CN103595712A - 一种Web认证方法、装置及系统 - Google Patents

Abstract

本发明公开了一种Web认证方法、装置及系统，包括：SDN控制器接收自身管辖的交换机发送的上报报文，该上报报文为该交换机对来自用户终端的指定类型的报文进行封装后的报文，该指定类型与Web认证请求报文的类型相同；当该上报报文中封装有来自该用户终端的Web认证请求报文时，基于该Web认证请求报文中携带的认证信息进行认证，得到认证结果；对携带有该认证结果的Web认证响应报文进行封装，得到下发报文；向该交换机发送该下发报文，用于由该交换机将该下发报文中封装的该Web认证响应报文返回给该用户终端。采用本发明提供的方法，降低了在Web认证过程中对交换机的要求，且提高了对Web认证机制进行改进的效率。

Description

一种Web认证方法、装置及系统

技术领域

本发明涉及网络技术领域，尤其涉及一种Web认证方法、装置及系统。

背景技术

现有的Web认证是基于客户端/服务器（Client/Server）的认证，首先用户在用户终端的浏览器上的登录窗口输入认证信息，并通过用户终端将该认证信息发送给接入的交换机，交换机通过自身的远程用户拨号认证系统（Radius，Remote Authentication Dial In User Service）客户端接收该认证信息，然后将其发送给认证服务器，即Radius服务器，Radius服务器对该认证信息进行认证，认证通过后，Radius服务器会触发Radius客户端给用户分配可以访问外网的地址。当用户下线时，也是通过交换机上的Radius客户端向Radius服务器发送离线请求。

现有的Web认证技术中，是由交换机执行与Web认证相关的认证处理操作，对设备的要求较高，并且网络中存在较多需要具备Web认证功能的交换机，当需要提升交换机的Web认证功能，例如改进Web认证机制时，需要对这多台交换机分别进行功能提升，从而导致网络侧的Web认证系统易用性较差，且当需要改进Web认证机制时改进效率较低。

发明内容

本发明实施例提供一种Web认证方法、装置及系统，用以解决现有技术中存在的在Web认证过程中对交换机要求较高，且对Web认证机制进行改进的效率较低的问题。

本发明实施例提供一种Web认证方法，包括：

软件定义网络SDN控制器接收自身管辖的交换机发送的上报报文，所述上报报文为所述交换机对来自用户终端的指定类型的报文进行封装后的报文，所述指定类型与Web认证请求报文的类型相同；

当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；

对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；

向所述交换机发送所述下发报文，用于由所述交换机将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

本发明实施例提供的方法中，SDN控制器当接收到封装有来自用户终端的Web认证请求报文的上报报文时，基于该上报报文中封装的Web认证请求报文中携带的认证信息进行认证，并得到认证结果，该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，还包括：向自身管辖的用于进行Web认证的交换机发送第一配置文件，用于由交换机根据所述第一配置文件向所述SDN控制器上报来自用户终端的所述指定类型的报文。

这样，使得交换机在接收到第一配置文件后，根据该第一配置文件对该交换机上的所有端口进行配置，即完成第一步启动认证的过程。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，还包括：向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据所述第二配置文件丢弃来自用户终端的非指定类型的报文。

这样，使得交换机在接收到第二配置文件后，根据该第二配置文件对该交换机上的所有端口进行配置，即完成第二步启动认证的过程。

进一步的，还包括：当所述SDN控制器对所述用户终端认证通过时，向所述交换机发送携带所述用户终端的终端信息的第三配置文件，用于指示所述交换机针对来自所述用户终端的业务报文进行处理。

该用户终端的Web认证请求通过认证，交换机根据接收到的第三配置文件，对相应的端口进行配置，允许对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口打开上网功能。

进一步的，还包括：接收所述交换机发送的封装有来自所述用户终端的Web下线报文的报文；

向所述交换机发送携带所述用户终端的终端信息的第四配置文件，用于指示所述交换机停止针对来自所述用户终端的业务报文进行处理。

这样，该交换机接收到第四配置文件后，根据第四配置文件对相应的端口进行配置，停止针对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口停止上网功能。

进一步的，还包括：向所述交换机发送取消Web认证指示消息，用于指示所述交换机取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

这样，SDN控制器对该交换机解除认证，当交换机接收到来自用户终端的指定类型的报文时，不再向SDN控制器发送。

本发明实施例还提供一种Web认证方法，包括：

交换机接收用户终端发送的报文；

当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；

接收所述SDN控制器发送的封装有Web认证响应报文的下发报文，所述Web认证响应报文中携带认证结果，所述认证结果为所述SDN控制器当所述报文为Web认证请求报文时基于所述Web认证请求报文中携带的认证信息进行认证得到的；

