CN102333081A

CN102333081A - 认证方法、设备及系统

Info

Publication number: CN102333081A
Application number: CN201110221016A
Authority: CN
Inventors: 翁石强; 陈光磊
Original assignee: Beijing Star Net Ruijie Networks Co Ltd
Current assignee: Beijing Star Net Ruijie Networks Co Ltd
Priority date: 2011-08-03
Filing date: 2011-08-03
Publication date: 2012-01-25
Anticipated expiration: 2031-08-03
Also published as: CN102333081B

Abstract

本发明提供一种认证方法、设备及系统。方法包括：认证设备拦截用户终端的认证连接建立请求，根据认证连接建立请求获取目标TCP复用连接；认证设备通过目标TCP复用连接将拦截的用户终端的认证请求信息发送给认证服务器，通过目标TCP复用连接接收认证服务器返回的认证响应页面，将认证响应页面转发给用户终端；用户终端根据认证响应页面中的完整性检测指示，对认证响应页面进行完整性检测，在检测结果为认证响应页面完整时，向认证服务器发送页面保活指令；认证设备根据监听到的页面保活指令，释放用户终端对目标TCP复用连接的占用。本发明技术方案解决了现有技术中认证服务器所面临的连接数瓶颈问题，降低了网络运营成本和认证成本。

Description

认证方法、设备及系统

技术领域

本发明涉及网络通信技术，尤其涉及一种认证方法、设备及系统。

背景技术

在宽带接入业务逐渐发展的过程中，接入认证技术是网络发展的热点技术。目前认证方式主要有基于以太网的点对点(Point to Point Protocolover Ethernet；简称为：PPPoE)认证、802.1X认证和Portal认证(又称Web认证)等几种。其中，Portal认证不需要用户的终端设备安装客户端，只要安装浏览器即可完成认证，是一种灵活的访问控制方式，因此得到了较为广泛的应用。

在实际应用环境中，接入用户通过如下步骤即可完成接入认证：

步骤1、用户准备接入网络时，启动用户终端上任意的浏览器软件，比如IE等。

步骤2、输入任意的统一资源定位符(Uniform Resource Locator；简称为：URL)地址，被重定向到portal服务器，portal服务器向用户推送认证页面。

步骤3、用户在认证页面上输入合法的用户名和密码，进行接入认证。

步骤4、认证成功后用户终端与portal服务器之间建立一个保活机制，用于检测用户是否下线。

步骤5、当用户要下线时，可通过点击浏览器页面上的下线按钮或链接主动下线。

为了实现上述认证过程，Portal认证环境包括用户终端(例如个人计算机)、认证服务器(即Portal服务器)、认证设备和远程用户拨号认证系统(Remote Authentication Dial In User Service；简称为：RADIUS)服务器。其中，用户终端是指在网络中发起认证请求的主机，其上安装有运行超文本传输协议(HyperText Transfer Protocol；简称为：HTTP)的浏览器。认证设备连接于用户终端和Portal服务器之间，主要用于接收未认证用户终端的认证请求，并触发用户终端上的浏览器跳转到web认证页面，同时还会根据用户终端的认证结果打开或关闭其所连接的用户终端的上网通道。Portal服务器主要用于接收用户终端的认证请求，向用户终端推送web认证页面，以及返回认证结果，并通过与认证设备交互完成认证上线。RADIUS服务器是指保存有认证用户的账号与密码，以及其他认证许可条件数据的服务器，用于辅助Portal服务器对用户进行认证、授权与计费等操作。

其中，根据认证设备所在网络层次的不同，一个认证设备通常会连接20到1万个左右的用户。例如：如果认证设备是由接入交换机实现的，则其一般会连接20到40个用户；如果认证设备是由汇聚层交换机实现的，则一般会连接1千左右的用户；如果认证设备是由核心层交换机或网络出口设备实现的，则其所连接的用户可达1万或更多。而在Portal认证中，需要portal服务器与每个用户终端均建立连接，用来给用户终端提供web认证页面，使用户终端输入用户名和密码进行认证，并且还要通过定时检测用户终端的认证页面是否存在来判断用户是否在线。这就出现一个问题，随着用户量的增大，portal服务器与用户终端之间的连接数也会增加，导致portal服务器的连接数瓶颈。当portal服务器与用户终端之间的连接数达到Portal服务器所能支持的最大连接数时，Portal服务器就会出现连接失败甚至死机。

针对该问题，现有技术提出通过划分不同的用户区域，在不同用户区域分别设置portal服务器，以减少用户并发上线的情况给一台portal服务器带来的压力。这种通过部署多级portal服务器方式确实能够实现压力的分担和卸载，但是需要投入大量的运营成本，增加了认证成本。

发明内容

本发明提供一种认证方法、设备及系统，用以解决现有技术中portal服务器的连接数瓶颈问题，降低认证成本。

本发明提供一种认证方法，包括：

认证设备拦截用户终端的认证连接建立请求，根据所述认证连接建立请求获取所述认证设备与认证服务器之间的一条目标TCP复用连接；

所述认证设备拦截所述用户终端的认证请求信息，通过所述目标TCP复用连接将所述认证请求信息发送给所述认证服务器，并通过所述目标TCP复用连接接收所述认证服务器根据所述认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将所述认证响应页面转发给所述用户终端；

所述用户终端根据携带于所述认证响应页面中的完整性检测指示，对所述认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时，向所述认证服务器发送页面保活指令；

所述认证设备根据监听到的所述页面保活指令，将所述目标TCP复用连接的状态更新为空闲，释放所述用户终端对所述目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。

本发明提供一种认证设备，包括：

拦截获取模块，用于拦截用户终端的认证连接建立请求，并根据所述认证连接建立请求获取所述认证设备与认证服务器之间的一条目标TCP复用连接；

接收转发模块，用于拦截所述用户终端的认证请求信息，通过所述目标TCP复用连接将所述认证请求信息发送给所述认证服务器，并通过所述目标TCP复用连接接收所述认证服务器根据所述认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将所述认证响应页面转发给所述用户终端；

第一监听释放模块，用于监听页面保活指令，并在监听到所述页面保活指令时，将所述目标TCP复用连接的状态更新为空闲，释放所述用户终端对所述目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用；所述页面保活指令是所述用户终端根据携带于所述认证响应页面中的完整性检测指示，对所述认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时发送给所述认证服务器的。

本发明提供一种认证系统，包括：用户终端、认证设备和认证服务器；

所述认证设备包括：

拦截获取模块，用于拦截用户终端的认证连接建立请求，并根据所述认证连接建立请求获取所述认证设备与所述认证服务器之间的一条目标TCP复用连接；

第一监听释放模块，用于监听页面保活指令，并在监听到所述页面保活指令时，将所述目标TCP复用连接的状态更新为空闲，释放所述用户终端对所述目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用；

所述用户终端，用于根据携带于所述认证响应页面中的完整性检测指示，对所述认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时，向所述认证服务器发送所述页面保活指令。

本发明的认证方法、设备及系统，认证设备拦截用户终端的认证连接建立请求，并获取认证设备与认证服务器之间的一条TCP复用连接，通过获取的TCP复用连接将用户终端的认证请求信息发送给认证服务器，并通过获取的TCP复用连接接收认证服务器返回的认证响应页面，并转发给用户终端，并在用户终端与认证服务器的一次交互结束后释放当前分配给用户终端使用的TCP复用连接，以便于将释放的TCP复用连接分配给其他用户终端使用。本发明技术方案通过在认证设备和认证服务器之间建立TCP复用连接，使用户终端通过复用这些TCP复用连接进行身份认证，通过认证设备分担了认证服务器的压力，解决了现有技术中认证服务器所面临的连接数瓶颈问题；另外，本发明技术方案不需要增加额外的认证服务器或其他设备，与现有技术中通过部署多级认证服务器的方案相比，网络运营成本较低，明显降低了认证成本。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明一实施例提供的认证方法的流程图；

