CN106027565B - 一种基于pppoe的内外网统一认证的方法和装置 - Google Patents

Abstract

本申请供一种基于PPPOE的内外网统一认证的方法，应用于接入服务器侧，所述方法包括：当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。应用本申请的实施例，校园网用户只需要通过一次认证，就能访问校园网内网和外部互联网资源，从而使校园网用户更加方便地访问外部互联网资源。

Description

一种基于PPPOE的内外网统一认证的方法和装置

技术领域

本申请涉及网络通信技术领域，特别涉及一种基于PPPOE的内外网统一认证的方法和装置。

背景技术

校园网是一个宽带、具有交互功能的局域网络，因此用户访问校园网时，就像访问互联网时一样，都需要进行用户认证。目前，校园网用户需要区分内外网用户，大部分校园网采用二次认证的方式区分内外网用户。校园网用户访问校园网时，需要使用内网的接入认证方式进行认证，比如802.1x接入认证；当校园网用户访问外网时，需要内网接入认证成功后，才能使用外网接入认证方式进行认证，比如Portal接入认证。

校园网用户要访问外网时，需要通过两次接入认证，先要进行内网认证，内网认证成功后才能访问外网，因此，内网用户访问外部互联网资源很不方便。

发明内容

有鉴于此，本申请提供一种基于PPPOE(point to point protocol overEthernet,以太网上的点到点协议)的内外网统一认证的方法和装置，使内网用户更加方便地访问外部互联网资源。

具体地，本申请是通过如下技术方案实现的：

一种基于PPPOE的内外网统一认证的方法，应用于接入服务器，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连，包括：

当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；

接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。

一种基于PPPOE的内外网统一认证的方法，应用于第一认证服务器，所述第一认证服务器与第二认证服务器、接入服务器分别相连，其中，所述接入服务器与接入客户端、防火墙分别相连；所述防火墙用于隔离内网和外网，包括：

接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息；

对所述用户认证信息进行认证；

当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证；

当第二认证服务器针对所述用户认证信息认证通过后，向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

一种基于PPPOE的内外网统一认证的装置，应用于接入服务器，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连，所述装置包括：

发送单元，用于当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；

接收单元，用于接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。

一种基于PPPOE的内外网统一认证的装置，应用于第一认证服务器，所述第一认证服务器与第二认证服务器、接入服务器分别相连，其中，所述接入服务器与接入客户端、防火墙分别相连；所述防火墙用于隔离内网和外网，所述装置包括：

接收单元，用于接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息；

认证单元，用于对所述用户认证信息进行认证；

透传单元，用于当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证；

发送单元，用于当第二认证服务器针对所述用户认证信息认证通过后，向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

由以上本申请提供的技术方案可见，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连。接入服务器在接收到客户端发起的PPPOE认证时，可以向第一认证服务器发送认证请求报文，其中该认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，当第一认证服务器认证通过后，可以将所述认证请求报文透传至第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证。当第二认证服务器针对所述用户认证信息认证通过后，第一认证服务器向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以由所述接入服务器将所述公网IP分配给所述接入客户端，使得接入客户端同时取得内网和外网的访问权限，从而实现了内网用户只需要通过一次认证，就能同时访问内网和外部互联网资源，从而使内网用户更加方便地访问外部互联网资源。

附图说明

图1为本申请示出的相关技术中校园网用户通过两次认证解决内外网认证的方法的组网架构图；

图2为本申请示出的相关技术中基于PPPOE协议进行接入认证的流程图；

图3为本申请示出的一种基于PPPOE的内外网统一认证的方法的组网架构图；

图4为本申请示出的一种基于PPPOE的内外网统一认证的方法的流程图；

图5为本申请示出的另一种基于PPPOE的内外网统一认证的方法的流程图；

图6为本申请示出的另一种基于PPPOE的内外网统一认证的方法的流程图；

图7为本申请示出的一种基于PPPOE的内外网统一认证的装置；

图8为本申请示出的另一种基于PPPOE的内外网统一认证的装置。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

请参见图1，图1为本申请示出的相关技术中内网用户通过两次认证解决内外网认证的方法的组网架构图。

在图1示出的组网连接中，客户端为PC(Personal Computer，个人计算机)，认证接入设备1通过防火墙连接校内网，认证接入设备2通过防火墙连接外部互联网。认证接入设备1和认证接入设备2均通过交换机与认证服务器连接，认证服务器中保存着所有用户的信息。认证接入设备1开启802.1x认证，作为第一次认证设备，给用户授权访问内网；认证接入设备2开启Portal认证，作为第二次认证设备，给用户授权访问外部互联网。

