CN1484412A

CN1484412A - 一种基于集群管理的802.1x通信实现方法

Info

Publication number: CN1484412A
Application number: CNA021430713A
Authority: CN
Inventors: 婷邹; 邹婷; 陈国强
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2002-09-20
Filing date: 2002-09-20
Publication date: 2004-03-24
Anticipated expiration: 2022-09-20
Also published as: CN1223155C

Abstract

本发明公开了一种基于集群管理的802.1X通信实现方法，是802.1X客户端通过802.1X设备端与802.1X认证服务器进行通信，关键在于：预先将多个802.1X设备端划分为一个集群，设定集群中的一个802.1X设备端为该集群的命令交换机，其余802.1X设备端均为成员交换机；当802.1X客户端与802.1X认证服务器进行通信时，802.1X客户端先将报文发送到与之连接的成员交换机上，该成员交换机再将信息通过命令交换机发送给802.1X认证服务器；802.1X认证服务器处理后的返回消息同样经由命令交换机、目的802.1X客户端连接的成员交换机发送给目的802.1X客户端。该方法能对RADIUS客户端的802.1X设备端进行集中管理，并扩大802.1X客户端的接入数目，节省公网IP地址资源。

Description

一种基于集群管理的802.1X通信实现方法

技术领域

本发明涉及802.1X的通信技术，特别是指一种基于集群管理的802.1X通信实现方法。

背景技术

目前，在有线宽带接入环境中，通常在接入设备与认证服务器之间进行802.1X认证，对拨入用户服务远端认证服务器(RADIUS)而言，作为认证接入单元(Authenticator)的接入设备是RADIUS的客户端(Client)。

所谓802.1X协议是2001年6月电气和电子工程师协会(IEEE)标准化组织正式通过的基于端口的网络访问控制协议。IEEE 802.1X定义了基于端口的网络接入控制协议，其中，端口可以是物理端口，也可以是逻辑端口。典型的应用方式有：以太网交换机的一个物理端口连接一台客户端计算机。

基于端口的网络接入控制，是在网络设备的物理接入级对接入客户端进行认证和控制，此处的物理接入级是指以太网交换或宽带接入设备的端口，连接在该类端口上的用户设备如果能通过认证，就可以访问到网络内的资源；如果不能通过认证，则无法访问网络内的资源。

IEEE 802.11，也称为IEEE 802 LAN，定义的是无线局域网接入方式，该接入方式不提供接入认证，一般来说，只要用户能接入局域网控制设备，如LanSwitch，用户就可以访问局域网中的设备或资源。但是，对于电信接入、写字楼、局域网以及移动办公等应用，设备提供者希望能对用户的接入进行控制和配置，为此产生了802.1X接入控制需求。

IEEE 802.1X的体系结构如图1所示，802.1X系统共有三个实体：客户端系统(Supplicant System)、设备端(Authenticator System)、认证服务器系统(Authentication Server System)。在客户端进一步包括客户端端口状态实体(PAE)，在设备端进一步包括设备端系统提供的服务和设备端端口状态实体，在认证服务器系统中进一步包括认证服务器；该认证服务器与设备端的端口状态实体相连，通过扩展认证协议(EAP)来交换设备端和认证服务器间的认证信息，客户端的端口状态实体直接连到局域网(LAN)上，设备端的服务和端口状态实体分别通过受控端口(Controlled Port)和非受控端口连接于局域网上，客户端和设备端通过客户端和设备端间的认证协议(EAPOL)进行通信。其中，Controlled Port负责控制网络资源和业务的访问。

一般，在用户接入层设备需要实现802.1X的设备端系统(AuthenticatorSystem)；802.1 X的客户端系统安装在用户PC中；802.1X的认证服务器系统驻留在运营商的AAA中心，该AAA是指计费(Account)、认证(Authentication)和授权(Authorization)。

如图1所示，设备端系统的内部有受控端口(Controlled Port)和非受控端口(Uncontrolled Port)，该非受控端口始终处于双向连通状态，主要用来传递EAPOL协议帧，可保证随时接收和发送EAPOL协议帧；而受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务，也就是说，在认证未通过时该受控端口为未授权端口，受控端口可配置为双向受控、仅输入受控两种方式，以适应不同应用环境的需要。

