CN103200172B - 一种802.1x接入会话保活的方法及系统 - Google Patents

一种802.1x接入会话保活的方法及系统 Download PDF

Info

Publication number
CN103200172B
CN103200172B CN201310053064.3A CN201310053064A CN103200172B CN 103200172 B CN103200172 B CN 103200172B CN 201310053064 A CN201310053064 A CN 201310053064A CN 103200172 B CN103200172 B CN 103200172B
Authority
CN
China
Prior art keywords
clients
authentication
authentication points
keep
message
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201310053064.3A
Other languages
English (en)
Other versions
CN103200172A (zh
Inventor
梁乾灯
范亮
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
ZTE Corp
Original Assignee
ZTE Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ZTE Corp filed Critical ZTE Corp
Priority to CN201310053064.3A priority Critical patent/CN103200172B/zh
Publication of CN103200172A publication Critical patent/CN103200172A/zh
Priority to US14/766,053 priority patent/US9918353B2/en
Priority to EP13875702.6A priority patent/EP2950499B1/en
Priority to PCT/CN2013/083699 priority patent/WO2014127630A1/zh
Priority to RU2015136853A priority patent/RU2639696C2/ru
Application granted granted Critical
Publication of CN103200172B publication Critical patent/CN103200172B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/25—Maintenance of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/142—Managing session states for stateless protocols; Signalling session states; State transitions; Keeping-state mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/19—Connection re-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Abstract

本发明公开了一种802.1X接入会话保活的方法及系统，涉及通信领域，所述方法包括：802.1X客户端接入网络期间，用于接入认证的认证点按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息；在认证点预定时间内，若所述认证点未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则所述认证点确定所述802.1X客户端异常离网，否则所述认证点确定所述802.1X客户端正常在网。本发明通过扩展现有的802.1X协议，提升了网络资源利用率，降低了认证点出现负担过重的安全性问题和按时计费错误的风险。

