WO2006063511A1

WO2006063511A1 - Procede permettant de realiser une authentification synchrone parmi differents dispositifs de commande d'authentification

Info

Publication number: WO2006063511A1
Application number: PCT/CN2005/002165
Authority: WO
Inventors: Tao Jin
Original assignee: Huawei Technologies Co., Ltd.
Priority date: 2004-12-13
Filing date: 2005-12-13
Publication date: 2006-06-22
Also published as: US8336082B2; EP1755271A1; EP1755271A4; US20070234038A1; ATE399408T1; DE602005007737D1; CN100583759C; CN1790985A; EP1755271B1

Description

实现不同认证控制设备间同步认证的方法技术领域本发明涉及网络认证技术领域 , 尤其涉及一种实现不同认证控制设备间同步认证的方法。

背景技术在现有的通信网络中，存在着大量的运营商、 ISP (网络接入服务提供商），以及 ICP (因特网内容提供者）等不同的服务提供商，各服务提供商之间既可以各自独立，也可以相互协作为接入用户提供各种服务，并进行各自独立的，或者是相互协作的认证、计费处理。

在其相互之间进行合作时，相应的合作模式也多种多样，其中，较为典型的合作模式是通过 AAA (认证、授权、计费）系统间交换用户认证、计费信息实现运营合作。

所述的 AAA系统的组网结构如图 1所示，当用户通过接入设备接入网络时，由认证控制设备负责携带接入用户的身份信息，并向 AAA服务器发起针对所述接入用户的接入认证处理。通常采用的用户认证手段很多，如 PPPoE (以太网承载点到点协议）认证、 WEB (环球网）认证和 802.1X 认证等。

目前，不同服务提供商间所采用的一种合作模式的組网结构如图 2所示，以采用 PPPoE接入认证为例，图 2所示组网中具体的接入用户的认证处理流程如图 3所示，包括以下过程：

步骤 31：用户终端向认证控制设备（即 PPPOE服务器 )设备发送一个 PADI报文，即 PPPoE激活发现初始报文，开始 PPPoE接入；

步骤 32: 认证控制设备（PPPOE服务器）向用户终端发送 PAD〇报文，即 PPPoE激活发现提供报文；

步骤 33: 用户终端才艮据回应，发起 PADR请求（ PPPoE激活发现请求报文）给认证控制设备（PPPOE服务器）；

步骤 34: 认证控制设备（PPPOE服务器）产生一个 session id (会话标识），通过 PADS ( PPPoE激活发现会话报文）发给用户终端；步骤 35: 用户终端和认证控制设备（PPPOE月艮务器）之间进行 PPP 的 LCP (链路控制协议）协商，建立链路层通信；同时，协商使用 CHAP (盾询握手验证协议）认证方式；认证用户终端，提供一个 128bit的 Challenge (挑战码）；

步骤 37: 用户终端收到 Challenge报文后，将密码和 Challenge报文做

MD5算法加密后，在 Response报文（即回应报文）中将其发送给认证控制设备 ( PPPOE服务器）；

步骤 38 : 认证控制设备（ PPPOE服务器）将 Challenge报文、 Challenge-Password和用户名一起送到服务提供商 A的 RADIUS (远程用户拨号认证服务）用户认证服务器进行认证；

步骤 39: 服务提供商 A的 RADIUS用户认证服务器根据用户名识别是一个服务提供商 B的用户，那么就将此认证报文转发到服务提供商 B的

RADIUS用户认证服务器进行真正的认证；请求 Access-Request消息；

步骤 310:服务提供商 B的 RADIUS用户认证服务器根据用户信息判断用户是否合法，然后回应认证成功 /失败报文到服务提供商 A的 RADIUS用户认证服务器；

即服务提供商 B的认证服务器向服务提供端 A的认证服务器发送接入 i午可妻入巨绝消息 Access-Accept/Access-Reject;

