CN102932785B - 一种无线局域网的快速认证方法、系统和设备 - Google Patents

Abstract

本发明提供了一种无线局域网的快速认证方法、系统和设备。其中的方法包括：用户首次认证成功时，AC将用户的认证信息发送给绑定服务器，绑定服务器在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；用户状态满足上线条件时，AC向绑定服务器发送携带有与用户相对应的用户终端的MAC地址的查询请求；绑定服务器根据查询请求判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则绑定服务器通知AC所述MAC地址已被绑定，AC向一级Radius发送认证请求。应用本发明可以使得首次认证成功后的用户可以不使用浏览器即可进行快速地认证。

Description

一种无线局域网的快速认证方法、系统和设备

技术领域

本发明涉及移动通信技术领域，尤其涉及一种无线局域网的快速认证方法、系统和设备。

背景技术

在现有技术中，目前正在运营的无线局域网(WLAN)的认证方式主要是基于用户名、密码的Web认证方法。在该认证方法中，用户在使用WLAN之前必须先启动客户端上的浏览器，通过该浏览器访问相应的WLAN登录(Portal)页面，并输入用户名、密码，然后再进行后续的认证过程。由于上述认证方法需要通过WLAN Portal页面来完成，因此该认证方法可称为Portal认证方法。

在上述的Portal认证方法中，由于用户必须通过浏览器进行认证过程，因此无法直接通过应用业务启动认证过程，从而导致使用流程比较繁琐，而且用户还需要单独记忆相应的用户名、密码等认证信息，提高了用户的使用门槛，降低了用户的体验度，使得手机接入WLAN的认证附着比过低，无法达到移动互联网应用一键接入的业务体验。另外，由于各个移动终端中的操作系统可能并不相同，因此在移动终端通过调用浏览器进行上述认证时，WLAN Portal页面或客户端需要适配不同移动终端的类型，从而延长了适配和推广的流程；而且，由于移动终端的显示屏幕一般都比较小，只能使用单个窗口，因此在使用上述的认证方法时，用户输入信息的过程并不方便，延长了用户的登录时间。

虽然在现有技术的认证方法中，还可以通过用户身份识别(SIM)卡进行认证或基于介质访问控制(MAC)地址进行认证，但通过SIM卡进行认证的方法需要客户端和网络侧同时支持，需要开发特定的客户端，改变现有的业务流程，且在没有特定客户端支持的情况下，无法在同一服务集标识(SSID)下兼容现有技术中的Web认证，导致业务连续性差；而对于基于MAC地址的认证方法来说，用户通过PC即可比较容易地改变该PC的MAC地址，因此存在MAC仿冒的风险。而且，现有技术中的各种认证方法中的网络侧都并不通过无线网卡监测移动终端的SIM卡的更换操作，从而容易出现机主发生变更后而WLAN付费号码未及时转移所导致的误扣费现象。

发明内容

有鉴于此，本发明提供了一种无线局域网的快速认证方法、系统和设备，从而使得首次认证成功后的用户可以不使用浏览器即可进行快速地认证。

本发明采用的技术方案具体是这样实现的：

一种无线局域网的快速认证方法，该方法包括：

A、当用户首次认证成功时，接入控制器AC将用户的认证信息发送给绑定服务器，绑定服务器在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；

B、当用户状态满足上线条件时，AC向绑定服务器发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址；

C、绑定服务器根据查询请求判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则绑定服务器通知AC所述MAC地址已被绑定，AC向一级远程身份验证拨入用户服务器Radius发送认证请求。

一种无线局域网的快速认证系统，该系统包括：接入控制器AC、绑定服务器和一级远程身份验证拨入用户服务器Radius；

所述AC，用于当用户首次认证成功时，将用户的认证信息发送给绑定服务器；还用于当用户状态满足上线条件时，AC向绑定服务器发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址；还用于根据MAC地址已被绑定的通知，向一级Radius发送认证请求；

所述绑定服务器，用于在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；还用于根据查询请求判断所述MAC地址是否已被绑定且未在线，如果已被绑定且未在线，则向所述AC发送MAC地址已被绑定的通知；

所述一级Radius，用于根据AC的认证请求进行认证，并将认证结果返回AC。

一种绑定服务器，该绑定服务器包括：绑定模块、存储模块和查询判断模块；

所述绑定模块，用于在所接收的认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将所述绑定关系发送给所述存储模块；

所述存储模块，用于将所述绑定关系存储在绑定关系数据库中；

所述查询判断模块，用于根据接收到的查询请求在所述存储模块中的绑定关系数据库中查询，并根据查询结果判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则向AC发送MAC地址已被绑定的通知。

由上述技术方案可见，本发明中设置了一个用于进行绑定操作并记录绑定关系的绑定服务器，从而使得首次认证成功后的用户可以不使用浏览器即可进行快速地认证，提高了用户的体验度。

附图说明

图1是本发明中无线局域网的快速认证方法的流程图。

图2是本发明中机卡分离的检测方法的流程图。

图3为本发明中的无线局域网的快速认证系统的组成示意图。

图4为本发明的绑定服务器的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点表达得更加清楚明白，下面结合附图及具体实施例对本发明再作进一步详细的说明。

图2是本发明中无线局域网的快速认证方法的流程图。

如图2所示，该方法包括：

步骤101，当用户首次认证成功时，接入控制器(AC)将用户的认证信息发送给绑定服务器，绑定服务器在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中。

