CN110012032B - 一种用户认证方法和装置 - Google Patents

Abstract

本申请提供一种用户认证方法和装置，该方法包括：接收准出NAS发送的准出认证请求，所述准出认证请求包括用户地址；获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使准入认证服务器获取与用户地址对应的用户认证状态；接收准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向准出NAS发送准出认证成功报文，以使准出NAS根据准出认证成功报文确定所述用户地址对应的用户设备已认证成功。通过本申请的技术方案，使得用户能够正常访问外网资源。

Description

一种用户认证方法和装置

技术领域

本申请涉及通信技术领域，尤其是涉及一种用户认证方法和装置。

背景技术

在某些应用场景(如园区接入网场景等)中，可以部署准入NAS(Network AccessServer，网络接入服务器)、准出NAS、准入认证服务器、准出认证服务器。当用户访问内网资源时，准入NAS和准入认证服务器用于对用户进行认证，在认证成功后，允许用户访问内网资源，且准入NAS和准入认证服务器用于对用户访问内网资源的流量进行计费。当用户访问外网资源时，准出NAS和准出认证服务器用于对用户进行认证，在认证成功后，允许用户访问外网资源，且准出NAS和准出认证服务器用于对用户访问外网资源的流量进行计费。

准入NAS和准入认证服务器对用户进行认证时，准入NAS接收认证请求报文，该认证请求报文包括用户输入的身份信息(如用户名和密码等)，并将认证请求报文发送给准入认证服务器，由准入认证服务器利用该身份信息对用户进行认证。准出NAS和准出认证服务器对用户进行认证时，准出NAS接收认证请求报文，该认证请求报文包括用户输入的身份信息，并将认证请求报文发送给准出认证服务器，由准出认证服务器利用该身份信息对用户进行认证。

显然，上述方式需要用户输入两次身份信息，用户体验比较差。为了解决上述问题，在传统方式中，准入认证服务器在确定用户认证成功后，向准出认证服务器发送上线通知报文，准出认证服务器根据该上线通知报文确定用户认证成功，允许用户访问外网资源。由于准出认证服务器对用户进行认证时，不需要用户输入身份信息，从而减少用户输入身份信息的次数，提高用户体验。

但是，在上述方式中，一旦上线通知报文未成功发送，即准出认证服务器未接收到准入认证服务器发送的上线通知报文，则准出认证服务器不会确定用户认证成功，即不允许用户访问外网资源，导致用户无法正常访问外网资源。

发明内容

本申请提供一种用户认证方法，应用于准出认证服务器，包括：

接收准出NAS发送的准出认证请求，所述准出认证请求包括用户地址；

获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使所述准入认证服务器获取与所述用户地址对应的用户认证状态；

接收准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文，以使所述准出NAS根据所述准出认证成功报文确定所述用户地址对应的用户设备已认证成功。

本申请提供一种用户认证方法，应用于准出NAS，包括：

在接收到用户设备发送的数据报文时，判断所述用户设备是否已认证成功；

如果否，则向准出认证服务器发送准出认证请求，所述准出认证请求包括所述用户设备对应的用户地址，以使所述准出认证服务器获取与所述用户地址对应的用户认证状态，以及，在所述用户认证状态是用户未上线时，从准入认证服务器获取与所述用户地址对应的用户认证状态；

接收所述准出认证服务器返回的准出认证成功报文，所述准出认证成功报文是所述准出认证服务器在所述用户认证状态是用户已上线时发送的；

根据所述准出认证成功报文确定所述用户设备已认证成功。

本申请提供一种用户认证装置，应用于准出认证服务器，包括：

接收模块，用于接收准出NAS发送的准出认证请求，所述准出认证请求包括用户地址；

查询模块，用于获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使准入认证服务器获取与所述用户地址对应的用户认证状态；

处理模块，用于接收准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述用户认证状态是用户已上线，确定所述用户地址对应的用户设备已认证成功，向准出NAS发送准出认证成功报文，以使准出NAS根据所述准出认证成功报文确定所述用户地址对应的用户设备已认证成功。

本申请提供一种用户认证装置，应用于准出NAS，包括：

判断模块，用于在接收到用户设备发送的数据报文时，判断所述用户设备是否已认证成功；

发送模块，用于当判断结果为否时，向准出认证服务器发送准出认证请求，所述准出认证请求包括所述用户设备对应的用户地址，以使所述准出认证服务器获取与所述用户地址对应的用户认证状态，以及，在所述用户认证状态是用户未上线时，从准入认证服务器获取与所述用户地址对应的用户认证状态；

