CN105592180A - 一种Portal认证的方法和装置 - Google Patents

一种Portal认证的方法和装置 Download PDF

Info

Publication number
CN105592180A
CN105592180A CN201510640230.9A CN201510640230A CN105592180A CN 105592180 A CN105592180 A CN 105592180A CN 201510640230 A CN201510640230 A CN 201510640230A CN 105592180 A CN105592180 A CN 105592180A
Authority
CN
China
Prior art keywords
mac address
authentication client
address
host configuration
configuration protocol
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201510640230.9A
Other languages
English (en)
Other versions
CN105592180B (zh
Inventor
王伟
徐光建
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hangzhou H3C Technologies Co Ltd
Original Assignee
Hangzhou H3C Technologies Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hangzhou H3C Technologies Co Ltd filed Critical Hangzhou H3C Technologies Co Ltd
Priority to CN201510640230.9A priority Critical patent/CN105592180B/zh
Publication of CN105592180A publication Critical patent/CN105592180A/zh
Application granted granted Critical
Publication of CN105592180B publication Critical patent/CN105592180B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H04L61/5014—Internet protocol [IP] addresses using dynamic host configuration protocol [DHCP] or bootstrap protocol [BOOTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint

Abstract

本发明提供一种Portal认证的方法和装置，该方法包括：DHCP服务器接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的MAC地址；DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址；如果是合法的MAC地址，则DHCP服务器为所述认证客户端分配公网IP地址，将所述公网IP地址发送给所述认证客户端，所述认证客户端利用所述公网IP地址进行Portal认证。通过本发明的技术方案，不需要为认证客户端分配私网IP地址，降低了实现的复杂度，减少了报文交互的数量。

