CN104506524A - 区分用户域且对网络接入服务器透明的aaa系统及方法 - Google Patents

Abstract

本发明涉及数据通信技术。本发明解决了现有划分用户域后NAS设备需要借助第三方域名解析系统来解析用户域以此确定服务器的问题，提供了一种区分用户域且对网络接入服务器透明的AAA系统及方法，其技术方案可概括为：区分用户域且对网络接入服务器透明的AAA系统中，客户端发送用户请求信息给网络接入服务器，该用户请求信息包括方法列表名、请求动作及请求业务，方法列表名采用用户输入信息中的用户域信息；网络接入服务器中预设有方法列表及配置所有处理服务器，接收用户请求信息，将其与方法列表进行匹配，匹配成功选择对应的请求处理方式。本发明的有益效果是：实现更加灵活，适应性更强，适用于AAA系统。

Description

区分用户域且对网络接入服务器透明的AAA系统及方法

技术领域

本发明涉及数据通信技术，特别涉及安全访问控制技术。

背景技术

目前大多数的访问安全控制都是采用统一服务器部署的方法，统一定义为一个默认的域，这种应用安全性很低，难以保证用户信息的机密性，另外也难以实现对高优先级用户资源的优先保证，划分用户域可以将不同类型的用户划分在不同的域中，不同的域对应不同的服务器，用户只能向其域对应的服务器发起认证、授权及统计等。

传统的域名应用场景中，NAS(Network Access Server，网络接入服务器)设备需要借助第三方域名解析系统来解析用户域以此确定服务器，这种方式使得NAS设备的处理性能较低，开销较大。

发明内容

本发明的目的就是克服目前划分用户域后NAS设备需要借助第三方域名解析系统来解析用户域以此确定服务器的缺点，提供一种区分用户域且对网络接入服务器透明的AAA系统及方法。

本发明解决其技术问题，采用的技术方案是，区分用户域且对网络接入服务器透明的AAA系统，包括处理服务器、网络接入服务器及客户端，所述客户端与网络接入服务器连接，处理服务器与网络接入服务器连接，其特征在于，

所述客户端，用于根据用户输入信息制作用户请求信息，所述用户请求信息包括方法列表名及具体请求，所述具体请求中至少包括请求动作及请求业务，所述方法列表名采用用户输入信息中的用户域信息，将用户请求信息发送给网络接入服务器，接收网络接入服务器反馈的处理结果并根据处理结果进行相应处理；

所述网络接入服务器，预设有方法列表及对应所有处理服务器，所述方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，所述方法列表名与请求动作、请求业务及请求处理方式相关联，接收客户端发送来的用户请求信息，将用户请求信息与方法列表进行匹配，匹配成功选择对应的请求处理方式，将该用户请求信息中的具体请求发送到对应的处理服务器进行处理，接收处理服务器的反馈并处理后反馈给客户端；

所述处理服务器，用于处理网络接入服务器传输来的具体请求，将处理结果反馈给网络接入服务器。

具体的，所述请求动作为认证或授权或统计，网络接入服务器对所述请求动作的处理不需要关注用户所属域信息。

进一步的，所述用户输入信息至少包括请求动作，当请求动作为认证时，用户输入信息还包括用户名信息，用户名信息中包括用户域信息及用户ID，客户端若发送的请求动作为认证时，其接收到反馈的处理结果若为认证通过，则记录该用户名信息，若为认证无效则不进行记录。

具体的，所述请求业务为远程登陆或802.1X或PPP(Point to Point Protocol)。

再进一步的，所述方法列表中，一个方法列表名及请求动作、请求业务关联一个请求处理方式或按顺序关联多个请求处理方式，当网络接入服务器匹配成功获取到多个请求处理方式时，根据预设的顺序选择请求处理方式，当在先请求处理方式对应的处理服务器不可用时，按顺序选择下一个请求处理方式。

再进一步的，所述处理服务器包括本地服务器和/或远端服务器。

具体的，所述远端服务器为全局服务器或私有服务器。

再进一步的，所述配置所有处理服务器是指：网络接入服务器中保存有所有处理服务器中各远端服务器的地址、端口号及共享密钥，并按顺序定义处理服务器中的本地处理服务器及各个远端服务器，当网络接入服务器所选择的请求处理方式对应的处理服务器中的在先定义的本地服务器或远端服务器不可用时，按顺序选择下一个定义的本地服务器或远端服务器。

