CN102143165B - 对终端进行认证的方法、网络交换机及网络系统 - Google Patents

Abstract

本发明公开了一种对终端进行认证的方法、网络交换机及网络系统，其中方法包括：预先将多个终端的一段连续介质访问控制MAC地址映射为同一个认证账号；接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证。本发明可以避免为每一个终端入网时配置一个认证账号这样大量的配置操作，从而使人力和配置花费较小，便于进行网络部署和维护，显著降低成本。

Description

对终端进行认证的方法、网络交换机及网络系统

技术领域

本发明涉及通信技术领域，尤其涉及对终端进行认证的方法、网络交换机及网络系统。

背景技术

终端例如PC（Personal Computer，个人计算机）、IP phone（电话）等经家庭网关接入网络交换机时，网络交换机在端口上启用认证功能。MAC（Media Access Control，介质访问控制）旁路认证是为解决各种类型的终端混合接入的应用场景的一项技术。其原理是：

对安装有802.1x认证软件的终端，通过发起802.1x认证获取网络访问权限。对未安装802.1x认证软件的终端，网络交换机在收到该终端的报文时，先向该终端请求用户名，由于未安装802.1x认证软件，所以该终端无法进行应答。网络交换机在等待超时后自动转入MAC认证流程，该MAC认证流程可以是不做认证，自动为该终端开放网络访问权限，然而，这样终端是在无认证的情况下获取到网络访问权限，存在安全隐患；在MAC认证作为认证流程时，是将用户名和密码作为认证账号进行认证，且每个终端对应一个认证账号，因此，每增加一个终端，就需要在远端服务器上增加一个认证账号，导致认证过程时间长，且配置和维护复杂。

发明内容

本发明实施例提供一种对终端进行认证的方法，用以便于进行网络部署和维护，降低成本，该方法包括：

预先将同一厂商的多个终端的一段连续MAC地址映射为同一个认证账号；

接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；

根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；根据所述任意一终端的类型，确定是否允许所述任意一终端接入；在确定允许所述任意一终端接入时，若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证。

本发明实施例还提供一种网络交换机，用以便于进行网络部署和维护，降低成本，该网络交换机包括：

映射处理模块，用于预先将同一厂商的多个终端的一段连续MAC地址映射为同一个认证账号；

接收模块，用于接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；

类型确定模块，用于根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；

以及接入确定模块和认证处理模块；

其中，所述接入确定模块，用于根据所述任意一终端的类型，确定是否允许所述任意一终端接入，当确定允许任一终端接入时，所述认证处理模块进一步确定所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，根据所述预先映射的认证账号对所述任意一终端进行认证。

本发明实施例还提供一种网络系统，用以便于进行网络部署和维护，降低成本，该网络系统包括：

网络交换机，用于预先将同一厂商的多个终端的一段连续介质访问控制MAC地址映射为同一个认证账号；接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；根据所述任意一终端的类型，确定是否允许所述任意一终端接入；在允许所述任意一终端接入且所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，发起认证请求，该请求包括所述预先映射的认证账号；接收认证结果；在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限；

远端服务器，用于接收所述网络交换机发起的认证请求，根据所述预先映射的认证账号对所述任意一终端进行认证，向所述网络交换机返回认证结果。

本发明实施例中，预先将多个终端的一段连续MAC地址映射为同一个认证账号，后续在接收到任意一终端发送的认证请求时，若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证，从而避免了为每一个终端入网时配置一个认证账号这样大量的配置操作，人力和配置花费较小，便于进行网络部署和维护，可显著降低成本。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1为本发明实施例中对终端进行认证的方法的处理流程图；

图2为本发明实施例中对终端进行认证的方法的一个具体实例的处理流程图；

图3为本发明实施例中对终端进行认证的方法的另一具体实例的处理流程图；

图4为本发明实施例中网络交换机的结构示意图；

图5为本发明实施例中认证处理模块的结构示意图；

图6为本发明实施例中网络交换机的一个具体实例的结构示意图；

图7为本发明实施例中网络系统的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。

如图1所示，本发明实施例中在执行MAC旁路认证时，对终端进行认证的方法的处理流程可以包括：

步骤101、预先将多个终端的一段连续MAC地址映射为同一个认证账号；

步骤102、接收到任意一终端发送的认证请求，该认证请求中包括该任意一终端的源MAC地址；具体实施时，该认证请求例如可以是：ARP（Address Resolution Protocol，地址解析协议）请求，或DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）请求等；

步骤103、若该任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对该任意一终端进行认证。

由图1所示流程可以得知，本发明实施例中在执行MAC旁路认证时，预先将多个终端的一段连续MAC地址映射为同一个认证账号，后续在接收到任意一终端发送的认证请求时，若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证，从而避免了为每一个终端入网时配置一个认证账号这样大量的配置操作，人力和配置花费较小，便于进行网络部署和维护，可显著降低成本。

