CN102480399A

CN102480399A - 基于IPoE的多业务认证方法及系统

Info

Publication number: CN102480399A
Application number: CN2010105658264A
Authority: CN
Inventors: 薛沛林; 庄一嵘; 阮科; 蔡秋艳; 蔡海立; 王海义
Original assignee: China Telecom Corp Ltd
Current assignee: China Telecom Corp Ltd
Priority date: 2010-11-30
Filing date: 2010-11-30
Publication date: 2012-05-30
Anticipated expiration: 2030-11-30
Also published as: CN102480399B

Abstract

本发明涉及一种基于IPoE的多业务认证方法，包括：接入服务器接收终端发起的DHCP Discovery报文，在DHCP Discovery报文中包括终端的序列号信息和业务域信息；接入服务器解析并生成认证账号；接入服务器将认证账号和接入线路信息一并发给认证服务器；认证服务器基于认证账号和接入线路信息查询自身的用户数据库，对终端进行认证。本发明还涉及一种基于IPoE的多业务认证系统。本发明利用DHCP Discovery广播请求来进行DHCP认证，构成认证账号的终端序列号和业务域信息不仅可以唯一确定某个终端，还可以区分不同的业务类型，实现一条线路对多个业务的业务承载；通过认证账号和接入线路信息进行业务认证，不必像现有认证技术中需要用户输入用户名和口令就可以实现方便的认证。

Description

基于IPoE的多业务认证方法及系统

技术领域

本发明涉及宽带网络技术，尤其涉及一种基于以太网承载IP(IPover Ethernet，简称IPoE)的多业务认证方法及系统。

背景技术

随着宽带网络的发展，IPTV机顶盒、VoIP话机、家庭网关等宽带IP终端得到广泛应用。目前宽带业务的终端接入认证技术主要有以太网承载点到点协议(PPP over Ethernet，简称PPPoE)技术。PPPoE认证需要在终端内设置用户名和认证密码，对于IPTV机顶盒、VoIP话机等终端存在安装流程复杂、客户使用不方便等问题。

此外，PPPoE隧道从用户终端发起，到宽带接入服务器(Broadband Remote Access Server，简称BRAS)终结，无法支持在宽带接入网络实施灵活的组播复制，不能实现高效承载IPTV直播等业务。

电信业务日益丰富，往往需要在一条宽带线路上承载多个业务，家庭客户同时会使用到IPTV和VoIP业务，如何将这多个业务进行区隔，分别送到不同的业务系统进行认证是一个新的难题。

目前，可选的IPoE认证方法是提取终端的MAC地址并转换为认证账号进行认证，该方法存在以下限制：

1、后台业务支撑系统没有MAC录入字段：现有的业务操作流程中，后台业务支撑系统没有保存终端MAC地址(只有设备序列号)，系统也没有对应的录入字段。

2、终端设备MAC地址不是唯一确定：终端设备LAN端口往往不止一个，MAC地址也存在多个可能性，采用哪个MAC地址作为认证依据将难以界定，容易引起混淆。

3、一些终端设备动态使用MAC地址访问，同一业务不同时段，使用的MAC可能不同。

为了方便客户使用、简化宽带IP终端的安装流程、降低运营成本，亟待引入新的认证系统和方法，以解决目前宽带IP终端认证过程面临的安全风险问题，防止终端非法接入；同时，还应能够将多种业务进行区隔，实现多业务在同一线路上的认证和业务承载。

发明内容

本发明的目的是提出一种基于IPoE的多业务认证方法及系统，能够以较简单的方式实现终端安全接入电信网络，并实现对不同业务进行区分、同一线路上多个业务的用户认证和业务承载。

