[发明专利]共享上网用户识别方法及装置

说明书

技术领域

本发明涉及互联网技术领域，尤指一种在网络通讯中识别共享上网用户的共享上网用户识别方法及装置。

背景技术

在普通局域网中，只要能接到网络设备上，不需要经过认证和授权即可直接使用该网络，这不利于网络管理员对网络的实时监控，也引起了人们对网络安全的担忧。用于对网络或设备访问合法性进行认证的网络认证成为网络安全管理的有效手段，提高了网络的安全性。

现有的网络认证基本采用基于端口的网络存取控制方式，为局域网(LocalArea Network，LAN)用户提供点对点式的安全接入认证。图1为个人计算机网络接入过程的简单示例图(当然也可以是其他接入终端)。安装有认证客户端软件的个人计算机(Personal Computer，PC)提交相关的认证信息给交换机进行认证，交换机将相关认证信息转交给认证服务器进行确认。如果认证通过，交换机将相关的端口打开，交换机将学习到该PC的互联网协议(InternetProtocol，IP)地址和媒体接入控制(Media Access Control，MAC)地址，并将其该PC与打开的相应接入端口(PORT)进行绑定，形成一个三元组(IP，MAC，PORT)。也就是说只有符合这个三元组条件的PC才能够获准接入LAN，并访问相关的网络资源。

现有的上述网络认证方式，可能会导致出现下列两种情况：

情况一：非法终端伪装成认证用户终端访问网络。

用户终端认证成功后，可以作为合法终端访问网络资源时，其他未通过认证的终端(即非法终端)使用与其相同的IP和MAC地址，通过同一交换机接口也可以访问到相关的网络资源。

例如：如图2所示，为非法终端伪装成认证用户访问网络资源的原理示意图。其中，终端PC_a通过认证客户端软件发出认证请求时(如图中步骤1所示)，交换机转发相应信息，并提交认证服务器确认，如果通过认证，交换机就打开相应的PORT，允许满足三元组(IP+MAC+PORT)的报文通过(如图中步骤2所示)。此时，如果有另一接入终端PC_b通过集线器(HUB)与PC_a连在一起，并且仿冒终端PC_a的IP地址和MAC地址，那么PC_b也可以满足三元组(P，MAC，PORT)，因此，终端PC_b不需要经过认证便可以使用PC_a的三元组访问网络资源(如图中步骤3所示)，则网络中存在假冒合法终端PC_a的IP地址和MAC地址的非法终端PC_b。

上述非法终端伪装成合法终端上网，是802.1x认证固有的缺陷，除非是基于端口控制或者更具体的IP和MAC地址控制，否则一旦IP和MAC地址被人仿冒，标准的802.1x认证就无能为力了。

情况二：通过认证用户代理的方式访问网络资源

用户终端认证成功后，可以作为合法终端访问网络资源时，也可以作为其他用户的代理服务器，其他终端则可以通过该合法终端连接网络了。目前主要采用的代理方式有网络地址转换(Network Address Translation，NAT)和网络代理Proxy，非法终端发送的报文都经过作为代理服务器的合法终端转发，该报文经过代理服务器修改成代理服务器自身的信息，从而使得交换机认为该报文是合法终端报文并允许转发。

如图3所示为非法终端通过代理服务器上网的原理示意图。

非法终端需要上网访问网络资源时，先把报文发送给作为代理服务器的认证用户的终端，代理服务器再把报文的源MAC地址、源IP地址修改为本机的MAC和IP地址发送给交换机，由于交换机接收到的报文源MAC、源IP和端口信息是经认证用户修改后的，因此，无法识别出该报文是非法终端发送的报文，该报文允许在网络传输。

由于大量非法用户对网络造成拥塞，损害了合法用户的利益，影响了合法用户访问网络资源的速度和效率，因此有必要识别共享上网用户进行有效的控制。而要检测出上述通过使用与合法终端相同的IP、MAC地址上网或通过合法终端代理上网的共享上网的非法终端，目前比较常用的有下列两种方式：

方式一：通过检测报文的互联网协议标识(IP ID)来识别共享上网用户。

由于假冒认证终端上网的非法终端和认证终端的IP地址和MAC地址虽然是相同的，但不同主机系统中IP报头的ID字段是独立的。

RFC 791中规定的IP报头ID字段的特点包括：