CN101141492B - 实现dhcp地址安全分配的方法及系统 - Google Patents

Abstract

本发明涉及一种实现DHCP地址安全分配的方法及系统。本发明的核心是DHCP(动态主机配置协议)客户端通过接入网络发送DHCP发现报文；当接入网络侧获取所述DHCP客户端的端口信息等识别信息，并基于所述识别信息对其进行认证；最后，DHCP服务器仅对认证通过的DHCP客户端分配地址信息。因此，本发明可以根据位置信息对用户进行接入认证，并仅为合法的用户、终端分配IP地址，从而极大的增强了通过DHCP方式分配地址的安全性。而且，本发明中可以将地址统一由AAA服务器管理，或经过AAA服务器认证成功后分配地址。

Description

实现DHCP地址安全分配的方法及系统

技术领域

本发明涉及网络通信技术领域，尤其涉及一种实现DHCP地址安全分配的方法及系统。

背景技术

随着ADSL(非对称数字用户线)、以太网等接入技术的日渐成熟，宽带接入越来越普及，与此同时，在宽带接入网开展的IPTV(IP电视)视频和VoIP(基于IP的语音)业务也越来越多。各业务的开展需要采用专用的终端实现，如视频业务需要使用STB(机顶盒)，话音业务需要使用IAD(综合接入设备)，等等。各专用终端在开展业务之前需要获取本端的地址信息，之后，才可以利用本端的地址信息开展各项业务。

在通信网络中，各终端获取IP地址的方式通常均为基于DHCP(动态主机配置协议)协议实现；而传统的上网业务则通常采用PPPoE(以太网封装点到点协议)方式实现，并需要由AAA服务器对接入用户完成认证，并分配IP地址。AAA服务器一般为RADIUS(远程认证)服务器，也可能为其他认证服务器。

通过RADIUS服务器进行认证，以及通过DHCP服务器获取IP地址信息的网络通信系统结构如图1所示，其中：

DHCP服务器：用于管理IP地址的服务器，响应计算机的地址分配请求，为计算机分配合适的IP地址；

DHCP客户端：使用DHCP协议获取IP地址等网络参数的终端，包括计算机，STB，IAD等；

RADIUS服务器：远程拨入用户验证服务器，用于管理用户的帐号和密码，完成对接入用户的认证；

BRAS：宽带远程接入服务器，用户宽带用户的接入管理，对PPPoE用户，BRAS作为RADIUS客户端，向RADIUS服务器发起认证请求，对于DHCP用户，BRAS完成DHCP中继功能；

接入网：从用户家庭到BRAS中间的网络；

接入节点：接入网中与用户线路直接相连的设备，如ADSL接入设备DSLAM；

OSS系统：运营支撑系统，用于运营商业务发放和业务管理的系统。

在图1中，作为DHCP客户端STB、IAD等，可以通过网络中部署DHCP服务器使用DHCP协议为其分配相应的IP地址。

图1中各DHCP客户端获取地址的处理流程具体如图2所示：

步骤21：DHCP客户端开机，发出DHCP发现报文，查找可以提供DHCP服务的服务器；

步骤22：BRAS作为DHCP中继，将DHCP发现报文中继到指定的DHCP服务器；

步骤23：DHCP服务器返回DHCP提供报文，表示自己可以给客户端分配IP地址；

步骤24：DHCP客户端发出DHCP请求报文，BRAS将DHCP请求报文中继到DHCP服务器；

步骤25：DHCP服务器分配合适的IP地址，返回DHCP响应报文。

这样，DHCP客户端便获取IP地址，并可以接入网络，获得网络服务。

从上述DHCP地址分配过程可以看出，在DHCP客户端通过DHCP方式获取IP地址的处理过程中，非法用户可以很容易地获取到相应的IP地址，得到网络服务。这样，很容易发生黑客恶意耗尽IP地址资源，攻击网络的问题，而且，黑客攻击网络后，无法对其进行追踪。

另外，运营商需要使用DHCP服务器管理DHCP客户端用户的IP地址，使用RADIUS服务器管理PPPoE客户端用户的IP地址，存在两套IP地址资源管理机制，数据分散，管理成本高。

发明内容

鉴于上述现有技术所存在的问题，本发明的目的是提供一种实现DHCP地址安全分配的方法及系统，从而可以保证DHCP服务器进行地址分配的过程的安全性可以得到有效地保证。

