[发明专利]一种基于扩展802.1X的接入认证方法及系统

说明书

本发明涉及通信领域的接入认证技术，其公开了一种基于扩展802.1X的接入认证方法及系统，解决传统技术中通过对交换机端口的静态配置来阻止伪DHCP服务器接入到局域网的手段存在的不能适用于大规模动态变化的网络环境的问题。本发明通过对802.1X协议进行扩展，在接入设备向接入终端发送EAP认证请求时，要求接入终端反馈的应答信息中包含需要对外提供的服务信息，从而在认证服务器对该接入终端的所述需要对外提供的服务信息进行认证，接入设备根据认证结果在接口上配置相应允许或拒绝此类服务报文的ACL规则，在收到对应类型的报文时根据ACL规则决定对报文的放行或拒绝；而对于接入终端不需要对外提供的服务类型，则在接入设备的端口上配置阻止接入终端这些服务类型的报文的ACL规则。

技术领域

本发明涉及通信领域的接入认证技术，具体涉及一种基于扩展802.1X的接入认证方法及系统。

背景技术

用户上网通常采用的是通过访问DHCP(动态主机配置协议)服务器的方式来获取地址。在一个局域网中，通常只会搭建一台DHCP服务器，如图1所示。

而实际网络中可能会出现在一个局域网中同时存在2台DHCP服务器的情况，其中有一台DHCP服务器为假冒的。如图2所示，DHCP服务器A是正常服务器，DHCP服务器B是私设服务器(伪服务器)。

在客户端在发起DHCP Discover(DHCP发现)报文后，DHCP服务器A和DHCP服务器B都会回应DHCP offer(DHCP响应)报文，若客户端先收到了DHCP服务器B的报文，根据DHCP的优先规则，客户端将会选择DHCP服务器B并继续后续的交互流程，最终也会获取DHCP服务器B分配的地址。此时，客户端也就无法从正确的路径访问互联网。

为了防止伪DHCP服务器对网络造成的影响，目前常见的解决方式是采用DHCPSnooping(DHCP监听)，比如图2中的交换机上有3个接口分别为if1、if2和if3，if3连接下游的客户端，if1和if2分别连接上游的DHCP服务器A和DHCP服务器B。通过配置if1为trust(信任)端口，if2为untrust(非信任)端口。

客户端在发出DHCP Discover后，DHCP服务器A和B都会回应DHCP Offer报文，而由于if1是trust端口,那么if1端口收到DHCP服务器A的DHCP offer报文会正常转发处理。而if2是untrust端口，则会将收到的DHCP服务器B的DHCP offer报文进行丢弃处理。

然而，由于上述手段是通过对交换机端口的静态配置来阻止伪DHCP服务器接入到局域网中，需要知晓伪DHCP服务器的接入端口，并且需要手动配置，效率低，不能适用于大规模动态变化的网络环境。

发明内容

本发明所要解决的技术问题是：提出一种基于扩展802.1X的接入认证方法及系统，解决传统技术中通过对交换机端口的静态配置来阻止伪DHCP服务器接入到局域网的手段存在的不能适用于大规模动态变化的网络环境的问题。

一方面，本发明的实施例提供了一种基于扩展802.1X的接入认证系统，包括：

接入设备，用于向接入终端发送EAP(扩展认证协议)认证请求，在获取接入终端的应答信息后，对应答信息进行封装上传至认证服务器，根据认证服务器对接入终端需要对外提供的服务的认证结果，对相应服务类型的报文进行放行或阻止；

接入终端，用于在应答接入设备的EAP认证请求时回应需要对外提供的服务；

认证服务器，用于对接入终端需要对外提供的服务进行认证。

作为进一步优化，所述接入设备包括：

EAP认证请求模块，用于向接入终端发送EAP认证请求；

封装模块，用于在获取接入终端的应答信息后，对应答信息进行封装上传至认证服务器；