WO2012075863A1 - 无线局域网集中式802.1x认证方法及装置和系统 - Google Patents

无线局域网集中式802.1x认证方法及装置和系统 Download PDF

Info

Publication number
WO2012075863A1
WO2012075863A1 PCT/CN2011/081329 CN2011081329W WO2012075863A1 WO 2012075863 A1 WO2012075863 A1 WO 2012075863A1 CN 2011081329 W CN2011081329 W CN 2011081329W WO 2012075863 A1 WO2012075863 A1 WO 2012075863A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
address
eap
eap authentication
packet
Prior art date
Application number
PCT/CN2011/081329
Other languages
English (en)
French (fr)
Inventor
刘国平
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to ES11846361.1T priority Critical patent/ES2564484T3/es
Priority to EP11846361.1A priority patent/EP2651156B1/en
Publication of WO2012075863A1 publication Critical patent/WO2012075863A1/zh
Priority to US13/913,792 priority patent/US9071968B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/062—Pre-authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Definitions

  • WLAN centralized 802.1X authentication method and device and system The application is submitted to the Chinese Patent Office on December 9, 2010, the application number is 201010581115.6, and the invention name is "wireless local area networked 802.1X authentication method and device and system" Priority of Chinese Patent Application, the entire contents of which is incorporated herein by reference.
  • the present invention relates to the field of communications technologies, and in particular, to a wireless local area network centralized 802. IX authentication method and apparatus and system.
  • the basic structure of a wireless local area network (WLAN) defined in 802.11 can be as shown in Figure 1, where the station (STA, Station) refers to wireless
  • the terminal device of the LAN interface, the access point (AP, Access Point) is equivalent to the base station of the mobile network, and is mainly responsible for realizing communication between STAs or STAs and related devices of the wired network, and multiple STAs can access the same AP.
  • the STAs associated with the same AP form a basic service set (BSS).
  • the distribution system (DS, Distribution System, ) is used to make a large LAN between different BSSs and between BSS and wired LAN.
  • the portal device is the logical point for providing data forwarding between the DS and the wired LAN.
  • SSID Service Set Identifier
  • the WLAN generally adopts the WI-FI Protected Access (WPA, WI-FI Protected Access) security mechanism recommended by the WI-FI (wireless fidelity) alliance.
  • WPA Enterprise Edition (herein referred to as the various WPA Enterprise Editions) is based on the 802. IX authentication protocol.
  • the network structure of the 802. IX authentication can be divided into three parts, including: applying for an authenticator (ie, a user port access entity (UE, User Equipment), and in a WLAN, a UE may be called a STA) , Authenticator system ( Authenticator system ( AE, Authentication Entity ) and Authenticator server system ( AS , Authenticator server system ).
  • the AE only allows the authentication packets of the UE to pass. Only after the UE passes the authentication, the AE allows its service packets to pass.
  • the AS is a Remote Authentication Dial In User Service (AF)
  • the AE is generally an AP
  • the UE is an STA.
  • authentication packets are transmitted between the STA and the AP.
  • the STA and the AP have been associated with the WLAN before the authentication starts. Therefore, the STA and the AP have learned the MAC address (MAC, Media Access Control) address (such as the BSSID) of the peer before the authentication. Therefore, the IEEE 802. IX protocol provides In the WLAN network, all the UEs' Extended Authentication Protocol (EAP) authentication packets (including the first packet) must use a unicast address.
  • EAP Extended Authentication Protocol
  • the IEEE 802. IX protocol stipulates that a unicast address must be met by all the EAP authentication packets in the WLAN.
  • the AE is an AP device (the UE can learn the air interface of the AP during the association with the AP).
  • MAC address (such as BSSID)).
  • a WLAN in a scenario such as a home or a small enterprise can satisfy this condition. Because the number of APs is limited in these scenarios, the workload of configuring each AP as an AE is not very large. This type of authentication deployment can be called distributed authentication deployment.
  • AE devices may be deployed.
  • AC access controller
  • MSCG multi-service control gateway
  • This type of AE device is deployed on the AC or MSCG.
  • the authentication deployment method can be called centralized authentication deployment.
  • the UE cannot learn the MAC address of the AE before the authentication, and the IEEE 802.IX protocol requires that all EAP authentication packets (including the first packet) of the UE must use unicast. Address, at this time, the authentication cannot be completed according to the existing mechanism.
  • Embodiments of the present invention provide a centralized 802. IX authentication method, apparatus, and system for a wireless local area network to implement centralized 802.11 authentication of a wireless local area network of a UE.
  • the embodiment of the present invention provides the following technical solutions:
  • a wireless local area network centralized 802. IX authentication method the wireless local area network includes an authentication entity, an access point, and at least one user equipment UE, and the authentication entity passes the access point and the at least one The UEs are connected, and the method includes:
  • the access point receives the extensible authentication protocol EAP authentication start message from the UE, where the destination address of the EAP authentication is the media access control MAC address corresponding to the air interface of the access point, and the source address is the UE MAC address;
  • a centralized 802. IX authentication method for a wireless local area network including:
  • the access point generates an EAP authentication start message.
  • the destination address of the EAP authentication start message is the port access entity multicast address or the MAC address of the authentication entity, and the source address is the MAC address of the UE.
  • An access point device including:
  • a first receiving module configured to receive an EAP authentication start message sent by the UE, where a destination address of the EAP authentication start message is a MAC address corresponding to an air interface of the access point, and a source address is a MAC address of the UE;
  • a first address modification module configured to modify a destination address of the EAP authentication start message received by the first receiving module to a port access entity multicast address or a MAC address of the authentication entity;
  • a first forwarding module configured to forward the EAP authentication start message of the destination address by the first address modification module, so that the authentication entity starts the UE according to the EAP authentication start message with the modified destination address Access authentication.
  • a wireless local area network centralized 802. IX authentication system the wireless local area network includes an authentication entity, an access point, and at least one user equipment UE, and the authentication entity is connected to the at least one UE by using the access point,
  • the access point is configured to receive an EAP authentication start message sent by the UE, where the extended authentication protocol is sent.
  • the destination address of the EAP authentication start message is the media access control MAC address corresponding to the air interface of the access point, and the source address is the MAC address of the UE; the destination address of the EAP authentication start message is modified to The port accesses the entity multicast address or the MAC address of the authentication entity; forwards the EAP authentication start message with the modified destination address, so that the authentication entity starts according to the EAP authentication start message with the modified destination address.
  • the access point in the centralized authentication deployment receives the EAP authentication start message from the MAC address corresponding to the air interface of the access point.
  • the destination address of the packet is changed to the MAC address of the authentication entity, and the EAP authentication start packet is modified, so that the EAP authentication start packet can reach the authentication entity without ending in the access point.
  • the UE's access authentication process is triggered to implement centralized 802.IX authentication of the UE wireless local area network.
  • the mechanism enables the UE to unicast and send all EAP authentication messages according to the IEEE 802.IX protocol, so the UE built-in is not required to be modified.
  • an EAP authentication start message with a source address being a MAC address of the UE and a MAC address whose destination address is an AE is generated and sent by the access point in the centralized authentication deployment.
  • the UE initiates an access authentication process, so that the EAP authentication start message can reach the authentication entity, and then the UE access authentication process can be triggered to implement centralized 802.IX authentication of the UE wireless local area network.
  • the mechanism enables the UE to follow the IEEE 802.1.
  • the X protocol stipulates that all EAP authentication messages are sent unicast, so there is no need to modify the UE's built-in authentication procedure based on the IEEE 802. IX protocol mechanism.
  • Figure 1 is a schematic diagram of the basic structure of a WLAN defined in 802.11;
  • FIG. 2 is a schematic diagram of a topology of a centralized deployment authentication network according to an embodiment of the present invention
  • FIG. 3 is a flow chart of a centralized 802. IX authentication method for a wireless local area network according to Embodiment 1 of the present invention.
  • FIG. 4 is a schematic flowchart of a centralized 802.IX authentication method for a wireless local area network according to Embodiment 2 of the present invention
  • FIG. 5 is a schematic flowchart of a centralized 802.IX authentication method for a wireless local area network according to Embodiment 3 of the present invention.
  • FIG. 6 is a schematic flowchart of a centralized 802.IX authentication method for a wireless local area network according to Embodiment 4 of the present invention.
  • FIG. 7 is a schematic diagram of an access point according to an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of another access point according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic diagram of another access point according to an embodiment of the present invention.
  • FIG. 10 is a schematic diagram of a centralized 802.1X authentication system for a wireless local area network according to an embodiment of the present invention.
  • FIG. 11 is a schematic diagram of another wireless local area network centralized 802.1X authentication system according to an embodiment of the present invention.
  • Embodiments of the present invention provide a wireless local area network centralized 802.1X authentication method, apparatus, and system.
  • FIG. 2 is a schematic diagram of a centralized deployment authentication network topology according to an embodiment of the present invention, where multiple UEs may be associated with one AP, and multiple APs are connected to one access controller AC, AE.
  • the device may be deployed on the AC or deployed on the multi-service control gateway MSCG device on the AC.
  • Figure 2 shows the scenario where the AE device is deployed on the AC.
  • the AE device is associated with the AS to form a centralized authentication deployment.
  • the technical solution of the embodiment of the present invention may be implemented based on an authentication network of a topology structure as shown in FIG. 2 or an authentication network similar to a centralized deployment structure.
  • An embodiment of the wireless local area network 802. IX authentication method of the present invention wherein the WLAN includes an AE, an AP, and at least one UE, and the AE is connected to the at least one UE by using the AP, and the method may include: the AP receiving the The EAP authentication start message, the destination address of the EAP authentication start message is the media access control (MAC, Media Access Control) address corresponding to the air interface of the AP, and the source address is the MAC address of the UE; the EAP authentication start message is The destination address is modified to be the MAC address of the port access entity (PAE, PortAuthenticator) or the MAC address of the AE. The EAP authentication start message is modified to the destination address, so that the AE can start the EAP authentication according to the modified destination address.
  • the text starts the access authentication of the UE.
  • the AP receives the EAP authentication start message sent by the UE, and the destination address of the EAP authentication start message is the MAC address corresponding to the air interface of the AP, and the source address is the MAC address of the UE.
  • the authentication request is initiated to request the network side to perform the request. Access authentication.
  • the UE has been associated with the AP before the authentication is initiated.
  • the UE and the AP have learned the media access control MAC address of the peer before the authentication. Therefore, the UE can unicast the EAP authentication according to the IEEE 802.IX protocol.
  • the start message, where the MAC address of the AP carried in the EAP authentication start message may be a BSSID or other difference identifier.
  • the AP modifies the destination address of the EAP authentication start message to the AE MAC address or the PAE multicast address.
  • the AP When the AP here monitors the MAC address (such as the BSSID) of the air interface of the AP, the AP does not terminate the EAP authentication start message, but instead The destination address is modified and continues to be forwarded.
  • the MAC address such as the BSSID
  • the AP may modify the destination address of the received EAP authentication start message to the MAC address of the AE; if the AP does not know the MAC address of the AE at this time, The AP can change the destination address of the received EAP authentication start message to the PAE multicast address.
  • the EAP authentication start message whose destination address is the PAE multicast address can also be received by the AE probe. 330. The AP forwards the EAP authentication starting the modified destination address.
  • the AE can receive the EAP authentication start message with the modified destination address, and then learn that the UE requests the access authentication, and the AE can respond according to the standard authentication process to start the access authentication of the UE.
  • the AP further receives an EAP authentication packet sent by the AE (for example, an EAP Request packet (EAP-Request packet) or other packet for requesting identification of the UE), where
  • EAP-Request packet EAP Request packet
  • the source address of the EAP authentication packet is the MAC address of the AE
  • the destination address is the MAC address of the UE.
  • the AP may change the source address of the EAP authentication message to the MAC address corresponding to the air interface of the AP (such as the BSSID);
  • the EAP authentication packet with the source address modified is forwarded to the UE.
  • the AP since the source address of the EAP authentication packet forwarded by the received AP is the MAC address corresponding to the air interface of the AP (such as the BSSID), the AP still treats the AP as an AE. EAP certification. If the AP further receives the second EAP authentication packet sent by the UE, the second EAP authentication packet is an authentication packet sent by the UE except the EAP authentication start packet. The EAP response (EAP-Response) message of the UE identity (ID) or other EAP authentication message.
  • EAP-Response EAP response
  • the destination address of the second EAP authentication packet is the MAC address (such as the BSSID) of the air interface of the AP
  • the source address is The MAC address of the UE
  • the AP may modify the destination address of the second EAP authentication packet to the MAC address of the AE; and forward the second EAP authentication packet with the destination address modified. That is, the AP may modify the source address or the destination address of all EAP authentication packets exchanged between the UE and the AE, and modify the destination address of the EAP authentication packet from the UE to the MAC address of the AE, which may be from the AE.
  • the source address of the EAP authentication file is modified to the MAC address corresponding to the air interface of the AP (such as the BSSID).
  • the UE can always consider the AP as an AE for EAP authentication.
  • the UE can obtain all the EAP authentication packets unicast according to the IEEE 802.IX protocol, as the MAC address corresponding to the AP's air interface (such as the BSSID) is known before the UE is authenticated.
  • the AP further receives the third EAP authentication packet sent by the AE (for example, an EAP Request packet (EAP-Request packet) or other packet for requesting identification of the UE), where
  • the source address of the third EAP authentication packet is the MAC address of the AE
  • the destination address is the MAC address of the UE.
  • the AP may not modify the source address or the destination address of the third EAP authentication packet, but directly to the UE. Forwarding the third EAP authentication packet, so that the UE learns the MAC address of the AE from the third EAP authentication packet.
  • the UE after receiving the third EAP authentication packet, the UE can learn the MAC address of the real AE, and then the learned AE MAC address can be used to interact with the AE to exchange other EAP authentication packets.
  • Complete access authentication In other words, the AP can also only start the EAP authentication packet (come The destination address of the first EAP authentication packet of the UE is modified, and the source address or the destination address of the EAP authentication start packet of the UE and the AE is not modified, and the UE can start the EAP authentication packet according to the AE. The response is informed of the MAC address of the AE. Therefore, the UE can unicast all EAP authentication messages according to the IEEE 802.IX protocol.
  • the UE mentioned in the embodiment of the present invention may be a mobile terminal, a portable computer, or the like having multiple wireless LAN access capabilities; the AP may be a plurality of devices having wireless access functions.
  • the solution of the embodiment of the present invention mainly relates to: the AP modifies the source/destination address of some or all EAP authentication messages exchanged between the UE and the AE, and the authentication signaling message exchanged between the AE and the AS may be consistent with the standard process. Or similar.
  • EAP-PEAP EAP-Protected Extensible Authentication Protocol
  • EAP-SIM /AKA EAP-Subscriber Identity Module/Authentication and Key Agreement, User Authentication Module/Authentication and Key Agreement
  • EAP-TLS Extensible Authentication Protocol-Transport Layer Security Protocol, EAP-Transport Layer Security Protocol
  • EAP-PEAP EAP-Protected Extensible Authentication Protocol
  • EAP-SIM /AKA EAP-Subscriber Identity Module/Authentication and Key Agreement
  • EAP-TLS Extensible Authentication Protocol-Transport Layer Security Protocol
  • EAP-Transport Layer Security Protocol EAP-Transport Layer Security Protocol
  • the AP in the centralized authentication deployment receives the EAP authentication start message from the MAC address (such as the BSSID) of the air interface of the AP, the destination of the packet is received.
  • the address is modified to the MAC address of the AE, and the EAP authentication start message is modified, so that the EAP authentication start message can reach the AE without terminating in the AP, and the UE access authentication process can be triggered to implement the UE.
  • WLAN centralized 802.IX authentication and, the mechanism enables the UE to unicast all EAP authentication messages according to the IEEE 802.IX protocol, so there is no need to modify the UE built-in IEEE 802.IX protocol-based authentication procedure. .
  • Embodiment 2 Embodiment 2
  • the WLAN includes an AE, an AP, and at least one UE, and the AE is connected to the at least one UE by using the AP, and the method may include: the AP generates an EAP authentication.
  • the destination address of the EAP authentication start message is the PAE multicast address or the MAC address of the AE, and the source address is the MAC address of the UE.
  • the EAP authentication start message is sent.
  • the EAP authentication packet sent by the AE is received.
  • the source address of the authentication packet is the MAC address of the AE.
  • the destination address is the MAC address of the UE; the EAP authentication packet is forwarded to the UE, so that the UE learns the MAC address of the AE from the EAP authentication packet; or the source of the received EAP authentication packet
  • the address is changed to the MAC address corresponding to the air interface of the AP, and the EAP authentication packet with the source address modified is forwarded to the UE.
  • specific steps may include:
  • the AP generates an EAP authentication start message, where the destination address of the EAP authentication start message is a PAE multicast address or a MAC address of the AE, and the source address is a MAC address of the UE;