在实际应用中，客户端向认证接入设备1发送认证请求报文，该认证请求报文携带用户认证信息。认证接入设备1接收到认证请求报文后，将携带用户认证信息的认证请求报文通过交换机，发送到认证服务器。认证服务器对接收到的认证请求报文进行解析，获取用户认证信息，并与服务器本地保存的用户认证信息进行校验。校验通过后，认证服务器返回给认证接入设备1认证通过报文，否则返回给认证接入设备1认证失败报文。认证接入设备1认证通过后，将基于本地预设的私网地址池为所述接入客户端分配私网IP，以使用户通过该私网IP能访问内部网络资源，但不能访问外互联网资源，以上过程即为内网用户的第一次认证。

用户通过第一次认证后，即拥有访问内部网络资源的权限，用户想要访问外部互联网时，认证接入设备1会向认证接入设备2继续发送认证请求报文，所述认证请求报文携带用户认证信息。认证接入设备2接收到所述认证请求报文后，将该认证请求报文通过交换机发送给认证服务器，认证服务器对该报文进行解析，获取用户认证信息，并与服务器本地保存的用户认证信息进行校验。校验通过后，认证服务器返回给认证接入设备2认证通过报文，否则返回给认证接入设备2认证失败报文。认证服务器认证通过后，认证接入设备2将基于本地预设的公网IP地址池为所述接入客户端分配公网IP，以使用户通过该公网IP既能访问内部网络资源，又能访问外部互联网资源，以上过程即为内网用户的第二次认证。

一方面，内网用户通过两次认证解决内外网认证的方法需要装设两台认证接入设备，多一台认证设备，数据就要多传输一次，传输过程中会产生丢包情况，数据成功传输的效率就会下降，进而直接导致用户认证的成功率下降。

另一方面，内网用户访问外网时，需要经过两次认证，相比于一次认证，两次认证需要花费更多的时间，因此用户需要等待更多的时间才能认证成功，从而导致内网用户访问外部互联网资源时很不方便。

为了解决上述问题，本发明实施例提供了一种基于PPPOE的内外网统一认证的方法，通过对组网连接方式的改进，引入两台不同的认证服务器，通过第一认证服务器将认证请求报文透传至第二认证服务器，实现一次认证请求同时完成内网和外网的认证。

请参见图2，图2为本申请示出的相关技术中基于PPPOE协议进行接入认证的流程图。

本申请是基于PPPOE接入方式认证的基础上，解决内外网统一认证的方法。在图2中，PPPOE接入方式认证分为三个阶段分别为发现阶段、会话阶段和终止阶段。每个阶段的具体过程如下：

1)、发现阶段：

步骤201：PPPOE客户端向PPPOE服务器发送一个PADI广播报文。

其中，PPPOE客户端发送的是一个广播报文，因此所述PPPOE客户端和PPPOE服务器必须得在同一个局域网中。

步骤202：PPPOE服务器接收到PADI广播报文之后，向PPPOE客户端发送一个PADO报文。

其中，上述PADO报文以单播的方式发送给PPPOE客户端。

步骤203：PPPOE客户端接收到PPPOE服务器发送的PADO报文之后，向PPPOE服务器发送一个PADR报文。

其中，当PPPOE客户端所在的局域网中有多台PPPOE服务器，由于PPPOE客户端发送的是PADI广播报文，因此，PPPOE客户端会接收到对应于不同的PPPOE服务器的多个PADO报文。对应于此情况，PPPOE客户端会选择第一个接收到的PADO报文对应的服务器作为自己的接入服务器，并向该服务器发送一个PADR报文。

步骤204：PPPOE服务器接收到PADR报文之后，会生成一个Session-ID,并向PPPOE客户端发送一个携带有该Session-ID的PADS报文。

其中，上述Session-ID将包含在之后的PPPOE客户端和服务器之间所有信息交换报文中，用来表示特定的会话，从而在以太网上建立起一条PPP链路。

2)、会话阶段：

步骤205：在LCP(Link Control Protocol，链路控制协议)阶段，PPPOE客户端与PPPOE服务器协商最大接受报文长度和认证方法。

其中，上述LCP阶段是指会话阶段的三个阶段中第一个阶段，会话阶段又分为三个阶段，分别为LCP阶段，认证阶段和NCP(Network Control Protocol，网络控制协议)阶段。当PPPOE客户端和PPPOE服务器完成协商后，PPPOE客户端和服务器会定时向对端发送LCPEcho Request报文探测链路状态，如果没有收到对端回应的LCP Echo Response报文，链路中断，关闭PPPOE会话。

步骤206：在认证阶段，PPPOE客户端和服务器进行认证方式的选择。

其中，认证方式包含两种，分别为CHAP(Challenge Handshake AuthenticationProtocol,质询应答握手认证协议)和PAP(Password Authentication Protocol，密码认证协议)，具体选择哪种认证方式，可以由LCP协商确定。接入服务器可以基于协商出的认证方式，接收客户端发送的登陆名以及密码等用户认证信息，并将所述用户认证信息分别提交至内网和外网服务器进行认证。

