web认证流程及常见问题分析

单击此处编辑母版标题样式,单击此处编辑母版文本样式,第二级,第三级,第四级,第五级,*,web认证流程及常见问题分析,2010.12.16 junky,GO,Whats WEB,认证,认证技术是,AAA,（认证，授权，计费）的初始步骤，,AAA,一般包括用户终端、,AAAClient,、,AAA Server,和计费软件四个环节。用户终端与,AAA Client,之间的通信方式通常称为认证方式。目前的主要技术有以下三种：,PPPoE,、,Web,Portal,、,IEEE802.1x,。,三种方式的技术优缺点,PPPoE,优点：,是传统,PSTN,窄带拨号接入技术在以太网接入技术的延伸,和原有窄带网络用户接入认证体系一致,最终用户相对比较容易接收,缺点：,PPP,协议和,Ethernet,技术本质上存在差异，,PPP,协议需要被再次封装到以太帧中，所以封装效率很低,PPPoE,在发现阶段会产生大量的广播流量，对网络性能产生很大的影响,组播业务开展困难，而视频业务大部分是基于组播的,需要运营商提供客户终端软件，维护工作量过大,PPPoE,认证一般需要外置,BAS,，认证完成后，业务数据流也必须经过,BAS,设备，容易造成单点瓶颈和故障，而且该设备通常非常昂贵,WEB+Portal,优点：,不需要特殊的客户端软件，降低网络维护工作量,可以提供,Portal,等业务认证,缺点：,WEB,承载在,7,层协议上，对于设备的要求较高，建网成本高,用户连接性差，不容易检测用户离线，基于时间的计费较难实现,易用性不够好，用户在访问网络前，不管是,TELNET,、,FTP,还是其它业务，必须使用浏览器进行,WEB,认证,IP,地址的分配在用户认证前，如果用户不是上网用户，则会造成地址的浪费，而且不便于多,ISP,的支持,8021X,优点：,802.1x协议为二层协议，不需要到达三层，而且接入层交换机无需支持802.1q的VLAN，对设备的整体性能要求不高，可以有效降低建网成本,通过组播实现，解决其他认证协议广播问题，对组播业务的支持性好。业务报文直接承载在正常的二层报文上；用户通过认证后，业务流和认证流实现分离，对后续的数据包处理没有特殊要求,缺点：,需要特定客户端软件,网络现有楼道交换机的问题：由于,802.1x,是比较新的二层协议，要求楼道交换机支持认证报文透传或完成认证过程，因此在全面采用该协议的过程中，存在对已经在网上的用户交换机的升级处理问题,IP,地址分配和 网络安全问题：,802.1x,协议是一个,2,层协议，只负责完成对用户端口的认证控制，对于完成端口认证后，用户进入三层,IP,网络后，需要继续解决用户,IP,地 址分配、三层网络安全等问题，因此，单靠以太网交换机,802.1x,，无法全面解决城域网以太接入的可运营、可管理以及接入安全性等方面的问题,计费问题：,802.1x,协议可以根据用户完成认证和离线间的时间进行时长计费，不能对流量进行统计，因此无法开展基于流量的计费或满足用户永远在线的要求,综合比较,GO,WEB+Portal,认证流程,WEB,认证流程,用户开始部分,流程描述,用户无线成功链接瘦AP,用户DHCP获取IP地址，地址一般由AC分配,用户HTTP 请求上网，AC推送Portal URL，携带ssid、userip、ACname等信息,Portal Server返回请求页面,与Portal Server 交互流程,流程描述,与,Portal,交互流程，有,CHAP,和,PAP,两种,用户上线,CHAP,认证流程,用户访问网站，经过,AC,重定向到,Portal Server,，,Portal Server,推送认证页面,用户填入用户名、密码，提交页面，向,Portal Server,发起连接请求,Portal Server,向,AC,请求,Challenge,AC,分配,Challenge,给,Portal Server,Portal Server,向,AC,发起认证请求,而后,AC,进行,RADIUS,认证，获得,RADIUS,认证结果,AC,向,Portal Server,送认证结果,Portal Server,将认证结果填入页面，和门户网站一起推送给客户,Portal Server,回应确认收到认证结果的报文,用户上线,PAP,认证流程,用户访问网站，经过,AC,重定向到,Portal Server,，,Portal Server,推送认证页面,用户填入用户名、密码，提交页面，向,Portal Server,发起连接请求,Portal Server,向,AC,发起认证请求,而后,AC,进行,RADIUS,认证，获得,RADIUS,认证结果,AC,向,Portal Server,送认证结果,Portal Server,将认证结果填入页面，和门户网站一起推送给客户,Portal Server,回应确认收到认证结果的报文,与Radius Server 交互流程,流程描述,与,Portal,服务器认证流程成功结束后由,Portal,服务器发起认证请求,AC,接收到认证请求报文后向,Radius,服务器发送认证请求报文,Radius,服务器返回认证响应,AC,返回认证结果给,Portal,服务器。（以及相关业务属性）,Portal,服务器根据认证结果，推送认证结果页面,Portal,服务器回应,AC,收到认证结果报文。