基于无感知的校园网有线无线体化认证校园网有线无线一体化认证.pdf

基于无感知的 校园网有线校园网有线无线无线一体化认证体化认证 南开大学信息化建设与管理办公室 林初建 报告要点报告要点 研究背景 技术路线比较与选择 认证框架认证框架 认证机制与实现 一些问题与对策 总结总结 研究背景研究背景 移动终端的普及，用户通过多终端跨区域认证 ——要求统一认证方式 用户要求流量可控，网络安全管理的需要 ——要求提供二次认证 基于基于BRASBRAS的校园网基础架构扁平化部署的校园网基础架构扁平化部署 ——创造了在保证安全接入的前提下，简化 并统并统一认证过程的可行性认证过程的可行性 技术路线比较与选择技术路线比较与选择 网络场景 认证方式 认证 客户端 无感知 可控性 方式 要求 认证 有线网络有线网络 无线网络无线网络 准入准入 准出准出 二次认证二次认证 802.1X 适用 适用 适用 适用 不适用 需要 支持 高 PPPoE 适用 不适用 适用 适用 不适用 需要 不支持 高 IPoE 适用 不适用 适用 不适用 不适用 需要 支持 低 MACMAC 适用适用 适用适用 适用适用 不适用不适用 不适用不适用 不需要不需要 支持支持 低低 portal 适用 适用 适用 适用 适用 需要 不支持 高 技术技术路线比较与选择路线比较与选择 DHCP+MAC+Portal的技术路线 在用户进行首次准入认证和准出认证前 由DHCP为用户终端分配IP地址 通过终端MAC地址进行准入认证，并 根据认证结果把用户分配到不同的认证 域，分别实现基于MAC的无感知准入 和首次PORTAL准入过程中用户和MAC 对应关系对应关系绑定绑定。 以PORTAL方式实现用户准出认证 认证框架认证框架 PORTAL RADIUS 数据库 用户终端用户终端 BRASBRAS DHCP 客户端 NAS子系统 业务控制子系统 认证框架组成认证框架组成 客户端客户端 安装有可以运行HTTP、HTTPS的浏览器的终端；浏览器用于触发 portal认证，通过portal向BRAS提交用户认证信息。 NASNAS子系统子系统： BRAS：负责网络承载和业务控制，通过认证域(domain)对服务控制 策略的引用，实现对用户的业务控制和管理。 DHCPDHCP服务器服务器：通过为通过为BRASBRAS上的不同认证域绑定不同的地址池上的不同认证域绑定不同的地址池，实现实现 不同接口下的用户终端IP地址的分配。 业务控制子系统 RADIUSRADIUS服务器服务器：：与与BRASBRAS结