專利名稱：一種wlan用戶綜合認證系統(tǒng)及其方法
技術領域：
本發(fā)明涉及移動通信技術領域，尤其涉及一種WLAN用戶綜合認證系統(tǒng)及其方法。
背景技術：
隨著WLAN技術的發(fā)展，越來越多的的用戶選擇WLAN作為無線上網(wǎng)的手段，電信運營商也已經大量部署WLAN接入點。在提供WLAN用戶接入的過程中，運營商首先要對WLAN接入終端進行身份認證， 目前運營商最普遍使用的方式為Portal (門戶)認證即當用戶訪問Web網(wǎng)站時向用戶推送Portal認證頁面，用戶在該認證頁面上填寫用戶名和密碼，運營商相關認證設備對用戶名和密碼進行驗證。如果驗證成功，則向用戶推送認證成功頁面，允許用戶接入；否則拒絕用戶接入。Portal認證方式需要用戶每次都輸入用戶名和密碼，對于部分WLAN終端特別是支持WLAN功能的手機比較繁瑣，在一定程度上影響用戶體驗。運營商最近推出 EAP-SIM(認證戶身份模塊)認證方式對WLAN用戶進行認證，該認證方式需要WLAN終端提供SIM (Subscriber Identity Module用戶識別模塊)卡接口，不提供用戶名和密碼驗證方式的兼容性，也具有一定的局限性。可見，傳統(tǒng)的WLAN認證技術不能完全適應WLAN用戶多種認證方式的需求，需要進行改進。

發(fā)明內容
本發(fā)明的目的就在于克服現(xiàn)有技術存在的缺點和不足，提供一種WLAN用戶綜合認證系統(tǒng)及其方法，以解決目前WLAN用戶多種認證方法兼容性問題，以滿足各類WLAN終端的認證的需要。實現(xiàn)本發(fā)明目的的技術方案是一、WLAN用戶綜合認證系統(tǒng)(簡稱系統(tǒng))本系統(tǒng)包括WLAN終端與AP子系統(tǒng)和外部認證中心；設置有認證協(xié)議分析引擎單元和用戶綜合控制單元；其連接和交互關系是WLAN終端與AP子系統(tǒng)、認證協(xié)議分析引擎單元和外部認證中心依次連接；認證協(xié)議分析引擎單元，用戶綜合控制單元和外部認證中心依次連接；認證協(xié)議分析引擎單元負責接收WLAN終端與AP子系統(tǒng)發(fā)送來的用戶的認證包， 分析出用戶的認證方式，并將解析出的用戶認證信息轉發(fā)給用戶綜合控制單元；接收用戶綜合控制單元反饋的用戶認證協(xié)商信息和結果，根據(jù)不同的認證方式封裝成不同的認證協(xié)議包發(fā)送給WLAN終端與AP子系統(tǒng)；用戶綜合控制單元負責接收認證協(xié)議分析引擎單元發(fā)來的用戶認證信息并將其轉發(fā)給外部認證中心，將用戶認證標識和信息保存在用戶上下文中；接收外部認證中心反饋的用戶認證協(xié)商信息和結果將其轉發(fā)給認證協(xié)議分析引擎單元，為WLAN用戶分配IP地址；所述的認證協(xié)議分析引擎單元包括協(xié)議預分析模塊、EAP模塊、Portal模塊和 PPPOE模塊，協(xié)議預分析模塊分別與EAP模塊、Portal模塊和PPPOE模塊交互；協(xié)議預分析模塊負責對用戶認證包進行預分析，根據(jù)用戶認證類型將其轉發(fā)給各協(xié)議分析模塊；EAP模塊負責對用戶的EAP認證包進行詳細分析，與WLAN終端與AP子系統(tǒng)交互， 并與用戶綜合控制單元進行交互；Portal模塊負責向WLAN終端與AP子系統(tǒng)推送Portal認證頁面，與外部認證中心中的Portal服務器進行交互，并與用戶綜合控制單元進行交互；PPPOE模塊負責對用戶的PPPOE認證包進行詳細分析，與WLAN終端與AP子系統(tǒng)交互，并與用戶綜合控制單元進行交互；所述的用戶綜合控制單元包括用戶控制模塊、認證客戶端模塊和用戶地址分配模塊，用戶控制模塊分別與認證客戶端模塊和用戶地址分配模塊；用戶控制模塊負責與認證協(xié)議分析引擎單元進行交互，將用戶認證標識和信息保存在用戶上下文中，與認證客戶端模塊220交互用戶認證信息，與用戶地址分配模塊交互將分配的用戶IP地址傳遞給認證協(xié)議分析引擎單元；認證客戶端模塊負責接收用戶控制模塊模塊發(fā)來的用戶認證信息將其封裝成 Radius包轉發(fā)給外部認證中心，接收外部認證中心發(fā)來的Radius包，解析用戶認證協(xié)商信息和結果轉發(fā)給用戶控制模塊；用戶地址分配模塊負責為WLAN用戶分配IP地址，并將分配結果轉發(fā)給用戶控制模塊。