一种宽带网络接入方法

暂无

技术领域\n本发明涉及无线网络的接入方法，具体地说涉及宽带无线网络的接入 方法。\n背景技术\n在宽带网络中，如果用户终端发出网络接入请求，则网络中负责IP地 址分配的服务器会为该发出网络接入请求的用户终端分配一个互联网 (IP)地址，以便用户终端可以接入网络。目前宽带网络中的负责IP地址 分配的服务器，即DHCP服务器采用标准的动态主机配置协议(DHCP， Dynamic Host Configuration Protocol)，使用户终端在网络接入时可以从 DHCP服务器自动获取IP地址等网络初始化信息。在用户终端进行网络接 入时，首先由用户终端发出DHCP请求报文申请接入网络，DHCP中继服务 器收到该请求报文后，将其中转给DHCP服务器，DHCP服务器收到用户终 端的DHCP请求报文后，把分配给用户的IP地址等网络初始化信息记载在 DHCP响应报文中，发给DHCP中继服务器，再由DHCP中继服务器将收到 的DHCP服务器的DHCP响应报文中转给用户终端，用户终端获得IP地址， 从而使该用户终端接入网络。从上述过程可知，采用现有的网络接入方 法，只要用户终端发起DHCP请求，无论是非法用户还是合法用户，DHCP 服务器都会给用户分配IP地址，这样不仅造成IP地址的浪费，而且给非法 用户提供了不用认证、计费就可以上网的机会，更为严重的是如果非法用 户恶意地不断发起DHCP请求，将耗尽DHCP服务器地址池中的所有IP地 址而无法控制，因此，现有的网络接入方法的安全性较差。\n发明内容\n本发明的目的在于提供一种安全性较好的宽带网络接入方法，使用该 方法可以限制非法用户接入网络。\n为达到上述目的，本发明提供的宽带网络的安全接入方法，包括：\n(1)用户终端向DHCP中继服务器发出DHCP请求报文；\n(2)DHCP中继服务器收到用户终端的DHCP请求报文后，根据报文对用 户进行认证和合法性检查，如果检查通过，将该用户终端的DHCP请求报文 中转给DHCP服务器，然后转步骤(3)，否则丢弃该用户终端的DHCP请求 报文，终止该用户的网络接入；\n(3)DHCP服务器收到用户终端的DHCP请求报文后，为该用户终端分配 IP地址，并将IP地址等网络初始化信息记载在DHCP响应报文中，发给 DHCP中继服务器；\n(4)DHCP中继服务器将收到的DHCP服务器的DHCP响应报文转发给用户 终端，用户终端获得分配给自己的IP地址进而接入网络。\n所述步骤(1)由下述步骤完成：\n(A1)用户终端向向网络中的二层接入设备发出DHCP请求报文；\n(A2)网络中的二层接入设备将DHCP请求报文转发给DHOP中继服务器。\n上述步骤(A1)所述二层接入设备为网络交换机。\n上述步骤(A1)还包括：二层接入设备在DHCP请求报文中加入虚拟网 络(VLAN)标签，该VLAN标签标识二层接入设备接入用户端口的虚拟网络 标识(VLANID)。\n上述步骤(2)所述根据报文对用户进行认证和合法性检查通过 DHCP请求报文中的VLANID进行。\n由于本发明在DHCP中继服务器处通过用户终端发出网络接入请求报 文对其进行认证和合法性检查，根据检查结果对用户终端的DHCP请求报 文进行过滤，只把合法用户的DHCP请求报文中转给DHCP服务器，这样， 弥补了DHCP协议本身的安全性漏洞，在实际实现时无需改动现有的DHCP 服务器软件，只需在DHCP中继处进行修改、扩充即可，方便应用；由于 本发明可以限制非法用户接入网络，提高了网络接入的安全性。\n附图说明\n图1是本发明所述方法的第一个实施例流程图；\n图2是本发明所述方法的第二个实施例流程图；\n图3是带有802.1Q标签头的以太网帧；\n图4是包含标签协议标识和标签控制信息的802.1Q标签头。\n具体实施方式\n下面结合附图对本发明作进一步详细的描述。\n目前在宽带接入中，用户终端一般都会通过二层交换设备接入网络， 其中最为常见的二层交换设备是支持802.1Q协议(它是由IEEE(电气和电 子工程师协会)组织制定的关于如何实现虚拟局域网的一个标准协议)的 以太网二层交换机(LANSWITCH，Local Area Network Switch)。