CN102916949B - 一种Web认证方法及装置 - Google Patents

Abstract

本发明公开了一种Web认证方法及装置，用以简化Web认证流程，节约网络传输资源，所述方法包括：端口开启Web认证时，下发Web认证前的ACL规则，所述ACL规则为HTTP协议报文的目的IP地址非本地IP地址的IP报文转发到CPU；允许DNS协议报文的转发；允许广播报文的转发；允许本端口连接的设备与交换机进行直接通信；接收内网用户发送的HTTP报文，其中携带有报文传输信息，报文传输信息包括HTTP报文传输的目的IP地址、所使用的传输协议信息和目的端口；判断目的IP地址是否为非本地IP地址、且所使用的传输协议是否为TCP以及目的端口是否为80；若判断结果均为是，对所述内网用户进行Web认证。

Description

一种Web认证方法及装置

技术领域

本发明涉及计算机通信技术领域，尤其涉及一种Web认证方法及装置。

背景技术

网络信息安全越来越受到人们重视，为了能够控制局域网内用户对外部资源的访问，在局域网内用户访问外部网络资源时，首先需要通过认证才能对其授权，以访问外部资源。

超文本传输协议(HTTP，Hyper Text Transfer Protocol)是客户端浏览器或其他程序与Web服务器之间的应用层通信协议，包含命令和传输信息，不仅可用于Web访问，也可以用于其他因特网/内联网应用系统之间的通信，因此能够实现各类应用资源超媒体访问的集成。

在因特网(Internet)上，Web服务器存放的都是超文本信息，客户端要通过HTTP传输所要访问的超文本信息，首先需要客户端的终端用户在接入层设备通过Web认证。

具备Web认证功能的交换机或路由器等接入层设备支持Web认证功能的方式主要为外置方式，目前，外置Web认证的过程为：用户准备接入网络时，启动任意的浏览器软件，比如IE等；输入任意的URL地址，均会被接入层设备重定向到Web认证服务器。这样，Web认证服务器向用户推送认证页面，同时接入层设备通过URL地址中的参数，将用户的一些认证信息(如IP、MAC等)传送给Web认证服务器。用户在Web认证服务器推送的认证页面上输入合法的用户名/密码，进行接入认证。Web认证服务器把用户输入的用户密码以及URL中传递的相关认证信息发给Radius服务器进行认证。认证成功后，Web认证服务器打开接入层设备上该IP的上网通道，用户就可以上网了。

接入层设备在进行URL重定向时产生临时记录，临时记录包括IP、MAC等信息，用来表明这些信息所代表的网络节点曾经被重定向过，并在Web认证通过后，根据临时记录打开该IP的上网通道。

综上所述，传统Web认证系统由接入层设备、Web认证服务器和Radius服务器组成，认证流程繁琐，且认证消息在三者之间进行传输时，需要占用网络传输资源，造成了网络传输资源的浪费。

发明内容

本发明实施例提供了一种Web认证方法及装置，用以简化Web认证流程，节约网络传输资源。

本发明实施例提供一种Web认证方法，包括：端口开启Web认证时，下发Web认证前的ACL规则，所述Web认证前的ACL规则为HTTP协议报文的目的IP地址非本地IP地址的HTTP报文转发到CPU；允许DNS协议报文的转发；允许广播报文的转发；允许本端口连接的设备与交换机进行直接通信；

除上述报文外，不允许其他报文的转发；

接收内网用户发送的超文本传输协议HTTP报文，所述HTTP报文中携带有报文传输信息，所述报文传输信息包括所述HTTP报文传输的目的互联网协议IP地址、所使用的传输协议信息和目的端口；

判断所述目的IP地址是否为为非本地IP地址、且所使用的传输协议是否为传输控制协议TCP以及目的端口是否为80；

若判断结果均为是，对所述内网用户进行Web认证。

本发明实施例提供一种Web认证装置，包括：

认证功能开启模块，用于当端口开启Web认证时下发Web认证前的ACL规则，所述Web认证前的ACL规则为HTTP协议报文的目的IP地址非本地IP地址的IP报文转发到CPU；允许DNS协议报文的转发；允许广播报文的转发；允许本端口连接的设备与交换机进行直接通信；

除上述报文外，不允许其他报文的转发；

接收模块，用于接收内网用户发送的HTTP报文，所述HTTP报文中携带有报文传输信息，所述报文传输信息包括所述HTTP报文传输的目的互联网协议IP地址、所使用的传输协议信息和目的端口；