接收模块，用于接收准出认证服务器返回的准出认证成功报文，所述准出认证成功报文是准出认证服务器在所述用户认证状态是用户已上线时发送的；

确定模块，用于根据所述准出认证成功报文确定所述用户设备已认证成功。

基于上述技术方案，本申请实施例中，准出认证服务器在接收到准出认证请求后，若与用户地址对应的用户认证状态是用户未上线，则可以从准入认证服务器获取与用户地址对应的用户认证状态，即反查用户认证状态，这样，当用户认证状态是用户已上线时，可以确定用户地址对应的用户设备已认证成功，并向准出NAS发送准出认证成功报文，以使准出NAS确定用户设备已认证成功。综上所述，即使上线通知报文未成功发送，准出认证服务器也可以确定用户认证成功，即允许用户访问外网资源，使得用户能够正常访问外网资源。

附图说明

为了更加清楚地说明本申请实施例或者现有技术中的技术方案，下面将对本申请实施例或者现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，还可以根据本申请实施例的这些附图获得其他的附图。

图1是本申请一种实施方式中的应用场景示意图；

图2是本申请一种实施方式中的用户认证方法的流程图；

图3是本申请一种实施方式中的用户下线时的计费方法的流程图；

图4是本申请另一种实施方式中的用户认证方法的流程图；

图5是本申请另一种实施方式中的用户认证方法的流程图；

图6是本申请一种实施方式中的用户认证装置的结构图；

图7是本申请一种实施方式中的准出认证服务器的结构示意图；

图8是本申请一种实施方式中的用户认证装置的结构图；

图9是本申请一种实施方式中的准出NAS的结构示意图。

具体实施方式

在本申请实施例使用的术语仅仅是出于描述特定实施例的目的，而非限制本申请。本申请和权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其它含义。还应当理解，本文中使用的术语“和/或”是指包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请实施例可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，此外，所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请实施例中提出一种用户认证方法，可以应用于包括准入NAS、准出NAS、准入认证服务器、准出认证服务器的网络，如园区接入网等。其中，准入认证服务器可以为准入AAA(Authentication Authorization Accounting，认证、授权、计费)服务器，也可以为准入RADIUS(Remote Authentication Dial-In User Service，远程认证拨号用户服务)服务器，对此不做限制。准出认证服务器可以为准出AAA服务器，也可以为准出RADIUS服务器，对此不做限制。

参见图1所示，为本申请实施例的应用场景示意图。当用户访问内网资源时，需要对用户进行准入控制，也就是说，利用准入NAS101和准入认证服务器102对用户进行认证。在认证成功后，允许用户访问内网资源，且准入NAS101和准入认证服务器102能够对用户访问内网资源的流量进行计费。当用户访问外网资源时，需要对用户进行准出控制，也就是说，利用准出NAS103和准出认证服务器104对用户进行认证。在认证成功后，允许用户访问外网资源，且准出NAS103和准出认证服务器104能够对用户访问外网资源的流量进行计费。

参见图2所示，为用户认证方法的流程示意图，该方法可以包括：

步骤201，用户设备105在准入认证服务器102进行准入认证。

具体的，用户设备105在发送访问内网资源的数据报文后，准入NAS101可以接收到该数据报文。若准入NAS101确定用户设备105已认证成功，则允许用户设备105访问内网资源；若准入NAS101确定用户设备105未通过认证，则触发用户设备105发起认证，后续以用户设备105未通过认证为例。

用户设备105在发起认证时，可以向准入NAS101发送认证请求报文，该认证请求报文可以包括用户输入的身份信息(如用户名和密码等)和用户设备105的用户地址(如IP地址或者MAC地址等)。准入NAS101在接收到该认证请求报文后，可以向准入认证服务器102发送认证请求报文，该认证请求报文包括该身份信息和该用户地址。准入认证服务器102在接收到该认证请求报文后，可以利用该身份信息对用户进行认证，对此认证过程不再赘述。

在用户认证成功后，准入认证服务器102可以向准入NAS101发送认证成功报文，这样，准入NAS101确定用户设备105已认证成功，允许用户设备105访问内网资源，对此过程不再赘述。在用户认证失败后，准入认证服务器102可以向准入NAS101发送认证失败报文，这样，准入NAS101确定用户设备105未认证成功，不允许用户设备105访问内网资源，对此过程不再赘述。

在用户认证成功后，准入认证服务器102还可以更新用户认证表，参见表1或表2所示，为更新前的用户认证表，参见表3所示，为更新后的用户认证表。显然，在用户认证成功后，准入认证服务器102将用户认证状态更新为用户已上线，并将用户地址(即认证请求报文携带的用户地址)更新到用户认证表中。

表1

用户名	用户地址	用户认证状态
			aaa		用户未上线
…	…	…

表2

用户名	用户地址	用户认证状态
			…	…	…

表3

用户名	用户地址	用户认证状态
			aaa	用户地址A	用户已上线
…	…	…

其中，表1和表2的区别在于：在表1中，即使用户未上线，用户认证表中也存在该用户的表项，只是该表项未记录用户地址，用户认证状态为用户未上线，但是，该表项包括用户名“aaa”。在表2中，若用户未上线，则用户认证表中不存在该用户的表项，也就是说，当用户下线时，需要从用户认证表中删除该用户的表项，从而节约表项资源，当用户从未上线时，也不在用户认证表中记录该用户的表项。当用户上线时，在用户认证表中增加该用户的表项。