首先，在本发明的技术方案中，首先需要预先设置一个绑定服务器，用于进行上述绑定操作，并通过绑定关系数据库来记录上述的绑定关系。

其次，在本发明的技术方案中，用户在使用无线局域网之前，需要通过用户终端登录该无线局域网并完成首次认证，只有在首次认证成功时，绑定服务器才能将该用户的用户信息与相应的MAC地址信息进行绑定。因此，更进一步地，本步骤101之前还可以包括：用户通过无线局域网的登录(Portal)页面进行首次认证。具体的首次认证的方法可以使用现有技术中的Portal认证方法，在此不再赘述。

当用户完成首次认证之后，绑定服务器即可根据用户的认证信息来实现上述的绑定操作并记录相应的绑定关系。例如，当用户首次认证成功时，AC可将相应的认证信息发送给绑定服务器，而绑定服务器则可在所接收到的认证信息中的用户信息和MAC地址信息之间建立绑定关系(即进行MAC地址的绑定操作)，并将上述绑定关系存储在绑定关系数据库中。

在本发明的具体实施例中，所述的认证信息可以包括：用户信息和MAC地址信息。其中，所述用户信息可以是用户名或者用户的手机号码；所述MAC地址信息则可以是与用户相对应的用户终端的MAC地址。

另外，由于PC的MAC地址可以比较容易地改变，因此，进一步地，在本发明的具体实施例中还可以只对非PC系统的移动终端(例如，手机或非PC系统的平板电脑等)才进行MAC地址绑定，从而降低MAC仿冒风险。

所以，在本发明的具体实施例中，上述的认证信息中还可以进一步包括用户代理(UA，User Agent)信息。所述UA信息是由所述AC从所述用户的首个HTTP请求消息的消息头的User-Agent字段中解析并提取出的信息。该UA信息中可包括与用户相对应的用户终端的信息(例如，该用户终端的型号、该用户终端所使用的浏览器的型号、该用户终端所使用的系统的信息等)。所以，在上述的步骤101中，所述绑定服务器在进行绑定(即建立绑定关系)之前，还可进一步根据所述认证信息中的UA信息判断是否进行绑定。例如，如果绑定服务器根据UA信息判断与用户相对应的用户终端为非PC系统的移动终端，则绑定服务器判断可以进行绑定，并可继续进行后续的绑定操作；否则，绑定服务器判断不进行绑定，从而不进行后续的绑定操作，并结束整个流程。

此外，所述绑定服务器还可进一步通过MAC仿冒检测机制对检测到的具有相同MAC地址的用户终端进行黑名单处理，不允许具有该MAC地址的用户终端进行绑定，从而可以有效降低MAC仿冒风险。

步骤102，当用户状态满足上线条件时，AC向绑定服务器发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址。

在本发明的具体实施例中，所述上线条件可以预先设置。例如，所述上线条件可以是：预定时间内的用户请求流量大于预设的上线流量阈值。上述的预定时间和预设的上线阈值可以根据实际应用情况预先设置。例如，所述上线条件可以预设为：用户请求流量在5分钟内的累计流量大于10KB。因此，只要预先设定合适的上线条件，就可使得当用户点击任意一个应用业务时，用户请求流量就将大于预设的上线流量阈值，从而满足预设的上线条件，从而可以进行后续的认证操作。

例如，当AC检测用户状态满足预设条件时，AC即可向所述绑定服务器发送查询请求，以请求绑定服务器查询该用户相对应的用户终端的MAC绑定状态。

在本发明的具体实施例中，所述查询请求可以是MAC绑定查询报文或其它形式的查询报文。所述MAC绑定查询报文中携带有用户终端的MAC地址，以使得所述绑定服务器可根据所述MAC绑定查询报文中的用户终端的MAC地址查询所存储的绑定关系数据库。

在本发明的具体实施例中，所述MAC绑定查询报文可以是对现有的报文进行扩展后得到的扩展报文。以下将以举例的形式对本发明中的MAC绑定查询报文进行进一步地介绍。

在本发明的具体实施例中，所述MAC绑定查询报文可以是具有如表1所示的报文结构的扩展报文。

表1

如表1所示，上述的MAC绑定查询报文中包括如下所述的字段：

Ver字段：用于表示该报文的版本号；其取值可以是具有约定含义的取值，例如，0x01；

Type字段：用于表示该报文的类型；字段的取值可以是具有约定含义的值，例如，0x30，表示该报文为MAC绑定查询报文。

Pap/Chap字段：用于表示该报文所使用的认证协议，其取值的含义可以预先约定。例如，可约定当该字段的取值为0时，表示所使用的认证协议是挑战握手协议(CHAP)；当该字段的取值为1时，表示所使用的认证协议是密码认证协议(PAP)。

Rsv字段：为保留字段。在本发明的实施例中，可以将该字段用于表示AC所使用的认证方式，其取值的含义可以预先设定。例如，可约定当该字段的取值为0时，表示所使用的是现有技术中的Portal认证方式；而当该字段的取值为1时，则表示所使用的是本发明中的快速认证方式。

