CN107426164A

CN107426164A - 一种用户认证方法及装置

Info

Publication number: CN107426164A
Application number: CN201710330166.3A
Authority: CN
Inventors: 孔伟政
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2017-05-11
Filing date: 2017-05-11
Publication date: 2017-12-01

Abstract

本申请提供一种用户认证方法及装置。本申请实施例中，网关设备可根据用户设备发送的访问请求报文中携带指定信息，在本地预先配置各业务的业务标识中，确定用户待访问业务的业务标识，并可结合在用户设备针对该待访问业务发送的第一认证请求报文中获取的用户名称，将携带有用户名称和业务标识的第二认证报文发送至第三方认证设备，以使第三方认证设备据此完成用户认证。由此可见，本申请实施例提供的用户认证方法，不再依赖于用户手动输入业务标识，从而使得用户无需对待访问业务的业务标识进行记忆，即可实现业务的正常访问，有效地缓解了用户的记忆压力。

Description

一种用户认证方法及装置

技术领域

本申请涉及网络通信技术领域，尤其涉及一种用户认证方法及装置。

背景技术

目前，网关设备主要负责网间流量的转换和控制，当需要对用户访问某些业务的流量进行认证控制时，网关设备可以将相应的认证工作交由第三方认证设备处理，并根据第三方认证设备返回的认证结果，实现流量的认证控制。其中，这些业务可以设立于网关设备本地，也可以设立于其他设备；第三方认证设备基于流量中的认证信息实施认证。

现有技术中，认证信息中的用户名由用户手动输入，且通常由用户自定义的用户名称和业务标识组成，比如，LIN@IPSECVPN，其中LIN为用户名称、@IPSECVPN为业务标识。可以看出，当用户对某一业务进行认证时，需要手动输该业务的业务标识，也就是说，用户需要对该业务的业务标识进行准确记忆，否则将无法通过认证。而随着业务数量的逐渐增多，这样的认证方式必将为用户带来较大的记忆压力。

发明内容

有鉴于此，本申请提供一种用户认证方法及装置，以使用户在无需对待访问业务的业务标识进行记忆的情况下，即可实现业务的正常访问，从而缓解用户的记忆压力。

根据本申请实施例的第一方面，提供一种用户认证方法，所述方法应用于网关设备，所述网关设备预先配置各业务的业务标识，所述方法包括：

接收用户设备发送的访问请求报文，根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识；

接收所述用户设备针对待访问业务发送的第一认证请求报文，获取所述第一认证请求报文中的用户名称；

根据所确定的业务标识和所获取的用户名称生成第二认证请求报文；将所述第二认证请求报文发送至第三方认证设备，以使所述第三方认证设备根据第二认证请求报文中的业务标识和用户名称对用户进行认证。

根据本申请实施例的第二方面，提供一种用户认证装置，所述装置应用于网关设备，所述网关设备预先配置各业务的业务标识，所述装置包括：

业务标识确定单元，用于接收用户设备发送的访问请求报文，根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识；

用户名称获取单元，用于接收所述用户设备针对待访问业务发送的第一认证请求报文，获取所述第一认证请求报文中的用户名称；

生成单元，用于根据所确定的业务标识和所获取的用户名称生成第二认证请求报文；

发送单元，用于将所述第二认证请求报文发送至第三方认证设备，以使所述第三方认证设备根据第二认证请求报文中的业务标识和用户名称对用户进行认证。

本申请实施例中，网关设备可根据用户设备发送的访问请求报文中携带指定信息，在本地预先配置各业务的业务标识中，确定用户待访问业务的业务标识，并可结合在用户设备针对该待访问业务发送的第一认证请求报文中获取的用户名称，将携带有用户名称和业务标识的第二认证报文发送至第三方认证设备，以使第三方认证设备据此完成用户认证。由此可见，本申请实施例提供的用户认证方法，不再依赖于用户手动输入业务标识，从而使得用户无需对待访问业务的业务标识进行记忆，即可实现业务的正常访问，有效地缓解了用户的记忆压力。

