WO2014127630A1 - 802.1x接入会话保活的方法、设备及系统 - Google Patents

802.1x接入会话保活的方法、设备及系统 Download PDF

Info

Publication number
WO2014127630A1
WO2014127630A1 PCT/CN2013/083699 CN2013083699W WO2014127630A1 WO 2014127630 A1 WO2014127630 A1 WO 2014127630A1 CN 2013083699 W CN2013083699 W CN 2013083699W WO 2014127630 A1 WO2014127630 A1 WO 2014127630A1
Authority
WO
WIPO (PCT)
Prior art keywords
client
keep
alive
authentication
authentication point
Prior art date
Application number
PCT/CN2013/083699
Other languages
English (en)
French (fr)
Inventor
梁乾灯
范亮
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to US14/766,053 priority Critical patent/US9918353B2/en
Priority to EP13875702.6A priority patent/EP2950499B1/en
Priority to RU2015136853A priority patent/RU2639696C2/ru
Publication of WO2014127630A1 publication Critical patent/WO2014127630A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/20—Manipulation of established connections
    • H04W76/25—Maintenance of established connections
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/142—Managing session states for stateless protocols; Signalling session states; State transitions; Keeping-state mechanisms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/28—Timers or timing mechanisms used in protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/19—Connection re-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]