具体的，所述请求处理方式为本地处理或对应的处理服务器中远端服务器的端口号或地址。

区分用户域且对网络接入服务器透明的AAA系统的处理方法，其特征在于，应用于上述区分用户域且对网络接入服务器透明的AAA系统，包括以下步骤：

A.用户使用客户端输入用户输入信息，用户输入信息中至少包括请求动作，所述请求动作为认证或其他动作，当请求动作为认证时，用户输入信息还包括用户名信息，所述用户名信息中包括用户域信息及用户ID，进入步骤B，当请求动作为其他动作时，进入步骤C；

B.客户端提取用户名信息中的用户域信息及用户ID，将用户域信息作为方法列表名，制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，将该用户请求信息发送给网络接入服务器，进入步骤D；

C.客户端根据用户输入信息制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，该用户名信息为客户端中记录的用户名信息，方法列表名采用客户端中记录的用户名信息中的用户域信息，将该用户请求信息发送给网络接入服务器，进入步骤D；

D.网络接入服务器根据接收到的用户请求信息中的方法列表名及具体请求中的请求动作及请求业务与其预设的方法列表进行匹配，所述方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，所述方法列表名与请求动作、请求业务及请求处理方式相关联，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为此次请求无效并告知原因，进入步骤H；

E.网络接入服务器将该具体请求发送给匹配出的请求处理方式对应的处理服务器；

F.处理方处理网络接入服务器传输来的具体请求，处理服务器将其处理结果反馈给网络接入服务器；

G.网络接入服务器接收处理服务器反馈的处理结果并处理后反馈给客户端；

H.客户端接收到网络接入服务器反馈的处理结果，若处理结果为认证通过，则记录之前发送的用户请求信息中的用户名信息，若处理结果为认证无效则不进行记录并提示用户，若为其他处理结果则进行相应呈现。

具体的，步骤D包括以下步骤：

D1.网络接入服务器根据接收到的用户请求信息中的方法列表名匹配预设的方法列表，若匹配成功则进入步骤D2，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H；

D2.网络接入服务器根据用户请求信息中具体请求中的请求动作及请求业务与预设的方法列表中该方法列表名相关联的请求动作及请求业务进行匹配，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H。

本发明的有益效果是，通过上述区分用户域且对网络接入服务器透明的AAA系统及方法，可对用户划分用户域，使得各个用户域的用户相互独立，互不干扰，对各个用户域的服务器(即方法列表中方法列表名相关联的请求处理方式对应的处理服务器)也可以根据其用户类对应的安全级别做一些区分对待，重点用户域重点防护，也防止了攻击者通过一些普通用户权限侵犯更高级用户的信息，且用户域的处理对网络接入服务器是透明的，使得网络接入服务器不用借助域名解析系统，实现更加灵活，适应性更强，且由于通常在现有不分用户域的应用环境中也会部署多个服务器作为备份服务器，划分域后不会额外增加很多服务器数量，甚至不需要增加，另外不分用户域的环境中运行服务器的负荷很重，而备份服务器长期处于空闲状态，区分用户域后相当于将任务分配到了每一个服务器上，使得服务器资源得到了充分利用，同时也可以根据实际需求使各个用户域之间实现相互备份。

附图说明

图1是本发明实施例中区分用户域且对网络接入服务器透明的AAA系统的系统框图。

图2为本发明实施例中客户端用户域的划分示意图。

图3为本发明实施例中网络接入服务器的处理服务器定义示意图。

具体实施方式

下面结合实施例及附图，详细描述本发明的技术方案。

本发明的区分用户域且对网络接入服务器透明的AAA系统包括处理服务器、网络接入服务器及客户端，客户端与网络接入服务器连接，处理服务器与网络接入服务器连接，其中，客户端用于根据用户输入信息制作用户请求信息，将用户请求信息发送给网络接入服务器，接收网络接入服务器反馈的处理结果并根据处理结果进行相应处理，该用户请求信息包括方法列表名及具体请求，具体请求中至少包括请求动作及请求业务，方法列表名采用用户输入信息中的用户域信息；网络接入服务器中预设有方法列表及配置所有处理服务器，方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，方法列表名与请求动作、请求业务及请求处理方式相关联，网络接入服务器接收客户端发送来的用户请求信息，将用户请求信息与方法列表进行匹配，匹配成功选择对应的请求处理方式，将该用户请求信息中的具体请求发送到对应的处理服务器进行处理，接收处理服务器的反馈并处理后反馈给客户端；处理服务器用于处理网络接入服务器传输来的具体请求，将处理结果反馈给网络接入服务器。

