WO2014000195A1 - 接入认证方法、装置和系统 - Google Patents

接入认证方法、装置和系统 Download PDF

Info

Publication number
WO2014000195A1
WO2014000195A1 PCT/CN2012/077669 CN2012077669W WO2014000195A1 WO 2014000195 A1 WO2014000195 A1 WO 2014000195A1 CN 2012077669 W CN2012077669 W CN 2012077669W WO 2014000195 A1 WO2014000195 A1 WO 2014000195A1
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
aid
session information
record table
mapping
Prior art date
Application number
PCT/CN2012/077669
Other languages
English (en)
French (fr)
Inventor
谢柯
孟晓斌
黄兵
符涛
吴强
马金
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to PCT/CN2012/077669 priority Critical patent/WO2014000195A1/zh
Publication of WO2014000195A1 publication Critical patent/WO2014000195A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/146—Markers for unambiguous identification of a particular session, e.g. session cookie or URL-encoding
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to an access authentication method, apparatus, and system.
  • the Internet Engineering Task Force has proposed the technology of identity and location separation in recent years.
  • the LISP protocol proposed by the Locator and Identifier Separation Protocol (LISP) working group is an example.
  • the Endpoint Identifier (EID) of the terminal does not participate in the routing of the IP core network.
  • the backbone router can only see the border access router.
  • the routing address (Routing LOCator, RLOC) and a border router can access a large number of terminals, and separately set a correspondence between the mapping plane storage terminal identity EID and the router RLOC.
  • the packet destined for the terminal first needs to find its corresponding border router RLOC in the mapping plane, and then routes to the access router where the destination terminal is located according to the RLOC.
  • the terminal communicates based on the AID; establish the "location attribute" of the terminal - RID, and the network routes based on the RID;
  • the access router is responsible for the conversion between AID and RID. When the terminal moves, the AID remains unchanged and the RID changes.
  • a general user accesses a border gateway, which can be accessed through a Layer 2 tunnel, such as wired PPP access and PPPOE access.
  • the specific method is to authenticate the user name and password, and then go to the border gateway.
  • the authentication mode is user name and password authentication.
  • the access authentication authentication process in the mobile network is the same as the principle of the border gateway intervention in the fixed network, and the authentication authentication is also completed by the form of a username and password.
  • the existing access authentication mode is easily counterfeited. There are many attack methods in the current network. The authentication authentication reliability is not high, which reduces network security.
  • the embodiment of the invention provides an access authentication method, device and system, which solves the problem that the existing authentication mode reduces network security.
  • An access demonstration method including:
  • the border gateway maintains a mapping record table for recording the mapping relationship between the terminal AID and the session information
  • mapping record table is queried according to the session information of the terminal, and the AID of the terminal is determined to correspond to the session information recorded in the mapping record table. Whether the AID is the same;
  • the method further includes:
  • the mapping record table of the ASR maintaining a mapping relationship between the recording terminal AID and the session information includes: After the terminal accesses the ASR for the first time and completes the first access authentication, the ASR allocates an AID to the terminal that is accessed for the first time;
  • the terminal sends a data packet carrying the AID to the ASR, where the ASR binds the session information of the data packet to the AID of the terminal, and sets the session information of the data packet with the terminal.
  • the mapping relationship of the AID is stored in the mapping record table.
  • the ASR maintains a mapping record table for recording the relationship between the AID and the session information of the terminal:
  • the ASR When receiving the data message of the new session started by the terminal, the ASR updates the session information corresponding to the terminal AID in the mapping record table to new session information.
  • the ASR maintains a mapping record table for recording the relationship between the AID and the session information of the terminal:
  • the correspondence between the AID of the communication peer end and the AID of the terminal is added to the mapping record table.
  • the mapping record table includes at least one entry, and each entry records an AID and
  • mapping information of the session information where the session information includes the following content:
  • An embodiment of the present invention further provides an access authentication apparatus, including:
  • mapping record table maintenance module configured to maintain a mapping record table for recording a mapping relationship between the terminal AID and the session information
  • a judging module configured to query the mapping record table according to the session information of the terminal after the terminal accesses the ASR and completes the access authentication, and determines the AID of the terminal and the terminal recorded in the mapping record table. Whether the AID corresponding to the session information is the same;
  • the determination result analysis module is configured to determine that the terminal access authentication fails when the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table.
  • the determination result analysis module is further configured to determine that the terminal access authentication is successful when the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table.
  • mapping record table maintenance module includes:
  • An AID allocation unit configured to allocate an AID to the first accessed terminal after the terminal accesses the ASR for the first time and completes the first access authentication
  • mapping unit configured to bind the session information of the data packet to the AID of the terminal when the terminal sends a data packet carrying the AID to the ASR, and the data packet is bound to the data packet
  • the mapping relationship between the session information and the AID of the terminal is stored in the mapping record table.
  • the mapping and recording unit is further configured to: when receiving a data message of a new session started by the terminal, update the session information corresponding to the terminal AID in the mapping record table to new session information; Or,
  • the correspondence between the AID of the communication peer end and the AID of the terminal is added to the mapping record table.
  • the access authentication device is integrated in the ASR.
  • An embodiment of the present invention further provides an access authentication system, including an ASR and a terminal that accesses the ASR;
  • the ASR is configured to maintain a mapping record table that records the mapping relationship between the terminal AID and the session information. After the terminal accesses the ASR and completes the access authentication, the ASR is configured to query the mapping record according to the session information of the terminal. a table, determining whether the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, and the AID corresponding to the terminal session information recorded in the mapping record table by the AID of the terminal When not speaking, it is determined that the terminal access authentication fails.
  • An embodiment of the present invention further provides an access authentication method, including:
  • the mapping server maintains a mapping of the mapping relationship between the terminal AID and the session information.
  • mapping record table is queried according to the session information of the terminal, and the AID of the terminal is determined to correspond to the session information recorded in the mapping record table. Whether the AIDs are the same;
  • the method further includes:
  • the mapping table of the mapping between the ALR and the session information of the recording terminal includes:
  • the ILR allocates an AID to the terminal that is accessed for the first time;
  • the terminal sends a data packet carrying the AID to the ILR, where the ILR binds the session information of the data packet to the AID of the terminal, and sets the session information of the data packet with the terminal.
  • the mapping relationship of the AID is stored in the mapping record table.
  • the mapping record table of the ILR maintaining a mapping relationship between the recording terminal AID and the session information further includes:
  • the ILR When receiving the data message of the new session started by the terminal, the ILR updates the session information corresponding to the terminal AID in the mapping record table to new session information.
  • the mapping record table includes at least one entry, and each entry records a mapping relationship between an AID and session information, where the session information includes the following content:
  • An embodiment of the present invention further provides an access authentication apparatus, including:
  • Mapping record table maintenance module which is set to maintain a record terminal AID and Session information a mapping record table of the relationship;
  • a judging module configured to query the mapping record table according to the session information of the terminal after the terminal accesses the ILR and completes the mobile authentication authentication, and determines the AID of the terminal and the record recorded in the mapping record table Whether the AID corresponding to the terminal session information is the same;
  • the judgment result analysis module is configured to determine that the terminal access authentication fails when the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table.
  • the determination result analysis module is further configured to determine that the terminal access authentication succeeds when the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table.
  • mapping record table maintenance module includes:
  • An AID allocation unit configured to: after the terminal accesses the ILR for the first time and completes the first mobile authentication authentication, the first accessed terminal allocates an AID;
  • mapping unit configured to bind the session information of the data packet to the AID of the terminal when the terminal sends a data packet carrying the AID to the ILR, and the data packet is bound to the data packet
  • the mapping relationship between the session information and the AID of the terminal is stored in the mapping record table.
  • the mapping and recording unit is further configured to update the session information corresponding to the terminal AID in the mapping record table to new session information when receiving the data message of the new session started by the terminal.
  • the device is integrated in the ILR.
  • An embodiment of the present invention further provides an access authentication system, including an ILR and a terminal that accesses the ILR;
  • the ILR is configured to maintain a mapping record table for recording a mapping relationship between the terminal AID and the session information, and after the terminal accesses the ILR and completes the mobile authentication authentication, the mapping record table is queried according to the session information of the terminal. Determining whether the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, and the AID corresponding to the terminal session information recorded in the mapping record table of the terminal AID is not At the same time, it is determined that the terminal access authentication fails.
  • the embodiment of the present invention provides an access authentication method, device, and system.
  • the ASR or the ILR maintains a mapping record table of the mapping relationship between the AID and the Session information of the terminal, and the terminal accesses the ASR and completes the access authentication or After the terminal accesses the ILR and completes the mobile authentication authentication, the mapping record table is queried according to the session information of the terminal, and the AID of the terminal is determined to correspond to the session information recorded in the mapping record table. Whether the AID is the same, and when the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table, determining that the terminal access authentication fails, and implementing the AID-identifying user identity invariance Into the certification, solve the problem of the existing authentication method to reduce network security.
  • FIG. 1 is a flowchart of an access authentication method according to Embodiment 1 of the present invention.
  • FIG. 2 is a flowchart of an access authentication method according to Embodiment 3 of the present invention.
  • FIG. 3 is a system framework diagram of an application environment according to Embodiment 7 of the present invention.
  • FIG. 5 is a flowchart of an illegal user access authentication process implemented when a mobile network access is performed according to an embodiment of the present invention. Preferred embodiment of the invention
  • the existing access authentication mode is easily counterfeited. There are many attack methods in the current network. The authentication authentication reliability is not high, which reduces network security.
