CN1501658A

CN1501658A - 一种基于802.1x协议的客户端认证方法

Info

Publication number: CN1501658A
Application number: CNA021501823A
Authority: CN
Inventors: 涛金; 金涛
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2002-11-15
Filing date: 2002-11-15
Publication date: 2004-06-02
Anticipated expiration: 2022-11-15
Also published as: CN1235382C

Abstract

本发明公开了一种基于802.1X协议的客户端认证方法，该方法根据网络接入设备能透传的报文，在802.1X设备端设置允许作为触发802.1X协议认证的触发报文，当客户端开始网络接入时，使用上述触发报文触发802.1X设备端对客户端的认证，在用户网络在线过程中，802.1X设备端根据触发条件完成对用户的周期性或非周期性再认证；上述方案可以有效解决配置静态地址用户及其他用户无法使用EAPoL－Start报文进行认证和网络接入设备不支持802.1X协议或无法透传EAPoL－Start报文而导致的对用户无法认证问题，能够在任何组网条件下满足用户通过802.1X认证的需求。

Description

一种基于802.1X协议的客户端认证方法

技术领域

本发明涉及网络接入中的客户端认证方法，尤其是涉及基于802.1X协议认证的方法。

背景技术

目前在局域网中广泛使用的IEEE 802.1X协议是一种基于端口的网络访问控制协议，用于在网络设备的物理接入级对接入客户端进行认证和控制。802.1X协议的体系结构参考图1，共有三个实体：802.1X客户端、802.1X设备端、认证端。在802.1X设备端和认证端的认证服务器之间采用可扩展的认证协议(EAP)交换认证信息。EAPoL是802.1X客户端和802.1X设备端间的认证协议。通常，在网络的接入层设备需要实现802.1X的设备端部分；802.1X的客户端安装在用户PC中；802.1X的认证服务器系统一般驻留在运营商的AAA(计费、认证和授权)中心。在802.1X设备端内部有受控端口(Controlled Port)和非受控端口(Uncontrolled Port)。非受控端口始终处于双向连通状态，主要用来传递EAPoL协议帧，可保证随时接收和发送EAPoL协议帧。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、单向受控两种方式，以适应不同的应用环境。在上述体系结构下，连接在以太网交换或宽带接入设备的端口上的用户设备如果能通过认证，就可以访问网络内的资源；如果不能通过认证，则无法访问网络内的资源。目前，基于图1所示体系结构的802.1X设备端，按照802.1X标准的规定，使用收到的用户侧发起的EAPoL开始认证(EAPoL-Start)报文触发802.1X认证。

但是目前网络上的一些位于802.1X客户端和802.1X设备端之间的交换机不支持802.1X协议，无法透传802.1X客户端发来的802.1X开始报文EAPoL-Start，因此也就无法触发802.1X的认证，造成了802.1X广泛应用的一个严重障碍。为解决上述问题，同时考虑到网络中部分用户使用动态主机配置协议(DHCP)动态获取地址，因此目前部分802.1X设备端使用DHCP报文触发对802.1X客户端认证。即使如此，目前网络中许多使用合法静态地址的用户仍然无法使用DHCP协议触发802.1X设备端对这些用户进行认证。可见，在802.1X体系结构下，其应用仍然受到一些限制。

发明内容

本发明的目的在于提供一种有利于802.1X协议广泛应用的基于802.1X协议的客户端认证方法，使用该方法能够使802.1X设备端完成对使用静态地址的用户的认证。

为达到上述目的，本发明提供的一种基于802.1X协议的客户端认证方法，包括：

步骤1：根据网络接入设备能透传的报文，在802.1X设备端设置允许作为触发802.1X协议认证的触发报文；

步骤2：当客户端开始网络接入时，使用上述触发报文触发802.1X设备端对客户端的认证。

所述方法还包括：在步骤1设置触发报文触发802.1X协议认证的条件，在用户网络在线过程中，802.1X设备端根据该条件完成对用户的周期性或非周期性认证。

所述步骤2进一步包括：

客户端向网络接入设备发出触发报文，网络接入设备将上述触发报文透传到802.1X设备端，802.1X设备端接收到上述触发报文，将该报文转化为802.1X协议规定的开始认证报文(EAPoL-Start)触发802.1X协议的认证过程。

所述步骤2也可以进一步包括下述内容：802.1X设备端向客户端发送触发请求报文，客户端收到上述请求报文以触发报文作为应答，网络接入设备将上述应答的触发报文透传到802.1X设备端，802.1X设备端接收到上述触发报文，将该报文转化为802.1X协议规定的EAPoL-Start报文触发802.1X协议的认证过程。

