CN108282537B

CN108282537B - 一种Portal用户下线的方法和接入设备

Info

Publication number: CN108282537B
Application number: CN201810097005.9A
Authority: CN
Inventors: 王阳; 廖以顺
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: Hangzhou H3C Technologies Co Ltd
Priority date: 2018-01-31
Filing date: 2018-01-31
Publication date: 2021-02-26
Anticipated expiration: 2038-01-31
Also published as: CN108282537A

Abstract

本公开提供一种Portal用户下线的方法，该方法应用于接入设备，该方法为：接收报文；该报文是终端在进行主动下线的过程中，通过访问一固定域名得到与该固定域名绑定的固定地址后，由该终端发出的以该固定地址为目的地址的报文；如果该报文命中已生成的Portal用户下线表项，则将命中的Portal用户下线表项中记录的URL发送给该终端，使得该终端根据该URL打开认证通过界面进行下线。该方法使得用户只要记住一个固定域名，便可以在需要主动下线时通过访问该固定域名触发发送目的地址为上述固定地址的报文，接入设备收到这一报文后可以将认证通过界面的URL返回给该终端，最终用户可以再次打开认证通过界面进行主动下线。

Description

一种Portal用户下线的方法和接入设备

技术领域

本公开涉及通信技术领域，尤其涉及一种Portal用户下线的方法和接入设备。

背景技术

Portal(门户)认证通常也称为Web(网页)认证，即通过Web页面接受用户输入的用户名和密码，对用户进行身份认证，以达到对用户访问进行控制的目的。

用户通过Portal服务器连接到网络后，可以通过点击认证通过界面上的“下线”按钮进行下线。认证通过界面的URL(Uniform Resource Locator，统一资源定位符)的格式可以如下所示：

http://192.168.13.9/3.htm？wlanuserip＝192.168.10.2&wlanacip＝192.168.13.1&session＝&vlanid＝0

其中，上述URL中的“wlanuserip＝192.168.10.2”表示接入设备信息，“wlanacip＝192.168.13.1”表示用户信息，“session＝&vlanid＝0”表示用户接入位置信息(如用户接入的VLAN(Virtual Local Area Network，虚拟局域网)信息)。

当网络出现故障，或由于用户的误操作，导致认证通过界面关闭时，用户将无法通过点击“下线”按钮实现下线操作；而由于URL的复杂性，通过记录认证通过界面的URL再次主动打开认证通过界面来进行下线也比较困难。这时一般只能通过接入设备发送探测报文，对没响应的终端进行被动下线。

发明内容

有鉴于此，本公开提供一种Portal用户下线的方法和接入设备，用以解决Portal用户上线后在关闭认证通过界面后难以主动下线的问题。

具体地，本公开是通过如下技术方案实现的：

本公开第一方面，提供了一种Portal用户下线的方法，所述方法应用于接入设备，所述方法包括：

接收报文；所述报文是终端在进行主动下线的过程中，通过访问一固定域名得到与所述固定域名绑定的固定地址后，由所述终端发出的以所述固定地址为目的地址的报文；

如果所述报文命中已生成的Portal用户下线表项，则

将命中的Portal用户下线表项中记录的URL发送给所述终端，使得所述终端根据所述URL打开认证通过界面进行下线。

本公开第二方面，提供了一种接入设备，具有实现上述方法的功能。所述功能可以通过硬件实现，也可以通过硬件执行相应的软件实现。所述硬件或软件包括一个或多个与上述功能相对应的模块或单元。

一种实现方式中，所述接入设备包括：

接收单元，用于接收报文；所述报文是终端在进行主动下线的过程中，通过访问一固定域名得到与所述固定域名绑定的固定地址后，由所述终端发出的以所述固定地址为目的地址的报文；

处理单元，用于判断所述报文是否命中已生成的Portal用户下线表项；

发送单元，用于在所述处理单元判定所述报文命中已生成的Portal用户下线表项时，将命中的Portal用户下线表项中记录的URL发送给所述终端，使得所述终端根据所述URL打开认证通过界面进行下线。

