WO2011063562A1 - 用户拨号认证方法、系统和设备 - Google Patents

用户拨号认证方法、系统和设备 Download PDF

Info

Publication number
WO2011063562A1
WO2011063562A1 PCT/CN2009/075143 CN2009075143W WO2011063562A1 WO 2011063562 A1 WO2011063562 A1 WO 2011063562A1 CN 2009075143 W CN2009075143 W CN 2009075143W WO 2011063562 A1 WO2011063562 A1 WO 2011063562A1
Authority
WO
WIPO (PCT)
Prior art keywords
user
authentication
authenticated
access
server
Prior art date
Application number
PCT/CN2009/075143
Other languages
English (en)
French (fr)
Inventor
李鹏
陈明映
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to PCT/CN2009/075143 priority Critical patent/WO2011063562A1/zh
Priority to CN200980155435.0A priority patent/CN102257790B/zh
Publication of WO2011063562A1 publication Critical patent/WO2011063562A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a user dialing authentication method and authentication system, and a user dialing authentication server.
  • a traditional authentication server such as a Remote Authentication Dial In User Service server authenticates the user account information (such as a username/password) provided by the user, and the authentication is passed. After that, users can access the Internet.
  • the authentication server generally performs the authentication according to the account information of the legitimate user that is pre-configured in the internal user to prevent the illegal user from stealing the user's username and password.
  • the binding table of the physical port information matches the user account information and physical port information provided by the user requesting authentication. If the two are consistent, the authentication passes; otherwise, the authentication fails.
  • the user information binding table including user account information and physical port information needs to be maintained in the authentication server.
  • the prior art usually establishes and transmits binding information between the user account and the physical port during the construction process.
  • the operator needs to create a correspondence table between the user address information and the physical port information of the device during the construction of the engineering wiring; when the user opens the broadband Internet access, the operator will assign the account information to the user, and find the address information according to the registered address of the user.
  • Corresponding device physical port information, and binding and configuring the account information and physical port information to the authentication server can authenticate the user according to the internal user information binding table.
  • the embodiments of the present invention provide a user dialing authentication method and an authentication system that can solve the above problems, and a user dialing authentication server.
  • the user dialing authentication method provided by the embodiment of the present invention includes: receiving an access request message provided by an access server, where the access request message carries account information and physical port information of a user to be authenticated; The account information in the access request message is used to determine whether the user to be authenticated is the first time to request authentication. When the user to be authenticated is the first time to request authentication, the account information and the physical port information of the user to be authenticated are bound to The internal binding table is authenticated and passed; otherwise, the user to be authenticated is authenticated according to the binding table.
  • the user dialing authentication system includes: an access server and an authentication server; wherein the access server is configured to provide an access request message carrying account information and physical port information of the user to be authenticated
  • the authentication server is configured to determine, according to the account information in the access request message, whether the user to be authenticated is the first time to request authentication, and when the user to be authenticated requests authentication for the first time, The account information and the physical port information of the user to be authenticated are bound to the internal binding table, and the authentication is passed. Otherwise, the user to be authenticated is authenticated according to the binding table.
  • the authentication server includes: a receiving module, configured to receive an access request packet provided by the access server, where the access request packet carries account information and physical port information of the user to be authenticated; a determining module, configured to determine, according to the account information in the access request message, whether the user to be authenticated is the first request for authentication, and the authentication module, configured to: when the user to be authenticated requests authentication for the first time
  • the account information and the physical port information of the authenticated user are bound to the internal binding table, and the authentication is passed, and the user to be authenticated is authenticated according to the binding table when the user to be authenticated is not the first to request authentication.
  • the authentication server trusts the user who dials the first time as a legitimate user when dialing the user for the first time, and establishes a binding table according to the account and the physical port information of the user. Reduce manual intervention, simplify processes, and reduce the probability of errors when establishing binding tables and user authentication.
  • FIG. 1 is a schematic structural diagram of a user dialing authentication system according to an embodiment of the present invention.
  • FIG. 2 is a schematic flowchart of a user dialing authentication method according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of signaling of a user performing dial-up Internet access in a user dialing authentication method according to an embodiment of the present disclosure
  • FIG. 4 is a schematic structural diagram of a user dialing authentication server according to an embodiment of the present invention.
  • the embodiment of the present invention first provides a user dialing authentication method.
  • the authentication server receives an access request message provided by the access server, where the access request message carries account information and physical port information of the user to be authenticated; secondly, the The authentication server determines, according to the account information in the access request message, whether the user to be authenticated is the first request for authentication, and when the user to be authenticated is the first request for authentication, the authentication request message is used in the access request message.
  • the account information and the physical port information are extracted, and the account information and the physical port information are bound to the internal binding table; otherwise, the user to be authenticated is authenticated according to the binding table.