在802.1X设备端内设置是否允许触发报文触发802.1X协议认证的开关，当触发报文为非802.1X协议规定的开始认证报文(EAPoL-Start)时，打开该开关，否则关闭该开关。

由于本发明根据网络接入设备能透传的报文在802.1X设备端设置允许作为触发802.1X协议认证的触发报文，这样，就可以在客户端开始网络接入时，使用上述触发报文触发802.1X设备端对客户端的认证；由于触发报文是网络接入设备能够透传的报文，只要客户端支持该报文的使用，无论该报文是什么性质或是什么协议的报文，都可以触发802.1X设备端实现对用户的认证，这样有效地解决了配置静态地址用户无法使用EAPoL-Start报文进行认证的问题，也解决了网络接入设备不支持802.1X协议或无法透传EAPoL-Start报文而导致的对用户无法认证问题，因此，本发明能够在任何组网条件下满足用户通过802.1X认证的需求，有利于802.1X协议的广泛应用。

附图说明

图1是802.1X协议的体系结构图；

图2是本发明所述方法的第一个实施例流程图；

图3是本发明所述方法的第二个实施例流程图。

具体实施方式

下面结合附图对本发明作进一步详细的描述。

首先参考图1，按照802.1X协议规定，802.1X设备端内部有受控端口(Controlled Port)和非受控端口(Uncontrolled Port)。非受控端口始终处于双向连通状态，主要用来传递EAPoL协议帧，可保证随时接收和发送EAPOL协议帧。受控端口只有在认证通过的状态下才打开，用于传递网络资源和服务。受控端口可配置为双向受控、单向受控两种方式，以适应不同的应用环境。在图1所示的体系中，如果网络接入设备不能透传EAPoL-Start报文，或者用户不能通过802.1X客户端发送EAPoL-Start报文都将无法导致对该用户的认证。事实上，在有些情况下，比如配置用户受控端口为单向受控方式，802.1X设备或者各种其他服务器、主机等会主动向用户主机发送一些报文，而用户主机也会相应地反馈一些报文。另外，如果用户主机通过802.1X客户端向网络接入服务器发送报文，只要该网络接入服务器能够透传该报文，就可以将该报文传送到802.1X设备端，由此触发802.1X协议对用户的认证。

因此，本发明首先根据网络接入设备支持的通信协议确定其能透传的报文，然后在802.1X设备端设置允许作为触发802.1X协议认证的触发报文。例如，网络接入设备支持DHCP协议、ARP协议和简单网络管理协议(SNMP)，就可以在802.1X设备端设置允许上述协议的报文作为触发802.1X协议认证的触发报文，这样，当用户主机向网络接入设备发送上述报文时，就会透传到802.1X设备端，如果上述报文触发802.1X设备端对客户端的认证成功，就可以将802.1X设备端的受控端口设置为单向受控或双向受控方式。

实际中，即使网络接入设备支持802.1X协议，考虑到有些用户的主机，如使用静态网络地址的主机，不能使用EAPoL-Start报文触发802.1X协议的认证，但它有可能发送其它协议的网络报文；而且还有使用动态网络地址的主机，必然要使用类似DHCP协议的报文获取IP地址，因此，上述触发报文的设置是必要的。因为通过上述设置后，当客户端开始网络接入时，就可以使用上述设置完毕的任一个触发报文触发802.1X设备端对客户端的认证。通过上述设置，客户端可以不局限于802.1X客户端，可以是任何支持触发报文的客户端。

需要指出的是，上述设置是灵活的，例如，根据实际组网，针对配置静态地址的用户，仅在802.1X设备端选择允许ARP报文作为802.1X认证触发报文。为使实际的设置更灵活，可以在802.1X设备端内设置是否允许触发报文触发802.1X协议认证的开关，通过对开关的控制，实现根据需要设置触发报文的要求，例如当触发报文为非802.1X协议规定的开始认证报文(EAPoL-Start)时，打开该开关，否则关闭该开关。当然，开关可以针对所有的触发报文设置总开关，也可以根据单一的触发报文分别设置开关，这样可以根据具体的网络环境更灵活地选择所采用的触发报文，使802.1X设备端的资源得到有效地利用。例如，假设客户端为802.1X客户端，当位于802.1X设备端和802.1X客户端之间的网络接入设备无法透传EAPoL-Start报文时，但该网络接入设备支持包括ARP协议的报文，则在802.1X设备端开启允许ARP报文作为802.1X认证触发报文的开关；当位于802.1X设备端和802.1X客户端之间的网络设备能够透传EAPoL-Start报文时，在802.1X设备端关闭允许ARP报文作为802.1X认证触发报文的开关，以减轻802.1X设备端的负荷。