附图说明

图1是本申请一种用户认证方法的场景示意图；

图2是本申请一种用户认证方法的一个实施例流程图；

图3是本申请一种用户认证方法的另一个实施例流程图；

图4是本申请一种用户认证装置的结构图；

图5是用户名称获取单元结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

参见图1，图1是本申请一种用户认证方法的场景示意图。本示意图可以包括用户设备、网关设备以及第三方认证设备。其中，网关设备可以为安全网关、防火墙等设备，第三方认证设备可以为RADIUS(Remote Authentication Dial In User Service，远程用户拨号认证系统)服务器等其它具有认证功能的设备。示意图中，用户设备与网关设备、网关设备与第三方认证设备之间均建立有链路连接。

本申请提供一种用户认证方法及装置，以使用户在无需对待访问业务的业务标识进行记忆的情况下，即可实现业务的正常访问，从而缓解用户的记忆压力。

为了使本技术领域的人员更好地理解本申请实施例中的技术方案，并使本申请实施例的上述目的、特征和优点能够更加明显易懂，下面结合附图对本申请实施例中技术方案作进一步详细的说明。

参见图2，图2是本申请一种用户认证方法的一个实施例流程图，该流程图可以包括以下步骤：

步骤201：接收用户设备发送的访问请求报文，根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识。

本实施例可应用于网关设备，网关设备预先配置了各业务的业务标识，其中，这些业务可以设立在网关设备本地，也可以设立在其他设备上。优选地，该网关设备可以为防火墙设备。

在一种实现方式中，网关设备可以根据访问请求报文中报文头字段内的五元组确定用户待访问业务的业务标识；在另一实现方式中，可以根据访问请求报文中报文头字段内的协议字段和/或端口号字段确定用户待访问业务的业务标识。这两种实现方式将在以下实施例中加以说明，在此暂不赘述。

步骤202：接收上述用户设备针对待访问业务发送的第一认证请求报文，获取第一认证请求报文中的用户名称。

作为一个实施例，网关设备可以在接收用户设备针对待访问业务发送的第一认证请求报文后，检查第一认证请求报文中是否携带用户输入的业务标识；

当第一认证请求报文中不携带用户输入的业务标识时，获取第一认证请求报文中的用户名称，执行以下步骤203；

当第一认证请求报文中携带用户输入的业务标识时，获取第一认证请求报文中的用户名称和该用户输入的业务标识，并根据该用户名称和该用户输入的业务标识生成第三认证请求报文，将第三认证请求报文发送至第三方认证设备，以使第三方认证设备根据第三认证请求报文中的业务标识和用户名称对用户进行认证。

步骤203：根据所确定的业务标识和所获取的用户名称生成第二认证请求报文；将第二认证请求报文发送至第三方认证设备，以使第三方认证设备根据第二认证请求报文中的业务标识和用户名称对用户进行认证。

参见图3，图3是本申请一种用户认证方法的另一个实施例流程图。与以上实施例不同的是，本实施例将结合具体示例对部分步骤进行说明，具有较强的实际操作意义，具体地，本实施例可以包括以下步骤：

步骤301：接收用户设备发送的访问请求报文，根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识。

用户待访问的业务可以是VPN(Virtual Private Network，虚拟专用网络)业务、OA(Office Automation，自动化办公)业务、TAC业务、WEB业务等，其中，VPN业务又可以包括：IPSECVPN(Internet Protocol Security VPN，基于IP安全协议的VPN)业务、SSLVPN(Security Socket Layer VPN，基于安全套接层的VPN)业务、L2TPVPN(Layer 2 TunnelProtocol基于二层隧道协议的VPN)业务等；对应于上述各个业务，它们分别对应的业务标识可以是：@VPN、@OA、@TAC、@WEB，@IPSECVPN、@SSLVPN、@L2TPVPN等；其中，VPN业务、OA业务、TAC业务可以设立于网关设备本地，WEB业务可以设立于其他设备，比如，谷歌Google相关业务一般设立于谷歌服务器。