  • the authentication server determines that the authentication of the user to be authenticated is passed, and returns the indication to the access server.
  • the access packet to be authenticated by the authenticated user is accepted.
  • the authentication server may first determine whether the user name and password in the account information of the user to be authenticated match, and perform the subsequent process when the user name and password match. .
  • the physical port information of the user to be authenticated is provided by the access device and added by the access server to the access request message.
  • the authentication server trusts the first dial-up user to be a legitimate user when dialing the first time, and establishes a binding table according to the user's account and physical port information. Reduce manual intervention, simplify processes, and reduce the probability of errors when establishing binding tables and user authentication.
  • the system 100 includes a user equipment 110, an access device 120, an access server 130, and an authentication server 140.
  • the user equipment 110 is connected to the access server 130 through the access device 120, and the access server 130 is further connected to the authentication server 140.
  • the access device 120 may be a digital subscriber line access multiplexer (DSLLAM) or an optical line terminal (OLT);
  • the access server 130 may be Broadband Access Server (BAS);
  • the authentication server 140 may be a Radius server.
  • the user dialing authentication method includes:
  • step S0 the user applies for opening the Internet service and obtains the user account information.
  • the user can apply to open the dial-up Internet service to the operator's business hall, and register user-related information, such as an address.
  • the operator After accepting the application of the user, the operator directly provides the account information, and the account information may include the user name and the corresponding password unique to the user.
  • the user may change the user password according to personal preference.
  • step S1 the user dials to request the authentication server 140 to authenticate the access request.
  • the dial-up Internet service is enabled, when the user wants to perform the Internet access service, the user can dial the corresponding user equipment 110 according to the user name and password assigned thereto, and request the authentication server 140 to access the legality of the access. Certification.
  • the steps of the user performing dial-up Internet access may be as follows:
  • the user initiates a session request message by using its corresponding user equipment 110.
  • the access device 120 receives the session request packet, and determines the physical port information of the user according to the port that receives the session request packet. Further, the access device may further The physical port information of the user is added to the session request message and sent to the access server 130.
  • the access server 130 After receiving the session request packet carrying the physical port information of the user, the access server 130 extracts the physical port information of the user and saves it locally.
  • the access server 130 returns a session request acknowledgement message to the user equipment 110.
  • the session request confirmation message is sent to the user equipment 110 through the access device 120.
  • the user equipment 110 After receiving the session request confirmation message, the user equipment 110 generates an authentication request message carrying the account information (including the user name and password) of the user, and sends the authentication request message to the device through the access device 120.
  • the access server 130 is described.
  • the access server 130 After receiving the authentication request packet carrying the user account information, the access server 130 adds the physical port information of the local user to the authentication request packet to generate the User corresponding access request message. Thus, the access request message carries the user at the same time. Account information and physical port information.
  • the access server 130 further provides the access request message to the authentication server 140.
  • the user through the access device 120 and the access server 130, requests the authentication server 140 to authenticate its access legitimacy.
  • the user dialing authentication method proceeds to step S2.
  • Step S2 The authentication server 140 determines whether the user name and password of the user match.
  • the authentication server 140 After receiving the access request message, the authentication server 140 extracts account information (including a username and password) and physical port information of the user that is requested to be authenticated, and determines Whether the username and password match.
  • account information including a username and password
  • physical port information of the user including a username and password
  • step S3 If the user name and password of the user match, step S3 is performed; otherwise, step S7 is performed, and the authentication fails.
  • Step S3 The authentication server 140 determines whether the user requests authentication for the first time.
  • the authentication server 140 can determine whether it is the first dialing according to the account information of the user. Specifically, the authentication server 140 can maintain at least one user information binding table with user account information and physical port information.
  • the binding table may be as shown in Table 1 below, and includes a plurality of entries, wherein each entry corresponds to account information and physical port information of a user who has been authenticated by the authentication server 140.
  • step S3 specifically, the authentication server 140 may perform a lookup in the binding table of the internal account information and the physical port information to determine whether the binding table has the corresponding account information. Entry. If the corresponding entry is not found, indicating that the user requests authentication for the first time, step S4 is performed; if the corresponding entry is found, indicating that the authentication is not requested for the first time, step S5 is performed.
  • Step S4 the authentication server 140 creates a table corresponding to the user in its internal binding table.
  • the authentication server 140 may directly trust the user as a legitimate user, and User account information and physical port information are added to the binding table, thereby creating in the binding table An entry corresponding to the user indicates that the user has passed the authentication of the authentication server 140. Further, after the entry for the user is created, the user dialing authentication method proceeds to step S6, and the authentication is passed.
