CN103327519A - 接入点ap和基于ap和接入点控制器ac架构的系统 - Google Patents

Abstract

本发明提供一种接入点AP和基于AP和接入点控制器AC架构的系统，该接入点AP包括：判断模块，用于判断该AP是否与AC失去链接；第一获取模块，用于当该AP与该AC失去链接时，获取预先存储的用户信息列表，该用户信息列表包括该AP在线用户的身份认证状态；第二获取模块，用于根据该信息列表中的身份认证状态获取通过身份认证的在线用户，以便该AP继续为该通过身份认证的在线用户提供网络服务。本发明能够提高用户体验。

Description

接入点AP和基于AP和接入点控制器AC架构的系统

技术领域

本发明涉及无线技术领域，尤其涉及一种接入点AP和基于AP和接入点控制器AC架构的系统。

背景技术

无线局域网，指采用IEEE802.11无线技术进行互连的一组计算机和相关设备。无线局域网（Wireless Local Area Network，即WLAN）是指以无线信道作传输媒介的计算机局域网，是有线联网方式的重要补充和延伸，并逐渐成为计算机网络中一个至关重要的组成部分，广泛适用于需要可移动数据处理或无法进行物理传输介质布线的领域。随着IEEE802.11无线网络标准的制定与发展，使无线网络技术更加成熟与完善。并已成功的广泛应用于众多行业，如金融证券、教育、大型企业、工矿港口、政府机关、酒店、机场、军队等。产品主要包括：无线接入点、无限网卡、无线路由器、无线网关、无线网桥等。

WLAN主要存在两种架构，即IBSS（Independent Basic Service Set，独立基本服务集，也称为Ad-hoc）和BSS（Basic Service Set，基本服务集，也成为Infrastructure）。在IBSS架构中，用户终端间直接通过无线连接通信，无需特定的设备进行中转通信。在BSS架构中，用户终端间都需要通过AP（Access Point，接入点）中转进行通信，并且还可以通过AP访问Internet业务。

WLAN的网络架构分为自主管理架构和集中管理架构，在自主管理架构中WLAN的所有工作都有AP完成，所以自主管理架构也称胖AP架构。胖AP架构的AP直接控制WLAN用户的接入和身份认证过程，可以完成用户数据加密、用户认证、QoS等功能。由于每个AP都是一个单独的节点，独立于配置、其信道和功率，安装十分简便，WLAN早期广泛应用胖AP架构。随着企业大量部署，对AP进行配置、升级和数据采集、优化等管理工作成本越来越高。同时胖AP架构还比较难扩展到大型、连锁型的无线局域网和增加高级应用，使得WLAN的应用开始趋向于集中管理架构。在集中管理架构中，所有无线接入功能由AP和AC（Access Controller，接入点控制器）共同完成，所以集中管理架构也称作瘦AP架构。图1为在运营商WLAN网络中采用的网络拓扑图。AC完成网络中具有重要意义的功能，例如移动管理、身份验证、频道划分、射频、资源管理和数据包转发等。AP完成无线本身的控制，例如无线信号的发射、探测、响应，数据加密、解密，数据传输确认、数据优先级管理等。AP和AC之间主要采用隧道协议（例如CAPWAP）进行通讯。这种管理分为本地转发和集中转发两种模式。本地转发，AC只对AP进行管理，业务数据都是由本地直接转发。即AP管理报文封装在隧道中，到达AC终止;AP业务报文不加隧道协议封装，而直接由AP发送到交换设备进行直接转发。它的优势是数据流量不加隧道协议封装，转发性能只与本地二层转发的吞吐量有关系。但本地转发的数据流不一定都会流经AC，安全性较弱。集中转发也称作隧道转发。AP管理流与数据流都封装在隧道中到达AC。集中转发的优势是数据流和管理流全部经过AC，可以更容易对无线用户实施安全控制策略。但同时所有AP的管理报文与数据报文都封装在CAPWAP隧道中，对AC负担较重，对AC的基础转发性能要求高;AC的转发性能直接决定了AP的个数和其下挂用户的并发数。

在AP和AC的集中管理架构中，当AP工作在本地转发模式下时，AC通过隧道协议对AP进行管理，而用户数据在AP进行本地转发。AC处仅执行移动管理、身份验证、频道划分、射频和资源管理等功能，而AP处执行无线本身的控制（例如无线信号的发射、探测、响应，数据加密、解密，数据传输确认、数据优先级管理等），以及用户数据转发。目前当AP与AC间链接中断时，AP将会停止服务并将在线用户下线，从而导致用户体验降低。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：如何解决当AP与AC间链接中断时，AP将会停止服务并将在线用户下线，从而导致用户体验降低的问题。

