WLAN认证平台七步分析法

用户密码错误 用户没有订购业务
错误原因
用户密码错误 用户没有订购业务 用户状态错误 自动认证已过期(cookie) 动态密码有效期过期、用户卡无效、用 户没有可用时长、帐号不支持动态密码 Portal前后台通讯异常, OBS访问失败
占本环节错 占全部正常上线请求的 误比例 比例
42.46% 24.79% 19.73% 9.16% 2.16% 1.68% 8.27% 4.83% 3.84% 1.79% 0.42% 0.33%

建议研究院牵头，将认证平台的无效UA拦截功能纳入规范。
7
环节2：用户发起登录
每天1.75亿次Portal首页浏览，其中只有0.39亿次用户会填写用户名和密码进行登录请 求，占比仅为22%。
Portal推送页面 用户上线请求
1.75亿次

0.39亿次
针对这些用户，我们使用相同IP地址去重后发现每天有5.3万用户除了浏览登录首页外，还浏览过业务介绍和资 费介绍页面，是我们的潜在客户。 建议市场部门考虑如何引导更多用户打开Portal后使用WLAN业务。
0.55% 25.54%
请求AUTH此链接已建立
错误原因 请求AUTH此链接已建 立 请求AUTH有一个用户 正在认证过程中，请稍 后再试 请求AUTH，上线BAS 错误
统计数量（次/ 占本环节错误的 占正常上线请求 天） 比例 的比例 62834 73.91% 1.80%
本环节
请求AUTH有一个用户正在 认证过程中，请稍后再试 请求AUTH，上线BAS错误
本环节 错误原因分布
88.93%
认证请求被拒绝（唯3 性限制） Radius认证密码错 认证域名错误 认证端口错误

唯3性限制拒绝：
原因是用户同时登录的终端数量超过3个，属于用户原因。
密码错： 密码校验工作在Portal验证环节已经做过，该环节不应该再出现该错误； 经过联合AC抓包分析，发现一级认证平台存在一个软件Bug，导致部分用户密码正确的时候也会被认证平台误判为 密码错误。
由于已经加强了密码长度和强度的要求，并开展了
各省公司的弱密码重置等工作，扫号软件的命中率 极低，采样的日志分析显示成功破解用户帐号的比 率为0%。
0.39亿次
扫号软件攻击
0.36亿次
超过90%的系统负荷被无效攻击耗费，严重影响业务的稳定性，2012年以来由于该因素已经造成系统8次 故障。
攻击者的来源IP自全国各地，属于分布式攻击，IDP防火墙等传统方式难以有效拦截。
20000 10000 0
河 南 河 北 云 南 湖 北 湖 南 山 西 福 建 陕 西 广 西
账号数量
潜在用户账号分省分布情况（尝试登录帐号没有订购业务）
江 苏
安 徽
广 东
内 ︙
辽 宁
黑 ︙
北 京
浙 江
贵 州
海 南
四 川
上 海
吉 林
宁 夏
新 疆
天 津
甘 肃
重 庆
山 东
江 西
青 海
西 藏
10
环节4：用户信息验证
广 东 北 京 湖 北 山 西 湖 南 福 建 安 徽
认证请求应该发送 至端口1645
请各省公司整治AC认证端口错误的问题。
端口错误AC分省分布
但被发送至2645端 口
广 西
江 苏
辽 宁
内 蒙 古
山 东
河 南
宁 夏
陕 西
黑 龙 江
吉 林
江 西
四 川
云 南
天 津
15
附录1：环节5的其他错误分析
0.02% 0.01% 0.05% 0.01% 4.39% 6.31% 请求Challenge此链接已建立 请求Challenge被拒绝 请求Challenge有一个用户正在认 46.46% 证过程中，请稍后再试 portal根据Acname参数无法找到 对应的ACIP 请求Challenge，上线BAS错误 接收AC/BAS响应包超时 AC名称不匹配 用户上线且使用同一用户名和IP重 复登录 错误原因 统计数量（次/天） 占本环节错误的比例 占正常上线请求的比例
强制使用图形验证码是解决扫号攻击的最有效方法。建议数据部门牵头，再次评估是否可以对用户登录 增加图形验证码限制，彻底解决扫号软件对平台的影响。
9
环节4：用户信息验证
每天349万次正常上线请求中，有20%无法通过用户订购关系和密码的Portal侧验证。
1.52% 0.16% 9.16% 2.09%
本环节 错误原因分布
42.73%
46.46%
程中，请稍后再试 portal根据Acname参数无法找到对应
的ACIP 请求Challenge，上线BAS错误
接收AC/BAS响应包超时 AC名称不匹配

