本發(fā)明涉及通信技術(shù)領(lǐng)域，特別涉及一種認證網(wǎng)關(guān)。

背景技術(shù)：

隨著網(wǎng)絡(luò)的快速發(fā)展，網(wǎng)絡(luò)應(yīng)用以其高效、便捷的特點得到廣泛應(yīng)用，如網(wǎng)上證券、網(wǎng)上銀行、電子政務(wù)、電子商務(wù)、企業(yè)遠程辦公等。為滿足用戶的上網(wǎng)需求，網(wǎng)絡(luò)運營商為每個用戶部署一個網(wǎng)關(guān)設(shè)備，對于網(wǎng)關(guān)設(shè)備的有效認證方法是目前亟待解決的問題。

目前，常見的網(wǎng)關(guān)認證技術(shù)有：在鏈路層上所涉及的認證協(xié)議有IEE802.1x，PPP，還有VPN使用的數(shù)據(jù)鏈路封住協(xié)議L2TP和 在應(yīng)用層上的web認證技術(shù)等。然而，上述的網(wǎng)關(guān)認證技術(shù)的系統(tǒng)安全性不高且過于復(fù)雜，認證過程比較繁瑣，同時認證系統(tǒng)的造價高，難以大面積的進行推廣。

為此，我們提出以一種認證網(wǎng)關(guān)來解決上述問題。

技術(shù)實現(xiàn)要素：

本發(fā)明的目的是為了解決背景技術(shù)而提出的一種認證網(wǎng)關(guān)。

為了實現(xiàn)上述目的，本發(fā)明采用了如下技術(shù)方案：

一種認證網(wǎng)關(guān)，包括網(wǎng)絡(luò)認證系統(tǒng)，所述網(wǎng)絡(luò)認證系統(tǒng)包括申請方系統(tǒng)、認證方系統(tǒng)和認證服務(wù)器，所述申請方系統(tǒng)中包含有申請方PAE，且申請方PAE采用EAP的認證機制與LAN連接，所述認證方系統(tǒng)中包含有認證方提供的服務(wù)和認證方PAE，所述認證方提供的服務(wù)通過可控端口與LAN通信連接，所述認證方PAE通過非控端口與LAN通信連接，所述認證服務(wù)器采用EAP的認證機制與認證方PAE通信連接，所述申請方PAE負責(zé)將申請方的信任信息送到認證方PAE作為對認證方PAE詢問的響應(yīng)，所述認證方PAE負責(zé)強制對連接到它的受控端口的申請方PAE進行認證，并且控制受控端口相對應(yīng)的認證狀態(tài)；所述認證方系統(tǒng)通過認證前后打開或關(guān)閉用戶接入端口來進行端口訪問控制，且基于端口訪問控制在LAN設(shè)備的物理接入級對接入設(shè)備進行認證和控制。

在上述技術(shù)方案的基礎(chǔ)上，可以有以下進一步的技術(shù)方案：

所述PAE為端口訪問實體，PAE用于負責(zé)響應(yīng)來自認證方和申請方之間的請求信息，并將這寫信息建立信任關(guān)系，在認證交換的過程中執(zhí)行申請方的角色視為申請方PAE，負責(zé)申請方通信，并將申請方的信任信息交給相對的認證服務(wù)器去檢測以決定隨后的認證狀態(tài)被視為認證方PAE，認證方PAE依據(jù)認證過程的結(jié)構(gòu)控制受控端口的授權(quán)與非授權(quán)狀態(tài)。

所述申請方系統(tǒng)通過接入設(shè)備端口的狀態(tài)判斷是否能接入網(wǎng)絡(luò)，所述接入設(shè)備端口分為授權(quán)端口和非授權(quán)端口，且非授權(quán)端口始終處于雙向連通狀態(tài)，用于傳遞EAP協(xié)議幀，并保證用戶始終可以發(fā)送或接受認證信息，所述授權(quán)端口用于傳遞網(wǎng)絡(luò)資源和服務(wù)，且授權(quán)端口包含有雙向授權(quán)和輸入授權(quán)兩種，以適應(yīng)不同的環(huán)境。

所述的申請方系統(tǒng)中，任何提供一對一連接到申請方系統(tǒng)的物理和邏輯端口都能提供一個連接到LAN上的連接點。

所述端口訪問控制提供對系統(tǒng)功能可選的擴展，并提供一種防止申請方對系統(tǒng)提供的設(shè)備非授權(quán)訪問。

本發(fā)明以IEE802.1x技術(shù)為基礎(chǔ)，使得該網(wǎng)關(guān)認證技術(shù)的應(yīng)用更易推廣，且低廉的造價大大降低了認證系統(tǒng)的建設(shè)成本，提高了該認證網(wǎng)關(guān)的競爭力，同時該認證技術(shù)通過客戶端的形式代替?zhèn)鹘y(tǒng)的Web認證方式，不僅簡單高效，而且安全性高，用戶所當(dāng)心的出現(xiàn)信息泄露問題的概率大大降低，為該認證網(wǎng)關(guān)的推廣提供了有利條件。

