WO2014110984A1 - 用户终端接入网络的认证方法及装置 - Google Patents

用户终端接入网络的认证方法及装置 Download PDF

Info

Publication number
WO2014110984A1
WO2014110984A1 PCT/CN2014/070100 CN2014070100W WO2014110984A1 WO 2014110984 A1 WO2014110984 A1 WO 2014110984A1 CN 2014070100 W CN2014070100 W CN 2014070100W WO 2014110984 A1 WO2014110984 A1 WO 2014110984A1
Authority
WO
WIPO (PCT)
Prior art keywords
authentication
user
information
user terminal
line
Prior art date
Application number
PCT/CN2014/070100
Other languages
English (en)
French (fr)
Inventor
黄孙亮
王怀滨
卢应华
赵青
胡继成
陈建业
吴萍
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2014110984A1 publication Critical patent/WO2014110984A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention relates to the field of communications, and in particular, to a method and an apparatus for authenticating a user terminal to access a network.
  • IP Internet Protocol
  • PCs personal computers
  • VOIP network telephone
  • home gateways have been widely used.
  • IP terminals need to be authenticated.
  • PPPoE Point-to-Point Protocol
  • IPoE Internet-based Internet Protocol
  • Web-based IPoE authentication requires the user to enter a user account and password each time they log in.
  • the login process is cumbersome and requires all terminals to support the Web mode. This method cannot be plug-and-play, but also The terminal put forward higher requirements.
  • 1 is a flowchart of processing of a Web-based IPoE authentication method related to an IPoE authentication method in which web authentication and line information authentication are combined according to the related art. As shown in FIG.
  • the device and system related to the preferred embodiment may include: a user terminal, an access network, a network service control device (built-in DHCP Server), a portal server (Portal Server), and an authentication, authorization, and accounting server. (Authentication Authorization and Accounting, referred to as AAA) authentication system.
  • the specific processing steps are as follows: Step S102: The user accesses the network and needs to obtain the IP address and the network access permission, and initiates a DHCP discovery request.
  • Step S104 The network service control device receives the user's DHCP discovery request, and returns the DHCP to the user.
  • Step S106 After receiving the DHCP Offer message, the user terminal sends a DHCP request (request) message request;
  • Step SI 08 After receiving the DHCP request message, the network service control device sends a DHCPACK message to the user terminal to allocate an IP address to the user, and maintains the state information of the user in the network service control device, and applies the network policy to the user. The user is forced to go to the specified page to perform web-based IPoE authentication.
  • Step S110 The user accesses the web application and is redirected to the specified web authentication page by the network service control device.
  • Step S112 The portal server receives the user's page request to the user.
  • Step S114 The user inputs the user account and password information in the authentication page;
  • Step S116 The Portal Server obtains the user account and password information input by the user, and interfaces with the network service control device (portal protocol or private protocol) Passing to the network service control device;
  • Step S118 After obtaining the user account and password, the network service control device initiates an authentication request for the user by using an authentication protocol with the AAA system (using the Radius protocol);
  • Step S120 AAA authentication system Received an authentication request, based on the user The number and the password information authenticate the user; after the authentication is passed, the authentication success message is returned to the network service control device, and the network policy corresponding to the user is carried; the network service control device receives the authentication success message to apply the new network policy to the user.
  • Step S122 The network service control device sends an authentication success message to the Portal server.
  • the IPoE authentication method based on the line information uses the media access control (MAC) address and/or line information of the user terminal for authentication, and does not require the user to input the user account and password. Although it can be plug and play, it exists. MAC address spoofing, line information is difficult to correspond to actual users, and business opening difficulties.
  • 2 is a processing flowchart of a line information-based IPoE authentication method related to an IPoE authentication method in which Web authentication and line information authentication are combined according to the related art.
  • the device and system involved in the method may include: a user terminal, an access network, a network service control device (built-in DHCP Server), and an AAA authentication system.
  • the specific processing steps are as follows: Step S202: The user accessing the network needs to obtain the IP address and the network access permission, and initiates a DHCP discovery request; the access network adds corresponding line information in the user's request message (the line information can be packaged) The following: the line information of the user, the access point identifier, the identification information of the service provider, and the user information.
  • the DHCP Option field may be Option 82, Option 60 Option 61, Option 1 or the like.
  • Step S204 Network Service Control
  • the device receives the user's access request DHCP discovery, processes the user's request, extracts the line information required for the authentication from the request message, and uses the Radius protocol to interact with the AAA authentication system to request access authentication for the user, to the AAA authentication system.
  • the information of the attributes such as the User-name and the Passwords NAS-Port-ID in the packet is extracted from the related line information carried in the DHCP Discovery request message.
  • Step S206 The AAA authentication system authenticates the user. If the authentication succeeds, the authentication success response message Access-accept is returned. In the Access-accept message, not only the identifier of the successful authentication but also the network policy information of the corresponding user is carried;
  • Step S208 The network service control device receives the AAA authentication.
  • the authentication success message returned by the system, the application and the user corresponding network The method of using the built-in DHCP server to assign a corresponding IP address to the user and sending a DHCP Offer message to the user; Step S210: After receiving the DHCP Offer message, the user terminal sends a DHCP Request message to the network service control device; S212: After receiving the DHCP request message, the DHCP server built in the network service control device responds to the DHCPACK message, and the user address is allocated, and the network can be accessed. Therefore, the related art lacks an IPoE authentication method that can ensure network security and stability, and is easy to deploy and implement, and is convenient for users to use.
  • the present invention provides a method and apparatus for authenticating a user terminal to access a network, so as to at least solve the lack of an IPoE authentication method in the related art that can ensure network security and stability, and is easy to deploy and implement, and is convenient for users to use.
  • an authentication method for a user terminal to access a network is provided.
  • the authentication method of the user terminal accessing the network includes: authenticating the user terminal by using the IPoE authentication method based on the line information; if the authentication fails, the user terminal is authenticated by using the Web-based IPoE authentication mode, wherein, if If the IPoE authentication of the Web is successful, the mapping between the user's line information and the user account information is established to form a subscriber line authentication account.
  • the method further includes: determining an authentication type used by the user terminal.
  • the user terminal is authenticated by using the line information-based IPoE authentication method, including: receiving an access request from the user terminal, where the authentication type used by the user terminal is determined to be a line information-based IPoE authentication mode, where The access request carries the line information of the user terminal; determines whether there is currently a user line authentication account that matches the line information; if yes, allows the user terminal to access the network.
  • the user terminal is authenticated by using the Web-based IPoE authentication method, including: when the user line authentication account information that matches the line information does not exist, receiving the user account of the user acquired through the web page via the network service control device. The user terminal is authenticated according to the obtained user account information.
  • the method further includes: deleting the correspondence between the user account information and the line information and the formed user line authentication account if the user account information or the line information changes.
  • the authentication device for accessing the network by the user terminal includes: a first authentication module configured to authenticate the user terminal by using an Ethernet-based Internet Protocol IPoE authentication method based on the line information; and the second authentication module is set to be in the first If the authentication of the authentication module fails, the user terminal is authenticated by using the Internet-based IPoE authentication method. If the Web-based IPoE authentication is successful, the mapping between the user's line information and the user account information is established to form a user. Line authentication account.
  • the apparatus further includes: a determining module, configured to determine an authentication type used by the user terminal.
  • the first authentication module includes: a receiving unit, configured to receive an access request from the user terminal, where the determining module determines that the authentication type used by the user terminal is an IPoE authentication mode based on the line information, where The access request carries the line information of the user terminal; the determining unit is configured to determine whether there is currently a subscriber line authentication account that matches the line information; and the authentication unit is configured to allow the user terminal to access when the output of the determining unit is YES The internet.
  • a receiving unit configured to receive an access request from the user terminal, where the determining module determines that the authentication type used by the user terminal is an IPoE authentication mode based on the line information, where The access request carries the line information of the user terminal; the determining unit is configured to determine whether there is currently a subscriber line authentication account that matches the line information; and the authentication unit is configured to allow the user terminal to access when the output of the determining unit is YES The internet.
  • the second authentication module includes: an acquiring unit, configured to receive, by the network service control device, user account information of the user acquired through the webpage, if the user line authentication account information that matches the line information does not currently exist; The unit is configured to authenticate the user terminal according to the obtained user account information, If the authentication succeeds, the correspondence between the user account information and the line information is established, the user line authentication account is formed, and the user terminal is allowed to access the network.
