CN110943962B - 一种认证方法、网络设备和认证服务器以及转发设备 - Google Patents

Abstract

公开了一种认证方法、网络设备和认证服务器以及转发设备，用于提高终端的认证效率。认证方法，包括：接收转发设备转发的报文，报文的源IP地址为终端的IP地址，报文的源MAC地址为第一MAC地址，第一MAC地址为转发设备的MAC地址；获取地址映射中与终端的IP地址对应的第二MAC地址，其中，第二MAC地址为终端的MAC地址，地址映射包括：终端的IP地址到第二MAC地址的映射；向认证服务器发送认证请求，认证请求用于触发认证服务器进行认证，认证请求包括第二MAC地址；接收来自认证服务器的认证指示，认证指示用于指示第二MAC地址所标识的终端认证成功；响应于认证指示，允许源IP地址为终端的IP地址的报文通过。

Description

一种认证方法、网络设备和认证服务器以及转发设备

技术领域

本申请涉及计算机领域，尤其涉及一种认证方法、网络设备和认证服务器以及转发设备。

背景技术

强制门户(captive portal)认证方式中，当终端和认证点设备之间存在三层转发设备时，三层转发设备转发客户端设备的报文时会修改报文的介质访问控制(MediaAccess Control，MAC)头。因此，认证点设备以互联网协议(Internet Protocol，IP)地址来唯一的标识用户。

由于用户的IP地址在用户重新上线后可能不同，终端在IP地址变化后需要重新进行强制门户认证，用户体验差。

发明内容

本申请提供了一种认证方法、网络设备和认证服务器以及转发设备，用于提高终端的认证效率。

第一方面，本申请提供一种认证方法，包括：接收转发设备转发的报文，所述报文的源互联网协议IP地址为终端的IP地址，所述报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述转发设备的MAC地址；获取地址映射中与所述终端的IP地址对应的第二MAC地址，其中，所述第二MAC地址为所述终端的MAC地址，所述地址映射包括：所述终端的IP地址到所述第二MAC地址的映射；向认证服务器发送认证请求，所述认证请求用于触发所述认证服务器进行认证，其中，所述认证请求包括所述第二MAC地址；接收来自所述认证服务器的认证指示，所述认证指示用于指示所述第二MAC地址所标识的所述终端认证成功；响应于所述认证指示，允许源IP地址为所述终端的IP地址的报文通过。

在本申请的上述实施例中，根据认证服务器发送的认证指示确定第二MAC地址所标识的终端认证成功，若终端发送的报文对应的MAC地址是第二MAC地址，由于认证服务器已经记录第二MAC地址为认证通过的MAC地址，则不需要再发送认证请求，直接确认已经认证成功，对该报文通过放行，避免了终端在IP地址变化后需要重新进行强制门户认证，提高了终端的认证效率，用户体验优于现有技术的重新认证方案。

在第一方面的一种可能的实现方式中，所述方法还包括：从所述转发设备获取所述地址映射。

在本申请的一些实施例中，认证点设备或者门户服务器可以从转发设备获取到地址映射，然后存储该地址映射。从而认证点设备或者门户服务器可以通过该地址映射确定出与终端的IP地址对应的该终端的MAC地址。

在第一方面的一种可能的实现方式中，所述获取地址映射中与所述终端的IP地址对应的第二MAC地址，包括：获取所述转发设备在所述报文中添加的所述第二MAC地址。

在本申请的一些实施例中，转发设备可以在报文的净荷中添加终端的MAC地址(即第二MAC地址)，添加终端的MAC地址的报文中包括IP头中的终端的IP地址和净荷中的终端的MAC地址，因此该报文包括地址映射。转发设备可以用独立的报文向认证点设备发送地址映射。

第二方面，本申请还提供一种认证方法，包括：认证服务器接收第一地址映射，所述第一地址映射包括第一IP地址到MAC地址的映射；认证服务器接收认证点设备发送的第一认证请求，所述第一认证请求包括所述第一IP地址；所述认证服务器根据所述第一地址映射确定与所述第一IP地址对应的MAC地址；所述认证服务器在认证成功后记录所述MAC地址，以指示所述MAC地址对应的认证结果为认证成功，并向所述认证点设备回复第一认证指示，所述第一认证指示用于指示所述第一IP地址所标识的设备认证成功；所述认证服务器接收第二地址映射，并用所述第二地址映射替换所述第一地址映射，所述第二地址映射包括第二IP地址到所述MAC地址的映射；所述认证服务器接收所述认证点设备发送的第二认证请求，所述第二认证请求包括所述第二IP地址；所述认证服务器根据所述第二地址映射确定与所述第二IP地址对应的所述MAC地址，然后根据记录的所述MAC地址确定认证成功；所述认证服务器向所述认证点设备回复第二认证指示，所述第二认证指示用于指示所述第二IP地址所标识的设备认证成功。

在本申请实施例中，认证服务器在首次对用户认证之后，在认证成功的情况下会记录下终端的MAC地址，当终端再发送报文时，认证点设备可以从认证服务器接收到第二IP地址所标识的设备认证成功，因此认证点设备不需要再次进行用户认证，只需要根据已记录的MAC地址确定该报文可放行，提高了终端的认证效率。