另一种实现方式中，所述接入设备可以包括通信接口、处理器、存储器和总线，所述通信接口、所述处理器和所述存储器之间通过总线相互连接；所述存储器中存储机器可读指令，所述处理器通过调用所述机器可读指令，执行本公开第一方面所述的方法。

本申请第三方面，提供了一种机器可读存储介质，所述机器可读存储介质存储有机器可执行指令，所述机器可执行指令在被处理器调用和执行时，所述机器可执行指令促使所述处理器实现本申请第一方面所述的方法。

本公开将一固定域名与一固定地址绑定，并令接入设备上针对每个通过Portal认证的终端，绑定该固定地址与该终端的地址、推送给该终端的认证通过界面的URL之间的对应关系，使得用户只要记住这个简单的固定域名，便可以在需要主动下线时通过访问该固定域名，触发DNS服务器返回与该域名对应的上述固定地址，进而触发该终端发送目的地址为上述固定地址的报文，接入设备收到这一报文后根据已绑定的上述对应关系，可以将认证通过界面的URL返回给该终端，最终用户可以再次打开认证通过界面进行主动下线。

附图说明

图1是本公开实施例提供的系统架构示意图；

图2是本公开实施例提供的方法流程图；

图3是本公开实施例提供的报文处理流程示意图；

图4是本公开提供的装置功能模块框图；

图5是本公开提供的图4所示装置的硬件结构图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本公开的一些方面相一致的装置和方法的例子。

在本公开使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本公开。在本公开和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本公开可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本公开范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本公开提供一种Portal用户主动下线的方案，本方案将一固定域名与一固定地址绑定，对于每个通过Portal认证的终端，接入设备可以在本地绑定该固定地址与该终端的地址、以及推送给该终端的认证通过界面的URL三者之间的对应关系，使得用户只要记住这个简单的固定域名，便可以在需要主动下线时通过访问该固定域名，触发DNS(Domain NameSystem，域名系统)服务器返回与该域名对应的上述固定地址，进而触发该终端发送目的地址为上述固定地址的报文，接入设备收到这一报文后根据已绑定的上述对应关系，将认证通过界面的URL返回给该终端，使得终端可以再次打开认证通过界面进行主动下线。

本公开提供的Portal用户主动下线的方案，可应用于图1所示例的系统中，该系统包括终端、接入设备、Portal服务器、Portal Web服务器、AAA(Authentication、Authorization、Accounting，验证、授权和记账)服务器和DNS服务器，其中：

终端，也可称之为用户设备(User Equipment，简称UE)，终端可以是移动电话、计算机或者车载移动装置等。终端在未通过Portal认证之前，通过浏览器访问外部网络，均会被接入设备重定向到Portal Web服务器提供的认证页面，终端在认证页面上输入账号和密码进行Portal认证，在通过Portal认证之后，会跳转到Portal Web服务器提供的认证通过页面，即可正常访问外部网络。本公开中，在因网络故障或用户的误操作导致认证通过界面被关闭后，终端可以通过浏览器访问一固定域名，使得该认证通过界面重新打开，从而通过点击认证通过界面上的“下线”按钮进行主动下线。

接入设备，为终端连接到网络的网络设备，可以是交换机、路由器、BRAS(Broadband Remote Access Server，宽带接入服务器)等硬件设备，用于将未通过Portal认证的终端发送的HTTP报文重定向到Portal服务器进行身份认证。本公开中，接入设备可以在终端通过Portal认证后，保存该终端的地址、推送给该终端的认证通过界面的URL与一固定地址之间的对应关系；具体的，接入设备可以通过表的形式保存上述对应关系，以下将保存这一对应关系的表项统称为“Portal用户下线表项”，接入设备正是基于Portal用户下线表项为终端重复推送认证通过界面的URL。

