CN103152351A

CN103152351A - 网络设备、ad 域单点登录的方法及系统

Info

Publication number: CN103152351A
Application number: CN2013100827429A
Authority: CN
Inventors: 李飞; 袁义金
Original assignee: Sangfor Network Technology Shenzhen Co Ltd
Current assignee: Sangfor Network Technology Shenzhen Co Ltd
Priority date: 2013-03-15
Filing date: 2013-03-15
Publication date: 2013-06-12

Abstract

本发明公开了一种网络设备、AD域单点登录的方法及系统，该方法包括：网络设备接收终端的访问认证请求，并检查终端是否已经通过访问认证，如果是，则网络设备允许终端访问网络；如果否，则要求终端提供服务票据；终端将从AD域接收的服务票据发送至网络设备；网络设备解析并校验服务票据，校验成功后，允许终端访问网络；否则，网络设备不允许终端访问网络。由于认证过程中需要的服务票据由AD域生成，因此不需要在客户端的域服务器中装载其它程序，从而不会影响域服务器的运行，确保了域服务器的稳定性。另外，也不用在客户端的域服务器上另外配置策略，可以解决域服务器在不同地区、由不同管理员控制的情况。

Description

网络设备、AD 域单点登录的方法及系统

技术领域

本发明涉及安全认证领域，尤其涉及一种网络设备、AD域单点登录的方法及系统。

背景技术

随着企业信息化建设程度的不断提高，企业中的应用系统也越来越多。而多个应用系统往往是在不同的时期开发完成的。各应用系统由于功能侧重、设计方法、开发技术有所不同，也就形成了各自独立的用户库和用户认证体系。各系统独自维护自己的安全策略，这些安全策略典型的包括组织结构定义，安全角色定义，用户身份验证，资源访问控制等。

由于各系统相互独立，用户在使用这些应用系统时，非常不方便。用户每次使用系统，都必须输入用户名称和用户密码，进行身份验证；而且，应用系统不同，用户账号就不同，用户必须同时牢记多套用户名称和用户密码。特别是对于应用系统数目较多，用户数目也很多的企业，这个问题尤为突出。活动目录（AD：Active Directory）域存储了有关网络对象的信息，并且让管理员和用户能够轻松地查找和使用这些信息，所以AD域已经成为了企业的基础网络设施；AD域上的信息已经成为企业各种应用系统信息同步的对象。

单点登录（SSO：Single Sign On）是目前比较流行的企业业务整合的解决方案之一。SSO的定义是在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的应用系统。如果新部署的系统没有单点登录功能，该用户必须多记一组用户名和密码，每天必须多输入一次用户名和密码，系统管理员也得多维护一套这样的用户信息库。所以新部署的系统能否和企业现有的认证系统结合做单点登录，已经是新系统能否上架的必要条件。

网络设备要实现和AD域的单点登录，传统的方式有以下几种：

（1）在域控制器上装控件，侦听某些事件，得到后将相应的信息发到安全认证设备。这种方式的缺点是：a)要在域控制器上安装控件，可能会对域控制器成不稳定；且可能对域控制器的性能有一定的影响；例如，控件中有一个内存漏泄的Bug，则运行一定时间后，域控制器就会因为没有内存而被迫重启；b)在域控制器上安装控件，需要非常高的管理权限，但是客户的域可能会在多个不同的地方，某个管理员只对某个域有权限操作，其它的域没有权限管理，这样就导致有的域无法安装控件；c)离线登录时服务器上没有任何消息，这样就导致离线登录到AD域的用户无法完成单点登录。

（2）在服务器配置组策略，在PC登录到域时，运行登录、注销脚本，获取IP和登录名发到网络设备。这种方式的缺点：a)要在服务器上配置策略，虽然不会对服务器造成不稳定和性能上的问题，但是客户的域可能会在多个地方，某个管理员只对某个域有权限操作，其它的域没有权限管理，这样就导致有的域无法配置策略了；b)Logon.exe脚本很难同时在windows操作系统，Mac OS X操作系统，Linux操作系统正常运行，但是现在Mac PC，iPad等智能终端在日常工作共随处可见，这导致Mac PC，iPad等智能终端无法实现单点登录；c)离线登录时服务器无法感知有终端设备在登录，所以没有办法在登录时下发logon.exe脚本，这将导致单点登录失败。

