CN1403952A - 一种以太网认证接入的方法 - Google Patents

Abstract

本发明公开了一种以太网认证接入的方法，涉及计算机网络中的宽带接入的方法。本发明使用了独特的双网页服务器(WEB Server)技术，利用用户访问列表(ACL)操作，实现对用户的访问控制和带宽限制，独特的强制门户技术，能将未通过授权用户的请求进行强制重定向。本发明是通过网页(WEB)认证的方法实现对用户的认证、授权、计费和带宽限制，不需要用户安装任何的客户端软件，简化了用户的操作，且与用户的操作系统平台无关，运营管理简单易行，因此具有广阔的应用前景。

Description

一种以太网认证接入的方法

技术领域

本发明涉及计算机网络中的宽带接入的方法，具体地说，涉及一种以太网接入的方法。

背景技术

随着因特网(Internet)的高速发展，宽带接入方式层出不穷，其中以太网以其较高的性能价格比逐渐占据了宽带接入的大部分市场。但是传统的以太网接入方式缺乏可管理性，无法实现对用户的认证、授权和计费等功能。运营商只能采用包月的方式，这对用户和运营商来说都可能存在一定程度上的不公平。而随后出现的几种常见的以太网接入方法，虽然解决了用户的认证和授权等功能，但是必须在用户的主机上安装客户端软件，可操作性较差，下面分别对这几种技术做简单介绍：

①以太网上的点对点协议(PPP over Ethernet，英文缩略：PPPoE)认证方式的出现在一定程度上解决了以太网的可管理性问题，但是它需要用户安装PPPoE客户端软件(用户操作系统平台不同，客户端软件也不同)，增加了运营和工程维护的成本。同时由于用户收发的分组都进行了PPPoE的封装，增大了用户主机中央处理器(英文缩略：CPU)和PPPoE接入设备处理的负荷，下降了数据包处理的效率。

②动态主机分配协议(英文缩略：DHCP)认证，通过DHCP服务器(DHCP Server)动态分配给用户Internet协议(英文缩略：IP)地址，但是它只适合固定用户上网，并且只能统计时间，如需统计流量，则必须在用户接入处配备能统计流量的交换机，另外防止地址冲突和地址盗用也需有相应交换机配合才能实现。

③基于端口的认证规范(IEEE 802.1x)，采用“可控端口”和“不可控端口”的逻辑功能，从而可以实现业务与认证的分离，由远程用户拨入服务器(英文缩略：Radius)和宽带接入服务器(英文缩略：BAS)利用不可控的逻辑端口共同完成对用户的认证与控制，业务报文直接承载在正常的二层报文上通过可控端口进行交换；所以通过认证之后的数据包是无需封装的纯数据包，需要在客户机上安装客户端软件。

发明内容

本发明的目的是克服上述以太网接入方法存在的问题和不足，提供一种以太网认证接入的方法，即通过WEB认证对用户进行认证、授权和计费，实现以太网接入的可管理性和可运营性，同时赋予用户和电信运营商以最简单的操作方式。WEB是一种目前网络中最为常用的网页浏览技术。

本发明的目的是这样实现的：

采用了独特的双网页服务器(WEB Server)技术，其中嵌入式网页服务器(WEB Server)负责监听用户请求，返回用户登陆验证页面；外部网页服务器(WEB Server)负责接收用户的验证信息和反馈给用户信息；

利用用户访问列表(ACL)操作，实现对用户的访问控制和带宽限制；

网络接入服务器(NAS)与外部网页服务器(WEB Server)的通信方法和消息格式；

独特的强制门户技术，将未经验证的用户请求进行强制重定向；

网络接入服务器(NAS)上域名系统(DNS)的数据报文透传功能；

网络接入服务器(NAS)上支持网络处理器架构，进行对数据报的高速并发处理。

本发明旨在实现如下操作过程：

①用户端

用户在上网前首先打开网页浏览器，输入欲访问的网页地址，这时因为用户尚未通过身份认证和授权，将会被重新定向到认证网页，要求用户输入运营商提供的用户名和口令。如果用户输入正确的用户名和口令，将会返回认证成功页面，这时用户可自由访问网络资源。如果用户输入错误的用户名和口令，将会返回认证失败页面，提示用户错误信息，用户无法访问网络资源，必须进行重新认证。