  • embodiments of the present invention provide an access authentication method, apparatus, and system. Embodiments of the present invention will be described in detail below with reference to the accompanying drawings. It should be noted that, in the case of no conflict, the features in the embodiments and the embodiments in the present application may be arbitrarily combined with each other.
  • the embodiment of the invention provides an access authentication method, which ensures the security of the authentication by performing secondary authentication on the AID.
  • the terminal accessing the wired network is accessed by using a wired access method.
  • the process is described as an example. The specific process is shown in Figure 1, including:
  • Step 101 The ASR maintains a mapping record table for recording the mapping relationship between the AID and the session information of the terminal.
  • the Internet Engineering Task Force has proposed a technology of identity and location separation in recent years, with an identity location separation protocol (The LISP protocol proposed by the Locator and Identifier Separation Protocol (LISP) is used as an example.
  • the Endpoint Identifier (EID) of the terminal does not participate in the routing of the IP core network.
  • the backbone router can only see the interface routing address of the border access router. (Routing LOCator, RLOC), and a border router can access a large number of terminals, and separately set a mapping plane to store the correspondence between the terminal identity EID and the router RLOC.
  • the packet sent to the terminal first needs to find its corresponding border router RLOC in the mapping plane, and then routes to the destination terminal where the RLOC is routed according to the RLOC.
  • the network is divided into two levels of architecture, access network and route forwarding network (also known as backbone network).
  • the local identifier of the access network is the source network identifier (Local lP); the identifier of the route forwarding network is RID (Router ID), and the access network and the backbone network do not overlap in the topology relationship.
  • the terminal establishes the "location attribute" of the terminal based on the AID.
  • RID The network is based on the RID.
  • the router is responsible for the conversion between the AID and the RID. The terminal moves. When the AID remains unchanged, the RID changes.
  • the ASR is responsible for recording the mapping relationship between the terminal AID and the session information. Specifically, after the terminal accesses the ASR for the first time and completes the first access authentication, the ASR allocates an AID to the first accessed terminal, where the AID is a permanent user identifier that identifies the identity of the terminal; After receiving the AID sent by the ASR, the user sends a data packet carrying the AID to the ASR. At this time, the ASR establishes session information based on the AID, and the ASR sends the session information of the data packet.
  • the AID binding of the terminal stores the mapping relationship between the session information of the data packet and the AID of the terminal in the mapping record table.
  • the session information includes: the session ID, the local IP address, the destination IP address of the terminal, the AID of the terminal, the RID of the terminal, the aging time of the session, and the difference between the IP packet sequence number and the acknowledgment number.
  • the ASR can also modify the mapping relationship that has been stored in the mapping record table, and specifically includes the following two cases:
  • the ASR updates the session information corresponding to the terminal AID in the mapping record table to the new session information when receiving the data message of the new session started by the terminal;
  • Step 102 After the terminal accesses the ASR and completes the access authentication, querying the mapping record table according to the session information of the terminal, and determining the AID of the terminal and the terminal session recorded in the mapping record table. Whether the AID corresponding to the information is the same; if it is different, the process proceeds to step 103, and if they are the same, the process proceeds to step 104.
  • Terminal access ASR's first authentication is still done through traditional authentication. It can be, but is not limited to, PPP, PPPOE and other authentication forms. It can be, but is not limited to, the method of username and password.
  • Step 103 When the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table, determine that the terminal access authentication fails.
  • Step 104 When the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, determine that the terminal access authentication is successful.
  • An embodiment of the present invention provides an access authentication apparatus, including:
  • mapping record table maintenance module configured to maintain a mapping record table for recording a mapping relationship between the terminal AID and the session information
  • a judging module configured to query, according to the session information of the terminal, a mapping record table maintained by the mapping record table maintenance module, and determine the AID of the terminal and the mapping record, after the terminal accesses the ASR and completes the access authentication. Whether the AID corresponding to the terminal session information recorded in the table is the same; the judgment result analysis module is configured to: when the determining module determines that the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table And determining that the terminal access authentication fails.
  • the determination result analysis module is further configured to determine that the terminal access authentication is successful when the determining module determines that the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table.
  • mapping record table maintenance module includes:
  • An AID allocation unit configured to allocate an AID to the first accessed terminal after the terminal accesses the ASR for the first time and completes the first access authentication
  • mapping unit configured to: when the terminal sends a data packet carrying the AID to the ASR, binding the session information of the data packet to the AID of the terminal, and setting the session of the data packet
  • the mapping relationship between the information and the AID of the terminal is stored in the mapping record table.
  • the mapping and recording unit is further configured to: when receiving a data message of a new session started by the terminal, update the session information corresponding to the terminal AID in the mapping record table to new session information; Or,
  • the access authentication apparatus provided by the embodiment of the present invention may be integrated into the ASR and form an access authentication system with the terminal.
  • An embodiment of the present invention further provides an access authentication system, including an ASR and a terminal that accesses the ASR;
  • the ASR is configured to maintain a mapping record table for recording the mapping relationship between the terminal AID and the session information, and after the terminal accesses the ASR and completes the access authentication, according to the terminal
  • the session information is used to query the mapping record table, and determine whether the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, and is recorded in the AID of the terminal and the mapping record table. When the AID corresponding to the session information of the terminal is different, it is determined that the terminal access authentication fails.
  • the access authentication apparatus and system provided by the embodiments of the present invention can be combined with the access authentication method provided by the first embodiment of the present invention to provide an access authentication method based on identity and location separation, which can be an access network.
  • User identity authentication provides protection, and the problem of user identity being falsified and falsified in the existing internet network is solved by using the fixed feature of the user identity AID in the identity network architecture.
  • the ASR establishes a binding mapping record table for the AID and the Session information, and uses the AID to identify the invariance of the user identity, and establishes a strong correlation between the AID and the Session information, which is highly implementable, and can effectively prevent unauthorized use of the username and password by the illegal user.
  • the embodiment of the invention provides an access authentication method, which ensures the security of the authentication by performing secondary authentication on the AID.
  • the process of accessing the terminal accessing the wireless network in the mobile access mode is taken as an example.
  • the specific process is as shown in FIG. 2, including:
  • Step 201 The ILR maintains a mapping record table for recording the mapping relationship between the terminal AID and the session information.
  • the ILR is responsible for recording the mapping relationship between the terminal AID and the session information. Specifically, after the terminal accesses the ILR for the first time and completes the first mobile authentication authentication, the ILR allocates an AID to the terminal that is accessed for the first time; the terminal sends a data packet carrying the AID to the ILR. The ILR binds the session information of the data packet to the AID of the terminal, and stores the mapping relationship between the session information of the data packet and the AID of the terminal in the mapping record table. Session information includes: username and password, IMSI, AID, and Session ID. Preferably, the ILR can also modify the mapping relationship that has been stored in the mapping record table, as follows:
  • the ILR When receiving the data message of the new session started by the terminal, the ILR updates the session information corresponding to the terminal AID in the mapping record table to new session information.
  • Step 202 After the terminal accesses the ILR and completes the mobile authentication authentication, querying the mapping record table according to the session information of the terminal, determining the AID of the terminal and the terminal recorded in the mapping record table. Whether the AID corresponding to the session information is the same; if it is different, the process proceeds to step 203, and if they are the same, the process proceeds to step 204.
  • the first authentication authentication of the terminal accessing the ILR is still performed through the traditional authentication mode. It can be, but is not limited to, the authentication and authentication forms such as GTP. It can be, but is not limited to, the IMSI.
  • Step 203 When the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table, determine that the terminal access authentication fails.
  • Step 204 When the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, determine that the terminal access authentication is successful.
  • An embodiment of the present invention provides an access authentication apparatus, including:
  • mapping table maintenance module configured to maintain a mapping record table for recording a relationship between the terminal AID and the session information
  • a judging module configured to query, according to the session information of the terminal, a mapping record table maintained by the mapping record table maintenance module, and determine the AID of the terminal and the mapping, after the terminal accesses the ILR and completes the mobile authentication authentication. Whether the AID corresponding to the session information of the terminal recorded in the record table is the same;
  • the judgment result analysis module is configured to determine that the terminal access authentication fails when the determining module determines that the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table.
  • the determination result analysis module is further configured to: when the determining module determines that the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, It is determined that the terminal access authentication is successful.
  • mapping record table maintenance module includes:
  • An AID allocation unit configured to: after the terminal accesses the ILR for the first time and completes the first mobile authentication authentication, the first accessed terminal allocates an AID;
  • mapping unit configured to: when the terminal sends a data packet carrying the AID to the ILR, binding the session information of the data packet to the AID of the terminal, and setting the session of the data packet
  • the mapping relationship between the information and the AID of the terminal is stored in the mapping record table.
  • the mapping and recording unit is further configured to update the session information corresponding to the terminal AID in the mapping record table to new session information when receiving the data message of the new session started by the terminal.
  • the access authentication device is integrated in the ILR, and the terminal accessing the ILR constitutes an access authentication system.
  • An embodiment of the present invention provides an access authentication system, including an ILR and a terminal that accesses the ILR.
  • the ILR is used to maintain a mapping record table of a mapping relationship between the AID and the session information of the recording terminal.