Description

一种Portal认证的方法和装置
技术领域
本发明涉及通信技术领域，尤其涉及一种Portal认证的方法和装置。
背景技术
如图1所示，为Portal(入口)认证的组网示意图。认证客户端为用户设备上，运行HTTP(HyperTextTransferProtocol，超文本传输协议)的浏览器或运行Portal客户端软件的主机。接入设备为交换机、路由器等，在认证前将认证客户端的所有HTTP请求重定向到Portal服务器；在认证过程中，与Portal服务器、认证服务器进行交互，完成对认证客户端的认证、计费等功能；在认证通过后，允许认证客户端访问外部网络资源。Portal服务器，接收认证客户端的认证请求，提供免认证服务和基于Web认证的界面，与接入设备交互认证客户端的认证信息。认证服务器，与接入设备进行交互，完成对认证客户端的认证和计费。
在现有技术中，Portal认证过程中，采用二次地址分配认证时，认证客户端在认证之前，从DHCP(DynamicHostConfigurationProtocol，动态主机配置协议)服务器获取一个私网IP地址，该私网IP地址无法访问外部网络资源，认证客户端利用该私网IP地址进行Portal认证。在认证通过之后，由于认证客户端使用的私网IP地址无法访问外部网络资源，因此认证客户端还需要从DHCP服务器获取一个公网IP地址，该公网IP地址可以访问外部网络资源，认证客户端将该公网IP地址通知给接入设备，接入设备将私网IP地址替换为公网IP地址。
在上述过程中，需要在DHCP服务器上配置私网IP地址池和公网IP地址池，而且认证客户端需要从DHCP服务器上获取两次IP地址，增加了实现的复杂度。在Portal认证过程中，认证客户端需要分别使用私网IP地址和公网IP地址与其它设备进行交互，交互的报文数量过多，浪费网络资源。
发明内容
本发明提供一种Portal认证的方法，所述方法包括以下步骤：
动态主机配置协议DHCP服务器接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的媒体访问控制MAC地址；
所述DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址；如果是合法的MAC地址，则所述DHCP服务器为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
本发明提供一种Portal认证的方法，所述方法包括以下步骤：
认证服务器记录媒体访问控制MAC地址；所述认证服务器利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
本发明提供一种Portal认证的装置，所述Portal认证的装置应用在动态主机配置协议DHCP服务器上，且所述Portal认证的装置具体包括：
接收模块，用于接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的媒体访问控制MAC地址；
判断模块，用于判断所述认证客户端的MAC地址是否为合法的MAC地址；
处理模块，用于当是合法的MAC地址时，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
本发明提供一种Portal认证的装置，所述Portal认证的装置应用在认证服务器上，且所述Portal认证的装置具体包括：
记录模块，用于记录媒体访问控制MAC地址；
发送模块，用于利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
基于上述技术方案，本发明实施例中，DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，可以直接为认证客户端分配公网IP地址，不需要为认证客户端分配私网IP地址，从而使得DHCP服务器不用为认证客户端分配两次地址，简化了二次地址分配认证过程。而且，DHCP服务器上只需要配置公网IP地址池，认证客户端只需要从DHCP服务器上获取一次IP地址，降低了实现的复杂度。而且，在Portal认证过程中，认证客户端只需要使用公网IP地址与其它设备进行交互，减少了报文交互的数量，并节约网络资源。
附图说明
图1是Portal认证的组网示意图；
图2是本发明一种实施方式中的Portal认证的方法的流程图；
图3是本发明一种实施方式中的Portal认证的方法的流程图；
图4是本发明一种实施方式中的Portal认证的方法的流程图；
图5是本发明一种实施方式中的进行Portal认证的流程图；
图6是本发明一种实施方式中的DHCP服务器的硬件结构图；
图7是本发明一种实施方式中的Portal认证的装置的结构图；
图8是本发明一种实施方式中的接入设备的硬件结构图；
图9是本发明一种实施方式中的Portal认证的装置的结构图。
具体实施方式
针对现有技术中存在的问题，本发明实施例中提出一种Portal认证的方法，如图2所示，该Portal认证的方法具体可以包括以下步骤：
步骤201，DHCP服务器接收来自认证客户端的DHCP请求报文，并从该DHCP请求报文中提取出该认证客户端的MAC(MediaAccessControl，媒体访问控制)地址。
步骤202，DHCP服务器判断该认证客户端的MAC地址是否为合法的MAC地址；如果是合法的MAC地址，则执行步骤203。