为实现上述目的，本发明提供了一种基于IPoE的多业务认证方法，包括：

接入服务器接收终端发起的动态主机配置协议发现DHCPDiscovery报文，在DHCP Discovery报文中包括所述终端的序列号信息和业务域信息；

所述接入服务器解析出所述终端的序列号信息和业务域信息，并生成认证账号；

所述接入服务器将所述认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器；

所述认证服务器基于所述认证账号和接入线路信息查询自身的用户数据库，对所述终端进行认证。

为实现上述目的，本发明提供了一种基于IPoE的多业务认证系统，包括：

接入服务器，用于接收终端发起的动态主机配置协议发现DHCPDiscovery报文，在DHCP Discovery报文中包括所述终端的序列号信息和业务域信息，并解析出所述终端的序列号信息和业务域信息，生成认证账号，然后将所述认证账号和所述终端的接入线路信息一并发给认证服务器；

认证服务器，用于基于所述认证账号和线路信息查询自身的用户数据库，对所述终端进行认证。

基于上述技术方案，本发明利用DHCP Discovery广播请求来进行DHCP认证，构成认证账号的终端序列号和业务域信息不仅可以唯一确定某个终端，还可以区分不同的业务类型，实现一条线路对多个业务的业务承载；通过认证账号和接入线路信息进行业务认证，无需用户输入用户名和口令就可以实现方便快捷的认证。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明基于IPoE的多业务认证系统的一实施例的应用场景示意图。

图2为本发明基于IPoE的多业务认证方法的一实施例的流程示意图。

图3为本发明基于IPoE的多业务认证方法的另一实施例的信令流程示意图。

图4为本发明基于IPoE的多业务认证系统的另一实施例的接入服务器的具体结构示意图。

图5为本发明基于IPoE的多业务认证系统的又一实施例的认证服务器的具体结构示意图。

具体实施方式

下面通过附图和实施例，对本发明的技术方案做进一步的详细描述。

如图1所示，为本发明基于IPoE的多业务认证系统的一实施例的应用场景示意图。在本实施例中，多业务认证系统包括接入服务器1和认证服务器2，其中终端3与接入服务器1相连，接入服务器1与认证服务器2和DHCP服务器4相连。

终端3是用于发起认证请求的宽带终端，负责将用户鉴权信息发送到接入服务器1。终端3可以为IPTV机顶盒、VoIP话机、家庭网关等宽带IP终端。

接入服务器1负责接收终端发起的DHCP Discovery报文，在DHCP Discovery报文中包括所述终端的序列号信息和业务域信息，并解析出所述终端的序列号信息和业务域信息，生成认证账号，然后将认证账号和终端连至接入网的接入线路信息一并发给认证服务器2，再根据认证服务器2的反馈信息决定是否将该终端接入到网络中。

认证服务器2负责基于接入服务器1提供的具有唯一性的认证账号和接入线路信息查询自身的用户数据库，对终端进行认证。

DHCP服务器4负责根据终端发出的DHCP请求，为终端分配网络信息，例如IP地址、地址掩码、网关地址等，并与终端交互完成IP地址确认、续租等工作。

如图2所示，为本发明基于IPoE的多业务认证方法的一实施例的流程示意图。在本实施例中，多业务认证流程包括：

步骤101、接入服务器接收终端发起的DHCP Discovery报文，在DHCP Discovery报文中包括终端的序列号信息和业务域信息；

步骤102、接入服务器解析出终端的序列号信息和业务域信息，并生成认证账号；

步骤103、接入服务器将认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器；

步骤104、认证服务器基于所述认证账号和接入线路信息查询自身的用户数据库，对所述终端进行认证。

在本实施例中，采用了区别于现有技术中的账号认证手段，认证信息为终端序列号、业务域和接入线路信息，这些信息均不用用户自行输入，因此非常适合输入不方便的终端设备，另外终端序列号和业务域所构成的认证账号中，终端序列号是终端设备产品出厂时的商品标识，其按照一定的规范标准进行定义，具有唯一性的特点，而业务域则用来标识不同的业务类型，该认证账号不仅可以唯一的代表某个用户，同时也区分出了不同的业务终端类型，从而实现多个业务采用一条线路进行业务承载的功能。