  • the device further includes: a reset module, configured to delete a correspondence between the user account information and the line information and the formed user line authentication account when the user account information or the line information changes.
  • the user terminal is authenticated by using the Ethernet-based Internet Protocol IPoE authentication method based on the line information; if the authentication fails, the user terminal is authenticated by using the Internet-based IPoE authentication method, and the lack of one in the related technology is solved.
  • IPoE authentication method that can ensure network security and stability, and is easy to deploy and implement, and convenient for users, can not only effectively protect user account security, but also efficiently implement user line information and specific users during service deployment.
  • the account information is one-to-one, and it also inherits the advantages of plug-and-play of IPoE authentication based on line information.
  • FIG. 1 is a flowchart of processing of a Web-based IPoE authentication method related to an IPoE authentication method combining Web authentication and line information authentication according to the related art
  • FIG. 2 is a Web authentication and line information authentication according to the related art.
  • FIG. 3 is a flowchart of a method for authenticating a user terminal accessing a network according to an embodiment of the present invention
  • FIG. 4 is a flowchart of a method for authenticating a user terminal accessing a network according to an embodiment of the present invention
  • FIG. FIG. 5 is a schematic diagram of a method for processing an user account and a password of a user by using an AAA authentication system according to a preferred embodiment of the present invention
  • FIG. 6 is a preferred implementation according to the present invention.
  • FIG. 7 is a flowchart of a process for a user to go online for the first time in an IPoE authentication method in which a web authentication and a line information authentication are combined according to a preferred embodiment of the present invention;
  • FIG. 8 is a flowchart of a process in which a user is not online for the first time in an IPoE authentication method in which a web authentication and a line information authentication are combined according to a preferred embodiment of the present invention
  • FIG. 9 is an authentication device of a user terminal accessing a network according to an embodiment of the present invention
  • FIG. 10 is a structural block diagram of an authentication apparatus for a user terminal to access a network according to a preferred embodiment of the present invention.
  • Step S302 authenticating a user terminal by using an Ethernet-based Internet Protocol IPoE authentication method based on line information
  • Step S304 If the authentication fails, adopting an Internet-based Web-based The IPoE authentication mode authenticates the user terminal. If the Web-based IPoE authentication is successful, the mapping between the user's line information and the user account information is established to form a user line authentication account.
  • IPoE authentication method that can ensure network security and stability, and is easy to deploy and implement, and is convenient for users to use.
  • IPoE authentication can be performed based on the line information, which realizes plug-and-play and avoids the cumbersome process of inputting user accounts and passwords. It can not only effectively protect the user's account security, but also realize the user's line information during service deployment.
  • the IPOE authentication method based on the line information is adopted by default.
  • the AAA authentication system only has the user account and the password, and the line information of the user is not bound to form the line authentication account of the user. Therefore, the authentication fails.
  • the AAA system returns an authentication failure message and sends the user to the specified Web.
  • the authentication page performs the authentication policy; the network service control device receives the authentication failure message, executes the policy of forcing the user to the specified web authentication page, and assigns the corresponding IP address to the user; the user initiates the web access request, and the network service control device user Request to redirect to the specified portal service Portal Server; the user enters the user account and password on the authentication page; after obtaining the user account and password of the user, the Portal Server feeds back to the network service control device through the protocol interface with the network service control device; The service control device receives the user account and password information, and initiates an authentication request for the user to the AAA authentication system.
  • the AAA authentication system performs authentication according to the user account and password of the user. If the authentication succeeds, the line information of the user is bound to form a user.
  • the authentication success message may carry: the user's network policy, the network that the user is allowed to use;
  • the network service control device feeds back the user authentication result to the Portal Server;
  • the Portal Server pushes the authentication result page to the user.
  • the user accesses the network (that is, the network is not accessed for the first time)
  • the user has passed the first authentication.
  • the AAA authentication system already has the line authentication account of the user, and the line authentication can be successfully passed.
  • the specific processing procedure is as follows: The user accesses the network and initiates an access authentication request; the network service control device uses the IPoE authentication mode based on the line information to initiate an authentication request for the user to the AAA system; the AAA system according to the user's line information If the authentication succeeds, the user returns an authentication success message to the network service control device, where the authentication success message may carry: the user's network policy, allowing the user to use the network; and the network service control device assigning the corresponding IP address to the user, and Apply the user's network policy; At this point, the user can use the network normally.
  • the method may further include the following steps: determining the type of authentication used by the user terminal.
  • the authentication of the user terminal by using the IPoE authentication mode based on the line information may include the following operations: Step S1: Under the condition that the authentication type adopted by the user terminal is the IPoE authentication mode based on the line information, Receiving an access request from the user terminal, where the access request carries the line information of the user terminal; Step S2: determining whether there is currently a subscriber line authentication account that matches the line information; Step S3: If yes, allowing the user The terminal accesses the network.
  • the authentication of the user terminal by using the Web-based IPoE authentication method may include the following steps: Step S4: In the case that there is no user line authentication account that matches the line information, the network service control device is used.
  • Step S5 The user terminal is authenticated according to the obtained user account information. If the authentication is successful, the correspondence between the user account information and the line information is established, the user line authentication account is formed, and the user terminal is allowed to access the network.
  • the user account information may be a user account obtained by the user when the operator opens the service, and is used for the Web-based IPoE authentication mode; and the user line authentication account is used for the IPoE authentication mode based on the line information.
  • the system uses the IPoE authentication mode based on the line information to perform user authentication by default.
  • the AAA authentication server needs to distinguish the authentication request of the user, manage the user account, password, and line information of the user separately, perform corresponding operations, binding, and storage operations according to the authentication situation, and perform specific processing.
  • the process is as follows: After receiving the user authentication request, the AAA authentication server first needs to determine the authentication type, that is, the IPOE authentication mode based on the line information or the IPoE authentication mode based on the Web;
  • the network policy corresponding to the user's package is delivered, and the user is allowed to use the network. If the user authentication fails, the user is forced to use the network. If the authentication fails, the AAA authentication server maintains the user's existing policy, that is, the policy of forcing the user to the specified page for authentication.
  • FIG. 4 is a flow chart of an IPoE authentication method combining Web authentication and line information authentication in accordance with a preferred embodiment of the present invention. As shown in FIG.
  • Step S402 The preferred embodiment adopts the IPoE authentication mode based on the line information by default; Step S404: determining whether the line authentication is successful; if the authentication is successful, allowing the user to access the network, If the authentication fails, the process proceeds to step S406; Step S406: Enter the Web-based IPoE authentication mode; Step S408: In the Web-based IPoE authentication mode, determine whether the authentication is successful; if the authentication is successful, proceed to step S410. If the authentication fails, the authentication failure message is returned, and the user's network policy is maintained. Go to step S406 to force the user to go to the specified page for Web-based IPoE authentication.
  • Step S410 Bind the user line information to form the user account of the user.
  • the correspondence relationship with the line information is recorded and the line authentication account of the user is returned, and the authentication success message is returned, allowing the user to access the network; the process ends.
  • the AAA authentication system since the AAA authentication system does not have the user's line information in the initial state, when the user first adopts the line information-based IPoE authentication, the authentication failure occurs, and the Web-based IPoE authentication process is entered. , Force users to perform IPoE authentication on the web. Through the above manner, the user adopts the Web-based authentication when accessing the network for the first time, and requires the user to input the user account and password information for authentication, thereby enhancing security.
  • FIG. 5 is a schematic diagram of a manner in which an AAA authentication system acquires a user account and a password of a user according to a preferred embodiment of the present invention.
  • the customer relationship management (CRM) system synchronizes the user's user account and password information to the AAA authentication system.
  • the user account and password information of the user is maintained in the CRM system.
  • the CRM system synchronizes the user account and password information of the user to the AAA authentication system through the interface with the AAA authentication system, so that the AAA authentication system can authenticate the user based on the user account and password information of the user.
  • the synchronized information does not contain the user's line information.
  • 6 is a flow chart of IPoE authentication service processing of an AAA authentication system in accordance with a preferred embodiment of the present invention. As shown in FIG.
  • Step S602 The AAA authentication system receives an authentication request;
