[發明專利]一種用戶真實信息安全認證系統和方法

在審

• 申請號: 201710430439.1
• 申請日: 2017-06-09
• 公開（公告）號: CN107294961A
• 公開（公告）日: 2017-10-24
• 發明（設計）人: 張凌;萬選亮
• 申請（專利權）人: 華南理工大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 廣州市華學知識產權代理有限公司44245
• 代理人: 鄭浦娟

1.一種用戶真實信息安全認證系統，主要由基礎架構層、控制層和應用層構成，包括用戶主機、無線路由器、交換機和服務器；其特征在于，所述基礎架構層包括無線路由器和交換機，用于負責數據轉發；所述控制層包括服務器中的用戶信息認證模塊和信息存儲系統，用于負責數據的處理；所述應用層包括web應用，用于負責數據的展示；

所述用戶主機通過無線網絡連接無線路由器，用于向無線路由器發送DHCP數據包請求DHCP服務器分配合法IP地址；用于接收交換機通過無線路由器轉發的RA通告，并且獲取RA通告的前綴自動生成IP地址；用于在生成IP地址后發送DAD NS重復地址檢測報文至無線路由器，通過無線路由器轉發給交換機；用于發送用戶數據包至無線路由器，通過無線路由器轉發給交換機；

所述無線路由器，用于接收用戶主機發送的用于請求DHCP服務器分配合法IP地址的DHCP數據包；用于將接收到的DHCP數據包發送給交換機；用于將交換機發送的RA通告轉發給用戶主機；用于將用戶主機發送的DAD NS重復地址檢測報文轉發至交換機；用于監聽用戶主機發送的用戶數據包；用于將監聽到的用戶數據包轉發至交換機；

所述交換機為移植有源地址驗證SAVI模塊以及配置了SAVI功能端口的交換機，用于監聽通過SAVI功能端口傳送過來的DHCP數據包，在監聽到有DHCP數據包時，通過無線路由器發送RA通過至用戶主機；用于在接收到DAD NS重復地址檢測報文后一定時間內未接收到DAD NA應答時，將對應發送DHCP數據包的用戶主機IP地址、用戶主機MAC地址以及交換機SAVI功能端口號進行綁定，生成綁定錨，其中綁定的交換機SAVI功能端口號對應為DHCP數據包所通過的交換機SAVI功能端口，即為發送DHCP數據包的用戶主機通過無線路由器所連接的交換機SAVI功能端口；用于在接收到用戶數據包時，通過源地址驗證SAVI模塊將用戶數據包解析后與其中存儲的綁定錨進行對比驗證，在驗證成功的情況認證用戶主機的IP地址是合法的，在驗證失敗的情況下認證用戶主機的IP地址是非法的，此時過濾掉該用戶主機；用于將IP地址合法的用戶主機發送的用戶數據包發送至服務器中的用戶信息認證模塊；

所述服務器中的信息存儲系統，用于存儲用戶信息以及認證信息；

服務器中的用戶信息認證模塊，用于在獲取到交換機發送的用戶數據包后，根據信息存儲系統存儲的用戶信息對用戶數據包中的用戶信息進行認證；用于在用戶信息認證成功后，將對應認證信息存儲進服務器的信息存儲系統中，并且通知交換機允許對應發送用戶數據包的用戶主機的流量；用于在用戶信息認證失敗后，通知交換機阻止對應發送用戶數據包的用戶主機的流量；

所述web應用，用于下發控制指令至服務器；用于調用并且展示用戶信息和網絡狀態信息。

2.根據權利要求1所述的用戶真實信息安全認證系統，其特征在于，

所述無線路由器為移植了開源的OpenWrt系統的路由器，所述控制層還包括服務器中的SDN控制器；

所述無線路由器還包括，用于通過OpenFlow協議與服務器中的SDN控制器進行通信，具體為：用于通過OpenFlow協議接收SDN控制器發送的控制指令，并且根據控制指令生成流表，然后將流表與其監聽到的用戶數據包進行匹配；當控制指令為獲取網絡狀態信息以及用戶信息時，將與流表匹配的用戶數據包通過OpenFlow協議發送至SDN控制器中，當控制指令為過濾掉異常流量時，將與流表匹配的用戶數據包進行丟棄；

所述服務器中的SDN控制器，用于在接收到應用層的web應用下發的控制命令時，通過OpenFlow協議將控制命令下發到無線路由器的OpenvSwitch模塊上，所述控制指令包括獲取網絡狀態信息以及用戶信息的控制指令和濾掉異常流量的控制指令；用于接收無線路由器通過OpenFlow協議發送的匹配成功的用戶數據包，然后解析出匹配成功的用戶數據包中的用戶信息和網絡狀態信息，最后將解析出的用戶信息和網絡狀態信息供web應用調用；

所述web應用，用于下發獲取網絡狀態以及用戶信息的控制指令至SDN控制器；用于展示SDN控制器解析出的用戶信息和網絡狀態信息。