CN1652535B

CN1652535B - 网络层地址管理方法

Info

Publication number: CN1652535B
Application number: CN200410001094.0A
Authority: CN
Inventors: 刘刀桂; 王玮
Original assignee: Huawei Technologies Co Ltd
Current assignee: Chengdu Huawei Technology Co Ltd
Priority date: 2004-02-03
Filing date: 2004-02-03
Publication date: 2010-06-23
Anticipated expiration: 2024-02-03
Also published as: CN1652535A

Abstract

本发明公开一种网络层地址管理方法，包括以下流程：认证流程，认证设备的逻辑端口授权给用户设备，且认证设备从认证服务器获得网络层地址；地址分配流程，通过认证设备和用户设备间的交互携带有属性类型为网络层地址的EAP服务报文完成网络层地址分配。其中，地址分配流程包括以下步骤：(1)用户设备向认证设备发送网络层地址分配请求的EAP服务报文；(2)认证设备向用户设备发送网络层地址分配确认的EAP服务报文。本发明网络层地址管理方法因不要求DHCP服务器而降低网络运营商的成本。其次，因省去了DHCP相关的设备和配置而使网络部署更为简单。

Description

网络层地址管理方法

技术领域

本发明涉及网络技术，尤指一种网络层地址管理方法。

背景技术

IEEE 802 LAN协议定义的局域网不提供接入认证，一般来说，只要用户可以接入局域网就可以访问网络上的设备或资源。但是对于如电信接入、写字楼LAN以及移动办公等应用场合，网络管理者希望能对用户的接入进行控制和配置，为此产生了基于端口的网络接入控制(Port Based Network AccessControl)需求，即IEEE 802.1X(以下简称802.1X)协议。

从图1可以看出，802.1X的体系结构中包括：

用户设备(Supplicant)1，LAN所连接的一端的实体(Entity)，作为认证请求者向认证设备(Authenticator)发起请求，对其身份的合法性进行检验；

认证设备2，响应用户设备1的认证请求，包括两个逻辑端口：受控端口(Controlled Port)21和不受控端口(Uncontrolled Port)22；

认证服务器3，是指通过检验用户设备1发送来的身份标识，来判断该请求者是否有权使用认证设备2所提供的网络服务。

通常，要访问局域网/城域网4，首先用户设备1要向认证设备2发起认证请求，不受控端口22始终处于双向连通状态，主要用来传递EAPoL协议帧，可保证用户设备1始终可以发出或接受；认证授权时，认证设备2的受控端口21才被连通，用于传递网络资源和服务。其中，EAPoL指局域网承载的EAP，而EAP指可扩展认证协议，全称为PPP(点对点通信协议)可扩展认证协议(RFC2284)。在基于TCP/IP的网络中，用户设备只有获得了网络层地址(如IP地址)才能访问网络。

但是802.1X认证授权只是给对应的受控端口21授权，并没有提供管理网络层地址的协议框架。

请参照图2所示，目前，为解决上述问题，用户设备在通过认证后发起DHCP请求，然后认证设备提供DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)中继的功能，最后通过DHCP协议的交互过程从DHCP服务器获得分配的IP地址。或者直接在认证设备上提供DHCP服务器的功能。这两种方式本质上是一致的。

交互过程以认证设备为中继包括以下步骤

(1)用户设备向DHCP服务器发送一个DHCPDISCOVER报文，表达网络层地址租用要求；

(2)DHCP服务器以DHCPOFFER报文响应用户设备的要求，该报文内包括可用的网络层地址和参数

(3)用户设备选定了某个目标DHCP服务器(可能收到多个DHCP服务器发送的DHCPOFFER报文)后，广播DHCPREQUEST包，用以通知选定的DHCP服务器和未选定的DHCP服务器；

(4)如果选定的DHCP服务器是原来提供这个网络层地址的参数的服务器，会认出这些数据来，并以DHCPACK报文回应

同时，下线时，用户设备发起DHCP释放请求(DHCPRELEASE报文)，以便DHCP服务器回收地址资源。这种实现方式，不管网络规模如何，都需要在网络中部署DHCP服务器。在一些中小型简单网络，特别是园区网中，增加了运营商的总拥有成本和管理复杂度。