Description

一种802.1X接入会话保活的方法及系统
技术领域
本发明涉及通信领域，特别涉及一种基于802.1X协议的接入会话保活的方法及其相关系统。
背景技术
随着互联网应用和智能终端的快速发展，无线局域网WLAN应用已经非常普遍，很多公共场所部署了WLAN，例如工厂、学校、咖啡厅等。通过WLAN接入网络已成为用户访问网络资源最重要的手段之一，用户可以通过手机、电脑等各种终端设备，随时随地访问互联网，进行网上办公、娱乐等活动。随着公众对随时随地通过WLAN访问互联网的需求不断增加，政府和运营商纷纷出台了公众WLAN网络热点和热区的建设计划，部分城市已经完成了包括商业中心、大中院校等地区的WLAN网络大范围覆盖，这也进一步刺激了终端用户使用WLAN网络的频率，使得同时在线的WLAN终端数量飞速增长。
当前对WLAN用户访问网络的接入控制方法主要有802.1X方式和DHCP用户的Option60和Web认证等几种方式，由于这几种方式在设计初期都没有考虑到超大规模用户同时访问WLAN的场景，在这种场景下这些接入方式有个共同的缺陷就是无法及时感知在线用户是否异常离开网络，即没有提供用户状态保活的机制。用户经常因为各种原因异常下线，没有发送下线报文给接入控制设备。对于WLAN热区网络而言，随着大量用户不断接入WLAN网络并“悄悄的离开”，WLAN控制层面网络设备需要管理的“在线”用户数量不断增加，导致WLAN控制层面的网络设备、尤其是用户认证和管理设备（即网关设备）的负担逐步加重，存在资源浪费和一定的安全隐患。
802.1X+EAP在WLAN用户接入中使用越来越普遍，尤其是在WLAN接入场景中被作为用户无感知认证的主要方式。用户通常可以采用802.1X+EAP+DHCPv4/DHCPv6、802.1X+EAP+Static IP/无状态地址自动配置SLAAC的方式接入认证并获取三层地址。用户和认证点/网关设备之间的接入协议没有保活机制，一旦链路异常或用户异常离线，认证点/网关设备不能及时侦测到用户离线，从而影响用户的计费精度并耗费认证点/网关设备的内存资源。尽管认证点/网关设备可以通过用户在线检测（例如单播ARP请求）或用户空闲流量检测这些辅助手段来检测用户是否异常离线，但是这些方法与接入协议802.1X无关，需要额外的协议支持，一般比较耗费资源，影响认证点/网关设备性能。总体来看，扩展现有的802.1X机制实现类似PPP LCP类型的链路层保活机制将是一种很好的替代方案。
发明内容
本发明的目的在于提供一种接入会话保活的方法及系统，通过扩展现有的802.1X协议，对在线用户的状态进行确认和维持，解决了大量用户不发送离线消息直接离开网络造成的认证点的资源浪费问题、安全隐患和计费错误等问题。
根据本发明的一个方面，提供了一种802.1X接入会话保活的方法，包括：
802.1X客户端接入网络期间，用于接入认证的认证点按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息；
在认证点预定时间内，若所述认证点未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则所述认证点确定所述802.1X客户端异常离网，否则所述认证点确定所述802.1X客户端正常在网。
优选地，还包括：
802.1X客户端接入网络期间，802.1X客户端按照客户端实际保活周期，向认证点发送用于确定所述认证点是否状态异常的保活请求消息；
在客户端预定时间内，若所述802.1X客户端未收到所述认证点响应所述保活请求消息的保活响应消息，则所述802.1X客户端确定所述认证点状态异常，否则，所述802.1X客户端确定认证点状态正常。
优选地，在所述认证点/802.1X客户端向对端发送保活请求消息前，还包括802.1X客户端接入认证步骤，包括：
所述认证点接收所述802.1X客户端发送的开始通告请求消息，并向802.1X客户端发送身份请求消息；
所述认证点接收所述802.1X客户端响应所述身份请求消息的身份响应消息，并将所述身份响应消息封装到认证请求消息中，发送至认证服务器；
所述认证服务器根据所述认证请求消息，经由认证点与所述802.1X客户端确定鉴权方式，并按照所述鉴权方式，对802.1X客户端进行鉴权处理；
所述认证服务器将鉴权成功/失败的处理结果封装到接入接受/拒绝消息中，发送至认证点。
优选地，所述802.1X客户端接入认证期间，当所述802.1X客户端发送的所述开始通告请求消息中未携带建议保活周期时，所述802.1X客户端将所述建议保活周期封装到通告请求消息中，发送至所述认证点，以供所述认证点确定认证点实际保活周期。
优选地，所述认证点解析收到的所述接入接受消息，得到其中的用于开启保活功能的授权属性，并根据所述用于开启保活功能的授权属性，开启指定身份标识或业务管理域标识所对应的802.1X客户端的保活功能，以便进行802.1X接入会话保活。
优选地，所述认证点通过以下步骤确定认证点实际保活周期：
所述认证点解析收到的所述开始通告请求消息或所述通告请求消息，得到其中的建议保活周期；
所述认证点解析收到的所述接入接受消息，得到其中的授权保活周期；
所述认证点利用所述建议保活周期和/或所述授权保活周期和/或认证点本地配置的本地保活周期，确定所述认证点实际保活周期。
优选地，所述客户端实际保活周期是802.1X客户端本地的默认保活周期。
优选地，所述802.1X客户端解析收到的所述保活响应消息，得到其中的强制保活周期，并按照所述强制保活周期，调整客户端实际保活周期。
根据本发明的另一方面，提供了一种802.1X接入会话保活的系统，包括802.1客户端、用于接入认证的认证点和认证服务器，其中，所述认证点包括：
认证点消息发送模块，用于在802.1X客户端接入网络期间，按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息；
客户端状态确定模块，用于在认证点预定时间内，若未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则确定所述802.1X客户端异常离网，否则确定所述802.1X客户端正常在网。
优选地，所述802.1客户端包括：
客户端消息发送模块，用于在802.1X客户端接入网络期间，按照客户端实际保活周期，向认证点发送用于确定所述认证点是否状态异常的保活请求消息；
认证点状态确定模块，用于在客户端预定时间内，若未收到所述认证点响应所述保活请求消息的保活响应消息，则确定所述认证点状态异常，否则，确定认证点状态正常。
与现有技术相比较，本发明的有益效果在于：
1、本发明通过认证点对802.1X客户端保活，使认证点能够及时感知用户是否异常离开网络，从而提升了网络资源利用率，尤其是WLAN接入网络，实现简便，扩展灵活；
