WO2012171184A1 - 基于mac地址的wlan认证方法和装置 - Google Patents

基于mac地址的wlan认证方法和装置 Download PDF

Info

Publication number
WO2012171184A1
WO2012171184A1 PCT/CN2011/075754 CN2011075754W WO2012171184A1 WO 2012171184 A1 WO2012171184 A1 WO 2012171184A1 CN 2011075754 W CN2011075754 W CN 2011075754W WO 2012171184 A1 WO2012171184 A1 WO 2012171184A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
user
wlan
mac address
authentication
Prior art date
Application number
PCT/CN2011/075754
Other languages
English (en)
French (fr)
Inventor
李建
蔡成贵
傅用成
李嫒霞
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201180000653.4A priority Critical patent/CN102204307B/zh
Priority to PCT/CN2011/075754 priority patent/WO2012171184A1/zh
Publication of WO2012171184A1 publication Critical patent/WO2012171184A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/068—Authentication using credential vaults, e.g. password manager applications or one time password [OTP] applications
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/80—Wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to the field of communications, and in particular, to a WLAN (Wireless Local Area Network) authentication method and apparatus based on a MAC (Media Access Control) address.
  • WLAN Wireless Local Area Network
  • MAC Media Access Control
  • the web page and the HTTP-based authentication mode are adopted.
  • the user needs to input a user name and password, and the WLAN to be accessed by the operator-related authentication device based on the user name and password. If the authentication succeeds, the user is allowed to access, otherwise the user is denied access; in the prior art, when the WLAN is authenticated, the authentication method based on the web page and the cookie is adopted, and the terminal sets the cookie after the user accesses the WLAN.
  • the cookie will access the WLAN network according to the saved random number, and the user does not need to re-enter the user name and password.
  • the prior art 3 uses automatic authentication based on the (U)SIM card, and requires the terminal to support the I-WLAN defined by the 3GPP (3rd Generation Partnership Project). Interworking- Wireless Local Area Network, WLAN Interoperability Make) specification.
  • the embodiments of the present invention provide a method and a device for WLAN authentication based on a MAC address, which are used to solve the problem that the prior art has a poor user experience and high requirements on the terminal and cannot be widely applied.
  • the user name and password corresponding to the terminal MAC address are searched according to the correspondence between the terminal MAC address and the user name and password obtained when the terminal accesses the WLAN for the first time, and the found user name and password are sent to the authentication center for authentication.
  • the center performs WLAN authentication on the terminal.
  • An obtaining module configured to acquire a media access control MAC address of the terminal when the terminal accesses the WLAN of the wireless local area network
  • the authentication module is configured to compare the MAC address of the terminal acquired by the obtaining module 501 with the preset MAC address, and complete the WLAN authentication; or the authentication module 502 is configured to acquire according to the terminal accessing the WLAN for the first time.
  • the corresponding relationship between the terminal MAC address and the user name and the password is used to find the user name and password corresponding to the MAC address of the terminal, and the searched user name and password are sent to the authentication center, so that the authentication center performs WLAN authentication on the terminal.
  • FIG. 1 is a flowchart of a WLAN authentication method provided in Embodiment 1 of the present invention.
  • FIG. 2 is a flow chart of authentication of a mobile phone user terminal accessing a WLAN network for the first time provided in Embodiment 2 of the present invention
  • FIG. 3 is a flowchart of authentication of a subsequent mobile phone user terminal accessing a WLAN network according to Embodiment 2 of the present invention
  • 4 is a flowchart of execution exception processing provided in Embodiment 2 of the present invention
  • FIG. 5 is a schematic flowchart of preventing location spoofing based on location information according to Embodiment 3 of the present invention.
  • FIG. 6 is a schematic structural diagram of a WLAN authentication apparatus according to Embodiment 4 of the present invention.
  • FIG. 7 is a schematic diagram of hardware implementation of a WLAN authentication apparatus structure in Embodiment 4 of the present invention.
  • DETAILED DESCRIPTION OF THE EMBODIMENTS In order to make the objects, technical solutions, and advantages of the present invention more comprehensible, the embodiments of the present invention will be further described in detail with reference to the accompanying drawings.
  • Example 1 Referring to FIG. 1, this embodiment provides a WLAN authentication method, where the method includes:
  • Step 101 Obtain a medium access control MAC address of the terminal when the terminal accesses the WLAN of the wireless local area network.
  • the WLAN authentication method is applied to the network side, and the terminal may not need to be changed.
  • the MAC address of the acquiring terminal of the network may be obtained from the packet sent by the terminal.
  • the packets of the protocol such as HTTP and DHCP may include the MAC address, and may be obtained based on the packets of the protocol, and The terminal MAC address is passed between different functional units in a certain way (eg using different protocols).
  • the network side device includes a functional entity such as a wireless access server and a MAC comparison unit.
  • the wireless access server may be a BRAS (Broadband Remote Access Server) or an Access Controller (AP) or an Access Point (AP).
  • the MAC comparison unit is a functional module, which can be located at the portal server (used in the prior art to provide a login interface to the terminal, and obtain and pass the user-entered username and password) or AAA (certification is completed in the prior art) , authorization, billing function).
  • the MAC address of the terminal on the network side can be:
  • the wireless access server obtains the MAC address of the terminal through the packets of the protocol such as HTTP and DHCP, and then sends the MAC address to the MAC comparison unit through the interface.
  • the interface can use the HTTP header, the Radius/Diameter interface protocol, and the portal. Interface protocol, etc.
  • Step 102 Compare the obtained MAC addresses of the terminal according to the preset MAC address, and complete WLAN authentication.
  • the MAC address of the terminal is pre-stored in the MAC comparison system.
  • the MAC compares the obtained MAC address information of the terminal, and searches and compares the MAC address entries in the MAC address entry. And if the comparison is successful, the MAC authentication success result is returned to the wireless access server;
  • Step 103 Or, according to the correspondence between the terminal MAC address and the user name and password obtained when the terminal accesses the WLAN for the first time, search for the user name and password corresponding to the MAC address of the terminal, and send the found user name and password to the authentication center.
  • search for the user name and password corresponding to the MAC address of the terminal search for the user name and password corresponding to the MAC address of the terminal, and send the found user name and password to the authentication center.
  • the MAC comparison unit In the non-preset mode, when the terminal accesses the WLAN for the first time, the MAC comparison unit will save the obtained terminal MAC address and corresponding user name and password.
  • the MAC comparison unit first searches and compares the MAC address entries according to the obtained terminal MAC address, and obtains the username and password corresponding to the MAC address. Moreover, the MAC comparison unit sends the username and password corresponding to the found MAC address to the authentication center, so that the authentication center performs WLAN authentication.
  • the authentication center is an authentication server device in the existing network architecture.
  • the MAC comparison unit sends the user name and password corresponding to the terminal MAC address to the authentication center for authentication, thereby eliminating the step of manually inputting the user name and password again.
  • Step 104 After the MAC comparison unit succeeds in comparing the MAC addresses of the terminals, the MAC comparison unit initiates a short message confirmation process to the terminal user.
  • the user After the MAC comparison unit succeeds in MAC comparison, the user sends a confirmation message to the user according to the corresponding user account. If the user returns the rejection, the corresponding operation is performed, for example, the user is offline, and the MAC address entry is cleared.
  • Step 105 After the MAC comparison unit successfully compares the MAC addresses of the terminals, the MAC matching unit initiates a location matching process of the terminal.
  • the MAC comparison system After the MAC comparison is successful, the MAC comparison system obtains the location information of the terminal from the WLAN network and the mobile cellular network, and matches the two location information. If the matching is unsuccessful, the corresponding operation is performed, for example, for the user. Line, clear MAC address entries, and so on.
  • Steps 104 and 105 in this embodiment are additional functions, and may be combined according to the situation in actual applications.
  • the combination includes, but is not limited to, a combination of steps 101 to 103 and step 104, and a combination of steps 101 to 103 and step 105. Steps 101 to 103, a combination of step 104 and step 105, and the like.
  • the terminal when the terminal accesses the WLAN next time, the terminal can perform the search and comparison on the MAC address obtained by the preset or the first access of the terminal, and automatically complete the authentication process, thereby greatly reducing the manual input by the user. The number of times has improved the user experience.
  • this embodiment does not change the terminal, and only optimizes the process on the network side.
  • the remaining network devices are based on existing devices, and therefore, it is easy to deploy, so that all mobile phones on the existing network can benefit. The applicability is very wide.
