CN102307098A - 认证授权的方法和装置 - Google Patents

Abstract

本发明公开了一种认证授权的方法和装置，属于通信网络领域。设备向RADIUS服务器发送第一认证请求，当在预设时间内未接收到该RADIUS服务器返回的第一认证响应时，向RADIUS服务器发送第二认证请求，当在预设时间内接收到该RADIUS服务器返回的第二认证响应时；再次向该RADIUS服务器发送该第一认证请求，以使该RADIUS服务器根据该第一认证请求返回该第一认证响应。该装置包括：接收器、发送器和判断模块。本发明实施例解决了原有RADIUS重认证需要中断业务的问题，保证了用户业务不中断的情况下为用户获取更广泛的授权范围。

Description

认证授权的方法和装置

技术领域

本发明涉及通信网络领域，特别涉及一种认证授权的方法和装置。

背景技术

RADIUS(Remote Authentication Dial In User Service，远程验证用户拨入服务)是一种用于在需要认证其链接的网络访问服务器和共享认证服务器之间进行认证、授权和记帐信息的协议。设备可作为客户端，与RADIUS服务器通信。在RADIUS服务器上配置用户信息，设备将用户名和密码通过RADIUS协议传送给RADIUS服务器，RADIUS服务器完成对用户的认证并将认证结果反馈给设备。

在RADIUS服务器不可达的情况下，为了使用户上线成功，设备在本地对用户进行本地认证，并对认证通过的用户进行本地授权，用户可根据设备授予的本地授权信息访问网络。

在对现有技术进行分析后，发明人发现现有技术至少具有如下缺点：

设备对用户的本地授权信息和RADIUS服务器对用户的授权信息的级别和允许的范围不同，限制了用户的业务范围，不能满足用户的使用需求。而当RADIUS服务器从不可达状态转换为可达状态后，在不可达状态时经过本地认证的用户想要获取RADIUS服务器的授权信息，需要先下线再上线，造成用户的业务中断，影响业务质量。

发明内容

本发明实施例提供了一种认证授权的方法和装置。所述技术方案如下：

一种认证授权的方法，包括：向远程身份认证拨入用户协议RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；

当在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，

所述方法进一步包括：

向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带所述第二用户的用户信息；

当在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

一种认证授权的装置，包括：

发送器，用于向RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；

接收器，用于接收所述RADIUS服务器发送的认证响应；

判断模块，用于判断所述接收器在预设时间内是否收到所述RADIUS服务器返回的第一认证响应，

所述发送器，还用于当所述判断模块确定所述接收器在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带第二用户的用户信息；

所述判断模块，还用于判断所述接收器在预设时间内是否收到所述RADIUS服务器返回的第二认证响应，

所述发送器，还用于当所述判断模块确定所述接收器在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

本发明实施例提供的技术方案的有益效果是：

通过发送认证请求，并判断是否在预设时间内接收到RADIUS服务器返回的认证响应以判断RADIUS服务器的状态，当在预设时间内未接收到认证响应时，确定RADIUS服务器不可达，当在之后接收到对其他用户的认证响应时，确定RADIUS服务器的状态转换为可达，则将在服务器不可达时未进行RADIUS服务器认证的用户信息发送给RADIUS服务器，使得RADIUS服务器能够根据该用户信息进行认证授权，解决原有RADIUS重认证需要中断业务的问题，保证了用户业务不中断的情况下为用户获取更广泛的授权范围。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的一种认证授权的方法的流程图；

图2是本发明实施例提供的另一种认证授权的方法的流程图；

图3是本发明实施例提供的一种认证授权装置的结构示意图；

图4是本发明实施例提供的另一种认证授权装置的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

在介绍本发明提供的认证授权方法之前，首先对本发明的基础知识进行简要的介绍：

RADIUS是一种业界标准协议。其目的是为拨号用户进行认证和计费。后来经过多次改进，形成了一项通用的认证计费协议。

RADIUS的基本工作原理：用户接入RADIUS客户端，RADIUS客户端向RADIUS服务器发送携带用户信息的认证请求报文，该用户信息包括：用户名、密码等相关信息。RADIUS服务器对用户名和密码的合法性进行检验，如果合法，给RADIUS客户端返回认证接受报文，允许用户访问网络，否则返回认证拒绝报文，拒绝用户访问；如果允许访问，RADIUS客户端向RADIUS服务器发送计费请求报文，RADIUS服务器响应计费开始报文，开始对用户的计费。

