一種基於認證信息分配ip地址的方法及裝置的製作方法
2023-10-08 19:57:54
專利名稱：一種基於認證信息分配ip地址的方法及裝置的製作方法
技術領域：
本發明涉及通信技術領域，尤其是涉及一種在用戶認證時基於認證信息分配不同網段IP位址的方法以及實現該方法的裝置。
背景技術：
隨著網際網路日益發展，企業用戶的網絡規模也越來越大，用戶需求和網絡應用也日益增加，網絡出口逐漸成為了企業網訪問外網速度的瓶頸。為解決訪問外網的速度問題，通常採用多ISP出口的解決方案，例如同時接入中國電信和中國移動提供的網絡出口。網絡用戶訪問外網資源有著不同的需求，如一部分用戶僅需訪問某個ISP，另一部分網絡用戶可以訪問其他ISP或所有ISP等。因此，如何通過規劃設計網絡地址和出口策略整合各ISP網絡資源，滿足網絡用戶需求的多樣性，最大程度的發揮多ISP接入的優勢，是一個值得研究和待解決的問題。同時，多出口的負載平衡也要求對網絡用戶進行出口策略規劃。目前對於出口策略多採用基於源地址或目的地址策略路由，基於目的地址可以考慮對於雙出口或者多出口的選擇通過下發ACL來進行目的地址阻斷，例如若訪問的目的地址是中國移動的網段，則選擇通過中國移動的出口，否則通過中國電信的網絡出口。但是當大量用戶訪問相同的目的網絡地址時，會造成出口的負載極其不平衡，因此，基於目的地址的辦法並不能很好的解決問題。基於源地址和策略路由的方式進行控制能解決上述問題，策略路由比傳統路由更加靈活，它使網絡管理者不但能夠根據目的地址，而且能夠根據報文大小或IP源地址等因素來選擇轉發路徑，還可以根據不同的優先級來選擇轉發路徑。如圖I所示，圖中實線連接的主機經過策略路由僅訪問ISP2，虛線連接的主機經過策略路由僅訪問ISP1。但是，目前為網絡用戶分配的公網IP位址相當有限，特別是在採用802. IX以及網頁認證(Portal認證)等認證方式時，只能為用戶分配一個網段的外網訪問地址，對於路由器來說無法根據源地址採用策略路由實現用戶的多出口需求。
發明內容
本發明的目的是解決認證中不能為用戶分配不同網段IP位址的問題，提出一種基於認證信息分配IP的方法和裝置，為用戶分配多個網段的IP位址，從而支持策略路由根據源地址實現用戶的多出口需求。本發明提供了一種基於認證信息分配IP位址的方法，採用動態主機設置協議DHCP為用戶分配IP位址，在用戶接入的接口上配置多個不同網段的網關地址，包括步驟A、配置認證地址網關並根據用戶的認證信息配置對應的地址網段網關；B、接收用戶認證請求，將認證請求重定向到認證伺服器，與認證伺服器交互對用戶進行認證並記錄用戶的認證信息和認證狀態信息；C、接收DHCP請求，查詢用戶認證是否通過，若認證通過則將與用戶認證信息對應的地址網段網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配對應網段的IP位址，若認證未通過，則將認證地址網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配認證地址網段內的IP位址。所述配置用戶的認證信息對應的地址網段網關是指在用戶接入的物理接口上或三層VLAN接口上配置。配置所述認證地址網關地址為主地址，其他地址網段網關地址為子地址。進一步地,所述步驟A, B之間進一步包括在所述用戶接入的接口上使能DHCP中繼；在收到用戶的DHCP discover信息後，則將所述主地址加入到DHCPdiscover報文 中轉發到DHCP伺服器，使所述DHCP伺服器為用戶分配認證網段的地址，以便用戶接入認證伺服器進行認證。進一步地，所述認證伺服器為門戶Portal伺服器。具體認證方式可以是Portal認證或802. IX認證或DHCP Optionin認證,本發明不限於採用哪種認證方式,可以廣泛應用於上述的認證場合。同時在採用Portal認證時,還需要與Raduis伺服器配合,Porral伺服器在接收到用戶的用戶名和密碼後，將用戶輸入的用戶名和密碼組裝成認證請求報文發往Raduis伺服器進行認證，Raduis伺服器將認證應答發送到Porral伺服器完成認證。進一步地，所述認證信息是域名信息或地理位置信息。用戶進行認證時攜帶的認證信息包括但不限於域名信息或地理位置信息，從而按照用戶的認證信息為用戶分配不同網段的IP源地址，從而為後續策略路由奠定了基礎，也便於後續為不同的用戶提供針對的個性化服務。