②运营商

可在具备WEB认证接入功能的宽带接入设备上实时监测目前登陆的用户状态、IP地址、MAC地址、虚拟局域网(英文缩略：VLAN)标签、流入字节数、流入数据包数、流出字节数、流出数据包数等信息，并可通过手动增加、删除用户访问控制列表(ACL)的方法实现对用户的接入控制，这样可以实现：某些特殊用户无需进行身份验证即可上网，限制某些恶意攻击网络的用户的访问权限。

本发明提供了用户管理、安全管理、业务管理和计费管理等功能。

①用户管理：用户到运营商那里进行开户登记，在用户进行通信时对用户进行认证、授权，保证合法用户正常通信，杜绝非法用户入侵，同时可以针对用户进行带宽限制，有效地控制用户的带宽；

②安全管理：保障用户数据(单播地址的帧)的安全性，隔离携带有用户个人信息的广播消息，如地址解析协议(英文缩略：ARP)、DHCP消息等，防止关键设备受到攻击，在具备WEB认证接入功能的设备上了实现用户IP地址与介质访问控制(英文缩略：MAC)地址的绑定，防止非法用户使用网络资源；

③业务管理：支持组播业务，为保证服务质量(英文缩略：QoS)提供一定手段；

④计费管理：提供有关计费的详细信息，为不同的计费方式提供相应的原始信息，计费问题对于任何一种接入方式都是必需的。

本发明通过以下步骤实现：

①实现网络接入服务器(英文缩略：NAS)端功能。

NAS通过内嵌的网页服务器(英文：Web Server)实现接收用户请求返回登录认证界面，实现与外部Web server的通信，交换用户相关信息，同时实现Radius客户端功能。

下面依次介绍NAS上各模块功能的实现：

*内嵌的Web Server

创建一个HTTP协议规范的80端口的监听进程。对于用户首次登录发起的Web请求，内嵌的Web Server接收该请求，创建一个子进程处理该用户的WEB请求，然后返回到监听状态。子进程将直接向用户返回认证登陆页面。该数据通信过程严格遵循RFC1945和RFC2068协议规范。

*WEB认证的ACL(访问控制列表)表项的操作与维护

ACL表项是通过用户的源IP、源MAC和用户的VLAN三级绑定，唯一标识一个通过认证的合法用户。ACL表项包含的数据有：

用户的源IP、源MAC、源虚拟局域网标签(英文缩略：VLAN ID)(如果第二层设备支持VLAN划分)

用户流入、流出的数据包的个数和字节数。

用户可用带宽(带宽限制功能)

用户ID

ACL表项的哈希(英文缩略：HASH)索引

为了简化Web Server端应用程序的开发，NAS与Web Server之间以用户的IP地址作为相关ACL表项的键值。这样为了实现IP/MAC/VLAN的三级绑定，宽带接入服务器必须提前截获用户第一个IP数据报，从数据报文中提取用户的IP/MAC/VLAN等信息。为了保证这种绑定可唯一标识用户，当不同用户使用同一IP地址时，则判定绑定表冲突，同时删除这两个用户的三级绑定表项。ACL表项的操作包括添加和删除。添加操作是当用户的登录信息通过Radius服务器的鉴权后，将用户的三级绑定信息添加到表项中，同时ACL表项中记录用户的流量信息。如果用户通过认证，但没有查找到对应的三级绑定表项，表示网络中发生了IP地址冲突，则不需创建该用户ACL表项，拒绝用户访问网络。ACL表项的删除操作，当用户断开网络时，将ACL表项删除，同时删除相对应的IP/MAC/VLAN三级绑定表。ACL表项的维护，ACL表项采用HASH算法的两级索引结构进行存储。对每一条ACL表项产生一个老化定时器，维护ACL表项的有效性。当老化定时器超时时，检查ACL表项中的用户流量信息是否发生变化，即对于在定时器时间间隔内流量没有发生变化的用户判定为离线状态，删除对应的ACL表项，否则判定用户仍在使用网络，重新启动老化定时器，进行新一轮的表项老化判断。