图2为本发明另一实施例提供的认证方法的流程图；

图3为本发明一实施例提供的认证设备释放分配给用户终端的第一TCP复用连接的方法的流程图；

图4为本发明一实施例提供的认证设备释放分配给用户终端的第二TCP复用连接的方法的流程图；

图5为本发明一实施例提供的认证设备的结构示意图；

图6为本发明另一实施例提供的认证设备的结构示意图；

图7为本发明一实施例提供的认证系统的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1为本发明一实施例提供的认证方法的流程图。如图1所示，本实施例的方法包括：

步骤101、认证设备拦截用户终端的认证连接建立请求，根据认证连接建立请求获取认证设备与认证服务器之间的一条目标TCP复用连接。

本实施例的认证方法用于实现Portal认证过程。其中，根据用户终端与认证服务器之间的交互情况，整个Portal认证过程被划分为请求认证登录页面的过程和请求认证结果的过程，且两个过程是相互独立的。

本实施例的认证连接建立请求可以是用户终端向认证服务器请求认证登录页面时发出的连接建立请求(即HTTP连接请求)，也可以是用户终端向认证服务器请求认证结果时发出的连接建立请求。

当认证设备拦截到任何一种连接建立请求时，为用户终端获取一条TCP复用连接，并将该TCP复用连接暂时分配给该用户终端使用。

步骤102、认证设备拦截用户终端的认证请求信息，通过目标TCP复用连接将认证请求信息发送给认证服务器，并通过目标TCP复用连接接收认证服务器根据认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将认证响应页面转发给用户终端。

其中，当认证连接建立请求为用户终端向认证服务器请求认证登录页面时发出的连接建立请求时，认证请求信息为用户终端向认证服务器发送的认证登录页面请求，相应地，认证服务器返回的认证响应页面为认证登录页面；当认证连接建立请求为用户终端向认证服务器请求认证结果的连接建立请求时，认证请求信息为用户终端向认证服务器发送的认证结果请求，相应地，认证服务器返回的认证响应页面为认证结果页面。

在本实施例中，认证服务器在要返回的认证响应页面中嵌入完整性检测指示，以便于用户终端在全部接收到认证响应页面后通告认证设备释放分配给用户终端的TCP复用连接。

步骤103、用户终端根据携带于认证响应页面中的完整性检测指示，对认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时，向认证服务器发送页面保活指令。

在本实施例中，用户终端除了接收认证响应页面时，还包括根据认证响应页面中的完整性检测指示对认证响应页面进行完整性检测，并在检测到认证响应页面完整(即全部接收到认证响应页面中的内容)时，向认证服务器发送页面保活指令。在本实施例中，该页面保活指令一方面指示认证服务器将当前使用的TCP复用连接(即目标TCP复用连接)的生存时间延长，另一方面指示认证设备释放用户终端对当前TCP复用连接的占用。

步骤104、认证设备根据监听到的页面保活指令，将目标TCP复用连接的状态更新为空闲，释放用户终端对目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。

为了能够及时释放TCP复用连接，认证设备实时监听用户终端发送的页面保活指令，并在监听到页面保活指令时获知用户终端与认证服务器的一次交互过程已经完成，故可以将分配给用户终端的TCP复用连接释放掉。

在本实施例中，认证设备具体通过设置TCP复用连接的状态为空闲，以实现用户终端对TCP复用连接的释放。当TCP复用连接被释放后，如果其他用户终端请求进行认证时，认证设备可以将被释放的TCP复用连接分配给其他用户终端使用，且该被释放的TCP复用连接可以用于其他用户终端请求认证登录页面的过程中，也可以用于其他用户终端请求认证结果的过程中。

本实施例的认证方法，认证设备拦截用户终端的认证连接建立请求，并获取认证设备与认证服务器之间的一条TCP复用连接，通过获取的TCP复用连接将用户终端的认证请求信息发送给认证服务器，并通过获取的TCP复用连接接收认证服务器返回的认证响应页面，并转发给用户终端，并在用户终端与认证服务器的一次交互结束后释放当前分配给用户终端使用的TCP复用连接，以便于将释放的TCP复用连接分配给其他用户终端使用。本实施例通过在认证设备和认证服务器之间建立TCP复用连接，使用户终端通过复用这些TCP复用连接进行身份认证，通过认证设备分担了认证服务器的压力，解决了现有技术中认证服务器所面临的连接数瓶颈问题；另外，本实施例不需要增加额外的认证服务器或其他设备，与现有技术中通过部署多级认证服务器的方案相比，网络运营成本较低，明显降低了认证成本。

图2为本发明另一实施例提供的认证方法的流程图。如图2所示，本实施例的方法包括：

步骤201、认证设备拦截用户终端的连接建立请求，并根据连接建立请求获取认证设备与认证服务器之间的第一TCP复用连接，通过第一TCP复用连接接收认证服务器推送的认证登录页面并转发给用户终端。

当用户需要访问外部网络时，会通过其终端设备(即用户终端)发起访问外网的连接请求。在Portal认证过程中，用户打开用户终端上的浏览器，并输入任意的URL地址向认证服务器发出HTTP请求。通常，认证设备会实时监听其上的Portal认证受控口，用以截获访问外部网络的HTTP请求。其中，在Portal认证过程中，如果没有通过认证，这个受控口是不允许用户终端访问外网的，只有通过认证后这个受控口的限制才会被开放，用户终端才能正常上网。因此，当用户终端为未通过认证的用户时，用户终端的HTTP请求会被认证设备拦截并对HTTP请求进行处理，然后认证设备向用户终端返回HTTP 302重定向响应。用户终端的浏览器根据HTTP 302重定向响应的头域(即Location字段)中携带的URL信息，将会重定向到认证服务器的认证页面。

在本实施例中，用户终端重定向到认证服务器的认证页面的过程如下：

首先，用户终端根据HTTP 302重定向响应头域中带的URL信息，向认证服务器发送连接建立请求。认证设备拦截用户终端的连接建立请求，并在拦截到连接建立请求后，获取认证设备与认证服务器之间的一条TCP复用连接(即第一TCP复用连接)，并假冒认证服务器与用户终端建立TCP连接。其中，认证设备主要是假冒认证服务器向用户终端返回连接建立响应来与用户终端建立TCP连接的，其中连接建立响应的源IP地址为认证服务器的IP地址，目的IP地址为用户终端的IP地址。第一TCP复用连接是认证设备与认证服务器之间一条空闲的TCP连接，之所以称为TCP复用连接是指认证设备与认证服务器之间的每条TCP连接都可以被重复分配给多个用户终端使用。在本实施例中，认证设备在拦截到连接建立请求时获取其与认证服务器之间的一条TCP复用连接，意味着将该条TCP复用连接分配给用户终端使用，即认证设备将通过该条TCP连接将拦截到的用户终端的各种信息转发给认证服务器；同时认证设备会生成并保存用户终端与分配给用户终端的TCP复用连接之间的对应关系，直到TCP复用连接被释放。

接下来，用户终端会向认证服务器发送认证登录页面请求，以请求认证登录页面。在本发明各实施例中，认证登录页面即为要求用户输入用户名和密码进行认证的认证页面。此时，认证设备拦截用户终端的认证登录页面请求，并通过第一TCP复用连接将认证登录页面请求发送给认证服务器。具体的，认证设备通过修改认证登录页面请求的源IP地址为认证设备的IP地址，以通过第一TCP复用连接将认证登录页面请求发送给认证服务器。认证服务器根据认证登录页面请求向认证设备返回认证登录页面，认证设备根据保存的用户终端与TCP复用连接之间的对应关系，修改认证登录页面的目的IP地址为用户终端的IP地址，以将认证登录页面转发给用户终端。