  • This embodiment is based on the feature of the embodiment 1 for the mobile phone user to use the same terminal to access the Internet for a period of time, and proposes a technical solution for the mobile phone user terminal to perform WLAN authentication based on the MAC address.
  • this embodiment provides a process for the first time that the mobile phone user terminal accesses the WLAN, and the method includes the following steps: Step 201: The UE (User Equipment) completes the association of the WLAN and obtains an IP address, according to the IP address. Initiating an HTTP (Hyper Text Transfer Protocol) request to the wireless access server, so that the wireless access server acquires the MAC address of the terminal according to the HTTP request;
  • HTTP Hyper Text Transfer Protocol
  • the wireless access server may obtain the MAC address of the terminal according to the MAC layer message of the HTTP request. Alternatively, after the UE completes the association of the WLAN, the wireless access server acquires the MAC address of the UE according to the DHCP request message sent by the UE.
  • the wireless access server may be a BRAS (Broadband Remote Access Server) or an AC (Access Controller) or an Access Point (AP).
  • BRAS is used as an example only for the wireless access server.
  • Step 202 The BRAS redirects the HTTP request to the MAC comparison unit, and the message in the HTTP request Add the MAC address of the UE in the header;
  • the BRAS can pass the MAC address of the terminal to the MAC comparison unit through the Radius protocol or the Diameter protocol or the Portal protocol.
  • the MAC comparison unit may be specifically located in a Portal server or an AAA server, or may be a separate device.
  • Step 203 The MAC comparison unit receives the HTTP protocol sent by the BRAS, and identifies the type of the UE according to the HTTP request. If the UE is a mobile phone user terminal, the user name and password corresponding to the MAC address are searched in the saved correspondence. The MAC comparison unit pushes the login page to the UE.
  • the MAC comparison unit pushes the login page to the UE, and the user inputs information such as the user name and password in the interface.
  • the MAC comparison unit identifies the type of the UE according to the HTTP request, and specifically includes identifying the type of the UE according to the User Agent User-Agent field carried in the header of the HTTP request.
  • the User-Agent field contains information such as the type of the terminal (such as the type of the mobile phone). Therefore, the UE type can be identified according to the field, and different policies are adopted for different terminal types, for example, for a user whose terminal type is a mobile phone. You can choose to continue to access; for PC users, you can fall back to Portal authentication.
  • the wireless access server can identify the User-Agent in the HTTP packet and then transmit it to the MAC comparison unit through the Radius/Diameter interface or the Portal protocol interface.
  • the aging time of the correspondence between the MAC address and the user name and password may be set, where the correspondence relationship of all users may be uniformly set to an aging time; or the correspondence relationship of different users may be set according to a certain policy. Different aging times. If the saved relationship exists for longer than the aging time, the correspondence between the MAC address and the user name and password is cleared. For example, the correspondence between the MAC address of the UE1 and the user name and password is established at 9:00 am on March 1, 2011, and the aging time of the corresponding relationship is preset to be 1 month. If UE1 is on the morning of April 1, 2011, 10 When the WLAN access point is authenticated, the MAC address of the UE is deleted from the user name and password because the aging time of one month is exceeded.
  • Step 204 The UE inputs a username and password on the login page.
  • Step 205 The MAC comparison unit according to the user name and password input by the UE, and the obtained MAC address of the UE, Save the correspondence between the MAC address and the username and password, and send the username and password to the BRAS (for example, through the Portal protocol) to initiate authentication.
  • the BRAS for example, through the Portal protocol
  • Step 206 The BRAS sends the received username and password to the authentication center for authentication (for example, by using the Radius protocol).
  • the authentication center is used as an example for AAA;
  • Step 207 The BRAS receives the authentication result returned by the AAA, and feeds the authentication result to the portal server.
  • the subsequent mobile phone user terminal accesses the WLAN network process, which specifically includes:
  • Step 301 The mobile phone user terminal completes the association of the WLAN based on the web browser and obtains an IP address, and initiates an HTTP request to the BRAS according to the IP address;
  • the radio access server acquires the MAC address of the UE according to the DHCP request message sent by the UE.
  • Step 302 The BRAS redirects the HTTP request to the MAC comparison unit, and adds the MAC address of the UE in the header of the HTTP request.
  • the wireless access server transmits the terminal's MAC address to the MAC comparison unit via the Radius/Diameter protocol or the Portal protocol.
  • Step 303 The MAC comparison unit receives the HTTP protocol sent by the BRAS, and identifies the type of the UE according to the HTTP request. If the UE is the mobile phone user terminal, the MAC address corresponding to the MAC address is obtained in the corresponding relationship acquired by the terminal or the first time the terminal accesses. Username and password, and send the found username and password to the BRAS;
  • the MAC comparison unit searches and compares the locally stored MAC address entries according to the MAC address and terminal type that the wireless access server transmits through the Radius/Diameter protocol or the Portal protocol.
  • Step 304 The BRAS sends the username and password to the AAA to enable the AAA to perform WLAN authentication.
  • Step 305 The AAA performs WLAN authentication, and returns the authentication result to the BRAS.
  • Step 306 The BRAS receives the authentication result returned by the AAA, and feeds the authentication result to the MAC comparison unit.
  • Step 307 The MAC comparison unit determines the authentication result. If the authentication succeeds, the short message center is notified to send a short message confirmation message to the UE.
  • the MAC comparison unit may further carry an identifier for indicating whether the current authentication is a MAC authentication, as a basis for performing a short message confirmation process.
  • the identifier indicates that the current authentication is MAC authentication
  • the short message is sent. Confirm the process; otherwise, the SMS confirmation process is not performed.
  • the embodiment does not limit the form of the short message reminder message, and the short message reminder message may be "successful login.”
  • WLAN please reply "AA” to confirm the fields, etc.
  • Step 308 The short message center sends a short message reminder message to the UE.
  • the short message center sends a short message alert message to the mobile phone number corresponding to the UE (corresponding to the WLAN user account), and after receiving the short message alert message, the UE returns an authentication confirmation message to the short message center.
  • Step 309 The UE returns an authentication confirmation message to the short message center according to the received short message alert message.
  • the format of the authentication confirmation message is not limited.
  • the authentication confirmation message is an affirmative message as an example.
  • the authentication confirmation message may be a field of "Yes” or "Confirm”.
  • Step 310 The short message center notifies the MAC comparison unit according to the received authentication confirmation message
  • Step 311 The MAC comparison unit pushes the login success page to the UE, and the authentication process ends.
  • the exception processing flow is executed, and the specific steps are as follows:
  • Step 312 The short message center determines whether it is a counterfeit user, and if it is determined to be a counterfeit user, notifies the MAC comparison unit; specifically, the counterfeit user includes the user who accesses the WLAN after the terminal is changed after changing the terminal; When the terminal is changed, but the user who has erroneously returned the authentication confirmation message, the user who has performed the erroneous operation in the present embodiment is also regarded as a counterfeit user, and the abnormality processing flow is executed.
  • Step 313 The MAC comparison unit clears the current link and the MAC address entry, and the exception handling process ends.
  • the method provided in this embodiment saves the correspondence between the MAC address of the terminal and the user name and password on the network side.
  • the network side uses the MAC address of the terminal to index the user name and password as the authentication credential, which can greatly reduce The number of times the user enters manually, which is convenient for the user.
  • this embodiment does not change the terminal, only optimizes the process on the network side, and is easy to deploy. All mobile phones on the current network can benefit, and the applicability is very wide.
  • the embodiment of the present invention provides a method for preventing user spoofing based on the location information, which may be applied together with the manner of preventing the user from spoofing based on the short message in the second embodiment, or only applying the present invention.
  • S32K obtains location information of the terminal in the WLAN and location information of the terminal in the mobile cellular network (such as 2G, 3G, etc.);
  • the information acquisition can be obtained through the location matching unit.
  • the location matching unit can also be based on the Portal server or the AAA server in the live network, or can be a separate device, and its function is compared with the MAC comparison unit. Independent. Specifically, the location matching unit obtains the location information of the terminal in the WLAN network by acquiring the location matching unit by using a Portal protocol or a Radius/Diameter protocol from the wireless access server (such as an AC or
  • BRAS Obtains the location information of the terminal in the WLAN network, including the AP identity or AP location information.
