CN107872445A - 接入认证方法、设备和认证系统 - Google Patents

Abstract

本发明公开了一种接入认证方法、设备和认证系统，属于无线局域网领域。所述方法包括：接入控制器在终端接入认证过程中接收认证服务器发送的临时上线请求，令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，则接入控制器在第一预设时长内会放行终端与广域网中的设备间的所有通信报文。本发明通过在终端接入认证过程中令终端临时上线一段时间，使得一方面接入控制器无需识别终端与第三方APP服务器的通信报文，减轻了接入控制器的计算量，另一方面可以保证放行接入认证过程中终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

Description

接入认证方法、设备和认证系统

技术领域

本发明涉及无线局域网领域，特别涉及一种接入认证方法、设备和认证系统。

背景技术

日常生活中，接入公共场所中的无线局域网一般需要进行接入认证，以验证待接入的终端的身份是否合法，未通过接入认证之前，无线局域网中的接入设备会拦截终端绝大部分的通信报文，使终端只能访问有限的网络资源，而通过认证之后，接入设备会放行终端的通信报文，使终端可以访问授权的全部网络资源。

当前，无线局域网接入认证的方式有许多种，其中，通过与第三方应用程序(英文：application；简称：APP)联动进行无线局域网接入认证的方法已经越来越常见，在通过与第三方APP联动进行无线局域网接入认证的过程中，终端可以接收无线局域网的认证服务器发送的认证页面，并在用户触发该认证页面上的认证选项后，与第三方APP服务器进行通信以完成接入认证。实际应用中，第三方APP服务器一般设置于广域网中，而在未通过接入认证之前，接入设备会拦截终端与广域网中设备间的通信报文，导致终端无法与第三方APP服务器进行通信，继而导致接入认证失败，为了避免这一情况，保证在接入认证过程中终端可以与第三方APP服务器进行正常通信，接入设备需要准确地识别出终端与第三方APP服务器间的通信报文，并对其进行放行。

相关技术中，由于终端与广域网中的设备通信时需要通过接入设备向域名系统(英文：domain name system；简称：DNS)服务器发送DNS请求，使得DNS服务器返回DNS报文，该DNS报文中包括上述设备的域名和对应的网际互联协议(英文：Internet potocol；简称：IP)地址，以使终端可以基于该IP地址与上述设备进行通信，因此，在接入认证过程中，接入设备可以在接收到的DNS报文中识别第三方APP的域名，并获取与该第三方APP的域名对应的IP地址，而后，接入设备可以放行与上述IP地址对应的所有通信报文，从而保证在接入认证过程中终端可以与第三方APP服务器进行正常通信。

在实现本发明的过程中，发明人发现现有技术至少存在以下问题：

实际应用中，接入设备在DNS报文中识别第三方APP的域名所涉及的计算量较大，而且还可能存在一些终端预先缓存有第三方APP的DNS信息，则这些终端与第三方APP服务器通信时无需与DNS服务器交互，相应的，接入设备无法识别到相关的DNS报文，导致无法放行这些终端与第三方APP服务器的通信报文，因此接入认证的成功率较低。

发明内容

为了解决接入认证成功率较低、计算量较大的问题，本申请提供了一种接入认证方法、设备和认证系统。

第一方面，提供了一种接入认证方法，包括：

无线局域网的接入控制器AC在基于终端发送的超文本传输协议HTTP连接请求确定所述终端未经过接入认证时，将所述HTTP连接请求重定向至认证服务器，使得所述认证服务器向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

所述AC接收所述认证服务器发送的临时上线请求，所述临时上线请求中包括所述终端的标识，所述临时上线请求由所述认证服务器在接收到所述终端发送的认证请求后生成，所述认证请求由所述终端基于所述第三方认证页面中的所述认证选项生成；

所述AC基于所述临时上线请求，授予所述终端在第一预设时长内访问广域网的权限，以便所述终端访问第三方APP服务器；

所述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证。

这样，AC可以在终端接入认证过程中，接收认证服务器发送的临时上线请求并令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，则AC在第一预设时长内会放行终端与广域网中的设备间的所有通信报文，这样做一方面使得AC在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了AC的计算量，另一方面可以保证放行接入认证过程中终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

上述AC基于所述临时上线请求，授予所述终端在第一预设时长内访问广域网的权限，具体可以包括：

在接收到所述临时上线请求后，所述AC向所述认证服务器发送验证请求，所述验证请求中包括所述终端的标识；

所述AC接收所述认证服务器发送的验证反馈信息，所述验证反馈信息中包括用于指示所述第一预设时长的上线时长信息，所述验证反馈信息由所述认证服务器在接收到所述验证请求后生成；