  • the UE does not actively initiate 802.1X authentication after the AP is associated with the AP. That is, the EAPOL-Start packet is not sent by the AP.
  • the AP can send the EAPOL-Start packet to the AE. IX certification.
  • the AP sends the EAP authentication start message
  • the AP proxy UE initiates an authentication request, and requests the network side to perform access authentication on the UE.
  • the AP generates and sends an EAP authentication start message to trigger the UE access authentication process.
  • the EAP authentication generated and sent by the AP starts with the destination address of the AE as the MAC address of the AE; if the AP does not know the MAC address of the AE at this time, then The destination address of the generated and sent EAP authentication start message is the PAE multicast address.
  • the EAP authentication start message whose destination address is the PAE multicast address can be received by the AE probe.
  • the AE can receive the EAP authentication start message, and then learn that the UE requests access authentication, and the AE can respond according to the standard authentication process.
  • the AP receives the EAP authentication packet sent by the AE, where the source address of the EAP authentication packet is the MAC address of the AE, and the destination address is the MAC address of the UE.
  • the AP forwards the EAP authentication packet to the UE, so that the UE learns the MAC address of the AE from the EAP authentication packet, or changes the source address of the EAP authentication packet to the MAC address corresponding to the air interface of the AP.
  • An address (such as a BSSID), and forwarding the EAP authentication packet with the source address modified to the UE.
  • the AE may initiate the UE access authentication process and perform interaction with the UE for other EAP authentication start messages.
  • the AP receives the EAP authentication packet sent by the AE (for example, an EAP Request packet (EAP-Request packet) or other packet) for requesting identification of the UE
  • the EAP authentication packet is used.
  • the source address of the text is the MAC address of the AE
  • the destination address is the MAC address of the UE; then the AP can recognize the EAP.
  • the source address of the certificate is changed to the MAC address corresponding to the air interface of the AP (such as the BSSID); and the EAP authentication packet with the source address modified is forwarded to the UE.
  • the AP since the source address of the EAP authentication packet forwarded by the received AP is the MAC address corresponding to the air interface of the AP (such as the BSSID), the AP still treats the AP as an AE. EAP certification. If the AP further receives the other EAP authentication packet sent by the UE, the EAP authentication packet is an authentication packet sent by the UE except the EAP authentication start packet (for example, an EAP carrying the UE identity identifier (ID).
  • ID UE identity identifier
  • the destination address of the EAP authentication message is the MAC address corresponding to the air interface of the AP (such as the BSSID), and the source address is the MAC address of the UE;
  • the destination address of the text is changed to the MAC address of the AE; and the EAP authentication packet with the destination address modified is forwarded. That is, AP
  • the destination address of the EAP authentication packet of the UE is changed to the MAC address of the AE, and the source address of the EAP authentication packet from the AE can be modified to the MAC address corresponding to the air interface of the AP (such as the BSSID), and the UE can always view the AP.
  • Cheng is an AE to conduct EAP certification. Therefore, the UE can unicast all EAP authentication messages in accordance with the IEEE 802.IX protocol.
  • the AP further receives an EAP authentication packet (for example, an EAP-Request packet for requesting identity identification of the UE) or other packet
  • the AP further receives the EAP authentication packet.
  • the source address is the MAC address of the AE
  • the destination address is the MAC address of the UE.
  • the AP may not modify the source address or the destination address of the EAP authentication packet from the AE, but directly forward the EAP authentication packet to the UE.
  • the UE In order for the UE to learn the MAC address of the AE from the EAP authentication message.
  • the UE after receiving the EAP authentication packet, the UE can learn the real AE MAC address, and then the learned AE MAC address can be connected with the AE to exchange other EAP authentication packets.
  • the AP enters the certification. That is, the AP generates and sends an EAP authentication start message (the destination address is the PAE multicast address or the MAC address of the AE, and the source address is the MAC address of the UE). After the UE initiates the access authentication of the UE, the AP can perform the AE according to the AE. The response to the EAP authentication start message is informed by the MAC address of the AE. Therefore, the UE can unicast all EAP authentication messages according to the IEEE 802.1 X protocol.
  • the UE mentioned in the embodiment of the present invention may be a mobile terminal, a portable computer, and the like having multiple wireless LAN access capabilities; the AP may be a plurality of devices having wireless access functions.
  • the solution of the embodiment of the present invention mainly relates to part or all EAP authentication of the interaction between the UE and the AE by the AP.
  • the transfer processing, and the authentication signaling message exchanged between the AE and the AS can be identical or similar to the standard flow.
  • multiple EAP authentication algorithms such as EAP-PEAP, EAP-SIM/AKA, EAP-TLS, etc.
  • EAP authentication algorithms can be selected according to requirements, but different EAP authentication algorithms do not affect 802.1X.
  • Certification under the certification framework can be used to be selected according to requirements, but different EAP authentication algorithms do not affect 802.1X.
  • the AP in the centralized authentication deployment generates and sends an EAP authentication start message with the source address being the MAC address of the UE and the MAC address whose destination address is the AE, so that the proxy UE initiates the access authentication process, so that The EAP authentication start message can reach the AE, which can trigger the UE's access authentication process to implement the UE wireless LAN centralized 802.IX authentication; and the mechanism enables the UE to unicast all according to the IEEE 802.1X protocol. EAP authentication message, so it is not necessary to modify the UE built-in authentication procedure based on the IEEE 802. IX protocol mechanism.
  • Embodiment 3 Embodiment 3
  • UE-1 sends an EAPOL-Start packet to start 802.IX authentication.
  • the destination address of the EAPOL-Start packet is the MAC address corresponding to the air interface of the AP (such as BSSID), and the source address is the MAC address of UE-1.
  • the AP receives the EAPOL-Start packet from the UE-1, and modifies the destination address of the EAP authentication start packet to the AE MAC address or the PAE multicast address, and forwards the EAPOL-Start packet with the modified destination address. ;
  • the AP can modify the destination address of the EAPOL-Start packet to the MAC address of the AE. If the AP does not know the MAC address of the AE at this time, the AP can The destination address of the EAPOL-Start packet is changed to the PAE multicast address. The EAPOL-Start packet whose destination address is the PAE multicast address can also be received by the AE probe.
  • the AE receiving AP modifies the EAPOL-Start packet of the destination address, and feeds back the EAP-Request packet, requesting UE-1 identity identification;
  • the source address of the EAP-Request packet is the MAC address of the AE, and the destination address is the MAC address of the UE-1. 504.
  • the AP receives the EAP-Request packet from the AE, and modifies the source address of the EAP-Request packet to the MAC address corresponding to the air interface of the AP (such as the BSSID); and forwards the EAP-Request that has modified the source address.
  • the UE-1 receives the EAP-Request packet of the source address, and the network side requests the identity identification.
  • the UE-1 sends an EAP response (EAP-Response) message to the AE, where the identity identifier of the UE-1 is carried.
  • EAP-Response EAP response
  • the AP-1 still considers the AP as the AE to continue the authentication process because the AP modifies the source address of the EAP-Request packet from the AE.
  • the destination address of the EAP-Response packet sent by UE-1 is the MAC address corresponding to the air interface of the AP (such as BSSID), and the source address is the MAC address of UE-1.
  • the AP receives the EAP-Response message from the UE-1, and modifies the EAP-Response destination address to the AE MAC address, and forwards the EAP-Response message with the modified destination address to the AE.
  • the AE sends an EAP over Radius message to the AS, where the EAP-Response message and the UE-1 identity ID are carried.
  • the AS identifies the UE-1 identity, and sends an EAP-Request (TLS Start) message to the AE, where the EAP authentication algorithm is EAP-TLS, and the EAP authentication is initiated. If the AS selects another EAP authentication algorithm, the EAP- The Request ( TLS Start ) message can correspond to the corresponding algorithm.
  • the AE relays the TLS Start message to the UE-1 through the AP.
  • UE-1 sends a TLS client hello message to the AE through the AP, in response to the TLS Start message.
  • the AE relays the TLS client- hello message to the AS.
  • the AS sends a TLS server- hello message to the AE.
  • the message may include an AS certificate, a key exchange information, a security cipher suite supported by the AS, and request a certificate of the UE-1.
  • the AE relays the TLS server hello message to the UE-1 through the AP.
  • the UE-1 verifies the AS certificate, and sends, by using the AP, a message carrying the authentication result, the UE-1 certificate, the key exchange information, and the security cipher suite supported by the UE-1 to the AE.
  • the AE relays the message to the AS.
  • the AE relays the message to the UE-1 through the AP.
  • the UE-1 sends an EAP-Response message to the AE through the AP.
  • the AE relays the EAP-Response message to the AS. 520.
  • the AS sends an EAP-Success message to the AE, indicating that the authentication succeeds. 521.
  • the AE relays the EAP-Success to the UE-1 through the AP, and the UE-1 learns that the authentication succeeds.
  • step 504 if the AP does not modify its source address (the MAC address of the AE) after receiving the EAP-Request message from the AE, the AP directly forwards it to the UE-1, so that the UE-1 can The EAP authentication 4 ⁇ text learned the AE's MAC address.
  • the UE-1 can learn the MAC address of the AE according to this, and the UE-1 can learn the AE MAC address and the AE to exchange other EAP authentication packets to complete the access authentication. That is, the AP may also modify only the destination address of the EAPOL-Start message from the UE-1, and the UE-1 may know the MAC address of the AE according to the response of the AE to the EAP authentication start message. Therefore, the UE- 1 All EAP authentication messages can be unicasted according to the IEEE 802. IX protocol. Of course, the EAP over RADIUS packets exchanged between the AE and the AS do not need to be modified.
  • the process of performing UE-1 access authentication based on the EAP-TLS authentication algorithm is taken as an example, and an authentication algorithm such as EAP-PEAP, EAP-SIM/AKA, or the UE may be selected. -1 performs access authentication.
  • EAP-PEAP EAP-PEAP
  • EAP-SIM/AKA EAP-SIM/AKA
  • -1 performs access authentication.
  • the implementation process is similar and will not be described here.
  • centralized 802.IX authentication of the WLAN is implemented by implementing EAPOL packet detection and relaying on the AP in the centralized authentication deployment, and the AP receives the destination address from the UE as the AP.
  • the EAP authentication start message of the MAC address corresponding to the air interface such as the BSSID
  • the destination address of the packet is changed to the MAC address of the AE, and the EAP authentication start packet is modified to the EAP authentication start packet.
  • the AE can be reached without terminating in the AP, and the UE's access authentication procedure can be triggered to implement the UE WLAN centralized 802.IX authentication; and the mechanism enables the UE to unicast according to the IEEE 802.IX protocol. All EAP authentication messages, so there is no need to modify the UE's built-in IEEE 802. IX protocol-based authentication procedures.
  • the process of UE-1 access authentication based on the EAP-TLS authentication algorithm is taken as an example for detailed description.
  • the AP proxy UE-1 initiates access authentication as an example.
  • the AP generates and sends an EAPOL-Start packet.
  • the destination address of the EAPOL-Start packet is the MAC address of the AE (such as the BSSID) or the PAE multicast address, and the source address is the MAC address of the UE-1.
  • the UE-1 does not actively initiate 802.1X authentication after the AP is associated with the AP. That is, the EAPOL-Start packet is not sent by the AP. AE, triggers 802. IX authentication.
  • the AP can set the destination address of the EAPOL-Start packet to the MAC address of the AE. If the AP does not know the MAC address of the AE at this time, the AP can EAPOL. The destination address of the -Start packet is set to the PAE multicast address. The EAPOL-Start packet whose destination address is the PAE multicast address can also be received by the AE probe.
  • the AE receives the EAPOL-Start packet from the AP, and feeds back the EAP-Request packet to request the identity of the UE-1.
  • the source address of the EAPOL-Request packet is the MAC address of the AE, and the destination address is UE-1. MAC address;
  • the AP receives the EAP-Request packet from the AE, and forwards the EAP-Request packet to the UE-1.
  • the UE-1 receives the EAP-Request packet, and the network side requests the identity identification.
  • the UE-1 sends an EAP-Response response packet to the AE, where the UE-1 carries the identity ID and the like.
  • the AP-1 can learn the MAC address of the AE according to the source address of the EAP-Request packet from the AE, and the UE-1 can learn the MAC address of the AE, and the AE. Interact with other EAP authentication packets to complete access authentication.
  • the AE receives the EAP-Response message forwarded by the AP, and sends an EAP-Response message to the AS, where the AE carries the EAP-Response message and the UE-1 identity ID.
  • the AS identifies the UE-1 identity, and sends an EAP-Request (TLS Start) message to the AE, where the EAP authentication algorithm is EAP-TLS, and EAP authentication is initiated. If the AS selects another EAP authentication algorithm, the EAP- The Request ( TLS Start ) message can correspond to the corresponding algorithm.
  • the AE relays the TLS Start message to the UE-1 through the AP.
  • UE-1 sends a TLS client- hello message to the AE through the AP, in response to the TLS Start message; 609, the AE relays the TLS client- hello message to the AS;
  • the AS sends a TLS server- hello message to the AE.
  • the message may include an AS certificate, a key exchange information, an AS-supported security cipher suite, and request a UE-1 certificate.
  • the AE relays the TLS server hello message to the UE-1 through the AP; 612.
  • the UE-1 verifies the AS certificate, and sends, by using the AP, a message carrying the authentication result, the UE-1 certificate, the key exchange information, and the security cipher suite supported by the UE-1 to the AE.
  • the AE relays the message to the AS.
  • the AE relays the message to the UE-1 through the AP;
  • UE-1 sends an EAP-Response message to the AE through the AP.
  • the AE relays the EAP-Response message to the AS.
  • the AS sends an EAP-Success message to the AE, indicating that the authentication is successful.
  • the AE relays the EAP-Success to the UE-1 through the AP, and the UE-1 learns that the authentication is successful.
  • step 603 if the AP receives the EAP-Request packet from the AE, and modifies the source address (the MAC address of the AE) to the MAC address corresponding to the air interface of the AP (such as the BSSID, etc.), for the UE-
  • the AP still uses the AP as the AE to continue the authentication process, and the AP still follows the EAP-Start message of the interaction between the UE-1 and the AE in the manner of the third embodiment.
  • the EAP over RADIUS interaction between the AE and the AS does not need to be modified.
  • the process of performing UE-1 access authentication based on the EAP-TLS authentication algorithm is taken as an example, and an authentication algorithm such as EAP-PEAP, EAP-SIM/AKA, or the UE may be selected. -1 performs access authentication.
  • EAP-PEAP EAP-PEAP
  • EAP-SIM/AKA EAP-SIM/AKA
  • -1 performs access authentication.
  • the implementation process is similar and will not be described here.
  • the AP in the centralized authentication deployment generates and sends an EAP authentication start message with the source address being the MAC address of the UE and the MAC address whose destination address is the AE, and the proxy UE initiates the access authentication process.
  • Enabling the EAP authentication start message to reach the AE which may trigger the UE's access authentication process to implement the UE wireless local area network centralized 802.IX authentication; and the mechanism enables the UE to unicast all according to the IEEE 802.1X protocol.
  • EAP authentication message so it is not necessary to modify the UE built-in authentication procedure based on the IEEE 802. IX protocol mechanism.
  • an access point device 700 may include: a first receiving module 710, a first address modifying module 720, and a first forwarding module 730.
  • the first receiving module 710 is configured to receive an EAP authentication start message sent by the UE, where the EAP is recognized.
  • the destination address of the certificate start message is the MAC address corresponding to the air interface of the access point device 700, and the source address is the MAC address of the UE;
  • the first address modification module 720 is configured to modify the destination address of the EAP authentication start message received by the first receiving module 710 to a PAE multicast address or a MAC address of the AE;
  • the first forwarding module 730 is configured to forward the EAP authentication start message of the destination address by the first address modification module 720, so that the AE starts the access authentication of the UE according to the EAP authentication start message with the modified destination address.
  • the access point AP device 700 may further include: a second receiving module, a second address modifying module, and a second forwarding module (not shown in FIG. 7)
  • the second receiving module is configured to receive the EAP authentication packet sent by the AE, where the source address of the EAP authentication source is the MAC address of the AE, and the destination address is the MAC address of the UE;
  • a second address modification module configured to modify a source address of the EAP authentication packet received by the second receiving module to a MAC address corresponding to the air interface of the access point device 700;
  • the second forwarding module is configured to forward, to the UE, the second address modification module to modify the EAP authentication packet of the source address.
  • the first receiving module 710 is further configured to: receive a second EAP authentication packet sent by the UE, where the second EAP authentication packet is an authentication start report sent by the UE except the EAP authentication start packet.
  • the destination address of the second EAP authentication packet is the MAC address corresponding to the air interface of the access point device 700, and the source address is the MAC address of the UE;
  • the first address modification module 720 is further configured to: modify a destination address of the second EAP authentication packet received by the first receiving module to a MAC address of the AE;
  • the first forwarding module 730 is further configured to: forward, by the first address modification module, the second EAP authentication of the destination address.
  • the access point device 700 may further include: a third receiving module and a third forwarding module (not shown in FIG. 7).
  • the third receiving module is configured to receive the third EAP authentication packet sent by the AE, where the source address of the third EAP authentication packet is the MAC address of the AE, and the destination address is the MAC address of the UE; And the third EAP authentication packet received by the third receiving module is forwarded to the UE, so that the UE learns the MAC address of the AE from the third EAP authentication packet.
  • the access point device 700 in this embodiment may be the access point device in the foregoing method embodiment 1 or the third embodiment, which may be used to assist in implementing all of the foregoing method embodiment 1 or embodiment 3.
  • the function of each of the functional modules may be specifically implemented according to the method in the foregoing method embodiment, and the specific implementation process may refer to the related description in the foregoing embodiment, and details are not described herein again.