将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

本发明实施例提供的方法中，交换机接收该SDN控制器发送的封装有Web认证响应报文的下发报文，该Web认证响应报文中携带认证结果，且该认证结果为该SDN控制器当该报文为Web认证请求报文时基于该Web认证请求报文中携带的认证信息进行认证得到的。该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，还包括：

接收自身归属的SDN控制器发送的第一配置文件；

当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，具体包括：

根据所述第一配置文件确定接收的所述报文是否为指定类型的报文，并当所述报文为所述指定类型的报文时，向所述SDN控制器发送封装有接收的所述报文的上报报文。

这样，交换机根据接收到的第一配置文件对该交换机上的所有端口进行配置，即完成第一步启动认证的过程。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，还包括：

接收自身归属的SDN控制器发送的第二配置文件；

根据所述第二配置文件，当接收的所述报文不为所述指定类型的报文时，丢弃所述报文。

这样，交换机根据接收到的第二配置文件对该交换机上的所有端口进行配置，即完成第二步启动认证的过程。

进一步的，还包括：接收所述SDN控制器当对所述用户终端认证通过时，发送的携带所述用户终端的终端信息的第三配置文件；

根据所述第三配置文件对来自所述用户终端的业务报文进行处理。

该用户终端的Web认证请求通过认证，交换机根据接收到的第三配置文件，对相应的端口进行配置，允许对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口打开上网功能。

进一步的，还包括：接收所述用户终端发送的Web下线报文；

向所述SDN控制器发送封装有所述Web下线报文的报文；

接收所述SDN控制器发送的携带所述用户终端的终端信息的第四配置文件；

根据所述第四配置文件停止针对来自所述用户终端的业务报文进行处理。

这样，该交换机接收到第四配置文件后，根据第四配置文件对相应的端口进行配置，停止针对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口停止上网功能。

进一步的，还包括：接收所述SDN控制器发送的取消Web认证指示消息；

根据所述指示消息取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

这样，SDN控制器对该交换机解除认证，当交换机接收到来自用户终端的指定类型的报文时，不再向SDN控制器发送。

本发明实施例还提供一种Web认证装置，应用于软件定义网络SDN服务器，包括：

接收单元，用于接收自身管辖的交换机发送的上报报文，所述上报报文为所述交换机对来自用户终端的指定类型的报文进行封装后的报文，所述指定类型与Web认证请求报文的类型相同；

认证单元，用于当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；

封装单元，用于对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；

发送单元，用于向所述交换机发送所述下发报文，用于由所述交换机将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

本发明实施例提供的Web认证装置中，SDN控制器当接收到封装有来自用户终端的Web认证请求报文的上报报文时，基于该上报报文中封装的Web认证请求报文中携带的认证信息进行认证，并得到认证结果，该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，所述发送单元，还用于向自身管辖的用于进行Web认证的交换机发送第一配置文件，用于由交换机根据所述第一配置文件向所述SDN控制器上报来自用户终端的所述指定类型的报文。

这样，使得交换机在接收到第一配置文件后，根据该第一配置文件对该交换机上的所有端口进行配置，即完成第一步启动认证的过程。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，所述发送单元，还用于向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据所述第二配置文件丢弃来自用户终端的非指定类型的报文。

这样，使得交换机在接收到第二配置文件后，根据该第二配置文件对该交换机上的所有端口进行配置，即完成第二步启动认证的过程。

进一步的，当所述SDN控制器对所述用户终端认证通过时，所述发送单元，还用于向所述交换机发送携带所述用户终端的终端信息的第三配置文件，用于指示所述交换机针对来自所述用户终端的业务报文进行处理。

该用户终端的Web认证请求通过认证，交换机根据接收到的第三配置文件，对相应的端口进行配置，允许对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口打开上网功能。

进一步的，所述接收单元，还用于接收所述交换机发送的封装有来自所述用户终端的Web下线报文的报文；

所述发送单元，还用于向所述交换机发送携带所述用户终端的终端信息的第四配置文件，用于指示所述交换机停止针对来自所述用户终端的业务报文进行处理。

这样，该交换机接收到第四配置文件后，根据第四配置文件对相应的端口进行配置，停止针对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口停止上网功能。

进一步的，所述发送单元，还用于向所述交换机发送取消Web认证指示消息，用于指示所述交换机取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

这样，SDN控制器对该交换机解除认证，当交换机接收到来自用户终端的指定类型的报文时，不再向SDN控制器发送。

本发明实施例还提供一种Web认证装置，应用于SDN控制器管辖的交换机，包括：

第一接收单元，用于接收用户终端发送的报文；

发送单元，用于当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；

第二接收单元，用于接收所述SDN控制器发送的封装有Web认证响应报文的下发报文，所述Web认证响应报文中携带认证结果，所述认证结果为所述SDN控制器当所述报文为Web认证请求报文时基于所述Web认证请求报文中携带的认证信息进行认证得到的；

