CN104113548A - 一种认证报文处理方法及装置 - Google Patents

Abstract

本发明提供认证报文处理方法及装置，该方法应用在网络设备上，网络设备上维护ACL，ACL中包含客户端设备的标识及优先级的对应关系，该方法包括：当认证报文速率超过认证报文处理阈值时，向端口配置ACL；当接收到客户端设备发送的认证报文时，通过认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到客户端设备的标识时，为认证报文标记与客户端设备的标识对应的优先级，当未匹配到客户端设备的标识时，丢弃认证报文；按照优先级从高到低的顺序对认证报文进行认证处理。本发明可以在解决认证报文拥塞的同时，保证部分客户端设备通过上线认证访问互联网。

Description

一种认证报文处理方法及装置

技术领域

本发明涉及网络通信技术领域，尤其涉及一种认证报文处理方法及装置。

背景技术

802.1x协议是基于Client/Server(客户端/服务器)的访问控制和认证协议，用于限制未经授权的客户端设备访问互联网。当用户要通过客户端设备访问互联网时，由客户端设备向网络设备发送认证报文，网络设备将认证报文封装后发送给RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)服务器，当RADIUS服务器对客户端设备认证通过后，允许用户访问互联网。

在上述客户端设备与网络设备交互过程中，当网络设备的端口接收到多个客户端设备发送的认证报文时，将认证报文按照接收的先后顺序发送到CPU(Central Processing Unit，中央处理器)处理，但是，当网络设备受到802.1x协议报文攻击时，会造成报文拥塞，导致长时间无法进行认证。现有技术为了防止报文拥塞，可以缓存预设数量的协议报文供CPU处理，而超过预设数量的协议报文直接丢弃，但是，由于直接丢弃的协议报文中可能包含正常的认证报文，因此导致部分正常客户端设备无法通过认证访问互联网。

发明内容

本发明提供一种认证报文处理方法及装置，以解决现有技术中因为网络设备发生协议报文拥塞，导致部分正常客户端设备无法通过认证访问互联网的问题。

根据本发明实施例的第一方面，提供一种认证报文处理方法，所述方法应用在通过与客户端设备交互实现接入网络认证的网络设备上，所述网络设备上维护访问控制列表ACL，所述ACL中包含客户端设备的标识及优先级的对应关系，所述方法包括：

当认证报文速率超过认证报文处理阈值时，向端口配置所述ACL；

当接收到客户端设备发送的认证报文时，通过所述认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到所述客户端设备的标识时，为所述认证报文标记与所述客户端设备的标识对应的优先级，当未匹配到所述客户端设备的标识时，丢弃所述认证报文；

按照优先级从高到低的顺序对所述认证报文进行认证处理。

根据本发明实施例的第二方面，提供一种报文处理装置，所述装置应用在通过与客户端设备交互实现接入网络认证的网络设备上，所述装置包括：

维护单元，用于维护ACL，所述ACL中包含客户端设备的标识及优先级的对应关系；

配置单元，用于当认证报文速率超过认证报文处理阈值时，向端口配置所述ACL；

匹配单元，用于当接收到客户端设备发送的认证报文时，通过所述认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到所述客户端设备的标识时，为所述认证报文标记与所述客户端设备的标识对应的优先级，当未匹配到所述客户端设备的标识时，丢弃所述认证报文；

处理单元，用于按照优先级从高到低的顺序对所述认证报文进行认证处理。

本发明实施例中，在网络设备上维护包含客户端设备的标识与优先级的对应关系的ACL，当发生认证报文拥塞时，通过向端口配置ACL，从而可以根据所接收认证报文与ACL的匹配结果对认证报文进行认证处理。应用本发明实施例，可以将认证通过的客户端设备的标识保存在ACL中，以便在认证报文拥塞时，控制部分客户端设备的认证报文通过匹配ACL优先发送到CPU，而其它认证报文则会因匹配不到ACL而丢弃，从而在解决认证报文拥塞的同时，保证部分客户端设备通过上线认证访问互联网。