基于所述上线时长信息，所述AC授予所述终端在所述第一预设时长内访问广域网的权限。

AC授予终端在第一预设时长内访问广域网的权限的方式，具体地，在AC接收到的验证反馈信息中包括上线时长信息，AC可以基于该上线时长信息为终端授权，使得终端能在该上线时长信息指示的第一预设时长内访问广域网。

上述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证，具体包括：

所述AC接收所述认证服务器发送的更改授权报文，所述更改授权报文由所述认证服务器在接受到所述终端发送的连接请求后生成，所述连接请求由所述终端基于第三方APP连接页面上的连接选项生成，所述第三方APP连接页面由所述第三方APP服务器发送；

所述AC基于所述更改授权报文，授予所述终端访问广域网的权限。

认证服务器接收到终端基于第三方APP连接页面发送的连接请求后，AC可以接收认证服务器发送的更改授权报文，并基于该更改授权报文授予终端访问广域网的权限，使得终端完成接入认证正式上线，在上述过程中，AC不需要重新执行上述向认证服务器发送验证请求，以及接受认证服务器发送的验证反馈信息的流程，而是基于接收到的更改授权报文将原来的终端在第一预设时长内访问广域网的权限更改为终端访问广域网的权限，从而大大简化了流程。

上述将所述HTTP连接请求重定向至认证服务器，具体包括：

所述AC将所述认证服务器的统一资源定位符URL发送至所述终端，使得所述终端基于所述URL向所述认证服务器再次发送所述HTTP连接请求。

第二方面，提供了一种接入认证方法，包括：

无线局域网的认证服务器在接收到终端发送的超文本传输协议HTTP连接请求后，向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

所述认证服务器在接收到所述终端发送的认证请求后，向接入控制器AC发送临时上线请求，使得所述AC基于所述临时上线请求授予所述终端在第一预设时长内访问广域网的权限，并使得所述AC在所述终端访问广域网的过程中通过第三方APP服务器和所述认证服务器对所述终端进行接入认证，所述认证请求由所述终端基于所述认证选项生成。

这样，当终端未经过接入认证时，认证服务器向AC发送临时上线请求，使得AC令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，这样做一方面使得AC在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了AC的计算量，另一方面可以保证在接入认证过程中放行终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

向AC发送临时上线请求之后，认证服务器还可以执行下述步骤以使终端完成临时上线：

所述认证服务器接收所述AC发送的验证请求，所述验证请求中包括所述终端的标识；

在接收到所述验证请求后，所述认证服务器向所述AC发送验证反馈信息，所述验证反馈信息中包括用于指示所述第一预设时长的上线时长信息，使得所述AC基于所述上线时长信息，授予所述终端在所述第一预设时长内访问广域网的权限，并使得所述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证。

授予终端在第一预设时长内访问广域网的权限的方式，具体为：认证服务器向AC发送的验证反馈信息中包括上线时长信息，使得AC可以基于该上线时长信息为终端授权，使得终端能在该上线时长信息指示的第一预设时长内访问广域网。

在向AC发送临时上线请求之后，认证服务器还可以执行下述步骤以调用第三方APP连接页面，并与AC交互使终端完成接入认证正式上线：

所述认证服务器向所述第三方APP服务器发送页面调用凭据，使得所述终端在所述第三方APP服务器验证所述页面调用凭据合法后获取所述第三方APP服务器发送的第三方APP连接页面，所述第三方APP连接页面包括连接选项；

所述认证服务器在接收到所述终端发送的连接请求后，向所述AC发送更改授权报文，使得所述AC基于所述更改授权报文，授予所述终端访问广域网的权限，所述连接请求由所述终端基于所述连接选项生成。

在认证服务器接收到终端基于第三方APP连接页面发送的连接请求后，认证服务器可以向AC发送更改授权报文，使得AC基于该更改授权报文授予终端访问广域网的权限，以使终端完成接入认证正式上线，在上述过程中，认证服务器不需要重新执行上述接收验证信息并发送验证反馈信息的流程，而是发送更改授权报文使AC将原来的终端在第一预设时长内访问广域网的权限更改为终端访问广域网的权限，从而大大简化了流程。

为了防止恶意用户通过多次临时上线的方式绕过接入认证访问未被授权的网络资源，认证服务器在向AC发送临时上线请求之前，还可以执行以下步骤：

所述认证服务器获取所述终端被授予在所述第一预设时长内通过所述目标无线局域网访问广域网的权限的次数。

此后，认证服务器可以在上述次数小于预设阈值时，才向所述AC发送所述临时上线请求。

为了防止恶意用户通过多次临时上线的方式绕过接入认证访问广域网，认证服务器可以在向AC发送临时上线请求之前，获取终端被授予在第一预设时长内访问广域网的权限的次数，当该次数小于预设阈值时，才向AC发送临时上线请求。