返回单元，用于将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

本发明实施例提供的装置中，交换机接收该SDN控制器发送的封装有Web认证响应报文的下发报文，该Web认证响应报文中携带认证结果，且该认证结果为该SDN控制器当该报文为Web认证请求报文时基于该Web认证请求报文中携带的认证信息进行认证得到的。该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，所述第二接收单元，还用于接收自身归属的SDN控制器发送的第一配置文件；

所述发送单元，具体用于根据所述第一配置文件确定接收的所述报文是否为指定类型的报文，并当所述报文为所述指定类型的报文时，向所述SDN控制器发送封装有接收的所述报文的上报报文。

这样，交换机根据接收到的第一配置文件对该交换机上的所有端口进行配置，即完成第一步启动认证的过程。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，所述第二接收单元，还用于接收自身归属的SDN控制器发送的第二配置文件；所述第一接收单元，具体用于根据所述第二配置文件，当接收的所述报文不为所述指定类型的报文时，丢弃所述报文。

这样，交换机根据接收到的第二配置文件对该交换机上的所有端口进行配置，即完成第二步启动认证的过程。

进一步的，所述第二接收单元，还用于接收所述SDN控制器当对所述用户终端认证通过时，发送的携带所述用户终端的终端信息的第三配置文件；

所述第一接收单元，具体用于根据所述第三配置文件对来自所述用户终端的业务报文进行处理。

该用户终端的Web认证请求通过认证，交换机根据接收到的第三配置文件，对相应的端口进行配置，允许对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口打开上网功能。

进一步的，所述第一接收单元，还用于接收所述用户终端发送的Web下线报文；

所述发送单元，还用于向所述SDN控制器发送封装有所述Web下线报文的报文；

所述第二接收单元，还用于接收所述SDN控制器发送的携带所述用户终端的终端信息的第四配置文件；

所述第一接收单元，具体用于根据所述第四配置文件停止针对来自所述用户终端的业务报文进行处理。

这样，该交换机接收到第四配置文件后，根据第四配置文件对相应的端口进行配置，停止针对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口停止上网功能。

进一步的，所述第二接收单元，还用于接收所述SDN控制器发送的取消Web认证指示消息；

所述发送单元，具体用于根据所述指示消息取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

这样，SDN控制器对该交换机解除认证，当交换机接收到来自用户终端的指定类型的报文时，不再向SDN控制器发送。

本发明实施例还提供一种Web认证系统，包括：软件控制网络SDN控制器和所述SDN控制器自身管辖的交换机，其中：

所述SDN控制器，用于接收自身管辖的交换机发送的上报报文；当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；并对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；以及向所述交换机发送所述下发报文；

所述交换机，用于接收用户终端发送的报文；当接收的所述报文为指定类型的报文时，向自身归属的SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；并接收所述SDN控制器发送的封装有Web认证响应报文的下发报文；以及将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

本发明实施例提供的系统中，SDN控制器当接收到封装有来自用户终端的Web认证请求报文的上报报文时，基于该上报报文中封装的Web认证请求报文中携带的认证信息进行认证，并得到认证结果，该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

进一步的，所述SDN控制器，还用于向所述交换机发送取消Web认证指示消息；

所述交换机，还用于接收所述SDN控制器发送的取消Web认证指示消息，并根据所述指示消息取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

这样，SDN控制器对该交换机解除认证，当交换机接收到来自用户终端的指定类型的报文时，不再向SDN控制器发送。

本申请的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书中变得显而易见，或者通过实施本申请而了解。本申请的目的和其他优点可通过在所写的说明书、权利要求书、以及附图中所特别指出的结构来实现和获得。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明实施例一起用于解释本发明，并不构成对本发明的限制。在附图中：

图1为本发明实施例提供的Web认证方法的流程图之一；

图2为本发明实施例提供的Web认证方法的流程图之二；

图3为本发明实施例1提供的Web认证方法流程图；

图4为本发明实施例1提供的用户下线时的Web认证取消方法流程图；

图5为本发明实施例2提供的Web认证装置的结构示意图之一；

图6为本发明实施例3提供的Web认证装置的结构示意图之二；

图7为本发明实施例4提供的Web认证系统的结构示意图。

具体实施方式

为了给出降低Web认证过程中对交换机的要求，且提高对Web认证机制进行改进的效率的实现方案，本发明实施例提供了一种Web认证方法、装置及系统，以下结合说明书附图对本发明的优选实施例进行说明，应当理解，此处所描述的优选实施例仅用于说明和解释本发明，并不用于限定本发明。并且在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

