CN103392333A

CN103392333A - 一种接入网络中的认证方法、设备和系统

Info

Publication number: CN103392333A
Application number: CN2011800018495A
Authority: CN
Inventors: 李克嘉; 赵胜涛
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2011-08-12
Filing date: 2011-08-12
Publication date: 2013-11-13
Also published as: WO2012119386A1

Abstract

本发明提供一种接入网络中的认证方法、设备和系统，其中方法包括：向所述多个认证服务器发送发现报文；接收认证服务器的回应报文，从所述回应报文中获取发送所述回应报文的认证服务器的MAC地址，将获取的认证服务器的MAC地址存储在认证服务器列表中；接收来自用户终端的发现报文，从所述认证服务器列表的多个MAC地址中选择一个MAC地址，根据所选择的MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。

Description

一种接入网络中的认证方法、设备和系统技术领域

本发明涉及通信领域，尤其涉及一种接入网络中的认证方法、设备和系统。背景技术

在宽带接入认证上，目前广泛使用的有两种方式：以太网承载 IP协议 (IP over Ethernet, IPOE)和以太网载点对点十办议(？0^« to Point Protocol over Ethernet, PPPOE)。

IPOE 方式认证主要是通过动态主机配置协议 (Dynamic Host Configuration Protocol, DHCP)来实现。 DHCP最初主要是针对局域网（Local Area Network, LAN) 的应用，通过用户终端上的 DHCP客户端，利用自动发现机制来尝试联系网络中的 DHCP服务器。

当 DHCP客户端第一次登录网络时，会向网络发出一个 DHCP DISCOVER 报文，由于 DHCP客户端还不知道自己属于哪一个网络，所以 DHCP DISCOVER 报文的源地址为 0.0.0.0 ，而目的地址则为 255.255.255.255，然后再附上 DHCP discover的信息，向网络进行广播。

当 DHCP服务器监听到 DHCP客户端发出的 DHCP DISCOVER报文后，会从那些还没有租出的地址范围内，选择最前面的空置 IP，连同其它 TCP/IP设定，响应给 DHCP客户端一个 DHCP OFFER报文，根据 DHCP服务器的设定， DHCP OFFER报文会包含一个租约期限的信息。

如果 DHCP客户端收到网络上多台 DHCP服务器的响应，只会挑选其中一个 DHCP OFFER (通常是最先抵达的那个），并且会向网络发送一个 DHCP REQUEST报文，告诉所有 DHCP服务器它将接受哪一台 DHCP服务器提供的 IP地址。

DHCP本身并没有用来认证的功能，但是 DHCP 可以配合其他技术实现认证，比如 DHCP+WEB方式、 DHCP+客户端方式和利用 DHCP+OPTION扩展字段进行认证，所有这些方式都统称为 DHCP+认证。用来作为 DHCP 扩展的 OPTION字段主要为 OPTION60和 OPTION82。其中 OPTION60中带有 Vendor 和 Service Option信息，是由用户终端发起 DHCP请求时携带的信息，网络设备只需要透传即可，其作用是用来识别用户终端类型，从而识别用户业务类型， DHCP服务器可以据此分配不同的业务 IP地址。而 OPTION82信息是由网络设备在用户终端发出的 DHCP报文中插入的，主要用来标识用户终端的接入位置。

PPPOE的工作流程包含发现和会话两个 P介段。

在发现（Discovery ) P介段，客户端主机广播发起 PADI报文，目的地址为以太网的广播地址， CODE字段值为 0x09， SESSION-ID(会话 ID )字段值为 0x0000。 PADI用于向接入服务器提出所要求提供的服务。

接入服务器收到 PADI报文，发送 PADO报文以响应请求。其中 CODE字段值为 0x07， SESSION-ID字段值仍为 0x0000。 PADO包含一个接入服务器名称类型的标签以及一个或多个服务名称类型标签，表明可向客户端主机提供的服务种类。