第三方面，提供了一种接入控制器AC，该AC包括至少一个模块，该至少一个模块用于实现上述第一方面或第一方面中任意一种实现方式所提供的接入认证方法。

第四方面，提供了一种认证服务器，该认证服务器包括至少一个模块，该至少一个模块用于实现上述第二方面或第二方面中任意一种实现方式所提供的接入认证方法。

第五方面，提供了一种认证系统，该认证系统包括如上述第三方面所提供的接入控制器AC和如上述第四方面所提供的认证服务器。

第六方面，提供了一种接入控制器AC，该AC包括：存储器、处理器、通信接口和总线。其中，通信接口和存储器分别通过总线与处理器连接。处理器被配置为执行存储器中存储的程序指令，处理器通过执行程序指令来实现上述第一方面或第一方面中任意一种可能的实现方式所提供的接入认证方法。

第七方面，提供了一种认证服务器，该认证服务器包括：处理器、网络接口、存储器以及总线，存储器与网络接口分别通过总线与处理器相连，处理器被配置为执行存储器中存储的程序指令，处理器通过执行程序指令来实现上述第二方面或第二方面中任意一种可能的实现方式所提供的接入认证方法。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1是本发明实施例提供的无线局域网组网方式的示意图。

图2A是本发明实施例提供的一种接入认证方法的流程图。

图2B是本发明实施例提供的一种第三方APP认证页面的示意图。

图2C是本发明实施例提供的一种步骤208的流程图。

图2D是本发明实施例提供的一种第三方APP连接页面的示意图。

图2E是本发明实施例提供的一种认证成功页面的示意图。

图3是本发明实施例提供的一种接入控制器AC 300的框图。

图4是本发明实施例提供的一种认证服务器400的框图。

图5是本发明实施例提供的一种认证服务器500的框图。

图6是本发明实施例提供的一种接入控制器AC 600的结构示意图。

图7是本发明实施例提供的一种认证服务器700的结构示意图。

图8是本发明实施例提供的一种认证系统800的框图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

本发明实施例提供了一种接入认证方法，适用于对无线局域网进行接入认证，下面本发明实施例将对无线局域网的组网方式进行简要说明。

如图1所示，无线局域网包括无线接入点(英文：access point；简称：AP)101、接入控制器(英文：access controller；简称：AC)102、核心路由器103和认证服务器104。其中，AC 102分别与AP 101和核心路由器103连接，核心路由器103与认证服务器104连接，同时核心路由器103接入广域网中，终端在经过接入认证后可以通过AP 101、AC 102和核心路由器103组成的数据链路访问广域网。此外，在本发明的一些实施例中，AC 102可以通过交换机等设备与AP 101和核心路由器103连接，本发明对此不作具体限定。需要说明的是，在实际应用中，该AC 102可以为路由器、交换机等。

图2A是根据一示例性实施例示出的一种接入认证方法的流程图，如图2A所示，该接入认证方法可以应用于如图1所示的网络架构，该方法包括以下步骤。

步骤201、终端通过AP接入无线局域网中，该无线局域网是下文所述的AC和认证服务器所在的无线局域网。

实际应用中，AP可以广播无线局域网的服务集标识(英文：service setidentifier；简称：SSID)，终端接收到目标无线局域网的SSID后，可以根据用户操作与目标无线局域网建立连接，也可以直接与该目标无线局域网建立连接，本发明对此不作具体限定。

步骤202、终端向AC发送超文本传输协议(英文：hyper text transfer protocol；简称：HTTP)连接请求。

在实际应用中，当终端接入无线局域网后，一些终端会自动向AC发送HTTP连接请求，另一些终端会在检测到浏览器开启后向AC发送HTTP连接请求，还有一些终端会根据用户的操作向AC发送HTTP连接请求，例如，用户在浏览器中输入某一网站的网址且触发访问该网站的选项时，终端向AC发送HTTP连接请求。

步骤203、AC接收终端发送的HTTP连接请求，并基于该HTTP连接请求确定终端是否经过接入认证。

实际应用中，上述HTTP连接请求中可以包括终端的标识，如终端的媒体访问控制(英文：media access control；简称：MAC)地址，或者终端接入无线局域网后被随机分配的IP地址等，AC接收到终端发送的HTTP连接请求后，提取终端的标识，并在本地认证设备数据库中查询该终端的标识。若在本地认证设备数据库查询到该终端的标识，则说明终端已经经过接入认证，则AC会放行该终端发送的HTTP连接请求，反之，则说明终端未经过接入认证，此时AC会拦截终端发送的HTTP连接请求，以阻止终端访问未被授权的网络资源。

此外，在AC拦截终端发送的HTTP连接请求后，为了引导终端完成接入认证，AC还可以将终端发送的HTTP连接请求定向至认证服务器，使认证服务器向终端发送第三方APP认证页面，以便于终端基于该第三方APP认证页面完成接入认证，具体地，本发明实施例可以通过步骤204至步骤206实现上述将HTTP连接请求定向至认证服务器的技术过程。