步骤202、用户终端根据携带于认证登录页面中的第一完整性检测指示，对认证登录页面进行完整性检测，并在检测结果为认证登录页面完整时，向认证服务器发送第一页面保活指令。

用户终端获得认证登录页面后，往往不会立即输入用户名和密码进行身份认证，故用户终端获取认证登录页面和进行身份认证可以看作是Portal认证的两部分。如果在不立即进行身份认证的情况下，仍然将第一TCP复用连接绑定给用户终端使用，将造成连接资源的浪费。故在本实施例中，要求用户终端在确认完整接收到认证登录页面后，向认证设备进行通告，以使认证设备释放分配给用户终端的第一TCP复用连接。

由于在Portal认证中，用户终端没有安装客户端软件进行身份认证，故在本实施例中，由认证服务器在返回的认证登录页面中嵌入完整性检测指示(即第一完整性检测指示)，以使用户终端对认证登录页面进行完整性检测，并使用户终端据此判断是否完成了认证登录页面的获取操作。

具体的，用户终端接收到认证登录页面时，获取认证登录页面中的第一完整性检测指示，并根据第一完整性检测指示对认证登录页面进行完整性检测。当检测到认证登录页面完整时，表明完成了认证登录页面的获取操作，用户终端向认证服务器发送页面保活指令(即第一页面保活指令)。当用户终端检测到认证登录页面不完整时，表明还有部分页面内容没有传输完成，故用户终端不会发送页面保活指令，并会根据完整性检测指示反复进行完整性检测。其中，为了防止由于某种原因导致的页面传输错误，在用户终端侧预先设定了检测时间，当检测时间结束时，如果用户终端还是检测到认证登录页面不完整，用户终端会主动向认证服务器发送连接关闭指令，然后用户终端会重新发起新的连接建立请求。

认证设备通过监听用户终端是否发送了页面保活指令来判断认证登录页面的获取操作是否完成；当监听到页面保活指令时，认证设备获知认证登录页面的获取操作已完成并释放该用户对第一TCP复用连接的占用。当监听到连接关闭指令时，认证设备可以获知当前页面传输发生了错误，用户终端会重新发起新的连接建立请求，故也会将第一TCP复用连接释放掉。

另外，当用户终端检测到认证登录页面不完整时也可以不发送连接关闭指令，而是利用TCP复用连接的生存时间，在TCP复用连接的生存时间结束时，由认证服务器主动关闭第一TCP复用连接。这种情况对于认证设备来说，在TCP复用连接的生存时间结束时既不会监听到页面保活指令也不会监听到连接关闭指令时，第一TCP复用连接会被认证服务器自动释放。

对于用户终端而言，发送页面保活指令的目的是使认证服务器对其与用户终端之间的TCP连接进行保活。在本实施例中，用户终端与认证服务器之间并没有直接建立TCP连接，故认证服务器可以根据接收到的第一页面保活指令对第一TCP复用连接进行保活处理，即用于刷新与第一TCP连接请求对应的保活定时器。其中，认证服务器为其与认证设备之间的TCP复用连接设置一保活定时器，如果在保活定时器定时结束时，TCP复用连接未被使用，则认证服务器就将断开该条TCP复用连接；如果在保活定时器定时结束前，认证服务器接收到了页面保活指令，则将该条TCP复用连接对应的保活定时器刷新，使其重新开始计时。认证服务器采用保活机制对其与认证设备之间的TCP复用连接进行管理，可以将保活定时器的定时时间设置为较大值而增加TCP复用连接在空闲状态下的保持时间，减少TCP复用连接建立与断开的频率。其中，第一页面保活指令是用于对第一TCP复用连接进行保活处理的页面保活指令。

步骤203、认证设备根据监听到的第一页面保活指令，将第一TCP复用连接的状态更新为空闲，以释放用户终端对第一TCP复用连接的占用。

当认证设备监听到用户终端发送的第一页面保活指令时，获知认证登录页面的获取操作已完成，故可以将分配给用户终端的第一TCP复用连接释放掉。具体的，认证设备通过将第一TCP复用连接的状态更新为空闲，并将之前保存的用户终端与第一TCP复用连接的对应关系删除，以实现释放第一TCP复用连接的目的。

当第一TCP复用连接被释放后，就可以重新分配给其他用户终端使用。

步骤204、认证设备拦截用户终端准备进行认证时发送的连接建立请求，并根据该连接建立请求获取认证设备与认证服务器之间的第二TCP复用连接，通过第二TCP复用连接接收认证服务器返回的认证结果页面并转发给用户终端。

当用户终端准备进行认证时，会再次向认证服务器发送连接建立请求。认证设备拦截用户终端的连接建立请求，认证设备在拦截到的连接建立请求后获取认证设备与认证服务器之间的第二TCP复用连接，同时生成第二TCP复用连接与用户终端之间的对应关系，并保存第二TCP复用连接与用户终端之间的对应关系，直到第二TCP复用连接被释放。其中，第二TCP复用连接与第一TCP复用连接可能相同也可能不同。认证设备通过向用户终端返回源IP地址为认证服务器的IP地址、目的IP地址为用户终端的IP地址的连接建立响应，冒充认证服务器与用户终端建立连接。

接着，用户终端会在认证登录页面上输入用户名和密码，然后点击认证登录页面上的提交按钮，向认证服务器发送认证请求。该认证请求包括用户名和密码。认证设备拦截该认证请求，并将认证请求的源IP地址修改为认证设备本身的IP地址后，通过第二TCP复用连接将认证请求发送给认证服务器。认证服务器根据认证请求中的用户名和密码，开始对用户终端进行身份认证，具体认证过程与现有技术相同，在此不再赘述。

对用户终端而言，在其发送认证请求之后，会向认证服务器发送认证结果请求，以请求认证服务器返回认证结果页面。此时，认证设备会拦截用户终端的认证结果请求，并通过第二TCP复用连接将认证结果请求发送给认证服务器。认证服务器通过第二TCP复用连接向认证设备返回认证结果页面。认证设备将认证结果页面的目的IP地址修改为用户终端的IP地址，将认证结果页面转发给用户终端。当用户终端接收到完整的认证结果页面时，表明认证过程结束，为了节约TCP复用连接资源，需要用户终端通告认证设备认证过程结束，以使认证设备释放第二TCP复用连接。

步骤205、用户终端根据携带于认证结果页面中的第二完整性检测指示，对认证结果页面进行完整性检测，并在检测结果为认证结果页面完整时，向认证服务器发送第二页面保活指令。

为了使用户终端能够识别认证过程已完成，认证服务器在认证结果页面中嵌入完整性检测指示(即第二完整性检测指示)，以使用户终端根据第二完整性检测指示对认证结果页面进行完整性检测。当检测到认证结果页面完整时，表明认证过程已完成，故用户终端向认证服务器发送页面保活指令(此处是指第二页面保活指令)。当用户终端检测到认证结果页面不完整时，表明还有部分页面内容没有传输完成，故用户终端不会发送页面保活指令，并会根据完整性检测指示反复进行完整性检测。其中，为了防止由于某种原因导致的页面传输错误，在用户终端侧预先设定了检测时间，当检测时间结束时，如果用户终端还是检测到认证结果页面不完整，用户终端会主动向认证服务器发送连接关闭指令，然后用户终端会重新发起新的连接建立请求。

认证设备监听用户终端是否发送了第二页面保活指令，如果监听到第二页面保活指令，可以获知认证过程已完成，可以释放第二TCP复用连接。当监听到连接关闭指令时，认证设备可以获知当前页面传输发生了错误，用户终端会重新发起新的连接建立请求，故也会将第二TCP复用连接释放掉。另外，如果在TCP复用连接的生存时间结束时既未监听到页面保活指令也未监听到连接关闭指令时，第二TCP复用连接也会被自动释放。

