CN106714167A - 一种认证方法及网络接入服务器 - Google Patents

Abstract

本发明实施例公开了一种认证方法及网络接入服务器，涉及通信领域，在认证服务器故障时，仍然可以对终端进行认证，不影响终端的业务，同时，降低了认证服务器处理接收到的认证请求的数量，减轻了认证服务器的处理负荷。包括：网络接入服务器接收终端发送的第一认证请求，该第一认证请求携带终端的认证信息。根据认证信息查询本地存储，获取认证信息对应的授权信息，该授权信息包括第一认证结果，这里的第一认证结果是认证服务器对认证信息进行认证的结果。根据授权信息向终端回复第一认证消息。

Description

一种认证方法及网络接入服务器

技术领域

本申请涉及通信领域，尤其涉及一种认证方法及网络接入服务器。

背景技术

通常，终端可以通过远程宽带接入服务器(broadband remote access server，简称：BRAS)访问因特网，但是首先需要利用认证服务器对终端进行认证，认证通过后才可以通过BARS访问因特网。其中，认证服务器可以是AAA服务器，用于对终端进行认证(英文：authentication)、授权(英文：authorization)和计费(英文：accounting)。

目前，认证方法可以包括；BRAS接收终端的认证请求，该认证请求中携带终端的用户名及密码，并将该认证请求转发至AAA服务器进行认证；AAA服务器对终端的用户名及密码进行认证，随后将认证结果发送给BRAS，BRAS将认证结果转发给终端。

但是，当终端发送认证请求时，如果认证服务器故障，则无法接收到终端的认证请求，进而无法对终端进行认证，导致终端无法访问网络。为了避免这种情况，一般会部署多台认证服务器作为备用，则大大提高了网络部署的成本。同时，每个认证服务器都会承担多个BRAS设备的认证业务，随着终端数量的不断增加，每个终端认证时都会发送认证请求，导致认证服务器的处理负荷不断增加，进而出现无法回应认证请求的情况。

发明内容

本发明实施例提供一种认证方法及网络接入服务器，该网络接入服务器在本地缓存终端的认证结果，在终端后续发起认证请求时，该网络接入服务器能够利用本地缓存的认证结果向终端返回认证通知，在认证服务器故障时，仍然可以对终端进行认证，不影响终端的业务，同时，降低了认证服务器处理接收到的认证请求的数量，减轻了认证服务器的处理负荷。

为达到上述目的，本发明实施例采用如下技术方案：

本发明实施例的第一方面，提供一种认证方法，包括：

网络接入服务器接收终端发送的第一认证请求，该第一认证请求携带终端的认证信息。随后，网络接入服务器根据认证信息查询本地存储，获取认证信息对应的授权信息，该授权信息包括第一认证结果，这里的第一认证结果是认证服务器对认证信息进行认证的结果。最后，网络接入服务器根据授权信息向终端回复第一认证消息。

可见，本发明实施例提供的方法，可以在本地存储终端的授权信息，该信息至少包括认证服务器对终端的认证结果，再次接收终端的认证请求时，无需将该认证请求转发至认证服务器进行认证，可以根据本地存储的授权信息向终端回复认证消息。如此，不管认证服务器是否发生故障时，仍可以对终端进行认证，不影响终端的业务，同时，无需将终端发送的每一条认证请求都转发至认证服务器，降低了认证服务器处理接收到的认证请求的数量，减轻了认证服务器的处理负荷。

结合第一方面，在第一方面的第一种可能的实现方式中，网络接入服务器根据认证信息查询本地存储，获取认证信息对应的授权信息之前，方法还包括：网络接入服务器向认证服务器转发第一认证请求。则，网络接入服务器根据认证信息查询本地存储，获取认证信息对应的授权信息，具体包括：在从转发第一认证请求的时刻开始的预设时长内未接收到认证服务器返回的第一认证响应的情况下，网络接入服务器根据认证信息查询本地存储，获取认证信息对应的授权信息。

如此，网络接入服务器在预设时长内未接收到认证服务器返回的认证响应，即可确认认证服务器器故障，此时仍可以根据本地存储的授权信息向终端返回本地存储的认证结果的认证消息，不影响终端的业务。

结合第一方面或第一方面的第一种可能的实现方式中，在第一方面的第二种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则，网络接入服务器根据授权信息向终端回复第一认证消息，具体包括：若根据时限信息确定第一认证结果有效，则向终端回复第一认证消息；其中，第一认证消息携带第一认证结果。