步骤204、当AC确定终端未经过接入认证时，AC将认证服务器的统一资源定位符(英文：uniform resource locator；简称：URL)发送至终端。

步骤205、终端接收该URL，并基于该URL向认证服务器再次发送HTTP连接请求。

步骤206、认证服务器接收终端发送的HTTP连接请求，并在接收到该HTTP连接请求后，向终端发送第三方APP认证页面，该第三方APP认证页面包括认证选项。

如图2B所示，是第三方APP为微信时的一种第三方APP认证页面的示意图，图中所示的微信认证选项即为上文所述的认证选项。

步骤207、终端接收该第三方APP认证页面，并基于该认证选项生成并向向认证服务器发送认证请求。

终端接收到该第三方APP认证页面后可以对该页面进行展示，若用户想要进行接入认证，则其可以选择上述认证选项，终端检测到对该认证选项的选择操作后，即可向认证服务器发送认证请求。

步骤208、认证服务器接收到该认证请求后，向AC发送临时上线请求，该临时上线请求中包括终端的标识。

认证服务器接收到该认证请求后确定终端需要与第三方APP服务器进行通信才能完成接入认证，此时认证服务器可以向AC发送临时上线请求，使得AC在第一预设时间内放行该终端与广域网中的设备间的通信报文，该临时上线请求中可以包括终端的标识，如上所述，该终端的标识可以为终端的MAC地址或者终端的IP地址等。需要说明的是，在实际应用中，该第一预设时长可以由网络管理员进行设定，如30秒、60秒等，本发明对此不作具体限定。

在实际应用中，可能存在某些恶意用户不断地进行临时上线，从而绕过接入认证访问未被授权的网络资源，为了防止这种情况，如图2C所示，步骤208具体可以包括下述步骤：2081、认证服务器在本地临时上线次数数据库中基于终端的标识查询该终端临时上线的次数，也即是被授予在第一预设时长内访问广域网的权限的次数；2082、当该次数小于预设阈值时，认证服务器向AC发送该临时上线请求，而当该次数大于预设阈值时，认证服务器不会向AC发送该临时上线请求，从而可以防止恶意用户不断地临时上线。

步骤209、AC接收该临时上线请求。

步骤210、AC在接收到临时上线请求后，向认证服务器发送验证请求，该验证请求中包括终端的标识。

如上所述，该终端的标识可以为终端的MAC地址或者终端的IP地址等。AC在接收到该临时上线请求后，可以基于Portal 2.0协议，Radius协议向认证服务器发送上述验证请求。

步骤211、认证服务器接收验证请求。

步骤212、认证服务器在接收到上述验证请求后生成验证反馈信息，该验证反馈信息中包括用于指示第一预设时长的上线时长信息。

步骤213、认证服务器向AC发送验证反馈信息。

在实际应用中，无线局域网的接入认证一般都基于Portal 2.0协议、Radius协议等进行，在Portal 2.0协议、Radius协议中，AC需要接收到认证服务器基于Radius协议发送的验证反馈信息后才能为待接入终端授予访问广域网的权限。因此，在本发明实施例中，为了与现有的Portal 2.0协议、Radius协议相适应，AC在接收到临时上线请求后，需要向认证服务器发送验证请求，该验证请求中可以包括终端的标识，认证服务器接收到该验证请求后，可以基于Radius协议生成验证反馈信息，该验证反馈信息可以包括终端的标识及上述上线时长信息。

步骤214、AC接收该验证反馈信息，并基于上线时长信息，授予终端在第一预设时长内访问广域网的权限，而后向认证服务器发送临时上线成功回执。

AC在接收到该验证反馈信息后，可以将验证反馈信息中终端的标识添加到本地认证设备数据库中，同时根据上述第一预设时长启动计时，当计时时间小于该第一预设时长时，AC会放行终端与广域网中的设备间的通信报文，以保证在接入认证过程中终端与第三方APP服务器的正常通信，而当计时时间等于该第一预设时长时，AC可以将终端的标识从本地认证设备数据库中删除，则AC会重新拦截终端与广域网中的设备间的通信报文。

在实际应用中，AC将终端的标识添加到本地认证设备数据库中之后，AC可以向认证服务器发送临时上线成功回执，以通知认证服务器终端临时上线成功。

步骤215、认证服务器接收到临时上线成功回执后，向第三方APP服务器发送页面调用凭据。

实际应用中，出于安全考虑，第三方APP服务器在向终端发送页面之前，需要对调用页面的程序、用户等进行合法性验证，只有在验证合法后，第三方APP才会向终端发送相应的页面。因此，为了使第三方APP向终端发送下文所述的第三方APP连接页面，认证服务器可以向第三方APP服务器发送该页面调用凭据，以使第三方APP服务器验证页面调用的合法性。需要说明的是，该页面调用凭据中可以包括数字签名，该数字签名可以基于无线局域网的名称、发送该页面调用凭据的时间戳、认证服务器的URL以及第三方APP服务器向该认证服务器发送的密钥等基于某种算法计算得到，在实际应用中，该算法可以为MD5算法等，本发明对此不作限定。

