CN104080085B - 无线网络接入双认证方法、装置和系统 - Google Patents

Abstract

本发明涉及一种无线网络接入双认证方法、装置和系统。本发明的目的是提供一种无线网络接入双认证方法、装置和系统，以满足不同的无线网络接入安全要求，有效保护网络资源。本发明的技术方案包括：控制网关检测到未通过认证的用户终端访问请求，将其重定向到认证服务器，认证服务器向该用户终端推送认证页面；认证页面采集用户终端无线网卡物理地址，要求输入用户名和密码后递交该认证页面；认证页面获取用户终端无线网卡物理地址和用户名、密码信息，并对用户终端和用户身份进行有效性双认证，通过后将该用户的权限控制列表下发到控制网关；控制网关打开用户终端的无线网络接入权限和网络资源访问权限。本发明主要涉及通信技术领域。

Description

无线网络接入双认证方法、装置和系统

技术领域

本发明涉及通信技术领域，特别是一种无线网络接入双认证方法、装置和系统。

背景技术

随着技术的发展，无线网络组网技术越来越成熟，无线网络终端设备应用越来越普及，通过无线网络接入企业内部网络已经成为一种有效、便捷的接入方式，无线终端已经成为用户访问企业内部网络信息资源的重要组成部分。

但对于企业而言，需要考虑无线网络系统应用的安全性，防止不可信的无线终端和人员接入无线网络，这已经成为无线网络应用推广过程中最重要的问题。由于无线网络使用无线电波作为数据传送的媒介，无线信号覆盖范围较广，对无线信号覆盖区域非常难控制，因此需要采用较为完备的认证识别方法来控制无线终端接入无线网络。

目前无线网络接入控制主要采用传统的认证方式，如PPPOE、802.1X、Portal等，这些传统的认证方式只能进行用户身份识别，无法对所接入使用的设备进行认证和识别，因此从接入安全性方面考虑，还是存在很大的漏洞。

发明内容

本发明要解决的技术问题是：针对上述存在的问题提供一种无线网络接入双认证方法、装置和系统，用于无线网络安全接入控制，以满足不同的无线网络接入安全要求，达到有效保护网络资源的目的。

本发明所采用的技术方案是：无线网络接入双认证方法，其特征在于，包括：

控制网关检测到未通过认证的用户终端的访问请求，强制将该请求重定向到认证服务器，认证服务器向该用户终端推送认证页面；

所述认证页面采集用户终端无线网卡物理地址，并要求用户输入用户名和密码后由用户递交该认证页面；

所述认证页面从用户递交的信息中获取用户终端无线网卡物理地址和用户名、密码信息，并对用户终端和用户身份进行有效性双认证，双认证通过后，将该用户的权限控制列表下发到控制网关；

