CN104185181A - 一种基于iptables的WiFi用户接入控制方法 - Google Patents

Abstract

本发明公开了一种基于iptables的WiFi用户接入控制方法，用户在尝试连接互联网时，通过iptables包过滤系统制定一条规则，使所有需要通过WiFi网关访问互联网的数据包，在非授权状态的情况下都会被网络地址转换到WiFi网关指定的端口进行进一步验证流程，本发明解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，提供一种基于iptables的WiFi用户接入控制方法，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

Description

一种基于iptables的WiFi用户接入控制方法

技术领域

本发明涉及WiFi无线网络接入、iptables防火墙规则、用户身份认证以及HTTP技术等领域，具体的说，是一种基于iptables的WiFi用户接入控制方法。

背景技术

无线网络（WiFi）已经逐渐成为人类日常生活中不可或缺的互联网接入方式，其便捷性已经成为现代网络用户使用体验的基本要求，但是随着人类的部分生活重心逐渐由传统领域转向互联网，WiFi最初设计时所具备的用户认证方式已经越来越力不从心。

传统的WiFi认证方式通俗来讲就是“有口令有权限无身份”——即WiFi接入点管理者设置一个口令，凡是知晓该口令的用户都可以接入并使用WiFi，这样简单粗糙的认证系统会产生如下一些安全问题：

1、用户身份无法识别：凡是知道口令的用户都可以接入该WiFi，管理员根本无法识别每一个接入用户的具体身份，无法具体化管理每一个用户，只能一刀切，非常不符合当今越来越高效精确的网络使用要求；

2、口令易泄漏或被破解，更换口令成本高：WiFi所有的认证鉴别只有口令一道门槛，且所有用户共用，一旦口令泄漏需要使用新口令则所有用户都要修改自己的接入口令，且每一个用户都需要被告知新口令——增加口令的流传环节进一步导致口令泄漏，由此往复恶性循环；

3、认证方式单一，不能灵活部署：传统的WiFi认证方式由于在最初设计时没有考虑到后来的扩展性，在用户接入鉴权这一点上设计得非常不灵活，只能使用口令区分用户的合法性，在WiFi被广泛应用的情况下已经越来越受到安全上的限制。

Iptables，是与Linux内核集成的IP信息包过滤系统，该系统广泛应用于Linux系统控制IP信息包过滤和防火墙规则配置，简单来说，通过使用iptables制定相应的规则，用户可以放行或者禁止特定的数据包；也可以控制和修改通过防火墙的数据包报头，从而控制数据包的流向，即是让数据包流向用户想要的方向。

发明内容

本发明的目的在于解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，提供一种基于iptables的WiFi用户接入控制方法，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

本发明通过下述技术方案实现：一种基于iptables的WiFi用户接入控制方法，用户在尝试连接互联网时，通过iptables包过滤系统制定一条规则，使所有需要通过WiFi网关访问互联网的数据包，在非授权状态的情况下都会被网络地址转换到WiFi网关指定的端口进行进一步验证流程，解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，采用该规则，在非授权状态下通过WiFi网关访问互联网的数据包被NAT到WiFi网关指定的端口进行进一步验证流程，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

进一步的，为更好的实现本发明，一种基于iptables的WiFi用户接入控制方法，就其顺序，包括以下步骤：

步骤A：通过在WiFi网关设置iptables规则重定向未授权用户的互联网连接请求到网关本地的一个指定Web Server端口，该端口使用HTTP重定向将用户连接到指定的认证服务器上；

步骤B：用户在认证服务器上进行身份认证，认证通过后认证服务器会为用户生成一个令牌，并再次将用户HTTP重定向到步骤A中WiFi网关的Web Server端口；

步骤C：用户使用令牌向该Web Server进行验证，Web Server向认证服务器验证令牌的合法性，如果验证合法，则为用户添加iptables规则，使用户成为已授权用户，之后用户就可以使用该WiFi网关接入互联网；

步骤D：当用户长时间未使用时，从已授权用户表中删除用户，当下次用户再连接时就需要重新认证。

进一步的，为更好的实现本发明，所述已授权用户表：为iptables中的一系列规则，针对用户设备的MAC地址和该MAC地址当前使用的IP地址产生的一条规则，该条规则允许源自于该MAC地址和该IP地址的数据包通过WiFi网关传递到互联网，从而允许该用户使用WiFi连接互联网；如果当前iptables规则列表中没有这一条规则，那么当源自该MAC地址与IP地址的数据包都会被iptables修改数据包头的目的IP地址，这些数据包会被重定向到指定的端口，执行步骤A至步骤D。