步骤207：在NCP阶段(即认证完成之后)，PPPOE服务器基于IPCP(InternetProtocol Control Protocol，互联网协议控制协议)协议为PPPOE客户端分配IP和DNS地址。例如，外网认证服务器认证通过后，可以向接入服务器返回为接入客户端分配的公网IP，在这种情况下，接入服务器可以将该公网IP分配给接入客户端。如果内网认证服务器认证通过，可以向接入服务器返回为接入客户端分配的私网IP，在这种情况下，接入服务器可以将该私网IP分配给接入客户端。

3)、终止阶段：

步骤208：PPPOE客户端和服务器向对端发送PADT报文终结PPPOE会话。

其中，PPPOE会话建立以后，客户端和服务器都可以向对端发送PADT报文来终结会话，而且PADT数据包可以在会话建立以后的任意时刻发送。在发送或者接收到PADT报文后，将不允许再使用该会话发送PPP流量。

请参见图3，图3为本申请示出的一种基于PPPOE的内外网统一认证的方法的组网架构图。

以下以上述内网为校园网为例，并结合校园网接入认证的应用场景进行详细描述，当然以校园网接入认证的应用场景为例仅为示例性的，在实际应用中，也可以适用于其它应用场景。

在图3示出的组网连接中，接入客户端可以包括PC、移动终端等；接入客户端可以与接入服务器连接，该接入服务器可以为BARS(Broadband Remote Access Server，宽带接入服务器)，接入服务器与接入客户端、第一认证服务器、防火墙分别相连；所述防火墙用于隔离校园网内网和外部互联网；所述第一认证服务器与第二认证服务器相连。

其中，接入服务器可以为PPPOE服务器，用户可以通过接入客户端向接入服务器发起PPPOE认证。所述第一认证服务器与第二认证服务器均可以为RADIUS(RemoteAuthentication Dial in User Service)服务器。

所述第一认证服务器，用于对用户进行内网认证，当认证通过后，该用户将取得访问内网资源的权限。在其本地保存有校园网内网用户的用户认证信息，所述用户认证信息，包括用户名，密码等。

当接收到接入服务器发送的认证请求报文时，对所述认证请求报文进行解析，并获取所述用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

所述第二认证服务器，用于对用户进行外网认证，当认证通过后，该用户将取得访问外网资源的权限。在其本地保存外网用户的用户认证信息，所述用户认证信息，包括用户名，密码等。

当第二认证服务器接收到第一认证服务器透传的认证请求报文时，对所述认证请求报文进行解析，并获取所述用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证，认证通过后，基于本地预设的公网IP地址池为所述接入客户端分配公网IP。

其中，在示出的一种实施方式中，第一认证服务器本地可以预先设置一个公网IP地址池。当第一认证服务器接收到第二认证服务器发出的认证通过报文后，可以通过该地址池为接入客户端分配公网IP。

在示出的另一种实施方式中，该公网IP地址池，也可以设置在第二认证服务器上，当第二认证服务器对用户认证信息认证通过后，可以通过该地址池为接入客户端分配公网IP，然后将该公网IP携带在认证通过报文中返回给第一认证服务器。

所述接入服务器，用于在接收到用户发起的PPPOE认证时，基于RADIUS协议向相应的认证服务器发送认证请求报文，并根据认证结果为接入客户端分配IP。

当接入服务器接收到接入客户端发送的认证请求报文时，该认证请求报文携带用户认证信息，并向第一认证服务器发送所述认证请求报文。当接收到第一认证服务器发送的认证通过报文，所述认证通过报文携带有公网IP时，将该公网IP分配给接入客户端，所述认证通过报文不携带有公网IP时，可以基于本地预设的私网IP地址池为所述接入客户端分配私网IP。

所述防火墙，用于对校园网内网和互联网之间进行信息隔离，防止了用户信息的泄露。

在本例中，可以利用图3所示出的组网架构，通过一次认证即可完成针对用户的内网和外网认证。接入服务器在接收到接入客户端发送的认证请求报文时，可以将该认证请求报文发送至第一认证服务器进行内网认证，第一认证服务器可以解析认证请求报文获取其中的用户认证信息，对该用户认证信息进行认证。当认证通过后，该用户已可以取得内网访问权限，第一认证服务器可以将该认证请求报文透传至第二认证服务器继续进行外网认证，第二认证服务器对该认证请求报文中的用户认证信息进行认证。