*NAS与Web Server之间的通信

通信采用用户数据报协议(英文缩略：UDP)的通信，使用私有的UDP端口8888(可变)。数据报格式如图1所示，由消息类型(Code)、消息长度(Length)、消息内容(Data)组成。其中Code和Length字段各占一个字节，消息内容的长度由Length的值确定。

Code字段为1时，表示从Web Server发往NAS的用户信息；Code字段为2时，表示NAS发往Web Server有关认证结果的信息。

Data字段的标识数据部分，数据部分的报文格式是类型、长度、值(英文缩略：TLV)形式的可扩展的选项，其中选项是没有固定顺序的。如图2所示，由数据类型(Type)、数据长度(Length)、值(Value)组成，其中Type和Length各占一个字节，值的长度由Length的值确定。

Code字段为1时，定义的基本选项字段有：

用户名—用户登录时使用的用户名字段，占64字节；

口令—用户登录的口令，占64字节；

用户源IP地址—标识一个用户，用于建立与ACL表项的对应，占4字节；

NAS的标识—通常是NAS接口IP地址，用于标识于Web Server通信的服务器，占4字节；

用户的会话ID—作为Radius Server对用户连接的标识号，占2字节；

用户操作—0表示用户连接网络，1表示用户断开网络，占1字节；

Code字段为2时，定义的基本选项有：

用户名—用户登录时使用的用户名字段，占64字节；

用户的会话ID—作为Radius Server对用户连接的标识号，占2字节；

认证结果字段—证结果字段为0时，表示正在认证中；认证结果字段为1时，表示认证通过；认证结果字段为2时，表示认证被拒绝。占1字节。

当NAS端接收到Web Server发来的code＝1的数据报后，提取相关的用户认证请求信息，根据RFC2865等协议规定的Radius规范，构造相应的Radius数据报进行认证。

当NAS接收到Radius Server返回的认证结果，则提取其中的用户名、用户会话标识(Session ID)，并连同认证的结果构造成类型2的UDP数据报，转交给Web Server。

*DHCP转递(Relay)功能

支持用户从不在同一网段的DHCP Server处分配IP地址以及联结网络所需的其他信息。该实现遵照RFC2131和RFC2132规范。

强制门户功能

在用户通过WEB认证之前，对于用户任意输入的WEB请求，宽带服务器都将强制返回用户登录认证页面。该功能的实现方法是，当宽带接入服务器接收到用户的WEB访问请求(即访问TCP的80端口)时，首先搜索ACL表项，检查该用户是否通过认证。对于已通过认证的用户，则正常的转发用户的网络访问请求；对于没有通过认证的用户，则从用户请求的数据报中解析出用户访问的IP地址，然后宽带接入服务器创建一个虚拟的端口，分配该目的IP地址给虚拟端口，伪装成用户所访问的网站地址，接收用户的HTTP请求，提交给NAS上的内嵌的Web Server。从而用户可以得到登录的页面。

DNS数据报文的透传功能。

为了支持强制门户功能，当用户通过认证前，输入域名时，宽带接入服务器必须能够允许DNS的域名解析报文的传送。在宽带接入服务器端有两种可行的方案：一种方案是在宽带接入服务器端指定若干个DNS服务器的IP地址，允许未经认证的用户可以直接访问这些IP地址；另一种方案是宽带接入服务器对于所有DNS数据报(即UDP目的端口为53的数据报)进行转发。前者实现简单，适合于使用DHCPServer分配DNS Server的用户，只需在宽带接入服务器端注册DHCPServer可分配的所有DNS服务器的IP地址，但不支持用户自行指定的DNS Server；后者适用于一般的情况，是较完整地解决方案。

*用户带宽限制

使用漏斗算法，采用丢包的策略对每一个用户的流量进行限制。启动一个计时器，单位时间内给相应的内存空间写数据，该数据就是在单位时间内的流量。计算在单位时间内通过NAS流量，让该流量不能超过写到内存空间里的数据，如果超过该数据，就丢掉数据包，从而起到带宽限制的作用。