其中，认证服务器接收到第二页面保活指令时，用于对第二TCP复用连接进行保活处理，即刷新第二TCP复用连接保活定时器，以使其重新开始定时，延长第二TCP复用连接的生存时间。第二页面保活指令是用于对第二TCP复用连接进行保活处理的页面保活指令。

步骤206、认证设备根据监听到的第二页面保活指令，将第二TCP复用连接的状态更新为空闲，以释放用户终端对第二TCP复用连接的占用。

当认证设备监听到第二页面保活指令时，将第二TCP复用连接的状态更新为空闲，并删除第二TCP复用连接与用户终端之间的对应关系，以达到释放第二TCP复用连接的目的。

当第二TCP复用连接被释放后，在其保活期内还可以被分配给其他用户终端使用，以通过重复使用减少认证设备与认证服务器之间的TCP复用连接的数量，解决认证服务器所面临的TCP连接数瓶颈的问题。

本实施例的认证方法，认证设备拦截用户终端发送给认证服务器的各种请求，并通过认证设备与认证服务器之间的TCP复用连接发送给认证服务器，同时通过与认证服务器之间的TCP复用连接将认证服务器返回的响应信息，并转发给用户终端，使得用户终端与认证服务器之间不再直接建立起TCP连接，并且在用户终端与认证服务器之间没有信息交互时释放TCP复用连接，以使其他认证用户使用TCP复用连接，使得认证设备与认证服务器之间可以保持较少数量的TCP复用连接，解决了认证服务器所面临的连接数瓶颈问题。另外，与现有技术通过部署多级认证服务器的方案相比，本实施例不需要额外认证服务器或其他设备，具有易于实现、运营成本较低的优点，从而降低了认证成本。

在上述实施例中，当认证设备向用户终端分配第一TCP复用连接时，认证设备和认证服务器之间可能已经存在至少一条TCP复用连接，也可能不存在任何TCP复用连接，下面分情况进行描述。

第一种情况：假设认证设备和认证服务器之间已经预先建立了至少一条TCP复用连接，并且预先建立的TCP复用连接的数量小于认证服务器所能支持的最大TCP连接数。基于此，认证设备可以从认证设备与认证服务器之间预先建立起来的至少一条TCP复用连接中，获取第一TCP复用连接。对于第二TCP复用连接，认证设备也可以从上述至少一条TCP复用连接中获取。在本实施例中，认证设备通过复用连接状态表对各条TCP复用连接进行管理，当一条TCP复用连接被建立后，认证设备就将该TCP复用连接的信息存储到复用连接状态表中。其中，TCP复用连接的信息主要包括：TCP复用连接的标号、TCP复用连接使用的认证设备的端口标识、TCP复用连接所使用认证服务器的端口标识、TCP复用连接的状态(通常包括空闲和忙碌两种状态)、当前使用TCP连接的用户终端标识(可以是IP地址、MAC地址等)等。

基于上述，认证设备获取第一TCP复用连接或第二TCP复用连接的过程主要包括：当认证设备拦截到连接建立请求时，查询复用连接状态表查看已经存在的TCP复用连接中是否存在空闲状态的TCP复用连接。如果判断结果为存在，则认证设备从中选择一条空闲的TCP复用连接作为第一TCP复用连接或者第二TCP复用连接，并将被选择的TCP复用连接(即第一TCP复用连接或第二TCP复用连接)的状态更新为忙碌，同时生成第一TCP复用连接或第二TCP复用连接与用户终端之间的对应关系并保存起来。例如：认证设备可以将用户终端的标识(例如IP地址)存储到复用连接状态表中与第一TCP复用连接或第二TCP复用连接对应的当前使用TCP连接的用户终端标识字段中，但并不限于此。认证设备也可以单独保存用户终端与被分配使用的TCP复用连接之间的对应关系。如果判断结果为不存在，则认证设备可以根据当前已经存在的TCP复用连接数与认证服务器所能支持的最大TCP连接数之间的关系，适应性重新建立一条TCP复用连接，并将新建立的TCP复用连接作为第一TCP复用连接或第二TCP复用连接分配给用户终端。在此说明，通常已经存在的TCP复用连接数会远小于认证服务器所能支持的最大TCP连接数，故在实际应用时可以不用考虑该限制而直接为用户终端新建立一条TCP复用连接。其中，认证设备通过向认证服务器发送TCP复用连接建立请求，认证服务器接收到TCP复用连接建立请求后向认证设备返回TCP复用连接建立响应，这样就在认证设备与认证服务器之间建立起一条TCP复用连接。

进一步，在认证设备判断出预先建立的至少一条TCP复用连接中不存在空闲的TCP复用连接时，在向认证服务器发送TCP复用连接建立请求，请求与认证服务器新建立TCP复用连接之前，先启动一定时器，并在定时器定时结束时重新根据复用连接状态表，判断之前建立起来的至少一条TCP复用连接中是否存在空闲状态的TCP复用连接；如果存在，则认证设备从至少一条TCP复用连接之中选择一条空闲的TCP复用连接作为第一TCP复用连接或第二TCP复用连接。如果判断结果为不存在，则再执行向认证服务器发送TCP复用连接建立请求，请求与认证服务器新建立TCP复用连接的操作。其中，定时器的定时时间可以预先设定，具体数值可根据实际应用适应性设置。通过这种方式，可以更加充分的利用各条TCP复用连接，提高TCP复用连接的复用率，减少认证设备和认证服务器之间的TCP复用连接数，进一步缓解了认证服务器所面临的TCP连接数瓶颈问题。

第二种情况：对于认证设备向用户终端分配第一TCP复用连接，而认证设备和认证服务器之间尚不存在TCP复用连接的情况，认证设备可以为用户终端新建立一条TCP复用连接。其中，认证设备对TCP复用连接的管理同上面第一种情况中的描述，在此不再赘述。此时，如果用户终端在作为第一TCP复用连接的TCP复用连接的保活时间内发出认证请求，则对于认证设备获取第二TCP复用连接的情况就属于上面描述的第一种情况，在此不再赘述。如果认证设备在获取第二TCP复用连接时，认证设备和认证服务器之间也不存在任何TCP复用连接时，属于第二种情况。

基于上述，认证设备在为用户终端分配TCP复用连接之前还需要根据复用连接状态表来判断认证设备与认证服务器之间是否存在TCP复用连接，并根据判断结果分别执行第一种情况和第二种情况下的操作。其中，认证设备可以判断复用连接状态表的TCP复用连接的标号字段是否为空来判断当前是否存在TCP复用连接。

其中，上述第一TCP复用连接和第二TCP复用连接分别为同一认证过程中请求认证页面过程和请求认证结果过程中的目标TCP复用连接，上述获取第一TCP复用连接和第二TCP复用连接的过程即获取目标TCP复用连接的过程。

上面实施例从一个用户终端的角度描述了本发明提供的Portal认证方法的流程，当有多个用户终端同时请求身份认证时，对于其中每一个用户终端的处理流程与上述实施例描述的相同，对于各个用户终端来说，除了可能会复用认证设备与认证服务器之间的同一TCP复用连接之外，没有其他任何关联。故对于多个用户终端同时请求身份认证的情况不再细述。

对本发明各实施例而言，为了实现不同用户终端能够复用(重复使用)同一个TCP复用连接，认证设备对TCP复用该链接的及时释放是关键。由于认证设备无法确认认证服务器的数据是否传输完成，故本发明上述实施例提供一种由认证服务器在返回的各种页面中嵌入完整性检测指示，由用户终端在确定传输完成时通告认证设备的方法。下面实施例将分别从请求认证登录页面和请求认证结果两部分对该方法做进一步描述。

图3为本发明一实施例提供的认证设备释放分配给用户终端的第一TCP复用连接的方法的流程图。如图3所示，本实施例的方法包括：

步骤301、用户终端向认证服务器发送访问外部网络的HTTP请求。

步骤302、认证设备拦截访问外部网络的HTTP请求，并向用户终端返回HTTP 302重定向响应。其中，HTTP 302重定向响应的头域中带有认证服务器的认证页面的URL信息。