Definitions

  • the present invention relates to the field of communications, and in particular, to a method, device and system for access session keep-alive based on the 802.1X protocol. Background technique
  • WLAN wireless local area network
  • access control methods for WLAN users accessing the network mainly include 802. IX mode and Dynamic Host Configuration Protocol (DHCP) function (Option) 60 and network (Web) authentication, etc.
  • DHCP Dynamic Host Configuration Protocol
  • Option 802.1 IX mode
  • Option Dynamic Host Configuration Protocol
  • Web network
  • these access methods have a common defect that they cannot immediately detect whether the online user is abnormally leaving the network, that is, the user state is not provided. Live mechanism. The user is often offline due to various reasons, and the offline message is not sent to the access control device.
  • 802.1X+EAP is more and more popular in WLAN user access, especially in the WLAN access scenario. Users can usually use 802.1X+ Extensible Authentication Protocol (EAP) + Dynamic Host Configuration Protocol Version 4/Dynamic Host Configuration Protocol Version 6 (DHCPv4/DHCPv6), 802.1X+ EAP+ Static Internet Protocol (Static IP) / None
  • EAP Extensible Authentication Protocol
  • DHCPv4/DHCPv6 Dynamic Host Configuration Protocol Version 6
  • DHCPv4/DHCPv6 Dynamic Host Configuration Protocol Version 6
  • Static IP Static Internet Protocol
  • On-demand address resolution protocol (ARP) request or user idle traffic detection
  • ARP On-demand address resolution protocol
  • these auxiliary means are used to detect whether the user is offline abnormally.
  • these methods are independent of the access protocol 802.1X and require additional protocol support, which is generally more resource intensive and affects the authentication point/ Gateway device performance.
  • the related technology has no prioritized solution to the problem of resource waste of authentication points caused by a large number of users not sending offline messages directly leaving the network, as well as security risks and billing errors.
  • the object of the embodiments of the present invention is to provide a method, a device, and a system for activating a session, to confirm and maintain the status of the online user, and to solve the problem of waste of the authentication point caused by a large number of users not leaving the offline message and leaving the network directly. Problems, security risks, and billing errors.
  • a method for maintaining an 802.1X access session including:
  • the authentication point for access authentication sends a guarantee to the 802.IX client to determine whether the 802.IX client is abnormally off-network according to its actual keep-alive period. Live request message The authentication point determines the 802.IX client if the authentication point does not receive the keep-alive response message of the keep-alive request message by the 802.1X client within a predetermined time of the authentication point. Abnormally off the network, otherwise it is determined that the 802.1X client is normally on the network.
  • the method further includes:
  • the 802.IX client During the 802. IX client accessing the network, the 802.IX client sends a keep-alive request message for determining whether the authentication point is abnormal or not to the authentication point according to its actual keep-alive period; If the 802.IX client does not receive the keep-alive response message of the keep-alive request message in response to the authentication point, the 802.IX client determines the authentication point status. Abnormal, otherwise, determine that the authentication point status is normal.
  • the method further includes:
  • the authentication point receives a start notification request message sent by the 802.1X client, and sends an identity request message to the 802.IX client;
  • the authentication point receives the identity response message of the 802.1X client in response to the identity request message, and encapsulates the identity response message into an authentication request message, and sends the message to the authentication server; the authentication server according to the authentication request And determining, by the authentication point, the authentication mode, and the 802.1X client, and performing authentication processing on the 802.IX client according to the authentication mode;
  • the authentication server encapsulates the processing result of the authentication success/failure into an access accept/reject message and sends the result to the authentication point.
  • the 802.IX client will It is recommended that the keep-alive period is encapsulated into an advertisement request message and sent to the authentication point for the authentication point to determine its actual keep-alive period.
  • the authentication point parses the received access accept message, and obtains the The authorization attribute of the security function is enabled, and the keepalive function of the 802.1X client corresponding to the specified identity or service management domain identifier is enabled according to the authorization attribute used to enable the keep-alive function.
  • the authentication point determines the actual life keeping period of the self, including:
  • the authentication point parses the received start notification request message or the advertisement request message, and obtains a recommended keep-alive period therein;
  • the authentication point parses the received access accept message to obtain an authorized keep-alive period therein; the authentication point utilizes the recommended keep-alive period and/or the authorized keep-alive period and/or the authentication point
  • the local keep-alive period of the local configuration determines the actual keep-alive period.
  • the actual live keepalive period of the client is a default keepalive period local to the 802.1X client.
  • the 802.1X client parses the received keep-alive response message, obtains a mandatory keep-alive period, and adjusts its actual keep-alive period according to the mandatory keep-alive period.
  • a system for 802.IX access session keepalive including an 802.1 client, an authentication point for access authentication, and an authentication server;
  • the authentication point is configured to send, when the 802.IX client accesses the network, the 802.IX client to determine the 802.IX client according to the actual keepalive period of the authentication point itself. Whether the abnormally off-network keep-alive request message is received; if the 802.IX client responds to the keep-alive response message of the keep-alive request message, the 802. The IX client is abnormally offline, otherwise it is determined that the 802.1X client is normally on the network.
  • the 802.IX client is configured to send, when the 802.IX client accesses the network, to the authentication point according to the actual keep-alive period of the 802.1X client, to determine the Whether the authentication point is in a state abnormality keep-alive request message; if the authentication point does not receive the keep-alive response message of the keep-alive request message within the predetermined time of the 802.1X client, determining the authentication point status Abnormal, otherwise, determine that the authentication point status is normal.
  • the system further includes an authentication server; wherein
  • the authentication point is further configured to receive a start notification request message sent by the 802.1X client before the authentication point/the 802.1X client sends a keep-alive request message to the opposite end, and send the start notification request message to the 802.
  • the IX client sends an identity request message, receives an identity response message that the 802.1X client responds to the identity request message, and encapsulates the identity response message into an authentication request message, and sends the identity response message to the authentication server;
  • the authentication server is configured to determine an authentication mode by using the authentication point and the 802.1X client according to the authentication request message, and perform authentication processing on the 802.1X client according to the authentication mode.
  • the result of the authentication success/failure is encapsulated into an access accept/reject message and sent to the authentication point.
  • the 802.IX client is further configured to: when the recommended advertisement keep-alive period is not carried in the start notification request message sent during the 802.IX client access authentication, the recommended keep-alive period is The packet is encapsulated into an advertisement request message and sent to the authentication point for the authentication point to determine its actual keep-alive period.
  • the authentication point is further configured to parse the received access accept message, obtain an authorization attribute for enabling the keep-alive function, and start according to the authorization attribute used to enable the keep-alive function. Specifies the keep-alive function of the 802.1X client corresponding to the identity or service management domain identifier for 802.IX access session keepalive.
  • the authentication point is further configured to parse the received start advertisement request message or the advertisement request message to obtain a recommended keep-alive period therein;
  • the authentication point parses the received access accept message to obtain an authorized keep-alive period therein; the authentication point utilizes the recommended keep-alive period and/or the authorized keep-alive period and/or the authentication point local configuration
  • the local keep-alive cycle determines the actual keep-alive period of the authentication point itself.
  • the actual live keepalive period of the client is a default keepalive period local to the 802.1X client.
  • the 802.1X client is further configured to parse the received keep-alive response message, obtain a mandatory keep-alive period, and adjust an actual keep-alive period according to the mandatory keep-alive period.
  • an authentication point includes: an authentication point message sending module, configured to perform an actual keep-alive period according to the authentication point during an access period of the 802.1X client, Sending a keep-alive request message to the 802.IX client for determining whether the 802.IX client is abnormally off-grid;
  • a client state determining module configured to determine, when the 802.IX client responds to the keep-alive response message of the keep-alive request message, within a predetermined time of the authentication point, determining the 802.IX client The terminal is abnormally off the network, otherwise it is determined that the 802.1X client is normally in the network.
  • an 802.1 client is provided, where the 802.1 client includes:
  • a client message sending module configured to send, to the authentication point, a keep-alive for determining whether the authentication point is abnormal, according to an actual keep-alive period of the 802.IX client during the accessing of the network by the 802.1X client Request message
  • the authentication point status determining module is configured to determine that the authentication point status is abnormal if the authentication point does not receive the keep-alive response message of the keep-alive request message within the predetermined time of the 802.1X client, otherwise , to determine the status of the authentication point is normal.
  • the embodiment of the present invention keeps the 802.IX client active through the authentication point, so that the authentication point can timely sense whether the user abnormally leaves the network, thereby improving network resource utilization, especially the WLAN access network, which is simple to implement and flexible to expand. ;
  • the embodiment of the present invention reduces the risk of overburdening the authentication point configured to authenticate access and the risk of on-time billing errors
  • the embodiment of the present invention keeps the authentication point alive by the 802.IX client, so that the 802.IX client can
  • the status of the authentication point is sensed in time, and when the status of the authentication point is abnormal, other effective nodes are selected in time to improve the user experience.
  • FIG. 1 is a schematic block diagram of a method for 802.IX access session keepalive according to an embodiment of the present invention
  • FIG. 2 is a flowchart of a method for maintaining 802.IX access session keep-alive according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of the system topology of the 802.1X access session keep-alive provided by the first embodiment of the present invention
  • FIG. 5 is a flowchart of a method for maintaining an 802.1X access session according to a first embodiment of the present invention
  • FIG. 6 is a schematic diagram of an extended start notification message according to an embodiment of the present invention
  • FIG. 7 is a schematic diagram of an EAPOL keep-alive message according to an embodiment of the present invention.
  • FIG. 8 is a schematic diagram of a system for maintaining an 802.1X access session according to a second embodiment of the present invention.
  • FIG. 9 is a flowchart of a method for maintaining an 802.1X access session according to a second embodiment of the present invention
  • FIG. 10 is a schematic diagram of a system for maintaining an 802.1X access session according to a third embodiment of the present invention
  • FIG. 11 is a flowchart of a method for maintaining an 802.1X access session according to a third embodiment of the present invention. detailed description
  • the embodiment of the present invention considers that the device that directly interacts with the client to perform 802. IX messages in the current WLAN network is an 802. IX authentication point, and the authentication process is triggered by an EIPOL (Extensible Authentication Protocol Over) message, so the present invention is implemented.
  • the EAPOL message is extended to implement a two-way keep-alive mechanism between the client and the authentication point. The mechanism The same applies to scenarios in which users access the 802.1X client authentication in a wired access network.
  • the EAPOL refers to the EAP being carried on a local area network, that is, the 802.1X protocol.
  • FIG. 1 is a schematic block diagram of a method for maintaining 802.IX access session keep-alive according to an embodiment of the present invention. As shown in FIG. 1, the steps include:
  • Step 101 During the 802. IX client accessing the network, the authentication point used for access authentication sends an 802.IX client to determine whether the 802.IX client is abnormally off-network according to the actual keep-alive period of the authentication point. Keep-alive request message.
  • Step 102 The authentication point determines the 802.1X client if the authentication point does not receive the keep-alive response message of the keep-alive request message by the 802.1X client within a predetermined time of the authentication point. Abnormally off the network, otherwise the authentication point determines that the 802.1X client is normally on the network.
  • the method further includes the 802.1X client accessing the network, and the 802.IX client sends a guarantee for determining whether the authentication point is abnormal according to the actual live-keeping period of the client.
  • a request message the 802.1X client determines the authentication point if the 802.1X client does not receive the keep-alive response message of the keep-alive request message in the client's predetermined time. The status is abnormal. Otherwise, the 802.IX client determines that the authentication point status is normal.
  • a keep-alive mechanism can be established between the 802.IX client and the authentication point, so that any party of the 802.IX protocol session interaction can timely and effectively sense whether the other party is abnormal, for example, in the above steps 101 and 102, authentication Point to use the keep-alive mechanism to sense that the 802.1X client is abnormally offline.
  • FIG. 2 is a flowchart of a method for maintaining an 802.1X access session according to an embodiment of the present invention. As shown in FIG. 2, the steps include:
  • Step 1 The 802.1X STA STA sends an EAPOL-Start- Announcement message to the authentication point used for access authentication, and the extended label, length, and value of the EAPOL-Start- Announcement message (TLV, Tag, Length).
  • TLV Time Division Multiple Access
  • Tag the extended label, length, and value of the EAPOL-Start- Announcement message
  • the Value option carries the keep-alive support identification information and the recommended keepalive period (Period) information.
  • the extended TLV option format is shown in Figure 6.
  • the reserved identifier is reserved. The default is 0. Is it supported (IsEnable) is the keepalive support flag, where 0 is not supported, 1 is supported, and the recommended lifetime is reserved.
  • the value of Period is 0. The value is invalid. The value of 65535 is not guaranteed, and the other values are valid.
  • Step 2 The authentication point saves the STA's recommended keepalive period information and sends an identity request.
  • the (EAPOL-EAP-Request-Identity) message is sent to the STA for identity authentication information. After receiving the message, the STA returns an identity response (EAPOL-EAP-Response-Identity) message to the authentication point.
  • Step 3 The authentication point carries the EAPOL-EAP-Response-Identity message in an authentication request (Access-Request) message and sends it to the authentication server, that is, authentication, authorization, and accounting (AAA, Authentication, Authorization, Accounting). .
  • AAA authentication, authorization, and accounting
  • Step 4 The AAA server negotiates the authentication mode with the STA through the authentication point, and authenticates the STA.
  • the authentication result is sent to the authentication point by using an EAP-Success or EAP-Failure message.
  • the EAP-Success or EAP-Failure message is encapsulated into an access accept/reject message and sent to the authentication point.
  • the EAP authentication protocol between the STA and the AAA server includes EAP-PEAP, EAP-SIM, EAP-AKA, EAP-TLS, and EAP-TTXS.
  • the authentication protocol between the authentication point and the AAA server includes Radius, Diameter, and the like.
  • Step 5 The authentication point comprehensively determines the actual keepalive period of the authentication point for the STA according to the STA's recommended keep-alive period, the local keep-alive period configured locally by the authentication point, and the authorized keep-alive period authorized by the AAA server to the STA.
  • the AAA server has the highest priority for the active keep-alive period.
  • the local keep-alive period of the local authentication point is the second highest.
  • the STA's recommended keep-alive period has the lowest priority. This priority order allows adjustments based on the configured policy.
  • the 802. IX authentication model is allowed.
  • the three-party role that is, the 802.1X client, the authentication point, and the authentication server participate in negotiating the keep-alive period of the 802.1X protocol session, and the authentication point finally determines the effective life-saving period of the valid authentication point according to the configured selection policy, and according to the
  • the actual keep-alive period of the authentication point is used to keep the 802.IX protocol session, and the authentication point allows the authentication point to dynamically maintain the keep-alive cycle of the 802.1X session according to its own load and the like under the premise of the three-party role negotiation of the 802.1X authentication model. Adjustment.
  • Step 6 The authentication point sends an Eapol-Keeplive message to the STA according to the actual keep-alive period of the authentication point of the STA. After receiving the message, the STA returns a keep-alive response message.
  • the keep-alive request message and the keep-alive response message are collectively referred to as an EAPOL keep-alive message EAPOL-Keepalive, and the message content includes the following fields:
