[發(fā)明專利]基于萬維網(wǎng)的無線局域網(wǎng)接入認證方法與系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201310411084.3
• 申請日: 2013-09-11
• 公開（公告）號: CN104427499B
• 公開（公告）日: 2018-11-13
• 發(fā)明（設(shè)計）人: 羅志強;沈軍;史國水;王帥;蘇志勝;羅鋼;金華敏
• 申請（專利權(quán)）人: 中國電信股份有限公司
• 主分類號: H04W12/06
• 分類號: H04W12/06;H04W84/12;H04L29/12
• 代理公司: 中國國際貿(mào)易促進委員會專利商標(biāo)事務(wù)所 11038
• 代理人: 王莉莉

本發(fā)明實施例公開了一種基于萬維網(wǎng)的無線局域網(wǎng)接入認證方法與系統(tǒng)，其中，方法包括：AC截獲到所述WLAN終端發(fā)送的DNS解析請求，判斷所述WLAN終端是否已通過用戶認證；若未通過用戶認證，AC將所述DNS解析請求重定向至與公網(wǎng)隔離的本地DNS；本地DNS構(gòu)造指向門戶服務(wù)器IP地址的DNS回應(yīng)數(shù)據(jù)包并返回AC；響應(yīng)于接收到未認證的所述WLAN終端發(fā)送的HTTP請求或HTTPS請求時，接入控制器將該HTTP請求或HTTPS請求重定向到門戶服務(wù)器；門戶服務(wù)器向WLAN終端發(fā)送WEB認證頁面，通過WEB認證頁面獲取WLAN終端用戶輸入的用戶名及密碼，根據(jù)用戶名及密碼對WLAN終端進行用戶認證。本發(fā)明實施例可以解決現(xiàn)有技術(shù)未認證WLAN終端繞過Portal認證流程進行非法上網(wǎng)的技術(shù)問題。

技術(shù)領(lǐng)域

本發(fā)明涉及通信技術(shù)，尤其是一種基于萬維網(wǎng)（WEB）的無線局域網(wǎng)（WirelessLocal Area Network，WLAN）接入認證方法與系統(tǒng)。

背景技術(shù)

用戶通過WLAN接入網(wǎng)絡(luò)時，首先需要通過WLAN運營商的認證。WLAN運營商通常采用基于WEB的WLAN接入認證方法對用戶進行認證，具體流程如下：

支持WLAN接入的用戶終端（以下簡稱為：WLAN終端）與運營商接入點（AccessPoint，AP）建立物理連接，通過接入控制器（Access Control，AC）獲取互聯(lián)網(wǎng)協(xié)議（IP）地址后發(fā)起超文本傳輸協(xié)議（Hyper Text Transport Protocol，HTTP）請求；用戶在瀏覽器地址欄輸入任意網(wǎng)址均跳轉(zhuǎn)到門戶（Portal）認證入口，運營商根據(jù)終端在WEB頁面輸入的用戶名密碼對WLAN終端進行用戶認證。

上述基于WEB的WLAN接入認證方法中，為了實現(xiàn)用戶在瀏覽器地址欄輸入任意網(wǎng)址均跳轉(zhuǎn)到Portal認證（也稱為WEB認證）入口的功能，運營商必須開放域名服務(wù)器（DomainName Server，DNS）端口與WEB端口。其中，DNS端口目前通過用戶數(shù)據(jù)報協(xié)議（UserDatagramProtocol，UDP）53端口實現(xiàn)，用戶通過UDP53端口訪問DNS服務(wù)器，向DNS服務(wù)器發(fā)送欲訪問WEB網(wǎng)站的域名，DNS服務(wù)器將該域名對應(yīng)的IP地址通過UDP53端口返回用戶，以便用戶通過該IP地址訪問欲訪問WEB網(wǎng)站。WEB端口包括傳輸控制協(xié)議（Transfer Control Protocol，TCP）80端口與TCP443端口。其中，用戶通過不加密的HTTP與加密的HTTPS訪問WEB網(wǎng)站時，分別對應(yīng)TCP80和TCP443端口。

在實現(xiàn)本發(fā)明的過程中，發(fā)明人發(fā)現(xiàn)，上述現(xiàn)有技術(shù)的WLAN接入認證方法存在WLAN客戶端繞過Portal認證流程實現(xiàn)非法上網(wǎng)的風(fēng)險：

由于域名解析的需要，運營商允許未認證的WLAN終端也可以使用UDP53端口訪問公網(wǎng)的代理服務(wù)器，例如，由虛擬專用網(wǎng)代理軟件（LoopcVPN）實現(xiàn)的代理服務(wù)器，未經(jīng)認證的WLAN終端利用UDP53端口訪問代理服務(wù)器時，可以通過代理服務(wù)器代理非法上網(wǎng)。例如，代理服務(wù)器LoopcVPN包括客戶端和服務(wù)器端，LoopcVPN客戶端可以將IP數(shù)據(jù)包通過一條秘密隧道發(fā)送到LoopcVPN服務(wù)器端，從而實現(xiàn)網(wǎng)絡(luò)加速、隱藏真實IP、突破IP端口限制等功能。因此，當(dāng)LoopcVPN服務(wù)器端開放了UDP53端口作為代理時，未經(jīng)認證的WLAN終端就可以通過代理免費上網(wǎng)；

未經(jīng)認證的WLAN終端可以將上網(wǎng)數(shù)據(jù)包封裝在DNS解析請求包中，由于DNS不對用戶的DNS解析請求包內(nèi)容進行檢查，當(dāng)用戶請求解析的域名解析屬于二級域名時，DNS會將上網(wǎng)數(shù)據(jù)包遞歸到LoopcVPN等代理服務(wù)器所在的DNS設(shè)備。由此，可以以DNS服務(wù)器作為中轉(zhuǎn)，實現(xiàn)與LoopcVPN等代理服務(wù)器的數(shù)據(jù)交互，通過運營商DNS訪問LoopcVPN服務(wù)器代理實現(xiàn)非法上網(wǎng)。

發(fā)明內(nèi)容