（3）在内网一台已经加入到域的PC，得到相应信息后，再发给安全认证设备；我们简称这种方式为agent方式。这种方式的缺点是：a)客户必须提供一台多余的PC，且这台PC必须是加入域的，才能获取到登录域的PC；b)如果有一台PC1先登录到域，然后又很快关机了，这时PC1的IP已经在设备上线了，然后我们把另一台PC2的IP修改成PC1的，这时PC2就不用认证也能上网了；c)离线登录时服务器上没有任何消息，这样就导致离线登录到AD域的用户无法完成单点登录。

发明内容

本发明要解决的技术问题在于针对现有技术中为了实现AD域单点登录而需要额外配置客户端的域服务器的缺陷，提供一种网络设备、AD域单点登录的方法及系统。

本发明解决其技术问题所采用的技术方案是：依据本发明的一方面，提供了一种AD域单点登录的方法，包括：

S100、网络设备接收终端的访问认证请求，并检查所述终端是否已经通过访问认证，如果是，则所述网络设备允许所述终端访问网络；如果否，则要求所述终端提供服务票据；

S200、所述终端将从AD域接收的所述服务票据发送至所述网络设备；

S300、所述网络设备解析并校验所述服务票据，校验成功后，允许所述终端访问网络；否则，所述网络设备不允许所述终端访问网络。

在依据本发明实施例的AD域单点登录的方法中，在所述步骤S100中，执行要求所述终端提供服务票据包括：

所述网络设备将所述终端重定向至该网络设备的页面程序；

当所述终端访问所述页面程序时，该页面程序要求所述终端提供服务票据。

在依据本发明实施例的AD域单点登录的方法中，所述方法在步骤S100与步骤S200之间还包括：

S101、所述终端向AD域发送获取所述服务票据的申请；所述AD域反馈所述服务票据至所述终端，并同时向所述网络设备发送解析所述服务票据的信息。

在依据本发明实施例的AD域单点登录的方法中，在所述步骤S101中，所述终端向AD域发送获取所述服务票据的申请包括：

所述终端向所述AD域申请Kerberos身份认证服务，以期获得访问所述网络设备的服务票据。

在依据本发明实施例的AD域单点登录的方法中，所述服务票据包括所述终端的用户名。

依据本发明的另一方面，还提供了一种用于AD域单点登录的网络设备，包括：

接收模块，用于接收终端的访问认证请求和服务票据；

认证检测模块，用于检查所述终端是否已经通过访问认证，如果是，则允许所述终端访问网络；如果否，则要求所述终端提供服务票据；

票据解析模块，用于解析并校验所述服务票据，校验成功后，允许所述终端访问网络；否则，不允许所述终端访问网络。

在依据本发明的AD域单点登录的网络设备中，所述网络设备进一步包括：

重定向模块，用于当所述认证检测模块检测所述终端没有通过访问认证时，将所述终端重定向至该网络设备的页面程序，以当所述终端访问所述页面程序时，使得所述页面程序要求所述终端提供服务票据。

依据本发明的另一方面还提供了一种AD域单点登录的系统，包括终端、网络设备以及AD域；其中，

所述网络设备用于接收终端的访问认证请求，并检查所述终端是否已经通过访问认证，如果是，则所述网络设备允许所述终端访问网络；如果否，则要求所述终端提供服务票据；

所述终端用于将从所述AD域接收的服务票据发送至所述网络设备；

以及所述网络设备用于解析并校验所述服务票据，校验成功后，允许所述终端访问网络；否则，不允许所述终端访问网络。

在依据本发明的AD域单点登录的系统中，所述网络设备用于在检测所述终端没有通过访问认证时，将所述终端重定向至该网络设备的页面程序，从而当所述终端访问所述页面程序时，该页面程序要求所述终端提供服务票据。

在依据本发明的AD域单点登录的系统中，所述终端用于向AD域发送获取访问所述网络设备的服务票据的申请；所述AD域用于反馈所述服务票据至所述终端，并同时向所述网络设备发送解析所述服务票据的信息。

本发明产生的有益效果是：因为由AD域生成安全认证需要的服务票据，并由AD域将服务票据发送给终端，将解析该服务票据的相关信息发送给访问目的资源（即网络设备），因此不用在客户端的域服务器中装载其它程序，从而不会影响域服务器的运行，确保了域服务器的稳定性。另外，也不用在客户端的域服务器上另外配置策略，可以解决域服务器在不同地区、由不同管理员控制的情况。

附图说明

下面将结合附图及实施例对本发明作进一步说明，附图中：

图1示出了依据本发明实施例的AD域单点登录的系统的结构示意图；

图2示出了图1中网络设备200的逻辑框图；

图3示出了图2中网络设备200的优选实施例的逻辑框图；

图4示出了图1中AD域300的逻辑框图；

图5示出了依据本发明实施例的AD域单点登录的方法的流程图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