  • Protocol Version Protocol type (EAPOL), the length is 1 byte, and the current version number is 3 in length;
  • Packet Type EAPOL message type.
  • the EAPoL-Keepalive message is recommended to be 0xf and the length is 1 byte.
  • Packet Body Length The length of the message, the length is 2 bytes.
  • EAPOL-Keepalive message type length 1 byte, 0 for the keep-alive request message Echo request, 1 for the keep-alive response message Echo reply;
  • Forced Flag 1 byte, indicating whether the peer is required to modify its keep-alive period to the effective keep-alive period recommended by itself. The default is not mandatory.
  • Timer Period The keepalive period, the length is 2 bytes, 0 means invalid, 65535 means no protection, other values are valid values, the recommended value is 180 seconds.
  • Sequence number The serial number, which is 4 bytes in length, identifies a set of keep-alive requests and responses. The initial value is random. The keep-alive request remains unchanged because the response timeout is retransmitted. When a new keep-alive request is sent, the sequence The number is incremented.
  • the EAPOL-Start- Announcement can carry the information to the authentication point without the STA supporting the keep-alive and the recommended keep-alive period.
  • the STA can send the bearer to the authentication point separately during the authentication.
  • the authentication point can know in time whether the STA supports the keep-alive and recommended keep-alive period before the STA authentication is completed. That is to say, during 802.1X client access authentication, the 802.1X client can carry the corresponding extended option in EAPOL-Start- Announcement or EAPOL- Announcement-Req, and inform the authentication point of its recommended keep-alive period and other information.
  • the authentication server sends the information such as the authorization and retention period to the authentication point in the access accept message.
  • the authentication point can also be used for the specified management domain or the specified identity.
  • the local keepalive period configured by the user. After receiving the access accepting message from the authentication server, the authentication point selects a keepalive period from the keepalive period as the actual keepalive period of the authentication point according to the locally configured selection policy, and starts to perform the 802.IX protocol session. Live message interaction.
  • the above steps are the keepalive of the STA by the authentication point.
  • the STA can also keep the authentication point alive.
  • the STA keeps the authentication point as an optional function. Generally, it is not recommended to enable it. However, the authentication point needs to be able to respond to the STA's keep-alive request. .
  • the STA may also adopt a default lifetime of the client by the client, initiate a keep-alive request to the authentication point, and receive a new mandatory keep-alive period in the keep-alive response message from the authentication point.
  • the authentication point is allowed to be adjusted according to the three-party role negotiation result of the 802.1X authentication model or forced to be adjusted by the 802.1X client, and is used as the mandatory life-keeping period of the client.
  • the keep-alive period is carried to the 802.IX client in the keep-alive response message.
  • the 802.IX client and/or the authentication point can send a keep-alive request message to the peer device of the 802.IX protocol session, and the 802.IX protocol session
  • the peer device responds to the keep-alive response message, and the same process is repeated with a certain client and/or authentication point actual keep-alive cycle.
  • the keepalive mechanism is bidirectional and can be turned on or off in one direction. For example, the keepalive action of the authentication point to the 802.IX client can be enabled only, that is, the authentication point sends a keepalive request message, and the corresponding 802.IX client responds with keepalive. Response message.
  • the keep-alive mechanism is enabled or disabled, independent of the 802.1X access authentication process, only in 802.1X. Executed after successful client authentication.
  • the authentication point can be identified for the specified identity or domain
  • the 802.IX client enables or disables the keep-alive function, which may be a User Media Access Control (MAC) address, a user account, or an International Mobile Subscriber Identity (IMSI).
  • the domain identifier may be an authentication point or a domain name of the service management domain of the authentication server for a group of users, and the authentication point performs an action of turning on or off the keep-alive function for the specified users.
  • the 802.IX client declares whether it supports the keep-alive function. (The corresponding extension option is carried in the start notification request message or the advertisement request message, and the keep-alive function is notified to the authentication point.
  • the authentication point default 802.1X client does not support. Keep-alive function), if supported, you can choose whether to enable keep-alive function.
  • the authentication server can determine which users to keep alive according to the configured policy, and when the 802.IX client access authentication succeeds, the access accept message carries the corresponding authorization attribute for enabling the keep-alive function to the authentication point.
  • the action of turning on or off the keep-alive function is performed by the authentication point.
  • the above 802. IX STA refers to an 802. IX client, which may be a computer with a wireless network card or a smart phone with a Wireless Fidelity (WiFi) module.
  • the STA can be mobile or fixed and is the most basic component of the WLAN.
  • FIG. 3 is a system block diagram of an 802.IX access session keep-alive according to an embodiment of the present invention. As shown in FIG. 3, the method includes:
  • Authentication point In the 802. IX client access authentication process, it is responsible for selecting the authentication server and converting the authentication packets exchanged between the 802.1X client and the authentication server, and receiving the keep-alive advice of the 802.1X client and the authorization of the authentication server. Attributes (including related parameter authorization for 802.IX client keep-alive), and finally select the appropriate keep-alive period when the 802. IX client authentication succeeds, and start the keep-alive operation for the 802. IX client;
  • 802. IX client responsible for the 802. IX protocol access authentication interaction, according to the parameters of the active reporting of the keep-alive function (including whether to support keep-alive, recommended keep-alive period, etc.), after the authentication succeeds, respond to the authentication point.
  • Keep-alive request message If necessary, it can also be actively identified according to the settings.
  • the certificate is carried out, the keep-alive request message is sent, and the keep-alive response message of the authentication point is accepted.
  • the authentication server is responsible for delivering the EAP authentication interaction and authorization attribute to the 802.IX client. When the authentication succeeds, according to the knowledge The policy issues the parameters related to keep-alive for the 802.IX client to the authentication point.
  • the authentication point includes:
  • the authentication point message sending module is configured to send, to the 802.IX client, an activity to determine whether the 802.IX client is abnormally off-network according to the actual keep-alive period of the authentication point during the access of the 802.1X client to the network.
  • Request message is configured to send, to the 802.IX client, an activity to determine whether the 802.IX client is abnormally off-network according to the actual keep-alive period of the authentication point during the access of the 802.1X client to the network.
  • the client status determining module is configured to determine, when the 802.IX client responds to the keep-alive response message of the keep-alive request message, that the 802.1X client is abnormally disconnected within a predetermined time of the authentication point. Net, otherwise it is determined that the 802.1X client is normally on the network.
  • the authentication point message sending module and the client state determining module may be configured by a central processing unit (CPU), a digital signal processor (DSP), or Field Programmable Gate Array (FPGA) implementation.
  • CPU central processing unit
  • DSP digital signal processor
  • FPGA Field Programmable Gate Array
  • the 802.1 client includes:
  • the client message sending module is configured to send, to the authentication point, a keep-alive request message for determining whether the authentication point is abnormal according to the actual live-keeping period of the client during the access period of the 802.1X client;
  • the authentication point status determining module is configured to determine that the authentication point status is abnormal if the authentication point does not receive the keep-alive response message of the keep-alive request message within a predetermined time of the client, otherwise, the authentication point is determined. The status is normal.
  • the client message sending module and the authentication point state determining module may be implemented by a CPU, a DSP, or an FPGA in the 802.1 client.
  • FIG. 4 is a schematic diagram of a system topology of an 802.1X access session keep-alive according to the first embodiment of the present invention.
  • a broadband network gateway BNG, a scenario in which a Broad Network Gateway is used as an authentication point, and a wireless access point (AP, Access Point) is in local forwarding mode.
  • the BNG and AAA servers communicate using the remote user dial-up authentication system Radius protocol.
  • the scenario can be wireless access controller (AC) and BNG convergence, or AC and BNG separation. .
  • FIG. 5 is a flowchart of a method for maintaining an 802.1X access session according to a first embodiment of the present invention, that is, a flowchart of the system shown in FIG.
  • Step 1 After the STA associates with the AP, the extended EAPOL-Start- Announcement message carries the keep-alive support identifier information and the recommended keep-alive period information, and sends the message to the BNG via the AP.
  • the keep-alive support identification information is configured to indicate whether the keep-alive function is supported.
  • Step 2 After receiving the EAPOL-Start-Announcement message sent by the STA, the BNG extracts the recommended keepalive period information of the STA and saves it, and sends an EAPOL-EAP-Request-Identity message to the STA through the AP.
  • the STA receives the EAPOL- After the EAP-Request-Identity message, the AP sends an EAPOL-EAP-Response-Identity message to the BNG.
  • Step 3 The BNG encapsulates the EAPOL-EAP-Response message in the RADIUS authentication request message Access-Request and sends it to the AAA server.
  • Step 4 The AAA server and the STA negotiate the authentication mode, and the AAA server authenticates the STA.
  • Step 5 The AAA server sends an EAP-SUCCESS message with a successful authentication or an EAP-FAILURE message with an authentication failure, and encapsulates the message in an Allow/Deny Access message of the RADIUS protocol message to send a BNG. .
  • the AAA server carries the information in the Access-Accept message and sends the information to the BNG.
  • the BNG determines the actual keep-alive period of the authentication point that the authentication point keeps alive for the STA according to the STA's recommended keep-alive period information, the locally configured local keep-alive period information, and the authorized keep-alive period information of the AAA server.
  • Step 7 The BNG sends a keep-alive request message to the STA according to the actual keep-alive period of the authentication point, and the STA returns a keep-alive response message after receiving the message.
  • the recommended format of the keep-alive request message and the keep-alive response message is as shown in FIG.
  • Step 8 The STA sends a dynamic host setup protocol discovery message (DHCP Discovery) requesting an IP address, and the AP sends the IP address to the BNG.
  • DHCP Discovery dynamic host setup protocol discovery message
  • the BNG and the STA complete the IP address allocation of the STA through the DHCP protocol, and also allow the BNG to act as a DHCP relay/proxy ( Relay/Proxy) completes the address allocation process instead of DHCP Server.
  • DHCP Discovery dynamic host setup protocol discovery message
  • step 8 and the step 1 to the step 7 have no chronological order.
  • Step 9 The BNG determines that the STA has been authenticated and allows the STA to access the uplink and downlink data of the network side device.
  • FIG. 8 is a schematic diagram of a system topology of an 802.1X access session keep-alive according to a second embodiment of the present invention.
  • this embodiment uses an AC as an authentication point, AC.
  • the process is as shown in Figure 9 of the AAA server. The process is as follows: Step 1: After the STA associates with the AP, the extended EAPOL-Start- Announcement message carries the keep-alive support identification information and the recommended keep-alive period information. And send the message to the AC via the AP.
  • Step 2 After receiving the EAPOL-Start- Announcement message sent by the STA, the AC extracts the recommended keepalive period information of the STA and saves it, and sends an EAPOL-EAP-Request-Identity message to the STA through the AP.
  • the STA receives the EAPOL- After the EAP-Request-Identity message, the AP sends an EAPOL-EAP-Response-Identity message to the AC.
  • Step 3 The AC encapsulates the EAPOL-EAP-Response-Identity message in the RADIUS protocol authentication request message Access-Request and sends it to the AAA server.
  • the BNG is used as the Radius Proxy network element between the AC and the AAA, the BNG needs to re-encapsulate the Radius protocol packet.
  • Step 4 The AAA server and the STA negotiate the authentication mode, and the AAA server authenticates the STA.
  • Step 5 The AAA server sends an EAP-SUCCESS message with a successful authentication or an EAP-FAILURE message with an authentication failure, and encapsulates the message in an Access-Accept/Reject message of the RADIUS protocol packet to send the AC.
  • the AAA server carries the information in the Access-Accept message to the AC.
  • Step 6 The AC determines the actual keepalive period of the authentication point for the STA to be activated by the authentication point according to the STA's recommended keep-alive period information, the locally configured live local keep-alive period information, and the authorized keep-alive period information authorized by the AAA server.
  • Step 7 The AC sends a keep-alive request message to the STA according to the actual keep-alive period of the authentication point, and the STA returns a keep-alive response message after receiving the message.
  • the suggested format of the keep-alive request message and the keep-alive response message is as shown in FIG. 7.
  • Step 8 The STA sends a DHCP Discover message requesting an IP address, and the AP sends the IP address to the AC through the AP.
  • the AC and the STA complete the IP address allocation of the STA through the DHCP protocol.
  • Step 8 and the steps 1 to 7 have no temporal order.
  • Step 9 After the AC determines that the STA has been authenticated and the address is successfully assigned, the AC sends a user online notification message to the BNG.
  • the message may be an accounting start message.
  • Step 10 After receiving the online advertisement notification message, the BNG allows the STA to access the uplink and downlink data of the network side device.
  • FIG. 10 is a schematic diagram of a system for maintaining an 802.1X access session according to a third embodiment of the present invention. As shown in FIG. 10, this embodiment is a scenario in which a home gateway (RG, Residential Gateway) or a fixed terminal is used as an 802. IX client, and an access device or a BNG is used as an authentication point. , steps include:
  • Step 1 The RG or the fixed terminal carries the keep-alive support identification information and the recommended keep-alive period information in the extended EAPOL-Start- Announcement message, and sends the message to the access device or the BNG.
  • Step 2 After receiving the EAPOL-Start- Announcement message sent by the RG or the fixed terminal, the access device or the BNG extracts the recommended keep-alive period of the RG or the fixed terminal and saves it, and sends the EAPOL-EAP to the RG or the fixed terminal.
  • the Request-Identity message after receiving the EAPOL-EAP-Request-Identity message, the RG or the fixed terminal sends an EAPOL-EAP-Response-Identity message to the access device or the BNG.
  • Step 3 The access device or the BNG encapsulates the EAPOL-EAP-Response-Identity message in the RADIUS protocol authentication request message Access-Request and sends it to the AAA server.
  • Step 4 The AAA server negotiates the authentication mode with the RG or the fixed terminal, and the AAA server authenticates the RG or the fixed terminal.
  • Step 5 The AAA server sends an EAP-SUCCESS message with a successful authentication or an EAP-FAILURE message with an authentication failure, and encapsulates the message in an RADIUS protocol packet, an Access-Accept/Reject message, to send an access device or a BNG.
  • the AAA server carries the information in the Access-Accept message to the access device or the BNG if the subscription information of the user has the authorization keepalive period information.
  • Step 6 The access device or the BNG determines the access device according to the recommended keep-alive period of the RG or the fixed terminal, the local keep-alive period of the access device or the local configuration of the BNG, and the authorized keep-alive period authorized by the AAA server to the RG or the fixed terminal. Or the actual keep-alive period of the authentication point that the BNG keeps alive for the RG or the fixed terminal.
  • the end sends a keep-alive request message, and the RG or the fixed terminal returns a keep-alive response message after receiving the message.
  • the format of the keep-alive request message and the keep-alive response message is as shown in FIG.
  • Step 8 The RG or the fixed terminal sends a DHCP Discover message requesting an IP address to the BNG, and the BNG and the RG or the fixed terminal complete the IP address allocation of the RG or the fixed terminal through the DHCP protocol.
  • Step 8 and the steps 1 to 7 have no temporal order.
  • Step 9 The access device or the BNG determines that the RG or the fixed terminal has been authenticated, and allows the RG or the fixed terminal to access the uplink and downlink data of the network side device.
  • the steps or components of the present invention can be implemented in a general-purpose computing device, which can be centralized on a single computing device or distributed over a network of computing devices. Alternatively, they can be implemented in computing devices.
  • the executed program code is implemented such that they can be stored in a storage device by a computing device, and in some cases, the steps shown or described can be performed in a different order than here, or they can be
  • Each of the integrated circuit modules is fabricated separately, or a plurality of steps or components thereof are fabricated into a single integrated circuit module.
  • the invention is not limited to any specific combination of hardware and software.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer And Data Communications (AREA)
  • Small-Scale Networks (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明实施例公开了一种802.1X接入会话保活的方法、设备及系统，涉及通信领域，所述方法包括：802.1X客户端接入网络期间，用于接入认证的认证点按照所述认证点自身实际保活周期，向所述802.1X客户端发送用于确定所述802.1X客户端是否异常离网的保活请求消息；在所述认证点的预定时间内，若所述认证点未收到所述802.1X客户端响应所述保活请求消息的保活响应消息，则所述认证点确定所述802.1X客户端异常离网，否则确定所述 802.1X客户端正常在网。本发明实施例，提升了网络资源利用率，降低了认证点出现负担过重的安全性问题和按时计费错误的风险。