本發明還提供了一種基於認證信息分配IP位址的裝置，應用於採用動態主機設置協議DHCP為用戶分配IP位址，所述裝置包括接口單元，與所述接口單元相連的認證單元和DHCP單元；其中，所述接口單元，配置有用戶認證信息對應的地址網段網關及認證地址網關，接收用戶的接入請求並將接入請求重定向到認證單元，記錄用戶的認證信息和認證狀態信息； 認證單元，用於接收所述接口單元重定向的用戶接入請求，通過與認證伺服器進行交互對用戶進行認證；DHCP單元，用於接收所述接口單元轉發的DHCP請求，向接口單元發送查詢信息，將所述接口單元反饋的網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配IP位址。所述接口單元為用戶接入的三層物理接口或三層WLAN接口，所述接口單元配置的認證地址網關為主地址，其他地址網段網關地址為子地址，所述接口單元進一步用於接收DHCP單元的查詢信息，查看用戶認證是否通過，若認證通過則將用戶認證信息對應的地址網段網關反饋給DHCP單元，若認證未通過則將認證地址網關反饋給DHCP單元。所述DHCP單元為DHCP中繼，在接收到用戶的DHCP discover信息後，則將所述主地址加入到DHCP discover報文中轉發到DHCP伺服器，使所述DHCP伺服器為用戶分配認證網段的地址，以便用戶接入認證伺服器進行認證。所述基於認證信息分配IP位址的裝置認證接口單元可以內置認證伺服器，也可以外接認證伺服器，實現方式靈活。所述DHCP單元可以是內置DHCP伺服器，或者是DHCP中繼，外接DHCP伺服器來實現地址分配。通過本發明基於認證信息分配IP位址的方法，可以在Portal認證時為用戶基於認證信息分配IP位址，進而為用戶分配不同網段的源地址，從而可以實現在出口路由器上基於源地址策略路由的出口選擇，可以有效規劃出口策略，保證網絡出口的穩定性。本發明的方法能在不同的網絡出口，使用不同的安全策略，如防火牆，NAT等，還可以進行計費。本發明基於認證信息分配IP位址的裝置可以設置於匯聚層交換機內部，也可以單獨作為一個獨立的裝置來提供基於認證信息的IP位址服務，為策略路由的實現奠定了基礎，也便於後續為不同的用戶提供針對的個性化服務。
圖I為策略路由的示意圖；圖2為本發明用戶接入網際網路的組網結構圖；圖3為本發明基於認證信息分配IP位址的方法流程圖；圖4為本發明基於認證信息分配IP位址的裝置組成示意圖。
具體實施例方式下面結合附圖和實施例對本發明技術方案做進一步詳細說明，以下實施例不構成對本發明的限定。如圖2所示，用戶I，用戶2通過L2交換機S2接入匯聚層交換機SI，SI與DHCP伺服器，Portal伺服器及RADIUS伺服器相連，為用戶提供Portal認證和DHCP地址分配；路由器Rl通過網絡出口一和網絡出口二分別與外網ISPl和ISP2連接。用戶通過Portal認證後，通過路由器Rl接入外網，路由器Rl根據用戶的源IP位址，進行策略路由，選擇網絡出口一或網絡出口二與外網連接。需要說明的是，本實施例以Porral認證方式為例來具體闡述本發明，採用802. IX或DHCP Optioin認證方式具有同樣的技術效果。同時，Portal伺服器在接收到用戶的用戶名和密碼後，將用戶輸入的用戶名和密碼組裝成認證請求報文發往匯聚層交換機SI，通過匯聚層交換機SI與RADIUS伺服器交互進行認證，匯聚層交換機SI將認證應答發送到Portal伺服器完成認證。本實施例方法流程中關於認證的過程不再累述，統一簡稱為Portal 認證。本實施例的Portal伺服器，DHCP伺服器均可以設置在匯聚層交換機內，也可以外接，關於Portal認證和DHCP地址分配的現有技術，這裡不再贅述。具體地，本發明基於認證信息分配IP位址的方法流程如圖3所示，包括步驟步驟301、配置認證地址網關，並根據用戶的認證信息配置對應的地址網段網關。本實施例中採用的認證信息是用戶的域名(Domain)，假設用戶I的域名為domainA,用戶2的域名為domainB, domainA對應的網關為202. 168. I. I, domainB對應的網關為 202. 168. 2. I。在使能Porral的接口上配置用戶的Domain映射到不同的地址網段網關portal domain-map domain domainA gateway 202.168.I.I ；Portal domain-map domain domainB gateway 202.168.2.I ；