在第二方面的一种可能的实现方式中，所述认证服务器接收第一地址映射，包括：所述认证服务器从转发设备获取所述第一地址映射；所述认证服务器接收第二地址映射，包括：所述认证服务器从所述转发设备获取所述第二地址映射。

在本申请的一些实施例中，认证服务器可以直接和转发设备进行通信，认证服务器接收第一地址映射，该第一地址映射可以由转发设备发送。例如，认证服务器从转发设备获取第一地址映射。

第三方面，本申请还提供一种认证方法，包括：转发设备获取来自终端的第一报文，所述第一报文的源互联网协议IP地址为所述终端的IP地址，所述第一报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述终端的MAC地址；所述转发设备将所述第一报文的源MAC地址修改为第二MAC地址，保持所述第一报文的源IP地址，并在所述第一报文的净荷中添加所述第一MAC地址以得到第二报文，其中，所述第二MAC地址为所述转发设备的MAC地址；所述转发设备发送所述第二报文。

在本申请实施例中，转发设备可以在报文的净荷中添加终端的MAC地址(即第一MAC地址)，添加终端的MAC地址的报文中包括IP头中的终端的IP地址和净荷中的终端的MAC地址，因此该报文包括地址映射。转发设备发送第二报文，从而认证点设备可以从该第二报文中的地址映射中确定出终端的MAC地址。

第四方面，本申请还提供一种网络设备，包括：接收模块，用于接收转发设备转发的报文，所述报文的源互联网协议IP地址为终端的IP地址，所述报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述转发设备的MAC地址；处理模块，用于获取地址映射中与所述终端的IP地址对应的第二MAC地址，其中，所述第二MAC地址为所述终端的MAC地址，所述地址映射包括：所述终端的IP地址到所述第二MAC地址的映射；发送模块，用于向认证服务器发送认证请求，所述认证请求用于触发所述认证服务器进行认证，其中，所述认证请求包括所述第二MAC地址；所述接收模块，还用于接收来自所述认证服务器的认证指示，所述认证指示用于指示所述第二MAC地址所标识的所述终端认证成功；所述处理模块，还用于响应于所述认证指示，允许源IP地址为所述终端的IP地址的报文通过。

在第四方面的一种可能实现中，所述处理模块，还用于从所述转发设备获取所述地址映射。

在第四方面的一种可能实现中，所述处理模块，还用于获取所述转发设备在所述报文中添加的所述第二MAC地址。

在本申请的第四方面中，网络设备的组成模块还可以执行前述第一方面以及各种可能的实现方式中所描述的步骤，详见前述对第一方面以及各种可能的实现方式中的说明。

第五方面，本申请还提供一种认证服务器，包括：接收模块，用于接收第一地址映射，所述第一地址映射包括第一IP地址到MAC地址的映射；所述接收模块，还用于接收认证点设备发送的第一认证请求，所述第一认证请求包括所述第一IP地址；处理模块，用于根据所述第一地址映射确定与所述第一IP地址对应的MAC地址；所述处理模块，还用于在认证成功后记录所述MAC地址，以指示所述MAC地址对应的认证结果为认证成功；发送模块，用于向所述认证点设备回复第一认证指示，所述第一认证指示用于指示所述第一IP地址所标识的设备认证成功；所述接收模块，还用于接收第二地址映射，并用所述第二地址映射替换所述第一地址映射，所述第二地址映射包括第二IP地址到所述MAC地址的映射；所述接收模块，还用于接收所述认证点设备发送的第二认证请求，所述第二认证请求包括所述第二IP地址；所述处理模块，还用于根据所述第二地址映射确定与所述第二IP地址对应的所述MAC地址，然后根据记录的所述MAC地址确定认证成功；所述发送模块，还用于向所述认证点设备回复第二认证指示，所述第二认证指示用于指示所述第二IP地址所标识的设备认证成功。

在第五方面的一种可能设计中，所述处理模块，还用于从转发设备获取所述第一地址映射；从所述转发设备获取所述第二地址映射。

在本申请的第五方面中，认证服务器的组成模块还可以执行前述第二方面以及各种可能的实现方式中所描述的步骤，详见前述对第二方面以及各种可能的实现方式中的说明。

第六方面，本申请还提供一种转发设备，包括：处理模块，用于获取来自终端的第一报文，所述第一报文的源互联网协议IP地址为所述终端的IP地址，所述第一报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述终端的MAC地址；所述处理模块，还用于将所述第一报文的源MAC地址修改为第二MAC地址，保持所述第一报文的源IP地址，并在所述第一报文的净荷中添加所述第一MAC地址以得到第二报文，其中，所述第二MAC地址为所述转发设备的MAC地址；发送模块，用于发送所述第二报文。

在本申请的第六方面中，转发设备的组成模块还可以执行前述第三方面以及各种可能的实现方式中所描述的步骤，详见前述对第三方面以及各种可能的实现方式中的说明。

第七方面，本申请提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当其在计算机上运行时，使得计算机执行上述第一方面或第二方面或第三方面所述的方法。

第八方面，本申请提供了一种包括指令的计算机程序产品，当其在计算机上运行时，使得计算机执行上述第一方面或者第二方面或第三方面所述的方法。

第九方面，本申请提供一种通信装置，该通信装置可以是网络设备、认证服务器、或者转发设备或者芯片等实体，所述通信装置包括：处理器，所述处理器用于执行如前述第一方面或第二方面或第三方面中任一项所述的方法。