（二）技术方案

为解决上述技术问题，本发明提供了一种接入点AP，包括：

判断模块，用于判断所述AP是否与AC失去链接；

第一获取模块，用于当所述AP与所述AC失去链接时，获取预先存储的用户信息列表，所述用户信息列表包括所述AP在线用户的身份认证状态；

第二获取模块，用于根据所述信息列表中的身份认证状态获取通过身份认证的在线用户，以便所述AP继续为所述通过身份认证的在线用户提供网络服务。

进一步地，所述用户信息列表还包括所述AP在线用户的密钥列表，所述密钥列表用于当所述AP与所述AC失去链接时，持续对所述通过身份认证的在线用户的数据进行加解密处理，所述AP还包括：

密钥协商模块，用于当所述通过身份认证的在线用户的密钥过期时，与所述通过身份认证的在线用户进行密钥协商，并根据所述协商结果对所述密钥列表进行更新。

进一步地，所述用户信息列表还包括所述AP在线用户的IP地址信息，所述AP还包括：

拦截模块，用于当所述通过身份认证的在线用户的IP过期时，拦截所述通过身份认证的在线用户的DHCP请求；

第一发送模块，用于根据所述IP地址信息向所述发送DHCP请求用户发出续租命令，以便所述发送DHCP请求用户继续使用所述过期的IP。

进一步地，还包括：

网络创建模块，用于当所述AP与所述AC失去链接时，创建临时网络，所述临时网络用于新用户的接入。

进一步地，所述AP还包括：

拒绝接入模块，用于当所述AP与所述AC失去链接，且所述新用户接入原始网络时，拒绝接入所述新用户，所述原始网络为所述AP与所述AC失去链接之前建立的网络。

为解决上述问题，本发明还提供一种基于AP和接入点控制器AC架构的系统，包括AC和任意上述的AP。

进一步地，所述AP还包括：

第一接收模块，用于当所述AP和所述AC恢复链接时，接收所述AC发送的网络配置文件；

第一判断模块，用于判断所述接收的网络配置文件的版本号和所述AP正在执行的网络配置文件的版本号是否一致；

第一执行模块，用于当所述第一判断模块的判断结果为是，忽略所述接收的网络配置文件；

第二执行模块，用于当所述第一判断模块的判断结果为否，根据所述接收的网络配置文件进行网络配置。

进一步地，所述AP还包括第二发送模块，用于当所述AP和所述AC恢复链接时，向所述AC发送所述AP正在执行的网络配置文件的版本号；

所述AC包括：

第二接收模块，用于接收所述AP发送的版本号；

第二判断模块，用于判断所述接收的版本号和所述AC准备发送的网络配置文件的版本号是否一致；

第三执行模块，用于当所述第二判断模块的判断结果为是，取消向所述AP发送所述准备发送的网络配置文件；

第四执行模块，用于当所述第二判断模块的判断结果为否，向所述AP发送所述准备发送的网络配置文件。

进一步地，所述AC包括：

第三获取模块，用于当所述AP和所述AC恢复链接时，获取预先存储的网络配置文件信息列表，所述网络配置文件信息列表包括所述AP当前的网络配置文件的版本号，以及所述AP当前的网络配置文件的有效时间；

第三判断模块，用于判断所述AP当前的网络配置文件的版本号和所述AC准备发送的网络配置文件的版本号是否一致；

第五执行模块，用于当所述第二判断模块的判断结果为是且当前时间在所述有效时间之内，取消向所述AP发送所述准备发送的网络配置文件；

第六执行模块，用于当所述第二判断模块的判断结果为否或者当前时间在所述有效时间之外，向所述AP发送所述准备发送的网络配置文件。

（三）有益效果

本发明在当AP与AC失去链接时，通过用户信息列表中的身份认证状态信息判断哪些用户是授权用户（通过身份认证的用户），哪些用户是非法用户（未通过身份认证的用户），然后向该授权用户继续提供网络服务，避免了当与AC失去链接时AP对授权用户中断网络服务，从而提高用户体验。