步骤216、第三方APP服务器在验证上述页面调用凭据合法后，向终端发送第三方APP连接页面，该第三方APP连接页面包括连接选项。

在步骤216中，第三方APP服务器可以基于页面调用凭据中的数字签名判断该页面调用凭据是否合法。而在步骤207中，当用户触发第三方APP认证页面中的认证选项时，终端即会开启第三方APP。当第三方APP服务器验证上述页面调用凭据合法后，第三方APP服务器可以向终端发送第三方APP连接页面，则终端可以基于第三方APP展示该第三方APP连接页面。如图2D所示为第三方APP为微信APP时的一种第三方APP连接页面的示意图，图中所示的立即连接选项即为上文所述的连接选项。

步骤217、终端在基于上述连接选项接收到连接指令后，向认证服务器发送连接请求，该连接请求中包括终端用户第三方APP的账号和终端的标识。

用户可以选择上述第三方APP连接页面中的连接选项，此时，终端可以向认证服务器发送连接请求，以触发终端正式上线的流程。

步骤218、认证服务器接收该连接请求，并与第三方APP服务器进行通信以根据该第三方APP的账号验证终端是否合法，基于终端的标识确定终端是否处于临时上线状态，当终端合法且终端处于临时上线状态时，认证服务器向AC发送更改授权报文。

认证服务器可以将第三方APP的账号发送至上述第三方APP服务器中，由第三方APP服务器判断该账号是否存在，当该账号存在时，第三方APP服务器可以向认证服务器返回合法信息，认证服务器接收到该合法信息后即可确定终端合法。同时认证服务器还可以基于终端的标识在本地临时上线设备数据库中查询终端是否处于临时上线状态。若终端处于临时上线状态，则认证服务器可以不基于Portal 2.0协议，Radius协议执行令上述终端正式上线的操作，而是直接向AC发送更改授权报文，指示AC将终端的临时上线权限更改为正式上线权限，从而节约流程。若终端不处于临时上线状态，则认证服务器可以基于Portal2.0协议，Radius协议执行令上述终端正式上线的操作，对此本发明不做具体限定。

步骤219、AC接收该更改授权报文，基于更改授权报文，授予所述终端访问广域网的权限，并向认证服务器发送正式上线成功回执。

在本发明的一个实施例中，AC在接收到该更改授权报文后，可以立即停止计时，使终端获取通过该无线局域网访问广域网的权限。

可选地，所述更改授权报文中还包括第二预设时长，AC在接收到该更改授权报文后，可以将上述第一预设时长更改为第二预设时长并重新启动计时，该第二预设时长可以由网络管理员进行设定，如1小时、2小时等。

此外，AC在接收到该更改授权报文后，还可以将第三方APP的账号添加至上述本地认证设备数据库，本发明对此也不作具体限定。

步骤220、认证服务器在接收到上述正式上线回执后，向终端返回认证成功标识。

步骤221、终端接收该认证成功标识，并基于该认证成功标识在第三方APP中展示认证成功页面。

如图2E所示为第三方APP为微信APP时的一种认证成功页面的示意图，在认证成功页面中可以设置关注我们选项，以引导用户关注企业的微信公众号，或者，在该认证成功页面中还可以设置贴片广告等，本发明对此不作具体限定。

综上所述，本实施例提供的接入认证方法，通过AC在终端接入认证过程中，接收认证服务器发送的临时上线请求并令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，则AC在第一预设时长内会放行终端与广域网中的设备间的所有通信报文，使得一方面AC在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了AC的计算量，另一方面可以保证放行接入认证过程中终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

图3是根据一示例性实施例示出的一种接入控制器300的框图。参照图3，该接入控制器300包括定向模块301、接收模块302、授权模块303和认证模块304。

该定向模块301，用于在基于终端发送的超文本传输协议HTTP连接请求确定该终端未经过接入认证时，将该HTTP连接请求重定向至认证服务器，使得该认证服务器向该终端发送第三方应用程序APP认证页面，该第三方APP认证页面包括认证选项。其中，该定向模块301执行的具体步骤详见上述步骤203和204的说明，本发明在此不再赘述。

该接收模块302，用于接收该认证服务器发送的临时上线请求，该临时上线请求中包括该终端的标识，该临时上线请求由该认证服务器在接收到该终端发送的认证请求后生成，该认证请求由该终端基于该第三方认证页面中的该认证选项生成。其中，该接收模块302执行的具体步骤详见上述步骤209的说明，本发明在此不再赘述。