需要說明的是，本發明採用不同的認證信息，例如用戶地理位置信息(VLAN，ATM的PVC等信息)，也可以達到同樣技術效果，這裡不再贅述。具體地，這裡的使能Portal的接口可以是三層物理接口，也可以是三層VLAN 口，將用戶認證信息對應的地址網段網關地址和認證地址網關地址配置到使能Porral的接口上，其中認證地址網關地址配置為主地址，其他地址網段網關地址配置為子地址。本實施例在用戶接入匯聚交換機SI認證通過前，為用戶分配認證地址網段地址，通常採用的是私網IP位址，用於用戶認證；認證通過後，為用戶分配的認證信息對應的地址網段IP位址，通常是公網IP位址，用於用戶訪問公網。本實施例中採用公網IP位址或私網IP位址為例來進行說明，不限於具體分配的地址網段。現有技術中使能Porral的接口可以配置主地址和子地址，一般情況下主地址為公網IP位址網段網關地址，子地址為私網IP位址網關地址，但是本發明需要根據認證信息配置多個不同公網IP位址網段網關，因此將私網IP位址網關配置為主地址，而將多個不同 的公網IP位址網段網關配置為子地址。公網IP位址網關網段網關用來為用戶認證通過後分配公網IP位址，私網IP位址網關用於為用戶認證前分配私網IP位址。步驟302、接收DHCP發現報文，進行響應。具體地，如圖2所示，用戶I接入交換機S2，用戶I會主動以廣播方式發起DHCP發現(DHCP discover)報文，設置於匯聚層交換機SI的DHCP中繼(DHCP Relay)在收到用戶的DHCP discover信息後，則將使能Porral的接口主地址(即私網IP位址網關)加入到DHCPdiscover報文中轉發到DHCP伺服器，DHCP伺服器進行響應，發送DHCP提供(DHCP offer)報文,用戶在收到DHCP offer後，發起DHCP請求(DHCP request), DHCP Relay轉發DHCP伺服器與用戶之間的交互信息，為用戶分配私網IP位址，以便用戶接入Portal伺服器進行認證。為用戶2分配私網IP位址的方式與用戶I相同。本發明接收用戶DHCP發現報文，通過DHCP Relay轉發，與DHCP伺服器交互為用戶分配私網IP位址為現有技術方法，在本發明中不再贅述。可見，本實施例基於私網IP位址網段，domainA的網段，domainB的網段，三個網段分別配置一相應的網關，具體分配地址時都是通過DHCP進行分配的，只是DHCP Relay在接收到DHCP請求時，首先選擇網段的網關時，根據用戶的認證狀態和認證信息選擇相應的網關。未認證，選擇私網IP位址網關，認證通過後，根據認證信息不同，選用對應的公網IP位址網段網關。步驟303、將用戶接入請求指向認證伺服器，用戶輸入用戶名和密碼，進行認證，記錄用戶的認證信息和認證狀態信息。具體地，用戶分配到私網IP位址後，其訪問網頁的請求被指向到Portal伺服器，Portal伺服器在接收到用戶的用戶名和密碼後，將用戶輸入的用戶名和密碼組裝成認證請求報文發往匯聚層交換機SI，通過匯聚層交換機SI與RADIUS伺服器交互進行認證，匯聚層交換機SI將認證應答發送到Portal伺服器完成認證。本實施例中用戶的認證信息為域名信息，用戶I對應的域名為domainA，用戶2對應的域名為domainB。使能Portal的接口記錄用戶的認證信息及認證是否通過的狀態信
肩、O步驟304、接收DHCP請求,調用使能Portal的接口，查看用戶認證是否通過,若認證通過則進入步驟305，否則進入步驟306。具體地,如果用戶已經認證通過,貝U發起DHCP請求。對於DHCP Relay來說，當接收到DHCP請求後，向使能Portal的接口查詢用戶是否認證通過及對應的網關。步驟305、如果認證通過,使能Portal的接口反饋用戶認證信息對應的公網IP位址網段網關，為用戶分配公網IP位址。具體地，如果用戶通過認證，使能Portal的接口將用戶認證信息對應的網關信息返回給DHCP Relay,DHCP Relay將網關信息加入到DHCP請求中，向DHCP server發起DHCP請求，DHCP Server為用戶分配此網關對應網段的公網IP位址。