SerialNo字段：用于表示序列号。该字段的取值可以是由AC随机生成的一个值。

ReqID字段：用于表示该报文的标识符(ID)。

UserIP字段：用于表示用户的IP地址；

UserPort字段：用于表示所使用的用户端口。例如，在本发明的具体实施例中，所述MAC绑定查询报文所使用的用户端口是AC和绑定服务器之间的MAC查询和应答接口；该用户端口的端口号可以设置为50100。

ErrCode字段：该字段在所述MAC绑定查询报文中的取值为空值，即所述MAC绑定查询报文中并不使用该字段。

AttrNum字段：用于表示Attr字段中所包括的属性字段的个数。在所述MAC绑定查询报文中，该字段的取值为3，即该MAC绑定查询报文中的Attr字段中包括两个属性字段。

Attr字段：包括3个属性字段。各个属性字段的含义参见如下的表2。

表2

如表2所示，所述Attr字段包括3个属性字段：SessionID属性字段、BasIp属性字段和NASID属性字段。所述SessionID属性字段用于表示用户终端的MAC地址，所述BasIp属性字段用于表示AC的IP地址，所述NASID属性字段用于表示用户上线的热点位置的标识。

步骤103，绑定服务器根据查询请求判断与用户相对应的用户终端的MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则执行步骤104；否则，结束认证流程。

在本步骤中，由于查询请求中携带有与用户相对应的用户终端的MAC地址，因此绑定服务器可以根据该MAC地址查询该绑定服务器中所存储的绑定关系数据库，从而可根据查询结果判断上述MAC地址是否已被绑定(即上述MAC地址是否已经与相应的用户信息建立了绑定关系)。如果未绑定(例如，绑定关系数据库中未找到该MAC地址的记录)，则表明该用户未通过首次认证，或者表明该MAC地址已经解除了与用户信息之间的绑定关系，此时，可直接结束整个认证流程。当认证流程结束后，用户还可以根据自身情况确定是否通过现有技术中的Portal认证方法进行首次认证。

如果上述MAC地址已被绑定，则绑定服务器还将判断所述MAC地址是否在线，如果在线，则表示网络中已经存在仿冒该MAC地址的终端，或者是当前用户所使用的终端为仿冒该MAC地址的终端。此时，为了降低MAC仿冒的风险，可结束整个认证流程；进一步地，绑定服务器还将解除该MAC地址的绑定关系(例如，从绑定关系数据库中删除与该MAC地址相关的绑定关系)，并将该MAC地址加入到黑名单中，不允许再次进行绑定。在此之后，绑定服务器可以向AC返回相应的报警信息，告知上述的情况。其中，在本发明的具体实施例中，具体的判断所述MAC地址是否在线的方法可以是：

当WLAN中有至少一个已上线的MAC地址与所需判断的MAC地址相同，且两个相同MAC地址相对应的BasIP和UserIP中至少有一个不同，并在规定时间(例如，可设定为10秒)内发生了至少2次交替上线冲突时，判定所述MAC地址在线；否则，判定MAC地址不在线。

如果绑定服务器判断该MAC地址已被绑定(例如，绑定关系数据库中记录了该MAC地址与某个用户信息之间的绑定关系)且该MAC地址不在线，则可以执行步骤104。

步骤104，绑定服务器通知AC所述与用户相对应的用户终端的MAC地址已被绑定。

在本发明的具体实施例中，所述绑定服务器可以通过相应的查询响应通知AC所述与用户相对应的用户终端的MAC地址已被绑定。

例如，所述的查询响应可以是本发明的具体实施例中的查询应答报文；所述查询应答报文中携带有与用户相对应的用户终端的MAC地址是否已被绑定且未在线的信息。

所述查询应答报文的报文结构与上述的MAC绑定查询报文的结构相同；而且，除以下所述的几个字段之外，其它各个字段的取值与MAC绑定查询报文中相应字段的取值均相同。在所述查询应答报文中，与MAC绑定查询报文中相应字段的取值不同的字段为：

Type字段：字段的取值为预先约定的值，例如，0x31，表示该报文为查询应答报文；

SerialNo字段：该字段的取值与MAC绑定查询报文中的SerialNo字段的取值相同。

ErrCode字段：该字段的取值的含义可以预先设定，用于表示与用户相对应的用户终端的MAC地址是否已被绑定且未在线的信息。例如，可约定当该字段的取值为0时，表示与用户相对应的用户终端的MAC地址已被绑定且未在线；而当该字段的取值为1时，则表示与用户相对应的用户终端的MAC地址未被绑定和/或已在线。

AttrNum字段的取值为0，因此，该查询应答报文中的Attr字段为空。

步骤105，AC向一级远程身份验证拨入用户服务器(Radius)发送认证请求。

在本步骤中，AC将首先向一级Radius发送认证请求。如果认证成功，则一级Radius将返回认证成功响应；否则一级Radius将返回认证失败响应。

根据上述的步骤101～105可知，用户在首次认证成功后，绑定服务器即可将该用户的用户信息与相对应的用户终端的MAC地址进行绑定(即建立绑定关系)并存储绑定关系。认证成功后的用户只需产生一定的用户请求流量(例如，点击任意一个应用业务)即可触发AC自动发起认证过程，用户不必再次单独启用浏览器并通过Portal认证方法进行认证，也无需发送特定的HTTP请求，从而使得在不改变现有Web认证流程的前提下，用户只需一次Portal认证即可实现用户信息和相应用户终端的MAC地址的绑定，因而在后续的认证过程用户无需输入用户名、密码等信息，而且用户不必打开浏览器进行认证，只需点击任意业务应用即可自动进行认证，最大限度地降低了用户对浏览器的依赖性，减少了用户的操作动作，简化了认证流程，缩短了认证周期，提高了用户的体验度。而且，上述的认证方法可以有效地兼容现有技术中的Web认证流程，无需开发新的客户端，无需改变业务流程，业务连续性好。