二、WLAN用戶綜合認證方法(簡稱方法)本方法包括以下步驟①WLAN終端與AP子系統(tǒng)將用戶認證包發(fā)送給認證協(xié)議分析引擎單元；②認證協(xié)議分析引擎單元接收用戶認證包，解析WLAN用戶的認證方式和認證信息，將用戶認證信息轉發(fā)給用戶綜合控制單元；③用戶綜合控制單元將用戶認證標識和信息保存在用戶上下文中，并將其按照一定格式發(fā)送給外部認證中心；④用戶綜合控制單元接收外部認證中心反饋的用戶認證協(xié)商信息和結果；⑤用戶綜合控制單元判斷是否得到用戶認證結果；⑥如果得到用戶認證結果，則用戶綜合控制單元將其轉發(fā)給認證協(xié)議分析引擎單元.認證協(xié)議分析引擎單元根據(jù)用戶認證方式將認證結果發(fā)送給WLAN終端與AP子系統(tǒng)；⑦如果未得到用戶認證結果，則用戶綜合控制單元將用戶認證協(xié)商信息轉發(fā)給認證協(xié)議分析引擎單元，認證協(xié)議分析引擎單元根據(jù)用戶認證方式將認證協(xié)商信息發(fā)送給 WLAN終端與AP子系統(tǒng)，并調轉到步驟①。本發(fā)明具有下列優(yōu)點和積極效果本發(fā)明通過設計用戶綜合認證系統(tǒng)，使其支持WLAN用戶多種認證方式(包括EAP 認證、PORTAL認證和PPPOE認證)，并可通過增加新的認證協(xié)議分析模塊支持新的認證方式，具有較強的擴展性，有效地解決了各類WLAN終端認證兼容性的問題。


圖1是WLAN用戶綜合認證系統(tǒng)的結構方框圖；其中000-WLAN(Wireless Local Area Network無線局域網(wǎng))終端和AP(Access Point 接入點)子系統(tǒng)；100-認證協(xié)議分析引擎單元，110-協(xié)議預分析模塊，120-EAP (Extensible Authentication Protocol)牛life，130-Portal (門戶網(wǎng)站)模塊；140-PPP0E(Point-to-Point Protocol over Ethernet 基于以太網(wǎng)的點對點協(xié)議)模塊；200-用戶綜合控制單元，210-用戶控制模塊，220-認證客戶端模塊，230-用戶地址分配模塊；300-外部認證中心。圖2是WLAN用戶綜合認證方法的流程圖。
具體實施例方式以下結合附圖和實施例詳細說明一、系統(tǒng)如圖1，本系統(tǒng)包括WLAN終端與AP子系統(tǒng)000和外部認證中心300 ；設置有認證協(xié)議分析引擎單元100和用戶綜合控制單元200 ；其連接和交互關系是WLAN終端與AP子系統(tǒng)000、認證協(xié)議分析引擎單元100和外部認證中心300依次連接；認證協(xié)議分析引擎單元100，用戶綜合控制單元200和外部認證中心300依次連接；認證協(xié)議分析引擎單元100負責接收WLAN終端與AP子系統(tǒng)000發(fā)送來的用戶的認證包，分析出用戶的認證方式，并將解析出的用戶認證信息轉發(fā)給用戶綜合控制單元 200 ；接收用戶綜合控制單元200反饋的用戶認證協(xié)商信息和結果，根據(jù)不同的認證方式封裝成不同的認證協(xié)議包發(fā)送給WLAN終端與AP子系統(tǒng)000 ；用戶綜合控制單元200負責接收認證協(xié)議分析引擎單元100發(fā)來的用戶認證信息并將其轉發(fā)給外部認證中心300，將用戶認證標識和信息保存在用戶上下文中；接收外部認證中心300反饋的用戶認證協(xié)商信息和結果將其轉發(fā)給認證協(xié)議分析引擎單元100，為 WLAN用戶分配IP地址；所述的認證協(xié)議分析引擎單元100包括協(xié)議預分析模塊110、EAP模塊120、Portal 模塊130和PPPOE模塊140，協(xié)議預分析模塊110分別與EAP模塊120、Portal模塊130和 PPPOE模塊140交互；協(xié)議預分析模塊110負責對用戶認證包進行預分析，根據(jù)用戶認證類型將其轉發(fā)給各協(xié)議分析模塊；EAP模塊120負責對用戶的EAP認證包進行詳細分析，與WLAN終端與AP子系統(tǒng)000交互，并與用戶綜合控制單元200進行交互；Portal模塊130負責向WLAN終端與AP子系統(tǒng)000推送Portal認證頁面，與外部認證中心300中的Portal服務器進行交互，并與用戶綜合控制單元200進行交互；PPPOE模塊140負責對用戶的PPPOE認證包進行詳細分析，與WLAN終端與AP子系統(tǒng)000交互，并與用戶綜合控制單元200進行交互；所述的用戶綜合控制單元200包括用戶控制模塊210、認證客戶端模塊220和用戶地址分配模塊230，用戶控制模塊210分別與認證客戶端模塊220和用戶地址分配模塊 230 ;(依據(jù)圖1，是分別交互而不是互相交互。)用戶控制模塊210負責與認證協(xié)議分析引擎單元100進行交互，將用戶認證標識和信息保存在用戶上下文中，與認證客戶端模塊220交互用戶認證信息，與用戶地址分配模塊交互將分配的用戶IP地址傳遞給認證協(xié)議分析引擎單元100 ；認證客戶端模塊220負責接收用戶控制模塊210模塊發(fā)來的用戶認證信息將其封裝成Radius包轉發(fā)給外部認證中心300，接收外部認證中心300發(fā)來的Radius包，解析用戶認證協(xié)商信息和結果轉發(fā)給用戶控制模塊210 ；用戶地址分配模塊230負責為WLAN用戶分配IP地址，并將分配結果轉發(fā)給用戶控制模塊210。二、本方法的工作流程如圖2，本方法的工作流程包括下列步驟第1步驟-00，開始；第2步驟-10，收到用戶認證包，即認證分析引擎單元100接收到WLAN終端與AP 子系統(tǒng)000發(fā)來的用戶認證包；第3步驟-20，判斷判斷認證類型，即認證分析引擎單元100解析用戶認證數(shù)據(jù)包協(xié)議字段來判斷認證類型如果以太網(wǎng)協(xié)議字段為0x888e，則為EAP認證；如果以太網(wǎng)協(xié)議字段為0x0800，且為IP包類型為HTTP包，則為PORTAL認證；如果以太網(wǎng)協(xié)議字段為0x8863或0x8864，則為PPPOE認證；一、EAP 認證①-30，解析用戶標識，即認證分析引擎單元100分析EAP包的具體內容，解析出用戶標識，將其傳遞給用戶綜合控制單元200 ；②-31，用戶綜合控制單元200將接收到的用戶認證信息封裝成Radius包發(fā)送給發(fā)給外部認證中心300 ；③-32，用戶綜合控制單元200接收外部認證中心300的發(fā)來的Radius包，解析認證協(xié)商信息；④-33，是否協(xié)商出認證結果，是則進入步驟⑤-34，否則經過認證分析引擎單元 100接收用戶綜合控制單元200發(fā)來認證協(xié)商信息，將其封裝為EAP包轉發(fā)給用戶-35和認證分析引擎單元100接收用戶發(fā)來的用戶認證包，解析出用戶認證信息，轉發(fā)給用戶綜合控制單元200-36后，再跳轉到步驟②31 ；⑤-34，認證分析引擎單元100接收用戶綜合控制單元200發(fā)來的認證結果，將其封裝成EAP包發(fā)送給用戶，完成EAP認證流程-60 ；=二、PORTAL 認證①-40，認證分析引擎單元100通過HTTP重定向方式向用戶推送Portal認證的頁②-41，認證分析引擎單元100解析Portal服務器發(fā)來的認證請求包，分析出用戶名和密碼信息，將其轉發(fā)給用戶綜合控制單元；③-42，用戶綜合控制單元200將用戶名和密碼封裝成Radius包轉發(fā)給外部認證中心300 ；④-43，用戶綜合控制單元200接收外部認證中心300的發(fā)來的Radius包，解析認證結果，將其轉發(fā)給認證分析引擎單元100 ；⑤-44，認證分析引擎單元100將認證結果轉發(fā)給Portal服務器，Portal服務器向用戶推送認證成功頁面，完成Portal認證流程-60 ；三、PPPOE認證①-50，認證分析引擎單元100解析PPPOE協(xié)議的鏈路控制包，與用戶協(xié)商PPPOE 鏈路的參數(shù)；②-51，認證分析引擎單元100解析PPPOE協(xié)議的認證包，解析出用戶名和密碼信息，將其轉發(fā)給用戶綜合控制單元200 ；③-52，用戶綜合控制單元200將用戶名和密碼封裝成Radius包轉發(fā)給外部認證中心300 ；④-53，用戶綜合控制單元200接收外部認證中心300的發(fā)來的Radius包，解析認證結果，并轉發(fā)給認證分析引擎單元100 ；⑤-54，認證分析引擎單元100將認證結果封裝成PPPOE包轉發(fā)給用戶；⑥-55，認證分析引擎單元100解析PPPOE協(xié)議的用戶請求分配IP地址包，并將請求通知給用戶綜合控制單元200 ；⑦-56，用戶綜合控制單元200為用戶分配IP地址，并將其轉發(fā)給認證分析引擎單元 100 ； ⑧-57，認證分析引擎單元100將用戶分配IP地址封裝成PPPOE包轉發(fā)給用戶，用戶獲得了 IP地址完成了 PPPOE認證流程-60。
權利要求
1.一種WLAN用戶綜合認證系統(tǒng)，其特征在于本系統(tǒng)包括WLAN終端與AP子系統(tǒng)(000)和外部認證中心(300)； 設置有認證協(xié)議分析弓I擎單元(100 )和用戶綜合控制單元(200 )； 其連接和交互關系是WLAN終端與AP子系統(tǒng)(000)、認證協(xié)議分析引擎單元(100)和外部認證中心(300)依次連接；認證協(xié)議分析引擎單元(100)，用戶綜合控制單元(200)和外部認證中心(300)依次連接；認證協(xié)議分析引擎單元(100)負責接收WLAN終端與AP子系統(tǒng)(000)發(fā)送來的用戶的認證包，分析出用戶的認證方式，并將解析出的用戶認證信息轉發(fā)給用戶綜合控制單元 (200)；接收用戶綜合控制單元(200)反饋的用戶認證協(xié)商信息和結果，根據(jù)不同的認證方式封裝成不同的認證協(xié)議包發(fā)送給WLAN終端與AP子系統(tǒng)(000)；用戶綜合控制單元(200)負責接收認證協(xié)議分析引擎單元(100)發(fā)來的用戶認證信息并將其轉發(fā)給外部認證中心(300)，將用戶認證標識和信息保存在用戶上下文中；接收外部認證中心(300)反饋的用戶認證協(xié)商信息和結果將其轉發(fā)給認證協(xié)議分析引擎單元 (100)，為WLAN用戶分配IP地址；所述的認證協(xié)議分析引擎單元(100)包括協(xié)議預分析模塊(110)、EAP模塊(120)、 Portal模塊(130)和PPPOE模塊(140)，協(xié)議預分析模塊(110)分別與EAP模塊(120)、 Portal 模塊(130)和 PPPOE 