认证方法、认证系统以及通信系统与流程

本发明涉及通信技术领域，特别涉及一种认证方法、认证系统以及通信系统。

背景技术：

网络重构的主要技术特征是网络架构的变革，即从垂直封闭架构转向水平开放架构，体现在网络控制与转发分离、网元软硬件的解耦和虚拟化、网络的云化等多个方面,代表性技术有sdn(softwaredefinednetwork，软件定义网络)、nfv(networkfunctionvirtualization，网络功能虚拟化)和云计算。

网络重构目前已成为一个趋势和共识，建设综合的多业务接入边缘，实现多业务的融合，是未来城域网、接入网改造的一个重点。作为接入边缘的核心：bras(broadbandremoteaccessserver宽带远程接入服务器)，是综合多业务接入边缘改造的一个重点。bras进行综合多业务接入边缘改造的方案之一就是实现bras的虚拟化(vbras)。

利用vbras实现网络控制与转发的分离是目前研究运营商、通讯设备厂商的热点之一。将vbras分为控制面设备(vbras-c)与转发面设备(vbras-u)，网络重构后，用户的认证、计费等业务如何实现，目前仍没有具体的实施方案。

目前没有进行网络重构的情况下较为常用的接入认证方案为非会话(session)级ipoe(ipoverethernet，以太网上的网际协议)的接入。如图1所示，终端上线认证的流程中，mse(多业务边缘路由器，一般为bras)只需要具备报文透传转发能力即可，报文到达mse设备后透传转发给dhcp(dynamichostconfigurationprotocol，动态主机配置协议)服务器，然后由dhcp服务器完成与aaa的交互认证流程。

技术实现要素：

发明人发现，现有技术中的认证流程中的报文都需要由mse透传给dhcp服务器再发送至aaa服务器，mse无法与aaa直接交互，无法实现对用户流量的控制，不适用于网络重构场景中对用户精准控制的需求。并且从运维角度，在mse和aaa之间的dhcp服务器成为一个影响全局的故障风险点，一旦故障则整个系统无法运行。

本发明所要解决的一个技术问题是：提出一种适用于控制与转发分离的网络架构的认证方法。

根据本发明的一个实施例，提供的一种认证方法，包括：虚拟宽带接入服务器控制面vbras-c接收虚拟宽带接入服务器转发面vbras-u转发的终端的动态主机配置协议dhcp发现报文；vbras-c根据dhcp发现报文向验证、授权、计费aaa服务器发送接入请求报文，dhcp发现报文和接入请求报文中携带终端的加密的认证信息，认证信息包括用户名信息和密码；aaa服务器对加密的认证信息进行解密，根据认证信息对终端进行认证；aaa服务器将认证结果返回至vbras-c。

在一个实施例中，该方法还包括：aaa服务器在终端认证通过的情况下，建立终端的会话相关信息，并将会话相关信息与认证结果共同发送至vbras-c；vbras-c根据会话相关信息以及认证结果建立用户流表并下发至对应的vbras-u，以便对应的vbras-u根据用户流表对终端的业务流进行转发。

在一个实施例中，dhcp发现报文中还携带终端的媒体访问控制mac地址；终端的会话相关信息包括终端的用户名信息和会话标识；vbras-c根据会话相关信息以及认证结果建立用户流表包括：vbras-c在终端认证通过的情况下，为终端分配ip地址；vbras-c利用终端的用户名信息、会话标识、mac地址和ip地址建立用户流表。

在一个实施例中，dhcp发现报文和接入请求报文中还携带终端的线路信息，用户信息包括账号和域名；aaa服务器根据认证信息对终端进行认证包括：aaa服务器查询账号对应的已存储密码和线路信息，若已存储的密码和线路信息与接入请求报文中的密码和线路信息一致，则确定终端认证通过。

在一个实施例中，该方法还包括：vbras-c接收vbras-u转发的终端的dhcp请求报文；vbras-c根据dhcp请求报文确认为终端分配的ip地址，并向aaa服务器发送计费请求开始报文，计费请求开始报文中携带终端的用户名信息；aaa服务器根据计费请求开始报文开始对终端的计费。

在一个实施例中，该方法还包括：vbras-c接收vbras-u转发的终端的dhcp释放报文；vbras-c根据dhcp释放请求释放终端的ip地址，并向aaa服务器发送计费请求结束报文，计费请求结束报文中携带终端的用户名信息；aaa服务器根据计费请求结束报文结束对终端的计费。

