CN104584507B - 通过交换站对第一设备进行认证 - Google Patents

Abstract

为了获得对物理网络的访问，想获得访问的设备通过上级实体、例如交换机被认证。一旦交换机在端口处检测到未知的MAC地址，则所属的设备必须被鉴权。本发明涉及用于在网络内通过交换站对第一设备进行简化的认证的方法、第一设备和交换站，其中考虑通过使用附加的、例如虚拟的网络接口形成的请求。在此，由设备借助证书递送附加的MAC地址用于认证，使得具有多个MAC地址的设备在一次性认证过程中获得从多个MAC地址对网络的访问。

Description

通过交换站对第一设备进行认证

技术领域

本发明涉及用于在网络内通过交换站对第一设备进行认证的方法、第一设备和交换站。

背景技术

为了获得对物理网络的访问，想要获得访问的设备通过上级实体被认证。认证经常借助标准IEEE 802.1X发生，其中所述认证通常通过有IEEE 802.1X能力的交换机实现，所述设备连接在所述交换机的端口上。在此情况下，通过MAC地址（Media Access Control-Adresse（媒体访问控制地址））来实现对设备的标识。一旦交换机在端口处检测到未知的MAC地址，或物理连接被中断，则所属的设备必须重新被鉴权，或者说所述设备必须通过交换机被重新认证。

虚拟化解决方案日益增加地不仅被使用在服务器环境中，而且被使用在客户端领域中。这导致，客户端设备除了物理网络接口之外，还拥有带有附加MAC地址的虚拟接口。

由现有技术已知了有IEEE 802.1X能力的交换机，其支持所谓的多主机认证（Multihost-Authentification）。在此情况下，仅认证第一访问。连接在交换机的同一端口上的虚拟网络接口或者所有其他设备不必附加地被鉴权。

此外，由现有技术已知有IEEE 802.1X能力的交换机，其支持所谓的多域认证（Multi-Domain-Authentification）。在此情况下，每个设备或者每个网络接口（也为虚拟网络接口）必须重新鉴权，因为在物理网络上可见的虚拟MAC地址对于交换机是未知的。

类似的在自动化环境中适用：Profinet设备除了MAC地址以外每个网络接口地还附加地具有设备特定的MAC地址。

发明内容

以此为背景，本发明的任务在于：实现在网络内的简化的认证过程的可能性，其中考虑通过使用附加的网络接口所形成的请求。

该任务通过根据在独立权利要求中说明的特征的方法、第一设备和交换站被解决。

有利的实施方式和改进方案在从属权利要求中得以说明。

下面所提及的优点不必必然地通过独立权利要求的主题实现。更确切地说，这里也可以涉及仅通过各个实施方式或改进方案所实现的优点。

根据本发明，用于在网络内通过交换站对第一设备进行认证的方法具有以下步骤：

第一设备在数据结构的身份区域中将第一标识符传送给交换站。第一设备在数据结构的扩展的身份区域中将至少一个附加的标识符传送给交换站。交换站根据所传送的第一标识符和所传送的附加的标识符认证第一设备。

按照所描述的方法通过交换站被认证的设备补充地说明：应该针对哪些网络接口附加地进行认证。因此，第一设备在网络内基于其物理网络接口仅须鉴权一次。同时，通过第一设备说明：应该针对哪些附加的网络接口同样地进行认证。

然而，从而保证：其他设备或其虚拟网络接口（其连接到交换机的同一端口上）必须如所期望的那样被鉴权。因此每个设备在一次性认证过程中进行认证，其中，授权从多个网络接口对网络的访问。

按照一种实施方式，第一设备传送属于物理网络接口的第一媒体访问控制地址作为第一标识符并且传送属于虚拟网络接口的附加的媒体访问控制地址或者属于物理网络接口的第二媒体访问控制地址作为附加的标识符。

在此，通过MAC地址指定网络接口。因此，属于虚拟网络接口的MAC地址以及除第一MAC地址之外被分配给物理网络接口的第二MAC地址可以一同被包含到认证过程中。

按照一种实施方式，数据结构被构成为证书，其中在扩展的身份区域中借助占位符说明至少一个附加的媒体访问控制地址。

因此，可以在证书中借助带有占位符的项来说明一定的地址区域，其中应该针对所述地址区域执行认证。因此，当前部地址部分未关于占位符在前部地址部分中的使用而被指定时，例如可以针对确定结尾的所有地址进行标识。但是也可以例如使总共六个字节的最初三个字节作为制造者标识符保持固定，而使另外的可由制造者自由选择的三个字节针对附加的MAC地址改变。在此，尤其是最后的字节可以包含设备版本，并且通过占位符而包括有大量设备版本。在这里，包括自确定的建造年份起的设备的占位符是可设想的。

按照一种实施方式，至少一个附加的媒体访问控制地址通过以下方式产生，即在媒体访问控制地址内的制造者标识符借助于掩码被代替。

以下MAC地址结构是可设想的：其中通过覆写在MAC地址的六个字节的最初三个字节中的制造者标识号码而产生虚拟MAC地址。最后的三个字节是特定于物理网卡的，并且被用作用于标识的基础。在配置期间，MAC地址的各个字节、尤其是制造者字节借助掩码是可覆写的。

按照一种改进方案，数据结构被构成为证书，其中在扩展的身份区域中，因特网协议地址作为附加的标识符被传送，所述因特网协议地址对应于附加的媒体访问控制地址。

如果MAC地址应该是因特网协议版本6-地址（IPv6地址）的组成部分，则可以作为附加的标识符针对每个附加的虚拟网络接口在证书中说明IP地址。

按照一种改进方案，数据结构被构造为设备证书或者属性证书。

通过使用按照标准RFC 5280的设备证书、尤其是X.509设备证书，可以在扩展的标识符中说明作为附加的标识符被传送的所有可替代的身份，其中直接给出对设备的分配，所述设备借助设备证书被鉴权。

如果传送在属性证书的扩展的身份区域中的附加的标识符，则能够在设备的生产期间签发证书，其中MAC地址被存储在所述证书中，并且稍后在设备运行期间对这些MAC地址补充其他的虚拟地址，而与是否需要和需要多少无关。因此，可以良好地分离生产和稍后的使用。

按照一种改进方案，数据结构被构造为设备证书或属性证书，其通过可靠的证明实体的签名被保护免受操纵。

由此，在对虚拟网络接口或物理网络接口和其各自的地址的认证时保证了高的安全标准。

按照另一实施方式，在根据上述实施方式或改进方案之一的方法步骤中在网络内通过交换站对至少一个第二设备进行认证。

如果在网络中存在两个或者更多设备，所述设备为了对网络访问的目的而鉴权，则认证方法针对在网络内的每个设备单独地进行。认证方法对于每个物理设备或者每个物理网络接口被执行。

按照一种改进方案，在通过交换站对第一设备进行成功认证之后，通过交换站允许第一设备对网络访问。由此确保：仅当事先已经历根据上述实施方式或者改进方案之一的认证方法并且设备已被认证时，该设备通过网络接口对网络的访问才是可能的。

按照一种改进方案，在通过交换站对第二设备进行成功认证之后，通过交换站允许第二设备对网络访问。

因此，对于每个设备实现授权步骤，其允许授权的设备对网络访问。因此，在一次性认证过程中许可设备通过多个网络接口或地址对网络访问，而不需多次认证。然而，如果设备串联，则进行这些设备的单独的认证和相应地进行单独的授权，使得对于每个设备规定单独认证和授权的安全标准能够得以遵守。

根据本发明的另一方面，实现第一设备，用于在网络内认证，其中第一设备在数据结构的身份区域中将第一标识符传输给交换站，并且其中第一设备在数据结构的扩展的身份区域中将至少一个附加的标识符传送给交换站。

按照本发明的另一方面，实现交换站，其中该交换站根据由第一设备传送的第一标识符和至少一个由第一设备传送的附加的标识符对第一设备进行鉴权。

附图说明

下面，利用实施例根据图进一步阐述本发明。其中：

图1示出按照本发明方法的实施例用于认证的方法步骤和主要组件的示意性布置；

图2示出按照本发明实施例的数据结构的示意图。

具体实施方式

图1示出本发明的实施例，其中在工业自动化设备的网络400中，第一设备100和第二设备200串联，并且连接到交换站的共同端口上，所述交换站在本例中通过交换机300实现。在这样的线性拓扑中期望：第一设备100以及第二设备200被单独地认证。

在第一步骤S1中，第一设备100试图以第一媒体访问控制地址（MAC地址）111对网络400进行访问，其中所述第一媒体访问控制地址111指定第一设备100的物理网络接口。第一MAC地址111还未在交换机300处被认证，并且交换机300在第二步骤S2中发送用于鉴权的请求。为此，第一设备100在第三步骤S3中在数据结构的身份区域510中将第一标识符传送给交换机300，其中所述数据结构在这里通过证书500实现并且示意性地在图2中示出。此外，第一设备100在扩展的身份区域520中说明三个附加的标识符112、121、122。

至物理网络接口的MAC地址可以被划分为三个地址区域，其中前部地址区域代表制造者和设备的标志、中部地址区域将网络接口表明为物理网络接口，以及后部地址区域对于每个物理网络接口和每个设备分别表明不同的MAC地址。

虚拟网络接口相应地拥有带有作为虚拟网络接口的标记的中部地址区域，前部地址区域又代表制造者，并且后部地址区域又对于每个设备表明各自的虚拟网络接口。

形式为

00-30-05-5A-DB-A0

的MAC地址由六个字节组成，其中最初的三个字节用作制造者字节，并且尤其是包含制造者标识号码。随后的两个字节包含设备标识号码，并且尤其能够具有在分配给虚拟网络接口的MAC地址和分配给物理网络接口的MAC地址之间的有区别的标记。最后的字节通过所含有的版本号码或者设备建造年份最后表明网络接口，也就是说对于每个现有的网络接口（虚拟的或物理的）存在特征性结尾。

第一设备在证书500中除了第一标识符111外此外还传送附加的标识符112、121和122。第一设备拥有属于物理网络接口的第二MAC地址112和拥有属于两个虚拟网络接口的附加的两个MAC地址121、122。

在第四步骤S4中，交换机300借助认证服务器600验证由第一设备100提交的证书500，并且在成功验证之后认证第一设备。在第五步骤S5中，现在允许第一设备100从所有网络接口和以所有MAC地址对网络400进行访问。

如果现在第二设备200试图通过构造为第二设备第一MAC地址的第二设备第一标识符211在第六步骤S6中对网络进行访问，则交换机300在第七步骤S7中又发送用于鉴权的请求，因为这个MAC地址还尚未被交换机认证，其中所述第二设备第一标识符属于第二设备200的物理网络接口。

按照第三步骤3、第四步骤S4和第五步骤5的认证过程现在针对第二设备200类似地进行。

因此，对所描述的交换机300的重要的请求得到满足，即在多个串联的设备的情况下每个设备单独地被认证，其中所述交换机被用于自动化设备中的网络。

图2示出具有身份区域510和扩展的身份区域520的数据结构500的示意图。在所描述的实施例中，通过交换机300根据标准IEEE 802.1X进行认证，并且第一设备100为了鉴权根据标准X.509（参见RFC 5280）传送设备证书。

第一设备100的附加的MAC地址121、122和第二MAC地址112可以根据RFC 5280通过扩展“SubjectAltName”经由项“other name（其他名称）”而得以实现，其中在这里在命名时有大的自由度，并且可以存储附加的MAC地址121、122或者第二MAC地址112的列表。为此，第一设备100将所有MAC地址的列表存放到其网络接口。此外可设想的是，也以“SubjectAltName”描述第一MAC地址111，即在身份区域510和扩展的身份区域520之间的逻辑分离也能够在技术上通过共同的项而实现。

第二设备200为了认证传送根据X.509的属性证书，在其扩展中借助占位符说明作为“other name（其他名称）”的地址区域，其中认证应该同时针对所述地址区域进行。在此，占位符（也被称为通配符（Wildcard））能够实现：确定的或不确定的长度的地址区域允许为任意的，然而在询问通过第二设备200经由构造为第二设备附加MAC地址的第二设备附加标识符221、222、212对网络400的访问情况下，不需要另外的认证，其中所述第二设备附加标识符处于由占位符所包括的区域中。为此，第二设备200以如下形式递送第二设备第一MAC地址211：仅明确地说明制造者字节和设备标识符，而最后的字节或结尾通过占位符保持开放：

00-30-05-5A-DB-*

这可以分离地单独地针对虚拟的和物理的网络接口进行，其中通过带有占位符的属于虚拟网络接口的MAC地址包括第二设备附加MAC地址221、222，并且通过带有占位符（带有不同的设备标识符字节）的属于物理网络接口的MAC地址包括第二设备第二MAC地址212。

本方法除了用于按照标准IEEE 802.1X认证的使用，此外还适用于基于因特网协议连接的认证。该认证例如在网络接入认证的范围中通过网络接入承载认证协议(Protocol for Carrying Authentication for Network Access (PANA))根据请求注解5191(Request for Comment 5191(RFC 5191))来进行。在诸如开放系统互连参考模型(Open Systems Interconnection Reference Model(OSI-层模型))的层模型中观察地，通过PANA的认证与通过IEEE 802.1X相比在更高的层面上发生，其中所传送的信息、诸如尤其是在所述实施例中描述的标识符类似于按照标准IEEE 802.1 X的处理地在交换层上被处理。