本发明实施例提供一种Web认证方法，应用于软件定义网络（SDN，Software Defined Network）控制器，如图1所示，包括：

步骤101、SDN控制器接收自身管辖的交换机发送的上报报文，该上报报文为该交换机对来自用户终端的指定类型的报文进行封装后的报文，该指定类型与Web认证请求报文的类型相同。

步骤102、当该上报报文中封装有来自该用户终端的Web认证请求报文时，基于该上报报文中封装的该Web认证请求报文中携带的认证信息进行认证，得到认证结果。

步骤103、对携带有该认证结果的Web认证响应报文进行封装，得到下发报文。

步骤104、向该交换机发送该下发报文，用于由该交换机将该下发报文中封装的该Web认证响应报文返回给该用户终端。

相应的，本发明实施例还提供一种Web认证方法，应用于SDN控制器管辖的交换机，如图2所示，包括：

步骤201、交换机接收用户终端发送的报文。

步骤202、当接收的该报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的该报文的上报报文，该指定类型与Web认证请求报文的类型相同。

步骤203、接收该SDN控制器发送的封装有Web认证响应报文的下发报文，该Web认证响应报文中携带认证结果，该认证结果为该SDN控制器当该报文为Web认证请求报文时基于该Web认证请求报文中携带的认证信息进行认证得到的。

步骤204、将该下发报文中封装的该Web认证响应报文返回给该用户终端。

SDN是开放网络基金会（ONF，Open Networking Foundation）制定的一种独立网络架构，该网络架构中实现了传统网络设备的控制面和转发面的分离，将控制面集中到SDN控制器上，SDN控制器也可以称为Controller，SDN控制器通过下发配置文件对网络设备（例如交换机、路由器）进行控制，网络设备根据接收到的配置文件完成数据的转发，SDN控制器可以管理不同厂商的多台网络设备，实现对整个网络的集中管理。

上述步骤104中，SDN控制器向交换机发送封装有Web认证响应报文的下发报文，该Web认证响应报文为携带SDN控制器基于用户终端的认证信息所得的最终认证结果的响应报文，由于在Web认证交互过程中，SDN控制器还可以基于用户终端的认证信息得到一些中间结果，因此该下发报文中除了包含该Web认证响应报文之外，还可以包含携带这些中间结果的响应报文。相应的，上述步骤203中交换机所接收的下发报文与该下发报文一致，在此不再赘述。

本发明实施例提供的上述方法中，SDN控制器当接收到封装有来自用户终端的Web认证请求报文的上报报文时，基于该上报报文中封装的该Web认证请求报文中携带的认证信息进行认证，并得到认证结果，该方法中对用户终端的Web认证请求是由SDN控制器进行认证处理的，因此交换机不再需要执行与Web认证相关的认证处理操作，对交换机的要求降低，并且当需要改进Web认证机制时，只需对SDN控制器进行相应的功能提升即可，而不需要再对多个交换机分别进行功能提升，进而提高了对Web认证机制进行改进的效率。

下面结合附图，用具体实施例对本发明提供的方法及装置和相应系统进行详细描述。

实施例1：

在SDN网络初始状态下，SDN控制器可以通过特定的协议规范（即OpenFlow协议）与交换机建立连接，建立连接之后，根据用户预先设置的哪些交换机用于进行Web认证，SDN控制器对这些交换机统一启用Web认证，启用Web认证的过程可以通过下发配置文件的方式来实现。

第一步：SDN控制器向自身管辖的用于Web认证的交换机发送第一配置文件，用于由交换机根据该第一配置文件向该SDN控制器上报来自用户终端的指定类型的报文，其中指定类型与用户终端在请求Web认证时发送的Web认证请求报文的类型相同，例如，在目前实际应用中，该指定类型为TCP类型。

该第一配置文件可以称为流表A，包括Match Field、Action等域，具体内容如下：

表1、流表A的Match Field域

域	值	含义
			Match Type	0xFFFF7FFF	所有报文必须匹配IP协议域
IP Proto Type	TCP	匹配TCP报文
			Match Field其它域	任意值	无意义

表2、流表A的Action域

域	值	含义
			Type	0x0	报文需输出到某个具体的端口
Len	0x8	本次Action总长度8字节
			Value	0xfffd	输出端口为Controller

表3、流表A的其他通用域

交换机接收到流表A后，对流表A进行转义，根据流表A中的内容，对该交换机的所有端口进行配置，当接收到来自用户终端的TCP类型的报文时，将该TCP类型的报文发送给SDN控制器。

第二步：向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据所述第二配置文件丢弃来自用户终端的非指定类型的报文。

该第二配置文件可以称为流表B，具体内容如下：

表4、流表B的Match Field域

域

值

含义

Match Type	0xFFFFFFFF	所有报文全匹配
			Match Field其它域	任意值	无意义

表5、流表B的其他通用域

此时，流表B没有Action字段，表示所有的匹配报文都丢弃，交换机接收到流表B后，对流表B进行转义，根据流表B中的内容，对该交换机的所有端口进行配置，当接收到来自用户终端的除TCP类型报文以外的报文时，丢弃该报文。