该授权模块303，用于基于该临时上线请求，授予该终端在第一预设时长内访问广域网的权限，以便该终端访问第三方APP服务器。其中，该授权模块303执行的具体步骤详见上述步骤210和214的说明，本发明在此不再赘述。

此外，在本发明的一个实施例中，该授权模块303，还用于在接收到该临时上线请求后，向该认证服务器发送验证请求，该验证请求中包括该终端的标识；接收该认证服务器发送的验证反馈信息，该验证反馈信息中包括用于指示该第一预设时长的上线时长信息，该验证反馈信息由该认证服务器在接收到该验证请求后生成；基于该上线时长信息，授予该终端在该第一预设时长内访问广域网的权限。

该认证模块304，用于在该终端访问广域网的过程中通过该第三方APP服务器和该认证服务器对该终端进行接入认证。其中，该认证模块304执行的具体步骤详见上述步骤219的说明，本发明在此不再赘述。

综上所述，本实施例提供的接入控制器，通过在终端接入认证过程中，接收认证服务器发送的临时上线请求并令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，并在第一预设时长内放行终端与广域网中的设备间的所有通信报文，使得一方面在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了计算量，另一方面可以保证放行接入认证过程中终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

图4是根据一示例性实施例示出的一种认证服务器400的框图。参照图4，该认证服务器400包括页面发送模块401和请求发送模块402。

该页面发送模块401，用于在接收到终端发送的超文本传输协议HTTP连接请求后，向该终端发送第三方应用程序APP认证页面，该第三方APP认证页面包括认证选项。其中，该页面发送模块401执行的具体步骤详见上述步骤206的说明，本发明在此不再赘述。

该请求发送模块402，用于在接收到该终端发送的认证请求后，向AC发送临时上线请求，使得该AC基于该临时上线请求授予该终端在第一预设时长内访问广域网的权限，并使得该AC在该终端访问广域网的过程中通过第三方APP服务器和该认证服务器对该终端进行接入认证，该认证请求由该终端基于该认证选项生成。其中，该请求发送模块402执行的具体步骤详见上述步骤208的说明，本发明在此不再赘述。

参见图5，在本发明的另一个实施例中，还提供了另一种认证服务器500，该认证服务器基于上述图4的实施例结构，还包括接收模块403、信息发送模块404、凭据发送模块405、报文发送模块406和获取模块407。

该接收模块403，用于接收该AC发送的验证请求，该验证请求中包括该终端的标识。其中，该接收模块403执行的具体步骤详见上述步骤211的说明，本发明在此不再赘述。

该信息发送模块404，用于在接收到该验证请求后，向该AC发送验证反馈信息，该验证反馈信息中包括用于指示该第一预设时长的上线时长信息，使得该AC基于该上线时长信息，授予该终端在该第一预设时长内访问广域网的权限，并使得该AC在该终端访问广域网的过程中通过该第三方APP服务器和该认证服务器对该终端进行接入认证。其中，该信息发送模块404执行的具体步骤详见上述步骤215的说明，本发明在此不再赘述。

该凭据发送模块405，用于向该第三方APP服务器发送页面调用凭据，使得该终端在该第三方APP服务器验证该页面调用凭据合法后获取该第三方APP服务器发送的第三方APP连接页面，该第三方APP连接页面包括连接选项。其中，该凭据发送模块405执行的具体步骤详见上述步骤215的说明，本发明在此不再赘述。

该报文发送模块406，用于在接收到该终端发送的连接请求后，向该AC发送更改授权报文，使得该AC基于该更改授权报文，授予该终端访问广域网的权限，该连接请求由该终端基于该连接选项生成。其中，该报文发送模块406执行的具体步骤详见上述步骤218的说明，本发明在此不再赘述。

该获取模块407，用于获取该终端被授予在该第一预设时长内访问广域网的权限的次数。其中，该获取模块407执行的具体步骤详见上述步骤208中的步骤2081的说明，本发明在此不再赘述。

该请求发送模块402，用于当该次数小于预设阈值时，向该AC发送该临时上线请求。其中，请求发送模块402执行的具体步骤详见上述步骤208中的步骤2082的说明，本发明在此不再赘述。

综上所述，本实施例提供的认证服务器，通过当终端未经过接入认证时，向AC发送临时上线请求，使AC令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，这样做一方面使得AC在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了AC的计算量，另一方面可以保证在接入认证过程中放行终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

需要说明的是：上述实施例提供的AC和认证服务器在进行接入认证时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的AC、认证服务器与接入认证方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。

图6是本发明实施例提供的一种AC 600的结构示意图，该AC 600包括：存储器601、处理器602、通信接口603和总线604。通信接口603和存储器601分别通过总线604与处理器602连接。