步骤202，准入认证服务器102向准出认证服务器104发送上线通知报文，该上线通知报文包括用户名和用户地址，如准入认证服务器102从认证请求报文中获取的用户名和用户地址，如用户名为“aaa”，用户地址为“用户地址A”。

可选地，在一个例子中，准出认证服务器104在接收到该上线通知报文后，还可以更新用户认证表。参见表4或表5所示，为更新前的用户认证表。参见表6所示，为更新后的用户认证表。显然，在接收到上线通知报文后，准出认证服务器104将用户认证状态更新为用户已上线。此外，该上线通知报文还可以包括用户地址，准出认证服务器104可以将该用户地址更新到用户认证表中。

表4

用户名	用户地址	用户认证状态
			aaa		用户未上线
…	…	…

表5

用户名	用户地址	用户认证状态
			…	…	…

表6

用户名	用户地址	用户认证状态
			aaa	用户地址A	用户已上线
…	…	…

其中，表4和表5的区别在于：在表4中，即使用户未上线，用户认证表中也存在该用户的表项，只是该表项未记录用户地址，用户认证状态为用户未上线，即用户认证状态的初始状态是用户未上线，但该表项包括用户名“aaa”。

在表5中，若用户未上线，则用户认证表中不存在该用户的表项，也就是说，当用户下线时，可以从用户认证表中删除该用户的表项，从而节约表项资源，避免占用大量表项资源，当用户从未上线时，也不需要在用户认证表中记录该用户的表项。当用户上线时，在用户认证表中增加该用户的表项。

在一个例子中，准入认证服务器102在向准出认证服务器104发送上线通知报文时，该上线通知报文可以是UDP(User Datagram Protocol，用户数据报协议)类型的报文，也可以是其它类型的报文，以UDP类型的报文为例。

由于UDP类型是一个面向无连接的、不可靠的协议类型，因此，上线通知报文可能发生丢失，即准出认证服务器104可能未接收到上线通知报文。

综上所述，准出认证服务器104可能接收到上线通知报文，也可能未接收到上线通知报文。若准出认证服务器104接收到上线通知报文，则维护表6所示的用户认证表，用户认证状态是用户已上线；若准出认证服务器104未接收到上线通知报文，则维护表4所示的用户认证表，用户认证状态是用户未上线，或者，维护表5所示的用户认证表，即用户认证表中不存在用户的表项。

步骤203，准出NAS103在接收到用户设备105发送的数据报文时，判断用户设备105是否已认证成功。若已认证成功，则允许用户设备105访问外网资源。若未通过认证，则准出NAS103向准出认证服务器104发送准出认证请求，该准出认证请求包括用户设备105对应的用户地址(如IP地址等)。

具体的，用户设备105在发送访问外网资源的数据报文后，准出NAS103可以接收到该数据报文，并从该数据报文中获取用户设备105对应的用户地址。

然后，准出NAS103通过该用户地址查询会话表(该会话表用于记录所有已通过认证的用户设备的会话信息)。若该会话表中已经存在该用户地址，则确定用户设备105已认证成功，允许用户设备105访问外网资源。若该会话表中不存在该用户地址，则确定用户设备105未通过认证，触发进行IPoE(IP over Ethernet，以太网承载IP)认证，后续以用户设备105未通过认证为例。

在触发进行IPoE认证时，准出NAS103向准出认证服务器104发送准出认证请求，该准出认证请求包括用户设备105对应的用户地址(如用户地址A)。

步骤204，准出认证服务器104接收准出NAS103发送的准出认证请求，该准出认证请求包括用户地址，并获取与该用户地址对应的用户认证状态。

具体的，准出认证服务器104可以通过该用户地址查询用户认证表，得到与该用户地址对应的用户认证状态。若用户认证表如表4或表5所示，由于表4或表5所示的用户认证表不存在用户地址A，因此，可以确定用户地址A对应的用户认证状态是用户未上线。若用户认证表如表6所示，通过查询表6所示的用户认证表，得到与用户地址A对应的用户认证状态是用户已上线。

其中，若用户认证状态是用户已上线，则准出认证服务器104确定该用户地址对应的用户设备105已认证成功，并向准出NAS103发送准出认证成功报文，准出NAS103接收到准出认证成功报文的处理方式，参见后续实施例。

其中，若用户认证状态是用户未上线，则可以执行后续步骤205。

步骤205，若用户认证状态是用户未上线，则准出认证服务器104向准入认证服务器102发送查询请求，该查询请求可以包括该用户地址。

步骤206，准入认证服务器102在接收到查询请求后，获取与该用户地址对应的用户认证状态，并向准出认证服务器104发送查询响应，该查询响应包括该用户认证状态。其中，若该用户地址对应的用户认证状态是用户已上线，则该查询响应包括的用户认证状态是用户已上线；若该用户地址对应的用户认证状态是用户未上线，则该查询响应包括的用户认证状态是用户未上线。