  • Step S604 AAA authentication The system determines the authentication type to determine whether the IPoE authentication is based on the line information or the IPoE authentication based on the Web; if it is IPoE authentication based on the line information, go to step S606; if it is Web-based IPoE authentication, go to step S608.
  • Step S606 After determining that the line information is based on the IPoE authentication condition, the user is authenticated based on the line information.
  • step S610 If the authentication is successful, the process proceeds to step S610; if the authentication fails, the process goes to step S612; Step S608: If the authentication succeeds, the process proceeds to step S614; if the authentication fails, the process proceeds to step S616; if the authentication is successful, the user is authenticated according to the web-based IPoE authentication, and the user is authenticated according to the user's user account and password information; Returning the authentication success message, allowing the user to use the network; the process ends; step S612: Returning the authentication failure message, and issuing a policy for performing web-based IPoE authentication to the specified page for the user; the process ends; Step S614: returning the authentication success message, allowing the user to use the network, and simultaneously binding the user's line information, forming and Correspondence record corresponding to the user account and the line authentication account; the process ends; Step S616: Return the authentication failure message, maintain the user's policy, and continue to force the user to the specified page for Web-based IPo
  • the device and system involved in the preferred embodiment may include: a user terminal, an access network, a network service control device (built-in DHCP server), a Portal Server, and an AAA authentication system.
  • Step S702 The user accessing the network needs to obtain the IP address and the network access right, and initiates a DHCP request; the access network adds corresponding line information in the user's request message (can be added to the DHCP message) Option82 field);
  • Step S704 The network service control device receives the user's access request message (DHCP discovery), processes the user's request by using the line information-based IPoE authentication method, extracts the user's line information, and adopts an authentication protocol with the AAA authentication system. The user is requested to access the authentication by using the Radius protocol.
  • Step S706 The AAA authentication system authenticates the user according to the received authentication request.
  • the AAA authentication system Since the user is online for the first time, the AAA authentication system does not have the line information of the user, and the authentication fails.
  • the AAA authentication system returns an authentication failure message to the network service control device, and carries the Web-based IPoE authentication by forcing the user to the specified page (at the Portal Server).
  • Step S708 The network service control device receives the authentication failure for the user. a message, assigning an IP address to the user, and applying a network policy (forcing the user to perform web-based IPoE authentication to the specified page);
  • Step S710 After obtaining the IP address, the user initiates web access, and is forced to be redirected by the network service control device.
  • Step S712 Portal Serv
  • the er pushes the web authentication page to the user terminal;
  • Step S714 The user enters the user account and password in the web authentication page, and sends the user account and password to the Portal Server;
  • Step S716 The Portal Server extracts the user account and password information of the user, and the network service control device
  • the interface protocol is used to transmit the user account and password information of the user to the network service control device.
  • Step S718 After receiving the user account and password information of the user, the network service control device adopts an authentication protocol with the AAA authentication system. The user is requested to access the authentication by using the Radius protocol.
  • Step S720 The AAA authentication system receives the user authentication request sent by the network service control device, and authenticates the user according to the user account and password information of the user. If the authentication succeeds, the user is bound. The line information, and the correspondence record between the subscriber line information and the user account of the user and the subscriber line authentication account number are formed. At the same time, the AAA authentication system also returns an authentication success message to the network service control device, and carries a network policy corresponding to the user, allowing the user to access and use the network; the network service control device receives the authentication success message, and applies the user's new network policy.
  • Step S722 The network service control device returns an authentication success message for the user to the Portal Server;
  • Step S724 After the Portal Server receives the authentication success message sent by the network service control device, The user pushes the authentication success page.
  • the processing flow of the user going online for the first time is mainly characterized by: combining the IPoE authentication based on the line information and the IPoE authentication method based on the Web.
  • the default is line authentication, but because The AAA system does not have user line information; therefore, the user will be forced to the specified page for Web-based IPoE authentication, thereby ensuring that the user's first authentication needs to be authenticated through a web page, inputting a user account and password, and ensuring the authentication process. safety.
  • the line information of the user is automatically bound to form a subscriber line authentication account, so that the user can subsequently pass the IPoE authentication based on the line information, and the user account and password are not required to be input through the web, thereby realizing plug and play.
  • it also solves the problem that the user account and the user line information are difficult to correspond one by one in the specific deployment implementation process, which reduces the difficulty of deployment.
  • FIG. 8 is a flowchart of a process in which a user is not online for the first time in an IPoE authentication method in which web authentication and line information authentication are combined according to a preferred embodiment of the present invention.
  • the device and system related to the preferred embodiment may include: a user terminal, an access network, a network service control device (built-in DHCP Server), and an AAA authentication system.
  • the specific processing steps are as follows: Step S802: The user accesses the network and needs to obtain the IP address and the network access permission, and initiates a DHCP request.
  • the access network adds corresponding line information to the user's request message (specifically, it can be added to the DHCP message).
  • Step 82 The network service control device receives the user's access request (DHCP discovery), processes the user's request by using the line information-based IPoE authentication method, and extracts the user's line information, and uses the AAA authentication system.
  • the authentication protocol (using the Radius protocol) requests the user for access authentication.
  • Step S808 Network service Control device reception
  • the authentication success message sent by the AAA authentication system assigns a corresponding IP address to the user, and applies a corresponding user network policy, allowing the user to access and use the network, and sending a response message to the user.
  • the user is not the first time.
  • the main feature of the online processing is that the IPoE authentication mode based on the line information is used by default.
  • the AAA authentication system has been bound to the line information of the user and forms the line authentication account of the user. Therefore, the user authentication succeeds and no need to go through the Web.
  • the IPoE authentication of the mode enables plug-and-play, simplifies user operations and enhances the user experience.
  • the apparatus may include: a first authentication module 10 configured to authenticate a user terminal by using an Ethernet-based Internet Protocol (IPoE) authentication method based on line information; and the second authentication module 20 is configured to be in First recognition If the authentication of the authentication module fails, the user terminal is authenticated by using the Internet-based IPoE authentication method. If the Web-based IPoE authentication is successful, the correspondence between the user's line information and the user account information is established to form a subscriber line. Certification account.
  • IPoE Ethernet-based Internet Protocol
  • the foregoing apparatus may further include: a determining module 30, configured to determine an authentication type used by the user terminal.
  • the first authentication module 10 may include: a receiving unit 100, configured to receive from the condition that the determining module determines that the authentication type used by the user terminal is an IPoE authentication mode based on the line information.
  • the second authentication module 20 may include: an obtaining unit 200 configured to receive, by the network service control device, a web page, if the user line authentication account information that matches the line information does not currently exist.
  • the user account information of the obtained user; the authentication unit 202 is configured to authenticate the user terminal according to the obtained user account information, wherein if the authentication is successful, the correspondence between the user account information and the line information is established, and the user line authentication account is formed. And allow user terminals to access the network.
  • the foregoing apparatus may further include: a reset module 40, configured to delete a correspondence between the user account information and the line information and a formed user line authentication account when the user account information or the line information changes.
  • the technical solution provided by the present invention combined with the Web-based IPOE
  • the advantages of the authentication method and the IPoE authentication method based on the line information are based on the Web authentication method.
  • the security of the authentication is enhanced based on the user account and password of the user.
  • the method of successfully binding the user line information through Web authentication reduces the deployment.
  • the user account and the user's line information are difficult to match one by one; at the same time, the plug-and-play is realized by means of line information authentication, so that the user only needs to input the user account and password on the web page when going online for the first time.
  • the plug-and-play can be implemented in the following, effectively meeting the needs of IPoE service deployment, improving the user experience, and reducing the complexity of network deployment.
  • modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices.
  • they may be implemented by program code executable by the computing device, such that they may be stored in the storage device by the computing device and, in some cases, may be different from the order herein.
  • the steps shown or described are performed, or they are separately fabricated into individual integrated circuit modules, or a plurality of modules or steps are fabricated as a single integrated circuit module.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种用户终端接入网络的认证方法及装置，在上述方法中，采用基于线路信息的IPoE认证方式对用户终端进行认证；如果认证失败，则采用基于互联网Web的IPoE认证方式对用户终端进行认证，其中，如果基于Web的IPoE认证成功，则建立用户的线路信息与用户帐号信息的对应关系，形成用户线路认证帐号。根据本发明提供的技术方案，不仅能够有效保障用户的帐号安全，还继承了基于线路信息的IPoE认证方式的即插即用的优点，并且在具体业务部署时可以高效实现用户线路信息与具体用户帐号一一对应。

