[发明专利]透明模式的防火墙支持AAA认证功能的方法及系统

说明书

技术领域

本发明涉及网络通信技术领域，特别涉及一种透明模式的防火墙支持AAA认证功能的方法及系统。

背景技术

防火墙作为一实际存在的物理设备，其本身也起到路由的作用，所以在为用户安装防火墙时，就需要考虑如何改动其原有的网络拓扑结构或修改连接防火墙的路由表，以适应用户的实际需要，这样就增加了工作的复杂程度和难度。但如果防火墙采用了透明模式，即采用无IP方式运行，用户将不必重新设定和修改路由，防火墙就可以直接安装和放置到网络中使用，如交换机一样不需要设置IP地址。

透明模式的防火墙就好像是一台网桥(非透明的防火墙好像一台路由器)，网络设备(包括主机、路由器、工作站等)和所有计算机的设置(包括IP地址和网关)无须改变，同时解析所有通过它的报文，既增加了网络的安全性，又降低了用户管理的复杂程度，但由于透明模式的防火墙采用无IP方式运行，难以实现AAA认证功能，从而无法对内网用户访问外网的权限设置，影响了网络使用的安全性。

发明内容

（一）要解决的技术问题

本发明要解决的技术问题是：如何实现透明模式下支持AAA认证功能，以提高了网络使用的安全性。

（二）技术方案

为解决上述技术问题，本发明提供了一种透明模式的防火墙支持AAA认证功能的方法，所述方法包括以下步骤：

S1：当前防火墙上的至少两个物理接口被配置为透明接口，所述当前防火墙还设有一个虚接口；

S2：内网A内的客户端A_X发出连接请求报文时，通过所述虚接口启动tcp代理，并由所述虚接口向所述客户端A_X发送AAA认证请求报文，所述内网A内的客户端A_X与所述当前防火墙上的第一透明接口连接；

S3：所述客户端A_X接收到所述AAA认证请求报文后，发送相应的确认报文和数据报文至所述当前防火墙，所述数据报文包括用户名和密码信息；

S4：所述当前防火墙查找快速转发表，若具有连接记录，则通过所述虚接口直接转发所述连接请求报文，结束所述方法，否则执行下一步；

S5：所述当前防火墙将所述数据报文转发至AAA服务器进行认证，若认证通过，则将所述用户名和密码信息作为连接记录保存至所述快速转发表中，并所述虚接口转发所述连接请求报文，否则丢弃所述连接请求报文。

优选地，步骤S2中，通过所述虚接口启动tcp代理之前，所述当前防火墙判断所述连接请求报文是否为向外网B的服务器所发送的报文，若是，则通过所述虚接口启动tcp代理，所述外网B的服务器与所述当前防火墙上的第二透明接口连接。

优选地，所述外网B的服务器与所述当前防火墙上的第二透明接口之间通过路由器连接。

优选地，所述内网A内的客户端A_X与所述当前防火墙上的第一透明接口之间通过交换机连接。

优选地，所述连接请求报文为能进行AAA认证的http报文、https报文、ftp报文或telnet报文。

本发明还公开了一种透明模式的防火墙支持AAA认证功能的系统，所述系统包括：

配置模块，用于当前防火墙上的至少两个物理接口被配置为没有IP地址的透明接口，所述当前防火墙还设有一个配置有IP地址的虚接口；

认证请求模块，用于内网A内的客户端A_X发出连接请求报文时，通过所述虚接口启动tcp代理，并由所述虚接口向所述客户端A_X发送AAA认证请求报文，所述内网A内的客户端A_X与所述当前防火墙上的第一透明接口连接；

数据发送模块，用于所述客户端A_X接收到所述AAA认证请求报文后，发送相应的确认报文和数据报文至所述当前防火墙，所述数据报文包括用户名和密码信息；

查表模块，用于所述当前防火墙查找快速转发表，若具有连接记录，则通过所述虚接口直接转发所述连接请求报文，结束所述系统，否则执行认证模块；

认证模块，用于所述当前防火墙将所述数据报文转发至AAA服务器进行认证，若认证通过，则将所述用户名和密码信息作为连接记录保存至所述快速转发表中，并所述虚接口转发所述连接请求报文，否则丢弃所述连接请求报文。

（三）有益效果

本发明通过虚接口启动tcp代理，实现了透明模式下支持AAA认证功能，提高了网络使用的安全性。

附图说明