在一个例子中，准入认证服务器102在接收到查询请求后，可以从该查询请求中解析出用户地址A，并通过该用户地址A查询用户认证表，得到与该用户地址A对应的用户认证状态。若用户认证表如表1或表2所示，由于表1或表2所示的用户认证表不存在用户地址A，因此，可以确定用户地址A对应的用户认证状态是用户未上线。若用户认证表如表3所示，通过查询表3所示的用户认证表，得到与用户地址A对应的用户认证状态是用户已上线。

进一步的，准入认证服务器102在向准出认证服务器104发送查询响应时，若用户地址A对应的用户认证状态是用户未上线，则所述查询响应包括的用户认证状态可以是“用户未上线”，若用户地址A对应的用户认证状态是用户已上线，则所述查询响应包括的用户认证状态可以是“用户已上线”。

步骤207，准出认证服务器104接收准入认证服务器102返回的查询响应，该查询响应包括用户认证状态，该用户认证状态为用户已上线或用户未上线。

在一个例子中，准入认证服务器102向准出认证服务器104发送查询响应时，该查询响应还可以包括用户名和用户地址，该用户名是用户地址A在用户认证表中对应的用户名，如用户名“aaa”。准出认证服务器104接收到查询响应时，还可以更新用户认证表。假设更新前的用户认证表如表4或表5所示，则更新后的用户认证表如表6所示，也就是说，针对用户名“aaa”对应的表项，将用户认证状态更新为用户已上线，并将用户地址A更新到用户认证表中。

在一个例子中，上述查询请求和查询响应可以是TCP(Transmission ControlProtocol，传输控制协议)类型的报文，也可以是其它类型的报文，以TCP类型的报文为例。由于TCP类型是面向连接的、可靠的协议类型，因此，查询请求和查询响应一般不会丢失，即使丢失也可以重新发送，也就是说，准入认证服务器102能够接收到查询请求，准出认证服务器104能够接收到查询响应。

例如，查询请求可以为HTTP(Hyper Text Transfer Protocol，超文本传输协议)查询请求，查询响应可以为HTTP查询响应。又例如，查询请求可以为基于Restful(Representational State Transfer，表征状态转移)接口的HTTP查询请求，查询响应可以为基于Restful接口的HTTP查询响应。当然，上述只是查询请求和查询响应的两个示例，对此查询请求和查询响应均不做限制。

步骤208，若用户认证状态是用户已上线，则准出认证服务器104确定该用户地址对应的用户设备已认证成功，并向准出NAS103发送准出认证成功报文。

具体的，准出认证服务器104在从查询响应中解析出用户认证状态后，若该用户认证状态为用户已上线，则可以确定用户地址A对应的用户设备105已认证成功，并向准出NAS103发送准出认证成功报文，该准出认证成功报文可以包括用户地址A，表示用户地址A对应的用户设备105已认证成功。

步骤209，准出NAS103接收到准出认证服务器104发送的准出认证成功报文后，根据准出认证成功报文确定该用户地址对应的用户设备已认证成功。

具体的，准出NAS103在接收到准出认证成功报文后，可以从准出认证成功报文中解析出用户地址A，由于准出认证成功报文表示“已认证成功”，因此，准出NAS103可以确定用户地址A对应的用户设备105已认证成功。

准出NAS103在确定用户地址A对应的用户设备105已认证成功之后，还可以在会话表中记录已通过认证的用户设备105的会话信息，该会话信息可以包括但不限于：会话标识、用户地址A、设备类型、计费信息(如用户上线时间、用户访问流量、用户在线时长)等内容，对此会话信息不做限制。

准出NAS103再次接收到用户设备105发送的数据报文时，由于会话表中已经存在用户设备105的用户地址A，即已经存在用户设备105的会话，因此，准出NAS103确定用户设备105已认证成功，允许用户设备105访问外网资源。

在用户设备105访问外网资源的过程中，准出NAS103还可以统计用户设备105的计费信息，并更新会话表中的计费信息，对此过程不做限制。

综上所述，当用户设备105在准入认证服务器102的认证通过后，则用户设备105的用户认证状态是用户已上线，因此，准出认证服务器104能够查询到用户设备105的用户认证状态是用户已上线，并确定用户设备105已认证成功，并向准出NAS103发送准出认证成功报文，这样，准出NAS103也能够确定用户设备105已认证成功，并允许用户设备105访问外网资源。

在一个例子中，步骤207之后，若用户认证状态是用户未上线，则准出认证服务器104确定该用户地址对应的用户设备未通过认证，并向准出NAS103发送准出认证失败报文。准出NAS103在接收到该准出认证失败报文后，可以根据该准出认证失败报文确定该用户地址对应的用户设备未通过认证。