具體地，如果是用戶1，其域名信息為domainA，則對應的網關地址為 202. 168. I. 1，DHCP Relay使用此網關，向DHCP伺服器發起DHCP請求，DHCP伺服器為用戶I分配IP位址，假設分配的IP位址為202. 168. I. 5 ；如果是用戶2，其域名信息為domainB，則對應的網關地址為202. 168. 2. 1，DHCPRelay使用此網關，向DHCP伺服器發起DHCP請求，DHCP伺服器為用戶2分配IP位址，假設分配的IP位址為202. 168. 2. 5 ；步驟306、如果認證未通過,使能Portal的接口反饋私網IP位址網關,為用戶分配私網IP位址。具體地，如果用戶未認證通過，DHCP Relay則將私網IP位址網關加入到DHCP請求中，向DHCP伺服器請求地址，DHCP伺服器為用戶分配私網IP位址。而對於Portal伺服器，對於認證未通過的用戶則返回認證失敗信息，拒絕用戶的接入，這不是本發明的重點，這裡不再累述。通過以上步驟，用戶通過Portal實現了認證，並根據域名的不同分配了不同網段的公網IP位址。需要說明的是，本實施例採用根據域名不同來對應不同的網關，同樣的採用用戶的位置信息，也可以對應不同的網關，並分配不同網段的公網IP位址。當用戶採用不同網段的公網IP位址接入路由器R1，路由器根據用戶分配的公網IP位址，即可以採用策略路由的方法為用戶選擇不同的網絡出口，從而實現了路由器根據用戶源地址的策略路由。具體地，設置用戶源地址在網段202. 168. I. 0-202. 168. I. 254內的用戶內經過網絡出口 I接入外網ISPl ;設置用戶源地址在網段202. 168. 2. 0-202. 168. 2. 254內的用戶內經過網絡出口 2接入外網ISP2。本發明還提出了一種基於認證信息分配IP位址的裝置，如圖4所示，包括接口單元401，認證單元402和DHCP單元403。其中，所述接口單元401，配置有用戶認證信息對應的地址網段網關及認證地址網關，接收用戶的接入請求並將接入請求重定向到認證單元402，記錄用戶的認證信息和認證狀態信息；認證單元402，用於接收所述接口單元401重定向的用戶接入請求，通過與認證伺服器進行交互對用戶進行認證；DHCP單元403，用於接收所述接口單元401轉發的DHCP請求，向接口單元401發送查詢信息，將所述接口單元401反饋的網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配IP位址。
所述接口單元401配置的認證地址網關地址為主地址，其他地址網段網關地址為子地址，所述接口單元401進一步用於接收DHCP單元403的查詢信息，查看用戶認證是否通過，若認證通過則將用戶認證信息對應的地址網段網關反饋給DHCP單元403，若認證未通過則將認證地址網關反饋給DHCP單元403。本實施例中接口單元401為使能Portal的接口，DHCP單元403為DHCPRelay，通過外接Portal伺服器、Raduis伺服器和DHCP伺服器實現用戶的認證和IP位址分配。具體地，在使能Portal的接口上配置私網IP位址網關，以及與domainA和domainB對應的公網IP位址網段網關，用戶接入時，DHCP中繼轉發DHCPDiscover，與DHCP伺服器交互為用戶分配私網IP位址，進行Portal認證，認證通過後，用戶發起DHCP請求，DHCP Relay將用戶域名對應的網段網關地址加入到DHCP請求中轉發給DHCP伺服器，DHCP伺服器為用戶分配該網段網關對應的網段的公網IP位址，從而為基於認證信息為用戶分配不同的網段的IP位址，而後續路由器根據用戶的源IP位址，即可以採用策略路由的方法為用戶選擇不同的網絡出口。
需要說明的是，DHCP伺服器和Portal伺服器都可以內置到本發明的裝置中，具有同樣的技術效果，不影響本發明技術方案的實現。 以上實施例僅用以說明本發明的技術方案而非對其進行限制，在不背離本發明精神及其實質的情況下，熟悉本領域的技術人員當可根據本發明作出各種相應的改變和變形，但這些相應的改變和變形都應屬於本發明所附的權利要求的保護範圍。
權利要求