在以太网中运用802.1X协议，可提供未通过用户认证的端口不能使用，通过认证的端口能够自动动态配置并访问网络资源的功能，以区别于传统以太网交换机的特性。

但是，在现有的接入环境中，802.1X认证系统存在以下问题：

1)作为认证接入单元(Authenticator)的接入设备，对拨入用户服务远端认证(RADIUS)服务器而言，是RADIUS客户端(Client)。由于其网络位置较低，接入节点数目众多，且过于分散，运营商需要记下每台设备的管理网际协议(IP)地址和媒体访问控制(MAC)地址用于管理，如此，管理非常不便，同时现场维护升级设备的工作量太大。

2)很多二层接入设备没有公网IP地址，无法作为RADIUS服务器的RADIUS客户端。

3)由于不少RADIUS服务器对RADIUS Client的接入数有限制，所以对于小容量接入设备而言，在单机容量小、设备接入数目有限的情况下无法完成大容量的用户接入，从而给小容量，分散式接入模型带来了很大的限制。

发明内容

有鉴于此，本发明的主要目的在于提供一种基于集群管理的802.1X通信实现方法，使其能对RADIUS Client的802.1X设备端进行集中管理，并扩大802.1X客户端的接入数目，节省公网IP地址资源。

为达到上述目的，本发明的技术方案是这样实现的：

一种基于集群管理的802.1X通信实现方法，802.1X客户端通过802.1X设备端与802.1X认证服务器进行通信，关键在于：预先将一个以上802.1X设备端划分为一个集群，设定集群中的一个802.1X设备端为该集群的命令交换机，其余802.1X设备端均为成员交换机；当802.1X客户端与802.1X认证服务器进行通信时，802.1X客户端先将报文发送到与之连接的成员交换机上，该成员交换机再将信息通过命令交换机发送给802.1X认证服务器；802.1X认证服务器处理后的返回消息同样经由命令交换机、目的802.1X客户端连接的成员交换机发送给目的802.1X客户端。

所述802.1X客户端与802.1X认证服务器之间的通信进一步包括802.1X认证，该认证过程至少包括：

a1.802.1X客户端将进行认证的报文送到与之连接的成员交换机上，该成员交换机再将认证报文发送到命令交换机上进行处理，命令交换机将收到的报文进行识别和转换，然后发送到802.1X认证服务器上进行认证；

b1.802.1X认证服务器返回的报文，先到达命令交换机，经过命令交换机对报文的识别和转换后，分发到相应的目的成员交换机上，该目的成员交换机再将认证结果返回相应的目的802.1X客户端。

其中，步骤a1进一步包括：

802.1X客户端先发送启动消息给与之连接的成员交换机，该成员交换机收到后向802.1X客户端发送带标识的请求消息，802.1X客户端回应响应消息；成员交换机收到后再向802.1X客户端发送带加密质询值的请求消息，802.1X客户端回应响应消息；该成员交换机对802.1X客户端鉴权后，向命令交换机发送认证请求报文，其中包括要进行认证的报文、标识、MD5-质询值以及MD5密码。当认证成功后，该方法进一步包括设定当前端口状态为已授权状态。

所述802.1X客户端与802.1X认证服务器之间的通信进一步包括802.1X通信计费，该计费过程包括：

a2.要计费的成员交换机向命令交换机发出计费开始报文，命令交换机收到后进行处理，然后发给802.1X认证服务器；

b2.802.1X认证服务器收到命令交换机发来的计费请求报文后，给命令交换机发计费开始回应报文；

c2.命令交换机收到802.1X认证服务器发来的计费请求回应报文后，进行识别和转换处理并确定目的成员交换机，然后发送给该目的成员交换机；

d2.该目的成员交换机收到命令交换机转发的计费请求回应报文后，间隔固定时间，向命令交换机发出中间计费报文，命令交换机收到该中间计费请求报文后进行处理，然后发给802.1X认证服务器；

e2.802.1X认证服务器收到命令交换机来的中间计费报文后，给命令交换机发中间计费回应报文；

f2.每间隔固定时间后，重复步骤d2和步骤e2。

所述802.1X客户端与802.1X认证服务器之间的通信进一步包括802.1X客户端下线，该下线过程包括以下步骤：

a3.802.1X客户端向与之连接的成员交换机发下线报文，该成员交换机收到后，向命令交换机发出计费停止报文；

b3.命令交换机收到成员交换机发来的计费停止报文，进行处理后发给802.1X认证服务器；802.1X认证服务器收到命令交换机发来的计费停止报文后，给命令交换机发计费停止回应报文；