其中，存储器601可以包括易失性存储器(英文：volatile memory)，例如随机存取存储器(英文：random-access memory，缩写：RAM)；存储器601也可以包括非易失性存储器(英文：non-volatile memory)，例如快闪存储器(英文：flash memory)，硬盘(英文：harddisk drive，缩写：HDD)或固态硬盘(英文：solid-state drive，缩写：SSD)；存储器601还可以包括上述种类的存储器的组合。存储器601可用于存储程序指令，具体的，存储器601可存储操作系统6011和至少一个功能所需的应用程序6012。

处理器602可以是中央处理器(英文：central processing unit，缩写：CPU)，网络处理器(英文：network processor，缩写：NP)或者CPU和NP的组合。处理器602可以包括一个或者一个以上处理核心，处理器602通过运行存储器601存储的程序指令以执行上述图2所示实施例中AC执行的步骤。

通信接口603可以为有线通信接入口，无线通信接口或其组合，其中，有线通信接口例如可以为以太网接口。以太网接口可以是光接口，电接口或其组合。无线通信接口可以为无线局域网接口，蜂窝网络通信接口或其组合等。

总线604可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

图7是本发明实施例提供的一种认证服务器700的结构示意图，该认证服务器700包括：存储器701、处理器702、网络接口703和总线704。网络接口703和存储器701分别通过总线704与处理器702连接。

其中，存储器701可以包括易失性存储器，例如RAM；存储器701也可以包括非易失性存储器，例如快闪存储器，HDD或SSD；存储器701还可以包括上述种类的存储器的组合。存储器701可用于存储程序指令，具体的，存储器701可存储操作系统7011和至少一个功能所需的应用程序7012。

处理器702可以是CPU，NP或者CPU和NP的组合。处理器702可以包括一个或者一个以上处理核心，处理器702通过运行存储器701存储的程序指令以执行上述图2所示实施例中认证服务器执行的步骤。

该网络接口703可以为无线网络接口或者有线网络接口，该网络接口703可以有多个，用于与其它设备进行通信。

总线704也可以分为地址总线、数据总线、控制总线等。为便于表示，图7中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

图8是根据一示例性实施例示出的一种认证系统800的框图。该认证系统800包括AC 801和认证服务器802。

该AC 801，用于执行上述实施例中接入控制器AC执行的步骤。

该认证服务器802，用于执行上述实施例中认证服务器执行的步骤。

此外，在本发明的一些实施例中，该认证系统800还可以包括终端、第三方APP服务器中的一个或多个，本发明对此不做具体限定。

综上所述，本实施例提供的认证系统，通过AC在终端接入认证过程中，接收认证服务器发送的临时上线请求并令终端临时上线一段时间，也即是授予终端在第一预设时长内访问广域网的权限，则AC在第一预设时长内会放行终端与广域网中的设备间的所有通信报文，使得一方面AC在终端接入认证过程中无需识别终端与第三方APP服务器的通信报文，减轻了AC的计算量，另一方面可以保证放行接入认证过程中终端与第三方APP服务器的所有通信报文，从而保证了在接入认证过程中终端与第三方APP服务器的正常通信，进而保证了接入认证的成功率。

本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (11)

1.一种接入认证方法，其特征在于，包括：

无线局域网的接入控制器AC在基于终端发送的超文本传输协议HTTP连接请求确定所述终端未经过接入认证时，将所述HTTP连接请求重定向至认证服务器，使得所述认证服务器向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

所述AC接收所述认证服务器发送的临时上线请求，所述临时上线请求中包括所述终端的标识，所述临时上线请求由所述认证服务器在接收到所述终端发送的认证请求后生成，所述认证请求由所述终端基于所述第三方认证页面中的所述认证选项生成；

所述AC基于所述临时上线请求，授予所述终端在第一预设时长内访问广域网的权限，以便所述终端访问第三方APP服务器；

所述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证。

2.根据权利要求1所述的方法，其特征在于，所述AC基于所述临时上线请求，授予所述终端在第一预设时长内访问广域网的权限，包括：

在接收到所述临时上线请求后，所述AC向所述认证服务器发送验证请求，所述验证请求中包括所述终端的标识；

所述AC接收所述认证服务器发送的验证反馈信息，所述验证反馈信息中包括用于指示所述第一预设时长的上线时长信息，所述验证反馈信息由所述认证服务器在接收到所述验证请求后生成；

基于所述上线时长信息，所述AC授予所述终端在所述第一预设时长内访问广域网的权限。

3.根据权利要求1或2所述的方法，其特征在于，所述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证，包括：

所述AC接收所述认证服务器发送的更改授权报文，所述更改授权报文由所述认证服务器在接受到所述终端发送的连接请求后生成，所述连接请求由所述终端基于第三方APP连接页面上的连接选项生成，所述第三方APP连接页面由所述第三方APP服务器发送；

