宽带接入认证技术浅析

ＩＥ 入用户认证控制 的实现 ，是基于对用户 在 ＢＳ Ａ 设备上接人 端 口的开和关来 进行控 制
的。
２３２用户接人的端 口控制原理 ．． 首先 ， 客户端在 Ｂ Ｓ设备上要有一个 与其 Ａ 唯一对应的接入端 口。接人端口可以是物理上 的， 也可是间接 的虚拟端 口。
２１ Ｐ ｏ 证 方 式 ． Ｐ Ｅ认 Ｐ
此时 ， Ａ 设备 给 Ａ Ａ服务器发送一个计 ＢＳ Ａ 费请求消息 ， 要求 Ａ Ａ服务器 开始 计费。Ａ Ａ 从 服务器 回送一个计费响应消息 ， 知 Ｂ Ｓ 告 Ａ 设备 已接受其请 求。 当用户下 网时 ， 客户端 的 Ｐ Ｐ Ｅ软件发送 Ｐｏ 给 Ｂ ＡＳ一个 Ｐ Ｄ Ａ Ｔ包 ，Ａ Ｂ Ｓ设备 给 从 Ａ服务 器发送一个计费请求消息 ， 要求 Ａ ＡＡ服务器停 止计费 ， 并将用户上网的原始计费数据发送给 Ａ Ａ服务器。 从 服务器回送一个计费响应消 Ａ Ａ 息， 告知 Ｂ Ｓ Ａ 设备已接受其请求 ， 用户断线。 ２２Ｗｅ 认证方式 ． ｂ 基于 Ｗｅ ｂ的认证是一 种应用层 的认证 方 法， 与接人的介质和网络环境没有直接的关系 ，
信Ｉ Ｉ Ｉ 息 科 学
科 信 技
— —
黑 龙 江— —
总
宽带接入认证 技术浅析
宫 蕾 孙 琼琼
（ 平顶山教 育学院 ， 南 平顶山 ４ ７０ ） 河 ６０ ０
摘 要： 本文详细介绍 了什 么是宽带接 入认证 ， 了几种 常见的宽带接入认证技 术， 们对宽带接入认证有更好 的了解。 介绍 使人
录” 钮； 按
现 了业务数据流和认证流的完全隔离。 ３总结 综上所述 ，在实际应尼 中根据不同 的组网 情况 ， 结合各种认 证技术 的特点 ， 选择最佳的认 证方法： ３１ ．针对 ＡＤ Ｌ个人用户 、若 局端 Ｄ Ｌ Ｍ Ｓ ＳＡ 支持 Ｖ Ａ ， Ｌ Ｎ 则采用 Ｖ Ａ ＋ ｄ Ｌ Ｎ Ｗｅ 认证 ； 局 端 若 Ｄ Ｌ Ｍ不支持 Ｖ Ａ Ｎ， ＳＡ Ｌ 则采用 Ｐ ＰＥ认证 。 Ｐｏ ３２ ＿针对 Ｌ Ｎ个人用户 。若 以太 网两 ， Ａ 二 层 交换机支持 Ｖ ＡＮ，则采 用 Ｖ ＡＮ Ｌ Ｌ ＋Ｗｅ ｄ认 证 方 式 ；若 以太 网 两 ， 二层 交换 机不 支持 ＶＬ Ｎ。 Ａ 则采用 Ｐ Ｐ Ｅ认 证。 Ｐｏ ３３ ＿针对运 营管理要求不 高的简单 以太网 络可采用 ８ ２ Ｘ认证 。 ０ ．Ｉ 参 考 文献 『１ １刘清 ， 乐燕群，Ａ 维 系运 营商与用户 联 系 Ａ Ａ一 的命ｇ ［１ ｒ ． － 计算机世界报， ０ ． Ｎ ２ ３ ０
