[发明专利]一种MAC认证方法和设备

说明书

技术领域

本发明涉及网络技术领域，尤其涉及一种MAC认证方法和设备。

背景技术

MAC(Medium Access Control，媒体接入控制)认证是一种基于端口和MAC地址对用户的网络访问权限进行控制的方法，用户不需要任何客户端软件进行配合，交换机在首次检测到此用户的MAC地址以后，启动对此用户的认证。发起认证后，把用户的MAC地址作为用户名传给RADIUS(RemoteAuthentication Dial In User Service，远程用户拨号认证系统)Client，然后由RADIUS Client通过RADIUS协议报文同RADIUS Server进行交互，最终由Sever完成对此MAC用户的认证。在添加MAC认证用户时，可以用两种方式配置：一种是指定用户名和密码都是用户的MAC地址(格式为HH-HH-HH-HH-HH-HH)；另一种是由用户配置固定的用户名和密码，此时不论用户的MAC地址为何值，交换机都会使用配置好的用户名和密码向RADIUS Server发起认证。某个MAC地址的用户设备如果能通过认证，软件就把此MAC地址刷新到相应的Port上，即添加到二层转发表中，然后此用户就可以访问LAN(Local AreaNetwork，局域网)内的资源；如果不能通过认证，则无法访问LAN内的资源，相当于物理上断开连接。

控制系统包括接入认证接口部分、认证连接管理部分-ACM(AccessControl Module访问控制模块)模块、RADIUS协议接口部分-RADIUS客户端、本地用户服务器部分，各部分间关系如图1所示。

端口安全规定了在交换机产品上基于端口和MAC地址的安全端口机制。这种机制通过检测数据帧中的MAC地址来控制经由交换机端口对网络的访问。

当安全机制开启后，如果端口或者MAC地址未经认证成功，那么端口发送或接受的数据帧将被过滤或者只能进行受限的访问。认证成功的MAC将被保存在MAC地址表中。被认证授权的MAC地址可以是管理员配置的永久性地址，也可以是经由某种认证机制产生的，后者只能是动态的，当用户认证失败或下线时后会被删除。

现有技术中提供了一种MAC地址认证方法，如图2所示。具体的，添加接入层交换机，通过该交换机把需要认证的用户终端单独接入，该二层交换机上连到汇聚层交换机的端口进行MAC认证。以图2所示的情况为例，新增接入层交换机A-2，需认证的用户终端PC4和PC5单独从该交换机接入，上行到汇聚层交换机的端口P2和P4具备MAC认证功能，对通过A-2接入的用户终端进行验证。

使用该方法时，存在的问题如下：添加接入层交换机的方法增加了成本和网络复杂度，而且一旦汇聚层交换机的端口配置MAC认证功能后其他用户将无法使用此端口，只能通过另外增加端口的方法解决。该方法将极大的增加网管的工作量，也提高了故障发生的几率。

发明内容

本发明解决的问题是提供一种MAC认证方法，以实现认证过程中对接入的用户终端的细致划分与管理。

为达到上述目的，本发明提供一种MAC认证方法，包括以下步骤：

认证设备的认证端口接收到交换设备发送的报文时，获取发送所述报文的终端的源MAC地址以及所属的VLAN；

所述认证设备根据发送所述报文的终端的源MAC地址、所属的VLAN以及预设的VLAN属性，对所述报文进行处理。

其中，所述认证设备的认证端口接收到交换设备发送的报文前，还包括步骤：配置所述认证设备以及所述交换设备，

所述配置具体为：

配置所述认证设备上与所述交换设备连接的端口为具有MAC认证功能的认证端口；

划分所述交换设备下不同终端所属的VLAN，将不同的VLAN配置为不需认证的非认证VLAN或需要认证的认证VLAN，并将所述交换设备下的VLAN信息通知所述认证设备。

其中，所述交换设备发送报文具体为：

所述交换设备接收到终端发送的报文；

所述交换设备获取发送所述报文的终端所属的VLAN，并在所述报文中添加所述VLAN的标识；

所述交换设备向所述认证设备发送所述携带VLAN标识的报文。

其中，所述认证设备获取发送报文的终端所属的VLAN的步骤具体为：

所述认证设备根据所述报文中携带的VLAN的标识，获取发送所述报文的终端所属的VLAN。

其中，所述认证设备发送报文的终端的源MAC地址、所属的VLAN以及预设的VLAN属性，对报文进行处理的步骤具体包括：