CN102170421A - 一种混合认证的实现方法和系统 - Google Patents

Abstract

本发明提供了一种混合认证实现方法，包括，获取光网络单元的逻辑标识和物理标识，根据所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。本发明还提供一种混合认证实现系统。本发明提高了ONU认证过程的可靠性和安全性。

Description

一种混合认证的实现方法和系统

技术领域

本发明涉及网络通信领域光网络系统，尤其涉及基于以太网的无源光网络(EPON)系统的混合认证的实现方法和系统。

背景技术

为了保证EPON系统的可靠性和安全性，在ONU(光网络单元)正常工作之前，在ONU初始化的过程中对ONU进行认证是非常有必要的。只有认证通过的ONU才能完成初始化过程，进而进入正常工作状态。对ONU进行认证，可以针对EPON网络进行有效的控制，避免非法的ONU访问网络。

目前EPON系统的认证方法中，有单独基于ONU的物理标识，即MAC(媒体接入控制)地址进行认证的方法。MAC地址由ONU制造商决定，在出厂时已经决定。该方法主要是基于IEEE 802.3ah和IEEE 802.3av中定义的MPCP Discovery(多点控制协议发现)过程上报的MAC地址进行。如果上报的ONU的MAC地址在认证列表标识为合法，那么认证通过，否则认证失败。

另外一种认证方法是单独基于逻辑标识进行认证。逻辑标识是通过一系列字符串来标识ONU的一种方法。可以由运营商来进行管理和分配。该认证过程发生在MPCP Discovery和OAM discovery(操作管理维护发现)过程之后。如果OLT(光线路终端)从ONU中获取的逻辑标识在认证列表中标识为合法，那么认证通过，否则认证失败。

单独通过物理标识的方式进行ONU认证，或者仅通过逻辑标识的方式进行ONU认证，在ONU初始化过程中，都不能非常好的保证系统的安全性。如果ONU的本身的MAC地址和别的ONU出现冲突，但是选择逻辑标识进行认证，这种情况下，发生冲突的ONU仍然可以认证通过，被认为是合法的ONU进行工作；如果两个ONU的逻辑标识出现重复，而一个ONU采用逻辑标识进行认证，另外一个ONU通过物理标识进行认证，那么按照现有的流程，这两个ONU都会成功完成认证过程，并最终完成初始化过程，进行正常工作。

由此，通过单独的物理标识对ONU进行认证，或者通过单独的逻辑标识对ONU进行认证，都无法从根本上保证ONU的合法认证，从而无法有效的保证对EPON网络正常访问。

发明内容

本发明要解决的技术问题是提供一种针对ONU初始化过程中的混合认证方法和系统，保证ONU的合法认证，保证对EPON网络的正常访问。

为了解决上述问题，本发明提供了一种混合认证实现方法，包括，获取光网络单元的逻辑标识和物理标识，根据所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。

进一步的，上述方法还可具有以下特点，所述根据所述逻辑标识和物理标识认证包括：将所述逻辑标识和物理标识作为一个整体，与一认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，否则，所述逻辑标识和物理标识不合法。

进一步的，上述方法还可具有以下特点，由光线路终端获取所述光网络单元的逻辑标识和物理标识并根据所述逻辑标识和物理标识进行认证。

进一步的，上述方法还可具有以下特点，由光线路终端获取所述光网络单元的逻辑标识和物理标识，将所述逻辑标识和物理标识发送给网管服务器，由所述网管服务器根据所述逻辑标识和物理标识进行认证。

本发明还提供一种混合认证实现系统，包括参数采集模块和认证模块，其中：

所述参数采集模块，用于获取光网络单元的逻辑标识和物理标识；

所述认证模块，用于对所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。

进一步的，上述系统还可具有以下特点，所述认证模块，用于将所述逻辑标识和物理标识作为一个整体，与一认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，否则，所述逻辑标识和物理标识不合法。

进一步的，上述系统还可具有以下特点，所述参数采集模块和所述认证模块为光线路终端。

进一步的，上述系统还可具有以下特点，所述参数采集模块为光线路终端，所述认证模块为网管服务器，其中：

所述光线路终端，用于将所述逻辑标识和物理标识发送给网管服务器。

通过本发明，通过绑定ONU的物理标识和逻辑标识为一个整体，对ONU进行认证，可以使整个ONU认证过程更加可靠，安全，也可以从根本上解决单一的通过物理标识进行认证或者通过逻辑标识进行认证可能引起的安全方面的隐患。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是OLT和ONU拓扑结构图；