如此，在网络接入服务器本地存储的授权信息有效的情况下，不管认证服务器是否发生故障，均可以根据本地存储的授权信息中的认证结果向终端返回认证消息。

结合第一方面的第一种可能的实现方式，在第一方面的第三种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则，网络接入服务器根据授权信息向终端回复第一认证消息，具体包括：网络接入服务器根据时限信息确定第一认证结果已失效，向终端返回第一认证消息，其中第一认证消息携带认证失败标识。

如此，在网络接入服务器本地存储的授权信息失效，且认证服务器发生故障的情况下，可以根据本地存储的授权信息中的认证结果通知终端认证失败。

结合第一方面，在第一方面的第四种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则，网络接入服务器根据授权信息向终端回复第一认证消息，具体包括：网络接入服务器根据时限信息确定第一认证结果已失效，根据认证信息构造第二认证请求，向认证服务器发送第二认证请求，以便认证服务器根据第二认证请求中携带的认证信息对终端进行认证；接收认证服务器返回的第二认证响应，响应消息中携带认证服务器对认证信息进行认证的第二认证结果；向终端发送第一认证消息，第一认证消息携带第二认证结果。

如此，在网络接入服务器本地存储的授权信息失效的情况下，可以向认证服务器转发终端的认证请求，以便认证服务器对终端进行认证，随后网络接入服务器可以认证服务器返回的认证结果通知终端认证消息。

第二方面，公开了一种网络接入服务器，包括：

接收单元，用于接收终端发送的第一认证请求；第一认证请求携带终端的认证信息；获取单元，用于根据认证信息查询本地存储，获取认证信息对应的授权信息，授权信息包括第一认证结果；第一认证结果是认证服务器对认证信息进行认证的结果；生成单元，用于根据授权信息生成第一认证消息；发送单元，向终端回复第一认证消息。

可见，本发明实施例提供的方法，可以在本地存储终端的授权信息，该信息至少包括认证服务器对终端的认证结果，再次接收终端的认证请求时，无需将该认证请求转发至认证服务器进行认证，可以根据本地存储的授权信息向终端回复认证消息。如此，不管认证服务器是否发生故障时，仍可以对终端进行认证，不影响终端的业务，同时，无需将终端发送的每一条认证请求都转发至认证服务器，降低了认证服务器处理接收到的认证请求的数量，减轻了认证服务器的处理负荷。

结合第二方面，在第二方面的第一种可能的实现方式中，发送单元还用于，在获取单元根据认证信息查询本地存储，获取认证信息对应的授权信息之前，向认证服务器转发第一认证请求；获取单元具体用于，在接收单元从转发第一认证请求的时刻开始的预设时长内未接收到认证服务器返回的第一认证响应的情况下，根据认证信息查询本地存储，获取认证信息对应的授权信息。

结合第二方面或第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则生成单元具用于：若根据时限信息确定第一认证结果有效，则生成第一认证消息；其中，第一认证消息携带第一认证结果。

结合第二方面的第一种可能的实现方式，在第二方面的第三种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则，生成单元具体用于：根据时限信息确定第一认证结果已失效，生成第一认证消息，其中，第一认证消息携带认证失败标识。

结合第二方面，在第二方面的第四种可能的实现方式中，授权信息还包括第一认证结果的时限信息，则，

生成单元具体用于，根据时限信息确定第一认证结果已失效，根据认证信息构造第二认证请求；发送单元还用于，向认证服务器发送第二认证请求，以便认证服务器根据第二认证请求中携带的认证信息对终端进行认证；接收单元还用于，接收认证服务器返回的第二认证响应，响应消息中携带认证服务器对认证信息进行认证的第二认证结果；生成单元用于，生成第一认证消息，第一认证消息携带第二认证结果。