2、本发明降低了用于认证接入的认证点出现负担过重的安全性问题和按时计费错误的风险；
3、本发明通过802.1X客户端对认证点保活，使802.1X客户端能够及时感知认证点的状态，并在认证点状态异常时，及时选择其它有效节点，从而提升用户体验。
附图说明
图1是本发明提供的802.1X接入会话保活的方法原理框图；
图2是本发明提供的802.1X接入会话保活的方法流程图；
图3是本发明提供的802.1X接入会话保活的系统框图；
图4是本发明第一实施例提供的802.1X接入会话保活的系统拓扑示意图；
图5是本发明第一实施例提供的802.1X接入会话保活的方法流程图；
图6是本发明提供的扩展的开始通告消息示意图；
图7是本发明提供的EAPOL保活消息示意图；
图8是本发明第二实施例提供的802.1X接入会话保活的系统拓扑示意图；
图9是本发明的第二实施例提供的802.1X接入会话保活的方法流程图；
图10是本发明第三实施例提供的802.1X接入会话保活的系统拓扑示意图；
图11是本发明第三实施例提供的802.1X接入会话保活的方法流程图。
具体实施方式
以下结合附图对本发明的优选实施例进行详细说明，应当理解，以下所说明的优选实施例仅用于说明和解释本发明，并不用于限定本发明。
本发明考虑到当前WLAN网络中直接与客户端进行802.1X消息交互的设备是802.1X认证点，且认证流程通过EAPOL消息触发，因此本发明扩展EAPOL消息，实现客户端与认证点之间的双向保活机制。该机制同样适用于有线接入网络中用户使用802.1X客户端认证接入的场景。所述EAPOL指EAP承载于局域网，即802.1X协议。
图1是本发明提供的802.1X接入会话保活的方法原理框图，如图1所示，步骤包括：
步骤101：802.1X客户端接入网络期间，用于接入认证的认证点按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息。
步骤102：在认证点预定时间内，若所述认证点未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则所述认证点确定所述802.1X客户端异常离网，否则所述认证点确定所述802.1X客户端正常在网。
除上述步骤101和步骤102外，还包括802.1X客户端接入网络期间，802.1X客户端按照客户端实际保活周期，向认证点发送用于确定所述认证点是否状态异常的保活请求消息；在客户端预定时间内，若所述802.1X客户端未收到所述认证点响应所述保活请求消息的保活响应消息，则所述802.1X客户端确定所述认证点状态异常，否则，所述802.1X客户端确定认证点状态正常。
也就是说，在802.1X客户端和认证点之间可以建立保活机制，使802.1X协议会话交互的任何一方能及时有效地感知对方是否异常，例如上述步骤101和步骤102中，认证点利用保活机制感知802.1X客户端异常离线。
图2是本发明提供的802.1X接入会话保活的方法流程图，如图2所示，步骤包括：
步骤1：802.1X站点STA发送开始通告请求消息EAPOL-StartAnnouncement给用于接入认证的认证点，并在EAPOL-Start-Announcement消息的扩展TLV选项中携带保活支持标识信息和建议保活周期信息。所述扩展TLV选项格式如图6所示。
步骤2：认证点保存STA的建议保活周期信息，并发送身份请求消息EAPOL-EAP-Request-Identity给STA，索要身份认证信息。STA收到所述消息后，向所述认证点返回身份响应消息EAPOL-EAP-Response-Identity。
步骤3：认证点将EAPOL-EAP-Response-Identity消息携带在认证请求消息Access-Request中发送给认证服务器，即AAA服务器。
步骤4：AAA服务器通过认证点与STA协商具体的鉴权方式，并对STA进行鉴权，鉴权结果用EAP-Success或EAP-Failure消息发送给认证点。
进一步地，所述EAP-Success或EAP-Failure消息封装到接入接受/拒绝消息中，发送至认证点。
进一步地，STA与AAA服务器之间的EAP鉴权协议包括EAP-PEAP、EAP-SIM、EAP-AKA、EAP-TLS、EAP-TTLS。
进一步地，认证点与AAA服务器之间的认证协议包括Radius、Diameter等。
步骤5：认证点根据STA的建议保活周期、认证点本地配置的本地保活周期以及AAA服务器授权给STA的授权保活周期，综合确定针对该STA的认证点实际保活周期。
进一步地，默认情况下AAA服务器的授权保活周期优先级最高，认证点本地配置的本地保活周期优先级次之，STA的建议保活周期优先级最低。该优先级顺序允许根据配置的策略调整。
也就是说，对于认证点对802.1X客户端的保活，允许802.1X认证模型的三方角色（即802.1X客户端、认证点和认证服务器）参与协商802.1X协议会话的具体保活周期，并由认证点根据配置的选择策略最终确定有效的认证点实际保活周期，并按照所述认证点实际保活周期进行802.1X协议会话的保活，并在802.1X认证模型的三方角色协商允许的前提下，允许认证点根据自身负载等情况对802.1X会话的保活周期进行动态调整。
步骤6：认证点按照该STA的认证点实际保活周期，向STA发送保活请求消息，STA收到该消息之后返回保活响应消息。
进一步地，所述保活请求消息和所述保活响应消息统称为EAPOL保活消息EAPOL-Keepalive，消息内容包括以下字段：
Protocol Version：协议类型（EAPOL），长度为1字节,目前最新的版本号中长度为3；
Packet Type：EAPOL消息类型，EAPoL-Keepalive消息建议采用0xf，长度为1字节；
Packet Body Length：消息长度，长度为2字节；
Message Type：EAPOL-Keepalive消息类型，长度为1字节，0代表保活请求消息Echo request，1代表保活响应消息Echo reply；
Forced Flag：1字节，表示是否强制要求对端修改其保活周期为自己建议的有效保活周期，默认为不强制。
Timer Period：保活周期，长度为2字节，0表示无效，65535表示不保活，其它值为有效值，建议值180s。
Sequence number：序列号，长度为4字节，标识一组保活请求和应答，初始值随机，保活请求因为应答超时重传时，序列号维持不变，发送新的保活请求时，序列号递增。