Description

802.1X接入 ^^保活的方法、 设备及系统 技术领域
本发明涉及通信领域，特别涉及一种基于 802.1X协议的接入会话保活的 方法、 设备及系统。 背景技术
随着互联网应用和智能终端的快速发展， 无线局域网（WLAN， Wireless Local Area Networks )应用已经非常普遍， 很多公共场所部署了 WLAN， 例 如工厂、 学校、 咖啡厅等。 通过 WLAN接入网络已成为用户访问网络资源 最重要的手段之一， 用户可以通过手机、 电脑等各种终端设备， 随时随地访 问互联网， 进行网上办公、 娱乐等活动。 随着公众对随时随地通过 WLAN 访问互联网的需求不断增加， 政府和运营商纷纷出台了公众 WLAN 网络热 点和热区的建设计划， 部分城市已经完成了包括商业中心、 大中院校等地区 的 WLAN网络大范围覆盖， 这也进一步刺激了终端用户使用 WLAN网络的 频率， 使得同时在线的 WLAN终端数量飞速增长。
当前对 WLAN用户访问网络的接入控制方法主要有 802. IX方式和动态 主机配置协议 ( DHCP, Dynamic Host Configuration Protocol )用户的功能 ( Option ) 60和网络（Web )认证等几种方式， 由于这几种方式在设计初期 都没有考虑到超大规模用户同时访问 WLAN 的场景， 在这种场景下这些接 入方式有个共同的缺陷就是无法及时感知在线用户是否异常离开网络， 即没 有提供用户状态保活的机制。 用户经常因为各种原因异常下线， 没有发送下 线报文给接入控制设备。 对于 WLAN 热区而言， 随着大量用户不断接入 WLAN并在不预先通告 WLAN设备的情况下离开 WLAN， WLAN控制层面 网络设备需要管理的在线用户数量不断增加， 导致 WLAN控制层面的网络 设备、 尤其是用户认证和管理设备（即网关设备） 的负担逐步加重， 存在资 源浪费和一定的安全隐患。
802.1X+EAP在 WLAN用户接入中使用越来越普遍， 尤其是在 WLAN 接入场景中被作为用户无感知认证的主要方式。 用户通常可以采用 802.1X+ 可扩展身份验证协议 ( EAP, Extensible Authentication Protocol ) +动态主机配 置协议版本 4/动态主机配置协议版本 6 ( DHCPv4/DHCPv6 )、 802.1X+ EAP+ 静态网际协议（ Static IP ) /无状态地址自动配置（ SLAAC， StateLess Address Auto Configuration ) 的方式接入认证并获取三层地址。 用户和认证点 /网关 设备之间的接入协议没有保活机制， 一旦链路异常或用户异常离线， 认证点 /网关设备不能及时侦测到用户离线，从而影响用户的计费精度并耗费认证点 播地址解析协议（ARP )请求、 或用户空闲流量检测这些辅助手段来检测用 户是否异常离线，但是这些方法与接入协议 802.1X无关，需要额外的协议支 持， 一般比较耗费资源， 影响认证点 /网关设备性能。
综上所述， 相关技术对于大量用户不发送离线消息直接离开网络造成的 认证点的资源浪费问题、 以及安全隐患和计费错误等问题， 尚无优先解决方 案。 发明内容
本发明实施例的目的在于提供一种接入会话保活的方法、 设备及系统， 对在线用户的状态进行确认和维持， 解决了大量用户不发送离线消息直接离 开网络造成的认证点的资源浪费问题、 安全隐患和计费错误等问题。
根据本发明实施例的一个方面， 提供了一种 802.1X接入会话保活的方 法， 包括：
802. IX客户端接入网络期间，用于接入认证的认证点按照自身实际保活 周期， 向所述 802. IX客户端发送用于确定所述 802. IX客户端是否异常离网 的保活请求消息； 在所述认证点的预定时间内，若所述认证点未收到所述 802.1X客户端响 应所述保活请求消息的保活响应消息，则所述认证点确定所述 802. IX客户端 异常离网， 否则确定所述 802.1X客户端正常在网。
优选地， 所述方法还包括：
所述 802. IX客户端接入网络期间， 所述 802. IX客户端按照自身实际保 活周期， 向认证点发送用于确定所述认证点是否状态异常的保活请求消息； 在所述 802. IX客户端预定时间内， 若所述 802. IX客户端未收到所述认 证点响应所述保活请求消息的保活响应消息，则所述 802. IX客户端确定所述 认证点状态异常， 否则， 确定认证点状态正常。
优选地，在所述认证点 /所述 802.1X客户端向对端发送保活请求消息前， 所述方法还包括：
所述认证点接收所述 802.1X 客户端发送的开始通告请求消息， 并向 802. IX客户端发送身份请求消息；
所述认证点接收所述 802.1X客户端响应所述身份请求消息的身份响应 消息， 并将所述身份响应消息封装到认证请求消息中， 发送至认证服务器； 所述认证服务器根据所述认证请求消息，经由所述认证点与所述 802.1X 客户端确定鉴权方式，并按照所述鉴权方式，对所述 802. IX客户端进行鉴权 处理；
所述认证服务器将鉴权成功 /失败的处理结果封装到接入接受 /拒绝消息 中， 发送至所述认证点。
优选地， 所述 802. IX客户端接入认证期间， 当所述 802. IX客户端发送 的所述开始通告请求消息中未携带建议保活周期时，所述 802. IX客户端将所 述建议保活周期封装到通告请求消息中， 发送至所述认证点， 以供所述认证 点确定自身实际保活周期。
优选地， 所述认证点解析收到的所述接入接受消息， 得到其中的用于开 启保活功能的授权属性， 并根据所述用于开启保活功能的授权属性， 开启指 定身份标识或业务管理域标识所对应的 802.1X客户端的保活功能，以便进行
802. IX接入会话保活。
优选地， 所述认证点通过确定自身实际保活周期， 包括：
所述认证点解析收到的所述开始通告请求消息或所述通告请求消息， 得 到其中的建议保活周期；
所述认证点解析收到的所述接入接受消息， 得到其中的授权保活周期； 所述认证点利用所述建议保活周期和 /或所述授权保活周期和 /或所述认 证点本地配置的本地保活周期， 确定自身实际保活周期。
优选地，所述客户端实际保活周期是所述 802.1X客户端本地的默认保活 周期。
优选地，所述 802.1X客户端解析收到的所述保活响应消息，得到其中的 强制保活周期， 并按照所述强制保活周期， 调整自身实际保活周期。
根据本发明实施例的另一方面， 提供了一种 802. IX接入会话保活的系 统， 包括 802.1客户端、 用于接入认证的认证点和认证服务器； 其中，
所述认证点，配置为在所述 802. IX客户端接入网络期间，按照所述认证 点自身实际保活周期， 向所述 802. IX客户端发送用于确定所述 802. IX客户 端是否异常离网的保活请求消息； 在所述认证点的预定时间内， 若未收到所 述 802. IX客户端响应所述保活请求消息的保活响应消息，则确定所述 802. IX 客户端异常离网， 否则确定所述 802.1X客户端正常在网。
优选地， 所述 802. IX客户端， 配置为在所述 802. IX客户端接入网络期 间，按照所述 802.1X客户端自身实际保活周期，向所述认证点发送用于确定 所述认证点是否状态异常的保活请求消息； 在所述 802.1X客户端预定时间 内， 若未收到所述认证点响应所述保活请求消息的保活响应消息， 则确定所 述认证点状态异常， 否则， 确定认证点状态正常。 优选地， 所述系统还包括认证服务器； 其中，
所述认证点， 还配置为在所述认证点 /所述 802.1X客户端向对端发送保 活请求消息前，接收所述 802.1X客户端发送的开始通告请求消息，并向所述 802. IX客户端发送身份请求消息； 接收所述 802.1X客户端响应所述身份请 求消息的身份响应消息， 并将所述身份响应消息封装到认证请求消息中， 发 送至所述认证服务器；
所述认证服务器， 配置为根据所述认证请求消息， 经由所述认证点与所 述 802.1X客户端确定鉴权方式， 并按照所述鉴权方式， 对所述 802.1X客户 端进行鉴权处理； 将鉴权成功 /失败的处理结果封装到接入接受 /拒绝消息中， 发送至所述认证点。
优选地， 所述 802. IX客户端， 还配置为在所述 802. IX客户端接入认证 期间发送的所述开始通告请求消息中未携带建议保活周期时， 将所述建议保 活周期封装到通告请求消息中， 发送至所述认证点， 以供所述认证点确定自 身实际保活周期。
优选地， 所述认证点， 还配置为解析收到的所述接入接受消息， 得到其 中的用于开启保活功能的授权属性， 并根据所述用于开启保活功能的授权属 性， 开启指定身份标识或业务管理域标识所对应的 802.1X客户端的保活功 能， 以便进行 802. IX接入会话保活。
优选地， 所述认证点， 还配置为解析收到的所述开始通告请求消息或所 述通告请求消息， 得到其中的建议保活周期；
所述认证点解析收到的所述接入接受消息， 得到其中的授权保活周期； 所述认证点利用所述建议保活周期和 /或所述授权保活周期和 /或认证点 本地配置的本地保活周期， 确定所述认证点自身实际保活周期。
优选地，所述客户端实际保活周期是所述 802.1X客户端本地的默认保活 周期。 优选地， 所述 802.1X客户端， 还配置为解析收到的所述保活响应消息， 得到其中的强制保活周期， 并按照所述强制保活周期， 调整自身实际保活周 期。
根据本发明实施例的一个方面， 提供了一种认证点， 所述认证点包括： 认证点消息发送模块，配置为在 802.1X客户端接入网络期间，按照所述 认证点实际保活周期， 向所述 802. IX客户端发送用于确定所述 802. IX客户 端是否异常离网的保活请求消息；
客户端状态确定模块， 配置为在所述认证点的预定时间内， 若未收到所 述 802. IX客户端响应所述保活请求消息的保活响应消息，则确定所述 802. IX 客户端异常离网， 否则确定所述 802.1X客户端正常在网。
根据本发明实施例的一个方面， 提供了一种述 802.1客户端， 所述 802.1 客户端包括：
客户端消息发送模块，配置为在所述 802.1X客户端接入网络期间，按照 所述 802. IX客户端实际保活周期，向认证点发送用于确定所述认证点是否状 态异常的保活请求消息；
认证点状态确定模块，配置为在所述 802.1X客户端预定时间内，若未收 到所述认证点响应所述保活请求消息的保活响应消息， 则确定所述认证点状 态异常， 否则， 确定认证点状态正常。
与相关技术相比较， 本发明实施例的有益效果在于：
1、 本发明实施例通过认证点对 802. IX客户端保活， 使认证点能够及时 感知用户是否异常离开网络， 从而提升了网络资源利用率， 尤其是 WLAN 接入网络， 实现简便， 扩展灵活；
2、 本发明实施例降低了配置为认证接入的认证点出现负担过重的安全 性问题和按时计费错误的风险；
3、本发明实施例通过 802. IX客户端对认证点保活，使 802. IX客户端能 够及时感知认证点的状态，并在认证点状态异常时，及时选择其它有效节点， 从而提升用户体验。 附图说明
图 1是本发明实施例提供的 802. IX接入会话保活的方法原理框图； 图 2是本发明实施例提供的 802. IX接入会话保活的方法流程图； 图 3是本发明实施例提供的 802. IX接入会话保活的系统框图； 图 4是本发明第一实施例提供的 802.1X接入会话保活的系统拓朴示意 图；
图 5是本发明第一实施例提供的 802.1X接入会话保活的方法流程图； 图 6是本发明实施例提供的扩展的开始通告消息示意图；