判断模块，用于判断所述目的IP地址是否为为非本地IP地址、且所使用的传输协议是否为传输控制协议TCP以及目的端口是否为80；

认证模块，用于在所述判断模块的判断结果均为是时，对所述内网用户进行Web认证。

本发明实施例提供的Web认证方法及装置，当接入层设备在接收到内网用户发送的HTTP报文之后，首先判断该发送该HTTP报文的端口是否开启了Web认证，如果是，则判断HTTP报文中携带的报文传输信息是否满足预设条件，如果是，则由接入层设备对内网用户进行Web认证，由于在对内网用户进行Web认证时，无需将认证相关信息转发给Web认证服务器以及Radius服务器进行处理，从而简化了Web认证流程，节约了网络传输资源。

本发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本发明而了解。本发明的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本发明的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为本发明实施例中，Web认证方法的实施流程示意图；

图2为本发明实施例中，HTTP报文接收的处理流程示意图；

图3为本发明实施例中，认证模块对接收到的通知消息的处理流程示意图；

图4为本发明实施例中，处理内网用户HTTP连接请求的流程示意图；

图5为本发明实施例中，对内网用户进行Web认证处理的实施流程示意图；

图6为本发明实施例中，HTTP报文的响应报文发送的处理流程示意图；

图7为本发明实施例中，Web认证装置的结构示意图。

具体实施方式

为了简化Web认证流程，节约网络传输资源，本发明实施例提供了一种Web认证方法及装置。以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明，并且在不冲突的情况下，本发明中的实施例及实施例中的特征可以相互组合。

实施例一

如图1所示，为本发明实施例提供的Web认证方法的实施流程示意图，包括以下步骤：

S101、端口开启Web认证时，下发Web认证前的ACL规则；

为了实现在接入层设备上对内网用户进行Web认证，可以在接入层设备的端口上开启Web认证功能时，下发ACL(访问控制列表)规则，具体的，ACL规则可以设置为：

1)若HTTP报文的目的IP地址为非本机IP地址时将接收到的HTTP报文转发给CPU(中央处理器)处理；

2)允许DNS(域名服务)协议报文的转发；

3)允许本端口连接的设备与自身所在接入层设备进行直接通信；

4)除上述报文外，不允许其他报文的转发。

具体实施时，若在开启Web认证功能的端口上关闭Web认证功能时，则取消上述设置的ACL规则。

S102、接入层设备接收内网用户发送的HTTP报文；

其中，HTTP报文中携带有报文传输信息，具体实施时，报文传输信息可以但不限于包括该HTTP报文传输的目的IP地址、所使用的传输协议信息和目的端口等信息。

S103、判断HTTP报文中携带的目的IP地址是否为为非本地IP地址、且所使用的传输协议是否为为传输控制协议TCP以及目的端口是否为80，如果是，执行步骤S103，否则流程结束。

例如，当内网用户访问外部网络资源时，首先通过DNC或其他方式获得目标主机的IP地址，然后通过HTTP协议与目标主机建立连接(具体方式可以为该内网用户启动任意的浏览器软件，例如IE等，在地址栏输入任意的URL地址)在建立HTTP连接的HTTP报文经过接入层设备时，需要匹配上述ACL规则，如果匹配到ACL规则，则执行ACL规则的动作。由于内网用户与目标主机建立HTTP连接的HTTP报文中携带的目的IP地址为目标主机的IP地址，其满足上述ACL规则中的第一条，因此将执行ACL规则，将报文转发给CPU处理。基于HTTP报文携带的报文传输信息和发送该HTTP报文的端口标识，在报文进入协议栈的IP层处理时，IP层需要对接收到的报文进行以下判断：

1)判断该HTTP报文是否是否来自开启Web认证的端口；

2)判断IP报文的目的地址是否为非本地IP地址；

3)判断传输协议是否为TCP(传输控制协议)；

4)目的端口是否为80端口。

S104、对该内网用户进行Web认证。

若HTTP报文满足上述条件，确认需要对发送该HTTP报文的内网用户进行Web认证。具体的，可以提取HTTP报文中的用户信息，以消息的形式通知认证模块有新的内网用户需要进行认证，其中，用户信息可以但不限于包括以下内容：源IP地址、目的IP地址、源端口、目的端口、源MAC(媒体访问控制)地址以及发送所述HTTP报文的端口标识。同时，修改接收到的HTTP报文的目的IP地址为本地的IP地址，并重新计算HTTP报文的IP校验和和TCP校验和后，继续按协议栈流程处理。