  • the mapping record table is queried according to the session information of the terminal, and it is determined whether the AID of the terminal is the same as the AID corresponding to the session information recorded in the mapping record table, and When the AID of the terminal is different from the AID corresponding to the terminal session information recorded in the mapping record table, it is determined that the terminal access authentication fails.
  • the system provided by the embodiment of the present invention can be combined with the access authentication method provided by the third embodiment of the present invention to provide an access authentication method based on identity and location separation, which can provide protection for user identity authentication of the access network.
  • the problem that the user identity of the existing internet network is falsified and falsified is solved by using the fixed feature of the user identifier AID in the identifier network architecture.
  • the ILR establishes a binding mapping record table for the AID and the Session information, and uses the AID to identify the invariance of the user identity, and establishes a strong correlation between the AID and the Session information, which is highly implementable and can effectively prevent the illegal use of the username and password by the illegal user. When theft is stolen, the user identity is spoofed.
  • an access authentication method provided by an embodiment of the present invention is described by taking a wired access procedure of a fixed network as an example.
  • a general user terminal accesses an ASR, but is not limited to access through a Layer 2 tunnel, such as wired PPP access and PPPOE access.
  • the method is authenticated by username and password, and after ASR, Access the AAA server connected to the ASR.
  • the authentication mode is user name and password authentication.
  • the embodiment of the present invention provides an access authentication method based on the AID identifier, and the implementation process is as follows:
  • the user terminal 1 logs in to the ASR through PPP, PPPOE, etc., and the ASR interacts with the DNS/ILR to obtain the AID 1 of the user terminal 1 as the Local IP of the user terminal 1.
  • the Locaol IP may be, but not limited to, a private network IP address.
  • the ASR allocates the AID1 to the user terminal 1; at the same time, the ASR generates a mapping list between the information such as the Session ID/AID/Local IP, that is, the mapping record table of the mapping relationship between the AID and the Session information, and the specific format is as follows:
  • the user terminal 1 initiates a DNS query request using the Local IP as the source address, and the domain name is the external domain name that it wants to access.
  • the ASR intercepts the DNS query request sent by the user terminal 1, and restores it to the source, destination AID or RID according to the mapping list of the AID and the RID.
  • the ASR acts as a DNS proxy to modify the packet encapsulation of the DNS query request, and forwards the DNS request in the format of ⁇ RID-DNS> ⁇ RID 1> ⁇ AID-DNS> ⁇ AID 1>.
  • the DNS server returns the AID 2 corresponding to the domain name, and replies to the ASR with a DNS response message.
  • the packet carries AID2, and AID2 corresponds to a public network IPv4 address.
  • the ASR receives the response packet sent by the DNS and obtains AID2 from it.
  • the public network IPv4 address corresponding to the AID2 is sent to the user terminal 1 as the DNS resolution domain name.
  • mapping record table is created.
  • ASR1 updates the mapping record table between Session ID/AID/Local IP.
  • the session information of the user terminal is obtained, and the user accesses the AID and the AID corresponding to the same session information in the ASR to perform binding comparison and authentication.
  • an access authentication method provided by an embodiment of the present invention is described by taking a radio access procedure of a mobile network as an example.
  • the embodiment of the invention provides an access authentication method based on the AID identifier, and the implementation process is as follows:
  • the mobile user terminal accesses through the GTP tunnel, and the HLR performs access authentication on the user terminal;
  • the ILR stores the session information of the access user, and the storage user IMSI and the session ID on the ILR constitute a session information record;
  • the binding relationship between the IMSL APN and the AID is stored in the ILR.
  • the GGSN obtains the AID of the user terminal from the ILR according to the IMSI and the APN of the user terminal, and sends the IP address to the user terminal as the IP address assigned to the user terminal.
  • the AID is synchronized to the ILR and is bound to the Session information such as the IMSI and the Session ID on the ILR to form an entry of the mapping record table.
  • Session information such as the IMSI and the Session ID on the ILR to form an entry of the mapping record table.
  • the user terminal sends a data packet [AID1, AID2][Data] to the communication peer end, which carries the AID of the user terminal and the communication peer end, and the communication peer AID2 obtained by the user terminal is delivered by the GGSN.
  • mapping record table is established.
  • the GGSN After receiving the data packet, the GGSN first queries the local AID-RID mapping cache according to AID2, and if there is no cache, queries the ILR.
  • the ILR queries the RID2 corresponding to AID2 to perform global packet routing.
  • An embodiment of the present invention provides an illegal user identification device, which implements interception and suppression of an illegal user that breaks through the existing network authentication method, and includes: a terminal, an edge gateway, and a mapping server, where: the terminal supports existing network authentication, such as wired PPP, PPPOE certification, wireless GTP certification;
  • the edge gateway, the AID identifier is issued, the AID information of the access user and the association record of the session information are completed, and the information of the ILR mapping server is exchanged and synchronized; the AID, the session information and the mapping record table of the access user are compared during the wired access. After confirming the illegal user, disconnect the illegal user and complete the interaction with the mapping server;
  • ILR Compares the AID information, session information, and mapping record table of the access user during wireless access. After confirming the illegal user, disconnect the illegal user and complete the interaction with the ILR.
  • the access network consists of the following subunits:
  • the user aggregation gateway is responsible for tunnel encapsulation, adding a tunnel identifier for each user, and traversing the access network through the tunnel to implement the source network identifier;
  • the user access module provides various primary access technologies to pass the source network identity to the tunnel entrance.
  • 3 is a system framework diagram of an application according to an embodiment of the present invention.
  • an access network and a backbone network are network backgrounds for an authenticated user access
  • the mapping server is an ILR.
  • the authentication user name is completed in the fixed network, and the password is bound to the AID.
  • the storage of the record completes the binding of the AID and the session information, and the IMSI, the AID and the Session ID are bound in the mobile network, and the border gateway is the BRAS in the fixed network, and the user AID and the session information are compared. , complete access authentication, and identify illegal access of illegal users under other access gateways on the Internet.
  • the border gateway is a GGSN in the mobile network. By comparing the access information of the user AID and the ILR, the access authentication is completed, and the illegal access of the illegal user under the other access gateways of the Internet is authenticated.
  • the ISR is a network egress gateway that completes heterogeneous network interconnection.
  • the accessing user private network IP access is taken as an example, including the following steps:
  • Step 401 The user terminal logs in by using a traditional authentication method.
  • Step 402 Record the user login session information on the ASR, and bind the session information to the AID of the user terminal, and store the mapping relationship in the mapping record table.
  • Step 403 The user terminal initiates a DNS query request by using the source AID to obtain an external domain name.
  • Step 405 Bind the user terminal to the session information bound to the AID and the ASR to perform binding and compare authentication.
  • FIG. 5 is a flowchart of an unauthorized user access authentication process implemented when a mobile network accesses in an embodiment of the present invention, including the following steps:
  • Step 501 The user terminal logs in by using a traditional authentication method.
  • Step 502 The ILR stores the session information of the access user, and the ILR stores information such as the user IMSI and the session ID, and forms a session record (the entry in the mapping record table);
  • Step 503 The GGSN obtains the AID of the user terminal from the ILR, and sends the AID to the user terminal, and synchronizes the AID of the user terminal to the ILR, and forms a new session record with the IMSI and the session ID on the ILR.
  • Step 504 The user terminal sends a data packet [AID1, AID2][Data] to the communication peer end, and the AID2 of the communication peer end is sent by the GGSN;
  • Step 505 After the mobile user terminal accesses, the ILR queries the mapping record table whether there is a session record consistent with the mobile user terminal AID and the session information, such as the IMSI, the session ID, and the like, to determine whether the user is illegally accessed.
  • the embodiment of the present invention provides an access authentication method and system.
  • the ASR or the ILR maintains a mapping record table for recording the mapping relationship between the terminal AID and the session information, and the terminal accesses the ASR and completes the access authentication or is present.
  • the system After the terminal accesses the ILR and completes the mobile authentication authentication, the system searches the mapping record table according to the session information of the terminal, and determines the AID of the terminal and the AID corresponding to the terminal session information recorded in the mapping record table.
  • the terminal access authentication fails, and the access based on the AID identity user identity is implemented.
  • Certification solves the problem of existing authentication methods reducing network security. After the existing authentication mode of the existing network fails, the attacker spoofs the legitimate user identity and authenticates the user against the network. This ensures trusted user access. On the border gateway and ILR, this counterfeit is legal. The cyber attack behavior of the user identity can be effectively stopped, ensuring network security and maximizing service to users.
  • all or part of the steps of the foregoing embodiments may also be implemented by using an integrated circuit. These steps may be separately fabricated into individual integrated circuit modules, or multiple modules or steps may be fabricated into a single integrated circuit module. achieve.
  • the invention is not limited to any particular combination of hardware and software.
  • the various devices/function modules/functional units in the above embodiments may be implemented using a general-purpose computing device, which may be centralized on a single computing device or distributed over a network of multiple computing devices.
  • each device/function module/functional unit in the above embodiment When each device/function module/functional unit in the above embodiment is implemented in the form of a software function module and sold or used as a stand-alone product, it can be stored in a computer readable storage medium.
  • the above mentioned computer readable storage medium may be a read only memory, a magnetic disk or an optical disk or the like. Any changes or substitutions that are readily conceivable within the scope of the present invention are intended to be included within the scope of the present invention. Therefore, the scope of the invention should be determined by the scope of the claims.
  • the ASR or the ILR maintains a mapping record table for recording the mapping relationship between the terminal AID and the session information, and the terminal accesses the ASR and completes the access authentication or accesses the ILR in the terminal and completes the mobile authentication.
  • the mapping record table is queried according to the session information of the terminal, and it is determined whether the AID of the terminal is the same as the AID corresponding to the terminal session information recorded in the mapping record table, and the AID of the terminal is When the AID corresponding to the terminal session information recorded in the mapping record table is different, it is determined that the terminal access authentication fails, and the access authentication based on the AID identity user identity invariance is implemented, and the existing authentication mode is reduced. Security issues.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