图 7是本发明实施例提供的 EAPOL保活消息示意图；
图 8是本发明第二实施例提供的 802.1X接入会话保活的系统拓朴示意 图；
图 9是本发明第二实施例提供的 802.1X接入会话保活的方法流程图； 图 10是本发明第三实施例提供的 802.1X接入会话保活的系统拓朴示意 图；
图 11是本发明第三实施例提供的 802.1X接入会话保活的方法流程图。 具体实施方式
以下结合附图对本发明的优选实施例进行详细说明， 应当理解， 以下所 说明的优选实施例仅用于说明和解释本发明， 并不用于限定本发明。
本发明实施例考虑到当前 WLAN网络中直接与客户端进行 802. IX消息 交互的设备是 802. IX认证点， 且认证流程通过扩展认证协议（EAPOL, Extensible Authentication Protocolover ) 消息触发， 因此本发明实施例中对 EAPOL消息进行了扩展， 实现客户端与认证点之间的双向保活机制。该机制 同样适用于有线接入网络中用户使用 802.1X客户端认证接入的场景。 所述 EAPOL指 EAP承载于局域网， 即 802.1X协议。
图 1是本发明实施例提供的 802. IX接入会话保活的方法原理框图，如图 1所示， 步骤包括：
步骤 101： 802. IX客户端接入网络期间， 用于接入认证的认证点按照认 证点实际保活周期， 向 802. IX客户端发送用于确定所述 802. IX客户端是否 异常离网的保活请求消息。
步骤 102: 在认证点的预定时间内， 若所述认证点未收到所述 802.1X客 户端响应所述保活请求消息的保活响应消息，则所述认证点确定所述 802.1X 客户端异常离网， 否则所述认证点确定所述 802.1X客户端正常在网。
除上述步骤 101和步骤 102夕卜， 还包括 802.1X客户端接入网络期间， 802. IX客户端按照客户端实际保活周期，向认证点发送用于确定所述认证点 是否状态异常的保活请求消息； 在客户端预定时间内，若所述 802.1X客户端 未收到所述认证点响应所述保活请求消息的保活响应消息， 则所述 802.1X 客户端确定所述认证点状态异常，否则，所述 802. IX客户端确定认证点状态 正常。
也就是说，在 802. IX客户端和认证点之间可以建立保活机制，使 802. IX 协议会话交互的任何一方能及时有效地感知对方是否异常， 例如上述步骤 101和步骤 102中， 认证点利用保活机制感知 802.1X客户端异常离线。
图 2是本发明实施例提供的 802.1X接入会话保活的方法流程图，如图 2 所示， 步骤包括：
步 骤 1 ： 802.1X 站 点 STA 发 送 开 始 通 告 请 求 ( EAPOL-Start- Announcement ) 消息给用于接入认证的认证点， 并在 EAPOL-Start- Announcement消息的扩展标签、 长度、值（TLV， Tag, Length, Value )选项中携带保活支持标识信息和建议保活周期 （Period )信息。 所述 扩展 TLV选项格式如图 6所示， 保留（Reserved )标识保留字段， 默认为 0; 是否支持（IsEnable ) 为保活支持标记， 其中， 0标识不支持， 1标识支持； Period建议的保活周期： 其中 Period取值为 0标识无效； 取值为 65535标识 为不保活， 其他值为有效值。
步骤 2 : 认证点保存 STA 的建议保活周期信息， 并发送身份请求
( EAPOL-EAP-Request-Identity ) 消息给 STA, 索要身份认证信息。 STA收 到所述消息后，向所述认证点返回身份响应（ EAPOL-EAP-Response-Identity ) 消息。
步骤 3: 认证点将 EAPOL-EAP-Response-Identity 消息携带在认证请求 ( Access-Request ) 消息中发送给认证服务器， 即验证、 授权和记账（ AAA, Authentication, Authorization, Accounting )月良务器。
步骤 4: AAA服务器通过认证点与 STA协商鉴权方式， 并对 STA进行 鉴权， 鉴权结果用 EAP-Success或 EAP-Failure消息发送给认证点。
其中， 所述 EAP-Success或 EAP-Failure消息封装到接入接受 /拒绝消息 中， 发送至认证点。
其中， STA 与 AAA服务器之间的 EAP 鉴权协议包括 EAP-PEAP、 EAP-SIM、 EAP-AKA, EAP-TLS, EAP-TTXS。
其中， 认证点与 AAA服务器之间的认证协议包括 Radius、 Diameter等。 步骤 5: 认证点根据 STA的建议保活周期、 认证点本地配置的本地保活 周期以及 AAA服务器授权给 STA的授权保活周期，综合确定针对该 STA的 认证点实际保活周期。
其中， 默认情况下 AAA服务器的授权保活周期优先级最高， 认证点本 地配置的本地保活周期优先级次之， STA的建议保活周期优先级最低。 该优 先级顺序允许根据配置的策略调整。
也就是说， 对于认证点对 802. IX客户端的保活， 允许 802. IX认证模型 的三方角色 （即 802.1X客户端、 认证点和认证服务器）参与协商 802.1X协 议会话的保活周期， 并由认证点根据配置的选择策略最终确定有效的认证点 实际保活周期， 并按照所述认证点实际保活周期进行 802. IX协议会话的保 活，并在 802.1X认证模型的三方角色协商允许的前提下，允许认证点根据自 身负载等情况对 802.1X会话的保活周期进行动态调整。
步骤 6: 认证点按照该 STA的认证点实际保活周期， 向 STA发送保活请 求（ Eapol-Keeplive ) 消息， STA收到该消息之后返回保活响应消息。
其中， 所述保活请求消息和所述保活响应消息统称为 EAPOL保活消息 EAPOL-Keepalive， 消息内容包括以下字段：
Protocol Version: 协议类型 （EAPOL ), 长度为 1字节，目前最新的版本 号中长度为 3 ;
Packet Type: EAPOL消息类型， EAPoL-Keepalive消息建议采用 0xf， 长度为 1字节；
Packet Body Length: 消息长度， 长度为 2字节；
Message Type: EAPOL-Keepalive消息类型， 长度为 1字节 ， 0代表保 活清求消息 Echo request, 1代表保活响应消息 Echo reply;
Forced Flag: 1 字节， 表示是否强制要求对端修改其保活周期为自己建 议的有效保活周期， 默认为不强制。
Timer Period ： 保活周期， 长度为 2字节， 0表示无效， 65535表示不保 活， 其它值为有效值， 建议值 180秒。
Sequence number: 序列号， 长度为 4字节， 标识一组保活请求和应答， 初始值随机， 保活请求因为应答超时重传时， 序列号维持不变， 发送新的保 活请求时， 序列号递增。
在这个流程中， EAPOL-Start- Announcement可以不携带 STA是否支持保 活及建议保活周期等信息给认证点， STA可以在认证时单独向认证点发送携 带这些信息的 EAPOL通告消息 （ EAPOL-Announcement-Req )， 认证点只要 在 STA认证完成前及时获悉 STA是否支持保活和建议保活周期即可。 也就 是说， 在 802.1X 客户端接入认证期间 ， 802.1X 客户端可以在 EAPOL-Start- Announcement或 EAPOL- Announcement -Req中携带对应的扩 展选项，将其建议保活周期等信息告知给认证点；认证服务器在 802.1X客户 端认证成功时将其授权保活周期等信息用扩展的授权属性在接入接受消息 中下发给认证点， 认证点也可以针对指定的管理域或指定身份标识的用户本 地配置的本地保活周期。 认证点在收到认证服务器的接入接受报文后， 根据 本地配置的选择策略， 从这些保活周期中选择一个保活周期作为认证点实际 保活周期， 开始执行 802. IX协议会话的保活消息交互。
上述步骤是认证点对 STA的保活， 同样地， STA也可以对认证点保活， STA对认证点保活为可选功能， 一般不建议开启， 但是认证点需要能够响应 STA的保活请求。其中， 所述 STA也可以采用客户端默认的客户端实际保活 周期， 向认证点发起保活请求， 并接收来自认证点的保活响应消息中新的强 制保活周期。 也就是说， 对于 802. IX客户端对认证点的保活， 允许认证点根 据 802.1X认证模型的三方角色协商结果建议或强制 802.1X客户端进行调整， 用作客户端实际保活周期的强制保活周期在保活响应消息中携带给 802. IX 客户端。
由此可见， 在 802. IX客户端接入认证成功后， 802. IX客户端和 /或认证 点都可以向 802. IX协议会话的对端设备发送保活请求消息， 802. IX协议会 话的对端设备回应保活响应消息，相同的流程以一定的客户端和 /或认证点实 际保活周期重复进行。 该保活机制是双向的， 可以单向开启或关闭， 例如可 以仅开启认证点对 802. IX客户端的保活行为， 即认证点发送保活请求消息， 对应的 802. IX客户端回应保活响应消息。
其中，开启或关闭保活机制，独立于 802.1X的接入认证流程，仅在 802.1X 客户端认证成功后执行。 其中， 认证点可以对指定身份标识或域标识的
802. IX客户端开启或关闭保活功能， 该身份标识可以是用户介质接入控制 ( MAC， Media Access Control ) 地址、 用户账号或国际移动用户识别号 ( IMSI, International Mobile Subscriber Identity )等信息， 该域标识可以是认 证点或认证服务器针对一组用户的业务管理域的域名， 由认证点执行针对这 些指定用户开启或关闭保活功能的动作。 802. IX客户端声明自身是否支持保 活功能（在开始通告请求报文或通告请求报文中携带对应的扩展选项， 将是 否支持保活功能告知认证点， 认证点默认 802.1X客户端不支持保活功能）， 如果支持， 可选择是否开启保活功能。 认证服务器可以根据其配置的策略决 定针对哪些用户进行保活，并在 802. IX客户端接入认证成功时，通过接入接 受消息携带对应的用于开启保活功能的授权属性给认证点， 由认证点执行开 启或关闭保活功能的动作。
上述 802. IX STA指 802. IX客户端， 可以是装有无线网卡的计算机， 也 可以是有无线保真（WiFi， Wireless Fidelity )模块的智能手机。 STA可以是 移动的， 也可以是固定的， 是 WLAN的最基本组成单元。
图 3是本发明实施例提供的 802. IX接入会话保活的系统框图， 如图 3 所示， 包括：
认证点：在 802. IX客户端接入认证过程中， 负责选定认证服务器并转换 中继 802.1X客户端和认证服务器的认证报文交互， 接收 802.1X客户端的保 活建议和认证服务器的授权属性（包括针对 802. IX客户端保活的相关参数授 权）， 并在 802. IX客户端认证成功时最终选择合适的保活周期， 开始执行对 802. IX客户端的保活操作；
