[发明专利]一种网络接入认证控制系统

说明书

本发明提出了一种网络接入认证控制系统，包括：接入认证控制器、安装在终端上的认证客户端、网络接入模块和接入策略库模块；网络接入模块开始监听终端发送出的连接请求事件，对连接请求事件进行判断，如果符合接入策略库模块的合法规则，则向认证客户端通知该事件；认证客户端用于在收到网络接入模块的通知后，启动接入认证流程，由接入认证控制器对终端进行认证，同时终端也对接入认证控制器进行认证，当两个认证同时通过后，建立相应的网络访问通道，允许终端通过该接入认证控制器接入网络。本发明采用数字证书对终端和接入认证控制器进行身份认证；终端和接入认证控制器采用双向认证机制，保证安全的终端接入安全的网络。

技术领域

本发明涉及互联网技术领域，特别涉及一种网络接入认证控制系统。

背景技术

近年来网络应用飞速发展，在某些应用场景下需要对接入网络的终端进行接入认证控制，只有通过认证的终端可以接入网络。常见的网络接入认证控制方法包括“基 于802.1x协议的接入认证控制方法”和“基于mac地址的接入认证控制方法”。

图1描述了基于802.1x协议的接入认证控制系统，该系统使用802.1x协议对终 端进行认证和接入控制。该系统包括安装在终端的“认证客户端”软件、“802.1x接 入认证控制器”和“认证服务器”。用户在终端打开“认证客户端”软件，输入用户 名和密码，便可以可以开始终端的认证过程了。“认证客户端”软件和“802.1x接入 认证控制器”采用EAPOL(EAPover LAN。802.1x协议规定的报文格式。)报文相互 沟通，而“802.1x接入认证控制器”作为终端的代理和“认证服务器”进行沟通(采 用EAP中继或EAP终结方式)。合法用户信息存储在“认证服务器”中。一旦认证通 过，则“802.1x接入认证控制器”允许该终端接入网络。

“基于802.1x协议的接入认证控制方法”提供两种用户访问控制方法，分别为“基于端口的用户访问控制”和“基于mac地址的用户访问控制”。“基于端口的用户访 问控制”以端口为单位进行接入控制，一旦“802.1x接入认证控制器”的某个端口下 的某个终端通过认证，则该端口下的所有终端均可接入网络；“基于mac地址的用户 访问控制”以终端的mac地址为单位进行接入控制，802.1x接入认证控制器根据报文 的mac地址决定是否允许该报文通过。由于“基于mac地址的用户访问控制”安全性 较高，所以更常用。

图2描述了基于mac地址的接入认证控制系统，该系统使用“基于mac地址的接 入认证控制方法”对终端进行接入认证和接入控制。“基于mac地址的接入认证控制 方法”比“基于802.1x协议的接入认证控制方法”更简单，不需要在终端安装软件。 “接入认证控制器”从“认证服务器”获取合法的终端mac地址，拥有合法mac地址 的终端发出的报文，以及这些报文所属会话的回程报文都被允许通过。

“基于802.1x协议的接入认证控制方法”和“基于mac地址的接入认证控制方法”都存在安全隐患。本发明提出的网络接入认证控制系统针对这些隐患做出了改进。

网络基础设施接入控制方式一般采用“基于802.1x协议的接入认证控制方法”和“基于mac地址的接入认证控制方法”。从安全性的角度，二者存在如下问题。

1、接入认证控制器用终端的mac地址标识终端。如果有其他非法终端和已认证终端具有相同mac地址，则该非法终端也可非法接入网络。

2、只是接入控制器对终端进行认证，终端不对接入控制器进行认证。这样，终端可能被接入不安全的网络，存在安全隐患。

3、一旦终端认证成功，终端上的任何应用均可访问网络，对访问的目的地没有任何限制。

4、一旦终端认证成功，网络和已认证终端直接连通，网络上的设备可以直接访 问已认证终端，使之完全暴露在网络攻击的威胁之下，存在安全隐患。

“基于802.1x协议的接入认证控制方法”特有的问题：