摘?要：針對大規(guī)模接入?yún)R聚路由器ACR(Access Convergence Router)多用戶、多需求,、易網(wǎng)管的特點(diǎn)，使Web+DHCP,、 PPPoE,、802.1X三種" title="三種">三種常用的認(rèn)證技術(shù)" title="認(rèn)證技術(shù)">認(rèn)證技術(shù)能夠在ACR系統(tǒng)中分別實(shí)現(xiàn)，并對比研究了三種不同技術(shù)多方面的優(yōu)劣差異,。
關(guān)鍵詞：接入網(wǎng)絡(luò)? 認(rèn)證方式" title="認(rèn)證方式">認(rèn)證方式? Web+DHCP? PPPoE? 802.1X
?
??? 目前寬帶接入網(wǎng)主要有ADSL,、LAN和ACR三種方式。ADSL方式終端用戶帶寬窄,，無法開展寬帶流媒體業(yè)務(wù),；接入段設(shè)備復(fù)雜，無法對接入段通用設(shè)備實(shí)施管理,，不能對用戶帶寬靈活配置,，不便于引入新的業(yè)務(wù)；接入段由三層組成：接入層→匯聚層→路由層,。LAN方式其匯聚帶寬統(tǒng)計復(fù)用,，無法確保用戶端到端帶寬；接入段設(shè)備復(fù)雜,，無法對接入段通用設(shè)備實(shí)施管理,，不能對用戶帶寬靈活配置，不便于引入新的業(yè)務(wù),；其接入段由匯聚層和路由層組成,。而ACR接入方式接入段設(shè)備一體化，方便對接入段設(shè)備實(shí)施管理,，方便對用戶帶寬靈活配置,；接入段為一層：路由層。
1 ACR系統(tǒng)簡介
對于下一代互聯(lián)網(wǎng)面臨的新業(yè)務(wù)拓展和安全性服務(wù)問題,，汪斌強(qiáng)教授和鄔江興院士提出了基于IPv4/IPv6雙棧的大規(guī)模接入?yún)R聚路由器ACR的概念,。
??? ACR接入段僅由路由層一層組成，如圖1所示,，它能確保用戶端到端帶寬,，便于引入新的運(yùn)營策略和新業(yè)務(wù),。
?
?
ACR系統(tǒng)是分布式的，它由ACR-S交換主機(jī),、分復(fù)用單元EMD,、遠(yuǎn)端接口單元RIU和寬帶接入服務(wù)器BAS（ACR-Portal）、認(rèn)證服務(wù)器BOS（ACR-RADIUS）等組成,，如圖2所示,。
?
?
?
2 三種認(rèn)證方式分別在ACR系統(tǒng)中的實(shí)現(xiàn)
2.1 Web＋DHCP認(rèn)證方式
2.1.1 Web＋DHCP概述
Web＋DHCP認(rèn)證方式根據(jù)在網(wǎng)絡(luò)拓?fù)渲械奈恢茫煞譃閮纱箢悾褐蓖ㄊ胶团月肥?。直通式就是認(rèn)證系統(tǒng)處在用戶與接入設(shè)備" title="接入設(shè)備">接入設(shè)備之間,，全部用戶流量都經(jīng)過認(rèn)證系統(tǒng)；旁路式就是認(rèn)證系統(tǒng)在拓?fù)渖咸幱诮尤朐O(shè)備之上,，認(rèn)證系統(tǒng)與用戶之間只要保證IP層相通即可,。直通式認(rèn)證系統(tǒng)容易實(shí)現(xiàn)對用戶的細(xì)粒度控制，原理簡單,、直觀,；但從提高系統(tǒng)性能、降低研發(fā),、組網(wǎng)和維護(hù)管理成本的角度看,，旁路式比直通式認(rèn)證系統(tǒng)有明顯的優(yōu)勢。
2.1.2 Web＋DHCP認(rèn)證技術(shù)在ACR中的實(shí)現(xiàn)流程
在ACR系統(tǒng)中無論直路式或旁路式都可實(shí)現(xiàn),，但兩者相比較旁路式更為實(shí)際一些,。Web+DHCP方式在ACR中的通信流程如圖3所示。
?
?