一方面，当公网IP地址池预设在第二服务器侧时，当第二认证服务器认证通过后，将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带有该公网IP的认证通过报文返回给第一认证服务器，接入服务器将会接收到第一认证服务器转发的携带该公网IP的认证通过报文。

另一方面，如果公网IP地址池预设在第一服务器侧，当第一认证服务器将接收到第二认证服务器发送的不携带公网IP的认证通过报文后，第一认证服务器将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带该公网IP的认证通过报文发送给接入服务器。

接入服务器接收到携带为所述接入客户端分配的公网IP的认证通过报文后，将该公网IP分配给接入客户端，这种情况下，用户同时取得内网和外网的访问权限，从而用户通过一次认证，即可完成内网和外网的认证，取得内网和外网的访问权限。

请参见图4，图4为本申请示出的一种基于PPPOE的内外网统一认证的方法的流程图，应用于接入服务器侧，本实施例是在图3示出的组网架构的基础上实现的，具体执行以下步骤：

步骤401：当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；

在本例中，接入客户端仍然可以基于PPPOE协议向接入服务器发起PPPOE认证，具体的认证方式不再赘述。

其中，在基于RADIUS协议进行认证的场景中，上述认证请求报文可以是RADIUS协议中的Access-Request报文。

上述用户认证信息包含用户名，密码等相关用户信息。

上述第一认证服务器，在其本地保存有校园网内网用户的用户认证信息。当接收到接入服务器发送的认证请求报文时，对所述认证请求报文进行解析，并获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

上述第二认证服务器，在其本地保存外网用户的用户认证信息。当第二认证服务器接收到第一认证服务器透传的认证请求报文时，对所述认证请求报文进行解析，获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

在本实施例中，第一认证服务器接收到接入服务器发送的认证请求报文后，对所述认证请求报文进行解析，获取该认证请求报文中携带的用户认证信息，根据获取到的用户认证信息与第一认证服务器本地保存的用户认证信息，进行校验，如果校验通过，即认证通过。

当第一认证服务器认证通过后，用户已取得内网访问权限，在这种情况下，第一认证服务器可以将该认证请求报文透传至第二认证服务器，以由第二认证服务器对所述认证请求报文继续进行外网认证。

如果第二认证服务器认证失败，第二认证服务器可以向第一认证服务器返回一个认证失败报文。其中，在基于RADIUS协议进行认证的场景中，上述认证失败报文可以是RADIUS协议中的Access-Reject报文。

接入服务器接收到第一认证服务器返回的认证失败报文后，可以通过接入客户端的用户界面向用户输出一个接入失败的提示消息。例如，这个提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

在示出的一种实施方式中，当公网IP地址池预设在第二认证服务器上时，如果第二认证服务器认证通过，第二认证服务器可以通过其本地的公网IP地址池为接入客户端分配一个公网IP，并将携带该公网IP的认证通过报文，返回给第一认证服务器。

其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文。

在示出的另一种实施方式中，当公网IP地址池预设在第一认证服务器上时，如果第二认证服务器认证通过，第二认证服务器将返回给第一认证服务器一个认证通过报文。第一认证服务器接收到该认证通过报文后，可以通过其本地的公网IP地址池为接入客户端分配一个公网IP。

其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文。

步骤402：接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。

在本实施例中，接入服务器接收到第一认证服务器发送的认证通过报文后，对该认证通过报文进行解析，判断该认证通过报文是否携带公网IP。

当该认证通过报文携带公网IP，此时表明第二认证服务器也认证通过，在这种情况下，用户可以同时取得内网和外网的访问权限。

其中，一方面，当公网IP地址池设置在第二认证服务器侧时，该认证通过报文是由第一认证服务器转发的，该认证通过报文中携带的公网IP是由第二认证服务器通过其本地的公网IP地址池为所述接入客户端分配的；

另一方面，当公网IP地址池设置在第一认证服务器侧时，该认证通过报文是由第一认证服务器为所述接入客户端分配完公网IP后，将该公网IP携带在该认证通过报文后发送给接入服务器的。

当然，如果该认证通过报文未携带公网IP，此时表明第二认证服务器认证失败，用户只取得内网访问的权限(仅第一认证服务器认证通过)，不具有外网访问的权限。在这种情况下，接入服务器将通过其本地设置的私网IP地址池为所述接入客户端分配私网IP。

在本例中，当接入服务器接收到第一认证服务器发送的认证失败报文时，此时表明第一认证服务器和第二认证服务器均未认证成功，用户无法取得同时访问内网和外网的访问权限。在这种情况下，接入服务器可以通过接入客户端向用户输出接入失败的提示消息；其中，该提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