本发明所述的区分用户域且对网络接入服务器透明的AAA系统的处理方法，应用于上述区分用户域且对网络接入服务器透明的AAA系统，首先用户使用客户端输入用户输入信息，用户输入信息中至少包括请求动作，该请求动作为认证或其他动作，当请求动作为认证时，用户输入信息还包括用户名信息，用户名信息中包括用户域信息及用户ID，则此时客户端提取用户名信息中的用户域信息及用户ID，将用户域信息作为方法列表名，制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，具体请求包括用户名信息、请求动作及请求业务，客户端将该用户请求信息发送给网络接入服务器，当请求动作为其他动作时，客户端根据用户输入信息制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，此时用户名信息为客户端中记录的用户名信息，方法列表名采用客户端中记录的用户名信息中的用户域信息，将该用户请求信息发送给网络接入服务器，网络接入服务器根据接收到的用户请求信息中的方法列表名及具体请求中的请求动作及请求业务与其预设的方法列表进行匹配，该预设的方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，方法列表名与请求动作、请求业务及请求处理方式相关联，若匹配成功则得到对应的请求处理方式，将该具体请求发送给匹配出的请求处理方式对应的处理服务器，处理服务器处理网络接入服务器传输来的具体请求，处理服务器将其处理结果反馈给网络接入服务器，网络接入服务器接收处理服务器反馈的处理结果并处理后反馈给客户端，若匹配失败则反馈客户端处理结果为此次请求无效并告知原因，当客户端接收到网络接入服务器反馈的处理结果时，若处理结果为认证通过，则记录之前发送的用户请求信息中的用户名信息，若处理结果为认证无效则不进行记录并提示用户，若为其他处理结果则进行相应呈现。

实施例

如图1为本发明实施例中区分用户域且对网络接入服务器透明的AAA系统的系统框图。其由处理服务器、网络接入服务器及客户端组成，其中，客户端与网络接入服务器连接，处理服务器与网络接入服务器连接，这里，客户端用于根据用户输入信息制作用户请求信息，将用户请求信息发送给网络接入服务器，接收网络接入服务器反馈的处理结果并根据处理结果进行相应处理，该用户请求信息包括方法列表名及具体请求，具体请求中至少包括请求动作及请求业务，方法列表名采用用户输入信息中的用户域信息；网络接入服务器中预设有方法列表及配置所有处理服务器，方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，方法列表名与请求动作、请求业务及请求处理方式相关联，网络接入服务器接收客户端发送来的用户请求信息，将用户请求信息与方法列表进行匹配，匹配成功选择对应的请求处理方式，将该用户请求信息中的具体请求发送到对应的处理服务器进行处理，接收处理服务器的反馈并处理后反馈给客户端；处理服务器用于处理网络接入服务器传输来的具体请求，将处理结果反馈给网络接入服务器。

具体的，请求动作可以为认证或授权或统计等具体的请求动作，用户输入信息至少包括请求动作，当请求动作为认证时，用户输入信息还需要包括用户名信息，用户名信息中包括用户域信息及用户ID，客户端若发送的请求动作为认证时，其接收到反馈的处理结果若为认证通过，则记录该用户名信息，若为认证无效则不进行记录。请求业务为远程登陆或802.1X或PPP等客户端业务。方法列表中，一个方法列表名及请求动作、请求业务关联一个请求处理方式或按顺序关联多个请求处理方式，当网络接入服务器匹配成功获取到多个请求处理方式时，根据预设的顺序选择请求处理方式，当在先请求处理方式对应的处理服务器不可用时，按顺序选择下一个请求处理方式。处理服务器可以为本地服务器和/或远端服务器，其中，远端服务器为全局服务器或私有服务器，而配置所有处理服务器是指：网络接入服务器中保存有所有处理服务器中各远端服务器的地址、端口号及共享密钥，并按顺序定义处理服务器中的本地处理服务器及各个远端服务器，当网络接入服务器所选择的请求处理方式对应的处理服务器中的在先定义的本地服务器或远端服务器不可用时，按顺序选择下一个定义的本地服务器或远端服务器，具体的请求处理方式可以为本地处理或对应的处理服务器中远端服务器的端口号或地址。