在一个实施例中，dhcp发现报文中的选项60字段携带加密的认证信息，选项82字段携带终端的线路信息。

根据本发明的另一个实施例，提供的一种认证系统，包括：虚拟宽带接入服务器控制面vbras-c以及验证、授权、计费aaa服务器；vbras-c用于接收虚拟宽带接入服务器转发面vbras-u转发的终端的动态主机配置协议dhcp发现报文，根据dhcp发现报文向aaa服务器发送接入请求报文，dhcp发现报文和接入请求报文中携带终端的加密的认证信息，认证信息包括用户名信息和密码；aaa服务器用于对加密的认证信息进行解密，根据认证信息对终端进行认证，将认证结果返回至vbras-c。

在一个实施例中，aaa服务器还用于在终端认证通过的情况下，建立终端的会话相关信息，并将会话相关信息与认证结果共同发送至vbras-c；vbras-c还用于根据会话相关信息以及认证结果建立用户流表并下发至对应的vbras-u，以便对应的vbras-u根据用户流表对终端的业务流进行转发。

在一个实施例中，dhcp发现报文中还携带终端的媒体访问控制mac地址；终端的会话相关信息包括终端的用户名信息和会话标识；vbras-c用于在终端认证通过的情况下，为终端分配ip地址，利用终端的用户名信息、会话标识、mac地址和ip地址建立用户流表。

在一个实施例中，dhcp发现报文和接入请求报文中还携带终端的线路信息，用户信息包括账号和域名；aaa服务器用于查询账号对应的已存储密码和线路信息，若已存储的密码和线路信息与接入请求报文中的密码和线路信息一致，则确定终端认证通过。

在一个实施例中，vbras-c还用于接收vbras-u转发的终端的dhcp请求报文根据dhcp请求报文确认为终端分配的ip地址，并向aaa服务器发送计费请求开始报文，计费请求开始报文中携带终端的用户名信息；aaa服务器还用于根据计费请求开始报文开始对终端的计费。

在一个实施例中，vbras-c还用于接收vbras-u转发的终端的dhcp释放报文，根据dhcp释放请求释放终端的ip地址，并向aaa服务器发送计费请求结束报文，计费请求结束报文中携带终端的用户名信息；aaa服务器还用于根据计费请求结束报文结束对终端的计费。

在一个实施例中，dhcp发现报文中的选项60字段携带加密的认证信息，选项82字段携带终端的线路信息。

根据本发明的又一个实施例，提供的一种通信系统，包括：前述任一个实施例的认证系统；以及虚拟宽带接入服务器转发面vbras-u；vbras-u用于接收终端发送的动态主机配置协议dhcp发现报文并转发至虚拟宽带接入服务器控制面vbras-c，dhcp发现报文携带终端的加密的认证信息，认证信息包括用户名信息和密码。

在一个实施例中，vbras-u还用于接收vbras-c下发的用户流表，根据用户流表对终端的业务流进行转发；或者，vbras-u还用于接收终端的dhcp请求报文并转发至vbras-c，接收vbras-c返回的dhcp响应报文转发至终端，dhcp响应报文携带对终端分配的ip地址的确认以及计费开始的通知消息；或者，vbras-u还用于接收终端的dhcp释放报文并转发至vbras-c。

本发明的方案适用于网络重构的控制面与转发面分离的dhcp接入认证的业务场景，通过vbras-c与aaa服务器直接进行交互，由aaa服务器对用户的认证信息进行解密，认证，在保证认证的安全性的同时，取代了传统的dhcp服务器，降低了系统的整体故障风险。

通过以下参照附图对本发明的示例性实施例的详细描述，本发明的其它特征及其优点将会变得清楚。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出现有技术的认证方法的流程示意图。

图2示出本发明的一个实施例的通信系统的结构示意图。

图3示出本发明的一个实施例的认证方法的流程示意图。

图4示出本发明的另一个实施例的认证方法的流程示意图。

图5示出本发明的又一个实施例的认证方法的流程示意图。

图6示出本发明的一个实施例的认证系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。以下对至少一个示例性实施例的描述实际上仅仅是说明性的，决不作为对本发明及其应用或使用的任何限制。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

针对控制与转发分离的新的网络架构，提出一种认证方法，下面结合图2描述本发明的通信系统的网络架构。

图2为本发明通信系统一个实施例的结构图。如图2所示，通信系统20包括：认证系统300以及vbras-u202。认证系统300包括：vbras-c302以及aaa服务器304。

vbras-c302作为控制面主要负责终端的认证接入流程，可以采用通用服务器实现虚拟化，可以与aaa服务器304直接进行交互。aaa服务器304负责对终端进行认证和计费等。后续实施例中将对认证系统300进行具体描述。

vbras-u202作为转发面主要负责终端的业务数据流的转发以及将控制信令等转发至vbras-c302，可以采用传统的mse设备等实现。

在一个实施例中，vbras-u202用于接收vbras-c302下发的用户流表，根据用户流表对终端的业务流进行转发。

在一个实施例中，vbras-u202用于接收终端发送的dhcp发现报文并转发至vbras-c302，dhcp发现报文携带终端的加密的认证信息，认证信息包括用户名信息和密码。