再例如，当使用美国Microsoft公司的WINDOWS XP操作系统提供的实现了基于IEEE 802.1X-2001协议的客户端软件直接或者间接和802.1X设备端交互时，因为该客户端不会发出EAPoL-Start报文，只会发出ARP报文，所以必须在802.1X设备端上开启允许ARP报文作为802.1X认证触发报文的开关，才能触发802.1X认证。

上面提到的是在用户通过客户端的网络接入过程中实现触发认证的，事实上，通过上述方式也可以实现在用户网络在线过程中的认证，为完成这个任务，在初始设置时，设置触发报文触发802.1X协议认证的条件，这样就可以在用户网络在线过程中，802.1X设备端根据该条件完成对用户的周期性或非周期性认证。例如，设置触发报文间隔为500秒，当802.1X设备端超过500秒没有收到用户的触发报文时，自动触发对用户的802.1X协议认证。当然，这500秒也可以是这样的时间，使用触发报文间隔超过500秒的第一个触发报文作为对用户进行802.1X协议认证的周期触发的报文，等等。

在具体认证操作时，首先客户端向网络接入设备发出触发报文，发该触发报文的目的可能并不在于用户需要认证，但网络接入设备将上述触发报文透传到802.1X设备端，802.1X设备端接收到上述触发报文，将该报文转化为802.1X协议规定的开始认证报文(EAPoL-Start)触发802.1X协议的认证过程。

具体认证操作过程也可以是这样的：802.1X设备端向客户端发送触发请求报文，客户端收到上述请求报文以触发报文作为应答，网络接入设备将上述应答的触发报文透传到802.1X设备端，802.1X设备端接收到上述触发报文，将该报文转化为802.1X协议规定的EAPoL-Start报文触发802.1X协议的认证过程。

在上述两个过程中，客户端和802.1X设备端谁先发送报文引发对用户的802.1X协议的认证过程，完全根据用户的需要设置。因此，所述触发报文也可以根据网络接入设备的特点自由设置，只要触发报文能被透传到802.1X设备端即可。

由于在当前各种的主流操作系统运行时，所有操作系统在发送IP网络报文时，都会发送ARP请求来获取目的用户IP地址对应的MAC地址。利用这个特性，就使用客户端发起的ARP请求报文触发802.1X认证过程。下面以触发报文为ARP报文，认证加密算法以EAP-MD5(MD5，一种数据编码算法)为例(但不限于EAP-MD5，同样适用于所有802.1X认证协议中使用的其他认证方式)对上述两个认证过程进行描述。

第一个认证过程参考图2，在用户开机后，通过客户端在步骤1发出ARP请求报文，该报文被网络接入设备透传到802.1X设备端，由于预先已经设置ARP请求报文为触发802.1X协议认证过程的触发报文，所以，802.1X设备端在步骤2收到客户端发来的ARP请求报文，将该报文转化为EAPoL-Start报文，触发802.1X协议认证过程。802.1X设备端在收到转化的EAPoL-Start报文后，在步骤3向客户端发出EAP认证请求用户标识(EAPoL-Request[Identity])报文，请求用户名。客户端收到802.1X设备端发来的EAPoL-Request[Identity]报文后，在步骤4将用户名通过EAP认证返回用户标识(EAPoL-Response[Identity])报文发给802.1X设备端。802.1X设备端在收到客户端来的EAPoL-Response[Identity]报文后，在步骤5向客户端发出EAP认证请求质询码(EAPoL-Request[MD5 Challenge])报文，向客户端进行MD5(一种加密算法)质询。客户端收到802.1X设备端发来的EAPoL-Request[MD5 Challenge]报文后，在步骤6将加密过的密码通过EAP认证返回质询码(EAPoL-Response[MD5])报文发给802.1X设备端。802.1X设备端将用户名和密码通过Radius报文发送给远端认证服务器进行认证，或者在网络接入设备上进行本地认证。若认证成功，在步骤7将用户认证通过信息通过EAP认证成功(EAPoL-Success)报文发送给客户端。在以后的用户网络在线过程中，当满足触发条件时，在步骤8再次触发802.1X设备端对客户端用户的认证。