在第一个实施例中，网关设备可以根据访问请求报文中报文头字段内的五元组确定用户待访问业务的业务标识，比如用户设备通过网关设备访问WEB业务，具体地：

当接收到一个访问请求报文时，网关设备可以获取该访问请求报文中所携带的五元组信息，并根据该五元组信息，在本地预先配置的包过滤策略中查找与该五元组信息相匹配的包过滤策略，并将该包过滤策略中的业务标识确定为用户待访问业务的业务标识，其中，包过滤策略包含五元组信息与业务标识的对应关系。比如，当访问请求报文中的五元组信息为五元组1时，与五元组1相匹配的包过滤策略中可以包含五元组1与@WEB这一业务标识对应关系，其中，@WEB这一业务标识就表示该用户具有外网访问权限，需要指出的是，@WEB这一业务标识可以根据具体情况进行适应性修改，比如，若需要对各个具体的WEB业务进行认证控制，如对AMAZON相关业务进行认证控制，则查找到的包过滤策略中的业务标识可以为@AMAZON。

在第二个实施例中，网关设备可以根据访问请求报文中报文头字段内的协议字段和端口号字段确定用户待访问业务的业务标识：比如用户设备访问设立于网关设备中的IPSECVPN业务，则本领域技术人员可以明确的是，访问IPSECVPN业务的访问请求报文中，协议字段信息一般为UDP(User Datagram Protocol，用户数据报协议)、端口号字段信息一般为500，则在接收到用户发送的协议字段信息为UDP、端口号字段信息500的访问请求报文后，则可确定该用户待访问的业务的业务标识为@IPSECVPN；再比如，若预先在网关设备本地自定义配置协议字段信息为TCP(Transmission Control Protocol，传输控制协议)、端口号字段信息为600的指定信息与TAC业务的对应关系，则可根据该对应关系为携带该指定信息的访问请求报文确定用户待访问业务的业务标识为@TAC。

作为一个实施例，网关设备在确定用户待访问业务的业务标识后，可以根据该确定的业务标识向用户设备返回访问响应报文，以使用户设备根据该访问响应报文向用户呈现该待访问业务的认证页面，并根据用户在该认证页面填写的用户名称、密码等认证信息向网关设备发送第一认证请求报文，其中，根据实际情况，该认证页面可以在一浏览器中呈现。

步骤302：接收用户设备针对待访问业务发送的第一认证请求报文，检查第一认证请求报文中是否携带用户输入的业务标识；若不携带，则执行步骤303。

通常情况下，若第一认证请求报文中携带用户输入的业务标识，则获取第一认证请求报文中的用户名称和该用户输入的业务标识，并根据该用户名称和该用户输入的业务标识生成第三认证请求报文，将第三认证请求报文发送至第三方认证设备，以使第三方认证设备根据第三认证请求报文中的业务标识和用户名称对用户进行认证。其中，用户分别输入的用户名称与业务标识一般可以为如下格式：LIN@TAC，其中，LIN为用户名称、@TAC为业务标识。

步骤303：获取第一认证请求报文中的用户名称。

步骤304：根据所确定的业务标识和所获取的用户名称生成第二认证请求报文。

本实施例中，假设所获取的用户名称为LIU，所确定的业务标识为@IPSECVPN，则网关设备可以构造如下形式的用户名：LIU@IPSECVPN，在此之后，网关设备可以将该构造的用户名填写至IP选项中，生成第二认证请求报文。