本发明的目的是通过以下技术方案实现的：

本发明实施例提供了一种实现DHCP地址安全分配的DHCP认证服务器，包括：

DHCP服务器模块：接收DHCP客户端经由接入节点或接入服务器发来的DHCP请求报文，并以鉴权认证计费AAA客户端模块接收的地址信息响应所述DHCP客户端；

协议转换模块：用于从接入节点或接入服务器发来的相应的DHCP客户端的DHCP发现报文中，获取AAA认证需要的信息，生成AAA认证报文，以及根据AAA客户端模块接收的认证响应报文，生成DHCP提供报文，并发送，其中，DHCP发现报文包括标识用户的位置信息的Option82选项；所述AAA认证报文中包括所述Option82选项和DHCP客户端的MAC地址；

AAA客户端模块：用于基于DHCP协议转换模块生成的认证报文与AAA服务器间进行通信，获得对所述DHCP客户端的认证结果，并交给协议转换模块和DHCP服务器模块，其中，所述DHCP客户端的认证结果由所述AAA服务器根据所述Option82选项和所述MAC地址判定。

本发明实施例提供一种基于上述DHCP服务器的实现DHCP地址安全分配的方法，包括：

A、动态主机配置协议DHCP客户端通过接入网络发送DHCP发现报文；

B、接入网络侧获取所述DHCP客户端的识别信息，并通过所述DHCP认证服务器基于所述识别信息对所述DHCP客户端进行认证处理；

C、对于认证通过的DHCP客户端，由所述DHCP认证服务器为其分配地址信息。

本发明实施例提供一种实现DHCP地址安全分配的系统，包括：DHCP客户端，接入网络和上述DHCP认证服务器，DHCP客户端通过接入网络与DHCP认证服务器通信获取地址信息，同时，DHCP认证服务器用于对接入网络获取的DHCP客户端的DHCP发现报文进行合法性认证处理，并将认证通过的DHCP客户端进行地址分配。

由上述本发明提供的技术方案可以看出，本发明可以根据位置信息对用户进行接入认证，并仅为合法的用户、终端分配IP地址，从而极大的增强了通过DHCP方式分配地址的安全性；

而且，本发明中可以将地址统一由RADIUS服务器管理，即DHCP服务器和RADIUS服务器统一管理IP地址，降低了网络管理的成本；并可以利用RADIUS服务器原有的安全措施，控制用户获取IP地址的数量，有效防止恶意耗尽地址攻击；即使发生网络攻击或其他网络安全问题，也可以根据IP地址追踪到用户的物理位置，对黑客攻击行为可以有效的震慑；

同时，本发明还具有良好的兼容性，即本发明在实现过程中，对于OSS系统没有新增加任何接口和命令，对DHCP客户端用户的业务管理流程与原有PPPoE客户端的业务发放管理流程完全一致，保护了运营商的投资。

附图说明

图1为宽带接入系统的结构示意图；

图2为通过DHCP服务器获取地址的过程示意图；

图3为本发明所述的DHCP认证服务器结构示意图1；

图4为本发明所述的DHCP认证服务器结构示意图2；

图5为本发明所述的系统的结构示意图1；

图6为基于图5所示系统的DHCP地址分配过程示意图1；

图7为基于图5所示系统的DHCP地址分配过程示意图2；

图8为本发明所述的系统的结构示意图2；

图9为基于图8所示系统的DHCP地址分配过程示意图。

具体实施方式

本发明的核心是在DHCP客户端向DHCP服务器获取地址信息的过程中，增加了对DHCP客户端的合法性认证的处理过程，从而防止非法用户对DHCP服务器的攻击；另外，基于上述核心思想，还可以将DHCP服务器与认证服务器的地址管理统一起来，便于地址的管理。所述的认证服务器包括RADIUS服务器等AAA服务器，当然，也可以为其他功能作用类似的认证服务器。

本发明提供了实现DHCP地址安全分配的方法，主要包括：

(1)DHCP客户端通过接入网络发送DHCP发现报文；

(2)网络侧的接入服务器(如BRAS、接入节点等)根据所述的DHCP发现报文的入端口信息确定所述DHCP客户端的识别信息，如DHCP客户端的端口号、VPI/VCI(虚通道标识)、VLAN ID(虚拟局域网标识)信息等，并基于所述识别信息，以及预先配置的合法用户的识别信息对该DHCP客户端进行认证；