发明内容

本发明解决的问题是提供一种网络层地址管理方法，降低网络成本且部署网络层地址容易。

为解决上述问题，本发明网络层地址管理方法，包括以下流程：认证流程，认证设备的逻辑端口授权给用户设备，且认证设备从认证服务器获得网络层地址；地址分配流程，包括：通过认证设备和用户设备间的交互可扩展认证协议EAP服务报文完成网络层地址分配；其中，所述认证设备和所述用户设备间的交互的EAP服务报文携带的属性类型包括：网络层地址。

其中，地址分配流程包括以下步骤：

(1)用户设备向认证设备发送EAP服务报文；其中，步骤(1)中所述用户设备向所述认证设备发送的EAP服务报文携带的属性类型包括：网络层地址分配请求；

(2)认证设备向用户设备发送EAP服务报文；其中，步骤(2)中所述认证设备向所述用户设备发送的EAP服务报文携带的属性类型包括：网络层地址分配确认。

步骤(1)中，EAP服务报文属性类型还包括：网络层地址掩码、缺省网关、主域名解析服务器和备份域名解析服务器。

步骤(2)中EAP服务报文属性类型还包括：网络层地址掩码、缺省网关、主域名解析服务器和备份域名解析服务器。

步骤(1)之前，还包括步骤a)，认证设备向用户设备发送EAP服务报文。其中，步骤a)中，所述认证设备向所述用户设备发送的EAP服务报文携带的属性类型包括：网络层地址提供策略。

在步骤a)之后，所述用户设备根据所述网络层地址提供策略的属性值决定网络层地址通过DHCP协议获得还是通过EAP服务报文获得，如果是通过EAP服务报文获得则执行步骤(1)。

另外，步骤(1)、(2)之间还包括以下步骤：

b)认证设备解析来自步骤(1)中的EAP服务报文；

c)判断用户设备网络层地址是动态获取还是静态设置；

d)如果是动态获取则执行步骤(2)；

e)如果是静态设置则判断当前网络层地址是否与认证设备预分配的一致；

f)如果一致则执行步骤(2)。

步骤(2)之后还包括如下步骤：用户设备解析来自步骤(2)中的EAP服务报文，通过调用操作系统API接口设置网络适配器。

此外，认证流程中通过认证服务器向认证设备返回认证接受报文中携带属性类型为8的Framed-IP-Address获得网络层地址。

与现有技术相比，本发明通过与认证服务器配合，具有以下优点：

首先，降低网络运营商的成本。特别是中小规模的园区网运营商，有可能不需要提供专门的DHCP服务器，可以通过认证服务器，提供用户账号和网络层地址分配策略在802.1X认证过程给用户设备网络层地址。

其次，部署更简单。与通过设置DHCP服务器来给用户分配IP地址方式相比，本发明提供的方式省去了DHCP相关的设备和配置。

另外，通过在认证服务器上直接把用户账号和网络层地址关联的方式，在一定程度上防止了网络层地址盗用，从而使网络层地址管理更加安全有效。

附图说明

图1是802.1X的体系结构框图。

图2是现有技术中利用DHCP实现网络层地址管理方法的流程图。

图3是PPP帧格式示意图。

图4是图3中PPP帧应用在本发明网络层地址管理方法中信息域格式示意图。

图5是现有技术中PPP帧中代码域取值示意图。

图6是本发明网络层地址管理方法流程图。

图7是本发明网络层地址管理方法部分详细流程图。

具体实施方式

图3是PPP帧格式示意图。其中，F域标识一PPP帧的开始及结束；FCS域为帧的校验域；表示帧内容的为地址(Address)、控制(Control)、协议(Protocol)、信息(Information)域所包含的内容。当PPP帧(参见IETF RFC1661)中的Protocol域表明协议类型为C227(即表示协议为PPP可扩展认证协议)时，在PPP帧的Information域中封装且仅封装一个PPP可扩展认证协议报文(本发明称为EAP报文)，传输时各域从左到右依次传输。本发明网络层地址管理方法将EAP报文扩展成EAP服务报文，也封装在Information域中进行传输其原理如下文描述。