客户端主机在可能收到的多个 PADO报文中选择一个合适的 PADO，然后向所选择的接入服务器发送 PPPOE有效发现请求 PADR报文，其中 CODE字段为 0x19， SESSIONJD字段值仍为 0x0000， PADR必须包含一个服务名称类型标签，确定向接入服务器请求的服务种类。

接入服务器收到 PADR报文后准备开始 PPP会话，它发送一个 PPPOE有效发现会话确认 PADS报文。其中 CODE字段值为 0x65， SESSION-ID字段值为接入服务器所产生的一个唯一的 PPPOE会话标识号码。当客户端主机收到 PADS 确认后，双方就进入 PPP会话阶段。

由于在网络中往往使用多个 DHCP服务器或者 BRAS, 在使用 IPOE 或 PPPOE 方式做接入认证时，当一个用户拨号时，所有接到请求报文 ( DHCP DISCOVER或 PADI )的服务器都会发出响应报文（ DHCP OFFER或 PADO )。用户终端往往选择第一个接收到的 DHCP OFFER或 PADO，进行后续的会话，用户终端选择哪一个 DHCP Server或 BRAS进行后续的认证，完全依赖于哪个服务器的响应报文先到达，不能进行主动的控制，在实际使用中，受到网络转发时延等客观因素的影响，不能达到 "均担" 的效果，容易造成大部分用户集中于某个服务器的问题。发明内容

本发明一个实施例提供一种接入网络中的认证方法，所述接入网络包括多个认证服务器，所述方法包括：

向所述多个认证服务器发送发现报文；

接收认证服务器的回应报文，从所述回应报文获取发送所述回应报文的认证服务器的 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；

接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。本发明一个实施例提供一种接入设备，所述接入设备连接有多个认证服务器，所述接入设备包括：

第一网络侧端口，用于向所述多个认证服务器发送发现报文；

第二网络侧端口，用于接收认证服务器的回应报文，从所述回应报文获取发送所述回应报文的认证服务器的 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；

报文处理单元，接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。本发明一个实施例提供一种接入网络中的认证系统，包括接入设备以及多个认证服务器，所述接入设备与所述多个认证服务器相连，

所述接入设备，向所述多个认证服务器发送发现报文；接收认证服务器的回应报文，从所述回应报文获取发送所述回应报文的认证服务器的 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC 地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。

本发明实施例提供的方法、设备和装置在接入设备上做控制，可以有效的在多个认证服务器中实现可控的负荷分担；由于将用户终端的发现报文单播给对应的认证服务器，可以消除了过多的 OFFER报文，减少带宽和 CPU资源的浪费。附图说明为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图 1为本发明实施例提供的网络架构图；

图 2为本发明实施例提供的方法流程图

图 3为本发明实施例提供的方法交互图；

图 4为本发明实施例提供的方法交互图；

图 5为本发明实施例提供的接入设备的结构示意图。具体实施例

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。本发明一个实施例提供一种接入网络中的认证方法，其中接入网络如图 1 所示，在图 1中，接入设备 10连接有多个认证服务器 20、 22、 24。

本实施例提供的方法的流程图如图 2所示，包括：步骤 200、向所述多个认证服务器发送发现报文；

本实施例中，接入设备 10可以向多个认证服务器 20、22、24发送基于 DHCP 的发现报文或者基于 PPPOE的发现报文。

步骤 202、接收认证服务器的回应报文，从回应报文中获取认证服务器的 MAC地址，将获取的 MAC地址存储在认证服务器列表中；

步骤 204、接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，将来自用户终端的发现报文发送给对应的认证服务器进行认证。

具体的，接入设备可以根据连接用户终端的端口属性、认证服务器的权重属性、认证服务器的 MAC地址的奇偶性和 Hash算法中的一个或多个的组合从多个 MAC地址中选择一个 MAC地址。

本发明实施例提供的方法，可以有效的在多个认证服务器中实现可控的负荷分担；由于将用户终端的发现报文单播给对应的认证服务器，可以消除了过多的响应报文，减少带宽和 CPU资源的浪费。具体的，本发明一个实施例提供一种接入网络中的认证方法，所述接入网络如图 1所示，在图 1中，认证服务器为 DHCP server。

