[发明专利]一种安全认证模块的失效保护方法及其装置

说明书

技术领域

本发明涉及通信技术领域，特别是涉及一种安全认证模块的失效保护方法及其装置。

背景技术

随着社会的信息化步伐不断提速，网络应用的不断普及与深入，网络安全成为了企业用户特别关心的问题。

为此，目前的终端准入控制系统(End User Admission Domination，EAD)为企业、事业单位提供了一个完整的网络安全解决方案。该方案由安全策略服务器、AAA服务器、接入设备和接入终端组成。如图1所示，接入终端接入网络时首先进行身份认证，然后进行安全认证，并由接入设备控制其只能访问一个受限的网络区域(称作“隔离区”)，当安全策略服务器检测到该接入终端符合安全要求才解除其隔离限制，允许终端访问其他网络资源。

目前的EAD实现方案中，完成身份认证的RADIUS(Remote AuthenticationDial In User Service，远程用户拨号认证系统)服务器(RADIUS Server)和完成安全认证的安全认证模块(包括EAD Server和EAD Proxy，其中，EAD Server为安全策略服务器，EAD Proxy为安全策略代理)，既可以集中部署到一台计算机上，如图2所示，也可以分布式部署到不同的计算机上，如图3所示，但是不管采取哪种部署方式，一个RADIUS Server都只能和一套安全认证模块配合。

根据EAD的原理，一个终端用户要最终能够访问网络，需要做两次认证：先完成身份认证，后完成安全认证。其中身份认证由RADIUS Server负责，主要完成认证、授权、计费等工作；安全认证由安全认证模块(EAD Proxy和EAD Server)负责，主要完成用户安全状态检查和安全策略控制。

在目前RADIUS Server和安全认证模块一对一的方案中，因为负责身份认证的RADIUS Server的处理性能远高于负责安全认证的安全认证模块(EADServer和EAD Proxy)的处理性能，所以，安全认证成为了影响整个系统上线速度的瓶颈。

为提高整个EAD系统的处理性能，当前有一种改进的分布式方案：如图4所示，让一个RADIUS Server可以与多套安全认证模块配合，即通过在一个EAD系统中分布式部署多套安全认证模块的方式，让原来由一套安全认证模块处理的任务，由多套安全认证模块负载分担，即一对多的方案。

发明人在实现本发明的过程中，发现现有技术至少存在以下缺陷：

在这种改进的分布式部署方案中，客户端选择哪套安全认证模块进行安全认证，是在进行身份认证时由RADIUS Server根据原始配置的各安全认证模块的信息，按照既定策略选择的。系统投入运行后，如图5所示，如果某个安全认证模块失效，RADIUS Server并不能感知到，也没有相应的处理机制，这样，后续的客户端认证时，RADIUS Server仍然会将已经失效的该安全认证模块的信息下发给客户端，从而导致仍然有一定数量的客户端到这个失效的安全认证模块上进行安全认证而认证失败，不能成功接入网络。

发明内容

本发明提供了一种安全认证模块的失效保护方法及其装置，用于解决现有EAD系统中安全认证模块失效时所导致的客户端无法进行安全认证的问题。

本发明提供的安全认证模块的失效保护方法，应用于包含有客户端、身份认证服务器和安全认证模块的分布式终端准入控制系统，包括：

身份认证服务器检测各安全认证模块的有效性，并根据检测结果维护检测为有效的安全认证模块的列表；

当身份认证服务器为客户端选择安全认证模块时，从所述检测为有效的安全认证模块的列表中选择安全认证模块。

上述方法中，身份认证服务器根据所述列表中各安全认证模块的处理性能选择安全认证模块。

上述方法中，根据检测结果维护检测为有效的安全认证模块的列表，包括：身份认证服务器在检测安全认证模块无效时，将该安全认证模块的标识从用于存储有效的安全认证模块的标识列表中删除。

上述方法中，当被检测为失效的安全认证模块重新恢复为有效时，将该安全认证模块重新加入到所述列表中。

上述方法中，所述列表为安全认证模块标识列表；该方法还包括：安全认证模块在启动时将其模块标识注册到所述安全模块标识列表。

上述方法中，所述身份认证服务器通过心跳机制检测安全认证模块的有效性。

本发明提供的身份认证服务器，应用于包含有客户端、身份认证服务器和安全认证模块的分布式终端准入控制系统，包括：