关系，则Portal服务器可向身份认证BAS发送携带该身份认证信息的认证请求报文；之后，身份认证BAS将该认证请求报文发送给认证服务器(如AAA服务器)进行认证。当认证通过后，身份认证BAS开放该客户端的访问权限，并由Portal服务器通知客户端Portal认证成功；之后，客户端可以访问网络，并处于在线状态。

本发明中，当客户端有访问策略下发BAS对应的受限资源的需求时，在认证通过的基础上，该方法还包括以下步骤：

步骤405，客户端发送HTTP请求给策略下发BAS。

步骤406，策略下发BAS对该客户端进行重定向。其中，当接收到HTTP请求后，由于客户端在策略下发BAS上没有通过认证，则策略下发BAS向客户端发送重定向报文，该重定向报文中携带了Portal服务器的地址信息和策略下发BAS的地址信息。

步骤407，客户端根据重定向报文访问Portal服务器。其中，该访问过程是在策略下发BAS的重定向页面上进行的，即重定向页面提示客户端是否访问策略下发BAS对应的资源，如果访问，则执行访问Portal服务器的过程，否则结束流程。

步骤408，Portal服务器接收来自客户端的连接请求报文，并当客户端在线时，根据连接请求报文中携带的策略下发BAS的地址信息向策略下发BAS发送认证请求报文；该认证请求报文中携带了客户端的身份认证信息。

具体的，当客户端根据重定向报文访问Portal服务器时，则Portal服务器可接收到连接请求报文(即在提示客户端是否访问策略下发BAS对应的资源的重定向页面上接收到来自客户端的连接请求报文)，而由于重定向报文中携带了策略下发BAS的地址信息，则连接请求报文中会携带策略下发BAS的地址信息。

本步骤中，如果客户端已经在线(可通过查找当前IP是否已经上线的方式获知)且连接请求报文中携带了策略下发BAS的地址信息，则Portal服务器可使用已经上线的客户端的身份认证信息向策略下发BAS发送认证请求报文(即REQ-AUTH认证请求)。如果客户端没有在线，则该客户端需要进行身份认证，即上述身份认证的处理流程，该过程在此不再赘述。

步骤409，策略下发BAS根据该身份认证信息到认证服务器上对该客户端进行认证。即策略下发BAS向认证服务器发送携带该身份认证信息的身份认证请求报文，由认证服务器根据该身份认证信息对该客户端进行认证。

步骤410，当客户端认证通过时，认证服务器向策略下发BAS发送认证通过报文，并向策略下发BAS下发允许客户端访问该策略下发BAS对应资源的策略ACL。

本发明中，该策略ACL的获取方式包括但不限于根据用户登录名称的后缀获取，其中，针对同一个后缀，下发的ACL号是相同的。

步骤411，策略下发BAS通知Portal服务器该客户端认证通过，Portal服务器通知客户端访问策略下发BAS对应的资源。

需要说明的是，当客户端在策略下发BAS上上线后，在认证服务器上也会针对该客户端的身份认证信息中的策略下发BAS上线的记录进行更新，以表示该客户端在对应的策略下发BAS上上线了。另外，当客户端在策略下发BAS上上线后，还可提示接入的WEB浏览器页面可以关闭，提示页面不作为客户端的保活页面使用。

本发明中，当客户端在身份认证BAS上下线时，则Portal服务器确定与身份认证BAS对应的策略下发BAS，并将客户端在对应的策略下发BAS上下线，即此身份认证BAS关联的所有策略下发BAS上的相同客户端需要下线。

通过上述处理过程，一个客户端可以在多台BAS上上线，由于区分了身份认证BAS与策略下发BAS的不同角色关系，客户端在一个园区网中访问不同的资源时，能够动态的获取不同的权限，满足了园区网中不同身份用户访问不同资源时获取不同的权限。而且由于身份认证只进行一次，用户无需进行多次认证，满足了易用性的要求。

为了更加清楚的阐述本发明技术方案，以下结合图5所示的应用场景对本发明进行进一步的说明。

1、客户端A在控制策略点1(即BAS)认证通过，接入网络。该认证过程可以是802.1x认证或Portal认证。

2、Portal服务器记录客户端A的身份认证信息和IP地址。

3、客户端A需要通过控制策略点2访问资源1。

4、控制策略点2无客户端A的信息，需要进行Portal认证，控制策略点2针对客户端A的IP在Portal服务器上配置的是策略下发设备。

5、Portal服务器向控制策略点2发起认证请求，使用客户端A已经登录的身份认证信息进行认证。

6、认证成功后，认证服务器下发ACL策略到策略控制点2。

基于与上述方法同样的发明构思，本发明还提出了一种Portal服务器，应用于包括客户端、所述Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中，如图6所示，该Portal服务器包括：