所述方法包括：

步骤 300、接入设备构造 DHCP DISCOVER报文在网络中广播；

接入设备构造的 DHCP DISCOVER报文的源地址为 0.0.0.0，目的地址为

步骤 302、接入设备接收 DHCP服务器的 DHCP OFFER报文，提取报文中的 MAC地址，将 MAC地址保存在认证服务器列表中；

认证服务器列表的结构可以如下表所示：

接入设备还可以从 DHCP OFFER报文中提取 DHCP Server的 IP地址，将提取的 IP地址保存在认证服务器列表中。

步骤 304、接入设备接收到用户终端发送的 DHCP DISCOVER报文；来自用户终端的 DHCP DISCOVER报文的源地址为 0.0.0.0，目的地址为

步骤 306、从认证服务器列表中选择一个 MAC 地址，将来自用户终端的 DHCP DSCOVER报文发送给对应的 DHCP Server„

具体的，接入设备将用户终端的 DHCP DISCOVER报文的目的地址替换成所选择的 MAC地址，将 DHCP DISCOVER 文单播给对应的 DHCP Server„ 在具体选择时，接入设备可以采取平均分配的方式，如将第一个用户终端的 DHCP DISCOVER报文单播给第一个 DHCP Server, 将第二个用户终端的 DHCP DISCOVER报文单播给第二 DHCP Server, 依次类推。

接入设备也可以是根据 DHCP Server的权重属性，如给每个 DHCP Server 设置一个权重值，按照权重值进行分流。比如 DHCP Server 30的权重值为 2，则连续向 DHCP Server 30单播两次 DHCP DISCOVER报文后才切换到下一个 DHCP Server。

接入设备还可以根据根据接收到 DHCP DISCOVER报文的端口的奇偶性选择一个对应的 DHCP Server,这种策略需要预先在接入设备上配置端口奇偶性与 DHCP Server的 MAC地址之间的对应关系。

接入设备还可以采取 Hash算法，根据 Hash算法的结果选择一个 MAC地址等，这种策略需要在接入设备上配置 Hash算法结果与 MAC的对应关系。

接入设备还可以采用定时分担的方式，如首先选择一个 DHCP Server, 将用户终端的 DHCP DISCOVER报文发送给该 DHCP Server, 如果超过一定时间没有接收到该 DHCP Server的 OFFER报文的话，则切换到下一个 DHCP Server。

本实施例提供的方法还可以包括：

步骤 308、定期广播 DHCP DISCOVER报文或者发送 Ping检测报文，根据收到的响应报文更新认证服务器列表。

接入设备定期广播 DHCP DISCOVER报文的时间可以设置，如 1小时发送一次等，根据收到的 OFFER报文更新认证服务器列表。

接入设备也可以对认证服务器列表中的 DHCP Server进行 Ping检测，具体可以是：设置一个计数器，向每个 DHCP Server发送 Ping探测报文，对每个 DHCP Server的响应超时次数进行计数，如果接入设备接收到某个 DHCP Server的响应消息，则将计数器清零并停止对该 DHCP Server进行 Ping检测；如果超过一定时间（如 5秒）未收到该 DHCP Server的响应消息，则将计数器加 1，并继续发送 Ping探测 4艮文，如果响应超时计数超过 3次，则认为该 DHCP Server处于异常状态。

当接入设备判定某个 DHCP Server处于异常状态时，则通知归属于该 DHCP Server 的用户终端重新申请 IP 地址，具体可以是接入设备向用户终端发送 ForceRenew报文以通知用户终端释放已申请的 IP地址并重新申请 IP地址。

本实施例提供的认证方法，通过构造 DHCP DISCOVER报文获取 DHCP Server的 MAC地址，在收到用户终端的 DHCP DISCOVER报文后，将 DHCP DISCOVER报文单播给一个 DHCP Server, 可以有效的在多个 DHCP Server中实现可控的负荷分担，还可以消除了过多的 OFFER报文，减少带宽和 CPU资源的浪费。本发明一个实施例提供一种认证方法，所提供的方法可以基于图 1的架构，其中，本实施例中的认证服务器可以是宽带远程接入服务器 (Broadband Remote Access Server, BRAS)。