进一步地，在本发明的具体实施例中，在上述的步骤105之后，还可以继续执行如下所述的步骤：

步骤106，当认证成功时，AC将向一级Radius发送计费开始请求，同时通知所述绑定服务器该用户已经上线。

在本发明的具体实施例中，当AC向一级Radius发送认证请求之后，如果认证成功，则AC可向一级Radius发送计费开始请求，从而开始相应的计费流程；此时，AC还将同时通知所述绑定服务器该用户已经上线。例如，AC可向所述绑定服务器发送用户上线通知报文，通知绑定服务器该用户已经上线。所述用户上线通知报文中携带有用户的在线信息和认证类型。

其中，所述用户上线通知报文的报文结构与上述的MAC绑定查询报文的结构相同，各个字段的含义也相同。因此，以下将仅介绍用户上线通知报文中的部分字段的取值情况。

Type字段：字段的取值为预先约定的值，例如，0x32，表示该报文为用户上线通知报文；

Rsv字段：字段的取值为预先约定的值，例如，如果取值为1，则表示所使用的是本发明中的快速认证方式；如果取值为0，则表示所使用的是Portal认证方式。

ErrCode字段：该字段在所述用户上线通知报文中的取值为空值，即所述用户上线通知报文中并不使用该字段。

AttrNum字段：字段的取值为6，因此，该用户上线通知报文中的Attr字段中可包括6个属性字段。

Attr字段：包括6个属性字段。各个属性字段的含义参见如下的表3。

表3

如表3所示，所述Attr字段中可以包括如下的6个属性字段：UserName字段、SessionID属性字段、BasIp属性字段、NasID属性字段、Session-StartTime属性字段和User-Agent属性字段。其中：

所述UserName属性字段，用于表示用户名；在本发明的具体实施例中，所述用户名可以是用户的手机号码；

所述SessionID属性字段，用于表示上线用户的MAC地址；

所述BasIp属性字段，用于表示AC的IP地址；

所述NasID属性字段，用于表示用户接入地编号(Nas-ID)；

所述Session-StartTime属性字段，用于表示用户上线时间；该用户上线时间将使用标准时间，因此该字段的其取值为从1970年1月1日零时起至用户上线的时间之间的总秒数。

所述User-Agent属性字段，用于携带所述AC从所述用户的首个HTTP请求消息的消息头的User-Agent字段中解析并提取出的UA信息。

在本发明的具体实施例中，只有当用户首次认证成功时，AC向绑定服务器发送的用户上线通知报文中的User-Agent属性字段才携带有相应的UA信息；否则，用户上线通知报文中的User-Agent属性字段为空值，不携带UA信息。

通过上述的用户上线通知报文，AC即可将用户的在线信息和认证类型告知绑定服务器。绑定服务器即可根据该用户上线通知报文更新该用户的在线信息和认证类型。

进一步地，由于上述的用户上线通知报文中可携带用户的认证信息(例如，用户信息和与用户相对应的用户终端的MAC地址)，因此在上述的步骤101中，当用户首次认证成功时，AC可以使用用户上线通知报文将用户的认证信息发送给绑定服务器。

更进一步地，当所述的认证信息中还包括UA信息时，所述用户上线通知报文的AttrNum字段中的User-Agent属性字段中也将携带有所述AC从所述用户的首个HTTP请求消息的消息头的User-Agent字段中解析并提取出的UA信息。

因此，在步骤101中，所述绑定服务器在接收到AC发送的用户的认证信息之后，在进行绑定(即在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系)之前，还可根据所述用户上线通知报文中的UA信息判断是否进行绑定。例如，如果绑定服务器根据UA信息判断与用户相对应的用户终端为非PC系统的移动终端，则绑定服务器判断可以进行绑定；否则，绑定服务器判断不进行绑定，并结束整个流程。

步骤107，绑定服务器记录用户的在线信息和认证类型。

由于当用户上线时，AC将通知绑定服务器该用户已经上线，例如，在用户上线通知报文中携带用户的在线信息和认证类型，因此绑定服务器可以根据用户上线通知报文记录用户的在线信息和认证类型。

此外，在本发明的具体实施例中，在后续的计费流程中，AC还可与所述一级Radius定时交互计费报文。

步骤108，当用户下线时，AC将向一级Radius发送计费停止请求，同时通知所述绑定服务器该用户已经下线。

在本发明的具体实施例中，所述的用户下线可以包括：用户主动下线或者用户被动下线。

举例来说，用户主动下线可以为：用户通过主动发送下线短信的方式下线。用户被动下线可以为：当AC监测到用户状态满足下线条件时，AC强制该用户下线。

在本发明的具体实施例中，所述下线条件可以预先设置。例如，所述下线条件可以是：预定时间内的用户请求流量小于预设的下线流量阈值。上述的预定时间和预设的下线流量阈值可以根据实际应用情况预先设置。例如，所述下线条件可以预设为：用户请求流量在15分钟内的累计流量小于10KB。