由以上本申请提供的技术方案可见，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连。接入服务器在接收到客户端发起的PPPOE认证时，可以向第一认证服务器发送认证请求报文，其中该认证请求报文携带用户认证信息，接入服务器通过接收接入客户端发送的认证请求报文，所述认证请求报文携带用户认证信息；并将所述认证请求报文发送至第一认证服务器，以使第一认证服务器对所述用户认证信息进行认证，当第一认证服务器认证通过后，将所述认证请求报文透传至第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证。

一方面，如果公网IP地址池预设在第二服务器侧，当第二认证服务器认证通过后，将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带有该公网IP的认证通过报文返回给第一认证服务器，接入服务器将会接收到第一认证服务器转发的携带该公网IP的认证通过报文。

另一方面，如果公网IP地址池预设在第一服务器侧，当第一认证服务器将接收到第二认证服务器发送的不携带公网IP的认证通过报文后，第一认证服务器将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带该公网IP的认证通过报文发送给接入服务器。

接入服务器接收到携带公网IP的认证通过报文后，将该公网IP分配给接入客户端，在这种情况下，用户可以同时取得内网和外网的访问权限，从而实现了内网用户只需要通过一次认证，就能同时访问内网和外部互联网资源，使内网用户更加方便地访问外部互联网资源。

请参见图5，图5为本申请示出的一种基于PPPOE的内外网统一认证的方法的流程图，应用于第一认证服务器侧，本实施例是在图3示出的组网架构的基础上实现的，具体执行以下步骤：

步骤501：接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息。

在本例中，接入客户端仍然可以基于PPPOE协议向接入服务器发起PPPOE认证，具体的认证方式不再赘述。

其中，在基于RADIUS协议进行认证的场景中，上述认证请求报文可以是RADIUS协议中的Access-Request报文。

上述用户认证信息包含用户名，密码等相关用户信息。

上述第一认证服务器，在其本地保存有校园网内网用户的用户认证信息。当接收到接入服务器发送的认证请求报文时，对所述认证请求报文进行解析，并获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

上述第二认证服务器，在其本地保存外网用户的用户认证信息。当第二认证服务器接收到第一认证服务器透传的认证请求报文时，对所述认证请求报文进行解析，获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

步骤502：对所述用户认证信息进行认证。

在本实施例中，第一认证服务器接收到接入服务器发送的认证请求报文后，对所述认证请求报文进行解析，获取该认证请求报文中携带的用户认证信息，根据获取到的用户认证信息与第一认证服务器本地保存的用户认证信息，进行校验，如果校验通过，即认证通过。

当第一认证服务器认证通过后，此时用户取得内网访问权限，在这种情况下，第一认证服务器可以将该认证请求报文透传至第二认证服务器，以由第二认证服务器对所述认证请求报文继续进行外网认证。如果第二认证服务器认证失败，第二认证服务器可以向第一认证服务器返回一个认证失败报文。其中，在基于RADIUS协议进行认证的场景中，上述认证失败报文可以是RADIUS协议中的Access-Reject报文。

接入服务器接收到第一认证服务器返回的认证失败报文后，可以通过接入客户端的用户界面向用户输出一个接入失败的提示消息。例如，这个提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

步骤503：当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证。

在示出的一种实施方式中，当公网IP地址池预设在第二认证服务器上时，如果第二认证服务器认证通过，第二认证服务器可以通过其本地的公网IP地址池为接入客户端分配一个公网IP，并将携带该公网IP的认证通过报文，返回给第一认证服务器。其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文。

在示出的另一种实施方式中，当公网IP地址池预设在第一认证服务器上时，如果第二认证服务器认证通过，第二认证服务器将返回给第一认证服务器一个认证通过报文。第一认证服务器接收到该认证通过报文后，可以通过其本地的公网IP地址池为接入客户端分配一个公网IP。其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文。

步骤504：当第二认证服务器针对所述用户认证信息认证通过后，向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

在本实施例中，第一认证服务器接收到第二认证服务器返回的认证通过报文，此时表明第二认证服务器认证通过。表明此时用户取得内网和外网的访问权限。第一认证服务器会向接入服务器发送认证通过报文。

如果公网IP地址池设置在第二认证服务器侧，该认证通过报文是由第一认证服务器转发的，该认证通过报文中携带的公网IP是由第二认证服务器通过其本地的公网IP地址池为所述接入客户端分配的；如果公网IP地址池设置在第一认证服务器侧，该认证通过报文是由第一认证服务器为所述接入客户端分配完公网IP后，将该公网IP携带在该认证通过报文后发送给接入服务器的。

当第一认证服务器接收到第二认证服务器发送的认证失败报文，此时表明第二认证服务器认证失败，在这种情况下，用户取得内网的访问权限，但不具有外网访问的权限。第一认证服务器将向接入服务器发送不携带公网IP的认证通过报文，以使接入服务器基于其本地的私网IP地址池为所述接入客户端分配私网IP。