所述AC基于所述更改授权报文，授予所述终端访问广域网的权限。

4.一种接入认证方法，其特征在于，所述方法包括：

无线局域网的认证服务器在接收到终端发送的超文本传输协议HTTP连接请求后，向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

所述认证服务器在接收到所述终端发送的认证请求后，向接入控制器AC发送临时上线请求，使得所述AC基于所述临时上线请求授予所述终端在第一预设时长内访问广域网的权限，并使得所述AC在所述终端访问广域网的过程中通过第三方APP服务器和所述认证服务器对所述终端进行接入认证，所述认证请求由所述终端基于所述认证选项生成。

5.根据权利要求4所述的方法，其特征在于，所述向AC发送临时上线请求之后，所述方法还包括：

所述认证服务器接收所述AC发送的验证请求，所述验证请求中包括所述终端的标识；

在接收到所述验证请求后，所述认证服务器向所述AC发送验证反馈信息，所述验证反馈信息中包括用于指示所述第一预设时长的上线时长信息，使得所述AC基于所述上线时长信息，授予所述终端在所述第一预设时长内访问广域网的权限，并使得所述AC在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证。

6.根据权利要求4所述的方法，其特征在于，所述认证服务器在接收到所述终端发送的认证请求后，向AC发送临时上线请求之后，所述方法还包括：

所述认证服务器向所述第三方APP服务器发送页面调用凭据，使得所述终端在所述第三方APP服务器验证所述页面调用凭据合法后获取所述第三方APP服务器发送的第三方APP连接页面，所述第三方APP连接页面包括连接选项；

所述认证服务器在接收到所述终端发送的连接请求后，向所述AC发送更改授权报文，使得所述AC基于所述更改授权报文，授予所述终端访问广域网的权限，所述连接请求由所述终端基于所述连接选项生成。

7.根据权利要求4-6任一所述的方法，其特征在于，所述向AC发送临时上线请求之前，所述方法还包括：

所述认证服务器获取所述终端被授予在所述第一预设时长内访问广域网的权限的次数；

所述向AC发送临时上线请求，包括：

当所述次数小于预设阈值时，所述认证服务器向所述AC发送所述临时上线请求。

8.一种接入控制器AC，其特征在于，所述AC包括：

定向模块，用于在基于终端发送的超文本传输协议HTTP连接请求确定所述终端未经过接入认证时，将所述HTTP连接请求重定向至认证服务器，使得所述认证服务器向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

接收模块，用于接收所述认证服务器发送的临时上线请求，所述临时上线请求中包括所述终端的标识，所述临时上线请求由所述认证服务器在接收到所述终端发送的认证请求后生成，所述认证请求由所述终端基于所述第三方认证页面中的所述认证选项生成；

授权模块，用于基于所述临时上线请求，授予所述终端在第一预设时长内访问广域网的权限，以便所述终端访问第三方APP服务器；

认证模块，用于在所述终端访问广域网的过程中通过所述第三方APP服务器和所述认证服务器对所述终端进行接入认证。

9.根据权利要求8所述的AC，其特征在于，所述认证模块用于：

接收所述认证服务器发送的更改授权报文，所述更改授权报文由所述认证服务器在接受到所述终端发送的连接请求后生成，所述连接请求由所述终端基于第三方APP连接页面上的连接选项生成，所述第三方APP连接页面由所述第三方APP服务器发送；

基于所述更改授权报文，授予所述终端访问广域网的权限。

10.一种认证服务器，其特征在于，包括：

页面发送模块，用于在接收到终端发送的超文本传输协议HTTP连接请求后，向所述终端发送第三方应用程序APP认证页面，所述第三方APP认证页面包括认证选项；

请求发送模块，用于在接收到所述终端发送的认证请求后，向接入控制器AC发送临时上线请求，使得所述AC基于所述临时上线请求授予所述终端在第一预设时长内访问广域网的权限，并使得所述AC在所述终端访问广域网的过程中通过第三方APP服务器和所述认证服务器对所述终端进行接入认证，所述认证请求由所述终端基于所述认证选项生成。

11.根据权利要求10所述的认证服务器，其特征在于，所述认证服务器还包括：

凭据发送模块，用于向所述第三方APP服务器发送页面调用凭据，使得所述终端在所述第三方APP服务器验证所述页面调用凭据合法后获取所述第三方APP服务器发送的第三方APP连接页面，所述第三方APP连接页面包括连接选项；

报文发送模块，用于在接收到所述终端发送的连接请求后，向所述AC发送更改授权报文，使得所述AC基于所述更改授权报文，授予所述终端访问广域网的权限，所述连接请求由所述终端基于所述连接选项生成。