一种接入认证方法、装置和系统，涉及通讯技术领域，解决了现有认证方式降低网络安全性的问题。该方法包括：ASR维护一记录终端AID与Session信息映射关系的映射记录表；在有终端接入所述ASR并完成接入认证后，根据所述终端的Session信息查询所述映射记录表，判断所述终端的AID与所述映射记录表中记录的该终端Session信息对应的AID是否相同；在所述终端的AID与所述映射记录表中记录的该终端Session信息对应的AID不同时，判定所述终端接入认证失败。

Description

接入认证方法、 装置和系统
技术领域
本发明涉及通讯技术领域， 尤其涉及一种接入认证方法、 装置和系统。
背景技术
(一） 身份与位置分离技术。
为了解决互联网 （Internet )核心路由器节点的路由表容量快速膨胀以及 IP地址二义性的问题， 互联网工程任务组 ( Internet Engineering Task Force , IETF )近年来提出了身份与位置分离的技术， 以身份位置分离协议（Locator and Identifier Separation Protocol, LISP )工作组提出的 LISP协议为例， 其终 端的身份标识（ Endpoint Identifier, EID )不参与 IP核心网的路由， 骨干路由 器只能看到边界接入路由器的接口路由地址（Routing LOCator, RLOC ) , 而 一个边界路由器可以接入大量的终端， 单独设置一个映射平面存储终端身份 EID和路由器 RLOC的对应关系。 发往终端的报文首先需要在映射平面中查 找到其对应的边界路由器 RLOC, 然后根据 RLOC路由到目的终端所在接入 路由器。
(二）标识网。 随着网络的快速发展，现有网络的 Internet公网路由器上的路由表容量激 增， 在路由可扩展性， 网络安全保证， 移动性保证方面， 存在种种不足， 网 络架构调整势在必行， 各种路由方式不同， 寻址方式不同的异质网络融合、 互通， 成为网络发展的趋势， 在新的架构思路下， 传统网路架构下的网络标 识的身份属性和位置属性被分离开来， 新的网络分为两级架构， 接入网和路 由转发网 （也称骨干网） 。 接入网的本地标识为源网络标识（Local lP )； 路 由转发网的标识为 RID ( Router ID ) , 接入网与骨干网在拓朴关系上没有重 叠。
建立终端的 "身份属性" 标识 -— AID, 终端间基于 AID进行通信； 建立终端的 "位置属性" 标识 -— RID, 网络间基于 RID进行路由； 接入路由器负责 AID、 RID之间的转换， 终端移动时， AID保持不变， RID变化。
现有的互联网环境中， 一般用户接入边界网关， 可以通过二层隧道接入， 如有线的 PPP接入、 PPPOE接入等， 具体方法是通过用户名， 密码认证， 到 了边界网关后，再接入连接在边界网关后面的 AAA服务器，验证方式为用户 名， 密码认证。 移动网络中的接入认证鉴权过程与固定网络中通过边界网关 介入原理相同， 亦是通过用户名密码的形式完成认证鉴权。
现有的接入认证方式的容易被仿冒， 现网中已经有很多攻击手段， 鉴权 认证可靠性不高， 降低了网络安全性。
发明内容
本发明实施例提供了一种接入认证方法、 装置和系统， 解决了现有认证 方式降低网络安全性的问题。
一种接入论证方法， 包括：
边界网关（ASR )维护一记录终端 AID与会话 ( Session )信息映射关系 的映射记录表；
在有终端接入所述 ASR并完成接入认证后， 根据所述终端的 Session信 息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的该 终端 Session信息对应的 AID是否相同；
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID不同时， 判定所述终端接入认证失败。
优选的， 所述判断所述终端的 AID 与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同的步骤之后， 还包括：
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID相同时， 判定所述终端接入认证成功。
优选的，所述 ASR维护一记录终端 AID与 Session信息映射关系的映射 记录表包括： 在终端首次接入所述 ASR并完成首次接入认证后， 所述 ASR为所述首 次接入的终端分配 AID;
所述终端向所述 ASR发送携带有 AID的数据报文， 所述 ASR将所述数 据报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信 息与所述终端的 AID的映射关系存储在映射记录表内。
优选的，所述 ASR维护一记录终端 AID与 Session信息映射关系的映射 记录表还包括：
所述 ASR在接收到终端开始的新的 Session的数据报文时， 将所述映射 记录表中与所述终端 AID对应的 Session信息更新为新的 Session信息。
优选的，所述 ASR维护一记录终端 AID与 Session信息映射关系的映射 记录表还包括：
在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报文 时，将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射记 录表中。
优选的， 所述映射记录表包括至少一个表项， 每个表项记录一 AID 与
Session信息的映射关系， 所述 Session信息包括以下内容：
Session标识（ ID ) 、 Local IP、 终端私网目的地址、 终端的 AID、 终端 的 RID、 会话老化时间和 IP报文序列号和确认号的差值。
本发明实施例还提供了一种接入认证装置， 包括：
映射记录表维护模块， 其设置为维护一记录终端 AID与 Session信息映 射关系的映射记录表；
判断模块， 其设置为在有终端接入 ASR并完成接入认证后， 根据所述终 端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述映射记 录表中记录的该终端 Session信息对应的 AID是否相同；
判断结果分析模块， 其设置为在所述终端的 AID与所述映射记录表中记 录的该终端 Session信息对应的 AID不同时， 判定所述终端接入认证失败。 优选的， 判断结果分析模块， 还设置为在所述终端的 AID与所述映射记 录表中记录的该终端 Session信息对应的 AID相同时， 判定所述终端接入认 证成功。
优选的， 所述映射记录表维护模块包括：
AID分配单元，其设置为在终端首次接入所述 ASR并完成首次接入认证 后， 为所述首次接入的终端分配 AID;
映射记录单元，其设置为在所述终端向所述 ASR发送携带有 AID的数据 报文时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数 据报文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
优选的， 所述映射记录单元， 还设置为在接收到终端开始的新的 Session 的数据报文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更 新为新的 Session信息； 或，
在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报文 时，将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射记 录表中。
优选的， 所述接入认证装置集成于所述 ASR中。
本发明实施例还提供了一种接入认证系统， 包括 ASR和接入该 ASR的 终端；
所述 ASR, 设置为维护一记录所述终端 AID与 Session信息映射关系的 映射记录表， 在有终端接入所述 ASR并完成接入认证后， 根据所述终端的 Session信息查询所述映射记录表，判断所述终端的 AID与所述映射记录表中 记录的该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所 述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终 端接入认证失败。
本发明实施例还提供了一种接入认证方法， 包括：
映射服务器（ILR )维护一记录终端 AID与 Session信息映射关系的映射 ΐ己录
在有终端接入所述 ILR并完成移动认证鉴权后，根据所述终端的 Session 信息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的 该终端 Session信息对应的 AID是否相同；
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID不同时， 判定所述终端接入认证失败。
优选的， 所述判断所述终端的 AID 与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同的步骤之后， 还包括：
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID相同时， 判定所述终端接入认证成功。
优选的， 所述 ILR维护一记录终端 AID与 Session信息映射关系的映射 记录表包括：
在终端首次接入所述 ILR并完成首次移动认证鉴权后， 所述 ILR为所述 首次接入的终端分配 AID;