步骤303、用户终端向认证服务器发送请求建立TCP连接的连接建立请求。连接建立请求中包括URL信息。

步骤304、认证设备拦截连接建立请求，并获取认证设备与认证服务器之间一条空闲的TCP复用连接作为第一TCP复用连接，生成并保存第一TCP复用连接与用户终端之间的对应关系。

其中，如果认证设备与认证服务器之间已经预先建立起若干条TCP复用连接，则认证设备判断是否存在空闲的TCP复用连接。如果存在，认证设备获取其中一条空闲的TCP复用连接。如果不存在，认证设备启动定时器，等待一段时间后重新判断是否预先建立起的TCP复用连接中是否存在空闲的TCP复用连接；如果存在，则从中获取一条空闲的TCP复用连接；如果不存在，则新建立一条TCP复用连接。

如果认证设备与认证服务器之间不存在任何TCP复用连接，认证设备新建立一条TCP复用连接。

其中，认证设备新建立一条TCP复用连接的过程为：认证设备根据连接建立请求中的URL信息，使用认证设备本地的IP地址向认证服务器发送TCP复用连接建立请求；认证服务器接收到TCP复用连接建立请求后，向认证设备返回TCP复用连接建立响应，认证设备接收到TCP复用连接建立响应时完成TCP复用连接的建立。同时，认证设备会为新建立的TCP复用连接分配标号并将相关信息存储到复用连接状态表中。

步骤305、认证设备假冒认证服务器向用户终端返回建立TCP连接的连接建立响应。

其中，连接建立响应的源IP地址为认证服务器的IP地址，目的IP地址为用户终端的IP地址。

步骤306、用户终端向认证服务器发送认证登录页面请求，以请求认证登录页面。

其中，认证登录页面请求可以为HTTP GET/HEAD消息。

步骤307、认证设备拦截认证登录页面请求，并通过第一TCP复用连接发送给认证服务器。

具体的，认证设备将HTTP GET/HEAD消息通过第一TCP复用连接转发给认证服务器。

步骤308、认证服务器向认证设备返回认证登录页面。

具体的，认证服务器在认证登录页面中嵌入进行完整性检测的脚本代码(Script代码)；并将认证登录页面所包含的对象的名称和每个对象的长度形成对象列表，然后将对象列表夜潜入认证登录页面中。例如：认证服务器将脚本代码嵌在页面的最尾部，并将对象列表也嵌在页面底部并隐藏。然后，认证服务器通过第一TCP复用连接将认证登录页面发送给认证设备。

步骤309、认证设备接收认证登录页面，并将认证登录页面转发给用户终端。

其中，对于认证服务器返回的认证登录页面，认证设备直接通过对应的TCP连接转发给用户终端，不做处理。不仅是认证登录页面，对于所有认证服务器返回给用户终端的报文都是直接转发。

步骤310、用户终端接收认证登录页面，并对认证登录页面进行完整性检测。

具体的，用户终端从认证登录页面中获取脚本代码，并运行该脚本代码；用户终端运行脚本代码的过程即为将从认证登录页面中获取的对象的名称和大小与对象列表进行比较，以判断是否获取到对象列表中的所有对象，也就是判断认证登录页面是否传输完成的操作。当判断结果为获取到所有对象，亦即认证登录页面已完成传输，则执行步骤311。

步骤311、用户终端在完整性检测结果为认证登录页面完整时，向认证服务器发送第一页面保活指令。

其中，第一页面保活指令可以为向认证服务器请求一个URL为keepalive.html的页面的指令。

步骤312、认证设备监听第一页面保活指令，并在监听到第一页面保活指令时，释放第一TCP复用连接。

具体的，对于页面保活指令，认证设备只监听并不拦截。当认证设备监听到页面保活指令时，将第一TCP复用连接的状态更新为空闲，删除第一TCP复用连接与用户终端的对应关系，以释放第一TCP复用连接。

步骤313、认证服务器接收第一页面保活指令，并刷新第一TCP复用连接对应的保活定时器。

具体的，认证服务器在接收到第一页面保活指令时，重新将第一TCP复用连接对应的保活定时器置位，以使其重新开始计时，延长第一TCP复用连接的生存时间，一方面降低TCP复用连接的断开频率，一方面提高TCP复用连接的复用率。

在本实施例中，认证服务器在认证登录页面中嵌入完整性检测指示，以使用户终端对认证登录页面进行完整性检测，当用户终端获取到完整的认证登录页面后，向认证服务器发送页面保活指令，而认证设备通过监听页面保活指令识别认证登录页面已经传输完成，及时释放用户终端对TCP复用连接的占用，以使TCP复用连接分配给其他用户使用，提高TCP复用连接的复用率，降低认证服务器面临的TCP连接数瓶颈的压力。

图4为本发明一实施例提供的认证设备释放分配给用户终端的第二TCP复用连接的方法的流程图。如图4所示，本实施例的方法包括：

步骤401、用户终端向认证服务器发送准备进行认证的HTTP请求。

步骤402、认证设备拦截用户终端的HTTP请求，获取认证设备与认证服务器之间的一条空闲TCP复用连接作为第二TCP复用连接，生成并保存第二TCP复用连接与用户终端之间的对应关系，并向用户终端返回HTTP响应，以与用户终端建立连接。

步骤403、用户终端接收到HTTP响应后，向认证服务器发送认证请求。

该认证请求中携带有用户名和密码。

步骤404、认证设备拦截认证请求，并通过第二TCP复用连接将认证请求发送给认证服务器。

步骤405、认证服务器接收认证请求，并根据其中的用户名和密码向Radius服务器发送认证请求。

步骤406、Radius服务器向认证服务器返回认证成功或失败的结果。

步骤407、当认证成功时，认证服务器向认证设备发送打开上网通道的指令，并设置用户终端上线的管理信息库(Management Information Base；简称为：MIB)。

步骤408、用户终端向认证服务器发送认证结果请求，以请求认证服务器返回认证结果页面。

步骤409、认证设备拦截认证结果请求，并通过第二TCP复用连接发送给认证服务器。

步骤410、认证服务器向认证设备返回认证结果页面。

具体的，认证服务器在认证结果页面中嵌入进行完整性检测的脚本代码(Script代码)；并将认证结果页面所包含的对象的名称和每个对象的长度形成对象列表，然后将对象列表夜潜入认证结果页面中。例如：认证服务器将脚本代码嵌在页面的最尾部，并将对象列表也嵌在页面底部并隐藏。然后，认证服务器通过第二TCP复用连接将认证登录页面发送给认证设备。

步骤411、认证设备接收认证结果页面，并将认证结果页面转发给用户终端。

步骤412、用户终端接收认证结果页面，并对认证结果页面进行完整性检测。

具体的，用户终端从认证结果页面中获取脚本代码，并运行该脚本代码；用户终端运行脚本代码的过程即为将从认证结果页面中获取的对象的名称和大小与对象列表进行比较，以判断是否获取到对象列表中的所有对象，也就是判断认证结果页面是否传输完成的操作。当判断结果为获取到所有对象，亦即认证结果页面已完成传输，则执行步骤413。

步骤413、用户终端在完整性检测结果为认证结果页面完整时，向认证服务器发送第二页面保活指令。

其中，第二页面保活指令可以为向认证服务器请求一个URL为keepalive.html的页面的指令。

步骤414、认证设备监听第二页面保活指令，并在监听到第二页面保活指令时，释放第二TCP复用连接。

具体的，对于页面保活指令，认证设备只监听并不拦截。当认证设备监听到页面保活指令时，将第二TCP复用连接的状态更新为空闲，删除第二TCP复用连接与用户终端的对应关系，以释放第二TCP复用连接。

