CN112671708B

CN112671708B - 认证方法及系统、portal服务器、安全策略服务器

Info

Publication number: CN112671708B
Application number: CN202011339305.7A
Authority: CN
Inventors: 许文雨
Original assignee: New H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2020-11-25
Filing date: 2020-11-25
Publication date: 2022-08-30
Anticipated expiration: 2040-11-25
Also published as: CN112671708A

Abstract

本说明书提供一种认证方法及系统、portal服务器、安全策略服务器，所述方法包括：本公开通过portal服务器记录公网IP地址和私网IP地址的对应关系，不仅仅记录公网IP地址，还记录了私网IP地址，从而portal服务器后续可以根据私网IP地址进行单独的认证。即Portal服务器可以以私网IP地址为粒度进行认证。避免私网IP地址经过NAT转换后变成同一个公网IP地址，该公网IP地址通过认证，则与该公网IP地址对应的私网IP地址的终端都通过认证而产生的安全隐患问题。

Description

认证方法及系统、portal服务器、安全策略服务器

技术领域

本说明书涉及认证技术领域，尤其涉及认证方法及系统、portal服务器、安全策略服务器。

背景技术

网络地址转换NAT(Network Address Translation，缩写为NAT)是将IP数据报报头中的IP地址转换为另一个IP地址的过程。在实际应用中，NAT主要用于实现私有网络访问公共网络的功能。这种通过使用少量的公有IP地址代表较多的私有IP地址的方式，在企业网应用比较普遍。

Portal认证采用三层协议，使用IP地址作为终端认证因子，但是如何进行认证具有多种策略。

发明内容

为克服相关技术中存在的问题，本说明书提供了认证方法及portal服务器、安全策略服务器、认证系统。

根据本说明书实施例的第一方面，提供一种认证方法，应用于portal服务器，所述方法包括：

接收NAT设备发送的经过NAT转换后的认证请求报文；

获取认证请求报文中的公网IP地址和私网IP地址；

判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端；

若是首个发起认证的终端，则记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求。

可选的，判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端，包括：

根据记录的公网IP地址和私网IP地址的对应关系确定所述公网IP地址是否存在于所述对应关系中，若不存在，则确定该公网IP地址对应的终端为该公网IP地址对应的私网网段内的首个发起认证的终端。

可选的，所述方法还包括：若判断该公网IP地址对应的终端不是首个发起认证的终端，则向所述终端发送认证成功的响应。

本公开的第二方面还提供一种认证方法，应用于安全策略服务器，所述方法包括：

接收经过NAT转换后的公网IP地址和私网IP地址的对应关系；

接收终端发送的安全认证请求；

获取安全认证请求中的公网IP地址和私网IP地址；

根据所述安全认证请求中的公网IP地址和私网IP地址以及所述对应关系确定所述终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

可选的，若根据终端的私网IP进行安全检查的结果为合格的IP地址，则向所述终端发送相应的访问控制列表ACL。

本公开的第三方面还提供一种portal服务器，所述portal服务器包括：

第一接收模块，用于接收NAT设备发送的经过NAT转换后的认证请求报文；

第一获取模块，用于获取认证请求报文中的公网IP地址和私网IP地址；

第一判断模块，用于该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端。

第一记录模块用于第一判断模块发起认证的终端为首个发起认证的终端时，记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求。

可选的，所述第一判断模块具体用于根据第一记录模块记录的公网IP地址和私网IP地址的对应关系确定所述公网IP地址是否存在于所述对应关系中，若不存在，则确定该公网IP地址对应的终端为该公网IP地址对应的私网网段内的首个发起认证的终端。

可选的，所述第一判断模块还用于若判断该公网IP地址对应的终端不是首个发起认证的终端，则向所述终端发送认证成功的响应。

本公开的第四方面还提供一种安全策略服务器，包括：

第二接收模块，用于接收经过NAT转换后的公网IP地址和私网IP地址的对应关系；

所述第二接收模块还用于接收终端发送的安全认证请求；

第二获取模块，用于获取安全认证请求中的公网IP地址和私网IP地址；

第二判断模块，用于根据所述安全认证请求中的公网IP地址和私网IP地址以及所述对应关系确定所述终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

可选的，所述第二判断模块还用于若根据终端的私网IP进行安全检查的结果为合格的IP地址，则向所述终端发送相应的访问控制列表ACL。

本公开的第五方面还提供一种认证系统，包括：上述第三方面提供的任一所述的portal服务器和上述的第四方面提供的安全策略服务器以及终端、接入设备。

本说明书的实施例提供的技术方案可以包括以下有益效果：

本公开通过portal服务器记录公网IP地址和私网IP地址的对应关系，不仅仅记录公网IP地址，还记录了私网IP地址，从而portal服务器后续可以根据私网IP地址进行单独的认证，即Portal服务器可以以私网IP地址为粒度进行认证。避免私网IP地址经过NAT转换后变成同一个公网IP地址，该公网IP地址通过认证，则与该公网IP地址对应的私网IP地址的终端都通过认证而产生的安全隐患问题。

应当理解的是，以上的一般描述和后文的细节描述仅是示例性和解释性的，并不能限制本说明书。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本说明书的实施例，并与说明书一起用于解释本说明书的原理。

图1是本说明书根据一示例性实施例示出的一种认证方法的流程图；

图2是本说明书实施例提供的另一认证方法的流程图；

图3是本说明书根据一示例性实施例示出的一种认证方法的应用场景图；

图4是本说明书根据一示例性实施例示出的认证方法的信令图；

图5是本说明书提供的认证装置的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本说明书相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本说明书的一些方面相一致的装置和方法的例子。

在本说明书使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本说明书。在本说明书和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本说明书可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本说明书范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

在相关技术中，当接入设备BAS设备位于NAT设备后端时，当任意一个终端通过Portal认证则所有终端均可以免认证入网，原因是Portal认证是以ip地址为终端标识进行认证的，一种实现方式是同一局域网内的终端经过NAT转换后IP地址都变成同一公网IP地址，这个公网IP地址认证通过之后，那么该局域网内的所有终端均可以使用网络访问外网。

具体的可以如本公开下面的实施中所示的方式进行认证。接下来对本说明书实施例进行详细说明。

如图1所示，图1是本说明书根据一示例性实施例示出的一种认证方法的流程图，该认证方法可以应用于portal服务器，具体的该方法包括以下步骤：

步骤101，接收NAT设备发送的经过NAT转换后的认证请求报文。

步骤103，获取认证请求报文中的公网IP地址和私网IP地址。

在一种实现方式中，portal服务器可以通过认证请求报文中携带的公网IP地址和私网IP地址来获取发起认证的终端的的私网IP地址和公网IP地址；

或者，在另一种可选的实施方式中，NAT设备可以将经过NAT转换前的私网IP地址和经过NAT转换后的公网IP地址发送给portal服务器。

本公开以第一种实现方式为例对本公开提供的认证方法加以说明。

步骤105，判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端。

一般来说，同一个私网网段内的私网IP地址经过NAT转换会转换为同一公网IP地址。

针对步骤105，判断公网IP对应的终端是否为同一私网网段内的首个发起认证的终端，一种实现方式为：

对于portal服务器接收到的认证请求报文携带的公网IP地址和私网IP地址的对应关系均进行记录，当接收到认证请求报文之后，根据存储的公网IP地址确定该公网IP地址是否曾经发起过认证请求。

若portal服务器根据记录的公网IP地址和私网IP地址的对应关系确定所述公网IP地址是否存在于所述对应关系中，若不存在，则确定该公网IP地址对应的终端为该公网IP地址对应的私网网段内的首个发起认证的终端。

若确定出认证请求报文中携带的公网IP地址，若存在于上述对应关系中，则确定该公网IP地址对应的终端不是首个发起认证的终端，则向该终端发送认证成功的响应。原因是第一个终端认证过以后，在接入设备看来，这个以NAT后的公网IP为标识的终端已经在线了，因此如果不是首个发起认证的终端，向终端发送认证成功的响应即可。

步骤107，若是首个发起认证的终端，则记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求。

当然portal服务器也还是可以选择第一个终端认证过以后，后续发起认证、且该发起认证的终端与首个发起认证的终端处于同一私网网段或者同一局域网的终端，则portal服务器直接向发起认证的终端回复认证通过。

在上述实施例的基础上，一种可选的实施方式，本公开还提供一种认证方法，图2为本公开提供的另一认证方法的流程示意图，如图2所示，该认证方法可以应用于安全策略服务器。

图3提供了本公开的认证方法可以应用的组网示意图。如图3所示，图中包括：终端设备、接入设备BAS(Brand Access System)、portal服务器、以及安全策略服务器、AAA认证服务器(Authentication、Authorization、Accounting，认证、授权、记账)。

其中，接入设备主要用于在认证之前，将用户的HTTP(HyperText TransferProtocol,超文本传输协议)/HTTPs(Hyper Text Transfer Protocol over SecureSocketLayer，安全为目标的HTTP通道)请求重定向到portal服务器；在认证过程中，于AAA认证服务器等进行交互，完成身份证照、授权、计费等功能；在认证通过后，允许用户访问被授权的互联网资源。

Portal服务器用于接收终端发送的的认证信息(用户名、密码等)，用于与接入设备交互终端设备的认证信息。

AAA服务器与接入设备进行交互，完成对用户的认证、授权和计费。

安全策略服务器与终端设备、接入设备进行交互，完成对用户的安全监测，并对用户进行安全授权操作。

本实施例中的终端设备可以安装认证客户端，在客户端发起认证之前，现行生效离线的ACL(Access Control Lists)，该ACL仅允许访问有限资源，至少包括portal服务器和安全策略服务器。

在一种可选的实施方式中，客户端侧可以预置portal服务器的地址，认证时携带自己的私网地址，portal服务器保留这个私网地址和报文头地址(NAT后的公网IP地址)的对应关系；

当然，还可以采用另外一个手段：发起认证请求的第一个终端是可以通过重定向并拿到portal服务器地址的，其他非首个客户端可以通过内部通信(组播或广播)拿到这个portal服务器地址，这样就不用预设地址了。

如图2和图3所示，该方法应用于安全策略服务器，所述方法包括：

步骤201，接收经过NAT转换后的公网IP地址和私网IP地址的对应关系。

安全策略服务器接收上述对应关系，可以是NAT设备发送过来的，也可以是通过之前发起认证的终端通过安全认证请求携带过来，进而记录的。

步骤203，接收终端发送的安全认证请求。

步骤205，获取安全认证请求中的公网IP地址和私网IP地址。

步骤207，根据安全认证请求中的公网IP地址和私网IP地址以及对应关系确定该终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

在安全认证环节，可以通过安全认证请求中携带的公网IP地址和私网IP地址确认发起安全认证请求的终端是否已经认证在线，具体的判断发起安全认证请求的终端是否为首个认证的终端的方式与上述portal服务器判断终端是否为首个发起认证的终端类似，本实施例中不再详细赘述。

在上述实施例的基础上，如果根据终端的私网IP进行安全检查的结果为合格的IP地址，则向所述终端发送相应的访问控制列表ACL。

如果检查不合格，则相应的授权隔离ACL，或者不做授权，保持预先的离线ACL。

或者在另一种可选的实施方式中，在下发ACL之前，也可以根据私网IP地址的检查结果向终端发送像一个的安全检查策略，以使得终端根据安全检查策略进行检查，并将安全检查的结果发送至安全检查服务器，安全检查服务器进而根据检查结果下发相应的ACL。

可选的，安全检查策略可以是病毒检查的安全策略、也可以是是否是合规的运行软件、系统是否存在漏洞等不同的安全检查策略。

本实施例通过将安全检查策略下发至终端设备，从而实现分布式的安全检查，降低了安全策略服务器的压力。

在上述实施例的基础上，图4提供了一种认证方法的信令图。如图4所示，该方法包括：

步骤401，终端生效离线的ACL；

步骤402，终端发起portal认证请求，其中portal认证请求；

步骤403，NAT设备将portal认证请求的私网IP地址进行NAT转换；

本实施例中将经过NAT转换后的portal认证请求称为认证请求报文，以与NAT转换前的认证请求进行区分。

步骤404，NAT设备将认证请求报文发送至portal服务器。

步骤405，portal服务器根据获取认证请求报文中的公网IP地址和私网IP地址。

步骤406，portal服务器判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端。

步骤407，portal服务器记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送所述认证报文。

步骤408，portal服务器通过接入设备BAS向AAA认证服务器发起认证请求。

步骤409，AAA服务器向上述首个发起认证的终端发送认证成功的响应。

对于非首个发起认证的终端，对于步骤408和步骤409，portal服务器不会向接入设备发送认证请求报文，接入设备也不会向AAA服务器发送认证请求报文，AAA服务器也不会向接入设备以及portal服务器发送认证成功的响应。而是由portal服务器向终端发送认证成功的响应。

步骤410，终端向安全策略服务器发起安全认证请求。

步骤411，安全策略服务器获取安全认证请求报文中的公网IP地址和私网IP地址。

步骤412，安全策略服务器判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端。

步骤413，安全策略服务器根据所述安全认证请求中的公网IP地址和私网IP地址以及所述对应关系确定所述终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

步骤414，安全策略服务器根据安全检查的结果向终端发送ACL。

本实施例所提供的方法的具体实现可以参照上述实施例中portal服务器以及安全策略服务器的执行过程，本实施例中不再详细赘述。

与前述方法的实施例相对应，本说明书还提供了安全认证装置的实施例。图5为本公开提供的portal服务器的装置示意图，如图5所示该portal服务器包括：

第一接收模块501，用于接收NAT设备发送的经过NAT转换后的认证请求报文；

第一获取模块502，用于获取认证请求报文中的公网IP地址和私网IP地址；

第一判断模块503，用于该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端。

第一记录模块504，用于第一判断模块发起认证的终端为首个发起认证的终端时，记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求。

可选的，所述第一判断模块502具体用于根据第一记录模块记录的公网IP地址和私网IP地址的对应关系确定所述公网IP地址是否存在于所述对应关系中，若不存在，则确定该公网IP地址对应的终端为该公网IP地址对应的私网网段内的首个发起认证的终端。

可选的，所述第一判断模块502还用于若判断该公网IP地址对应的终端不是首个发起认证的终端，则向所述终端发送认证成功的响应。

本公开提供的portal服务器用于执行上述方法部分所提供的portal服务器执行的认证方法，具体可以参照方法的实施例部分，本实施例中不再详细赘述。

本公开还提供一种安全策略服务器，该安全策略服务器包括：第二接收模块、第二获取模块、第二判断模块；

所述第二接收模块还用于接收终端发送的安全认证请求；

本实施例所提供的安全策略服务器的具体实现可以参照方法部分的实施例，本实施例中不再详细赘述。

本公开还提供一种认证系统，包括：如上述实施例中所提供的任一portal服务器和上述实施例提供的任一安全策略服务器以及终端、接入设备。本实施例的认证系统的相互配合执行认证方法的过程可以参照图4的信令图，本实施例不再详细赘述。

在本申请所提供的实施例中，应该理解到，所揭露的装置和方法，也可以通过其它的方式实现。以上所描述的装置实施例仅仅是示意性的，例如，附图中的流程图和框图显示了根据本申请的实施例的装置、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段或代码的一部分，所述模块、程序段或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现方式中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个连续的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合，可以用执行规定的功能或动作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。

另外，在本申请各个实施例中的各功能模块可以集成在一起形成一个独立的部分，也可以是各个模块单独存在，也可以两个或两个以上模块集成形成一个独立的部分。

所述功能如果以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个可读存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个可读存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本申请各个实施例所述方法的全部或部分步骤。而前述的可读存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

应当理解的是，本说明书并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本说明书的范围仅由所附的权利要求来限制。

以上所述仅为本说明书的较佳实施例而已，并不用以限制本说明书，凡在本说明书的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本说明书保护的范围之内。

Claims

1.一种认证方法，其特征在于，应用于portal服务器，所述方法包括：

接收NAT设备发送的经过NAT转换后的认证请求报文；

获取认证请求报文中的公网IP地址和私网IP地址；

若是首个发起认证的终端，则记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求；

其中，所述认证服务器在向该终端发送认证成功的响应后，该终端向安全策略服务器发起安全认证请求，以使得所述安全策略服务器执行一下操作：接收经过NAT转换后的公网IP地址和私网IP地址的对应关系；接收终端发送的安全认证请求；获取安全认证请求中的公网IP地址和私网IP地址；根据所述安全认证请求中的公网IP地址和私网IP地址以及所述对应关系确定所述终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

2.根据权利要求1所述的方法，其特征在于，判断该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端，包括：

3.根据权利要求1所述的方法，其特征在于，所述方法还包括：若判断该公网IP地址对应的终端不是首个发起认证的终端，则向所述终端发送认证成功的响应。

4.根据权利要求1所述的方法，其特征在于，若安全策略服务器根据终端的私网IP进行安全检查的结果为合格的IP地址，则向所述终端发送相应的访问控制列表ACL。

5.一种portal服务器，其特征在于，所述portal服务器包括：

第一判断模块，用于该公网IP地址对应的终端是否为该公网IP地址对应的私网网段内的首个发起认证的终端；

第一记录模块，用于第一判断模块发起认证的终端为首个发起认证的终端时，记录所述公网IP地址和私网IP地址的对应关系，并通过接入设备向认证服务器发送认证请求；

其中，所述认证服务器在向该终端发送认证成功的响应后，该终端向安全策略服务器发起安全认证请求，以使得所述安全策略服务器执行一下操作：第二接收模块，用于接收经过NAT转换后的公网IP地址和私网IP地址的对应关系；所述第二接收模块还用于接收终端发送的安全认证请求；第二获取模块，用于获取安全认证请求中的公网IP地址和私网IP地址；第二判断模块，用于根据所述安全认证请求中的公网IP地址和私网IP地址以及所述对应关系确定所述终端是否已经通过portal认证，若确定通过portal认证，则根据终端的私网IP地址进行安全检查。

6.根据权利要求5所述的服务器，其特征在于，所述第一判断模块具体用于根据第一记录模块记录的公网IP地址和私网IP地址的对应关系确定所述公网IP地址是否存在于所述对应关系中，若不存在，则确定该公网IP地址对应的终端为该公网IP地址对应的私网网段内的首个发起认证的终端。

7.根据权利要求5所述的服务器，其特征在于，所述第一判断模块还用于若判断该公网IP地址对应的终端不是首个发起认证的终端，则向所述终端发送认证成功的响应。

8.根据权利要求5所述的服务器，其特征在于，所述第二判断模块还用于若根据终端的私网IP进行安全检查的结果为合格的IP地址，则向所述终端发送相应的访问控制列表ACL。

9.一种认证系统，其特征在于，包括：如权利要求5-8任一项所述的portal服务器，安全策略服务器以及终端、接入设备。