Web+DHCP方式無需在用戶端安裝客戶端軟件,，用戶開機(jī)后Host通過二層廣播向ACR-Portal請求提供Host的IP地址,，在ACR系統(tǒng)中可由ACR-Portal作為DHCP服務(wù)器，同時ACR-Portal為該用戶建立一個用戶表項,，記錄用戶的MAC地址和已分配的IP地址等信息,，添加用戶服務(wù)策略。
用戶在認(rèn)證前只能訪問門戶站點(diǎn)即ACR-Portal,。如果用戶要轉(zhuǎn)到其他網(wǎng)站,、得到更多服務(wù),，則必須先打開瀏覽器通過Web方式進(jìn)行認(rèn)證,，輸入用戶名和密碼，通過ACR-Portal將用戶名和密碼送往ACR-RADIUS服務(wù)器進(jìn)行認(rèn)證,。認(rèn)證通過后,，ACR-Portal可向用戶下載一個小程序，用戶通過此程序提供的小窗口可以看上線時間,、租用剩余時間等,。
用戶正常下網(wǎng)時,，可利用上述下載的小程序執(zhí)行“斷開網(wǎng)絡(luò)”操作。將用戶下網(wǎng)的消息發(fā)送給ACR-Portal,，由ACR-Portal發(fā)出計費(fèi)Stop包給后臺ACR-RADIUS,，同時在ACR-Portal中刪除此用戶記錄并釋放用戶的IP地址。
若在ACR上形成直路式認(rèn)證系統(tǒng),，只需要ACR-Portal將認(rèn)證數(shù)據(jù)直接透傳給ACR-RADIUS即可,。
2.2 PPPoE認(rèn)證方式
2.2.1 PPPoE概述
1998年Redback網(wǎng)絡(luò)公司聯(lián)合UUNET公司和RouterWare軟件公司開發(fā)了以太網(wǎng)上點(diǎn)對點(diǎn)協(xié)議PPPoE，并得到了IETF的認(rèn)可,，于1999年2 月被IETF接受,，以RFC2516發(fā)布。
2.2.2 PPPoE認(rèn)證技術(shù)在ACR中的實(shí)現(xiàn)流程
PPPoE在ACR中的通信流程如圖4所示,。在ACR系統(tǒng)中建立一個PPP連接,，同樣也要建立一個惟一的會話標(biāo)識符，按照RFC2516標(biāo)準(zhǔn)分兩個階段：Discovery階段和PPP會話階段,。
?
(1)Discovery階段
a.Host向ACR-Portal發(fā)送一個初始化PADI(PPPoE? Active Discovery Initiation)包,。
b.ACR-Portal返回應(yīng)答PADO(PPPoE Active Discovery Offer)包。
?c.Host發(fā)出會話請求PADR(PPPoE Active Discovery Request)包,。
?d.ACR-Portal發(fā)回會話確認(rèn)PADS(PPPoE Active Discovery Session-confirmation)包,。
??? (2)PPP會話階段
當(dāng)一個Host想發(fā)起PPPoE會話(PPP Session)時，它必須首先完成識別對等端(ACR-Portal)的MAC地址并建立PPPoE的SESSION_ID,。PPPoE會話的SESSION_ID不允許發(fā)生改變,，必須是Discovery階段所指定的值，即建立了一個PPP過程,。之后ACR-RADIUS驗證PPP包中的Host用戶及密碼,，若認(rèn)證通過，告知ACR-Portal完成認(rèn)證過程,，并分配IP地址,，開始計費(fèi)進(jìn)行控制。
2.3 IEEE 802.1X認(rèn)證方式
2.3.1 802.1X概述
802.1X協(xié)議是基于端口的訪問控制協(xié)議(Port-based Network Access Control Protocol),。主要由認(rèn)證服務(wù)器(Authentication Server),、認(rèn)證者(Authenticator)和申請者(Supplicant) 三部分組成，其系統(tǒng)結(jié)構(gòu)如圖5所示,。
?
2.3.2 802.1X在ACR中的實(shí)現(xiàn)流程
在ACR系統(tǒng)中ACR-RADIUS,、ACR-Portal、Host分別扮演認(rèn)證服務(wù)器,、認(rèn)證者,、申請者的角色。圖6是802.1X方式在ACR中的通信流程。
?
?