Information域进一步包括有代码(Code)、标识(Identifier)、长度(Length)及数据(Data)域。所述Data域进一步包括属性类型(Type)域及属性数据(Type-Data)域；属性数据(Type-Data)域进一步包括属性值长度(Value-Size)域、属性值(Value)域及名称(Name)域。请参照图4所示，这样信息域则包括有以下域：代码、标识、长度、属性类型、属性值长度、属性值及名称。

其中所述代码表示报文的类型。现有技术中，请参照图5所示，代码值为1表示EAP报文类型为请求报文；值为2表示EAP报文类型为应答报文；值为3表示EAP报文类型为成功报文；值为4表示EAP报文类型为失败报文。本发明网络层地址管理方法中，扩展一种报文类型为EAP服务报文的EAP报文，EAP服务报文的报文格式遵循EAP报文格式。相应代码的值表示该报文为EAP服务报文，其取值为除1-4外的任何值，如10。

标识，用于识别EAP报文(含EAP服务报文)。

长度，为EAP报文的长度(含EAP服务报文)。

属性类型，表示EAP报文具体内容的类型，具体到EAP服务报文中，则表示EAP服务报文具体内容的类型，因为1-8已经被国际标准或国家标准占用，Type域取值除1-8外的任何值。图4中Type为Netwowk-Attr-Offer，表示网络层地址提供策略)。

属性值，表示EAP报文的具体属性(具体到EAP服务报文中，则表示EAP服务报文的具体属性)，以图4为例，Value表示Netwowk-Attr-Offer属性值，例如用0表示网络层地址通过DHCP协议获取，1表示网络层地址通过EAP服务报文获取。

属性值长度，表示属性值的长度。

名称，表示用户的名字。

这样，四种类型的EAP报文已经在802.1X中以EAPOL的方式分别使用了。本发明主要通过扩展另外一种EAP报文，称为EAP服务报文(Service，代码取值不同于1到4)和相应的属性类型(不同于现有协议定义的任何属性类型取值(不同于1到8))来实现802.1X认证过程中网络层地址管理。EAP服务报文格式完全遵循RFC2284“PPP可扩展认证协议”。一个EAP服务报文可以包括多个属性类型，当然也可以只有一个属性类型。

请参照图6所示，本发明网络层地址管理方法基于802.1X的体系结构，认证服务器(服务器以RADIUS为例)上，可以在配置用户设备账号的时候，指定待分配给用户设备的网络层地址；认证设备上，可以给配置用户网络层地址分配策略以及网络层地址掩码，缺省网关，主DNS和备用DNS服务器等网络属性。这样认证设备给用户分配网络层地址的内容可以包括网络层地址及网络层地址掩码、缺省网关、主DNS服务器、备份DNS服务器等网络属性信息。其中网络层地址是认证设备通过EAP服务报文从认证服务器获得的，其他信息配置在认证设备上。网络层地址及不同的网络属性信息对应EAP服务报文不同的属性类型。

本实施例中EAP服务报文使用到的属性类型包括有：

Netwowk-Attr-Offer，网络层地址提供策略，其相应属性值表示具体的提供策略，例如用0表示网络层地址通过DHCP协议获取，1表示网络层地址通过EAP服务报文获取；

Netwowk-Attr-Request，网络层地址分配请求；

Network-Address，表示分配给用户设备的网络层地址，

Network-Netmask，表示网络层地址掩码；

Default-Gateway，表示缺省网关；

Primary-DNS，表示主域名解析(DNS)服务器；

Secondary-DNS，表示备用域名解析(DNS)服务器。

Netwowk-Attr-Ack，表示网络层地址分配.

