[发明专利]一种安全认证的方法、系统和装置

权利要求书

1.一种安全认证的方法，其特征在于，该方法包括：

A、接入控制器AC激活对移动终端STA的空口认证后，将空口认证请求 封装在远程用户拨号认证系统Radius协议报文中发送给宽带接入服务器 BRAS；

B、BRAS从封装了空口认证请求的Radius协议报文中获取所述STA的 MAC地址和用户标识信息，记录所述STA的MAC地址和用户标识信息的对 应关系，将所述封装了空口认证请求的Radius协议报文发送给空口认证服务器， 并将空口认证服务器返回的封装了认证结果的Radius协议报文发送给所述AC；

C、所述AC确定所述认证结果为认证成功时，授权所述STA接入无线网 络；所述BRAS如果确定所述认证结果为认证成功，则在接收到所述STA发送 的动态主机分配协议DHCP请求后，将为所述STA分配的IP地址发送给所述 STA，并将所述STA的IP地址加入允许接入城域网的访问控制列表ACL。

2.根据权利要求1所述的方法，其特征在于，如果所述认证结果为认证成 功，则所述封装了认证结果的Radius协议报文中还封装了所述空口认证服务器 与所述STA协商的加密密钥；

所述步骤C还包括：所述AC将所述加密密钥发送给无线接入点AP，所述 AP与所述STA之间利用所述加密密钥进行报文传输。

3.根据权利要求1所述的方法，其特征在于，预先在所述AC上配置所述 STA对应的认证域Radius服务器地址为所述BRAS的地址，所述AC按照该认 证域Radius服务器地址执行所述将空口认证请求封装在Radius协议报文中发送 给BRAS；

在所述步骤B之前还包括：所述BRAS接收到所述封装了空口认证请求的 Radius协议报文后，确定所述STA对应的认证域为预先配置的漫游域后，继续 执行所述步骤B。

4.根据权利要求1所述的方法，其特征在于，在所述步骤C之后还包括：

D、所述STA获取被分配的IP地址后，发起对城域网的访问；如果所述 BRAS确定所述STA的IP地址在允许接入城域网的ACL中，则允许所述STA 访问城域网，并向Radius服务器发送携带STA对应用户信息的计费开始报文； 如果所述BRAS确定所述STA的IP地址不在允许接入城域网的ACL中，则拒 绝所述STA访问城域网。

5.根据权利要求4所述的方法，其特征在于，在所述步骤D之后还包括：

E、如果所述AC检测到所述STA断开无线连接，则向所述BRAS发送Radius 下线报文；所述BRAS接收到所述Radius下线报文后，根据所述Radius下线 报文携带的所述STA的MAC地址信息确定所述STA的用户信息，并向所述 Radius服务器发送携带所述STA的用户信息的计费停止报文。

6.根据权利要求4所述的方法，其特征在于，在所述步骤D之后还包括：

F、如果所述BRAS检测到所述STA访问城域网的流量在设定时间内低于 强制下线门限，则通知所述AC断开与所述STA的连接，并向所述Radius服务 器发送携带所述STA的用户信息的计费停止报文。

7.根据权利要求5或6所述的方法，其特征在于，在发送所述计费停止报 文时，所述BRAS将所述STA的IP地址从允许接入城域网的ACL表中删除。

8.根据权利要求1所述的方法，其特征在于，所述空口认证为无线局域网 鉴别和保密基础结构WAPI认证，所述空口认证请求为WAPI认证请求，所述 空口认证服务器为WAPI应用服务器；或者，

所述空口认证为802.11i认证，所述空口认证请求为802.1x认证请求，所 述空口认证服务器为Radius服务器。