当用户主动或被被动下线时，AC将向一级Radius发送计费停止请求，从而停止相应的计费流程；此时，AC还将同时通知所述绑定服务器该用户已经下线。例如，AC可向所述绑定服务器发送用户下线通知报文，通知绑定服务器该用户已经下线。所述用户下线通知报文中携带有用户的在线信息和认证类型

其中，所述用户下线通知报文的报文结构与上述的MAC绑定查询报文的结构相同，各个字段的含义也相同。因此，以下将仅介绍用户下线通知报文中的部分字段的取值情况。

Type字段：字段的取值为预先约定的值，例如，0x34，表示该报文为用户下线通知报文；

ErrCode字段：该字段在所述用户下线通知报文中的取值为空值，即所述用户下线通知报文中并不使用该字段。

AttrNum字段：字段的取值为12，因此，该用户上线通知报文中的Attr字段中可包括12个属性字段。

Attr字段：包括12个属性字段。各个属性字段的含义参见如下的表4。

表4

如表4所示，所述Attr字段中可以包括如下的12个属性字段：UserName字段、SessionID属性字段、BasIp属性字段、NasID属性字段、Session-StopTime属性字段、Session-Time字段、Acct_Input_Octets字段、Acct_Output_Octets字段、Acct_Input_Packets字段、Acct_Output_Packets字段、Acct_Input_Gigawords字段和Acct_Output_Gigawords字段。

其中，前4个属性字段与表3中相应的属性字段的含义相同，在此不再赘述。另外8个属性字段的含义为：

所述Session-StopTime属性字段，用于表示用户下线时间；该用户下线时间将使用标准时间，因此该字段的其取值为从1970年1月1日零时起至用户下线的时间之间的总秒数。

所述Session-Time字段，用于表示用户上线时长，即该用户上线时间。

所述Acct_Input_Octets字段，用于表示用户上行流量的字节数。

所述Acct_Output_Octets字段，用于表示用户下行流量的字节数。

所述Acct_Input_Packets字段，用于表示用户上行流量的包个数。

所述Acct_Output_Packets字段，用于表示用户下行流量的包个数。

所述Acct_Input_Gigawords字段，用于表示用户上行流量超过232字节的累计次数。

所述Acct_Output_Gigawords字段，用于表示用户下行流量超过232字节的累计次数。

通过上述的用户下线通知报文，AC即可通知绑定服务器该用户已经下线。

步骤109，绑定服务器更新用户的在线信息和认证类型。

具体来说，当AC向绑定服务器发送用户下线通知报文后，绑定服务器即可根据该用户下线通知报文更新用户的在线信息和认证类型。

通过上述的步骤106～109，AC可以在认证成功后开始计费流程，并在上线、下线时通知绑定服务器，使得绑定服务器可以记录、更新用户的在线信息和认证类型。

进一步地，在本发明的具体实施例中，绑定服务器在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，还可与信令监测装置合作，对机卡分离的情况进行监控。图2是本发明中机卡分离的检测方法的流程图。如图2所示，该方法包括：

步骤201，绑定服务器在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，将用户信息发送给信令监测装置。

在本发明的具体实施例中，所述用户信息可以是用户名或者用户的手机号码。另外，绑定服务器可以通过与信令监测装置之间的帐号传送接口将用户信息发送给信令监测装置。

其中，所述帐号传送接口可以具有如表5所示的结构：

表5

步骤202，信令监测装置获取与所述用户信息相对应的国际移动设备辨识码(IMEI)，对该IMEI进行机卡分离监测，并将该IMEI发送给绑定服务器。

例如，当用户信息为手机号码时，信令监测装置即可获取与该手机号码相对应的IMEI，并对该IMEI进行机卡分离监测。同时，信令监测装置还将该IMEI发送给绑定服务器。

在本发明的具体实施例中，所述信令监测装置可以通过与绑定服务器之间的应答传送接口将IMEI发送给绑定服务器。

其中，所述应答传送接口可以具有如表6所示的结构：

表6

步骤203，绑定服务器将存储所接收到的IMEI，并将该IMEI与相对应的用户信息建立关联关系。

步骤204，当信令监测装置监测到IMEI发生机卡分离时，信令监测装置向绑定服务器发送携带有所述IMEI的解除绑定消息。

在本发明的具体实施例中，当信令监测装置监测到IMEI所对应的用户号码发生变更(例如，用户更换了手机中的SIM卡)时，则信令监测装置判断发生了机卡分离的情况，此时，所述信令监测装置可以通过与绑定服务器之间的解除绑定接口将解除绑定消息发送给绑定服务器。

其中，所述解除绑定接口可以具有如表7所示的结构：

名称	说明	数据类型	最大长度(字节)
				SerialNo	流水号，用于匹配输入与输出包	String	15
Account	用户账号	String	64
				IMEI	用户IMEI号	String	20

表7

步骤205，绑定服务器根据解除绑定消息，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向信令监测装置返回解除绑定成功消息。

步骤206，信令监测装置根据所述解除绑定成功消息停止对所述IMEI的监测。

通过上述的步骤201～206，可以对机卡分离情况进行监测，并在发生某个用户号码发生机卡分离(例如，在移动终端中更换SIM卡)时，可以及时通知绑定服务器解除该用户号码与MAC地址的绑定关系，从而可以有效避免机主发生变更后而WLAN付费号码未及时转移所导致的误扣费现象。