图2是OLT作为认证方时，针对ONU进行混合认证的流程图；

图3是NMS服务器作为认证方时，针对ONU进行混合认证的流程图。

具体实施方式

本发明的核心思想是：根据ONU的物理标识和逻辑标识同时进行认证。

本发明提供的混合认证方法包括：

步骤101，OLT和ONU之间完成MPCP discovery交互过程，OLT获取ONU的物理标识，本实施例中物理标识为MAC地址；

步骤102，OLT和ONU之间完成OAM discovery交互过程；

步骤103，OLT通过相关管理通道获取ONU的逻辑标识；

步骤104，OLT把获取到的ONU的物理标识和逻辑标识作为一个整体，在相关包含ONU的物理标识和逻辑标识的参数对的认证列表中进行认证；

步骤105，如果OLT获取到的ONU的物理标识和逻辑标识作为一个整体，在认证列表中标识为合法，即所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，所述ONU认证通过，继续进行后续的初始化过程；否则，ONU认证失败，ONU相关的初始化过程停止。

另外，包含ONU相关认证信息的认证列表可以存在于OLT上，也可以存在于系统的网管服务器(Network Management Server，简称NMS)上。当认证列表在NMS上时，OLT把获取到的ONU的物理标识和逻辑标识发送给NMS，由NMS对物理标识和逻辑标识进行认证，即所述逻辑标识和物理标识作为一个整体，与NMS的认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，所述ONU认证通过，否则，所述逻辑标识和物理标识不合法，所述ONU认证失败。

另外，也可以分别对物理标识和逻辑标识进行认证，当物理标识合法，且逻辑标识合法时，所述ONU认证通过，否则，所述ONU认证失败。

如图1所示，OLT通过分光器(splitter)连接ONU，OLT和ONU作为一个实体由NMS服务器进行管理。

实施例一

OLT作为鉴权方，对ONU进行混合认证，如图2所示，包括：

S201：在OLT上配置或者通过NMS服务器下发关于ONU物理标识即MAC地址和逻辑标识(Logical Identification，简写为LOID或者LOID+Password，简写为LOID+PW)，即LOID/(LOID+PW)绑定的合法的认证列表到OLT。该认证列表中的每一项由MAC地址与LOID，或者由MAC地址与LOID+PW组成；

S202：OLT和ONU之间完成IEEE802.3ah或者IEEE802.3av中定义的MPCP DISCOVERY交互过程，OLT从该交互过程获取ONU的物理标识，即ONU的本地MAC地址；

S203：OLT和ONU之间完成IEEE802.3ah或者IEEE802.3av中定义的OAM DISCOVERY交过程；

S204：OLT通过OLT和ONU之间的管理通道发起认证请求，请求获取ONU的逻辑标识(LOID/(LOID+PW))；

S205：ONU通过OLT和ONU之间的管理通道响应OLT的请求报文，返回ONU的逻辑标识(LOID/LOID+PW)；

S206：OLT获取ONU的物理标识和的逻辑标识后，把该ONU的物理标识和逻辑标识(即MAC地址和LOID/LOID+PW)作为一个认证实体，在OLT本地的认证列表中进行认证，如果认证通过，即OLT获取到的ONU的物理标识和逻辑标识与OLT中的认证列表的表项匹配，则认为该ONU的物理标识和逻辑标识均合法，标识该ONU为认证通过(“authenticated”)；

S207：ONU完成后续初始化过程后，经过OLT从服务提供商中获取服务。响应的控制消息和数据流经OLT在ONU和SP之间正常处理。

S208：如果认证失败，即OLT获取到的ONU的物理标识加上逻辑标识作为一个认证实体，和OLT中的认证列表中的表项不匹配，则认为该ONU认证失败，OLT标识该ONU为认证失败(“unauthenticated”)；因为认证失败，从而ONU无法从服务提供商中获得响应服务。

实施例二

NMS服务器作为鉴权方，对ONU进行混合认证，如图3所示，包括：

S301：OLT和ONU之间完成IEEE802.3ah或者IEEE802.3av中定义的MPCP DISCOVERY交互过程，OLT从这个交互过程获取ONU的物理标识，即ONU的本地MAC地址；