  • Step S5 The authentication server 140 authenticates the user according to its internal binding table.
  • the authentication server 140 determines the access request report according to the entry corresponding to the user that is found in the binding table. Whether the physical port information carried in the text matches the physical port information in the entry. If they match, the user dialing authentication method goes to step S6, and the authentication passes; otherwise, the process goes to step S7, and the authentication fails.
  • step S6 when it is determined that the user authentication is passed, the authentication server 140 may return an access request message indicating that the user authentication passes to the access server 130. Further, the access server 130 may convert the accepted access message into a corresponding authentication pass message, and provide the user equipment 110 to the user equipment 110 by using the access device 120 to notify the user that they have already Certification passed. At this time, the user dials the Internet successfully, and the user can perform the Internet access through the user equipment 110 to perform data transmission in the network, as shown in FIG. 3 (308-310).
  • the authentication server 140 when performing user dial-up authentication, the authentication server 140 always trusts that the first dial-up user is a legitimate user. Although the probability of malicious user hacking occurs in the first time dialing is extremely low, in order to further ensure the security of the network, the embodiment of the present invention further provides a protection mechanism for the first dialing hacking.
  • the account information of the legitimate user is bound to the physical port address of the illegal user in the authentication server 140.
  • the legitimate user will not be authenticated by the authentication server 140, which can perform the obstacle processing.
  • the maintenance personnel of the operator can learn the cause of the fault according to the fault information provided by the legal user, and further modify the binding in the authentication server 140. The table thus solves the problem of the first dial-up being stolen.
  • the authentication server 140 always trusts the first dialed user as a legitimate user when dialing the first time, and according to the account information of the user.
  • the physical port information establishes a binding table, and then the binding table can be directly used to authenticate the dialed user, and no manual intervention is required in the whole process. Therefore, the embodiment of the present invention can reduce manual intervention, simplify the process, and reduce the probability of error when establishing the binding table and user authentication.
  • the embodiment of the present invention further provides a user dialing authentication system, and the user dialing authentication system may adopt the network architecture shown in FIG. 2.
  • the user dialing authentication system may include an access server and an authentication server;
  • the access server is configured to provide an access request message carrying the account information and the physical port information of the user to be authenticated to the authentication server;
  • the authentication server is configured to determine, according to the account information in the access request message, whether the user to be authenticated is the first request for authentication, and the access request report is sent when the user to be authenticated requests authentication for the first time.
  • the account information and the physical port information are extracted, and the account information and the physical port information are bound to the internal binding table. Otherwise, the user to be authenticated is authenticated according to the binding table.
  • the user dialing authentication system may further include:
  • the access device is configured to provide the physical port information of the user to be authenticated to the access server, so that the access server adds the physical port information to the access request message.
  • the authentication server is further configured to: after binding the account information and the physical port information of the user requesting the first authentication to the internal binding table, returning to the access server, indicating that the authentication of the user to be authenticated is passed. Accept the access message.
  • an embodiment of the present invention further provides an authentication server.
  • the authentication server 400 includes a receiving module 401, a determining module 402, an authentication module 403, and a binding table 404.
  • the receiving module 401 is configured to receive an access request message provided by the access server, where the access request message carries account information and physical port information of the user to be authenticated;
  • the determining module 402 is configured to determine, according to the account information in the access request message, whether the to-be-authenticated user is the first request for authentication;
  • the authentication module 403 is configured to use the access request when the user to be authenticated requests authentication for the first time. Extracting the account information and the physical port information in the message, and binding the account information and the physical port information to the internal binding table 404, and according to the binding table when the user to be authenticated is not the first to request authentication. 404 authenticates the user to be authenticated.
  • the binding table 404 is configured to record account information and physical port information of the authenticated user.
  • the binding table 404 may include multiple entries, each of which corresponds to one authenticated user, and includes the authenticated user provided by the authentication module 403. Account information and physical port information.
  • the authentication module is further configured to: after binding the account information and the physical port information of the user requesting the first authentication to the internal binding table, returning to the access server, indicating that the authentication of the user to be authenticated is accepted. Access packets.
  • a number of instructions are included to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform the methods described in various embodiments of the present invention or portions of the embodiments.
  • a computer device which may be a personal computer, server, or network device, etc.
  • the scope of the present invention is not limited thereto, and any person skilled in the art can easily think of changes or within the technical scope of the present disclosure.
  • Alternatives are intended to be covered by the scope of the present invention. Therefore, the scope of protection of the present invention should be determined by the scope of protection of the claims.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Telephonic Communication Services (AREA)