图1是本发明实施例提供的一种认证授权的方法的流程图。本实施例的执行主体为设备，该设备能够承载至少一个用户，该设备可以为任何运行RADIUS客户端软件的设备，具体可以为网络接入设备等。参见图1，向远程身份认证拨入用户协议RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；当在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，确定RADIUS服务器当前不可达。本实施例进一步包括：

101、向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带所述第二用户的用户信息；

102、当在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

在本步骤中，当RADIUS服务器接收到第二用户的用户信息时，对接收到的用户信息进行认证，当认证通过时，向设备返回携带RADIUS服务器授权信息的第二认证响应，此时，该第二认证响应具体可以为访问接受包；当认证未通过时，向设备返回携带RADIUS服务器拒绝信息的第二认证响应，此时，该第二认证响应具体可以为访问拒绝包。需要说明的是，当在发送第二认证请求后的预设时间内接收到RADIUS服务器返回的认证响应，则获知该RADIUS服务器当前可达，此时，可以将原来没有进行RADIUS服务器认证的第一用户的用户信息发送给RADIUS服务器再次进行认证。

本实施例提供的方法，通过发送认证请求，并判断是否在预设时间内接收到RADIUS服务器返回的认证响应以判断RADIUS服务器的状态，当在预设时间内未接收到认证响应时，确定RADIUS服务器不可达，当在之后接收到对其他用户的认证响应时，确定RADIUS服务器的状态转换为可达，则将在服务器不可达时未进行RADIUS服务器认证的用户信息发送给RADIUS服务器，使得RADIUS服务器能够根据该用户信息进行认证授权，解决原有RADIUS重认证需要中断业务的问题，保证了用户业务不中断的情况下为用户获取更广泛的授权范围。

图2是本发明实施例提供的另一种认证授权的方法的流程图。本实施例的交互双方为设备和RADIUS服务器，该设备可以为任何运行RADIUS客户端软件的设备，具体可以为网络接入设备等。参见图2，本实施例具体包括：

201、设备向RADIUS服务器发送第一认证请求；所述第一认证请求携带第一用户的用户信息；

在本实施例中，第一用户所在设备向设备发送第一入网请求，该第一入网请求携带第一用户的用户信息，设备接收该第一入网请求时，根据该第一用户的用户信息向RADIUS服务器发送第一认证请求，用户信息至少包括用户名和密码，该用户名和密码为技术人员预先在设备和RADIUS服务器上配置的，设备和RADIUS服务器可根据预先配置的用户名和密码，利用预设算法如MD5算法对接收到的用户名和密码进行认证。

本领域技术人员可以获知，第一用户的用户信息可由第一用户登录第一用户所在设备时输入或保存在该第一用户所在设备中，并由第一用户所在设备携带在第一入网请求中发送至设备。

202、判断在预设时长内是否接收到RADIUS服务器返回的第一认证响应；

如果是，执行步骤210；

如果否，执行步骤203；

在本实施例中，当在预设时长内未接收到RADIUS服务器返回的第一认证响应，则确定该RADIUS服务器不可达，RADIUS服务器不可达可由以下情况导致：RADIUS服务器未上线、RADIUS服务器故障或网络出现故障。当在预设时长内接收到RADIUS服务器返回的第一认证响应时，则获知该RADIUS服务器可达，本发明实施例仅以RADIUS服务器在当前时间不可达为例进行说明。本领域技术人员可以获知，该预设时长可以由技术人员在开发时设置，本发明实施例不做具体限定。