  • an access point device 800 may include:
  • the generating module 810 is configured to generate an EAP authentication start message, where the destination address of the EAP authentication start message is a PAE multicast address or a MAC address of the AE, and the source address is a MAC address of the UE;
  • the sending module 820 is configured to send an EAP authentication start message generated by the generating module 810.
  • the receiving module 830 is configured to receive an EAP authentication packet sent by the AE, where a source address of the EAP authentication packet is a MAC address of the AE, and a destination address is a MAC address of the UE.
  • the forwarding module 840 is configured to forward the EAP authentication packet received by the receiving module 830 to the UE, so that the UE learns the MAC address of the AE from the EAP authentication packet.
  • the access point 800 further receives an EAP authentication packet sent by the AE (for example, an EAP-Request packet for requesting identity identification of the UE) or other packet, where the EAP authentication is performed.
  • the source address of the packet is the MAC address of the AE
  • the destination address is the MAC address of the UE.
  • the access point 800 may not modify the source address or the destination address of the EAP authentication packet from the AE, but directly forward the packet to the UE. EAP authentication packet, so that the UE learns the MAC address of the AE from the EAP authentication packet.
  • the UE can learn the MAC address of the real AE, and then the MAC address of the learned AE can be connected with the AE to complete other EAP authentication packets. Enter the certification. That is, the access point 800 generates and sends an EAP authentication start message (the destination address is a PAE multicast address or a MAC address of the AE, and the source address is the MAC address of the UE) at the proxy UE, and initiates the UE.
  • the EAP authentication start message the destination address is a PAE multicast address or a MAC address of the AE, and the source address is the MAC address of the UE
  • the source address or the destination address of the ⁇ authentication start of the UE and the subsequent interaction may not be modified, and the UE may know the MAC MAC address according to the response of the ⁇ authentication start message, therefore, The UE may unicast all EAP authentication messages according to the IEEE 802.IX protocol.
  • the access point device 800 in this embodiment may be used as the access point device in the foregoing method embodiment 2 or the fourth embodiment, which may be used to assist in implementing all of the foregoing method embodiment 2 or embodiment 4.
  • the technical solution, the function of each of the functional modules may be specifically implemented according to the method in the foregoing method embodiment, and the specific implementation process may refer to the related description in the foregoing embodiment, and details are not described herein again.
  • an access point device 900 may include:
  • the generating module 910 is configured to generate an EAP authentication start message, where the destination address of the EAP authentication start message is a PAE multicast address or a MAC address of the AE, and the source address is a MAC address of the UE;
  • the sending module 920 is configured to send an EAP authentication start message generated by the generating module 910.
  • the receiving module 930 is configured to receive the EAP authentication message sent by the AE, where the source address of the EAP authentication message is the MAC address of the AE, and the destination address is the MAC address of the UE;
  • the modification forwarding module 940 is configured to modify the source address of the EAP authentication packet received by the receiving module 930 to the MAC address corresponding to the air interface of the access point 900 (such as the BSSID), and forward the EAP authentication report with the source address modified to the UE. Text.
  • the access point 900 receives the EAP authentication packet sent by the AE (for example, the EAP authentication packet is an EAP request packet (EAP-Request packet) for requesting identification of the UE or other
  • the source address of the EAP authentication packet is the MAC address of the AE
  • the destination address is the MAC address of the UE.
  • the access point 900 can modify the source address of the EAP authentication packet to the MAC address of the access point 900. And forwarding the EAP authentication packet with the source address modified to the UE.
  • the source address of the EAP authentication packet forwarded by the received access point 900 is the MAC corresponding to the air interface of the access point 900.
  • the address (such as BSSID), so it will still treat the access point 900 as an AE to proceed with EAP authentication.
  • the EAP authentication packet is an authentication packet sent by the UE except the EAP authentication start packet (for example, carrying the UE identity identifier (ID) EAP-Response message or other EAP authentication message, and the destination address of the EAP authentication message is the MAC address corresponding to the air interface of the access point 900 (such as the BSSID), and the source address is the MAC address of the UE;
  • the ingress 900 can modify the destination address of the EAP authentication packet to the MAC address of the AE; and forward the EAP authentication packet with the destination address modified.
  • the AP can modify the source address or the destination address of all EAP authentication packets exchanged between the UE and the AE, and can modify the destination address of the EAP authentication packet from the UE to the MAC address of the AE, which can be from the AE.
  • the source address of the EAP authentication is modified to the MAC address of the access point 900, and the UE can always view the access point 900 as an AE for EAP authentication. Therefore, the UE can unicast all EAP authentication messages according to the IEEE 802.IX protocol.
  • the access point device 900 in this embodiment may be the access point device in the foregoing method embodiment 2 or the fourth embodiment, which may be used to assist in implementing all of the foregoing method embodiment 2 or embodiment 4.
  • the technical solution, the function of each of the functional modules may be specifically implemented according to the method in the foregoing method embodiment, and the specific implementation process may refer to the related description in the foregoing embodiment, and details are not described herein again.
  • the access point 900 in the centralized authentication deployment generates and sends an EAP authentication start message with the source address being the MAC address of the UE and the MAC address whose destination address is the AE, and the proxy UE initiates the access authentication.
  • the process is such that the EAP authentication start message can reach the AE, and the UE access authentication process can be triggered to implement centralized 802.IX authentication of the UE wireless local area network; and the mechanism enables the UE to comply with the IEEE 802.IX protocol. All EAP authentication messages are sent unicast, so there is no need to modify the UE's built-in IEEE 802. IX protocol-based authentication procedure.
  • a wireless local area network centralized 802. IX authentication system is provided.
  • the wireless local area network includes an authentication entity 1010, an access point 1020, and at least one user equipment 1030.
  • the authentication entity 1010 passes through the access point 1020 and at least A user equipment 1030 is connected,
  • the access point 1020 is configured to receive an extensible authentication protocol EAP authentication start message sent by the user equipment 1030, where the destination address of the EAP authentication start message is the media access control MAC address of the access point 1020, and the source address is the user.
  • MAC address of the device 1030 modifying the destination address of the EAP authentication start message to the port access entity multicast address or the MAC address of the authentication entity 1010; forwarding the modified destination The EAP authentication start message of the address, so that the authentication entity 1010 starts the access authentication to the user equipment 1030 according to the EAP authentication of the modified destination address.
  • the access point 1020 further receives the EAP authentication packet sent by the authentication entity 1010 (for example, an EAP-Request packet for requesting identification of the user equipment 1030 or other MAC address of the user equipment 1030)
  • the access point may modify the source address of the EAP authentication packet to the MAC address corresponding to the air interface of the access point (such as the BSSID); and forward the EAP authentication packet with the source address modified to the user equipment 1030.
  • the access point 1020 since the source address of the received EAP authentication packet forwarded by the access point 1020 is the MAC address of the access point 1020, the access point 1020 is still considered as The AE continues to perform the EAP authentication.
  • the second EAP authentication packet is the authentication sent by the user equipment 1030 except the EAP authentication start message.
  • the second EAP authentication packet is an EAP-Response packet carrying the user equipment 1030 identity (ID) or other EAP authentication packet, and the second EAP authentication packet is used.
  • the destination address is the MAC address corresponding to the air interface of the access point 1020 (such as the BSSID), and the source address is the MAC address of the user equipment 1030.
  • the access point 1020 can modify the destination address of the second EAP authentication packet to the authentication entity.
  • the MAC address of the 1010 is forwarded and the second EAP authentication packet is modified.
  • the access point 1020 can perform source address or destination address on all EAP authentication packets that the user equipment 1030 and the authentication entity 1010 interact with.
  • the modification can change the destination address of the EAP authentication packet from the user equipment 1030 to the MAC address of the authentication entity 1010, and modify the source address of the EAP authentication packet from the authentication entity 1010 to the MAC address of the access point 1020.
  • the user equipment 1030 can always view the access point 1020 as an AE for EAP authentication. Since the user equipment 1030 has already learned the MAC address of the access point 1020 before authentication, the user equipment 1030 can follow the IEEE 802.IX protocol. Specifies to send all EAP authentication packets unicast.
  • the access point 1020 further receives the third EAP authentication packet sent by the authentication entity 1010, for example, the EAP-Request packet or the destination address for requesting the identity of the user equipment 1030 is the user equipment.
  • the MAC address of the 1030; the access point 1020 may not modify the source address or the destination address of the third EAP authentication packet, but directly forward the third EAP authentication packet to the user equipment 1030, so that the user equipment 1030 can Learning the authentication entity 1010 in the third EAP authentication packet MAC address.
  • the user equipment 1030 after receiving the third EAP authentication packet, the user equipment 1030 can learn the MAC address of the real authentication entity, and then the MAC address of the learned authentication entity 1010 can be interacted with the authentication entity 1010.
  • EAP authentications are used to complete access authentication. That is, the access point 1020 can also modify only the destination address of the EAP authentication start message (the first EAP authentication packet from the user equipment 1030), and the EAP authentication of the subsequent interaction between the user equipment 1030 and the authentication entity 1010.
  • the source address or the destination address of the start packet is not modified, and the user equipment 1030 can obtain the MAC address of the authentication entity 1010 according to the response of the authentication entity 1010 to the EAP authentication start message. Therefore, the user equipment 1030 can follow the IEEE 802.1X protocol. Specifies to send all EAP authentication packets unicast.
  • the access point 1020 is further configured to generate an EAP authentication start message, where the destination address of the EAP authentication start message is a port access entity multicast address or the MAC address of the authentication entity 1010, and the source address is The MAC address of the user equipment (not shown in FIG. 10) is sent; the EAP authentication start message is sent; the EAP authentication message sent by the authentication entity 1010 is received, and the source address of the EAP authentication message is the MAC address of the authentication entity 1010.
  • the destination address is the MAC address of the second user equipment.
  • the source address of the EAP authentication packet is modified to the MAC address corresponding to the air interface of the access point 1020, and the EAP authentication packet with the source address modified is forwarded to the second user equipment. .
  • the access point 1020 in this embodiment may be used as an access point device in the foregoing method or the third embodiment, which may be used to assist in implementing all the technologies in the first or third embodiment of the foregoing method.
  • the functions of the respective functional modules may be specifically implemented according to the method in the foregoing method embodiment.
  • a wireless local area network centralized 802. IX authentication system is provided.
  • the wireless local area network includes an authentication entity 1110, an access point 1120, and at least one user equipment 1130.
  • the authentication entity 1110 passes through the access point 1120 and at least A user equipment 1130 is connected;
  • the access point 1120 is configured to generate an EAP authentication start message, where the destination address of the EAP authentication start message is a port access entity multicast address or a MAC address of the authentication entity 1110, and the source address is a MAC address of the UE;
  • the EAP authentication start message is received; the MAC address of the EAP authentication device 1130 sent by the authentication entity 1110 is received; and the EAP authentication message is forwarded to the user equipment 1130, so that the user equipment 1130 learns the authentication entity from the EAP authentication message.
  • the source address of the EAP authentication is modified to the MAC address corresponding to the air interface of the access point 1120 (such as the BSSID), and the EAP authentication packet with the source address modified is forwarded to the user equipment 1130.
  • the access point 1120 receives the EAP authentication packet sent by the authentication entity 1110 (for example, an EAP request packet (EAP-Request packet) for requesting identification of the user equipment 1130 or other report.
  • the source address of the EAP authentication packet is the MAC address of the AE
  • the destination address is the MAC address of the user equipment 1130.
  • the access point 1120 can modify the source address of the EAP authentication packet to the MAC address of the access point 1120. And forwarding the EAP authentication packet with the source address modified to the user equipment 1130.
  • the access point 1120 since the source address of the received EAP authentication packet forwarded by the access point 1120 is the MAC address corresponding to the air interface of the access point (such as the BSSID), it will still The access point 1120 acts as an AE to continue EAP authentication. If the access point 1120 further receives the other EAP authentication packet sent by the UE, the EAP authentication packet is an authentication packet sent by the user equipment 1130 except the EAP authentication start packet (for example, the identity of the user equipment 1130 is carried.
  • An EAP-Response packet (ID) or other EAP authentication packet and the destination address of the EAP authentication packet is the MAC address (such as the BSSID) of the air interface of the access point, and the source address is the MAC address of the user equipment 1130.
  • the access point 1120 can modify the destination address of the EAP authentication packet to the MAC address of the authentication entity 1110; and forward the EAP authentication packet with the destination address modified.
  • the access point 1120 can modify the destination address of the EAP authentication packet of the user equipment 1130 and the authentication device 1130 to the MAC address of the authentication entity 1110, and can modify the source address of the EAP authentication packet from the authentication entity 1110 to The MAC address of the access point 1120, the UE can always view the access point 1120 as an AE for EAP authentication. Therefore, the user equipment 1130 can unicast all EAP authentication messages according to the IEEE 802.1 X protocol.
  • the access point 1120 further receives the EAP authentication packet sent by the authentication entity 1110 (for example, an EAP-Request packet for requesting identification of the user equipment 1130), the address is the user equipment 1130.
  • the access point 1120 may not modify the source address or the destination address of the EAP authentication packet from the authentication entity 1110, but directly forward the EAP authentication packet to the user equipment 1130, so that the user equipment 1130 can The MAC address of the authentication entity 1110 is learned in the EAP authentication packet.
  • the user equipment 1130 after receiving the EAP authentication packet, the user equipment 1130 can learn the MAC address of the real authentication entity 1110, and the MAC address of the learned authentication entity 1110 can be followed.
  • the address, and the authentication entity 1110 exchange other EAP authentications to complete the access authentication. That is, the access point 1120 generates and sends an EAP authentication start message at the proxy user equipment 1130 (the destination address is the port access entity multicast address or the MAC address of the authentication entity 1110, and the source address is the MAC address of the user equipment 1130)
  • the user equipment 1130 and the authentication entity 1110 may not know the MAC address of the authentication entity 1110 according to the response of the authentication entity 1110 to the EAP authentication start message. Therefore, the user equipment 1130 may follow the IEEE 802. According to the IX protocol, all EAP authentication packets are sent unicast.
  • the access point 1120 is further configured to receive an extensible authentication protocol EAP authentication start message sent by the third user equipment, where the destination address of the EAP authentication start message is an air interface corresponding to the access point 1120.
  • the media access control MAC address and the source address are the MAC addresses of the third user equipment; the destination address of the EAP authentication start message is modified to the port access entity multicast address or the MAC address of the authentication entity 1110; The EAP authentication start message of the address, so that the authentication entity 1110 starts the access authentication of the third user equipment according to the EAP authentication start message with the modified destination address.
  • the access point 1120 in this embodiment may be used as the access point device in the foregoing method embodiment 2 or the fourth embodiment, which may be used to assist in implementing all the technologies in the foregoing method embodiment 2 or the fourth embodiment.
  • the functions of the respective functional modules may be specifically implemented according to the method in the foregoing method embodiment.
  • the AP in the centralized authentication deployment receives the EAP authentication start message from the MAC address (such as the BSSID) corresponding to the air interface of the AP. Modifying the destination address of the packet to the MAC address of the AE, and forwarding the modified EAP authentication start packet, so that the EAP authentication start packet can reach the AE without ending in the AP.
  • the UE's access authentication process may be triggered to implement centralized 802.IX authentication of the UE wireless local area network; and the mechanism enables the UE to unicast all EAP authentication messages according to the IEEE 802.IX protocol, so no modification is needed.
  • the UE built-in authentication procedure based on the IEEE 802. IX protocol mechanism.
  • an AP in a centralized authentication deployment generates and sends an EAP authentication start message whose source address is a MAC address of the UE and a MAC address whose destination address is an AE, to proxy the UE.
  • Initiating an access authentication process so that the EAP authentication start message can reach the AE, and then the UE access authentication process can be triggered to implement centralized 802.IX authentication of the UE wireless local area network; and, the mechanism enables the UE to follow the IEEE 802.IX
  • the protocol stipulates that all EAP authentication messages are sent unicast, so there is no need to modify the UE's built-in authentication procedure based on the IEEE 802. IX protocol mechanism.
  • the program can be stored in a computer readable storage medium.
  • the storage medium can include: Read-only memory, random access memory, disk or optical disk, etc.