在这个流程中，EAPOL-Start-Announcement可以不携带STA是否支持保活及建议保活周期等信息给认证点，STA可以在认证时单独向认证点发送携带这些信息的EAPOL通告消息EAPOL-Announcement-Req，认证点只要在STA认证完成前及时获悉STA是否支持保活和建议保活周期即可。也就是说，在802.1X客户端接入认证期间，802.1X客户端可以在EAPOL-StartAnnouncement或EAPOLAnnouncement-Req中携带对应的扩展选项，将其建议保活周期等信息告知给认证点；认证服务器在802.1X客户端认证成功时将其授权保活周期等信息用扩展的授权属性在接入接受消息中下发给认证点，认证点也可以针对指定的管理域或指定身份标识的用户本地配置的本地保活周期。认证点在收到认证服务器的接入接受报文后，根据本地配置的选择策略，从这些保活周期中选择一个保活周期作为认证点实际保活周期，开始执行802.1X协议会话的保活消息交互。
上述步骤是认证点对STA的保活，同样地，STA也可以对认证点保活，STA对认证点保活为可选功能，一般不建议开启，但是认证点需要能够响应STA的保活请求。具体地说，所述STA也可以采用客户端默认的客户端实际保活周期，向认证点发起保活请求，并接收来自认证点的保活响应消息中新的强制保活周期。也就是说，对于802.1X客户端对认证点的保活，允许认证点根据802.1X认证模型的三方角色协商结果建议或强制802.1X客户端进行调整，用作客户端实际保活周期的强制保活周期在保活响应消息中携带给802.1X客户端。
由此可见，在802.1X客户端接入认证成功后，802.1X客户端和/或认证点都可以向802.1X协议会话的对端设备发送保活请求消息，802.1X协议会话的对端设备回应保活响应消息，相同的流程以一定的客户端和/或认证点实际保活周期重复进行。该保活机制是双向的，可以单向开启或关闭，例如可以仅开启认证点对802.1X客户端的保活行为，即认证点发送保活请求消息，对应的802.1X客户端回应保活响应消息。
进一步地，开启或关闭保活机制，独立于802.1X的接入认证流程，仅在802.1X客户端认证成功后执行。具体地，认证点可以对指定身份标识或域标识的802.1X客户端开启或关闭保活功能，该身份标识可以是用户MAC、用户账号或国际移动用户识别号等信息，该域标识可以是认证点或认证服务器针对一组用户的业务管理域的域名，由认证点执行针对这些指定用户开启或关闭保活功能的动作。
802.1X客户端声明自身是否支持保活功能（在开始通告请求报文或通告请求报文中携带对应的扩展选项，将是否支持保活功能告知认证点，认证点默认802.1X客户端不支持保活功能），如果支持，可选择是否开启保活功能。认证服务器可以根据其配置的策略决定针对哪些用户进行保活，并在802.1X客户端接入认证成功时，通过接入接受消息携带对应的用于开启保活功能的授权属性给认证点，由认证点执行具体的开启或关闭保活功能的动作。
上述802.1X STA指802.1X客户端，可以是装有无线网卡的计算机，也可以是有无线保真WiFi模块的智能手机。STA可以是移动的，也可以是固定的，是WLAN的最基本组成单元。
图3是本发明提供的802.1X接入会话保活的系统框图，如图3所示，包括：
认证点：在802.1X客户端接入认证过程中，负责选定认证服务器并转换中继802.1X客户端和认证服务器的认证报文交互，接收802.1X客户端的保活建议和认证服务器的授权属性（包括针对802.1X客户端保活的相关参数授权），并在802.1X客户端认证成功时最终选择合适的保活周期，开始执行对802.1X客户端的保活操作；
802.1X客户端：负责进行802.1X协议的接入认证交互，根据设置主动上报保活功能相关的参数（包括是否支持保活，建议的保活周期等），在认证成功后响应认证点的保活请求消息。必要时，根据设置也可以主动针对认证点进行保活，发送保活请求消息并接受认证点的保活响应消息；
认证服务器：负责对802.1X客户端进行EAP认证交互和授权属性下发，鉴权成功时，根据其所知的策略下发针对802.1X客户端进行保活相关的参数给认证点。
其中，所述认证点包括：
认证点消息发送模块，用于在802.1X客户端接入网络期间，按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息；
客户端状态确定模块，用于在认证点预定时间内，若未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则确定所述802.1X客户端异常离网，否则确定所述802.1X客户端正常在网。
所述802.1客户端包括：
客户端消息发送模块，用于在802.1X客户端接入网络期间，按照客户端实际保活周期，向认证点发送用于确定所述认证点是否状态异常的保活请求消息；
认证点状态确定模块，用于在客户端预定时间内，若未收到所述认证点响应所述保活请求消息的保活响应消息，则确定所述认证点状态异常，否则，确定认证点状态正常。
以下结合图4至图11，针对认证点对802.1X客户端的保活进行着重说明。
图4是本发明第一实施例提供的802.1X接入会话保活的系统拓扑示意图，如图4所示，宽带网络网关BNG用作认证点的场景，无线接入点AP处于本地转发模式，BNG和AAA服务器之间使用远程用户拨号认证系统Radius协议通讯，该场景可以是无线接入控制器AC和BNG融合，也可以是AC和BNG分离。
图5是本发明第一实施例提供的802.1X接入会话保活的方法流程图，即图4所述系统的流程图，步骤包括：
步骤1：STA关联AP后，扩展的EAPOL-Start-Announcement消息携带保活支持标识信息和建议保活周期信息，并将该消息经AP发送到BNG。扩展的EAPOL-Start-Announcement消息示意图如图6所示。
所述保活支持标识信息用于指示是否支持保活功能。
步骤2：BNG接收到STA发送的EAPOL-Start-Announcement消息后，从中提取出STA的建议保活周期信息并保存，并通过AP向STA发送EAPOL-EAP-Request-Identity消息；STA收到EAPOL-EAP-Request-Identity消息后，经AP向BNG发送EAPOL-EAP-Response-Identity消息。
步骤3：BNG把EAPOL-EAP-Response消息封装在RADIUS协议的认证请求消息Access-Request中，发送给AAA服务器。
步骤4：AAA服务器和STA协商具体的鉴权方式，并由AAA服务器对STA进行鉴权。
步骤5：AAA服务器发送鉴权成功的EAP-SUCCESS消息或者鉴权失败的EAP-FAILURE消息，并将所述消息封装在RADIUS协议报文的允许/拒绝接入消息Access-Accept/Reject中发送BNG。