步骤203，DHCP服务器为该认证客户端分配公网IP地址，并将该公网IP地址发送给认证客户端，以使认证客户端利用公网IP地址进行Portal认证。
本发明实施例中，DHCP服务器判断认证客户端的MAC地址是否为合法的MAC地址的过程，具体可以包括但不限于：DHCP服务器根据自身记录的MAC地址查询认证客户端的MAC地址；如果DHCP服务器中存在认证客户端的MAC地址，则确定认证客户端的MAC地址是合法的MAC地址；否则，确定认证客户端的MAC地址不是合法的MAC地址；其中，DHCP服务器自身记录的MAC地址包括在DHCP服务器中预配置的MAC地址；或者，DHCP服务器向认证服务器发送携带认证客户端MAC地址的请求报文，并接收携带MAC地址信息的响应报文，并利用MAC地址信息确定认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。在本实施例中，MAC地址信息包括认证服务器中记录的MAC地址，或者认证服务器确认自身记录的MAC地址是否包括认证客户端MAC地址的确认结果，进一步的，该确认结果包括认证服务器确认自身的MAC地址包括认证客户端MAC地址的结果，或者认证服务器确认自身的MAC地址不包括认证客户端MAC地址的结果。
在本实施例中，当DHCP服务器接收的MAC地址信息包括认证服务器中记录的MAC地址时，DHCP服务器记录MAC地址信息中的MAC地址，并根据DHCP服务器所记录的MAC地址判断是否存在认证客户端的MAC地址，若存在，则判断该认证客户端的MAC地址是合法的MAC地址，若不存在，则判断认证客户端的MAC地址不是合法的MAC地址。
在本实施例中，当DHCP服务器接收的MAC地址信息包括的认证服务器确认自身的MAC地址包括认证客户端MAC地址的确认结果时，DHCP服务器根据该确认结果判断认证客户端的MAC地址为合法的MAC地址；当DHCP服务器接收的MAC地址信息包括的认证服务器确认自身的MAC地址不包括认证客户端MAC地址的确认结果时，DHCP服务器根据该确认结果判断认证客户端的MAC地址为不合法的MAC地址。
本发明实施例中，DHCP服务器在判断认证客户端的MAC地址是否为合法的MAC地址之后，如果不是合法的MAC地址，则DHCP服务器为认证客户端分配私网IP地址，并将私网IP地址发送给认证客户端，由认证客户端利用私网IP地址进行Portal认证；DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，如果当前已经为认证客户端分配了私网IP地址，则为认证客户端分配公网IP地址，并将公网IP地址发送给认证客户端。或者，如果不是合法的MAC地址，则DHCP服务器直接丢弃DHCP请求报文；进一步的，由于DHCP服务器丢弃DHCP请求报文，因此，DHCP服务器不会为该认证客户端分配公网IP地址，也不会为该认证客户端分配私网IP地址。
基于上述技术方案，本发明实施例中，DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，可以直接为认证客户端分配公网IP地址，不需要为认证客户端分配私网IP地址，从而使得DHCP服务器不用为认证客户端分配两次地址，简化了二次地址分配认证过程。而且，DHCP服务器上只需要配置公网IP地址池，认证客户端只需要从DHCP服务器上获取一次IP地址，降低了实现的复杂度。而且，在Portal认证过程中，认证客户端只需要使用公网IP地址与其它设备进行交互，减少了报文交互的数量，并节约网络资源。
针对认证服务器的处理流程，本发明实施例中提出一种Portal认证的方法，如图3所示，该Portal认证的方法具体可以包括以下步骤：
步骤301，认证服务器记录MAC地址。
步骤302，认证服务器利用记录的MAC地址，将MAC地址信息发送给DHCP服务器，由DHCP服务器利用MAC地址信息判断来自认证客户端的DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将公网IP地址发送给认证客户端，以使认证客户端利用公网IP地址进行Portal认证。本发明实施例中，认证服务器利用记录的MAC地址，将MAC地址信息发送给DHCP服务器，由DHCP服务器利用MAC地址信息判断来自认证客户端的DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址的过程，具体包括但不限于如下方式：认证服务器将记录的MAC地址发送给DHCP服务器，由DHCP服务器记录从认证服务器获得的MAC地址，并据此判断DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址。或者，认证服务器接收来自DHCP服务器发送的携带认证客户端MAC地址的请求报文，确认自身记录的MAC地址是否包括认证客户端的MAC地址，并将确认自身存在认证客户端MAC地址或者确认自身不存在认证客户端MAC地址的确认结果携带在MAC地址信息中，发送给DHCP服务器，由DHCP服务器利用所述MAC地址信息确定所述请求报文中认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