在本发明的技术方案中，还提出一种无线局域网的快速认证系统。图3为本发明中的无线局域网的快速认证系统的组成示意图。如图3所示，所述无线局域网的快速认证系统包括：AC 301、绑定服务器302和一级Radius303。

所述AC 301，用于当用户首次认证成功时，将用户的认证信息发送给绑定服务器302；还用于当用户状态满足上线条件时，AC 301向绑定服务器302发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址；还用于根据MAC地址已被绑定的通知，向一级Radius 303发送认证请求；

所述绑定服务器302，用于在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；还用于根据查询请求判断所述MAC地址是否已被绑定且未在线，如果已被绑定且未在线，则向所述AC 301发送MAC地址已被绑定的通知；

所述一级Radius 303，用于根据AC 301的认证请求进行认证，并将认证结果返回AC 301。

另外，在本发明的具体实施例中，所述绑定服务器302，还用于在建立绑定关系之前，根据所述认证信息中的UA信息判断是否建立绑定关系。

再者，所述AC 301，还将当一级Radius 303认证成功时，向一级Radius发送计费开始请求，同时通知所述绑定服务器302该用户已经上线；当用户下线时，向一级Radius 303发送计费停止请求，同时通知所述绑定服务器302该用户已经下线；

所述绑定服务器302，还用于根据所述AC 301的通知，记录并更新用户的在线信息和认证类型。

此外，所述绑定服务器还可与信令监测装置合作，对机卡分离的情况进行监控。此时，上述的无线局域网的快速认证系统中还包括：信令监测装置304。

所述绑定服务器302，还用于在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，将用户信息发送给信令监测装置304；还用于存储所接收到的IMEI，并将所述IMEI与相对应的用户信息建立关联关系；还用于根据解除绑定消息，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向信令监测装置304返回解除绑定成功消息；

所述信令监测装置304，用于获取与所述用户信息相对应的IMEI，对所述IMEI进行机卡分离监测，并将所述IMEI发送给绑定服务器302；当监测到IMEI发生机卡分离时，向绑定服务器302发送携带有所述IMEI的解除绑定消息；还用于根据所述解除绑定成功消息停止对所述IMEI的监测。

其中，所述绑定服务器302通过与信令监测装置304之间的帐号传送接口将用户信息发送给信令监测装置304。

所述信令监测装置304通过与绑定服务器302之间的应答传送接口将IMEI发送给绑定服务器302。

所述信令监测装置304通过与绑定服务器302之间的解除绑定接口将解除绑定消息发送给绑定服务器302。

在本发明的具体实施例中，还提供了一种绑定服务器。图4为本发明的绑定服务器的结构示意图。如图4所示，该绑定服务器包括：绑定模块401、存储模块402和查询判断模块403；

所述绑定模块401，用于在所接收的认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将所述绑定关系发送给所述存储模块402；

所述存储模块402，用于将所述绑定关系存储在绑定关系数据库中；

所述查询判断模块403，用于根据接收到的查询请求在所述存储模块402中的绑定关系数据库中查询，并根据查询结果判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则向AC发送MAC地址已被绑定的通知。

此外，所述绑定模块401，还可用于在建立绑定关系之前，根据所述认证信息中的UA信息判断是否建立绑定关系。

所述存储模块402，还用于根据所接收到的通知，记录或更新用户的在线信息和认证类型

在本发明的具体实施例中，所述绑定服务器中，还可以包括：监测模块404；

所述绑定模块401，用于在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，将用户信息发送给所述监测模块404；

所述监测模块404，用于将用户信息发送给信令监测装置；还用于将所接收到IMEI发送给存储模块402；还用于根据所接收到的解除绑定消息，向所述存储模块402发送解除指令，并根据所接收到的解除成功响应向信令监测装置发送解除绑定成功消息；

所述存储模块402，用于将所述IMEI与绑定关系数据库中相对应的用户信息建立关联关系；还用于根据解除指令，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向所述监测模块404返回解除成功响应。

综上所述，在本发明的技术方案中，由于设置了一个用于进行绑定操作并记录绑定关系的绑定服务器，从而在不改变现有Web认证流程的前提下，用户只需在首次认证时使用Portal认证，即可实现用户信息和相应用户终端的MAC地址的绑定；在首次认证成功之后，在后续的认证过程用户无需输入用户名、密码等信息，而且用户也不必打开浏览器进行认证，而只需点击任意业务应用即可自动进行认证，使得首次认证成功后的用户可以不使用浏览器即可进行快速地认证，因此可最大限度地降低用户对浏览器的依赖性，减少用户的操作动作，简化认证流程，缩短认证周期，提高用户的体验度。而且，上述的快速认证方法还可以有效地兼容现有技术中的Web认证流程，无需开发新的客户端，无需改变业务流程，业务连续性好。此外，由于绑定服务器还可以进一步与信令监测装置合作，对机卡分离情况进行监测，并在发生某个用户号码发生机卡分离时，可以及时通知绑定服务器解除该用户号码与MAC地址的绑定关系，从而可以有效避免机主发生变更后而WLAN付费号码未及时转移所导致的误扣费现象。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (32)

1.一种无线局域网的快速认证方法，其特征在于，该方法包括：

A、当用户首次认证成功时，接入控制器AC将用户的认证信息发送给绑定服务器，绑定服务器在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；