附图说明

图1为现本发明实施例提供的一种网络认证系统的架构示意图；

图2为本发明实施例提供的网络认证系统的另一架构示意图；

图3为本发明实施例提供的一种认证方法的流程示意图；

图4为本发明实施例提供的一种认证方法的另一流程示意图；

图5为本发明实施例提供的一种认证方法的另一流程示意图；

图6为本发明实施例提供的网络接入设备的结构框图；

图7为本发明实施例提供的网络接入设备的另一结构框图；

图8为本发明实施例提供的网络接入设备的另一结构框图。

具体实施方式

通常，终端可以通过BRAS接入因特网，在终端通过BRAS访问因特网之前，需要对终端进行认证。通常，是由AAA服务器对终端进行认证、授权和计费。其中，认证：通过验证终端上报的用户名及密码，验证终端是否可以获得访问因特网的权限。授权：对通过认证的终端开放某些服务以及某些网络资源的使用权限。计费：记录终端使用网络资源的情况。AAA服务器的认证、授权、计费适用于多种协议，其中最常用的是由RFC2865，RFC2866定义的远程用户拨号认证服务(remote authentication dial in user service，简称：RADIUS)协议。

本发明实施例提供一种认证方法，原理在于：BRAS可以接收AAA服务器返回的对终端的认证结果，随后将认证结果缓存在BRAS本地，可以使用本地缓存的认证结果给终端授权。如此，BRAS无需将每一个来自终端的认证请求都转发给AAA服务器进行处理，大大减轻了AAA服务器的处理负荷。另外，在AAA故障后仍然可以对用户进行认证，不影响用户访问网络。

本发明实施例提供一种网络认证系统，如图1所示，该系统包括网络接入服务器10、终端20以及认证服务器30。其中，终端可以通过网络接入服务器接入网络，网络服务器还负责转发多个终端的认证请求，认证服务器负责处理多个网络接入服务器上报的认证请求。认证结果为成功时，终端则可以通过该网络接入服务器访问网络。具体地，终端20可以是智能手机、个人电脑(personal computer，简称：PC)、iPad等用于上网的用户设备；网络接入服务器10可以是BRAS、路由器等用于接入因特网的设备；认证服务器30可以是AAA服务器等对终端进行认证授权的服务器。

进一步地，参考图2，网络接入服务器10具体包括处理器101、收发器102以及存储器103。在本发明实施例中，收发器102接收认证服务器30对终端20的认证结果，该认证结果是认证服务器30对终端20的认证信息进行认证的结果。处理器101将认证信息以及终端20的授权信息对应存储在本地，其中，授权信息包括认证服务器30对终端20的认证结果。随后，收发器102接收终端20的认证请求，该请求中携带终端的认证信息，处理器101查询网络接入服务器10的本地内存，获取与该认证信息对应的授权信息，处理器101可以根据获取到的授权信息确定终端的认证结果。

处理器101可以为中央处理器(central processing unit，简称：CPU)。

存储器103，用于存储程序代码，并将该程序代码传输给该处理器101，处理器101根据程序代码执行下述指令。存储器103可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，简称：RAM)；存储器103也可以包括非易失性存储器(英文：non-volatile memory)，例如只读存储器(英文：read-only memory，简称：ROM)，快闪存储器(英文：flash memory)，硬盘(英文：hard disk drive，简称：HDD)或固态硬盘(英文：solid-state drive，简称：SSD)。存储器103还可以包括上述种类的存储器的组合。处理器101、存储器103之间通过系统总线104连接并完成相互间的通信。

收发器102可以由光收发器，电收发器，无线收发器或其任意组合实现。例如，光收发器可以是小封装可插拔(small form-factor pluggable transceiver，简称：SFP)收发器(英文：transceiver)，增强小封装可插拔(enhanced small form-factor pluggable，简称：SFP+)收发器或10吉比特小封装可插拔(10Gigabit small form-factor pluggable，简称：XFP)收发器。电收发器可以是以太网(英文：Ethernet)网络接口控制器(networkinterface controller，简称：NIC)。无线收发器可以是无线网络接口控制器(wirelessnetwork interface controller，简称：WNIC)。

本发明实施例提供一种认证方法，如图3所示，所述方法包括以下步骤：

201、网络接入服务器在本地存储各个终端的认证信息以及每一个终端的认证信息对应的授权信息。

具体实现中，可以是网络接入服务器接收终端的认证请求，并将该认证请求转发给认证服务器，随后认证服务器根据该认证请求中的认证信息对终端进行认证，并将各个终端的认证结果网络资源授权信息发送给网络接入服务器。这里的认证结果，可以是认证通过，也可以是认证不通过。

另外，如果认证结果为通过，认证服务器还会将终端的网络资源授权信息下发给网络接入服务器，如：认证服务器为终端授权的带宽等权限；如果认证结果为未通过，认证服务器则向网络接入服务器下发用于提示终端认证失败的信息，如：认证失败标识。