步骤415、认证服务器接收第二页面保活指令，并刷新第二TCP复用连接对应的保活定时器。

具体的，认证服务器在接收到第二页面保活指令时，重新将第二TCP复用连接对应的保活定时器置位，以使其重新开始计时，延长第二TCP复用连接的生存时间，一方面降低TCP复用连接的断开频率，一方面提高TCP复用连接的复用率。

在本实施例中，认证服务器在认证结果页面中嵌入完整性检测指示，以使用户终端对认证结果页面进行完整性检测，当用户终端获取到完整的认证结果页面后，向认证服务器发送页面保活指令，而认证设备通过监听页面保活指令识别认证结果页面已经传输完成，及时释放用户终端对TCP复用连接的占用，以使TCP复用连接分配给其他用户使用，提高TCP复用连接的复用率，降低认证服务器面临的TCP连接数瓶颈的压力。

综上可见，本发明实施例通过在认证设备与认证服务器之间保持一路或多路TCP复用连接，认证设备连接的用户终端则复用这些TCP复用连接，而认证服务器在返回给用户终端的浏览器的页面中添加一段脚本代码，使用户终端通过脚本代码检查认证服务器返回的页面的完整性作为通告认证设备对TCP复用连接的保持和释放。本发明各实施例的方法允许用户终端发起复用TCP复用连接的需求，提高了TCP复用连接资源的利用率和准确性，同时解决了复用同一个TCP复用连接的保持和释放问题；而通过认证设备分担了用户上线高峰期产生的大量TCP连接和请求给认证服务器带来的性能消耗和连接数瓶颈，保证了认证服务器的正常工作和运行。另外，本发明各实施例的认证方法可由现有Portal认证环境中的设备(即认证服务器、认证设备、Radius服务器和用户终端)实现，无需额外认证服务器和其他设备，系统升级简单方便，无需投入过多成本开销。

图5为本发明一实施例提供的认证设备的结构示意图。如图5所示，本实施例的认证设备包括：拦截获取模块51、接收转发模块52和第一监听释放模块53。

其中，拦截获取模块51，与用户终端连接，用于拦截用户终端的认证连接建立请求，并根据认证连接建立请求获取认证设备与认证服务器之间的一条目标TCP复用连接。其中，认证连接建立请求可以是用户终端向认证服务器请求认证登录页面时发出的连接建立请求，也可以是用户终端向认证服务器请求认证结果时发出的连接建立请求。

接收转发模块52，与拦截获取模块51、用户终端和认证服务器连接，用于拦截用户终端的认证请求信息，通过目标TCP复用连接将认证请求信息发送给认证服务器，并通过目标TCP复用连接接收认证服务器根据认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将认证响应页面转发给用户终端。其中，当认证连接建立请求为用户终端向认证服务器请求认证登录页面时发出的连接建立请求时，认证请求信息为用户终端向认证服务器发送的认证登录页面请求，相应地，认证服务器返回的认证响应页面为认证登录页面；当认证连接建立请求为用户终端向认证服务器请求认证结果的连接建立请求时，认证请求信息为用户终端向认证服务器发送的认证结果请求，相应地，认证服务器返回的认证响应页面为认证结果页面。

第一监听释放模块53，与用户终端连接，用于监听页面保活指令，并在监听到页面保活指令时，将目标TCP复用连接的状态更新为空闲，释放用户终端对目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。其中，页面保活指令是用户终端根据携带于认证响应页面中的完整性检测指示，对认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时发送给认证服务器的。

本实施例的认证设备的各功能模块可用于执行图1所示认证方法的流程，其具体工作原理不再赘述，详见方法实施例的描述。

本实施例的认证设备，通过与认证服务器之间建立TCP复用连接，并通过与认证服务器之间的TCP复用连接将拦截到的用户终端的认证连接建立请求和认证请求消息发送给认证服务器，以及通过与认证服务器之间的TCP复用连接接收认证服务器返回的认证响应页面，并转发给用户终端，并在用户终端与认证服务器的一次交互结束后释放分配给用户终端使用的TCP复用连接，以便于将释放的TCP复用连接分配给其他用户终端使用，使用户终端通过复用这些TCP复用连接进行身份认证，通过认证设备分担了认证服务器的压力，解决了现有技术中认证服务器所面临的连接数瓶颈问题；另外，通过本实施例的认证设备使得认证过程不需要增加额外的认证服务器或其他设备，与现有技术中通过部署多级认证服务器的方案相比，本实施例的认证设备具有降低网络运营成本，降低认证成本的优势。

图6为本发明另一实施例提供的认证设备的结构示意图。本实施例基于图5所示实施例实现，如图6所示，本实施例的认证设备还包括：第二监听释放模块54。

第二监听释放模块54，与用户终端连接，用于监听连接关闭指令，并在监听到连接关闭指令时，将目标TCP复用连接的状态更新为空闲，释放用户终端对目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。其中，连接关闭指令是用户终端根据携带于认证响应页面中的完整性检测指示，在预设检测时间内反复对认证响应页面进行完整性检测，在检测时间到达时检测结果仍为认证响应页面不完整时发送给认证服务器的。

本实施例的第二监听释放模块可用于执行图2所示认证方法中用户终端根据完整性检测指示对认证响应页面进行完整性检测的相应流程，其具体工作原理不再赘述，详见方法实施例中的描述。

本实施例的拦截获取模块51的一种实现结构包括：拦截子模块511和获取子模块512。

其中，拦截子模块511，与用户终端连接，用于拦截用户终端的认证连接建立请求。获取子模块512，与拦截子模块511连接，用于从认证设备与认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为目标TCP复用连接。

进一步，本实施例的拦截获取模块51还包括：判断子模块513、第一触发子模块514、建立子模块515和更新子模块518。

其中，判断子模块513，用于在获取子模块512执行获取目标TCP复用连接的操作之前，根据复用连接状态表，判断至少TCP复用该链接是否存在空闲状态的TCP复用连接。第一触发子模块514，与判断子模块513和获取子模块512连接，用于在判断子模块513的判断结果为是时，触发获取子模块512执行从认证设备与认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为目标TCP复用连接的操作。建立子模块515，与判断子模块513和认证服务器连接，用于在判断子模块513的判断结果为否时，向认证服务器发送TCP复用连接建立请求，并接收认证服务器返回的TCP复用连接建立响应，以与认证服务器新建立一条TCP复用连接，并将新建立的TCP复用连接作为目标TCP复用连接。更新子模块518，用于在获取到目标TCP复用连接后，将复用连接状态表中目标TCP复用连接的状态更新为忙碌，并将更新后的复用连接状态表提供给判断子模块513。

再进一步，本实施例的拦截获取模块51还包括：定时判断子模块516和第二触发子模块517。

其中，定时判断子模块516，与判断子模块513连接，用于在判断子模块513的判断结果为否时，启动一定时器，并在定时器定时结束时重新根据复用连接状态表，判断至少一条TCP复用连接中是否存在空闲状态的TCP复用连接。第二触发子模块517，与定时判断子模块516和建立子模块515连接，用于在定时判断子模块516的判断结果为否时，触发建立子模块515执行向认证服务器发送TCP复用连接建立请求，并接收认证服务器返回的TCP复用连接建立响应，以与认证服务器新建立一条TCP复用连接，并将新建立的TCP复用连接作为目标TCP复用连接的操作。

另外，第一触发子模块514还与定时判断子模块516连接，用于在定时判断子模块516的判断结果为是时，触发获取子模块512执行从认证设备与认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为目标TCP复用连接的操作。