当对该交换机上所有的端口配置完成后，SDN控制器与该交换机之间即完成了Web认证功能的配置。接下来具体的Web认证过程如图3所示，包括：

步骤301、用户终端向交换机发送报文。

步骤302、该交换机接收用户终端发送的报文后，确认该报文的类型，如果该报文为TCP类型的报文，执行步骤303，否则，执行步骤304。

本步骤中，由于用户终端发送的Web认证请求报文为TCP类型的报文，所以后续的Web认证过程仅针对交换机接收到的来自用户终端的TCP类型的报文。

步骤303、将该报文进行封装，得到封装有该报文的封装后报文，封装后报文可以称为上报报文。如果该报文为Web认证请求报文，则该上报报文中即封装有该Web认证请求报文。

本步骤中具体的封装可以按照OpenFlow格式的封装，具体的OpenFlow格式如下：

表6、上报报文OpenFlow封装格式

封装后的报文，包含该交换机信息（如该交换机本地管理的Buffer ID）、来自用户终端的TCP原始报文以及接收该TCP原始报文的交换机端口信息等等。

步骤304、将该非TCP类型的报文丢弃。

步骤305、将封装后的上报报文发送给自身归属的SDN控制器。

步骤306、SDN控制器接收该上报报文，即Packet_in报文，对该Packet_in报文解封装，提取其中的交换机信息、端口信息以及TCP原始报文等。

步骤307、将提取出的这些信息提交给SDN控制器中的Web认证处理模块。

步骤308、SDN控制器的Web认证处理模块接收这些信息后，对这些信息进行认证，并基于得到的认证结果生成Web认证响应报文。

本步骤中，SDN控制器的Web认证处理模块对这些信息的处理细节与现有技术中具有Web认证功能的交换机上的Web认证处理细节一致，在此不再进行详细描述。

步骤309、SDN控制器将该Web认证响应报文、上述交换机信息、端口信息进行封装，即通过OpenFlow进行Packet_out封装，封装后的报文称为下发报文，具体的封装格式如下：

表7、下发报文OpenFlow封装格式

步骤310、SDN控制器将该下发报文发送给交换机。

步骤311、交换机接收SDN控制器发送的下发报文后，对该下发报文解封装，并将其中的Web认证响应报文通过端口信息表示的端口发送给用户终端。

本步骤中交换机向用户终端发送报文的过程与现有技术中传统的具有Web认证功能的交换机向用户终端发送报文的过程一致，在此不再进行详细描述。

当SDN控制器对该用户终端的认证通过时，可以向该交换机发送携带该用户终端的终端信息的第三配置文件，用于指示该交换机针对来自该用户终端的业务报文进行处理。该用户终端的终端信息可以是该用户终端的源IP地址以及源MAC地址。

该第三配置文件可以称为流表C，包括Match Field、Action等域，具体内容如下：

表8、流表C的Match Field域

表9、流表C的Action域

表10、流表C的其他通用域

交换机接收到流表C后，对流表C进行转义，根据流表C中的端口信息，对该端口信息表示的端口进行配置，允许对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口打开上网功能。

当用户下线时，具体的处理流程如图4所示，包括：

步骤401、用户终端向交换机发送Web下线报文。

步骤402、交换机接收用户终端发送的下线报文后，对该下线报文进行封装，具体可以采用OpenFlow封装格式。

步骤403、该交换机将封装后的报文发送给SDN控制器。

步骤404、SDN控制器接收交换机发送的封装报文后，对该封装报文解封，提取其中的相关信息。

步骤405、将提取出的相关信息提交给SDN控制器中的Web认证处理模块。

步骤406、SDN控制器的Web认证处理模块对这些相关信息进行处理，完成对指定用户的下线处理。

本步骤中，SDN控制器的Web认证处理模块对用户的下线处理细节与现有技术中具有Web认证功能的交换机上的Web认证下线处理细节一致，在此不再进行详细描述。

步骤407、SDN控制器向交换机发送第四配置文件，该第四配置文件即流表D，其中携带该用户终端的终端信息。该用户终端的终端信息可以是该用户终端的源IP地址以及源MAC地址。

流表D的具体内容如下：

表11、流表D的Match Field域

表12、流表D的其他通用域

步骤408、交换机接收到流表D后，对流表D进行转义，根据流表D中的端口信息，对该端口信息表示的端口进行配置，删除接收指定源IP地址和源MAC地址的用户终端发送的报文的规则，即停止针对指定源IP地址和源MAC地址的用户终端发送的业务报文进行处理，即在该端口停止上网功能。