基于此，网络接入设备可以在本地存储终端认证信息的认证结果以及认证信息对应的授权信息。示例的，网络接入设备可以在本地生成一个终端授权信息表，该表中一个认证信息相应的表项中存储有该认证信息的授权信息。表1是终端授权信息表的一种可能的实现方式。

表1

进一步地，网络接入服务器还可以设置终端的认证信息的时限信息，该时限信息用于指示认证信息的有效期限。网络接入服务器还可以将认证信息的时限信息相应存储在本地，示例的，在表1中增加时限信息对应的表项，将认证信息的时限信息存储在认证信息对应的表项中，增加时限信息后的终端授权信息表如表2所示。

表2

需要说明的是，认证信息可以包括终端访问网络的用户名及密码，当然还可以包括认证信息一般都携带终端的标识，比如：终端的媒体访问控制(Media Access Control，MAC)地址、或者终端的网际协议(Internet Protocol，IP)地址等。

具体实现在中，网络接入服务器可以根据该时限信息设置一个定时器，一旦定时器超时，则删除终端的认证信息与授权信息。

或者，网络接入服务器根据该时限信息确定一个有效时间窗，当接收终端的认证请求的时刻不在该时间窗内，则删除终端的认证信息与授权信息。

202、网络接入服务器接收终端的第一认证请求；第一认证请求携带认证信息。

203、网络接入服务器根据认证信息查询本地存储，获取认证信息对应的授权信息。

示例的，查询网络接入设备本地存储的终端授权信息表(上述表1或表2)，在认证信息对应的表项中获取认证信息对应的授权信息，该授权信息至少包括第一认证结果。这里的第一认证结果是认证服务器对该认证信息进行认证的结果。

204、网络接入服务器根据授权信息向终端回复认证结果。

具体地，网络接入设备首先确定根据授权信息中第一认证结果的时限信息判断第一认证结果是否有效。

若确定第一认证结果有效，则向终端发送第一认证消息，这里的第一认证消息携带第一认证结果。

若确定第一认证结果已经失效，则根据步骤203接收到的第一认证请求中的认证信息构造第二认证请求，将第二认证请求发送给认证服务器，以便认证服务器根据第二认证请求中携带的认证信息对终端进行认证。网络接入设备接收认证服务器返回的认证响应消息，该认证响应消息中携带认证服务器对认证信息进行认证的第二认证结果，随后，网络接入设备向终端发送第一认证消息，该消息携带第二认证结果。

另外，在步骤203之前，网络接入服务器还可以向认证服务器转发第一认证请求，网络接入服务器在从转发该第一认证请求的时刻开始的预设时长内未接收到认证服务器返回的响应消息，则执行步骤203。即在本地存储获取终端的认证信息对应的第一认证结果，向终端返回第一认证消息，第一认证消息携带授权信息中的第一认证结果。

或者，网络接入服务器在从转发所述第一认证请求的时刻开始的预设时长内未接收到认证服务器返回的认证响应消息，随后再执行步骤203，在步骤203之后判断第一认证结果是否有效，确认第一认证结果有效之后才执行步骤204。

又或者，网络接入服务器在从转发所述第一认证请求的时刻开始的预设时长内未接收到认证服务器返回的响应消息，随后再执行步骤203，在步骤203之后确认第一认证结果已经失效则不执行步骤204，而是直接向终端返回认证失败消息。

需要说明的是，上述方法适用于多种认证授权协议，如：RADIUS、Tacacs和Diameter等。

具体实现中，网络接入服务器可以通过以下方式判断第一认证结果是否有效：

第一、网络接入服务器可以根据第一认证结果的时限信息设置一个定时器，在保存第一认证结果的同时开启定时器，一旦定时器超时，则删除本地保存的终端的认证信息与授权信息。

当步骤202接收终端的认证请求之后，获取该认证请求中的认证信息，可以查询本地存储的终端授权信息表中是否存储有该认证信息以及该认证信息对应的授权信息。若本地存储的终端授权信息表中不存在该认证信息以及该认证信息对应的授权信息，则表明第一认证结果已经失效。相反，若本地存储的终端授权信息表中存在该认证信息以及该认证信息对应的授权信息，则表明第一认证结果有效。