  • the MAC comparison unit may further carry an identifier for indicating whether the current authentication is a MAC authentication, as a basis for the location matching unit to perform a location matching operation, when the identifier indicates that the current authentication is When the MAC is authenticated, the location matching unit performs the location matching operation; otherwise, the location matching operation is not performed.
  • the location matching unit obtains the location information of the terminal in the mobile cellular network by acquiring the following manner:
  • the location matching unit sends a request for acquiring user information to the location home register (HLR) through the ATI (Any Time Interrogation) message of the MAP (Mobile Application Part) interface, and the HLR sends the request to the MSC through the PSKProvide Subscriber Information message of the MAP interface.
  • HLR location home register
  • ATI Any Time Interrogation
  • MAP Mobile Application Part
  • the MSC obtains the user information of the terminal through PSI paging, and the user information obtained through the PSI paging includes the benefit zone and the specific cell information;
  • the location matching unit obtains the user routing information from the HLR through the SRI (Send Routing Information) message of the MAP interface, and obtains the location area information, but has no specific cell information.
  • SRI Send Routing Information
  • the MAP interface, the ATI message, the PSI message, and the SRI message are all messages defined by the 3GPP protocol, and those skilled in the art can implement corresponding operations according to the 3GPP protocol.
  • the user is determined to be a counterfeit user, and an execution policy defined by the determination result is used (for example, rollback to Portal authentication); if the correspondence is satisfied, the user is determined to be a normal user, and the user is determined to be a normal user.
  • the execution policy (such as normal access) defined for this decision result.
  • region A For example, for a region A, it is assumed that APs with three WLANs are deployed, namely API, AP2, and AP3. Meanwhile, region A deploys two cells, specifically cell 1, cell 2, assuming WLAN deployment location information and mobility.
  • the correspondence between the location information of the cellular network deployment is AP1, AP2 corresponds to cell 1, and AP3 corresponds to cell 2.
  • the information about these network deployments is known in advance, and the correspondence can be configured in advance.
  • the obtained location information of the user in the WLAN is AP1
  • the obtained location information of the user in the mobile cellular network is the cell 1
  • the corresponding relationship satisfies the pre-configured relationship, and the user may be considered as a normal user
  • the location information of the user in the WLAN is non-AP1, other APs of the AP2 (such as AP3, AP5)
  • the user is determined to be a counterfeit user, and the user can go back to the portal authentication, and the user goes offline, and the MAC comparison unit is cleared. Operations such as saving MAC address entries. It should be noted that when the S322 condition is not satisfied, it is only a high probability event to determine that the user is a counterfeit user.
  • the embodiment of the present invention provides a WLAN authentication apparatus 50 based on the foregoing embodiments, and specifically includes: an obtaining module 51, configured to acquire a medium access control MAC address of the terminal when the terminal accesses the wireless local area network WLAN;
  • the authentication module 52 is configured to compare the MAC address of the terminal acquired by the obtaining module 501 with the preset MAC address, and complete the WLAN authentication; or the authentication module 502 is configured to acquire according to the terminal accessing the WLAN for the first time.
  • the corresponding relationship between the terminal MAC address and the user name and the password is used to find the user name and password corresponding to the MAC address of the terminal, and the searched user name and password are sent to the authentication center, so that the authentication center performs WLAN authentication on the terminal.
  • the method for obtaining the MAC address has been specifically described in the foregoing Embodiments 1 and 2, and details are not described herein again.
  • the embodiment of the invention further includes:
  • the corresponding relationship establishing module includes a receiving unit 531 and an establishing unit 532; the receiving unit is configured to receive a MAC address of the terminal sent by the wireless access server, and receive a username and a password sent by the terminal,
  • the wireless access server includes a broadband remote access server BRAS, or an access controller AC, or a wireless access point AP;
  • the establishing unit is configured to establish, according to a MAC address of the terminal, a correspondence between a MAC address of the terminal and a user name and a password.
  • the short message judging module is configured to notify the short message center to send a short message reminding message to the terminal, and determine whether the user is a counterfeit user by using the authentication confirmation message returned by the short message center.
  • a location obtaining module 55 configured to acquire location information of the terminal in the WLAN and location information of the terminal in the mobile cellular network;
  • the location determining module 56 is configured to match the acquired location information of the terminal in the WLAN with the location information of the terminal in the mobile cellular network according to the correspondence between the location information of the pre-configured WLAN deployment and the location information of the mobile cellular network deployment. , determining whether the location information of the pre-configured WLAN deployment and the location information of the mobile cellular network deployment are satisfied Correspondence relationship, to determine whether the user is a counterfeit user.
  • the location acquisition module includes -
  • the WLAN location obtaining module 551 is configured to obtain location information of the terminal in the WLAN from the wireless access server by using the Portal protocol or the radius Radius protocol or the Diameter Diameter protocol, where the location information of the terminal in the WLAN includes the AP identifier or the AP location information. ;
  • the mobile cellular network location obtaining module 552 is configured to send a request for acquiring user information to the location home register HLR through the ATI message of the MAP interface, so that the HLR sends the user to the mobile switching center MSC through the PSI message of the MAP interface after receiving the request.
  • the request for the information after the MSC receives the request sent by the HLR, obtains the user information of the terminal by using the PSI, and the user information of the terminal includes the location area and the cell location information; according to the information included in the user information.
  • the location area and the location information of the cell acquire the location information of the terminal in the mobile cellular network; or obtain the user routing information from the HLR through the SRI message of the MAP interface, where the user routing information includes the location area information, according to the routing information
  • the location area information acquires location information of the terminal in the mobile cellular network.
  • the obtaining module 51, the authentication module 52, and the correspondence establishing module 53, the short message determining module 54 can be considered as several modules in the MAC comparing unit in the previous embodiment.
  • the position acquisition module 55, the position determination module 56 can be considered to be several of the position matching units in the previous embodiment.
  • the modules may be located in the same physical network element (such as a Portal server or an AAA server), or may exist in a separate device, considering that the technical architecture of the existing network is not changed as much as possible.
  • the embodiments of the invention can implement these functional modules through existing network element devices (such as a Portal server).
  • FIG. 7 is a schematic diagram of a hardware structure implemented by an existing Portal server or an AAA server according to an embodiment of the present invention, including a CPU, a memory, a communication interface, and the like.
  • the CPU is used to execute the code related to the above function module (as shown in FIG. 6, the CPU is used to execute the MAC comparison unit, the function code related to the position matching unit).
  • the CPU can also be implemented by other processing devices with similar processing functions, such as DSP, FPGA and other processors.
  • the memory is used to store some temporary data or other data that needs to be saved during the running of the CPU, and the communication interface is used to provide an interface for interaction with other devices (such as terminals, authentication centers, etc.), which are well known to those skilled in the art.
  • the device by storing the correspondence between the MAC address of the terminal and the user name and password on the network side, can find the corresponding relationship between the preset terminal MAC address and the user name and password when the user accesses the next time.
  • the user name and password corresponding to the MAC address of the terminal, and the network side uses the terminal MAC address index to the user name and password as the authentication credential, which eliminates repeated input by the user and is convenient for the user to use.
  • the embodiment does not change the terminal, and only optimizes the process on the network side, and is easy to deploy. All mobile phones on the current network can benefit, and the applicability is very wide. All or part of the technical solutions provided by the above embodiments may be implemented by software programming, and the software program is stored in a readable storage medium such as a hard disk, an optical disk or a floppy disk in a computer.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例提供了一种基于MAC地址的WLAN认证方法及装置，其中，一种基于MAC地址的WLAN认证方法包括：当终端接入无线局域网WLAN时，获取所述终端的介质访问控制MAC地址；根据预设的MAC地址对获取的到所述终端的MAC地址进行比对，并完成WLAN认证；或者，根据所述终端首次接入WLAN时获取的终端MAC地址与用户名和密码的对应关系查找所述终端MAC地址对应的用户名和密码，将查找到的用户名和密码发送给认证中心，以使认证中心对所述终端进行WLAN认证。通过本发明实施例，可以大大减少用户进行手动输入的次数，并具有广泛的适用性。