所述终端向所述 ILR发送携带有 AID的数据报文， 所述 ILR将所述数据 报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信息 与所述终端的 AID的映射关系存储在映射记录表内。
优选的， 所述 ILR维护一记录终端 AID与 Session信息映射关系的映射 记录表还包括：
所述 ILR在接收到终端开始的新的 Session的数据报文时，将所述映射记 录表中与所述终端 AID对应的 Session信息更新为新的 Session信息。
优选的， 所述映射记录表包括至少一个表项， 每个表项记录一 AID 与 Session信息的映射关系， 所述 Session信息包括以下内容：
用户名密码、 IMSL AID和 Session ID。
本发明实施例还提供了一种接入认证装置， 包括：
映射记录表维护模块， 其设置为维护一记录终端 AID与 Session信息映 射关系的映射记录表；
判断模块， 其设置为在有终端接入 ILR并完成移动认证鉴权后， 根据所 述终端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述映 射记录表中记录的该终端 Session信息对应的 AID是否相同；
判断结果分析模块， 其设置为在所述终端的 AID与所述映射记录表中记 录的该终端 Session信息对应的 AID不同时， 判定所述终端接入认证失败。
优选的， 所述判断结果分析模块， 还设置为在所述终端的 AID与所述映 射记录表中记录的该终端 Session信息对应的 AID相同时， 判定所述终端接 入认证成功。
优选的， 所述映射记录表维护模块包括：
AID分配单元， 其设置为在终端首次接入所述 ILR并完成首次移动认证 鉴权后， 所述首次接入的终端分配 AID;
映射记录单元， 其设置为在所述终端向所述 ILR发送携带有 AID的数据 报文时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数 据报文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
优选的， 所述映射记录单元， 还设置为在接收到终端开始的新的 Session 的数据报文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更 新为新的 Session信息。
优选的， 该装置集成于 ILR中。
本发明实施例还提供了一种接入认证系统， 包括 ILR和接入该 ILR的终 端；
所述 ILR,设置为维护一记录终端 AID与 Session信息映射关系的映射记 录表，在有终端接入所述 ILR并完成移动认证鉴权后，根据所述终端的 Session 信息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的 该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所述映射 记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终端接入 认证失败。 本发明实施例提供了一种接入认证方法、 装置和系统， ASR或 ILR维护 一记录终端 AID与 Session信息映射关系的映射记录表， 在有终端接入所述 ASR并完成接入认证或在有终端接入所述 ILR并完成移动认证鉴权后， 根据 所述终端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述 映射记录表中记录的该终端 Session信息对应的 AID是否相同， 并在所述终 端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终端接入认证失败， 实现了基于 AID标识用户身份不变性的接入认 证， 解决了现有认证方式降低网络安全性的问题。 附图概述
图 1为本发明的实施例一提供的一种接入认证方法的流程图；
图 2为本发明的实施例三提供的一种接入认证方法的流程图；
图 3为本发明的实施例七应用环境的系统框架图；
图 4为本发明的实施例七中固定网络接入时实现的非法用户接入鉴别流 程图；
图 5 为本发明实施例中移动网络接入时实现的非法用户接入鉴别流程 图。 本发明的较佳实施方式
现有的接入认证方式的容易被仿冒， 现网中已经有很多攻击手段， 鉴权 认证可靠性不高， 降低了网络安全性。
为了解决上述问题， 本发明的实施例提供了一种接入认证方法、 装置和 系统。 下文中将结合附图对本发明的实施例进行详细说明。 需要说明的是， 在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。
首先结合附图， 对本发明的实施例一进行说明。
本发明实施例提供了一种接入认证方法， 通过对 AID进行二次认证保证 了认证的安全性。 本发明实施例中以有线接入方式接入有线网络的终端接入 流程为例进行说明， 具体流程如图 1所示， 包括：
步骤 101、ASR维护一记录终端 AID与 Session信息映射关系的映射记录 表；
为了解决 Internet核心路由器节点的路由表容量快速膨胀以及 IP地址二 义性的问题， 互联网工程任务组（Internet Engineering Task Force, IETF )近 年来提出了身份与位置分离的技术， 以身份位置分离协议 （Locator and Identifier Separation Protocol, LISP )工作组提出的 LISP协议为例， 其终端的 身份标识（ Endpoint Identifier, EID )不参与 IP核心网的路由， 骨干路由器只 能看到边界接入路由器的接口路由地址（Routing LOCator, RLOC ) , 而一个 边界路由器可以接入大量的终端， 单独设置一个映射平面存储终端身份 EID 和路由器 RLOC的对应关系。 发往终端的报文首先需要在映射平面中查找到 其对应的边界路由器 RLOC, 然后根据 RLOC路由到目的终端所在接入路由 哭口 o
随着网络的快速发展，现有网络的 Internet公网路由器上的路由表容量激 增， 在路由可扩展性， 网络安全保证， 移动性保证方面， 存在种种不足， 网 络架构调整势在必行， 各种路由方式不同， 寻址方式不同的异质网络融合、 互通， 成为网络发展的趋势， 在新的架构思路下， 传统网路架构下的网络标 识的身份属性和位置属性被分离开来， 新的网络分为两级架构， 接入网和路 由转发网 （也称骨干网） 。 接入网的本地标识为源网络标识（Local lP )； 路 由转发网的标识为 RID ( Router ID ) , 接入网与骨干网在拓朴关系上没有重 叠。
建立终端的 "身份属性" 标识 -— AID, 终端间基于 AID进行通信 建立终端的 "位置属性" 标识 -— RID, 网络间基于 RID进行路由 接入路由器负责 AID、 RID之间的转换， 终端移动时， AID保持不变， RID变化。
本发明实施例中， ASR负责记录终端 AID与 Session信息的映射关系。 具体的， 在终端首次接入所述 ASR并完成首次接入认证后， 所述 ASR为所 述首次接入的终端分配 AID, 该 AID为标识终端身份的永久用户标记； 终端 用户在收到 ASR发出的 AID后， 向所述 ASR发送携带有 AID的数据报文， 此时， ASR会建立基于此 AID的 Session信息， 所述 ASR将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信息与所述 终端的 AID的映射关系存储在映射记录表内。 Session信息包括： Session ID、 Local IP, 终端私网目的地址、 终端的 AID、 终端的 RID、 会话老化时间和 IP 报文序列号和确认号的差值。
优选的， ASR还可以对已存储在映射记录表内的映射关系进行修改， 具 体包括以下两种情况：
1、 所述 ASR在接收到终端开始的新的 Session的数据报文时， 将所述映 射记录表中与所述终端 AID对应的 Session信息更新为新的 Session信息；或，
2、 在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报 文时，将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射 记录表中。
步骤 102、 在有终端接入所述 ASR并完成接入认证后， 根据所述终端的 Session信息查询所述映射记录表，判断所述终端的 AID与所述映射记录表中 记录的该终端 Session信息对应的 AID是否相同； 若不同， 转入步骤 103 , 若 相同， 则转入步骤 104。
终端接入 ASR的首次认证还是通过传统的认证形式完成的，可以但不限 于通过 PPP , PPPOE等认证形式，可以但不限于通过用户名密码方法的方式。
步骤 103、 在所述终端的 AID与所述映射记录表中记录的该终端 Session 信息对应的 AID不同时， 判定所述终端接入认证失败。
步骤 104、 在所述终端的 AID与所述映射记录表中记录的该终端 Session 信息对应的 AID相同时， 判定所述终端接入认证成功。
下面结合附图， 对本发明的实施例二进行说明。
本发明实施例提供了一种接入认证装置， 包括：
映射记录表维护模块， 用于维护一记录终端 AID与 Session信息映射关 系的映射记录表； 判断模块， 用于在有终端接入 ASR并完成接入认证后， 根据所述终端的 Session信息查询所述映射记录表维护模块维护的映射记录表， 判断所述终端 的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同； 判断结果分析模块， 用于在所述判断模块判断所述终端的 AID与所述映 射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终端接 入认证失败。
