基于Web Service校园网用户认证系统.docVIP

基于Web Service校园网用户认证系统 　　摘 要设计一种基于Web Service和LDAP的分布式用户认证系统，解决校园网用户统一身份认证问题。介绍系统的整体架构，重点描述两种Internet接入认证方式（网关与802.1x）通过Web Service实现的流程，介绍了分布式认证的处理方式以及其它网络应用系统调用Web Service的方法。 　　关键词 Web Service; SOAP; 认证; 网关; 802.1x 　　中图分类号：TP393文献标识码：A文章编号：1671-489X（2006）12-0046-03 　　An Authentication System for Campus Networks Based on Web Service Technology//LiPengjun, ZhangHai,Guo Wenming 　　AbstractA distributed authentication system base on Web Service technology and LDAP is designed to realize unique authentication in campus networks. The system structure is introduced, as well as the authentication processes of two main methods, gateway and 802.1x, using the authentication system. This paper also introduced the methods of using this Web Service authentication system to authenticate users for other network application. 　　Key words Web Service; SOAP; authentication; gateway; 802.1x 　　Authors address Network Center, Southern Medical University,510515，Guangzhou, China 　　 　　1 引言 　　 　　 网络管理是保障计算机网络正常运转的必要手段，其中用户管理是网络管理的重要组成部分，也是配置管理、安全管理、计费管理的基础。高校校园网普遍具有规模大、用户多的特点。很多校园网动辄拥有数万注册用户，另外校园网的应用系统也是复杂多样，例如Internet接入、电子邮件、教务管理系统、网络教学系统、BBS等，各种应用互相独立，都有自己的一套用户资料和认证系统，造成了管理的困难，用户使用起来也不方便，因此采用统一的用户身份认证非常重要。近年来很多高校采用了基于LDAP（轻量级目录访问协议）的用户认证方式[1]，较好地解决了统一身份认证问题，但是直接将LDAP服务器暴露在其它应用系统和用户面前具有一定的安全风险，例如权限配置错误可能导致非法用户获取其他用户的资料甚至口令，另外在分布式环境下LDAP的访问也有可能受到防火墙的阻挡。Web Service以其通用性和开放性，目前已成为分布式异构环境下构建复杂系统的重要技术，因此我们设计了一种Web Service和LDAP相结合的分布式用户认证系统，解决校园网用户统一身份认证问题。 　　 　　2 校园网Internet接入认证方式 　　 　　 Internet接入是校园网最重要的功能之一，由于用户数量大，而且上网的时间比较集中（例如中午和晚上下课后），用户认证对系统的性能要求很高。国内大部分高校都接入CERNet（中国教育科研网），而CERNet的计费策略是国内包月，国际按流量计费，因此很多高校早期采用了粗放型的认证方式，即国内地址直通，不需要账号，而国际地址则需要设置代理服务器（Proxy），输入用户名和密码后方可访问。代理服务器的性能较低，一般只能承担不到1000用户同时访问，而且国内直通的方式容易出现安全问题，追查比较困难。目前这种方式已经逐渐被网关认证和802.1x认证方式所取代。 　　2.1网关+Web认证 　　网关+Web认证方式是一种简单易用的认证方式[2]，在校园网的Internet出口处部署一台多网卡的网关，当用户访问Internet时，如果用户尚未认证，则重定向到Web认证服务器，输入用户名和密码后方可在网关上放开此用户。使用网关+Web认证方式的优点是部署和管理非常简单，用户不需要安装任何软件或者配置任何参数，只要将电脑网线插入墙上的以太网接口，即可通过DHCP获取IP地址，访问校内资源时不需要认证，