进一步的，在本申请的第九方面的一种可能实现中，通信装置还包括：存储器；所述存储器用于存储指令；所述处理器用于执行所述存储器中的所述指令。

进一步的，在本身的第九方面的一种可能实现中，通信装置，还包括：收发器，所述收发器用于在所述处理器的控制下进行报文的收发。

第十方面，本申请提供了一种认证系统，该认证系统包括：认证点设备和认证服务器，其中，认证点设备可以执行上述第一方面所述的方法，认证服务器可以执行上述第二方面所述的方法。

附图说明

图1为本申请实施例提供的一种通信系统的组成架构示意图；

图2为本申请实施例提供的认证点设备、认证服务器和转发设备之间的一种交互流程示意图；

图3为本申请实施例提供的认证点设备、认证服务器之间的一种交互流程示意图；

图4为本申请实施例提供的一种网络设备的组成结构示意图；

图5为本申请实施例提供的一种认证服务器的组成结构示意图；

图6为本申请实施例提供的一种转发设备的组成结构示意图；

图7为本申请实施例提供的另一种网络设备的组成结构示意图；

图8为本申请实施例提供的另一种认证服务器的组成结构示意图；

图9为本申请实施例提供的另一种转发设备的组成结构示意图。

具体实施方式

本申请实施例提供了一种认证方法、网络设备和认证服务器以及转发设备，用于提高终端的认证效率。

下面结合附图，对本申请的实施例进行描述。

本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的术语在适当情况下可以互换，这仅仅是描述本申请的实施例中对相同属性的对象在描述时所采用的区分方式。

本申请实施例提供的认证方法可以用于强制门户认证场景，例如校园、球场、旅游景点、机场以及商场等部署无线局域网(wireless local area networks，WLAN)网络，用户可以使用智能手机等终端接入网络，接入方式可以为强制门户方式。用户每一次重新上线都需要打开浏览器，输入账号、密码，非常麻烦。用户希望第一次输入账号、密码进行认证后，后面接入网络不需要再次输入账号、密码。用户第一次认证的时候记录下用户的MAC地址作为账号，后面使用MAC认证，即通过用户的MAC地址进行认证，另外，该账号还可以设置有老化时间，在账号的老化时间到达之后，需要重新进行用户认证。

本申请实施例的认证方法可以应用于一种通信系统，本申请实施例提供的通信系统中至少可以包括:网络设备、认证服务器和转发设备。如图1所示，该网络设备可以具体为认证点设备，或者门户(portal)服务器。

认证点设备用于根据认证服务器提供的认证结果确定是否转发来自终端的报文。该认证点设备上还可以集成有门户服务器的功能，即认证点设备可以获取到用户在网页上输入的账号、密码，然后认证点设备发送认证请求给认证服务器，认证请求携带有认证凭据，该认证凭据为账号、密码。另外门户服务器也可以是独立于认证点设备以外的独立设备，则门户服务器在获取到账号、密码之后可以发送给认证点设备，然后认证点设备发送认证请求给认证服务器，认证请求携带有认证凭据，该认证凭据为账号、密码。

认证服务器用于验证用户是否可以获得网络访问权，例如该认证服务器可以是认证授权计费(authentication authorization accounting，AAA)服务器。

转发设备可以和终端进行通信，转发设备可以接收到来自终端的报文，然后转发设备转发来自终端的报文，例如该转发设备可以包括：路由器、交换机、防火墙等。例如，终端可以是手机、平板电脑、电脑、虚拟现实设备、增强现实设备、工业控制中的终端、无人驾驶终端、远程手术终端、智能电网终端、智慧城市中的终端、智慧家庭(smart home)中的终端等等。

在本申请的一些实施例中，用户第一次申请账号后，通过网页输入账号、密码，门户服务器获取到账号、密码之后发送给认证点设备，认证点设备发送认证请求给认证服务器，认证服务器使账号、密码作为认证凭据进行认证，认证服务器存储有用户的账号，该认证服务器对用户进行认证，认证服务器向认证点设备发送认证结果，该认证结果可以包括：认证成功或者认证失败，例如在认证成功时，认证点设备记录终端的MAC地址为认证成功的MAC地址。认证点设备根据认证服务器发送的认证结果对终端的报文进行发送或者拦截。例如，在终端发送报文给转发设备之后，转发设备发送该报文至认证点设备，认证点设备根据记录的MAC地址确认该报文认证成功。

如果终端和认证点设备之间存在三层转发设备，由于转发设备会改变其转发的报文的MAC地址，认证点设备和认证服务器只能以IP地址识别终端。当终端重新上线之后，终端的IP地址可能发生变化。如果终端的IP地址变化，认证服务器不会认为该终端是曾经认证成功过的终端，从而需要重新进行强制门户认证。因此，终端IP地址的改变会要求用户重新输入账号、密码，导致用户体验差。

为解决该问题，本申请实施例中转发设备生成终端的IP地址和终端的MAC地址之间的地址映射。转发设备可以向认证点设备或认证服务器发送该地址映射，以便认证服务器以MAC地址为依据记录曾经认证成功过的终端。例如图2所示的认证流程中，转发设备向认证点设备发送该地址映射。认证点设备存储该地址映射，并以MAC地址为终端的标识发起认证流程。由于认证点设备以MAC地址为终端的标识发起认证流程，认证服务器以MAC地址为依据记录曾经认证成功过的终端。图3所示的认证流程中，转发设备向认证服务器发送该地址映射。认证服务器存储该地址映射，并以MAC地址为依据记录曾经认证成功过的终端。