图1示出了依据本发明实施例的AD域单点登录的系统的结构示意图，如图1所示，该AD域单点登录的系统（以下简称为系统）包括终端100、网络设备200以及AD域300。其中，网络设备200用于接收来自终端100的访问认证请求，并检查终端100是否已经通过访问认证，如果是，则网络设备200允许终端100访问网络；如果否，则要求终端100提供服务票据。终端100用于将从AD域300接收的服务票据发送至网络设备200。网络设备200在接收到服务票据后，用于解析并校验服务票据，校验成功后，允许终端100访问网络；否则，不允许终端100访问网络。

具体而言，终端100可以称为系统中的客户端，包括但不限于个人电脑（PC：Personal Computer）、平板电脑、智能手机。该终端100上可以装载Windows、Linux、Mac OS X等操作系统。该终端100通过网络设备200访问外部的网络，例如互联网。

网络设备200具有现有技术中的防火墙或路由器的功能，可控制和管理终端100对网络的访问，例如控制终端100是否可以访问网络。图2示出了依据本发明实施例的网络设备200的逻辑框图，如图2所示，该网络设备200包括：接收模块210、认证检测模块220、票据解析模块230以及网络设备侧控制模块240。其中，接收模块210接收终端100的访问认证请求和服务票据；认证检测模块220可检查终端100是否已经通过访问认证，如果否，则网络设备侧控制模块240要求终端100提供服务票据；票据解析模块230可解析并校验服务票据，校验成功后，网络设备侧控制模块240允许终端100访问网络。

具体而言，当终端100想要访问网络时，向网络设备200发送访问认证请求。该网络设备200的接收模块210接收到访问认证请求后，告知认证检测模块220。认证检测模块220检测该终端100是否已经通过认证，如果通过认证，则进一步检测该终端100的IP和媒体访问控制层（MAC：Medium Access Control）是否已经发生改变，如果没有发生改变，则直接允许终端100访问网络，如果IP和MAC已经发生改变，则认为没有通过认证。不管是何种情况，只要是认证检测模块220认为终端100没有通过访问认证，网络设备侧控制模块240都要求终端100提供服务票据（ST：Service Ticket）。本领域的技术人员应当知晓，此处可以使用任意适合的票据类型，只要确保该服务票据是唯一的、不可伪造的，可对终端100的身份进行核实。

如果此时终端100无法提供服务票据，则此次访问认证请求失败，网络设备200不允许终端100访问网络。如果终端100能够提供服务票据，则接收模块210将从终端100接收的服务票据发送至票据解析模块230进行解析和校验。如果解析或校验失败，则网络设备侧控制模块240不允许终端100访问网络。如果解析成功，并通过校验，则网络设备侧控制模块240允许终端100访问网络，从而完成一次单点登录。

图3示出了图2中网络设备200的优选实施例的逻辑框图，如图3所示，与图2中的网络设备200相比，图3中的网络设备200进一步包括重定向模块250，可当认证检测模块220检查终端100没有通过访问认证时，将终端100重定向至该网络设备200的页面程序，以当终端100访问页面程序时，使得页面程序要求终端100提供服务票据。

具体而言，当认证检测模块220检查终端100没有通过访问认证时，告知网络设备侧控制模块240，网络设备侧控制模块240随即通知重定向模块250将终端100定向至网络设备200的页面程序，例如浏览器，通过该页面程序要求终端100提供服务票据，随后可通过该页面程序完成服务票据的交付。该页面程序可在后台操作，因此操作该终端100的用户并不知晓该认证过程。此处采用页面程序要求服务票据，在页面程序被关闭后，不会在终端100留下任何验证信息，提高了安全性。另一方面，因为通过页面程序交付服务票据，因此与终端100的操作系统无关，从而可以实现跨操作系统的单点登录。

AD域300也可以称之为AD域服务器，图4示出了依据本发明实施例的AD域300的逻辑框图，如图4所示，该AD域300包括接收模块310、AD域侧控制模块320、存储模块330、服务票据生成模块340以及发送模块350。具体而言，接收模块310从终端100接收获取服务票据的请求，并告知AD域侧控制模块320。AD域侧控制模块320从存储模块330调取已经存储的目录列表，检查该终端100的用户名是否包含在该目录列表中，与此同时将对应的网络设备200作为目的资源地址关联。如果终端100包含在目录列表中，则通知服务票据生成模块340生成网络设备200要求的服务票据，同时生成解析该服务票据的相关信息。随后，发送模块350将服务票据反馈至终端100，同时将解析该服务票据的信息发送至网络设备200。