Abstract

本发明公开了无线局域网集中式802.1X认证方法及装置和系统，其中，一种无线局域网集中式802.1X认证方法，无线局域网包括认证实体、接入点以及至少一个用户设备UE，该认证实体通过接入点与该至少一个UE相连，该方法包括：接入点接收来自UE的可扩展认证协议EAP认证开始报文，该EAP认证开始报文的目的地址为该接入点的空口对应的介质访问控制MAC地址、源地址为所述UE的MAC地址；将所述EAP认证开始报文的目的地址修改为端口接入实体组播地址或者认证实体的MAC地址；转发所述修改了目的地址的EAP认证开始报文。本发明实施例提供方案能够实现UE的无线局域网集中式802.1X认证。

Description

无线局域网集中式 802.1X认证方法及装置和系统 本申请要求于 2010年 12月 9日提交中国专利局、申请号为 201010581115.6、 发明名称为"无线局域网集中式 802.1 X认证方法及装置和系统"的中国专利申请 的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明涉及通信技术领域， 具体涉及无线局域网集中式 802. IX认证方法及 装置和系统。
背景技术
IEEE ( Institute of Electrical and Electronics Engineers , 美国电气和电子工程 师协会） 802.11中定义的无线局域网 （ WLAN , Wireless Local Area Network )基 本结构可如图 1所示， 其中， 站点 （STA, Station )指具有无线局域网接口的终 端设备，接入点（AP, Access Point )相当于移动网络的基站， 主要负责实现 STA 之间或 STA与有线网络的相关设备进行通信，多个 STA可接入到同一个 AP上。 关 联到同一 AP下的 STA构成一个基本服务集（BSS , Basic service set )。 分发系统 ( DS, Distribution System, )用于使不同 BSS之间、 以及 BSS与有线局域网之间 能够组成一个大的局域网。 门户 （portal )设备为提供 DS与有线局域网之间数据 转发的逻辑点。
WLAN系统中， 一般釆用服务设置标识（SSID, Service Set Identifier ) 区分 不同的无线局域网。 当不同的 BSS (可用 BSSID来标识）通过 DS组成一个大的局 域网时， 则它们拥有同样的 SSID。
目前 WLAN普遍釆用无线相容性认证 ( WI-FI, wireless fidelity )联盟推荐的 WI-FI保护接入（ WPA, WI-FI Protected Access )安全机制。 WPA企业版（此处 指各种 WPA企业版的统称）基于 802. IX认证协议来实现。 802. IX认证的网络结 构上可以分为三个部分， 包括： 申请认证方 （即用户端口接入实体（简称用户 设备（UE, User Equipment ), 而在 WLAN中， UE可以称之为 STA )、 认证系统 ( Authenticator system ) (即认证实体 ( AE, Authentication Entity )和认证月良务 器 ( AS , Authenticator server system )。 在默认情况下， AE开始只允许 UE的认证报文通过， 只有在该 UE认证通过 后， AE才允许其业务报文通过。 在 WLAN网络中， AS为远程用户拨号认证系统 ( Radius , Remote Authentication Dial In User Service )月良务器, AE——般对应为 AP, 而 UE为 STA。
在认证过程中， 认证报文在 STA和 AP之间传送。 WLAN在认证开始前 STA 和 AP已经有关联过程， 故而 STA和 AP在认证前都已学习到了对端的空口介质访 问控制（MAC, Media Access Control )地址（如 BSSID ), 因此 IEEE 802. IX协议 规定，在 WLAN网络中， UE所有可扩展认证协议（EAP, Extensive Authentication Protocol )认证报文（包括首个报文）都必须使用单播地址。
IEEE802. IX协议规定在 WLAN中， 所有的 EAP认证报文均使用单播地址需 满足的一个前提条件为： AE—定是 AP设备（UE在与 AP的关联过程中能学习到 AP的空口对应的 MAC地址（如 BSSID ) )。 家庭或者小企业等场景下的 WLAN可 满足该条件， 因为在这些场景中 AP数量有限，将每个 AP配置成 AE的工作量不是 很大， 这种认证部署方式可称分布式认证部署。
随着技术发展， 适用于大企业或运营商的大型 WLAN大量部署， 而大型 WLAN中 AP数量非常庞大， 为了减轻管理负担， 目前一般釆用瘦 AP组网， 此时， AE设备可能会部署在接入控制器（AC, access controller )上， 也可能部署在 AC 上面的多业务控制网关（ MSCG, Multi-service control gateway )设备上 , 这种将 AE设备集中部署在 AC或 MSCG等设备上的认证部署方式可称集中式认证部署。
由于集中式认证部署的 AE并不是 AP设备， 因此 UE在认证之前无法学习 到 AE的 MAC地址， 而 IEEE 802. IX协议规定 UE所有 EAP认证报文（包括首 个报文）都必须使用单播地址， 此时按照现有机制则无法认证完成。
发明内容
本发明实施例提供无线局域网集中式 802. IX认证方法及装置和系统， 以实 现 UE的无线局域网集中式 802.1 X认证。
为便于解决上述技术问题， 本发明实施例提供以下技术方案：
一种无线局域网集中式 802. IX认证方法， 所述无线局域网包括认证实体、 接入点以及至少一个用户设备 UE , 所述认证实体通过所述接入点与所述至少一 个 UE相连， 所述方法包括：
接入点接收来自 UE的可扩展认证协议 EAP认证开始报文， 所述 EAP认证开 始才艮文的目的地址为该接入点的空口对应的介质访问控制 MAC地址、 源地址为 所述 UE的 MAC地址；
将所述 EAP认证开始报文的目的地址修改为端口接入实体组播地址或者认 证实体的 MAC地址；
转发所述修改了目的地址的 EAP认证开始报文，以便于所述认证实体根据所 述修改了目的地址的 EAP认证开始报文开始所述 UE的接入认证。
一种无线局域网集中式 802. IX认证方法， 包括：
接入点生成 EAP认证开始报文，该 EAP认证开始报文的目的地址为端口接入 实体组播地址或者认证实体的 MAC地址、 源地址为 UE的 MAC地址；
发送所述 EAP认证开始艮文；
接收认证实体发送的 EAP认证报文，所述 EAP认证报文的源地址为所述认证 实体的 MAC地址、 目的地址为所述 UE的 MAC地址；
将所述 EAP认证报文的源地址修改为所述接入点的空口对应的 MAC地址， 并向所述 UE转发所述修改了源地址的 EAP认证报文。
一种接入点设备， 包括：
第一接收模块， 用于接收 UE发送的 EAP认证开始报文， 所述 EAP认证开始 报文的目的地址为所述接入点的空口对应的 MAC地址、源地址为所述 UE的 MAC 地址；
第一地址修改模块，用于将所述第一接收模块接收的 EAP认证开始报文的目 的地址修改为端口接入实体组播地址或者认证实体的 MAC地址；
第一转发模块，用于转发所述第一地址修改模块修改了目的地址的 EAP认证 开始报文，以便于所述认证实体根据所述修改了目的地址的 EAP认证开始报文开 始所述 UE的接入认证。
一种无线局域网集中式 802. IX认证系统， 无线局域网包括认证实体、 接入 点以及至少一个用户设备 UE,所述认证实体通过所述接入点与所述至少一个 UE 相连，
其中， 所述接入点， 用于接收 UE发送的可扩展认证协议 EAP认证开始报文， 所述 EAP认证开始 ^艮文的目的地址为所述接入点的空口对应的介质访问控制 MAC地址、 源地址为所述 UE的 MAC地址； 将所述 EAP认证开始报文的目的地址 修改为端口接入实体组播地址或者认证实体的 MAC地址； 转发所述修改了目的 地址的 EAP认证开始报文，以便于所述认证实体根据所述修改了目的地址的 EAP 认证开始报文开始所述 UE的接入认证。
由上可见， 本发明实施例提供的一种技术方案中， 集中式认证部署中的接 入点接收到来自 UE的目的地址为该接入点的空口对应的 MAC地址的 EAP认证 开始报文后， 将该报文的目的地址修改为认证实体的 MAC地址， 并转发该修改 了目的地址 EAP认证开始报文，使得 EAP认证开始报文能够到达认证实体而不终 结于该接入点， 进而可触发 UE的接入认证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机制使得 UE能够按照 IEEE 802. IX协议的规定单播发送所 有 EAP认证报文， 因此可无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程 序。
本发明实施例提供的另一种技术方案中， 由集中式认证部署中的接入点生 成并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证 开始报文， 以代理 UE发起接入认证流程， 使得 EAP认证开始报文能够到达认 证实体，进而可触发 UE的接入认证流程， 以实现 UE无线局域网集中式 802. IX 认证； 并且， 该机制使得 UE能够按照 IEEE 802.1X协议的规定， 单播发送所有 EAP认证报文，因此可无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程 序。
附图说明
为了更清楚地说明本发明实施例和现有技术中的技术方案， 下面将对实施 例和现有技术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述 中的附图仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付 出创造性劳动性的前提下， 还可以根据这些附图获得其他的附图。
图 1是 802.11中定义的 WLAN基本结构示意图；
图 2是本发明实施例提供的一种集中式部署认证网络拓朴示意图；
图 3是本发明实施例一提供的一种无线局域网集中式 802. IX认证方法流程 示意图；
图 4是本发明实施例二提供的一种无线局域网集中式 802. IX认证方法流程 示意图；
图 5是本发明实施例三提供的一种无线局域网集中式 802. IX认证方法流程 示意图；
图 6是本发明实施例四提供的一种无线局域网集中式 802. IX认证方法流程 示意图；
图 7是本发明实施例提供的一种接入点示意图；
图 8是本发明实施例提供的另一种接入点示意图；
图 9是本发明实施例提供的另一种接入点示意图；
图 10是本发明实施例提供的一种无线局域网集中式 802.1X认证系统示意 图；
图 11是本发明实施例提供的另一种无线局域网集中式 802.1X认证系统示意 图。
具体实施例
本发明实施例提供无线局域网集中式 802.1 X认证方法及装置和系统。
为使得本发明的发明目的、 特征、 优点能够更加的明显和易懂， 下面将结 合本发明实施例中的附图， 对本发明实施例中的技术方案进行清楚、 完整地描 述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而非全部实施例。 基 于本发明中的实施例， 本领域普通技术人员在没有做出创造性劳动前提下所获 得的所有其他实施例， 都属于本发明保护的范围。
参见图 2, 图 2为本发明实施例提供的一种集中式部署认证网络拓朴示意图， 其中， 多个 UE可以关联到一个 AP, 多个 AP又连接到一个接入控制器 AC上， AE 设备则可能会部署在 AC上， 或者， 部署在 AC上面的多业务控制网关 MSCG设备 上， 图 2示出了 AE设备部署在 AC上场景， AE设备关联到 AS, 组成一种集中式认 证部署。 本发明实施例的技术方案可以基于如图 2所示拓朴结构的认证网络或类 似集中式部署结构的认证网络具体实施。
以下分别进行详细说明。 实施例一
本发明无线局域网集中式 802. IX认证方法的一个实施例， 其中， 无线局域 网包括 AE、 AP以及至少一个 UE, 该 AE通过该 AP与该至少一个 UE相连， 方法可 包括： AP接收 UE发送的 EAP认证开始报文， 该 EAP认证开始报文的目的地址为 AP的空口对应的介质访问控制 （ MAC , Media Access Control )地址、 源地址为 该 UE的 MAC地址； 将该 EAP认证开始报文的目的地址修改为端口接入实体 ( PAE, PortAuthenticator )组播地址或者 AE的 MAC地址； 转发该修改了目的地 址的 EAP认证开始报文， 以便于该 AE根据该修改了目的地址的 EAP认证开始报 文开始 UE的接入认证。
参见图 3 , 具体步骤可以包括：
310、 AP接收 UE发送的 EAP认证开始报文，该 EAP认证开始报文的目的地址 为 AP的空口对应的 MAC地址、 源地址为该 UE的 MAC地址； 来发起认证请求， 以请求网络侧进行接入认证。
其中 , UE在发起认证前已经和 AP有关联过程 , UE和 AP在认证前都已学习 到了对端的介质访问控制 MAC地址， 因此， UE可以按照 IEEE 802. IX协议的规 定， 单播发送 EAP认证开始报文， 其中， EAP认证开始报文携带的 AP的 MAC地 址可为 BSSID或其它区别标识。
320、 AP将上述 EAP认证开始报文的目的地址修改为 AE的 MAC地址或者 PAE组播地址；
此处的 AP在监测接收到的 EAP认证开始报文的目的地址为该 AP的空口对 应的 MAC地址（如 BSSID ) 时， AP并不将该 EAP认证开始报文终结于此， 而是 将其目的地址进行修改后继续转发。
在实际应用中， 若 AP预先配置了 AE的 MAC地址， 则 AP可将接收到的 EAP 认证开始艮文的目的地址修改为 AE的 MAC地址； 若 AP此时还未获知 AE的 MAC 地址， 则 AP可将接收到的 EAP认证开始报文的目的地址修改为 PAE组播地址， 其中， 目的地址为 PAE组播地址的 EAP认证开始报文亦可被 AE探测接收到。 330、 AP转发该修改了目的地址的 EAP认证开始 ^艮文。
相应的， AE可接收到该修改了目的地址的 EAP认证开始报文， 进而获知 UE 请求接入认证， AE可按照标准的认证流程进行响应， 开始 UE的接入认证。