所述控制网关根据接收到的权限控制列表打开所述用户终端的无线网络接入权限和网络资源访问权限。

控制网关检测到未通过认证的用户终端的访问请求包括：

所述控制网关根据接收到的权限控制列表，通过所述用户终端的IP地址没有在所述权限控制列表中查找到对应的记录，即所述用户终端未通过认证。

所述认证页面采集用户终端无线网卡物理地址包括：

所述认证页面根据所述用户终端IP地址从网络交换机上的Arp表中采集所述用户终端无线网卡物理地址。

所述认证服务器从用户递交的信息中获取用户终端无线网卡物理地址和用户名、密码信息，并对用户终端和用户身份进行有效性双认证包括：

所述认证页面先对用户终端进行有效性认证，根据所述认证页面采集的用户终端物理地址与认证服务器上的有效设备列表进行有效性匹配；

通过用户终端有效性认证后，所述认证页面再对用户身份进行有效性认证，根据用户在所述认证页面输入的用户名和密码与认证服务器上的有效用户列表进行有效性匹配。

在所述用户终端通过有效性认证之后，还包括：

根据用户终端与网段绑定的预设条件，检测所述用户终端是否允许接入当前网段。

在所述用户身份通过有效性认证之后，还包括：

认证页面根据预设的接入控制要求，与认证服务器交互检测该用户终端与用户绑定设置。

双认证通过后，将该用户的权限控制列表下发到控制网关包括：

所述用户终端和用户身份通过双认证后，所述认证页面从认证服务器的权限控制列表中获取该用户对应的权限控制列表，并将其和用户终端的IP地址一起下发到控制网关。

所述控制网关根据接收到的权限控制列表打开所述用户终端的无线网络接入权限和网络资源访问权限包括：

所述控制网关把所述认证页面下发的用户终端IP地址和权限控制列表添加到所述控制网关内部的权限控制列表，对所述用户终端的访问请求进行控制；

同时记录所述用户终端的无流量时间，到达预设值后，将从所述控制网关中删除所述用户终端的权限控制列表，强制所述用户终端下线。

一种无线网络接入双认证装置，其特征在于，包括：

采集输入单元，用于采集用户终端的无线网卡物理地址，提供用户输入用户名和密码的输入框，并对输入信息及格式进行合法性检查，通过检查后才允许用户对认证页面进行递交；

双认证单元，用于对用户递交的信息进行用户终端和用户身份的有效性双认证；

权限控制单元，用户终端通过双认证后，先从认证服务器上获取所述用户终端对应的权限控制列表，再把用户终端的IP地址和对应的权限控制列表下发到控制网关。

所述双认证单元根据预设的用户终端与网段、用户的绑定配置进行接入控制，以适应不用的应用场景对无线网络安全接入的要求。

所述双认证单元包括：

用户终端认证模块，将所采集到的用户终端无线网卡物理地址与认证服务器上的有效用户终端列表中物理地址字段进行匹配，如果存在匹配项即认证成功，根据用户终端与网段绑定设置进行接入控制或进行用户身份认证；

用户身份认证模块，将用户输入的用户名和密码与认证服务器上的有效用户列表中的用户名和密码字段进行匹配，如果存在匹配项即认证成功，根据用户终端与用户绑定设置进行接入控制或下发权限控制列表到控制网关。

所述权限控制单元包括：

权限获取单元，用于从认证服务器的权限控制列表中获取该用户对应的权限控制列表；

权限下发单元，用于将用户终端的IP地址和对应的权限控制列表下发到控制网关。

一种无线网络接入双认证系统，其特征在于，包括：

控制网关，用于检测用户终端访问是否通过认证，对未通过认证的访问请求重定向到认证服务器，对通过认证的访问请求检测是否满足权限控制列表要求，如果满足则允许访问请求，如果不满足则阻断该访问请求；根据接收到的用户终端IP地址和权限控制列表，添加所述IP地址的权限控制列表；对用户终端无流量持续时间进行计时，到达预设值后强制所述用户终端下线；

认证服务器，检测到被重定向到本设备的访问请求时，向所述访问请求对应的用户终端推送认证页面；在进行双认证时提供有效用户终端列表和有效用户列表，管理用户终端与网段绑定以及用户终端与用户绑定的预设信息；

无线网络接入双认证装置，用于采集用户终端无线网卡物理地址，提供用户输入用户名和密码的输入框、输入信息及格式进行合法性检查和递交认证页面；对用户终端和用户身份信息进行双认证，同时根据预设的用户终端与网段、用户绑定配置进行接入控制；通过双认证和接入控制后，将该所述用户终端的IP地址和权限控制列表下发到控制网关。

所述无线网络接入双认证装置包括：

采集输入单元，用于采集用户终端的无线网卡物理地址，提供用户输入用户名和密码的输入框，并对输入信息及格式进行合法性检查，通过检查后才允许用户对认证页面进行递交；

双认证单元，一方面用于对用户递交的信息进行用户终端和用户身份的有效性双认证，另一方面根据预设的用户终端与网段、用户的绑定配置进行接入的控制，以适应不用的应用场景对无线网络安全接入的要求；

权限控制单元，用户终端通过双认证后，一方面从认证服务器上获取所述用户终端对应的权限控制列表，另一方面把用户终端的IP地址和对应的权限控制列表下发到控制网关。

所述双认证单元包括：

用户终端认证模块，将所采集到的用户终端无线网卡物理地址与认证服务器上的有效用户终端列表中物理地址字段进行匹配，如果存在匹配项即认证成功，进入用户终端与网段绑定设置进行接入控制或进行用户身份认证；

用户身份认证模块，将用户输入的用户名和密码与认证服务器上的有效用户列表中的用户名和密码字段进行匹配，如果存在匹配项即认证成功，进入用户终端与用户绑定设置进行接入控制或下发权限控制列表到控制网关。

所述权限控制单元包括：

权限获取单元，用于从认证服务器的权限控制列表中获取该用户对应的权限控制列表；

权限下发单元，用于将用户终端的IP地址和对应的权限控制列表下发到控制网关。

本发明的有益效果是：通过使用本发明，接入无线网络的用户终端都需要通过有效性双认证，正确识别接入无线网络的用户终端和用户身份，从而达到有效控制用户终端的接入和网络资源访问控制。同时在双认证过程中，通过设定启用用户终端与网段绑定和(或)用户终端与用户绑定，一方面可以适应不同的安全接入要求，另一方面可以精确控制用户终端的接入和网络资源访问。

附图说明

图1是本发明中无线网络接入双认证方法的流程图。

图2是本发明中无线网络接入双认证方法应用的一种网络场景示意图。

图3是本发明无线网络接入双认证方法的信令流程图。

图4是本发明中无线网络接入双认证系统的结构示意图。

图5是本发明中无线网络接入双认证系统中控制网关的结构示意图。

图6是本发明中无线网络接入双认证系统中认证服务器的结构示意图。

图7是本发明中无线网络接入双认证装置的结构示意图。

具体实施方式

本发明的核心思想在于：用户终端接入无线网络访问网络资源时，控制网关判断该终端是否通过认证，如果没有，则所述用户终端请求被强制重定向到认证服务器，认证服务器向用户终端推送认证页面，只有通过用户终端和用户身份有效性双认证后，才能根据预设权限控制列表控制所述用户终端进行网络资源访问。

如图1所示，该无线网络接入双认证方法包括：

S101、控制网关判断用户终端是否已经通过双认证，如果没有，把访问请求重定向到认证服务器。

S102、认证服务器收到被重定向到本设备(即认证服务器)的访问请求后，向用户终端推送认证页面。

S103、认证页面在用户终端浏览器上进行显示，通过用户终端的IP地址到网络交换机上ARP表中采集对应的无线网卡物理地址，同时要求用户在认证页面上输入用户名和密码，并递交认证页面。

S104、认证页面与认证服务器交互，通过采集到的无线网卡物理地址与有效用户终端列表进行匹配，如果存在匹配项，即该用户终端有效，接着利用用户终端的IP地址与该用户允许接入的网段绑定信息进行检测，如果检测成功，则用户终端认证通过。

S105、认证页面与认证服务器交互，通过用户输入的用户名和密码与有效用户列表进行匹配，如果存在匹配项，即该用户身份有效，接着利用用户终端与用户绑定信息进行检测，如果检测成功，则用户身份认证通过。

S106、用户终端通过双认证后，认证页面与认证服务器交互，获得该用户的权限控制列表，并把该用户终端的IP地址和权限控制列表下发到控制网关上，控制网关根据所述权限控制列表打开该用户终端的无线网络接入权限和网络资源访问权限。

本发明中无线网络接入双认证方法应用的网络场景如图2所示，包括认证服务器、控制网关、网络交换机、无线接入点和无线接入的用户终端。用户终端通过无线接入点发射的无线信号接入无线网络，打开浏览器输入网址请求网络资源，控制网关检测到该请求后，根据该请求中用户终端IP地址判断是否通过双认证，如果有，根据权限进行控制访问请求，如果没有，则将该访问请求重定向到认证服务器，认证服务器向用户终端推送认证页面，认证页面完成对用户终端盒用户身份的双认证，通过双认证后，认证页面把用户终端IP地址和用户对应的权限控制列表下发到控制网关，并提示用户双认证通过。

如图3所示，本实施例无线网络接入双认证方法包括：

S301、用户终端通过浏览器输入任意网站地址，向控制网关发送访问该地址的请求。

S302、控制网关根据该访问请求中的IP地址判断该用户终端是否通过认证，如果已经通过认证，通过权限控制列表对该访问请求进行处理，如何没有认证则将该访问请求重定向到认证服务器。