步骤 31 1：服务提供商 A的 RADIUS用户认证服务器将认证成功 /失败报文转发到认证控制设备（PPPOE服务器）；如果成功，携带协商参数' 以及用户的相关业务属性给用户授权，当获得用户授权后，认证控制设备 ( PPPoE服务器）就可以对该用户的网络进行各种控制和管理；如果认证失败，则流程到此结束。

步骤 312 : 认证控制设备（ PPPOE服务器 ) 将认证结果（即

Success/Failure, 成功 /失败）返回给用户终端，如果认证成功，则继续执行步骤 313, 否则，过程结束；步骤 313用户进行 NCP (网络控制协议 )协商，如 IPCP ( IP控制协议 ) 协议等，通过认证控制设备（ PPPOE服务器）获取到规划的 IP地址等参数；

步骤 314: 认证如果成功，认证控制设备（PPPOE服务器）发起计费开始请求给服务提供商 A的 RADIUS用户计费服务器；

所述的认证控制设备向服务提供商 A可以发送计费 /开始 /停止消息，即 Accounting-Response/Start > Stop消息；

步骤 315:服务提供商 A的 RADIUS用户计费服务器发现用户是漫游用户，其服务提供商为服务提供商 B, 那么就将此计费报文转发到服务提供商 B的 RADIUS用户计费服务器进行真正的计费；

步骤 316:服务提供商 B的 RADIUS用户计费服务器回应计费开始应答报文给服务提供商 A的 RADIUS用户计费服务器；

步骤 317:服务提供商 A的 RADIUS用户计费服务器将回应的计费开始应答报文转发给认证控制设备（PPPoE服务器）。

此时，接入用户通过认证，并且获得了合法的权限，可以正常开展网络业务。

当用户希望终止网络业务的时候，同样也可以通过 PPPoE断开网络连接，具体可以按照步骤 314至步骤 317中传送的报文格式发送计费终止报文，从而实现计费终止的操作处理。

可以看出，经过上述处理，服务提供商 A和服务提供商 B之间便实现了认证、计费信息的互通。但是，由于认证、计费的核心设备（即认证控制设备）在服务提供商 A网络中，同时 AAA信息也是从服务提供商 A的 AAA 服务器转发到服务提供商 B的 AAA服务器，因此，实际上用户的控制权完全控制在服务提供商八。因此，服务提供商 A如果调整认证控制设备和 AAA 服务器参数，将极可能使得服务提供商 B蒙受损失。为避免上述因服务提供商间地位的不平等导致受控服务提供商可能蒙受损失的情况出现。目前，每个服务提供商需要设置并应用自己的认证控制设备。相应的组网结构如图 4所示，仍以采用 PPPoE接入认证方式为例，对图 4中接入用户的认证处理流程结合图 5进行说明，相应的处理流程包括：

步骤 51至步骤 58与图 3所示的步骤 31至步骤 38的处理过程相同，此处不再详述；

步骤 59: 服务提供商 A的 RADIUS用户认证服务器根据用户信息判断用户是否合法，然后，执行步骤 510，向认证控制设备回应认证成功 /失败报文；

如果成功，携带协商参数，以及用户的相关业务属性给用户授权，并执行步驟 511 ; 当获得用户授权后，认证控制设备（PPPoE服务器）（认证控制设备）就可以对该用户的网络进行各种控制和管理；如果认证失败，则流程到此结束。

步骤 511 :用户进行 NCP (如 IPCP )协商，通过认证控制设备（PPPOE 服务器）获取到规划的 IP地址等参数；

步骤 512: 认证如果成功，认证控制设备（PPPOE服务器）发起计费开始请求给服务提供商 A的 RADIUS用户计费服务器；

步骤 513:服务提供商 A的 RADIUS用户计费服务器回应计费开始应答报文给认证控制设备 ( PPPoE服务器 ) 。

此时，用户已经通过认证，并且获得了合法的权限，可以正常开展网络业务。但是，由于没有获得服务提供商 B的授权，因此，只能访问服务提供商 A的网络。这样，当用户希望访问服务提供商 B以及外网时，用户需要到服务提供商 B再次进行认证。即客户终端向服务提供商 B的认证控制设备发起二次认证请求，目前通常釆用 WEB认证方式进行认证。具体认证处理过程仍如图 5所示，具体包括：