Description

用户拨号认证方法、 系统和设备 技术领域 本发明主要涉及通信技术领域， 特别地， 涉及一种用户拨号的认证方法和认证 系统， 以及一种用户拨号认证服务器。 背景技术 当用户进行宽带拨号上网时， 传统的认证服务器如远程认证用户拨号 (Remote Authentication Dial In User Service) 服务器根据该用户提供的用户账号信息（比如用 户名 /密码)对其进行认证， 认证通过后， 用户便可访问因特网 (Internet)。
为防止非法用户恶意盗取用户的用户名和密码而对合法用户以及运营商造成 的损失， 在现有技术中， 认证服务器在进行认证时通常是根据预先配置在其内部的 包含合法用户的账号信息和物理端口信息的绑定表对请求认证的用户提供的用户 账号信息和物理端口信息进行匹配核对， 如果二者相一致， 则认证通过； 否则， 认 证失败。
通过以上介绍可以看出， 为实现用户拨号认证， 在现有技术中需要在认证服务 器中维护该包含用户账号信息和物理端口信息的用户信息绑定表。 为使该认证服务 器获取该绑定表， 现有技术通常是通过在工程施工过程中建立并传递用户账号与物 理端口的绑定信息。 具体而言， 运营商在进行工程布线施工时需要制作用户住址信 息与设备物理端口信息的对应表； 当用户开通宽带上网时， 运营商将为该用户分配 账号信息， 根据用户登记的住址信息找到对应的设备物理端口信息， 并将该账户信 息和物理端口信息绑定并配置到认证服务器。 由此， 当用户进行拨号上网时， 认证 服务器便可根据其内部的用户信息绑定表对对该用户进行认证。
不过， 现有技术中， 为实现将用户的账号信息和物理端口信息绑定在认证服务 器中， 需要在工程施工和用户报装等各个阶段进行人工干预， 且流程比较复杂， 因 此容易出错。 发明内容
有鉴于此， 本发明实施例提供一种能解决以上问题的用户拨号认证方法和认证 系统， 以及一种用户拨号认证服务器。 本发明实施例提供的用户拨号认证方法， 其包括： 接收由接入服务器提供的接 入请求报文， 其中所述接入请求报文携带有待认证用户的账号信息和物理端口信 息； 根据所述接入请求报文中的账号信息， 判断所述待认证用户是否为首次请求认 证； 当所述待认证用户为首次请求认证时， 将所述待认证用户的账号信息和物理端 口信息绑定在内部绑定表， 并认证通过； 否则， 根据所述绑定表对所述待认证用户 进行认证。
本发明实施例提供的用户拨号认证系统， 其包括： 接入服务器和认证服务器； 其中， 所述接入服务器， 用于将携带有待认证用户的账号信息和物理端口信息的接 入请求报文提供给所述认证服务器； 所述认证服务器， 用于根据所述接入请求报文 中的账号信息， 判断所述待认证用户是否为首次请求认证， 当所述待认证用户为首 次请求认证时将所述待认证用户的账号信息和物理端口信息绑定在内部绑定表， 并 认证通过， 否则根据所述绑定表对所述待认证用户进行认证。
本发明实施例提供的认证服务器， 其包括： 接收模块， 用于接收由接入服务器 提供的接入请求报文， 其中所述接入请求报文携带有待认证用户的账号信息和物理 端口信息； 判断模块， 用于根据所述接入请求报文中的账号信息， 判断所述待认证 用户是否为首次请求认证； 认证模块， 用于在所述待认证用户为首次请求认证时将 所述待认证用户的账号信息和物理端口信息绑定在内部绑定表， 并认证通过， 而在 所述待认证用户不是首次请求认证时根据所述绑定表对所述待认证用户进行认证。
本发明实施例提供的用户拨号认证方法、 系统和设备中， 认证服务器在用户首 次拨号时信任该首次拨号的用户为合法用户， 并根据该用户的账号和物理端口信息 建立绑定表， 由此实现在建立绑定表和用户认证时减少人工干预、 简化流程， 降低 出错概率。 附图说明 此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部分， 并 不构成对本发明的限定。 在附图中：
图 1为本发明实施例提供的用户拨号认证系统的结构示意图；
图 2为本发明一种实施例提供的用户拨号认证方法的流程示意图；
图 3为本发明一种实施例提供的用户拨号认证方法中用户进行拨号上网的信令 示意图； 图 4为本发明一种实施例提供的用户拨号认证服务器的结构示意图。 具体实施方式 为使本发明的目的、技术方案和优点更加清楚明白， 下面结合实施方式和附图， 对本发明做进一步详细说明。 在此， 本发明的示意性实施方式及其说明用于解释本 发明， 但并不作为对本发明的限定。
为解决现有技术存在的问题， 本发明实施例首先提供一种用户拨号认证方法。 在所述用户拨号认证方法中， 首先， 认证服务器接收由接入服务器提供的接入请求 报文，其中所述接入请求报文携带有待认证用户的账号信息和物理端口信息；其次， 所述认证服务器根据所述接入请求报文中的账号信息， 判断所述待认证用户是否为 首次请求认证； 并且， 当所述待认证用户为首次请求认证时， 从所述接入请求报文 中提取所述账号信息和物理端口信息， 并将所述账号信息和物理端口信息绑定在内 部绑定表； 否则， 根据所述绑定表对所述待认证用户进行认证。
进一步地， 在将首次请求认证的用户的账号信息和物理端口信息绑定在内部绑 定表之后， 所述认证服务器判断所述待认证用户认证通过， 并向所述接入服务器返 回表示所述待认证用户认证通过的接受接入报文。 另外， 在判断所述待认证用户是 否为首次请求认证之前， 所述认证服务器可先判断所述待认证用户的账号信息中的 用户名和密码是否匹配， 并在用户名和密码匹配时才执行后续流程。 进一步地， 所 述待认证用户的物理端口信息是由接入设备提供并由所述接入服务器添加到所述 接入请求报文。
通过本实施例提供的用户拨号认证方法可以看出， 认证服务器在用户首次拨号 时信任该首次拨号的用户为合法用户， 并根据该用户的账号和物理端口信息建立绑 定表， 由此实现在建立绑定表和用户认证时减少人工干预、 简化流程， 降低出错概 率。
