[发明专利]RADIUS服务器与802.1x客户端信息交互、认证方法及系统

权利要求书

1.一种RADIUS服务器与802.1x客户端信息交互的方法，其特征在于，包括以下步骤：

A.RADIUS服务器在Access-Challenge报文中用EAP-Message属性的Notification类型数据携带信息请求指令；

B.NAS设备收到RADIUS服务器的Access-Challenge报文，将报文中的EAP-Message转发给802.1x客户端；

C.802.1x客户端收到EAP报文，解析Notification中的信息请求，并在Notification中携带请求的应答数据，发送EAP Response给NAS设备；

D.NAS设备收到802.1x客户端发送来的EAP Response，封装到RADIUS报文中，发送给RADIUS服务器。

2.如权利要求1所述的方法，其特征在于，所述信息请求指令，不是Notification定义的可显示字符串，而是被定义成TLV格式的数据。

3.如权利要求1所述的方法，其特征在于，所述信息请求及其应答的指令规范由RADIUS服务器制定。

4.如权利要求1所述的方法，其特征在于，其中，所述的NAS设备支持EAP Notification类型的报文。

5.一种RADIUS服务器与802.1x客户端之间安全认证的方法，其特征在于，包括以下步骤：

(1)NAS设备向802.1x客户端发送EAP-Request/Identify，请求用户身份标识，即用户名；

(2)802.1x客户端应答用户名；

(3)NAS设备收到客户端的用户名，组装RADIUS-Request报文，向RADIUS服务器发送认证请求；

(4)RADIUS服务器收到用户认证请求，组装EAP-Notification报文，询问用户的密码，并将报文利用RADIUS的EAP-Message属性发送给NAS设备；

(5)NAS设备转发EAP报文给802.1x客户端；

(6)802.1x客户端收到Notification报文，解析并应答；如果是询问密码，则回应密码密文；如果Notification是错误码，则解析错误提示，并准备向用户提示；

(7)NAS设备转发EAP报文给RADIUS服务器；

(8)RADIUS服务器收到询问密码的应答，解密密码，获得用户密码的明文后，使用用户名和用户的密码去LDAP服务器进行身份认证，再将身份认证结果使用EAP-Notification发送出去；

(9)NAS设备转发EAP报文给802.1x客户端；NAS设备如果发现EAP-Message属性是EAP-Success报文，则打开受控端口，准许客户端接入网络服务。

(10)802.1x客户端收到Notification的认证结果通知，直接回复通知确认。

6.如权利要求5所述的方法，其特征在于：在步骤(4)中，如果出现异常，则用EAP-Notification发送错误码或错误提示。

7.如权利要求5所述的方法，其特征在于：步骤(8)中，所述身份认证结果包括错误码或者认证成功后的计费信息。

8.如权利要求5所述的方法，其特征在于：在步骤(8)中，如果收到的是错误通知应答，则根据认证的结果，返回Access-Accept或者Access-Reject报文，其中，所述Access-Accept的EAP-Message属性是EAP-Success格式数据，所述Access-Reject的EAP-Message属性是EAP-Failure格式数据。

9.一种RADIUS系统，该系统包括802.1x客户端、RADIUS服务器和NAS设备；RADIUS服务器并不直接与802.1x客户端进行通信，双方的交互在于NAS设备对于EAP报文数据的转发；其特征在于，其中，所述RADIUS系统通过制定和802.1x客户端交互的指令，并使用EAP-Message属性数据中的Notification数据携带所述指令，实现与802.1x客户端进行信息交互以及安全认证。