步驟 514: 服务提供商 B的认证控制设备将用户信息送到服务提供商 B 的 RADIUS用户认证服务器进行认证；

步骤 515:服务提供商 B的 RADIUS用户认证服务器根据用户信息判断用户是否合法，然后执行步骤 516,向服务提供商 B的认证控制设备回应认证成功 /失败报文到服务提供商 B的认证控制设备；

如果成功，携带协商参数，以及用户的相关业务属性给用户授权；当获得用户授权后，服务提供商 B的认证控制设备就可以对该用户的网络进行各种控制和管理；如果认证失败，则流程到此结束。

步骤 517: 服务提供商 B的认证控制设备将认证结果返回给用户终端，如果认证成功，则继续执行步驟 518;

步骤 518：服务提供商 B的认证控制设备发起计费开始请求给服务提供商 B的 RADIUS用户计费服务器；

步骤 519:服务提供商 B的 RADIUS用户计费服务器回应计费开始应答报文给服务提供商 B的认证控制设备。

此时，用户已经通过认证，并且获得了服务提供商 B网络 /夕卜网的合法权限，可以正常开展网络业务。即用户通过两次认证，便可以访问服务提供商 A、服务提供商 B和外网了。

在该方案中，如果有多个服务提供商，则用户就要进行多次认证以逐层获取权限。即针对每个服务提供商均需要用户登录一次，使得用户的操作处理过程较为烦琐。而且，每个服务提供商都各自独立维护自己的运营信息，导致服务提供商运营成本大幅提高。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种实现不同认证控制设备间同步认证的方法，简化了用户接入网络的登录认证过程 , 并可以保证各服务提供商对接入用户的可靠控制管理。

本发明的目的是通过以下技术方案实现的：

本发明所述的一种实现不同认证控制设备间同步认证的方法，包括：

A、用户接入网络，并通过从认证控制设备发起认证；

B、主认证控制设备从认证控制设备获取用户的认证信息，并发送给主认证控制设备的主认证服务器；

C、主认证服务器根据所述用户的认证信息对其进行认证处理。

所述的从认证控制设备控制接入的网络为通过主认证控制设备控制接入的网络接入外网。

所述的步骤 B包括：

主认证控制设备主动侦听并获取从认证控制设备发来的承载有认证信息的报文，将所述报文直接或重新组包转发给主认证服务器。所述的步骤 B包括：

从认证控制设备将用户的认证信息主动发送给主认证控制设备，主认证控制设备将所述的认证信息直接或重新组包转发给主认证服务器。

所述的主认证服务器中保存着主、从认证控制设备控制接入的用户的认证信息。

所述的实现不同认证控制设备间同步认证的方法还包括：

将所述的从认证控制设备控制接入的用户的认证信息保存于从认证服务器中。

所述的步骤 C包括：

C1、主认证服务器收到所述用户的认证信息后，在主认证服务器上对所述用户进行认证处理，并判断所述用户的认证信息是否保存于从认证服务器中，如果是，则执行步骤 C2，否则，不作处理；

C2、将所述用户的认证信息发送给从认证服务器，从认证服务器根据所述认证信息对该用户进行认证处理。

所述的实现不同认证控制设备间同步认证的方法还包括：

D、主认证服务器从主认证控制设备获取计费信息，并根据所述的计费信息对接入用户进行计费。

所述的步骤 D还包括：

从认证控制设备将计费信息通过主认证控制设备发送给主认证服务器，主认证服务器根据所述计费信息进行计费。

所述的步骤 D还包括：

主认证服务器还将所述计费信息发送给从认证服务器，从认证服务器根据所述的计费信息进行计费。

由上述本发明提供的技术方案可以看出，本发明在多个服务提供商互联的网絡中，接入用户只需要登录一次，便可以获得多个服务提供商的网络权限，为用户接入网络提供了较大的方便。