具体的，准出认证服务器104在从查询响应中解析出用户认证状态后，若该用户认证状态为用户未上线，则确定用户地址A对应的用户设备105未通过认证，并向准出NAS103发送准出认证失败报文，该准出认证失败报文包括用户地址A，表示用户地址A对应的用户设备105未通过认证。准出NAS103在接收到准出认证失败报文后，从准出认证失败报文中解析出用户地址A，由于准出认证失败报文表示“未通过认证”，因此，准出NAS103可以确定用户地址A对应的用户设备105未通过认证，并禁止用户设备105访问外网资源。

综上所述，当用户设备105在准入认证服务器102的认证未通过时，则用户设备105的用户认证状态是用户未上线，因此，准出认证服务器104能够查询到用户设备105的用户认证状态是用户未上线，并确定用户设备105未通过认证，并向准出NAS103发送准出认证失败报文，这样，准出NAS103也能够确定用户设备105未通过认证，并禁止用户设备105访问外网资源。

基于上述技术方案，本申请实施例中，准出认证服务器104能够从准入认证服务器102反查用户设备105的用户认证状态，这样，当用户认证状态是用户已上线时，可以确定用户设备105已认证成功，并向准出NAS103发送准出认证成功报文。综上所述，即使上线通知报文未成功发送，也可以确定用户认证成功，即允许用户访问外网资源，使得用户能够正常访问外网资源。上述方式能够避免准出认证失败，提高系统可靠性。由于只有在上线通知报文丢失的情况下，才需要反查用户设备的用户认证状态，不会大幅增加网络负荷。

参见图3所示，为用户下线时的计费流程示意图，该方法可以包括：

步骤301，用户设备105在准入认证服务器102进行准入下线。

具体的，当用户设备105下线时，准入NAS101可以获知用户设备105下线，并向准入认证服务器102发送计费停止请求报文，准入认证服务器102在接收到计费停止请求报文后，确定用户设备105准入下线，向准入NAS101发送计费停止响应报文，准入NAS101接收到计费停止响应报文后，停止对用户设备105进行计费，用户设备105的准入下线成功，对此下线过程不再赘述。

在用户设备105准入下线成功后，准入认证服务器102还可以更新用户认证表，例如，将表3所示的用户认证表更新为表1所示的用户认证表；或者，准入认证服务器102还可以删除这个表项，得到表2所示的用户认证表。

步骤302，准入认证服务器102向准出认证服务器104发送下线通知报文，该下线通知报文包括用户名和用户地址，如用户名“aaa”，用户地址A。

可选地，在一个例子中，准出认证服务器104在接收到该下线通知报文后，还可以确定用户地址A对应的用户设备105已经下线，并更新上述用户认证表。例如，将表6所示的用户认证表更新为表4所示的用户认证表；或者，准出认证服务器104还可以删除这个表项，得到表5所示的用户认证表。

进一步的，准出认证服务器104在接收到下线通知报文后，向准出NAS103发送断开报文(即DM)，该断开报文包括用户地址A。准出NAS103接收到该断开报文后，确定用户地址A对应的用户设备105下线，并向准出认证服务器104发送计费停止请求报文，准出认证服务器104在接收到计费停止请求报文后，向准出NAS103发送计费停止响应报文，准出NAS103接收到计费停止响应报文后，停止对用户设备105进行计费，用户设备105的准出下线成功。

在一个例子中，准入认证服务器102在向准出认证服务器104发送下线通知报文时，该下线通知报文可以是UDP类型的报文，也可以是其它类型的报文，以UDP类型的报文为例。若准出认证服务器104接收到下线通知报文，则用户设备105的准出下线成功。若准出认证服务器104未接收到下线通知报文，则用户设备105无法准出下线成功，后续以准出认证服务器104未接收到下线通知报文为例，也就是说，用户设备105无法基于下线通知报文准出下线成功。

为了使用户设备105能够准出下线成功，还可以执行如下步骤：

步骤303，准出NAS103根据老化参数确定用户设备105是否已老化，如果是，则准出NAS103向准出认证服务器104发送计费停止请求报文。

具体的，参见上述步骤209，准出NAS103还可以在会话表中记录用户设备105的会话信息。在此基础上，准出NAS103还可以为用户设备105配置老化参数，且该会话信息可以包括该老化参数，该老化参数可以包括但不限于老化时长和流量阈值，老化时长和流量阈值均可以根据经验配置，对此不做限制。

进一步的，准出NAS103可以统计用户设备105在每个老化时长内产生的流量；若该流量小于所述流量阈值，则准出NAS103可以确定用户设备105已老化；若该流量不小于所述流量阈值，则准出NAS103可以确定用户设备105未老化，并统计用户设备105在下一个老化时长内产生的流量，以此类推。

例如，准出NAS103统计用户设备105在老化时长(如第0分钟-第1分钟)内产生的流量；若该流量不小于所述流量阈值，则统计用户设备105在老化时长(如第1分钟-第2分钟)内产生的流量，以此类推，一直到用户设备105在某个老化时长内产生的流量小于所述流量阈值，则停止统计过程，并确定用户设备105已老化，准出NAS103向准出认证服务器104发送计费停止请求报文。