２１１Ｐ Ｐ Ｅ技术介绍 ．． Ｐ ０ Ｐ Ｐ Ｅ是一 个在 以太网 上传送 Ｐ Ｐ分组 Ｐｏ Ｐ 的协议 ，Ｐ ＰＥ协议是 Ｂ Ａ 支持的一个重要 Ｐｏ ＲＳ 的用户 接人协议 。如 果用户 通过 以太 网或 者 ＡＳ Ｄ Ｌ等接入方式连 接到 Ｂ Ａ Ｒ Ｓ那么用 户就必 须使用 Ｐ ＰＥ协议 ， Ｐｏ 而此时的 Ｂ Ａ Ｒ Ｓ将汇 聚所 有的 Ｐ Ｐ Ｅ分组 ， Ｐｏ 并对这些接人用 户提供相应 的服务。 ２１ Ｐ ｏ ￣ 证方式介绍 ．． Ｐ ＰＥ ２ Ｐ Ｐ Ｅ认证技术，用户端采用相应的拨 号 Ｐｏ 软件发起 Ｐ Ｐ Ｅ连接请求 ， Ｐ Ｐ Ｅ连接请 求 Ｐｏ 该 Ｐｏ 由以太 网帧 承载 ， 穿越以太 网二层设备 ， 最终在 ＢＳ Ａ 设备处终结 ，由 Ｂ Ｓ Ａ 设备与 Ａ Ａ服务器 Ａ 配合 ， 实现基于用户的访 问权限 、 计费和服务类 型的控制。 Ｐ Ｐ Ｅ认 证 的过 程 简述 如 下 ： Ｐｏ 首 先 ，由接 入用 户发起 Ｐ ＰＥ的建 立 ， Ｐｏ Ｐ Ｐ Ｅ建立 发现 阶段 。 Ｐｏ 发现阶段完成后 ，ＡＳ Ｂ 设 备给该 Ｐ Ｐ Ｅ连接分配 一个唯 一会话 标识 号 Ｐｏ
２２ ．． ４该按 钮 启 动 Ｐ ｒ ｌＳｒｅ 上 的 Ｊｖ ｏｔ ｅｖｒ ａ ａａ 程序 ， 该程序将用户信息（ 地址 ， 号和 口令） Ｉ Ｐ 账 送给 网络中心设备 Ｂ Ａ ； Ｒ Ｓ ２２５ Ｂ Ａ ．． Ｒ Ｓ利用 Ｉ Ｐ地址 得到用 户的二层 地址 、 理端 口号（ Ⅵａ Ｄ， Ｓ Ｖ Ｄ 物 如 Ｉ Ｉ ＡＤ Ｌ Ｐ Ｃ Ｉ， ｌ Ｐ Ｐ Ｓｓ ｏ Ｄ ， Ｐ ｓｎＩ） ｅ ｉ 利用这些信息 ， 对用户 的合法 性进行检查 ， 如果用户输人了账 号， 则认为是卡 号用户 ，使用用户输入的账 号和口令 到 Ｒ ｄｕ ａｉｓ Ｓｒｅ 对 用户进行认证 ； ｅ ｒ ｖ 如果用户 未输入账号 ， 则认 为用户是 固定 用户 ， 网络设备利 用 ＶａＩ ｌ Ｄ ｎ （ Ｐ Ｃ Ｉ） 或 Ｖ Ｄ查用户表得到用户 的账号 和 口令 ， Ａ。 将账号送到 Ｒ ｄｕ ｅｖｒ ａｉｓＳｒｅ 进行认证 ； 然 后 ， 入 Ｐ ＰＥ 的 Ｐ Ｐ会 话 阶 段 ， 户 进 Ｐｏ Ｐ 用 ２２ Ｒ ｄｕ Ｓｒｅ ．． ａｉｓ ｅ ｒ返 回 认 证 结 果 给 ６ ｖ 与 Ｂ Ｓ设备建立 Ｐ Ｐ连接 。 Ｐ Ｐ连接的认证 ＢＲ Ａ Ｐ 在 Ｐ ＡＳ； 阶段 ， Ａ Ｂ Ｓ设备 通过 Ｐ ＡＰ认 证或 Ｃ Ｐ认 证 ， ＨＡ ２７ 认 证 通过 后 ， Ｒ Ｓ修 改 该 用 户 的 －． ７ ＢＡ 获取用户的身份特征信息 、 用户名 、 口令 ； 然后 ， Ａ Ｌ Ｃ ，用户可 以访 问 Ｄｔｒｅ 或特 定 的网络服 ｌ ｎ！ ｅ Ｂ Ｓ设备将此信息通过 Ｒ ＩＳ协议 的认证请 务 ： Ａ ＡＤＵ 求消息 ， 传给 Ａ Ａ服务器。Ａ Ａ服务器将此信 Ａ Ａ ２２８ 户离 开 网 络前 ， 接 到 Ｐ ｌ ｌＳ ｒ— ．．用 连 ｏｌ ｅｖ ａ 息与 自身数据库中的用 户注册信息比埘 ，若 一 ｅ 上 ， ｒ 单击“ 断开网络” 按钮 ， 系统停止计 费 ， 删 致 则通过 Ｒ Ｄ Ｕ Ａ １ Ｓ协 议返 回 Ｂ Ｓ设备 一个认 除用户的 ＡＸ Ａ （ 和转发信息 ， 限制用户不能访问
客户端在 Ｂ Ｓ Ａ 设备 上唯 一的接人端 口， 叉 被ＢＳ Ａ 设备从逻辑上分为两个逻辑端 口： 受控 端 口和未受控端 口。 中， 其 受控端 口为用 户接入 务器查询用户数据库 ，依据数据库 中的信息对 接收到的用户身份特征信息进行认证 ；若认证 用 户 通 过 Ｄ Ｃ Ｈ Ｐ获 得 Ｉ 址 后 ，通 过 ＷＥ Ｐ地 Ｂ页 互联 网要使用的端 口，它在用户接入认证成功 通过 ， 则打开相应 的通往 Ｉｔ ｔ 口使用户可 面输入用户名和密码 。 ｎｅ 端 ｍｅ 前是断开的， 认证通过后闭合 。 未受 控端 口为双 Ｗｅ 认 证 的主 要 过 程描 述 如 下 ： ｂ 以接入宽带 网络。 若认证未通过 ， 则返回用户认 向连通端 口，但用户的应用数据流被禁止在此 证失败信息 ， 禁止用户接入宽带 Ｉ Ｐ网络。 ２２１ ． 用户机器启动 ，通过 Ｄ Ｃ ． Ｈ Ｐ由 Ｂ ＡＳ 端 口上传递 。 Ａ 设备只需控制受控端 口的开 、 Ｒ ＢＳ ２几种认证方式 做 Ｄ Ｐ Ｒ ｌｙ向 Ｄ Ｐ Ｓｒｅ 要 Ｉ ＨＣ — ｅａ， ＨＣ ｅｖｒ Ｐ地址 （ 私 关状态 ， 但并不干涉未受 控端 口的状态 ， 这样实
［］ Ｆ － ５ ６Ａ Ｍｅ ｏ ｆｒ ｒｎｍｔｎ ．Ｐ ２Ｒ Ｃ ２ １ ． ｔ ｄ ｏ Ｔａ ｓ ｉｉｇ Ｐ ｈ ｔ Ｐ
ＯｖｒＥ ｅ ｔ【１ ｅ ｔ ｍｅ Ｓ． ｈ 『１ ３毛拥华． 认证技 术分析及其应 用建议． 北京研
究 院．
责 任 编 辑 ： 兴 红 王
一
８ — ３