Description

用户终端接入网络的认证方法及装置
技术领域 本发明涉及通信领域， 具体而言，涉及一种用户终端接入网络的认证方法及装置。 背景技术 随着宽带网络技术的发展， 交互式网络电视（IPTV)机顶盒、 个人计算机（PC)、 网络电话 （VOIP)话机、 家庭网关等宽带互联网协议 （IP) 终端得到了广泛应用。 为 保障网络的安全、 稳定运行， 需要对各种宽带 IP终端进行认证。 为了解决相关技术中的基于以太网的点对点协议 （PPPoE) 方式无法满足组播复 制点下移， 难以支持即插即用等方面的问题。大量的基于以太网的互联网协议（IPoE) 认证方式应运而生， 其中， 可以包括： 基于互联网 （Web) 的 IPoE认证方式、 基于线 路信息的 IPoE认证方式等。 基于 Web的 IPoE认证方法需要用户在每次登录时都需要输入用户帐号和密码， 其登录过程较为繁琐，且需要所有终端均支持 Web方式，该方式既无法做到即插即用， 同时还对终端提出了较高的要求。 图 1是根据相关技术的 Web认证与线路信息认证相结合的 IPoE认证方法相关的 基于 Web的 IPoE认证方式的处理流程图。 如图 1所示， 该优选实施例涉及的设备和 系统可以包括： 用户终端、 接入网络、 网络业务控制设备 （内置 DHCP Server)、 门户 服务器（Portal Server) 以及鉴权、授权及计费服务器（Authentication Authorization and Accounting, 简称为 AAA) 认证系统。 具体的处理步骤如下： 步骤 S102: 用户接入网络需要获取 IP 地址和网络访问的权限， 发起 DHCP discovery请求； 步骤 S104: 网络业务控制设备接收到用户的 DHCP 发现（discovery)请求， 向用 户返回 DHCP提供 （Offer) 报文； 步骤 S 106: 用户终端在接收到 DHCP Offer报文后， 发送 DHCP请求 （request) 报文请求； 步骤 SI 08: 网络业务控制设备在接收到 DHCP request报文后， 向用户终端发送 DHCPACK消息，为用户分配 IP地址；并在网络业务控制设备中维护用户的状态信息， 针对该用户应用网络策略， 强制该用户到指定页面进行基于 Web的 IPoE认证； 步骤 S 110: 用户访问 Web应用， 被网络业务控制设备重定向到指定的 Web认证 页面； 步骤 S112: Portal Server接收到用户的页面请求， 向用户发送相应页面； 步骤 S114: 用户在认证页面中输入用户帐号和密码信息； 步骤 S116: Portal Server获得用户输入的用户帐号和密码信息， 通过和网络业务 控制设备之间的接口 （portal协议或私有协议） 传递给网络业务控制设备； 步骤 S118: 网络业务控制设备在获取用户帐号和密码后， 采用与 AAA系统之间 的认证协议 （可采用 Radius协议） 为用户发起认证请求； 步骤 S120: AAA认证系统接收到认证请求， 根据用户帐号和密码信息对用户进 行认证； 认证通过， 向网络业务控制设备返回认证成功消息， 并携带与该用户对应的 网络策略； 网络业务控制设备接收到认证成功消息为该用户应用新的网络策略， 允许 用户接入使用网络； 步骤 S122: 网络业务控制设备向 Portal Server发送认证成功消息； 步骤 S124: Portal Server接收到网络业务控制设备发送的认证成功消息， 向该用 户推送认证成功页面。 而基于线路信息的 IPoE认证方式， 采用用户终端的媒体接入控制 （MAC) 地址 和 /或线路信息等进行认证， 无需用户输入用户帐号和密码， 虽可以做到即插即用， 但 却存在着 MAC地址欺骗、 线路信息难以与实际用户一一对应、 业务开通困难等问题。 图 2是根据相关技术的 Web认证与线路信息认证相结合的 IPoE认证方法相关的 基于线路信息的 IPoE认证方式的处理流程图。如图 2所示， 该方法涉及的设备和系统 可以包括： 用户终端、 接入网络、 网络业务控制设备 （内置 DHCP Server) 以及 AAA 认证系统。 具体的处理步骤如下： 步骤 S202: 用户接入网络需要获取 IP 地址和网络访问的权限， 发起 DHCP discovery请求； 接入网络在用户的请求报文中添加相应的线路信息 （线路信息可以包 括： 用户所在的线路信息、 接入点标识、 电信运营商自定义的标识信息、用户信息等， 具体填入的 DHCP Option字段可以是 Option82、 Option60 Option61、 Optionl2等）； 步骤 S204: 网络业务控制设备接收到用户的接入请求 DHCP discovery, 处理用户 的请求， 从请求消息中提取认证所需的线路信息， 并采用 Radius协议与 AAA认证系 统进行交互， 为用户请求接入认证， 向 AAA认证系统发送 Access-request报文， 报文 中的 User-name、 Passwords NAS-Port-ID等属性的信息提取自用户 DHCP Discovery 请求消息中所携带的相关线路信息； 步骤 S206: AAA认证系统对用户进行认证， 如果认证成功， 则返回认证成功响 应消息 Access-accept, 在 Access-accept消息中， 不仅有认证成功的标识， 还携带有对 应用户的网络策略信息； 步骤 S208: 网络业务控制设备接收到 AAA认证系统返回的认证成功消息， 应用 与用户对应网络策略； 并采用内置的 DHCP Server为用户分配相应的 IP地址， 向用户 发送 DHCP Offer报文； 步骤 S210: 用户终端在接收到 DHCP Offer报文后， 向网络业务控制设备发送 DHCP request报文； 步骤 S212:网络业务控制设备内置的 DHCP Server在接收到 DHCP request报文后， 响应 DHCPACK报文， 用户地址分配完成， 可以访问网络。 因而， 相关技术中缺少一种既能保障网络安全、 稳定， 同时又便于部署和实施、 便于用户使用的 IPoE认证方法。 发明内容 本发明提供了一种用户终端接入网络的认证方法及装置， 以至少解决相关技术中 缺少一种既能保障网络安全、稳定， 同时又便于部署和实施、便于用户使用的 IPoE认 证方法的问题。 根据本发明的一个方面， 提供了一种用户终端接入网络的认证方法。 根据本发明的用户终端接入网络的认证方法包括：采用基于线路信息的 IPoE认证 方式对用户终端进行认证； 如果认证失败， 则采用基于 Web的 IPoE认证方式对用户 终端进行认证， 其中， 如果基于 Web的 IPoE认证成功， 则建立用户的线路信息与用 户帐号信息的对应关系， 形成用户线路认证帐号。 优选地，在采用基于线路信息的 IPoE认证方式对用户终端进行认证之前，还包括： 确定对用户终端所采用的认证类型。 优选地，采用基于线路信息的 IPoE认证方式对用户终端进行认证包括： 在确定对 用户终端所采用的认证类型为基于线路信息的 IPoE认证方式条件下，接收来自于用户 终端的接入请求， 其中， 接入请求中携带有用户终端的线路信息； 判断当前是否存在 与线路信息匹配的用户线路认证帐号； 如果存在， 则允许用户终端接入网络。 优选地， 采用基于 Web的 IPoE认证方式对用户终端进行认证包括： 在当前不存 在与线路信息匹配的用户线路认证帐号信息的情况下， 经由网络业务控制设备接收通 过 Web页面获取的用户的用户帐号信息；根据获取到的用户帐号信息对用户终端进行 认证， 其中， 如果认证成功， 则建立用户帐号信息与线路信息的对应关系， 形成用户 线路认证帐号， 并允许用户终端接入网络。 优选地， 在建立用户帐号信息与线路信息的对应关系之后， 还包括： 如果用户帐 号信息或者线路信息发生变化， 则删除用户帐号信息与线路信息的对应关系以及形成 的用户线路认证帐号。 根据本发明的另一方面， 提供了一种用户终端接入网络的认证装置。 根据本发明的用户终端接入网络的认证装置包括： 第一认证模块， 设置为采用基 于线路信息的基于以太网的互联网协议 IPoE认证方式对用户终端进行认证；第二认证 模块， 设置为在第一认证模块认证失败的情况下， 则采用基于互联网 Web的 IPoE认 证方式对用户终端进行认证， 其中， 如果基于 Web的 IPoE认证成功， 则建立用户的 线路信息与用户帐号信息的对应关系， 形成用户线路认证帐号。 优选地， 上述装置还包括： 确定模块， 设置为确定对用户终端所采用的认证类型。 优选地， 第一认证模块包括： 接收单元， 设置为在确定模块确定对用户终端所采 用的认证类型为基于线路信息的 IPoE认证方式的条件下，接收来自于用户终端的接入 请求， 其中， 接入请求中携带有用户终端的线路信息； 判断单元， 设置为判断当前是 否存在与线路信息匹配的用户线路认证帐号； 认证单元， 设置为在判断单元输出为是 时， 则允许用户终端接入网络。 