一种无线网络中终端的接入控制方法和设备

1.一种无线网络中终端的接入控制方法，应用于包括终端、接入点AP、动态主机配置协议DHCP服务器以及网关设备的无线网络中，其特征在于，所述方法包括：
AP根据DHCP服务器为终端分配的IP地址，对所述终端发送的报文进行监听；
所述AP判断所述终端未在预设的第一时间内向所述网关设备发送地址解析协议ARP报文时，通知所述DHCP服务器释放为所述终端分配的IP地址；
其中，所述ARP报文为所述终端通过Portal认证后向所述网关设备发送的。
2.如权利要求1所述的方法，其特征在于，所述AP根据DHCP服务器为终端分配的IP地址，对所述终端发送的报文进行监听，包括：
所述AP在DHCP服务器为所述终端分配IP地址的过程中，根据AP与DHCP服务器间交互的DHCP报文获取终端的IP地址，记录终端的IP地址、MAC地址、网关设备IP地址以及DHCP服务器的IP地址的对应关系，并根据所述对应关系对所述终端发送的报文进行监听。
3.如权利要求2所述的方法，其特征在于，所述AP判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文包括：
所述AP根据所述终端的IP地址或MAC地址建立所述终端对应的计时器；
当所述AP在预设时间内检测到所述终端向所述网关设备的IP地址发送的ARP报文时，重置所述终端对应的计时器；否则，继续计时；
当所述计时器到达预设的第一时间时，所述AP判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文。
4.如权利要求2所述的方法，其特征在于，所述AP通知所述DHCP服务器释放为所述终端分配的IP地址，包括：
所述AP根据所述对应关系中记录的DHCP服务器的IP地址，向所述DHCP服务器发送DHCP Release报文，通知释放所述终端的IP地址。
5.如权利要求2所述的方法，其特征在于，所述AP通知所述DHCP服务器释放为所述终端分配的IP地址后，还包括：
所述AP根据所述终端的MAC地址将所述终端标识为非认证终端；
所述AP接收到所述终端的DHCP续约请求报文时，仿冒DHCP服务器向所述终端发送响应；所述AP检测到所述终端向所述网关设备发送ARP报文时，强制所述终端下线，使得所述终端重新获取IP地址。
6.一种接入点AP，应用于包括终端、AP、DHCP服务器以及网关设备的无线网络中，其特征在于，包括：
监听单元，用于在DHCP服务器为终端分配IP地址后，对所述终端与所述网关设备间交互的地址解析协议ARP报文进行监听，其中，所述ARP报文为所述终端通过Portal认证后向所述网关设备发送的；
处理单元，用于当所述监听单元发现所述终端未在预设的第一时间内向所述网关设备发送ARP报文时，通知所述DHCP服务器释放为所述终端分配的IP地址。
7.如权利要求6所述的AP，其特征在于，所述监听单元，还用于在DHCP服务器为所述终端分配IP地址的过程中，根据AP与DHCP服务器间交互的DHCP报文获取终端的IP地址，记录终端的IP地址、MAC地址、网关设备IP地址以及DHCP服务器的IP地址的对应关系，并根据所述对应关系对所述终端发送的报文进行监听。
8.如权利要求7所述的AP，其特征在于，所述监听单元，具体用于：
根据所述终端的IP地址或MAC地址建立所述终端对应的计时器；
在预设时间内检测到所述终端向所述网关设备的IP地址发送的ARP报文时，重置所述终端对应的计时器；否则，继续计时；
当所述计时器到达预设的第一时间时，判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文。
9.如权利要求7所述的AP，其特征在于，所述处理单元，具体用于：
根据所述对应关系中记录的DHCP服务器的IP地址，向所述DHCP服务器发送DHCP Release报文，通知释放所述终端的IP地址。
10.如权利要求6或8所述的AP，其特征在于，所述处理单元，还用于：
对于所述监听单元判断为未在预设的第一时间内向所述网关设备发送ARP报文的终端，根据所述终端的MAC地址将所述终端标识为非认证终端；
接收到所述终端的DHCP续约请求报文时，仿冒DHCP服务器向所述终端发送响应；检测到所述终端向所述网关设备发送ARP报文时，强制所述终端下线，使得所述终端重新获取IP地址。