附图说明

图1是为本发明802.1x接入认证组网示意图；

图2是本发明认证报文处理方法的一个实施例流程图；

图3是本发明认证报文处理方法的另一个实施例流程图；

图4是本发明一种实施方式中认证报文处理装置运行的硬件环境架构图；

图5是本发明认证报文处理装置的逻辑示意图。

具体实施方式

参见图1，为本发明802.1x接入认证组网示意图：

802.1x协议用于实现无线局域网内客户端设备的接入认证，参见图1，当局域网内的用户需要访问Internet时，在客户端设备上开启802.1x客户端程序，用户输入用户名和密码，客户端设备向网络设备发起连接请求，该连接请求可以为客户端设备发送的作为认证报文的802.1x协议报文，例如，EAPOL(Extensible Authentication Protocol Over LAN，基于局域网的扩展认证协议)-start报文，网络设备对认证报文进行封装处理后，发送至RADIUS服务器，当RADIUS服务器认证通过后，网络设备允许客户端设备访问Internet(互联网)。

现有技术中，当网络设备的端口接收到认证报文时，将认证报文发送到CPU进行处理，当网络设备受到802.1x协议报文攻击时，CPU的报文处理负担将加重，形成报文拥塞，从而无法对正常的认证报文进行认证处理，导致客户端设备难以接入网络。本发明中在网络设备上为进行接入网络认证的客户端设备维护ACL(Access Control List，访问控制列表)，通过在ACL中记录优先级，以便在网络设备受到802.1x协议报文攻击时，可以通过匹配ACL，按照用户优先级从高到低的顺序对认证报文进行处理，从而保证正常客户端设备通过上线认证访问互联网。

需要说明的是，本发明实施例以802.1协议认证场景为例进行描述，对于基于其他协议的认证接入场景也可以采用本发明实施例实现，对此本发明实施例不进行限制。

参见图2，为本发明认证报文处理方法的一个实施例流程图，该实施例描述了网络设备通过ACL对认证报文进行处理的过程：

步骤201：网络设备上维护ACL，该ACL中包含客户端设备的标识及优先级的对应关系。

本实施例中，客户端设备的标识以客户端设备的MAC地址为例进行描述。

其中，网络设备维护的ACL中可以包含至少一类下述ACL表项：通过管理员手动配置的静态配置表项，和根据客户端设备的认证通过次数学习的动态学习表项。

其中，静态配置表项中可以包括：管理员手动配置的客户端设备的MAC地址，以及对应的第一优先级。该静态配置表项中的MAC地址可以为VIP(VeryImportant Person，重要用户)用户认证时使用的客户端设备的MAC地址，管理员可以直接在ACL中为该客户端设备配置具有最高优先级的ACL表项，该ACL表项中包括该客户端设备的MAC地址，以及对应最高的第一优先级。本实施例中，静态配置表项可以不设置老化时间，以保证网络设备受到802.1x协议报文攻击时，可以优先对VIP用户的客户端设备发送的认证报文进行处理。

其中，动态学习表项中可以包括：已认证通过的客户端设备的MAC地址，认证通过次数，以及根据认证通过次数确定的优先级。对于已经认证通过的客户端设备，网络设备为其维护动态学习表项，并可以为该动态学习表项设置老化时间，该表项中除了包含客户端设备的MAC地址外，还包含在老化时间内的认证通过次数，以及根据认证通过次数动态调整的优先级。例如，可以设置升级阈值对优先级进行动态调整，当认证通过次数未超过升级阈值时，设置优先级为低于第一优先级的第二优先级，当认证通过次数超过升级阈值时，将第二优先级调整为第一优先级，以保证认证通过次数越多的客户端设备可以获得越高的优先级，以便在网络设备接收认证报文达到一定数量时，该客户端设备的认证报文可以优先得到处理。

步骤202：检测认证报文速率是否超过认证报文处理阈值，若是，则执行步骤203；否则，执行步骤209。

不同网络设备对认证报文的处理能力不同，通常网络设备每秒所接收认证报文的数量称为认证报文速率，设置一认证报文速率，即认证报文处理阈值，当网络设备的端口所接收认证报文的认证报文速率超过认证报文处理阈值时，表明网络设备发生了认证报文拥塞。