在一种应用场景下， 若 AP进一步接收到 AE发送的 EAP认证报文（例如为用 于请求对 UE身份识别的 EAP请求报文（ EAP-Request报文）或其它报文）， 其中， 该 EAP认证报文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC地址； 则 AP 可以将该 EAP认证 ^艮文的源地址爹改为 AP的空口对应的 MAC地址 (如 BSSID ); 并向 UE转发该修改了源地址的 EAP认证报文。 此时， 对于 UE而言， 由于接收到 的 AP转发过来的 EAP认证报文的源地址为该 AP的空口对应的 MAC地址 （如 BSSID ), 因此其仍会将该 AP当作是 AE继续来进行 EAP认证。 若 AP进一步接收 到该 UE发送的第二 EAP认证报文， 该第二 EAP认证报文为该 UE发送的除 EAP认 证开始报文外的认证报文（第二 EAP认证报文例如为携带有 UE身份标识（ID ) 的 EAP响应 （EAP-Response )报文或者其它 EAP认证报文）， 该第二 EAP认证报 文的目的地址为 AP的空口对应的 MAC地址（如 BSSID )、 源地址为 UE的 MAC地 址； 则 AP可将该第二 EAP认证报文的目的地址修改为上述 AE的 MAC地址； 并转 发该修改了目的地址的第二 EAP认证报文。也就是说， AP可对 UE和 AE交互的所 有 EAP认证报文进行源地址或目的地址的修改， 可将来自 UE的 EAP认证报文的 目的地址修改为 AE的 MAC地址，可将来自 AE的 EAP认证 文的源地址修改为该 AP的空口对应的 MAC地址（如 BSSID ), UE可始终将该 AP看成是 AE来进行 EAP 认证。 由于 UE认证前就已经获知 AP的空口对应的 MAC地址（如 BSSID ), 因此 UE可以按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。
在另一种应用场景下， 若 AP进一步接收 AE发送的第三 EAP认证报文（例如 为用于请求对 UE身份识别的 EAP请求报文（ EAP-Request报文）或其它报文）， 其中， 该第三 EAP认证报文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC 地址； AP亦可不对该第三 EAP认证报文的源地址或目的地址进行修改， 而是直 接向 UE转发该第三 EAP认证报文， 以便于 UE从该第三 EAP认证报文中学习到上 述 AE的 MAC地址。 在此场景下， UE在接收到该第三 EAP认证报文后， 可学习到 真正的 AE的 MAC地址， 后续即可以该学习到的 AE的 MAC地址， 和 AE交互其它 的 EAP认证报文来完成接入认证。也就是说， AP亦可只对 EAP认证开始报文（来 自 UE的首条 EAP认证报文）的目的地址进行修改， 而对 UE和 AE后续交互的 EAP 认证开始报文的源地址或目的地址并不作修改， 而 UE可根据 AE对 EAP认证开始 报文的响应获知 AE的 MAC地址， 因此， UE可以按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。
需要说明的是， 本发明实施例中提及的 UE可以是手机， 便携电脑等多种具 有无线局域网接入能力的终端设备； AP可以是具有无线接入功能的多种设备。 本发明实施例的方案主要涉及， AP对 UE和 AE间交互的部分或全部 EAP认证 ^艮文 的源 /目的地址进行修改，而 AE和 AS之间交互的认证信令消息可与标准流程一致 或类似。 可以理解， 在 802.1X认证框架下， 可根据需要选择多种 EAP认证算法， 例如、 EAP-PEAP ( EAP-Protected Extensible Authentication Protocol, 可扩展认证 协 议 - 受 保 护 的 可 扩 展 认 证 协 议 ） 、 EAP-SIM/AKA ( EAP-Subscriber Identity Module/ Authentication and Key Agreement,可扩展认 证协议-用户认证模块 /认证与密钥商定）、 EAP-TLS (可扩展认证协议-传输层安 全协议， EAP-Transport Layer Security Protocol )等认证算法， 但不同 EAP认证 算法并不影响 802.1X的认证框架下的认证。
由上可见， 本实施例中， 集中式认证部署中的 AP接收到来自 UE的目的地址 为该 AP的空口对应的 MAC地址（如 BSSID ) 的 EAP认证开始报文后， 将该报文 的目的地址修改为 AE的 MAC地址， 并转发该修改了目的地址 EAP认证开始报 文，使得 EAP认证开始报文能够到达 AE而不终结于该 AP,进而可触发 UE的接入 认证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机制使得 UE能够 按照 IEEE 802. IX协议的规定单播发送所有 EAP认证报文， 因此可无需修改 UE内 置的基于 IEEE 802. IX协议机制的认证程序。 实施例二
本发明无线局域网集中式 802.1X认证方法的另一个实施例， 其中， 无线局 域网包括 AE、 AP以及至少一个 UE, 该 AE通过该 AP与该至少一个 UE相连， 方法 可包括： AP生成 EAP认证开始报文，该 EAP认证开始报文的目的地址为 PAE组播 地址或者 AE的 MAC地址、 源地址为 UE的 MAC地址； 发送该 EAP认证开始报文； 接收 AE发送的 EAP认证报文， 该 EAP认证报文的源地址为上述 AE的 MAC地址、 目的地址为上述 UE的 MAC地址； 向该 UE转发上述 EAP认证报文， 以便于该 UE 从上述 EAP认证报文中学习到 AE的 MAC地址； 或者， 将该接收到的 EAP认证报 文的源地址修改为 AP的空口对应的 MAC地址，并向上述 UE转发该修改了源地址 的 EAP认证报文。
参见图 4, 具体步骤可包括：
410、 AP生成 EAP认证开始报文， 其中， 该 EAP认证开始报文的目的地址为 PAE组播地址或者 AE的 MAC地址、 源地址为 UE的 MAC地址；
在一些应用场景下， UE在关联上 AP后并不会主动发起 802.1X认证， 即不会 主动发送 EAPOL-Start报文， 此时可由 AP将代理 UE发送 EAPOL-Start报文到 AE, 触发 802. IX认证。
420、 AP发送该 EAP认证开始艮文；
本实施例中， 由 AP代理 UE发起认证请求， 请求网络侧对 UE进行接入认证。 其中， AP通过生成并发送 EAP认证开始报文， 以触发 UE的接入认证流程。 在实 际应用中， 若 AP预先配置了 AE的 MAC地址， 则其生成并发送的 EAP认证开始才艮 文的目的地址为 AE的 MAC地址； 若 AP此时还未获知 AE的 MAC地址， 则其生成 并发送的 EAP认证开始报文的目的地址为 PAE组播地址， 其中， 目的地址为 PAE 组播地址的 EAP认证开始报文可被 AE探测接收到。
相应的， AE可接收到该 EAP认证开始 ^艮文，进而获知 UE请求进行接入认证， AE可按照标准的认证流程进行响应。
430、 AP接收 AE发送的 EAP认证报文， 该 EAP认证报文的源地址为上述 AE 的 MAC地址、 目的地址为上述 UE的 MAC地址；
440、 AP向该 UE转发上述 EAP认证报文， 以便于该 UE从上述 EAP认证报文 中学习到 AE的 MAC地址； 或， 将该 EAP认证报文的源地址修改为 AP的空口对应 的 MAC地址（如 BSSID ), 并向上述 UE转发该修改了源地址的 EAP认证报文。
AE可在接收到 EAP认证开始报文后，启动 UE的接入认证流程，和 UE进行其 它 EAP认证开始报文的交互。
在一种应用场景下， 若 AP接收到 AE发送的 EAP认证报文（如为用于请求对 UE身份识别的 EAP请求报文（ EAP-Request报文）或其它报文）， 该 EAP认证报 文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC地址； 则 AP可将该 EAP认 证才艮文的源地址修改为 AP的空口对应的 MAC地址（如 BSSID ); 并向 UE转发该 修改了源地址的 EAP认证报文。 此时， 对于 UE而言， 由于接收到的 AP转发过来 的 EAP认证报文的源地址为该 AP的空口对应的 MAC地址（如 BSSID ), 因此其仍 会将该 AP当作是 AE继续来进行 EAP认证。 后续若 AP进一步接收到该 UE发送的 其它 EAP认证报文， 该 EAP认证报文为该 UE发送的除 EAP认证开始报文外的认 证报文（例如为携带有 UE身份标识 （ID ) 的 EAP-Response报文或者其它 EAP认 证报文）， 而该 EAP认证报文的目的地址为 AP的空口对应的 MAC地址 （如 BSSID )、 源地址为 UE的 MAC地址； 则 AP可将该 EAP认证报文的目的地址修改 为 AE的 MAC地址； 并转发该修改了目的地址的 EAP认证报文。 也就是说， AP
UE的 EAP认证报文的目的地址修改为 AE的 MAC地址， 可将来自 AE的 EAP认证 报文的源地址修改为该 AP的空口对应的 MAC地址（如 BSSID ), UE可始终将该 AP看成是 AE来进行 EAP认证。 因此， UE可以按照 IEEE 802. IX协议的规定， 单 播发送所有 EAP认证报文。
在另一种应用场景下， 后续若 AP进一步接收 AE发送的 EAP认证报文（例如 为用于请求对 UE身份识别的 EAP-Request报文）或其它报文）， 其中， 该 EAP认 证报文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC地址； AP亦可不对来 自 AE的该 EAP认证报文的源地址或目的地址进行修改， 而是直接向 UE转发该 EAP认证报文， 以便于 UE从该 EAP认证报文中学习到上述 AE的 MAC地址。 在此 场景下， UE在接收到该 EAP认证报文后， 可学习到真正的 AE的 MAC地址， 后续 即可以该学习到的 AE的 MAC地址，和 AE交互其它的 EAP认证报文来完成接入认 证。 也就是说， AP在代理 UE生成并发送 EAP认证开始报文（目的地址为 PAE组 播地址或者 AE的 MAC地址、 源地址为 UE的 MAC地址）， 发起 UE的接入认证后， 可以根据 AE对 EAP认证开始报文的响应获知 AE的 MAC地址， 因此， UE可按照 IEEE 802.1 X协议的规定， 单播发送所有 EAP认证报文。
需要说明的是， 本发明实施例中提及的 UE可以是手机， 便携电脑等多种具 有无线局域网接入能力的终端设备； AP可以是具有无线接入功能的多种设备。 本发明实施例的方案主要涉及， AP对 UE和 AE间交互的部分或全部 EAP认证 ^艮文 的中转处理 , 而 AE和 AS之间交互的认证信令消息可与标准流程一致或类似。 可 以理解， 在 802.1X认证框架下， 可根据需要选择多种 EAP认证算法 （例如 EAP-PEAP, EAP-SIM/AKA, EAP-TLS等认证算法）， 但不同 EAP认证算法并不 影响 802.1 X的认证框架下的认证。
由上可见， 本实施例由集中式认证部署中的 AP生成并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证开始报文， 以代理 UE发起接 入认证流程， 使得 EAP认证开始报文能够到达 AE, 进而可触发 UE的接入认证流 程，以实现 UE无线局域网集中式 802. IX认证；并且，该机制使得 UE能够按照 IEEE 802.1X协议的规定， 单播发送所有 EAP认证报文， 因此可无需修改 UE内置的基 于 IEEE 802. IX协议机制的认证程序。 实施例三
为便于更好的理解本发明实施例的技术方案， 下面主要以基于 EAP-TLS认 证算法进行 UE-1接入认证的过程为例， 进行详细描述。
参见图 5、 具体步骤可以包括：
501、 UE-1发送 EAPOL-Start报文， 启动 802. IX认证；
其中， EAPOL-Start报文的目的地址为 AP的空口对应的 MAC地址 （如 BSSID )、 源地址为 UE-1的 MAC地址；
502、 AP接收来自 UE-1的 EAPOL-Start报文， 将该 EAP认证开始报文的目的 地址修改为 AE的 MAC地址或者 PAE组播地址； 并转发该修改了目的地址的 EAPOL-Start报文；
在实际应用中， 若 AP预先配置了 AE的 MAC地址， AP可将 EAPOL-Start报文 的目的地址修改为 AE的 MAC地址； 若 AP此时还未获知 AE的 MAC地址， 则 AP 可将上述 EAPOL-Start报文的目的地址修改为 PAE组播地址， 其中， 目的地址为 PAE组播地址的 EAPOL-Start报文亦可被 AE探测接收到。
503、 AE接收 AP修改了目的地址的 EAPOL-Start报文， 并反馈 EAP-Request 报文， 请求 UE-1身份识别；
其中 , EAP-Request报文的源地址为 AE的 MAC地址、 目的地址为 UE- 1的 MAC地址； 504、 AP接收来自 AE的 EAP-Request报文， 并将该 EAP-Request报文的源地 址修改为 AP的空口对应的 MAC地址 （如 BSSID ); 并转发该修改了源地址的 EAP-Request才艮文；
505、 UE-1接收 AP修改了源地址的 EAP-Request报文， 获知网络侧请求身份 识别， UE-1向 AE发送 EAP响应（EAP-Response )报文， 其中携带 UE-1的身份 ID 等信息；
其中，由于 AP对来自 AE的 EAP-Request报文的源地址进行了修改，因此 UE-1 仍将该 AP看作是 AE来继续认证流程。 UE-1发送的 EAP-Response报文的目的地址 为 AP的空口对应的 MAC地址（如 BSSID )、 源地址为 UE-1的 MAC地址。
506、 AP接收来自 UE-1的 EAP-Response才艮文， 将该 EAP-Response的目的地 址修改为 AE的 MAC地址； 并向 AE转发该修改了目的地址的 EAP-Response报文。
507、 AE向 AS发送 EAP over Radius消息， 其中携带上述 EAP-Response报文 和 UE-1身份 ID等；
508、 AS对 UE-1身份识别， 并向 AE发送 EAP-Request ( TLS Start )消息， 其 中指明 EAP认证算法为 EAP-TLS , 启动 EAP认证； 其中， 若 AS选择其它 EAP认 证算法， 则 EAP-Request ( TLS Start ) 消息可对应指示相应算法。
509、 AE通过 AP将 TLS Start消息中继给 UE-1；
510、 UE-1通过 AP向 AE发送 TLS client— hello消息， 以响应 TLS Start消息；
511、 AE将 TLS client— hello消息中继给 AS；
512、 AS发送 TLS server— hello消息给 AE, 消息中可包含 AS证书、 密钥交换 信息、 AS支持的安全加密套件， 并请求 UE-1的证书；
513、 AE通过 AP将 TLS server— hello消息中继给 UE- 1；
514、 UE-1验证 AS证书， 并通过 AP向 AE发送携带认证结果、 UE-1证书、 密 钥交换信息、 UE- 1支持的安全加密套件的消息；
515、 AE将消息中继给 AS;
516、 AS认证通过后， 向 AE发送携带其选择的安全加密套件的消息；
517、 AE通过 AP将消息中继给 UE- 1；
518、 UE-1通过 AP向 AE发送 EAP-Response消息；