一种无线网络中终端的接入控制方法和设备 \n技术领域\n[0001] 本发明涉及通讯领域，尤其涉及一种无线网络中终端的接入控制方法和设备。 背景技术\n[0002] 在城域网架构中，一般采用Portal的方式来实现用户的安全认证，认证控制点通常在城域网的BAS(Broadband Access Server，宽带接入服务器)，BAS作为网关，同时通常还具有DHCP(Dynamic Host Configuration Protocol，动态主机配置协议)服务器的功能。\nWLAN(Wireless Local Area Network，无线局域网络)中用户终端上网涉及的Portal认证基本流程如图1所示，包括： \n[0003] (1)用户终端首先申请IP(Internet Protocol，因特网协议)地址，然后发起WEB访问。 \n[0004] 其中，网络侧存在DHCP服务器负责为用户终端分配动态IP地址。用户终端开机后，首先接收AP(Wireless Access Point，无线接入点)发送的无线信号，当接收多个AP的无线信号时，用户终端从多个AP中选择一个AP建立与该AP的关联，并通过该AP与网络侧的DHCP服务器交互DHCP协议报文，从而申请到访问网络所需的IP地址。之后，用户终端通过该IP地址发起WEB访问。 \n[0005] (2)BAS作为网关设备，强制将发起WEB访问的用户重定向到Portal门户网站。 [0006] (3)用户通过用户终端输入用户名和密码信息。 \n[0007] (4)Portal服务器发起认证请求，和BAS之间交互信息。 \n[0008] (5)BAS把用户名和密码信息封装成RADIUS(Remote AuthenticationDial In User Service，远端用拨入验证服务)报文提交给RADIUS认证服务器。 \n[0009] (6)用户时认证通过，BAS向将用户设备接入网络的网络设备下发ACL(Access Control List，访问控制列表)，允许用户终端访问网络。 \n[0010] 上述流程中，由于无线用户终端开机自动连接无线网络后一般不通过认证即可获取IP地址，造成DHCP服务器中IP地址资源的浪费。并且，由于无线空口的带宽有限，在AP(Access Point，接入点)接入大量用户终端时，冲突几率增加会造成空口利用效率急剧下降，当存在信号比较差的用户终端或802.11b用户终端连接无线网络后，更会极大影响系统的性能。因此，需要对无线用户终端进行控制，如果用户终端连接网络后，长时间(如\n1小时)没有流量，则拒绝用户终端接入无线网络，并释放该用户终端已经申请的IP地址。\n但是其存在的缺点在于，为了防止用户短时间没有流量而频繁下线，设置的时间一般较长(缺省为1小时)。因此，实际使用时基本无法起到节约IP地址资源和节省无线空口资源的作用。 \n[0011] 发明内容\n[0012] 本发明提供一种无线网络中终端的接入控制方法和设备，用于在无线网络中节省IP地址和无线空口资源。 \n[0013] 为了达到上述目的，本发明提供了一种无线网络中终端的接入控制方法，应用于包括终端、接入点AP、动态主机配置协议DHCP服务器以及网关设备的无线网络中，所述方法包括： \n[0014] AP根据DHCP服务器为终端分配的IP地址，对所述终端发送的报文进行监听； [0015] 所述AP判断所述终端未在预设的第一时间内向所述网关设备发送地址解析协议ARP报文时，通知所述DHCP服务器释放为所述终端分配的IP地址； \n[0016] 其中，所述ARP报文为所述终端通过Portal认证后向所述网关设备发送的。 [0017] 其中，所述AP根据DHCP服务器为终端分配的IP地址，对所述终端发送的报文进行监听，包括： \n[0018] 所述AP在DHCP服务器为所述终端分配IP地址的过程中，根据AP与DHCP服务器间交互的DHCP报文获取终端的IP地址，记录终端的IP地址、MAC地址、网关设备IP地址以及DHCP服务器的IP地址的对应关系，并根 据所述对应关系对所述终端发送的报文进行监听。 \n[0019] 其中，所述AP判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文包括： \n[0020] 所述AP根据所述终端的IP地址或MAC地址建立所述终端对应的计时器； [0021] 当所述AP在预设时间内检测到所述终端向所述网关设备的IP地址发送的ARP报文时，重置所述终端对应的计时器；否则，继续计时； \n[0022] 当所述计时器到达预设的第一时间时，所述AP判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文。 \n[0023] 其中，所述AP通知所述DHCP服务器释放为所述终端分配的IP地址，包括： [0024] 所述AP根据所述对应关系中记录的DHCP服务器的IP地址，向所述DHCP服务器发送DHCP Release报文，通知释放所述终端的IP地址。 \n[0025] 其中，所述AP通知所述DHCP服务器释放为所述终端分配的IP地址后，还包括： [0026] 所述AP根据所述终端的MAC地址将所述终端标识为非认证终端； [0027] 所述AP接收到所述终端的DHCP续约请求报文时，仿冒DHCP服务器向所述终端发送响应；所述AP检测到所述终端向所述网关设备发送ARP报文时，强制所述终端下线，使得所述终端重新获取IP地址。 \n[0028] 本发明还提供了一种接入点AP，应用于包括终端、AP、DHCP服务器以及网关设备的无线网络中，包括： \n[0029] 监听单元，用于在DHCP服务器为终端分配IP地址后，对所述终端与所述网关设备间交互的地址解析协议ARP报文进行监听，其中，所述ARP报文为所述终端通过Portal认证后向所述网关设备发送的； \n[0030] 处理单元，用于当所述监听单元发现所述终端未在预设的第一时间内向所述网关设备发送ARP报文时，通知所述DHCP服务器释放为所述终端分配的IP地址。 [0031] 其中，所述监听单元，还用于在DHCP服务器为所述终端分配IP地址的过程中，根据AP与DHCP服务器间交互的DHCP报文获取终端的IP地址，记录终端的IP地址、MAC地址、网关设备IP地址以及DHCP服务器的IP地址的对应关系，并根据所述对应关系对所述终端发送的报文进行监听。 \n[0032] 其中，所述监听单元，具体用于： \n[0033] 根据所述终端的IP地址或MAC地址建立所述终端对应的计时器； [0034] 在预设时间内检测到所述终端向所述网关设备的IP地址发送的ARP报文时，重置所述终端对应的计时器；否则，继续计时； \n[0035] 当所述计时器到达预设的第一时间时，判断所述终端未在预设的第一时间内向所述网关设备发送ARP报文。 \n[0036] 其中，所述处理单元，具体用于： \n[0037] 根据所述对应关系中记录的DHCP服务器的IP地址，向所述DHCP服务器发送DHCP Release报文，通知释放所述终端的IP地址。。 \n[0038] 其中，所述处理单元，还用于： \n[0039] 对于所述监听单元判断为未在预设的第一时间内向所述网关设备发送ARP报文的终端，根据所述终端的MAC地址将所述终端标识为非认证终端； \n[0040] 接收到所述终端的DHCP续约请求报文时，仿冒DHCP服务器向所述终端发送响应；\n检测到所述终端向所述网关设备发送ARP报文时，强制所述终端下线，使得所述终端重新获取IP地址。 \n[0041] 与现有技术相比，本发明具有以下优点： \n[0042] 对于由DHCP服务器分配了IP地址的终端，AP通过监听终端和网关之间交互的ARP报文，判断终端是否为认证终端，对于非认证终端，AP拒绝其接入无线网络，并且通知DHCP服务器释放其IP地址资源，从而达到节省无线空口和网络地址资源的目的。 附图说明\n[0043] 图1是现有技术的无线网络中用户终端上网的示意图； \n[0044] 图2是本发明中提供的无线网络中终端的接入控制方法流程图； [0045] 图3是本发明应用场景中提供的无线网络中终端的接入控制方法流程图； [0046] 图4是本发明中提供的接入点AP的结构示意图。 \n具体实施方式\n[0047] 本发明中提供了一种无线网络中终端的接入控制方法，应用于包括终端、AP、DHCP服务器以及网关设备的无线网络中，其核心思想在于，考虑到无线用户终端获取到IP地址后，在访问网络的过程中会经历Portal认证并定期发起对网关的ARP(Address Resolution Protocol，地址解析协议)请求，因此，本发明提供的方法中，通过检测用户终端在申请IP地址后是否会定期主动发起对网关设备的ARP请求，判断用户终端是否为已经通过了Portal认证的用户终端；对于不会定期主动发起对网关设备的ARP请求的用户终端，可以判断为未经过Portal认证即获取了IP地址的用户终端，对于该类别的用户终端，由于其没有访问网络的需求，可以通知DHCP服务器释放已经分配的IP地址。 \n[0048] 具体的，本发明中提供了一种无线网络中终端的接入控制方法，如图2所示，包括： \n[0049] 步骤s201、AP根据DHCP服务器为终端分配的IP地址，对终端发送的报文进行监听； \n[0050] 步骤s202、AP判断终端未在预设的第一时间内向网关设备发送ARP报文时，拒绝终端接入无线网络；并通知DHCP服务器释放为终端分配的IP地址。 \n[0051] 具体的，现有的城域网中，用户终端之间的二层互通常常受到限制，因此必须通过三层互通。正常的Portal认证流程中，无线方式接入的用户终端获取到IP地址后，会通过网关(通常为BAS)和Portal服务器建立连接进行Portal认证，并定期发起对BAS的ARP请求。本发明提供的方法中，通过检测用户终端在申请IP地址后是否会定期主动发起对网关的ARP请求，判断用户终端是否为经过了Portal认证的用户终端(以下简称为认证用户终端)，对未经过Portal认证的用户终端(以下简称为未认证用户终端)拒绝接入无线网络并通知DHCP服务器释放该用户终端的IP地址。 \n[0052] 以下结合具体的应用场景，描述本发明中提供的无线网络中终端的接入控制方法的具体实施方式。如图3所示，该方法包括： \n[0053] 步骤s301、用户终端通过无线方式接入无线网络，请求获取IP地址。 [0054] 具体的，无线网络中的用户终端开机后，用户终端的无线网卡自动关联 无线网络中的AP，并通过AP与网络中的DHCP服务器交互DHCP报文以获取IP地址。 [0055] 步骤s302、AP向DHCP服务器转发用户终端发送的DHCP报文，实现用户终端与DHCP服务器间DHCP报文的交互。该步骤中，AP在接收到用户终端与DHCP服务器间交互的报文时，需要将报文上送到CPU，由CPU对DHCP报文进行监听和解析，从而可以获得DHCP服务器为用户终端分配的IP地址。 \n[0056] 步骤s303、AP在用户终端与DHCP服务器间的DHCP报文交互过程结束后，根据交互的DHCP报文获取DHCP服务器为用户终端分配的IP地址，并生成包括用户终端IP地址、用户终端MAC地址、网关IP地址以及DHCP服务器的对应关系的表项。 \n[0057] 该表项的一种可选方式如表1所示： \n[0058] 表1 \n[0059] \n 序号 用户终端IP地址 用户终端MAC地址 网关IP地 址 DHCP服务 器IP地址\n 1 IPA MACA IPBAS IPDHCP\n 2 IPB MACB IPBAS IPDHCP\n ... ... ... ... ...\n[0060] 对于该表项，本发明中还提供了相应的老化机制。具体的，在检测到用户下线或判断用户终端为非认证用户终端时，将已建立的表项进行删除。判断用户终端为非认证用户终端的具体方法将在后文进行详细描述。 \n[0061] 步骤s304、AP监听无线用户终端的报文交互，判断在一个预设的第一时间，如一个检测周期(如5分钟)内是否检测到用户终端发出的目的地址为网关IP地址的ARP请求，还可以同时检测是否收到网关回应的ARP响应；若检测到则正常转发用户终端与网络侧交互的报文，使得用户终端能够通过Portal认证并正常访问网络，并重复本步骤；否则进行步骤s305。 \n[0062] 具体的检测周期计时方法可以为：为每个用户终端维护一定时器进行计时，当判断结果为检测到时将定时器清零；或在表项建立时记录关于用户终端表项建立时间的时间戳，根据系统时间与时间戳的差值获取时间进行计时， 当判断结果为检测到时根据检测到ARP报文的时间更新时间戳。 \n[0063] 步骤s305、AP认为该用户终端为非认证用户终端，向DHCP服务器发送DHCP release报文，通知DHCP服务器释放分配给该用户终端的IP地址，DHCP服务器的IP地址可以根据如表1记录的内容得到。之后，AP从表1所示的表项中将该用户终端对应的表项删除。 \n[0064] 步骤s305中，AP通知DHCP SERVER释放分配给该用户终端的IP地址后，用户终端并不知道自身获得的IP地址已经失效，仍会定期向DHCP服务器发送DHCP续约请求，以维持已经获得的IP地址。