如果认证失败，则流程到此结束。,认证如果成功，,AC,发起计费开始请求给,RADIUS,用户认证服务器,RADIUS,回应计费开始响应报文，并将响应信息返回给,AC,。用户上线完毕，开始上网,在用户上网过程中，为了保护用户计费信息，每隔一段时间,AC,就向,RADIUS,用户认证服务器报一个实时计费信息，包括当前用户上网总时长，以及用户总流量信息,RADIUS,计费服务器回应实时计费确认报文给,AC,当,AC,收到下线请求时，向,RADIUS,用户认证服务器发计费结束报文,RADIUS,计费服务器回应,AC,的计费结束报文,正常下线流程,流程描述,当用户需要下线时，可以点击认证结果页面上的下线机制，向,Portal,服务器发起,一个下线请求,Portal,服务器向,AC,发起下线请求,AC,返回下线结果给,Portal,服务器,Portal,服务器根据下线结果，推送含有对应的信息的页面给用户,当,AC,收到下线请求时，向,RADIUS,用户认证服务器发计费结束报文,RADIUS,用户认证服务器回应,AC,的计费结束报文,异常下线流程,流程描述,AC,侦测到用户下线，向,Portal,服务器发出下线请求,Portal,服务器回应下线成功,当,AC,收到下线请求时，向中央,RADIUS,计费服务器发计费结束报文,中央,RADIUS,计费服务器回应,AC,的计费结束报文,用户强制下线流程,流程描述,AC,侦测到用户的本次连接最大允许接入时间结束，向,Portal,服务器发出下线请求,Portal,服务器回应下线成功,并向用户推送下线结果页面,当,AC,收到下线请求时，向中央,RADIUS,计费服务器发计费结束报文,中央,RADIUS,计费服务器回应,AC,的计费结束报文,DM消息强制下线流程,流程描述,Radius,向,AC,下发,Disconnect-Request,消息,AC,向,Portal,服务器发出下线请求,Portal,服务器回应下线成功,并向用户推送下线结果页面,AC,向,Radius,回应,Disconnect-ACK,下线成功,AC,向中央,RADIUS,计费服务器发计费结束报文,中央,RADIUS,计费服务器回应,AC,的计费结束报文,如,AC,踢用户下线失败，则向,Radius,回应,Disconnect-NAK,WEB,认证流程报文分析,上线流程报文,报文描述,4 号报文是,Portal Server,to,AC,(Request Challenge,:0 x01,),5 号报文是,AC,to,Portal Server,(ACK Challenge:,0 x02,),6 号报文是,Portal Server,to,AC,(Request Auth:,0 x03,),7 号报文是,AC,to,Radius Server,(Access Request),8 号报文是,Radius Server,to,AC,(Access Accept),9 号报文是,AC,to,Radius Server,(Accounting Request Start),10 号报文是,AC,to,Portal Server,(ACK Auth:,0 x04,),11 号报文是,Portal Server,to,AC,(AFF ACK Auth:,0 x07,),12 号报文是,Radius Server,to,AC,(Accounting Response),下线流程报文,报文描述,80,号报文是,Portal Server,to,AC,(Request Logout:,0 x05,),81,号报文是,AC,to,Portal Server,(ACK Logout:,0 x06,),82,号报文是,AC,to,Radius Server,(Accounting Request Stop),83,号报文是,Radius Server,to,AC,(Accounting Response),中间计费报文,报文描述,38,号报文是,AC,to,Radius Server,(Accounting Request Status),39,号报文是,Radius Server,to,AC,(Accounting Response),GO,常见问题分析,Portal,页面无法推出,通常,Portal,页面推不出一般是由,AC,、,Portal,服务器地址配置不正确引起,AC,的,Portal,服务器地址确认加入到认证前白名单中？,URL,中的,User IP,是否在,Portal Server,的地址池中？,Wlan,ACname,是否正确？,认证失败,引起,Radius Server,返回认证被拒绝的情况有很多：,认证请求报文中参数不正确,用户名是否正确,NAS_IP_ADDRESS,AC,的外网,IP,CALLED_STATION_ID,用户所连,AP,的,MAC,还有,SSID,，注意格式,CALLING_STATION_ID,用户,MAC,地址,NAS ID,，通常是计费时使用，确认是否设置正确,ACCT_SESSION_ID,认证中唯一的,ID,，用户,MAC,加上累加值,用户下线失败吊死,Radius,服务器用户上线后继续登录，或由于某种原因下线失败导致吊死在,Radius,上的情况,中间计费报文,主要查看报文中计费信息是否准确是否有异常超大值出现,Thank You!,