1.一種基於認證信息分配IP位址的方法，米用動態主機設置協議DHCP為用戶分配IP位址，其特徵在於，在用戶接入的接口上配置多個不同網段的網關地址，包括步驟 A配置認證地址網關，並根據用戶的認證信息配置對應的地址網段網關； B接收用戶認證請求，將認證請求重定向到認證伺服器，與認證伺服器交互對用戶進行認證並記錄用戶的認證信息和認證狀態信息； C接收DHCP請求，查詢用戶認證是否通過，若認證通過則將與用戶認證信息對應的地址網段網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配對應網段的IP位址，若認證未通過，則將認證地址網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配認證地址網段內的IP位址。
2.如權利要求I所述的分配IP位址的方法，其特徵在於，所述配置用戶的認證信息對應的地址網段網關是指在用戶接入的三層物理接口上或三層VLAN接口上配置。
3.如權利要求I所述的分配IP位址的方法，其特徵在於，配置所述認證地址網關地址為主地址，其他地址網段網關地址為子地址。
4.如權利要求3所述的分配IP位址的方法，其特徵在於，所述方法在步驟A，B之間進一步包括 在所述用戶接入的接口上使能DHCP中繼； 在收到用戶的DHCP discover信息後，則將所述主地址加入到DHCPdiscover報文中轉發到DHCP伺服器，使所述DHCP伺服器為用戶分配認證網段的地址，以便用戶接入認證伺服器進行認證。
5.如權利要求1-4任一權利要求所述的分配IP位址的方法，其特徵在於，所述認證伺服器為Portal伺服器，所述認證信息是域名信息或地理位置信息。
6.一種基於認證信息分配IP位址的裝置，用於採用動態主機設置協議DHCP為用戶分配IP位址，其特徵在於，所述裝置包括接口單元，與所述接口單元相連的認證單元和DHCP單元； 其中，所述接口單元，配置有用戶認證信息對應的地址網段網關及認證地址網關，接收用戶的接入請求並將接入請求重定向到認證單元，記錄用戶的認證信息和認證狀態信息； 認證單元，用於接收所述接口單元重定向的用戶接入請求，通過與認證伺服器進行交互對用戶進行認證； DHCP單元，用於接收所述接口單元轉發的DHCP請求，向接口單元發送查詢信息，將所述接口單元反饋的網關加入到DHCP請求中，與DHCP伺服器交互為用戶分配IP位址。
7.如權利要求6所述的基於認證信息分配IP位址的裝置，其特徵在於，所述認證接口單元為用戶接入的三層物理接口或三層VLAN接口。
8.如權利要求6所述的基於認證信息分配IP位址的裝置，其特徵在於，所述接口單元配置的認證地址網關地址為主地址，其他地址網段網關地址為子地址，所述接口單元還用於接收DHCP單元的查詢信息，查看用戶認證是否通過，若認證通過則將用戶認證信息對應的地址網段網關反饋給DHCP單元，若認證未通過則將認證地址網關反饋給DHCP單元。
9.如權利要求8所述的基於認證信息分配IP位址的裝置，其特徵在於，所述DHCP單元為DHCP中繼，在接收到用戶的DHCP discover信息後，則將所述主地址加入到DHCPdiscover報文中轉發到DHCP伺服器，使所述DHCP伺服器為用戶分配認證網段的地址，以便用戶接入認證伺服器進行認證。
10.如權利要求6-9任一權利要求所述的基於認證信息分配IP位址的裝置，其特徵在於，所述認證伺服器為Portal伺服器，所述認證信息是域名信息或地理位置信息。
全文摘要
本發明公開了一種基於認證信息分配IP位址的方法，通過建立用戶認證信息與不同網段網關的對應關係，在用戶接入認證後發起DHCP請求時，將對應用戶認證信息的網段網關加載到DHCP請求中，從而為用戶分配相應網段的IP位址，實現了不同用戶認證信息分配不同的IP位址。本發明還公開了實現該方法的裝置，包括控制單元，認證接口單元與DHCP單元，其中認證接口單元配置了基於認證信息的不同網段網關地址，DHCP單元在接收到DHCP請求後查詢認證接口單元，根據用戶認證信息對應的不同網段為用戶分配不同的網段的IP位址，可以有效規劃出口策略，保證網絡出口的穩定性，並能在不同的網絡出口為用戶提供個性化的服務。
文檔編號H04L29/06GK102694821SQ20121019894
公開日2012年9月26日 申請日期2012年6月15日 優先權日2012年6月15日
發明者楊銀柱, 柴永富 申請人:杭州華三通信技術有限公司