进一步的，为更好的实现本发明，所述认证服务器：采用包含帐号密码认证、指纹认证、虹膜认证的认证方式，主要负责用户的身份认证，以及反馈用户认证成功或是失败。

进一步的，为更好的实现本发明，所述认证服务器：进行集中管理，多个WiFi都从一个认证服务器进行认证，便于集中管理WiFi设备和用户信息。

进一步的，为更好的实现本发明，所述进一步验证流程指：当数据包被网络地址转换到WiFi网关指定的端口后，该端口会对数据包作出相应的响应。

本发明与现有技术相比，具有以下优点及有益效果：

（1）本发明解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，采用该规则，在非授权状态下通过WiFi网关访问互联网的数据包被NAT到WiFi网关指定的端口进行进一步验证流程，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

（2）本发明极大地提高了WiFi用户接入的灵活性和安全性，并为之后进一步细粒度高效率地管理用户提供了大前提。

（3）本发明将用户的实名信息与抽象的网络连接进行了直观的关联：实名用户——帐号、密码（或指纹等）——源IP地址、源MAC地址对——网络连接，由此即可对用户的网络行为进行细粒度和针对性管理，例如某一个用户修改密码并不会影响其他用户、切断某一个用户的网络连接、限制用户或用户群访问的互联网范围等。

（4）本发明连接WiFi的用户不需要使用任何其他软件或者硬件设备，所有额外的流程都由WiFi网关和认证服务器完成，部署灵活方便，实施成本减低。

附图说明

图1为本发明流程原理图。

具体实施方式

下面结合实施例对本发明作进一步地详细说明，但本发明的实施方式不限于此。

本发明涉及WiFi无线网络接入、iptables防火墙规则、用户身份认证以及HTTP技术等多方面内容，是计算机技术在上述领域的一种综合应用。在本发明的实现过程中，会涉及到多个软件功能模块的应用。申请人认为，如在仔细阅读申请文件、准确理解本发明的实现原理和发明目的以后，在结合现有公知技术的情况下，本领域技术人员完全可以运用其掌握的软件编程技能实现本发明。

其中，在实现本发明时，涉及的主要软件功能模块有如下三种：

1、部署于WiFi网关上的iptables以及相应的规则列表：该模块主要负责以下工作——当一个数据包意图向外网（互联网）进行通讯时，例如目的地为外网的某个网站HTTP请求，检查该数据包的源地址（MAC与IP），如果这些源地址没有在已授权用户列表中，则说明该数据包来自一个未授权的用户，此时通过iptables的网络地址转换（NAT）功能将数据包重定向到WiFi网关上某个指定的Web Server，从而开始步骤A到步骤D四个步骤；

2、部署于WiFi网关的Web Server，该模块的功能分为两个阶段：

在第一个阶段，未授权用户的HTTP请求会被iptables的网络地址转换（NAT）功能重定向到本模块，此时该请求并未携带令牌内容，对于这一类请求本模块会使用HTTP重定向（如307状态码/报文）将该请求重新连接到认证服务器；

如果是第二阶段的请求，则该请求会携带表示已授权用户身份的令牌，此时本模块会使用令牌到认证服务器进行合法性验证，如果验证通过则通过iptables授予用户已认证的身份——即添加一条包含该用户MAC地址和IP地址的允许放行的iptables规则，并将用户HTTP重定向到认证服务器的认证成功页面，之后用户就可以自由使用WiFi接入互联网。

3、认证服务器：采用包含帐号密码认证、指纹认证、虹膜认证的认证方式，主要负责用户的身份认证，以及反馈用户认证成功或是失败。只要认证成功之后告知该认证服务器，该认证服务器就会生成一个令牌，用户获取该令牌后会被HTTP重定向到WiFi 网关的Web Server，在那里进行第二阶段的验证。

用户在通过WiFi进行互联网访问时涉及两种状态：非授权状态和授权状态。

非授权状态，iptables制定一条规则，在该条规则之下，凡是通过WiFi访问互联网的数据包，都会被NAT到WiFi网关指定的端口等待进一步验证，所以只要没有通过验证的连接所包含的数据包都是非授权状态，而这些数据包都会被强制要求进行验证步骤；