在步骤101之前，还可以包括终端向接入服务器发出DHCPDiscovery报文，并在DHCP Discovery报文的客户端标识符CI选项中填入所述终端的序列号信息，以及在供应商类别识别符VCI选项中填入业务域信息。其中，CI(Client Identifier)选项即RFC2132中的DHCP option 61，其格式要求如下表：

VCI(Vendor Class Identifier)选项即RFC2132中的DHCPoption 60，其格式要求如下表：

在接入服务器接收到DHCP Discovery报文后，可以对该报文进行解析，以便生成认证账号，该步骤具体为：接入服务器从DHCPDiscovery报文的CI选项和VCI选项分别提取出终端的序列号信息和业务域信息，并根据终端的序列号信息和业务域信息生成“终端序列号业务域”形式的认证账号。

接入服务器可以对终端连接到接入服务器的线路信息接入线路信息进行精确识别和标识，以便作为认证信息上报给认证服务器。例如：如果城域网从接入设备(IP DSLAM或接入交换机)到宽带接入服务器(BRAS)采用了QinQ部署，意味着每个终端的线路信息接入线路信息在宽带接入服务器(BRAS)上是唯一的(即终端的线路信息接入线路信息是子VLAN ID号)，宽带接入服务器(BRAS)可以把终端在宽带接入服务器(BRAS)上的子VLAN ID信息填充到Radius协议的NAS-PORT-ID属性上。如果城域网不部署QinQ，意味着每个用户的链路信息在VLAN层面无法在宽带接入服务器(BRAS)上实现唯一性，城域网接入设备(IP DSLAM或接入交换机)可以在DHCP Discovery报文的Option82中插入终端的线路信息接入线路信息，当DHCP Discovery报文到达接入服务器，接入服务器把Option82中的信息填充到Radius协议的NAS-PORT-ID属性上。因此，接入服务器发送给认证服务器Radius协议中的NAS-PORT-ID在不同的网络环境下可以采用不同的方法生成。

当认证服务器接收到包括认证账号和接入线路信息的认证信息后，开始认证过程，在该过程中，认证服务器可以根据所述认证账号先查询用户数据库，确认用户数据库中是否存在该认证账号，以防止非法用户申请和攻击。如果在用户数据库中存在认证账号，再比较NAS-PORT-ID属性信息是否与所述用户数据库中的所述认证账号对应的NAS-PORT-ID信息一致，如果一致，则确定认证通过，认证服务器向接入服务器返回认证通过的反馈消息，否则确定认证未通过，认证服务器向接入服务器返回标识认证未通过的反馈消息。

如果接入服务器接收到表示认证通过的反馈消息，则可向DHCP服务器转发该DHCP Discovery报文，DHCP服务器经由接入服务器为所述终端分配网络信息，例如IP地址、地址掩码、网关地址等，终端通过接入服务器的转发，与DHCP服务器完成IP地址确认、续租等工作。如果接入服务器接收到表示认证未通过的反馈消息，则将该反馈消息发送给该终端，并通知该终端本次认证失败。

下面以家庭客户IPTV机顶盒终端接入运营商网络进行多业务认证为例，如图3所示，为本发明基于IPoE的多业务认证方法的另一实施例的信令流程示意图。在本实施例中，认证流程包括：

步骤201、IPTV机顶盒终端向接入服务器发出DHCP Discovery报文，并在DHCP Discovery报文的CI选项中填入IPTV机顶盒终端序列号，以及在VCI选项中填入“IPTV”。

步骤202、接入服务器从DHCP Discovery报文的CI选项和VCI选项分别提取出终端的序列号信息和业务域信息，并根据终端的序列号信息和业务域信息生成认证账号“IPTV机顶盒终端序列号IPTV”，并在RADIUS消息中的NAS-PORT-ID属性中填入该终端的接入线路信息。

步骤203、接入服务器将NAS-PORT-ID和认证账号“IPTV机顶盒终端序列号IPTV”一并发送到认证服务器。

步骤204、认证服务器根据所述认证账号查询用户数据库，如果在所述用户数据库中存在所述认证账号，则比较NAS-PORT-ID属性信息是否与所述用户数据库中的NAS-PORT-ID信息一致。