B、当用户状态满足上线条件时，AC向绑定服务器发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址；

C、绑定服务器根据查询请求判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则绑定服务器通知AC所述MAC地址已被绑定，AC向一级远程身份验证拨入用户服务器Radius发送认证请求。

2.根据权利要求1所述的方法，其特征在于，在所述步骤A之前，本方法还进一步包括：

用户通过无线局域网的登录页面进行首次认证。

3.根据权利要求1所述的方法，其特征在于，所述的认证信息包括：用户信息和MAC地址信息；

其中，所述用户信息为用户名或者用户的手机号码；所述MAC地址信息为与用户相对应的用户终端的MAC地址。

4.根据权利要求3所述的方法，其特征在于，所述的认证信息还包括：用户代理UA信息；其中，

所述UA信息为由AC从所述用户的首个HTTP请求消息的消息头的User-Agent字段中解析并提取出的信息；所述UA信息中包括与用户相对应的用户终端的信息。

5.根据权利要求4所述的方法，其特征在于：

所述绑定服务器在建立绑定关系之前，根据所述认证信息中的UA信息判断是否建立绑定关系。

6.根据权利要求5所述的方法，其特征在于，所述根据所述认证信息中的 UA信息判断是否建立绑定关系包括：

如果绑定服务器根据UA信息判断与用户相对应的用户终端为非PC系统的移动终端，则判断可以建立绑定关系；否则，判断不能建立绑定关系。

7.根据权利要求1所述的方法，其特征在于，所述上线条件为：预定时间内的用户请求流量大于预设的上线流量阈值。

8.根据权利要求1所述的方法，其特征在于：

所述查询请求为携带有用户终端的MAC地址的MAC绑定查询报文。

9.根据权利要求1所述的方法，其特征在于，所述绑定服务器根据查询请求判断所述MAC地址是否已被绑定且未在线包括：

所述绑定服务器根据查询请求中携带的MAC地址查询所述绑定服务器中所存储的绑定关系数据库，根据查询结果判断所述MAC地址是否已被绑定；

如果所述MAC地址是否已被绑定，则所述绑定服务器判断所述MAC地址是否在线。

10.根据权利要求9所述的方法，其特征在于，所述步骤C中还进一步包括：

如果所述MAC地址未绑定或已在线，则结束认证流程。

11.根据权利要求9所述的方法，其特征在于，所述绑定服务器判断所述MAC地址是否在线包括：

当WLAN中有至少一个已上线的MAC地址与所需判断的MAC地址相同，且两个相同MAC地址相对应的BasIP和UserIP中至少有一个不同，并在规定时间内发生了至少2次交替上线冲突时，判定所述MAC地址在线；否则，判定所述MAC地址不在线。

12.根据权利要求1所述的方法，其特征在于，所述绑定服务器通知AC所述MAC地址已被绑定包括：

所述绑定服务器通过查询响应通知AC所述与用户相对应的用户终端的MAC地址已被绑定；

所述的查询响应为查询应答报文；所述查询应答报文中携带有与用户相对应 的用户终端的MAC地址是否已被绑定且未在线的信息。

13.根据权利要求1所述的方法，其特征在于，在所述步骤C之后，本方法还进一步包括：

当一级Radius认证成功时，AC向一级Radius发送计费开始请求，同时通知所述绑定服务器该用户已经上线；绑定服务器记录用户的在线信息和认证类型；

当用户下线时，AC向一级Radius发送计费停止请求，同时通知所述绑定服务器该用户已经下线；绑定服务器更新用户的在线信息和认证类型。

14.根据权利要求13所述的方法，其特征在于，所述通知所述绑定服务器该用户已经上线包括：

所述AC向所述绑定服务器发送用户上线通知报文，通知绑定服务器该用户已经上线；所述用户上线通知报文中携带有用户的在线信息和认证类型。

15.根据权利要求14所述的方法，其特征在于，

当用户首次认证成功时，所述AC向绑定服务器发送的用户上线通知报文中携带有相应的UA信息；否则，用户上线通知报文中不携带UA信息。

16.根据权利要求13所述的方法，其特征在于，所述通知所述绑定服务器该用户已经下线包括：

所述AC向所述绑定服务器发送用户下线通知报文，通知绑定服务器该用户已经下线；所述用户下线通知报文中携带有用户的在线信息和认证类型。

17.根据权利要求13所述的方法，其特征在于，所述用户下线包括：用户主动下线或者用户被动下线；其中，

所述用户主动下线为：用户通过主动发送下线短信的方式下线；

所述用户被动下线为：当AC监测到用户状态满足下线条件时，AC强制该用户下线。

18.根据权利要求17所述的方法，其特征在于，所述下线条件为：

预定时间内的用户请求流量小于预设的下线流量阈值。

19.根据权利要求1所述的方法，其特征在于，所述绑定服务器在认证信息 中的用户信息和MAC地址信息之间建立绑定关系之后，本方法还进一步包括：

所述绑定服务器与信令监测装置合作，对机卡分离的情况进行监控。

20.根据权利要求19所述的方法，其特征在于，所述对机卡分离的情况进行监控包括：

所述绑定服务器在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，将用户信息发送给信令监测装置；

所述信令监测装置获取与所述用户信息相对应的国际移动设备辨识码IMEI，对所述IMEI进行机卡分离监测，并将所述IMEI发送给绑定服务器；

所述绑定服务器存储所接收到的IMEI，并将所述IMEI与相对应的用户信息建立关联关系；

当信令监测装置监测到IMEI发生机卡分离时，信令监测装置向绑定服务器发送携带有所述IMEI的解除绑定消息；

所述绑定服务器根据解除绑定消息，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向信令监测装置返回解除绑定成功消息；