所提供的方法包括：

步骤 400、接入设备构造一个 PADI报文，在网络中广播；

接入设备构造的 PADI报文，目的地址为以太网的广播地址， CODE字段值为 0x09， SESSION-ID (会话 ID )字段值为 0x0000。

步骤 402、接入设备接收回应的 PADO报文，获取 BRAS的 MAC地址，将获取的 MAC地址保存在认证服务器列表中；

本实施例中的认证服务器列表可以如下表所示：

步骤 404、接收用户终端的 PADI报文。

步骤 406、从认证服务器列表中选择一个 MAC地址，将收到的 PADI报文转发给对应的 BRAS;

接入设备在收到用户终端的 PADI报文后，将 PADI报文中的广播地址替换为所选择的 MAC地址发送给对应的 BRAS。

在具体选择时，接入设备可以采取平均分配的方式，如将第一个用户终端的 PADI报文单播给第一个 BRAS，将第二个用户终端的 PADI报文单播给第二 BRAS , 依次类推。

接入设备也可以是根据 BRAS的权重属性，如在接入设备上给每个 BRAS 设置一个权重值，按照权重值进行分流。比如 BRAS 30的权重值为 2，则连续向 BRAS 30单播两次 PADI报文后才切换到下一个 BRAS。

接入设备还可以根据根据接收到 PADI报文的端口的奇偶性选择一个对应的 BRAS，这种策略需要在接入设备上配置端口与 BRAS的 MAC的对应关系。

接入设备还可以采用定时分担的方式，如首先选择一个 BRAS ,将用户终端的 PADI报文发送给该 BRAS，如果超过一定时间没有接收到该 BRAS的 PADO 报文的话，则切换到下一个 BRAS。

接入设备还可以根据 PADI报文中的 OPTION 60信息选择对应的 MAC地址，这种策略需要在接入设备上配置 OPTION 60与 MAC的对应关系。

本实施例提供的方法还可以包括：

步骤 408、向认证服务器列表中的 BRAS发送 Ping检测报文，根据 BRAS 的响应报文更新认证服务器列表。

具体可以是，设置一个计数器，向每个 BRAS发送 Ping探测报文，发送 Ping 检测报文的间隔可以是 1秒，对每个 BRAS的响应超时次数进行计数，如果接入设备接收到某个 BRAS的响应消息，则将计数器清零并停止对该 BRAS进行 Ping检测；如果超过一定时间（如 0.5秒）未收到该 BRAS的响应消息，则将计数器加 1，并继续发送 Ping探测报文，如果响应超时计数超过 2次，则认为该 BRAS处于异常状态。

当接入设备判定某个 BRAS处于异常状态时，从认证服务器列表中删除对应的 BRAS的 MAC地址，并通知归属于该 BRAS的用户终端重新下线，具体可以是接入设备向用户终端发送 PADT报文。用户终端收到 PADT报文后会进行重新拨号。

本实施例提供的认证方法，通过构造 PADI报文获取 BRAS的 MAC地址，在收到用户终端的 PADI报文后，将 PADI报文单播给一个 BRAS, 可以有效的在多个 BRAS中实现可控的负荷分担，还可以消除了过多的 PADO报文，减少带宽和 CPU资源的浪费。本发明一个实施例提供一种接入设备，所提的接入设备连接多个认证服务器，如图 5所示，包括：

第一网络侧端口 500，用于向所述多个认证服务器发送发现报文。

第一网络侧端口 500可以向多个认证服务器发送基于 DHCP的发现报文或者基于 PPPOE的发现报文。

第二网络侧端口 502，用于接收认证服务器的回应报文，从所述回应报文中获取发送所述回应报文的认证服务器的 MAC 地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中。