如果802.1X设备主动向用户主机发送ARP请求报文，按照ARP过程，用户主机会返回ARP应答报文。因此，当802.1X设备端开启允许ARP报文作为802.1X认证触发报文时，可以约定当接受到用户主机返回的ARP应答报文时触发802.1X认证过程。

第二个认证过程参考图3。在用户开机后，首先802.1X设备端在步骤11向客户端的用户发送ARP请求报文，用户通过客户端在步骤12发出ARP应答报文，该报文被网络接入设备透传到802.1X设备端，由于预先已经设置ARP请求报文为触发802.1X协议认证过程的触发报文，所以，802.1X设备端在步骤13收到客户端发来的ARP应答报文，将该报文转化为EAPoL-Start报文，触发802.1X协议认证过程。802.1X设备端在收到转化后的EAPoL-Start报文后，在步骤14向客户端发出EAPoL-Request[Identity]报文，请求用户名。客户端收到802.1X设备端发来的EAPoL-Request[Identity]报文后，在步骤15将用户名通过EAPoL-Response[Identity]报文发给802.1X设备端。802.1X设备端在收到客户端来的EAPoL-Response[Identity]报文后，在步骤16向客户端发出EAPoL-Request[MD5 Challenge]报文，向客户端进行MD5质询。客户端收到802.1X设备端发来的EAPoL-Request[MD5 Challenge]报文后，在步骤17将加密过的密码通过EAPoL-Response[MD5]报文发给802.1X设备端。802.1X设备端将用户名和密码通过Radius报文发送给远端认证服务器进行认证，或者在网络接入设备上进行本地认证。最后在步骤8向客户端发送对用户的认证结果。

总之，除了802.1X协议规定的EAPoL-Start触发802.1X认证过程，考虑到动态获取地址用户、配置静态地址用户的802.1X认证，也可以分别采取对应的必然存在的DHCP和ARP协议报文作为触发报文，从而提供各种用户、各种网络环境下进行802.1X认证的方案。还需要指出的是，触发报文可以采用自定义报文，也可以采用目前常用的其他报文，如网间控制报文协议(ICMP)报文，在以太网上运行的点对点协议(PPPoE)报文、逆向地址解析协议(RARP)报文，还有就是用户上网使用的超文本传输协议(HTTP)报文、文件传输协议(FTP)报文等数据报文，从而当设备端收到特定的某种报文，或者其它任意控制、数据报文，都可以作为触发报文，触发802.1X协议的认证过程。

Claims

1、一种基于802.1X协议的客户端认证方法，包括：

2、根据权利要求1所述的基于802.1X协议的客户端认证方法，其特征在于，所述方法还包括：在步骤1设置触发报文触发802.1X协议认证的条件，在用户网络在线过程中，802.1X设备端根据该条件完成对用户的周期性或非周期性认证。

3、根据权利要求1或2所述的基于802.1X协议的客户端认证方法，其特征在于，所述步骤2进一步包括：

4、根据权利要求1或2所述的基于802.1X协议的客户端认证方法，其特征在于，所述步骤2进一步包括：802.1X设备端向客户端发送触发请求报文，客户端收到上述请求报文以触发报文作为应答，网络接入设备将上述应答的触发报文透传到802.1X设备端，802.1X设备端接收到上述触发报文，将该报文转化为802.1X协议规定的EAPoL-Start报文触发802.1X协议的认证过程。

5、根据权利要求3所述的基于802.1X协议的客户端认证方法，其特征在于，在802.1X设备端内设置是否允许触发报文触发802.1X协议认证的开关，当触发报文为非802.1X协议规定的开始认证报文(EAPoL-Start)时，打开该开关，否则关闭该开关。

6、根据权利要求4所述的基于802.1X协议的客户端认证方法，其特征在于，在802.1X设备端内设置是否允许触发报文触发802.1X协议认证的开关，当触发报文为非802.1X协议规定的开始认证报文(EAPoL-Start)时，打开该开关，否则关闭该开关。

7、根据权利要求5所述的基于802.1X协议的客户端认证方法，其特征在于，所述触发报文为地址解析协议(ARP)报文或动态主机配置协议(DHCP)报文。

8、根据权利要求6所述的基于802.1X协议的客户端认证方法，其特征在于，所述触发报文为地址解析协议(ARP)报文或动态主机配置协议(DHCP)报文。