附图说明

图1为现有技术提供的一种集中控制网络拓扑图；

图2为本发明实施方式提供的一种接入点AP的结构图。

具体实施方式

图2为本发明实施方式提供的一种接入点AP的结构图，包括：

判断模块1，用于判断所述AP是否与AC失去链接；

第一获取模块2，用于当所述AP与所述AC失去链接时，获取预先存储的用户信息列表，所述用户信息列表包括所述AP在线用户的身份认证状态；

其中，该用户信息列表可以通过用户媒体接入层地址（MAC地址）对该AP在线用户进行标识。

第二获取模块3，用于根据所述信息列表中的身份认证状态获取通过身份认证的在线用户，以便所述AP继续为所述通过身份认证的在线用户提供网络服务。

本发明实施方式提供的AP，当与AC失去链接时，通过用户信息列表中的身份认证状态信息判断哪些用户是授权用户（通过身份认证的用户），哪些用户是非法用户（未通过身份认证的用户），然后向该授权用户继续提供网络服务，避免了当与AC失去链接时AP对授权用户中断网络服务，从而提高用户体验。

优选地，所述用户信息列表还包括所述AP在线用户的密钥列表，所述密钥列表用于当所述AP与所述AC失去链接时，持续对所述通过身份认证的在线用户的数据进行加解密处理，所述AP还包括：

密钥协商模块，用于当所述通过身份认证的在线用户的密钥过期时，与所述通过身份认证的在线用户进行密钥协商，并根据所述协商结果对所述密钥列表进行更新。

具体地，当与AC失去链接时，AP根据该密钥列表，持续对用户数据进行加解密处理，同时在用户密钥过期时，进行密钥协商。

优选地，所述用户信息列表还包括所述AP在线用户的IP地址信息，所述AP还包括：

拦截模块，用于当所述通过身份认证的在线用户的IP过期时，拦截所述通过身份认证的在线用户的DHCP请求；

第一发送模块，用于根据所述IP地址信息向所述发送DHCP请求用户发出续租命令，以便所述发送DHCP请求用户继续使用所述过期的IP。

具体地，当用户IP地址非本地网络分配时，例如，用户IP地址由AC进行分配时，AP的用户信息列表中还包括用户的IP地址信息。用户在IP地址租期到期时，将向网络侧发送DHCP地址续租请求。此时AP将拦截该DHCP请求，并向该用户以其目标DHCP服务器的身份，向该用户发还DHCP答复信息，允许用户续租该IP地址。从而避免用户由于IP地址无法续租而导致下线的问题。

由于用户认证功能在AC处进行，当AP与AC失去链接时，存在新用户由于不能通过用户身份认证而不能接入网络的问题。为解决该问题，优选地，该AP还包括：

网络创建模块，用于当所述AP与所述AC失去链接时，创建临时网络，所述临时网络用于新用户的接入。

具体地，在AP发现与AC失去关联时，AP及时新创建一个SSID网络，暂时允许新用户接入。该SSID网络可采用无认证方式接入，也可以设定为本地认证模式，例如WEP认证，WPA-PSK认证方式等。由于该网络认证级别较低，故网络侧将控制该网络下用户可使用的网络资源（如带宽）以及可访问的网络资源（如网站地址等）。在AP与AC恢复链接后，AP需要及时关闭该SSID，该SSID下用户需按照身份接入对应的SSID，重新认证接入。为提供更好的用户体验，AP可在关闭该临时网络前，向用户发送通知信息，提前告知用户该网络即将关闭。推送手段可以是向用户终端推送携带有通知的网络页面；或将用户终端的网页访问请求跳转到携带有该通知的网页页面上。

于此同时，还存在当新用户错误接入到原普通网络中时，由于AP此时失去AC的链接，存在有认证不可执行的问题，故必将导致该用户认证失败，从而降低用户体验。为避免该问题，在AP发现与AC失去联系时，将停止在原有网络内接入新用户，例如拒绝该新用户的网络关联申请。优选地，所述AP还包括：

拒绝接入模块，用于当所述AP与所述AC失去链接，且所述新用户接入原始网络时，拒绝接入所述新用户，所述原始网络为所述AP与所述AC失去链接之前建立的网络。其中，所述拒绝接入模块拒绝接入所述新用户的方法可以为向该新用户发送拒绝接入命令，也可以为不发送允许接入命令。