c3.命令交换机收到802.1X认证服务器发来的计费停止回应报文后，进行识别和转换处理并确定目的成员交换机，然后发给该目的成员交换机；

d3.该目的成员交换机收到命令交换机转发的计费停止回应报文后，通过802.1X协议将该端口的状态设为非授权状态。

由上述方案可以看出，本发明的关键在于：在802.1X认证体系中，利用集群管理协议，将一组交换机划归为一个集群，集群中的命令交换机作为一个802.1X代理，成员交换机作为802.1X设备端，通过作为802.1X代理的命令交换机与远端RADIUS服务器进行通信，从而减少RADIUS服务器上RADIUSClient的个数，增加RADIUS服务器所能接入的用户数。

因此，本发明所提供的基于集群管理的802.1X通信实现方法，在802.1X的通信体系中，实现基于集群管理的802.1X代理，其具有以下的优点和特点：

1)由于划分了集群，每个集群由一个802.1X设备端作为集群中的命令交换机，代理其余所有802.1X设备端与802.1X认证服务器之间的通信，因此，只有少数的802.1X设备端对外联络，只占用少量公网IP地址，从而节省了公网的IP地址资源。

2)对于没有公网IP地址的二层设备，可应用集群管理协议，将它作为命令交换机的成员交换机，将其命令交换机作为认证服务器的RADIUS Client。

3)由于在整个802.1X通信过程中，作为命令交换机的802.1X设备端与802.1X认证服务器通信时，是作为RADIUS服务器的RADIUS客户端，因此，方便了网络的维护，减小了维护作为RADIUS Client的802.1X设备端的工作量。

4)虽然与RADIUS服务器直接连接的只有命令交换机，但实际上命令交换机下面还可连接若干个作为成员交换机的802.1X设备端，从而扩大了对RADIUS客户端接入数有限制的RADIUS服务器的客户端实际接入数。

5)让具体的应用与实现之间松耦合，管理设备不需要了解具体的被管理设备的实现细节。而且，能够收集任意组网下的拓扑结构。

附图说明

图1为IEEE 802.1X的体系结构示意图；

图2为集群的实际应用拓扑组网图；

图3为集群成员的组成结构示意图；

图4为本发明基于集群管理的802.1X代理方法实现的组网结构示意图；

图5为本发明基于集群管理的802.1X代理方法实现的消息流程图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

在一些局域网中，通常会包括大量的网络设备但却拥有少量的公网IP地址，为了方便对网络设备的统一管理和减少IP地址的资源占用，目前提出有一种集群管理的方法，其目的主要是以较少的公网IP地址，管理较大量的低端设备，同时为用户提供统一的网管界面，以方便用户对设备统一的管理与维护。

如图2所示，该集群管理方案的主要内容就是将一些设备集中在一起，构成一个逻辑上的集群，然后通过集群中的一个控制点，也就是集群中的一个设备，完成对其他设备管理流和部分业务控制流的集中管理。其中，管理流至少包括SNMP网管，加载，日志告警，命令行，WEB网管等，业务控制流是指RADIUS认证协议等。

图3所示为集群中各组成部分所担当的角色，如图3所示，每个集群中至少包括四类交换机：

命令交换机：命令行交换机是由操作员指定的，在集群中作为对外管理的唯一节点，完成对各种控制流的汇聚与分发。

备份交换机：备份交换机作为命令交换机的备份，在命令交换机失效时，自动升级成为集群中新的命令交换机。

候选交换机：候选交换机是相对集群而言的，是指还没有加入集群的交换机，所有交换机的初始身份都是候选交换机。

成员交换机：成员交换机是指已经加入集群的交换机，候选交换机在加入集群后即成为成员交换机。在集群中，成员交换机可与命令交换机直接相连，或与其它成员交换机级连，通过上一级成员交换机与命令交换机互通。

集群对外部提供的各个管理维护应用的实现，包括SNMP网管、命令行、程序和数据的加载、日志、告警上报等，均需要由命令交换机把应用协议的报文转发给成员交换机。集群管理中对这些应用协议的代理转发通过网络地址转换(NAT)方式实现，该方法和给每种应用单独做代理的方法比较起来开发工作量较小，而且标准的NAT有利于通过硬件实现转发处理来减轻命令交换机的处理开销。