Portal Web服务器，用于显示认证页面，接收终端在认证页面上输入的认证信息，将接收的认证信息发送给Portal服务器；以及根据Portal服务器的通知为通过Portal认证的终端推送认证通过界面。

Portal服务器，用于将从Portal Web服务器接收的认证信息通过Portal协议封装后发送给接入设备；以及在接收到接入设备通过Portal协议封装的认证通过报文时，通知Portal Web服务器为相应的终端推送认证通过界面。

AAA服务器，存有所有终端的信息，用于终端身份认证。AAA服务器有多种类型，常用的AAA服务器有AD(Active Directory，活动目录)服务器、LDAP(Lightweight DirectoryAccess Protocol，轻量级目录访问协议)服务器、RADIUS服务器等。

DNS服务器，用于将域名转换为IP(Internet Protocol，互联网协议)地址。本公开中，预先在DNS服务器上配置了一固定地址和一固定地址的对应关系，所有终端都可以通过访问这个固定域名，由DNS服务器解析该固定域名返回上述固定地址，进而触发终端发送目的地址为上述固定地址的报文。其中，这个固定地址可以是Portal服务器的地址，也可以是专门预留出的一个不与网络设备地址冲突且不能被网络设备使用的地址。

本公开实施例中，Portal服务器、Portal Web服务器和AAA服务器可以合并在一个物理服务器上，也可以分开部署。

基于上面描述，下面对本公开提供的方法进行描述：

参见图2，图2为本公开提供的Portal用户下线方法的流程图。如图2所示，该流程可包括步骤201至步骤203。下面在介绍该方法的各个步骤之前，先对该方法的应用场景进行示例性说明。

比如，一终端在通过Portal认证后，Portal Web服务器可以为其推送一个认证通过界面，该认证通过界面上显示一个“下线”按钮，用户可以通过该“下线”按钮进行下线；同时该认证通过界面上还可以显示一个域名，比如“www.gooffline.com”，提示用户可以通过访问此域名再次打开认证通过界面。当因网络故障，或用户的误操作，导致认证通过界面关闭时，用户可以在终端的浏览器上输入上述域名，使得终端使用UDP的(User DatagramProtocol，用户数据报协议)的53端口(53端口为DNS服务器所开放)将该域名发送到DNS服务器进行解析获得该域名对应的IP地址，如1.1.1.1，再向1.1.1.1的80端口(80端口为HTTP所开放，也可以将HTTP的端口定义成其它端口)发送报文。接入设备收到该报文时，执行图2所示方法。接下来，对该方法包括的各个步骤进行介绍。

步骤201：接入设备接收报文。

步骤202：接入设备判断该报文是否命中已生成的Portal用户下线表项。如果不命中，则接入设备可以按照现有实现处理该报文，比如如果发送该报文的终端已通过Portal认证，则正常转发该报文；如果发送该报文的终端未通过Portal认证，则先对该终端进行Portal认证。

如果命中，则接入设备可以确定该报文是终端在进行主动下线的过程中，通过访问一固定域名得到与该固定域名绑定的固定地址后发出的以该固定地址为目的地址的报文，从而继续执行步骤203。

步骤203：接入设备在确定该报文命中已生成的Portal用户下线表项时，将命中的Portal用户下线表项中记录的URL发送给该终端，使得该终端根据该URL打开认证通过界面进行下线。

在本公开中，上述Portal用户下线表项可以通过以下步骤生成：

第一步，接收AAA服务器发送的认证通过报文，从认证通过报文中获取并记录通过Portal认证的终端的地址。

第二步，接收Portal服务器发送的对应该终端的认证通过界面的URL。

作为一种方式，Portal服务器可以在Portal协议报文的扩展字段携带该URL；接入设备收到该Portal协议报文后从扩展字段中解析出认证通过界面的URL。

第三步，基于前两步获得的信息，生成对应上述终端的Portal用户下线表项，该Portal用户下线表项以第一步获得的终端的地址和预先配置的固定地址为匹配项，以第二步获得的认证通过界面的URL为匹配结果。