连接请求报文接收模块11，用于接收来自所述客户端的连接请求报文；

认证请求报文发送模块12，用于当所述客户端在线时，根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；

资源访问通知模块13，用于当所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证通过时，通知所述客户端访问所述策略下发BAS对应的资源。

所述连接请求报文接收模块11，具体用于在提示所述客户端是否访问所述策略下发BAS对应的资源的重定向页面上，接收来自所述客户端的连接请求报文。

该Portal服务器还包括：

网络访问通知模块14，用于当所述身份认证BAS根据所述客户端的身份认证信息到所述认证服务器上对所述客户端认证通过时，通知客户端访问网络。

下线处理模块15，用于当所述客户端在所述身份认证BAS上下线时，确定与所述身份认证BAS对应的策略下发BAS，并将所述客户端在对应的策略下发BAS上下线。

其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。

本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可以进一步拆分成多个子模块。

上述本发明序号仅仅为了描述，不代表实施例的优劣。

以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (10)

1.一种基于Portal的分布式控制方法，其特征在于，应用于包括客户端、Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中，所述Portal服务器上配置有所述客户端的IP地址与所述身份认证BAS、所述策略下发BAS的对应关系，该方法包括：

所述Portal服务器接收来自所述客户端的连接请求报文，如果所述客户端在线，则根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；

当所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证通过时，所述Portal服务器通知所述客户端访问所述策略下发BAS对应的资源。

2.如权利要求1所述的方法，其特征在于，所述Portal服务器接收来自所述客户端的连接请求报文，具体包括：

在提示所述客户端是否访问所述策略下发BAS对应的资源的重定向页面上，所述Portal服务器接收来自所述客户端的连接请求报文。

3.如权利要求1所述的方法，其特征在于，所述客户端在线，之前还包括：

当所述身份认证BAS根据所述客户端的身份认证信息到所述认证服务器上对所述客户端认证通过时，所述Portal服务器通知所述客户端访问网络。

4.如权利要求1所述的方法，其特征在于，所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证，具体包括：

所述策略下发BAS根据所述客户端的身份认证信息向所述认证服务器发送身份认证请求报文；所述认证服务器根据所述身份认证信息对所述客户端进行认证。

5.如权利要求1所述的方法，其特征在于，所述客户端访问所述策略下发BAS对应的资源，之前还包括：

所述认证服务器向所述策略下发BAS下发允许所述客户端访问所述策略下发BAS对应的资源的策略ACL。

6.如权利要求1所述的方法，其特征在于，所述方法还包括：

当所述客户端在所述身份认证BAS上下线时，所述Portal服务器确定与所述身份认证BAS对应的策略下发BAS，并将所述客户端在对应的策略下发BAS上下线。

7.一种Portal服务器，其特征在于，应用于包括客户端、所述Portal服务器、身份认证BAS、策略下发BAS和认证服务器的分布式系统中，所述Portal服务器上配置有所述客户端的IP地址与所述身份认证BAS、所述策略下发BAS的对应关系，该Portal服务器包括：

连接请求报文接收模块，用于接收来自所述客户端的连接请求报文；

认证请求报文发送模块，用于当所述客户端在线时，根据所述连接请求报文中携带的策略下发BAS的地址信息向所述策略下发BAS发送认证请求报文，所述认证请求报文中携带所述客户端的身份认证信息；

资源访问通知模块，用于当所述策略下发BAS根据所述身份认证信息到所述认证服务器上对所述客户端认证通过时，通知所述客户端访问所述策略下发BAS对应的资源。

8.如权利要求7所述的Portal服务器，其特征在于，

所述连接请求报文接收模块，具体用于在提示所述客户端是否访问所述策略下发BAS对应的资源的重定向页面上，接收来自所述客户端的连接请求报文。

9.如权利要求7所述的Portal服务器，其特征在于，还包括：

网络访问通知模块，用于当所述身份认证BAS根据所述客户端的身份认证信息到所述认证服务器上对所述客户端认证通过时，通知客户端访问网络。

10.如权利要求7所述的Portal服务器，其特征在于，还包括：

下线处理模块，用于当所述客户端在所述身份认证BAS上下线时，确定与所述身份认证BAS对应的策略下发BAS，并将所述客户端在对应的策略下发BAS上下线。

Images