而且，本发明可以保证各服务提供商有效地控制和管理接入的用户，从而有效保护服务提供商的利益。

另外，本发明的实现还使得每个服务提供商只在系统安装时需要配置一次，以后无需为认证控制设备和 AAA服务器等提供额外的维护，对单个用户所有服务提供商只需维护一次即可，即用户信息只需要建立、修改、删除以及各种维护操作一次，而无需如现有技术提供的方案中描述的那样，每个服务提供商分别需要维护操作一次。

附图说明图 1为设置有 AAA服务器的网络組网结构图；

图 2为现有技术中用户向多服务提供商发起认证的网络结构图一；图 3为图 2所示网络的认证处理流程图；

图 4为现有技术中用户向多服务提供商发起认证的网络结构图二；图 5为图 4所示网络的认证处理流程图；

图 6为本发明中用户向多服务提供商发起认证的网络结构图；图 7为图 6所示网络的认证处理流程图。

具体实施方式本发明的核心是在互相协作的服务提供商下的用户接入网络时，基于所述接入用户的身份信息同时向各个服务提供商的认证控制设备发起认证处理过程。从而使得在网络中实现互相协作的不同的服务提供商的用户可以一次性完成基于不同服务提供商的接入认证处理过程，并可以充分保证各个服务提供商的运营利益。

本发明所述的方法中，每个服务提供商各自设置有相互独立的认证控制设备，如图 6所示，且所述的认证控制设备均可以对应设置自己的 AAA 服务器。本发明中是将直接与外网相连的网络中的认证控制设备称为主认证控制设备，如图 6中的服务提供商 B的认证控制设备，将通过该直接与外网相连的网络与外网相连的其他网络中的认证控制设备称为从认证控制设备，如图 6中的服务提供商 A的认证控制设备；

本发明中各主、从认证控制设备接入的用户的认证信息均保存于主认证控制设备对应的主认证服务器中，所述的主认证服务器如图 6中的服务提供商 B的 AAA (鉴权、认证、计费）服务器及相应的 RDIUS用户认证服所述的从认证服务器如图 6中的服务提供商 A的 AAA服务器及相应的 RDIUS用户认证服务器。

以图 6所示的组网结构为例 ,本发明所述的方法的具体实现方式如图 7 所示，包括以下步骤：

步骤 71：用户终端向服务提供商 A的认证控制设备（即 PPPOE服务器）设备发送一个 PADI报文，开始 PPPoE接入；

步驟 72: 所述认证控制设备收到所述的 PADI报文后，向用户终端发送 PADO报文；

步驟 73: 用户终端根据认证控制设备回应的 PADO报文，向认证控制设备发送 PADR请求；

步骤 74: 所述认证控制设备产生一个 session id (会话标识），并通过 PADS报文发给用户终端；

步骤 75: 用户终端和认证控制设备之间进行 PPP的 LCP协商，建立链路层通信，同时，协商使用 CHAP认证方式；

步驟 76: 认证控制设备通过 Challenge报文发送给认证用户终端，提供一个 128bit的 Challenge;

步骤 77: 用户终端收到 Challenge报文后，将密码和 Challenge做 MD5 算法后获得相应的认证信息，并在 Response回应报文中发送给服务提供商 A的认证控制设备；

步驟 71到步骤 76的用户接入处理过程与现有技术中的相应处理过程完全相同。

步骤 78 : 服务提供商 A的认证控制设备收到所述认证信息后，将 Challenge, Challenge-Password和用户名等用户身份信息（即认证信息）一起发送到服务提供商 B的认证控制设备，即主认证控制设备；

步骤 79: 服务提供商 B的认证控制设备将用户身份信息发送到服务提供商 B的 RADIUS用户认证服务器进行认证，所述的服务提供商 B的 RADIUS用户认证服务器和相应的 AAA服务器称为主认证服务器；

