目录
802.1x认证点多,配置量大,因此提出了portal认证
Portal认证也称为Web认证,通过网站的形式进行身份认证,免除客户端(只需要网络浏览器的支持,也可以使用Portal客户端软件进行认证),一般将Portal认证网站称为门户网站
Portal组网架构
认证客户端
一般为运行HTTP/HTTPS协议的浏览器,也可以是运行Portal客户端软件的主机
接入设备NAS
一般为交换机或路由器,主要有三个作用
在认证之前,将用户的所有HTTP请求都重定向到Portal服务器
在认证过程中,与Portal服务器、认证/计费服务器等进行交互,完成身份认证/计费的功能
在认证通过后,允许用户访问被管理员授权的互联网资源
Portal服务器
接收Portal客户端认证请求,提供基于Web认证的界面
与接入设备交互认证客户端的认证信息
认证/计费服务器
与接入设备进行交互,完成对用户的认证和计费
通常为Radius服务器
Portal协议报文格式
Portal端口号为UDP 2000
Version Portal协议版本号
默认为0x02
Poratl协议常用报文Type
REQ_CHALLENGE Portal服务器向接入设备发送的挑战请求报文 0x01(也可以是终端发给Portal服务器)
ACK_CHALLENGE 接入设备对Portal服务器的挑战请求的响应报文 0x02(也可以是Portal服务器发给终端)
REQ_AUTH Portal服务器向接入设备发送的认证请求报文 0x03(也可以是终端发给Portal服务器)
ACK_AUTH 接入设备对Portal服务器的认证请求报文的响应 0x04(也可以是Portal服务器发给终端)
AFF_ACK_AUTH Portal服务器向接入设备发送认证成功的响应报文 0x07(也可以是终端发给Portal服务器)
REQ_LOGOUT Portal服务器向接入设备发送的下线请求报文 0x05
ACK_LOGOUT 接入设备对Portal服务器下线请求的响应报文 0x06
NTF_LOGOUT 接入设备向Portal服务器发送用户被强制下线通知的报文 0x08
ACK_NTF_LOGPUT Portal服务器通知接入设备用户强制下线成功 0x0e
注意事项
REQ_CHALLENGE和ACK_CHALLENGE只有在使用CHAP协议时才会使用到
AuthType 认证方式
目前只支持CHAP和PAP
CHAP:0x00 三次握手,密文方式传输用户名
PAP: 0x01 两次握手,明文方式传输用户名
SeriaINo与RequestID
SeriaINo报文的序列号,由Portal服务器随机生成;Portal服务器必须保证再同一个认证流程中的所有报文序列号相同(不同认证流程下的报文序列号在一定时间不得重复)
RequestID报文ID,由接入设备生成,RequestID不会重复
UserIP
Portal用户的IP地址
UserPort
保留字段,为0
ErrCode
错误码,根据不同的Type值,错误码有不同的含义
Authenticator
验证字段,由MD5算法对各个字段计算后得出来的数据
Attribute
可变长字段,为TLV格式
关于Radius报文
用户触发Portal认证的方式
通过HTTP/HTTPS进行接入,主要在客户端和Portal服务器之间进行交互
用户触发Portal认证的两种方式
用户开机获取IP地址后,通过登录Portal认证网站进行认证,认证通过后即可访问Internet
主动认证
用户需要知道Portal服务器的IP地址,主动登录到Portal门户网站进行Portal认证
重定向认证
用户输入的访问地址不是Portal服务器的IP地址,然后被接入设备强制重定向到Portal服务器
根据客户端与接入设备之间的网络分为不同的认证方式
二层直连Portal认证:客户端与接入设备之间为二层网络
接入设备在连接用户的二层端口上开启Portal认证,只允许源MAC通过认证的用户才可以访问外部网络
目前该认证方式仅支持本地Portal认证(即接入设备作为本地的Portal服务器向用户提供Web认证服务;也就是内置Portal认证)
三层Portal认证:客户端与接入设备之间为三层网络
在连接用户的三层端口上开启Portal认证,其中又细分为三种不同的认证方式(支持本地Portal认证和第三方服务器认证)
直接认证
用户在认证前通过手工配置或DHCP直接获取一个IP地址,只能访问Portal服务器以及设定的免费访问地址;认证通过后才可以访问网络资源