进一步的，SDN控制器还可以向该交换机发送取消Web认证指示消息，用于指示该交换机取消向该SDN控制器发送来自用户终端的指定类型的报文。目的是将之前针对用户终端进行Web认证产生的处理进行还原，主要是恢复之前交换机针对流表A、流表B、流表C的相应配置。SDN控制器向该交换机发送删除流表A、删除流表B、删除流表C的指示消息，该交换机针对该指示消息，对该交换机上的所有端口进行相应的配置，即交换机所有端口删除将TCP报文发送SDN控制器的规则，交换机所有端口删除禁止接收任意报文的规则，以及交换机所有端口删除接收源IP地址为指定IP地址的报文的规则。

进一步的，当交换机离线，即交换机断开OpenFlow连接时，SDN控制器中的OpenFlow模块会接收到该交换机断开OpenFlow的指示消息，此时SDN控制器删除与该交换机进行Web认证交互期间产生的所有流表。该交换机与SDN控制器断开连接后，该交换机所有端口删除将TCP报文发送SDN控制器的规则，交换机所有端口删除禁止接收任意报文的规则，以及交换机所有端口删除接收源IP地址为指定IP地址的报文的规则。

实施例2：

基于同一发明构思，根据本发明上述实施例提供的Web认证方法，相应地，本发明另一实施例还提供了一种Web认证装置，应用于SDN控制器，装置结构示意图如图5所示，具体包括：

接收单元501，用于接收自身管辖的交换机发送的上报报文，该上报报文为该交换机对来自用户终端的指定类型的报文进行封装后的报文，该指定类型与Web认证请求报文的类型相同；

认证单元502，用于当该上报报文中封装有来自该用户终端的Web认证请求报文时，基于该上报报文中封装的该Web认证请求报文中携带的的认证信息进行认证，得到认证结果；

封装单元503，用于对携带有该认证结果的Web认证响应报文进行封装，得到下发报文；

发送单元504，用于用于向该交换机发送该下发报文，用于由该交换机将该下发报文中封装的该Web认证响应报文返回给该用户终端。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，发送单元504，还用于向自身管辖的用于进行Web认证的交换机发送第一配置文件，用于由交换机根据该第一配置文件向该SDN控制器上报来自用户终端的该指定类型的报文。

进一步的，在SDN控制器接收自身管辖的交换机发送的上报报文之前，发送单元504，还用于向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据该第二配置文件丢弃来自用户终端的非指定类型的报文。

进一步的，当该SDN控制器对该用户终端认证通过时，发送单元504，还用于向该交换机发送携带该用户终端的终端信息的第三配置文件，用于指示该交换机针对来自该用户终端的业务报文进行处理。

进一步的，接收单元501，还用于接收该交换机发送的封装有来自该用户终端的Web下线报文的报文；发送单元504，还用于向该交换机发送携带该用户终端的终端信息的第四配置文件，用于指示该交换机停止针对来自该用户终端的业务报文进行处理。

进一步的，发送单元504，还用于向该交换机发送取消Web认证指示消息，用于指示该交换机取消向该SDN控制器发送来自用户终端的该指定类型的报文。

上述各单元的功能可对应于图1至图4所示流程中的相应处理步骤，在此不再赘述。

实施例3：

基于同一发明构思，根据本发明上述实施例提供的Web认证方法，相应地，本发明实施例3还提供了一种Web认证装置，应用于交换机，装置结构示意图如图6所示，具体包括：

第一接收单元601、用于接收用户终端发送的报文；

发送单元602、用于当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；

第二接收单元603、用于接收所述SDN控制器发送的封装有Web认证响应报文的下发报文，所述Web认证响应报文中携带认证结果，所述认证结果为所述SDN控制器当所述报文为Web认证请求报文时基于所述Web认证请求报文中携带的认证信息进行认证得到的；

返回单元604、用于将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，该第二接收单元603，还用于接收自身归属的SDN控制器发送的第一配置文件；该发送单元602，具体用于根据所述第一配置文件确定接收的所述报文是否为指定类型的报文，并当所述报文为所述指定类型的报文时，向所述SDN控制器发送封装有接收的所述报文的上报报文。

进一步的，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，该第二接收单元603，还用于接收自身归属的SDN控制器发送的第二配置文件；该第一接收单元601，具体用于根据所述第二配置文件，当接收的所述报文不为所述指定类型的报文时，丢弃所述报文。

进一步的，该第二接收单元603，还用于接收所述SDN控制器当对所述用户终端认证通过时，发送的携带所述用户终端的终端信息的第三配置文件；该第一接收单元601，具体用于根据所述第三配置文件对来自所述用户终端的业务报文进行处理。