基于上述技术方案，本发明实施例中，DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，可以直接为认证客户端分配公网IP地址，不需要为认证客户端分配私网IP地址，从而使得DHCP服务器不用为认证客户端分配两次地址，简化了二次地址分配认证过程。而且，DHCP服务器上只需要配置公网IP地址池，认证客户端只需要从DHCP服务器上获取一次IP地址，降低了实现的复杂度。而且，在Portal认证过程中，认证客户端只需要使用公网IP地址与其它设备进行交互，减少了报文交互的数量，并节约网络资源。
以下结合具体的应用场景进行说明。本发明实施例中提出一种Portal认证的方法，如图4所示，该Portal认证的方法具体可以包括以下步骤：
步骤401，认证服务器记录MAC地址。
其中，认证服务器记录的MAC地址，包括认证客户端通过认证服务器认证时，认证服务器所记录的MAC地址，或者在认证服务器所配置的MAC地址。
步骤402，接入设备接收来自认证客户端的DHCP请求报文，并将DHCP请求报文发送给DHCP服务器，由DHCP服务器接收DHCP请求报文。
当认证客户端使能二次地址分配认证时，在认证通过之前，认证客户端广播DHCP发现报文，该DHCP发现报文的目的IP地址为广播地址(即IP地址为全0)，源MAC地址为认证客户端的MAC地址。接入设备在接收到该DHCP发现报文之后，将该DHCP发现报文发送到DHCP服务器。DHCP服务器在收到DHCP发现报文之后，通过接入设备向认证客户端返回DHCP提供报文。如果认证客户端只收到一个DHCP服务器的DHCP提供报文，则向该DHCP服务器发送DHCP请求报文，如果认证客户端收到多个DHCP服务器的DHCP提供报文，则从多个DHCP服务器中选择一个DHCP服务器，并向当前选择的DHCP服务器发送DHCP请求报文；其中，该DHCP请求报文的目的IP地址为DHCP服务器的IP地址，源MAC地址为认证客户端的MAC地址。接入设备在接收到该DHCP请求报文之后，将该DHCP请求报文发送到DHCP服务器。
步骤403，DHCP服务器在接收到DHCP请求报文(携带了认证客户端的MAC地址)后，从该DHCP请求报文中提取出认证客户端的MAC地址。
步骤404，DHCP服务器判断该认证客户端的MAC地址是否为合法的MAC地址。如果是合法的MAC地址，则执行步骤405。如果不是合法的MAC地址，则执行步骤406。其中，认证服务器可以利用自身记录的MAC地址，将MAC地址信息发送给DHCP服务器，而DHCP服务器利用MAC地址信息判断该认证客户端的MAC地址是否为合法的MAC地址。
本发明实施例中，DHCP服务器判断认证客户端的MAC地址是否为合法的MAC地址的过程，具体可以包括但不限于如下方式：
方式一、DHCP服务器接收携带有认证服务器记录的MAC地址的MAC地址信息，并由DHCP服务器记录MAC地址信息中的MAC地址(即DHCP服务器记录从认证服务器中获得的MAC地址)，且DHCP服务器可以在本地以MAC地址表的形式记录MAC地址信息中的MAC地址。DHCP服务器在收到DHCP请求报文后，DHCP服务器根据所记录的MAC地址查询认证客户端的MAC地址；如果DHCP服务器中存在该认证客户端的MAC地址，则确定该认证客户端的MAC地址是合法的MAC地址；否则，确定该认证客户端的MAC地址不是合法的MAC地址。
方式二、DHCP服务器在收到DHCP请求报文后，向认证服务器发送携带认证客户端MAC地址的请求报文，认证服务器接收来自DHCP服务器发送的携带认证客户端MAC地址的请求报文后，如果认证服务器中记录的MAC地址包括请求报文中认证客户端MAC地址，则向DHCP服务器发送携带有存在认证客户端MAC地址的确认结果的MAC地址信息，否则，向DHCP服务器发送携带有不存在认证客户端MAC地址的确认结果的MAC地址信息，DHCP服务器接收携带MAC地址信息的响应报文，并利用MAC地址信息确定认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
方式三、DHCP服务器中预配置MAC地址，DHCP服务器在收到认证客户端发送的DHCP请求报文后，DHCP服务器根据预配置的MAC地址查询认证客户端的MAC地址；如果DHCP服务器中存在该认证客户端的MAC地址，则确定该认证客户端的MAC地址是合法的MAC地址；否则，确定该认证客户端的MAC地址不是合法的MAC地址。
步骤405，DHCP服务器为认证客户端分配公网IP地址，将该公网IP地址发送给认证客户端，由认证客户端利用该公网IP地址进行Portal认证。
步骤406，DHCP服务器丢弃DHCP请求报文；或者，DHCP服务器为认证客户端分配私网IP地址，并将该私网IP地址发送给该认证客户端，由该认证客户端利用该私网IP地址进行Portal认证。
本发明实施例中，DHCP服务器在判断认证客户端的MAC地址是否为合法的MAC地址之后，如果不是合法的MAC地址，则DHCP服务器丢弃DHCP请求报文，此时DHCP服务器不会为该认证客户端分配公网IP地址，也不会为该认证客户端分配私网IP地址。其中，如果不是合法的MAC地址，则说明该DHCP请求报文可能是攻击者伪造的DHCP请求报文，不是真实的认证客户端所发送的DHCP请求报文。因此，DHCP服务器丢弃DHCP请求报文，以拒绝为认证客户端分配公网IP地址和私网IP地址，从而确保不为攻击者分配公网IP地址和私网IP地址，保证网络的安全性。
