摘?要：針對大規(guī)模接入?yún)R聚路由器ACR(Access Convergence Router)多用戶、多需求、易網(wǎng)管的特點(diǎn)，使Web+DHCP、 PPPoE、802.1X三種" title="三種">三種常用的認(rèn)證技術(shù)" title="認(rèn)證技術(shù)">認(rèn)證技術(shù)能夠在ACR系統(tǒng)中分別實(shí)現(xiàn)，并對比研究了三種不同技術(shù)多方面的優(yōu)劣差異。
關(guān)鍵詞：接入網(wǎng)絡(luò)? 認(rèn)證方式" title="認(rèn)證方式">認(rèn)證方式? Web+DHCP? PPPoE? 802.1X
?
??? 目前寬帶接入網(wǎng)主要有ADSL、LAN和ACR三種方式。ADSL方式終端用戶帶寬窄，無法開展寬帶流媒體業(yè)務(wù)；接入段設(shè)備復(fù)雜，無法對接入段通用設(shè)備實(shí)施管理，不能對用戶帶寬靈活配置，不便于引入新的業(yè)務(wù)；接入段由三層組成：接入層→匯聚層→路由層。LAN方式其匯聚帶寬統(tǒng)計復(fù)用，無法確保用戶端到端帶寬；接入段設(shè)備復(fù)雜，無法對接入段通用設(shè)備實(shí)施管理，不能對用戶帶寬靈活配置，不便于引入新的業(yè)務(wù)；其接入段由匯聚層和路由層組成。而ACR接入方式接入段設(shè)備一體化，方便對接入段設(shè)備實(shí)施管理，方便對用戶帶寬靈活配置；接入段為一層：路由層。
1 ACR系統(tǒng)簡介
對于下一代互聯(lián)網(wǎng)面臨的新業(yè)務(wù)拓展和安全性服務(wù)問題，汪斌強(qiáng)教授和鄔江興院士提出了基于IPv4/IPv6雙棧的大規(guī)模接入?yún)R聚路由器ACR的概念。
??? ACR接入段僅由路由層一層組成，如圖1所示，它能確保用戶端到端帶寬，便于引入新的運(yùn)營策略和新業(yè)務(wù)。
?
?
ACR系統(tǒng)是分布式的，它由ACR-S交換主機(jī)、分復(fù)用單元EMD、遠(yuǎn)端接口單元RIU和寬帶接入服務(wù)器BAS（ACR-Portal）、認(rèn)證服務(wù)器BOS（ACR-RADIUS）等組成，如圖2所示。
?
?
?
2 三種認(rèn)證方式分別在ACR系統(tǒng)中的實(shí)現(xiàn)
2.1 Web＋DHCP認(rèn)證方式
2.1.1 Web＋DHCP概述
Web＋DHCP認(rèn)證方式根據(jù)在網(wǎng)絡(luò)拓?fù)渲械奈恢茫煞譃閮纱箢悾褐蓖ㄊ胶团月肥?。直通式就是認(rèn)證系統(tǒng)處在用戶與接入設(shè)備" title="接入設(shè)備">接入設(shè)備之間，全部用戶流量都經(jīng)過認(rèn)證系統(tǒng)；旁路式就是認(rèn)證系統(tǒng)在拓?fù)渖咸幱诮尤朐O(shè)備之上，認(rèn)證系統(tǒng)與用戶之間只要保證IP層相通即可。直通式認(rèn)證系統(tǒng)容易實(shí)現(xiàn)對用戶的細(xì)粒度控制，原理簡單、直觀；但從提高系統(tǒng)性能、降低研發(fā)、組網(wǎng)和維護(hù)管理成本的角度看，旁路式比直通式認(rèn)證系統(tǒng)有明顯的優(yōu)勢。
2.1.2 Web＋DHCP認(rèn)證技術(shù)在ACR中的實(shí)現(xiàn)流程
在ACR系統(tǒng)中無論直路式或旁路式都可實(shí)現(xiàn)，但兩者相比較旁路式更為實(shí)際一些。Web+DHCP方式在ACR中的通信流程如圖3所示。
?
?