Description

基于 MAC地址的 WLAN认证方法和装置
技术领域 本发明涉及通信领域， 特别涉及一种基于 MAC (Media Access Control, 介质访问控制） 地址的 WLAN ( Wireless Local Area Network, 无线局域网） 认证方法和装置。 背景技术 随着 WLAN (Wireless Local Area Network, 无线局域网） 技术的发展， 越来越多的用 户开始选择 WLAN作为互联网接入手段， 运营商也大量部署 WLAN接入点， 在提供接入 的过程中， 运营商首先要对待接入的 WLAN进行认证。
现有技术一在 WLAN认证时， 采用基于 Web页面和 HTTP的认证方式， 每次接入网络 时， 需要用户输入用户名和密码， 并由运营商相关验证设备基于该用户名和密码对待接入 的 WLAN 进行认证， 若验证成功， 则允许用户接入， 否则拒绝用户接入； 现有技术二在 WLAN认证时， 采用基于 Web页面和 Cookie的认证方式， 由终端设置 Cookie, 在用户接 入 WLAN后且短时间内网络出现异常时， 若终端用户打开 Cookie, 则 Cookie会根据保存 的随机数接入 WLAN网络， 而不需要用户重新输入用户名和密码， 若对于不信任的页面， 终端用户没有打开 Cookie, 则用户需要重新输入用户名和密码进行 WLAN认证； 现有技术 三采用基于 （U)SIM卡的自动认证，要求终端支持 3GPP (3rd Generation Partnership Project, 第三代合作伙伴计划） 定义的 I-WLAN (Interworking- Wireless Local Area Network, 无线局 域网互操作） 规范。
在实现本发明的过程中， 发明人发现现有技术至少存在以下问题：
现有技术一每次接入都需要输入用户名和密码， 用户体验比较差； 现有技术二取决于 终端是否打开 Cookie, 对终端的依赖性较强； 现有技术三要求终端支持 802.1x EAP-SIM和 AKA认证， 对终端的要求较高， 无法广泛适用。 发明内容 本发明实施例提供了一种基于 MAC地址的 WLAN认证方法和装置， 用以解决现有技 术存在着的用户体验差、 对终端要求较高而无法广泛适用的问题。
其中， 本发明实施例 WLAN认证方法包括：
当终端接入无线局域网 WLAN时， 获取所述终端的介质访问控制 MAC地址； 根据预设的 MAC地址对获取的到所述终端的 MAC地址进行比对， 并完成 WLAN认 证；
或者， 根据所述终端首次接入 WLAN时获取的终端 MAC地址与用户名和密码的对应 关系查找所述终端 MAC地址对应的用户名和密码，将查找到的用户名和密码发送给认证中 心， 以使认证中心对所述终端进行 WLAN认证。
本发明实施例 WLAN认证装置包括：
获取模块， 用于当终端接入无线局域网 WLAN时， 获取该终端的介质访问控制 MAC 地址；
认证模块， 用于预设的 MAC地址对通过获取模块 501获取的终端的 MAC地址进行比 对， 并完成 WLAN认证； 或者， 所述认证模块 502用于根据所述终端首次接入 WLAN时 获取的终端 MAC地址与用户名和密码的对应关系查找该终端 MAC地址对应的用户名和密 码，将查找到的用户名和密码发送给认证中心， 以使认证中心对所述终端进行 WLAN认证。
在本发明实施例中， 终端接入 WLAN时， 能够利用终端的 MAC地址信息自动完成终 端用户的接入认证， 从而可以大大减少用户进行手动输入的次数， 改善了用户体验。 另外， 本实施例不改动终端， 只在网络侧优化流程， 易部署， 现网所有手机都能受益， 适用性非 常广。 附图说明 图 1是本发明实施例 1中提供的 WLAN认证方法的流程图；
图 2是本发明实施例 2中提供的手机用户终端第一次接入 WLAN网络的认证流程图； 图 3是本发明实施例 2中提供的后续手机用户终端接入 WLAN网络的认证流程图； 图 4是本发明实施例 2中提供的执行异常处理流程图；
图 5是本发明实施例 3中提供的基于位置信息防止用户仿冒的流程示意图；
图 6是本发明实施例 4中提供的 WLAN认证装置结构示意图；
图 7是本发明实施例 4中 WLAN认证装置结构的一种硬件实现示意图。 具体实施方式 为使本发明的目的、 技术方案和优点更加清楚， 下面将结合附图对本发明实施方式作 进一步地详细描述。
实施例 1 参见图 1， 本实施例提供了一种 WLAN认证方法， 该方法包括：
步骤 101 : 当终端接入无线局域网 WLAN时， 获取该终端的介质访问控制 MAC地址； 本发明实施例 WLAN认证方法应用于网络侧， 可以不需要对终端进行改变。 本发明实 施例中， 网络侧获取终端的 MAC地址可以从终端发送的报文中获取， 例如， HTTP、 DHCP 等协议的报文中都会包括 MAC地址， 可以基于这些协议的报文进行获取， 并采用一定的方 式 （如采用不同的协议） 将终端 MAC地址在不同功能单元之间传递。
本发明实施例中， 网络侧设备包括无线接入服务器、 MAC比对单元等功能实体。其中， 无线接入服务器可以是 BRAS (Broadband Remote Access Server, 宽带远程接入服务器） 或 AC (Access Controller, 接入控制器）或 AP (Access Point, 无线接入点）， 本实施例不对此 进行限定； MAC比对单元为一个功能模块， 可以位于入口 Portal服务器 （在现有技术当中 用于对终端提供登录界面， 并获取和传递用户输入的用户名和密码） 或 AAA (现有技术中 完成认证、 授权、 计费功能）。 网络侧获取终端的 MAC地址具体可以为：
无线接入服务器先通过 HTTP、 DHCP等协议的报文获取终端的 MAC地址， 然后通过 接口将 MAC地址发送给 MAC比对单元，所述接口可以采用 HTTP报文头、 Radius/Diameter 接口协议、 Portal接口协议等。
步骤 102: 根据预设的 MAC地址对获取的到所述终端的 MAC地址进行比对， 并完成 WLAN认证；
在预设情况下， 终端的 MAC地址预先保存在 MAC 比对系统中， 终端接入时， MAC 比对系统通过获取的终端 MAC地址信息， 在 MAC地址表项中进行查找和比对， 如果查找 和比对成功， 则返回 MAC认证成功结果给无线接入服务器；
步骤 103: 或者， 根据所述终端首次接入 WLAN时获取的终端 MAC地址与用户名和 密码的对应关系查找所述终端 MAC地址对应的用户名和密码，将查找到的用户名和密码发 送给认证中心， 以使认证中心进行 WLAN认证；
在非预设情况下， 终端首次接入 WLAN时， MAC比对单元将获取到的终端 MAC地址 和对应的用户名及密码进行保存。后续终端再次发起接入请求时， 则 MAC比对单元先根据 获取的终端 MAC地址， 在 MAC地址表项中进行查找和比对， 同时获取 MAC地址对应的 用户名和密码。 并且， MAC比对单元将查找到的 MAC地址对应的用户名和密码发送给认 证中心， 以使认证中心进行 WLAN认证。
认证中心为现有网络架构下的认证服务器设备， MAC比对单元将终端 MAC地址对应 的用户名和密码替终端发送到认证中心进行认证， 省掉了用户再次手动输入用户名和密码 的步骤。 步骤 104: MAC比对单元在对终端的 MAC地址比对成功后， 向终端用户发起短信确 认过程。
MAC比对单元在 MAC比对成功后， 根据对应的用户帐号向用户发送确认短信， 如果 用户返回拒绝， 则进行相应的操作， 比如对用户下线， 清除 MAC地址表项等。
步骤 105: MAC比对单元在对终端的 MAC地址比对成功后， 发起终端的位置匹配过 程。
在 MAC比对成功后， MAC比对系统分别从 WLAN网络和移动蜂窝网络中获取终端的 位置信息， 并对两个位置信息进行匹配， 如果匹配不成功， 则进行相应的操作， 比如对用 户下线， 清除 MAC地址表项等。
本实施例中的步骤 104、 步骤 105为附加功能， 在实际应用中可以根据情况进行组合， 组合方式包括不限于： 步骤 101〜103和步骤 104的组合， 步骤 101〜103和步骤 105的组 合， 步骤 101〜103、 步骤 104和步骤 105的组合等。
本实施例提供的方法， 终端下次接入 WLAN时， 能够在预设的或终端首次接入时获取 的 MAC地址进行查找和比对， 自动完成认证过程， 从而可以大大减少用户进行手动输入的 次数， 改善了用户体验。 另外， 本实施例不改动终端， 只在网络侧优化流程， 除了需要增 加 MAC比对单元外， 其余网络设备都基于现有的设备， 因此， 很容易部署， 使得现网所有 手机都能受益， 适用性非常广。 实施例 2