步骤205、如果上述信息一致，则确定认证通过，认证服务器向所述接入服务器返回表示认证通过的反馈消息。

步骤206、接入服务器向DHCP服务器转发终端的DHCPDiscovery报文；

步骤207、DHCP服务器经由接入服务器向终端分配网络信息。

本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤；而前述的存储介质包括：ROM、RAM、磁碟或者光盘等各种可以存储程序代码的介质。

如图4所示，为本发明基于IPoE的多业务认证系统的另一实施例的接入服务器的具体结构示意图。在本实施例中，接入服务器具体包括：DHCP报文接收模块11、报文解析模块12、账号生成模块13和认证信息发送模块14。其中DHCP报文接收模块11负责接收终端发起的DHCP Discovery报文，在所述DHCP Discovery报文中包括所述终端的序列号信息和业务域信息。报文解析模块12负责解析出所述终端的序列号信息和业务域信息。账号生成模块13根据所述终端的序列号信息和业务域信息生成认证账号(认证账号可采用“终端序列号业务域”形式)。认证信息发送模块14负责将所述认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器。

报文解析模块12可具体包括终端序列号解析单元和业务域解析单元，分别负责从所述DHCP Discovery报文的CI选项中提取所述终端的序列号信息，以及从所述DHCP Discovery报文的VCI选项中提取业务域信息。

在另一个实施例中，还可以在接入服务器中增加接入线路信息写入模块15，该模块负责将终端连至接入网的接入线路信息填入RADIUS消息中的NAS-PORT-ID属性。

在又一个实施例中，接入服务器还包括DHCP请求模块和失败反馈模块。其中DHCP请求模块负责在接收到表示认证通过的反馈消息时，向DHCP服务器发送DHCP Discovery报文，以便由所述DHCP服务器为所述终端分配网络信息。失败反馈模块负责在接收到表示认证未通过的反馈消息时，将该反馈消息发送给所述终端。

如图5所示，为本发明基于IPoE的多业务认证系统的又一实施例的认证服务器的具体结构示意图。在本实施例中，认证服务器具体包括：账号判断模块21、账户认证模块22和认证结果反馈模块23。其中账号判断模块21负责根据所述认证账号查询用户数据库，判断是否在所述用户数据库中是否存在所述认证账号。账户认证模块22负责在所述用户数据库中存在所述认证账号时，比较所述NAS-PORT-ID属性信息是否与所述用户数据库中的所述认证账号对应的NAS-PORT-ID信息一致。认证结果反馈模块23负责在判断信息一致时，确定认证通过，并向所述接入服务器返回表示认证通过的反馈消息；否则确定认证未通过，并向所述接入服务器返回标识认证未通过的反馈消息。

综上所述，本发明通过对DHCP认证流程的改善，解决了各种终端以更为渐变的方式安全接入网络的问题，同时可实现对不同业务的区分、同一线路上多个业务的用户认证和业务承载。

最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制；尽管参照较佳实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者对部分技术特征进行等同替换；而不脱离本发明技术方案的精神，其均应涵盖在本发明请求保护的技术方案范围当中。

Claims

1.一种基于IPoE的多业务认证方法，包括：

2.根据权利要求1所述的多业务认证方法，其中在所述接入服务器接收终端发起的DHCP认证请求之前，还包括：

终端向接入服务器发出DHCP Discovery报文，并在DHCPDiscovery报文的客户端标识符CI选项中填入所述终端的序列号信息，以及在供应商类别识别符VCI选项中填入业务域信息。

3.根据权利要求2所述的多业务认证方法，其中所述接入服务器解析出所述终端的序列号信息和业务域信息，并生成认证账号的操作具体为：

所述接入服务器从所述DHCP Discovery报文的CI选项和VCI选项分别提取出所述终端的序列号信息和业务域信息，并根据所述终端的序列号信息和业务域信息生成“终端序列号业务域”形式的认证账号。