本实施例中的第一网络侧端口 500还可以用于向所述多个认证服务器发送探测报文以对所述多个认证服务器的状态进行探测，根据探测结果刷新所述认证服务器列表。

具体的可以是对多个认证服务器发送 Ping探测报文，根据响应报文更新认证服务器列表。

第一网络侧端口 500还可以定期向网络广播发现报文，根据回应报文更新认证服务器列表。

报文处理单元 504，接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。

具体的，报文处理单元 504可以是在收到来自用户终端的发现报文后，将发现报文中的广播地址替换为所选择的 MAC地址后发送给对应的认证服务器。

本实施例中的接入设备可以是数字用户线路接入复用器（ Digital Subscriber Line Access Multiplexer, DSLAM )、光线路终端（Optical Line Terminal, OLT)或者综合业务接入网（Multi-Service Access Network, MSAN )设备等。

本实施例提供的接入设备，通过构造发现报文获取认证服务器的 MAC 地址，在收到用户终端的发现报文后，将发现报文单播给一个认证服务器，可以有效的在多个认证服务器中实现可控的负荷分担，还可以消除了过多的响应报文报文，减少带宽和 CPU资源的浪费。

本领域普通技术人员可以理解实现上述实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件完成，所述的程序可以存储于一计算机可读存储介质中，如 ROM/RAM、磁碟或光盘等。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内，因此，本发明的保护范围应所述以权利要求的保护范围为准。

Claims

权利要求书

1、一种接入网络中的认证方法，其特征在于，所述接入网络包括多个认证服务器，所述方法包括：

向所述多个认证服务器发送发现报文；

接收认证服务器的回应报文，从所述回应报文中获取发送所述回应报文的认证服务器的媒体访问控制 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；

接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。
2、根据权利要求 1所述的方法，其特征在于，所述发现报文为基于动态主机配置协议 DHCP的发现报文或者为基于以太网承载点对点 PPPoE协议的发现报文。
3、根据权利要求 1或 2所述的方法，其特征在于，所述根据所选择的 MAC 地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证具体包括：

将所述来自用户终端的发现报文中的广播地址替换成所选择的 MAC地址，根据所选择的 MAC 地址将来自用户的发现报文发送给对应的认证服务器以对所述用户终端进行认证。
4、根据权利要求 1-3任意一项所述的方法，其特征在于，所述方法还包括：广播探测报文，根据探测报文的回应报文刷新认证服务器列表。
5、根据权利要求 4所述的方法，其特征在于，所述方法还包括：

当判定某个认证服务器异常时，通知归属到该处理异常状态的认证服务器的用户终端重新申请 IP地址。
6、根据权利要求 1-3任意一项所述的方法，其特征在于，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址具体包括：

根据连接所述用户终端的端口属性、认证服务器的权重属性、认证服务器的 MAC地址的奇偶性和 Hash算法的结果中的一个或多个的组合从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址。
7、根据权利要求 2所述的方法，其特征在于，当所述发现报文为基于 DHCP 时，所述从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址具体包中选择一个 MAC地址。
8、一种接入设备，所述接入设备连接有多个认证服务器，其特征在于，所述接入设备包括：

第一网络侧端口，用于向所述多个认证服务器发送发现报文；

第二网络侧端口，用于接收认证服务器的回应报文，从所述回应报文中获取发送所述回应报文的认证服务器的媒体访问控制 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；

报文处理单元，接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。
9、根据权利要求 8所述的接入设备，其特征在于，所述第一网络侧端口还用于向所述多个认证服务器发送探测报文以对所述多个认证服务器的状态进行探测，根据探测结果刷新所述认证服务器列表。
10、一种接入网络中的认证系统，包括接入设备以及多个认证服务器，所述接入设备与所述多个认证服务器相连，其特征在于，

所述接入设备，向所述多个认证服务器发送发现报文；接收认证服务器的回应报文，从所述回应报文中获取发送所述回应报文的认证服务器的媒体访问控制 MAC地址，将获取的认证服务器的 MAC地址存储在认证服务器列表中；接收来自用户终端的发现报文，从所述认证服务器列表的多个 MAC地址中选择一个 MAC地址，根据所选择的 MAC地址将来自用户终端的发现报文发送给对应的认证服务器以对所述用户终端进行认证。