第二、根据第一认证结果的时限信息确定一个有效时间窗。

当步骤202接收终端的认证请求之后，确定网络接入服务器接收终端的认证请求的时刻在不在该时间窗内。

若网络接入服务器接收终端的认证请求的时刻不在该时间窗内，则表明第一认证结果已经失效，网络接入设备则删除终端的认证信息与授权信息。

若网络接入服务器接收终端的认证请求的时刻在该时间窗内，则表明第一认证结果有效。

优选地，以下以网络接入服务器为BRAS，认证服务器为AAA服务器为例介绍本发明实施例提供的认证方法，如图4所示，包括以下步骤：

301、终端首次认证时，向BRAS发起认证请求，该请求终端携带用户名和密码。

需要说明的是，本实施例可以用于RADIUS认证。

302、BRAS根据上述用户名和密码构造RADIUS认证请求，将RADIUS认证请求发送给AAA服务器。

303、AAA服务器接收RADIUS认证请求，根据其中的用户名和密码对终端进行认证。

304、AAA服务器向网络接入设备下发第一认证结果。

需要说明的是，还可以下发终端的一些授权信息，如：认证结果为通过，将终端的网络资源授权信息下发给网络接入服务器；又如：如果认证结果为未通过，认证服务器则向网络接入服务器下发用于提示终端认证失败的信息。

305、BRAS接收AAA服务器下发的第一认证结果，保存认证信息和授权信息到本地。

其中，第一认证结果可能是认证通过，也有可能是认证未通过，在此不做限定。认证信息即用户名和密码，授权信息包括第一认证结果，还可以包括第一认证结果的有效期，即第一认证结果的时限信息。

306、BRAS返回给终端认证消息，该消息携带第一认证结果。

307、终端再次向BRAS发起认证请求，该请求携带终端用户名和密码。

308、BRAS根据用户名和密码构造RADIUS认证请求发送给AAA服务器。

309、BRAS在预设时长内未接收到AAA服务器的认证响应消息，BRAS获取本地存储的认证信息对应的授权信息。

需要说明的是，该授权信息至少包括上述第一认证结果。

如果授权信息包括第一认证结果的时限信息，则当终端认证信息超时后，第一认证结果有可能已经失效，BRAS再次接收认证请求时，需要判断第一认证结果是否有效。因此，BRAS获取本地存储的认证信息对应的第一认证结果之前，要确认第一认证结果是有效的。

310、BRAS返回给终端认证消息，该消息携带第一认证结果。

311、终端再次向BRAS发起认证请求，该请求携带终端用户名和密码。

312、BRAS根据用户名和密码构造RADIUS认证请求发送给AAA服务器。

313、BRAS在预设时长内未接收到AAA服务器的响应消息，确定第一认证结果失效。

314、BRAS返回给终端认证失败消息。

具体地，这里的认证失败消息可以是携带认证失败标识的认证消息。

可见，本发明实施例提供的方法中，在AAA服务器故障，仍可以根据BRAS本地存储的认证结果对终端进行认证，大幅减小AAA服务器故障对终端网络业务的影响。

优选地，以下以RADIUS认证为例介绍本发明实施例提供的认证方法，如图5所示，包括以下步骤：

401、用户首次认证时，向BRAS发起认证请求，该请求终端携带用户名和密码。

402、BRAS根据上述用户名和密码构造RADIUS认证请求，将RADIUS认证请求发送给AAA服务器。

403、AAA服务器接收RADIUS认证请求，根据其中的用户名和密码对终端进行认证。

404、AAA服务器向网络接入设备下发第一认证结果。

需要说明的是，还可以下发终端的一些授权信息，如：认证结果为通过，将终端的网络资源授权信息下发给网络接入服务器；又如：如果认证结果为未通过，认证服务器则向网络接入服务器下发用于提示终端认证失败的信息。

405、BRAS接收AAA服务器下发的第一认证结果，保存认证信息和授权信息到本地。

其中，第一认证结果可能是认证通过，也有可能是认证未通过，在此不做限定。认证信息即用户名和密码，授权信息包括第一认证结果，还可以包括第一认证结果的有效期，即第一认证结果的时限信息。