对于该类用户终端，AP将该用户终端加入未认证终端列表，该列表中可以保存用户终端的标识如MAC地址，通过用户终端的标识可以对未认证终端列表中的用户终端的报文进行监听。当接收到未认证终端列表中的用户终端发送的DHCP续约请求报文(根据报文的源MAC地址可以判断)时，AP仿冒DHCP服务器向用户终端发送响应，而不将该报文向DHCP服务器转发，使得用户终端可以正常执行DHCP续约流程。由于用户终端没有访问网络，因此无法获知该IP地址的有效性以及是否与网络中其他用户终端的IP地址存在冲突。 \n[0065] 当未认证终端列表中的用户终端由于上网需求向网关设备发送ARP请求报文时，AP触发用户终端立即下线，并在未认证终端列表中将该用户终端删除，使得用户终端立即重新从DHCP服务器获取IP地址，从而能够正常访问网络。 \n[0066] 另外，当检测到未认证终端列表中的用户终端下线时，也需要将用户终端从未认证终端列表中删除。 \n[0067] 本发明提供的方法中，对于由DHCP服务器分配了IP地址的终端，AP通过监听终端和网关之间交互的ARP报文，判断终端是否为认证终端，对于非认证终端，AP拒绝其接入无线网络，并且通知DHCP服务器释放其IP地址资源，从而达到节省无线空口和网络地址资源的目的。 \n[0068] 本发明中还提供了一种接入点AP，应用于包括终端、AP、DHCP服务器以及网关设备的无线网络中，如图4所示，包括： \n[0069] 监听单元10，用于在DHCP服务器为终端分配IP地址后，根据DHCP服务 器为终端分配的IP地址，对终端发送的报文进行监听；监听单元10可以在DHCP服务器为终端分配IP地址的过程中，根据AP与DHCP服务器间交互的DHCP报文获取终端的IP地址，记录终端的IP地址、MAC地址、网关设备IP地址以及DHCP服务器的IP地址的对应关系，并根据该对应关系对终端发送的报文进行监听。 \n[0070] 具体的，监听单元10在进行报文监听时，可以根据终端的IP地址或MAC地址建立终端对应的计时器；在预设时间内检测到终端向网关设备的IP地址发送的ARP报文时，重置终端对应的计时器；否则，继续计时；当计时器到达预设的第一时间时，判断终端未在预设的第一时间内向网关设备发送ARP报文。 \n[0071] 处理单元20，用于当监听单元10发现终端未在预设的第一时间内向网关发送ARP报文时，通知DHCP服务器释放为终端分配的IP地址。具体的，处理单元20根据监听单元\n10在对应关系中记录的DHCP服务器的IP地址，向DHCP服务器发送DHCP Release报文，通知释放分配给该终端的IP地址。。 \n[0072] 另外，处理单元，还用于： \n[0073] 对于监听单元10判断为未在预设的第一时间内向网关设备发送ARP报文的终端，根据终端的MAC地址将终端标识为非认证终端； \n[0074] 接收到终端的DHCP续约请求报文时，仿冒DHCP服务器向终端发送响应；检测到终端向网关设备发送ARP报文时，强制终端下线，使得终端重新获取IP地址。 [0075] 本发明提供的AP设备中，对于由DHCP服务器分配了IP地址的终端，AP通过监听终端和网关之间交互的ARP报文，判断终端是否为认证终端，对于非认证终端，AP拒绝其接入无线网络，并且通知DHCP服务器释放其IP地址资源，从而达到节省无线空口和网络地址资源的目的。 \n[0076] 通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可以通过硬件实现，也可以借助软件加必要的通用硬件平台的方式来实现。基于这样的理解，本发明的技术方案可以以软件产品的形式体现出来，该软件产品可以存储在一个非易失性存储介质(可以是CD-ROM，U盘，移动硬 盘等)中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。 [0077] 本领域技术人员可以理解附图只是一个优选实施例的示意图，附图中的单元或流程并不一定是实施本发明所必须的。 \n[0078] 本领域技术人员可以理解实施例中的装置中的单元可以按照实施例描述进行分布于实施例的装置中，也可以进行相应变化位于不同于本实施例的一个或多个装置中。上述实施例的单元可以合并为一个单元，也可以进一步拆分成多个子单元。 [0079] 上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。