进一步的，该第一接收单元601，还用于接收所述用户终端发送的Web下线报文；该发送单元602，还用于向所述SDN控制器发送封装有所述Web下线报文的报文；该第二接收单元603，还用于接收所述SDN控制器发送的携带所述用户终端的终端信息的第四配置文件；该第一接收单元601，具体用于根据所述第四配置文件停止针对来自所述用户终端的业务报文进行处理。

进一步的，该第二接收单元603，还用于接收所述SDN控制器发送的取消Web认证指示消息；该发送单元602，具体用于根据所述指示消息取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

上述各单元的功能可对应于图1至图4所示流程中的相应处理步骤，在此不再赘述。

实施例4：

本发明实施例4还提供了一种Web认证系统，包括：SDN控制器和该控制器自身管辖的交换机，系统结构示意图如图7所示，具体包括：

SDN控制器701，用于接收自身管辖的交换机发送的上报报文；当该上报报文中封装有来自该用户终端的Web认证请求报文时，基于该上报报文中封装的该Web认证请求报文中携带的的认证信息进行认证，得到认证结果；并对携带有该认证结果的Web认证响应报文进行封装，得到下发报文；以及向该交换机发送该下发报文；

交换机702，用于接收用户终端发送的报文；当接收的该报文为指定类型的报文时，向自身归属的SDN控制器发送封装有接收的该报文的上报报文，该指定类型与Web认证请求报文的类型相同；并接收该SDN控制器发送的封装有Web认证响应报文的下发报文；以及将该下发报文中封装的该Web认证响应报文返回给该用户终端。

进一步的，SDN控制器701，还用于向该交换机发送取消Web认证指示消息；交换机702，还用于接收该SDN控制器发送的取消Web认证指示消息，并根据该指示消息取消向该SDN控制器发送来自用户终端的该指定类型的报文。

综上所述，本发明实施例提供的方案，SDN控制器接收自身管辖的交换机发送的上报报文，该上报报文为该交换机对来自用户终端的指定类型的报文进行封装后的报文，该指定类型与Web认证请求报文的类型相同；当该上报报文中封装有来自该用户终端的Web认证请求报文时，基于该上报报文中封装的该Web认证请求报文中携带的认证信息进行认证，得到认证结果；并对携带有该认证结果的Web认证响应报文进行封装，得到下发报文；以及向该交换机发送该下发报文，用于由该交换机将该下发报文中封装的该Web认证响应报文返回给该用户终端。采用本发明提供的方法，降低了在Web认证过程中对交换机的要求，且提高了对Web认证机制进行改进的效率。

本申请的实施例所提供的Web认证装置可通过计算机程序实现。本领域技术人员应该能够理解，上述的模块划分方式仅是众多模块划分方式中的一种，如果划分为其他模块或不划分模块，只要Web认证装置具有上述功能，都应该在本申请的保护范围之内。

本申请是参照根据本申请实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本发明进行各种改动和变型而不脱离本发明的精神和范围。这样，倘若本发明的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (19)

1.一种Web认证方法，其特征在于，包括：

软件定义网络SDN控制器接收自身管辖的交换机发送的上报报文，所述上报报文为所述交换机对来自用户终端的指定类型的报文进行封装后的报文，所述指定类型与Web认证请求报文的类型相同；

当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；

对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；

向所述交换机发送所述下发报文，用于由所述交换机将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

2.如权利要求1所述的方法，其特征在于，在SDN控制器接收自身管辖的交换机发送的上报报文之前，还包括：

向自身管辖的用于进行Web认证的交换机发送第一配置文件，用于由交换机根据所述第一配置文件向所述SDN控制器上报来自用户终端的所述指定类型的报文。

3.如权利要求2所述的方法，其特征在于，在SDN控制器接收自身管辖的交换机发送的上报报文之前，还包括：

向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据所述第二配置文件丢弃来自用户终端的非指定类型的报文。

4.如权利要求1-3任一所述的方法，其特征在于，还包括：

当所述SDN控制器对所述用户终端认证通过时，向所述交换机发送携带所述用户终端的终端信息的第三配置文件，用于指示所述交换机针对来自所述用户终端的业务报文进行处理。

5.如权利要求1-3任一所述的方法，其特征在于，还包括：

接收所述交换机发送的封装有来自所述用户终端的Web下线报文的报文；

向所述交换机发送携带所述用户终端的终端信息的第四配置文件，用于指示所述交换机停止针对来自所述用户终端的业务报文进行处理。

6.如权利要求1所述的方法，其特征在于，还包括：

向所述交换机发送取消Web认证指示消息，用于指示所述交换机取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

7.一种Web认证方法，其特征在于，包括：

交换机接收用户终端发送的报文；

当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；

接收所述SDN控制器发送的封装有Web认证响应报文的下发报文，所述Web认证响应报文中携带认证结果，所述认证结果为所述SDN控制器当所述报文为Web认证请求报文时基于所述Web认证请求报文中携带的认证信息进行认证得到的；