为便于更好地理解以上所述用户拨号认证方法， 以下结合图 1所示的网络系统 架构和图 2所示的流程图， 对本发明实施例提供的用户拨号认证方法进行详细说明。
请参阅图 1， 本发明实施例提供的用户拨号认证方法可应用于如图 1所示的网络 系统。该系统 100包括用户设备 110、接入设备 120、接入服务器 130和认证服务器 140。 其中， 所述用户设备 110通过所述接入设备 120连接到所述接入服务器 130， 并且， 所述接入服务器 130还进一步连接至所述认证服务器 140。 在一种实施例中， 所述接入设备 120可以为数字用户线接入复用器 (DSL Access Multiplexer, DSLAM)或者光线路终端 (Optical Line Terminal, OLT) ; 所述接入服务器 130可以为宽带接入服务器 (Broadband Access Server, BAS) ; 所述认证服务器 140可 以为 Radius服务器。
请一并参阅图 2， 其为本发明一种实施例提供的用户拨号认证方法的流程示意 图。 所述用户拨号认证方法包括：
步骤 S0， 用户申请开通上网业务， 并获得用户账号信息。
具体而言， 用户可到运营商的营业厅提出开通拨号上网业务的申请， 并登记用 户相关信息， 比如地址等。 运营商接受该用户的申请后， 直接为其提供账号信息， 所述账号信息可以包括专属于所述用户的用户名和对应密码， 当然， 用户可以根据 个人喜好更改所述用户密码。
步骤 Sl， 所述用户进行拨号， 以请求认证服务器 140对其接入请求进行认证。 在开通拨号上网业务之后， 当所述用户希望进行上网业务时， 其便可根据其分 配到的用户名和密码， 通过对应用户设备 110进行拨号， 以请求认证服务器 140对其 进行接入合法性的认证。
请参阅图 3， 所述用户进行拨号上网的步骤可具体如下：
301， 所述用户通过其对应的用户设备 110发起会话请求报文。
302, 接入设备 120接收所述会话请求报文， 并根据其接收到所述会话请求报文 的端口， 判断出所述用户的物理端口信息； 进一步地， 所述接入设备可进一步将所 述用户的物理端口信息添加到所述会话请求报文， 并发送给接入服务器 130。
303， 所述接入服务器 130接收到所述携带有用户物理端口信息的会话请求报文 之后， 从其中提取出所述用户的物理端口信息， 并在本地进行保存。
304， 所述接入服务器 130向所述用户设备 110返回会话请求确认报文。 所述会 话请求确认报文通过所述接入设备 120， 发送至所述用户设备 110。
305， 所述用户设备 110接收到所述会话请求确认报文之后， 生成携带有所述用 户的账号信息 (包括用户名和密码)的认证请求报文， 并通过所述接入设备 120发送到 所述接入服务器 130。
306， 所述接入服务器 130接收到所述携带有用户账号信息的认证请求报文之 后， 将存储在本地的所述用户的物理端口信息添加到所述认证请求报文， 以生成与 所述用户相对应的接入请求报文。 由此， 所述接入请求报文同时携带有所述用户的 账号信息和物理端口信息。
307， 所述接入服务器 130进一步将所述接入请求报文提供给所述认证服务器 140。 由此， 所述用户便实现通过所述接入设备 120和接入服务器 130， 向所述认证 服务器 140请求对其接入合法性进行认证。
请一并参阅图 2和图 3， 在接收到所述接入服务器 130提供的接入请求报文之后， 所述用户拨号认证方法进入步骤 S2。
步骤 S2， 所述认证服务器 140判断所述用户的用户名和密码是否匹配。
具体而言， 在接收到所述接入请求报文之后， 所述认证服务器 140从其中提取 出其携带的所述请求认证的用户的账号信息 (包括用户名和密码)和物理端口信息， 并且判断所述用户名和密码是否匹配。
如果所述用户的用户名和密码相匹配， 执行步骤 S3 ; 否则， 执行步骤 S7， 认证 不通过。
步骤 S3， 所述认证服务器 140判断所述用户是否为首次请求认证。
所述认证服务器 140可根据所述用户的账号信息， 判断其是否为首次拨号。 具 体而言， 所述认证服务器 140内部可维护有至少一具有用户账号信息和物理端口信 息的用户信息绑定表。 所述绑定表可如以下表 1所示， 其包括多个表项， 其中每个 表项分别对应于一个已经通过所述认证服务器 140认证的用户的账号信息和物理端 口信息。
Figure imgf000007_0001
表 1
在步骤 S3中， 具体地， 所述认证服务器 140可以在其内部的账号信息和物理端 口信息的绑定表中进行查找， 以判断所述绑定表中是否具有与所述账号信息相对应 的表项。 如果没有找到对应表项， 表示所述用户为首次请求认证， 则执行步骤 S4; 如果找到对应表项， 表示所述并非首次请求认证， 则执行步骤 S5。
步骤 S4， 所述认证服务器 140在其内部绑定表中创建一条对应于所述用户的表 项。
在本实施例中， 在判断出所述用户为首次拨号的情况下， 由于用户首次拨号即 被盗号的几率极低， 所述认证服务器 140可直接信任所述用户为合法用户， 并将所 述用户的账号信息和物理端口信息添加到所述绑定表中， 从而在所述绑定表中创建 一条对应于所述用户的表项， 以表示所述用户已经通过所述认证服务器 140的认证。 进一步地，在创建完关于所述用户的表项之后，所述用户拨号认证方法转至步骤 S6， 认证通过。
步骤 S5， 所述认证服务器 140根据其内部绑定表对所述用户进行认证。
具体而言， 在判断出所述用户不是首次拨号的情况下， 所述认证服务器 140根 据其从所述绑定表中查找到的与所述用户对应的表项， 判断所述接入请求报文中承 载的物理端口信息是否与所述表项中的物理端口信息相匹配。 如果相匹配， 所述用 户拨号认证方法转至步骤 S6， 认证通过； 否则， 转至步骤 S7， 认证不通过。