如果用户身份信息存储在服务提供商 B的 AAA服务器上，则服务提供商 B的 RADIUS用户认证服务器根据用户身份信息判断该用户是否合法，并执行步骤 712,如果所述的用户身份信息保存于服务提供商 A的 AAA服务器器上上，，则则执执行行步步骤骤 771100。。

步步骤骤 77ΊΊ 00::服服务务提提供供商商 BB的的 RRAADDIIUUSS用用户户认认证证服服务务器器将将用用户户信信息息转转发发到到服服务务提提供供商商 AA的的 RRAADDIIUUSS用用户户认认证证服服务务器器；；

步步骤骤 7711 11有有：：服服务务提提供供商商 AA的的 RRAADDIIUUSS用用户户认认证证服服务务器器根根据据用用户户信信息息判判断断用用户户是是否否合合法法，，然然后后回回应应认认证证成成功功 //失失败败报报文文；；

如如果果成成功功，，携携带带协协商商参参数数，，以以及及用用户户的的相相关关业业务务属属性性给给用用户户授授权权；；步步骤骤 771122::

报文;

如果是步骤 79跳到本步骤，则服务提供商 B的 RADIUS用户认证服务器根据用户信息判断用户是否合法，然后回应认证成功 /失败报文；如果成功，携带协商参数，以及用户的相关业务属性给用户授权；

如果是步骤 71 1跳到本步骤，则服务提供商 B的 RADIUS用户认证服务器将服务提供商 A的 RADIUS用户认证服务器发送过来的报文转发到服务提供商 B的认证控制设备，如果服务提供商 B的 RADIUS服务器有用户信息，则直接认证返回结果。；

步骤 713: 服务提供商 B的认证控制设备收到认证成功 /失败报文后，如果成功获得用户授权 , 则可以对服务提供商 B的网絡进行各种控制和管理，同时将报文转发到服务提供商 A的认证控制设备；例如认证成功并且授权，服务提供商 B的认证控制设备就可以对进入 B网络的用户、流量进行管理，而如果认证失败，则此用户无法通过 B的认证控制设备进入 B网络。

步驟 714: 服务提供商 A的认证控制设备收到所述报文后，如果成功获得用户授权，则可以对服务提供商 A的网络进行各种控制和管理，同时，

用户终端收到所述的报文后，如果认证失败，则流程到此结束，否则，继续执行步骤 715。

步骤 715: 用户进行 NCP (如 IPCP )协商，通过服务提供商 A的认证控制设备获取到规划的 IP地址等参数；

步骤 716: NCP协商成功，服务提供商 A的认证控制设备发起计费开始请求给服务提供商 B的认证控制设备，即向所述认证控制设备发送计费信息；

步骤 717: 月良务提供商 B的认证控制设备将请求转发给服务提供商 B的 RADIUS用户计费服务器；

如果服务提供商 A不需要计费信息，则直接执行步驟 720，否则，执行步骤 718;

步驟 718:服务提供商 B的 RADIUS用户计费服务器将请求转发到服务提供商 A的 RADIUS用户计费服务器；

步骤 719:服务提供商 A的 RADIUS用户计费服务器回应计费开始应答报文给服务提供商 B的 RADIUS用户计费服务器；

步骤 720: 如果从步骤 717跳到本步骤，则服务提供商 B的 RADIUS用户计费服务器回应计费将应答报文给服务提供商 B的认证控制设备；

如果是步驟 719跳到本步驟，则将收到的应答报文转发到服务提供商 B的认证控制设备。

步骤 721：服务提供商 B的认证控制设备将应答报文转发到服务提供商 A的认证控制设备；

此时，用户通过认证，并且获得了服务提供商 A和服务提供商 B及外网的合法的接入权限，并可以正常开展网络业务。

本发明中，当用户希望终止网络业务的时候，同样也可以通过 PPPoE 服务器（认证控制设备）断开网络连接，此时，将按照步骤 716至步驟 721 中的报文格式发送相应的计费终止报文，从而停止相应的计费过程。