Web+DHCP方式無需在用戶端安裝客戶端軟件，用戶開機(jī)后Host通過二層廣播向ACR-Portal請求提供Host的IP地址，在ACR系統(tǒng)中可由ACR-Portal作為DHCP服務(wù)器，同時ACR-Portal為該用戶建立一個用戶表項(xiàng)，記錄用戶的MAC地址和已分配的IP地址等信息，添加用戶服務(wù)策略。
用戶在認(rèn)證前只能訪問門戶站點(diǎn)即ACR-Portal。如果用戶要轉(zhuǎn)到其他網(wǎng)站、得到更多服務(wù)，則必須先打開瀏覽器通過Web方式進(jìn)行認(rèn)證，輸入用戶名和密碼，通過ACR-Portal將用戶名和密碼送往ACR-RADIUS服務(wù)器進(jìn)行認(rèn)證。認(rèn)證通過后，ACR-Portal可向用戶下載一個小程序，用戶通過此程序提供的小窗口可以看上線時間、租用剩余時間等。
用戶正常下網(wǎng)時，可利用上述下載的小程序執(zhí)行“斷開網(wǎng)絡(luò)”操作。將用戶下網(wǎng)的消息發(fā)送給ACR-Portal，由ACR-Portal發(fā)出計費(fèi)Stop包給后臺ACR-RADIUS，同時在ACR-Portal中刪除此用戶記錄并釋放用戶的IP地址。
若在ACR上形成直路式認(rèn)證系統(tǒng)，只需要ACR-Portal將認(rèn)證數(shù)據(jù)直接透傳給ACR-RADIUS即可。
2.2 PPPoE認(rèn)證方式
2.2.1 PPPoE概述
1998年Redback網(wǎng)絡(luò)公司聯(lián)合UUNET公司和RouterWare軟件公司開發(fā)了以太網(wǎng)上點(diǎn)對點(diǎn)協(xié)議PPPoE，并得到了IETF的認(rèn)可，于1999年2 月被IETF接受，以RFC2516發(fā)布。
2.2.2 PPPoE認(rèn)證技術(shù)在ACR中的實(shí)現(xiàn)流程
PPPoE在ACR中的通信流程如圖4所示。在ACR系統(tǒng)中建立一個PPP連接，同樣也要建立一個惟一的會話標(biāo)識符，按照RFC2516標(biāo)準(zhǔn)分兩個階段：Discovery階段和PPP會話階段。
?
(1)Discovery階段
a.Host向ACR-Portal發(fā)送一個初始化PADI(PPPoE? Active Discovery Initiation)包。
b.ACR-Portal返回應(yīng)答PADO(PPPoE Active Discovery Offer)包。
?c.Host發(fā)出會話請求PADR(PPPoE Active Discovery Request)包。
?d.ACR-Portal發(fā)回會話確認(rèn)PADS(PPPoE Active Discovery Session-confirmation)包。
??? (2)PPP會話階段
當(dāng)一個Host想發(fā)起PPPoE會話(PPP Session)時，它必須首先完成識別對等端(ACR-Portal)的MAC地址并建立PPPoE的SESSION_ID。PPPoE會話的SESSION_ID不允許發(fā)生改變，必須是Discovery階段所指定的值，即建立了一個PPP過程。之后ACR-RADIUS驗(yàn)證PPP包中的Host用戶及密碼，若認(rèn)證通過，告知ACR-Portal完成認(rèn)證過程，并分配IP地址，開始計費(fèi)進(jìn)行控制。
2.3 IEEE 802.1X認(rèn)證方式
2.3.1 802.1X概述
802.1X協(xié)議是基于端口的訪問控制協(xié)議(Port-based Network Access Control Protocol)。主要由認(rèn)證服務(wù)器(Authentication Server)、認(rèn)證者(Authenticator)和申請者(Supplicant) 三部分組成，其系統(tǒng)結(jié)構(gòu)如圖5所示。
?
2.3.2 802.1X在ACR中的實(shí)現(xiàn)流程
在ACR系統(tǒng)中ACR-RADIUS、ACR-Portal、Host分別扮演認(rèn)證服務(wù)器、認(rèn)證者、申請者的角色。圖6是802.1X方式在ACR中的通信流程。
?
?