这样，本发明网络层地址管理方法包括以下流程：

认证流程，认证设备的逻辑端口授权给用户设备，且认证设备从认证服务器获得网络层地址；

地址分配流程，通过认证设备和用户设备间的交互携带有属性类型为网络层地址的EAP服务报文完成网络层地址分配。

其中，认证流程中通过认证服务器向认证设备返回认证接受报文中携带属性类型为8的Framed-IP-Address以获得网络层地址，认证接受报文表示认证成功。认证成功说明用户账号是合法的，并给这个合法的用户设备分配网络层地址，因此用户账号和网络层地址是关联的。

认证流程中包括以下步骤：

1)用户设备向认证设备发送EAPOL开始报文；

2)认证设备向用户设备发送EAP请求报文；

3)用户设备向认证设备发送EAP应答报文；

4)认证设备向认证服务器发送携带用户识别信息的认证请求报文；

5)认证服务器经由认证设备向用户设备发送RADIUS MD5质询报文，所述RADIUS(Remote Authentication Dial In User Service)为远程认证拨号用户服务，而MD5(Message Digest 5)是一种加密算法；

6)用户设备经由认证设备向认证服务器发送对MD5质询的应答报文；

7)认证服务器向认证设备发送认证接受报文，携带属性类型为8的Framed-IP-Address；

认证设备收到Access-Accept报文后，对报文进行解析。如果报文中含有Framed-IP-Address(8)属性，并且属性值不是全F、全0和“0xFFFFFFFE”的单播IP地址，则被认为是有效值。

8)认证设备向用户设备发送认证成功报文，认证设备逻辑端口被授权给用户设备。

所述地址分配流程包括以下步骤：

9)设备向用户设备发送网络层地址提供策略的EAP服务报文(EAP-Service/Network-Attr-Offer报文)

步骤9)中EAP服务报文属性类型为网络层地址提供策略。用户设备收到EAP-Service/Network-Attr-Offer报文后，解析出Network-Attr-Offer值，用户设备根据Network-Attr-Offer属性值决定是网络层地址通过EAP服务报文方式还是通过DHCP方式获取。如果是通过EAP服务报文获得则执行步骤10)，通过DHCP方式获得网络层地址的流程是现有技术，不赘述。

10)用户设备向认证设备发送网络层地址分配请求的EAP服务报文(EAP-Service/Network-Attr-Request报文)

步骤10)中，EAP服务报文属性类型包括有请求、网络层地址、网络层地址掩码、缺省网关、主域名解析服务器和备份域名解析服务器。请参照图7认证设备执行以下步骤

101)认证设备解析来自步骤10)中的EAP服务报文；

102)判断用户设备通过动态获取还是静态设置来得到网络层地址；如果是动态获取则执行步骤11)；

103)如果是静态设置则判断当前网络层地址是否与认证设备预分配的一致；如果一致则执行步骤11)；

104)如果不一致则根据配置策略，可以记录日志信息，或者切断用户链接等。

网络层地址设置分为动态获取和静态指定两种方式。对于静态设置而言，表明认证之前用户就已经给自己的用户设备(如PC)指定了一个网络层地址，此时进行认证。但按照上面的流程，认证设备会给用户分配一个网络层地址。用户获得分配给的网络层地址后，把这两个网络层地址进行比较，一致，则把发送给用户设备Network-Attr-Ack报文。如果两者不一致，则根据配置策略，可以记录日志信息，或者切断用户链接等。

11)认证设备向用户设备发送网络层地址分配确认的EAP服务报文(EAP-Service/Network-Attr-Ack报文)

步骤11)中EAP服务报文属性类型包括有确认、网络层地址、地址掩码、缺省网关、主DNS服务器和备份DNS服务器。

12)用户设备解析来自步骤(3)中的EAP服务报文，通过调用操作系统API接口设置网络适配器。

另外，同时，在认证设备发出EAP-Service/Network-Attr-Offer后，开启地址分配超时定时器，等待用户的EAP-Service/Network-Attr-Request报文。如果定时器超时仍未收到EAP服务报文，则系统重传EAP-Service/Network-Attr-Offer，或者认为用户设备不支持，放弃通过EAP-Service下发网络层地址和DNS服务，或者超时切断用户链接。