本发明实施例中，DHCP服务器在判断认证客户端的MAC地址是否为合法的MAC地址后，如果不是合法的MAC地址，则说明DHCP服务器可能未维护到认证客户端的MAC地址。DHCP服务器为认证客户端分配私网IP地址，并将私网IP地址发送给认证客户端，由认证客户端利用私网IP地址进行Portal认证。在认证客户端利用私网IP地址进行Portal认证成功之后，认证客户端再次向DHCP服务器发送DHCP请求报文。DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，如果当前已经为认证客户端分配了私网IP地址，则DHCP服务器为认证客户端分配公网IP地址，并将公网IP地址发送给认证客户端。认证客户端在收到公网IP地址后，将公网IP地址通知给接入设备，由接入设备将私网IP地址替换为公网IP地址。
基于上述技术方案，本发明实施例中，DHCP服务器在接收到来自认证客户端的DHCP请求报文之后，可以直接为认证客户端分配公网IP地址，不需要为认证客户端分配私网IP地址，从而使得DHCP服务器不用为认证客户端分配两次地址，简化了二次地址分配认证过程。而且，DHCP服务器上只需要配置公网IP地址池，认证客户端只需要从DHCP服务器上获取一次IP地址，降低了实现的复杂度。而且，在Portal认证过程中，认证客户端只需要使用公网IP地址与其它设备进行交互，减少了报文交互的数量，并节约网络资源。
本发明实施例中，针对认证客户端利用公网IP地址进行Portal认证的过程，如图5所示，该Portal认证的过程具体可以包括但不限于如下步骤：
步骤501，认证客户端向Portal服务器发送认证信息(如用户名和密码)。
其中，认证客户端使用的IP地址为自身分配到的公网IP地址。
其中，未认证的认证客户端在访问网络时，由用户在Web浏览器的地址栏中输入任意的互联网地址，此HTTP请求在经过接入设备时，会被接入设备重定向到Portal服务器的Web认证主页上。用户在Web认证主页的对话框中输入认证信息后提交，即认证客户端向Portal服务器发送认证信息。
步骤502，Portal服务器和接入设备之间进行CHAP(ChallengeHandshakeAuthenticationProtocol，质询握手认证协)认证交互。
步骤503，Portal服务器向接入设备发送认证请求报文，该认证请求报文中携带了用户在Web认证主页的对话框中输入的用户名和密码等信息。
步骤504，接入设备将携带用户名和密码的认证请求报文发送给认证服务器，由认证服务器利用该用户名和密码对认证客户端进行认证。
步骤505，认证服务器向接入设备发送认证成功报文或者认证失败报文。
其中，如果认证服务器利用认证请求报文中携带的用户名和密码等信息，对认证客户端的认证成功，则认证服务器向接入设备发送认证成功报文；如果认证服务器利用认证请求报文中携带的用户名和密码等信息，对认证客户端的认证失败，则认证服务器向接入设备发送认证失败报文。
步骤506，接入设备将认证成功报文或者认证失败报文发送给Portal服务器。如果接入设备收到认证成功报文，将认证成功报文发送给Portal服务器；如果接入设备收到认证失败报文，将认证失败报文发送给Portal服务器。
本发明实施例中，接入设备在接收到认证成功报文之后，还可以基于该认证客户端的公网IP地址，下发允许该认证客户端访问网络的ACL，以打开该认证客户端与互联网的通路，允许该认证客户端访问互联网。
步骤507，Portal服务器向认证客户端发送认证成功报文或者认证失败报文，以通知认证客户端Portal认证成功或者Portal认证失败。
至此，认证客户端利用公网IP地址进行Portal认证的过程结束，如果Portal认证成功，则认证客户端可以直接使用公网IP地址访问网络资源。
本发明实施例中，认证客户端利用私网IP地址进行Portal认证的过程，与上述步骤501-步骤507的流程类似，只是认证客户端使用的IP地址由公网IP地址变为私网IP地址，该过程在此不再赘述。进一步的，认证客户端在利用私网IP地址进行Portal认证成功之后，从DHCP服务器上获取公网IP地址，并向Portal服务器通知本认证客户端已经获取新的公网IP地址。Portal服务器向接入设备通知认证客户端已经获取新的公网IP地址。接入设备感知到认证客户端的IP地址发生变化时，将认证客户端的IP地址由私网IP地址更新为公网IP地址，并向Portal服务器通知已经检测到IP地址变化事件。Portal服务器通知认证客户端上线，并向接入设备发送IP地址变化确认报文。
显然，认证客户端直接利用公网IP地址进行Portal认证的过程，不需要执行将私网IP地址替换为公网IP地址的过程，认证客户端只需要使用公网IP地址与其它设备进行交互，减少了报文交互的数量，并节约网络资源。
基于与上述方法同样的发明构思，本发明实施例中还提供了一种Portal认证的装置，该Portal认证的装置应用在DHCP服务器上。其中，该Portal认证的装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的DHCP服务器的处理器，将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图6所示，为本发明提出的Portal认证的装置所在的DHCP服务器的一种硬件结构图，除了图6所示的处理器、网络接口、内存以及非易失性存储器外，DHCP服务器还可以包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该DHCP服务器还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。