(1)當(dāng)Host上網(wǎng)時先發(fā)出請求認(rèn)證的報文給ACR-Portal，開始啟動一次認(rèn)證過程;
(2)ACR-Portal收到請求認(rèn)證的數(shù)據(jù)幀后，將發(fā)出一個請求幀要求Host將輸入的用戶名送上來;
? (3)Host響應(yīng)ACR-Portal發(fā)出的請求，將用戶名信息通過數(shù)據(jù)幀送給ACR-Portal。ACR-Portal再將Host送上來的數(shù)據(jù)幀經(jīng)過EAP封包處理后送給ACR-RADIUS進(jìn)行認(rèn)證;
?(4)ACR-RADIUS收到ACR-Portal轉(zhuǎn)發(fā)上來的用戶信息后，將該信息與數(shù)據(jù)庫中的用戶名表相比對，找到該用戶名對應(yīng)的口令信息，用隨機(jī)生成的一個加密字對它進(jìn)行加密處理，同時將此加密字傳送給ACR-Portal，由ACR-Portal傳給Host;
??? (5)Host收到由ACR-Portal傳來的加密字后，用該加密字對口令部分進(jìn)行加密處理(如MD5不可逆的加密算法)，并通過ACR-Portal再傳給ACR-RADIUS;
?(6)ACR-RADIUS將送上來的加密后的口令信息與其他經(jīng)過加密運(yùn)算后的口令信息進(jìn)行對比，如果相同，則認(rèn)為該用戶為合法用戶，反饋認(rèn)證通過的消息，并向ACR-Portal發(fā)出打開端口的指令，允許用戶的業(yè)務(wù)流通過端口訪問網(wǎng)絡(luò)，至此完成認(rèn)證過程。
在Host與ACR-Portal交換口令信息的時候，沒有將口令以明文直接送到網(wǎng)絡(luò)上進(jìn)行傳輸，而是對口令信息進(jìn)行MD5不可逆的加密算法處理，使在網(wǎng)絡(luò)上傳輸?shù)拿舾行畔⒂辛烁叩陌踩Ｕ?，杜絕了由于下級接入設(shè)備所具有的廣播特性而導(dǎo)致敏感信息泄漏的問題。
3? 三種認(rèn)證方式在ACR中的對比研究
Web+DHCP.PPPoE和802.1X三種認(rèn)證方式對比研究如表1所示。因?yàn)椴煌尤刖W(wǎng)絡(luò)和網(wǎng)絡(luò)管理員的要求（例如公安網(wǎng)、軍隊(duì)網(wǎng)的接入網(wǎng)要求）、網(wǎng)絡(luò)管理員對三種認(rèn)證方式的熟練程度以及網(wǎng)絡(luò)運(yùn)營商對運(yùn)營要求等，三種認(rèn)證技術(shù)都有需求。目前三種認(rèn)證方式都是位于各自單獨(dú)的應(yīng)用環(huán)境下分別在ACR系統(tǒng)中實(shí)現(xiàn)的。如果能在一個統(tǒng)一的通用環(huán)境情況下，即三種認(rèn)證方式在ACR系統(tǒng)中一起進(jìn)行認(rèn)證，還需要進(jìn)一步研究與實(shí)踐，這也是筆者下一步的研究方向,即集成式可擴(kuò)展的接入認(rèn)證機(jī)制的研究，以便為ACR系統(tǒng)可接入、可控制、可管理、可擴(kuò)展的大規(guī)模寬帶網(wǎng)提供更好的技術(shù)服務(wù)。
?
參考文獻(xiàn)
[1] ?鄔江興.中國高性能寬帶信息網(wǎng)(3TNet)綜述.通訊世界, ?2002,（1）:37-40.
[2] ?NDSC. 大規(guī)模接入?yún)R聚路由器（ACR）總體技術(shù)規(guī)范[S]，2005.
[3] ?汪斌強(qiáng)，鄔江興. 基于IPv6的大規(guī)模接入?yún)R聚路由器的設(shè)想和實(shí)現(xiàn).電信科學(xué), 2006,(1):5-9.
[4] ?DROMS R. Dynamic host configuration protocol[S]. RFC?2131, Bucknell University, March 1997.
[5]? SIMPSON W. RFC1661: Point to point protocol[Z]. 1994.
[6]? RIGNEY C. Remote authentication dial in user service?(RADIUS) [M]. IETF, RFC2865, 2000.
[7] ?MAMAKES L.A method for transmitting PPP over ethernet ?(PPPoE) [M]. IETF, RFC2516, 1999.
[8] ?IEEE Std. P802.1X/D11. Port Based Network Access?Control Protocol. March, 2001.