综上所述，本发明网络层地址管理方法通过与认证服务器配合，可以有如下优点：

Claims

1.一种网络层地址管理方法，其特征在于，包括以下流程：

认证流程，包括：认证设备的逻辑端口授权给用户设备，且所述认证设备从认证服务器获得网络层地址；

地址分配流程，包括：通过所述认证设备和所述用户设备间的交互可扩展认证协议EAP服务报文完成网络层地址分配；其中，所述认证设备和所述用户设备间的交互的EAP服务报文携带的属性类型包括：网络层地址。

2.如权利要求1所述的网络层地址管理方法，其特征在于，地址分配流程包括以下步骤：

3.如权利要求2所述的网络层地址管理方法，其特征在于，步骤(1)中，所述用户设备向所述认证设备发送的EAP服务报文携带的属性类型还包括：网络层地址掩码、缺省网关、主域名解析服务器和备份域名解析服务器。

4.如权利要求3所述的网络层地址管理方法，其特征在于，步骤(2)中，所述认证设备向所述用户设备发送的EAP服务报文携带的属性类型还包括：网络层地址掩码、缺省网关、主域名解析服务器和备份域名解析服务器。

5.如权利要求4所述的网络层地址管理方法，其特征在于，所述EAP服务报文封装在点对点协议帧的信息域中，该信息域进一步包括以下域：

代码，表示该报文为EAP服务报文；

标识，用于识别EAP服务报文；

长度，表示EAP服务报文的长度；

属性类型，表示EAP服务报文具体内容的类型；

属性值，表示EAP服务报文的具体属性；

属性值长度，表示属性值的长度；

名称，表示用户的名字。

6.如权利要求5所述的网络层地址管理方法，其特征在于，步骤(1)之前，还包括步骤a)，认证设备向用户设备发送EAP服务报文；其中，步骤a)中，所述认证设备向所述用户设备发送的EAP服务报文携带的属性类型包括：网络层地址提供策略。

7.如权利要求6所述的网络层地址管理方法，其特征在于，步骤a)之后，所述用户设备根据所述网络层地址提供策略的属性值决定网络层地址通过DHCP协议获得还是通过EAP服务报文获得，如果是通过EAP服务报文获得则执行步骤(1)。

8.如权利要求6所述的网络层地址管理方法，其特征在于，步骤(1)、(2)之间还包括以下步骤：

b)认证设备解析来自步骤(1)中的EAP服务报文；

c)判断用户设备网络层地址是动态获取还是静态设置；

d)如果是动态获取则执行步骤(2)；

f)如果一致则执行步骤(2)。

9.如权利要求8所述的网络层地址管理方法，其特征在于，步骤(2)之后还包括如下步骤：用户设备解析来自步骤(2)中的EAP服务报文，通过调用操作系统API接口设置网络适配器。

10.如权利要求1所述的网络层地址管理方法，其特征在于，认证流程中通过认证服务器向认证设备返回携带属性类型名称为Framed-IP-Address、属性类型值为8、属性为网络层地址的认证接受报文，获得网络层地址。

11.如权利要求10所述的网络层地址管理方法，其特征在于，认证流程包括以下步骤：

11)用户设备向认证设备发送EAPOL开始报文；

12)认证设备向用户设备发送EAP请求报文；

13)用户设备向认证设备发送EAP应答报文；

14)认证设备向认证服务器发送携带用户识别信息的认证请求报文；

15)认证服务器经由认证设备向用户设备发送RADIUS MD5质询报文；

16)用户设备经由认证设备向认证服务器发送对MD5质询的应答报文；

17)认证服务器向认证设备发送认证接受报文，携带属性类型为8的Framed-IP-Address；

18)认证设备向用户设备发送认证成功报文，认证设备逻辑端口被授权给用户设备。