CN113612787B - 一种终端认证方法 - Google Patents

Abstract

本申请公开了一种终端认证方法，所述方法包括：控制器通过SDN纳管接入设备以及认证服务器，并对接入设备以及认证服务器分别进行802.1x配置，并基于802.1x协议配置接入设备的物理端口的端口认证模式；认证终端确定端口认证模式，并通过802.1x协议将认证信息发送至接入设备；接入设备将认证信息发送至认证服务器；认证服务器对认证信息的合法性进行验证，若验证通过，则通知接入设备对认证终端进行认证授权；接入设备根据端口认证模式对认证终端进行认证管控，若认证通过，则对认证终端进行授权。本申请实施例中不需要将认证信息流转多个认证设备，减少了开销，通过双重认证机制，提高了环境安全性，并用户无需关注底层网络信息与802.1x相关实现，提高了认证效率。

Description

一种终端认证方法

技术领域

本申请涉及互联网通信技术领域，尤其涉及一种终端认证方法。

背景技术

以太网是目前应用最普遍的局域网技术，以太网因结构简单的特性成为不可或缺的一种接入方式，但仅仅是简单的采取此种接入方式，则存在任意一个接入终端都拥有访问网络资源权限的现象。

目前，随着网络技术的快速发展，产生了各类繁杂的网络业务需求与应用。例如，在校园网、企业办公网络等局域网使用环境中，经常涉及到内部资源的保护与访问权限等问题，若采用简单的以太网接入方式，则存在安全性极低的缺点。因此，底层以太网在接入方式上提供安全认证机制很有必要。

但是，在终端进行认证的过程中，认证请求过程往往需经过多项设备，并且过程繁琐，并且存在大量需要认证终端的需求时，还存在管理紊乱的现象，维护工作也变得复杂，导致终端认证效率低下。

发明内容

本申请实施例提供一种终端认证方法，用于解决终端认证效率低下的问题。

本申请实施例采用下述技术方案：

一方面，本申请实施例提供了一种终端认证方法，该方法包括：控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对所述接入设备以及所述认证服务器分别进行访问控制和认证协议802.1x配置，并基于所述802.1x协议配置所述接入设备的物理端口的端口认证模式；认证终端确定所述端口认证模式，并通过所述802.1x协议将认证信息发送至所述接入设备；所述接入设备将所述认证信息发送至所述认证服务器；所述认证服务器对所述认证信息的合法性进行验证，若验证通过，则通知所述接入设备对所述认证终端进行认证授权；所述接入设备根据所述端口认证模式对所述认证终端进行认证管控，若认证通过，则对所述认证终端进行授权。

一个示例中，所述控制器确定所述端口认证模式包括多种认证模式；所述接入设备根据所述端口认证模式对所述认证终端进行认证管控，具体包括：所述接入设备根据所述多种认证模式所对应内容的不同，对所述认证终端进行不同规则的认证管控。

一个示例中，所述多种认证模式包括业务网络、主机模式、端口模式。

一个示例中，所述控制器基于所述802.1x协议配置所述接入设备的物理端口的端口认证模式，具体包括：所述控制器对所述接入设备部署所述业务网络虚拟局域网VLAN以及所述主机模式，并确定所述接入设备的下联端口的所述端口模式的状态为未设置，以使所述认证终端接入局域网时，所述接入设备控制所述认证终端的网络访问权限。

一个示例中，所述接入设备控制所述认证终端的网络访问权限，具体包括：当所述认证终端未确定所述端口认证模式时，所述接入设备确定所述物理端口未使能802.1x功能；在所述物理端口未使能所述802.1x功能时，控制所述认证终端不具备网络访问权限。

一个示例中，所述接入设备控制所述认证终端的网络访问权限，具体包括：当所述认证终端确定所述端口认证模式时，确定所述物理端口使能802.1x功能；在所述物理端口使能所述802.1x功能时，控制所述认证终端在认证授权前不具备网络访问权限。

一个示例中，所述若认证通过，则对所述认证终端进行授权之后，所述方法还包括：所述接入设备通过更改所述物理端口的状态，取消对所述认证终端的网络访问权限，以使所述认证终端通过所述物理端口访问网络资源。