优选的，判断结果分析模块，还用于在所述判断模块判断所述终端的 AID 与所述映射记录表中记录的该终端 Session信息对应的 AID相同时， 判定所 述终端接入认证成功。
优选的， 所述映射记录表维护模块包括：
AID分配单元， 用于在终端首次接入所述 ASR并完成首次接入认证后， 为所述首次接入的终端分配 AID;
映射记录单元，用于在所述终端向所述 ASR发送携带有 AID的数据报文 时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数据报 文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
优选的， 所述映射记录单元，还用于在接收到终端开始的新的 Session的 数据报文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更新 为新的 Session信息； 或，
在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报文 时 ,将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射记 录表中。
本发明实施例所提供的接入认证装置可集成于所述 ASR中，与终端构成 一接入认证系统。
本发明实施例还提供了一种接入认证系统， 包括 ASR和接入该 ASR的 终端；
所述 ASR, 用于维护一记录所述终端 AID与 Session信息映射关系的映 射记录表， 在有终端接入所述 ASR 并完成接入认证后， 根据所述终端的 Session信息查询所述映射记录表，判断所述终端的 AID与所述映射记录表中 记录的该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所 述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终 端接入认证失败。
本发明实施例提供的接入认证装置和系统， 能够与本发明的实施例一提 供的接入认证方法相结合， 提供一种基于身份和位置分离的接入认证方式， 能够为接入网的用户身份鉴别提供保障， 利用标识网架构中用户标识 AID固 定不变的特性，解决现有互联网络中用户身份被仿冒篡改的问题。 ASR为 AID 和 Session信息建立绑定映射记录表， 利用 AID标识用户身份的不变性， 将 AID与 Session信息建立强相关关系， 可实施性强， 可以有效防止在用户名密 码被非法用户通过非法手段盗取时， 用户身份被仿冒的问题， 由于现有的 IP 地址动态分配， 针对动态 IP的攻击手段很多， 现有的基于用户名密码的认证 方式已经不能有效的保证用户身份的唯一合法性， 将 AID与 Session信息建 立强相关关系， 可以有效的保证接入用户的用户身份的唯一合法性， 具有很 强的现实意义。
下面结合附图， 对本发明的实施例三进行说明。
本发明实施例提供了一种接入认证方法， 通过对 AID进行二次认证保证 了认证的安全性。 本发明实施例中以移动接入方式接入无线网络的终端接入 流程为例进行说明， 具体流程如图 2所示， 包括：
步骤 201、 ILR维护一记录终端 AID与 Session信息映射关系的映射记录 表；
本发明实施例中， ILR负责记录终端 AID与 Session信息的映射关系。 具体的，在终端首次接入所述 ILR并完成首次移动认证鉴权后，所述 ILR 为所述首次接入的终端分配 AID; 所述终端向所述 ILR发送携带有 AID的数 据报文， 所述 ILR将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信息与所述终端的 AID的映射关系存储在映射记 录表内。 Session信息包括： 用户名密码、 IMSI、 AID和 Session ID 优选的， ILR还可以对已存储在映射记录表内的映射关系进行修改， 具 体如下：
ILR在接收到终端开始的新的 Session的数据报文时， 将所述映射记录表 中与所述终端 AID对应的 Session信息更新为新的 Session信息。
步骤 202、 在有终端接入所述 ILR并完成移动认证鉴权后， 根据所述终 端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述映射记 录表中记录的该终端 Session信息对应的 AID是否相同； 若不同， 转入步骤 203 , 若相同， 则转入步骤 204。
终端接入 ILR的首次认证鉴权还是通过传统的认证形式完成的， 可以但 不限于是 GTP等认证认证形式， 可以但不限于通过 IMSI的方式。
步骤 203、 在所述终端的 AID与所述映射记录表中记录的该终端 Session 信息对应的 AID不同时， 判定所述终端接入认证失败。
步骤 204、 在所述终端的 AID与所述映射记录表中记录的该终端 Session 信息对应的 AID相同时， 判定所述终端接入认证成功。
下面对本发明的实施例四进行说明。
本发明实施例提供了一种接入认证装置， 包括：
映射记录表维护模块， 用于维护一记录终端 AID与 Session信息映射关 系的映射记录表；
判断模块， 用于在有终端接入 ILR并完成移动认证鉴权后， 根据所述终 端的 Session信息查询所述映射记录表维护模块维护的映射记录表，判断所述 终端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID是否 相同；
判断结果分析模块， 用于在所述判断模块判断所述终端的 AID与所述映 射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终端接 入认证失败。
优选的， 所述判断结果分析模块， 还用于在所述判断模块判断所述终端 的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID相同时， 判定所述终端接入认证成功。
优选的， 所述映射记录表维护模块包括：
AID分配单元， 用于在终端首次接入所述 ILR并完成首次移动认证鉴权 后， 所述首次接入的终端分配 AID;
映射记录单元， 用于在所述终端向所述 ILR发送携带有 AID的数据报文 时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述数据报 文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
优选的， 所述映射记录单元，还用于在接收到终端开始的新的 Session的 数据报文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更新 为新的 Session信息。
优选的， 该接入认证装置集成于 ILR中， 与接入该 ILR的终端构成了接 入认证系统。
本发明实施例提供了一种接入认证系统，包括 ILR和接入该 ILR的终端； 所述 ILR,用于维护一记录终端 AID与 Session信息映射关系的映射记录 表， 在有终端接入所述 ILR并完成移动认证鉴权后， 根据所述终端的 Session 信息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的 该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所述映射 记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终端接入 认证失败。
本发明实施例提供的系统， 能够与本发明的实施例三提供的接入认证方 法相结合， 提供一种基于身份和位置分离的接入认证方式， 能够为接入网的 用户身份鉴别提供保障， 利用标识网架构中用户标识 AID固定不变的特性， 解决现有互联网络中用户身份被仿冒篡改的问题。 ILR为 AID和 Session信息 建立绑定映射记录表， 利用 AID标识用户身份的不变性， 将 AID与 Session 信息建立强相关关系， 可实施性强， 可以有效防止在用户名密码被非法用户 通过非法手段盗取时，用户身份被仿冒的问题，由于现有的 IP地址动态分配， 针对动态 IP的攻击手段很多， 现有的基于用户名密码的的认证方式已经不能 有效的保证用户身份的唯一合法性， 将 AID与 Session信息建立强相关关系， 可以有效的保证接入用户的用户身份的唯一合法性， 具有很强的现实意义。
下面， 对本发明的实施例五进行说明。
本发明实施例中， 以固定网络的有线接入流程为例， 对本发明实施例提 供的一种接入认证方法进行说明。
现有的互联网环境， 一般用户终端接入 ASR, 可以但不限于通过二层隧 道接入， 如有线的 PPP接入， PPPOE接入等， 方法是通过用户名、 密码认证， 到了 ASR后， 再接入连接在 ASR后面的 AAA服务器， 验证方式为用户名， 密码认证。
这种接入认证方式的缺点是容易被仿冒， 现网中已经有很多攻击手段， 故本发明实施例提供了一种基于 AID标识的接入认证方法， 实施流程如下：
( 1 )用户终端 1通过 PPP, PPPOE等方式登录 ASR, ASR与 DNS/ILR 交互， 得到用户终端 1的 AID 1 , 作为用户终端 1的 Local IP, 这个 Locaol IP 可以但不局限于私网 IP地址， ASR将 AID1分配给用户终端 1； 同时 ASR上 生成 Session ID/AID/Local IP等信息之间的映射列表， 即 AID与 Session信息 的映射关系的映射记录表， 具体格式如下：