以RADIUS服务器作为认证服务器为例，具体可以由接入网络中的接入节点或接入服务器利用所述客户端的识别信息向远程拨号认证RADIUS服务器发起认证请求，并由RADIUS服务器根据保存的合法用户的识别信息对所述客户端的合法性进行认证；

当然，也可以设置专门用于认证的网关，由其根据配置的信息进行相应的认证处理。

(3)将认证通过的DHCP客户端的DHCP发现报文发送给DHCP服务器，并由DHCP服务器为其分配地址信息，具体的地址分配过程与现有的地址分配过程相同，故不详述。

为实现本发明提供的上述方法可以在网络中设置相应的具有认证功能的DHCP服务器，从而使得其在接收到DHCP客户端发来的DHCP发现报文后可以首先进行认证处理，当认证通过后，再为其分配相应的地址信息。

本发明提供了两种具有认证功能的DHCP认证服务器，下面将结合附图分别对其进行说明。

第一种具有认证功能的DHCP认证服务器采用的是需要通过认证服务器，如RADIUS服务器实现对DHCP客户端的认证，其具体结构如图3所示，图中以RADIUS服务器作为认证服务器为例，具体包括：

DHCP服务器模块：用于对认证通过的DHCP客户端分配IP地址，具体为接收DHCP客户端经由接入节点或接入服务器发来的DHCP请求报文，并为其分配相应的IP地址信息，所述的IP地址为RADIUS客户端模块接收的由RADIUS服务器为认证通过的客户端返回的IP地址信息；

协议转换模块：用于从接入节点或接入服务器发来的相应的DHCP客户端的DHCP发现报文中获取RADIUS认证需要的信息，并生成用于对DHCP客户端进行认证的RADIUS认证报文；同时，协议转换模块还需要根据RADIUS客户端模块接收的认证响应报文响应DHCP客户端，具体为对于认证通过的DHCP客户端的响应报文，需要协议转换模块生成相应的DHCP提供报文，并发送给相应的DHCP客户端，表示其可以被分配相应的IP地址；

RADIUS客户端模块：用于基于DHCP协议转换模块生成的认证报文与RADIUS服务器间进行通信，从而实现针对DHCP客户进行认证的处理过程，具体的认证规则可以按照RADIUS服务器中设定的规则进行合法性认证，然后，获得对所述DHCP客户端的认证结果，认证结果中包括RADIUS服务器为该客户端分配的IP地址，该IP地址需要交给DHCP服务器模块；同时，对于认证通过的DHCP客户端的响应报文需要交由协议转换模块进行后续的处理，即向DHCP客户端发送DHCP提供报文。

此时，DHCP认证服务器工作在网关模式下，所述的DHCP认证服务器支持DHCP协议和RADIUS协议，从DHCP客户端和BRAS的角度看，DHCP认证服务器是DHCP服务器；从RADIUS服务器的角度看，DHCP认证服务器是RADIUS客户端。

具体的处理过程包括：DHCP认证服务器处理DHCP中继转发的DHCP报文，根据报文中携带的客户端的识别信息，生成RADIUS报文向RADIUS服务器发起认证，RADIUS服务器根据事先配置的用户数据来判断用户的合法性，完成认证，并给用户分配IP地址，DHCP认证服务器收到RADIUS服务器的认证响应报文后，给DHCP客户端返回DHCP报文，携带由RADIUS分配的IP地址，最终DHCP客户端得到IP地址。

第二种具有认证功能的DHCP认证服务器采用的是在本地设置认证功能，并实现认证处理，其具体结构如图4所示，包括：

认证处理模块：用于获取发起DHCP过程的DHCP客户端的识别信息，并根据其保存的合法用户的识别信息对所述客户端进行合法性认证，再将认证结果发给DHCP服务器模块，所述的合法用户的识别信息通过相应的存储模块保存即可；

DHCP服务器模块：获取认证处理模块对DHCP客户端的认证结果，并向认证结果为通过的DHCP客户端发送DHCP提供报文，表示DHCP服务器可以为其分配相应的IP地址，并可以在DHCP客户端发来DHCP请求报文时，为其分配相应的IP地址，即实现DHCP服务器的功能。