步骤304，准出认证服务器104收到计费停止请求报文后，从计费停止请求报文中解析出用户地址，将该用户地址对应的用户认证状态更新为用户未上线。

具体的，准出NAS103在向准出认证服务器104发送计费停止请求报文时，该计费停止请求报文可以包括用户设备105的用户地址A。准出认证服务器104可以从计费停止请求报文中解析出用户地址A，确定用户地址A对应的用户设备105已下线，并更新用户认证表。例如，准出认证服务器104将表6所示的用户认证表更新为表4所示的用户认证表或者表5所示的用户认证表。

步骤305，准出认证服务器104向准出NAS103发送计费停止响应报文。

步骤306，准出NAS103在接收到计费停止响应报文后，根据该计费停止响应报文确定用户设备105已下线，并停止对用户设备105进行计费。

至此，用户设备105的准出下线成功，禁止用户设备105访问外网资源。而且，准出NAS103可以从会话表中删除用户设备105的会话信息。

综上所述，当用户设备105在准入认证服务器102进行准入下线后，准出NAS103能够根据老化参数确定用户设备105已老化，并向准出认证服务器104发送计费停止请求报文，这样，能够及时停止对用户设备105进行计费，避免用户设备105的计费出现错误，避免计费异常所造成的用户经济损失。

基于与上述方法同样的申请构思，本申请实施例中还提出一种用户认证方法，该方法可以应用于准出认证服务器，参见图4所示，该方法可以包括：

步骤401，接收准出NAS发送的准出认证请求，该准出认证请求包括用户地址，例如，该用户地址可以为用户设备的IP地址或者MAC地址。

步骤402，获取与该用户地址对应的用户认证状态；若该用户认证状态是用户未上线，则向准入认证服务器发送查询请求；其中，该查询请求包括该用户地址，以使准入认证服务器获取与该用户地址对应的用户认证状态。

步骤403，接收准入认证服务器返回的查询响应，该查询响应包括该用户认证状态；若该用户认证状态是用户已上线，则确定该用户地址对应的用户设备已认证成功，并向准出NAS发送准出认证成功报文，以使准出NAS根据该准出认证成功报文确定该用户地址对应的用户设备已认证成功。

可选地，在一个例子中，获取与该用户地址对应的用户认证状态之后，若该用户认证状态是用户已上线，则准出认证服务器可以确定该用户地址对应的用户设备已认证成功，并向准出NAS发送准出认证成功报文。

可选地，在一个例子中，接收准入认证服务器返回的查询响应之后，若该用户认证状态是用户未上线，则准出认证服务器可以确定该用户地址对应的用户设备未通过认证，并向准出NAS发送准出认证失败报文，以使准出NAS根据该准出认证失败报文确定该用户地址对应的用户设备未通过认证。

可选地，在一个例子中，接收准出NAS发送的准出认证请求之前，若准出认证服务器接收到准入认证服务器发送的上线通知报文，且该上线通知报文包括用户地址，则准出认证服务器将该用户地址对应的用户认证状态更新为用户已上线；其中，该用户地址对应的用户认证状态的初始状态是用户未上线。

基于与上述方法同样的申请构思，本申请实施例中还提出一种用户认证方法，该方法可以应用于准出NAS，参见图5所示，该方法可以包括：

步骤501，在接收到用户设备发送的数据报文时，判断用户设备是否已认证成功；如果是，则允许用户设备访问外网资源；如果否，则执行步骤502。

步骤502，向准出认证服务器发送准出认证请求；其中，该准出认证请求包括该用户设备对应的用户地址，以使准出认证服务器获取与该用户地址对应的用户认证状态，以及，在该用户认证状态是用户未上线时，由准出认证服务器从准入认证服务器获取与该用户地址对应的用户认证状态。

步骤503，接收准出认证服务器返回的准出认证成功报文；其中，该准出认证成功报文是准出认证服务器在该用户认证状态是用户已上线时发送的。

步骤504，根据该准出认证成功报文确定用户设备已认证成功。

可选地，在一个例子中，根据该准出认证成功报文确定用户设备已认证成功之后，准出NAS还可以为用户设备配置老化参数；若根据该老化参数确定用户设备已老化，则准出NAS可以向准出认证服务器发送计费停止请求报文，以使准出认证服务器将该用户地址对应的用户认证状态更新为用户未上线。进一步的，准出NAS接收准出认证服务器返回的计费停止响应报文，并根据该计费停止响应报文确定用户设备已下线，并停止对该用户设备进行计费。

可选地，在一个例子中，该老化参数可以包括老化时长和流量阈值，准出NAS根据该老化参数确定用户设备已老化，可以包括：统计用户设备在该老化时长内产生的流量；若该流量小于该流量阈值，则确定用户设备已老化。