当然，第一认证服务器向接入服务器发送认证失败报文时，此时表明第一认证服务器认证失败，在这种情况下，用户不具有访问内网和外网的访问权限。接入服务器将通过接入客户端向用户输出接入失败的提示消息，该提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

由以上本申请提供的技术方案可见，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连。接入服务器在接收到客户端发起的PPPOE认证时，可以向第一认证服务器发送认证请求报文，其中该认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，当第一认证服务器认证通过后，将所述认证请求报文透传至第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证。

一方面，如果公网IP地址池预设在第二服务器侧，当第二认证服务器认证通过后，将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带有该公网IP的认证通过报文返回给第一认证服务器，接入服务器将会接收到第一认证服务器转发的携带该公网IP的认证通过报文。

另一方面，如果公网IP地址池预设在第一服务器侧，当第一认证服务器将接收到第二认证服务器发送的不携带公网IP的认证通过报文后，第一认证服务器将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带该公网IP的认证通过报文发送给接入服务器。

接入服务器接收到携带为所述接入客户端分配的公网IP的认证通过报文后，将该公网IP分配给接入客户端，在这种情况下，用户同时取得内网和外网的访问权限。实现了内网用户只需要通过一次认证，就能同时访问内网和外部互联网资源，从而使内网用户更加方便地访问外部互联网资源。

请参见图6，图6为本申请示出的一种基于PPPOE的内外网统一认证的方法的流程图，应用于接入服务器侧和第一认证服务器，本实施例是在图3示出的组网架构的基础上实现的，其中，接入服务器侧和第一认证服务器进行交互，具体执行以下步骤：：

步骤601：接入客户端向接入服务器发送认证请求报文。

在本例中，接入客户端仍然可以基于PPPOE协议向接入服务器发起PPPOE认证，具体的认证方式不再赘述。

其中，在基于RADIUS协议进行认证的场景中，上述认证请求报文可以是RADIUS协议中的Access-Request报文。

上述用户认证信息包含用户名，密码等相关用户信息。

步骤602：接入服务器接收到所述认证请求报文后，将该认证请求报文发送给第一认证服务器。

上述第一认证服务器，在其本地保存有校园网内网用户的用户认证信息。当接收到接入服务器发送的认证请求报文时，对所述认证请求报文进行解析，并获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

步骤603：第一认证服务器对接入服务器发送的认证请求报文进行解析，获取该认证请求报文携带的用户认证信息。

步骤604：第一认证服务器对所述用户认证信息进行认证。

步骤605：第一认证服务器判断认证是否通过。

步骤606：第一认证服务器认证失败，则向接入服务器发送认证失败报文。

步骤607：第一认证服务器认证通过，则将所述认证请求报文透传至第二认证服务器。

上述第二认证服务器，在其本地保存外网用户的用户认证信息。当第二认证服务器接收到第一认证服务器透传的认证请求报文时，对所述认证请求报文进行解析，获取其中的用户认证信息，根据获取的用户认证信息与本地保存的用户认证信息，进行校验，即对获取的用户认证信息进行认证。

上述五个步骤中，第一认证服务器接收到接入服务器发送的认证请求报文后，对所述认证请求报文进行解析，获取该认证请求报文中携带的用户认证信息，根据获取到的用户认证信息与第一认证服务器本地保存的用户认证信息，进行校验，如果校验通过，即认证通过。

当第一认证服务器认证通过后，此时用户已取得内网访问权限，在这种情况下，第一认证服务器可以将该认证请求报文透传至第二认证服务器，以由第二认证服务器对所述认证请求报文继续进行外网认证。如果第二认证服务器认证失败，第二认证服务器可以向第一认证服务器返回一个认证失败报文。其中，在基于RADIUS协议进行认证的场景中，上述认证失败报文可以是RADIUS协议中的Access-Reject报文。

接入服务器接收到第一认证服务器返回的认证失败报文后，可以通过接入客户端的用户界面向用户输出一个接入失败的提示消息。例如，这个提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

步骤608：第二认证服务器接收到第一认证服务器透传的认证请求报文后，对所述认证请求报文进行解析，获取该认证请求报文携带的用户认证信息。

步骤609：第二认证服务器获得用户认证信息后，对所述用户认证信息进行认证。

步骤610：第二认证服务器判断认证是否通过。

步骤611：第二认证服务器认证未通过，则向所述第一认证服务器发送不含有公网IP的报文。

步骤612：第二认证服务器认证通过，则向第一认证服务器发送携带公网IP的报文。

步骤613：第一认证服务器接收到第二认证服务器发送的不含有公网IP的报文后，向接入服务器发送不含有公网IP的认证通过报文。

步骤614：第一认证服务器接收到第二认证服务器发送的携带公网IP的报文后，向接入服务器发送所述携带公网IP的认证通过报文。

上述步骤613和步骤614在一个实施例中只会执行一次，根据步骤610的判断结果，当执行步骤611，则只会执行步骤613，当执行步骤612，则只会执行步骤614.