此时，DHCP认证服务器工作于服务器模式下，相当于具有安全认证功能的DHCP服务器，可以独立地完成针对客户端的认证及地址分配的工作。

上述两种具有认证功能的DHCP认证服务器可以设置于任何需要应用DHCP服务器的网络中，以实现相应的地址分配功能。

本发明还提供了相应的具有DHCP地址分配认证功能的可实现DHCP地址安全分配的系统，所述系统的结构如图5和图8所示，具体包括：DHCP客户端、接入网络和DHCP认证服务器，所述的DHCP认证服务器用于对接入网络获取的DHCP客户端的DHCP发现报文进行合法性认证，并对认证通过的DHCP客户端进行地址分配处理。

在本发明所述的系统中，所述的DHCP认证服务器可以采用以下两种方式对DHCP客户端进行认证，并分配相应的IP地址，具体为：

一种是将DHCP客户端的识别信息通过认证请求报文发送给RADIUS服务器，并由RADIUS服务器对其进行认证，并由RADIUS服务器为其分配相应的IP地址，或者RADIUS服务器只进行认证处理，而仍由DHCP服务器分配相应的IP地址；此处，仅以RADIUS服务器作为认证服务器描述本发明的具体应用实例，而并不仅限于此；

另一种是将DHCP客户端的识别信息根据本地保存的合法用户的识别信息进行合法性认证，并由DHCP服务器为认证通过的DHCP客户端为分配相应的IP地址。

在所述的系统中，具体是接入节点和BRAS支持DHCP报文的捕获，并插入Option82选项，以便于DHCP认证服务器接收所述的DHCP报文后可以获取到相应的DHCP客户端的识别信息，Option82选项中标识了作为识别信息的用户的位置信息，具体包括端口信息，VPI/VCI信息，VLAN ID等信息；可以在接入节点向DHCP报文中插入Option82选项，还可以在BRAS向DHCP报文插入Option82选项。

基于上述系统，本发明还提供了相应的实现DHCP地址安全分配的方法，下面将进行详细的说明。

首先，以DHCP认证服务器工作于网关模式下，且认证服务器为RADIUS服务器为例，对所述的方法进行说明，如图5、图6和图7所示，具体描述如下：

如图5和图6所示，该方法具体实现时，包括以下步骤：

步骤61：用户开户时，运营商在RADIUS服务器中增加一条用户数据，帐号为用户的位置信息，编码方式与接入节点和BRAS插入的Option82选项一致，并可以选择记录终端(STB、IAD)的MAC地址。

步骤62：DHCP客户端需要获取IP地址信息时，则DHCP客户端需要向BRAS发送DHCP发现报文；

步骤63：BRAS作为DHCP中继，捕获DHCP报文，并在报文中插入Option82选项，然后将携带用户位置信息的DHCP发现报文发送给DHCP认证服务器，所述的Option82选项标识了用户的位置信息，如端口信息，VPI/VCI，VLAN ID等；

步骤64：DHCP认证服务器收到BRAS中继过来的DHCP报文，从中取出Option82选项和终端的MAC地址，生成RADIUS协议报文，并发送给RADIUS服务器，报文中帐号为option82的内容，Calling-Station-ID(呼叫站点标识)属性为终端的MAC地址；

RADIUS服务器收到认证请求，根据数据库中的信息进行认证，根据帐号判断用户的合法性，并且可以根据MAC地址，判断终端的合法性，如果认证通过，分配一个IP地址给用户，返回认证响应报文，参见步骤65；

步骤65：认证通过后，RADIUS服务器将向DHCP认证服务器返回认证响应报文，且报文中携带着分配给客户端的IP地址；

DHCP认证服务器收到认证响应报文后，从中提取出RADIUS分配的IP地址，使用标准的DHCP过程，给DHCP客户端分配IP地址，参见如下步骤：

步骤66：DHCP认证服务器接收所述响应报文后，则向DHCP客户端发送DHCP提供报文；

步骤67：DHCP客户端接收所述DHCP提供报文后，则向DHCP认证服务器发送DHCP请求报文；

步骤68：DHCP认证服务器将从RADIUS服务器发来的IP地址信息通过DHCP响应报文发送给DHCP客户端。

在上述步骤63中描述的是BRAS插入Option82选项，在实际应用过程中，如图7所示，也可以由DSLAM(数字用户线接入复用器)，即由接入节点插入Option82选项，BRAS只作DHCP中继，而其他处理流程与上述描述的处理过程完全相同。