基于与上述方法同样的申请构思，本申请实施例中还提出一种用户认证装置，应用于准出认证服务器，参见图6所示，为该装置的结构示意图，包括：

接收模块61，用于接收准出NAS发送的准出认证请求，其中，所述准出认证请求可以包括用户地址；查询模块62，用于获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使所述准入认证服务器获取与所述用户地址对应的用户认证状态；处理模块63，用于接收所述准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述用户认证状态是用户已上线，则可以确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文，以使所述准出NAS根据所述准出认证成功报文确定所述用户地址对应的用户设备已认证成功。

可选地，在一个例子中，所述查询模块62，还用于在获取与所述用户地址对应的用户认证状态之后，若所述用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文。

所述处理模块63，还用于在接收准入认证服务器返回的查询响应之后，若所述用户认证状态是用户未上线，则确定所述用户地址对应的用户设备未通过认证，并向所述准出NAS发送准出认证失败报文，以使所述准出NAS根据所述准出认证失败报文确定所述用户地址对应的用户设备未通过认证。

本申请实施例提供的准出认证服务器，从硬件层面而言，硬件架构示意图具体可以参见图7所示，可以包括：机器可读存储介质和处理器，其中：

机器可读存储介质：存储指令代码。

处理器：与机器可读存储介质通信，读取和执行机器可读存储介质中存储的所述指令代码，实现本申请上述示例公开的用户认证操作。

基于与上述方法同样的申请构思，本申请实施例中还提出一种用户认证装置，应用于准出NAS，参见图8所示，为该装置的结构示意图，包括：

判断模块81，用于在接收到用户设备发送的数据报文时，判断所述用户设备是否已认证成功；发送模块82，用于当所述判断模块81的判断结果为否时，则向准出认证服务器发送准出认证请求，所述准出认证请求包括所述用户设备对应的用户地址，以使所述准出认证服务器获取与所述用户地址对应的用户认证状态，以及，在所述用户认证状态是用户未上线时，从准入认证服务器获取与所述用户地址对应的用户认证状态；接收模块83，用于接收所述准出认证服务器返回的准出认证成功报文，所述准出认证成功报文是所述准出认证服务器在所述用户认证状态是用户已上线时发送的；确定模块84，用于根据所述准出认证成功报文确定所述用户设备已认证成功。

可选地，在一个例子中，所述确定模块84，还用于为所述用户设备配置老化参数，并根据所述老化参数确定所述用户设备是否已老化；所述发送模块82，还用于若根据所述老化参数确定所述用户设备已老化，则向所述准出认证服务器发送计费停止请求报文，以使所述准出认证服务器将所述用户地址对应的用户认证状态更新为用户未上线；所述接收模块83，还用于接收所述准出认证服务器返回的计费停止响应报文；所述确定模块84，还用于根据所述计费停止响应报文确定所述用户设备已下线，并停止对所述用户设备进行计费。

可选地，在一个例子中，所述老化参数包括老化时长和流量阈值，所述确定模块84根据所述老化参数确定所述用户设备已老化时具体用于：

统计所述用户设备在所述老化时长内产生的流量；

若所述流量小于所述流量阈值，则确定所述用户设备已老化。

本申请实施例提供的准出NAS，从硬件层面而言，硬件架构示意图具体可以参见图9所示，可以包括：机器可读存储介质和处理器，其中：

机器可读存储介质：存储指令代码。

处理器：与机器可读存储介质通信，读取和执行机器可读存储介质中存储的所述指令代码，实现本申请上述示例公开的用户认证操作。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机，计算机的具体形式可以是个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件收发设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任意几种设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本申请时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请实施例可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可以由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其它可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其它可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

而且，这些计算机程序指令也可以存储在能引导计算机或其它可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或者多个流程和/或方框图一个方框或者多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其它可编程数据处理设备上，使得在计算机或者其它可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其它可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (13)

1.一种用户认证方法，其特征在于，应用于准出认证服务器，包括：

接收准出网络接入服务器NAS发送的准出认证请求，所述准出认证请求包括用户地址；

获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使所述准入认证服务器获取与所述用户地址对应的用户认证状态；

接收准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述查询响应包括的用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文，以使所述准出NAS根据所述准出认证成功报文确定所述用户地址对应的用户设备已认证成功。

2.根据权利要求1所述的方法，其特征在于，

所述获取与所述用户地址对应的用户认证状态之后，所述方法还包括：

若与所述用户地址对应的用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文。

3.根据权利要求1所述的方法，其特征在于，

所述接收准入认证服务器返回的查询响应之后，所述方法还包括：

若所述用户认证状态是用户未上线，则确定所述用户地址对应的用户设备未通过认证，并向所述准出NAS发送准出认证失败报文，以使所述准出NAS根据所述准出认证失败报文确定所述用户地址对应的用户设备未通过认证。

