多业务接入认证技术白皮书.docVIP

多业务接入认证技术白皮书前言在国内宽带接入网中，传统业务主要为Internet访问，认证方式大多为PPPoE。而随着近年来IPTV业务的开展，网络由单业务承载转向了多业务承载，DHCP认证的方式也越来越受到关注，本文重点介绍这两种认证技术。认证技术介绍PPPoE认证PPPoE接入认证原理PPPoE是利用以太网发送PPP包的传输方法和支持在同一以太网上建立多个PPP连接的接入技术。其结合了以太网和PPP连接的综合属性。PPP协议是一种点到点的链路层协议，它提供了点到点的一种封装、传递数据的一种方法。PPP协议一般包括三个协商阶段：LCP（链路控制协议）阶段，认证阶段（比如CHAP/PAP），NCP（网络层控制协议，比如IPCP）阶段。拨号后，用户计算机和局方的接入服务器在LCP阶段协商底层链路参数，然后在认证阶段进行用户计算机将用户名和密码发送给接入服务器认证，接入服务器可以进行本地认证，可以通过RADIUS协议将用户名和密码发送给AAA服务器进行认证。认证通过后，在NCP（IPCP）协商阶段，接入服务器给用户计算机分配网络层参数如IP地址等。经过PPP的三个协商阶段后，用户就可以发送和接受网络报文，用户收发的所有网络层报文都封装在PPP报文中。 PPP协议的一个重要的功能是提供了身份验证功能。以太网是一种广播网络，其缺点是通讯双方无法相互验证对方身份，通讯是不安全的。PPP协议提供了通讯双方身份验证的功能，但是PPP协议是一种点对点的协议，协议中没有提供地址信息。如果PPP应用在以太网上，必须使用PPPoE再进行一次封装，PPPoE协议提供了在以太网广播链路上进行点对点通讯的能力。接入流程以PPP-CHAP为例，PPPoE用户的接入流程如下：图 1 PPPoE认证流程PPPoE客户端向PPPOE服务器设备发送一个PADI广播报文，开始PPPoE接入；PPPoE服务器向客户端发送PADO报文；客户端根据回应，发起PADR请求给PPPoE服务器；PPPoE服务器产生一个session id，通过PADS发给客户端；客户端和PPPoE服务器之间进行PPP的LCP协商，建立链路层通信。同时，协商使用CHAP认证方式；PPPoE服务器通过Challenge报文发送给认证客户端,提供一个128bit的Challenge客户端收到Challenge报文后，将密码和Challenge做MD5算法后的，在Response回应报文中把它发送给PPPOE服务器；PPPoE服务器将Challenge、Challenge-Password和用户名一起送到RADIUS用户认证服务器，由RADIUS用户认证服务器进行认证；RADIUS用户认证服务器根据用户信息判断用户是否合法，然后回应认证成功/失败报文到PPPoE服务器。如果成功，携带协商参数，以及用户的相关业务属性给用户授权。如果认证失败，则流程到此结束；PPPoE服务器将认证结果返回给客户端；用户进行NCP（如IPCP）协商，通过PPPoE服务器获取到规划的IP地址等参数；认证如果成功，PPPoE服务器发起计费开始请求给RADIUS用户认证服务器；RADIUS用户认证服务器回应计费开始请求报文；用户此时通过认证，并且获得了合法的权限，可以正常开展网络业务；当用户希望终止网络业务的时候，同样也可以通过PPPoE断开网络连接，此时会按照12）、13）中的格式发送计费终止报文，详细情况，请参见下节。下线流程PPPoE用户下线流程包括用户主动下线和异常下线两种情况。用户主动下线流程如下图所示。图2 用户主动下线流程用户通过PPPoE客户端，主动向PPPoE服务器发送Terminate-Request；PPPoE服务器向PPPoE客户端返回Terminate-Ack报文；PPPoE服务器向AAA服务器发送计费停止请求的报文；AAA服务器向认证点回计费停止请求报文的回应。异常下线流程如下图所示。图3 异常下线流程PPPoE服务器检测到用户已经不在线；PPPoE服务器向AAA服务器发送计费停止请求的报文；AAA服务器向认证点回计费停止请求报文的回应。在PPP架构中，用户通常会通过传送IPCP（IP控制协议）终止消息而中断已建立的会话。否则，LCP（链路控制协议）周期性轮检机制能够检测出PPP会话是否已终止。如果检测到会话已中止，则分配给用户终端的IP地址将被释放回IP地址池中。因此，由于PPP会话的安全性、健壮性等特征，而被广泛应用于ADSL接入认证。PPPOE+出于精细化管理的需要，运营商要能对用户进行精确定位，实现可溯源性，便于业务和用户管理。为了实现这个目的，针对PPPoE认证方式的技术手段主要有QINQ、VBAS和PPPOE+等，从目前应用来看，针对上网业务采用QINQ进行用户定位是主流趋势，由于QINQ技