优选地， 第二认证模块包括： 获取单元， 设置为在当前不存在与线路信息匹配的 用户线路认证帐号信息的情况下，经由网络业务控制设备接收通过 Web页面获取的用 户的用户帐号信息； 认证单元， 设置为根据获取到用户帐号信息对用户终端进行认证， 其中， 如果认证成功， 则建立用户帐号信息与线路信息的对应关系， 形成用户线路认 证帐号， 并允许用户终端接入网络。 优选地， 上述装置还包括： 重置模块， 设置为在用户帐号信息或者线路信息发生 变化时， 删除用户帐号信息与线路信息的对应关系以及形成的用户线路认证帐号。 通过本发明，采用基于线路信息的基于以太网的互联网协议 IPoE认证方式对用户 终端进行认证； 如果认证失败， 则采用基于互联网 Web的 IPoE认证方式对用户终端 进行认证， 解决了相关技术中缺少一种既能保障网络安全、 稳定， 同时又便于部署和 实施、便于用户使用的 IPoE认证方法的问题， 不仅能够有效保障用户的帐号安全， 同 时在业务部署时可高效实现用户的线路信息与具体用户的帐号信息一一对应， 而且还 继承了基于线路信息的 IPoE认证方式的即插即用的优点。 附图说明 此处所说明的附图用来提供对本发明的进一步理解， 构成本申请的一部分， 本发 明的示意性实施例及其说明用于解释本发明， 并不构成对本发明的不当限定。 在附图 中- 图 1是根据相关技术的 Web认证与线路信息认证相结合的 IPoE认证方法相关的 基于 Web的 IPoE认证方式的处理流程图； 图 2是根据相关技术的 Web认证与线路信息认证相结合的 IPoE认证方法相关的 基于线路信息的 IPoE认证方式的处理流程图； 图 3是根据本发明实施例的用户终端接入网络的认证方法的流程图； 图 4是根据本发明优选实施例的 Web认证与线路信息认证相结合的 IPoE认证方 法的流程图； 图 5是根据本发明优选实施例的 AAA认证系统获取用户的用户帐号与密码的处 理方式示意图； 图 6是根据本发明优选实施例的 AAA认证系统的 IPoE认证业务处理流程图； 图 7是根据本发明优选实施的 Web认证与线路信息认证相结合的 IPoE认证方法 中用户首次上线的处理流程图； 图 8是根据本发明优选实施例的 Web认证与线路信息认证相结合的 IPoE认证方 法中用户非首次上线的处理流程图； 图 9是根据本发明实施例的用户终端接入网络的认证装置的结构框图； 以及 图 10是根据本发明优选实施例的用户终端接入网络的认证装置的结构框图。 具体实施方式 下文中将参考附图并结合实施例来详细说明本发明。 需要说明的是， 在不冲突的 情况下， 本申请中的实施例及实施例中的特征可以相互组合。 图 3是根据本发明实施例的用户终端接入网络的认证方法的流程图。如图 3所示， 该方法可以包括以下处理步骤： 步骤 S302: 采用基于线路信息的基于以太网的互联网协议 IPoE认证方式对用户 终端进行认证； 步骤 S304: 如果认证失败， 则采用基于互联网 Web的 IPoE认证方式对用户终端 进行认证， 其中， 如果基于 Web的 IPoE认证成功， 则建立用户的线路信息与用户帐 号信息的对应关系， 形成用户线路认证帐号。 相关技术中， 缺少一种既能保障网络安全、 稳定， 同时又便于部署和实施、 便于 用户使用的 IPoE认证方法。 采用如图 3所示的方法， 有效地结合了基于 Web的 IPoE 认证方式和基于线路信息的 IPoE认证方式的优点。 在用户首次上线时， 采用 Web方 式进行基于用户帐号、 密码的方式进行认证， 在认证成功后， 绑定该用户的用户帐号 信息和线路信息， 形成对应关系记录及用户线路认证帐号； 使得用户后续接入网络时， 可基于线路信息进行 IPoE认证， 实现即插即用，避免繁琐的输入用户帐号和密码的过 程， 不仅能够有效保障用户的帐号安全， 同时在业务部署时实现了用户的线路信息与 具体用户的帐号信息一一对应，而且还继承了基于线路信息的 IPoE认证方式的即插即 用的优点。 在优选实施例中， 当用户首次接入网络时， 默认采用基于线路信息的 IPOE认证 方式。 由于 AAA认证系统中仅存在用户帐号与密码， 尚未绑定该用户的线路信息， 形成该用户的线路认证帐号， 因而认证失败； AAA系统返回认证失败消息， 并下发强 制该用户到指定的 Web认证页面进行认证的策略； 网络业务控制设备接收到认证失败 消息， 执行强制用户到指定 Web认证页面的策略， 并为该用户分配相应的 IP地址； 用户发起 Web访问请求， 网络业务控制设备将用户请求重定向至指定的门户网站服务 器（Portal Server); 用户在认证页面中输入用户帐号和密码； Portal Server在获取到用 户的用户帐号和密码之后， 通过与网络业务控制设备之间的协议接口向网络业务控制 设备进行反馈； 网络业务控制设备接收到用户帐号与密码信息， 向 AAA认证系统发 起针对该用户的认证请求； AAA认证系统根据用户的用户帐号与密码进行认证； 如果 认证成功， 绑定该用户的线路信息， 形成用户线路信息与用户帐号信息的对应关系， 并形成该用户的线路认证帐号， 同时向网络业务控制设备返回认证成功消息， 其中， 认证成功消息中可以携带： 用户的网络策略、 允许用户使用的网络； 网络业务控制设 备向 Portal Server反馈用户认证结果； Portal Server向用户推送认证结果页面。 用户后 续接入网络 （即非首次接入网络）， 由于用户已经通过首次认证， AAA认证系统中已 经有该用户的线路认证帐号， 可以顺利通过线路认证。 具体的处理流程如下： 用户接 入网络， 发起接入认证请求； 网络业务控制设备默认采用基于线路信息的 IPoE认证方 式， 向 AAA系统发起针对该用户的认证请求； AAA系统根据用户的线路信息对用户 进行认证， 如果认证成功， 向网络业务控制设备返回认证成功消息， 其中， 认证成功 消息可以携带： 用户的网络策略、 允许用户使用网络； 网络业务控制设备为该用户分 配相应的 IP地址， 并应用该用户的网络策略； 至此， 用户可以正常使用网络。 优选地， 在步骤 S302， 采用基于线路信息的 IPoE认证方式对用户终端进行认证 之前， 还可以包括以下步骤： 确定对用户终端所采用的认证类型。 优选地， 在步骤 S302中， 采用基于线路信息的 IPoE认证方式对用户终端进行认 证可以包括以下操作： 步骤 S1 : 在确定对用户终端所采用的认证类型为基于线路信息的 IPoE认证方式 条件下， 接收来自于用户终端的接入请求， 其中， 接入请求中携带有用户终端的线路 信息； 步骤 S2: 判断当前是否存在与线路信息匹配的用户线路认证帐号； 步骤 S3: 如果存在， 则允许用户终端接入网络。 优选地， 在步骤 S304中， 采用基于 Web的 IPoE认证方式对用户终端进行认证可 以包括以下步骤： 步骤 S4: 在当前不存在与线路信息匹配的用户线路认证帐号的情况下， 经由网络 业务控制设备接收通过 Web页面获取的用户的用户帐号信息； 步骤 S5:根据获取到的用户帐号信息对用户终端进行认证，其中，如果认证成功， 则建立用户帐号信息与线路信息的对应关系， 形成用户线路认证帐号， 并允许用户终 端接入网络。 在优选实施过程中， 用户帐号信息可以为用户在运营商开通业务时获得的用户帐 号， 用于基于 Web的 IPoE认证方式； 而用户线路认证帐号用于基于线路信息的 IPoE 认证方式。 在优选实施例中， 系统默认采用基于线路信息的 IPoE认证方式进行用户认证； 在 基于线路信息认证的条件下， 如果认证成功， 则用户正常使用网络； 如果认证失败， 则强制用户到指定的 Web认证页面进行认证。 在基于 Web方式认证的条件下， 如果 Web认证通过， 则将用户的线路信息与用户帐号信息进行绑定， 形成对应关系， 并生 成用户的线路认证帐号。 当该用户下次接入时， 线路认证可立即获得通过， 而无须再 经过 Web认证； 如果 Web认证失败， 则继续强制用户到上述指定的 Web认证页面进 行认证。 优选地， 在步骤 S5， 建立用户帐号信息与线路信息的对应关系之后， 还可以包括 以下处理： 如果用户帐号信息或者线路信息发生变化， 则删除用户帐号信息与线路信 息的对应关系以及形成的用户线路认证帐号。 在优选实施例中， AAA认证服务器需要对用户的认证请求进行区分处理， 对用户 的用户帐号、 密码、 线路信息分别进行管理， 根据认证情况进行对应、 绑定和入库等 操作， 具体的处理流程如下： AAA认证服务器在接收到用户认证请求后， 首先需要对认证类型进行判断， 即基 于线路信息的 IPOE认证方式或者基于 Web的 IPoE认证方式；