406、BRAS返回给终端认证消息，该消息携带第一认证结果。

407、终端再次向BRAS发起认证请求，该请求终端携带用户名和密码。

408、BRAS获取本地存储的认证信息对应的第一认证结果。

409、BRAS向终端返回认证消息，该消息携带第一认证结果。

410、终端再次向BRAS发起认证请求，该请求终端携带用户名和密码。

如果授权信息包括第一认证结果的时限信息，则当终端认证信息超时后，第一认证结果有可能已经失效，BRAS再次接收认证请求时，需要判断第一认证结果是否有效。

411、BRAS确定第一认证结果已经失效。

412、BRAS根据上述用户名和密码构造RADIUS认证请求，将RADIUS认证请求发送给AAA服务器。

413、BRAS接收AAA服务器的认证响应消息，该消息携带AAA服务器对终端进行认证的第二认证结果。

414、BRAS返回给终端认证消息，该消息携带第二认证结果。

可见本发明实施例提供的方法，还可以减少给AAA服务器发送的报文数量，减小AAA服务器的处理压力。

本发明实施例提供的认证方法，网络接入服务器保存认证服务器在先对终端的认证结果，再次接收终端的认证请求时，可以根据本地保存的认证结果向终端返回认证消息。同时，网络接入服务器还可以设置认证结果的时限信息，当再次接收终端的认证请求时本地保存的认证结果已经失效，则根据接收到的认证请求向认证服务器发送请求，请求认证服务器对终端进行认证，或者，直接回复终端认证失败。如此，BRAS无需将每一个来自终端的认证请求都转发给AAA服务器进行处理，大大减轻了AAA服务器的处理符合。另外，在AAA故障后仍然可以对用户进行认证，不影响用户访问网络。

上述主要从各个网元之间交互的角度对本发明实施例提供的方案进行了介绍。可以理解的是，各个网元，例如网络接入服务器为了实现上述功能，其包含了执行各个功能相应的硬件结构和/或软件模块。本领域技术人员应该很容易意识到，结合本文中所公开的实施例描述的各示例的算法步骤，本发明能够以硬件或硬件和计算机软件的结合形式来实现。某个功能究竟以硬件还是计算机软件驱动硬件的方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

本发明实施例可以根据上述方法示例对网络接入服务器进行功能模块的划分，例如，可以对应各个功能划分各个功能模块，也可以将两个或两个以上的功能集成在一个处理模块中。上述集成的模块既可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。需要说明的是，本发明实施例中对模块的划分是示意性的，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式。

在采用对应各个功能划分各个功能模块的情况下，图6示出了上述和实施例中涉及的网络接入服务器的一种可能的组成示意图，如图6所示，该网络接入服务器可以包括：接收单元501、获取单元502、生成单元503以及发送单元504。

其中，接收单元501，用于支持网络接入服务器执行图3所示的认证方法中的步骤202，图4所示的认证方法中的步骤305、310、314，图5所示的认证方法中的步骤405、409、414。

获取单元502，用于支持网络接入服务器执行图3所示的认证方法中的步骤203，图4所示的认证方法中的步骤309，图5所示的认证方法中的步骤408。

生成单元503，用于支持网络接入服务器执行图3所示的认证方法中的步骤204，图4所示的认证方法中的步骤312，图5所示的认证方法中的步骤412。

发送单元504，用于支持网络接入服务器执行图3所示的认证方法中的步骤204，图4所示的认证方法中的步骤306、310、314，图5所示的认证方法中的步骤406、409、414。

在采用集成的单元的情况下，图7示出了上述实施例中所涉及的网络接入服务器的另一种可能的组成示意图。如图7所示，该网络接入服务器包括：处理模块601和通信模块602。

处理模块601用于对网络接入服务器的动作进行控制管理，例如，处理模块81用于支持网络接入服务器执行图3中的步骤204、步骤505，图4中的步骤309，图5中的步骤408，和/或用于本文所描述的技术的其它过程。通信模块82用于支持网络接入服务器与其他网络实体的通信，例如与图2中示出的终端或认证服务器。网络接入服务器还可以包括存储模块603，用于存储网络接入服务器的程序代码和数据。

其中，处理模块601可以是处理器或控制器。其可以实现或执行结合本发明公开内容所描述的各种示例性的逻辑方框，模块和电路。处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等等。通信模块602可以是收发器、收发电路或通信接口等。存储模块603可以是存储器。

当处理模块601为处理器，通信模块602为通信接口，存储模块603为存储器时，本发明实施例所涉及的网络接入服务器可以为图8所示的网络接入服务器。如图8所示，包括：处理器701、通信接口702、存储器703，处理器701、通信接口702、存储器703之间通过系统总线704进行交互。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将装置的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。