上述拦截获取模块的各功能子模块具体可用于执行图2所示方法中认证设备为用户终端获取目标TCP复用连接的流程，其具体工作原理不再赘述，详见方法实施例的描述。

本实施例的接收转发模块52包括：第一拦截发送子模块521、第一接收转发子模块522、第二拦截发送子模块523和第二接收转发子模块524。

其中，第一拦截发送子模块521和第一接收转发子模块522用于用户终端向认证服务器请求认证登录页面的过程。此时，认证连接建立请求为用户终端向认证服务器请求认证登录页面时发出的连接建立请求，认证请求信息为用户终端向认证服务器发送的认证登录页面请求，认证响应页面为认证服务器返回的认证登录页面。则第一拦截发送子模块521，与用户终端和认证服务器连接，用于拦截用户终端发送给认证服务器的认证登录页面请求，并通过目标TCP复用连接将认证登录页面请求发送给认证服务器。第一接收转发子模块522，与用户终端和认证服务器连接，用于接收认证服务器通过目标TCP复用连接返回的认证登录页面，并将认证登录页面转发给用户终端。其中，认证登录页面携带有认证服务器嵌入的完整性检测指示。

其中，第二拦截发送子模块523和第二接收转发子模块524用于用户终端向认证服务器请求认证结果的过程。此时，认证连接建立请求为用户终端向认证服务器请求认证结果时发出的连接建立请求，认证请求信息为用户终端向认证服务器发送的认证结果请求，认证响应页面为认证服务器返回的认证结果页面。则第二拦截发送子模块523，与用户终端和认证服务器连接，用于拦截用户终端发送给认证服务器的认证结果请求，并通过目标TCP复用连接将认证结果请求发送给认证服务器。第二接收转发子模块524，与用户终端和认证服务器连接，用于接收认证服务器通过目标TCP复用连接返回的认证结果页面，并将认证结果页面转发给用户终端。其中，认证结果页面携带有认证服务器嵌入的完整性检测指示。

上述接收转发模块的各功能子模块可用于执行图2所示方法中的相应流程，其具体工作原理不再赘述，详见方法实施例的描述。

本实施例的认证设备，通过与认证服务器之间建立TCP复用连接，并通过与认证服务器之间的TCP复用连接将拦截到的用户终端的各种请求信息发送给认证服务器，以及通过与认证服务器之间的TCP复用连接接收认证服务器返回的各种响应信息，并转发给用户终端，并在用户终端与认证服务器的一次交互结束后释放分配给用户终端使用的TCP复用连接，使用户终端通过复用这些TCP复用连接进行身份认证，通过认证设备分担了认证服务器的压力，解决了现有技术中认证服务器所面临的连接数瓶颈问题；另外，通过本实施例的认证设备使得认证过程不需要增加额外的认证服务器或其他设备，与现有技术中通过部署多级认证服务器的方案相比，本实施例的认证设备具有降低网络运营成本，降低认证成本的优势。

图7为本发明一实施例提供的认证系统的结构示意图。如图7所示，本实施例的认证系统包括：用户终端71、认证设备72和认证服务器73。

其中，认证设备72主要包括：拦截获取模块、接收转发模块和第一监听释放模块。本实施例的认证设备72可以采用上述图5或图6所示的认证设备，其结构可参见图5或图6所示。下面结合认证设备72的主要功能模块详细说明本实施例的认证系统的工作原理。

用户终端71向认证服务器73发送认证连接建立请求。认证设备72的拦截获取模块拦截用户终端71的认证连接建立请求，并根据认证连接建立请求获取认证设备72与认证服务器73之间的一条目标TCP复用连接。

用户终端71向认证服务器73发送认证请求信息。认证设备72的接收转发模块拦截用户终端71的认证请求信息，通过目标TCP复用连接将认证请求信息发送给认证服务器73。认证服务器73根据认证请求信息向认证设备72返回认证响应页面。认证设备72的接收转发模块还用于通过目标TCP复用连接接收认证服务器73根据认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将认证响应页面转发给用户终端71。

用户终端71根据携带于认证响应页面中的完整性检测指示，对认证响应页面进行完整性检测，并在检测结果为认证响应页面完整时，向认证服务器73发送页面保活指令。认证设备72的第一监听释放模块监听页面保活指令，并在监听到页面保活指令时，将目标TCP复用连接的状态更新为空闲，释放用户终端71对目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。

进一步，认证服务器73具体用于在认证响应页面中嵌入进行完整性检测的脚本代码，并将认证响应页面所包含的对象的名称和长度形成对象列表，将对象列表嵌入认证响应页面中，然后将认证响应页面返回给认证设备72。

相应地，用户终端具体用于获取认证响应页面中的脚本代码，并通过运行脚本代码，将从认证响应页面中获取的对象的名称和大小与对象列表进行比较，以判断是否获取到对象列表中的所有对象，并在判断结果为是时，确定认证响应页面完整，在判断结果为否时，确定认证响应页面不完整。

本实施例的认证系统可用于执行图1、图2、图3或图4所示认证方法的流程，认证设备拦截用户终端发送给认证服务器的各种请求，并通过认证设备与认证服务器之间的TCP复用连接发送给认证服务器，同时通过与认证服务器之间的TCP复用连接将认证服务器返回的响应信息，并转发给用户终端，使得用户终端与认证服务器之间不再直接建立起TCP连接，并且在用户终端与认证服务器之间没有信息交互时释放TCP复用连接，以使其他认证用户使用TCP复用连接，使得认证设备与认证服务器之间可以保持较少数量的TCP复用连接，解决了认证服务器所面临的连接数瓶颈问题。另外，与现有技术通过部署多级认证服务器的方案相比，本实施例的认证系统不需要额外认证服务器或其他设备，具有易于实现、运营成本较低的优点，从而降低了认证成本。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种认证方法，其特征在于，包括：

2.根据权利要求1所述的认证方法，其特征在于，所述认证设备获取所述认证设备与认证服务器之间的一条目标TCP复用连接包括：

所述认证设备从所述认证设备与所述认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接。

3.根据权利要求2所述的认证方法，其特征在于，所述认证设备从所述认证设备与所述认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用该链接作为所述目标TCP复用连接之前包括：

所述认证设备根据复用连接状态表，判断所述至少一条TCP复用连接中是否存在空闲状态的TCP复用连接；

当判断结果为存在时，所述认证设备执行从所述认证设备与所述认证服务器之间预先建立的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接的操作；

当判断结果为不存在时，所述认证设备向所述认证服务器发送TCP复用连接建立请求，并接收所述认证服务器返回的TCP复用连接建立响应，以与所述认证服务器新建立一条TCP复用连接，并将所述新建立的TCP复用连接作为所述目标TCP复用连接；

当获取到所述目标TCP复用连接后，所述认证设备将所述复用连接状态表中所述目标TCP复用连接的状态更新为忙碌。

4.根据权利要求3所述的认证方法，其特征在于，所述认证设备向所述认证服务器发送TCP复用连接建立请求，并接收所述认证服务器返回的TCP复用连接建立响应，以与所述认证服务器新建立一条TCP复用连接之前包括：

所述认证设备在所述至少一条TCP复用连接中不存在空闲状态的TCP复用连接时，启动一定时器，并在所述定时器定时结束时重新根据所述复用连接状态表，判断所述至少一条TCP复用连接中是否存在空闲状态的TCP复用连接；

当判断结果为存在，所述认证设备返回执行从所述认证设备与所述认证服务器之间预先建立的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接的操作；

当判断结果为不存在时，所述认证设备执行向所述认证服务器发送TCP复用连接建立请求，并接收所述认证服务器返回的TCP复用连接建立响应，以与所述认证服务器新建立一条TCP复用连接，并将所述新建立的TCP复用连接作为所述目标TCP复用连接的操作。

5.根据权利要求1或2或3或4所述的认证方法，其特征在于，当所述认证连接建立请求为所述用户终端向所述认证服务器请求认证登录页面时发出的连接建立请求时，所述认证请求信息为所述用户终端向所述认证服务器发送的认证登录页面请求，所述认证响应页面为所述认证服务器返回的认证登录页面；