作为一种可选的方式，Portal用户下线表项中的匹配项还可以包括目的端口号，比如可以将目的端口号的值设置为HTTP(Hyper Text Transfer Protocol，超文本传输协议)的端口号，以用来匹配HTTP报文。

一种Portal用户下线表项的形式可以参考下表1所示例，其中目的端口号的字段值设置为80(HTTP报文的目的端口号默认为80)，用于匹配HTTP报文；源IP的字段值即为第一步获得的通过Portal认证的终端的地址；目的IP的字段值即为预先设置的固定地址，这个固定地址可以是Portal服务器的地址，也可以是专门预留出的一个不与网络设备地址冲突且不能被网络设备使用的地址；URL的字段值即为推送给该终端的认证通过界面的URL。

表1

目的端口号	源IP	目的IP	URL
				80	ip1	ip3	url1
80	ip2	ip3	url2

接入设备将Portal用户下线表项中记录的认证通过界面的URL发送给终端后，终端可以通过该URL重新打开认证通过界面，并通过界面上的“下线按钮”将下线请求告知Portal服务器，Portal服务器向接入设备发送下线请求报文；接入设备收到下线请求报文后，为该终端成功下线，包括删除该终端对应的Portal用户下线表项；之后接入设备向Portal服务器返回下线成功响应报文，并向AAA服务器发送计费结束报文。Portal服务器收到下线成功响应报文后，可以向该终端发送下线成功提示报文；并且当AAA服务器收到计费结束报文后，结束对该终端的计费。

至此，完成图2所示的流程。

通过图2所示的流程可以看出，将一固定域名与一固定地址绑定，并令接入设备上针对每个通过Portal认证的终端，绑定该固定地址与该终端的地址、推送给该终端的认证通过界面的URL之间的对应关系，使得用户只要记住这个简单的固定域名，便可以在需要主动下线时通过访问该固定域名，触发DNS服务器返回与该域名对应的上述固定地址，进而触发该终端发送目的地址为上述固定地址的报文，接入设备收到这一报文后根据已绑定的上述对应关系，可以将认证通过界面的URL返回给该终端，最终用户可以再次打开认证通过界面进行主动下线。

为了更加清楚，下面通过两个实施例，分别从Portal认证和报文处理两个角度，对本公开的技术方案做进一步的说明。这两个实施例仅仅是本公开的一种实现方式，不构成对本公开的限定。

在其中一个实施例中，Portal认证可以包括以下步骤：

1)终端访问任意网页，发起HTTP报文，若接入设备发现此终端还未认证通过，则仿冒代答一个Portal Web服务器的URL给终端。

2)终端收到该URL后，跳转到Portal Web服务器的认证界面，在认证页面输入用户名和密码等认证信息进行验证。

3)Portal Web服务器收到终端的用户名和密码等认证信息后发送给Portal服务器，由Portal服务器通过Portal协议封装后发送给接入设备。

4)接入设备将收到的终端的用户名和密码等认证信息发送给AAA服务器进行认证。

5)假设认证通过，则AAA服务器发送认证通过报文给接入设备。

6)接入设备收到认证通过报文后，生成对应的Portal用户在线表项和Portal用户下线表项。

这里，Portal用户在线表项可以包括通过Portal的终端的标识(如IP地址、MAC地址、接入的VLAN等信息)和一些用于控制终端行为的规则(如限速规则、收费规则等)。Portal用户下线表项的形式可以参见上表1所示，只是此时Portal用户下线表项中的URL字段还是空值。接入设备生成这两个表项后，可以将Portal用户在线表项同时保存到本设备的控制面和转发面，以及将Portal用户下线表项仅保存到本设备的控制面。