步骤203：向网络设备的端口配置ACL。

当网络设备检测到认证报文速率超过认证报文处理阈值时，将所维护的ACL配置给端口，由端口根据ACL表项对认证报文进行过滤。对于图1所示的网络设备，其端口配置了802.1x协议，当受到802.1x协议报文攻击时，在通过检测端口所接收报文的类型，确定802.1x协议报文的报文速率超过报文处理阈值时，可以通过端口所维护ACL对802.1x协议报文进行过滤。

步骤204：当端口接收到客户端设备发送的认证报文时，通过该认证报文中的客户端设备的标识与端口ACL进行匹配。

当端口接收到802.1x协议报文时，读取该协议报文中的源MAC地址，该源MAC地址即为发送协议报文的客户端设备的MAC地址，将源MAC地址与ACL中的MAC地址进行匹配。

步骤205：判断是否匹配到客户端设备的标识，若是，则执行步骤206；否则，执行步骤208。

步骤206：为认证报文标记与客户端设备的标识对应的优先级。

当匹配到ACL中有源MAC地址的ACL表项时，获得该ACL表项中的优先级，并为认证报文标记该优先级。标记优先级的方式可以为：分别设置不同优先级对应的不同关键字。例如，第一优先级，即高优先级对应关键字为“GREEN”，第二优先级，即中优先级对应关键字为“BLUE”；相应的，当认证报文匹配到第一优先级时，可以在认证报文中加入关键字GREEN，当认证报文匹配到第二优先级时，可以在认证报文中加入关键字BLUE。

步骤207：按照优先级从高到低的顺序对认证报文进行认证处理，结束当前流程。

步骤206中，当为认证报文标记了优先级后，可以按照优先级从高到低的顺序，将认证报文发送到CPU进行认证处理；或者，也可以将标记了优先级的认证报文直接发送到CPU，由CPU按照优先级从高到低的顺序对认证报文进行认证处理。

步骤208：丢弃该认证报文，结束当前流程。

当未匹配到ACL中有源MAC地址的ACL表项时，则直接丢弃该认证报文。具体的，可以为这类认证报文标记关键字“RED”，以便根据关键字“RED”阻止认证报文发送CPU，从而将其丢弃。

步骤209：直接对认证报文进行处理，结束当前流程。

当网络设备检测到认证报文速率未超过认证报文处理阈值时，则将其直接发送到CPU处理即可。

进一步，当认证报文速率超过认证报文处理阈值后，网络设备同时检测认证报文速率是否发生变化，当在第一时间检测到认证报文速率不超过认证报文处理阈值时，则判断从该第一时间开始的预设检测周期内，认证报文速率是否持续不超过认证报文处理阈值，若是，则删除向端口配置的ACL，从而不再限制认证报文发送CPU处理。

由上述实施例可见，应用本发明实施例，可以将在认证报文拥塞时，控制部分客户端设备的认证报文通过匹配ACL优先发送到CPU，而其它认证报文则会因匹配不到ACL而丢弃，从而在解决认证报文拥塞的同时，保证部分客户端设备通过上线认证访问互联网。

参见图3，为本发明认证报文处理方法的另一个实施例流程图，该实施例描述了网络设备维护动态学习表项的过程：

步骤301：用户A通过客户端设备A进行认证。

步骤302：网络设备判断客户端设备A是否认证通过，若是，则执行步骤303；否则，结束当前流程。

步骤303：判断ACL中是否存客户端设备A对应的动态学习表项，若否，则执行步骤304；若是，则执行步骤305。

步骤304：网络设备在ACL中添加客户端设备A对应的动态学习表项A，并在该表项A中写入客户端设备A的MAC地址，认证通过次数1，以及第二优先级，结束当前流程。

结合图1，用户A在客户端设备A上开启802.1x客户端程序，输入用户A的用户名和密码后，假设客户端设备A通过认证，则网络设备除了允许客户端设备A访问Internet外，还要在ACL中为客户端设备A添加动态学习表项A，该动态学习表项A中记录客户端设备A的MAC地址，由于是首次认证通过，因此认证通过次数为1，同时将优先级设置为中级优先级。本实施例中，可以通过设置计数器来记录认证通过次数，当初始添加动态学习表项A时，计数器的计数值为1。通常在生成客户端设备A对应的动态学习表项A时，可以为该动态学习表项A设置老化时间，在老化时间到达之前，客户端设备A每认证通过一次，计数器的计数值就加1，同时更新老化时间，在老化时间到达时，则删除该动态学习表项A。