(1)當(dāng)Host上網(wǎng)時先發(fā)出請求認(rèn)證的報文給ACR-Portal,，開始啟動一次認(rèn)證過程;
(2)ACR-Portal收到請求認(rèn)證的數(shù)據(jù)幀后,，將發(fā)出一個請求幀要求Host將輸入的用戶名送上來;
? (3)Host響應(yīng)ACR-Portal發(fā)出的請求，將用戶名信息通過數(shù)據(jù)幀送給ACR-Portal,。ACR-Portal再將Host送上來的數(shù)據(jù)幀經(jīng)過EAP封包處理后送給ACR-RADIUS進(jìn)行認(rèn)證;
?(4)ACR-RADIUS收到ACR-Portal轉(zhuǎn)發(fā)上來的用戶信息后,，將該信息與數(shù)據(jù)庫中的用戶名表相比對，找到該用戶名對應(yīng)的口令信息,，用隨機(jī)生成的一個加密字對它進(jìn)行加密處理,，同時將此加密字傳送給ACR-Portal，由ACR-Portal傳給Host;
??? (5)Host收到由ACR-Portal傳來的加密字后,，用該加密字對口令部分進(jìn)行加密處理(如MD5不可逆的加密算法),，并通過ACR-Portal再傳給ACR-RADIUS;
?(6)ACR-RADIUS將送上來的加密后的口令信息與其他經(jīng)過加密運(yùn)算后的口令信息進(jìn)行對比，如果相同,，則認(rèn)為該用戶為合法用戶,，反饋認(rèn)證通過的消息，并向ACR-Portal發(fā)出打開端口的指令,，允許用戶的業(yè)務(wù)流通過端口訪問網(wǎng)絡(luò),，至此完成認(rèn)證過程。
在Host與ACR-Portal交換口令信息的時候,，沒有將口令以明文直接送到網(wǎng)絡(luò)上進(jìn)行傳輸,，而是對口令信息進(jìn)行MD5不可逆的加密算法處理，使在網(wǎng)絡(luò)上傳輸?shù)拿舾行畔⒂辛烁叩陌踩Ｕ?，杜絕了由于下級接入設(shè)備所具有的廣播特性而導(dǎo)致敏感信息泄漏的問題,。
3? 三種認(rèn)證方式在ACR中的對比研究
Web+DHCP.PPPoE和802.1X三種認(rèn)證方式對比研究如表1所示。因為不同接入網(wǎng)絡(luò)和網(wǎng)絡(luò)管理員的要求（例如公安網(wǎng),、軍隊網(wǎng)的接入網(wǎng)要求）,、網(wǎng)絡(luò)管理員對三種認(rèn)證方式的熟練程度以及網(wǎng)絡(luò)運(yùn)營商對運(yùn)營要求等，三種認(rèn)證技術(shù)都有需求,。目前三種認(rèn)證方式都是位于各自單獨(dú)的應(yīng)用環(huán)境下分別在ACR系統(tǒng)中實(shí)現(xiàn)的,。如果能在一個統(tǒng)一的通用環(huán)境情況下，即三種認(rèn)證方式在ACR系統(tǒng)中一起進(jìn)行認(rèn)證,，還需要進(jìn)一步研究與實(shí)踐,，這也是筆者下一步的研究方向,即集成式可擴(kuò)展的接入認(rèn)證機(jī)制的研究，以便為ACR系統(tǒng)可接入,、可控制,、可管理、可擴(kuò)展的大規(guī)模寬帶網(wǎng)提供更好的技術(shù)服務(wù),。
?
參考文獻(xiàn)
[1] ?鄔江興.中國高性能寬帶信息網(wǎng)(3TNet)綜述.通訊世界, ?2002,（1）:37-40.
[2] ?NDSC. 大規(guī)模接入?yún)R聚路由器（ACR）總體技術(shù)規(guī)范[S],，2005.
[3] ?汪斌強(qiáng),，鄔江興. 基于IPv6的大規(guī)模接入?yún)R聚路由器的設(shè)想和實(shí)現(xiàn).電信科學(xué), 2006,(1):5-9.
[4] ?DROMS R. Dynamic host configuration protocol[S]. RFC?2131, Bucknell University, March 1997.
[5]? SIMPSON W. RFC1661: Point to point protocol[Z]. 1994.
[6]? RIGNEY C. Remote authentication dial in user service?(RADIUS) [M]. IETF, RFC2865, 2000.
[7] ?MAMAKES L.A method for transmitting PPP over ethernet ?(PPPoE) [M]. IETF, RFC2516, 1999.
[8] ?IEEE Std. P802.1X/D11. Port Based Network Access?Control Protocol. March, 2001.