接下来请参阅图2所示，为本申请实施例提供的认证点设备、认证服务器和转发设备之间的一种交互流程示意图。本申请一个实施例提供的认证方法，可以包括：

201、转发设备获取终端的报文，该报文的源IP地址为终端的IP地址，该报文的源MAC地址为第一MAC地址。其中，第一MAC地址为终端的MAC地址。

在本申请实施例中，终端首先发送报文。例如，该报文的报文头中包括有源IP地址和源MAC地址，转发设备接收并转发该报文。该报文的源IP地址为终端的IP地址，终端的IP地址在用户重新上线之后可能不同，因此终端重新上线之后发送的报文的报文头中的源IP地址可能发生变化。

202、转发设备向认证点设备发送报文。转发设备执行三层转发，因此该报文的源MAC地址不再是终端的MAC地址，该报文的源MAC地址从第一MAC地址修改为第二MAC地址，该第二MAC地址指的是转发设备的MAC地址。

在本申请的一些实施例中，转发设备可以在报文的净荷中添加终端的MAC地址(即第一MAC地址)，也可以向认证点设备发送地址映射。添加终端的MAC地址的报文中包括IP头中的终端的IP地址和净荷中的终端的MAC地址，因此该报文包括地址映射。转发设备可以用独立的报文向认证点设备发送地址映射。其中，地址映射包括终端的IP地址到第一MAC地址的映射。例如，若终端的IP地址为IP1，终端的MAC地址为MAC1，则该地址映射可以表示为：IP1-MAC1地址映射。

如果用独立的报文向认证点设备发送地址映射，在该地址映射有更新时，转发设备还向认证点设备发送更新后的地址映射，以替换旧的地址映射。举例说明，转发设备可以使用自定义或者标准协议配置的上送通道来发送地址映射，例如可以采用的协议有：简单网络管理协议(Simple Network Management Protocol，SNMP)陷阱(trap)、系统日志(syslog)、表象性状态转变(Representational State Transfer，REST)应用编程接口(Application Programming Interface，API)等。

在本申请的一些实施例中，转发设备可以主动用独立的报文向认证点设备发送地址映射，或认证点设备向转发设备请求获取地址映射，转发设备响应于认证点设备的请求，回复地址映射。

其中，转发设备可以学习到地址映射。例如转发设备采用地址解析协议(AddressResolution Protocol，ARP)学习、互联网控制信息协议版本六(Internet ControlManagemet Protocol Version 6，ICMPv6)或者动态主机配置协议(Dynamic HostConfiguration Protocol，DHCP)窥探(snooping)等方式获取到与终端的IP地址对应的终端的MAC地址。然后转发设备向认证点设备发送地址映射，从而认证点设备可以接收到该地址映射。

在本申请的一些实施例中，认证点设备存储该地址映射，从而认证点设备可以通过该地址映射确定出与终端的IP地址对应的该终端的MAC地址。

203、认证点设备或门户服务器获取地址映射中与终端的IP地址对应的第一MAC地址。在图2中以认证点设备获取地址映射中与终端的IP地址对应的第一MAC地址为例进行说明。

认证点设备在接收转发设备发送的报文之后，根据终端的IP地址或者对应的终端的MAC地址查询该报文是否被允许通过。例如，认证点设备根据访问控制列表(accesscontrol list，ACL)确定该报文是否被允许通过。若ACL中包括允许源地址为该IP地址或者对应的终端的MAC地址的报文通过的条目，则正常转发该报文。若该报文未被允许通过，认证点设备不按一般转发流程转发该报文，而是向门户服务器转发该报文。门户服务器向认证服务器发送认证请求，认证请求携带终端的MAC地址已作为认证凭据。若认证服务器回复认证成功，则门户服务器从认证服务器接收到认证成功，然后将认证成功发送给认证点设备，指示该认证点设备放行来自该终端的报文。若认证服务器回复认证失败，则门户服务器从认证服务器接收到认证失败，门户服务器向终端发送认证页面。终端在其显示器上呈现认证页面。用户填写认证凭据(例如账号、密码)后，终端将认证凭据发送给门户服务器。门户服务器向认证服务器发送认证请求，该认证请求携带认证凭据。认证服务器根据该认证凭据进行认证。若认证服务器回复认证成功，则门户服务器从认证服务器接收到认证成功，然后将认证成功发送给认证点设备，指示该认证点设备允许放行。

如果该报文包括地址映射，则认证点设备或门户服务器直接从该报文中提取到终端的MAC地址。并且认证点设备存储该报文中的地址映射，例如门户服务器从报文中提取到终端的MAC地址之后发送给认证点设备。

如果该报文不包括地址映射，认证点设备或门户服务器在存储的地址映射中以该报文的源IP地址为索引查找对应的MAC地址。

在步骤203执行之后，在后续步骤204执行之前，以MAC地址作为认证凭据，可以通过如下三种方式实现MAC地址认证：

如果认证点设备和门户服务器通过一个实体设备来实现，该实体设备向认证服务器发送认证请求，认证请求携带作为认证凭据的终端的MAC地址，若认证服务器回复认证成功，则实体设备从认证服务器接收到认证成功，然后允许该终端的报文通过。若认证服务器回复认证失败，执行后续步骤204。