本实施例基于实施例 1针对手机用户一段时间内使用同一个终端上网的特点， 提出了一 种手机用户终端基于 MAC地址进行 WLAN认证的技术方案。
参见图 2，本实施例提出了一种手机用户终端第一次接入 WLAN的认证流程，具体包括： 步骤 201 : UE (User Equipment, 用户终端） 完成 WLAN的关联并获得 IP地址， 根据 IP地址向无线接入服务器发起 HTTP (Hyper Text Transfer Protocol,超文本传输协议）请求， 使得所述无线接入服务器根据所述 HTTP请求获取所述终端的 MAC地址；
无线接入服务器可以根据 HTTP请求的 MAC层报文获取终端的 MAC地址； 或者， UE 在完成 WLAN的关联后，无线接入服务器根据 UE发来的 DHCP请求报文获取 UE的 MAC 地址。 其中， 无线接入服务器可以是 BRAS (Broadband Remote Access Server, 宽带远程接 入服务器） 或 AC (Access Controller, 存取控制器） 或 AP (Access Point, 无线接入点）， 本实施例不对此进行限定， 仅以无线接入服务器为 BRAS为例进行说明。
步骤 202: BRAS将该 HTTP请求重定向到 MAC比对单元， 并在该 HTTP请求的报文 头中增加 UE的 MAC地址；
或者， BRAS可以通过半径 Radius协议或者直径 Diameter协议或 Portal协议向 MAC 比对单元传递终端的 MAC地址。
其中， 这里的 MAC比对单元具体可以位于 Portal服务器或者 AAA服务器中， 或者为 一个独立的设备。
步骤 203: MAC比对单元接收 BRAS发送的 HTTP协议， 并根据 HTTP请求识别 UE 的类型， 若 UE为手机用户终端， 则在保存的对应关系中查找该 MAC地址对应的用户名和 密码， 若没有查找到， MAC比对单元向 UE推送登录页面。
在非预设情况下， 由于第一次接入， 一般事先都不会保存对应关系， 因此， MAC比对 单元向 UE推送登录页面， 用户在该界面下输入用户名、 密码等信息。
其中， MAC比对单元根据 HTTP请求识别 UE的类型具体包括， 根据 HTTP请求的报 文头部携带的用户代理 User-Agent字段识别 UE的类型。 User-Agent字段会包含终端的类型 (如手机类型）等信息， 因此， 可以根据该字段对 UE类型进行识别， 并针对不同的终端类 型采取不同的策略，例如，针对终端类型为手机的用户， 可以选择继续接入； 针对 PC用户， 可以回退到 Portal认证。
实际应用中， 在对应关系中没有查找到的情况较多， 如终端首次接入 WLAN， 尚未建 立该终端的 MAC 地址与用户名和密码的对应关系； 若更换手机或修改密码时， 则终端的 MAC地址或密码已经发生变化， 在对应关系中也查找不到对应的用户名和密码。 在这些情 况下， 都需要重新通过用户输入用户名、 密码， 建立与 MAC地址的连接关系。
在采用非 HTTP方式获取终端 MAC地址时（比如采用 DHCP方式）， 无线接入服务器 可以先识别 HTTP报文中的 User- Agent, 再通过 Radius/Diameter接口或 Portal协议接口传 递给 MAC比对单元。
本实施例中还可以设定 MAC地址与用户名、密码对应关系的老化时间， 其中， 所有用 户的对应关系可以统一设定成一个老化时间； 或者根据某种策略对不同用户的对应关系设 定不同的老化时间。如果保存的对应关系存在的时间超过了老化时间， 则清除该 MAC地址 与用户名和密码的对应关系。 例如， 在 2011年 3月 1 日早上 9点建立 UE1的 MAC地址与 用户名和密码的对应关系， 并预设该对应关系的老化时间为 1个月， 若 UE1在 2011年 4 月 1 日早上 10点接入 WLAN进行认证时， 由于超过了 1个月的老化时间， 则删除该 UE的 MAC地址与用户名和密码的对应关系。
步骤 204: UE在登录页面上输入用户名和密码；
步骤 205: MAC比对单元根据 UE输入的用户名和密码， 及获取的 UE的 MAC地址， 保存 MAC 地址与用户名和密码的对应关系， 并将该用户名和密码发送给 BRAS (如通过 Portal协议） ， 发起认证；
步骤 206： BRAS将接收到的用户名和密码发给认证中心进行认证（如通过 Radius协议）； 其中， 本实施例中以认证中心为 AAA为例进行说明；
步骤 207: BRAS接收 AAA返回的认证结果， 并将该认证结果反馈给 Portal服务器； 步骤 208: Portal服务器判断认证结果， 如果认证成功， 则给 UE推送登录成功页面， 认证流程结束。
参见图 3， 本实施例当 MAC比对中心保存了 MAC与用户名和密码的对应关系后， 后 续手机用户终端接入 WLAN网络流程， 具体包括：
步骤 301 : 手机用户终端基于 Web浏览器完成 WLAN的关联并获得 IP地址， 根据 IP 地址向 BRAS发起 HTTP请求；
或者， UE在完成 WLAN的关联后， 无线接入服务器根据 UE发来的 DHCP请求报文 获取 UE的 MAC地址。
步骤 302: BRAS将该 HTTP请求重定向到 MAC比对单元， 并在该 HTTP请求的报文 头中增加 UE的 MAC地址；
或者，无线接入服务器通过 Radius/Diameter协议或 Portal协议向 MAC比对单元传递终 端的 MAC地址。
步骤 303: MAC比对单元接收 BRAS发送的 HTTP协议， 并根据 HTTP请求识别 UE 的类型，若 UE为手机用户终端，则在预设的或终端首次接入时获取的对应关系中查找 MAC 地址对应的用户名和密码， 并将查找到的用户名和密码发送给 BRAS;
或者， MAC比对单元根据无线接入服务器通过 Radius/Diameter协议或 Portal协议传递 的 MAC地址和终端类型， 在本地保存的 MAC地址表项中进行查找和比对。
步骤 304: BRAS将用户名和密码发送给 AAA, 以使 AAA进行 WLAN认证； 步骤 305: AAA进行 WLAN认证， 并向 BRAS返回认证结果；
步骤 306: BRAS接收 AAA返回的认证结果， 并将该认证结果反馈给 MAC比对单元； 步骤 307: MAC比对单元判断认证结果， 如果认证成功， 通知短信中心向 UE下发短 信确认消息；
本实施例中 MAC比对单元还可以携带用于指示"本次认证是否为 MAC认证"的标识， 作为是否进行短信确认流程的依据， 当该标识指示本次认证为 MAC认证时， 则进行短信确 认流程； 否则， 不进行短信确认流程。
其中， 本实施例不对短信提醒消息的形式进行限定， 该短信提醒消息可以为"成功登陆 WLAN, 请回复 "AA"进行确认"的字段等。
步骤 308: 短信中心向 UE下发短信提醒消息；
具体地， 短信中心向 UE对应的手机号码（对应 WLAN用户帐号）下发短信提醒消息， UE接收到该短信提醒消息后， 向短信中心返回认证确认消息。
步骤 309: UE根据收到的短信提醒消息， 向短信中心返回认证确认消息；
其中， 本实施例不对认证确认消息的形式进行限定， 此处以认证确认消息为肯定消息 为例进行说明， 如该认证确认消息可以为"是"、 "确认 "的字段等。
步骤 310: 短信中心根据接收到的认证确认消息通知 MAC比对单元；
步骤 311 : MAC比对单元给 UE推送登录成功页面， 认证流程结束。
参见图 4， 若上述步骤 309中 UE向短信中心返回的认证确认消息为否认消息或确认超 时， 则执行异常处理流程， 具体步骤如下：
步骤 312: 短信中心判断是否为仿冒用户，若判断为仿冒用户， 则通知 MAC比对单元; 具体地， 该仿冒用户包括变更终端后， 利用更换后的终端接入 WLAN的用户； 还包括 了没有变更终端， 但在返回认证确认消息进行了误操作的用户， 本实施例中将进行了误操 作的用户也视为仿冒用户， 执行异常处理流程。
步骤 313: MAC比对单元清除当前链接和 MAC地址表项， 异常处理流程结束。
本实施例提供的方法， 通过在网络侧保存终端 MAC地址与用户名和密码的对应关系， 下次用户接入的时候， 网络侧用终端 MAC地址索引到用户名和密码作为认证凭证， 从而可 以大大减少用户进行手动输入的次数， 方便用户使用。 另外， 本实施例不改动终端， 只在 网络侧优化流程， 易部署， 现网所有手机都能受益， 适用性非常广。 实施例 3
本发明实施例基于上述实施例 1、 2提供了一种基于位置信息防止用户仿冒的方法， 这 种方法可以与实施例 2 中基于短信的方式防止用户仿冒的方式一起应用， 或者只应用本发 明实施例中基于位置信息防止用户仿冒的方法。
具体的， 参见图 5， 包括如下步骤：
S32K 获取终端在 WLAN中的位置信息以及终端在移动蜂窝网 （如 2G、 3G等网络） 中的位置信息；