所有由 LANSWITCH接入的用户终端发出的报文都可以被加上一个特殊的用于用 户终端识别的标记，实际中，该标记可以为VLAN(Virtual Local Area Network：虚拟局域网)标签，此VLAN标签标可以唯一标识此用户终端接 入LANSWITCH的特定物理接口。因此，网络中的DHCP中继服务器就可 以利用这个VLAN标签实现对用户的认证和合法性检查。\n图1是本发明所述方法的第一个实施例流程图，该流程通过网络中二 层网络设备，即网络交换机、DHCP中继服务器和DHCP服务器实现。如图 1所示，在步骤1，用户终端向网络中的网络交换机LANSWITCH发出 DHCP请求报文，现有的LANSWITCH通常支持8021.Q协议，用户从接入 端口发来的以太网格式的报文经过该交换机都将加上一个VLAN头以标识 用户接入的端口位置。按照802.1Q协议封装的报文格式就是在原来的以太 网帧头中的源地址后增加了一个802.1Q帧头，之后接原来以太网的长度或 类型域，参考图3。该802.1Q标签头包含了标签协议标识(TPID-Tag Protocol Identifier)，表明这是一个加了802.1Q标签的报文，还包含标签控 制信息(TCI-Tag Control Information)，上述标签协议标识和标签控制信 息参考图4。图4描述的标签头的信息包括：\n虚拟网络标识(VLAN Identified，VLANID)，这是一个12位的域， 指明VLAN的ID，用以指明此报文属于哪一个VLAN，是进行基于端口认 证的标识。\n规范格式指示(CFI：Canonical Format Indicator)，用于总线型的以太 网与FDDI、令牌环网交换数据时的帧格式。\n优先级(Priority)，位指明帧的优先级，用于当交换机阻塞时，优先 发送哪个数据包。\n由于增加了802.1Q标签头，因此即使用户中断不支持802.1Q，即计算 机发送出去的数据包的以太网帧头不包含这些信息，只要经过 LANSWITCH后可以由LANSWITCH加上这个VLAN头以对用户进行合法 性验证。\n基于步骤1，在步骤2网络中的LANSWITCH设备将DHCP请求报文转发给 DHCP中继服务器。这样，DHCP中继服务器在步骤3接收用户终端的 DHCP请求报文，然后在步骤4通过DHCP请求报文中的VLANID对用户进 行认证和合法性检查，如果检查通过，将该用户终端的DHCP请求报文中 转给DHCP服务器，然后进行步骤6，DHCP服务器接收用户终端的 DHCP请求报文，为该用户终端分配IP地址，并将IP地址等网络初始化信 息记载在DHCP响应报文中，发给DHCP中继服务器。最后在步骤7，由 DHCP中继服务器将收到的DHCP服务器发出的DHCP响应报文转发给用户 终端，用户终端获得分配给自己的IP地址进而接入网络；如果步骤4的合 法性检查没通过，则在步骤5丢弃该用户终端的DHCP请求报文，终止该用 户的网络接入。\n图2是本发明所述方法的第二个实施例流程图，该流程通过网络中的 DHCP中继服务器和DHCP服务器实现。首先在步骤11，用户终端向 DHCP中继服务器发出DHCP请求报文；DHCP中继服务器在步骤12收到用 户终端的DHCP请求报文后，根据报文对用户进行认证和合法性检查，如 果检查通过，将该用户终端的DHCP请求报文中转给DHCP服务器；DHCP服 务器在步骤14接收用户终端的DHCP请求报文，为该用户终端分配IP地址， 并将IP地址等网络初始化信息记载在DHCP响应报文中，发给DHCP中继服务 器；最后在步骤15，DHCP中继服务器将收到的DHCP服务器的DHCP响应报文 转发给用户终端，用户终端获得分配给自己的IP地址进而接入网络，如果 在步骤12对用户进行的认证和合法性检查没有通过，则在步骤13丢弃该用 户终端的DHCP请求报文，终止该用户的网络接入。\n需要说明，如果采用图2的实施方式，为在步骤12对用户进行的认证 和合法性检查，需要在步骤11用户终端发出的报文中加入用户识别信息， 为此，可以通过用户预先注册的方法确定该信息，这样就可以通过DHCP中 继服务器在步骤12对用户进行认证和合法性检查，从而隔离非法用户。