[发明专利]一种静态用户的接入方法及其装置

说明书

技术领域

本发明涉及通信领域，特别是网络中一种静态用户的接入方法及其装 置。

背景技术

静态用户的出现有效地解决通信网络中对静态配置地址设备的管理问 题，实现了对静态配置地址设备的策略控制和服务质量QoS管理，能够实 现对重要客户或客户重要设备的业务保障。目前该技术主要应用于服务器 管理、客户网络出口设备管理等网络设备管理领域。

网络中静态用户的管理设备主要是宽带接入服务器BRAS、业务路由器 SR等用户和业务控制设备，统称管理设备SN(Service Node)。静态用户 设备通过报文触发的方式实现在SN上的接入，SN分配或向DHCP服务器申 请该静态用户的静态地址，同时对静态用户进行策略控制和/或QoS管理。

目前的静态用户认证方式是绑定SN接口的用户VLAN信息和/或绑定用 户的MAC地址认证，但这种方式在实际网络中会存在配置灵活性度低和接 入安全性差的问题。例如，当静态用户的是由SN节点统一管理时，SN设 备如果依据收到的用户触发报文的VLAN和/或MAC地址来判断该用户是否 合法用户是不安全的，因为从其它AN(Access Node)设备接入的用户也 可以仿冒该用户的VLAN、MAC、IP向SN发送同样的触发报文。

以目前大客户为例说明现有静态用户认证方式存在安全风险性：大客 户的出口路由器网络侧出口配置静态地址，通过以AN设备(包括太网交换 机、DSLAM、OLT/ONU等)连接到SN设备，SN设备在静态用户触发报文到 达之后，首先检查IP，若IP与已配置的静态用户地址一致，则检查用户 触发报文的VLAN信息和/或MAC地址信息，认证方式为对比本地配置或将 该信息发送到AAA服务器对比服务器上的配置。认证通过之后，SN设备向 DHCP服务器申请该地址成功后，将该用户接入网络，也可不向DHCP服务 器申请直接触发用户接入网络，用户接入网络也称用户上线。这种应用的 风险在于，BRAS只检查用户侧端口收到报文的状态，而VLAN信息和MAC 地址信息都可以被仿冒，同一个或不同BRAS端口下的攻击者可以发送仿冒 报文触发上线，从而影响合法用户的网络使用和业务安全。

对于中小企业、网吧等静态用户而言，其接入方式也存在安全风险性： 从静态用户角度看，其出口设备(路由器或三层交换机)的上行出口需要 静态配置IP地址，以确保相关业务的稳定性，其出口设备的下行可以是一 个私网网段(出口处做NAT)或一个运营商分配的网段(静态用户上线的 同时下发指向改网段的路由)。从运营商角度看，此类客户与普通家庭用户 处在统一的二层接入网络中，不可能在SN节点上为每个用户提供专门的三 层接口，而是与普通用户一样通过二层接口接入，并提供用户策略控制和 QoS保障。由于接入网络是一个二层网络，SN上无法独立精确定位用户的 位置信息并提供相应的路由保障，所以存在地址盗用的风险。

静态用户在接入网络时存在安全性风险是因为SN设备无法确认静态 用户在AN设备上的接入位置。

发明内容

本发明提供了一种静态用户的接入方法，可提高静态用户接入网络时 的安全性。

为了解决上述技术问题，本发明采用了如下技术方案：

一种静态用户的接入方法，包含以下步骤：

A、管理设备SN收到接入设备AN透传的用户发送的数据包后，根据静 态用户表判断用户状态，若所述用户为静态用户且未认证，则向所述AN 发起静态用户位置信息请求；

B、所述AN收到所述静态用户位置信息请求后，将对应的静态用户位 置信息返回至所述SN；

C、所述SN收到所述静态用户位置信息后，发起静态用户认证请求， 所述静态用户认证请求通过后，所述SN将所述静态用户接入网络。

在所述静态用户的接入方法的一种实施例中，在所述步骤A之前还包 括以下处理步骤：根据静态用户信息在所述SN上建立所述静态用户表，所 述静态用户表包含所述静态用户信息、静态用户状态，其中，所述静态用 户的初始状态为未认证。

在所述静态用户的接入方法的一种实施例中，在所述步骤C之前还包 括以下处理步骤：在用户认证服务器上配置所述静态用户的位置信息与IP 地址；在所述步骤C中，静态用户认证在所述用户认证服务器上完成。