授权状态，当用户功过验证步骤并身份验证成功之后，WiFi网关的iptables会添加一条相应规则，即对于源自该用户所使用的源IP地址与源MAC地址的数据包不会被强制NAT到指定认证端口，而是可以正常访问互联网。

实施例1：

一种基于iptables的WiFi用户接入控制方法，用户在尝试连接互联网时，通过iptables包过滤系统制定一条规则，使所有需要通过WiFi网关访问互联网的数据包，在非授权状态的情况下都会被网络地址转换到WiFi网关指定的端口进行进一步验证流程，解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，采用该规则，在非授权状态下通过WiFi网关访问互联网的数据包被NAT到WiFi网关指定的端口进行进一步验证流程，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

实施例2：

本实施例是在上述实施例的基础上进一步优化，进一步的，为更好的实现本发明，一种基于iptables的WiFi用户接入控制方法，就其顺序，包括以下步骤：

步骤A：通过在WiFi网关设置iptables规则重定向未授权用户的互联网连接请求到网关本地的一个指定Web Server端口，该端口使用HTTP重定向将用户连接到指定的认证服务器上；

步骤B：用户在认证服务器上进行身份认证，认证通过后认证服务器会为用户生成一个令牌，并再次将用户HTTP重定向到步骤A中WiFi网关的Web Server端口；

步骤C：用户使用令牌向该Web Server进行验证，Web Server向认证服务器验证令牌的合法性，如果验证合法，则为用户添加iptables规则，使用户成为已授权用户，之后用户就可以使用该WiFi网关接入互联网；

步骤D：当用户长时间未使用时，从已授权用户表中删除用户，当下次用户再连接时就需要重新认证。

实施例3：

本实施例是在上述实施例的基础上进一步优化，进一步的，为更好的实现本发明，所述已授权用户表：为iptables中的一系列规则，针对用户设备的MAC地址和该MAC地址当前使用的IP地址产生的一条规则，该条规则允许源自于该MAC地址和该IP地址的数据包通过WiFi网关传递到互联网，从而允许该用户使用WiFi连接互联网；如果当前iptables规则列表中没有这一条规则，那么当源自该MAC地址与IP地址的数据包都会被iptables修改数据包头的目的IP地址，这些数据包会被重定向到指定的端口，执行步骤A至步骤D。

实施例4：

本实施例是在实施例2的基础上进一步优化，进一步的，为更好的实现本发明，所述认证服务器：采用包含帐号密码认证、指纹认证、虹膜认证的认证方式，主要负责用户的身份认证，以及反馈用户认证成功或是失败，实际应用中，认证方式不限于此三类，提交认证信息/答复认证结果类的认证方式在此都可行。

实施例5：

本实施例是在实施例2的基础上进一步优化，进一步的，为更好的实现本发明，所述认证服务器：进行集中管理，多个WiFi都从一个认证服务器进行认证，便于集中管理WiFi设备和用户信息，比如可以自动开启和关闭某一台WiFi，或者针对每一个WiFi使用不同的认证方式。

实施例6：

本实施例是在上述所有实施例的基础上进一步优化，进一步的，为更好的实现本发明，所述进一步验证流程指：当数据包被网络地址转换到WiFi网关指定的端口后，该端口会对数据包作出相应的响应，例如如果用户数据包请求对互联网上某网站进行HTTP访问，那此时该端口会通过HTTP重定向功能将该请求指向认证服务器。

实施例7：

如图1所示，本实施例对本发明的流程原理进行进一步的说明：

步骤1、用户已连接上WiFi，即通过传统口令方式连接WiFi，WiFi管理员将WiFi设置为不需要口令也能连接，使用本发明的认证方式，传统的认证方式可以关闭，也可以保留实现双保险，这两者并不矛盾；

步骤2、用户首次尝试通过WiFi访问连接互联网，例如HTTP请求访问某网站，此时WiFi作为网关，部署在WiFi网关上的iptables发挥作用，根据预先制定的规则将该请求通过NAT重定向到WiFi网关的Web Server端口；

步骤3、该Web Server端口通过HTTP重定向将该重定向请求连接到认证服务器，认证服务器向用户展示认证页面，等待用户输入，用户进行认证（比如最常用的输入帐号密码，或指纹，或虹膜，当然其他的认证方式也行，具体由管理员灵活制定）；