519、 AE将 EAP-Response消息中继给 AS； 520、 AS发送 EAP成功 （ EAP-Success ) 消息给 AE, 指示认证成功； 521、 AE通过 AP将 EAP-Success中继给 UE-1 , UE-1获知认证成功。
需要说明的是， 在步骤 504中， 若 AP接收到来自 AE的 EAP-Request报文后并 不修改其源地址（AE的 MAC地址）， 而直接转发给 UE-1 , 以便于 UE-1从该 EAP 认证 4艮文中学习到 AE的 MAC地址。 而 UE-1则可据此获知 AE的 MAC地址， UE-1 后续即可以该学习到的 AE的 MAC地址，和 AE交互其它的 EAP认证报文来完成接 入认证。也就是说， AP亦可只对来自 UE-1的 EAPOL-Start报文的目的地址进行修 改， 而 UE-1可根据 AE对 EAP认证开始报文的响应获知 AE的 MAC地址， 因此， UE-1可以按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。 当然， AE 和 AS之间交互的 EAP over RADIUS报文不需修改。
需要说明的是， 本实施例中主要以基于 EAP-TLS认证算法进行 UE-1接入认 证的过程为例进行描述的， 当然亦可选择 EAP— PEAP、 EAP-SIM/AKA等认证算 法对 UE-1进行接入认证， 其实现过程类似， 此处不再赘述。
由上可见， 本实施例中通过在集中式认证部署中的 AP上实施 EAPOL报文的 探测和中继来实现无线局域网集中式 802. IX认证， AP接收到来自 UE的目的地址 为该 AP的空口对应的 MAC地址（如 BSSID ) 的 EAP认证开始报文后， 将该报文 的目的地址修改为 AE的 MAC地址， 并转发该修改了目的地址 EAP认证开始报 文，使得 EAP认证开始报文能够到达 AE而不终结于该 AP,进而可触发 UE的接入 认证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机制使得 UE能够 按照 IEEE 802. IX协议的规定单播发送所有 EAP认证报文， 因此可无需修改 UE内 置的基于 IEEE 802. IX协议机制的认证程序。 实施例四
为便于更好的理解本发明实施例的技术方案， 下面仍以基于 EAP-TLS认证 算法进行 UE-1接入认证的过程为例， 进行详细描述。 其中， 本实施例以 AP代理 UE-1发起接入认证为例。
参见图 6、 具体步骤可以包括：
601、 AP生成并发送 EAPOL-Start报文； 其中， EAPOL-Start报文的目的地址为 AE的 MAC地址（如 BSSID )或者 PAE 组播地址、 源地址为 UE-1的 MAC地址；
在一些应用场景下， UE-1在关联上 AP后并不会主动发起 802.1X认证， 即不 会主动发送 EAPOL-Start报文， 此时可由 AP将代理 UE-1发送 EAPOL-Start报文到 AE, 触发 802. IX认证。
在实际应用中， 若 AP预先配置了 AE的 MAC地址， AP可将 EAPOL-Start报文 的目的地址设置为 AE的 MAC地址； 若 AP此时还未获知 AE的 MAC地址， 则 AP 可将 EAPOL-Start报文的目的地址设置为 PAE组播地址， 其中， 目的地址为 PAE 组播地址的 EAPOL-Start报文亦可被 AE探测接收到。
602、 AE接收来自 AP的 EAPOL-Start报文， 并反馈 EAP-Request报文， 请求 UE-1身份识别； 其中， EAPOL-Request报文的源地址为 AE的 MAC地址、 目的地 址为 UE-1的 MAC地址；
603、 AP接收来自 AE的 EAP-Request报文， 向 UE-1转发该 EAP-Request报文；
604、 UE-1接收 EAP-Request报文， 获知网络侧请求身份识别， UE-1通过 AP 向 AE发送 EAP-Response响应报文， 其中携带身份 ID等信息；
其中，由于 AP对来自 AE的 EAP-Request报文的源地址进行了修改，因此 UE-1 可据此学习到 AE的 MAC地址， 后续 UE-1可以该学习到的 AE的 MAC地址， 和 AE 交互其它的 EAP认证报文来完成接入认证。
605、 AE接收 AP转发的 EAP-Response报文， 向 AS发送 EAP over Radius消息， 其中携带 EAP-Response报文和 UE-1身份 ID等；
606、 AS对 UE-1身份识别， 并向 AE发送 EAP-Request ( TLS Start )消息， 其 中指明 EAP认证算法为 EAP-TLS , 启动 EAP认证； 其中， 若 AS选择其它 EAP认 证算法， 则 EAP-Request ( TLS Start ) 消息可对应指示相应算法。
607、 AE通过 AP将 TLS Start消息中继给 UE-1；
608、 UE-1通过 AP向 AE发送 TLS client— hello消息， 以响应 TLS Start消息； 609、 AE将 TLS client— hello消息中继给 AS；
610、 AS发送 TLS server— hello消息给 AE, 消息中可包含 AS证书、 密钥交换 信息、 AS支持的安全加密套件， 并请求 UE-1的证书；
611、 AE通过 AP将 TLS server— hello消息中继给 UE- 1； 612、 UE-1验证 AS证书， 并通过 AP向 AE发送携带认证结果、 UE-1证书、 密 钥交换信息、 UE- 1支持的安全加密套件的消息；
613、 AE将消息中继给 AS；
614、 AS认证通过后， 向 AE发送携带其选择的安全加密套件的消息；
615、 AE通过 AP将消息中继给 UE- 1；
616、 UE-1通过 AP向 AE发送 EAP-Response消息；
617、 AE将 EAP-Response消息中继给 AS；
618、 AS发送 EAP-Success消息给 AE, 指示认证成功；
619、 AE通过 AP将 EAP-Success中继给 UE-1 , UE-1获知认证成功。
需要说明的是， 在步骤 603中， 若 AP接收到来自 AE的 EAP-Request报文后修 改其源地址（AE的 MAC地址）为 AP的空口对应的 MAC地址（如 BSSID等）， 对 于 UE-1而言， 其仍会 AP作为 AE来继续认证流程， 而 AP后续仍按照实施例三中 的方式， 对 UE-1和 AE间交互的 EAP-Start报文。 当然， AE和 AS之间交互的 EAP over RADIUS"^文不需修改。
需要说明的是， 本实施例中主要以基于 EAP-TLS认证算法进行 UE-1接入认 证的过程为例进行描述的， 当然亦可选择 EAP-PEAP、 EAP-SIM/AKA等认证算 法对 UE-1进行接入认证， 其实现过程类似， 此处不再赘述。
由上可见， 本实施例中由集中式认证部署中的 AP生成并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证开始报文， 以代理 UE发起接 入认证流程， 使得 EAP认证开始报文能够到达 AE, 进而可触发 UE的接入认证流 程，以实现 UE无线局域网集中式 802. IX认证；并且，该机制使得 UE能够按照 IEEE 802.1X协议的规定单播发送所有 EAP认证报文， 因此可无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程序。
为便于更好的实施本发明实施例的上述方法， 本发明实施例下面还提供用 于实施上述方法的相关装置和系统。 参见图 7、 本发明实施例提供的一种接入点设备 700, 可包括： 第一接收模 块 710、 第一地址修改模块 720和第一转发模块 730。
其中， 第一接收模块 710, 用于接收 UE发送的 EAP认证开始报文， 该 EAP认 证开始报文的目的地址为接入点设备 700的空口对应的 MAC地址、源地址为上述 UE的 MAC地址；
第一地址修改模块 720,用于将第一接收模块 710接收的 EAP认证开始报文的 目的地址修改为 PAE组播地址或者 AE的 MAC地址；
第一转发模块 730, 用于转发第一地址修改模块 720修改了目的地址的 EAP 认证开始报文， 以便于该 AE根据该修改了目的地址的 EAP认证开始报文开始 UE 的接入认证。
在一种应用场景下， 接入点 AP设备 700还可包括： 第二接收模块、 第二地址 修改模块和第二转发模块（图 7中未示出）
第二接收模块， 用于接收上述 AE发送的 EAP认证报文， 其中， 上述 EAP认 证才艮文的源地址为上述 AE的 MAC地址、 目的地址为上述 UE的 MAC地址；
第二地址修改模块，用于将第二接收模块接收的 EAP认证报文的源地址修改 为接入点设备 700的空口对应的 MAC地址；
第二转发模块， 用于向上述 UE转发第二地址修改模块修改了源地址的 EAP 认证报文。
在一种应用场景下， 第一接收模块 710还用于， 接收 UE发送的第二 EAP认证 报文， 该第二 EAP认证报文为该 UE发送的除 EAP认证开始报文外的认证开始报 文， 第二 EAP认证报文的目的地址为接入点设备 700的空口对应的 MAC地址、 源 地址为上述 UE的 MAC地址；
第一地址修改模块 720还用于， 将第一接收模块接收的第二 EAP认证报文的 目的地址修改为该 AE的 MAC地址；
第一转发模块 730还用于， 转发第一地址修改模块修改了目的地址的第二 EAP认证 4艮文。
在一种应用场景下， 接入点设备 700还可包括： 第三接收模块和第三转发模 块（图 7中未示出）。
其中，第三接收模块，用于接收上述 AE发送的第三 EAP认证报文，第三 EAP 认证报文的源地址为上述 AE的 MAC地址、 目的地址为上述 UE的 MAC地址； 第三转发模块，用于向上述 UE转发第三接收模块接收的第三 EAP认证报文， 以便于该 UE从第三 EAP认证报文中学习到上述 AE的 MAC地址。 需要说明的是， 本实施例的接入点设备 700可以如上述方法实施例一或实施 例三中的接入点设备， 其可以用于协助实现上述方法实施例一或实施例三中的 全部技术方案， 其各个功能模块的功能可以根据上述方法实施例中的方法具体 实现， 其具体实现过程可参照上述实施例中的相关描述， 此处不再赘述。
由上可见，本实施例集中式认证部署中的接入点 700接收到来自 UE的目的地 址为该接入点 700的空口对应的 MAC地址（如 BSSID ) 的 EAP认证开始报文后， 将该 文的目的地址修改为 AE的 MAC地址， 并转发该修改了目的地址 EAP认证 开始报文， 使得 EAP认证开始报文能够到达 AE而不终结于该接入点 700, 进而可 触发 UE的接入认证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机 制使得 UE能够按照 IEEE 802. IX协议的规定单播发送所有 EAP认证报文， 因此可 无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程序。 参见图 8、 本发明实施例提供的一种接入点设备 800, 可包括：
生成模块 810, 用于生成 EAP认证开始报文， 其中， 该 EAP认证开始报文的 目的地址为 PAE组播地址或者 AE的 MAC地址、 源地址为 UE的 MAC地址；
发送模块 820, 用于发送生成模块 810生成的 EAP认证开始报文；
接收模块 830, 用于接收 AE发送的 EAP认证报文， 上述 EAP认证报文的源地 址为上述 AE的 MAC地址、 目的地址为上述 UE的 MAC地址；
转发模块 840, 用于向上述 UE转发接收模块 830接收的 EAP认证报文， 以便 于该 UE从上述 EAP认证报文中学习到上述 AE的 MAC地址。
在一种应用场景下， 后续若接入点 800进一步接收 AE发送的 EAP认证报文 (例如为用于请求对 UE身份识别的 EAP-Request报文）或其它报文）， 其中， 该 EAP认证报文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC地址； 接入点 800亦可不对来自 AE的该 EAP认证报文的源地址或目的地址进行修改，而是直接 向 UE转发该 EAP认证报文， 以便于 UE从该 EAP认证报文中学习到 AE的 MAC地 址。 在此场景下， UE在接收到该 EAP认证报文后， 可学习到真正的 AE的 MAC 地址，后续即可以该学习到的 AE的 MAC地址，和 AE交互其它的 EAP认证报文来 完成接入认证。也就是说，接入点 800在代理 UE生成并发送 EAP认证开始报文（目 的地址为 PAE组播地址或者 AE的 MAC地址、源地址为 UE的 MAC地址），发起 UE 的接入认证后 , 可不对 UE和 ΑΕ后续交互的 ΕΑΡ认证开始 4艮文的源地址或目的地 址作修改， 而 UE可根据 ΑΕ对 ΕΑΡ认证开始报文的响应获知 ΑΕ的 MAC地址， 因 此， UE可按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。
需要说明的是， 本实施例的接入点设备 800可以如上述方法实施例二或实施 例四中的接入点设备， 其可以用于协助实现上述方法实施例二或实施例四中的 全部技术方案， 其各个功能模块的功能可以根据上述方法实施例中的方法具体 实现， 其具体实现过程可参照上述实施例中的相关描述， 此处不再赘述。
由上可见， 本实施例由集中式认证部署中的接入点 800生成并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证开始报文， 以代理 UE发 起接入认证流程， 使得 EAP认证开始报文能够到达 AE, 进而可触发 UE的接入认 证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机制使得 UE能够按 照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文， 因此可无需修改 UE内 置的基于 IEEE 802. IX协议机制的认证程序。 参见图 9、 本发明实施例提供的一种接入点设备 900, 可包括：
生成模块 910, 用于生成 EAP认证开始报文， 其中， 该 EAP认证开始报文的 目的地址为 PAE组播地址或者 AE的 MAC地址、 源地址为 UE的 MAC地址；
发送模块 920, 用于发送生成模块 910生成的 EAP认证开始报文；
接收模块 930, 用于接收 AE发送的 EAP认证 ^艮文， 该 EAP认证 4艮文的源地址 为该 AE的 MAC地址、 目的地址为上述 UE的 MAC地址；
修改转发模块 940,用于将接收模块 930接收的 EAP认证报文的源地址修改为 接入点 900的空口对应的 MAC地址（如 BSSID ), 并向上述 UE转发修改了源地址 的 EAP认证报文。