另外， 在步骤 S6中， 在判断出所述用户认证通过时， 所述认证服务器 140可向 所述接入服务器 130返回用于表示所述用户认证通过的接受接入报文。 进一步地， 所述接入服务器 130可将所述接受接入报文转换为对应的认证通过报文， 并通过所 述接入设备 120提供给所述用户设备 110， 以通知所述用户其已经认证通过。 此时便 代表所述用户拨号上网成功， 所述用户便可通过所述用户设备 110进行上网业务， 在网络中进行数据传输， 如图 3所示 (308-310)。
通过以上描述可以看出， 本发明实施例在进行用户拨号认证时， 所述认证服务 器 140总是信任首次拨号的用户为合法用户。 虽然在首次拨号发生非法用户恶意盗 号的概率极低， 但是为了进一步保证网络的安全性， 本发明实施例还进一步提供一 种首次拨号被盗号的防护机制。
具体而言， 当发生首次拨号即被盗号时， 合法用户的账号信息将与非法用户的 物理端口地址绑定在所述认证服务器 140中。 在这种情况下， 合法用户将无法通过 所述认证服务器 140的认证， 其可进行报障处理。 在接收到所述合法用户的报障之 后， 运营商的维护人员可根据所述合法用户提供的故障信息， 通过对应设备的调试 信息获知故障原因， 并进一步修改所述认证服务器 140中的绑定表， 从而解决以上 首次拨号被盗号的问题。
通过以上描述可以看出， 在本发明实施例提供的用户拨号认证方法中， 所述认 证服务器 140在用户首次拨号时总是信任该首次拨号的用户为合法用户， 并根据该 用户的账号信息和物理端口信息建立绑定表， 此后便可直接利用所述绑定表对拨号 的用户进行认证， 整个过程中基本不需要进行人工干预。 由此， 本发明实施例便可 实现在建立绑定表和用户认证时尽可能减少人工干预、 简化流程， 降低出错概率。
另外， 应当理解的是， 虽然在出现首次拨号即被盗号的情况下仍会出现需要维 护人员根据故障信息修改所述认证服务器 140的情况， 不过， 由于首次拨号即被盗 号的几率非常低， 因此相较于现有技术， 从总体上讲本发明实施例提供的用户拨号 认证方法在建立绑定表和用户认证时仍可大大减少人工干预、 降低出错概率。 基于以上实施例提供的用户拨号认证方法， 本发明实施例还进一步提供一种用 户拨号认证系统， 所述用户拨号认证系统可采用图 2所示的网络架构。
具体地， 本发明实施例提供的用户拨号认证系统可包括接入服务器和认证服务 器；
其中， 所述接入服务器， 用于将携带有待认证用户的账号信息和物理端口信息 的接入请求报文提供给所述认证服务器；
所述认证服务器， 用于根据所述接入请求报文中的账号信息， 判断所述待认证 用户是否为首次请求认证， 当所述待认证用户为首次请求认证时从所述接入请求报 文中提取所述账号信息和物理端口信息， 并将所述账号信息和物理端口信息绑定在 内部绑定表， 否则根据所述绑定表对所述待认证用户进行认证。
进一步地， 所述用户拨号认证系统还可以包括：
接入设备， 用于将所述待认证用户的物理端口信息提供给所述接入服务器， 以 使所述接入服务器将所述物理端口信息添加到所述接入请求报文。
进一步地， 所述认证服务器还用于在将首次请求认证的用户的账号信息和物理 端口信息绑定在内部绑定表之后， 还可以向所述接入服务器返回表示所述待认证用 户认证通过的接受接入报文。
通过以上说明可以看出， 本发明实施例提供的用户拨号认证系统同样可实现在 建立绑定表和用户认证时减少人工干预、 简化流程， 降低出错概率。 基于以上实施例提供的用户拨号认证方法和系统， 本发明实施例还提供一种认 证服务器。 请参阅图 4， 所述认证服务器 400包括接收模块 401、 判断模块 402、 认证 模块 403和绑定表 404。
所述接收模块 401， 用于接收由接入服务器提供的接入请求报文， 其中所述接 入请求报文携带有待认证用户的账号信息和物理端口信息；
所述判断模块 402， 用于根据所述接入请求报文中的账号信息， 判断所述待认 证用户是否为首次请求认证；
所述认证模块 403， 用于在所述待认证用户为首次请求认证时从所述接入请求 报文中提取所述账号信息和物理端口信息， 并将所述账号信息和物理端口信息绑定 在内部绑定表 404， 而在所述待认证用户不是首次请求认证时根据所述绑定表 404对 所述待认证用户进行认证。
所述绑定表 404， 用于记录通过认证的用户的账号信息和物理端口信息。
在具体实施例中， 所述绑定表 404可包括多个表项， 每个表项分别对应于一个 通过认证的用户， 且其包括由所述认证模块 403提供的所述通过认证的用户的账号 信息和物理端口信息。
进一步地， 所述认证模块还用于在将首次请求认证的用户的账号信息和物理端 口信息绑定在内部绑定表之后， 向所述接入服务器返回表示所述待认证用户认证通 过的接受接入报文。 通过以上的实施方式的描述， 本领域的技术人员可以清楚地了解到本发明可借 助软件加必需的硬件平台的方式来实现， 当然也可以全部通过硬件来实施。 基于这 样的理解， 本发明的技术方案对背景技术做出贡献的全部或者部分可以以软件产品 的形式体现出来， 该计算机软件产品可以存储在存储介质中， 如 ROM/RAM、 磁碟、 光盘等， 包括若干指令用以使得一台计算机设备 （可以是个人计算机， 服务器， 或 者网络设备等） 执行本发明各个实施例或者实施例的某些部分所述的方法。 以上所述， 仅为本发明较佳的具体实施方式， 但本发明的保护范围并不局限于 此， 任何熟悉本技术领域的技术人员在本发明披露的技术范围内， 可轻易想到的变 化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范围应该以权 利要求的保护范围为准。