7)同时，接入设备将收到的认证通过报文通过Portal协议通知给Portal服务器，由Portal服务器通知给Portal Web服务器。

8)Portal Web服务器发送认证通过界面给终端，认证通过界面上显示用于主动下线的域名。

9)同时，Portal Web服务器将认证通过界面的URL通知给Portal服务器，由Portal服务器通过Portal协议的扩展字段携带该URL给接入设备。

10)接入设备解析出该URL后下发到对应的Poral用户下线表项中。

在其中另一个实施例中，假设认证通过后提示给终端的下线域名所对应的IP地址为IP_A，则可以在接入设备的转发面新增一条规则：匹配目的IP地址是IP_A的HTTP报文，将其上送到接入设备的控制面处理。

经过上述设置，接入设备在收到报文时可以执行如图3所示的报文处理流程：

1)接入设备的转发面收到报文后，判断报文是否满足目的IP地址为IP_A且目的端口号为80。

2)如果满足第1)步的条件，则：

步骤a、将报文上送到控制面，判断该报文是否命中控制面的Portal用户在线表项；

步骤b、如果没有命中Portal用户在线表项，则将认证界面的URL发送给该报文的源IP地址；

步骤c、如果命中Portal用户在线表项，则继续判断该报文是否命中控制面的Portal用户下线表项；

步骤d、如果命中Portal用户下线表项，则将命中的Portal用户下线表项中记录的URL发送给该报文的源IP地址，使得用户能够打开认证通过界面进行主动下线；

步骤e、如果没有命中Portal用户下线表项，则将认证界面的URL发送给该报文的源IP地址。

3)如果不满足第1)步的条件，则：

步骤f、判断该报文是否命中转发面的Portal用户在线表项；

步骤g、如果命中Portal用户在线表项，则对该报文进行查表转发；

步骤h、如果没有命中Portal用户在线表项，则继续判断该报文是否满足目的端口号为80(这里端口80为HTTP所开放)；

步骤i、如果满足，则继续执行上述步骤a至步骤e；

步骤j、如果不满足，则丢弃该报文。

以上对本公开提供的方法进行了描述。下面对本公开提供的装置进行描述。

参见图4，为本公开提供的一种接入设备。如图4所示，该接入设备可以包括以下单元：

接收单元401，用于接收报文；所述报文是终端在进行主动下线的过程中，通过访问一固定域名得到与所述固定域名绑定的固定地址后，由所述终端发出的以所述固定地址为目的地址的报文；

处理单元402，用于判断所述报文是否命中已生成的Portal用户下线表项；

发送单元403，用于在所述处理单元402判定所述报文命中已生成的Portal用户下线表项时，将命中的Portal用户下线表项中记录的URL发送给所述终端，使得所述终端根据所述URL打开认证通过界面进行下线。

在其中一种实施方式中，所述接收单元401，还用于接收AAA服务器发送的认证通过报文；以及接收Portal服务器发送的对应该终端的认证通过界面的URL。所述处理单元402，还用于从所述认证通过报文中获取通过Portal认证的终端的地址；生成对应该终端的Portal用户下线表项，该Portal用户下线表项以该终端的地址、所述固定地址为匹配项，以所述认证通过界面的URL为匹配结果。

在其中一种实施方式中，所述接收单元401，还用于接收Portal服务器发送的Portal协议报文，Portal服务器在所述Portal协议报文的扩展字段中携带认证通过界面的URL。所述处理单元402，还用于从收到的Portal协议报文的扩展字段中获取认证通过界面的URL。

在其中一种实施方式中，所述固定域名显示在Portal Web服务器返回给所述终端的认证通过界面上。

在其中一种实施方式中，所述接收单元401，还用于接收Portal服务器发送的针对所述终端的下线请求报文。所述处理单元402，还用于根据所述下线请求报文删除对应所述终端的Portal用户下线表项。

至此，完成图4所示装置的描述。

对应地，本公开还提供了图4所示装置的硬件结构。参见图5，图5为本公开提供的一种接入设备的硬件结构示意图。该接入设备包含：通信接口501、处理器502、存储器503和总线504；其中，通信接口501、处理器502和存储器503通过总线504完成相互间的通信。