如图2所示，为HTTP报文接收的处理流程示意图，包括以下步骤：

S201、接收内网用户发送的HTTP报文；

S202、判断接收到的HTTP报文中携带的目的IP地址是否为本地IP地址，如果是，执行步骤S206，如果否，执行步骤S203；

S203、判断该端口是否开启Web认证，如果是，执行步骤S204，如果否，执行步骤S206；

S204、通知认证模块进行Web认证；

具体的，可以以消息的形式通知认证模块有新的内网用户需要进行内网认证，并在发送的消息中携带有待认证内网用户的用户信息，例如，该内网用户所发送的HTTP报文中携带的源IP地址、目的IP地址、源端口、目的端口、源MAC(媒体访问控制)地址以及发送该HTTP报文的端口标识等。

S205、修改HTTP报文的目的IP地址为本地IP地址；

由于将HTTP报文的目的IP地址修改为本地IP地址，这样，在后续继续进行协议栈处理时，与处理目的地址为本地IP地址一样。

S206、继续协议栈处理。

认证模块在接收到对内网用户进行认证的通知消息之后，对消息内容进行检查，如果消息是重复消息，则不处理，否则，创建新用户信息表，记录该用户用户，用于维护用户的认证状态；之后，向该内网用户发送Web认证页面，即将用户之前通过浏览器软件提交的URL重定向到Web认证页面。在Web认证页面上，用户可以输入用户名和密码等认证信息，在接收到用户提交的认证信息之后，根据用户输入的用户名、密码以及HTTP报文的源IP地址等对用户进行认证，如果认证通过，可以开放端口上的用户访问权限，允许该用户访问外部网络资源。若Web认证成功，则向用户返回认证成功页面，并且提示用户关闭Web页面后，即认为用户下线，需要重新执行Web认证并通过之后可在此访问外部网络资源；若Web认证失败，则向用户返回Web认证失败页面，并提示相关信息。

如图3所示，为认证模块对接收到的通知消息的处理流程示意图，包括以下步骤：

S301、接收对内网用户进行认证的通知消息；

S302、检查该接收到的通知消息是否为重复消息，如果否，执行步骤S303，如果是，流程结束；

S303、创建新用户信息表；

其中，新用户信息表用于记录待认证内网用户的用户信息，例如，HTTP报文的源IP地址、目的IP地址、源端口、目的端口、源媒体访问控制MAC地址以及发送所述HTTP报文的端口标识，用于维护该内网用户的认证状态。

如图4所示，为处理内网用户HTTP连接请求的流程示意图，包括以下步骤：

S401、接收内网用户提交的HTTP连接请求；

其中，在HTTP连接请求中携带有内网用户希望访问的URL(统一资源定位符)。

S402、判断HTTP连接请求中携带的URL是否为本机管理页面，如果是，执行步骤S403，否则，执行步骤S404；

S403、向内网用户返回管理页面，流程结束；

S404、将待访问的URL重定向为Web认证页面并发送给内网用户。

如图5所示，为向内网用户发送Web认证页面后，对内网用户进行Web认证处理的实施流程示意图，包括以下步骤：

S501、向内网用户发送Web认证页面；

S502、接收内网用户通过Web认证页面提交的用户名、密码等信息；

S503、根据用户名和密码等信息对内网用户进行认证；

S504、判断认证是否成功，如果是，执行步骤S505，如果否，执行步骤S507；

S505、下发ACL规则，允许转发该内网用户数据；

S506、向内网用户返回Web认证成功页面，流程结束；

S507、向内网用户返回Web认证失败页面。

具体实施时，接入层设备在处理内网用户的HTTP报文的过程中，还需要向内网用户返回HTTP报文的响应报文，具体的，接入层设备在向内网用户返回响应消息之前，首先根据自身维护的用户认证状态，判断用户为未认证的用户，如果是，则修改响应报文的源IP地址为接收到该HTTP报文时携带的目的IP地址。

