[發明專利]一種基于DHCP Option 82的用戶接入權限控制方法

無效

• 申請號: 201110240693.8
• 申請日: 2011-08-22
• 公開（公告）號: CN102255918A
• 公開（公告）日: 2011-11-23
• 發明（設計）人: 梁小冰
• 申請（專利權）人: 神州數碼網絡（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京品源專利代理有限公司 11332
• 代理人: 陳慧珍

1.一種基于DHCP?Option?82的用戶接入權限控制方法，其中，客戶端通過接入交換機、匯聚交換機與DHCP服務器連接，匯聚交換機連接有Radius服務器，其特征在于，該方法包括如下步驟：

步驟1、用戶終端DHCP模塊向接入交換機發送DHCP請求，接入交換機的DHCP?Snooping模塊在DHCP請求的Option?82中附加默認值，然后通過匯聚交換機向DHCP服務器轉送DHCP請求；

步驟2、DHCP服務器將接收到的DHCP請求的Option?82信息與DHCP服務器中預存的信息進行對比，如果找到相應的信息，則DHCP服務器將其中的地址作為一次IP地址加入到DHCP回應中，并通過匯聚交換機下發給接入交換機，否則駁回該DHCP請求；

步驟3、接入交換機接到返回的DHCP回應后轉發給用戶終端，用戶終端獲取一次IP，用戶終端發起802.1x認證，如果認證成功，用戶終端的802.1x模塊向DHCP服務器再發送一次DHCP請求，此次的DHCP請求附加有認證后的Option?82信息；

步驟4、用戶終端的802.1x認證成功后，DHCP服務器將接收到的DHCP請求中的OPTION?82信息與DHCP服務器中預存的信息進行對比，如果找到相應的信息，則DHCP服務器分配一個二次IP地址給用戶終端；否則駁回此次DHCP請求，用戶終端僅能使用一次IP地址訪問網絡；

步驟5、用戶終端利用二次IP地址通過匯聚交換機配置的訪問權限訪問網絡。

2.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟1中的默認值為：將Option?82信息的子選項1設為未認證狀態，子選項2設為接入交換機的CPU?MAC地址。

3.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟2中DHCP服務器中預存的信息為：在DHCP服務中配置有很多Option?82，每個不同的Option?82內容下配置相應的地址池，如果用戶終端的DHCP請求中Option?82內容匹配DHCP服務器的其中一個Option?82，則從相應的地址池中分配IP給DHCP請求。

4.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟3中接入交換機接到返回的DHCP回應后，剝離其中的Option?82信息，然后轉發給用戶終端。用戶終端認證通過后的Option?82由Radius服務器利用Access-Accept報文的26屬性下發給接入交換機保存，而用戶終端的802.1x模塊再次發送DHCP請求時，接入交換機的DHCP?Snooping模塊會將保存的認證后的Option?82信息添加到此次的DHCP請求的Option?82中。

5.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟3中，接入交換機將一次認證成功后的DHCP請求中的IP地址和MAC地址綁定在接入交換機端口上，以防止ARP欺騙，DHCP?Snooping模塊在獲得DHCP?ACK包后更新用戶訪問所有資源的IP地址和ARP的ACL表項。

6.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟4中，DHCP服務器分配的二次IP地址由DHCP服務器根據DHCP請求中Option?82選擇相應的地址池，從中分配給用戶終端。

7.如權利要求1所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，所述步驟5中，匯聚交換機中利用硬件ACL表項配置二次IP地址網段的訪問權限，在用戶終端利用二次IP地址訪問時，匯聚交換機根據二次IP地址對應的硬件ACL表項中此二次IP地址所限制的網段，控制用戶終端的訪問權限。

8.如權利要求7所述的一種基于DHCP?Option82的用戶接入權限控制方法，其特征在于，接入交換機的DHCP?Snooping模塊接到用戶的DHCP請求后，在802.1x認證表項里查詢DHCP請求的源MAC是否通過認證，如果用戶未通過認證，接入交換機附加未通過標識到DHCP請求尾部，對DHCP請求其它部分不作修改而傳送到匯聚交換機的DHCP中繼代理；

如果用戶已經通過認證，則取出已認證Option?82放到DHCP請求尾部，交給匯聚交換機DHCP中繼代理。