步骤305：将第二认证请求报文发送至第三方认证设备，以使第三方认证设备根据第二认证请求报文中的业务标识和用户名称对用户进行认证。

本实施例中，网关设备可以根据第三方认证设备返回的认证结果实现对用户的认证，若认证结果为认证成功，则允许用户访问其待访问的业务，否则不允许用户访问其待访问的业务。

与前述一种用户认证方法的实施例相对应，本申请还提供了一种用户认证装置的实施例。

参见图4，图4是本申请一种用户认证装置的结构图。该装置应用于网关设备，可以包括：业务标识确定单元410、用户名称获取单元420、生成单元430、发送单元440。

其中，业务标识确定单元410，用于接收用户设备发送的访问请求报文，根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识；

用户名称获取单元420，用于接收上述用户设备针对待访问业务发送的第一认证请求报文，获取第一认证请求报文中的用户名称；

生成单元430，用于根据所确定的业务标识和所获取的用户名称生成第二认证请求报文；

发送单元440，用于将上述第二认证请求报文发送至第三方认证设备，以使第三方认证设备根据第二认证请求报文中的业务标识和用户名称对用户进行认证。

在第一个实施例中，上述网关设备可以为防火墙设备。

在第二个实施例中，业务标识确定单元410，可具体用于：根据访问请求报文中报文头字段内的五元组确定用户待访问业务的业务标识。

在第三个实施例中，业务标识确定单元410，可具体用于：根据访问请求报文中报文头字段内的协议字段和/或端口号字段确定用户待访问业务的业务标识。

在第四个实施例中，用户名称获取单元420可以包括：接收子单元421、检查子单元422、获取子单元423，具体可参见图5，图5是用户名称获取单元结构图。

其中，接收子单元421，用于接收上述用户设备针对待访问业务发送的第一认证请求报文；

检查子单元422，用于检查上述第一认证请求报文中是否携带用户输入的业务标识；

获取子单元423，用于当上述第一认证请求报文中不携带用户输入的业务标识时，获取第一认证请求报文中的用户名称。

上述装置中各个单元的功能和作用的实现过程具体详见上述方法中对应步骤的实现过程，在此不再赘述。

对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本申请方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

本领域技术人员在考虑说明书及实践这里公开的发明后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由下面的权利要求指出。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种用户认证方法，其特征在于，所述方法应用于网关设备，所述网关设备预先配置各业务的业务标识，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述网关设备为防火墙设备。

3.根据权利要求1所述的方法，其特征在于，所述根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识，包括：

根据访问请求报文中报文头字段内的五元组确定用户待访问业务的业务标识。

4.根据权利要求1所述的方法，其特征在于，所述根据访问请求报文中报文头字段内的指定信息确定用户待访问业务的业务标识，包括：

根据访问请求报文中报文头字段内的协议字段和/或端口号字段确定用户待访问业务的业务标识。

5.根据权利要求1所述的方法，其特征在于，所述接收所述用户设备针对待访问业务发送的第一认证请求报文，获取所述第一认证请求报文中的用户名称，包括：

接收所述用户设备针对待访问业务发送的第一认证请求报文；

检查所述第一认证请求报文中是否携带用户输入的业务标识；

当所述第一认证请求报文中不携带用户输入的业务标识时，获取所述第一认证请求报文中的用户名称。

6.一种用户认证装置，其特征在于，所述装置应用于网关设备，所述网关设备预先配置各业务的业务标识，所述装置包括：

7.根据权利要求6所述的装置，其特征在于，所述网关设备为防火墙设备。

8.根据权利要求6所述的装置，其特征在于，所述业务标识确定单元，具体用于：

9.根据权利要求6所述的装置，其特征在于，所述业务标识确定单元，具体用于：

10.根据权利要求6所述的装置，其特征在于，所述用户名称获取单元，包括：

接收子单元，用于接收所述用户设备针对待访问业务发送的第一认证请求报文；

检查子单元，用于检查所述第一认证请求报文中是否携带用户输入的业务标识；

获取子单元，用于当所述第一认证请求报文中不携带用户输入的业务标识时，获取所述第一认证请求报文中的用户名称。