所述认证设备拦截所述用户终端的认证请求信息，通过所述目标TCP复用连接将所述认证请求信息发送给所述认证服务器，并通过所述目标TCP复用连接接收所述认证服务器根据所述认证请求信息返回的携带有认证响应信息和完整性检测指示的认证响应页面，并将所述认证响应页面转发给所述用户终端包括：

所述用户终端向所述认证服务器发送所述认证登录页面请求；

所述认证设备拦截所述认证登录页面请求，并通过所述目标TCP复用连接将所述认证登录页面请求发送给所述认证服务器；

所述认证服务器在要返回的所述认证登录页面中嵌入所述完整性检测指示，并通过所述目标TCP复用连接将所述认证登录页面发送给所述认证设备；

所述认证设备将所述认证登录页面转发给所述用户终端；

当所述认证连接建立请求为所述用户终端向所述认证服务器请求认证结果时发出的连接建立请求时，所述认证请求信息为所述用户终端向所述认证服务器发送的认证结果请求，所述认证响应页面为所述认证服务器返回的认证结果页面；

所述用户终端向所述认证服务器发送所述认证结果请求；

所述认证设备拦截所述认证结果请求，并通过所述目标TCP复用连接将所述认证结果请求发送给所述认证服务器；

所述认证服务器在要返回的所述认证结果页面中嵌入所述完整性检测指示，并通过所述目标TCP复用连接将所述认证结果页面发送给所述认证设备；

所述认证设备将所述认证结果页面转发给所述用户终端。

6.根据权利要求5所述的认证方法，其特征在于，所述认证服务器在所述认证登录页面或所述认证结果页面中嵌入所述完整性检测指示包括：

所述认证服务器在所述认证登录页面或所述认证结果页面中嵌入进行完整性检测的脚本代码；

所述认证服务器将所述认证登录页面或所述认证结果页面所包含的对象的名称和长度形成对象列表，将所述对象列表嵌入所述认证登录页面或所述认证结果页面中。

7.根据权利要求6所述的认证方法，其特征在于，所述用户终端根据携带于所述认证响应页面中的完整性检测指示，对所述认证响应页面进行完整性检测包括：

所述用户终端获取所述认证登录页面或所述认证结果页面中的所述脚本代码；

所述用户终端通过运行所述脚本代码，将从所述认证登录页面或所述认证结果页面中获取的对象的名称和大小与所述对象列表进行比较，以判断是否获取到所述对象列表中的所有对象；

当判断结果为是时，确定所述认证登录页面完整或所述认证结果页面完整；

当判断结果为否时，确定所述认证登录页面不完整或所述认证结果页面不完整。

8.根据权利要求1或2或3或4或6或7所述的认证方法，其特征在于，还包括：

当所述用户终端对所述认证响应页面的完整性检测结果为认证响应页面不完整时，所述用户终端在预设检测时间内反复进行完整性检测，并在所述检测时间到达时向所述认证服务器发送连接关闭指令；

所述认证设备根据监听到的所述连接关闭指令，将所述目标TCP复用连接的状态更新为空闲，释放所述用户终端对所述目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用。

9.一种认证设备，其特征在于，包括：

10.根据权利要求9所述的认证设备，其特征在于，所述拦截获取模块包括：

拦截子模块，用于拦截所述用户终端的认证连接建立请求；

获取子模块，用于从所述认证设备与所述认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接。

11.根据权利要求10所述的认证设备，其特征在于，所述拦截获取模块还包括：

判断子模块，用于根据复用连接状态表，判断所述至少TCP复用该链接是否存在空闲状态的TCP复用连接；

第一触发子模块，用于在所述判断子模块的判断结果为是时，触发所述获取子模块执行从所述认证设备与所述认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接的操作；

建立子模块，用于在所述判断子模块的判断结果为否时，向所述认证服务器发送TCP复用连接建立请求，并接收所述认证服务器返回的TCP复用连接建立响应，以与所述认证服务器新建立一条TCP复用连接，并将所述新建立的TCP复用连接作为所述目标TCP复用连接；

更新子模块，用于在获取到所述目标TCP复用连接后，将所述复用连接状态表中所述目标TCP复用连接的状态更新为忙碌。。

12.根据权利要求11所述的认证设备，其特征在于，所述拦截获取模块还包括：

定时判断子模块，用于在所述判断子模块的判断结果为否时，启动一定时器，并在所述定时器定时结束时重新根据所述复用连接状态表，判断所述至少一条TCP复用连接中是否存在空闲状态的TCP复用连接；

第二触发子模块，用于在所述定时判断子模块的判断结果为否时，触发所述建立子模块执行向所述认证服务器发送TCP复用连接建立请求，并接收所述认证服务器返回的TCP复用连接建立响应，以与所述认证服务器新建立一条TCP复用连接，并将所述新建立的TCP复用连接作为所述目标TCP复用连接的操作；

所述第一触发子模块还用于在所述定时判断子模块的判断结果为是时，触发所述获取子模块执行从所述认证设备与所述认证服务器之间预先建立起的至少一条TCP复用连接中，获取一条空闲的TCP复用连接作为所述目标TCP复用连接的操作。

13.根据权利要求9或10或11或12所述的认证设备，其特征在于，当所述认证连接建立请求为所述用户终端向所述认证服务器请求认证登录页面时发出的连接建立请求时，所述认证请求信息为所述用户终端向所述认证服务器发送的认证登录页面请求，所述认证响应页面为所述认证服务器返回的认证登录页面；

所述接收转发模块包括：

第一拦截发送子模块，用于拦截所述用户终端发送给所述认证服务器的认证登录页面请求，并通过所述目标TCP复用连接将所述认证登录页面请求发送给所述认证服务器；

第一接收转发子模块，用于接收所述认证服务器通过所述目标TCP复用连接返回的所述认证登录页面，并将所述认证登录页面转发给所述用户终端；所述认证登录页面携带有所述认证服务器嵌入的所述完整性检测指示；

所述接收转发模块包括：

第二拦截发送子模块，用于拦截所述用户终端发送给所述认证服务器的所述认证结果请求，并通过所述目标TCP复用连接将所述认证结果请求发送给所述认证服务器；

第二接收转发子模块，用于接收所述认证服务器通过所述目标TCP复用连接返回的所述认证结果页面，并将所述认证结果页面转发给所述用户终端；所述认证结果页面携带有所述认证服务器嵌入的所述完整性检测指示。

14.根据权利要求9或10或11或12所述的认证设备，其特征在于，还包括：

第二监听释放模块，用于监听连接关闭指令，并在监听到所述连接关闭指令时，将所述目标TCP复用连接的状态更新为空闲，释放所述用户终端对所述目标TCP复用连接的占用，以便于将被释放的目标TCP复用连接分配给其他用户终端使用；所述连接关闭指令是所述用户终端根据携带于所述认证响应页面中的完整性检测指示，在预设检测时间内反复对所述认证响应页面进行完整性检测，在所述检测时间到达时检测结果仍为认证响应页面不完整时发送给所述认证服务器的。

15.一种认证系统，其特征在于，包括：用户终端、认证设备和认证服务器；

所述认证设备包括：

16.根据权利要求15所述的认证系统，其特征在于，所述认证服务器具体用于在所述认证响应页面中嵌入进行完整性检测的脚本代码，并将所述认证响应页面所包含的对象的名称和长度形成对象列表，将所述对象列表嵌入所述认证响应页面中。

17.根据权利要求16所述的认证系统，其特征在于，所述用户终端具体用于获取所述认证响应页面中的脚本代码，并通过运行所述脚本代码，将从所述认证响应页面中获取的对象的名称和大小与所述对象列表进行比较，以判断是否获取到所述对象列表中的所有对象，并在判断结果为是时，确定所述认证响应页面完整，在判断结果为否时，确定所述认证响应页面不完整。