由于集群有成熟的组成结构和管理协议，本发明即采用集群管理的思想，如图4所示，将一部分802.1X设备端的交换机划分为一个组，即构成一个集群，在这组802.1X设备端上应用集群管理协议。在该集群中，指定一个802.1X设备端为命令交换机，作为802.1X的代理，该命令交换机通过IP网与802.1X认证服务器相连；同时将该组中的其它802.1X设备端指定为成员交换机，这些成员交换机将命令交换机作为802.1X认证服务器，所有的成员交换机分别连接多个802.1X客户端。

基于上述组网结构，802.1X客户端到802.1X认证服务器进行认证的过程变为：802.1X客户端将进行认证的报文送到与之连接的成员交换机上；该成员交换机再将认证报文发送到命令交换机上进行处理；命令交换机将收到的报文进行处理和转换，然后发送到认证服务器上去进行认证。认证服务器返回的报文，首先到达命令交换机，然后命令交换机再将报文识别、转换，分发到相应的目的成员交换机上，该成员交换机再将认证结果返回相应的目的802.1X客户端。

在上述过程中，命令交换机本身所看到的认证服务器就是真正的外在认证服务器，而成员交换机所看到的认证服务器是虚拟的认证服务器，实际上是一台指定为命令交换机的802.1X设备端。将一组交换机划归一个集群后，对认证服务器来说，它的RADIUS Client只是命令交换机这一台交换机。如此，就解决了小容量、分散式多点接入对RADIUS服务器客户端资源消耗的问题。

对于没有成为集群中成员交换机的候选交换机，它所看到的认证服务器仍是真正的外在认证服务器，其可以进行正常的802.1X认证，但它必须作为RADIUS服务器的一个客户端存在。当候选交换机加入集群成为成员交换机后，它所看到的认证服务器就由原来的外在认证服务器切换为命令交换机，同样，当成员交换机退出集群后，它所看到的认证服务器也由原来的命令交换机切换为真正的外在认证服务器。交换机是否加入集群并不影响802.1X认证的启动与关闭。

图4所示802.1X组网结构中，802.1X客户端与802.1X认证服务器之间详细的通信过程如图5所示，包括以下的步骤：

1)首先，将一个802.1X设备端设定为命令交换机，作为802.1X代理，连接802.1X认证服务器和所有成员交换机，即其它802.1X设备端。

2)802.1X客户端在将认证报文送到802.1X设备端，由于802.1X设备端同时又是该集群中的成员交换机，所以按集群管理方案，802.1X设备端会将报文送到命令交换机上去处理。

具体如图5所示，802.1X客户端先发送EAPOL-启动(Start)消息给与之连接的成员交换机，成员交换机收到后向802.1X客户端发送带标识的请求消息EAPOL-请求/标识(Request/Identity)，802.1X客户端回应响应消息EAPOL-响应/标识(Response/Identity)；成员交换机收到后再向802.1X客户端发送带加密质询值的请求消息EAPOL-请求/质询值(Request/MD5 Challenge)，802.1X客户端回应响应消息EAPOL-响应/质询值(Response/MD5 Challenge)。802.1X设备端，即成员交换机对802.1X客户端鉴权后，向命令交换机，即802.1X代理发送认证请求报文，其中包括要进行认证的报文、标识、MD5-质询值以及MD5密码。

3)命令交换机收到成员交换机送来的认证请求报文后，在命令交换机的RADIUS模块中进行网络地址转换等处理，然后，发认证请求报文给RADIUS服务器，其中包括要进行认证的报文、标识、MD5-质询值以及MD5密码。

4)RADIUS服务器收到命令交换机发来的认证报文，通过验证后，给命令交换机发认证回应报文，其中包括认证成功的授权信息或认证失败信息。该命令交换机在这里作为RADIUS服务器的RADIUS客户端。

5)命令交换机收到RADIUS服务器发来的认证回应报文后，在其RADIUS模块中进行识别和转换，确定应该发送给哪个成员交换机后，即将认证成功或失败消息发给该目的成员交换机，其中可包括授权信息。