S302：OLT和ONU之间完成IEEE802.3ah或者IEEE802.3av中定义的OAM DISCOVERY交过程；

S303：OLT通过OLT和ONU之间的管理通道发起认证请求消息(Auth-Request)，请求获取ONU的逻辑标识(LOID/LOID+PW)；

S304：ONU通过OLT和ONU之间的管理通道响应OLT的请求报文，返回ONU的逻辑标识(LOID/LOID+PW)；

S305：OLT获取ONU的物理标识和逻辑标识后，把该ONU的物理标识和逻辑标识(即MAC地址和LOID/LOID+PW)作为一个认证实体；OLT通过OLT和NMS服务器之间的管理通道发起认证请求，认证请求中包含ONU的物理标识(即MAC地址)以及逻辑标识，NMS服务器的认证列表中进行认证，NMS服务器中的认证列表中的每一项均由ONU的MAC地址和LOID/LOID+PW组成。

S306：NMS服务器通过NMS服务器和OLT之间的管理通道给OLT发送认证响应，认证响应中包含认证结果；

S307：OLT收到来自NMS服务器的认证响应，如果认证结果为success(认证成功)，即OLT获取到的ONU的物理标识和逻辑标识与NMS中的认证列表的表项匹配，则认为该ONU的物理标识和逻辑标识均合法，则标识该ONU为认证通过(“authenticated”)；

S308：ONU完成后续初始化过程后，经过OLT从服务提供商中获取服务。响应的控制消息和数据流经OLT在ONU和SP之间正常处理；

S309：如果OLT收到来自NMS服务器的认证响应为fail(认证失败)，则认为认证失败，即OLT获取到的ONU的物理标识加上逻辑标识作为一个认证实体，和NMS服务器的认证列表中的认证表项不匹配，则认为该ONU认证失败，OLT标识该ONU为(“unauthenticated”)；

因为认证失败，从而ONU无法从服务提供商中获得响应服务。

综上所述，针对EPON系统中的ONU初始化过程中的现存的认证方法中可能存在的安全隐患，通过混合认证方法，即把ONU的物理标识和逻辑标识作为一个认证实体，进行认证，在一定程度上可以解决目前的认证方法中存在的问题，使EPON网络更加安全、可靠。同时又不增加目前系统实现的复杂度。

同时，通过本发明，可以同时控制OLT本身链接的ONU的认证可靠性和跨OLT链接的ONU的认证可靠性。

本发明还提供一种混合认证实现系统，包括参数采集模块和认证模块，其中：

所述参数采集模块，用于获取光网络单元的逻辑标识和物理标识；

所述认证模块，用于对所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。

其中，所述认证模块，用于将所述逻辑标识和物理标识作为一个整体，与一认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，否则，所述逻辑标识和物理标识不合法。

其中，所述参数采集模块和所述认证模块为光线路终端。

其中，所述参数采集模块为光线路终端，所述认证模块为网管服务器：

所述光线路终端，还用于将所述逻辑标识和物理标识发送给网管服务器。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种混合认证实现方法，其特征在于，获取光网络单元的逻辑标识和物理标识，根据所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。

2.如权利要求1所述的方法，其特征在于，所述根据所述逻辑标识和物理标识认证包括：将所述逻辑标识和物理标识作为一个整体，与一认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，否则，所述逻辑标识和物理标识不合法。

3.如权利要求1或2所述的方法，其特征在于，由光线路终端获取所述光网络单元的逻辑标识和物理标识并根据所述逻辑标识和物理标识进行认证。

4.如权利要求1或2所述的方法，其特征在于，由光线路终端获取所述光网络单元的逻辑标识和物理标识，将所述逻辑标识和物理标识发送给网管服务器，由所述网管服务器根据所述逻辑标识和物理标识进行认证。

5.一种混合认证实现系统，其特征在于，包括参数采集模块和认证模块，其中：

所述参数采集模块，用于获取光网络单元的逻辑标识和物理标识；

所述认证模块，用于对所述逻辑标识和物理标识进行认证，当所述逻辑标识和物理标识合法时，所述光网络单元认证通过，否则，所述光网络单元认证失败。

6.如权利要求5所述的系统，其特征在于，所述认证模块，用于将所述逻辑标识和物理标识作为一个整体，与一认证列表进行匹配，当所述逻辑标识和物理标识与所述认证列表中的表项匹配时，所述逻辑标识和物理标识合法，否则，所述逻辑标识和物理标识不合法。

7.如权利要求5或6所述的系统，其特征在于，所述参数采集模块和所述认证模块为光线路终端。

8.如权利要求5或6所述的系统，其特征在于，所述参数采集模块为光线路终端，所述认证模块为网管服务器，其中：

所述光线路终端，用于将所述逻辑标识和物理标识发送给网管服务器。

Images