203、设备根据第一用户的用户信息，对第一用户进行认证；

本领域技术人员可以获知，设备能够根据用户信息对用户进行认证，该认证具体包括：设备根据预设算法对接收到的用户信息进行认证，当认证通过时，为该用户授予本地授权信息，当认证未通过，结束或反馈认证结果。

204；设备对第一用户本地认证通过后，获取第一用户的第一本地授权信息，并保存通过本地认证的第一用户的用户信息；

需要说明的是，设备授予的本地授权信息和RADIUS服务器反馈的RADIUS服务器授权信息的授权范围不同，当设备对第一用户认证通过后，可为第一用户授予第一本地授权信息，使得第一用户可以根据该第一本地授权信息的授权范围访问该授权范围内的网络或执行该授权范围内的业务操作。进一步地，设备上可以有多个本地授权范围，根据对用户的认证情况如根据预设算法获取的授权值等，为用户分配授权范围，例如，用户A对应的授权信息允许用户A访问局域网A，用户B对应的授权信息允许用户B访问局域网B。在本发明实施例中，不同的用户可以对应不同的本地授权信息。

该步骤中，保存RADIUS服务器不可达的时间段中设备接收到的并通过本地认证的用户信息，以便在后续的步骤中能够根据该用户信息再次向RADIUS服务器发送认证请求，获取更广泛的授权范围。

205、将该获取到的第一本地授权信息发送给第一用户所在设备，使得第一用户所在设备能够根据该第一本地授权信息访问网络；

在本实施例中，当设备向RADIUS服务器发送第一认证请求，在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，设备在本地对第一用户进行认证，授予授权信息，并将第一本地授权信息发送给第一用户所在设备。

206、当设备接收到第二用户的用户信息时，向RADIUS服务器发送第二认证请求；所述第二认证请求携带第二用户的用户信息；

在本实施例中，第二用户所在设备向设备发送第二入网请求，该第二入网请求携带第二用户的用户信息，设备接收该第二入网请求时，根据该第二用户的用户信息向RADIUS服务器发送第二认证请求，

207、设备在预设时长内接收到RADIUS服务器返回的第二认证响应，执行步骤208；

在本步骤中，RADIUS服务器的当前状态为可达，其故障已经排除，则当RADIUS服务器接收到第二认证请求时，根据第二认证请求携带的第二用户的用户信息对第二用户进行认证，当第二用户认证通过时，RADIUS服务器返回第二认证响应，该第二认证响应携带RADIUS服务器授权信息，该第二用户能够根据该RADIUS服务器授权信息访问网络；当第二用户认证未通过时，RADIUS服务器返回第二认证响应，该第二认证响应携带RADIUS服务器拒绝信息，拒绝第二用户的上网请求。

如果在预设时长内未接收到RADIUS服务器返回的第二认证响应，则说明此时RADIUS服务器的状态为不可达，则对第二用户的用户信息进行与第一用户的用户信息相同的操作，本步骤仅以此时RADIUS服务器的当前状态为可达为例进行说明。

208、设备再次向RADIUS服务器发送所述第一认证请求；所述第一认证请求携带所述第一用户的用户信息；

具体地，该步骤208包括：将通过本地认证的第一用户的用户信息携带在所述第一认证请求中发送给所述RADIUS服务器，使得所述RADIUS服务器根据所述第一用户的用户信息对所述第一用户进行认证授权；

在本实施例中，由于设备在步骤201时发送的第一认证请求未得到RADIUS服务器的响应，所以仅在本地对第一用户进行了认证授权，本地认证授权的授权范围有限，因此，当设备获知RADIUS服务器可达时，再次向RADIUS服务器发送第一认证请求，在用户的业务不中断情况下，获取RADIUS服务器的授权信息，以便该第一用户能够根据RADIUS服务器返回的第一认证响应中的授权信息访问网络。