6)目的成员交换机收到命令交换机转发来的认证回应报文后，通过RADIUS模块送到802.1X协议控制模块，把EAPoL报文发给802.1X客户端，其中包含成功或失败信息。同时，将端口状态设为已授权(Authorized)。

至此，一个完整的基于集群管理的802.1X认证过程就结束了。该过程分别将802.1X设备端设为命令交换机和成员交换机，并将该集群中的命令交换机作为802.1X代理，完成802.1X客户端到802.1X认证服务器之间的认证操作。

802.1X认证过程结束后，802.1X客户端就开始正常的通信过程，在整个通信过程中，成员交换机、命令交换机和RADIUS服务器还要完成计费操作，其过程与现有技术基本相同，只是在802.1X设备端与RADIUS服务器之间增加了一层802.1X代理。其实现过程如图5所示：

1)要计费的802.1X设备端，即成员交换机向802.1X代理，即命令交换机发出计费开始报文，命令交换机收到该计费请求报文后，在RADIUS模块中进行网络地址转换等处理后，发给RADIUS服务器。

2)RADIUS服务器收到命令交换机发来的计费请求报文后，给命令交换机发计费开始回应报文。该命令交换机在这里作为RADIUS服务器的RADIUS客户端。

3)命令交换机收到RADIUS服务器发来的计费请求回应报文后，在RADIUS模块中进行识别和转换处理，确定应该发给哪个成员交换机后，发送给该目的成员交换机。

4)对应的目的成员交换机收到命令交换机转过来的计费请求回应报文后，间隔一段时间，向命令交换机发出中间计费报文，命令交换机收到该计费请求报文后，在RADIUS模块中进行网络地址转换等处理，发给RADIUS服务器。

5)RADIUS服务器收到命令交换机来的中间计费报文后，给命令交换机发中间计费回应报文。该命令交换机在这里作为RADIUS服务器的RADIUS客户端。

6)间隔一定的时间段后，重复步骤10)和11)。

当802.1X客户端用户下线时，802.1X通信过程包括以下步骤：

1)802.1X客户端向与之连接的成员交换机发出下线报文EAPoL-Logoff，该成员交换机收到802.1X客户端发来的EAPoL-Logoff下线报文后，向命令交换机发出计费停止报文。

2)命令交换机收到成员交换机发来的计费停止请求报文后，在RADIUS模块中进行处理，发给RADIUS服务器；RADIUS服务器收到命令交换机发来的计费停止报文后，给命令交换机发计费停止回应报文。

3)命令交换机收到RADIUS服务器发来的计费停止回应报文后，在RADIUS模块中进行识别和转换处理，确定应该发给哪个成员交换机后，发给该目的成员交换机。

4)对应的目的成员交换机收到命令交换机转过来的计费停止回应报文后，通过802.1X协议控制，将该端口的状态设为非授权(Unauthorized)。

总之，以上所述仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。

Claims

1、一种基于集群管理的802.1X通信实现方法，802.1X客户端通过802.1X设备端与802.1X认证服务器进行通信，其特征在于：预先将一个以上802.1X设备端划分为一个集群，设定集群中的一个802.1X设备端为该集群的命令交换机，其余802.1X设备端均为成员交换机；当802.1X客户端与802.1X认证服务器进行通信时，802.1X客户端先将报文发送到与之连接的成员交换机上，该成员交换机再将信息通过命令交换机发送给802.1X认证服务器；802.1X认证服务器处理后的返回消息同样经由命令交换机、目的802.1X客户端连接的成员交换机发送给目的802.1X客户端。

2、根据权利要求1所述的实现方法，其特征在于：所述802.1X客户端与802.1X认证服务器之间的通信进一步包括802.1X认证，该认证过程至少包括：

3、根据权利要求2所述的实现方法，其特征在于步骤a1进一步包括：

802.1X客户端先发送启动消息给与之连接的成员交换机，该成员交换机收到后向802.1X客户端发送带标识的请求消息，802.1X客户端回应响应消息；成员交换机收到后再向802.1X客户端发送带加密质询值的请求消息，802.1X客户端回应响应消息；该成员交换机对802.1X客户端鉴权后，向命令交换机发送认证请求报文，其中包括要进行认证的报文、标识、MD5-质询值以及MD5密码。

4、根据权利要求2所述的实现方法，其特征在于：认证成功后，该方法进一步包括设定当前端口状态为已授权状态。