4.根据权利要求1所述的多业务认证方法，其中所述接入服务器将所述认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器的操作具体为：

所述接入服务器将所述终端连至接入网的接入线路信息填入远程认证拨号用户服务RADIUS消息中的网络接入服务器端口标识符NAS-PORT-ID属性，并将该RADIUS消息和所述认证账号一并发送到认证服务器。

5.根据权利要求4所述的多业务认证方法，其中所述认证服务器基于所述认证账号和接入线路信息查询自身的用户数据库，对所述终端进行认证的操作具体包括：

认证服务器根据所述认证账号查询用户数据库，如果在所述用户数据库中存在所述认证账号，则比较所述NAS-PORT-ID属性信息是否与所述用户数据库中的所述认证账号对应的NAS-PORT-ID信息一致，如果一致，则确定认证通过，所述认证服务器向所述接入服务器返回表示认证通过的反馈消息，否则确定认证未通过，所述认证服务器向所述接入服务器返回标识认证未通过的反馈消息。

6.根据权利要求5所述的多业务认证方法，其中如果所述接入服务器接收到表示认证通过的反馈消息，则向DHCP服务器转发所述DHCP Discovery报文，所述DHCP服务器经由接入服务器向所述终端分配网络信息；如果所述接入服务器接收到表示认证未通过的反馈消息，则将该反馈消息发送给所述终端。

7.一种基于IPoE的多业务认证系统，包括：

接入服务器，用于接收终端发起的动态主机配置协议发现DHCPDiscovery报文，在DHCP Discovery报文中包括所述终端的序列号信息和业务域信息，并解析出所述终端的序列号信息和业务域信息，生成认证账号，然后将所述认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器；

认证服务器，用于基于所述认证账号和接入线路信息查询自身的用户数据库，对所述终端进行认证。

8.根据权利要求7所述的多业务认证系统，其中所述接入服务器具体包括：

DHCP报文接收模块，用于接收终端发起的DHCP Discovery报文，在所述DHCP Discovery报文中包括所述终端的序列号信息和业务域信息；

报文解析模块，用于解析出所述终端的序列号信息和业务域信息；

账号生成模块，用于根据所述终端的序列号信息和业务域信息生成认证账号；

认证信息发送模块，用于将所述认证账号和所述终端连至接入网的接入线路信息一并发给认证服务器。

9.根据权利要求8所述的多业务认证系统，其中所述报文解析模块具体包括：

终端序列号解析单元，用于从所述DHCP Discovery报文的CI选项中提取所述终端的序列号信息；

业务域解析单元，用于从所述DHCP Discovery报文的VCI选项中提取业务域信息。

10.根据权利要求7所述的多业务认证系统，其中所述认证账号采用“终端序列号业务域”形式。

11.根据权利要求8所述的多业务认证系统，其中所述接入服务器还包括：

接入线路信息写入模块，用于将所述终端连至接入网的接入线路信息填入远程认证拨号用户服务RADIUS消息中的网络接入服务器端口标识符NAS-PORT-ID属性。

12.根据权利要求11所述的多业务认证系统，其中所述认证服务器具体包括：

账号判断模块，用于根据所述认证账号查询用户数据库，判断是否在所述用户数据库中是否存在所述认证账号；

账户认证模块，用于在所述用户数据库中存在所述认证账号时，比较所述NAS-PORT-ID属性信息是否与所述用户数据库中的所述认证账号对应的NAS-PORT-ID信息一致；

认证结果反馈模块，用于在判断一致时，确定认证通过，并向所述接入服务器返回表示认证通过的反馈消息；否则确定认证未通过，并向所述接入服务器返回标识认证未通过的反馈消息。

13.根据权利要求12所述的多业务认证系统，其中所述接入服务器还包括：

DHCP请求模块，用于在接收到表示认证通过的反馈消息时，向DHCP服务器转发所述DHCP Discovery报文，以便由所述DHCP服务器为所述终端分配网络信息；

失败反馈模块，用于在接收到表示认证未通过的反馈消息时，将该反馈消息发送给所述终端。