802. IX客户端： 负责进行 802. IX协议的接入认证交互， 根据设置主动 上报保活功能相关的参数（包括是否支持保活， 建议的保活周期等）， 在认 证成功后响应认证点的保活请求消息。 必要时， 根据设置也可以主动针对认 证点进行保活， 发送保活请求消息并接受认证点的保活响应消息； 认证服务器：负责对 802. IX客户端进行 EAP认证交互和授权属性下发， 鉴权成功时，根据其所知的策略下发针对 802. IX客户端进行保活相关的参数 给认证点。
其中， 所述认证点包括：
认证点消息发送模块，配置为在 802.1X客户端接入网络期间，按照认证 点实际保活周期， 向 802. IX客户端发送用于确定所述 802. IX客户端是否异 常离网的保活请求消息；
客户端状态确定模块， 配置为在认证点的预定时间内， 若未收到所述 802. IX客户端响应所述保活请求消息的保活响应消息， 则确定所述 802.1X 客户端异常离网， 否则确定所述 802.1X客户端正常在网。
实际应用中， 所述认证点消息发送模块和所述客户端状态确定模块均可 由所述认证点中的中央处理器（CPU， Central Processing Unit ), 数字信号处 理器 （DSP， Digital Signal Processor ) 或现场可编程门阵列 （ FPGA， Field Programmable Gate Array ) 实现。
所述 802.1客户端包括：
客户端消息发送模块，配置为在 802.1X客户端接入网络期间，按照客户 端实际保活周期， 向认证点发送用于确定所述认证点是否状态异常的保活请 求消息；
认证点状态确定模块， 配置为在客户端预定时间内， 若未收到所述认证 点响应所述保活请求消息的保活响应消息， 则确定所述认证点状态异常， 否 则， 确定认证点状态正常。
实际应用中， 所述客户端消息发送模块和所述认证点状态确定模块均可 由所述 802.1客户端中的 CPU、 DSP或 FPGA实现。
以下结合图 4至图 11， 针对认证点对 802. IX客户端的保活进行着重说 明。
图 4是本发明第一实施例提供的 802.1X接入会话保活的系统拓朴示意 图， 如图 4所示， 宽带网络网关（ BNG， Broad Network Gateway用作认证点 的场景， 无线接入点（AP， Access Point )处于本地转发模式， BNG和 AAA 服务器之间使用远程用户拨号认证系统 Radius协议通讯，该场景可以是无线 接入控制器（ AC )和 BNG融合， 也可以是 AC和 BNG分离。
图 5是本发明第一实施例提供的 802.1X接入会话保活的方法流程图，即 图 4所述系统的流程图， 步骤包括：
步骤 1 : STA关联 AP后，扩展 的 EAPOL-Start- Announcement消息携带 保活支持标识信息和建议保活周期信息， 并将该消息经 AP发送到 BNG。
扩展的 EAPOL-Start-Announcement消息示意图如图 6所示。
所述保活支持标识信息配置为指示是否支持保活功能。
步骤 2: BNG接收到 STA发送的 EAPOL-Start-Announcement消息后， 从中提取出 STA 的建议保活周期信息并保存， 并通过 AP 向 STA发送 EAPOL-EAP-Request-Identity消息； STA收到 EAPOL-EAP-Request-Identity 消息后， 经 AP向 BNG发送 EAPOL-EAP-Response-Identity消息。
步骤 3: BNG把 EAPOL-EAP-Response消息封装在 RADIUS协议的认证 请求消息 Access-Request 中， 发送给 AAA服务器。
步骤 4: AAA服务器和 STA协商鉴权方式，并由 AAA服务器对 STA进 行鉴权。
步骤 5: AAA服务器发送鉴权成功的 EAP-SUCCESS消息或者鉴权失败 的 EAP-FAILURE消息，并将所述消息封装在 RADIUS协议报文的允许 /拒绝 接入消息 Access- Accept/Reject中发送 BNG。
其中， 如果该用户的签约信息中有授权保活周期信息， 则 AAA服务器 在 Access-Accept消息中携带该信息发送给 BNG。 步骤 6: BNG根据 STA的建议保活周期信息、本地配置的本地保活周期 信息以及 AAA服务器的授权保活周期信息， 确定认证点对该 STA保活的认 证点实际保活周期。
步骤 7: BNG根据所述认证点实际保活周期向 STA发送保活请求消息， STA收到该消息之后返回保活响应消息。 保活请求消息和保活响应消息的建 议格式如图 7所示。
步骤 8: STA发出动态主机设置协议发现消息（ DHCP Discover )请求 IP 地址，经 AP发送给 BNG， BNG与 STA之间通过 DHCP协议完成 STA的 IP 地址分配， 也允许 BNG作为 DHCP 中继 /代理（Relay/Proxy )代替 DHCP Server完成该地址分配流程。
特别地， 所述步骤 8与步骤 1至步骤 7没有时间上的先后顺序。
步骤 9: BNG判断该 STA已经过认证， 允许转发 STA访问网络侧设备 的上下行数据。
图 8是本发明第二实施例提供的 802.1X接入会话保活的系统拓朴示意 图， 如图 8所示， 与第一实施例对比， 本实施例是将 AC作为认证点的场景， AC与 AAA服务器之间通过 BNG相连， 其流程如图 9所示， 步骤包括： 步骤 1 : STA关联 AP后，扩展 的 EAPOL-Start- Announcement消息携带 是保活支持标识信息和建议保活周期信息， 并将该消息经 AP发送到 AC。
扩展后的 EAPOL-Start- Announcement消息示意图如图 6所示。
步骤 2: AC收到 STA发送的 EAPOL-Start- Announcement消息后， 从中 提取出 STA 的建议保活周期信息并保存， 并通过 AP 向 STA 发送 EAPOL-EAP-Request-Identity消息， STA收到 EAPOL-EAP-Request-Identity 消息后， 经 AP向 AC发送 EAPOL-EAP-Response-Identity消息。
步骤 3: AC把 EAPOL-EAP-Response-Identity消息封装在 RADIUS协议 的认证请求消息 Access-Request 中， 发送给 AAA服务器。 其中， 当 BNG作为 AC与 AAA之间的 Radius Proxy网元时， BNG需要 对 Radius协议报文进行重新封装。
步骤 4: AAA服务器和 STA协商鉴权方式，并由 AAA服务器对 STA进 行鉴权。
步骤 5: AAA服务器发送鉴权成功的 EAP-SUCCESS消息或者鉴权失败 的 EAP-FAILURE 消息， 将所述消息封装在 RADIUS 协议报文的 Access- Accept/Reject消息中发送 AC。
其中， 如果该用户的签约信息中有授权保活周期信息， 则 AAA服务器 在 Access-Accept消息中携带该信息发送给 AC。
步骤 6: AC根据 STA的建议保活周期信息、 本地配置的默本地保活周 期信息以及 AAA服务器授权的授权保活周期信息， 确定认证点对该 STA保 活的认证点实际保活周期。
步骤 7: AC根据所述认证点实际保活周期向 STA发送保活请求消息， STA收到该消息之后返回保活响应消息。
所述保活请求消息和保活响应消息的建议格式如图 7所示。
步骤 8: STA发出 DHCP Discover消息请求 IP地址， 经 AP发送给 AC， AC与 STA之间通过 DHCP协议完成 STA的 IP地址分配。
特别地， 所述步骤 8与所述步骤 1至步骤 7没有时间上的先后顺序。 步骤 9: AC判断该 STA已经过认证且地址分配成功， 则向 BNG发送用 户上线通告消息。
其中， 当 BNG作为 AC与 AAA服务器之间的 Radius Proxy网元时， 该 消息可以是计费开始消息。
步骤 10: BNG收到用户上线通告消息之后， 允许转发 STA访问网络侧 设备的上下行数据。
图 10是本发明第三实施例提供的 802.1X接入会话保活的系统拓朴示意 图， 如图 10所示， 本实施例是将家庭网关（RG， Residential Gateway )或固 定终端作为 802. IX客户端， 将接入设备或 BNG作为认证点的场景， 其流程 如图 11所示， 步骤包括：
步骤 1 : RG或固定终端在扩展的 EAPOL-Start- Announcement消息中携 带是保活支持标识信息和建议保活周期信息， 并将该消息发送给接入设备或 BNG。
扩展的 EAPOL-Start- Announcement消息格式示意图如图 6所示。
步骤 2： 接入设备或 BNG 接收到 RG 或固定终端发送的 EAPOL-Start- Announcement消息后， 从中提取出 RG或固定终端的建议保活 周期并保存， 并向 RG或固定终端发送 EAPOL-EAP-Request-Identity消息， RG或固定终端收到 EAPOL-EAP-Request-Identity消息后，向接入设备或 BNG 发送 EAPOL-EAP-Response-Identity消息。
步骤 3： 接入设备或 BNG把 EAPOL-EAP-Response-Identity消息封装在 RADIUS协议的认证请求消息 Access-Request中， 发送给 AAA服务器。
步骤 4: AAA服务器和 RG或固定终端协商鉴权方式， 并由 AAA服务 器对 RG或固定终端进行鉴权。
步骤 5: AAA服务器发送鉴权成功的 EAP-SUCCESS消息或者鉴权失败 的 EAP-FAILURE 消息， 并将所述消息封装在 RADIUS 协议报文 Access- Accept/Reject消息中发送接入设备或 BNG。
其中， 如果该用户的签约信息中有授权保活周期信息， AAA服务器在 Access-Accept消息中携带该信息发送给接入设备或 BNG。
步骤 6: 接入设备或 BNG根据 RG或固定终端的建议保活周期、接入设 备或 BNG本地配置的本地保活周期以及 AAA服务器授权给 RG或固定终端 的授权保活周期， 确定接入设备或 BNG对该 RG或固定终端保活的认证点 实际保活周期。 端发送保活请求消息， RG 或固定终端收到该消息之后返回保活响应消息。 保活请求消息和保活响应消息的格式如图 7所示。
步骤 8: RG或固定终端发出 DHCP Discover消息请求 IP地址， 发送给 BNG, BNG与 RG或固定终端之间通过 DHCP协议完成 RG或固定终端的 IP地址分配。
特别地， 所述步骤 8与所述步骤 1至步骤 7没有时间上的先后顺序。 步骤 9: 接入设备或 BNG判断该 RG或固定终端已经过认证， 允许转发 RG或固定终端访问网络侧设备的上下行数据。
本发明的各步骤或各部件可以用通用的计算装置来实现， 它们可以集中 在单个的计算装置上， 或者分布在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程序代码来实现， 从而， 可以将它们存储在存 储装置中由计算装置来执行， 并且在某些情况下， 可以以不同于此处的顺序 执行所示出或描述的步骤， 或者将它们分别制作成各个集成电路模块， 或者 将它们中的多个步骤或部件制作成单个集成电路模块来实现。 这样， 本发明 不限制于任何特定的硬件和软件结合。
尽管上文对本发明进行了详细说明， 但是本发明不限于此， 本技术领域 技术人员可以根据本发明的原理进行各种修改。 因此， 凡按照本发明原理所 作的修改， 都应当理解为落入本发明的保护范围。