一个示例中，所述并通过所述802.1x协议将认证信息发送至所述接入设备，具体包括：通过EAP协议报文，将所述认证信息封装为EAPOL封装格式承载于局域网LAN环境中，以发送至所述接入设备；所述并将接收信息发送至所述认证服务器，具体包括：通过所述EAP协议报文，将所述认证信息封装为EAPOR封装格式承载于远程用户拨号认证服务RADIUS协议中，以发送至所述认证服务器。

一个示例中，所述认证终端确定所述端口认证模式之后，所述方法还包括：所述认证终端对所述端口认证模式对应的内容进行更新，确定更新的端口认证模式，以使所述接入设备根据所述更新的端口认证模式对所述认证终端进行认证管控。

一个示例中，所述若认证通过，则对所述认证终端进行授权之后，所述方法还包括：在所述认证终端与局域网内的其他认证终端通信时，若所述其他认证终端认证授权，则所述认证终端与所述其他认证终端通信成功；若所述其他认证终端未认证授权，则所述认证终端与所述其他认证终端通信失败。

本申请实施例采用的上述至少一个技术方案能够达到以下有益效果：

本申请实施例中认证过程涉及到的认证设备包括接入设备与认证服务器，认证终端发起认证信息送至接入设备后，接入设备作为中继者完成认证终端与认证服务器之间的认证交互，不需要将认证信息流转多个认证设备，保证认证过程正常进行的同时减少开销。

进一步地，控制器基于SDN技术纳管接入设备与认证服务器，能够构建初始网络环境，在初始网络环境中，并通过控制器对物理端口进行基于802.1x协议的端口认证模式配置，用户只需将认证终端所在的物理端口定义为应用场景所需端口认证模式，创建认证信息，即可开启认证过程，完成认证，用户无需关注底层网络信息与802.1x相关实现，可以以应用业务层面角度更加直观便捷的构建认证环境，提高了认证效率，并且只有符合端口认证模式对应的规则并且认证服务器验证认证信息合法的终端才能够被授权访问网络，实现了双重验证机制，提高了环境安全性。

附图说明

为了更清楚地说明本申请的技术方案，下面将结合附图来对本申请的部分实施例进行详细说明，附图中：

图1为本申请实施例提供的一种终端认证系统的框架示意图；

图2为本申请实施例提供的一种终端认证方法的流程示意图；

图3为本申请实施例提供的一种终端认证设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合具体实施例及相应的附图对本申请的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

下面参照附图来对本申请的一些实施例进行详细说明。

图1为本申请实施例提供的一种终端认证系统的框架示意图。

如图1所示，终端认证系统包括控制器、认证终端、接入设备、认证服务器。其中，认证终端与接入设备连接，接入设备与认证服务器连接，认证服务器与认证终端连接，接入设备以及认证服务器均与控制器连接。接入设备包括交换机。

具体地，在认证终端进行认证之前，控制器将构造初始网络环境。其中，控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对接入设备以及认证服务器分别进行访问控制和认证协议802.1x配置，并基于802.1x协议配置接入设备的物理端口的端口认证模式，从而构建初始网络环境。

需要说明的是，物理端口又称为接口，是可见端口，计算机背板的RJ45网口，接入设备路由器集线器等RJ45端口。电话使用RJ11插口也属于物理端口的范畴。

软件定义网络(Software Defined Network，SDN)是由美国斯坦福大学clean-slate课题研究组提出的一种新型网络创新架构，是网络虚拟化的一种实现方式。其核心技术OpenFlow通过将网络设备的控制面与数据面分离开来，从而实现了网络流量的灵活控制，使网络作为管道变得更加智能，为核心网络及应用的创新提供了良好的平台。

即，控制器通过SDN纳管接入设备与认证服务器，实现对整个组网网络及设备资源的管控，可以保证在基础网络正常通信的前提下，对认证过程涉及到的接入设备和认证服务器侧的802.1x相关配置，并基于802.1x协议配置认证终端的物理端口的端口认证模式。

访问控制和认证协议802.1x是基于物理端口的网络访问控制和认证协议。它可以限制未经授权的终端通过接入端口(access port)访问LAN(局域网，Local Area Network)或WLAN(无线局域网，Wireless Local Area Networks)。在获得接入设备与LAN或接入设备与WLAN提供的各种业务之前，802.1x协议对连接到接入设备的物理端口上的设备进行认证。其中，在认证通过之前，802.1x协议只允许基于EAPOL(局域网的扩展认证协议，Extensible Authentication Protocol Over LAN)数据通过连接的接入设备的物理端口，在认证通过以后，正常的数据可以顺利地通过以太网端口，即连接的接入设备的物理端口。

即，基于802.1x协议，认证终端在未经过认证授权之前是不具备访问网络权限的，即认证终端所连接的接入设备的物理端口只接收基于局域网的扩展认证协议EAPOL数据包；只有认证终端在通过认之后，认证终端才被授予访问网络的权限，即接入设备的物理端口会对正常数据包放行。

进一步地，认证终端预先进行802.1x协议的相关配置，然后基于用户的操作，定义认证终端的端口认证模式对应的内容，并通过802.1x协议将认证信息发送至接入设备。

更进一步地，接入设备将认证信息发送至认证服务器。即，接入设备充当中继器的角色，将认证信息封装后与认证服务器进行交互。

更进一步地，认证服务器对认证信息的合法性进行验证，若验证通过，则通知所述接入设备对所述认证终端进行认证授权，若验证不通过，则向接入设备反馈验证失败，并结束此次认证过程，即，认证服务器用来处理认证业务，即对接入设备发送的认证请求报文进行解析，验证请求报文中携带的认证信息是否合法并做出响应。

更进一步地，认证终端根据端口认证模式对认证终端进行认证管控，若认证通过，则对认证终端进行授权，若认证不通过，则不对认证终端进行授权，即，认证终端仍不具有访问网络的权限。

由此可知，用于终端认证的设备包括接入层的接入设备以及认证服务器，两者皆为控制器所纳管，可以通过控制器完成相关802.1x的配置到接入设备与认证服务器，而用户只需在认证终端上定义自己所需的端口认证模式，在认证终端进行认证操作，完成整个认证过程。即，认证终端发起认证请求前，需要在认证终端、接入设备、认证服务器都进行802.1x协议相关的配置，才能进行认证终端与接入设备间，接入设备与认证服务器间认证信息的交互，从而完成认证过程。

进一步地，终端认证的过程中，由两方面因子决定：端口认证模式以及认证服务器对认证信息合法性验证。如果认证服务器不通过，则此次不会存在后续的判断，若认证服务器验证通过，则依据端口认证模式中具体认证模式对应的规则去决定认证终端是否能够被认证授权。

接下来将具体阐述说明认证终端如何通过接入设备、认证服务器进行认证授权。

更直观地，本申请实施例提供了一种终端认证方法的流程示意图，应用于图1中的终端认证系统中，如图2所示。

S201：控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对接入设备以及认证服务器分别进行访问控制和认证协议802.1x配置，并基于802.1x协议配置接入设备的物理端口的端口认证模式。

具体地，端口认证模式包括多种认证模式，多种认证模式分别包括业务网络、主机模式、端口模式，满足认证方式多样性。

其中，端口模式包括access、trunk、hybrid，业务网络特指认证终端所属网络；主机模式包括single-host(单主机模式)，multi-host(多主机模式)，multi-domain(多域模式)，multi-authentication(多认证模式)。

S202：认证终端确定端口认证模式，并通过802.1x协议将认证信息发送至接入设备。

具体地，用户通过定义认证终端中端口模式、业务网络以及主机模式中分别对应的内容，从而确定本次认证请求的端口认证模式。

其中，一个或多个认证终端可以接入设备的同一个物理端口，这些认证终端可以通过隶属于同一业务网络或是不同业务网络来选择对应的业务网络信息以及端口模式，最后根据所要实现的认证主机模式选择对应的主机模式来定义当前物理端口的认证模式。

进一步地，认证终端通过EAP协议报文，将认证信息封装为EAPOL封装格式承载于局域网LAN环境中，以发送至接入设备。

其中，该认证信息可以定义一个或多个，可以根据用户实际应用场景应用，将定义的一个认证信息用于一个或多个终端，或者多个认证信息用于多个认证终端来实现不同粒度的认证终端认证过程。

S203：接入设备将认证信息发送至认证服务器。

具体地，认证终端连接的接入设备通过认证终端所需要的端口认证模式对物理端口进行端口模式、业务网络、主机模式的选择与配置。

进一步地，接入设备通过EAP协议报文，将认证信息封装为EAPOR封装格式承载于远程用户拨号认证服务RADIUS协议中，以发送至认证服务器。

需要说明的是，RADIUS是一种C/S结构的协议，它的客户端最初就是NAS(NetAccess Server)服务器，任何运行RADIUS客户端软件的计算机都可以成为RADIUS的客户端。RADIUS协议认证机制灵活，可以采用PAP、CHAP或者Unix登录认证等多种方式。RADIUS是一种可扩展的协议，它进行的全部工作都是基于Attribute-Length-Value的向量进行的。RADIUS也支持厂商扩充厂家专有属性。

也就是说，认证终端作为请求方使用EAP协议将认证信息传递给认证服务器。

本申请实施例中认证终端通过定义多种认证模式，使得接入设备对相同或不同的认证信息进行认证，能够实现不同的认证控制粒度。

S204：认证服务器对认证信息的合法性进行验证，若验证通过，则通知接入设备对认证终端进行认证授权。

其中，若验证不通过，则通知接入设备不对认证终端进行认证授权。

S205：接入设备根据端口认证模式对认证终端进行认证管控，若认证通过，则对所述认证终端进行授权。

此外，接入设备根据多种认证模式所对应内容的不同，对认证终端进行不同规则的认证管控。即，不同端口认证模式使得物理端口对认证终端发出的携带认证信息的报文进行不同规则的管控。比如，接入设备会依据配置的端口认证模式中的主机模式进行校验，校验通过则取消对所述认证终端的网络访问权限。

比如，端口认证模式定义为端口模式access，业务网络vlan60，主机模式single-host后，由于端口模式为access情况下只允许业务网络为单个，则物理端口认证成功被赋予权限的只可以是隶属于业务网络vlan60的第一台认证成功的终端，不属于该网络或者除第一台还存在其他认证成功的终端，不会被赋予权限，即，接入设备并不会对第一台之后的认证终端放开网络访问权限。

也就是说，多种认证模式内容的不同组建形式可以制定成物理端口对认证终端的多种管控规则，使得认证终端除需要与认证服务器进行交互验证认证终端凭证的合法性之外，还需要遵循端口认证模式的规则。

其中，认证终端在对端口认证模式对应的内容进行更新，确定更新的端口认证模式时，接入设备将根据更新的端口认证模式对认证终端进行认证管控。

也就是说，充分利用控制器通过SDN技术对网络资源与设备统一监测管理的优势，在认证终端接入网络之初营造初始网络环境，在配置接入设备的多种认证模式应用于不同认证场景时实现不同粒度认证过程，若后续因应用场景变更而变更多种认证模式对应的内容也变得容易便捷且不易出错，灵活性强。

也就是说，在认证终端发起认证请求的这个过程中，认证终端是否能够通过认证，被授权访问网络亦会受当前物理端口配置的端口认证模式影响，只有符合端口认证模式对应的规则并且认证服务器验证认证信息合法的终端才能够被授权访问网络，实现了双重验证机制。

进一步地，在认证终端与局域网内的其他认证终端通信时，若其他认证终端认证授权，则认证终端与其他认证终端通信成功，若其他认证终端未认证授权，则认证终端与其他认证终端通信失败。即，认证终端若想和域内其他终端进行通信，则需要双方终端都认证授权成功。

也就是说，认证终端认证成功获得访问权限后可访问域内资源，认证终端间的通信则需双方皆认证成功授权后方可，提高了认证环境安全性。

需要说明的是，虽然本申请实施例是参照图2来对步骤S201至步骤S205依次进行介绍说明的，但这并不代表步骤S201至步骤S205必须按照严格的先后顺序执行。本申请实施例之所以按照图2中所示的顺序对步骤S201至步骤S205依次进行介绍说明，是为了方便本领域技术人员理解本申请实施例的技术方案。换句话说，在本申请实施例中，步骤S201至步骤S205之间的先后顺序可以根据实际需要进行适当调整。

综上所述，认证过程涉及到的认证设备包括接入设备与认证服务器，认证终端发起认证请求包送至接入设备后，接入设备作为中继者完成认证终端与认证服务器之间的认证交互，不需要将认证报文流转多个认证设备，保证认证过程正常进行的同时减少开销。

进一步地，控制器基于SDN技术纳管接入设备与认证服务器，能够构建初始网络环境，在初始网络环境中，并通过控制器对物理端口进行基于802.1x协议的端口认证模式配置，用户只需将认证终端所在的物理端口定义为应用场景所需端口认证模式，创建认证信息，即可开启认证过程，完成认证，用户无需关注底层网络信息与802.1x相关实现，可以以应用业务层面角度更加直观便捷的构建认证环境，提高了认证效率，并且只有符合端口认证模式对应的规则并且认证服务器验证认证信息合法的终端才能够被授权访问网络，实现了双重验证机制，提高了环境安全性。

基于图2的方法，本申请实施例还提供了该方法的一些具体实施方案和扩展方案，下面继续进行说明。

在本申请的一些实施例中，认证终端接入局域网时，接入设备将控制认证终端的网络访问权限，并在符合端口认证模式对应的规则时，才会取消认证终端的网络访问权限。

具体地，控制器在创建初始网络环境时，对接入设备只部署业务网VLAN，以及主机模式，而不对具体下联口配置端口模式，这样就可以保证认证终端即使接入网络，但未定义端口认证模式，接入设备的物理端口未使能802.1x功能时，就不具备访问网络的权限。

进一步地，当控制器完成创建初始网络环境，以及当认证终端确定端口认证模式时，认证终端连接的物理端口则会使能802.1x功能，使得认证终端认证授权前无网络访问权限。

在接入设备对认证终端进行认证授权后，接入设备通过更改物理端口的状态，取消对认证终端的网络访问权限，以使认证终端通过物理端口访问网络资源。

本申请实施例通过控制器对端口认证模式的设置，能够认证终端接入组网后，达到认证终端认证授权之前，不论连接的物理端口是否使能802.1x，皆不可访问网络，只有在认证成功后，才拥有访问权限，提供了认证终端接入网络时，不论是否使能802.1x皆不可访问网络的初始环境的构造理念，提高了环境网络安全性。

基于同样的思路，本申请的一些实施例还提供了上述方法对应的设备和非易失性计算机存储介质。

图3为本申请实施例提供的一种终端认证设备的结构示意图，所述设备应用于认证终端，包括：

至少一个处理器；以及，

与所述至少一个处理器通信连接的存储器；其中，

所述存储器存储有可被所述至少一个处理器执行的指令，所述指令被所述至少一个处理器执行，以使所述至少一个处理器能够：

确定端口认证模式，并通过802.1x协议将认证信息发送至接入设备，以使接入设备将认证信息发送至认证服务器；

当认证服务器对认证信息的合法性进行验证，若验证通过，接入设备根据端口认证模式对认证终端进行认证管控，若认证通过时，则获取接入设备的认证授权；

其中，端口认证模式为控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对接入设备以及认证服务器分别进行访问控制和认证协议802.1x配置，并基于802.1x协议配置接入设备的物理端口。

本申请的一些实施例提供的一种终端认证非易失性计算机存储介质，存储有计算机可执行指令，所述计算机可执行指令设置为：

确定端口认证模式，并通过802.1x协议将认证信息发送至接入设备，以使接入设备将认证信息发送至认证服务器；

当认证服务器对认证信息的合法性进行验证，若验证通过，接入设备根据端口认证模式对认证终端进行认证管控，若认证通过时，则获取接入设备的认证授权；

其中，端口认证模式为控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对接入设备以及认证服务器分别进行访问控制和认证协议802.1x配置，并基于802.1x协议配置接入设备的物理端口。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于设备和介质实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

本申请实施例提供的设备和介质与方法是一一对应的，因此，设备和介质也具有与其对应的方法类似的有益技术效果，由于上面已经对方法的有益技术效果进行了详细说明，因此，这里不再赘述设备和介质的有益技术效果。

本领域内的技术人员应明白，本发明的实施例可提供为方法、方法、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(方法)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请技术原理之内所作的任何修改、等同替换、改进等，均应落入本申请的保护范围之内。

Claims (4)

1.一种终端认证方法，其特征在于，所述方法包括：

控制器通过软件定义网络SDN纳管接入设备以及认证服务器，并对所述接入设备以及所述认证服务器分别进行访问控制和认证协议802.1x配置，并基于所述802.1x协议配置所述接入设备的物理端口的端口认证模式；

认证终端确定所述端口认证模式，并通过所述802.1x协议将认证信息发送至所述接入设备；

所述接入设备将所述认证信息发送至所述认证服务器；

所述认证服务器对所述认证信息的合法性进行验证，若验证通过，则通知所述接入设备对所述认证终端进行认证授权；

所述接入设备根据所述端口认证模式对所述认证终端进行认证管控，若认证通过，则对所述认证终端进行授权；

所述控制器确定所述端口认证模式包括多种认证模式；

所述接入设备根据所述端口认证模式对所述认证终端进行认证管控，具体包括：

所述接入设备根据所述多种认证模式所对应内容的不同，对所述认证终端进行不同规则的认证管控；

所述多种认证模式包括业务网络、主机模式、端口模式；

所述控制器基于所述802.1x协议配置所述接入设备的物理端口的端口认证模式，具体包括：

所述控制器对所述接入设备部署所述业务网络虚拟局域网VLAN以及所述主机模式，并确定所述接入设备的下联端口的所述端口模式的状态为未设置，以使所述认证终端接入局域网时，所述接入设备控制所述认证终端的网络访问权限；

所述接入设备控制所述认证终端的网络访问权限，具体包括：

当所述认证终端未确定所述端口认证模式时，所述接入设备确定所述物理端口未使能802.1x功能；

在所述物理端口未使能所述802.1x功能时，控制所述认证终端不具备网络访问权限；

所述接入设备控制所述认证终端的网络访问权限，具体包括：

当所述认证终端确定所述端口认证模式时，确定所述物理端口使能802.1x功能；

在所述物理端口使能所述802.1x功能时，控制所述认证终端在认证授权前不具备网络访问权限；

所述若认证通过，则对所述认证终端进行授权之后，所述方法还包括：

所述接入设备通过更改所述物理端口的状态，取消对所述认证终端的网络访问权限，以使所述认证终端通过所述物理端口访问网络资源。

2.根据权利要求1所述的方法，其特征在于，所述并通过所述802.1x协议将认证信息发送至所述接入设备，具体包括：

通过EAP协议报文，将所述认证信息封装为EAPOL封装格式承载于局域网LAN环境中，以发送至所述接入设备；

所述将所述认证信息发送至所述认证服务器，具体包括：

通过所述EAP协议报文，将所述认证信息封装为EAPOR封装格式承载于远程用户拨号认证服务RADIUS协议中，以发送至所述认证服务器。

3.根据权利要求1所述的方法，其特征在于，所述认证终端确定所述端口认证模式之后，所述方法还包括：

所述认证终端对所述端口认证模式对应的内容进行更新，确定更新的端口认证模式，以使所述接入设备根据所述更新的端口认证模式对所述认证终端进行认证管控。

4.根据权利要求1所述的方法，其特征在于，所述若认证通过，则对所述认证终端进行授权之后，所述方法还包括：

在所述认证终端与局域网内的其他认证终端通信时，若所述其他认证终端认证授权，则所述认证终端与所述其他认证终端通信成功；

若所述其他认证终端未认证授权，则所述认证终端与所述其他认证终端通信失败。

Images