结合上述几个步骤分析，在示出的一种实施方式中，当公网IP地址池预设在第二认证服务器上时，如果第二认证服务器认证通过，第二认证服务器可以通过其本地的公网IP地址池为接入客户端分配一个公网IP，并将携带该公网IP的认证通过报文，返回给第一认证服务器。其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文。本实施例示出的方式为公网IP地址池设置在第二认证服务器上。

在示出的另一种实施方式中，当公网IP地址池预设在第一认证服务器上时，如果第二认证服务器认证通过，第二认证服务器将返回给第一认证服务器一个认证通过报文。第一认证服务器接收到该认证通过报文后，可以通过其本地的公网IP地址池为接入客户端分配一个公网IP。其中，在基于RADIUS协议进行认证的场景中，上述认证通过报文可以是RADIUS协议中的Access-Accept报文

步骤615：接入服务器接收到第一认证服务器发送的不含有公网IP的认证通过报文后，分配给客户端私网IP。

步骤616：接入服务器接收到第一认证服务器发送的公网IP后，将该公网IP发送给客户端。

其中，步骤615和步骤616在一个实施例中只会执行一次，当执行步骤613，则只会执行615，当执行步骤614，则只会执行步骤616。

结合上述几个步骤分析，接入服务器接收到第一认证服务器发送的认证通过报文后，对该认证通过报文进行解析，判断该认证通过报文是否携带公网IP。

当该认证通过报文携带公网IP，此时表明第二认证服务器认证通过，在这种情况下，用户取得了内网和外网的访问权限。当公网IP地址池设置在第二认证服务器侧时，该认证通过报文是由第一认证服务器转发的，该认证通过报文中携带的公网IP是由第二认证服务器通过其本地的公网IP地址池为所述接入客户端分配的；当公网IP地址池设置在第一认证服务器侧时，该认证通过报文是由第一认证服务器为所述接入客户端分配完公网IP后，将该公网IP携带在该认证通过报文后发送给接入服务器的。

当该认证通过报文未携带公网IP，此时表明第二认证服务器认证失败，在种情况下，用户取得了内网访问的权限，但不具有外网访问的权限。此时，接入服务器将通过其本地设置的私网IP地址池为所述接入客户端分配私网IP。

当接入服务器接收到第一认证服务器的认证失败报文，此时表明用户不具有访问内网和外网的访问权限。接入服务器将通过接入客户端向用户输出接入失败的提示消息，该提示消息可以是一条“用户名或者密码不正确”的文本提示消息。

由以上本申请提供的技术方案可见，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连。接入服务器在接收到客户端发起的PPPOE认证时，可以向第一认证服务器发送认证请求报文，其中该认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，当第一认证服务器认证通过后，将所述认证请求报文透传至第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证。

一方面，当公网IP地址池预设在第二服务器侧时，当第二认证服务器认证通过后，将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带有该公网IP的认证通过报文返回给第一认证服务器，接入服务器将会接收到第一认证服务器转发的携带该公网IP的认证通过报文。

另一方面，当公网IP地址池预设在第一服务器侧时，当第一认证服务器将接收到第二认证服务器发送的不携带公网IP的认证通过报文后，第一认证服务器将基于其本地预设的公网IP地址池为所述接入客户端分配公网IP，并将携带该公网IP的认证通过报文发送给接入服务器。

接入服务器接收到携带为所述接入客户端分配的公网IP的认证通过报文后，将该公网IP分配给接入客户端，此时，用户同时具有内网和外网的访问权限。实现了内网用户只需要通过一次认证，就能同时访问内网和外部互联网资源，从而使内网用户更加方便地访问外部互联网资源。

请参考图7，图7为本申请示出的一种基于PPPOE的内外网统一认证的装置，应用于接入服务器侧，本实施例是在图3示出的组网架构的基础上实现的，该装置包括：发送单元710，接收单元720。

其中，发送单元710，用于当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；接收单元720，用于接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。

在本实施例中，所述接收单元720，具体用于当接收到所述第一认证服务器发送的认证失败报文时，确定所述第一认证服务器针对所述用户认证信息认证失败，通过所述接入客户端向用户输出接入失败的提示消息。如果所述认证通过报文未携带为所述接入客户端分配的公网IP，确定所述第二认证服务器针对所述用户认证信息认证失败，则基于本地预设的私网IP地址池为所述接入客户端分配私网IP。