此步骤可以在认证过程当中， 信息获取通过位置匹配单元来进行获取， 位置匹配单元 也可以基于现网中的 Portal服务器或 AAA服务器， 或者也可以是一个单独的设备， 其功能 与 MAC比对单元相独立。 具体的， 位置匹配单元获取终端在 WLAN网络中的位置信息通过如下方式获取： 位置匹配单元通过 Portal协议或者 Radius/Diameter协议从无线接入服务器 （如 AC或
BRAS) 获取终端在 WLAN网络中的位置信息， 包括 AP标识或 AP位置信息。
同时， 本发明实施例中 MAC比对单元还可以携带用于指示 "本次认证是否为 MAC认 证" 的标识， 以作为位置匹配单元是否进行位置匹配操作的依据， 当该标识指示本次认证 为 MAC认证时， 位置匹配单元后续进行位置匹配操作； 否则， 不进行位置匹配操作。
位置匹配单元获取终端在移动蜂窝网中的位置信息通过如下方式获取：
位置匹配单元通过 MAP (Mobile Application Part)接口的 ATI (Any Time Interrogation) 消息向位置归属寄存器 HLR (Home Location Register) 发送获取用户信息的请求， HLR通 过 MAP接口的 PSKProvide Subscriber Information)消息向 MSC发送获取用户信息的请求，
MSC通过 PSI寻呼获取终端的用户信息， 通过 PSI寻呼获取的用户信息当中包括益区及具 体的小区信息；
或者， 位置匹配单元通过 MAP接口的 SRI ( Send Routing Information) 消息向 HLR获 取用户路由信息， 获取位置区信息， 但没有具体的小区信息。
其中， 上述 MAP接口、 ATI消息、 PSI消息、 SRI消息都为 3GPP协议定义的消息， 本 领域技术人员可以根据 3GPP协议来实现相应的操作。
S322、根据预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位置信息的对应关 系对获取到的终端在 WLAN中的位置信息与终端在移动蜂窝网中的位置信息进行匹配， 判 断是否满足预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位置信息的对应关系， 以判断用户是否为仿冒用户。
具体的， 如果不满足对应关系， 则判定用户为仿冒用户， 并采用针对此判定结果所定 义的执行策略 （如回退到 Portal认证）； 如果满足对应关系， 则判定用户为正常用户， 并采 用针对此判定结果所定义的执行策略 （如正常接入）。
例如， 针对一个地区 A， 假设部署了 3个 WLAN的 AP， 分别为 API、 AP2、 AP3; 同 时， 地区 A部署了 2个小区， 具体为小区 1， 小区 2， 假设 WLAN部署的位置信息与移动 蜂窝网部署的位置信息的对应关系为 AP1、 AP2与小区 1对应， AP3与小区 2对应。 这些 网络部署的信息都是预先知道的， 可以事先配置好对应关系。 当获取到的用户在 WLAN中 的位置信息为 AP1， 获取到的用户在移动蜂窝网中的位置信息为小区 1 时， 则这种对应关 系满足预先配置的关系， 可以认为用户是正常的用户； 否则， 如果用户在 WLAN中的位置 信息为非 AP1、 AP2的其他 AP (如 AP3、 AP5 )， 则判定用户为仿冒用户， 并且可以执行回 退到 Portal认证， 用户下线， 清除 MAC比对单元中保存的 MAC地址表项等操作。 需要说明的是， 当 S322条件不满足时判定用户为仿冒用户只是一种大概率的事件， 实 际应用当中也有可能出现用户更换终端而导致的一些误判， 因此， 可以结合实际情况在满 足条件下采用合适的策略， 这里并不限定。 这些策略都可以认为是基于 "判定用户为仿冒 用户"判定结果下的策略的等同实现方式。 实施例 4
参见图 6，本发明实施例基于上述各实施例提供了一种 WLAN认证装置 50，具体包括： 获取模块 51，用于当终端接入无线局域网 WLAN时，获取该终端的介质访问控制 MAC 地址；
认证模块 52，用于预设的 MAC地址对通过获取模块 501获取的终端的 MAC地址进行 比对， 并完成 WLAN认证； 或者， 所述认证模块 502用于根据所述终端首次接入 WLAN 时获取的终端 MAC地址与用户名和密码的对应关系查找该终端 MAC地址对应的用户名和 密码， 将查找到的用户名和密码发送给认证中心， 以使认证中心对所述终端进行 WLAN认 证。
其中， MAC地址的获取方法在上述实施例 1、 2中已经具体介绍， 这里不再赘述。 本发明实施例还包括：
对应关系建立模块 53， 所述对应关系建立模块包括接收单元 531和建立单元 532; 所述接收单元用于接收无线接入服务器发送的终端的 MAC地址，并接收所述终端发送 的用户名和密码， 其中， 所述无线接入服务器包括宽带远程接入服务器 BRAS， 或者存取控 制器 AC， 或者无线接入点 AP;
所述建立单元用于根据所述终端的 MAC地址， 建立所述终端的 MAC地址与用户名和 密码的对应关系。
本实施例还包括：
短信判断模块 54， 用于通知短信中心向终端下发短信提醒消息， 并通过所述短信中心 返回的认证确认消息判断用户是否为仿冒用户。
本实施例还包括：
位置获取模块 55，用于获取终端在 WLAN中的位置信息以及终端在移动蜂窝网中的位 置信息；
位置判断模块 56，用于根据预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位 置信息的对应关系对获取到的终端在 WLAN中的位置信息与终端在移动蜂窝网中的位置信 息进行匹配， 判断是否满足预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位置信 息的对应关系， 以判断用户是否为仿冒用户。
其中， 所述位置获取模块包括-
WLAN位置获取模块 551，用于通过 Portal协议或者半径 Radius协议或者直径 Diameter 协议从无线接入服务器获取终端在 WLAN中的位置信息， 所述终端在在 WLAN中的位置 信息包括 AP标识或 AP位置信息；
移动蜂窝网位置获取模块 552，用于通过 MAP接口的 ATI消息向位置归属寄存器 HLR 发送获取用户信息的请求， 使得所述 HLR收到请求后通过 MAP接口的 PSI消息向移动交 换中心 MSC发送获取用户信息的请求， 使得所述 MSC收到所述 HLR发送的请求后通过 PSI寻呼获取终端的用户信息， 所述终端的用户信息中包括位置区及小区位置信息； 根据所 述用户信息中包括的位置区及小区位置信息获取终端在移动蜂窝网中的位置信息； 或者通 过 MAP接口的 SRI消息向所述 HLR获取用户路由信息， 所述用户路由信息包括位置区信 息， 根据所述路由信息中的位置区信息获取终端在移动蜂窝网中的位置信息。
本发明实施例中， 获取模块 51， 认证模块 52， 对应关系建立模块 53， 短信判断模块 54可以认为是前面实施例中的 MAC比对单元中的几个模块。 位置获取模块 55， 位置判断 模块 56可以认为是前面实施例中的位置匹配单元中的几个模块。 如前面实施例所述， 这几 个模块可以位于同一个实体网元 （如 Portal服务器， 或者 AAA服务器）， 也可以以单独的 设备形式存在， 考虑到尽量不改变现有网络的技术架构， 本发明实施例可以将这些功能模 块通过现有的网元设备 （如 Portal服务器） 实现。
参见图 7， 为本发明实施例基于现有 Portal服务器或 AAA服务器实现的硬件结构示意 图， 包括 CPU、 存储器、 通信接口等单元。 其中， CPU用于执行上述功能模块相关的代码 (如图 6中， CPU用于执行 MAC比对单元， 位置匹配单元相关的功能代码）。 在实际硬件 设计过程当中， CPU也可以采用其他具有类似处理功能的处理设备实现， 如 DSP、 FPGA 等处理器。 存储器用于存储 CPU运行过程当中的一些临时数据或其他需要保存的数据， 通 信接口用于提供与其他设备 （如终端、 认证中心等） 交互的接口， 这些技术都为本领域技 术人员所熟知的技术， 在此不再详述。 本实施例提供的装置， 通过在网络侧保存终端 MAC地址与用户名和密码的对应关系， 下次用户接入的时候，能够在预设的终端 MAC地址与用户名和密码的对应关系中查找所述 终端的 MAC地址对应的用户名和密码， 网络侧用终端 MAC地址索引到用户名和密码作为 认证凭证， 免除了用户的重复输入， 方便用户使用。 另外， 本实施例不改动终端， 只在网 络侧优化流程， 易部署， 现网所有手机都能受益， 适用性非常广。 以上实施例提供的技术方案中的全部或部分内容可以通过软件编程实现， 其软件程序 存储在可读取的存储介质中， 存储介质例如： 计算机中的硬盘、 光盘或软盘。
以上所述仅为本发明的较佳实施例， 并不用以限制本发明， 凡在本发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权利要求
1、 一种基于 MAC地址的 WLAN认证方法， 其特征在于， 所述方法包括： 当终端接入无线局域网 WLAN时， 获取所述终端的介质访问控制 MAC地址； 根据预设的 MAC地址对获取的到所述终端的 MAC地址进行比对， 并完成 WLAN 认证；
或者，根据所述终端首次接入 WLAN时获取的终端 MAC地址与用户名和密码的对 应关系查找所述终端 MAC地址对应的用户名和密码， 将查找到的用户名和密码发送给 认证中心， 以使认证中心对所述终端进行 WLAN认证。
2、 如权利要求 1所述的方法， 其特征在于， 还包括：
当采用所述根据所述终端首次接入 WLAN时获取的终端 MAC地址与用户名和密码 的对应关系查找该终端的 MAC地址， 将查找到的终端 MAC地址对应的用户名和密码 发送给认证中心， 以使认证中心进行 WLAN认证的方法进行认证时， 在所述终端首次 接入无线局域网 WLAN时， 接收所述终端发送的用户名和密码； 其中， 所述无线接入 服务器包括宽带远程接入服务器 BRAS， 或者存取控制器 AC， 或者无线接入点 AP; 根据获取的所述终端的 MAC地址以及所述终端的的用户名和密码， 建立所述终端 的 MAC地址与用户名和密码的对应关系。
3、 如权利要求 2所述的方法， 其特征在于， 还包括：
预设终端的 MAC地址与用户名和密码的对应关系的老化时间；
当保存的终端的 MAC 地址与用户名和密码的对应关系存在的时间超过老化时间 时， 删除所述终端的 MAC地址与用户名和密码的对应关系。
4、如权利要求 1所述的方法，其特征在于，所述获取所述终端的介质访问控制 MAC 地址， 具体包括：
接收无线接入服务器通过半径 Radius协议或者直径 Diameter协议或者 Portal协议 传递的终端的 MAC地址， 其中， 所述无线接入服务器传递的终端的 MAC地址根据终 端发来的 HTTP请求的 MAC层报文获得。
5、 如权利要求 2所述的方法， 其特征在于， 还包括：
当接收到 HTTP请求时， 根据所述 HTTP请求报文头中的用户代理 （User-Agent) 判断终端类型， 并根据终端类型采用不同的认证策略。
6、 如权利要求 1所述的方法， 其特征在于， 完成 MAC比对后， 还包括： 通知短信中心向终端下发短信提醒消息， 并通过所述终端返回的认证确认消息判断 用户是否为仿冒用户。
7、 如权利要求 6所述的方法， 其特征在于， 所述方法还包括， 当用户为仿冒用户 时， 对用户进行下线处理， 并清除所述终端的 MAC地址与用户名和密码的对应关系。
8、 如权利要求 6-7任一所述的方法， 其特征在于， 还包括：
携带用于指示 "本次认证是否为 MAC认证" 的标识， 作为是否进行短信确认流程 的依据， 当该标识指示本次认证为 MAC认证时， 则通知短信中心向终端下发短信提醒 消息， 并通过所述终端返回的认证确认消息判断用户是否为仿冒用户； 否则， 不通知短 信中心下发短信消息。
9、 如权利要求 1所述的方法， 其特征在于， 还包括：
获取终端在 WLAN中的位置信息以及终端在移动蜂窝网中的位置信息；
根据预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位置信息的对应关系 对获取到的终端在 WLAN中的位置信息与终端在移动蜂窝网中的位置信息进行匹配， 判断是否满足预先配置的 WLAN部署的位置信息与移动蜂窝网部署的位置信息的对应 关系， 以判断用户是否为仿冒用户。
10、 如权利要求 9所述的方法， 其特征在于， 所述获取终端在 WLAN中的位置信 息以及终端在移动蜂窝网中的位置信息包括：
通过 Portal协议或者半径 Radius协议或者直径 Diameter协议从无线接入服务器获 取终端在 WLAN中的位置信息，所述终端在在 WLAN中的位置信息包括 AP标识或 AP 位置信息；
通过 MAP接口的 ATI消息向位置归属寄存器 HLR发送获取用户信息的请求，使得 所述 HLR收到请求后通过 MAP接口的 PSI消息向移动交换中心 MSC发送获取用户信 息的请求，使得所述 MSC收到所述 HLR发送的请求后通过 PSI寻呼获取终端的用户信 息， 所述终端的用户信息中包括位置区及小区位置信息； 根据所述用户信息中包括的位 置区及小区位置信息获取终端在移动蜂窝网中的位置信息； 或者通过 MAP接口的 SRI 消息向所述 HLR获取用户路由信息， 所述用户路由信息包括位置区信息， 根据所述路 由信息中的位置区信息获取终端在移动蜂窝网中的位置信息。
11、 如权利要求 9-10任一所述的方法， 其特征在于， 还包括：
携带用于指示 "本次认证是否为 MAC认证" 的标识， 以作为位置匹配单元是否进 行位置匹配操作的依据， 当该标识指示本次认证为 MAC认证时， 位置匹配单元后续进 行位置匹配操作； 否则， 不进行位置匹配操作；
所述位置匹配操作包括如权利要求 9所述的操作。
12、 一种基于 MAC地址的 WLAN认证装置， 其特征在于， 所述装置包括， 获取模块，用于当终端接入无线局域网 WLAN时，获取该终端的介质访问控制 MAC 地址；
认证模块， 用于预设的 MAC地址对通过获取模块 501获取的终端的 MAC地址进 行比对，并完成 WLAN认证;或者，所述认证模块 502用于根据所述终端首次接入 WLAN 时获取的终端 MAC地址与用户名和密码的对应关系查找该终端 MAC地址对应的用户 名和密码， 将查找到的用户名和密码发送给认证中心， 以使认证中心对所述终端进行 WLAN认证。
13、 如权利要求 12所述的装置， 其特征在于， 所述装置还包括对应关系建立模块， 所述对应关系建立模块包括接收单元和建立单元；
所述接收单元用于接收无线接入服务器发送的终端的 MAC地址， 并接收所述终端 发送的用户名和密码， 其中， 所述无线接入服务器包括宽带远程接入服务器 BRAS， 或 者存取控制器 AC， 或者无线接入点 AP;
所述建立单元用于根据所述终端的 MAC地址， 建立所述终端的 MAC地址与用户 名和密码的对应关系。
14、 如权利要求 12所述的装置， 其特征在于， 所述装置还包括短信判断模块， 用 于通知短信中心向终端下发短信提醒消息， 并通过所述短信中心返回的认证确认消息判 断用户是否为仿冒用户。
15、 如权利要求 12所述的装置， 其特征在于， 还包括：
位置获取模块， 用于获取终端在 WLAN中的位置信息以及终端在移动蜂窝网中的 位置信息；
位置判断模块， 用于根据预先配置的 WLAN部署的位置信息与移动蜂窝网部署的 位置信息的对应关系对获取到的终端在 WLAN中的位置信息与终端在移动蜂窝网中的 位置信息进行匹配， 判断是否满足预先配置的 WLAN部署的位置信息与移动蜂窝网部 署的位置信息的对应关系， 以判断用户是否为仿冒用户。
16、 如权利要求 15所述的装置， 其特征在于：
所述位置获取模块包括：
WLAN位置获取模块，用于通过 Portal协议或者半径 Radius协议或者直径 Diameter 协议从无线接入服务器获取终端在 WLAN中的位置信息，所述终端在在 WLAN中的位 置信息包括 AP标识或 AP位置信息；
移动蜂窝网位置获取模块， 用于通过 MAP接口的 ATI消息向位置归属寄存器 HLR 发送获取用户信息的请求，使得所述 HLR收到请求后通过 MAP接口的 PSI消息向移动 交换中心 MSC发送获取用户信息的请求， 使得所述 MSC收到所述 HLR发送的请求后 通过 PSI寻呼获取终端的用户信息，所述终端的用户信息中包括位置区及小区位置信息; 根据所述用户信息中包括的位置区及小区位置信息获取终端在移动蜂窝网中的位置信 息； 或者通过 MAP接口的 SRI消息向所述 HLR获取用户路由信息，所述用户路由信息 包括位置区信息，根据所述路由信息中的位置区信息获取终端在移动蜂窝网中的位置信
PCT/CN2011/075754 2011-06-15 2011-06-15 基于mac地址的wlan认证方法和装置 WO2012171184A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201180000653.4A CN102204307B (zh) 2011-06-15 2011-06-15 基于mac地址的wlan认证方法和装置
PCT/CN2011/075754 WO2012171184A1 (zh) 2011-06-15 2011-06-15 基于mac地址的wlan认证方法和装置