Figure imgf000016_0001
( 2 )用户终端 1使用 Local IP作为源地址发起 DNS查询请求， 域名为 其想访问的外部域名。
( 3 ) ASR截获用户终端 1发出的 DNS查询请求，根据 AID和 RID的映 射列表， 还原成源、 目的 AID或 RID。 ASR作为 DNS Proxy修改 DNS查询 请求的报文封装，按<RID-DNS><RID 1><AID-DNS><AID 1>格式转发 DNS 请求。
( 4 ) DNS服务器返回域名对应的 AID 2 , 向 ASR回复 DNS应答报文， 在该报文中携带 AID2 , AID2对应一个公网 IPv4地址。
( 5 ) ASR收到 DNS发送的应答报文， 从中获取 AID2。
( 6 ) ASR回复 DNS后， 把 AID2对应的公网 IPv4地址作为 DNS解析 域名结果发送给用户终端 1。
至此， 映射记录表的建立完毕。
( 7 ) ASR1更新 Session ID/AID/Local IP之间的映射记录表。
( 8 )在有用户终端接入时， 获取该用户终端的 Session信息， 将该用户 接入 AID和 ASR中相同 Session信息对应的 AID进行绑定比较认证。
下面， 对本发明的实施例六进行说明。
本发明实施例中， 以移动网络的无线接入流程为例， 对本发明实施例提 供的一种接入认证方法进行说明。 本发明实施例提供了一种基于 AID标识的 接入认证方法， 实施流程如下：
( 1 )移动用户终端通过 GTP隧道接入， HLR对该用户终端进行接入认 证；
( 2 )ILR存储接入用户的 Session信息， ILR上存储用户 IMSI、 Session ID 等构成一条 Session信息记录；
( 3 ) IMSL APN与 AID的绑定关系存储在 ILR中， GGSN根据用户终 端的 IMSI和 APN, 从 ILR获取用户终端的 AID , 作为分配给用户终端的 IP 地址下发给该用户终端， 同时将 AID同步至 ILR, 与 ILR上的 IMSI、 Session ID等 Session信息绑定， 构成映射记录表的表项。 如：
Figure imgf000017_0001
( 4 )用户终端向通信对端发送数据包 [AID1 , AID2][Data] , 其中携带有 用户终端和通信对端的 AID,用户终端获取的通信对端 AID2由 GGSN下发。
至此， 映射记录表建立完成。
( 5 )在移动用户终端接入时， 根据该移动用户终端的 AID和 Session信 息， 查询 AID和 ILR上存储的映射记录表， 判断该移动用户终端的 Session 信息在该映射记录表中对应的 AID是否与该移动用户终端的 AID—致，判别 用户是否非法接入。
( 6 ) GGSN收到数据包后， 先根据 AID2查询本地 AID-RID映射緩存， 如无緩存， 则查询 ILR。
( 7 ) ILR查询 AID2对应的 RID2 , 进行数据包全局路由
下面结合附图， 对本发明的实施例七进行说明。
本发明实施例提供了一种非法用户识别装置， 实现将突破现有网络认证 方法的非法用户截获， 制止， 包括： 终端、 边缘网关和映射服务器， 其中： 终端， 支持现有网络认证， 如有线的 PPP, PPPOE认证， 无线的 GTP认 证；
边缘网关， 发放 AID标识， 完成接入用户的 AID信息和 Session信息的 关联记录， 与 ILR映射服务器的信息交互， 同步； 有线接入时进行接入用户 的 AID、 Session信息与映射记录表的比较， 在确认非法用户后， 断开非法用 户连接， 完成和映射服务器的交互；
ILR: 无线接入时进行接入用户的 AID信息、 Session信息与映射记录表 的比较， 在确认非法用户后， 断开非法用户连接， 完成和 ILR的交互。
接入网络包括以下子单元：
用户汇聚网关， 负责隧道封装， 为每一用户添加隧道标识， 通过隧道实 现源网络标识的接入网穿越；
用户接入模块，提供各种初级接入技术， 将源网络标识传递到隧道入口。 图 3为本发明实施例应用的系统框架图， 图中接入网和骨干网是认证用 户接入的网络背景， 映射服务器即为 ILR, 在固定网络中完成认证用户名， 密码与 AID绑定记录的存储， 完成 AID和 Session信息的绑定， 在移动网络 中完成接入时 IMSI, AID与 Session ID 的绑定， 边界网关在固定网络中为 BRAS, 通过接入用户 AID和 Session信息的比较， 完成接入认证， 鉴别非法 用户在互联网别的接入网关下的非法接入。 边界网关在移动网络中为 GGSN, 通过接入用户 AID和 ILR上 Session 信息的比较， 完成接入认证， 鉴别非法用户在互联网别的接入网关下的非法 接入。 ISR为网络出口网关， 完成异种网络互联。
图 4为本发明实施例中固定网络接入时实现的非法用户接入鉴别流程， 以接入用户私网 IP接入为例， 包括以下步骤：
步骤 401、 用户终端以传统认证方式登录；
步骤 402、 ASR上记录用户登录 Session信息， 并将 Session信息和用户 终端的 AID绑定， 将映射关系存储在映射记录表内；
步骤 403、 用户终端使用源 AID发起 DNS查询请求， 获取外部域名； 步骤 404、 DNS服务器返回外部域名对应的 AID , 用户发起标识网登录 认证；
步骤 405、 将用户终端接入 AID和 ASR中绑定的 Session信息进行绑定 比较认证。
图 5为本发明实施例中移动网络接入时实现的非法用户接入鉴别流程， 包括以下步骤：
步骤 501、 用户终端以传统认证方式登录；
步骤 502、 ILR存储接入用户的 Session信息， ILR上存储用户 IMSI、 Session ID等信息， 构成一条 Session记录（映射记录表中的表项 ) ；
步骤 503、 GGSN从 ILR获取用户终端的 AID, 下发给用户终端， 同时 将用户终端的 AID同步至 ILR,与 ILR上的 IMSI、 Session ID构成新的 Session 记录；
步骤 504、 用户终端向通信对端发送数据包 [AID1 , AID2][Data] , 通信对 端的 AID2由 GGSN下发；
步骤 505、移动用户终端接入后， ILR查询映射记录表中是否有与该移动 用户终端 AID和 Session信息一致的 Session记录， 如 IMSI、 Session ID等信 息， 判别用户是否非法接入。 本发明的实施例提供了一种接入认证方法和系统， ASR或 ILR维护一记 录终端 AID与 Session信息映射关系的映射记录表， 在有终端接入所述 ASR 并完成接入认证或在有终端接入所述 ILR并完成移动认证鉴权后， 根据所述 终端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述映射 记录表中记录的该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判 定所述终端接入认证失败，实现了基于 AID标识用户身份不变性的接入认证， 解决了现有认证方式降低网络安全性的问题。 能够完成在现有网络现有认证 方式失败后， 攻击者仿冒合法用户身份时， 对网络非法攻击用户的身份鉴别， 从而保证可信的用户接入， 在边界网关和 ILR上， 这种仿冒合法用户身份的 网络攻击行为可以被有效制止， 保证了网络安全， 最大限度地为用户提供服 务。
本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计 算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中， 所述计算机程序在相应的硬件平台上（如系统、 设备、 装置、 器件等）执行， 在执行时， 包括方法实施例的步骤之一或其组合。
可选地， 上述实施例的全部或部分步骤也可以使用集成电路来实现， 这 些步骤可以被分别制作成一个个集成电路模块， 或者将它们中的多个模块或 步骤制作成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬 件和软件结合。
上述实施例中的各装置 /功能模块 /功能单元可以釆用通用的计算装置来 实现， 它们可以集中在单个的计算装置上， 也可以分布在多个计算装置所组 成的网络上。
上述实施例中的各装置 /功能模块 /功能单元以软件功能模块的形式实现 并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。 上述提到的计算机可读取存储介质可以是只读存储器， 磁盘或光盘等。 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易想 到变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护范 围应以权利要求所述的保护范围为准。
工业实用性
本发明实施例中， ASR或 ILR维护一记录终端 AID与 Session信息映射 关系的映射记录表，在有终端接入所述 ASR并完成接入认证或在有终端接入 所述 ILR并完成移动认证鉴权后，根据所述终端的 Session信息查询所述映射 记录表， 判断所述终端的 AID与所述映射记录表中记录的该终端 Session信 息对应的 AID是否相同，并在所述终端的 AID与所述映射记录表中记录的该 终端 Session信息对应的 AID不同时， 判定所述终端接入认证失败， 实现了 基于 AID标识用户身份不变性的接入认证， 解决了现有认证方式降低网络安 全性的问题。