关键词： 宽带接 入认证 ； Ｐ Ｏ Ｐ Ｐ Ｅ认证 ；Ｅ Ｅ Ｏ ．Ｘ－ ； Ｂ认证 ＩＥ ８ ２Ｉ ／ Ｘ￣－ＷＥ 宽 带用户接 人认证 主要是指 接人控 制设 备依据用户 的身份特征（ 如用户名 、 密码） 进行用 户接人认证 ， 过接入控制设备（ 通 宽带接 入服务 器 ，Ａ ） Ａ Ａｌ Ｂ Ｓ与 Ａ Ｉ 】 服务器配合 ， 以实 现对每一 可 个不 同的用 户进行认证 ， 对用 户的认证管理 （ 也 就是通 常所说 的 Ａ Ａ包含 ３个方面 ，即认 证 Ａ （ ｔｅｔａｉｎ： Ａｕ ｎｉ ｔ ）是指验证用户对 网络的访 问权 ｈ ｃ ｏ 限： 授权 （ｕ ｏ ｚｔｎ：是授权 用户 可 以使 用 Ａ ｔ ｒａ ｏ） ｈ ｉｉ 的服 务 ； 费（ｃｏｎ ｎ） 计 Ａ ｃｕ ｔ ｇ：是记录用 户使用 网 ｉ 络资源的情况 ，包括 收发字节数、收发 数据包 数、 上网时长等。 在介绍认证技术前 ， 必须 了解一下认证 过
程：
网中。
协 议 （ｏ ａｅ ｅ ｏｋ Ａ ｃｓ ｏ ｔｌＰｏｏ Ｐｒ Ｂ ｓｄ Ｎ ｔ ｒ ｃｅｓＣ ｎｒ ｒｔ－ ｔ ｗ ｏ ｃ１ｏ ｏ） ２３１ＩＥ ０ ． － Ｅ Ｅ ８ ２Ｉ ． Ｘ认证基本概念
１ 宽带用户接人认证通用过程 首先 用户连接 到 Ｂ Ｓ（ 带接人 服务器） Ａ 宽 上 ， Ｂ Ｓ设 备获取用户的身份特征（ 由 Ａ 用户名 、 口令等） ；然后 ， Ａ 设备将用户的身份特征通 ＢＳ 过某 一特定 的 Ａ Ａ协议（Ａ Ｉ Ｓ Ａ Ｒ Ｄ Ｕ 协议） 由 Ｉ ， Ｐ 网络 传递到 集 中放 置的 Ａ 服 务器 ； Ａ 从 Ａ Ａ服
网或公 网） ； ２２２ ＲＡ ． Ｂ Ｓ为该 用户构 造对 应表 项信 息 ． （ 基于端 口号 、 ， Ｉ 添加用户 Ａ Ｌ Ｐ） Ｃ 服务 策略（ 让 用 户 只能 访 问 Ｐｒ ｌＳ ｒ ｒ 一些 内部 服务 ｏａ ｅ ｅ和 ｔ ｖ 器， 个别外部服务器如 Ｄ Ｓ； Ｎ） ２２３ Ｐ ｒ ｌＳｒｅ 向用户提 供认证 页面 ， ． ｏｔ ｖ ｒ ． Ａｅ 在该 更面中 ， 用户输人账号和 口令 ， 单击 “ 并 登 录” 按钮 ， 也可不输入账号和 口令 ， 直接单击 “ 登
Ｉ ｔｒ ｅ ； ｎ ｅ ｎ ｔ 证接受消息 （ 授权信息） 。 ＢＳ Ａ 设备据此消息内容 ，通过与客户之间 ２ ． 在以上过程 中， 注意检测用户非正 ．９ ２ 要 Ｐ Ｐ的 Ｎ Ｐ协商 ， Ｐ Ｃ 给客户计算机 发送 Ｉ Ｐ地址 、 常离开网络 的情况 ， 如用户主机死机 ，网络断 网关 、 Ｓ等配置信息。同时 ，ＡＳ设备开放客 掉 ， ＤＮ Ｂ 直接关机等 。 户到互联网 的出 口。客户计算机依 据此信 息进 ２３Ｉ Ｅ ０ ．Ｘ认 证 方式 ． Ｅ Ｅ ８ ２１ 行正确配置后 ， 就可通过 Ｂ Ｓ Ａ 设备接人 到互联 ＩＥ ０ ．Ｘ协议是基 于端 口的访问控制 Ｅ Ｅ ８２１