[發明專利]認證報文處理方法、裝置和系統

有效

• 申請號: 200910235887.1
• 申請日: 2009-10-28
• 公開（公告）號: CN101697529A
• 公開（公告）日: 2010-04-21
• 發明（設計）人: 夏倫先
• 申請（專利權）人: 北京星網銳捷網絡技術有限公司
• 主分類號: H04L12/56
• 分類號: H04L12/56;H04L29/06
• 代理公司: 北京同立鈞成知識產權代理有限公司 11205
• 代理人: 劉芳

技術領域

本發明實施例涉及網絡管理技術領域，尤其涉及一種認證報文處理方法、 裝置和系統。

背景技術

802.1X協議是基于客戶端(Client)/服務器(Server)模式的訪問控 制和認證協議，可以限制未經授權的用戶設備通過接入端口訪問局域網 (Local?Area?Network；以下簡稱：LAN)/無線局域網(Wireless?Local?Area Network；以下簡稱：WLAN)。在獲得交換機或LAN提供的各種業務之 前，802.1x對連接到交換機端口上的用戶設備進行認證。在認證通過之前， 802.1x只允許基于局域網的擴展認證協議(Extensible?Authentication Protocol?over?LAN；以下簡稱：EAPOL)數據通過用戶設備連接的交換機 端口；認證通過以后，正常的數據才可以順利地通過以太網端口。

遠程用戶撥號認證系統(Remote?Authentication?Dial?In?User?Service； 以下簡稱：Radius)，是一種在網絡接入服務器(Network?Access?Server； 以下簡稱：NAS)和共享認證服務器間傳輸認證、授權和配置信息的協議。 Radius使用用戶數據報協議((User?Datagram?Protocol；以下簡稱：UDP) 作為傳輸協議。Radius服務器支持多種用戶認證方法。當用戶提供了用戶 名和原始口令后，Radius服務器可支持口令驗證協議(Password Authentication?Protocol；以下簡稱：PAP)、質詢握手協議(Challenge Handshake?Authentication?Protocol；以下簡稱：CHAP)和擴展認證協議 (Extensible?Authentication?Protocol；以下簡稱：EAP)等其他認證機制。 其中EAP認證方式，由于其安全性，已經成為Radius認證方式中最常見 的認證協議。

EAP報文是點到點協議(Point-to-Point?Protocol；以下簡稱：PPP)報 文的擴展，通信過程中采用傳輸控制協議(Transport?Control?Protocol；以 下簡稱：TCP)/因特網協議(Internet?Protocol；以下簡稱：IP)協議，支 持多種認證機制，具有良好的擴展性。由于EAP的擴展性和安全性，在 Radius認證中EAP認證非常普遍。基于EAP的認證協議包括：擴展認證 協議-信息摘要5挑戰(Extensible?Authentication?Protocol-Message?Digest 5?Challenge；以下簡稱：EAP-MD5)、擴展認證協議-傳輸層安全 (Extensible?Authentication?Protocol-Transport?Layer?Security；以下簡稱： EAP-TLS)和擴展認證協議-隧道傳輸層安全(Extensible?Authentication Protocol-Tunneled?Transport?Layer?Security；以下簡稱：EAP-TTLS)。

其中，EAP-MD5的認證在802.1X的認證中最為常用，在現有的802.1X +Radius?EAP-MD5認證過程中，NAS首先向Radius服務器發送第一次認 證請求，該第一次認證請求報文中包含了認證用戶名；然后，Radius服務 器對第一次認證請求進行響應，在響應報文中包含了一個隨機挑戰值 (Challenge)；接下來，NAS再向Radius服務器發送第二次認證請求， 該第二次認證請求報文中包含了認證用戶名，以及通過隨機挑戰值加密后 的用戶密碼；最后，Radius服務器根據用戶信息、隨機挑戰值和加密后的 用戶密碼進行密碼校驗，如果密碼正確，則發送認證成功響應報文至NAS； 否則發送認證失敗響應報文至NAS。

現有的802.1X+Radius?EAP-MD5認證過程中，NAS與Radius服務 器需要進行兩次交互，每次交互都不可缺少。其中任何一個步驟沒有完成， 都會導致認證失敗。