本发明实施方式提供的AP，当与AC失去链接时，通过用户信息列表中的身份认证状态信息判断哪些用户是授权用户（通过身份认证的用户），哪些用户是非法用户（未通过身份认证的用户），然后向该授权用户继续提供网络服务，避免了当与AC失去链接时AP对授权用户中断网络服务，从而提高用户体验。此外，在AP发现与AC失去关联时，AP及时新创建一个SSID网络，暂时允许新用户接入，进一步提高了用户体验。

此外，本发明实施方式还提供一种基于AP和接入点控制器AC架构的系统，包括AC和上述任意一种AP。

由于AP在恢复与AC链接时，AC会按照既定程序，为AP下发网络配置文件，AP接收后，即便其接收到配置文件和正在执行的配置文件相同，仍然进行重配置，重启网络，中断网络服务。为解决此问题，优选地，所述系统中的AP还包括：

第一接收模块，用于当所述AP和所述AC恢复链接时，接收所述AC发送的网络配置文件；第一判断模块，用于判断所述接收的网络配置文件的版本号和所述AP正在执行的网络配置文件的版本号是否一致；第一执行模块，用于当所述第一判断模块的判断结果为是，忽略所述接收的网络配置文件；第二执行模块，用于当所述第一判断模块的判断结果为否，根据所述接收的网络配置文件进行网络配置。

具体地，为每一个配置文件设置一个版本号（version number），当AP接收到新的配置文件时，将比较该配置文件的版本号和目前执行的配置文件的版本号，如果两者不一致，将进行重配置。否则，将忽略该配置文件，继续使用正在执行的配置文件，不中断网络服务。

另外，还可以采用以下方式：

所述AP还包括第二发送模块，用于当所述AP和所述AC恢复链接时，向所述AC发送所述AP正在执行的网络配置文件的版本号；

所述AC包括：第二接收模块，用于接收所述AP发送的版本号；第二判断模块，用于判断所述接收的版本号和所述AC准备发送的网络配置文件的版本号是否一致；第三执行模块，用于当所述第二判断模块的判断结果为是，取消向所述AP发送所述准备发送的网络配置文件；第四执行模块，用于当所述第二判断模块的判断结果为否，向所述AP发送所述准备发送的网络配置文件。

具体地，为每一个网络配置文件设置一个版本号（version number)，当AP与AC建立链接后，AP将向AC上报其使用的网络配置文件的版本信息（如果AP此时无执行的配置文件，将通过将版本号设置为特殊值表示，如全零等），AC侧比较AP现在执行的配置文件版本信息以及准备发送给AP的配置文件的版本信息，如果两者不一致，将发送该配置文件。如果两者一致，将取消对该配置文件的发送。此时，可选的AC将通过向AP发送信息以明示配置文件无需更新的决定。

此外，也可以采用以下方式：

所述AC包括：第三获取模块，用于当所述AP和所述AC恢复链接时，获取预先存储的网络配置文件信息列表，所述网络配置文件信息列表包括所述AP当前的网络配置文件的版本号，以及所述AP当前的网络配置文件的有效时间；第三判断模块，用于判断所述AP当前的网络配置文件的版本号和所述AC准备发送的网络配置文件的版本号是否一致；第五执行模块，用于当所述第二判断模块的判断结果为是且当前时间在所述有效时间之内，取消向所述AP发送所述准备发送的网络配置文件；第六执行模块，用于当所述第二判断模块的判断结果为否或者当前时间在所述有效时间之外，向所述AP发送所述准备发送的网络配置文件。

具体地，为每一个网络配置文件设置一个版本号（version number)，AC为每一个AP建立配置文件信息列表，其中记录有该AP的网络配置文件的版本号，以及该网络配置文件的有效时间计数器。AC将在有效性时间计数器超时时，将AP配置文件的版本信息清除或设置为特殊值（如全零）。在下一次需要为AP发送配置文件时（例如AP重新与AC建立链接时），AC将比较其保存的AP已下发的网络配置文件版本信息以及准备发送给AP的网络配置文件的版本信息，如果两者不一致，将发送该配置文件；如果两者一致，将取消对该网络配置文件的发送。此时，可选的AC将通过向AP发送信息以明示配置文件无需更新的决定。

本发明实施方式提供的基于AP和接入点控制器AC架构的系统，当AP与AC失去链接时，通过用户信息列表中的身份认证状态信息判断哪些用户是授权用户（通过身份认证的用户），哪些用户是非法用户（未通过身份认证的用户），然后向该授权用户继续提供网络服务，避免了当与AC失去链接时AP对授权用户中断网络服务，从而提高用户体验。此外，为每一个网络配置文件设置一个版本号，当所述AP和所述AC恢复链接时，判断AP当前的网络配置文件的版本号和AC准备发送的网络配置文件的版本号是否一致，避免了在新的网络配置文件和正在执行的配置文件相同的情况，仍然进行重配置并造成网络中断的问题，进一步提高了用户体验。