附圖說明

圖1是本發(fā)明提出的一種認證網(wǎng)關(guān)的網(wǎng)絡(luò)認證系統(tǒng)結(jié)構(gòu)示意圖；

圖2是本發(fā)明提出的一種認證網(wǎng)關(guān)認證方系統(tǒng)的可控端口和不可控端口結(jié)構(gòu)示意圖；

圖3是本發(fā)明提出的一種認證網(wǎng)關(guān)認證方系統(tǒng)的授權(quán)狀態(tài)下結(jié)構(gòu)示意圖；

圖4是本發(fā)明提出的一種認證網(wǎng)關(guān)認證方系統(tǒng)的非授權(quán)狀態(tài)下工作時結(jié)構(gòu)示意圖。

具體實施方式

下面結(jié)合具體實施例來對本發(fā)明進一步說明。

參照圖1-4，一種認證網(wǎng)關(guān)，包括網(wǎng)絡(luò)認證系統(tǒng)，網(wǎng)絡(luò)認證系統(tǒng)包括申請方系統(tǒng)、認證方系統(tǒng)和認證服務(wù)器，申請方系統(tǒng)中包含有申請方PAE，且申請方PAE采用EAP的認證機制與LAN連接，認證方系統(tǒng)中包含有認證方提供的服務(wù)和認證方PAE，認證方提供的服務(wù)通過可控端口與LAN通信連接，認證方PAE通過非控端口與LAN通信連接，認證服務(wù)器采用EAP的認證機制與認證方PAE通信連接。

PAE為端口訪問實體，PAE用于負責(zé)響應(yīng)來自認證方和申請方之間的請求信息，并將這寫信息建立信任關(guān)系，在認證交換的過程中執(zhí)行申請方的角色視為申請方PAE，負責(zé)申請方通信，并將申請方的信任信息交給相對的認證服務(wù)器去檢測以決定隨后的認證狀態(tài)被視為認證方PAE，認證方PAE依據(jù)認證過程的結(jié)構(gòu)控制受控端口的授權(quán)與非授權(quán)狀態(tài)。

申請方系統(tǒng)通過接入設(shè)備端口的狀態(tài)判斷是否能接入網(wǎng)絡(luò)，接入設(shè)備端口分為授權(quán)端口和非授權(quán)端口，且非授權(quán)端口始終處于雙向連通狀態(tài)，用于傳遞EAP協(xié)議幀，并保證用戶始終可以發(fā)送或接受認證信息，授權(quán)端口用于傳遞網(wǎng)絡(luò)資源和服務(wù)，且授權(quán)端口包含有雙向授權(quán)和輸入授權(quán)兩種，以適應(yīng)不同的環(huán)境。的申請方系統(tǒng)中，任何提供一對一連接到申請方系統(tǒng)的物理和邏輯端口都能提供一個連接到LAN上的連接點。

申請方PAE負責(zé)將申請方的信任信息送到認證方PAE作為對認證方PAE詢問的響應(yīng)，認證方PAE負責(zé)強制對連接到它的受控端口的申請方PAE進行認證，并且控制受控端口相對應(yīng)的認證狀態(tài)。認證方系統(tǒng)通過認證前后打開或關(guān)閉用戶接入端口來進行端口訪問控制，且基于端口訪問控制在LAN設(shè)備的物理接入級對接入設(shè)備進行認證和控制。端口訪問控制提供對系統(tǒng)功能可選的擴展，并提供一種防止申請方對系統(tǒng)提供的設(shè)備非授權(quán)訪問，例如：如果關(guān)注的系統(tǒng)是MAC橋，則要想嚴格的控制可訪問的公開橋端口的訪問，就需要在對橋的訪問和與相連接的LAN上加以控制。如果想嚴格的控制一個部門成員僅在一個組織內(nèi)部的LAN訪問，訪問控制的實現(xiàn)需要靠系統(tǒng)強制申請方到系統(tǒng)的受控端口認證，并根據(jù)認證過程的結(jié)構(gòu)決定是否可以訪問受控端口的訪問。如果申請方?jīng)]有得到訪問的權(quán)限，系統(tǒng)設(shè)置受控端口狀態(tài)到非授權(quán)狀態(tài)。

以上所述，僅為本發(fā)明較佳的具體實施方式，但本發(fā)明的保護范圍并不局限于此，任何熟悉本技術(shù)領(lǐng)域的技術(shù)人員在本發(fā)明揭露的技術(shù)范圍內(nèi)，根據(jù)本發(fā)明的技術(shù)方案及其發(fā)明構(gòu)思加以等同替換或改變，都應(yīng)涵蓋在本發(fā)明的保護范圍之內(nèi)。