Claims

权利要求书
1、 一种 802. IX接入会话保活的方法， 包括：
802. IX客户端接入网络期间，用于接入认证的认证点按照自身实际保活 周期， 向所述 802. IX客户端发送用于确定所述 802. IX客户端是否异常离网 的保活请求消息；
在所述认证点的预定时间内，若所述认证点未收到所述 802.1X客户端响 应所述保活请求消息的保活响应消息，则所述认证点确定所述 802. IX客户端 异常离网， 否则所述认证点确定所述 802. IX客户端正常在网。
2、 根据权利要求 1所述的方法， 其中， 还包括：
所述 802. IX客户端接入网络期间， 所述 802. IX客户端按照自身实际保 活周期， 向所述认证点发送用于确定所述认证点是否状态异常的保活请求消 息；
在所述 802. IX客户端预定时间内， 若所述 802. IX客户端未收到所述认 证点响应所述保活请求消息的保活响应消息，则所述 802. IX客户端确定所述 认证点状态异常， 否则， 确定所述认证点状态正常。
3、 根据权利要求 1或 2所述的方法， 其中， 在所述认证点 /所述 802. IX 客户端向对端发送保活请求消息前， 所述方法还包括：
所述认证点接收所述 802.1X客户端发送的开始通告请求消息，并向所述 802. IX客户端发送身份请求消息；
所述认证点接收所述 802.1X客户端响应所述身份请求消息的身份响应 消息， 并将所述身份响应消息封装到认证请求消息中， 发送至认证服务器； 所述认证服务器根据所述认证请求消息，经由所述认证点与所述 802.1X 客户端确定鉴权方式，并按照所述鉴权方式，对所述 802. IX客户端进行鉴权 处理；
所述认证服务器将鉴权成功 /失败的处理结果封装到接入接受 /拒绝消息 中， 发送至所述认证点。
4、 根据权利要求 3所述的方法， 其中， 所述 802. IX客户端接入认证期 间，当所述 802. IX客户端发送的所述开始通告请求消息中未携带建议保活周 期时，所述 802.1X客户端将所述建议保活周期封装到通告请求消息中，发送 至所述认证点， 以供所述认证点确定自身实际保活周期。
5、 根据权利要求 4 所述的方法， 其中， 所述认证点解析收到的所述接 入接受消息， 得到其中的用于开启保活功能的授权属性， 并根据所述用于开 启保活功能的授权属性， 开启指定身份标识或业务管理域标识所对应的 802. IX客户端的保活功能， 以便进行 802. IX接入会话保活。
6、 根据权利要求 5 所述的方法， 其中， 所述认证点确定自身实际保活 周期， 包括：
所述认证点解析收到的所述开始通告请求消息或所述通告请求消息， 得 到其中的建议保活周期；
所述认证点解析收到的所述接入接受消息， 得到其中的授权保活周期； 所述认证点利用所述建议保活周期和 /或所述授权保活周期和 /或所述认 证点本地配置的本地保活周期， 确定自身实际保活周期。
7、 根据权利要求 5 所述的方法， 其中， 所述客户端实际保活周期是所 述 802. IX客户端本地的默认保活周期。
8、 根据权利要求 7所述的方法， 其中， 所述方法还包括： 所述 802.1X 客户端解析收到的所述保活响应消息， 得到其中的强制保活周期， 并按照所 述强制保活周期， 调整自身实际保活周期。
9、 一种 802. IX接入会话保活的系统， 包括 802.1客户端、 用于接入认 证的认证点； 其中，
所述认证点，配置为在所述 802. IX客户端接入网络期间，按照所述认证 点自身实际保活周期， 向所述 802. IX客户端发送用于确定所述 802. IX客户 端是否异常离网的保活请求消息； 在所述认证点的预定时间内， 若未收到所 述 802. IX客户端响应所述保活请求消息的保活响应消息，则确定所述 802. IX 客户端异常离网， 否则确定所述 802.1X客户端正常在网。
10、 根据权利要求 9所述的系统， 其中，
所述 802. IX客户端， 配置为在所述 802. IX客户端接入网络期间， 按照 所述 802. IX客户端自身实际保活周期，向所述认证点发送用于确定所述认证 点是否状态异常的保活请求消息；在所述 802.1X客户端预定时间内，若未收 到所述认证点响应所述保活请求消息的保活响应消息， 则确定所述认证点状 态异常， 否则， 确定认证点状态正常。
11、根据权利要求 9或 10所述的系统， 其中， 所述系统还包括认证服务 器； 其中，
所述认证点， 还配置为在所述认证点 /所述 802.1X客户端向对端发送保 活请求消息前，接收所述 802.1X客户端发送的开始通告请求消息，并向所述 802. IX客户端发送身份请求消息； 接收所述 802.1X客户端响应所述身份请 求消息的身份响应消息， 并将所述身份响应消息封装到认证请求消息中， 发 送至所述认证服务器；
所述认证服务器， 配置为根据所述认证请求消息， 经由所述认证点与所 述 802.1X客户端确定鉴权方式， 并按照所述鉴权方式， 对所述 802.1X客户 端进行鉴权处理； 将鉴权成功 /失败的处理结果封装到接入接受 /拒绝消息中， 发送至所述认证点。
12、 根据权利要求 11所述的系统， 其中，
所述 802. IX客户端， 还配置为在所述 802. IX客户端接入认证期间发送 的所述开始通告请求消息中未携带建议保活周期时， 将所述建议保活周期封 装到通告请求消息中， 发送至所述认证点， 以供所述认证点确定自身实际保 活周期。 13、 根据权利要求 12所述的系统， 其中，
所述认证点， 还配置为解析收到的所述接入接受消息， 得到其中的用于 开启保活功能的授权属性， 并根据所述用于开启保活功能的授权属性， 开启 指定身份标识或业务管理域标识所对应的 802.1X客户端的保活功能，以便进 行 802. IX接入会话保活。
14、 根据权利要求 13所述的系统， 其中，
所述认证点， 还配置为解析收到的所述开始通告请求消息或所述通告请 求消息， 得到其中的建议保活周期；
所述认证点解析收到的所述接入接受消息， 得到其中的授权保活周期； 所述认证点利用所述建议保活周期和 /或所述授权保活周期和 /或认证点 本地配置的本地保活周期， 确定所述认证点自身实际保活周期。
15、 根据权利要求 13 所述的系统， 其中， 所述客户端实际保活周期是 所述 802. IX客户端本地的默认保活周期。
16、 根据权利要求 15所述的系统， 其中，
所述 802.1X客户端，还配置为解析收到的所述保活响应消息，得到其中 的强制保活周期， 并按照所述强制保活周期， 调整自身实际保活周期。
17、 一种认证点， 所述认证点包括：
认证点消息发送模块，配置为在 802.1X客户端接入网络期间，按照认证 点实际保活周期， 向 802. IX客户端发送用于确定所述 802. IX客户端是否异 常离网的保活请求消息；
客户端状态确定模块， 配置为在认证点的预定时间内， 若未收到所述 802. IX客户端响应所述保活请求消息的保活响应消息， 则确定所述 802.1X 客户端异常离网， 否则确定所述 802.1X客户端正常在网。
18、 一种 802.1客户端， 所述 802.1客户端包括：
客户端消息发送模块，配置为在 802.1X客户端接入网络期间，按照客户 端实际保活周期， 向认证点发送用于确定所述认证点是否状态异常的保活请 求消息；
认证点状态确定模块， 配置为在客户端预定时间内， 若未收到所述认证 点响应所述保活请求消息的保活响应消息， 则确定所述认证点状态异常， 否 则， 确定认证点状态正常。
PCT/CN2013/083699 2013-02-19 2013-09-17 802.1x接入会话保活的方法、设备及系统 WO2014127630A1 (zh)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US14/766,053 US9918353B2 (en) 2013-02-19 2013-09-17 802.1X access session keepalive method, device, and system
EP13875702.6A EP2950499B1 (en) 2013-02-19 2013-09-17 802.1x access session keepalive method, device, and system
RU2015136853A RU2639696C2 (ru) 2013-02-19 2013-09-17 Способ, устройство и система поддержания активности сессии доступа по стандарту 802.1Х

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201310053064.3 2013-02-19
CN201310053064.3A CN103200172B (zh) 2013-02-19 2013-02-19 一种802.1x接入会话保活的方法及系统

Publications (1)

Publication Number Publication Date
WO2014127630A1 true WO2014127630A1 (zh) 2014-08-28

Family

ID=48722530

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2013/083699 WO2014127630A1 (zh) 2013-02-19 2013-09-17 802.1x接入会话保活的方法、设备及系统

Country Status (5)

Country Link
US (1) US9918353B2 (zh)
EP (1) EP2950499B1 (zh)
CN (1) CN103200172B (zh)
RU (1) RU2639696C2 (zh)
WO (1) WO2014127630A1 (zh)