本发明实施例中应用于上述区分用户域且对网络接入服务器透明的AAA系统的处理方法，具体步骤如下：

A.用户使用客户端输入用户输入信息，用户输入信息中至少包括请求动作，所述请求动作为认证或其他动作，当请求动作为认证时，用户输入信息还包括用户名信息，所述用户名信息中包括用户域信息及用户ID，进入步骤B，当请求动作为其他动作时，进入步骤C；

B.客户端提取用户名信息中的用户域信息及用户ID，将用户域信息作为方法列表名，制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，将该用户请求信息发送给网络接入服务器，进入步骤D；

C.客户端根据用户输入信息制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，该用户名信息为客户端中记录的用户名信息，方法列表名采用客户端中记录的用户名信息中的用户域信息，将该用户请求信息发送给网络接入服务器，进入步骤D；

D.网络接入服务器根据接收到的用户请求信息中的方法列表名及具体请求中的请求动作及请求业务与其预设的方法列表进行匹配，所述方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，所述方法列表名与请求动作、请求业务及请求处理方式相关联，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为此次请求无效并告知原因，进入步骤H；

本步骤可以具体为：

D1.网络接入服务器根据接收到的用户请求信息中的方法列表名匹配预设的方法列表，若匹配成功则进入步骤D2，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H；

D2.网络接入服务器根据用户请求信息中具体请求中的请求动作及请求业务与预设的方法列表中该方法列表名相关联的请求动作及请求业务进行匹配，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H。

E.网络接入服务器将该具体请求发送给匹配出的请求处理方式对应的处理服务器；

F.处理服务器处理网络接入服务器传输来的具体请求，处理服务器将其处理结果反馈给网络接入服务器；

G.网络接入服务器接收处理服务器反馈的处理结果并处理后反馈给客户端；

H.客户端接收到网络接入服务器反馈的处理结果，若处理结果为认证通过，则记录之前发送的用户请求信息中的用户名信息，若处理结果为认证无效则不进行记录并提示用户，若为其他处理结果则进行相应呈现。

具体举例如下：

本例中某企业网根据需要划分出了研发域(tech)、销售域(sale)、行政域(admin)以及默认域(default)，客户端用户域的划分示意图参见图2，其根据用户角色性质把用户划分到其所属域中。其中默认域给临时用户、动态用户等角色的用户使用。

本例中，网络接入服务器中的方法列表如表1所示(这里只列出了认证方法列表，授权和统计方法列表类似)

表1 网络接入服务器中的方法列表

当前有一telnet客户端发起认证请求，网络接入服务器根据客户端提供的用户域信息admin(本例中认证请求即为上述具体请求，则该认证请求与用户域信息admin组成用户请求信息)在方法列表中去查找对应的请求动作、业务，查找到方法列表检查列表的动作、业务信息是否与客户端发送的用户请求信息中的请求动作及请求业务匹配，如果匹配之后则此方法列表对此次请求有效，最后得到处理方式为pri-ser3。注：这里的处理方式可以指定一个，也可以同时指定两个，达到备份的目的。本例中，处理服务器的远程服务器分为全局服务器和私有服务器，pri-ser3为私有服务器。全局服务器对应所有当前定义的服务器，选择具体服务器时按照服务器定义的先后顺序进行选择，先定义的服务器不可用后依次使用之后的服务器，本例中网络接入服务器的处理服务器定义示意图参见图3。

网络接入服务器将该认证请求发送给pri-ser3私有服务器，pri-ser3私有服务器接收到上述认证请求后进行相应处理，并将其处理结果反馈给网络接入服务器，网络接入服务器对该处理结果进行简单处理(如利用该处理服务器的共享密钥解密等)后再交给客户端。

Claims (10)

1.区分用户域且对网络接入服务器透明的AAA系统，包括处理服务器、网络接入服务器及客户端，所述客户端与网络接入服务器连接，处理服务器与网络接入服务器连接，其特征在于，

所述客户端，用于根据用户输入信息制作用户请求信息，所述用户请求信息包括方法列表名及具体请求，所述具体请求中至少包括请求动作及请求业务，所述方法列表名采用用户输入信息中的用户域信息，将用户请求信息发送给网络接入服务器，接收网络接入服务器反馈的处理结果并根据处理结果进行相应处理；

所述网络接入服务器，预设有方法列表及对应所有处理服务器，所述方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，所述方法列表名与请求动作、请求业务及请求处理方式相关联，接收客户端发送来的用户请求信息，将用户请求信息与方法列表进行匹配，匹配成功选择对应的请求处理方式，将该用户请求信息中的具体请求发送到对应的处理服务器进行处理，接收处理服务器的反馈并处理后反馈给客户端；