在一种应用场景下， 若接入点 900接收到 AE发送的 EAP认证报文（例如该 EAP认证报文为用于请求对 UE身份识别的 EAP请求报文（ EAP-Request报文 )或 其它报文）， 该 EAP认证报文的源地址为 AE的 MAC地址、 目的地址为 UE的 MAC 地址； 则接入点 900可将该 EAP认证艮文的源地址修改为接入点 900的 MAC地址； 并向 UE转发该修改了源地址的 EAP认证报文。 此时， 对于 UE而言， 由于接收到 的接入点 900转发过来的 EAP认证报文的源地址为接入点 900的空口对应的 MAC 地址（如 BSSID ), 因此其仍会将该接入点 900当作是 AE继续来进行 EAP认证。 后续若接入点 900进一步接收到该 UE发送的其它 EAP认证报文， 该 EAP认证报文 为该 UE发送的除 EAP认证开始报文外的认证报文（例如为携带有 UE身份标识 ( ID ) 的 EAP-Response报文或者其它 EAP认证报文）， 而该 EAP认证报文的目的 地址为接入点 900的空口对应的 MAC地址（如 BSSID )、源地址为 UE的 MAC地址； 则接入点 900可将该 EAP认证报文的目的地址修改为 AE的 MAC地址； 并转发该 修改了目的地址的 EAP认证报文。 也就是说， AP可对 UE和 AE交互的所有 EAP 认证报文进行源地址或目的地址的修改， 可将来自 UE的 EAP认证报文的目的地 址修改为 AE的 MAC地址， 可将来自 AE的 EAP认证 ^艮文的源地址修改为接入点 900的 MAC地址， UE可始终将该接入点 900看成是 AE来进行 EAP认证。 因此， UE可以按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。
需要说明的是， 本实施例的接入点设备 900可以如上述方法实施例二或实施 例四中的接入点设备， 其可以用于协助实现上述方法实施例二或实施例四中的 全部技术方案， 其各个功能模块的功能可以根据上述方法实施例中的方法具体 实现， 其具体实现过程可参照上述实施例中的相关描述， 此处不再赘述。
由上可见， 本实施例由集中式认证部署中的接入点 900生成并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证开始报文， 以代理 UE发 起接入认证流程， 使得 EAP认证开始报文能够到达 AE, 进而可触发 UE的接入认 证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机制使得 UE能够按 照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文， 因此可无需修改 UE内 置的基于 IEEE 802. IX协议机制的认证程序。 参见图 10、 本发明实施例提供的一种无线局域网集中式 802. IX认证系统， 无线局域网包括认证实体 1010、 接入点 1020以及至少一个用户设备 1030 , 认证 实体 1010通过接入点 1020与至少一个用户设备 1030相连，
其中，接入点 1020,用于接收用户设备 1030发送的可扩展认证协议 EAP认证 开始报文， 该 EAP认证开始报文的目的地址为接入点 1020的介质访问控制 MAC 地址、 源地址为用户设备 1030的 MAC地址； 将该 EAP认证开始报文的目的地址 修改为端口接入实体组播地址或者认证实体 1010的 MAC地址； 转发该修改了目 的地址的 EAP认证开始报文，以便于认证实体 1010根据该修改了目的地址的 EAP 认证开始 ^艮文开始对用户设备 1030的接入认证。
在一种应用场景下， 若接入点 1020进一步接收到认证实体 1010发送的 EAP 认证报文（例如为用于请求对用户设备 1030身份识别的 EAP-Request报文或其它 为用户设备 1030的 MAC地址； 则接入点可将该 EAP认证报文的源地址修改为接 入点的空口对应的 MAC地址（如 BSSID ); 并向用户设备 1030转发该修改了源地 址的 EAP认证报文。 此时， 对于用户设备 1030而言， 由于接收到的接入点 1020 转发过来的 EAP认证报文的源地址为该接入点 1020的 MAC地址， 因此其仍会将 该接入点 1020当作是 AE继续来进行 EAP认证。 若接入点 1020进一步接收到该用 户设备 1030发送的第二 EAP认证报文，该第二 EAP认证报文为用户设备 1030发送 的除 EAP认证开始报文外的认证报文（第二 EAP认证报文例如为携带有用户设备 1030身份标识 （ID ) 的 EAP-Response报文或者其它 EAP认证报文）， 该第二 EAP 认证报文的目的地址为接入点 1020的空口对应的 MAC地址（如 BSSID )、 源地址 为用户设备 1030的 MAC地址； 则接入点 1020可将该第二 EAP认证报文的目的地 址修改为认证实体 1010的 MAC地址； 并转发该修改了目的地址的第二 EAP认证 报文。也就是说，接入点 1020可对用户设备 1030和认证实体 1010交互的所有 EAP 认证报文进行源地址或目的地址的修改，可将来自用户设备 1030的 EAP认证报文 的目的地址修改为认证实体 1010的 MAC地址， 可将来自认证实体 1010的 EAP认 证报文的源地址修改为该接入点 1020的 MAC地址， 用户设备 1030可始终将该接 入点 1020看成是 AE来进行 EAP认证。 由于用户设备 1030认证前就已经获知接入 点 1020的 MAC地址， 因此用户设备 1030可以按照 IEEE 802. IX协议的规定， 单播 发送所有 EAP认证报文。
在另一种应用场景下， 若接入点 1020进一步接收认证实体 1010发送的第三 EAP认证报文（例如为用于请求对用户设备 1030身份识别的 EAP-Request报文或 目的地址为用户设备 1030的 MAC地址； 接入点 1020亦可不对该第三 EAP认证报 文的源地址或目的地址进行修改，而是直接向用户设备 1030转发该第三 EAP认证 报文， 以便于用户设备 1030从该第三 EAP认证报文中学习到认证实体 1010的 MAC地址。 在此场景下， 用户设备 1030在接收到该第三 EAP认证报文后， 可学 习到真正的认证实体的 MAC地址， 后续即可以该学习到的认证实体 1010的 MAC 地址, 和认证实体 1010交互其它的 EAP认证才艮文来完成接入认证。 也就是说, 接 入点 1020亦可只对 EAP认证开始报文（来自用户设备 1030的首条 EAP认证报文） 的目的地址进行修改，而对用户设备 1030和认证实体 1010后续交互的 EAP认证开 始报文的源地址或目的地址并不作修改， 而用户设备 1030可根据认证实体 1010 对 EAP认证开始报文的响应获知认证实体 1010的 MAC地址，因此，用户设备 1030 可以按照 IEEE 802.1 X协议的规定， 单播发送所有 EAP认证报文。
在一种应用场景下， 接入点 1020还可用于生成 EAP认证开始报文， 该 EAP 认证开始报文的目的地址为端口接入实体组播地址或者认证实体 1010的 MAC地 址、 源地址为第二用户设备（图 10中未示出） 的 MAC地址； 发送该 EAP认证开 始报文； 接收认证实体 1010发送的 EAP认证报文， 该 EAP认证报文的源地址为认 证实体 1010的 MAC地址、 目的地址为第二用户设备的 MAC地址； 将该 EAP认证 报文的源地址修改为接入点 1020的空口对应的 MAC地址， 并向第二用户设备转 发该修改了源地址的 EAP认证报文。
需要说明的是， 本实施例的接入点 1020可以如上述方法实施例一或实施例 三中的接入点设备， 其可以用于协助实现上述方法实施例一或实施例三中的全 部技术方案， 其各个功能模块的功能可以根据上述方法实施例中的方法具体实 现， 其具体实现过程可参照上述实施例中的相关描述， 此处不再赘述。 参见图 11、 本发明实施例提供的一种无线局域网集中式 802. IX认证系统， 无线局域网包括认证实体 1110、接入点 1120以及至少一个用户设备 1130,认证实 体 1110通过接入点 1120与至少一个用户设备 1130相连；
其中， 接入点 1120, 用于生成 EAP认证开始报文， 该 EAP认证开始报文的目 的地址为端口接入实体组播地址或者认证实体 1110的 MAC地址、 源地址为 UE的 MAC地址； 发送上述 EAP认证开始报文； 接收认证实体 1110发送的 EAP认证报 设备 1130的 MAC地址； 向用户设备 1130转发上述 EAP认证报文， 以便于用户设 备 1130从上述 EAP认证报文中学习到上述认证实体的 MAC地址； 或者， 将上述 EAP认证 ^艮文的源地址修改为接入点 1120的空口对应的 MAC地址（如 BSSID ), 并向用户设备 1130转发上述修改了源地址的 EAP认证报文。
在一种应用场景下，若接入点 1120接收到认证实体 1110发送的 EAP认证报文 (例如为用于请求对用户设备 1130身份识别的 EAP请求报文（ EAP-Request报文 ) 或其它报文）， 该 EAP认证报文的源地址为 AE的 MAC地址、 目的地址为用户设 备 1130的 MAC地址； 则接入点 1120可将该 EAP认证报文的源地址修改为接入点 1120的 MAC地址； 并向用户设备 1130转发该修改了源地址的 EAP认证报文。 此 时，对于用户设备 1130而言， 由于接收到的接入点 1120转发过来的 EAP认证报文 的源地址为该接入点的空口对应的 MAC地址（如 BSSID ), 因此其仍会将该接入 点 1120当作是 AE继续来进行 EAP认证。 后续若接入点 1120进一步接收到该 UE发 送的其它 EAP认证报文，该 EAP认证报文为用户设备 1130发送的除 EAP认证开始 报文外的认证报文（例如为携带有用户设备 1130身份标识（ ID )的 EAP-Response 报文或者其它 EAP认证报文）， 而该 EAP认证报文的目的地址为接入点的空口对 应的 MAC地址（如 BSSID )、 源地址为用户设备 1130的 MAC地址； 则接入点 1120 可将该 EAP认证报文的目的地址修改为认证实体 1110的 MAC地址； 并转发该修 改了目的地址的 EAP认证报文。也就是说，接入点 1120可对用户设备 1130和认证 设备 1130的 EAP认证报文的目的地址修改为认证实体 1110的 MAC地址， 可将来 自认证实体 1110的 EAP认证报文的源地址修改为接入点 1120的 MAC地址， UE可 始终将该接入点 1120看成是 AE来进行 EAP认证。 因此， 用户设备 1130可以按照 IEEE 802.1 X协议的规定， 单播发送所有 EAP认证报文。
在另一种应用场景下， 后续若接入点 1120进一步接收认证实体 1110发送的 EAP认证报文（例如为用于请求对用户设备 1130身份识别的 EAP-Request报文 ) 的地址为用户设备 1130的 MAC地址； 接入点 1120亦可不对来自认证实体 1110的 该 EAP认证报文的源地址或目的地址进行修改，而是直接向用户设备 1130转发该 EAP认证报文， 以便于用户设备 1130从该 EAP认证报文中学习到认证实体 1110的 MAC地址。 在此场景下， 用户设备 1130在接收到该 EAP认证报文后， 可学习到 真正的认证实体 1110的 MAC地址， 后续即可以该学习到的认证实体 1110的 MAC 地址, 和认证实体 1110交互其它的 EAP认证才艮文来完成接入认证。 也就是说, 接 入点 1120在代理用户设备 1130生成并发送 EAP认证开始报文（目的地址为端口接 入实体组播地址或者认证实体 1110的 MAC地址、 源地址为用户设备 1130的 MAC 地址）， 发起用户设备 1130的接入认证后， 可不对用户设备 1130和认证实体 1110 据认证实体 1110对 EAP认证开始报文的响应获知认证实体 1110的 MAC地址， 因 此， 用户设备 1130可按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文。
在一种应用场景下， 接入点 1120还可用于， 接收来自第三用户设备发送的 可扩展认证协议 EAP认证开始报文， 该 EAP认证开始报文的目的地址为接入点 1120的空口对应的介质访问控制 MAC地址、 源地址为第三用户设备的 MAC地 址；将该 EAP认证开始报文的目的地址修改为端口接入实体组播地址或者认证实 体 1110的 MAC地址； 转发该修改了目的地址的 EAP认证开始报文， 以便于认证 实体 1110根据该修改了目的地址的 EAP认证开始报文开始第三用户设备的接入 认证。
需要说明的是， 本实施例的接入点 1120可以如上述方法实施例二或实施例 四中的接入点设备， 其可以用于协助实现上述方法实施例二或实施例四中的全 部技术方案， 其各个功能模块的功能可以根据上述方法实施例中的方法具体实 现， 其具体实现过程可参照上述实施例中的相关描述， 此处不再赘述。
需要说明的是， 对于前述的各方法实施例， 为了简单描述， 故将其都表述 为一系列的动作组合， 但是本领域技术人员应该知悉， 本发明并不受所描述的 动作顺序的限制， 因为依据本发明， 某些步骤可以釆用其他顺序或者同时进行。 其次， 本领域技术人员也应该知悉， 说明书中所描述的实施例均属于优选实施 例， 所涉及的动作和模块并不一定是本发明所必须的。
在上述实施例中， 对各个实施例的描述都各有侧重， 某个实施例中没有详 述的部分， 可以参见其他实施例的相关描述。
综上， 本发明本实施例提供的一种技术方案中， 集中式认证部署中的 AP接 收到来自 UE的目的地址为该 AP的空口对应的 MAC地址（如 BSSID )的 EAP认证 开始报文后， 将该报文的目的地址修改为 AE的 MAC地址， 并转发该修改了目的 地址 E AP认证开始报文， 使得 E AP认证开始报文能够到达 AE而不终结于该 AP , 进而可触发 UE的接入认证流程，以实现 UE无线局域网集中式 802. IX认证；并且， 该机制使得 UE能够按照 IEEE 802. IX协议的规定单播发送所有 EAP认证报文， 因 此可无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程序。
本发明本实施例提供的另一种技术方案中， 由集中式认证部署中的 AP生成 并发送源地址为 UE的 MAC地址、 目的地址为 AE的 MAC地址的 EAP认证开始报 文， 以代理 UE发起接入认证流程， 使得 EAP认证开始报文能够到达 AE, 进而可 触发 UE的接入认证流程， 以实现 UE无线局域网集中式 802. IX认证； 并且， 该机 制使得 UE能够按照 IEEE 802. IX协议的规定， 单播发送所有 EAP认证报文， 因此 可无需修改 UE内置的基于 IEEE 802. IX协议机制的认证程序。 本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤 是可以通过程序来指令相关的硬件来完成， 该程序可以存储于一计算机可读存 储介质中， 存储介质可以包括： 只读存储器、 随机存储器、 磁盘或光盘等。
以上对本发明实施例所提供的无线局域网集中式 802. IX认证方法及装置和 了阐述， 以上实施例的说明只是用于帮助理解本发明的方法及其核心思想； 同 时， 对于本领域的一般技术人员， 依据本发明的思想， 在具体实施方式及应用 范围上均会有改变之处， 综上， 本说明书内容不应理解为对本发明的限制。