通过为客户端设备A添加ACL表项，表示客户端设备A为在网络设备发生认证报文拥塞前，已经认证成功过，后续在网络设备发生认证报文拥塞时，可以通过匹配该ACL表项，保证客户端设备A的认证报文可以发送到CPU处理，而不会被网络设备丢弃。

步骤305：将动态学习表项中的认证通过次数加1。

步骤306：判断认证通过次数是否超过升级阈值，若是，则执行步骤307；否则，结束当前流程。

步骤307：将第二优先级调整为第一优先级，结束当前流程。

其中，第一优先级高于第二优先级。需要说明的是，本实施例中以动态学习表项中设置两级优先级为例进行描述，实际应用中，可以根据认证通过次数设置更多优先级，以便CPU可以根据不同优先级对认证报文进行有针对性的处理，对此本发明不进行限制。本发明通过维护动态学习表项中的优先级，从而在网络设备发生认证报文拥塞时，拥塞之前认证成功过的客户端设备的认证报文可以得到优先处理，以此保证部分客户端设备能够上线。

本发明一实施例提供了一种认证报文处理装置，该认证报文处理装置的实施例可以应用在网络设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在设备的CPU将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为实施例中认证报文处理装置所在网络设备的一种硬件结构图，除了图4所示的CPU、内存、端口、以及非易失性存储器之外，实施例中装置所在的设备通常还可以包括其他硬件。

参见图5，为本发明一种实施方式中认证报文处理装置的示意图：

所述装置包括：维护单元510、配置单元520、匹配单元530和处理单元540。

其中，维护单元510，用于维护ACL，所述ACL中包含客户端设备的标识及优先级的对应关系；

配置单元520，用于当认证报文速率超过认证报文处理阈值时，向端口配置所述ACL；

匹配单元530，用于当接收到客户端设备发送的认证报文时，通过所述认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到所述客户端设备的标识时，为所述认证报文标记与所述客户端设备的标识对应的优先级，当未匹配到所述客户端设备的标识时，丢弃所述认证报文；

处理单元540，用于按照优先级从高到低的顺序对所述认证报文进行认证处理。

所述装置还可以进一步包括：

判断单元550，用于当在第一时间检测到所述认证报文速率不超过所述认证报文处理阈值时，判断从所述第一时间开始的预设检测周期内，所述认证报文速率是否持续不超过所述认证报文处理阈值；

删除单元560，用于若所述认证报文速率持续不超过所述认证报文处理阈值，则删除所述端口的ACL。

在一个实现方式中：

所述ACL可以包括动态学习表项；所述维护单元510，可以具体用于当客户端设备认证通过时，若所述ACL中没有所述客户端设备对应的动态学习表项，则添加对应的动态学习表项，所述动态学习表项中写入所述客户端设备的标识，认证通过次数1，以及第二优先级；若所述ACL中存在所述客户端设备对应的动态学习表项，则将所述认证通过次数加1，并判断所述认证通过次数是否超过升级阈值，若是，则将所述第二优先级调整为第一优先级，否则，维持所述第二优先级不变；其中，所述第一优先级高于所述第二优先级。

进一步，所述ACL还可以包括：静态配置表项；其中，

所述静态配置表项包括：静态配置的客户端设备的标识以及对应的第一优先级。

在另一个实现方式中：

所述装置基于802.1x协议实现接入网络认证，所述标识为MAC地址；相应的，所述配置单元520，可以具体用于当802.1x协议报文的报文速率超过认证报文处理阈值时，向端口配置所述ACL。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

由上述实施例可见，可以将认证通过的客户端设备的标识保存在ACL中，以便在认证报文拥塞时，控制部分客户端设备的认证报文通过匹配ACL优先发送到CPU，而其它认证报文则会因匹配不到ACL而丢弃，从而在解决认证报文拥塞的同时，保证部分客户端设备通过上线认证访问互联网。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (10)

1.一种认证报文处理方法，其特征在于，所述方法应用在通过与客户端设备交互实现接入网络认证的网络设备上，所述网络设备上维护访问控制列表ACL，所述ACL中包含客户端设备的标识及优先级的对应关系，所述方法包括：