进一步地，如果该用户的签约信息中有授权保活周期信息，则AAA服务器在Access-Accept消息中携带该信息发送给BNG。
步骤6：BNG根据STA的建议保活周期信息、本地配置的本地保活周期信息以及AAA服务器的授权保活周期信息，确定认证点对该STA保活的认证点实际保活周期。
步骤7：BNG根据所述认证点实际保活周期向STA发送保活请求消息，STA收到该消息之后返回保活响应消息。保活请求消息和保活响应消息的建议格式如图7所示。
步骤8：STA发出动态主机设置协议发现消息DHCP Discover请求IP地址，经AP发送给BNG，BNG与STA之间通过DHCP协议完成STA的IP地址分配，也允许BNG作为DHCP Relay/Proxy代理DHCP Server完成该地址分配流程。
特别地，所述步骤8与步骤1至步骤7没有时间上的先后顺序。
步骤9：BNG判断该STA已经过认证，允许转发STA访问网络侧设备的上下行数据。
图8是本发明第二实施例提供的802.1X接入会话保活的系统拓扑示意图，如图8所示，与第一实施例对比，本实施例是将AC作为认证点的场景，AC与AAA服务器之间通过BNG相连，其具体流程如图9所示，步骤包括：
步骤1：STA关联AP后，扩展的EAPOL-Start-Announcement消息携带是保活支持标识信息和建议保活周期信息，并将该消息经AP发送到AC。扩展后的EAPOL-Start-Announcement消息示意图如图6所示。
步骤2：AC收到STA发送的EAPOL-Start-Announcement消息后，从中提取出STA的建议保活周期信息并保存，并通过AP向STA发送EAPOL-EAP-Request-Identity消息，STA收到EAPOL-EAP-Request-Identity消息后，经AP向AC发送EAPOL-EAP-Response-Identity消息。
步骤3：AC把EAPOL-EAP-Response-Identity消息封装在RADIUS协议的认证请求消息Access-Request中，发送给AAA服务器。
进一步地，当BNG作为AC与AAA之间的Radius Proxy网元时，BNG需要对Radius协议报文进行重新封装。
步骤4：AAA服务器和STA协商具体的鉴权方式，并由AAA服务器对STA进行鉴权。
步骤5：AAA服务器发送鉴权成功的EAP-SUCCESS消息或者鉴权失败的EAP-FAILURE消息，将所述消息封装在RADIUS协议报文的Access-Accept/Reject消息中发送AC。
进一步地，如果该用户的签约信息中有授权保活周期信息，则AAA服务器在Access-Accept消息中携带该信息发送给AC。
步骤6：AC根据STA的建议保活周期信息、本地配置的默本地保活周期信息以及AAA服务器授权的授权保活周期信息，确定认证点对该STA保活的认证点实际保活周期。
步骤7：AC根据所述认证点实际保活周期向STA发送保活请求消息，STA收到该消息之后返回保活响应消息，所述保活请求消息和保活响应消息的建议格式如图7所示。
步骤8：STA发出DHCP Discover消息请求IP地址，经AP发送给AC，AC与STA之间通过DHCP协议完成STA的IP地址分配。
特别地，所述步骤8与所述步骤1至步骤7没有时间上的先后顺序。
步骤9：AC判断该STA已经过认证且地址分配成功，则向BNG发送用户上线通告消息。
进一步地，当BNG作为AC与AAA服务器之间的Radius Proxy网元时，该消息可以是计费开始消息。
步骤10：BNG收到用户上线通告消息之后，允许转发STA访问网络侧设备的上下行数据。
图10是本发明第三实施例提供的802.1X接入会话保活的系统拓扑示意图，如图10所示，本实施例是将家庭网关RG（Residential Gateway）或固定终端作为802.1X客户端，将接入设备或BNG作为认证点的场景，其具体流程如图11所示，步骤包括：
步骤1：RG或固定终端在扩展的EAPOL-Start-Announcement消息中携带是保活支持标识信息和建议保活周期信息，并将该消息发送给接入设备或BNG。扩展的EAPOL-Start-Announcement消息格式示意图如图6所示。
步骤2：接入设备或BNG接收到RG或固定终端发送的EAPOL-Start-Announcement消息后，从中提取出RG或固定终端的建议保活周期并保存，并向RG或固定终端发送EAPOL-EAP-Request-Identity消息，RG或固定终端收到EAPOL-EAP-Request-Identity消息后，向接入设备或BNG发送EAPOL-EAP–Response-Identity消息。
步骤3：接入设备或BNG把EAPOL-EAP-Response-Identity消息封装在RADIUS协议的认证请求消息Access-Request中，发送给AAA服务器。
步骤4：AAA服务器和RG或固定终端协商具体的鉴权方式，并由AAA服务器对RG或固定终端进行鉴权。
步骤5：AAA服务器发送鉴权成功的EAP-SUCCESS消息或者鉴权失败的EAP-FAILURE消息，并将所述消息封装在RADIUS协议报文AccessAccept/Reject消息中发送接入设备或BNG。
进一步地，如果该用户的签约信息中有授权保活周期信息，AAA服务器在Access-Accept消息中携带该信息发送给接入设备或BNG。
步骤6：接入设备或BNG根据RG或固定终端的建议保活周期、接入设备或BNG本地配置的本地保活周期以及AAA服务器授权给RG或固定终端的授权保活周期，确定接入设备或BNG对该RG或固定终端保活的认证点实际保活周期。
步骤7：接入设备或BNG根据所述认证点实际保活周期向RG或固定终端发送保活请求消息，RG或固定终端收到该消息之后返回保活响应消息。保活请求消息和保活响应消息的格式如图7所示。
步骤8：RG或固定终端发出DHCP Discover消息请求IP地址，发送给BNG，BNG与RG或固定终端之间通过DHCP协议完成RG或固定终端的IP地址分配。
特别地，所述步骤8与所述步骤1至步骤7没有时间上的先后顺序。
步骤9：接入设备或BNG判断该RG或固定终端已经过认证，允许转发RG或固定终端访问网络侧设备的上下行数据。
本发明的各步骤或各部件可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个步骤或部件制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
尽管上文对本发明进行了详细说明，但是本发明不限于此，本技术领域技术人员可以根据本发明的原理进行各种修改。因此，凡按照本发明原理所作的修改，都应当理解为落入本发明的保护范围。