模塊(140)交互；協(xié)議預分析模塊(110)負責對用戶認證包進行預分析，根據(jù)用戶認證類型將其轉發(fā)給各協(xié)議分析模塊；EAP模塊(120)負責對用戶的EAP認證包進行詳細分析，與WLAN終端與AP子系統(tǒng) (000)交互，并與用戶綜合控制單元(200)進行交互；Portal模塊(130)負責向WLAN終端與AP子系統(tǒng)(000)推送Portal認證頁面，與外部認證中心300中的Portal服務器進行交互，并與用戶綜合控制單元(200)進行交互；PPPOE模塊(140)負責對用戶的PPPOE認證包進行詳細分析，與WLAN終端與AP子系統(tǒng) (000 )交互，并與用戶綜合控制單元(200 )進行交互；所述的用戶綜合控制單元(200)包括用戶控制模塊(210)、認證客戶端模塊(220)和用戶地址分配模塊(230)，用戶控制模塊(210)分別與認證客戶端模塊(220)和用戶地址分配模塊(230)；用戶控制模塊(210)負責與認證協(xié)議分析引擎單元(100)進行交互，將用戶認證標識和信息保存在用戶上下文中，與認證客戶端模塊220交互用戶認證信息，與用戶地址分配模塊交互將分配的用戶IP地址傳遞給認證協(xié)議分析引擎單元(100)；認證客戶端模塊(220)負責接收用戶控制模塊(210)模塊發(fā)來的用戶認證信息將其封裝成Radius包轉發(fā)給外部認證中心(300)，接收外部認證中心(300)發(fā)來的Radius包，解析用戶認證協(xié)商信息和結果轉發(fā)給用戶控制模塊(210)；用戶地址分配模塊(230)負責為WLAN用戶分配IP地址，并將分配結果轉發(fā)給用戶控制模塊(210)。
2.按權利要求1所述系統(tǒng)的WLAN用戶綜合認證方法，其特征在于包括下列步驟 本方法包括以下步驟①WLAN終端與AP子系統(tǒng)將用戶認證包發(fā)送給認證協(xié)議分析引擎單元；②認證協(xié)議分析引擎單元接收用戶認證包，解析WLAN用戶的認證方式和認證信息，將用戶認證信息轉發(fā)給用戶綜合控制單元；③用戶綜合控制單元將用戶認證標識和信息保存在用戶上下文中，并將其按照一定格式發(fā)送給外部認證中心；④用戶綜合控制單元接收外部認證中心反饋的用戶認證協(xié)商信息和結果；⑤用戶綜合控制單元判斷是否得到用戶認證結果；⑥如果得到用戶認證結果，則用戶綜合控制單元將其轉發(fā)給認證協(xié)議分析引擎單元.認證協(xié)議分析引擎單元根據(jù)用戶認證方式將認證結果發(fā)送給WLAN終端與AP子系統(tǒng)；⑦如果未得到用戶認證結果，則用戶綜合控制單元將用戶認證協(xié)商信息轉發(fā)給認證協(xié)議分析引擎單元，認證協(xié)議分析引擎單元根據(jù)用戶認證方式將認證協(xié)商信息發(fā)送給WLAN終端與AP子系統(tǒng)，并調轉到步驟①。
3.按權利要求2所述的WLAN用戶綜合認證方法，其特征在于本方法的工作流程包括下列步驟第1步驟-(00)，開始；第2步驟-(10)，收到用戶認證包，即認證分析引擎單元100接收到WLAN 終端與AP子系統(tǒng)000發(fā)來的用戶認證包；第3步驟-(20)，判斷判斷認證類型，即認證分析引擎單元100解析用戶認證數(shù)據(jù)包協(xié)議字段來判斷認證類型如果以太網(wǎng)協(xié)議字段為0x888e，則為EAP認證；如果以太網(wǎng)協(xié)議字段為0x0800，且為IP包類型為HTTP包，則為PORTAL認證； 如果以太網(wǎng)協(xié)議字段為0x8863或0x8864，則為PPPOE認證；一、EAP認證①-(30)，解析用戶標識，即認證分析引擎單元(100)分析EAP包的具體內容，解析出用戶標識，將其傳遞給用戶綜合控制單元(200)；②_(31)，用戶綜合控制單元200將接收到的用戶認證信息封裝成Radius包發(fā)送給發(fā)給外部認證中心(300)；③-(32)，用戶綜合控制單元(200)接收外部認證中心(300)的發(fā)來的 