将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

8.如权利要求7所述的方法，其特征在于，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，还包括：

接收自身归属的SDN控制器发送的第一配置文件；

当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，具体包括：

根据所述第一配置文件确定接收的所述报文是否为指定类型的报文，并当所述报文为所述指定类型的报文时，向所述SDN控制器发送封装有接收的所述报文的上报报文。

9.如权利要求8所述的方法，其特征在于，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，还包括：

接收自身归属的SDN控制器发送的第二配置文件；

根据所述第二配置文件，当接收的所述报文不为所述指定类型的报文时，丢弃所述报文。

10.如权利要求7-9任一所述的方法，其特征在于，还包括：

接收所述SDN控制器当对所述用户终端认证通过时，发送的携带所述用户终端的终端信息的第三配置文件；

根据所述第三配置文件对来自所述用户终端的业务报文进行处理。

11.如权利要求7-9任一所述的方法，其特征在于，还包括：

接收所述用户终端发送的Web下线报文；

向所述SDN控制器发送封装有所述Web下线报文的报文；

接收所述SDN控制器发送的携带所述用户终端的终端信息的第四配置文件；

根据所述第四配置文件停止针对来自所述用户终端的业务报文进行处理。

12.如权利要求7所述的方法，其特征在于，还包括：

接收所述SDN控制器发送的取消Web认证指示消息；

根据所述指示消息取消向所述SDN控制器发送来自用户终端的所述指定类型的报文。

13.一种Web认证装置，应用于软件定义网络SDN服务器，其特征在于，包括：

接收单元，用于接收自身管辖的交换机发送的上报报文，所述上报报文为所述交换机对来自用户终端的指定类型的报文进行封装后的报文，所述指定类型与Web认证请求报文的类型相同；

认证单元，用于当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；

封装单元，用于对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；

发送单元，用于向所述交换机发送所述下发报文，用于由所述交换机将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

14.如权利要求13所述的装置，其特征在于，在SDN控制器接收自身管辖的交换机发送的上报报文之前，所述发送单元，还用于向自身管辖的用于进行Web认证的交换机发送第一配置文件，用于由交换机根据所述第一配置文件向所述SDN控制器上报来自用户终端的所述指定类型的报文。

15.如权利要求14所述的装置，其特征在于，在SDN控制器接收自身管辖的交换机发送的上报报文之前，所述发送单元，还用于向自身管辖的用于进行Web认证的交换机发送第二配置文件，用于由交换机根据所述第二配置文件丢弃来自用户终端的非指定类型的报文。

16.一种Web认证装置，应用于SDN控制器管辖的交换机，其特征在于，包括：

第一接收单元，用于接收用户终端发送的报文；

发送单元，用于当接收的所述报文为指定类型的报文时，向自身归属的软件定义网络SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；

第二接收单元，用于接收所述SDN控制器发送的封装有Web认证响应报文的下发报文，所述Web认证响应报文中携带认证结果，所述认证结果为所述SDN控制器当所述报文为Web认证请求报文时基于所述Web认证请求报文中携带的认证信息进行认证得到的；

返回单元，用于将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

17.如权利要求16所述的装置，其特征在于，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，所述第二接收单元，还用于接收自身归属的SDN控制器发送的第一配置文件；

所述发送单元，具体用于根据所述第一配置文件确定接收的所述报文是否为指定类型的报文，并当所述报文为所述指定类型的报文时，向所述SDN控制器发送封装有接收的所述报文的上报报文。

18.如权利要求17所述的装置，其特征在于，在向自身归属的SDN控制器发送封装有接收的所述报文的上报报文之前，所述第二接收单元，还用于接收自身归属的SDN控制器发送的第二配置文件；所述第一接收单元，具体用于根据所述第二配置文件，当接收的所述报文不为所述指定类型的报文时，丢弃所述报文。

19.一种Web认证系统，其特征在于，包括：软件控制网络SDN控制器和所述SDN控制器自身管辖的交换机，其中：

所述SDN控制器，用于接收自身管辖的交换机发送的上报报文；当所述上报报文中封装有来自所述用户终端的Web认证请求报文时，基于所述上报报文中封装的所述Web认证请求报文中携带的的认证信息进行认证，得到认证结果；并对携带有所述认证结果的Web认证响应报文进行封装，得到下发报文；以及向所述交换机发送所述下发报文；

所述交换机，用于接收用户终端发送的报文；当接收的所述报文为指定类型的报文时，向自身归属的SDN控制器发送封装有接收的所述报文的上报报文，所述指定类型与Web认证请求报文的类型相同；并接收所述SDN控制器发送的封装有Web认证响应报文的下发报文；以及将所述下发报文中封装的所述Web认证响应报文返回给所述用户终端。

Images