当认证报文速率超过认证报文处理阈值时，向端口配置所述ACL；

当接收到客户端设备发送的认证报文时，通过所述认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到所述客户端设备的标识时，为所述认证报文标记与所述客户端设备的标识对应的优先级，当未匹配到所述客户端设备的标识时，丢弃所述认证报文；

按照优先级从高到低的顺序对所述认证报文进行认证处理。

2.根据权利要求1所述的方法，其特征在于，所述ACL包括动态学习表项，所述动态学习表项的学习过程包括：

当客户端设备认证通过时，若所述ACL中没有所述客户端设备对应的动态学习表项，则添加对应的动态学习表项，所述动态学习表项中写入所述客户端设备的标识，认证通过次数1，以及第二优先级；

若所述ACL中存在所述客户端设备对应的动态学习表项，则将所述认证通过次数加1，并判断所述认证通过次数是否超过升级阈值，若是，则将所述第二优先级调整为第一优先级，否则，维持所述第二优先级不变；其中，所述第一优先级高于所述第二优先级。

3.根据权利要求2所述的方法，其特征在于，所述ACL还包括：静态配置表项；其中，

所述静态配置表项包括：静态配置的客户端设备的标识以及对应的第一优先级。

4.根据权利要求1所述的方法，其特征在于，所述向端口配置所述ACL后，所述方法还包括：

当在第一时间检测到所述认证报文速率不超过所述认证报文处理阈值时，判断从所述第一时间开始的预设检测周期内，所述认证报文速率是否持续不超过所述认证报文处理阈值，若是，则删除所述端口的ACL。

5.根据权利要求1至4任一所述的方法，其特征在于，所述方法基于802.1x协议实现接入网络认证，所述标识为MAC地址；

所述认证报文速率超过认证报文处理阈值具体包括：802.1x协议报文的报文速率超过认证报文处理阈值。

6.一种认证报文处理装置，其特征在于，所述装置应用在通过与客户端设备交互实现接入网络认证的网络设备上，所述装置包括：

维护单元，用于维护ACL，所述ACL中包含客户端设备的标识及优先级的对应关系；

配置单元，用于当认证报文速率超过认证报文处理阈值时，向端口配置所述ACL；

匹配单元，用于当接收到客户端设备发送的认证报文时，通过所述认证报文中的客户端设备的标识与端口ACL进行匹配，当匹配到所述客户端设备的标识时，为所述认证报文标记与所述客户端设备的标识对应的优先级，当未匹配到所述客户端设备的标识时，丢弃所述认证报文；

处理单元，用于按照优先级从高到低的顺序对所述认证报文进行认证处理。

7.根据权利要求6所述的装置，其特征在于，所述ACL包括动态学习表项；

所述维护单元，具体用于当客户端设备认证通过时，若所述ACL中没有所述客户端设备对应的动态学习表项，则添加对应的动态学习表项，所述动态学习表项中写入所述客户端设备的标识，认证通过次数1，以及第二优先级；若所述ACL中存在所述客户端设备对应的动态学习表项，则将所述认证通过次数加1，并判断所述认证通过次数是否超过升级阈值，若是，则将所述第二优先级调整为第一优先级，否则，维持所述第二优先级不变；其中，所述第一优先级高于所述第二优先级。

8.根据权利要求7所述的装置，其特征在于，所述ACL还包括：静态配置表项；其中，

所述静态配置表项包括：静态配置的客户端设备的标识以及对应的第一优先级。

9.根据权利要求6所述的装置，其特征在于，所述装置还包括：

判断单元，用于当在第一时间检测到所述认证报文速率不超过所述认证报文处理阈值时，判断从所述第一时间开始的预设检测周期内，所述认证报文速率是否持续不超过所述认证报文处理阈值；

删除单元，用于若所述认证报文速率持续不超过所述认证报文处理阈值，则删除所述端口的ACL。

10.根据权利要求6至9任意一项所述的装置，其特征在于，所述装置基于802.1x协议实现接入网络认证，所述标识为MAC地址；

所述配置单元，具体用于当802.1x协议报文的报文速率超过认证报文处理阈值时，向端口配置所述ACL。