如果认证点设备和门户服务器通过两个独立的设备来实现，则有以下两种可能。

门户服务器获取到终端的MAC地址。然后发送该终端的MAC地址给认证点设备。认证点设备向认证服务器发送认证请求，该认证请求携带终端的MAC地址作为认证凭据。若认证服务器回复认证成功，则记录终端的MAC地址认证通过的MAC地址，认证点设备从认证服务器接收到认证成功，该认证点设备允许该终端的报文通过。若认证服务器回复认证失败，执行后续步骤204。

门户服务器获取到终端的MAC地址。然后门户服务器向认证服务器发送认证请求，该认证请求携带终端的MAC地址作为认证凭据。若认证服务器回复认证成功，则门户服务器指示该认证点设备允许该终端的报文通过。若认证服务器回复认证失败，执行后续步骤204。

204、认证点设备或门户服务器向认证服务器发送认证请求，该认证请求包括第一MAC地址。

如果认证点设备和门户服务器通过一个实体设备来实现，该实体设备向认证服务器发送认证请求。如果认证点设备和门户服务器通过两个独立的设备来实现，则有以下两种可能。

门户服务器获取到终端的账号、密码。然后发送该终端的账号、密码给认证点设备。认证点设备向认证服务器发送认证请求，该认证请求携带账号、密码作为认证凭据。

门户服务器获取到终端的账号、密码。然后门户服务器向认证服务器发送认证请求，该认证请求携带账号、密码作为认证凭据。

205、认证服务器接收认证点设备或门户服务器发送的认证请求。

206、认证服务器进行认证，并在认证成功时确定第一MAC地址为认证成功的MAC地址。

其中，认证点设备发送的认证请求携带的认证凭据为账号、密码，认证服务器可以基于该账号、密码进行强制门户认证。认证服务器确定认证成功之后，认证服务器记录第一MAC地址为认证成功的MAC地址，在下次认证时可以直接根据该第一MAC地址确定认证成功，无需重新进行强制门户认证。另外，本申请实施例中，认证服务器还可以为已记录的第一MAC地址的项目设置老化时间，在该老化时间到达之后，认证服务器需要重新进行认证。

207、认证服务器向认证点设备或门户服务器发送认证指示，认证指示用于指示第一MAC地址所标识的终端认证成功。

208、认证点设备或门户服务器接收该认证指示。

若门户服务器从认证服务器接收到认证指示，则发送给认证指示给认证点设备。

其中，认证点设备通过认证服务器发送的认证指示可以确定第一MAC地址所标识的终端认证成功。

209、认证点设备响应于认证指示，允许源IP地址为终端的IP地址的报文通过。

其中，认证点设备允许源IP地址为终端的IP地址的报文通过可以指的是：门户服务器从认证服务器收到认证成功，发送指示给认证点设备。由认证点设备允许源IP地址为终端的IP地址的报文通过。

认证点设备可以允许源IP地址为终端的IP地址的报文通过，例如认证点设备可以直接识别报文的源IP地址，若该源IP地址为认证成功的IP地址，则报文允许通过，或者认证点设备还可以在识别出报文的源IP地址之后，通过地址映射确定出该源IP地址对应的MAC地址，在确认该MAC地址为已记录的第一MAC地址时，则报文允许通过。认证点设备可以在ACL中添加允许源地址为该IP地址或者对应的终端的MAC地址的报文通过的条目，以允许源IP地址为终端的IP地址的报文通过。

在本申请实施例中，认证点设备根据认证服务器发送的认证指示确定第一MAC地址所标识的终端认证成功，若终端发送的报文对应的MAC地址是第一MAC地址，由于认证点设备从认证服务器接收到已经记录第一MAC地址为认证通过的MAC地址，则认证点设备不需要再发送认证请求，直接确认已经认证成功，对该报文通过放行，提高了终端的认证效率。

在本申请的前述实施例中，图2中示例说明了认证点设备存储地址映射，或者转发设备在报文中携带有终端的IP地址和终端的MAC地址之间的地址映射。接下来以认证点服务器中存储终端的IP地址和终端的MAC地址之间的地址映射进行示例说明，请参阅图3所示，本申请一个实施例提供的认证方法，可以包括：

301、认证服务器接收第一地址映射，第一地址映射包括第一IP地址到MAC地址的映射。

在本申请实施例中，认证服务器可以直接和转发设备进行通信，认证服务器接收第一地址映射，该第一地址映射可以由转发设备发送。例如，认证服务器从转发设备获取第一地址映射。

其中，第一地址映射中的MAC地址可以是终端的MAC地址。例如，该第一地址映射可以是IP地址到MAC地址的对应关系表，例如该地址映射可以是“IP-MAC地址映射”。若第一IP地址为IP1，MAC地址为MAC1，则该地址映射可以表示为：IP1-MAC1地址映射。

302、认证点设备发送第一认证请求，第一认证请求包括第一IP地址。

303、认证服务器接收认证点设备发送的第一认证请求。

304、认证服务器根据第一地址映射确定与第一IP地址对应的MAC地址。

305、认证服务器在认证成功后记录MAC地址，以指示MAC地址对应的认证结果为认证成功。

其中，认证点设备发送的第一认证请求携带的认证凭据为账号、密码，认证服务器可以基于该账号、密码进行强制门户认证。认证服务器确定认证成功之后，认证服务器记录MAC地址为认证成功的MAC地址。另外，本申请实施例中，认证服务器还可以为已记录的MAC地址的项目设置老化时间，在该老化时间到达之后，认证服务器需要重新进行认证。

306、认证服务器向认证点设备回复第一认证指示，第一认证指示用于指示第一IP地址所标识的设备认证成功。

其中，认证点设备接收该第一认证指示，认证点设备通过认证服务器发送的第一认证指示可以确定IP地址所标识的终端认证成功。认证点设备响应于第一认证指示，允许源IP地址为终端的第一IP地址的报文通过。

在终端的IP地址有更新时，执行如下步骤307。

307、认证服务器接收第二地址映射，并用第二地址映射替换第一地址映射，第二地址映射包括第二IP地址到MAC地址的映射。

在本申请实施例中，认证服务器可以直接和转发设备进行通信，认证服务器接收第二地址映射，该第二地址映射可以由转发设备发送。例如，认证服务器从转发设备获取第二地址映射。

在终端的IP地址有更新时，需要对第一地址映射进行更新，转发设备还可以向认证点设备发送第二地址映射，由该认证点设备进行地址映射的替换。该第二地址映射中的第二IP地址为终端重新上线后使用的IP地址。

308、认证点设备发送第二认证请求，第二认证请求包括第二IP地址。

309、认证服务器接收认证点设备发送的第二认证请求。

310、认证服务器根据第二地址映射确定与第二IP地址对应的MAC地址，然后根据记录的MAC地址确定认证成功。

在本申请实施例中，认证服务器存储有第二地址映射，在第二认证请求中携带第二IP地址时，认证服务器通过该第二地址映射确定与第二IP地址对应的MAC地址为记录的MAC地址，此时认证服务器直接确定认证成功，并生成第二认证指示，第二认证指示用于指示第二IP地址所标识的设备认证成功。

311、认证服务器向认证点设备回复第二认证指示。

其中，认证点设备接收该第二认证指示。认证点设备响应于第二认证指示，允许源IP地址为终端的第二IP地址的报文通过。

在本申请实施例中，认证服务器在首次对用户认证之后，在认证成功的情况下会记录下终端的MAC地址，当终端再发送报文时，认证点设备不需要再次进行用户认证，只需要根据已记录的MAC地址确定该报文可放行，提高了终端的认证效率。

需要说明的是，对于前述的各方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请并不受所描述的动作顺序的限制，因为依据本申请，某些步骤可以采用其他顺序或者同时进行。其次，本领域技术人员也应该知悉，说明书中所描述的实施例均属于优选实施例，所涉及的动作和模块并不一定是本申请所必须的。

为便于更好的实施本申请实施例的上述方案，下面还提供用于实施上述方案的相关装置。

请参阅图4所示，本申请实施例提供的一种网络设备400，可以包括：接收模块401、处理模块402、发送模块403，其中，

接收模块401，用于接收转发设备转发的报文，所述报文的源互联网协议IP地址为终端的IP地址，所述报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述转发设备的MAC地址；

处理模块402，用于获取地址映射中与所述终端的IP地址对应的第二MAC地址，其中，所述第二MAC地址为所述终端的MAC地址，所述地址映射包括：所述终端的IP地址到所述第二MAC地址的映射；

发送模块403，用于向认证服务器发送认证请求，所述认证请求用于触发所述认证服务器进行认证，其中，所述认证请求包括所述第二MAC地址；

所述接收模块401，还用于接收来自所述认证服务器的认证指示，所述认证指示用于指示所述第二MAC地址所标识的所述终端认证成功；

所述处理模块402，还用于响应于所述认证指示，允许源IP地址为所述终端的IP地址的报文通过。

在本申请的一些实施例中，所述处理模块402，还用于从所述转发设备获取所述地址映射。

在本申请的一些实施例中，所述处理模块402，还用于获取所述转发设备在所述报文中添加的所述第二MAC地址。

请参阅图5所示，本申请实施例提供的一种认证服务器500，可以包括：接收模块501、处理模块502、发送模块503，其中，

接收模块501，用于接收第一地址映射，所述第一地址映射包括第一IP地址到MAC地址的映射；

所述接收模块501，还用于接收认证点设备发送的第一认证请求，所述第一认证请求包括所述第一IP地址；

处理模块502，用于根据所述第一地址映射确定与所述第一IP地址对应的MAC地址；

所述处理模块502，还用于在认证成功后记录所述MAC地址，以指示所述MAC地址对应的认证结果为认证成功；

发送模块503，用于向所述认证点设备回复第一认证指示，所述第一认证指示用于指示所述第一IP地址所标识的设备认证成功；

所述接收模块501，还用于接收第二地址映射，并用所述第二地址映射替换所述第一地址映射，所述第二地址映射包括第二IP地址到所述MAC地址的映射；

所述接收模块501，还用于接收所述认证点设备发送的第二认证请求，所述第二认证请求包括所述第二IP地址；

所述处理模块502，还用于根据所述第二地址映射确定与所述第二IP地址对应的所述MAC地址，然后根据记录的所述MAC地址确定认证成功；

所述发送模块503，还用于向所述认证点设备回复第二认证指示，所述第二认证指示用于指示所述第二IP地址所标识的设备认证成功。

在本申请的一些实施例中，所述处理模块502，还用于从转发设备获取所述第一地址映射；从所述转发设备获取所述第二地址映射。

请参阅图6所示，本申请实施例提供的一种转发设备600，可以包括：处理模块601、发送模块602，其中，

处理模块601，用于获取来自终端的第一报文，所述第一报文的源互联网协议IP地址为所述终端的IP地址，所述第一报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述终端的MAC地址；

发送模块602，用于将所述第一报文的源MAC地址修改为第二MAC地址，保持所述第一报文的源IP地址，并在所述第一报文的净荷中添加所述第一MAC地址以得到第二报文，其中，所述第二MAC地址为所述转发设备的MAC地址。

需要说明的是，上述装置各模块/单元之间的信息交互、执行过程等内容，由于与本申请方法实施例基于同一构思，其带来的技术效果与本申请方法实施例相同，具体内容可参见本申请前述所示的方法实施例中的叙述，此处不再赘述。

本申请实施例还提供一种计算机存储介质，其中，该计算机存储介质存储有程序，该程序执行包括上述方法实施例中记载的部分或全部步骤。

如图7所示，为本申请实施例的又一种网络设备的结构示意图，该网络设备可以包括：处理器701(例如CPU)。在本申请的一些实施例中，网络设备还可以包括：存储器702。在本申请的一些实施例中，网络设备还可以包括：收发器703。收发器703耦合至处理器701，处理器701控制收发器703的发送动作和接收动作。存储器702可能包括RAM、磁盘存储器或其组合。存储器702中可以存储各种指令，以用于完成各种处理功能以及实现本申请实施例的方法步骤。可选的，本申请实施例涉及的网络设备还可以包括：电源705、通信总线706以及通信端口707中的一个或多个。收发器703可以集成在网络设备的一个收发器件中，也可以为网络设备上分别独立的收、发天线。通信总线706用于实现元件之间的通信连接。上述通信端口707用于实现网络设备与其他外设之间进行连接通信。

在本申请实施例中，上述存储器702用于存储计算机可执行程序代码，程序代码包括指令；当处理器701执行指令时，指令使处理器701执行上述方法实施例中网络设备的处理动作，使收发器703执行上述方法实施例中网络设备的发送动作，其实现原理和技术效果类似，在此不再赘述。

如图8所示，为本申请实施例的又一种认证服务器的结构示意图，该认证服务器可以包括：处理器801(例如CPU)。在本申请的一些实施例中，认证服务器还可以包括：存储器802。在本申请的一些实施例中，认证服务器还可以包括：收发器803。收发器803耦合至处理器801，处理器801控制收发器803的发送动作和接收动作。存储器802可能包括RAM。例如至少一个磁盘存储器，存储器802中可以存储各种指令，以用于完成各种处理功能以及实现本申请实施例的方法步骤。可选的，本申请实施例涉及的认证服务器还可以包括：电源805、通信总线806以及通信端口807中的一个或多个。收发器803可以集成在认证服务器的一个收发器件中，也可以为认证服务器上分别独立的收、发天线。通信总线806用于实现元件之间的通信连接。上述通信端口807用于实现认证服务器与其他外设之间进行连接通信。

在本申请实施例中，上述存储器802用于存储计算机可执行程序代码，程序代码包括指令；当处理器801执行指令时，指令使处理器801执行上述方法实施例中认证服务器的处理动作，使收发器803执行上述方法实施例中认证服务器的发送动作，其实现原理和技术效果类似，在此不再赘述。

如图9所示，为本申请实施例的又一种转发设备的结构示意图，该转发设备可以包括：处理器901(例如CPU)。在本申请的一些实施例中，转发设备还可以包括：存储器902。在本申请的一些实施例中，转发设备还可以包括：收发器903。收发器903耦合至处理器901，处理器901控制收发器903的发送动作和接收动作。存储器902可能包括RAM。例如至少一个磁盘存储器，存储器902中可以存储各种指令，以用于完成各种处理功能以及实现本申请实施例的方法步骤。可选的，本申请实施例涉及的转发设备还可以包括：电源905、通信总线906以及通信端口907中的一个或多个。收发器903可以集成在转发设备的一个收发器件中，也可以为转发设备上分别独立的收、发天线。通信总线906用于实现元件之间的通信连接。上述通信端口907用于实现转发设备与其他外设之间进行连接通信。

在本申请实施例中，上述存储器902用于存储计算机可执行程序代码，程序代码包括指令；当处理器901执行指令时，指令使处理器901执行上述方法实施例中转发设备的处理动作，使收发器903执行上述方法实施例中转发设备的发送动作，其实现原理和技术效果类似，在此不再赘述。

另外需说明的是，以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以位于一个地方，或者也可以分布到多个网络设备上，可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。

在上述实施例中，可以全部或部分地通过软件、硬件或者其组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、双绞线)或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存储的介质或者是包括一个或多个介质集成的服务器、数据中心等数据存储设备。所述介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，光盘)、或者半导体介质(例如固态硬盘)等。

Claims (12)

1.一种认证方法，其特征在于，包括：

接收转发设备转发的报文，所述报文的源互联网协议IP地址为终端的IP地址，所述报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述转发设备的MAC地址；

获取地址映射中与所述终端的IP地址对应的第二MAC地址，其中，所述第二MAC地址为所述终端的MAC地址，所述地址映射包括：所述终端的IP地址到所述第二MAC地址的映射；

向认证服务器发送认证请求，所述认证请求用于触发所述认证服务器进行认证，其中，所述认证请求包括所述第二MAC地址；

接收来自所述认证服务器的认证指示，所述认证指示用于指示所述第二MAC地址所标识的所述终端认证成功；

响应于所述认证指示，允许源IP地址为所述终端的IP地址的报文通过。

2.根据权利要求1所述的方法，其特征在于，所述方法还包括：

从所述转发设备获取所述地址映射。

3.根据权利要求1或2所述的方法，其特征在于，所述获取地址映射中与所述终端的IP地址对应的第二MAC地址，包括：

获取所述转发设备在所述报文中添加的所述第二MAC地址。

4.一种认证方法，其特征在于，所述方法包括：

认证服务器接收第一地址映射，所述第一地址映射包括第一IP地址到MAC地址的映射；

认证服务器接收认证点设备发送的第一认证请求，所述第一认证请求包括所述第一IP地址；

所述认证服务器根据所述第一地址映射确定与所述第一IP地址对应的MAC地址；

所述认证服务器在认证成功后记录所述MAC地址，以指示所述MAC地址对应的认证结果为认证成功，并向所述认证点设备回复第一认证指示，所述第一认证指示用于指示所述第一IP地址所标识的设备认证成功；

所述认证服务器接收第二地址映射，并用所述第二地址映射替换所述第一地址映射，所述第二地址映射包括第二IP地址到所述MAC地址的映射；

所述认证服务器接收所述认证点设备发送的第二认证请求，所述第二认证请求包括所述第二IP地址；

所述认证服务器根据所述第二地址映射确定与所述第二IP地址对应的所述MAC地址，然后根据记录的所述MAC地址确定认证成功；

所述认证服务器向所述认证点设备回复第二认证指示，所述第二认证指示用于指示所述第二IP地址所标识的设备认证成功。

5.根据权利要求4所述的方法，其特征在于，所述认证服务器接收第一地址映射，包括：

所述认证服务器从转发设备获取所述第一地址映射；

所述认证服务器接收第二地址映射，包括：

所述认证服务器从所述转发设备获取所述第二地址映射。

6.一种网络设备，其特征在于，包括：

接收模块，用于接收转发设备转发的报文，所述报文的源互联网协议IP地址为终端的IP地址，所述报文的源介质访问控制MAC地址为第一MAC地址，所述第一MAC地址为所述转发设备的MAC地址；

处理模块，用于获取地址映射中与所述终端的IP地址对应的第二MAC地址，其中，所述第二MAC地址为所述终端的MAC地址，所述地址映射包括：所述终端的IP地址到所述第二MAC地址的映射；

发送模块，用于向认证服务器发送认证请求，所述认证请求用于触发所述认证服务器进行认证，其中，所述认证请求包括所述第二MAC地址；

所述接收模块，还用于接收来自所述认证服务器的认证指示，所述认证指示用于指示所述第二MAC地址所标识的所述终端认证成功；

所述处理模块，还用于响应于所述认证指示，允许源IP地址为所述终端的IP地址的报文通过。

7.根据权利要求6所述的网络设备，其特征在于，所述处理模块，还用于从所述转发设备获取所述地址映射。

8.根据权利要求6或7所述的网络设备，其特征在于，所述处理模块，还用于获取所述转发设备在所述报文中添加的所述第二MAC地址。

9.一种认证服务器，其特征在于，包括：

接收模块，用于接收第一地址映射，所述第一地址映射包括第一IP地址到MAC地址的映射；

所述接收模块，还用于接收认证点设备发送的第一认证请求，所述第一认证请求包括所述第一IP地址；

处理模块，用于根据所述第一地址映射确定与所述第一IP地址对应的MAC地址；

所述处理模块，还用于在认证成功后记录所述MAC地址，以指示所述MAC地址对应的认证结果为认证成功；

发送模块，用于向所述认证点设备回复第一认证指示，所述第一认证指示用于指示所述第一IP地址所标识的设备认证成功；

所述接收模块，还用于接收第二地址映射，并用所述第二地址映射替换所述第一地址映射，所述第二地址映射包括第二IP地址到所述MAC地址的映射；

所述接收模块，还用于接收所述认证点设备发送的第二认证请求，所述第二认证请求包括所述第二IP地址；

所述处理模块，还用于根据所述第二地址映射确定与所述第二IP地址对应的所述MAC地址，然后根据记录的所述MAC地址确定认证成功；

所述发送模块，还用于向所述认证点设备回复第二认证指示，所述第二认证指示用于指示所述第二IP地址所标识的设备认证成功。

10.根据权利要求9所述的认证服务器，其特征在于，所述处理模块，还用于从转发设备获取所述第一地址映射；从所述转发设备获取所述第二地址映射。

11.一种网络设备，其特征在于，所述网络设备包括：处理器和收发器；

所述处理器用于执行如权利要求1至3任一项所述的方法。

12.一种认证服务器，其特征在于，所述认证服务器包括：处理器和存储器；

所述处理器用于运行所述存储器中的代码以执行如权利要求4至5任一项所述的方法。

Images