*用户数据处理

用户数据处理主要完成用户数据包的转发、过滤、进出流量(字节数、数据包数)的记录等功能，本发明可以用于传统的CPU转发的NAS中，同时支持基于最新网络处理器架构的NAS。其中网络处理器是适应现代高速网络，针对各种流量处理优化而设计的一种专用处理器，采用了多处理器和并行技术，一方面保持了基于通用寄存器(英文缩略：GPP)设计的灵活性，另一方面消除了传统CPU的速率瓶颈问题，实现了数据包的线速处理。

下面以网络处理器架构为例，介绍实现数据平面操作的步骤。

完成基本的数据转发功能。

基本数据转发功能大致分为两类：分类与决策。分类是网络处理器对接收到的数据包进行解析、校验，并确定如何进行处理和转发的过程。决策是网络处理器按分类结果进行必要的编辑和发送(包括送至上层协议栈或转发到某个物理网络)的过程。

ACL表项查询、分类功能

针对WEB认证方案，网络处理器依据ACL表项对接收到的数据报进行分类和转发。先对接收到的数据报进行解析，从数据报头中提取用户的IP地址和MAC地址作为关键字，对ACL表项进行查询，如果找到对应的表项，则表示用户已通过认证，相应的进行快速转发；如果没有找到相应的表项，则用户未经授权，相应的转到认证过程，或丢弃该报文。在网络处理器的查表过程中，同样的使用了Hash算法的快速索引技术。

记费原始信息记录

针对每个用户(每条ACL表项)对所有的流入、流出数据包和字节数进行记录，并存放在ACL表项的相应字段中。

Web Server端实现读取用户提交的登录信息，与NAS进行用户数据的交换，控制用户相关的Radius的认证和计费。

下面依次介绍NAS上各模块功能的实现：

*Web Server端实现的接收功能。

启动一个线程监听私有的UDP端口8888，来接收NAS端发来的数据。解析数据中包含的用户名和用户会话ID以及认证结果，将此三项信息组成一条表项加入到数据库中。然后返回到监听状态。

数据库可采用Microsoft Office的组件Access。该数据库仅需维护一张表，每一条表项对应三个属性：用户名、用户ID、用户的登录状态。用户的登录状态有接收功能模块提供。

登录的响应页面

采用动态服务器页面(英文缩略：ASP)技术实现。

在用户提交登录请求时，调用Web Server端的ISAPI，该动态连接库(DLL)中包含一个发送功能的函数。Web Server从提交页面中直接获取用户名和口令信息，同时得到隐藏在页面中的宽带接入服务器标识(某个接口IP地址)。然后Web Server将这些信息作为发送函数的入口参数，通过私有的UDP通信，发送给NAS的UDP 8888端口。同时给用户返回一个认证等待的页面。该页面包含一个定时器，定势的检查数据库中项对应的用户的登录结果状态。如果结果状态值为1，则返回用户登录成功的页面；如果结果状态值为2，则返回用户登录失败的页面，并请用户检查用户名和口令后重新登录；在定时器重启多次后，仍没有查询到相应的认证结果，则返回网络繁忙的页面，此时表示Web Server没有接收到NAS发来的认证结果报文，可能是由于网络状况的恶化，导致该报文丢失或时延过大。在提取数据库中相应的认证结果后，从数据库中将该用户的认证结果表项删除。定时器的长度可根据实际的网络环境设置在1-10秒范围内，重启次数设置为5次。时间间隔过小，将导致时延稍长的UDP认证结果报文不能在定时器重启期间到达Web Server，从用户通过认证也可能得到网络繁忙的超时响应页面；时间间隔过长，可以缓解上述的情况。默认的选择定时器时长为5秒钟。

*用户断开连接

当用户通过登陆页面断开连接时，同样的调用ISAPI，将用户提交的用户名口令信息通过DLL的发送函数转发给NAS，由NAS向Radius Server发起断开网络连接和停止计费的请求，同时删除用户对应的ACL表项。

