[发明专利]一种增强安全性的可信网络接入认证方法

说明书

技术领域

本发明涉及数据通信领域的认证方法，具体地说，涉及一种承载在认证用高层协议上的扩展认证协议(EAP)的认证方法。

背景技术

如图1所示的以太网组网图，计算机以有线方式与以太网交换机相连，或者以无线方式与无线接入点AP相连，再通过以太网线路连接到核心网中，如企业局域网或城域网等，在网络中通常设有远程用户拨号认证服务(Remote Authentication Dial-In User Service，简称RADIUS)认证服务器来验证计算机用户身份的合法性。在实际的组网中，PC可直接连在以太网交换机上，也可以通过集线器、以太网交换设备等级联到以太网交换机上，还可以通过甚高速数字用户线路(Very High Speed Digital Subscriber Line，简称VDSL)和VDSL交换机相连，其中在VDSL线路中传递的是以太网格式的报文。在无线局域网中，可采用IEEE(Instituteof Electrical and Electronics Engineers，电气和电子工程师学会)802.11、802.11a、802.11b、802.11g等无线以太网协议来连接PC和AP。

802.1x协议称为基于端口的访问控制协议，是一种可信网络接入技术的认证协议，802.1x以其协议安全、实现简单的特点，与其他认证协议一起，为使用不对称数字用户线(Asymmetric Digital Subscriber Line，简称ADSL)、VDSL、局域网(Local Area Network，简称LAN)、无线局域网(Wireless Local Area Network，简称WLAN)等多种宽带接入方式的用户提供了丰富的认证方式。

扩展认证协议(Extensible Authentication Protocol，简称EAP)认证是为点到点协议(Point-to-Point Protocol，简称PPP)设计的一种新的认证构架，可以包括很多种认证方式，比如常用的EAP-MD5(Message Digest 5，消息摘要5，一种加密算法)、EAP-TLS(Transport LayerSecurity，传输层安全)等等。802.1x提供了EAPoL(EAP over LAN，局域网承载EAP协议)的封装，以及支撑EAP认证的构架，而EAP随着802.1x协议的发展，也有了大量的应用。

802.1X认证系统包括三个重要的组成部分：接入请求者、认证者和认证服务器，如图2所示。

接入请求者一般为一个用户终端系统，通常要安装一个接入请求者软件，用户通过启动这个接入请求者软件发起802.1x协议的认证过程。为支持基于端口的接入控制，接入请求者需支持EAPoL协议。

认证者通常为支持802.1x协议的网络设备。接入请求者通过认证者接入局域网的网络接入端口，该网络接入端口可以是认证者的物理端口，也可以是接入请求者的媒质接入控制(Media Access Control，简称MAC)地址。

网络接入端口被划分成两个虚端口：受控端口和非受控端口。非受控端口始终处于双向连通状态，主要用来传递EAPoL认证报文，保证接入请求者始终可以发出或接受认证。受控端口则用于传递业务报文，在未授权状态下被阻塞，在授权状态下连通。为适应不同的应用环境，受控端口的操作受控方向可配置为双向受控和单向受控两种方式。图2中，认证者的受控端口处于未认证、未授权状态，因此接入请求者无法访问认证者提供的服务。

认证服务器通常为RADIUS服务器，用于存储有关接入请求者的用户身份及设备身份信息，比如接入请求者的设备访问控制列表等等。当接入请求者通过认证后，认证服务器把接入请求者的相关信息传递给认证者，由认证者构建动态的访问控制列表，接入请求者的后续流量接受上述参数的监管。

认证者的端口认证实体(Port Authentication Entity，简称PAE)通过非受控端口与接入请求者PAE进行通信，二者之间运行EAPoL协议；认证者PAE与认证服务器之间运行EAP协议。如果认证者PAE和认证服务器集成在同一个系统内，那么两者之间的通信可以不采用EAP协议。