( 1 ) AAA认证服务器在基于线路信息的 IPoE认证方式下， 如果用户通过认证， 则下发与用户所属套餐对应的网络策略， 允许用户使用网络； 如果用户认证失败， 则 向该用户下发强制用户到指定页面进行基于 Web的 IPoE认证的网络策略； (2) AAA认证服务器在基于 Web的 IPoE认证方式下， 如果认证失败， 则维持 用户现有策略， 即强制用户到指定页面进行认证的策略； 如果认证成功， 则返回认证 成功消息， 并下发与用户所属套餐对应的网络策略， 允许用户使用网络； 同时， 还需 要对用户线路信息和用户帐号信息进行绑定， 形成对应关系， 将用户线路信息入库， 形成用户的线路认证帐号， 以使后续用户接入网络，采用基于线路信息的 IPoE认证方 式请求认证时， 可通过网络认证。 下面结合图 4至图 8中所示的优选实施方式对上述优选实施过程做进一步地描述。 图 4是根据本发明优选实施例的 Web认证与线路信息认证相结合的 IPoE认证方 法的流程图。 如图 4所示， 该流程可以包括以下步骤： 步骤 S402: 该优选实施例默认采用基于线路信息的 IPoE认证方式； 步骤 S404: 判断线路认证是否成功； 如果认证成功， 则允许用户接入网络， 流程 结束； 如认证失败， 则转到步骤 S406; 步骤 S406: 进入基于 Web的 IPoE认证方式； 步骤 S408: 在基于 Web的 IPoE认证方式下， 判断认证是否成功； 如认证成功， 则继续执行步骤 S410; 如认证失败， 则返回认证失败消息， 维持用户的网络策略， 即 转到步骤 S406， 强制用户到指定页面进行基于 Web的 IPoE认证； 步骤 S410: 绑定用户线路信息， 形成该用户的用户帐号和线路信息的对应关系记 录及用户的线路认证帐号， 并返回认证成功消息， 允许用户接入网络； 流程结束。 在该优选实施例中， 由于 AAA认证系统中在初始状态下并没有用户的线路信息， 因而， 用户在首次采用基于线路信息的 IPoE认证时， 会出现认证失败， 进入基于 Web 的 IPoE认证处理流程， 强制用户进行 Web方式的 IPoE认证。 通过上述方式， 实现了 用户首次接入网络时采用基于 Web方式的认证，要求用户输入用户帐号和密码信息进 行认证， 加强了安全性。 在用户首次通过 Web认证之后， 绑定用户的线路信息并生成 线路认证帐号，使得用户后续可以通过基于线路信息的 IPoE认证，从而实现即插即用， 以简化用户操作。 当用户帐号或者线路信息发生变更时， 只需删除该用户的用户帐号 和线路信息的绑定记录关系及用户的线路认证帐号即可。 用户再次接入网络时会被强 制跳转到指定页面进行基于 Web的 IPoE认证。 如果认证成功， 则再次形成绑定关系 和线路认证帐号。 图 5是根据本发明优选实施例的 AAA认证系统获取用户的用户帐号与密码的处 理方式示意图。 如图 5所示， 客户关系管理 （CRM) 系统将用户的用户帐号、 密码信 息同步到 AAA认证系统。 在 CRM系统中维护着用户的用户帐号和密码信息。 CRM 系统通过与 AAA认证系统之间的接口将用户的用户帐号及密码信息同步到 AAA认证 系统， 使得 AAA认证系统可以基于用户的用户帐号和密码信息对用户进行认证。 在 此过程中， 同步的信息不包含用户的线路信息。 图 6是根据本发明优选实施例的 AAA认证系统的 IPoE认证业务处理流程图。 如 图 6所示，在本发明中结合了基于 Web的 IPoE认证方式和基于线路信息的 IPoE认证 方式， 该流程可以包括以下处理步骤： 步骤 S602: AAA认证系统接收认证请求； 步骤 S604: AAA认证系统对认证类型进行判断， 确定是基于线路信息的 IPoE认 证还是基于 Web的 IPoE认证； 如果是基于线路信息的 IPoE认证， 则转到步骤 S606; 如果是基于 Web的 IPoE认证， 则转到步骤 S608; 步骤 S606: 在判断为基于线路信息的 IPoE认证条件下， 基于线路信息对用户进 行认证， 如果认证成功， 则继续执行步骤 S610; 如果认证失败， 则转到步骤 S612; 步骤 S608: 在判断为基于 Web的 IPoE认证条件下， 基于 Web方式对用户进行认 证， 根据用户的用户帐号和密码信息进行认证； 如果认证成功， 则转到步骤 S614; 如 果认证失败， 则转到步骤 S616; 步骤 S610: 返回认证成功消息， 允许该用户使用网络； 流程结束； 步骤 S612: 返回认证失败消息， 并针对该用户下发强制到指定页面进行基于 Web 的 IPoE认证的策略； 流程结束； 步骤 S614: 返回认证成功消息， 允许用户使用网络， 同时绑定用户的线路信息， 形成与用户帐号对应的对应关系记录以及线路认证帐号； 流程结束； 步骤 S616: 返回认证失败消息， 维持用户的策略， 继续强制用户到指定页面进行 基于 Web的 IPoE认证； 流程结束。 图 7是根据本发明优选实施的 Web认证与线路信息认证相结合的 IPoE认证方法 中用户首次上线的处理流程图。 如图 7所示， 该优选实施例涉及的设备和系统可以包 括： 用户终端、 接入网络、 网络业务控制设备 （内置 DHCP Server )、 Portal Server以 及 AAA认证系统。 具体的处理步骤如下： 步骤 S702： 用户接入网络需要获取 IP地址和网络访问的权限， 发起 DHCP请求； 接入网络在用户的请求报文中添加相应的线路信息（可添加在 DHCP报文的 Option82 字段）； 步骤 S704: 网络业务控制设备接收到用户的接入请求消息（DHCP discovery), 采 用基于线路信息的 IPoE认证方式处理用户的请求，提取用户的线路信息，采用与 AAA 认证系统间的认证协议 （可采用 Radius协议） 为用户请求接入认证； 步骤 S706: AAA认证系统根据接收到的认证请求对用户进行认证； 由于该用户 为首次上线， AAA认证系统中没有该用户的线路信息， 因而认证失败； AAA认证系 统向网络业务控制设备返回认证失败消息， 并携带了强制该用户至指定的页面 （位于 Portal Server) 进行基于 Web的 IPoE认证； 步骤 S708: 网络业务控制设备接收到针对该用户的认证失败消息， 为该用户分配 IP地址， 并应用网络策略 （强制该用户至指定的页面进行基于 Web的 IPoE认证）； 步骤 S710: 用户获得 IP地址后， 发起 Web访问， 被网络业务控制设备强制重定 向至 Portal Server; 步骤 S712: Portal Server向用户终端推送 Web认证页面； 步骤 S714: 用户在 Web认证页面中输入用户帐号和密码， 发送至 Portal Server; 步骤 S716: Portal Server提取用户的用户帐号和密码信息， 通过与网络业务控制 设备之间的接口协议， 将用户的用户帐号和密码信息传递给网络业务控制设备； 步骤 S718: 在网络业务控制设备接收到用户的用户帐号和密码信息后， 采用与 AAA认证系统间的认证协议 （可采用 Radius协议） 为用户请求接入认证； 步骤 S720: AAA认证系统接收到网络业务控制设备发送的用户认证请求， 根据 用户的用户帐号和密码信息对用户进行认证； 如果认证成功， 则绑定用户的线路信息， 并形成用户线路信息与用户的用户帐号的对应关系记录以及用户线路认证帐号。同时， AAA认证系统也向网络业务控制设备返回认证成功消息， 携带与用户对应的网络策 略， 允许用户接入并使用网络； 网络业务控制设备接收到认证成功消息， 应用该用户 新的网络策略， 允许用户接入并使用网络； 步骤 S722: 网络业务控制设备向 Portal Server返回针对该用户的认证成功消息； 步骤 S724: 在 Portal Server接收网络业务控制设备发送过来的该用户的认证成功 消息后， 向该用户推送认证成功页面； 在该优选实施例中， 用户首次上线的处理流程特点主要在于： 同时结合了基于线 路信息的 IPoE认证和基于 Web的 IPoE认证方式。 默认采用的是线路认证， 但由于 AAA系统并无用户的线路信息； 因而， 用户将被强制到指定的页面进行基于 Web的 IPoE认证， 由此保证了用户首次认证需要通过 Web页面，输入用户帐号和密码进行认 证， 确保认证过程的安全性。在用户 Web认证成功后自动绑定用户的线路信息形成用 户线路认证帐号，使得该用户后续可通过基于线路信息的 IPoE认证，无需再通过 Web 方式输入用户帐号和密码， 从而实现了即插即用； 同时， 也解决了在具体部署实施过 程中， 用户帐号和用户线路信息难以一一对应的问题， 降低了部署的难度。 图 8是根据本发明优选实施例的 Web认证与线路信息认证相结合的 IPoE认证方 法中用户非首次上线的处理流程图。 如图 8所示， 该优选实施例涉及的设备和系统可 以包括： 用户终端、 接入网络、 网络业务控制设备（内置 DHCP Server) 以及 AAA认 证系统。 