如图7所示，为本发明提出的Portal认证的装置的结构图，所述Portal认证的装置具体包括：接收模块11，用于接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的媒体访问控制MAC地址；判断模块12，用于判断所述认证客户端的MAC地址是否为合法的MAC地址；处理模块13，用于当是合法的MAC地址时，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
所述判断模块12，用于根据所述DHCP服务器记录的MAC地址查询所述认证客户端的MAC地址；如果所述DHCP服务器中存在所述认证客户端的MAC地址，则确定所述认证客户端的MAC地址是合法的MAC地址；否则，确定所述认证客户端的MAC地址不是合法的MAC地址。
所述判断模块12，还用于根据所述DHCP服务器向认证服务器发送携带所述认证客户端MAC地址的请求报文，并接收携带MAC地址信息的响应报文，并利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
其中，所述MAC地址信息包括：认证服务器中记录的MAC地址，所述DHCP服务器记录所述MAC地址信息中的MAC地址，并判断DHCP服务器记录的所述MAC地址是否存在所述认证客户端的MAC地址，若存在，则判断所述认证客户端的MAC地址是合法的MAC地址，若不存在，则判断所述认证客户端的MAC地址不是合法的MAC地址，或者，所述MAC地址信息包括：认证服务器确认自身是否存在所述认证客户端的MAC地址的确认信息，当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为合法的MAC地址，当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身不存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为不是合法的MAC地址。
所述处理模块13，还用于在判断所述认证客户端的MAC地址是否为合法的MAC地址之后，如果不是合法的MAC地址，则为所述认证客户端分配私网IP地址，并将所述私网IP地址发送给所述认证客户端，由所述认证客户端利用所述私网IP地址进行Portal认证；在接收到来自所述认证客户端的DHCP请求报文之后，如果当前已经为所述认证客户端分配了私网IP地址，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端；或者，
如果不是合法的MAC地址，则丢弃所述DHCP请求报文。
其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。
本发明实施例中还提供一种Portal认证的装置，该Portal认证的装置应用在认证服务器上。该Portal认证的装置可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在的认证服务器的处理器，将非易失性存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图8所示，为本发明提出的Portal认证的装置所在的认证服务器的一种硬件结构图，除了图8所示的处理器、网络接口、内存以及非易失性存储器外，认证服务器还可包括其他硬件，如负责处理报文的转发芯片等；从硬件结构上来讲，该认证服务器还可能是分布式设备，可能包括多个接口卡，以便在硬件层面进行报文处理的扩展。
如图9所示，为本发明提出的Portal认证的装置的结构图，所述Portal认证的装置具体包括：
记录模块21，用于记录媒体访问控制MAC地址；
发送模块22，用于利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
所述发送模块22，具体用于将所述MAC地址携带在所述MAC地址信息中发送给所述DHCP服务器，由所述DHCP服务器记录从认证服务器获得的MAC地址，并据此判断DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址；或者，接收来自DHCP服务器发送的携带所述认证客户端MAC地址的请求报文，确认自身记录的MAC地址是否包括所述认证客户端的MAC地址，并将确认结果携带在所述MAC地址信息中，发送给DHCP服务器，，由所述DHCP服务器利用所述MAC地址信息确定所述请求报文中认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
其中，本发明装置的各个模块可以集成于一体，也可以分离部署。上述模块可以合并为一个模块，也可以进一步拆分成多个子模块。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的模块或流程并不一定是实施本发明所必须的。
本领域技术人员可以理解实施例中的装置中的模块可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个模块，也可进一步拆分成多个子模块。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。
以上公开的仅为本发明的几个具体实施例，但是，本发明并非局限于此，任何本领域的技术人员能思之的变化都应落入本发明的保护范围。