服务票据中包括终端100的用户名，如果网络设备200根据从AD域300接收的相关信息从终端100提供的服务票据中解析出用户名，则认为校验成功，允许终端100通过网络设备200访问网络。否则不允许终端100访问网络。从这里可以看出，服务票据中的关键信息为终端100的用户名，与终端100当前的IP没有关系，因此，无论终端100在哪里，使用哪个IP地址，对于上述认证过程都没有影响，只要该终端100的用户名保存在AD域300的目录列表中即可，从而实现了百分之百的单点登录成功率。

在本发明的优选实施方式中，接收模块310从终端100接收Kerberos身份认证服务请求，以期获得访问网络设备200的服务票据。此时，服务票据生成模块340具体为密钥分发中心（KDC：Key Distribution Center），生成基于Kerberos协议的服务票据。

图5示出了依据本发明实施例的AD域单点登录的方法的流程图，下面将按步骤阐述该方法。本领域的技术人员应当知晓，可采用上述的AD域300单点登录的系统来实施该方法，因此此处部分或全部引用以上关于AD域300单点登录的系统的描述。

S100、网络设备200接收终端100的访问认证请求，并检查终端100是否已经通过访问认证，如果已经通过访问认证，则允许该终端100访问网络，完成单点登录；否则，要求终端100提供服务票据。

S200、终端100将从AD域300接收的服务票据发送至网络设备200。此时，如果终端100内已经保存有以前从AD域300接收的服务票据，且该服务票据还在使用期限内，则终端100可直接将上述服务票据发送给网络设备200。如果终端100内已有的服务票据超过使用期限，或终端100内没有服务票据，则向AD域300申请访问该网络设备200的服务票据。从这里可以看出，通过使用具有使用期限的服务票据，可以实现AD域300的离线登录，即在进行安全认证时并不要求AD域300一定在线上。

S300、网络设备200解析并校验服务票据，校验成功后，允许终端100访问网络，否则，不允许终端100访问网络设备200。

从以上可以看出，在依据本发明实施例的AD域单点登录的方法和系统中，由AD域生成安全认证需要的服务票据，并由AD域将服务票据发送给终端，将解析该服务票据的相关信息发送给访问目的资源（即网络设备），因此不用在客户端的域服务器中装载其它程序，从而不会影响域服务器的运行，确保了域服务器的稳定性，让客户更安心。同样，也不用在客户端的域服务器上另外配置策略，可以解决域服务器在不同地区、由不同管理员控制的情况。另外，由于AD域没有提供给第三方网络设备单点登录接口，且AD域可以离线登录，登录到AD域的终端的IP可以变化，从而确保了单点登录的成功率和识别正确率都为100%。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims

1.一种AD域单点登录的方法，其特征在于，包括：

2.根据权利要求1所述的AD域单点登录的方法，其特征在于，在所述步骤S100中，执行要求所述终端提供服务票据包括：

所述网络设备将所述终端重定向至该网络设备的页面程序；

3.根据权利要求1所述的AD域单点登录的方法，其特征在于，所述方法在步骤S100与步骤S200之间还包括：

4.根据权利要求3所述的AD域单点登录的方法，其特征在于，在所述步骤S101中，所述终端向AD域发送获取所述服务票据的申请包括：

5.根据权利要求1所述的AD域单点登录的方法，其特征在于，所述服务票据包括所述终端的用户名。

6.一种用于AD域单点登录的网络设备，其特征在于，包括：

接收模块，用于接收终端的访问认证请求和服务票据；

7.根据权利要求6所述的用于AD域单点登录的网络设备，其特征在于，所述网络设备进一步包括：

8.一种AD域单点登录的系统，其特征在于，包括终端、网络设备以及AD域；其中，

9.根据权利要求8所述的AD域单点登录的系统，其特征在于，所述网络设备用于在检测所述终端没有通过访问认证时，将所述终端重定向至该网络设备的页面程序，从而当所述终端访问所述页面程序时，该页面程序要求所述终端提供服务票据。

10.根据权利要求8所述的AD域单点登录的系统，其特征在于，所述终端用于向AD域发送获取访问所述网络设备的服务票据的申请；所述AD域用于反馈所述服务票据至所述终端，并同时向所述网络设备发送解析所述服务票据的信息。