209、设备接收所述RADIUS服务器返回的第一认证响应，所述第一认证响应携带第一用户的RADIUS服务器授权信息；

在本实施例中，RADIUS服务器根据第一用户的用户信息对该第一用户进行认证，当认证通过时，所述RADIUS服务器授权信息为访问接受包，当认证未通过时，所述RADIUS服务器授权信息为访问拒绝包。

210、设备将所述第一用户的RADIUS服务器授权信息发送给第一用户所在设备；

在本实施例中，设备将所述第一用户的RADIUS服务器授权信息发送给所述第一用户所在设备，使得第一用户所在设备将第一本地授权信息替换为所述第一用户的RADIUS服务器授权信息。

211、当第一用户所在设备保存有第一本地授权信息时，将第一本地授权信息替换为所述第一用户的RADIUS服务器授权信息；

需要说明的是，当第一用户的RADIUS服务器授权信息为访问拒绝包时，该第一用户为非法用户，禁止该第一用户所在设备访问网络。

212、第一用户所在设备根据接收到的第一用户的RADIUS服务器授权信息访问网络。

本领域技术人员可以获知，本实施例中第一用户所在设备能够根据获取的RADIUS服务器授权信息访问该RADIUS服务器授权信息指示的授权范围内的网络，当RADIUS服务器授权信息为访问拒绝包时，该第一用户所在设备不能访问网络，当RADIUS服务器授权信息为访问接受包时，该第一用户所在设备可访问该RADIUS服务器授权信息指示的授权范围内的网络。

本实施例提供的方法，通过发送认证请求，并判断是否在预设时间内接收到RADIUS服务器返回的认证响应以判断RADIUS服务器的状态，当在预设时间内未接收到认证响应时，确定RADIUS服务器不可达，当在之后接收到对其他用户的认证响应时，确定RADIUS服务器的状态转换为可达，则将在服务器不可达时未进行RADIUS服务器认证的用户信息发送给RADIUS服务器，使得RADIUS服务器能够根据该用户信息进行认证授权，解决原有RADIUS重认证需要中断业务的问题，保证了用户业务不中断的情况下为用户获取更广泛的授权范围。

图3是本发明实施例提供的一种认证授权装置的结构示意图。参见图3，该装置包括：

发送器301，用于向RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；

接收器302，用于接收所述RADIUS服务器发送的认证响应；

判断模块303，用于判断所述接收器302在预设时间内是否收到所述RADIUS服务器返回的第一认证响应，

所述发送器301，还用于当所述判断模块303确定所述接收器302在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带第二用户的用户信息；

所述判断模块303，还用于判断所述接收器302在预设时间内是否收到所述RADIUS服务器返回的第二认证响应，

所述发送器301，还用于当所述判断模块303确定所述接收器302在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

图4是本发明实施例提供的另一种认证授权装置的结构示意图。参见图4，该装置包括：发送器301、接收器302和判断模块303，该装置还包括：

认证模块304，用于根据所述第一用户的用户信息，对所述第一用户进行本地认证；

授权模块305，用于在所述认证模块304对所述第一用户认证通过后，获取第一用户对应的第一本地授权信息，并触发所述发送器301将所述第一本地授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备能够根据所述第一本地授权信息访问网络。

存储器306，用于当所述认证模块304对所述第一用户本地认证通过后，存储所述通过本地认证的第一用户的用户信息。

所述发送器301具体用于将存储器306存储的通过本地认证的第一用户的用户信息携带在所述第一认证请求中发送给所述RADIUS服务器，使得所述RADIUS服务器根据所述第一用户进行认证授权。

所述发送器301还用于接收所述RADIUS服务器返回的第一认证响应，所述第一认证响应携带所述第一用户的RADIUS服务器授权信息，将所述第一用户的RADIUS服务器授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备将所述第一本地授权信息替换为所述第一用户的RADIUS服务器授权信息。

本实施例提供的装置，为任何运行RADIUS客户端软件的设备，具体可以为网络接入设备等，与方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