Claims (10)

1.一种802.1X接入会话保活的方法，其特征在于，包括：
802.1X客户端接入认证期间，用于接入认证的认证点接收802.1X客户端发送携带有保活支持标识信息和建议保活周期信息的开始通告请求消息，以便进行接入认证；
在802.1X客户端接入认证成功后，所述认证点根据所述建议保活周期、认证点本地配置的本地保活周期以及AAA服务器授权给所述802.1X客户端的授权保活周期，按照配置的选择策略综合确定针对所述802.1X客户端的认证点实际保活周期；
在802.1X客户端接入网络期间，所述认证点按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的第一保活请求消息。
2.根据权利要求1所述的方法，其特征在于，还包括：
在认证点预定时间内，若所述认证点未收到所述802.1X客户端响应所述第一保活请求消息的保活响应消息，则所述认证点确定所述802.1X客户端异常离网，否则所述认证点确定所述802.1X客户端正常在网；
在客户端预定时间内，若所述802.1X客户端未收到所述认证点响应所述第二保活请求消息的保活响应消息，则所述802.1X客户端确定所述认证点状态异常，否则，所述802.1X客户端确定认证点状态正常。
3.根据权利要求1或2所述的方法，其特征在于，在所述认证点/802.1X客户端向对端发送保活请求消息前，还包括802.1X客户端接入认证步骤，包括：
所述认证点接收所述802.1X客户端发送的开始通告请求消息，并向802.1X客户端发送身份请求消息；
所述认证点接收所述802.1X客户端响应所述身份请求消息的身份响应消息，并将所述身份响应消息封装到认证请求消息中，发送至认证服务器；
所述认证服务器根据所述认证请求消息，经由认证点与所述802.1X客户端确定鉴权方式，并按照所述鉴权方式，对802.1X客户端进行鉴权处理；
所述认证服务器将鉴权成功/失败的处理结果封装到接入接受/拒绝消息中，发送至认证点。
4.根据权利要求3所述的方法，其特征在于，所述802.1X客户端接入认证期间，当所述802.1X客户端发送的所述开始通告请求消息中未携带建议保活周期时，所述802.1X客户端将所述建议保活周期封装到通告请求消息中，发送至所述认证点，以供所述认证点确定认证点实际保活周期。
5.根据权利要求4所述的方法，其特征在于，所述认证点解析收到的所述接入接受消息，得到其中的用于开启保活功能的授权属性，并根据所述用于开启保活功能的授权属性，开启指定身份标识或业务管理域标识所对应的802.1X客户端的保活功能，以便进行802.1X接入会话保活。
6.根据权利要求5所述的方法，其特征在于，所述认证点通过解析收到的所述开始通告请求消息或所述通告请求消息，得到其中的建议保活周期；所述认证点通过解析收到的所述接入接受消息，得到其中的授权保活周期。
7.根据权利要求5所述的方法，其特征在于，所述客户端实际保活周期是802.1X客户端本地的默认保活周期。
8.根据权利要求7所述的方法，其特征在于，所述802.1X客户端解析收到的所述保活响应消息，得到其中的强制保活周期，并按照所述强制保活周期，调整客户端实际保活周期。
9.一种802.1X接入会话保活的系统，包括802.1客户端、用于接入认证的认证点和认证服务器，其特征在于，所述认证点包括：
认证点消息接收模块，用于在802.1X客户端接入认证期间，接收802.1X客户端发送携带有保活支持标识信息和建议保活周期信息的开始通告请求消息，以便进行接入认证；
认证点保活周期确定模块，用于在802.1X客户端接入认证成功后，根据所述建议保活周期、认证点本地配置的本地保活周期以及AAA服务器授权给所述802.1X客户端的授权保活周期，按照配置的选择策略综合确定针对所述802.1X客户端的认证点实际保活周期；
认证点消息发送模块，用于在802.1X客户端接入网络期间，按照认证点实际保活周期，向802.1X客户端发送用于确定所述802.1X客户端是否异常离网的第一保活请求消息。
10.根据权利要求9所述的系统，其特征在于，所述认证点还包括客户端状态确定模块，用于在认证点预定时间内，若未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则确定所述802.1X客户端异常离网，否则确定所述802.1X客户端正常在网。
所述802.1客户端包括：客户端消息发送模块，用于在802.1X客户端接入网络期间，按照客户端实际保活周期，向认证点发送用于确定所述认证点是否状态异常的第二保活请求消息；认证点状态确定模块，用于在客户端预定时间内，若未收到所述认证点响应所述保活请求消息的保活响应消息，则确定所述认证点状态异常，否则，确定认证点状态正常。
CN201310053064.3A 2013-02-19 2013-02-19 一种802.1x接入会话保活的方法及系统 Active CN103200172B (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
CN201310053064.3A CN103200172B (zh) 2013-02-19 2013-02-19 一种802.1x接入会话保活的方法及系统
US14/766,053 US9918353B2 (en) 2013-02-19 2013-09-17 802.1X access session keepalive method, device, and system
EP13875702.6A EP2950499B1 (en) 2013-02-19 2013-09-17 802.1x access session keepalive method, device, and system
PCT/CN2013/083699 WO2014127630A1 (zh) 2013-02-19 2013-09-17 802.1x接入会话保活的方法、设备及系统
RU2015136853A RU2639696C2 (ru) 2013-02-19 2013-09-17 Способ, устройство и система поддержания активности сессии доступа по стандарту 802.1Х