Radius包，解析認證協(xié)商信息；④-(33)，是否協(xié)商出認證結果，是則進入步驟⑤-(34)，否則經過認證分析引擎單元(100)接收用戶綜合控制單元(200)發(fā)來認證協(xié)商信息，將其封裝為EAP包轉發(fā)給用戶-(35)和認證分析引擎單元(100)接收用戶發(fā)來的用戶認證包，解析出用戶認證信息， 轉發(fā)給用戶綜合控制單元200- (36)后，再跳轉到步驟②-(31);⑤-(34)，認證分析引擎單元100接收用戶綜合控制單元(200)發(fā)來的認證結果，將其封裝成EAP包發(fā)送給用戶，完成EAP認證流程-(60)；二、PORTAL認證①-(40)，認證分析引擎單元100通過HTTP重定向方式向用戶推送Portal認證的頁②-(41)，認證分析引擎單元100解析Portal服務器發(fā)來的認證請求包，分析出用戶名和密碼信息，將其轉發(fā)給用戶綜合控制單元；③_(42)，用戶綜合控制單元200將用戶名和密碼封裝成Radius包轉發(fā)給外部認證中心(300)；④-(43)，用戶綜合控制單元(200)接收外部認證中心(300)的發(fā)來的Radius包，解析認證結果，將其轉發(fā)給認證分析引擎單元(100)；⑤-(44)，認證分析引擎單元(100)將認證結果轉發(fā)給Portal服務器，Portal服務器向用戶推送認證成功頁面，完成Portal認證流程-(60)；三、PPPOE認證①-(50)，認證分析引擎單元(100)解析PPPOE協(xié)議的鏈路控制包，與用戶協(xié)商PPPOE 鏈路的參數(shù)；②-(51)，認證分析引擎單元(100)解析PPPOE協(xié)議的認證包，解析出用戶名和密碼信息，將其轉發(fā)給用戶綜合控制單元(200)；③-(52)，用戶綜合控制單元(200)將用戶名和密碼封裝成Radius包轉發(fā)給外部認證中心(300)；④-(53)，用戶綜合控制單元(200)接收外部認證中心(300)的發(fā)來的Radius包，解析認證結果，并轉發(fā)給認證分析引擎單元(100)；⑤-(M)，認證分析引擎單元(100)將認證結果封裝成PPPOE包轉發(fā)給用戶；⑥-(55)，認證分析引擎單元(100)解析PPPOE協(xié)議的用戶請求分配IP地址包，并將請求通知給用戶綜合控制單元(200)；⑦-(56)，用戶綜合控制單元200為用戶分配IP地址，并將其轉發(fā)給認證分析引擎單元 100 ；⑧-(57)，認證分析引擎單元(100)將用戶分配IP地址封裝成PPPOE包轉發(fā)給用戶， 用戶獲得了 IP地址完成了 PPPOE認證流程-(60)。
全文摘要
本發(fā)明公開了一種WLAN用戶綜合認證系統(tǒng)及其方法，涉及移動通信技術領域。本系統(tǒng)包括WLAN終端與AP子系統(tǒng)和外部認證中心；設置有認證協(xié)議分析引擎單元和用戶綜合控制單元；其連接和交互關系是WLAN終端與AP子系統(tǒng)、認證協(xié)議分析引擎單元和外部認證中心依次連接；認證協(xié)議分析引擎單元，用戶綜合控制單元和外部認證中心依次連接；本發(fā)明通過設計用戶綜合認證系統(tǒng)，使其支持WLAN用戶多種認證方式(包括EAP認證、PORTAL認證和PPPOE認證)，并可通過增加新的認證協(xié)議分析模塊支持新的認證方式，具有較強的擴展性，有效地解決了各類WLAN終端認證兼容性的問題。
文檔編號H04W28/06GK102378178SQ20111040812
公開日2012年3月14日 申請日期2011年12月9日 優(yōu)先權日2011年12月9日
發(fā)明者胡凱 申請人:武漢虹旭信息技術有限責任公司