具体的处理步骤如下： 步骤 S802: 用户接入网络需要获取 IP地址和网络访问的权限， 发起 DHCP请求； 接入网络在用户的请求报文中添加相应的线路信息 （具体可以添加在 DHCP 报文的 Option82字段）； 步骤 S804: 网络业务控制设备接收到用户的接入请求（DHCP discovery), 采用基 于线路信息的 IPoE认证方式处理用户的请求， 提取用户的线路信息， 采用与 AAA认 证系统间的认证协议 （可采用 Radius协议） 为用户请求接入认证； 步骤 S806: AAA认证系统接收到网络业务控制设备发送的用户认证请求， 基于 线路信息进行认证； 由于该用户之前已经通过了首次认证， 绑定了线路信息， 形成了 用户线路认证帐号， 因而可以通过线路信息认证； 如果认证成功， AAA认证系统向网 络业务控制设备发送认证成功消息， 携带与用户对应的网络策略信息； 步骤 S808: 网络业务控制设备接收到 AAA认证系统发送的认证成功消息， 为用 户分配相应的 IP地址， 并应用对应的用户网络策略， 允许用户接入和使用网络， 并向 用户发送响应消息； 在该优选实施例中， 用户非首次上线的处理流程的主要特点在于， 默认采用基于 线路信息的 IPoE认证方式， 由于 AAA认证系统已经绑定了对应用户的线路信息， 形 成了用户的线路认证帐号， 因而用户认证成功， 无需再经过 Web方式的 IPoE认证， 实现了即插即用， 简化用户的操作， 提升用户体验。 图 9是根据本发明实施例的用户终端接入网络的认证装置的结构框图。 如图 9所 示， 该装置可以包括： 第一认证模块 10， 设置为采用基于线路信息的基于以太网的互 联网协议 （IPoE)认证方式对用户终端进行认证； 第二认证模块 20， 设置为在第一认 证模块认证失败的情况下， 则采用基于互联网 Web的 IPoE认证方式对用户终端进行 认证， 其中， 如果基于 Web的 IPoE认证成功， 则建立用户的线路信息与用户帐号信 息的对应关系， 形成用户线路认证帐号。 采用如图 9所示的装置， 不仅能够有效保障用户的帐号安全， 同时在业务部署时 实现了用户的线路信息与具体用户的帐号信息一一对应， 而且还继承了基于线路信息 的 IPoE认证方式的即插即用的优点。 优选地， 如图 10所示， 上述装置还可以包括： 确定模块 30， 设置为确定对用户 终端所采用的认证类型。 优选地， 如图 10所示， 第一认证模块 10可以包括： 接收单元 100， 设置为在确 定模块确定对用户终端所采用的认证类型为基于线路信息的 IPoE认证方式的条件下， 接收来自于用户终端的接入请求， 其中， 接入请求中携带有用户终端的线路信息； 判 断单元 102， 设置为判断当前是否存在与线路信息匹配的用户线路认证帐号； 认证单 元 104， 设置为在判断单元 102输出为是时， 则允许用户终端接入网络。 优选地， 如图 10所示， 第二认证模块 20可以包括： 获取单元 200， 设置为在当 前不存在与线路信息匹配的用户线路认证帐号信息的情况下， 经由网络业务控制设备 接收通过 Web页面获取的用户的用户帐号信息； 认证单元 202， 设置为根据获取到的 用户帐号信息对用户终端进行认证， 其中， 如果认证成功， 则建立用户帐号信息与线 路信息的对应关系， 形成用户线路认证帐号， 并允许用户终端接入网络。 优选地， 如图 10所示， 上述装置还可以包括： 重置模块 40， 设置为用户帐号信 息或者线路信息发生变化时， 删除用户帐号信息与线路信息的对应关系以及形成的用 户线路认证帐号。 从以上的描述中， 可以看出， 上述实施例实现了如下技术效果 （需要说明的是这 些效果是某些优选实施例可以达到的效果）：本发明提供的技术方案，结合了基于 Web 的 IPOE认证方式和基于线路信息的 IPoE认证方式各自的优势，采用基于 Web认证的 方式， 基于用户的用户帐号和密码， 加强了认证的安全性； 通过 Web认证成功绑定用 户线路信息的方式，降低部署实施时用户帐号和用户的线路信息难以一一对应的问题; 同时， 也利用基于线路信息认证的方式实现了即插即用， 实现了用户只需在首次上线 时在 Web页面输入用户帐号和密码， 后续即可实现即插即用， 有效满足 IPoE业务部 署的需求， 提升用户体验， 并降低网络部署的复杂度。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可以用通用 的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布在多个计算装置所 组成的网络上， 可选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以 将它们存储在存储装置中由计算装置来执行， 并且在某些情况下， 可以以不同于此处 的顺序执行所示出或描述的步骤， 或者将它们分别制作成各个集成电路模块， 或者将 它们中的多个模块或步骤制作成单个集成电路模块来实现。 这样， 本发明不限制于任 何特定的硬件和软件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本领域的技 术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和原则之内， 所作的 任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权 利 要 求 书
1. 一种用户终端接入网络的认证方法， 包括：
采用基于线路信息的基于以太网的互联网协议 IPoE 认证方式对所述用户 终端进行认证；
如果认证失败， 则采用基于互联网 Web的 IPoE认证方式对所述用户终端 进行认证， 其中， 如果基于 Web的 IPoE认证成功， 则建立用户的线路信息与 用户帐号信息的对应关系， 形成用户线路认证帐号。
2. 根据权利要求 1所述的方法，其中，在采用所述基于线路信息的 IPoE认证方式 对所述用户终端进行认证之前， 还包括：
确定对所述用户终端所采用的认证类型。
3. 根据权利要求 2所述的方法，其中，采用所述基于线路信息的 IPoE认证方式对 所述用户终端进行认证包括：
在确定对所述用户终端所采用的认证类型为所述基于线路信息的 IPoE认 证方式条件下， 接收来自于所述用户终端的接入请求， 其中， 所述接入请求中 携带有所述用户终端的线路信息；
判断当前是否存在与所述线路信息匹配的用户线路认证帐号； 如果存在， 则允许所述用户终端接入网络。
4. 根据权利要求 1所述的方法， 其中， 采用所述基于 Web的 IPoE认证方式对所 述用户终端进行认证包括：
在当前不存在与所述线路信息匹配的用户线路认证帐号信息的情况下， 经 由网络业务控制设备接收通过 Web页面获取的所述用户的用户帐号信息； 根据获取到的所述用户帐号信息对所述用户终端进行认证， 其中， 如果认 证成功， 则建立所述用户帐号信息与所述线路信息的对应关系， 形成所述用户 线路认证帐号， 并允许所述用户终端接入所述网络。 根据权利要求 4所述的方法， 其中， 在建立所述用户帐号信息与所述线路信息 的对应关系之后， 还包括： 如果所述用户帐号信息或者所述线路信息发生变化， 则删除所述用户帐号 信息与所述线路信息的对应关系以及形成的用户线路认证帐号。
6. 一种用户终端接入网络的认证装置， 包括：
第一认证模块，设置为采用基于线路信息的基于以太网的互联网协议 IPoE 认证方式对所述用户终端进行认证；
第二认证模块， 设置为在所述第一认证模块认证失败的情况下， 则采用基 于互联网 Web的 IPoE认证方式对所述用户终端进行认证，其中，如果基于 Web 的 IPoE认证成功，则建立用户的线路信息与用户帐号信息的对应关系，形成用 户线路认证帐号。
7. 根据权利要求 6所述的装置， 其中， 所述装置还包括：
确定模块， 设置为确定对所述用户终端所采用的认证类型。
8. 根据权利要求 7所述的装置， 其中， 所述第一认证模块包括：
接收单元， 设置为在所述确定模块确定对所述用户终端所采用的认证类型 为所述基于线路信息的 IPoE认证方式的条件下，接收来自于所述用户终端的接 入请求， 其中， 所述接入请求中携带有所述用户终端的线路信息；
判断单元， 设置为判断当前是否存在与所述线路信息匹配的用户线路认证 帐号；
认证单元， 设置为在所述判断单元输出为是时， 则允许所述用户终端接入 网络。
9. 根据权利要求 6所述的装置， 其中， 所述第二认证模块包括：
获取单元， 设置为在当前不存在与所述线路信息匹配的用户线路认证帐号 信息的情况下，经由网络业务控制设备接收通过 Web页面获取的所述用户的用 户帐号信息；
认证单元， 设置为根据获取到用户帐号信息对所述用户终端进行认证， 其 中， 如果认证成功， 则建立所述用户帐号信息与所述线路信息的对应关系， 形 成所述用户线路认证帐号， 并允许所述用户终端接入所述网络。
10. 根据权利要求 8所述的装置， 其中， 所述装置还包括：
重置模块， 设置为在所述用户帐号信息或者所述线路信息发生变化时， 删 除所述用户帐号信息与所述线路信息的对应关系以及形成的用户线路认证帐
PCT/CN2014/070100 2013-01-17 2014-01-03 用户终端接入网络的认证方法及装置 WO2014110984A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310017569.4 2013-01-17
CN201310017569.4A CN103067407B (zh) 2013-01-17 2013-01-17 用户终端接入网络的认证方法及装置