Claims (9)

1.一种接入点AP，其特征在于，包括：

判断模块，用于判断所述AP是否与接入点控制器AC失去链接；

第一获取模块，用于当所述AP与所述AC失去链接时，获取预先存储的用户信息列表，所述用户信息列表包括所述AP在线用户的身份认证状态；

第二获取模块，用于根据所述信息列表中的身份认证状态获取通过身份认证的在线用户，以便所述AP继续为所述通过身份认证的在线用户提供网络服务。

2.根据权利要求1所述的接入点AP，其特征在于，所述用户信息列表还包括所述AP在线用户的密钥列表，所述密钥列表用于当所述AP与所述AC失去链接时，持续对所述通过身份认证的在线用户的数据进行加解密处理，所述AP还包括：

密钥协商模块，用于当所述通过身份认证的在线用户的密钥过期时，与所述通过身份认证的在线用户进行密钥协商，并根据所述协商结果对所述密钥列表进行更新。

3.根据权利要求1所述的接入点AP，其特征在于，所述用户信息列表还包括所述AP在线用户的IP地址信息，所述AP还包括：

拦截模块，用于当所述通过身份认证的在线用户的IP过期时，拦截所述通过身份认证的在线用户的DHCP请求；

第一发送模块，用于根据所述IP地址信息向所述发送DHCP请求用户发出续租命令，以便所述发送DHCP请求用户继续使用所述过期的IP。

4.根据权利要求1所述的接入点AP，其特征在于，还包括：

网络创建模块，用于当所述AP与所述AC失去链接时，创建临时网络，所述临时网络用于新用户的接入。

5.根据权利要求4所述的接入点AP，其特征在于，所述AP还包括：

拒绝接入模块，用于当所述AP与所述AC失去链接，且所述新用户接入原始网络时，拒绝接入所述新用户，所述原始网络为所述AP与所述AC失去链接之前建立的网络。

6.一种基于AP和接入点控制器AC架构的系统，包括AC和如权利要求1-5任意一项所述的AP。

7.根据权利要求6所述的基于AP和接入点控制器AC架构的系统，其特征在于，所述AP还包括：

第一接收模块，用于当所述AP和所述AC恢复链接时，接收所述AC发送的网络配置文件；

第一判断模块，用于判断所述接收的网络配置文件的版本号和所述AP正在执行的网络配置文件的版本号是否一致；

第一执行模块，用于当所述第一判断模块的判断结果为是，忽略所述接收的网络配置文件；

第二执行模块，用于当所述第一判断模块的判断结果为否，根据所述接收的网络配置文件进行网络配置。

8.根据权利要求6所述的基于AP和接入点控制器AC架构的系统，其特征在于，所述AP还包括第二发送模块，用于当所述AP和所述AC恢复链接时，向所述AC发送所述AP正在执行的网络配置文件的版本号；

所述AC包括：

第二接收模块，用于接收所述AP发送的版本号；

第二判断模块，用于判断所述接收的版本号和所述AC准备发送的网络配置文件的版本号是否一致；

第三执行模块，用于当所述第二判断模块的判断结果为是，取消向所述AP发送所述准备发送的网络配置文件；

第四执行模块，用于当所述第二判断模块的判断结果为否，向所述AP发送所述准备发送的网络配置文件。

9.根据权利要求6所述的基于AP和接入点控制器AC架构的系统，其特征在于，所述AC包括：

第三获取模块，用于当所述AP和所述AC恢复链接时，获取预先存储的网络配置文件信息列表，所述网络配置文件信息列表包括所述AP当前的网络配置文件的版本号，以及所述AP当前的网络配置文件的有效时间；

第三判断模块，用于判断所述AP当前的网络配置文件的版本号和所述AC准备发送的网络配置文件的版本号是否一致；

第五执行模块，用于当所述第二判断模块的判断结果为是且当前时间在所述有效时间之内，取消向所述AP发送所述准备发送的网络配置文件；

第六执行模块，用于当所述第二判断模块的判断结果为否或者当前时间在所述有效时间之外，向所述AP发送所述准备发送的网络配置文件。

Images