具体实施时，图1所示流程可由能够实现其功能的设备进行实施，本发明实施例中以该设备是网络交换机为例进行说明。实施时前述的多个终端例如可以是同一厂商的多个终端。即同一厂商的多个终端具有一段连续的MAC地址，可预先将该同一厂商的多个终端的一段连续的MAC地址映射为同一个认证账号。这样，在已有某厂商的终端的认证账号的情况下，增加相同厂商的终端不必增加认证账号，而只在增加其它厂商的终端时才增加认证账号。

具体实施时，图1所示流程中，根据所述预先映射的认证账号对所述任意一终端进行认证，可以是根据预先映射的认证账号，在本地对终端进行认证，也可以是根据预先映射的认证账号，在远端服务器，例如RADIUS（Remote Authentication Dial In User Service，远程用户拨号认证系统）服务器对终端进行认证。以在远端服务器对终端进行认证为例，具体的认证过程可以包括：向远端服务器发起认证请求，该请求包括预先映射的认证账号；接收远端服务器返回的认证结果；在认证结果为认证成功时，为终端开放网络访问权限。

具体实施时，在接收到终端发送的认证请求后，可以向该终端请求用户名。在未安装802.1x认证软件的情况下，该终端无法对请求进行应答，则在等待该终端返回用户名超时后，确定该终端的源MAC地址是否在所述一段连续的MAC地址范围内，若是，则执行步骤103，否则拒绝对该终端进行认证。

具体实施时，图1所示流程中对终端进行认证也可以根据实际需求选择性地执行。例如，在待认证的终端为某类型的终端时，可以拒绝对该终端执行认证。举一例，可以在根据预先映射的认证账号对终端进行认证之前，根据终端的源MAC地址确定终端的类型；根据终端的类型确定是否允许终端接入；在确定允许终端接入时，根据预先映射的认证账号对终端进行认证。而在确定不允许该终端接入时，可拒绝对该终端开放网络访问权限，例如将接收的认证请求报文丢弃。终端的类型可以包括IP电话、PC等类型。实施中例如可以是对IP电话类型的终端允许接入，而对PC类型的终端不允许接入等。

举一例如图2所示，本例中，待认证的终端为IP电话，由网络交换机上送认证账号至远端服务器，由远端服务器对终端进行认证，这里的远端服务器为RADIUS服务器，则本例中对终端进行认证的方法处理流程可以包括：

步骤201、网络交换机预先将多个终端的一段连续MAC地址映射为同一个认证账号；

步骤202、网络交换机接收到IP电话发送的认证请求，该认证请求中包括IP电话的源MAC地址；

步骤203、网络交换机向IP电话发送EAP（Extensible Authentication Protocol，可扩展认证协议）报文，请求输入用户名；

步骤204、IP电话由于没有安装802.1x认证软件，无法对网络交换机的用户名请求进行应答；网络交换机等待超时，确定IP电话没有安装802.1x认证软件，自动转入MAC旁路认证，继续执行步骤205；

步骤205、网络交换机根据IP电话的源MAC地址确认此时请求认证的终端为IP电话类型，网络交换机查找配置，判断是否允许IP电话类型的终端接入；

步骤206、如果允许接入，网络交换机确定IP电话的源MAC地址是否在前述一段连续MAC地址范围内；

步骤207、如果IP电话的源MAC地址在前述一段连续MAC地址范围内，网络交换机使用前述预先映射的认证账号向RADIUS服务器发起认证请求；

步骤208、网络交换机接收RADIUS服务器反馈的利用该认证账号对IP电话进行认证的结果；

步骤209、网络交换机根据RADIUS服务器反馈的认证结果，判断是否为IP电话开放网络访问权限。可选地，如果RADIUS服务器反馈的认证结果为成功，则网络交换机下发IP电话的MAC地址到自身的转发芯片中，为IP电话开放网络访问权限；IP电话开始在网络中进行数据报文的发送和接收。具体实施时，如果IP电话长时间没有流量到网络交换机，网络交换机上MAC地址老化，表项删除，后续使用时需要重新获取网络访问权限。

后续网络扩容，增加其他厂商的IP电话时，只要在网络交换机和远端服务器上各增加一个认证账号即可，不必为每一个终端设置一个认证账号。

再举一例如图3所示，本例中，待认证的终端为PC，由网络交换机上送认证账号至远端服务器，由远端服务器对终端进行认证，这里的远端服务器可以为RADIUS服务器，则本例中对终端进行认证的方法处理流程可以包括：

步骤301、网络交换机预先将多个终端的一段连续MAC地址映射为同一个认证账号；

步骤302、网络交换机收到PC发送的认证请求，该认证请求中包括PC的源MAC地址；

步骤303、网络交换机向PC发送EAP报文，请求PC输入用户名；

步骤304、PC由于没有安装802.1x认证软件，无法对网络交换机的用户名请求进行应答；网络交换机等待超时，确定PC没有安装802.1x认证软件，自动转入MAC旁路认证，继续执行步骤305流程；

步骤305、网络交换机根据PC的源MAC地址确认此时请求认证的终端为PC类型，网络交换机查找配置，判断是否允许PC类型的终端接入；

可选地，如果网络交换机判断结果为允许PC类型的终端接入，则在PC的源MAC地址在前述一段连续MAC地址范围内时，将前述预先映射的认证账号上送RADIUS服务器，由RADIU服务器根据该认证账号对PC进行认证并向网络交换机反馈认证结果。可选地，如果网络交换机判断结果为不允许该PC类型的终端接入，则执行步骤306。