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2011/075754 WO2012171184A1 (zh) 2011-06-15 2011-06-15 基于mac地址的wlan认证方法和装置

Publications (1)

Publication Number Publication Date
WO2012171184A1 true WO2012171184A1 (zh) 2012-12-20

Family

ID=44662842

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/075754 WO2012171184A1 (zh) 2011-06-15 2011-06-15 基于mac地址的wlan认证方法和装置

Country Status (2)

Country Link
CN (1) CN102204307B (zh)
WO (1) WO2012171184A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014155221A1 (en) * 2013-03-28 2014-10-02 Telefonaktiebolaget L M Ericsson (Publ) Technique for controlling loss and theft of remote radio equipment in a cellular ad hoc network
US9055461B2 (en) 2013-03-28 2015-06-09 Telefonaktiebolaget L M Ericsson (Publ) Technique for troubleshooting remote cellular base station radios from the network management platform using local wireless hotspot at the radio site
US9191830B2 (en) 2013-03-28 2015-11-17 Telefonaktiebolaget L M Ericsson (Publ) Local wireless connectivity for radio equipment of a base station in a cellular communications network

Families Citing this family (38)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103079201B (zh) * 2011-10-26 2015-06-03 中兴通讯股份有限公司 无线局域网的快速认证方法、ac及系统
CN102427583B (zh) * 2011-12-06 2015-03-11 华为技术有限公司 无线局域网接入认证的方法及装置
CN102572689B (zh) * 2011-12-30 2015-09-16 上海顶竹通讯技术有限公司 移动终端定位系统以及方法
CN103209159B (zh) * 2012-01-13 2016-06-22 中国电信股份有限公司 门户认证方法和系统
CN103249040B (zh) * 2012-02-08 2017-04-26 华为终端有限公司 一种无线接入认证的方法及装置
CN103686900A (zh) * 2012-09-26 2014-03-26 中国电信股份有限公司 移动台切换WiFi网络的方法和移动台
CN103716795B (zh) * 2012-10-09 2018-04-06 中兴通讯股份有限公司 一种无线网络安全接入方法、装置和系统
CN105635321A (zh) * 2012-11-22 2016-06-01 青岛海信宽带多媒体技术有限公司 一种动态组网设备注册的方法
CN103857017B (zh) * 2012-11-29 2017-10-31 中兴通讯股份有限公司 通信终端、通信系统及通信连接方法
CN103874065B (zh) * 2012-12-17 2018-05-11 中国移动通信集团上海有限公司 一种判断用户位置异常的方法及装置
CN103929784B (zh) * 2013-01-10 2017-08-08 中国移动通信集团上海有限公司 一种用户带宽控制方法、装置及系统
CN103067404B (zh) * 2013-01-10 2018-09-28 上海斐讯数据通信技术有限公司 一种用户访问嵌入式web服务器的方法
CN104283848B (zh) * 2013-07-03 2018-02-09 新华三技术有限公司 终端接入方法和装置
CN103765855B (zh) * 2013-09-13 2017-05-24 华为终端有限公司 无线网络设备的处理方法、无线网络设备及其处理器
US10554760B2 (en) 2013-09-29 2020-02-04 Xiaomi Inc. Method and networking equipment for acquiring feature information
CN103475577B (zh) * 2013-09-29 2017-02-08 小米科技有限责任公司 一种获得特征信息的方法、装置及网络设备
CN103746983A (zh) * 2013-12-30 2014-04-23 迈普通信技术股份有限公司 一种接入认证方法及认证服务器
CN103746812B (zh) * 2013-12-30 2017-06-16 迈普通信技术股份有限公司 一种接入认证方法及系统
CN105025477A (zh) * 2014-04-29 2015-11-04 华晶科技股份有限公司 无线安全自动配对方法、联机建立方法与无线存取点装置
ES2934600T3 (es) 2014-05-31 2023-02-23 Huawei Tech Co Ltd Método de conexión de red, terminal de punto de acceso y terminal de gestión
US9693296B2 (en) 2014-07-17 2017-06-27 Xiaomi Inc. Network connection method and apparatus
CN104113931A (zh) * 2014-07-21 2014-10-22 无锡中苗科技有限公司 一种移动终端设备快速登录公共wifi热点的方法
CN104812019B (zh) * 2015-03-13 2019-02-22 深信服网络科技（深圳）有限公司 无线网络的接入方法、无线接入设备及无线控制设备
CN104935596B (zh) * 2015-06-16 2018-06-26 努比亚技术有限公司 一种通信安全处理方法及系统
US9980316B2 (en) * 2015-07-14 2018-05-22 Htc Corporation Device and method of handling authentication procedure
CN105246073B (zh) * 2015-08-28 2019-06-21 深圳市信锐网科技术有限公司 无线网络的接入认证方法及服务器
CN105391720A (zh) * 2015-11-20 2016-03-09 北京那个网络科技有限公司 用户终端登录方法及装置
CN107026813B (zh) * 2016-01-29 2019-12-20 中国电信股份有限公司 WiFi网络的接入认证方法、系统以及门户服务器
CN106230783A (zh) * 2016-07-20 2016-12-14 迈普通信技术股份有限公司 一种Portal认证方法及装置
CN108111460B (zh) * 2016-11-24 2020-12-08 飞天联合（北京）系统技术有限公司 一种用户认证方法及系统
CN106954212A (zh) * 2017-03-02 2017-07-14 上海斐讯数据通信技术有限公司 一种Portal认证方法及系统
CN107547501B (zh) * 2017-05-26 2020-05-12 新华三技术有限公司 身份认证方法及装置
CN107332862A (zh) * 2017-08-16 2017-11-07 浪潮软件股份有限公司 一种身份认证方法、前置机及身份认证系统
CN108259457B (zh) * 2017-09-27 2021-06-29 新华三技术有限公司 一种web认证方法及装置
WO2019222999A1 (zh) * 2018-05-25 2019-11-28 华为技术有限公司 接入控制方法、装置和可读存储介质
CN110831003B (zh) * 2018-08-13 2023-10-13 广东亿迅科技有限公司 基于wlan灵活接入网络的认证方法及系统
CN109275104A (zh) * 2018-09-28 2019-01-25 上海宝通汎球电子有限公司 一种基于无线通迅技术的定位系统及方法
CN112929188B (zh) * 2019-12-05 2022-06-14 中国电信股份有限公司 设备连接方法、系统、装置及计算机可读存储介质

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1842000A (zh) * 2005-03-29 2006-10-04 华为技术有限公司 实现无线局域网接入认证的方法
CN101651548A (zh) * 2009-09-21 2010-02-17 中国电信股份有限公司 用于设备的远程开机方法和系统
CN102143353A (zh) * 2010-02-02 2011-08-03 捷达世软件（深圳）有限公司 视频实时采集方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1842000A (zh) * 2005-03-29 2006-10-04 华为技术有限公司 实现无线局域网接入认证的方法
CN101651548A (zh) * 2009-09-21 2010-02-17 中国电信股份有限公司 用于设备的远程开机方法和系统
CN102143353A (zh) * 2010-02-02 2011-08-03 捷达世软件（深圳）有限公司 视频实时采集方法

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2014155221A1 (en) * 2013-03-28 2014-10-02 Telefonaktiebolaget L M Ericsson (Publ) Technique for controlling loss and theft of remote radio equipment in a cellular ad hoc network
US9055461B2 (en) 2013-03-28 2015-06-09 Telefonaktiebolaget L M Ericsson (Publ) Technique for troubleshooting remote cellular base station radios from the network management platform using local wireless hotspot at the radio site
US9191830B2 (en) 2013-03-28 2015-11-17 Telefonaktiebolaget L M Ericsson (Publ) Local wireless connectivity for radio equipment of a base station in a cellular communications network
US9491162B2 (en) 2013-03-28 2016-11-08 Telefonaktiebolaget L M Ericsson (Publ) Technique for controlling loss and theft of remote radio equipment in a cellular ad hoc network

Also Published As

Publication number Publication date
CN102204307B (zh) 2014-04-16
CN102204307A (zh) 2011-09-28

Similar Documents

Publication Publication Date Title
WO2012171184A1 (zh) 基于mac地址的wlan认证方法和装置
CN105052184B (zh) 控制用户设备对服务接入的方法、设备及控制器
US9980130B2 (en) Session and service control for wireless devices using common subscriber information
EP3585107A1 (en) Multi-access management implementation method and device, and computer storage medium
EP2612515B1 (en) Roaming between networks employing different authentication protocols
US8611859B2 (en) System and method for providing secure network access in fixed mobile converged telecommunications networks
US20120005731A1 (en) Handover method of mobile terminal between heterogeneous networks
WO2018077243A1 (zh) 一种双卡双通的通信方法、终端、网络及系统
US9226153B2 (en) Integrated IP tunnel and authentication protocol based on expanded proxy mobile IP
KR20120013421A (ko) Ｒａｄｉｕｓ 호환 프로토콜을 이용한 이동 단말기로의 이웃 네트워크 정보의 통신을 용이하게 하기 위해 사용하는 방법 및 장치
US8151325B1 (en) Optimizing device authentication by discovering internet protocol version authorizations
EP2888913B1 (en) Access control for a wireless local area network
WO2018076598A1 (zh) 接入点的接入方法、装置及系统
CN108616805B (zh) 一种紧急号码的配置、获取方法及装置
US20230275883A1 (en) Parameter exchange during emergency access using extensible authentication protocol messaging
US9060028B1 (en) Method and apparatus for rejecting untrusted network
JP5647964B2 (ja) 親の無線端末に従属する子の無線端末のアクセスを規制する無線ルータ、プログラム及びアクセス方法
KR101434750B1 (ko) 이동통신망에서 지리 정보를 이용한 무선랜 선인증 방법 및 장치
JP6146105B2 (ja) ゲートウェイシステム、拡張ゲートウェイ、拡張エッジ装置、移動端末接続方法およびプログラム
US11546339B2 (en) Authenticating client devices to an enterprise network
US9043873B1 (en) Method and apparatus for rejecting untrusted network
US20240155439A1 (en) Securing communications at a change of connection
US20220377061A1 (en) Accelerated Reconnection in Authenticated Networks
WO2014005472A1 (zh) 一种网络接入方法及设备
WO2015166643A1 (ja) 情報処理装置、情報処理方法およびプログラム

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201180000653.4

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11867604

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 11867604

Country of ref document: EP

Kind code of ref document: A1