Claims

权 利 要 求 书
1、 一种接入认证方法， 其包括：
边界网关 （ASR ) 维护一记录终端接入标识 （AID ) 与会话 （Session ) 信息映射关系的映射记录表；
在有终端接入所述 ASR并完成接入认证后， 根据所述终端的 Session信 息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的该 终端 Session信息对应的 AID是否相同；
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID不同时， 判定所述终端接入认证失败。
2、 根据权利要求 1 所述的接入认证方法， 其中， 所述判断所述终端的
AID与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同的 步骤之后， 所述还包括：
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID相同时， 判定所述终端接入认证成功。
3、 根据权利要求 1所述的接入认证方法， 其中， 所述 ASR维护一记录 终端 AID与 Session信息映射关系的映射记录表的步骤包括：
在终端首次接入所述 ASR并完成首次接入认证后， 所述 ASR为所述首 次接入的终端分配 AID;
所述终端向所述 ASR发送携带有 AID的数据报文， 所述 ASR将所述数 据报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信 息与所述终端的 AID的映射关系存储在映射记录表内。
4、 根据权利要求 3所述的接入认证方法， 其中， 所述 ASR维护一记录 终端 AID与 Session信息映射关系的映射记录表的步骤还包括：
所述 ASR在接收到终端开始的新的 Session的数据报文时， 将所述映射 记录表中与所述终端 AID对应的 Session信息更新为新的 Session信息。
5、 根据权利要求 3所述的接入认证方法， 其中， 所述 ASR维护一记录 终端 AID与 Session信息映射关系的映射记录表的步骤还包括： 在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报文 时，将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射记 录表中。
6、 根据权利要求 1或 3所述的接入认证方法， 其中， 所述映射记录表包 括至少一个表项， 每个表项记录一 AID 与 Session信息的映射关系， 所述 Session信息包括以下内容：
Session标识（ ID )、 本地 ( Local ) IP、 终端私网目的地址、 终端的 AID、 终端的路由 （RID ) 、 会话老化时间和 IP · ^艮文序列号和确认号的差值。
7、 一种接入认证装置， 其包括：
映射记录表维护模块， 其设置为： 维护一记录终端接入标识（AID )与 会话 ( Session )信息映射关系的映射记录表；
判断模块， 其设置为： 在有终端接入边界网关 （ASR )并完成接入认证 后，根据所述终端的 Session信息查询所述映射记录表， 判断所述终端的 AID 与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同； 以及 判断结果分析模块， 其设置为： 在所述判断模块判断所述终端的 AID与 所述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述 终端接入认证失败。
8、 根据权利要求 7所述的接入认证装置， 其中，
判断结果分析模块， 还设置为： 在所述判断模块判断所述终端的 AID与 所述映射记录表中记录的该终端 Session信息对应的 AID相同时， 判定所述 终端接入认证成功。
9、 根据权利要求 7所述的接入认证装置， 其中， 所述映射记录表维护模 块包括：
AID分配单元， 其设置为： 在终端首次接入所述 ASR并完成首次接入认 证后， 为所述首次接入的终端分配 AID; 以及 映射记录单元，其设置为：在所述终端向所述 ASR发送携带有 AID的数 据报文时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述 数据报文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
10、 根据权利要求 9所述的接入认证装置， 其中，
所述映射记录单元，还设置为在接收到终端开始的新的 Session的数据报 文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更新为新的 Session信息； 或,
在接收到所述终端通信对端发送的携带有该通信对端 AID 的数据报文 时，将所述通信对端的 AID与所述终端的 AID的对应关系添加到所述映射记 录表中。
11、 根据权利要求 7所述的接入认证装置， 其中， 所述接入认证装置集 成于所述 ASR中。
12、一种接入认证系统， 其包括边界网关（ASR )和接入该 ASR的终端； 所述 ASR设置为： 维护一记录所述终端 AID与 Session信息映射关系的 映射记录表， 在有终端接入所述 ASR并完成接入认证后， 根据所述终端的 Session信息查询所述映射记录表，判断所述终端的 AID与所述映射记录表中 记录的该终端 Session信息对应的 AID是否相同， 并在所述终端的 AID与所 述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述终 端接入认证失败。
13、 一种接入认证方法， 其包括：
映射服务器（ILR ) 维护一记录终端接入标识（AID )与会话 ( Session ) 信息映射关系的映射记录表；
在有终端接入所述 ILR并完成移动认证鉴权后，根据所述终端的 Session 信息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的 该终端 Session信息对应的 AID是否相同；
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID不同时， 判定所述终端接入认证失败。
14、 根据权利要求 13所述的接入认证方法， 其中， 所述判断所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同的 步骤之后， 所述方法还包括：
在所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应 的 AID相同时， 判定所述终端接入认证成功。
15、根据权利要求 13所述的接入认证方法， 其中， 所述 ILR维护一记录 终端 AID与 Session信息映射关系的映射记录表的步骤包括：
在终端首次接入所述 ILR并完成首次移动认证鉴权后， 所述 ILR为所述 首次接入的终端分配 AID;
所述终端向所述 ILR发送携带有 AID的数据报文， 所述 ILR将所述数据 报文的 Session信息与所述终端的 AID绑定， 将所述数据报文的 Session信息 与所述终端的 AID的映射关系存储在映射记录表内。
16、根据权利要求 15所述的接入认证方法， 其中， 所述 ILR维护一记录 终端 AID与 Session信息映射关系的映射记录表的步骤还包括：
所述 ILR在接收到终端开始的新的 Session的数据报文时，将所述映射记 录表中与所述终端 AID对应的 Session信息更新为新的 Session信息。
17、 根据权利要求 13或 15所述的接入认证方法， 其中， 所述映射记录 表包括至少一个表项， 每个表项记录一 AID与 Session信息的映射关系， 所 述 Session信息包括以下内容：
用户名密码、 国际移动用户识别码（IMSI ) 、 AID和 Session ID。
18、 一种接入认证装置， 其包括：
映射记录表维护模块， 其设置为维护一记录终端接入标识（AID )与会 话（Session )信息映射关系的映射记录表；
判断模块， 其设置为： 在有终端接入映射服务器（ILR )并完成移动认证 鉴权后，根据所述终端的 Session信息查询所述映射记录表， 判断所述终端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID是否相同； 以及
判断结果分析模块， 其设置为： 在所述判断模块判断所述终端的 AID与 所述映射记录表中记录的该终端 Session信息对应的 AID不同时， 判定所述 终端接入认证失败。
19、 根据权利要求 18所述的接入认证装置， 其中，
所述判断结果分析模块，还设置为：在所述判断模块判断所述终端的 AID 与所述映射记录表中记录的该终端 Session信息对应的 AID相同时， 判定所 述终端接入认证成功。
20、 根据权利要求 17所述的接入认证装置， 其中， 所述映射记录表维护 模块包括：
AID分配单元， 其设置为： 在终端首次接入所述 ILR并完成首次移动认 证鉴权后， 所述首次接入的终端分配 AID; 以及
映射记录单元， 其设置为： 在所述终端向所述 ILR发送携带有 AID的数 据报文时， 将所述数据报文的 Session信息与所述终端的 AID绑定， 将所述 数据报文的 Session信息与所述终端的 AID的映射关系存储在映射记录表内。
21、 根据权利要求 20所述的接入认证装置， 其中，
所述映射记录单元，还设置为： 在接收到终端开始的新的 Session的数据 报文时， 将所述映射记录表中与所述终端 AID对应的 Session信息更新为新 的 Session信息。
22、根据权利要求 20所述的接入认证装置，其中，该装置集成于所述 ILR 中。
23、一种接入认证系统，其包括映射服务器（ ILR )和接入该 ILR的终端； 所述 ILR设置为： 维护一记录终端接入标识（AID )与会话 ( Session ) 信息映射关系的映射记录表，在有终端接入所述 ILR并完成移动认证鉴权后 , 根据所述终端的 Session信息查询所述映射记录表， 判断所述终端的 AID与 所述映射记录表中记录的该终端 Session信息对应的 AID是否相同， 并在所 述终端的 AID与所述映射记录表中记录的该终端 Session信息对应的 AID不 同时， 判定所述终端接入认证失败。
PCT/CN2012/077669 2012-06-27 2012-06-27 接入认证方法、装置和系统 WO2014000195A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/CN2012/077669 WO2014000195A1 (zh) 2012-06-27 2012-06-27 接入认证方法、装置和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2012/077669 WO2014000195A1 (zh) 2012-06-27 2012-06-27 接入认证方法、装置和系统

Publications (1)

Publication Number Publication Date
WO2014000195A1 true WO2014000195A1 (zh) 2014-01-03

Family

ID=49782055

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/077669 WO2014000195A1 (zh) 2012-06-27 2012-06-27 接入认证方法、装置和系统

Country Status (1)

Country Link
WO (1) WO2014000195A1 (zh)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7130629B1 (en) * 2000-03-08 2006-10-31 Cisco Technology, Inc. Enabling services for multiple sessions using a single mobile node
CN101834914A (zh) * 2010-04-23 2010-09-15 北京交通大学 一种身份与位置映射关系的实现方法
CN102355663A (zh) * 2011-06-30 2012-02-15 北京交通大学 基于分离机制网络的可信域间快速认证方法
CN102843340A (zh) * 2011-06-21 2012-12-26 中兴通讯股份有限公司 接入认证方法、装置和系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7130629B1 (en) * 2000-03-08 2006-10-31 Cisco Technology, Inc. Enabling services for multiple sessions using a single mobile node
CN101834914A (zh) * 2010-04-23 2010-09-15 北京交通大学 一种身份与位置映射关系的实现方法
CN102843340A (zh) * 2011-06-21 2012-12-26 中兴通讯股份有限公司 接入认证方法、装置和系统
CN102355663A (zh) * 2011-06-30 2012-02-15 北京交通大学 基于分离机制网络的可信域间快速认证方法

Similar Documents

Publication Publication Date Title
TWI293844B (en) A system and method for performing application layer service authentication and providing secure access to an application server
JP3869392B2 (ja) 公衆無線ｌａｎサービスシステムにおけるユーザ認証方法および該方法をコンピュータで実行させるためのプログラムを記録した記録媒体
US7984291B2 (en) Method for distributing certificates in a communication system
WO2019017840A1 (zh) 网络验证方法、相关设备及系统
US20060195893A1 (en) Apparatus and method for a single sign-on authentication through a non-trusted access network
WO2010118666A1 (zh) 节点注册方法、路由更新方法、通讯系统以及相关设备
JP2001508607A (ja) 専用データ通信網にアクセスする確実なアクセス方法と関連装置
CN103067337B (zh) 一种身份联合的方法、IdP、SP及系统
US7228131B2 (en) IPv6/IPv4 tunneling method
JP2002508121A (ja) 通信システムに関する方法および装置
TW201101865A (en) Authentication method selection using a home enhanced Node B profile
CN103078877A (zh) 基于dns的用户认证和域名访问控制方法及系统
WO2013040957A1 (zh) 单点登录的方法、系统和信息处理方法、系统
WO2010000157A1 (zh) 接入设备的配置方法、装置及系统
JP2003218954A (ja) 安全なネットワークアクセス方法
WO2014206152A1 (zh) 一种网络安全监控方法和系统
JP2004062417A (ja) 認証サーバ装置、サーバ装置、およびゲートウェイ装置
EP2239883B1 (en) Method, device, system, client node, peer node and convergent point for preventing node from forging identity
JP4906581B2 (ja) 認証システム
WO2011088694A1 (zh) 一种在公共设备上接入网络的方法及系统
WO2011082583A1 (zh) 数据报文分类处理的实现方法、网络、终端及互通服务节点
WO2009143739A1 (zh) 管理和查询映射信息的方法、设备及通信系统
WO2011120365A1 (zh) 多穴终端建立连接的方法和系统
JP2009217722A (ja) 認証処理システム、認証装置、管理装置、認証処理方法、認証処理プログラムおよび管理処理プログラム
WO2011134134A1 (zh) Wifi网络与wimax网络互通的方法、装置及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12880064

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12880064

Country of ref document: EP

Kind code of ref document: A1