步骤306、如果不允许接入，网络交换机接收的报文丢弃，拒绝PC获取网络访问权限。

基于同一发明构思，本发明实施例中还提供了一种网络交换机和网络系统，如下面的实施例所述。由于该网络交换机和网络系统解决问题的原理与对终端进行认证的方法相似，因此该网络交换机和网络系统的实施可以参见对终端进行认证的方法的实施，重复之处不再赘述。

如图4所示，本发明实施例中的网络交换机可以包括：

映射处理模块401，用于预先将多个终端的一段连续MAC地址映射为同一个认证账号；

接收模块402，用于接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；

认证处理模块403，用于在所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，根据所述预先映射的认证账号对所述任意一终端进行认证。

一个实施例中，所述多个终端为同一厂商的多个终端。

一个实施例中，认证处理模块403具体可用于：

根据所述预先映射的认证账号，在本地或远端服务器对所述任意一终端进行认证。

如图5所示，一个实施例中，认证处理模块403具体可以包括：

发送单元501，用于向远端服务器发起认证请求，该请求包括所述预先映射的认证账号；

接收单元502，用于接收所述远端服务器返回的认证结果；

控制单元503，用于在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限。

如图6所示，一个实施例中，图4所示的网络交换机还可以包括：

类型确定模块601，用于根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；

接入确定模块602，用于根据所述任意一终端的类型，确定是否允许所述任意一终端接入。

如图7所示，本发明实施例中的网络系统可以包括：

网络交换机701，用于预先将多个终端的一段连续MAC地址映射为同一个认证账号；接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；在所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，发起认证请求，该请求包括所述预先映射的认证账号；接收认证结果；在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限；

远端服务器702，用于接收所述网络交换机701发起的认证请求，根据所述预先映射的认证账号对所述任意一终端进行认证，向所述网络交换机701返回认证结果。

综上所述，本发明实施例中，在对终端进行旁路认证时，预先将多个终端的一段连续MAC地址映射为同一个认证账号，后续在接收到任意一终端发送的认证请求时，若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证，从而避免了为每一个终端入网时配置一个认证账号这样大量的配置操作，人力和配置花费较小，便于进行网络部署和维护，可显著降低成本。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种对终端进行认证的方法，其特征在于，该方法包括：

预先将同一厂商的多个终端的一段连续介质访问控制MAC地址映射为同一个认证账号；

接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；

根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；根据所述任意一终端的类型，确定是否允许所述任意一终端接入；在确定允许所述任意一终端接入时，若所述任意一终端的源MAC地址在所述一段连续MAC地址范围内，则根据所述预先映射的认证账号对所述任意一终端进行认证。

2.如权利要求1所述的方法，其特征在于，根据所述预先映射的认证账号对所述任意一终端进行认证，包括：

根据所述预先映射的认证账号，在本地或远端服务器对所述任意一终端进行认证。

3.如权利要求2所述的方法，其特征在于，所述在远端服务器对所述任意一终端进行认证，包括：

向远端服务器发起认证请求，该请求包括所述预先映射的认证账号；

接收所述远端服务器返回的认证结果；

在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限。

4.一种网络交换机，其特征在于，包括：

映射处理模块，用于预先将同一厂商的多个终端的一段连续MAC地址映射为同一个认证账号；

接收模块，用于接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；

类型确定模块，用于根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；

以及接入确定模块和认证处理模块；

其中，所述接入确定模块，用于根据所述任意一终端的类型，确定是否允许所述任意一终端接入，当确定允许任一终端接入时，所述认证处理模块进一步确定所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，根据所述预先映射的认证账号对所述任意一终端进行认证。

5.如权利要求4所述的网络交换机，其特征在于，所述认证处理模块具体用于：

根据所述预先映射的认证账号，在本地或远端服务器对所述任意一终端进行认证。

6.如权利要求5所述的网络交换机，其特征在于，所述认证处理模块具体包括：

发送单元，用于向远端服务器发起认证请求，该请求包括所述预先映射的认证账号；

接收单元，用于接收所述远端服务器返回的认证结果；

控制单元，用于在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限。

7.一种网络系统，其特征在于，包括：

网络交换机，用于预先将同一厂商的多个终端的一段连续MAC地址映射为同一个认证账号；接收到任意一终端发送的认证请求，其中所述认证请求中包括所述任意一终端的源MAC地址；根据所述任意一终端的源MAC地址，确定所述任意一终端的类型；根据所述任意一终端的类型，确定是否允许所述任意一终端接入；在允许所述任意一终端接入且所述任意一终端的源MAC地址在所述一段连续MAC地址范围内时，发起认证请求，该请求包括所述预先映射的认证账号；接收认证结果；在所述认证结果为认证成功时，为所述任意一终端开放网络访问权限；

远端服务器，用于接收所述网络交换机发起的认证请求，根据所述预先映射的认证账号对所述任意一终端进行认证，向所述网络交换机返回认证结果。