其中，通信接口501，用于发送和接收报文。处理器502可以是一个中央处理器(CPU)，存储器503可以是非易失性存储器(non-volatile memory)，并且存储器503中存储有机器可读指令，处理器502可以执行存储器503中存储的机器可读指令，以实现上述图2所示的方法。

至此，完成图5所示的硬件结构描述。

此外，本申请还提供了一种机器可读存储介质，所述机器可读存储介质存储有机器可读指令，所述机器可读指令在被处理器调用和执行时，所述机器可执行指令促使所述处理器实现图2所示的方法。

以上所述仅为本公开的较佳实施例而已，并不用以限制本公开，凡在本公开的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本公开保护的范围之内。

Claims

1.一种门户Portal用户下线的方法，其特征在于，所述方法应用于接入设备，所述方法包括：

如果所述报文命中已生成的Portal用户下线表项，则

将命中的Portal用户下线表项中记录的统一资源定位符URL发送给所述终端，使得所述终端根据所述URL打开认证通过界面进行下线；

所述Portal用户下线表项通过以下方式生成：

接收AAA服务器发送的认证通过报文，从所述认证通过报文中获取通过Portal认证的终端的地址；

接收Portal服务器发送的对应该终端的认证通过界面的URL；

生成对应该终端的Portal用户下线表项，该Portal用户下线表项以该终端的地址、所述固定地址为匹配项，以所述认证通过界面的URL为匹配结果。

2.如权利要求1所述的方法，其特征在于，所述接收Portal服务器发送的对应该终端的认证通过界面的URL，包括：

接收Portal服务器发送的Portal协议报文，Portal服务器在所述Portal协议报文的扩展字段中携带认证通过界面的URL；

从收到的Portal协议报文的扩展字段中获取认证通过界面的URL。

3.如权利要求1所述的方法，其特征在于，所述固定域名显示在Portal Web服务器返回给所述终端的认证通过界面上。

4.如权利要求1所述的方法，其特征在于，所述方法还包括：

当接收到Portal服务器发送的针对所述终端的下线请求报文后，删除对应所述终端的Portal用户下线表项。

5.一种接入设备，其特征在于，包括：

发送单元，用于在所述处理单元判定所述报文命中已生成的Portal用户下线表项时，将命中的Portal用户下线表项中记录的统一资源定位符URL发送给所述终端，使得所述终端根据所述URL打开认证通过界面进行下线；

所述接收单元，还用于接收AAA服务器发送的认证通过报文；以及接收Portal服务器发送的对应该终端的认证通过界面的URL；

所述处理单元，还用于从所述认证通过报文中获取通过Portal认证的终端的地址；生成对应该终端的Portal用户下线表项，该Portal用户下线表项以该终端的地址、所述固定地址为匹配项，以所述认证通过界面的URL为匹配结果。

6.如权利要求5所述的接入设备，其特征在于，

所述接收单元，还用于接收Portal服务器发送的Portal协议报文，Portal服务器在所述Portal协议报文的扩展字段中携带认证通过界面的URL；

所述处理单元，还用于从收到的Portal协议报文的扩展字段中获取认证通过界面的URL。

7.如权利要求5所述的接入设备，其特征在于，所述固定域名显示在Portal Web服务器返回给所述终端的认证通过界面上。

8.如权利要求5所述的接入设备，其特征在于，

所述接收单元，还用于接收Portal服务器发送的针对所述终端的下线请求报文；

所述处理单元，还用于根据所述下线请求报文删除对应所述终端的Portal用户下线表项。

9.一种接入设备，其特征在于，包括通信接口、处理器、存储器和总线，所述通信接口、所述处理器和所述存储器之间通过总线相互连接；

所述存储器中存储机器可读指令，所述处理器通过调用所述机器可读指令，执行如权利要求1至4任一项所述的方法。

10.一种机器可读存储介质，其特征在于，所述机器可读存储介质存储有机器可读指令，所述机器可读指令在被处理器调用和执行时，所述机器可读指令促使所述处理器实现权利要求1至4任一项所述的方法。