所述信令监测装置根据所述解除绑定成功消息停止对所述IMEI的监测。

21.根据权利要求20所述的方法，其特征在于：

所述绑定服务器通过与信令监测装置之间的帐号传送接口将用户信息发送给信令监测装置。

22.根据权利要求20所述的方法，其特征在于：

所述信令监测装置通过与绑定服务器之间的应答传送接口将IMEI发送给绑定服务器。

23.根据权利要求20所述的方法，其特征在于：

所述信令监测装置通过与绑定服务器之间的解除绑定接口将解除绑定消息发送给绑定服务器。

24.一种无线局域网的快速认证系统，其特征在于，该系统包括：接入控制器AC、绑定服务器和一级远程身份验证拨入用户服务器Radius；

所述AC，用于当用户首次认证成功时，将用户的认证信息发送给绑定服务器；还用于当用户状态满足上线条件时，AC向绑定服务器发送查询请求，所述查询请求中携带有与用户相对应的用户终端的MAC地址；还用于根据MAC地址已被绑定的通知，向一级Radius发送认证请求；

所述绑定服务器，用于在所述认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将上述绑定关系存储在绑定关系数据库中；还用于根据查询请求判断所述MAC地址是否已被绑定且未在线，如果已被绑定且未在线，则向所述AC发送MAC地址已被绑定的通知；

所述一级Radius，用于根据AC的认证请求进行认证，并将认证结果返回AC。

25.根据权利要求24所述的系统，其特征在于：

所述绑定服务器，还用于在建立绑定关系之前，根据所述认证信息中的UA信息判断是否建立绑定关系。

26.根据权利要求24所述的系统，其特征在于：

所述AC，还将当一级Radius认证成功时，向一级Radius发送计费开始请求，同时通知所述绑定服务器该用户已经上线；当用户下线时，向一级Radius发送计费停止请求，同时通知所述绑定服务器该用户已经下线；

所述绑定服务器，还用于根据所述AC的通知，记录或更新用户的在线信息和认证类型。

27.根据权利要求24所述的系统，其特征在于，该系统还包括：信令监测装置；其中，

所述绑定服务器，还用于在认证信息中的用户信息和MAC地址信息之间建立绑定关系之后，将用户信息发送给信令监测装置；还用于存储所接收到的国际移动设备辨识码IMEI，并将所述IMEI与相对应的用户信息建立关联关系；还用于根据解除绑定消息，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向信令监测装置返回解除绑定成功消息；

所述信令监测装置，用于获取与所述用户信息相对应的IMEI，对所述IMEI 进行机卡分离监测，并将所述IMEI发送给绑定服务器；当监测到IMEI发生机卡分离时，向绑定服务器发送携带有所述IMEI的解除绑定消息；还用于根据所述解除绑定成功消息停止对所述IMEI的监测。

28.根据权利要求27所述的系统，其特征在于：

所述绑定服务器通过与信令监测装置之间的帐号传送接口将用户信息发送给信令监测装置；

所述信令监测装置通过与绑定服务器之间的应答传送接口将IMEI发送给绑定服务器；

所述信令监测装置通过与绑定服务器之间的解除绑定接口将解除绑定消息发送给绑定服务器。

29.一种绑定服务器，其特征在于，该绑定服务器包括：绑定模块、存储模块和查询判断模块；

所述绑定模块，用于在所接收的认证信息中的用户信息和MAC地址信息之间建立绑定关系，并将所述绑定关系发送给所述存储模块；

所述存储模块，用于将所述绑定关系存储在绑定关系数据库中；

所述查询判断模块，用于根据接收到的查询请求在所述存储模块中的绑定关系数据库中查询，并根据查询结果判断所述MAC地址是否已被绑定且未在线；如果已被绑定且未在线，则向AC发送MAC地址已被绑定的通知。

30.根据权利要求29所述的绑定服务器，其特征在于：

所述绑定模块，还用于在建立绑定关系之前，根据所述认证信息中的UA信息判断是否建立绑定关系。

31.根据权利要求29所述的绑定服务器，其特征在于：

所述存储模块，还用于根据所接收到的通知，记录或更新用户的在线信息和认证类型。

32.根据权利要求29所述的绑定服务器，其特征在于，所述绑定服务器中还包括：监测模块；

所述绑定模块，用于在认证信息中的用户信息和MAC地址信息之间建立绑 定关系之后，将用户信息发送给所述监测模块；

所述监测模块，用于将用户信息发送给信令监测装置；还用于将所接收到IMEI发送给存储模块；还用于根据所接收到的解除绑定消息，向所述存储模块发送解除指令，并根据所接收到的解除成功响应向信令监测装置发送解除绑定成功消息；

所述存储模块，用于将所述IMEI与绑定关系数据库中相对应的用户信息建立关联关系；还用于根据解除指令，解除与所述IMEI相对应的用户信息与相应MAC地址信息之间的绑定关系，并向所述监测模块返回解除成功响应。