步骤4、用户通过认证后认证服务器会向用户提供一个表示认证成功的证明——即表示用户合法授权身份的令牌，之后将携带令牌的用户HTTP重定向到步骤3中的Web Server端口；

步骤5、携带认证成功的证明尝试连接互联网，用户向该Web Server展示令牌，Web Server向认证服务器验证令牌的合法性，认证服务器确认令牌合法有效后会告知Web Server，之后Web Server再次HTTP重定向用户到认证服务器，认证服务器向用户展示认证成功的页面；

步骤6、Web Server所在WiFi网关会在iptables规则中添加一条规则，该规则规定来自上述用户所使用的源IP地址和源MAC地址的连接已被授权，不再被NAT到认证服务器进行认证，从此时起用户可以自由使用该WiFi访问互联网；

步骤7、当用户长期限制网络连接或者主动断开连接一段时间后，步骤6中添加的那条规则会被取消，如此当用户再次需要连接互联网时就需要重复步骤1～6来进行身份确认。

此流程原理，不仅对用户身份进行了确认，而且将用户身份与所使用的网络连接一一对应了起来，在网络使用管理中可以细粒度地管理每个用户，比如单个用户的帐号密码修改不会影响其他用户等。而且用户的身份也由他们提供的认证信息（比如帐号密码、指纹等）进行了实名关联，为后须管理提供便捷。使WiFi这种开放网络环境成为了一个闭锁的安全网络结构。

本发明解决现有技术通过WiFi接入互联网时，用户的认证系统所涉及的安全问题，提供一种基于iptables的WiFi用户接入控制方法，使得认证流程更加安全、灵活，从而使WiFi的应用成熟度在安全以及灵活方面更进一步。

以上所述，仅是本发明的较佳实施例，并非对本发明做任何形式上的限制，凡是依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化，均落入本发明的保护范围之内。 

Claims (6)

1.一种基于iptables的WiFi用户接入控制方法，其特征在于：用户在尝试连接互联网时，通过iptables包过滤系统制定一条规则，使所有需要通过WiFi网关访问互联网的数据包，在非授权状态的情况下都会被网络地址转换到WiFi网关指定的端口进行进一步验证流程。

2.根据权利要求1所述的一种基于iptables的WiFi用户接入控制方法，其特征在于：包括以下步骤：

步骤A：通过在WiFi网关设置iptables规则重定向未授权用户的互联网连接请求到网关本地的一个指定Web Server端口，该端口使用HTTP重定向将用户连接到指定的认证服务器上；

步骤B：用户在认证服务器上进行身份认证，认证通过后认证服务器会为用户生成一个令牌，并再次将用户HTTP重定向到步骤A中WiFi网关的Web Server端口；

步骤C：用户使用令牌向该Web Server进行验证，Web Server向认证服务器验证令牌的合法性，如果验证合法，则为用户添加iptables规则，使用户成为已授权用户，之后用户就可以使用该WiFi网关接入互联网；

步骤D：当用户长时间未使用时，从已授权用户表中删除用户，当下次用户再连接时就需要重新认证。

3.根据权利要求2所述的一种基于iptables的WiFi用户接入控制方法，其特征在于：所述已授权用户表：为iptables中的一系列规则，针对用户设备的MAC地址和该MAC地址当前使用的IP地址产生的一条规则，该条规则允许源自于该MAC地址和该IP地址的数据包通过WiFi网关传递到互联网，从而允许该用户使用WiFi连接互联网；如果当前iptables规则列表中没有这一条规则，那么当源自该MAC地址与IP地址的数据包都会被iptables修改数据包头的目的IP地址，这些数据包会被重定向到指定的端口，执行步骤A至步骤D。

4.根据权利要求2所述的一种基于iptables的WiFi用户接入控制方法，其特征在于：所述认证服务器：采用包含帐号密码认证、指纹认证、虹膜认证的认证方式，主要负责用户的身份认证，以及反馈用户认证成功或是失败。

5.根据权利要求2所述的一种基于iptables的WiFi用户接入控制方法，其特征在于：所述认证服务器：进行集中管理，多个WiFi都从一个认证服务器进行认证，便于集中管理WiFi设备和用户信息。

6.根据权利要求1或2或3或4或5所述的一种基于iptables的WiFi用户接入控制方法，其特征在于：所述进一步验证流程指：当数据包被网络地址转换到WiFi网关指定的端口后，该端口会对数据包作出相应的响应。