[發明專利]基于802.1x認證系統的權限控制方法及系統

有效

• 申請號: 200910086770.1
• 申請日: 2009-06-29
• 公開（公告）號: CN101599967A
• 公開（公告）日: 2009-12-09
• 發明（設計）人: 林濤;王彬
• 申請（專利權）人: 杭州華三通信技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京德琦知識產權代理有限公司
• 代理人: 王一斌;王 琦

1.一種基于802.1x認證系統的權限控制方法，其特征在于，該方法包括：

客戶端獲取自身的IPv6地址，將該IPv6地址攜帶在可擴展認證協議EAP 身份響應報文中發送給設備端，設備端將該IPv6地址發送給認證服務器；所述 IPv6地址攜帶在EAP身份響應報文的身份標識域中，所述IPv6地址附加在身 份標識域中的用戶名頭部，當所有IPv6地址的前綴相同時，所述身份標識域中 只包含一個IPv6地址前綴，同時包含每個IPv6地址對應的接口標識；當客戶 端使用設備端分配的IPv6地址的前綴，所述身份標識域中只包含每個IPv6地 址對應的接口標識；

認證服務器根據客戶端的IPv6地址，對客戶端進行權限控制。

2.如權利要求1所述的方法，其特征在于，所述攜帶在EAP身份響應報 文的身份標識域中的IPv6地址多于一個。

3.如權利要求1所述的方法，其特征在于，所述客戶端獲取自身的IPv6 地址為：客戶端在802.1x認證過程開始前獲取自身的IPv6地址；

所述客戶端將該IPv6地址攜帶在EAP身份響應報文中發送給設備端為：

客戶端在收到設備端發來的要求輸入用戶名的EAP身份請求報文后，將自 身的IPv6地址和用戶名攜帶在EAP身份響應報文中發送給設備端。

4.如權利要求1所述的方法，其特征在于，所述客戶端獲取自身的IPv6 地址為：客戶端在802.1x認證過程結束后，獲取自身的IPv6地址；

所述客戶端將該IPv6地址攜帶在EAP身份響應報文中發送給設備端為：

客戶端在收到設備端發來的請求握手的EAP身份請求報文后，將自身的 IPv6地址攜帶在響應握手的EAP身份響應報文中發送給設備端。

5.如權利要求1所述的方法，其特征在于，所述認證服務器為遠程認證撥 號用戶服務RADIUS服務器，

所述設備端將該IPv6地址發送給認證服務器包括：

設備端將該IPv6地址通過RADIUS?IPv6標準屬性上報給RADIUS服務器；

或者，所述設備端將EAP身份響應數據包封裝在RADIUS報文中上報給 RADIUS服務器，且RADIUS服務器通過解析RADIUS報文中的EAP身份響 應數據包，得到客戶端的IPv6地址。

6.如權利要求1所述的方法，其特征在于，所述認證服務器根據客戶端的 IP地址對客戶端進行權限控制包括：

認證服務器判斷客戶端的IPv6地址是否合法，若合法，則允許客戶端在線； 否則，通知設備端拒絕客戶端在線。

7.如權利要求1所述的方法，其特征在于，所述EAP身份響應報文進一 步包括：客戶端的用戶名，

且，所述設備端將該IPv6地址發送給認證服務器進一步包括：客戶端將用 戶名發送給認證服務器；

所述認證服務器根據客戶端的IPv6地址對客戶端進行權限控制包括：認證 服務器查找與該用戶名對應的接入控制列表ACL，以客戶端的IPv6地址更新 ACL中的源IP地址項內容，將該ACL下發給設備端，設備端根據該ACL對 客戶端的后續數據流進行控制。

8.如權利要求1所述的方法，其特征在于，所述認證服務器根據客戶端的 IPv6地址對客戶端進行權限控制包括：

認證服務器保存客戶端的IPv6地址，根據客戶端的IPv6地址對客戶端的 后續動作進行跟蹤。

9.如權利要求1所述的方法，其特征在于，所述認證服務器根據客戶端的 IPv6地址對客戶端進行權限控制之后進一步包括：

客戶端發現自身的IPv6地址更改，將更改后的IPv6地址攜帶在EAP身份 響應報文中發送給設備端，轉至所述設備端將該IPv6地址發送給認證服務器的 動作。