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201310053064.3A CN103200172B (zh) 2013-02-19 2013-02-19 一种802.1x接入会话保活的方法及系统

Publications (2)

Publication Number Publication Date
CN103200172A CN103200172A (zh) 2013-07-10
CN103200172B true CN103200172B (zh) 2018-06-26

Family

ID=48722530

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201310053064.3A Active CN103200172B (zh) 2013-02-19 2013-02-19 一种802.1x接入会话保活的方法及系统

Country Status (5)

Country Link
US (1) US9918353B2 (zh)
EP (1) EP2950499B1 (zh)
CN (1) CN103200172B (zh)
RU (1) RU2639696C2 (zh)
WO (1) WO2014127630A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103973658A (zh) * 2013-02-04 2014-08-06 中兴通讯股份有限公司 静态用户终端认证处理方法及装置
CN103200172B (zh) 2013-02-19 2018-06-26 中兴通讯股份有限公司 一种802.1x接入会话保活的方法及系统
CN103546348A (zh) * 2013-10-30 2014-01-29 上海斐讯数据通信技术有限公司 一种认证用户异常下线的检测方法
CN104754764B (zh) * 2013-12-30 2018-11-02 中国移动通信集团公司 一种信息处理方法及装置
CN107819599B (zh) * 2016-09-13 2022-09-30 中兴通讯股份有限公司 报文处理方法及装置
CN106790012B (zh) * 2016-12-14 2020-02-18 深圳市彬讯科技有限公司 基于802.1x协议数据包验证的用户身份认证方法
CN107645556B (zh) * 2017-09-26 2018-12-07 中国联合网络通信有限公司广东省分公司 一种实现sdn转控分离的宽带接入与保活方法及装置
CN111418258A (zh) * 2017-12-12 2020-07-14 艾锐势有限责任公司 检测wi-fi客户端活动状态的方法
CN108092853B (zh) * 2017-12-27 2021-09-21 珠海市君天电子科技有限公司 监控服务器链路状态的方法、装置、系统、电子设备及存储介质
US10999379B1 (en) 2019-09-26 2021-05-04 Juniper Networks, Inc. Liveness detection for an authenticated client session
CN111654865B (zh) * 2020-07-31 2022-02-22 迈普通信技术股份有限公司 终端认证方法、装置、网络设备及可读存储介质
CN112039894B (zh) * 2020-08-31 2023-01-10 北京天融信网络安全技术有限公司 一种网络准入控制方法、装置、存储介质和电子设备
CN113765905B (zh) * 2021-08-27 2023-04-18 深圳市风云实业有限公司 一种基于可信服务代理的数据通信方法
CN113839787B (zh) * 2021-11-29 2022-03-04 军事科学院系统工程研究院网络信息研究所 一种双向认证的局域网安全接入协议方法和系统
CN114826710B (zh) * 2022-04-15 2023-09-26 杭州指令集智能科技有限公司 基于mqtt的物联网操作系统及方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1447570A (zh) * 2002-03-26 2003-10-08 华为技术有限公司 基于802.1x协议的网络接入设备与客户端握手的实现方法
CN1476207A (zh) * 2003-07-04 2004-02-18 Ip专线计费方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
WO2009129516A1 (en) * 2008-04-18 2009-10-22 Kineto Wireless, Inc. Method and apparatus for direct transfer of ranap messages in a home node b system
CN102404720A (zh) * 2010-09-19 2012-04-04 华为技术有限公司 无线局域网中密钥的发送方法及装置

Family Cites Families (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2160924C1 (ru) 1999-08-18 2000-12-20 Государственное унитарное предприятие Центральный научно-исследовательский институт "Курс" Механизм проверки своевременности доставки сообщений в информационно-управляющих системах реального времени
WO2004098143A1 (en) * 2003-04-28 2004-11-11 Chantry Networks Inc. System and method for mobile unit session management across a wireless communication network
EP1692595A2 (en) * 2003-11-04 2006-08-23 Nexthop Technologies, Inc. Secure, standards-based communications across a wide-area network
CN100544348C (zh) 2004-02-03 2009-09-23 华为技术有限公司 代理检测方法
CN100592688C (zh) 2004-12-08 2010-02-24 杭州华三通信技术有限公司 一种对接入网络的客户端进行安全认证的系统和方法
CN1866900A (zh) 2005-05-16 2006-11-22 阿尔卡特公司 向通信设备提供通信接入的装置和相关的方法
CN100401712C (zh) 2005-10-14 2008-07-09 杭州华三通信技术有限公司 以太网自动保护系统相切环的故障处理方法
CN100589486C (zh) 2005-12-09 2010-02-10 中兴通讯股份有限公司 一种自动兼容不同802.1x客户端软件的认证方法
CN101047502B (zh) 2006-03-29 2010-08-18 中兴通讯股份有限公司 一种网络认证方法
CN1881938A (zh) 2006-04-27 2006-12-20 中兴通讯股份有限公司 一种预防和检测代理的方法和系统
JP4652285B2 (ja) * 2006-06-12 2011-03-16 株式会社日立製作所 ゲートウェイ選択機能を備えたパケット転送装置
CN101127673A (zh) 2006-08-16 2008-02-20 华为技术有限公司 以太网自动保护倒换方法
US8204502B2 (en) * 2006-09-22 2012-06-19 Kineto Wireless, Inc. Method and apparatus for user equipment registration
JP4680866B2 (ja) * 2006-10-31 2011-05-11 株式会社日立製作所 ゲートウェイ負荷分散機能を備えたパケット転送装置
CN101345683B (zh) 2007-07-11 2012-11-28 中兴通讯股份有限公司 以太网自动保护切换系统中的协议报文传输控制方法
JP4970189B2 (ja) * 2007-08-10 2012-07-04 株式会社東芝 認証装置およびネットワーク認証システム、ならびに端末装置を認証するための方法およびプログラム
CN101141448A (zh) 2007-09-28 2008-03-12 西安大唐电信有限公司 在以太网无源光网络上实现IEEE802.1x用户端口认证的方法
CN101426004A (zh) * 2007-10-29 2009-05-06 华为技术有限公司 三层会话的接入方法、系统及设备
US8107383B2 (en) 2008-04-04 2012-01-31 Extreme Networks, Inc. Reducing traffic loss in an EAPS system
US7990850B2 (en) 2008-04-11 2011-08-02 Extreme Networks, Inc. Redundant Ethernet automatic protection switching access to virtual private LAN services
CN101309215B (zh) 2008-06-25 2010-12-15 北京星网锐捷网络技术有限公司 一种以太环网链路恢复检测方法及以太环网主交换机
CN101360020B (zh) 2008-09-28 2011-04-06 西安电子科技大学 基于eap的ieee802.1x安全协议的仿真平台及方法
CN101494580B (zh) 2009-03-13 2011-09-07 迈普通信技术股份有限公司 一种增强eaps环网可靠性的方法
CN101547131B (zh) 2009-05-15 2011-04-13 迈普通信技术股份有限公司 Eaps环网单通故障定位和保护方法
CN101651596B (zh) 2009-09-27 2011-06-29 迈普通信技术股份有限公司 以太环网故障时加速切换的方法
CN101790164B (zh) 2010-01-26 2012-10-03 华为终端有限公司 一种认证方法及通信系统以及相关设备
CN101834867A (zh) * 2010-05-07 2010-09-15 杭州华三通信技术有限公司 一种客户端安全保护方法及其装置
US8732324B2 (en) * 2010-05-25 2014-05-20 Cisco Technology, Inc. Keep-alive hiatus declaration
CN101883038B (zh) 2010-06-30 2015-08-12 中兴通讯股份有限公司 Eaps环网保护倒换的方法及eaps环网中的主节点
US8520540B1 (en) * 2010-07-30 2013-08-27 Cisco Technology, Inc. Remote traffic monitoring through a network
CN102487348B (zh) 2010-12-02 2015-04-01 中兴通讯股份有限公司 一种环网上行链路保护的实现方法和系统
CN102006236B (zh) 2010-12-13 2012-08-08 迈普通信技术股份有限公司 Eaps环网链路故障时的切换处理方法以及交换设备
CN102055636B (zh) 2010-12-13 2013-04-10 迈普通信技术股份有限公司 提高eaps环网故障时加速切换的方法以及eaps环网系统
CN102075938B (zh) 2011-02-25 2013-05-15 北京交通大学 基于地址锁机制的快速重认证方法
US9504026B2 (en) * 2012-12-13 2016-11-22 Nokia Technologies Oy Keep alive periodicity determination for WiFi networks
CN103200172B (zh) * 2013-02-19 2018-06-26 中兴通讯股份有限公司 一种802.1x接入会话保活的方法及系统