请参见图8，图8为本申请示出的一种基于PPPOE的内外网统一认证的装置，应用于第一认证服务器侧，本实施例是在图3示出的组网架构的基础上实现的，该装置包括：接收单元810，认证单元820，透传单元830，发送单元840。

其中，接收单元810，用于接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息；认证单元820，用于对所述用户认证信息进行认证；透传单元830，用于当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证；发送单元840，用于当接收到所述第二认证服务器发送的认证通过报文后，将该认证通过报文转发至所述接入服务器；其中，所述认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

在本实施例中，所述发送单元840，具体用于当接收到所述第二认证服务器发送的认证失败报文后，向所述接入服务器发送认证通过报文；其中，所述认证通过报文不携带所述公网IP，以使所述接入服务器在接收到该认证通过报文后，为所述接入客户端分配私网IP。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims (10)

1.一种基于PPPOE的内外网统一认证的方法，应用于接入服务器，其特征在于，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连，包括：

当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；

接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给所述接入客户端。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

当接收到所述第一认证服务器发送的认证失败报文时，确定所述第一认证服务器针对所述用户认证信息认证失败，通过所述接入客户端向用户输出接入失败的提示消息。

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：

如果所述认证通过报文未携带为所述接入客户端分配的公网IP，确定所述第二认证服务器针对所述用户认证信息认证失败，则基于本地预设的私网IP地址池为所述接入客户端分配私网IP。

4.一种基于PPPOE的内外网统一认证的方法，应用于第一认证服务器，其特征在于，所述第一认证服务器与第二认证服务器、接入服务器分别相连，其中，所述接入服务器与接入客户端、防火墙分别相连；所述防火墙用于隔离内网和外网，包括：

接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息；

对所述用户认证信息进行认证；

当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证；

当第二认证服务器针对所述用户认证信息认证通过后，向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

5.根据权利要求4所述的方法，其特征在于，所述方法还包括：

当接收到所述第二认证服务器发送的认证失败报文后，向所述接入服务器发送认证通过报文；其中，所述认证通过报文不携带所述公网IP，以使所述接入服务器在接收到该认证通过报文后，为所述接入客户端分配私网IP。

6.一种基于PPPOE的内外网统一认证的装置，应用于接入服务器，其特征在于，所述接入服务器与接入客户端、防火墙、第一认证服务器分别相连，其中，所述防火墙用于隔离内网和外网；所述第一认证服务器与第二认证服务器相连，所述装置包括：

发送单元，用于当接收到客户端发起的PPPOE认证时，向第一认证服务器发送认证请求报文；其中，所述认证请求报文携带用户认证信息，以使第一认证服务器对所述用户认证信息进行认证，并在认证通过后，将所述认证请求报文透传至所述第二认证服务器，由第二认证服务器继续认证；

接收单元，用于接收第一认证服务器返回的认证通过报文，判断所述认证通过报文是否携带为所述接入客户端分配的公网IP；如果是，将该公网IP分配给接入客户端。

7.根据权利要求6所述的装置，其特征在于，包括：

所述接收单元具体用于：

当接收到所述第一认证服务器发送的认证失败报文时，确定所述第一认证服务器针对所述用户认证信息认证失败，通过所述接入客户端向用户输出接入失败的提示消息。

8.根据权利要求6所述的装置，其特征在于，包括：

所述接收单元进一步用于：

如果所述认证通过报文未携带为所述接入客户端分配的公网IP，确定所述第二认证服务器针对所述用户认证信息认证失败，则基于本地预设的私网IP地址池为所述接入客户端分配私网IP。

9.一种基于PPPOE的内外网统一认证的装置，应用于第一认证服务器，其特征在于，所述第一认证服务器与第二认证服务器、接入服务器分别相连，其中，所述接入服务器与接入客户端、防火墙分别相连；所述防火墙用于隔离内网和外网，所述装置包括：

接收单元，用于接收接入服务器发送的认证请求报文；所述认证请求报文携带用户认证信息；

认证单元，用于对所述用户认证信息进行认证；

透传单元，用于当认证通过后，将所述认证请求报文透传至所述第二认证服务器，以由第二认证服务器对所述用户认证信息继续认证；

发送单元，用于当第二认证服务器针对所述用户认证信息认证通过后，向接入服务器发送认证通过报文；该认证通过报文携带为所述接入客户端分配的公网IP，以使所述接入服务器将所述公网IP分配给所述接入客户端。

10.根据权利要求9所述的装置，其特征在于，包括：

所述发送单元具体用于：

当接收到所述第二认证服务器发送的认证失败报文后，向所述接入服务器发送认证通过报文；其中，所述认证通过报文不携带所述公网IP，以使所述接入服务器在接收到该认证通过报文后，为所述接入客户端分配私网IP。