在上述过程中，如果RADIUS服务器只进行认证处理，而仍由DHCP服务器分配相应的IP地址，则步骤65至步骤68的处理过程为：RADIUS服务器向DHCP服务器返回认证通过的消息时，DHCP服务器向DHCP客户端发送DHCP提供报文，并通过后续的与现有的地址分配过程相同的处理为所述DHCP客户端分配相应的IP地址。

之后，再以DHCP认证服务器工作于服务器模式下为例，对所述的方法进行说明，如图8和图9所示，具体描述如下：

步骤91：用户开户时，运营商在DHCP认证服务器中增加一条数据，记录用户的位置信息，编码方式与接入节点和BRAS插入的Option82选项一致，并可以选择记录终端(STB、IAD)的MAC地址。

步骤92：DHCP客户端需要获取IP地址信息时，则DHCP客户端需要向BRAS发送DHCP发现报文；

步骤93：BRAS作为DHCP中继，捕获DHCP报文，并在报文中插入Option82选项，然后将携带用户位置信息的DHCP发现报文发送给DHCP认证服务器，所述的Option82选项标识了用户的位置信息，如端口信息，VPI/VCI，VLAN ID等；

DHCP认证服务器收到BRAS中继过来的DHCP报文，从中取出作为识别信息的Option82选项和终端的MAC地址，并查询本地数据库，根据本地保存的合法用户的识别信息对DHCP客户的识别信息进行认证，如果认证通过，则向DHCP客户端返回DHCP提供报文，参见步骤94；

步骤94：DHCP认证服务器向DHCP客户端发送DHCP提供报文；

步骤95：DHCP客户端接收所述DHCP提供报文后，则向DHCP认证服务器发送DHCP请求报文；

步骤96：DHCP认证服务器为DHCP客户端分配IP地址信息，并通过DHCP响应报文发送给DHCP客户端。

同样，在图9中的步骤93描述的是BRAS插入Option82选项，在实际应用过程中，也可以由接入节点DSLAM插入Option82选项，BRAS只作DHCP中继，其他流程完全相同。

综上所述，本发明极大的增强了DHCP方式分配地址的安全性，并可以根据位置信息对用户进行接入认证，且只对合法的用户、合法的终端分配IP地址，以有效防止恶意耗尽地址攻击。而且，在发生网络攻击或其他网络安全问题，也可以根据IP地址追踪到用户的物理位置，对黑客攻击行为可以有效的震慑。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到的变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应该以权利要求的保护范围为准。

Claims (4)

1.一种实现DHCP地址安全分配的DHCP认证服务器，其特征在于，所述DHCP认证服务器包括：

DHCP服务器模块：接收DHCP客户端经由接入节点或接入服务器发来的DHCP请求报文，为所述DHCP客户端分配IP地址，所述的IP地址为RADIUS客户端模块接收的由RADIUS服务器为认证通过的客户端返回的IP地址信息；

协议转换模块：用于从接入节点或接入服务器发来的相应的DHCP客户端的DHCP发现报文中，获取AAA认证需要的信息，生成AAA认证报文，以及根据AAA客户端模块接收的认证响应报文，生成DHCP提供报文，并发送；其中，DHCP发现报文包括标识用户的位置信息的Option82选项；所述AAA认证报文中包括所述Option82选项和DHCP客户端的MAC地址；

AAA客户端模块：用于基于DHCP协议转换模块生成的认证报文与AAA服务器间进行通信，获得对所述DHCP客户端的认证结果，并交给协议转换模块和DHCP服务器模块，其中，所述DHCP客户端的认证结果由所述AAA服务器根据所述Option82选项和所述MAC地址判定。

2.一种通过权利要求1所述的DHCP认证服务器实现DHCP地址安全分配的方法，其特征在于，包括：

所述DHCP客户端通过接入网络发送所述DHCP发现报文。

3.根据权利要求2所述的实现DHCP地址安全分配的方法，其特征在于，所述Option82选项中标识了作为识别信息的用户的位置信息，具体包括端口信息、VPI/VCI信息和VLAN ID信息。

4.一种实现DHCP地址安全分配的系统，其特征在于，包括：DHCP客户端，接入网络和权利要求1所述的DHCP认证服务器，DHCP客户端通过接入网络与DHCP认证服务器通信获取地址信息，同时，DHCP认证服务器用于接收DHCP客户端经由接入节点或接入服务器发来的DHCP请求报文，为所述DHCP客户端分配IP地址，所述的IP地址为RADIUS客户端模块接收的由RADIUS服务器为认证通过的客户端返回的IP地址信息。