本发明具有以下优点和积极效果：

①不需要用户安装任何的客户端软件，简化了用户的操作；

②用户的操作系统平台无关，只需要在认证网页上输入正确的用户名和密码就能上网，在三层设备上实现用户IP地址与MAC地址的绑定；

③用户管理、安全管理、业务管理和计费管理的集成保证了管理员操作起来非常方便；

④利用用户访问列表(ACL)操作，实现对用户的访问控制和带宽限制；

⑤独特的强制门户技术，将未经验证的用户请求进行强制重定向。

附图说明

图1-NAS与Web Server之间的通信采用的UDP数据报的格式；

图2-图1中Data字段的标识数据部分；

图3-本发明总体模块流程图；

图4-用户上网过程中各部分处理和通信的示意图；

图5-用户典下网过程中各部分处理和通信的示意图；

图6-ACL的索引和源(MAC+IP)的索引的表项；

图7-MAC表项；

图8-ACL表项。

其中：

1-监听，从Web Server发出的用户申请；

2-下网；

3-上网；

4-通知Radius Server认证并开始计费；

5-通知Radius Server直接停止计费；

6-认证失败，接收到Radius Server返回认证失败的结果；

7-认证及计费成功，接收到Radius Server返回认证和计费成功的结果；

8-添加或删除ACL表项；

9-根据7的结果返回Web Server成功消息；

10-根据6的结果返回Web Server失败消息；

11-用户打开浏览器，输入网址；

12-RAS返回强制重定向至认证界面；

13-用户提交信息，请求上网；

14-收集用户信息，请求上网；

15-向Radius server发认证请求；

16-返回认证通过消息；

17-向Radius server发计费请求；

18-返回计费消息；

19-返回用户接入成功信息，并更新数据库；

20-定时刷新检查用户接入成功与否数据库；

21-返回用户接入成功界面；

22-用户提交信息，请求断网；

23-收集用户信息，请求断网，停止计费；

24-返回用户相应信息；

25-源MAC和IP索引字段，占2字节；

26-IP和ACL表项索引字段，占2字节；

27-下一条表项索引(16比特)；

28-前一条表项索引(16比特)；

29-源IP(32比特)；

30-源MAC高位(0-3字节)；

31-源MAC低位(5-6字节)；

32-保留，占2字节；

33-下一条表项索引(16比特)；

34-前一条表项索引(16比特)；

35-源IP(32比特)；

36-发送数据包(32比特)；

37-发送字节数(32比特)；

38-接收数据包(32比特)；

39-接收字节数(32比特)；

40-源MAC高位(0-3字节)；

41-源MAC低位(5-6字节)；

42-保留，占2字节；

43-流限制值(16比特)；

44-保留，占2字节；

45-保留，占4字节；

①-Web Server，网页服务器，专门用于侦听和根据侦听结果给

   用户返回相应的界面；

②-Radius Server，认证服务器，专门用于用户的身份验证、

   授权以及认证；

③-ACL模块，主要用于用户的存储相关信息(如IP、MAC、用

   户ID以及该用户上网的流量)。

④-用户端，用户主机；

⑤-NAS端，网络接入服务器，实现数据包的转发、存储以及处

   理等功能

下面结合附图详细说明

图1中，NAS与Web Server之间的通信采用的UDP数据报的格式，由消息类型(Code)、消息长度(Length)、消息内容(Data)组成。其中Code和Length字段各占一个字节，消息内容的长度由Length的值确定。Code字段为1时，表示从Web Server发往NAS的用户信息；Code字段为2时，表示NAS发往Web Server有关认证结果的信息。

图2中，是图1中Data字段的标识数据部分，数据部分的报文格式是类型、长度、值(英文缩略：TLV)形式的可扩展的选项，由数据类型(Type)、数据长度(Length)、值(Value)组成，其中Type和Length各占一个字节，值的长度由Length的值确定。