Claims (18)

1.一种入口Portal认证的方法，其特征在于，所述方法包括以下步骤：
动态主机配置协议DHCP服务器接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的媒体访问控制MAC地址；
所述DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址；
如果是合法的MAC地址，则所述DHCP服务器为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
2.根据权利要求1所述的方法，其特征在于，所述DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址的过程，具体包括：
所述DHCP服务器根据自身记录的MAC地址查询所述认证客户端的MAC地址；如果所述DHCP服务器中存在所述认证客户端的MAC地址，则判断所述认证客户端的MAC地址是合法的MAC地址；否则，判断所述认证客户端的MAC地址不是合法的MAC地址。
3.根据权利要求1所述的方法，其特征在于，所述DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址的过程，具体包括：
所述DHCP服务器向认证服务器发送携带所述认证客户端MAC地址的请求报文，并接收携带MAC地址信息的响应报文，并利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
4.根据权利要求3所述的方法，其特征在于，所述MAC地址信息包括：认证服务器中记录的MAC地址，所述利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址，具体包括：
所述DHCP服务器记录所述MAC地址信息中的MAC地址，并判断DHCP服务器记录的所述MAC地址是否存在所述认证客户端的MAC地址，若存在，则判断所述认证客户端的MAC地址是合法的MAC地址，若不存在，则判断所述认证客户端的MAC地址不是合法的MAC地址。
5.根据权利要求3所述的方法，其特征在于，所述MAC地址信息包括：认证服务器确认自身是否存在所述认证客户端的MAC地址的确认信息，所述利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址，具体包括：
所述DHCP服务器获取所述MAC地址信息中的确认信息，并据此判断所述认证客户端的MAC地址是否为合法的MAC地址。
6.根据权利要求5所述的方法，其特征在于，所述确认信息包括：认证服务器确认自身存在所述认证客户端的MAC地址的信息，或者认证服务器确认自身不存在所述认证客户端的MAC地址的信息，进一步的，
当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为合法的MAC地址，
当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身不存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为不是合法的MAC地址。
7.根据权利要求1所述的方法，其特征在于，所述DHCP服务器判断所述认证客户端的MAC地址是否为合法的MAC地址之后，所述方法还包括：
如果不是合法的MAC地址，所述DHCP服务器为所述认证客户端分配私网IP地址，并将所述私网IP地址发送给所述认证客户端，由所述认证客户端利用所述私网IP地址进行Portal认证；在接收到来自所述认证客户端的DHCP请求报文之后，如果当前已经为所述认证客户端分配了私网IP地址，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端；或者，
如果不是合法的MAC地址，所述DHCP服务器丢弃所述DHCP请求报文。
8.一种入口Portal认证的方法，其特征在于，所述方法包括以下步骤：
认证服务器记录媒体访问控制MAC地址；
所述认证服务器利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
9.根据权利要求8所述的方法，其特征在于，所述认证服务器利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址的过程，具体包括：
所述认证服务器将记录的所述MAC地址携带在所述MAC地址信息中发送给所述DHCP服务器，由所述DHCP服务器记录从认证服务器获得的所述MAC地址，并据此判断DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址；或者，
所述认证服务器接收来自DHCP服务器发送的携带所述认证客户端MAC地址的请求报文，确认自身记录的MAC地址是否包括所述认证客户端的MAC地址，并将确认结果携带在所述MAC地址信息中，发送给DHCP服务器，由所述DHCP服务器利用所述MAC地址信息确定所述请求报文中认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
10.一种入口Portal认证的装置，其特征在于，所述Portal认证的装置应用在动态主机配置协议DHCP服务器上，且所述Portal认证的装置具体包括：
接收模块，用于接收来自认证客户端的DHCP请求报文，从所述DHCP请求报文中提取出所述认证客户端的媒体访问控制MAC地址；
判断模块，用于判断所述认证客户端的MAC地址是否为合法的MAC地址；
处理模块，用于当是合法的MAC地址时，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
11.根据权利要求10所述的装置，其特征在于，
所述判断模块，用于根据所述DHCP服务器记录的MAC地址查询所述认证客户端的MAC地址；如果所述DHCP服务器中存在所述认证客户端的MAC地址，则判断所述认证客户端的MAC地址是合法的MAC地址；否则，判断所述认证客户端的MAC地址不是合法的MAC地址。
12.根据权利要求10所述的装置，其特征在于，
所述判断模块，还用于根据所述DHCP服务器向认证服务器发送携带所述认证客户端MAC地址的请求报文，并接收携带MAC地址信息的响应报文，并利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
13.根据权利要求12所述的装置，其特征在于，所述MAC地址信息包括：
认证服务器中记录的MAC地址，所述利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址，具体包括：所述DHCP服务器记录所述MAC地址信息中的MAC地址，并判断DHCP服务器记录的所述MAC地址是否存在所述认证客户端的MAC地址，若存在，则判断所述认证客户端的MAC地址是合法的MAC地址，若不存在，则判断所述认证客户端的MAC地址不是合法的MAC地址。
14.根据权利要求12所述的装置，其特征在于，所述MAC地址信息包括：认证服务器确认自身是否存在所述认证客户端的MAC地址的确认信息，所述利用所述MAC地址信息判断所述认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址，具体包括：
所述DHCP服务器获取所述MAC地址信息中的确认信息，并据此判断所述认证客户端的MAC地址是否为合法的MAC地址。
15.根据权利要求14所述的装置，其特征在于，所述确认信息包括：认证服务器确认自身存在所述认证客户端的MAC地址的信息，或者认证服务器确认自身不存在所述认证客户端的MAC地址的信息，进一步的，
当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为合法的MAC地址，
当DHCP服务器获取所述MAC地址信息中的确认信息为认证服务器确认自身不存在认证客户端的MAC地址的信息时，DHCP服务器判断所述认证客户端的MAC地址为不是合法的MAC地址。
16.根据权利要求10所述的装置，其特征在于，
所述处理模块，还用于在判断所述认证客户端的MAC地址是否为合法的MAC地址之后，如果不是合法的MAC地址，则为所述认证客户端分配私网IP地址，并将所述私网IP地址发送给所述认证客户端，由所述认证客户端利用所述私网IP地址进行Portal认证；在接收到来自所述认证客户端的DHCP请求报文之后，如果当前已经为所述认证客户端分配了私网IP地址，则为所述认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端；或者，
如果不是合法的MAC地址，则丢弃所述DHCP请求报文。
17.一种入口Portal认证的装置，其特征在于，所述Portal认证的装置应用在认证服务器上，且所述Portal认证的装置具体包括：
记录模块，用于记录媒体访问控制MAC地址；
发送模块，用于利用记录的MAC地址，将MAC地址信息发送给动态主机配置协议DHCP服务器，由DHCP服务器利用所述MAC地址信息判断来自认证客户端的DHCP请求报文中的所述认证客户端的MAC地址是否为合法的MAC地址，并在是合法的MAC地址时，为认证客户端分配公网IP地址，并将所述公网IP地址发送给所述认证客户端，以使所述认证客户端利用所述公网IP地址进行Portal认证。
18.根据权利要求17所述的装置，其特征在于，
所述发送模块，具体用于将所述MAC地址携带在所述MAC地址信息中发送给所述DHCP服务器，由所述DHCP服务器记录从认证服务器获得的MAC地址，并据此判断DHCP请求报文中的认证客户端的MAC地址是否为合法的MAC地址；或者，接收来自DHCP服务器发送的携带所述认证客户端MAC地址的请求报文，确认自身记录的MAC地址是否包括所述认证客户端的MAC地址，并将确认结果携带在所述MAC地址信息中，发送给DHCP服务器，由所述DHCP服务器利用所述MAC地址信息确定所述请求报文中认证客户端的MAC地址是合法的MAC地址或者不是合法的MAC地址。
CN201510640230.9A 2015-09-30 2015-09-30 一种Portal认证的方法和装置 Active CN105592180B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510640230.9A CN105592180B (zh) 2015-09-30 2015-09-30 一种Portal认证的方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510640230.9A CN105592180B (zh) 2015-09-30 2015-09-30 一种Portal认证的方法和装置