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1447570A (zh) * 2002-03-26 2003-10-08 华为技术有限公司 基于802.1x协议的网络接入设备与客户端握手的实现方法
CN1476207A (zh) * 2003-07-04 2004-02-18 Ip专线计费方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
WO2009129516A1 (en) * 2008-04-18 2009-10-22 Kineto Wireless, Inc. Method and apparatus for direct transfer of ranap messages in a home node b system
CN102404720A (zh) * 2010-09-19 2012-04-04 华为技术有限公司 无线局域网中密钥的发送方法及装置

Also Published As

Publication number Publication date
RU2015136853A (ru) 2017-03-27
WO2014127630A1 (zh) 2014-08-28
US20150382397A1 (en) 2015-12-31
RU2639696C2 (ru) 2017-12-21
EP2950499A1 (en) 2015-12-02
EP2950499B1 (en) 2018-09-12
US9918353B2 (en) 2018-03-13
EP2950499A4 (en) 2016-01-20
CN103200172A (zh) 2013-07-10

Similar Documents

Publication Publication Date Title
CN103200172B (zh) 一种802.1x接入会话保活的方法及系统
CN101867476B (zh) 一种3g虚拟私有拨号网用户安全认证方法及其装置
RU2564251C2 (ru) Динамическое создание аккаунта в защищенной сети с беспроводной точкой доступа
TWI293844B (en) A system and method for performing application layer service authentication and providing secure access to an application server
JP4865805B2 (ja) 異なる認証証明書をサポートするための方法および機器
CN108029017A (zh) 通过受管理的公共WLAN接入进行安全wifi呼叫连接的方法
US9775032B2 (en) Method for controlling access point in wireless local area network, and communication system
US9226153B2 (en) Integrated IP tunnel and authentication protocol based on expanded proxy mobile IP
US10277586B1 (en) Mobile authentication with URL-redirect
US20070022476A1 (en) System and method for optimizing tunnel authentication procedure over a 3G-WLAN interworking system
US20040010713A1 (en) EAP telecommunication protocol extension
JP2008236754A (ja) 移動通信ネットワークと移動通信ネットワークにおける移動ノードの認証を遂行する方法及び装置
WO2014176964A1 (zh) 一种通信管理方法及通信系统
WO2011127774A1 (zh) 一种用户终端接入互联网方式的控制方法及装置
CN103685201A (zh) 一种wlan用户固网接入的方法和系统
US20100257589A1 (en) method for releasing a high rate packet data session
CN101447976B (zh) 动态ip会话接入的方法、系统及装置
US8811272B2 (en) Method and network for WLAN session control
CN102781093B (zh) 一种用户信息的通知方法及系统
KR100977114B1 (ko) 휴대인터넷 시스템에서 옥내용 기지국을 이용하는휴대인터넷 단말을 위한 재인증 방법 및 그를 위한 옥내용기지국의 인증 방법
CN103687049B (zh) 多连接建立的方法及系统
WO2014032225A1 (zh) 服务质量控制的方法、装置及系统
WO2013034056A1 (zh) 一种位置信息处理方法和系统
CN103002443A (zh) 一种接纳控制方法和系统
CN103856933A (zh) 一种漫游终端的认证方法、装置及服务器

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant