CN115001745A

CN115001745A - 一种基于政企网关的内网用户本地认证的系统及方法

Info

Publication number: CN115001745A
Application number: CN202210459783.4A
Authority: CN
Inventors: 龙文艳; 唐兴刚; 牛友武
Original assignee: Sichuan Tianyi Comheart Telecom Co Ltd
Current assignee: Sichuan Tianyi Comheart Telecom Co Ltd
Priority date: 2022-04-24
Filing date: 2022-04-24
Publication date: 2022-09-02
Anticipated expiration: 2042-04-24
Also published as: CN115001745B

Abstract

本发明公开了一种基于政企网关的内网用户本地认证的系统及方法，包括在网关本地认证页面配置需要认证的端口，将ENABLE及设备MAC地址发给WEB推送模块；用户设备上线，在LAN认证管理表中查询是否有上线设备接口，获取此接口对应的ENABLE，将ENABLE及设备管理记录表中上线设备MAC地址发送给WEB推送模块；WEB推送模块收到ENABLE值及设备MAC信息后，获取网关LAN侧IPV4地址及IPV6地址，若ENABLE值为1，则推送认证页面；若ENABLE值为0，则不推送认证页面；DNS代理欺骗模块收到用户设备的DNS请求后，将网关LAN侧IPV4地址及IPV6地址作为DNS服务器应答报文转发给用户设备，结合WEB推送模块，此时用户设备会弹出portal认证页面。通过本发明，可以实现管理员对用户设备的分级管理。

Description

一种基于政企网关的内网用户本地认证的系统及方法

技术领域

本发明涉及网关领域，具体是一种基于政企网关的内网用户本地认证的系统及方法。

背景技术

政企网关是企业网络的核心互联设备，作为面向中小企业的PON企业网关，产品具备路由交换、安全管理等功能，集成“光猫+路由+固话+行业融合应用“等功能为一体，通过一条光纤即可实现业务自动下发，满足企业通信、办公和娱乐等多种信息化需求。

政企网关，是政企网络与外部网络的接口单元，根据不同设备类型，可支持几十个PC同时上网，同时也可满足4-16路电话需求。在企业网络的应用场景中，接入设备众多，不同LAN口接入不同设备，管理员需要对接入网关的设备进行分级管理：一些设备接入免认证即可访网络和使用其他业务，一些设备接入网关必须认证通过才能访问网络。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于政企网关的内网用户本地认证的方法，包括如下过程：

在网关本地认证页面配置需要认证的端口，查询LAN认证管理表中是否有此接口，若有，则更新LAN认证管理表中的INDEX、接口及ENABLE，同时获取LAN认证管理表中的设备MAC地址，然后将ENABLE及设备MAC地址发送给WEB推送模块；若没有，则在LAN认证管理表中增加新的INDEX、接口及ENABLE，待设备上线后在设备上下线配置模块处理后，将ENABLE及设备MAC地址发给WEB推送模块；

用户设备上线，在设备管理记录表查询用户设备是否已认证，若已认证，则在LAN认证管理表中查询是否有上线设备接口，若有对应的接口，则获取此接口对应的ENABLE，将ENABLE及设备管理记录表中上线设备MAC地址发送给WEB推送模块；并查询LAN认证管理表中其他记录中是否有此上线设备MAC地址，若没有，则添加新的认证记录，将上线设备的MAC地址，接口及认证ENABLE值存储到LAN认证管理表中；

WEB推送模块收到ENABLE值及设备MAC信息后，获取网关LAN侧IPV4地址及IPV6地址，若ENABLE值为1，则推送认证页面；若ENABLE值为0，则不推送认证页面；

DNS代理欺骗模块收到上线设备的DNS请求后，查询LAN认证管理表，若LAN认证管理表中有此请求设备的MAC地址，则读取LAN认证管理表中对应的网关LAN侧IPV4地址及IPV6地址,DNS代理欺骗模块将网关LAN侧IPV4地址及IPV6地址作为DNS服务器应答报文转发给上线设备，上线设备收到后访问网关LAN侧地址，结合WEB推送模块，推送portal认证页面到上线设备；若LAN认证管理表中无请求设备MAC地址，则DNS代理欺骗模块将设备DNS请求发送给DNS服务器，转发DNS服务器应答报文到用户设备。

优选的，所述的获取网关LAN侧IPV4地址及IPV6地址，若ENABLE值为1，则推送认证页面，包括如下过程：

在网关防火墙IPTABLE的NAT表中的PREROUTING链创建REDIRECT_SELF子链，并添加重定向规则，将需要认证的设备发往80端口目的地址为非网关LAN侧地址的包重定向到网关LAN侧地址，添加重定向规则后通知WEBD进程，弹出portal认证页面，用户输入账号密码，认证通过后，将设备管理记录表中对应设备的认证状态值置1，同时WEB推送模块将认证设备的MAC地址、网关LAN侧IPV4地址及IPV6地址存入对应的LAN认证管理表。

优选的，在用户设备动态或者静态接入网关时，网关通过DHCP协议或者ARP协议发现设备，并且将设备信息记录到网关的设备管理记录表中；当设备信息改变时，网关根据设备信息更新设备管理记录表。

优选的，上线设备下线时，在LAN认证管理表中删除对应设备记录。

优选的，网关在数据库中创建LAN认证管理表，存储的信息有INDEX、ENABLE、接口、网关LAN侧IPV4地址、网关LAN侧IPV6地址、设备MAC地址，网关在数据库中创建设备管理记录表，将所有接入网关设备信息记录到设备管理记录表中。

优选的，网关中DNS代理用于上线设备与DNS服务器之间转发DNS请求和应答，上线设备发送DNS请求报文到网关，网关DNS代理再转发到DNS服务器，并将DNS服务器的应答报文转发给用户设备，实现域名解析。

应用基于政企网关的内网用户本地认证的方法的基于政企网关的内网用户本地认证系统，包括WEB配置模块、设备上下线配置模块、WEB推送模块、DNS代理欺骗模块；所述的WEB配置模块、设备上下线配置模块分别与所述的WEB推送模块连接，所述的WEB配置模块与所述的DNS代理欺骗模块连接。

本发明的有益效果是：在政企网关中，管理员可以添加多组普通用户登录的账号和密码。在WEB本地认证页面，管理员可以配置用户侧端口，用户侧端口使能后，用户设备通过该端口首次接入网关时，用户设备上会弹portal认证页面，用户需要输入正确的账号和密码才能访问网络，认证过的设备再次上线则不需要再次认证。本发明实现了管理员对用户设备的分级管理。

附图说明

图1为基于政企网关的内网用户本地认证系统的原理示意图；

图2为WEB配置模块工作流程示意图；

图3为设备上下线配置模块工作流程示意图；

图4为DNS代理欺骗模块的工作流程示意图。

具体实施方式

下面结合附图进一步详细描述本发明的技术方案，但本发明的保护范围不局限于以下所述。

为了使本发明的目的，技术方案及优点更加清楚明白，结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明，即所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明的实施例，本领域技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本发明保护的范围。需要说明的是，术语“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。

而且，术语“包括”，“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程，方法，物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程，方法，物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程，方法，物品或者设备中还存在另外的相同要素。

以下结合实施例对本发明的特征和性能作进一步的详细描述。

如图1所示，一种基于政企网关的内网用户本地认证的方法，包括如下过程：

所述的获取网关LAN侧IPV4地址及IPV6地址，若ENABLE值为1，则推送认证页面，包括如下过程：

在用户设备动态或者静态接入网关时，网关通过DHCP协议或者ARP协议发现设备，并且将设备信息记录到网关的设备管理记录表中；当设备信息改变时，网关根据设备信息更新设备管理记录表。

上线设备下线时，在LAN认证管理表中删除对应设备记录。

网关在数据库中创建LAN认证管理表，存储的信息有INDEX、ENABLE、接口、网关LAN侧IPV4地址、网关LAN侧IPV6地址、设备MAC地址。网关在数据库中创建设备管理记录表，将所有接入网关设备信息记录到设备管理记录表中。

网关中DNS代理用于上线设备与DNS服务器之间转发DNS请求和应答，上线设备发送DNS请求报文到网关，网关DNS代理再转发到DNS服务器，并将DNS服务器的应答报文转发给用户设备，实现域名解析。

具体的，网关在数据库中创建LAN认证管理表，存储的信息有INDEX、ENABLE、接口、网关LAN侧IPV4地址、网关LAN侧IPV6地址、设备MAC地址。网关在数据库中创建设备管理记录表，将所有接入网关设备信息记录到设备管理记录表中。

本发明包括WEB配置模块、设备上下线配置模块、WEB推送模块、DNS代理欺骗模块。

WEB配置模块，管理者在网关本地认证页面配置需要认证的端口，本模块开始执行，查询LAN认证管理表中是否有此接口，如果有，说明有在线设备已经认证过，则更新对应表中的INDEX、接口、及ENABLE，同时获取对应表中的设备MAC地址，然后将ENABLE及设备MAC地址发送给WEB推送模块。如果没有，则在LAN认证管理表中增加新的记录，添加INDEX、接口、及ENABLE，等待设备上线后在设备上下线配置模块处理后，再将ENABLE及设备MAC地址发给WEB推送模块。

设备上下线配置模块，在用户设备动态或者静态接入网关时，网关会通过DHCP协议或者ARP协议发现设备，并且将设备信息记录到网关的设备管理记录表中；当设备信息有改变时，网关会更新设备管理记录表。

用户设备上线，在设备管理记录表查询用户设备是否已认证，如果没有认证过，则在LAN认证管理表中查询是否有上线设备接口，如果有此接口，说明该接口上线的设备都需要认证或者不认证，则获取此接口对应的ENABLE，将ENABLE及设备管理记录表中上线设备MAC地址发送给WEB推送模块。同时查询LAN认证管理表中其他记录中是否有此上线设备MAC地址，如果没有，则添加一个新的认证记录，将上线设备的MAC地址，接口及认证ENABLE值存储到LAN认证管理表中。设备下线时，则在LAN认证管理表中删除对应设备记录。

WEB推送模块，WEB推送模块收到ENABLE值及设备MAC信息后，获取网关LAN侧IPV4地址及IPV6地址。如果ENABLE值为1，说明需要推送认证页面。此时，在网关防火墙IPTABLE的NAT表中PREROUTING链创建REDIRECT_SELF子链添加重定向规则，将需要认证的设备发往80端口目的地址为非网关LAN侧地址的包重定向到网关LAN侧地址。如果ENABLE值为0，说明不再需要推送认证页面，删除此规则。添加重定向规则后通知WEBD进程，弹出portal认证页面。用户输入账号密码，认证通过后，将设备管理记录表中对应设备的认证状态值置1，表明该设备已经认证过。WEB推送模块将认证设备的MAC地址，网关LAN侧IPV4地址及IPV6地址存入对应的LAN认证管理表。

DNS代理欺骗模块，网关中DNS代理用于用户设备与DNS服务器之间转发DNS请求和应答。用户设备发送DNS请求报文到网关，网关DNS代理再转发到DNS服务器，并将DNS服务器的应答报文转发给用户设备，从而实现域名解析。

网关DNS代理进程，创建SOCKET，监听53端口，将LAN侧收到的DNS请求转发给DNS服务器。DNS代理欺骗模块收到用户设备的DNS请求后，查询LAN认证管理表，若LAN认证管理表中有此请求设备MAC地址，则读取表中对应的网关LAN侧IPV4地址及IPV6地址,DNS代理欺骗模块将网关LAN侧IPV4地址及IPV6地址作为DNS服务器应答报文转发给用户设备，用户设备收到后会访问网关LAN侧地址，结合WEB推送模块，此时用户设备会弹出portal认证页面。若LAN认证管理表中没有此请求设备MAC地址，说明该设备不需要认证，DNS代理欺骗模块将设备DNS请求发送给DNS服务器，正常转发DNS服务器应答报文给用户设备。

以上所述仅是本发明的优选实施方式，应当理解本发明并非局限于本文所披露的形式，不应看作是对其他实施例的排除，而可用于各种其他组合、修改和环境，并能够在本文所述构想范围内，通过上述教导或相关领域的技术或知识进行改动。而本领域人员所进行的改动和变化不脱离本发明的精神和范围，则都应在本发明所附权利要求的保护范围内。

Claims

1.一种基于政企网关的内网用户本地认证的方法，其特征在于，包括如下过程：

在网关本地认证页面配置需要认证的端口，查询LAN认证管理表中是否有此接口，若有，则更新LAN认证管理表中的INDEX、接口及认证ENABLE，同时获取LAN认证管理表中的设备MAC地址，然后将ENABLE及设备MAC地址发送给WEB推送模块；若没有，则在LAN认证管理表中增加新的INDEX、接口及ENABLE，待设备上线后在设备上下线配置模块处理后，将ENABLE及设备MAC地址发给WEB推送模块；

2.根据权利要求1所述的一种基于政企网关的内网用户本地认证的方法，其特征在于，所述的获取网关LAN侧IPV4地址及IPV6地址，若ENABLE值为1，则推送认证页面，包括如下过程：

3.根据权利要求2所述的一种基于政企网关的内网用户本地认证的方法，其特征在于，在用户设备动态或者静态接入网关时，网关通过DHCP协议或者ARP协议发现设备，并且将设备信息记录到网关的设备管理记录表中；当设备信息改变时，网关根据设备信息更新设备管理记录表。

4.根据权利要求3所述的一种基于政企网关的内网用户本地认证的方法，其特征在于，上线设备下线时，在LAN认证管理表中删除对应设备记录。

5.根据权利要求4所述的一种基于政企网关的内网用户本地认证的方法，其特征在于，网关在数据库中创建LAN认证管理表，存储的信息有INDEX、ENABLE、接口、网关LAN侧IPV4地址、网关LAN侧IPV6地址、设备MAC地址；网关在数据库中创建设备管理记录表，将所有接入网关设备信息记录到设备管理记录表中。

6.根据权利要求5所述的一种基于政企网关的内网用户本地认证的方法，其特征在于，网关中DNS代理用于上线设备与DNS服务器之间转发DNS请求和应答，上线设备发送DNS请求报文到网关，网关DNS代理再转发到DNS服务器，并将DNS服务器的应答报文转发给用户设备，实现域名解析。

7.应用权利要求1-6任一所述的一种基于政企网关的内网用户本地认证的方法的基于政企网关的内网用户本地认证系统，其特征在于，包括WEB配置模块、设备上下线配置模块、WEB推送模块、DNS代理欺骗模块；所述的WEB配置模块、设备上下线配置模块分别与所述的WEB推送模块连接，所述的WEB配置模块与所述的DNS代理欺骗模块连接。