所述处理服务器，用于处理网络接入服务器传输来的具体请求，将处理结果反馈给网络接入服务器。

2.如权利要求1所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述请求动作为认证或授权或统计，网络接入服务器对所述请求动作的处理不需要关注用户所属域信息。

3.如权利要求2所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述用户输入信息至少包括请求动作，当请求动作为认证时，用户输入信息还包括用户名信息，用户名信息中包括用户域信息及用户ID，客户端若发送的请求动作为认证时，其接收到反馈的处理结果若为认证通过，则接受用户访问，若为认证无效则拒绝用户访问。

4.如权利要求1所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述请求业务为远程登陆或802.1X或PPP。

5.如权利要求1所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述方法列表中，一个方法列表名及请求动作、请求业务关联一个请求处理方式或按顺序关联多个请求处理方式，当网络接入服务器匹配成功获取到多个请求处理方式时，根据预设的顺序选择请求处理方式，当在先请求处理方式对应的处理服务器不可用时，按顺序选择下一个请求处理方式。

6.如权利要求1所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，

所述处理服务器包括本地处理服务器及远端服务器；所述远端服务器为全局服务器或私有服务器。

7.如权利要求6所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述配置所有处理服务器是指：网络接入服务器中保存有所有处理方中各远端服务器的地址、端口号及共享密钥，并按顺序定义处理服务器中的本地处理服务器及各个远端服务器，当网络接入服务器所选择的请求处理方式对应的处理服务器中的在先本地服务器或远端服务器不可用时，按顺序选择下一个本地服务器或远端服务器。

8.如权利要求7所述的区分用户域且对网络接入服务器透明的AAA系统，其特征在于，所述请求处理方式为本地处理或对应的处理服务器中远端服务器的端口号或地址。

9.区分用户域且对网络接入服务器透明的AAA系统的处理方法，其特征在于，应用于如权利要求1-8任一项所述的区分用户域且对网络接入服务器透明的AAA系统，包括以下步骤：

A.用户在客户端输入用户信息，用户输入信息中至少包括请求动作，所述请求动作为认证或其他动作，当请求动作为认证时，用户输入信息还包括用户名信息，所述用户名信息中包括用户域信息及用户ID，进入步骤B，当请求动作为其他动作时，进入步骤C；

B.客户端提取用户名信息中的用户域信息及用户ID，将用户域信息作为方法列表名，制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，将该用户请求信息发送给网络接入服务器，进入步骤D；

C.客户端根据用户输入信息制作用户请求信息，该用户请求信息中包括方法列表名及具体请求，所述具体请求包括用户名信息、请求动作及请求业务，该用户名信息为客户端中记录的用户名信息，方法列表名采用客户端中记录的用户名信息中的用户域信息，将该用户请求信息发送给网络接入服务器，进入步骤D；

D.网络接入服务器根据接收到的用户请求信息中的方法列表名及具体请求中的请求动作及请求业务与其预设的方法列表进行匹配，所述方法列表中包括方法列表名、请求动作、请求业务及请求处理方式，所述方法列表名与请求动作、请求业务及请求处理方式相关联，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为此次请求无效并告知原因，进入步骤H；

E.网络接入服务器将该具体请求发送给匹配出的请求处理方式对应的处理服务器；

F.处理服务器处理网络接入服务器传输来的具体请求，处理服务器将其处理结果反馈给网络接入服务器；

G.网络接入服务器接收处理服务器反馈的处理结果并处理后反馈给客户端；

H.客户端接收到网络接入服务器反馈的处理结果，若处理结果为认证通过，则记录之前发送的用户请求信息中的用户名信息，若处理结果为认证无效则不进行记录并提示用户，若为其他处理结果则进行相应呈现。

10.如权利要求9所述的区分用户域且对网络接入服务器透明的AAA系统的处理方法，其特征在于，步骤D包括以下步骤：

D1.网络接入服务器根据接收到的用户请求信息中的方法列表名匹配预设的方法列表，若匹配成功则进入步骤D2，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H；

D2.网络接入服务器根据用户请求信息中具体请求中的请求动作及请求业务与预设的方法列表中该方法列表名相关联的请求动作及请求业务进行匹配，若匹配成功则得到对应的请求处理方式并进入步骤E，若匹配失败则反馈客户端处理结果为请求无效并告知原因，进入步骤H。