Claims

权利要求
1、 一种用户拨号认证方法， 其特征在于， 包括：
接收由接入服务器提供的接入请求报文， 其中所述接入请求报文携带有待认证 用户的账号信息和物理端口信息；
根据所述接入请求报文中的账号信息， 判断所述待认证用户是否为首次请求认 证；
当所述待认证用户为首次请求认证时， 将所述待认证用户的账号信息和物理端 口信息绑定在内部绑定表， 并认证通过； 否则， 根据所述绑定表对所述待认证用户 进行认证。
2、 如权利要求 1所述的用户拨号认证方法， 其特征在于， 还包括： 在将首次请 求认证的用户的账号信息和物理端口信息绑定在内部绑定表之后， 向所述接入服务 器返回表示所述待认证用户认证通过的接受接入报文。
3、 如权利要求 1所述的用户拨号认证方法， 其特征在于， 所述待认证用户的物 理端口信息是由接入设备提供并由所述接入服务器添加到所述接入请求报文。
4、 如权利要求 1至 3中任一项所述的用户拨号认证方法， 其特征在于， 还包括： 在判断所述待认证用户是否为首次请求认证之前， 判断所述待认证用户的账号信息 中的用户名和密码是否匹配。
5、 一种用户拨号认证系统， 其特征在于， 包括接入服务器和认证服务器； 其中， 所述接入服务器， 用于将携带有待认证用户的账号信息和物理端口信息 的接入请求报文提供给所述认证服务器；
所述认证服务器， 用于根据所述接入请求报文中的账号信息， 判断所述待认证 用户是否为首次请求认证， 当所述待认证用户为首次请求认证时， 将所述待认证用 户的账号信息和物理端口信息绑定在内部绑定表， 并认证通过， 否则根据所述绑定 表对所述待认证用户进行认证。
6、 如权利要求 5所述的用户拨号认证系统， 其特征在于， 还包括：
接入设备， 用于将所述待认证用户的物理端口信息提供给所述接入服务器， 以 使所述接入服务器将所述物理端口信息添加到所述接入请求报文。
7、 如权利要求 5或 6所述的用户拨号认证系统， 其特征在于， 所述认证服务器 还用于在将首次请求认证的用户的账号信息和物理端口信息绑定在内部绑定表之 后， 向所述接入服务器返回表示所述待认证用户认证通过的接受接入报文。
8、 一种认证服务器， 其特征在于， 包括：
接收模块， 用于接收由接入服务器提供的接入请求报文， 其中所述接入请求报 文携带有待认证用户的账号信息和物理端口信息；
判断模块， 用于根据所述接入请求报文中的账号信息， 判断所述待认证用户是 否为首次请求认证；
认证模块， 用于在所述待认证用户为首次请求认证时将所述待认证用户的账号 信息和物理端口信息绑定在内部绑定表， 并认证通过， 而在所述待认证用户不是首 次请求认证时根据所述绑定表对所述待认证用户进行认证。
9、 如权利要求 8所述的认证服务器， 其特征在于， 所述认证模块还用于在将首 次请求认证的用户的账号信息和物理端口信息绑定在内部绑定表之后， 向所述接入 服务器返回表示所述待认证用户认证通过的接受接入报文。
10、 如权利要求 8或 9所述的认证服务器， 其特征在于， 所述绑定表包括多个表 项， 每个表项包括由所述认证模块提供的用户账号信息和用户物理端口信息。
PCT/CN2009/075143 2009-11-26 2009-11-26 用户拨号认证方法、系统和设备 WO2011063562A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
PCT/CN2009/075143 WO2011063562A1 (zh) 2009-11-26 2009-11-26 用户拨号认证方法、系统和设备
CN200980155435.0A CN102257790B (zh) 2009-11-26 2009-11-26 用户拨号认证方法、系统和设备

