[發明專利]身份認證方法、身份認證系統和相關設備

有效

• 申請號: 201911358163.6
• 申請日: 2015-06-04
• 公開（公告）號: CN110958272B
• 公開（公告）日: 2021-10-15
• 發明（設計）人: 包德偉;胡寅亮;魏啟坤;潘棟成
• 申請（專利權）人: 華為技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 熊永強;李稷芳

本發明實施例公開了身份認證方法和相關設備，用于實現虛擬接入路由器場景下對撥號企業用戶的認證和鑒權。本發明實施例方法包括：虛擬接入路由器只有在確定接收到的客戶端發送的第一PADI廣播報文中的用戶第一身份信息與該虛擬接入路由器的身份相匹配時，才發送第二PADI廣播報文到PPPOE服務器請求PPPOE服務器服務，虛擬接入路由器還需要發送攜帶有路由身份信息的第二PADO應答消息給客戶端設備進行路由身份信息的驗證；虛擬接入路由器建立與PPPOE服務器之間的第一會話，以及與所述客戶端設備之間的第二會話之后，通過該第一會話和第二會話，轉發客戶端設備發送的用戶第二身份信息到所述PPPOE服務器進行身份認證。

技術領域

本發明涉及通信領域，尤其涉及身份認證方法、身份認證系統和相關設備。

背景技術

傳統的接入路由器(AR)放置在用戶(企業)側，用戶在AR上進行以太網上的點對點協議(Point-to-Point Protocol over Ethernet，PPPoE)撥號，運營商網絡設備對用戶進行認證和鑒權，認證通過后為其廣域網(Wide Area Network，WAN)口分配公網網絡之間互連的協議(Internet Protocol，IP)地址。其中，PPPoE協議提供了在以太網網絡中多臺主機連接到遠端的寬帶接入服務器上的一種標準。其本質是在以太網上建立一個點對點的隧道，具有用戶認證和IP地址通知功能。在傳統的AR上進行PPPoE撥號，即可以完成對用戶的認證，運營商網絡設備為AR的WAN口分配公網的IP地址。

虛擬接入路由器(vAR，又稱作vCPE)將AR的大部分功能(如IP路由，網絡地址轉換(Network Address Translation，NAT)，防火墻)上移到運營商網絡，用戶側的瘦用戶駐地設備(Thin Customer Premises Equipment，ThinCPE)只保留簡單的接入功能。用戶從運營商處購買vAR，購買成功后此臺vAR專為此用戶服務(根據用戶所選套餐具有不同的功能服務)。用戶到其購買的vAR之間需要經過運營商的接入網，這是一個二層網絡。為支持PPPoE撥號認證，目前通常思路是將vAR作為PPPoE客戶端去PPPoE服務器(例如，寬帶遠程接入服務器(Broadband Remote Access Server，BRAS))進行認證。

然而，在虛擬接入路由器場景下，采用這種方式進行認證，會使得企業用戶側和vAR之間的接入鏈路沒有得到認證，安全性沒有保證。

發明內容

本發明實施例提供了身份認證方法、身份認證系統和相關設備，用于實現虛擬接入路由器場景下對撥號企業用戶的認證和鑒權。

本發明實施例第一方面提供了一種身份認證方法，應用于包括有虛擬接入路由器的網絡系統，所述網絡系統中還包括客戶端設備和PPPOE服務器，包括：

虛擬接入路由器接收客戶端設備發送的攜帶有用戶第一身份信息的第一PADI廣播報文，所述用戶第一身份信息為所述客戶端設備的用戶在網絡系統中的標識，所述第一PADI廣播報文用于請求PPPOE服務器服務；

當所述虛擬接入路由器確定所述用戶第一身份信息與所述虛擬接入路由器的身份相匹配時，所述虛擬接入路由器發送第二PADI廣播報文到PPPOE服務器，所述第二PADI廣播報文用于請求PPPOE服務器服務；

當所述虛擬接入路由器接收到所述PPPOE服務器返回的第一PADO應答消息后，所述虛擬接入路由器發送攜帶有路由身份信息的第二PADO應答消息給所述客戶端設備，所述路由身份信息為所述虛擬接入路由器在所述網絡系統中的標識；

當所述虛擬接入路由器建立與所述PPPOE服務器之間的第一會話，以及與所述客戶端設備之間的第二會話之后，所述虛擬接入路由器通過所述第一會話和所述第二會話，轉發所述客戶端設備發送的用戶第二身份信息到所述PPPOE服務器進行身份認證，所述用戶第二身份信息中包括所述用戶第一身份信息；