二次地址分配认证
用户在认证前通过DHCP获取到一个私网地址,只能访问Portal服务器以及设定的免费访问地址;认证通过后会重新申请一个公网地址来访问网络资源,认证失败后不会获取IP地址
可跨三层认证
和直接认证类似,只不过此认证方式允许认证用户和接入设备之间跨三层设备转发
用户触发Portal认证的流程
Portal认证的认证方式
对于Porta认证我们由一代Portal认证和二代Portal认证,它们之间的主要区别如下(以下我们介绍的都是二代Web认证流程)
一代Web认证 –Poratl服务器和Radius服务器进行认证报文交互
终端把用户名和密码提交上来之后,通过Portal界面提交给Portal服务器
Porta服务器直接把用户名和密码发给Radius服务器
Radius服务器校验之后告诉给Portal服务器,Portal向终端返回认证成功界面;
Portal服务器再把认证的结果告诉接入设备,接入把相应的上网通道给打开
二代Web认证—接入设备代替Portal服务器和Radius服务器进行认证报文交互(Portal感知不到Radius服务器)
终端输入用户名和密码之后,通过Portal界面提交到Portal服务器
Portal服务器把用户名和密码提交给接入设备,接入设备去发送Radius报文和Radius服务器去交互进行认证
认证成功之后,接入设备放通用户上网权限,并告诉Portal服务器,Portal服务器通过下发认证成功的界面给终端
终端触发Portal认证时的认证流程
通过Web认证(免客户端) 基于HTTP/HTTPS进行认证
客户端直接将用户信息通过HTTP请求传递给接入设备,支持GET和POST两种请求
此时用户提交的用户名密码通过HTTP/HTTPS报文传输
POST:请求数据放置在HTTP请求消息的正文中,不作为URL的一部分
GET: 请求的数据会加在URL之后,以“?“分隔,对所有人可见(以下就是此方式)
通过Portal客户端软件进行认证(基于Portal协议进行Portal认证)
Portal服务器直接使用Portal协议报文与接入设备进行交互
采用客户端软件/服务器的架构,基于UDP运行,支持PAP/CHAP认证
此时用户提交的用户名密码通过Portal报文传输,Portal报文采用TLV格式携带用户名、密码、用户MAC等属性信息
- 用户发送认证请求,将用户名和密码发给Portal设备,通过Req_auth报文的TLV携带
- Portal服务器发送Req_challenge给接入设备;Req_challenge表示告诉接入设备开始CHAP的认证,开始认证请求
- 接入设备收到后,产生随机数发送给Portal服务器,发送Ack_challenge响应认证请求
- Portal服务器收到接入设备发来的随机数后,使用密码和随机数做hash得到密文发给接入用户,进行请求认证,发送Req_auth
- 接入设备将收到的密文以及自己产生的随机数发给Radius服务器,进行认证请求,发送radius报文Access-request进行认证请求
- Radius服务器根据此随机数结合该用户的密码做hash的到密文,然后比较hash的结果是否一致;结果一致发送readius报文Access-accept告诉认证结果成功
- 此时接入设备进行计费请求(Accounting-Request)
- Radius服务器回应计费响应(Accounting-Response)
- 接入设备收到之后告诉Portal服务器用户通过认证并放通用户上网通道;发送ack_auth报文
- Portal服务器收到认证成功报文后,并通知用户认证成功发送ack_auth报文
- Portal服务器并响应接入设备的认证成功报文,发送Aff_ack_auth报文
通过二次地址分配认证接入时的认证流程(Portal客户端方式)
注意事项
在现网中,可能会存在运营商认证设备,此种情况下真正的认证设备是运行商认证设备,而不是本地部署的radius服务器
大致的认证流程如下:
客户端将认证请求送达到Portal服务器,Portal服务器将其送到接入设备,接入设备将请求发送到本地radius服务器,本地radius服务器收到后,转发给运营商认证设备去做校验
运营商校验成功,将结果返回给本地radius服务器,本地radius服务器再将结果转发给接入设备,接入设备转发给Portal服务器,Portal服务器转发给终端,返回认证成功
之后的计费是由本地radius服务器进行计费的