第一设备100以及交换站300可以以软件、硬件或以软件与硬件的组合被实现和实施。

因此，通过单元所实现的步骤可以作为程序代码被存放在存储介质上、尤其是硬盘、CD-ROM或者存储器模块上，其中程序代码的各个指令由第一设备100和/或交换站300的至少一个计算单元（包括处理器）读取和处理。

处理器通过总线与存储介质相连接用于数据交换。

此外，可以通过总线连接上输入-输出单元，其中借助输入-输出单元可以接收和/或发送数据、例如消息。

所述实施方式、改进方案和实施例可以彼此自由组合。

Claims (13)

1.用于通过交换站（300）在网络（400）内对第一设备（100）进行认证的方法，

-其中所述第一设备（100）在数据结构（500）的身份区域（510）中将第一标识符（111）传送给交换站（300），

-其中所述第一设备（100）在数据结构（500）的扩展的身份区域（520）中将至少一个附加的标识符（112,121,122）传送给交换站（300），

-其中所述交换站（300）根据所传送的第一标识符（111）和所传送的附加的标识符（112,121,122）认证所述第一设备（100），并且

对于第一设备在一次性认证过程中授权从多个网络接口对网络的访问，所述多个网络接口通过标识符（111，112，121，122）指定。

2.根据权利要求1所述的方法，其中所述第一设备（100）传送属于物理网络接口的第一媒体访问控制地址（111）作为第一标识符（111），并且传送属于虚拟网络接口的至少一个附加的媒体访问控制地址（121,122）或属于物理网络接口的第二媒体访问控制地址（112）作为附加的标识符（112,121,122）。

3.根据权利要求2所述的方法，其中所述数据结构（500）被构成为证书，其中在扩展的身份区域（520）中借助占位符说明至少一个附加的媒体访问控制地址（121,122）或第二媒体访问控制地址（112）。

4.根据权利要求2或者3所述的方法，其中通过如下方式来产生至少一个附加的媒体访问控制地址（121,122）或者第二媒体访问控制地址（112），即在第一媒体访问控制地址（111）内借助掩码代替制造者标识符。

5.根据权利要求1所述的方法，其中所述数据结构（500）被构造为证书，其中在扩展的身份区域（520）中传送因特网协议地址作为附加的标识符（112,121,122），所述因特网协议地址具有附加的媒体访问控制地址（121,122）或者第二媒体访问地址（112）作为组成部分。

6.根据权利要求1至3之一所述的方法，其中所述数据结构（500）被构造为设备证书或属性证书。

7.根据权利要求1至3之一所述的方法，其中所述数据结构（500）被构造为设备证书或者属性证书，其通过可靠的证明实体的签名被保护免受操纵。

8.根据权利要求1至3之一所述的方法，其中在网络（400）内通过交换站（300）对至少一个第二设备（200）进行认证。

9.根据权利要求1至3之一所述的方法，其中在通过交换站（300）对第一设备（100）进行成功认证之后，通过交换站（300）允许第一设备（100）对网络（400）访问。

10.根据权利要求8所述的方法，其中在通过交换站（300）对第二设备（200）进行成功认证之后，通过交换站（300）允许第二设备（200）对网络（400）访问。

11.根据权利要求9所述的方法，其中在通过交换站（300）对第二设备（200）进行成功认证之后，通过交换站（300）允许第二设备（200）对网络（400）访问。

12.用于在网络（400）内认证的第一设备（100），

-其中第一设备（100）被构造用于在数据结构（500）的身份区域（510）中将第一标识符（111）传送给交换站（300），并且

-其中第一设备（100）被构造用于在数据结构（500）的扩展的身份区域（520）中将至少一个附加的标识符（112,121,122）传送给交换站（300），并且

对于第一设备在一次性认证过程中授权从多个网络接口对网络的访问，所述多个网络接口通过标识符（111，112，121，122）指定。

13.交换站（300），其中所述交换站（300）被构造用于根据由第一设备（100）传送的第一标识符（111）和由第一设备（100）传送的至少一个附加的标识符（112,121,122）鉴权第一设备，并且

对于第一设备在一次性认证过程中授权从多个网络接口对网络的访问，所述多个网络接口通过标识符（111，112，121，122）指定。