图3中，本发明总体模块流程简要描绘了WEB认证接入的过程：

其中：

*监听1-上网3-通知认证并开始计费4-Radius Server②-

  或认证失败6-返回失败消息10-Web Server①-监听1；

  或认证及计费成功7-返回成功消息9-Web Server①-监听1；

                     或ACL模块③。

*监听1-下网2-通知直接停止计费5-Radius Server②-

 或认证失败6-返回失败消息10-Web Server①-监听1；

 或认证及计费成功7-返回成功消息9-Web Server①-监听1；

                   或ACL模块③。

整个WEB接入的过程为用户打开浏览器，通过重定向的功能到缺省的认证界面，这时主机已经与NAS发生了通信，已经获得该主机的IP和MAC地址，一方面WEB SERVER根据返回相应的页面，另一方面，NAS向RADIUS SERVER发出该用户的认证请求，RADIUS SERVER根据用户的信息进行验证，并向NAS返回认证通过或者不通过的消息，NAS也根据不同的消息进行不同的处理，如果通过认证，要求ACL模块添加ACL表项外，另外需要WEB SERVER返回成功的界面；若不通过，要求WEB SERVER返回不成功的界面。断网的流程和上网的过程一样。

图4中，用户上网过程是：用户端④-用户打开浏览器，输入网址11-NAS端⑤-RAS返回强制重定向至认证界面12-用户端④-用户提交信息，请求上网13-Web Server①-收集用户信息，请求上网14-NAS端⑤-向Radius server发认证请求15-Web Server①-返回认证通过消息16-NAS端⑤-向Radius server发计费请求17-WebServer①-返回计费消息18NAS端⑤-返回用户接入成功信息，并更新数据库19-Web Server①-返回用户接入成功界面21。

NAS端通过内嵌的网页服务器(英文：Web Server)实现接收用户请求返回登录认证界面，实现与外部Web server的通信，交换用户相关信息，同时支持标准的Radius协议；Web Server端实现读取用户提交的登录信息，与NAS进行用户数据的交换，控制用户相关的Radius的认证和计费。

图5中，用户下网过程是：用户端④-用户提交信息，请求断网22-Web Server①-收集用户信息，请求断网，停止计费23-NAS端⑤-返回用户相应信息24。

当用户下网时，WEB Server将用户提交的用户名口令信息通过DLL的发送函数转发给NAS，由NAS向Radius Server发起断开网络连接和停止计费的请求，同时删除用户对应的ACL表项。

图6是ACL的索引和源(MAC+IP)的索引的表项，用于NAS快速检索ACL表项；

图7是MAC表项，用于建立用户MAC地址和IP地址之间的绑定关系(如果有VLAN ID，还应加上VLAN ID字段)；

图8是ACL表项，用于记录用户的源IP地址、源MAC地址、流入、流出字节数、数据包数等信息，实现对用户的访问控制；

具体实施方式

对于线速操作的NAS设备，应用WEB认证的接入方式，数据包不发生任何阻塞，实际处理效率高于90％，而使用PPPoE的接入方式，用户主机CPU和NAS的处理效率均下降到原来的50％左右，可见使用该方案可以提高NAS的处理效率，同时对用户主机CPU不增加额外的数据包封装和解封装的负荷。

目前本发明已经应用于武汉烽火网络有限责任公司的R4001、R4101 NAS宽带接入服务器中，并已开通工程实际使用。同时，本方案又可用于无线局域网(Wireless LAN)的接入认证设备(AccessController)。

Claims (1)

1、一种以太网认证接入的方法，通过网页(WEB)认证的方法实现对用户的认证、授权、计费和带宽限制；其特征在于：

采用了独特的双网页服务器(WEB Server)技术，其中嵌入式网页服务器(WEB Server)负责监听用户请求，返回用户登陆验证页面；外部网页服务器(WEB Server)负责接收用户的验证信息和反馈给用户信息；

利用用户访问列表(ACL)操作，实现对用户的访问控制和带宽限制；

网络接入服务器(NAS)与外部网页服务器(WEB Server)的通信方法和消息格式；

独特的强制门户技术，将未经验证的用户请求进行强制重定向；

网络接入服务器(NAS)上域名系统(DNS)的数据报文透传功能；

网络接入服务器(NAS)上支持网络处理器架构，进行对数据报的高速并发处理。

Images