如图6所示，为HTTP报文的响应报文发送的处理流程示意图，包括以下步骤：

S601、检查响应报文的目的IP地址、目的端口和源端口；

S602、判断响应报文的目的IP地址是否为未认证的内网用户IP地址，如果是，执行步骤S603，否则执行步骤S604；

S603、修改响应报文的源IP地址为其对应的HTTP报文携带的目的IP地址；

S604、发送响应报文。

上述过程中，在接入层设备上即可完成对内网用户的认证，相对于现有技术需要通过在接入层设备、Web认证服务器以及Radius服务器之间交互认证消息完成Web认证，其认证流程简单，同时由于无需占用网络资源传输认证消息，因此，节约了网络传输资源。

基于同一发明构思，本发明实施例中还提供了一种Web认证装置及接入层设备，由于上述装置及设备解决问题的原理与Web认证方法相似，因此上述装置及设备的实施可以参见方法的实施，重复之处不再赘述。

如图7所示，为本发明实施例提供的Web认证装置的结构示意图，包括：

认证功能开启模块701，用于当端口开启Web认证时下发Web认证前的ACL规则，所述Web认证前的ACL规则为HTTP协议报文的目的IP地址非本地IP地址的IP报文转发到CPU；允许DNS协议报文的转发；允许广播报文的转发；允许本端口连接的设备与交换机进行直接通信；除上述报文外，不允许其他报文的转发；

接收模块702，用于接收内网用户发送的HTTP报文，该HTTP报文中携带有报文传输信息，其中，报文传输信息包括所述HTTP报文传输的目的互联网协议P地址、所使用的传输协议信息和目的端口；

判断模块703，用于若发送HTTP报文的端口开启Web认证时，判断HTTP报文中携带的目的IP地址是否为为非本地IP地址、且所使用的传输协议是否为TCP以及目的端口是否为80；

认证模块704，用于在判断模块703的判断结果均为是时，对内网用户进行Web认证。

其中，认证模块704，可以包括：

记录子模块，用于创建新用户信息表，记录内网用户的用户信息，所述用户信息包括HTTP报文的源IP地址、目的IP地址、源端口、目的端口、源MAC地址以及发送HTTP报文的端口标识；

发送子模块，用于向内网用户发送Web认证页面；

接收子模块，用于接收内网用户提交的认证信息，其中，认证信息为内网用户通过Web认证页面提交；

认证子模块，用于根据接收到的认证信息，对内网用户进行Web认证。

特别地，Web认证装置，还可以包括：

第一修改模块，用于在Web认证前修改HTTP报文的目的IP地址为本地的IP地址；

计算模块，用于重新计算所述HTTP报文的IP校验和和TCP校验和。

具体实施时，Web认证装置，还可以包括：

处理模块，用于若确定内网用户认证通过，向所述内网用户返回认证成功页面，下发该用户认证后的ACL规则，即允许源IP地址为通过Web认证的用户IP地址的IP报文直接转发，允许该内网用户访问外部网络资源；若关闭认证成功页面，则认为该用户下线，删除该用户认证后的ACL规则，无法继续访问外部网络资源；以及若确定所述内网用户认证未通过，向所述内网用户返回认证失败页面。

具体实施时，Web认证装置，还可以包括：

发送模块，用于在对内网用户进行Web认证之前，向内网用户返回HTTP报文的响应报文；

第二修改模块，用于在发送模块向内网用户返回响应报文之前，修改响应报文的源IP地址为HTTP报文中携带的目的IP地址。

较佳地，上述Web认证装置可以设置于网络接入层设备中，例如交换机或者路由器中，由接入层设备完成对内网用户的Web认证，需要说明的是，将Web认证装置设置于接入层设备中只是本发明一种较佳的实施例，具体实施时，可以根据实际需要将Web认证装置设置于其它设备或者新增设备中。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的优选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例做出另外的变更和修改。所以，所附权利要求意欲解释为包括优选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (10)

1.一种Web认证装置，其特征在于，所述Web认证装置设置于网络接入层设备，所述Web认证装置包括：

认证功能开启模块，用于当端口开启Web认证时下发Web认证前的访问控制表ACL规则，所述Web认证前的ACL规则为将目的IP地址为非本地IP地址的HTTP报文转发到CPU；以及仅允许域名服务DNS协议报文和广播报文的转发；允许本端口连接的设备与交换机进行直接通信；

接收模块，用于接收内网用户发送的HTTP报文，所述HTTP报文中携带有报文传输信息，所述报文传输信息包括所述HTTP报文传输的目的互联网协议IP地址、所使用的传输协议信息和目的端口；

