[发明专利]一种旁路认证和审计方法

说明书

技术领域

本发明涉及一种旁路认证和审计方法。

背景技术

随着公共网络的普及，网络安全变得越来越重要。网络布署时，对认证及审计的需求也越来越多，包括许多已存在的现网进行重新布署改造。认证及审计功能的实现必须依靠用户访问网的数据流，利用控制或截取用户的上网数据实现认证及审计。在现网改造的过程中，减少改造成本、减少维护人力及性能要求成为客户的首要选择条件。目前有一种方案可实现上述功能：将认证及审计设备嵌入到现网中，即控制终端原数据流，将设备嵌入到用户访问网络的主干网络中，因用户的数据流需要设备转发，所以可以通过截取用户的http请求，达到http认证的目的，数据流可直接拷贝到用户态，进行审计数据的收集，此方案在使用时，因需要改变现网的网络结构，消耗很多不必要的人力，且对设备的转发性能要求很高，成本较大，当设备出现故障时，会造成网络瘫痪，还要考虑是否做主备，给人们带来不利。

发明内容

本发明的目的是克服现有产品中的不足，提供一种旁路认证和审计方法。

为了达到上述目的，本发明是通过以下技术方案实现的：

一种旁路认证和审计方法，包括如下步骤：

步骤(1)、将认证和审计设备接入到三层交换机或路由器上，并且与用户终端网络隔离；

步骤(2)、使用三层交换机或路由器的端口镜像功能，将用户的上网数据镜像到认证和审计设备上；

步骤(3)、认证和审计设备根据用户的网关的MAC地址来判断数据的方向；

步骤(4)、在认证和审计设备分析用户的网络访问请求，进行对用户数据的审计和认证功能。

所述步骤(1)、将认证和审计设备的WAN口接入到三层交换机或路由器上，并且与用户终端网络隔离。

所述步骤(2)、使用三层交换机或路由器的端口镜像功能，将用户的上网数据镜像到认证和审计设备LAN口上。

所述数据的方向包括两种方向，分别是用户发出的数据和发给用户的数据。

所述进行对用户数据的认证功能包括如下步骤：

a、用户访问网站数据，向网站服务器发送SYN报文；

b、将SYN报文通过三层交换机或路由器的镜像功能发送到认证与审计设备上；

c、认证和审计设备通过SYN报文中的目的MAC地址判断报文是否是用户发出的报文，若是用户发出的报文则进行步骤d，若不是则停止；

d、认证和审计设备根据用户的MAC地址判断是否为已认证，若为已认证则SYN报文直接丢弃，停止退出，否则判断用户访问是否为80端口，若用户访问非80端口则认证和审计设备模拟网站服务器向用户发送RST请求，强制用户断开连接，停止退出，否则进行步骤e；

e、认证和审计设备模拟网站服务器向用户发送SYN-ACK报文，认证和审计设备与用户建立虚似连接；

f、用户向网站发送HTTP的GET请求时，认证和审计设备通过模拟网站向用户发送HTTP的302请求，使得用户主动请求到认证与审计设备的认证页面；

g、用户主动填写手机号码并获取验证码后进行认证上网，认证后用户的SYN报文直接丢弃。

本发明的有益效果如下：现网需要认证及审计的功能进行改造时，本方法可以避免用户改变网络的拓扑结构，减少了用户的改造成本。本方法使用时降低用户对设备性能的要求，降低成本。用户在使用过程中如设备发生故障时，只是认证及审计功能失效，对用户正常的网络访问无影响。

具体实施方式

下面对本发明的技术方案作进一步说明：

一种旁路认证和审计方法，其特征在于，包括如下步骤：

步骤(1)、将认证和审计设备的WAN口接入到三层交换机或路由器上，并且与用户终端网络隔离；

步骤(2)、使用三层交换机或路由器的端口镜像功能，将用户的上网数据镜像到认证和审计设备LAN口上；

步骤(3)、认证和审计设备根据用户的网关的MAC地址来判断数据的方向；

步骤(4)、在认证和审计设备分析用户的网络访问请求，进行对用户数据的审计和认证功能。

所述数据的方向包括两种方向，分别是用户发出的数据和发给用户的数据。

所述进行对用户数据的认证功能包括如下步骤：

a、用户访问网站数据，向网站服务器发送SYN报文；

b、将SYN报文通过三层交换机或路由器的镜像功能发送到认证与审计设备上；