S303、认证服务器检测到被重定向到本设备(认证服务器)的访问请求，向发出该访问请求的用户终端推送双认证页面。

S304、双认证页面在用户终端的浏览器中进行展示，根据用户终端的IP地址从网络交换机的ARP表中采集该用户终端对应的无线网卡物理地址。

S305、用户在认证页面中输入用户名和密码，并递交该认证页面。

S306、认证页面把采集到的用户终端无线网卡物理地址发送到认证服务器上，对用户终端进行有效性认证。

S307、认证服务器把该用户终端无线网卡物理地址与有效用户终端列表中的无线网卡物理地址进行匹配，并把用户终端认证结果返回给认证页面。

S308、认证页面根据预设的接入控制要求，与认证服务器交互检测该用户终端与网段绑定设置。

S309、认证服务器根据用户终端IP地址和用户终端与网段绑定设置进行检测，如果该IP地址在该用户终端允许接入的网段范围内，则返回允许接入的检测结果给认证页面，否则返回不允许接入的检测结果给认证页面。

S310、认证页面把用户名和密码发送到认证服务器上，对用户身份进行有效认证。

S311、认证服务器把该用户名和密码与有效用户列表进行匹配，把用户身份认证结果返回给认证页面。

S312、认证页面根据预设的接入控制要求，与认证服务器交互检测该用户终端与用户绑定设置。

S313、认证服务器根据用户终端和用户绑定设置进行检测，如果存在匹配项，则返回允许接入的检测结果给认证页面，否则返回不允许接入的检测结果给认证页面。

S314、认证页面向认证服务器发起获取该用户的权限控制列表。

S315、认证服务器将该用户的权限控制列表返回给认证页面。

S316、认证页面将该用户终端的IP地址和对应的权限控制列表下发到控制网关。

S317、认证页面通知用户双认证成功，并已接入无线网络。

S318、控制网关记录用户终端无流量持续时间，到达预设值后，强制该用户终端下线。

如图4所示，无线网络接入双认证系统，包括：

控制网关410，用于检测用户终端访问是否通过认证，对未通过认证的访问请求重定向到认证服务器，对通过认证的访问请求检测是否满足权限控制列表要求，如果满足则允许访问请求，如果不满足则阻断该访问请求；根据接收到的用户终端IP地址和权限控制列表，在本设备(即控制网关)上添加所述IP地址的权限控制列表；对用户终端无流量持续时间进行计时，到达预设值后强制所述用户终端下线；

认证服务器420，检测到被重定向到本设备的访问请求时，向所述访问请求对应的用户终端推送认证页面；在进行双认证时提供有效用户终端列表和有效用户列表，管理用户终端与网段绑定以及用户终端与用户绑定的预设信息；

无线网络接入双认证装置430，用于采集用户终端无线网卡物理地址，提供用户输入用户名和密码的输入框、输入信息及格式进行合法性检查和递交认证页面；对用户终端和用户身份信息进行双认证，同时根据预设的用户终端与网段、用户绑定配置进行接入控制；通过双认证和接入控制后，将该所述用户终端的IP地址和权限控制列表下发到控制网关。

如图5所示，所述控制网关包括：

检测访问请求单元510，用于检测用户终端访问是否通过认证，对通过认证的访问请求检测是否满足权限控制列表要求，如果满足则允许访问请求，如果不满足则阻断该访问请求；

重定向单元520，对未通过认证的访问请求重定向到认证服务器；

开通用户权限单元530，根据接收到的用户终端IP地址和权限控制列表，添加所述IP地址的权限控制列表；

持续无流量计时单元540，对用户终端无流量持续时间进行计时；

强制下线单元550，当无流量持续时间到达预设值后，用于强制所述用户终端下线。

如图6所示，所述认证服务器包括：

检测重定向单元610，实时监测由控制网关递交的认证请求；

推送双认证页面单元620，根据认证请求中的用户终端IP地址，向该用户终端推送双认证页面；

有效用户终端列表处理单元630，根据无线网络接入双认证装置采集到的用户终端无线网卡物理地址与有效用户终端列表进行匹配，如果有匹配项则该用户终端有效，否则无效；

用户终端与网段绑定处理单元640，根据用户终端的IP地址与网段绑定设置进行匹配，如果有匹配项则该用户终端有效，否则无效；

有效用户身份列表处理单元650，根据无线网络接入双认证装置采集到的用户名和密码与有效用户身份列表进行匹配，如果有匹配项则该用户有效，否则无效；

用户终端与用户绑定设置处理单元660，根据用户终端当前所使用的用户与用户绑定设置进行匹配，如果有匹配项则该用户可使用该终端，否则无效；

用户权限控制列表处理单元670，通过上述认证后，从权限控制列表中获得该用户的权限列表；

有效用户终端列表，主要存放允许接入无线网络的用户终端，主要内容包括用户终端的编号、名称、生产厂商、登记日期、无线网卡物理地址、使用用户、可使用网段和用户绑定标识。