Families Citing this family (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103973658A (zh) * 2013-02-04 2014-08-06 中兴通讯股份有限公司 静态用户终端认证处理方法及装置
CN103200172B (zh) * 2013-02-19 2018-06-26 中兴通讯股份有限公司 一种802.1x接入会话保活的方法及系统
CN103546348A (zh) * 2013-10-30 2014-01-29 上海斐讯数据通信技术有限公司 一种认证用户异常下线的检测方法
CN104754764B (zh) * 2013-12-30 2018-11-02 中国移动通信集团公司 一种信息处理方法及装置
CN107819599B (zh) * 2016-09-13 2022-09-30 中兴通讯股份有限公司 报文处理方法及装置
CN106790012B (zh) * 2016-12-14 2020-02-18 深圳市彬讯科技有限公司 基于802.1x协议数据包验证的用户身份认证方法
CN107645556B (zh) * 2017-09-26 2018-12-07 中国联合网络通信有限公司广东省分公司 一种实现sdn转控分离的宽带接入与保活方法及装置
CN111418258A (zh) * 2017-12-12 2020-07-14 艾锐势有限责任公司 检测wi-fi客户端活动状态的方法
CN108092853B (zh) * 2017-12-27 2021-09-21 珠海市君天电子科技有限公司 监控服务器链路状态的方法、装置、系统、电子设备及存储介质
US10999379B1 (en) 2019-09-26 2021-05-04 Juniper Networks, Inc. Liveness detection for an authenticated client session
CN111654865B (zh) * 2020-07-31 2022-02-22 迈普通信技术股份有限公司 终端认证方法、装置、网络设备及可读存储介质
CN112039894B (zh) * 2020-08-31 2023-01-10 北京天融信网络安全技术有限公司 一种网络准入控制方法、装置、存储介质和电子设备
CN113765905B (zh) * 2021-08-27 2023-04-18 深圳市风云实业有限公司 一种基于可信服务代理的数据通信方法
CN113839787B (zh) * 2021-11-29 2022-03-04 军事科学院系统工程研究院网络信息研究所 一种双向认证的局域网安全接入协议方法和系统
CN114826710B (zh) * 2022-04-15 2023-09-26 杭州指令集智能科技有限公司 基于mqtt的物联网操作系统及方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1447570A (zh) * 2002-03-26 2003-10-08 华为技术有限公司 基于802.1x协议的网络接入设备与客户端握手的实现方法
CN1476207A (zh) * 2003-07-04 2004-02-18 Ip专线计费方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
CN101834867A (zh) * 2010-05-07 2010-09-15 杭州华三通信技术有限公司 一种客户端安全保护方法及其装置
CN103200172A (zh) * 2013-02-19 2013-07-10 中兴通讯股份有限公司 一种802.1x接入会话保活的方法及系统

Family Cites Families (36)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2160924C1 (ru) 1999-08-18 2000-12-20 Государственное унитарное предприятие Центральный научно-исследовательский институт "Курс" Механизм проверки своевременности доставки сообщений в информационно-управляющих системах реального времени
WO2004098143A1 (en) * 2003-04-28 2004-11-11 Chantry Networks Inc. System and method for mobile unit session management across a wireless communication network
EP1692595A2 (en) * 2003-11-04 2006-08-23 Nexthop Technologies, Inc. Secure, standards-based communications across a wide-area network
CN100544348C (zh) 2004-02-03 2009-09-23 华为技术有限公司 代理检测方法
CN100592688C (zh) 2004-12-08 2010-02-24 杭州华三通信技术有限公司 一种对接入网络的客户端进行安全认证的系统和方法
CN1866900A (zh) 2005-05-16 2006-11-22 阿尔卡特公司 向通信设备提供通信接入的装置和相关的方法
CN100401712C (zh) 2005-10-14 2008-07-09 杭州华三通信技术有限公司 以太网自动保护系统相切环的故障处理方法
CN100589486C (zh) 2005-12-09 2010-02-10 中兴通讯股份有限公司 一种自动兼容不同802.1x客户端软件的认证方法
CN101047502B (zh) 2006-03-29 2010-08-18 中兴通讯股份有限公司 一种网络认证方法
CN1881938A (zh) 2006-04-27 2006-12-20 中兴通讯股份有限公司 一种预防和检测代理的方法和系统
JP4652285B2 (ja) * 2006-06-12 2011-03-16 株式会社日立製作所 ゲートウェイ選択機能を備えたパケット転送装置
CN101127673A (zh) 2006-08-16 2008-02-20 华为技术有限公司 以太网自动保护倒换方法
US8204502B2 (en) * 2006-09-22 2012-06-19 Kineto Wireless, Inc. Method and apparatus for user equipment registration
JP4680866B2 (ja) * 2006-10-31 2011-05-11 株式会社日立製作所 ゲートウェイ負荷分散機能を備えたパケット転送装置
CN101345683B (zh) 2007-07-11 2012-11-28 中兴通讯股份有限公司 以太网自动保护切换系统中的协议报文传输控制方法
JP4970189B2 (ja) * 2007-08-10 2012-07-04 株式会社東芝 認証装置およびネットワーク認証システム、ならびに端末装置を認証するための方法およびプログラム
CN101141448A (zh) 2007-09-28 2008-03-12 西安大唐电信有限公司 在以太网无源光网络上实现IEEE802.1x用户端口认证的方法
CN101426004A (zh) * 2007-10-29 2009-05-06 华为技术有限公司 三层会话的接入方法、系统及设备
US8107383B2 (en) 2008-04-04 2012-01-31 Extreme Networks, Inc. Reducing traffic loss in an EAPS system
US7990850B2 (en) 2008-04-11 2011-08-02 Extreme Networks, Inc. Redundant Ethernet automatic protection switching access to virtual private LAN services
US20090262683A1 (en) 2008-04-18 2009-10-22 Amit Khetawat Method and Apparatus for Setup and Release of User Equipment Context Identifiers in a Home Node B System
CN101309215B (zh) 2008-06-25 2010-12-15 北京星网锐捷网络技术有限公司 一种以太环网链路恢复检测方法及以太环网主交换机
CN101360020B (zh) 2008-09-28 2011-04-06 西安电子科技大学 基于eap的ieee802.1x安全协议的仿真平台及方法
CN101494580B (zh) 2009-03-13 2011-09-07 迈普通信技术股份有限公司 一种增强eaps环网可靠性的方法
CN101547131B (zh) 2009-05-15 2011-04-13 迈普通信技术股份有限公司 Eaps环网单通故障定位和保护方法
CN101651596B (zh) 2009-09-27 2011-06-29 迈普通信技术股份有限公司 以太环网故障时加速切换的方法
CN101790164B (zh) 2010-01-26 2012-10-03 华为终端有限公司 一种认证方法及通信系统以及相关设备
US8732324B2 (en) * 2010-05-25 2014-05-20 Cisco Technology, Inc. Keep-alive hiatus declaration
CN101883038B (zh) 2010-06-30 2015-08-12 中兴通讯股份有限公司 Eaps环网保护倒换的方法及eaps环网中的主节点
US8520540B1 (en) * 2010-07-30 2013-08-27 Cisco Technology, Inc. Remote traffic monitoring through a network
CN102404720B (zh) * 2010-09-19 2014-10-08 华为技术有限公司 无线局域网中密钥的发送方法及装置
CN102487348B (zh) 2010-12-02 2015-04-01 中兴通讯股份有限公司 一种环网上行链路保护的实现方法和系统
CN102055636B (zh) 2010-12-13 2013-04-10 迈普通信技术股份有限公司 提高eaps环网故障时加速切换的方法以及eaps环网系统
CN102006236B (zh) 2010-12-13 2012-08-08 迈普通信技术股份有限公司 Eaps环网链路故障时的切换处理方法以及交换设备
CN102075938B (zh) 2011-02-25 2013-05-15 北京交通大学 基于地址锁机制的快速重认证方法
US9504026B2 (en) * 2012-12-13 2016-11-22 Nokia Technologies Oy Keep alive periodicity determination for WiFi networks

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1447570A (zh) * 2002-03-26 2003-10-08 华为技术有限公司 基于802.1x协议的网络接入设备与客户端握手的实现方法
CN1476207A (zh) * 2003-07-04 2004-02-18 Ip专线计费方法及系统
CN101232372A (zh) * 2007-01-26 2008-07-30 华为技术有限公司 认证方法、认证系统和认证装置
CN101834867A (zh) * 2010-05-07 2010-09-15 杭州华三通信技术有限公司 一种客户端安全保护方法及其装置
CN103200172A (zh) * 2013-02-19 2013-07-10 中兴通讯股份有限公司 一种802.1x接入会话保活的方法及系统

Also Published As

Publication number Publication date
EP2950499A1 (en) 2015-12-02
EP2950499B1 (en) 2018-09-12
CN103200172B (zh) 2018-06-26
RU2639696C2 (ru) 2017-12-21
US20150382397A1 (en) 2015-12-31
RU2015136853A (ru) 2017-03-27
US9918353B2 (en) 2018-03-13
EP2950499A4 (en) 2016-01-20
CN103200172A (zh) 2013-07-10

Similar Documents

Publication Publication Date Title
WO2014127630A1 (zh) 802.1x接入会话保活的方法、设备及系统
RU2556468C2 (ru) Способ аутентификации доступа терминала и оборудование, расположенное на территории абонента
US9226153B2 (en) Integrated IP tunnel and authentication protocol based on expanded proxy mobile IP
KR101670344B1 (ko) 액세스 제어 방법 및 시스템, 및 액세스 포인트
JP2012533920A (ja) 無線ネットワーク環境において外部ネットワークに登録するための方法および装置
CN103931267A (zh) 用于通过ip接入网在无线通信装置和核心网之间建立数据连接的方法、无线通信装置和通信系统
WO2013155916A1 (zh) 应用于wlan的分流信息的获取方法及系统
US9596209B2 (en) Causing client device to request a new internet protocol address based on a link local address
JP2015518297A (ja) 通信ネットワークにおける事前関連付け検出のためのデバイスおよび方法
US11496894B2 (en) Method and apparatus for extensible authentication protocol
US20220053332A1 (en) Secondary authentication for wwan vpn
WO2014101449A1 (zh) 一种无线局域网中接入节点的控制方法及通信系统
WO2014176964A1 (zh) 一种通信管理方法及通信系统
CN108966363B (zh) 一种连接建立方法及装置
WO2017174014A1 (zh) 为终端提供紧急号码的方法和装置
WO2009082910A1 (fr) Procédé et dispositif de configuration de réseau pour un terminal d'utilisateur
US9787536B2 (en) Method and apparatus for configuring packet forwarding manner
WO2010000157A1 (zh) 接入设备的配置方法、装置及系统
US9634917B2 (en) Method and system for detecting use of wrong internet protocol address
WO2012071701A1 (zh) 非3gpp接入网关的选择方法、网络设备及用户设备
JP6231187B2 (ja) アクセスネットワークシステムにおけるｗｌａｎリソース管理
WO2015100874A1 (zh) 家庭网关接入管理方法和系统
WO2017129101A1 (zh) 路由控制方法、装置及系统
WO2012022212A1 (zh) 用户设备接入方法、装置及系统
US7756083B2 (en) Network access device, network connection establishing method, and mobile communication system using the same

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13875702

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2013875702

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14766053

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2015136853

Country of ref document: RU

Kind code of ref document: A