在一个实施例中，vbras-u202还用于接收终端的dhcp请求报文并转发至vbras-c302，接收vbras-c302返回的dhcp响应报文转发至终端，dhcp响应报文携带对终端分配的ip地址的确认以及计费开始的通知消息。

在一个实施例中，vbras-u202还用于接收终端的dhcp释放报文并转发至vbras-c302。

图2中，cr为核心路由器，olt为光线路终端，属于现有技术中的设备实体，在此不再赘述。

本发明还提供一种认证方法，下面结合图2和图3进行描述。

图3为本发明认证方法一个实施例的流程图。如图3所示，该实施例的方法包括：

步骤s302，vbras-c302接收vbras-u202转发的终端的dhcp发现报文。

终端上电后发起dhcp发现报文，经过vbras-u202转发至vbras-c302。dhcp发现报文中携带终端的加密的认证信息，认证信息包括用户名信息和密码，用户名信息包括账号和域名，账号为系统为终端分配的唯一标识，域名可以用于表示终端的业务类型，后续aaa服务器进行计费等服务时可以根据域名对不同的业务类型进行不同的计费等操作。加密的认证信息可以通过dhcp发现报文中的选项(option)60携带。dhcp发现报文中还可以携带终端的线路信息，例如，终端路由经过的各设备的端口号。线路信息可以通过选项(option)82携带。

采用用户名信息加密码的认证方式，相对于利用mac地址的认证方式，能够解决未来mac地址冲突导致认证风险较大的问题，提高认证的安全性。

步骤s304，vbras-c302根据dhcp发现报文向aaa服务器304发送接入请求报文。

接入请求报文中携带终端的加密的认证信息。vbras-c302获取终端的dhcp发现报文可以对该报文进行解析，触发认证流程，截取发现(discovery)报文中的相关信息上报aaa服务器304，将nas-port-id(非接入层端口标识)属性设置为端口号+option82字段的形式，username(用户名)属性以终端mac@option60字段的形式，加入接入请求(access-request)报文上报到aaa服务器。

步骤s306，aaa服务器304对加密的认证信息进行解密，根据认证信息对终端进行认证。

aaa服务器304可以根据终端的账号和密码对终端进行认证，进一步可以结合终端的线路信息对终端进行认证，后者可以提高认证的安全性。

具体的，aaa服务器304查询账号对应的已存储密码和线路信息，若已存储的密码和线路信息与接入请求报文中的密码和线路信息一致，则确定终端认证通过。

vbras-c一般为各厂商的设备，利用其对用户信息进行解密存在安全隐患，如果采用dhcp服务器进行解密，dhcp服务器需要较强的计算能力，并且会成为全网的故障风险点。本实施例中采用aaa服务器对用户信息进行解密，既安全又能降低全网的故障风险。

步骤s308，aaa服务器304将认证结果返回vbras-c302。

vbras-c302根据认证结果确定是否为终端分配ip地址。

在一个实施例中，该方法还可以包括：

步骤s309，aaa服务器304在终端认证通过的情况下，建立终端的会话相关信息，并将会话相关信息发送至vbras-c302。

在认证通过的情况下，aaa服务器304会对终端建立会话(session)用的相关属性，包括：vbras-c设备地址、用户名信息和密码、线路信息以及会话标识(sessionid)等。aaa服务器304会将会话相关信息连同认证结果一起发送至vbras-c302，会话相关信息包括终端的用户名信息和会话标识。以便vbras-c302为终端分配ip地址以及建立用户流表等。

由vbras-c直接与aaa服务器进行交互，并建立会话级属性，实现了终端会话级接入。相对于现有技术中mse透传终端信息的非会话级接入流程，vbras-c和aaa服务器可以对终端的流量进行精准的控制，适用于控制面与转发面的分离的新的网络架构。

上述实施例的方案适用于网络重构的控制面与转发面分离的业务场景，通过vbras-c与aaa服务器直接进行交互，由aaa服务器对用户的认证信息进行解密，认证，在保证认证的安全性的同时，取代了传统的dhcp服务器，降低了系统的整体故障风险。