Publications (1)

Publication Number Publication Date
WO2014110984A1 true WO2014110984A1 (zh) 2014-07-24

Family

ID=48109868

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/070100 WO2014110984A1 (zh) 2013-01-17 2014-01-03 用户终端接入网络的认证方法及装置

Country Status (2)

Country Link
CN (1) CN103067407B (zh)
WO (1) WO2014110984A1 (zh)

Families Citing this family (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103067407B (zh) * 2013-01-17 2018-06-01 中兴通讯股份有限公司 用户终端接入网络的认证方法及装置
CN103634304B (zh) * 2013-11-18 2016-08-24 四川长虹电器股份有限公司 一种智能电视上实现快速web认证的方法
CN103763102B (zh) * 2013-12-31 2018-09-28 上海斐讯数据通信技术有限公司 一种基于消息推送的wifi安全管理系统及管理方法
CN105791231B (zh) * 2014-12-23 2019-02-12 中国电信股份有限公司 进行二次认证的宽带接入方法、终端、服务器和系统
CN106059802B (zh) * 2016-05-25 2020-11-27 新华三技术有限公司 一种终端接入认证方法及装置
CN109451497B (zh) * 2018-11-23 2021-07-06 Oppo广东移动通信有限公司 无线网络连接方法及装置、电子设备、存储介质
CN110086785A (zh) * 2019-04-12 2019-08-02 杭州迪普科技股份有限公司 基于vpn的用户认证方法和装置

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101083528A (zh) * 2007-06-08 2007-12-05 中兴通讯股份有限公司南京分公司 基于动态主机配置协议的安全接入方法及其系统
CN101227481A (zh) * 2008-02-02 2008-07-23 中兴通讯股份有限公司 一种基于dhcp协议的ip接入的方法及其装置
CN102282800A (zh) * 2011-06-03 2011-12-14 华为终端有限公司 一种终端认证方法及装置
CN103067407A (zh) * 2013-01-17 2013-04-24 中兴通讯股份有限公司 用户终端接入网络的认证方法及装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7577137B2 (en) * 2005-02-15 2009-08-18 Telefonaktiebolage L M Ericsson (Publ) Optimized multicast distribution within a hybrid PPPoE/IPoE broadband access network
CN101163000B (zh) * 2006-10-13 2011-03-02 中兴通讯股份有限公司 一种二次认证方法及系统
CN100561969C (zh) * 2007-04-03 2009-11-18 中兴通讯股份有限公司 一种基于PPPoE的宽带接入方法
CN102480399B (zh) * 2010-11-30 2015-09-30 中国电信股份有限公司 基于IPoE的多业务认证方法及系统

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101083528A (zh) * 2007-06-08 2007-12-05 中兴通讯股份有限公司南京分公司 基于动态主机配置协议的安全接入方法及其系统
CN101227481A (zh) * 2008-02-02 2008-07-23 中兴通讯股份有限公司 一种基于dhcp协议的ip接入的方法及其装置
CN102282800A (zh) * 2011-06-03 2011-12-14 华为终端有限公司 一种终端认证方法及装置
CN103067407A (zh) * 2013-01-17 2013-04-24 中兴通讯股份有限公司 用户终端接入网络的认证方法及装置

Also Published As

Publication number Publication date
CN103067407A (zh) 2013-04-24
CN103067407B (zh) 2018-06-01

Similar Documents

Publication Publication Date Title
WO2014110984A1 (zh) 用户终端接入网络的认证方法及装置
EP1876754A1 (en) Method system and server for implementing dhcp address security allocation
KR100738526B1 (ko) 다중 영구가상회선 접속환경을 위한 중간 인증관리 시스템및 그 방법
WO2014131275A1 (zh) 遥控处理方法、装置及系统
CN101127600A (zh) 一种用户接入认证的方法
WO2016192608A2 (zh) 身份认证方法、身份认证系统和相关设备
JP2005516544A (ja) 制御されたマルチキャストのシステム及び実行方法
WO2013056585A1 (zh) 一种虚拟私云接入认证方法及相关装置
WO2015039502A1 (zh) 通信认证方法及装置、终端设备
WO2013097067A1 (zh) 一种虚拟机迁移后实现通信的方法、设备和系统
WO2008110082A1 (fr) Procédé, appareil et système de commande de permission d'accès à internet
WO2010003354A1 (zh) 认证服务器及虚拟专用网的移动通信终端接入控制方法
WO2006063511A1 (fr) Procede permettant de realiser une authentification synchrone parmi differents dispositifs de commande d'authentification
WO2012034413A1 (zh) 一种双栈用户管理方法及宽带接入服务器
WO2014176997A1 (zh) 数据收发方法及系统、消息的处理方法及装置
WO2006058493A1 (fr) Procede et systeme d'authentification de domaine et d'autorite de reseau
WO2013056619A1 (zh) 一种身份联合的方法、IdP、SP及系统
CN111194035B (zh) 一种网络连接方法、装置和存储介质
US8769623B2 (en) Grouping multiple network addresses of a subscriber into a single communication session
WO2009079895A1 (fr) Procédé permettant d'attribuer une adresse ip secondaire sur la base d'une authentification d'accès dhcp
WO2009082950A1 (fr) Procédé, dispositif et système de distribution de clés
WO2011095079A1 (zh) 一种ip地址分配方法、装置及系统
WO2011147334A1 (zh) 提供虚拟私有网业务的方法、设备和系统
CN102075567B (zh) 认证方法、客户端、服务器、直通服务器及认证系统
WO2015100874A1 (zh) 家庭网关接入管理方法和系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14741124

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14741124

Country of ref document: EP

Kind code of ref document: A1