在本申请所提供的几个实施例中，应该理解到，所揭露的装置和方法，可以通过其它的方式实现。例如，以上所描述的装置实施例仅仅是示意性的，例如，所述模块或单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个装置，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，装置或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是一个物理单元或多个物理单元，即可以位于一个地方，或者也可以分布到多个不同地方。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个可读取存储介质中。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该软件产品存储在一个存储介质中，包括若干指令用以使得一个设备(可以是单片机，芯片等)或处理器(processor)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以所述权利要求的保护范围为准。

Claims (10)

1.一种认证方法，其特征在于，包括：

网络接入服务器接收终端发送的第一认证请求；所述第一认证请求携带所述终端的认证信息；

所述网络接入服务器根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息，所述授权信息包括第一认证结果；所述第一认证结果是认证服务器对所述认证信息进行认证的结果；

所述网络接入服务器根据所述授权信息向所述终端回复第一认证消息。

2.根据权利要求1所述的方法，其特征在于，所述网络接入服务器根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息之前，所述方法还包括：

向所述认证服务器转发所述第一认证请求；

所述网络接入服务器根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息，具体包括：

在从转发所述第一认证请求的时刻开始的预设时长内未接收到所述认证服务器返回的第一认证响应的情况下，所述网络接入服务器根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息。

3.根据权利要求1或2所述的方法，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则，所述网络接入服务器根据所述授权信息向所述终端回复第一认证消息，具体包括：

若根据所述时限信息确定所述第一认证结果有效，则向所述终端回复第一认证消息；其中，所述第一认证消息携带所述第一认证结果。

4.根据权利要求2所述的方法，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则，所述网络接入服务器根据所述授权信息向所述终端回复第一认证消息，具体包括：

所述网络接入服务器根据所述时限信息确定所述第一认证结果已失效，向所述终端返回第一认证消息，其中所述第一认证消息携带认证失败标识。

5.根据权利要求1所述的方法，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则，所述网络接入服务器根据所述授权信息向所述终端回复第一认证消息，具体包括：

所述网络接入服务器根据所述时限信息确定所述第一认证结果已失效，根据所述认证信息构造第二认证请求，向所述认证服务器发送所述第二认证请求，以便所述认证服务器根据所述第二认证请求中携带的所述认证信息对所述终端进行认证；

接收所述认证服务器返回的第二认证响应，所述响应消息中携带所述认证服务器对所述认证信息进行认证的第二认证结果；

向所述终端发送第一认证消息，所述第一认证消息携带所述第二认证结果。

6.一种网络接入服务器，其特征在于，包括：

接收单元，用于接收终端发送的第一认证请求；所述第一认证请求携带所述终端的认证信息；

获取单元，用于根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息，所述授权信息包括第一认证结果；所述第一认证结果是认证服务器对所述认证信息进行认证的结果；

生成单元，用于根据所述授权信息生成第一认证消息；

发送单元，向所述终端回复第一认证消息。

7.根据权利要求6所述的网络接入设备，其特征在于，

所述发送单元还用于，在所述获取单元根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息之前，向所述认证服务器转发所述第一认证请求；

所述获取单元具体用于，在所述接收单元从转发所述第一认证请求的时刻开始的预设时长内未接收到所述认证服务器返回的第一认证响应的情况下，根据所述认证信息查询本地存储，获取所述认证信息对应的授权信息。

8.根据权利要求6或7所述的网络接入设备，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则生成单元具用于：若根据所述时限信息确定所述第一认证结果有效，则生成第一认证消息；其中，所述第一认证消息携带所述第一认证结果。

9.根据权利要求7所述的网络接入设备，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则，所述生成单元具体用于：根据所述时限信息确定所述第一认证结果已失效，生成第一认证消息，其中，所述第一认证消息携带认证失败标识。

10.根据权利要求6所述的网络接入设备，其特征在于，所述授权信息还包括所述第一认证结果的时限信息，则，

所述生成单元具体用于，根据所述时限信息确定所述第一认证结果已失效，根据所述认证信息构造第二认证请求；

所述发送单元还用于，向所述认证服务器发送所述第二认证请求，以便所述认证服务器根据所述第二认证请求中携带的所述认证信息对所述终端进行认证；

所述接收单元还用于，接收所述认证服务器返回的第二认证响应，所述响应消息中携带所述认证服务器对所述认证信息进行认证的第二认证结果；

所述生成单元用于，生成第一认证消息，所述第一认证消息携带所述第二认证结果。