在计费过程中，本发明还可以采用服务提供商 A的认证控制设备不提供计费信息，而仅由服务提供商 B的认证控制设备提供计费信息的处理方式进行计费处理，即省略图 7中的步骤 716和步骤 721。如果仅由服务提供商 B进行计费，而 A对此信任，则只要计费一次即可；只有在不信任的情况下，才需要服务提供商 A和 B都进行计费，然后进行计费对帐。

本发明不仅适用于 PPPoE, 对于其他所有的认证方式均适用。所述的 AAA协议除了可以使用 RADIUS以外，还包括但不限于 DIAMETER (—种新的 AAA协议 )、 TACACS ( Terminal Access Control ler Acces s Control Sys tem, 终端访问控制设备访问控制系统，一种 AAA协议）等。由于服务提供商 B的认证控制设备需要和服务提供商 A的认证控制设备同步认证、计费信息，因此，服务提供商 B的认证控制设备必须获取服务提供商 A的认证控制设备的认证信息。

目前可以采用的获取方式有两种，一种是承载有认证信息的数据报文侦听的方式，另一种是将主认证控制设备设置为从认证控制设备的代理服务器的方式。下面将分别对两种方式进行说明：

( 1 )数据报文侦听的方式：在该方式中，要求服务提供商 A的认证控制设备发起的认证请求报文（比如 RADIUS请求报文）必须经过服务提供商 B的认证控制设备，这样，服务提供商 B的认证控制设备就可以进行所有数据报文的侦听，当然，也可以通过配置侦听指定的报文或者指定的 AAA服务器的报文；对于侦听到的报文通常是先存储，然后转发；也可以根据需要重新组包后转发；

( 2 )主认证控制设备作为代理服务器：服务提供商 A的认证控制设备将服务提供商 B的认证控制设备当作一个 RADIUS Server ( RADIUS服务器），所有的报文直接发送到服务提供商 B的认证控制设备的 RADIUS端口上，月良务提供商 B的认证控制设备按照标准的 RADIUS Proxy ( RADIUS代理）功能接收、修改、发送认证报文；通常 RADIUS代理需要重新组包后转发，也可以将接收到的报文存储，然后直接转发。

由于服务提供商 B的认证控制设备和服务提供商 A的认证控制设备同步了认证、计费信息，所有用户认证、授权信息都在所有认证控制设备上保存，因此，本发明可以使得用户只需要输入一次用户名、密码就可以获得多个服务提供商的合法网络权限。

本发明在实际使用中，也可以将其延伸到多个服务提供商之间互连，实现多个认证控制设备间的同步认证。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求书的保护范围为准。

Claims

权利要求

1、一种实现不同认证控制设备间同步认证的方法，其特征在于，包括：

A、用户接入网络，并通过从认证控制设备发起认证；

C、主认证服务器根据所述用户的认证信息对其进行认证处理。其特征在于，所述的从认证控制设备控制接入的网络为通过主认证控制设备控制接入的网络接入外网。

3、根据权利要求 1或 2所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的步驟 B包括：

主认证控制设备主动侦听并获取从认证控制设备发来的承载有认证信息的报文 , 将所述报文直接或重新组包转发给主认证服务器。

4、根据权利要求 1或 2所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的步驟 B包括：

5、根据权利要求 1所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的主认证服务器中保存着主、从认证控制设备控制接入的用户的认证信息。

6、根据权利要求 5所述的实现不同认证控制设备间同步认证的方法，其特征在于，该方法还包括：

7、根据权利要求 1、 2、 5或 6所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的步驟 C包括：

C1、主认证服务器收到所述用户的认证信息后，在主认证服务器上对所述用户进行认证处理，并判断所述用户的认证信息是否保存于从认证服务器中，如果是，则执行步骤 C2, 否则，不作处理；

8、根据权利要求 1、 2、 5或 6所述的实现不同认证控制设备间同步认证的方法，其特征在于，该方法还包括：

9、根据权利要求 8所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的步驟 D还包括：

10、根据权利要求 8所述的实现不同认证控制设备间同步认证的方法，其特征在于，所述的步骤 D还包括：