请求Challenge链接已建立、请求Challenge被拒绝 说明用户的IP地址不合法，通过在AC侧抓包共同分析，发现主要原因是用户收藏登录页面或自行修改登录页面URL 导致。 建议计划部牵头在Portal上增加功能，提醒用户不要收藏认证页面。 建议研究院牵头研究优化认证流程，在IP地址已经在线时提示用户已经认证通过，在IP地址非法时向用户重新推送 认证页面。
4.3亿
100%
1.75亿
0.4亿
349万 280万 251万 243万 Байду номын сангаас31万
认证通过
41%
9%
0.8%
0.7% 0.6%
0.57%
0.54%
1
推送认证页 面
2
用户发起登 录
3
排除 扫号 攻击
4
用户 信息 验证
5
平台与 AC 建立认 证通道
6
AC发 起鉴 权
7
Radius 鉴权
6
环节1：认证页面推送
统计数量（次/ 天）
136749 125751 18582 12932 161 56 42 39
占本环节错误的比例 46.46% 42.73% 6.31% 4.39% 0.05% 0.02% 0.01% 0.01%
占正常上线请求的比 例
3.91% 3.60% 0.53% 0.37% 0.00% 0.00% 0.00% 0.00%
WL AN 认证平台七步分析法
总部网络部监控处 2013年6月
WLAN用户上线全景图
总部组织专家团队建立认证平台的日志关联分析方法和模型，制定了WLAN日志分析7步法，按WLAN上线 全流程的7个环节进行分析，最终认证成功仅占用户Portal请求0.5%。
0.36亿
扫描攻击，占比91%，是正常访问量的 10倍
潜在客户分省分布情况
8000 6000 4000 2000 0 江 北 湖 河 福 辽 广 内 湖 河 安 山 四 重 上 云 黑 广 陕 天 新 青 贵 海 甘 西 宁 山 江 浙 吉 苏 京 北 南 建 宁 西 ︙ 南 北 徽 西 川 庆 海 南 ︙ 东 西 津 疆 海 州 南 肃 藏 夏 东 西 江 林

其他错误： 对用户感知影响不大，详细分析可见附录。 13
环节7：Radius鉴权
每天通过AUTH鉴权的243万正常上线请求中，有5%Radius认证失败。
1.76%
8.23%
错误原因
认证请求被拒绝（唯3性 限制） Radius认证密码错 无法找到域名 EAP消息超时
统计数量（次/ 占本环节错误的比 占正常上线请求 天） 例 的比例 107444 9946 2122 1302 88.93% 8.23% 1.76% 1.08% 3.07% 0.28% 0.06% 0.04%
每天Portal服务器会收到4.34亿次请求，其中仅1.75亿次为正常浏览器发送的请求，非 用户浏览器请求约占总请求数的60%。
用户Portal请求 用户UA识别拦截 Portal推送页面
4.34亿次
为降低系统负荷，一级认证平台在Portal侧采用了UA识别 拦截技术，将非用户浏览器发起的WEB请求全部拦截。拦 截率60%。
主要拦截的页面请求来自于：PPStream、QQ音乐、暴风影音 等流媒体软件、QQ等即时通讯软件、iTunes、安卓市场等市 场类软件、360安全卫士等杀毒软件。
1.75亿次
40.34% 59.66%
用户Portal请求
Portal最终推送页面数量
Portal拦截无效请求数量

建议网络部牵头，同时将一级认证平台的拦截UA列表进行汇总后发布给各省，要求在二级认证平台使用该方法进行拦截 ，降低系统负荷。
错误原因分布
73.91%
21710
25.54%
0.62%
468
0.55%
0.01%

请求AUTH链接已建立错误： 用户同时发起多次上线流程的时候部分AC的端口处理机制出现混乱，以最后一次收到Portal消息的端口回复 Portal，此时用户侧显示认证成功，但上不了网。 建议网络部牵头对现网设备进行排查； 建议研究院明确AC设备在处理同一用户短时间内多次重复认证请求的要求，并纳入设备规范。
环节5：平台与AC建立认证通道
每天通过Portal验证的280万正常上线请求中，有10%无法正常建立认证通道。
0.02% 0.01% 0.05% 0.01% 4.39% 6.31% 请求Challenge此链接已建立 请求Challenge被拒绝 请求Challenge有一个用户正在认证过 错误原因 请求Challenge此链接已建立 请求Challenge被拒绝 请求Challenge有一个用户正在认证过 程中 其他错误(portal根据Acname参数无 法找到对应的ACIP) 请求Challenge，上线BAS错误 接收AC/BAS响应包超时 AC名称不匹配 用户上线且使用同一用户名和IP重复登 录