Publications (2)

Publication Number Publication Date
CN105592180A true CN105592180A (zh) 2016-05-18
CN105592180B CN105592180B (zh) 2019-09-06

Family

ID=55931380

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510640230.9A Active CN105592180B (zh) 2015-09-30 2015-09-30 一种Portal认证的方法和装置

Country Status (1)

Country Link
CN (1) CN105592180B (zh)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106603743A (zh) * 2016-12-16 2017-04-26 合网络技术（北京）有限公司 一种基于dhcp协议定制的广播请求响应方法、系统及终端
CN106789905A (zh) * 2016-11-22 2017-05-31 上海斐讯数据通信技术有限公司 一种网络接入设备及方法
CN107493297A (zh) * 2017-09-08 2017-12-19 安徽皖通邮电股份有限公司 一种VxLAN隧道接入认证的方法
CN108076164A (zh) * 2016-11-16 2018-05-25 新华三技术有限公司 访问控制方法及装置
CN110933199A (zh) * 2019-11-28 2020-03-27 杭州迪普科技股份有限公司 一种地址分配方法及装置
CN112671708A (zh) * 2020-11-25 2021-04-16 新华三技术有限公司 认证方法及系统、portal服务器、安全策略服务器

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1458763A (zh) * 2002-05-15 2003-11-26 华为技术有限公司 一种宽带网络的接入方法
US7542468B1 (en) * 2005-10-18 2009-06-02 Intuit Inc. Dynamic host configuration protocol with security
CN101656724A (zh) * 2009-09-24 2010-02-24 杭州华三通信技术有限公司 一种防攻击方法和一种动态主机配置协议服务器
CN102244866A (zh) * 2011-08-18 2011-11-16 杭州华三通信技术有限公司 门户认证方法及接入控制器
CN102572005A (zh) * 2011-11-23 2012-07-11 杭州华三通信技术有限公司 一种ip地址分配方法和设备
CN102594935A (zh) * 2012-01-20 2012-07-18 杭州华三通信技术有限公司 基于dhcp接入认证的二次地址分配的方法和网络设备

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1458763A (zh) * 2002-05-15 2003-11-26 华为技术有限公司 一种宽带网络的接入方法
US7542468B1 (en) * 2005-10-18 2009-06-02 Intuit Inc. Dynamic host configuration protocol with security
CN101656724A (zh) * 2009-09-24 2010-02-24 杭州华三通信技术有限公司 一种防攻击方法和一种动态主机配置协议服务器
CN102244866A (zh) * 2011-08-18 2011-11-16 杭州华三通信技术有限公司 门户认证方法及接入控制器
CN102572005A (zh) * 2011-11-23 2012-07-11 杭州华三通信技术有限公司 一种ip地址分配方法和设备
CN102594935A (zh) * 2012-01-20 2012-07-18 杭州华三通信技术有限公司 基于dhcp接入认证的二次地址分配的方法和网络设备

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108076164A (zh) * 2016-11-16 2018-05-25 新华三技术有限公司 访问控制方法及装置
CN108076164B (zh) * 2016-11-16 2021-03-23 新华三技术有限公司 访问控制方法及装置
CN106789905A (zh) * 2016-11-22 2017-05-31 上海斐讯数据通信技术有限公司 一种网络接入设备及方法
CN106603743A (zh) * 2016-12-16 2017-04-26 合网络技术（北京）有限公司 一种基于dhcp协议定制的广播请求响应方法、系统及终端
CN107493297A (zh) * 2017-09-08 2017-12-19 安徽皖通邮电股份有限公司 一种VxLAN隧道接入认证的方法
CN110933199A (zh) * 2019-11-28 2020-03-27 杭州迪普科技股份有限公司 一种地址分配方法及装置
CN110933199B (zh) * 2019-11-28 2022-08-26 杭州迪普科技股份有限公司 一种地址分配方法及装置
CN112671708A (zh) * 2020-11-25 2021-04-16 新华三技术有限公司 认证方法及系统、portal服务器、安全策略服务器
CN112671708B (zh) * 2020-11-25 2022-08-30 新华三技术有限公司 认证方法及系统、portal服务器、安全策略服务器

Also Published As

Publication number Publication date
CN105592180B (zh) 2019-09-06

Similar Documents

Publication Publication Date Title
CN110602096B (zh) 区块链网络中的数据处理方法、装置、存储介质和设备
CN105592180A (zh) 一种Portal认证的方法和装置
CN102891826B (zh) 网页访问的控制方法、设备和系统
CN102325145B (zh) 一种对双栈用户进行访问控制的方法和设备
CN108881308B (zh) 一种用户终端及其认证方法、系统、介质
CN109743163A (zh) 微服务架构中的权限认证方法、装置及系统
CN101447879B (zh) 一种计费的方法及接入设备
CN104158818A (zh) 一种单点登录方法及系统
CN104159225A (zh) 一种基于无线网络的实名制管理方法及系统
CN104335546A (zh) 使用邻居发现来为其它应用创建信任信息
CN104184713A (zh) 终端识别方法、机器识别码注册方法及相应系统、设备
CN102055816A (zh) 一种通信方法、业务服务器、中间设备、终端及通信系统
US20140223518A1 (en) Authentication and authorization method and system
CN101651696A (zh) 一种防止nd攻击的方法及装置
US10218712B2 (en) Access control using information on devices and access locations
WO2015196755A1 (zh) 一种身份位置分离网络中的地址分配方法及接入服务节点
US8769623B2 (en) Grouping multiple network addresses of a subscriber into a single communication session
CN105681258A (zh) 基于第三方服务器的会话方法和会话装置
CN103067407A (zh) 用户终端接入网络的认证方法及装置
CN104468619A (zh) 一种实现双栈web认证的方法和认证网关
CN104052829A (zh) 自适应名字解析
CN105813078A (zh) 网络认证方法、装置、系统以及具有认证功能的ap
CN104253798A (zh) 一种网络安全监控方法和系统
CN109067729B (zh) 一种认证方法及装置
CN1783780B (zh) 域认证和网络权限认证的实现方法及设备

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
CB02 Change of applicant information

Address after: 310052 Binjiang District Changhe Road, Zhejiang, China, No. 466, No.

Applicant after: Xinhua three Technology Co., Ltd.

Address before: 310052 Binjiang District Changhe Road, Zhejiang, China, No. 466, No.

Applicant before: Huasan Communication Technology Co., Ltd.

CB02 Change of applicant information
GR01 Patent grant
GR01 Patent grant