本发明的方案可以实现会话级ipoe的认证，具体体现在，vbras-c直接向aaa服务器转发终端的认证信息，aaa服务器对用户信息解密认证后建立会话相关属性，并将会话相关信息发送至vbras-c，至此，vbras-c和aaa服务器能够对终端进行精准识别，向终端下发相应的控制指令。对终端的流量进行控制。

具体的，vbras-c根据会话相关信息以及认证结果建立用户流表并下发至对应的vbras-u，对应的vbras-u根据用户流表对终端的业务流进行转发。vbras-c可以根据option82中的线路信息或vxlanid别终端对应的vbras-u，一个终端可以通过多个vbras-u发起dhcp发现请求，vbras-c可以根据预设规则选取vbras-u下发用户流表，例如选取最早接收到的dhcp发现请求对应的vbras-u。

进一步，vbras-c在终端认证通过的情况下，为终端分配ip地址,利用终端的用户名信息、会话标识、mac地址和ip地址建立用户流表。

在终端认证通过后，还需要对终端分配ip地址、进行计费等，完成终端上线的过程，进一步，终端的下线过程对于控制面和转发面分离的网络架构也与现有技术中不同。下面结合图4进行描述终端认证之后的上线和下线过程。

图4为本发明认证方法另一个实施例的流程图。如图4所示，在步骤s308和s309之后还可以包括：

步骤s410，vbras-c302响应于终端认证通过，为终端分配ip地址，并通过dhcp提供(offer)报文将分配的ip地址通过vbras-u202返回至终端。

vbras-c302中可以设置dhcp服务模块为终端分配ip地址，通过dhcpoffer报文返回至终端。

步骤s412，vbras-c302接收vbras-u202转发的终端的dhcp请求报文。

终端接收到dhcpoffer报文后发现其中的ip地址，则进一步发起dhcp请求报文，请求分配该ip地址。

步骤s414，vbras-c302根据dhcp请求报文确认为终端分配的ip地址，并向aaa服务器304发送计费请求开始报文。

计费请求开始报文中携带终端的用户名信息。可以通过dhcp服务模块确认为终端分配的ip地址。

步骤s416，aaa服务器304根据计费请求开始报文开始对终端的计费，并向vbras-c302返回计费响应报文。

步骤s418，vbras-c302根据计费响应报文以及确认为终端分配的ip地址生产dhcp确认(ack)报文，通过vbras-u202返回至终端。

终端接收到dhcp确认(ack)报文即完成上线过程。至此，用户会话信息上线，vbras-c302可以通过openflow技术向vbras-u202下发用户流表。

上述实施例中由vbras-c完成为终端分配ip地址以及与aaa服务器交互的过程，取代现有技术中的dhcp服务器，降低了全网的故障风险。

进一步，终端的下线过程如图4所示，该实施例的方法还可以包括：

步骤s420，vbras-c302接收vbras-u202转发的终端的dhcp释放报文。

步骤s422，vbras-c302根据dhcp释放请求释放终端的ip地址，并向aaa服务器304发送计费请求结束报文。

计费请求结束报文中携带终端的用户名信息。可以通过dhcp服务模块释放终端的ip地址。

步骤s424，aaa服务器304根据计费请求结束报文结束对终端的计费，并向vbras-c302返回计费响应结束报文。

上述实施例由vbras-c完成释放终端ip地址以及与aaa服务器交互的过程，取代现有技术中的dhcp服务器，降低了全网的故障风险。

下面结合图5描述本发明的认证方法的一个具体实施例。

图5为本发明认证方法又一个实施例的流程图。如图5所示，该实施例的方法包括：

步骤s502，终端上线后发起dhcpdiscovery报文，通过option60携带加密的认证信息，option82携带接入信息。

步骤s504，vbras-c接收到vbras-u转发的dhcpdiscovery报文之后，触发aaa认证流程，截取discovery报文中的相关信息上报aaa服务器，将nas-port-id属性设置为端口号+ption82字段的形式，username属性以终端mac@option60字段的形式，加入access-request(接入请求)报文上报到aaa服务器。

vbras-u通过vxlan(虚似扩展局域网)向vbras-c转发终端的各种控制信令。

步骤s506，aaa服务器收到access-request报文，解析出option60字段中的用户名信息和密码，结合option82中的线路信息对终端的合法性进行认证。

步骤s508，aaa服务器返回给vbras-c认证结果，若认证通过，需要在access-accept(接入接受)报文中返回会话相关信息和认证结果，aaa服务器建立会话相关属性。

步骤s510，vbras-c收到认证通过的报文后，为终端分配ip地址，并插入option125属性，通过vbras-u将dhcpoffer报文转发给终端。

option125属性用于终端验证dhcp服务模块的合法性，属于现有技术，在此不再赘述。

步骤s512，终端获取ip地址并发送dhcprequest报文。

步骤s514，vbras-c接收到vbras-u转发的dhcprequest报文确认为终端分配ip地址，并发送accounting-requeststart(计费请求开始)报文给aaa服务器。

accounting-requeststart报文中携带用户名信息。

步骤s516，aaa服务器收到accounting-requeststart报文之后回复vbras-caccounting-response报文完成终端上线过程。

步骤s518，vbras-c通过vbras-u回复终端dhcpack报文。

步骤s520，终端下线时，发起dhcprelease(释放)报文。

步骤s522，vbras-c接收到vbras-u转发的dhcprelease报文，释放终端的ip地址，同时向aaa服务器上报accounting-requeststop报文。

步骤s524，aaa服务器回复accounting-response报文回复vbras-c完成终端下线。

上述实施例满足了网络重构控制面和转发面分离的必备条件，充分利用了vbras-c的高可靠、可扩展、高效率、高弹性的能力，实现终端的管理和接入协议的处理，符合网络演进的方向。基于aaa服务器的逆向认证，降低了dhcp服务器的故障风险点和维护成本，提高运维能力。可基于aaa和vbras-c的业务策略下发，实现用户的精准控制。

根据上述各实施例，vbras和aaa服务器需要进行以下改进：

vbras-c需要做以下改造：

(1)需要修改认证、计费报文的格式以满足aaa的格式要求

(2)补丁升级，具备session级ipoe接入能力。

aaa服务器需要做以下改造：

(1)access-request(接入请求)报文中username属性支持解析为mac@option60，option60解析为账号@域名，根据域名识别终端的业务类型

(2)支持使用6号属性service-type区分pppoe(基于以太网的点对点协议)和ipoe,其中pppoe为2，ipoe值为5

(3)支持access-request(接入请求)报文中nas-port-id属性解析，以外层vlan208，内层vlan2816为例，nas-port-id则为eth1/2/27:208.2816(空格)option82。

(4)认证逻辑中校验绑定，支持剥离nas-port-id剥离设备端口信息，只校验option82中线路信息。

本发明还提供一种认证系统，下面结合图6进行描述。

图6为本发明认证系统一个实施例的结构图。如图6所示，认证系统300包括：vbras-c302以及aaa服务器304。

vbras-c302用于接收vbras-u202转发的终端的动态主机配置协议dhcp发现报文，根据dhcp发现报文向aaa服务器304发送接入请求报文，dhcp发现报文和接入请求报文中携带终端的加密的认证信息，认证信息包括用户名信息和密码。

dhcp发现报文中的选项60字段携带加密的认证信息。

aaa服务器304用于对加密的认证信息进行解密，根据认证信息对终端进行认证，将认证结果返回至vbras-c302。

优选的，dhcp发现报文和接入请求报文中还携带终端的线路信息(可以通过选项82字段携带终端的线路信息)，用户信息包括账号和域名；aaa服务器304用于查询账号对应的已存储密码和线路信息，若已存储的密码和线路信息与接入请求报文中的密码和线路信息一致，则确定终端认证通过。

在一个实施例中，aaa服务器304还用于在终端认证通过的情况下，建立终端的会话相关信息，并将会话相关信息与认证结果共同发送至vbras-c302。

vbras-c302还用于根据会话相关信息以及认证结果建立用户流表并下发至对应的vbras-u202，以便对应的vbras-u202根据用户流表对终端的业务流进行转发。

在一个实施例中，dhcp发现报文中还携带终端的mac地址，终端的会话相关信息包括终端的用户名信息和会话标识。

vbras-c302用于在终端认证通过的情况下，为终端分配ip地址，

利用终端的用户名信息、会话标识、mac地址和ip地址建立用户流表。

认证系统300中各装置还用于完成终端的上线和下线过程，具体如下：

在一个实施例中，vbras-c302还用于接收vbras-u202转发的终端的dhcp请求报文根据dhcp请求报文确认为终端分配的ip地址，并向aaa服务器304发送计费请求开始报文，计费请求开始报文中携带终端的用户名信息。

aaa服务器304还用于根据计费请求开始报文开始对终端的计费。

在另一个实施例中，vbras-c302还用于接收vbras-u202转发的终端的dhcp释放报文，根据dhcp释放请求释放终端的ip地址，并向aaa服务器304发送计费请求结束报文，计费请求结束报文中携带终端的用户名信息。

aaa服务器304还用于根据计费请求结束报文结束对终端的计费。

本领域内的技术人员应当明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用非瞬时性存储介质(包括但不限于磁盘存储器、cd-rom、光学存储器等)上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解为可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。