有效用户身份列表，主要存放用户身份认证信息，主要内容包括用户的编号、用户名、姓名、密码、登记日期和有效期。

权限控制列表，主要存放用户能访问网络资源的权限信息，主要内容包括用户名、网络资源，是否授权、授权日期和有效期。

如图7所示，无线网络接入双认证装置，运行于用户终端侧显示的页面中，包括：

采集输入单元710，用于采集用户终端的无线网卡物理地址，提供用户输入用户名和密码的输入框，并对输入信息及格式进行合法性检查，通过检查后才允许用户对认证页面进行递交；

双认证单元720，一方面用于对用户递交的信息进行用户终端和用户身份的有效性双认证，另一方面根据预设的用户终端与网段、用户的绑定配置进行接入的控制，以适应不用的应用场景对无线网络安全接入的要求；

权限获取单元730，用户终端通过双认证和接入控制后，用于从认证服务器的权限控制列表中获取该用户对应的权限控制列表；

权限下发单元740，用于将用户终端的IP地址和对应的权限控制列表下发到控制网关。

所述采集输入单元710包括相互连接的采集无线网卡物理地址单元711和身份信息输入和页面递交单元712；双认证单元720包括依次相连的用户终端有效性认证单元721、检测用户终端与网段绑定设置单元722、用户身份有效性认证单元723和检测用户终端与用户绑定设置单元724。

Claims (3)

1.一种无线网络接入双认证方法，其特征在于，包括：

控制网关检测到未通过认证的用户终端的访问请求，强制将该请求重定向到认证服务器，认证服务器向该用户终端推送认证页面；

所述认证页面采集用户终端无线网卡物理地址，并要求用户输入用户名和密码后由用户递交该认证页面；

所述认证页面从用户递交的信息中获取用户终端无线网卡物理地址和用户名、密码信息，并对用户终端和用户身份进行有效性双认证，双认证通过后，将该用户的权限控制列表下发到控制网关；

所述控制网关根据接收到的权限控制列表打开所述用户终端的无线网络接入权限和网络资源访问权限；

控制网关检测到未通过认证的用户终端的访问请求包括：

所述控制网关根据接收到的权限控制列表，通过所述用户终端的IP地址没有在所述权限控制列表中查找到对应的记录，即所述用户终端未通过认证；

所述认证页面采集用户终端无线网卡物理地址包括：

所述认证页面根据所述用户终端IP地址从网络交换机上的Arp表中采集所述用户终端无线网卡物理地址；

所述认证服务器从用户递交的信息中获取用户终端无线网卡物理地址和用户名、密码信息，并对用户终端和用户身份进行有效性双认证包括：

所述认证页面先对用户终端进行有效性认证，根据所述认证页面采集的用户终端物理地址与认证服务器上的有效设备列表进行有效性匹配；

通过用户终端有效性认证后，所述认证页面再对用户身份进行有效性认证，根据用户在所述认证页面输入的用户名和密码与认证服务器上的有效用户列表进行有效性匹配；

在所述用户终端通过有效性认证之后，还包括：

根据用户终端与网段绑定的预设条件，检测所述用户终端是否允许接入当前网段；

在所述用户身份通过有效性认证之后，还包括：

认证页面根据预设的接入控制要求，与认证服务器交互检测该用户终端与用户绑定设置。

2.根据权利要求1所述的无线网络接入双认证方法，其特征在于：双认证通过后，将该用户的权限控制列表下发到控制网关包括：

所述用户终端和用户身份通过双认证后，所述认证页面从认证服务器的权限控制列表中获取该用户对应的权限控制列表，并将其和用户终端的IP地址一起下发到控制网关。

3.根据权利要求1所述的无线网络接入双认证方法，其特征在于：所述控制网关根据接收到的权限控制列表打开所述用户终端的无线网络接入权限和网络资源访问权限包括：

所述控制网关把所述认证页面下发的用户终端IP地址和权限控制列表添加到所述控制网关内部的权限控制列表，对所述用户终端的访问请求进行控制；

同时记录所述用户终端的无流量时间，到达预设值后，将从所述控制网关中删除所述用户终端的权限控制列表，强制所述用户终端下线。