4.根据权利要求1或2所述的方法，其特征在于，

所述接收准出NAS发送的准出认证请求之前，所述方法还包括：

若接收到准入认证服务器发送的上线通知报文，所述上线通知报文包括用户地址，则将所述用户地址对应的用户认证状态更新为用户已上线；

其中，所述用户地址对应的用户认证状态的初始状态是用户未上线。

5.一种用户认证方法，其特征在于，应用于准出网络接入服务器NAS，包括：

在接收到用户设备发送的数据报文时，判断所述用户设备是否已认证成功；

如果否，则向准出认证服务器发送准出认证请求，所述准出认证请求包括所述用户设备对应的用户地址，以使所述准出认证服务器获取与所述用户地址对应的用户认证状态，以及，在所述用户认证状态是用户未上线时，从准入认证服务器获取与所述用户地址对应的用户认证状态；

接收所述准出认证服务器返回的准出认证成功报文，所述准出认证成功报文是所述准出认证服务器在所述用户认证状态是用户已上线时发送的；

根据所述准出认证成功报文确定所述用户设备已认证成功。

6.根据权利要求5所述的方法，其特征在于，所述根据所述准出认证成功报文确定所述用户设备已认证成功之后，所述方法还包括：

为所述用户设备配置老化参数；若根据所述老化参数确定所述用户设备已老化，则向所述准出认证服务器发送计费停止请求报文，以使所述准出认证服务器将所述用户地址对应的用户认证状态更新为用户未上线；

接收所述准出认证服务器返回的计费停止响应报文，并根据所述计费停止响应报文确定所述用户设备已下线，并停止对所述用户设备进行计费。

7.根据权利要求6所述的方法，其特征在于，所述老化参数包括老化时长和流量阈值，所述根据所述老化参数确定所述用户设备已老化，包括：

统计所述用户设备在所述老化时长内产生的流量；

若所述流量小于所述流量阈值，则确定所述用户设备已老化。

8.一种用户认证装置，其特征在于，应用于准出认证服务器，包括：

接收模块，用于接收准出网络接入服务器NAS发送的准出认证请求，所述准出认证请求包括用户地址；

查询模块，用于获取与所述用户地址对应的用户认证状态；若所述用户认证状态是用户未上线，则向准入认证服务器发送查询请求，所述查询请求包括所述用户地址，以使准入认证服务器获取与所述用户地址对应的用户认证状态；

处理模块，用于接收准入认证服务器返回的查询响应，所述查询响应包括所述用户认证状态；若所述查询响应包括的用户认证状态是用户已上线，确定所述用户地址对应的用户设备已认证成功，向准出NAS发送准出认证成功报文，以使准出NAS根据所述准出认证成功报文确定所述用户地址对应的用户设备已认证成功。

9.根据权利要求8所述的装置，其特征在于，

所述查询模块，还用于在获取与所述用户地址对应的用户认证状态之后，若与所述用户地址对应的用户认证状态是用户已上线，则确定所述用户地址对应的用户设备已认证成功，并向所述准出NAS发送准出认证成功报文。

10.根据权利要求8所述的装置，其特征在于，

所述处理模块，还用于在接收准入认证服务器返回的查询响应之后，若所述用户认证状态是用户未上线，则确定所述用户地址对应的用户设备未通过认证，并向所述准出NAS发送准出认证失败报文，以使所述准出NAS根据所述准出认证失败报文确定所述用户地址对应的用户设备未通过认证。

11.一种用户认证装置，其特征在于，应用于准出网络接入服务器NAS，包括：

判断模块，用于在接收到用户设备发送的数据报文时，判断所述用户设备是否已认证成功；

发送模块，用于当判断结果为否时，向准出认证服务器发送准出认证请求，所述准出认证请求包括所述用户设备对应的用户地址，以使所述准出认证服务器获取与所述用户地址对应的用户认证状态，以及，在所述用户认证状态是用户未上线时，从准入认证服务器获取与所述用户地址对应的用户认证状态；

接收模块，用于接收准出认证服务器返回的准出认证成功报文，所述准出认证成功报文是准出认证服务器在所述用户认证状态是用户已上线时发送的；

确定模块，用于根据所述准出认证成功报文确定所述用户设备已认证成功。

12.根据权利要求11所述的装置，其特征在于，

所述确定模块，还用于为所述用户设备配置老化参数，并根据所述老化参数确定所述用户设备是否已老化；

所述发送模块，还用于若根据所述老化参数确定所述用户设备已老化，则向所述准出认证服务器发送计费停止请求报文，以使所述准出认证服务器将所述用户地址对应的用户认证状态更新为用户未上线；

所述接收模块，还用于接收所述准出认证服务器返回的计费停止响应报文；

所述确定模块，还用于根据所述计费停止响应报文确定所述用户设备已下线，并停止对所述用户设备进行计费。

13.根据权利要求12所述的装置，其特征在于，

所述老化参数包括老化时长和流量阈值，所述确定模块根据所述老化参数确定所述用户设备已老化时具体用于：

统计所述用户设备在所述老化时长内产生的流量；

若所述流量小于所述流量阈值，则确定所述用户设备已老化。

Images