判断模块，用于判断所述目的IP地址是否为非本地IP地址、且所使用的传输协议是否为传输控制协议TCP以及目的端口是否为80；

认证模块，用于在所述判断模块的判断结果均为是时，对所述内网用户进行Web认证。

2.如权利要求1所述的装置，其特征在于，所述认证模块包括：

记录子模块，用于创建新用户信息表，记录所述内网用户的用户信息，所述用户信息包括所述HTTP报文的源IP地址、目的IP地址、源端口、目的端口、源媒体访问控制MAC地址以及发送所述HTTP报文的端口标识；

发送子模块，用于向所述内网用户发送Web认证页面；

接收子模块，用于接收所述内网用户提交的认证信息，其中，所述认证信息为所述内网用户通过所述Web认证页面提交；

认证子模块，用于根据接收到的认证信息，对所述内网用户进行Web认证。

3.如权利要求2所述的装置，其特征在于，还包括：

处理模块，用于若确定所述内网用户认证通过，向所述内网用户返回认 证成功页面，下发该用户认证后的ACL规则，即允许源IP地址为通过Web认证的用户IP地址的IP报文直接转发，允许所述内网用户访问外部网络资源；若关闭认证成功页面，则认为该用户下线，删除该用户认证后的ACL规则，无法继续访问外部网络资源；若确定所述内网用户认证未通过，向所述内网用户返回认证失败页面。

4.如权利要求2所述的装置，其特征在于，还包括：

第一修改模块，用于在Web认证前修改所述HTTP报文的目的IP地址为本地IP地址；

计算模块，用于重新计算所述HTTP报文的IP校验和和TCP校验和。

5.如权利要求1至4任一权利要求所述的装置，其特征在于，还包括：

发送模块，用于在对所述内网用户进行Web认证之前，向所述内网用户返回所述HTTP报文的响应报文；

第二修改模块，用于在所述发送模块向所述内网用户返回所述响应报文之前，修改所述响应报文的源IP地址为所述HTTP报文中携带的目的IP地址。

6.一种Web认证方法，其特征在于，包括：

Web认证装置确认端口开启Web认证时，下发Web认证前的访问控制表ACL规则，所述Web认证前的ACL规则为将目的IP地址为非本地IP地址的HTTP报文转发到CPU；以及仅允许域名服务DNS协议报文和广播报文的转发；允许本端口连接的设备与交换机进行直接通信；

所述Web认证装置接收内网用户发送的超文本传输协议HTTP报文，所述HTTP报文中携带有报文传输信息，所述报文传输信息包括所述HTTP报文传输的目的互联网协议IP地址、所使用的传输协议信息和目的端口；

所述Web认证装置判断所述目的IP地址是否为为非本地IP地址、且所使用的传输协议是否为传输控制协议TCP以及目的端口是否为80；

若判断结果均为是，所述Web认证装置对所述内网用户进行Web认证；

其中，所述Web认证装置设置于网络接入层设备。

7.如权利要求6所述的方法，其特征在于，对所述内网用户进行Web认证，具体包括：

创建新用户信息表，记录所述内网用户的用户信息，所述用户信息包括所述HTTP报文的源IP地址、目的IP地址、源端口、目的端口、源媒体访问控制MAC地址以及发送所述HTTP报文的端口标识；

向所述内网用户发送Web认证页面；并

接收所述内网用户提交的认证信息，其中，所述认证信息为所述内网用户通过所述Web认证页面提交；

根据接收到的认证信息，对所述内网用户进行Web认证。

8.如权利要求7所述的方法，其特征在于，还包括：

若确定所述内网用户认证通过，向所述内网用户返回认证成功页面，下发该用户认证后的ACL规则，即允许源IP地址为通过Web认证的用户IP地址的IP报文直接转发，允许所述内网用户访问外部网络资源；若关闭认证成功页面，则认为该用户下线，删除该用户认证后的ACL规则，无法继续访问外部网络资源；

若确定所述内网用户认证未通过，向所述内网用户返回认证失败页面。

9.如权利要求6所述的方法，其特征在于，还包括：

在Web认证前，修改所述HTTP报文的目的IP地址为本地的IP地址；并

重新计算所述HTTP报文的IP校验和和TCP校验和。

10.如权利要求6至9任一权利要求所述的方法，其特征在于，在对所述内网用户进行Web认证之前，还包括：

向所述内网用户返回所述HTTP报文的响应报文；以及

在返回所述响应报文之前，还包括：

修改所述响应报文的源IP地址为所述HTTP报文中携带的目的IP地址。