[發明專利]一種基于802.1x的接入控制系統

無效

• 申請號: 201010228710.1
• 申請日: 2010-07-16
• 公開（公告）號: CN101867588A
• 公開（公告）日: 2010-10-20
• 發明（設計）人: 陳國龍;陳羽中;郭文忠
• 申請（專利權）人: 福州大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26
• 代理公司: 福州元創專利商標代理有限公司 35100
• 代理人: 蔡學俊

1.一種基于802.1x的接入控制系統，其特征在于：包括客戶端系統、認證服務器及認證者系統，所述的客戶端系統包括：

802.1x認證模塊，負責與所述認證者系統、認證服務器交互，發送和接受認證信息，完成用戶認證和接入控制；

網絡接入設備監控模塊，負責監控客戶端網絡接入設備的狀態變化并通知802.1x認證模塊；

USBKEY監控模塊，負責獲取USBKEY狀態變化信息和USBKEY內的認證信息，并通知802.1x認證模塊；

分組過濾引擎，通過分組過濾實現用戶級的細粒度網絡訪問控制；

客戶端完整性檢測模塊，負責對客戶端各模塊的完整性進行檢測，確保用戶不能使用未經認證或更改過的客戶端進行802.1x認證。

2.根據權利要求1所述的基于802.1x的接入控制系統，其特征在于：所述的分組過濾引擎的工作流程包括：在客戶端系統通過認證后，認證服務器從用戶控制策略數據庫中提取和某個認證用戶綁定的認證策略，封裝入數據報后通過認證者系統返回認證策略給802.1x認證模塊，802.1x認證模塊將認證策略中的網絡訪問控制策略部分通過802.1x認證模塊與PFE間的通信接口發送給PFE,PFE依據接收到的網絡訪問控制策略設置分組過濾規則，并依據分組過濾規則對客戶端上特定用戶發送和接收的數據包進行過濾。

3.根據權利要求1所述的基于802.1x的接入控制系統，其特征在于：所述客戶端完整性檢測模塊的檢測流程包括：

(1)?用戶使用802.1x認證模塊，發起連接請求，即向認證者系統發送EAPOL-Start報文；

(2)?認證者系統收到請求認證的數據報文后，發送EAP-Request/Identity請求報文給客戶端系統，要求802.1x認證模塊發送用戶輸入的用戶名；

(3)?802.1x認證模塊響應認證者系統請求，通過EAP-Response/Identity報文將用戶名發給認證者系統；

(4)認證服務器收到認證者系統轉發的用戶名信息后，認證服務器根據用戶名確定和該用戶綁定的USBKEY認證信息；

(5)認證者系統向客戶端發送EAP-Request/Notification報文，要求客戶端發送客戶端完整性檢測模塊檢測的完整性檢測信息；

(6)802.1x認證模塊響應認證者系統請求，首先利用MD5算法計算802.1x認證模塊、網絡接入設備監控模塊、USBKEY監控模塊、分組過濾引擎的可執行文件的散列值，再對各模塊的散列值進行求和運算，然后以USBKEY中存儲的唯一的ID作為密鑰對散列運算的結果進行加密生成完整性檢測信息，并將完整性認證信息封裝到EAP-Response/Notification報文中，通過認證者系統轉發到認證服務器；

認證服務器收到完整性檢測報文后，根據客戶端系統發送的用戶名信息在認證服務器數據庫中提取和用戶綁定的USBKEY的ID，使用USBKEY的ID作為密鑰進行解密，將完整性檢測信息和認證服務器中存儲的原版模塊的散列值進行比較，如果相同，說明模塊未經變動，完整性檢測通過，繼續后續操作；否則說明模塊已被非法改動，認證服務器將終止與客戶端的交互。