[發明專利]網絡安全接入的認證系統及其認證方法

有效

• 申請號: 201410191110.0
• 申請日: 2014-05-07
• 公開（公告）號: CN104009972B
• 公開（公告）日: 2018-03-13
• 發明（設計）人: 胡金龍;張凌;陳虹釗
• 申請（專利權）人: 華南理工大學;廣州數園網絡有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州市華學知識產權代理有限公司44245
• 代理人: 蔡茂略

1.一種網絡安全接入的認證系統，其特征在于，包括：安全接入控制交換機、Web接入認證服務器和用戶終端，所述Web接入認證服務器通過網絡與安全接入控制交換機互聯，所述安全接入控制交換機通過接入網絡連接用戶終端；

所述Web接入認證服務器用于用戶終端接入管理、Web認證、對所述安全接入控制交換機進行接入控制和QoS設置、與外部系統進行交互以及記錄用戶終端接入認證相關日志；

所述安全接入控制交換機用于學習和維護用戶終端的多元組信息、攔截和重定向未認證用戶終端HTTP訪問請求到Web接入認證服務器以及接受所述Web接入認證服務器的接入控制和QoS設置，通過報文過濾方式對用戶終端報文進行接入驗證，并檢查和設置IP報文的DSCP值；

所述Web接入認證服務器包括以下單元：

用戶接入管理單元，用于管理和存儲用戶名、密碼哈希值、用戶安全接入權限、用戶接入QoS參數和用戶有效期；

Web認證單元，用于實現Web認證邏輯功能，與用戶終端交互；

用戶接入日志單元，用于記錄用戶接入網絡的日志；

交換機控制接口單元，用于對安全接入控制交換機進行查詢和控制操作；

外部通信接口單元，用于提供地址分配服務器與認證系統進行交互的接口以及網絡管理系統與認證系統進行交互的接口；

所述安全接入控制交換機包括：

用戶終端信息學習單元，用于學習用戶終端的相關多元組信息、多元組信息包括用戶終端的MAC地址和IP地址、所在VLAN號以及所接入的交換機端口號；

多元組信息維護單元，用于維護用戶終端相關的多元組信息；

Web認證單元，用于攔截和重定向未認證用戶終端HTTP訪問請求的模塊；

控制代理單元，用于接收web認證服務器的控制和信息查詢；

報文過濾單元，用于根據用戶終端多元組信息對用戶終端發出的所有報文進行報文過濾,以及檢查和設置用戶IP報文的DSCP值。

2.一種應用于權利要求1所述的網絡安全接入的認證系統的認證方法，其特征在于，包括以下步驟：

(1)新用戶終端接入網絡，發起HTTP協議的Web訪問請求，安全接入控制交換機的Web認證模塊攔截用戶訪問請求，學習用戶終端的相關多元組信息，并重定向用戶訪問到Web接入認證服務器；

(2)Web接入認證服務器驗證重定向信息，如果正確，則Web接入認證服務器從重定向信息中提取交換機IP地址和用戶終端多元組信息，并返回用戶終端認證Web頁面；

(3)用戶在用戶終端的認證頁面上輸入用戶名和密碼，Web接入認證服務器對用戶進行認證，如果未通過認證，則繼續執行步驟(3)；

(4)用戶如通過認證，則Web接入認證服務器查詢用戶的QoS接入等級，得到用戶對應的DSCP值；

(5)Web接入認證服務器通過控制接口模塊發送認證通過信息和DSCP值給安全接入控制交換機；

(6)安全接入控制交換機收到Web接入認證服務器的認證通過信息和DSCP值后，安全接入控制交換機執行用戶認證通過相關動作，允許符合對應多元組信息的報文通過；同時檢查和設置用戶報文的DSCP值，使得用戶IP報文的DSCP值通過安全接入控制交換機后均設置為相應值。

3.根據權利要求2所述的應用于網絡安全接入的認證系統的認證方法，其特征在于，所述步驟(1)中，所述學習用戶終端多元組信息是指通過捕獲和分析用戶終端發出的HTTP協議數據報文，得到用戶終端MAC地址用戶多元組信息、用戶終端IP地址用戶多元組信息、用戶終端接入的VLAN號用戶多元組信息和用戶終端接入的交換機端口號用戶多元組信息；

用戶終端信息學習單元可通過捕獲和解釋用戶終端發出的HTTP連接報文中的第一個TCP連接數據報文中獲得多元組信息。