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2009/075143 WO2011063562A1 (zh) 2009-11-26 2009-11-26 用户拨号认证方法、系统和设备

Publications (1)

Publication Number Publication Date
WO2011063562A1 true WO2011063562A1 (zh) 2011-06-03

Family

ID=44065816

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/075143 WO2011063562A1 (zh) 2009-11-26 2009-11-26 用户拨号认证方法、系统和设备

Country Status (2)

Country Link
CN (1) CN102257790B (zh)
WO (1) WO2011063562A1 (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104243152B (zh) * 2013-06-06 2018-01-12 中国银联股份有限公司 安全性信息交互系统、设备和方法
CN107547467B (zh) * 2016-06-23 2021-09-24 中兴通讯股份有限公司 一种电路认证处理方法、系统及控制器
CN114257445B (zh) * 2021-12-20 2023-05-26 中电福富信息科技有限公司 一种阻止用户瞬时多拨认证接入的信控方法

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1486025A (zh) * 2003-08-22 2004-03-31 北京港湾网络有限公司 PPPoE二层透传端口用户名绑定检查的方法
CN1553674A (zh) * 2003-05-26 2004-12-08 广东省电信有限公司科学技术研究院 宽带接入服务器获取宽带用户接入端口号的方法
CN101436954A (zh) * 2007-11-13 2009-05-20 中国电信股份有限公司 业务策略请求验证系统、业务策略申请和撤销方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553674A (zh) * 2003-05-26 2004-12-08 广东省电信有限公司科学技术研究院 宽带接入服务器获取宽带用户接入端口号的方法
CN1486025A (zh) * 2003-08-22 2004-03-31 北京港湾网络有限公司 PPPoE二层透传端口用户名绑定检查的方法
CN101436954A (zh) * 2007-11-13 2009-05-20 中国电信股份有限公司 业务策略请求验证系统、业务策略申请和撤销方法

Also Published As

Publication number Publication date
CN102257790A (zh) 2011-11-23
CN102257790B (zh) 2014-12-10

Similar Documents

Publication Publication Date Title
TWI295135B (en) Communication device and method for handling user identity and privacy
EP2705642B1 (en) System and method for providing access credentials
EP3120591B1 (en) User identifier based device, identity and activity management system
JP5688087B2 (ja) 信頼できる認証およびログオンのための方法および装置
US9065684B2 (en) IP phone terminal, server, authenticating apparatus, communication system, communication method, and recording medium
US20110047373A1 (en) User authentication system and method for the same
US6892308B1 (en) Internet protocol telephony security architecture
US20150039896A1 (en) System and method for pool-based identity generation and use for service access
JP4698751B2 (ja) アクセス制御システム、認証サーバシステムおよびアクセス制御プログラム
CN101986598B (zh) 认证方法、服务器及系统
EP2979420B1 (en) Network system comprising a security management server and a home network, and method for including a device in the network system
US9032487B2 (en) Method and system for providing service access to a user
WO2013056619A1 (zh) 一种身份联合的方法、IdP、SP及系统
JP6067005B2 (ja) ＯｐｅｎＩＤを電気通信ネットワークに統合するシステムおよび方法
JP2007208759A (ja) Ｍａｃアドレスとユーザ認証を組み合わせた認証セキュリティシステム
WO2011063562A1 (zh) 用户拨号认证方法、系统和设备
US10057252B1 (en) System for secure communications
CN114764492A (zh) 基于区块链的sdp访问控制方法及系统
CN114765551A (zh) 基于区块链的sdp访问控制方法及装置
JP4472566B2 (ja) 通信システム、及び呼制御方法
JP4965499B2 (ja) 認証システム、認証装置、通信設定装置および認証方法
JP2008219689A (ja) インターネットプロトコル対応構内交換機、およびその保守システム、ならびに同システムにおける保守端末の認証方法、およびプログラム
CN111163465B (zh) 连接用户终端与本地终端的方法、装置以及呼叫中心系统
US10447688B1 (en) System for secure communications
JP2009267638A (ja) 端末認証・アクセス認証方法および認証システム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980155435.0

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09851575

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09851575

Country of ref document: EP

Kind code of ref document: A1