本实施例提供的装置，通过发送认证请求，并判断是否在预设时间内接收到RADIUS服务器返回的认证响应以判断RADIUS服务器的状态，当在预设时间内未接收到认证响应时，确定RADIUS服务器不可达，当在之后接收到对其他用户的认证响应时，确定RADIUS服务器的状态转换为可达，则将在服务器不可达时未进行RADIUS服务器认证的用户信息发送给RADIUS服务器，使得RADIUS服务器能够根据该用户信息进行认证授权，解决原有RADIUS重认证需要中断业务的问题，保证了用户业务不中断的情况下为用户获取更广泛的授权范围。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种认证授权的方法，包括：向远程身份认证拨入用户协议RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；

其特征在于，当在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，

所述方法进一步包括：

向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带所述第二用户的用户信息；

当在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

2.根据权利要求1所述的方法，其特征在于，当在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，所述方法还包括：

根据所述第一用户的用户信息，对所述第一用户进行本地认证，在本地认证通过后，获取第一用户的第一本地授权信息，并将所述第一本地授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备能够根据所述第一本地授权信息访问网络；

保存所述通过本地认证的第一用户的用户信息。

3.根据权利要求2所述的方法，其特征在于，所述再次向所述RADIUS服务器发送所述第一认证请求，具体包括：

将通过本地认证的第一用户的用户信息携带在所述第一认证请求中发送给所述RADIUS服务器，使得所述RADIUS服务器根据所述第一用户的用户信息对所述第一用户进行认证授权。

4.根据权利要求2或3所述的方法，其特征在于，再次向所述RADIUS服务器发送所述第一认证请求，之后，所述方法还包括：

接收到所述RADIUS服务器返回的第一认证响应，所述第一认证响应携带所述第一用户的RADIUS服务器授权信息；

将所述第一用户的RADIUS服务器授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备将所述第一本地授权信息替换为所述第一用户的RADIUS服务器授权信息。

5.一种认证授权的装置，包括：

发送器，用于向RADIUS服务器发送第一认证请求，所述第一认证请求携带所述第一用户的用户信息；

接收器，用于接收所述RADIUS服务器发送的认证响应；

判断模块，用于判断所述接收器在预设时间内是否收到所述RADIUS服务器返回的第一认证响应，

其特征在于，

所述发送器，还用于当所述判断模块确定所述接收器在预设时间内未接收到所述RADIUS服务器返回的第一认证响应时，向所述RADIUS服务器发送第二认证请求，所述第二认证请求携带第二用户的用户信息；

所述判断模块，还用于判断所述接收器在预设时间内是否收到所述RADIUS服务器返回的第二认证响应，

所述发送器，还用于当所述判断模块确定所述接收器在预设时间内接收到所述RADIUS服务器返回的第二认证响应时，再次向所述RADIUS服务器发送所述第一认证请求，以使所述RADIUS服务器根据所述第一认证请求返回所述第一认证响应。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括：

认证模块，用于根据所述第一用户的用户信息，对所述第一用户进行本地认证；

授权模块，用于在所述认证模块对所述第一用户认证通过后，获取第一用户对应的第一本地授权信息，并触发所述发送器将所述第一本地授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备能够根据所述第一本地授权信息访问网络；

存储器，用于当所述认证模块对所述第一用户本地认证通过后，存储所述通过本地认证的第一用户的用户信息。

7.根据权利要求6所述的装置，其特征在于，所述发送器具体用于将所述存储器存储的通过本地认证的第一用户的用户信息携带在所述第一认证请求中发送给所述RADIUS服务器，使得所述RADIUS服务器根据所述第一用户进行认证授权。

8.根据权利要求6或7所述的装置，其特征在于，

所述发送器还用于接收到所述RADIUS服务器返回的第一认证响应时，所述第一认证响应携带所述第一用户的RADIUS服务器授权信息，将所述第一用户的RADIUS服务器授权信息发送给所述第一用户所在设备，使得所述第一用户所在设备将所述第一本地授权信息替换为所述第一用户的RADIUS服务器授权信息。

Images