Claims

权利要求书
1、 一种无线局域网集中式 802. IX认证方法， 其特征在于， 所述无线局域网 包括认证实体、 接入点以及至少一个用户设备 UE , 所述认证实体通过所述接入 点与所述至少一个 UE相连， 所述方法包括：
接入点接收来自 UE的可扩展认证协议 EAP认证开始报文， 所述 EAP认证开 始才艮文的目的地址为该接入点的空口对应的介质访问控制 MAC地址、 源地址为 所述 UE的 MAC地址；
将所述 EAP认证开始报文的目的地址修改为端口接入实体组播地址或者认 证实体的 MAC地址；
转发所述修改了目的地址的 EAP认证开始报文，以便于所述认证实体根据所 述修改了目的地址的 EAP认证开始报文开始所述 UE的接入认证。
2、 根据权利要求 1所述的方法， 其特征在于， 所述方法还包括：
接收所述认证实体发送的 EAP认证 ^艮文， 其中， 所述 EAP认证 ^艮文的源地址 为所述认证实体的 MAC地址、 目的地址为所述 UE的 MAC地址；
将所述 EAP认证报文的源地址修改为所述接入点的空口对应的 MAC地址； 向所述 UE转发所述修改了源地址的 EAP认证报文。
3、 根据权利要求 2所述的方法， 其特征在于， 所述方法还包括：
接收所述 UE发送的第二 EAP认证报文， 该第二 EAP认证报文为所述 UE发送 的除 EAP认证开始报文外的认证报文，所述第二 EAP认证报文的目的地址为所述 接入点的空口对应的 MAC地址、 源地址为所述 UE的 MAC地址；
将第二 EAP认证报文的目的地址修改为所述认证实体的 MAC地址； 转发所述修改了目的地址的第二 EAP认证报文。
4、 根据权利要求 1所述的方法， 其特征在于， 所述方法还包括：
接收所述认证实体发送的第三 EAP认证报文， 其中， 所述第三 EAP认证报文 的源地址为所述认证实体的 MAC地址、 目的地址为所述 UE的 MAC地址；
向所述 UE转发第三 EAP认证报文， 以便于所述 UE从所述第三 EAP认证报文 中学习到所述认证实体的 MAC地址。
5、 一种无线局域网集中式 802. IX认证方法， 其特征在于， 包括： 接入点生成 EAP认证开始报文，该 EAP认证开始报文的目的地址为端口接入 实体组播地址或者认证实体的 MAC地址、 源地址为 UE的 MAC地址；
发送所述 EAP认证开始艮文；
接收认证实体发送的 EAP认证报文，所述 EAP认证报文的源地址为所述认证 实体的 MAC地址、 目的地址为所述 UE的 MAC地址；
将所述 EAP认证报文的源地址修改为所述接入点的空口对应的 MAC地址， 并向所述 UE转发所述修改了源地址的 EAP认证报文。
6、 一种接入点设备， 其特征在于， 包括：
第一接收模块， 用于接收 UE发送的 EAP认证开始报文， 所述 EAP认证开始 报文的目的地址为所述接入点的空口对应的 MAC地址、源地址为所述 UE的 MAC 地址；
第一地址修改模块，用于将所述第一接收模块接收的 EAP认证开始报文的目 的地址修改为端口接入实体组播地址或者认证实体的 MAC地址；
第一转发模块，用于转发所述第一地址修改模块修改了目的地址的 EAP认证 开始报文，以便于所述认证实体根据所述修改了目的地址的 EAP认证开始报文开 始所述 UE的接入认证。
7、 根据权利要求 6所述的接入点设备， 其特征在于， 还包括：
第二接收模块， 用于接收所述认证实体发送的 EAP认证报文， 其中， 所述 地址；
第二地址修改模块，用于将所述第二接收模块接收的 EAP认证报文的源地址 修改为所述接入点的空口对应的 MAC地址；
第二转发模块， 用于向所述 UE转发所述第二地址修改模块修改了源地址的 EAP认证 4艮文。
8、 根据权利要求 7所述的接入点设备， 其特征在于，
所述第一接收模块还用于， 接收所述 UE发送的第二 EAP认证报文， 该第二 EAP认证报文为所述 UE发送的除 EAP认证开始报文外的认证开始报文， 所述第 二 EAP认证报文的目的地址为所述接入点的空口对应的 MAC地址、 源地址为所 述 UE的 MAC地址； 所述第一地址修改模块还用于，将所述第一接收模块接收的第二 EAP认证报 文的目的地址爹改为所述认证实体的 MAC地址；
所述第一转发模块还用于， 转发所述第一地址修改模块修改了目的地址的 第二 EAP认证报文。
9、 根据权利要求 6所述的接入点设备， 其特征在于， 还包括：
第三接收模块，用于接收所述认证实体发送的第三 EAP认证报文，所述第三 地址；
第三转发模块， 用于向所述 UE转发所述第三接收模块接收的第三 EAP认证 报文， 以便于所述 UE从所述第三 EAP认证报文中学习到所述认证实体的 MAC地 址。
10、 一种无线局域网集中式 802. IX认证系统， 其特征在于， 无线局域网包 括认证实体、 接入点以及至少一个用户设备 UE, 所述认证实体通过所述接入点 与所述至少一个 UE相连，
其中， 所述接入点， 用于接收 UE发送的可扩展认证协议 EAP认证开始报 文， 所述 EAP认证开始艮文的目的地址为所述接入点的空口对应的介质访问控 制 MAC地址、 源地址为所述 UE的 MAC地址； 将所述 EAP认证开始艮文的目 的地址修改为端口接入实体组播地址或者认证实体的 MAC地址；转发所述修改 了目的地址的 EAP认证开始 ^艮文， 以便于所述认证实体根据所述修改了目的地 址的 EAP认证开始报文开始所述 UE的接入认证。
PCT/CN2011/081329 2010-12-09 2011-10-26 无线局域网集中式802.1x认证方法及装置和系统 WO2012075863A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
ES11846361.1T ES2564484T3 (es) 2010-12-09 2011-10-26 Método de autenticación 802.1X centralizado, dispositivo y sistema de red de área local inalámbrica
EP11846361.1A EP2651156B1 (en) 2010-12-09 2011-10-26 Centralized 802.1x authentication method, device and system of wireless local area network
US13/913,792 US9071968B2 (en) 2010-12-09 2013-06-10 Method, apparatus, and system for centralized 802.1X authentication in wireless local area network

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010581115.6A CN102137401B (zh) 2010-12-09 2010-12-09 无线局域网集中式802.1x认证方法及装置和系统
CN201010581115.6 2010-12-09

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US13/913,792 Continuation US9071968B2 (en) 2010-12-09 2013-06-10 Method, apparatus, and system for centralized 802.1X authentication in wireless local area network

Publications (1)

Publication Number Publication Date
WO2012075863A1 true WO2012075863A1 (zh) 2012-06-14

Family

ID=44297036

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/081329 WO2012075863A1 (zh) 2010-12-09 2011-10-26 无线局域网集中式802.1x认证方法及装置和系统

Country Status (5)

Country Link
US (1) US9071968B2 (zh)
EP (1) EP2651156B1 (zh)
CN (1) CN102137401B (zh)
ES (1) ES2564484T3 (zh)
WO (1) WO2012075863A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102137401B (zh) 2010-12-09 2018-07-20 华为技术有限公司 无线局域网集中式802.1x认证方法及装置和系统
CN105392126B (zh) 2011-12-23 2016-12-21 华为终端有限公司 一种无线中继设备的中继方法及无线中继设备
CN103188662B (zh) * 2011-12-30 2015-07-29 中国移动通信集团广西有限公司 一种验证无线接入点的方法以及装置
CN103200004B (zh) * 2012-01-09 2018-11-20 中兴通讯股份有限公司 发送消息的方法、建立安全连接的方法、接入点和工作站
CN102647715A (zh) * 2012-03-27 2012-08-22 华为技术有限公司 一种传递eap认证目的mac地址的方法
CN102761940B (zh) * 2012-06-26 2016-06-08 杭州华三通信技术有限公司 一种802.1x认证方法和设备
KR101814969B1 (ko) * 2013-01-03 2018-01-04 후아웨이 테크놀러지 컴퍼니 리미티드 네트워크에 액세스하는 시스템 및 방법
CN103973570B (zh) * 2013-01-31 2017-12-15 华为技术有限公司 一种报文传输的方法、ap及系统
CN107493574B (zh) * 2013-12-31 2020-10-23 安科讯(福建)科技有限公司 无线控制器设备、并行认证处理方法、系统、组网装置
CN104219094B (zh) * 2014-08-29 2018-10-26 新华三技术有限公司 一种ap分组配置的方法和设备
CN105592037B (zh) * 2015-07-10 2019-03-15 新华三技术有限公司 一种mac地址认证方法和装置
CA2995514C (en) * 2015-08-13 2020-04-28 Huawei Technologies Co., Ltd. Message protection method, and related device, and system
CN105516977B (zh) * 2015-12-03 2019-07-26 广东石油化工学院 基于双通道无线路由器或AP的免密码WiFi鉴权认证方法
CN108092988B (zh) * 2017-12-28 2021-06-22 北京网瑞达科技有限公司 基于动态创建临时密码的无感知认证授权网络系统和方法
CN111654865B (zh) * 2020-07-31 2022-02-22 迈普通信技术股份有限公司 终端认证方法、装置、网络设备及可读存储介质

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101136746A (zh) * 2006-08-31 2008-03-05 华为技术有限公司 一种认证方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
CN101273649A (zh) * 2005-07-25 2008-09-24 艾利森电话股份有限公司 用于改进无线接入网的切换特性的装置和方法
CN102137401A (zh) * 2010-12-09 2011-07-27 华为技术有限公司 无线局域网集中式802.1x认证方法及装置和系统

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7499401B2 (en) * 2002-10-21 2009-03-03 Alcatel-Lucent Usa Inc. Integrated web cache
CN1317859C (zh) * 2002-11-28 2007-05-23 中兴通讯股份有限公司 数据帧传送方法
CN100591068C (zh) * 2003-03-04 2010-02-17 华为技术有限公司 一种桥接设备透传802.1x认证报文的方法
CN1186906C (zh) 2003-05-14 2005-01-26 东南大学 无线局域网安全接入控制方法
US7046647B2 (en) * 2004-01-22 2006-05-16 Toshiba America Research, Inc. Mobility architecture using pre-authentication, pre-configuration and/or virtual soft-handoff
CN1283062C (zh) * 2004-06-24 2006-11-01 华为技术有限公司 无线局域网用户实现接入认证的方法
JP4558454B2 (ja) * 2004-11-12 2010-10-06 パナソニック株式会社 通信システム
JP4679205B2 (ja) * 2005-03-31 2011-04-27 Ｎｅｃインフロンティア株式会社 認証システム、装置、方法、プログラム、および通信端末
US20090019539A1 (en) * 2007-07-11 2009-01-15 Airtight Networks, Inc. Method and system for wireless communications characterized by ieee 802.11w and related protocols
US8428036B2 (en) * 2009-01-22 2013-04-23 Belair Networks Inc. System and method for providing wireless local area networks as a service
CN101599834B (zh) 2009-07-15 2011-06-01 杭州华三通信技术有限公司 一种认证部署方法和一种管理设备

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101273649A (zh) * 2005-07-25 2008-09-24 艾利森电话股份有限公司 用于改进无线接入网的切换特性的装置和方法
CN101136746A (zh) * 2006-08-31 2008-03-05 华为技术有限公司 一种认证方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
CN102137401A (zh) * 2010-12-09 2011-07-27 华为技术有限公司 无线局域网集中式802.1x认证方法及装置和系统

Also Published As

Publication number Publication date
EP2651156B1 (en) 2015-12-30
CN102137401A (zh) 2011-07-27
ES2564484T3 (es) 2016-03-23
EP2651156A1 (en) 2013-10-16
US20130272290A1 (en) 2013-10-17
US9071968B2 (en) 2015-06-30
EP2651156A4 (en) 2013-10-16
CN102137401B (zh) 2018-07-20

Similar Documents

Publication Publication Date Title
EP2651156B1 (en) Centralized 802.1x authentication method, device and system of wireless local area network
EP1639756B1 (en) Facilitating 802.11 roaming by pre-establishing session keys
JP4921557B2 (ja) インフラストラクチャベースの無線マルチホップネットワークにおけるセキュリティ認証及び鍵管理方法
EP1839403B1 (en) Wireless network credential provisioning
US8036183B2 (en) Method and system for transporting configuration protocol messages across a distribution system (DS) in a wireless local area network (WLAN)
US9515824B2 (en) Provisioning devices for secure wireless local area networks
CN107690138B (zh) 一种快速漫游方法、装置、系统、接入点和移动站
US8881305B2 (en) Methods and apparatus for maintaining secure connections in a wireless communication network
US20100293378A1 (en) Method, device and system of id based wireless multi-hop network authentication access
US8661510B2 (en) Topology based fast secured access
WO2006119281A2 (en) Discovery and authentication scheme for wireless mesh networks
CN108702626B (zh) 无线广域网(wwan)无线局域网(wlan)聚合保全
WO2009152749A1 (zh) 一种绑定认证的方法、系统和装置
WO2013174267A1 (zh) 无线局域网络的安全建立方法及系统、设备
WO2010096995A1 (zh) 一种以分离mac模式实现会聚式wapi网络架构的方法
CA2708898C (en) Methods and apparatus for maintaining secure connections in a wireless communication network
WO2012113225A1 (zh) 安全访问wapi网络的方法、装置及系统
WO2010097004A1 (zh) 一种以分离mac模式实现wapi与capwap融合的方法
WO2015042917A1 (zh) 无线安全接入方法、装置及系统
KR20040028062A (ko) 공중 무선랜 서비스를 위한 무선랜 접속장치간 로밍서비스 방법
Suntu et al. Design and Security Simulation of Wi-Fi Networks
Lee et al. A User Authentication Protocol Using EAP for Mobile Ad Hoc Networks
Bansal et al. Authentication in wireless networks
Sireesha et al. Design and Security Simulation of Wi-Fi Networks
UPADHYAYA et al. WEAKNESS OF EAP, THREAT ANALYSIS IN WIRELESS LAN AND PROPOSED SOLUTION

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11846361

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011846361

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE