CN105577686A

CN105577686A - 基于网络控制器的局域网单点登录方法

Info

Publication number: CN105577686A
Application number: CN201610058862.9A
Authority: CN
Inventors: 高莉莎; 胡勇; 杨少雄; 王春芹; 陈璐; 应毅
Original assignee: State Grid Corp of China SGCC; State Grid Jiangsu Electric Power Co Ltd; Nanjing Power Supply Co of Jiangsu Electric Power Co; Sanjiang University
Current assignee: State Grid Corp of China SGCC; State Grid Jiangsu Electric Power Co Ltd; Nanjing Power Supply Co of Jiangsu Electric Power Co; Sanjiang University
Priority date: 2016-01-28
Filing date: 2016-01-28
Publication date: 2016-05-11
Anticipated expiration: 2036-01-28
Also published as: CN105577686B

Abstract

本发明涉及一种基于网络控制器的局域网单点登录方法，该方法首先在局域网内安装带有CAS服务器的网络控制器，该网络控制器与转发面通过OpenFlow协议连接；然后关闭信息子系统的登陆功能，并在客户端上均安装预设的网络协议模块；在所述CAS服务器上一一对应配置每个信息子系统的访问接口，访问接口复制信息子系统中原有的访问控制逻辑；当客户端发出访问请求时，将Ticket作为IP头部信息添加到请求数据的IP包中；转发面将该IP包转发至所述CAS服务器上相对应的访问接口，并由该访问接口进行身份认证。该方法对现有的所有子系统进行统一整合，实现用户只需登录一次，便可根据用户权限访问局域网内相应多个子系统的单点登陆。

Description

基于网络控制器的局域网单点登录方法

技术领域

本发明涉及一种基于网络控制器的局域网单点登录方法，属于网络控制技术领域。

背景技术

大型的企业（如南京供电公司等）往往已经在企业内部存在多个信息子系统，分别用来处理不同的业务。为了全面整合现有的多个信息系统，实现企业的数据资源等信息的统一管理，首先需要对现有信息系统的登陆用户名和密码进行统一，即实现对现有多信息系统的全局统一的单点登录(即SingleSign-On，简称SSO)。单点登录是包括企业在内的各类组织对其业务进行整合时必须解决的问题之一。单点登录可使得在多个应用系统中，用户只需要登录一次就可以访问所有相互信任的其它应用系统，即用户只需登录一次，便可通过单点登录系统访问后台的多个应用系统，二次登录时无需重新输入用户名和密码。

CAS(即CentralAuthenticationService)是一款不错的针对Web应用的单点登录框架。现有的基于CAS技术的单点登录方法如图1所示，参与单点登录过程的有用户、子系统、CAS客户端、CAS服务器端等。

CAS框架的基本工作原理（角色分工）如下：

1）用户正常使用各个子系统。

2）各子系统必须改造，或者已包含CAS客户端，或者最初就用CAS客户端构建。通常，一种CAS服务器端会提供大量符合不同技术平台的客户端实现，以尽可能集成多数子系统。

3）植入到各应用子系统中的CAS客户端：用户访问子系统时，子系统首先用自己的方式（如，借助于Session中的状态设值）识别用户是否已经成功登录过本子系统，如果发现用户未曾登录子系统，则让CAS客户端查看用户是否在CAS服务器上登录过（查看是否拥有CAS服务器设置的Ticket），如果没有登录过，则将用户请求重定向给CAS服务器进行登录。如果登录过，CAS客户端只需要在后台向CAS服务器申请验证用户持有的Ticket是否合法，不合法的用户仍将需要被重定向到CAS服务端登录验证。

4）CAS服务器端：如果有用户过来登录，则给予登录页面，待用户输入身份信息并提交，CAS服务器认证用户。如果合法，则在客户请求中设置Ticket，将用户请求重定向到来源子系统。如果有子系统（通过内嵌的CAS客户端）过来验证Ticket是否合法，则将验证结果直接返回给子系统。

从以上工作原理能看出，传统的基于CAS框架的单点登录方法需要在各子系统中集成CAS客户端。但对于企业中大量存在的且已经开发并部署完成的信息管理子系统，这种方法需要我们逐一改造每个子系统的安全模块。但通常企业内部的信息系统来源各异，有些系统没有源代码，有些系统虽有源代码但不好修改，而且可能各系统使用的软件平台、语言也不相同。在这样异构的系统之上实现一个全局统一的单点登录系统，开发成本高且实现难度大，技术可行性不高。

发明内容

本发明要解决技术问题是：克服上述技术的缺点，提供一种针对局域网内现有的所有子信息系统进行统一整合，在不修改现有信息子系统源码的前提下，实现用户只需登录一次，便可根据用户权限访问局域网内相应多个子系统的单点登陆方法。

为了解决上述技术问题，本发明提出的技术方案是：一种基于网络控制器的局域网单点登录方法，所述局域网设有若干相互连接的信息子系统，每个信息子系统均连接有多个客户端；所述方法包括以下步骤：

1）在所述局域网内安装网络控制器，并在所述网络控制器上安装CAS服务器，所述网络控制器与转发面通过OpenFlow协议连接；所述转发面是局域网内负责数据转发任务的交换机、路由器和网关；所述网络控制器用于对局域网进行集中控制并实现OpenFlow协议中控制面的功能；

2）关闭每个信息子系统的登陆功能，在每个信息子系统及其连接的客户端上均安装预设的用于读写IP包头部信息的网络协议模块；在所述CAS服务器上一一对应配置每个信息子系统的访问接口，所述访问接口复制每个信息子系统中的访问控制逻辑；

3）所述客户端发出访问请求，所述访问请求的目标地址所指向的服务器包括所述信息子系统和所述局域网以外的网络服务器，所述客户端上的网络协议模块将该客户端的Session中的与所述目标地址对应的认证信息作为IP头部信息添加到客户端发出的请求数据的IP包中；

4）所述转发面接收所述IP包，并将该IP包转发至所述CAS服务器上与所述目标地址相对应的访问接口，并由该访问接口对所述目标地址对应的认证信息进行身份认证，如果通过身份验证，则所述转发面将通过身份验证的IP包转发至所述目标地址所指向的信息子系统；

5）如果所述IP包没有通过身份验证且该IP包中不包含Ticket，则所述CAS服务器将CAS登陆页面通过所述转发面返回至发出访问请求的客户端，由该客户端输入登陆信息并生成目标地址对应的Ticket，然后由所述客户端的网络协议模块将该Ticket添加到所述IP包中并将该IP包发送到转发面，再重复执行步骤4）和步骤5）；

如果所述IP包没有通过身份验证且该IP包中含有与所述目标地址对应的Ticket，则所述CAS服务器利用该Ticket生成所述目标地址对应的认证信息，并将该认证信息保存到所述客户端的Session中，然后由所述客户端的网络协议模块将所述目标地址对应的认证信息作为IP头部信息添加到所述IP包中并将该IP包发送到转发面，再重复执行步骤4）和步骤5）。

传统网络设备中，网络通信客户端发出的数据包，在由交换机、路由器等设备收到后，继续由本设备中统筹计算，完成数据包的正确发出。这种工作方式下，设备只能在网络层、传输层实现一定的智能化，无法实现复杂的控制，不能实现单点登录功能。

SDN（即SoftwareDefinedNetwork,又称软件定义网络）是一种新型网络创新架构，其核心技术标准为OpenFlow协议。SDN将网络设备的功能划分为控制面和转发面，转发面负责数据的发送和接收，控制面负责数据通信过程中关于路由、权限等方面的控制决策。SDN通过将网络设备的控制面与转发面分离开，可以实现对网络数据包转发路径及转发流量的智能控制。正是基于此，本发明创造性地采用SDN架构将传统网络设备的控制面抽取出来，集中放置在网络控制器中，所有的交换机、路由器和网关等（即转发面）在收到网络数据包后，将会请求网络控制器而不是依靠自己完成统筹计算，网络控制器指挥转发面的设备（即局域网络中的交换机、路由器和网关等）完成数据包的正确转发。本发明正是利用网络控制器的集中控制地位，将CAS服务器安装在网络控制器中，通过将CAS服务器与SDN网络相结合，利用现有的CAS框架实现局域网内的单点登录功能，因此本发明是在网络设备层而不是在应用层实现单点登录。

本发明中Ticket是CAS服务器在请求数据的IP包中设置的识别信息，通过Ticket可以得知用户身份。本发明在网络控制器上复制各信息子系统的访问认证接口，而不是修改各信息子系统中已有的访问控制接口实现。每个信息子系统的访问接口可以根据用户身份生成或获取的认证信息。将这些认证信息作为头部信息插入到请求数据的IP包中，CAS服务器就能确认这些请求数据的IP包的合法性，从而可以正常进入到目标信息子系统中。

现有的各信息子系统中各种平台的访问控制方法，如图2所示，一般是工作在网络应用层。而本发明的网络控制器通过将Ticket写入IP包作为头部信息，在网络设备层面上切入工作，其安全处置时间点超前；同时在CAS服务器上配置所有信息子系统的访问接口，所述访问接口复制相对应的信息子系统中原有的访问控制逻辑，因此，无论信息子系统原先采用何种访问控制技术，在本发明中均能被无缝集成到一个单点登录体系之中，而且集成过程中无需修改信息子系统源代码。

优选地，所述网络协议模块为IPSec协议栈。

优选地，所述步骤4）中所述转发面接收到所述IP包后，所述转发面检查所述IP包的目标地址信息，如果该IP包的目标地址信息与所述局域网中的任一信息子系统的地址信息均不对应，则所述转发面将所述IP包直接转发至该目标地址信息所指向的所述局域网以外的网络服务器。

对于无法安装IPSec协议栈的客户端（通常这些客户端来自于外网，其软件配置不受企业规则控制），可以在SDN网络的转发面上记录源IP地址、端口号、最终访问时间等，并以超时机制（如超过30分钟等）对长期未发生后继访问的客户端信息予以清除，本发明的网络控制器可以通过跟踪这些客户端从而替客户端维护IP头。

附图说明

下面结合附图对本发明作进一步说明。

图1是现有技术中基于CAS技术的单点登录方法。

图2是现有技术中客户端的访问控制方法。

图3是本发明实施例中客户端的访问控制方法。

具体实施方式

实施例

本实施例涉及一个企业内部的局域网，该局域网内设有有多台信息子系统，每台信息子系统上设有带个客户端。

本实施例的单点登陆方法包括以下步骤：

1）如图3所示，在所述局域网内安装网络控制器，并在所述网络控制器上安装CAS服务器，所述网络控制器与转发面通过OpenFlow协议连接；所述转发面是局域网内负责数据转发任务的交换机、路由器和网关；所述网络控制器用于对局域网进行集中控制并实现OpenFlow协议中控制面的功能。

本实施例在网络控制器上安装轻量级HTTP引擎lighttpd来实现CAS服务器的功能，向用户（即客户端等）提供CAS单点登录界面。在网络控制器上部署登录页面和警告页面等HTML资源。这些页面允许用户安装设备时上传定制。

2）关闭每个信息子系统的登陆功能，在每个信息子系统及其连接的客户端上均安装预设的用于读写IP包头部信息的网络协议模块；在所述CAS服务器上一一对应配置每个信息子系统的访问接口，所述访问接口复制每个信息子系统中的访问控制逻辑。

在网络控制器上实现单点登录逻辑，并在网络控制器上维护用户登录角色权限数据库（当然也可以是外部登录数据库接口）并配以用户数据Cache。这样可以避免每个子系统修改自己的访问控制逻辑相关的代码。因为典型的技术平台个数有限，同种技术平台上用于用户身份认证的方式固定（如JavaWeb程序中，都使用HTTPSession来维护子系统中的访问控制逻辑），所以访问接口的开发并不是常态事件。

本实施例中预设的网络协议模块为IPSec协议栈。IPSec协议栈工作在网络层，其使用是为了方便客户端或信息子系统将Ticket作为IP头部信息加到IP包中。

3）所述客户端发出访问请求，所述访问请求的目标地址所指向的服务器包括所述信息子系统和所述局域网以外的网络服务器，所述客户端上的网络协议模块将该客户端的Session中的与所述目标地址对应的认证信息作为IP头部信息添加到客户端发出的请求数据的IP包中。

4）所述转发面接收所述IP包，并将该IP包转发至所述CAS服务器上与所述目标地址相对应的访问接口，并由该访问接口对所述目标地址对应的认证信息进行身份认证，如果通过身份验证，则所述转发面将通过身份验证的IP包转发至所述目标地址所指向的信息子系统。

本发明可以作以下改进：所述步骤4）中所述转发面接收到所述IP包后，所述转发面检查所述IP包的目标地址信息，如果该IP包的目标地址信息与所述局域网中的任一信息子系统的地址信息均不对应，则所述转发面将所述IP包直接转发至该目标地址信息所指向的所述局域网以外的网络服务器。

这样，本发明在安装有IPSec协议栈的客户端上对某信息子系统发起了访问，其发出的IP包在经过转发面转发至网络控制器进行检查。网络控制器检查IP包的传输目标地址，发现属于要监控的信息子系统，则对其进行进一步检查，否则直接放行。这样，信息子系统收到的访问请求，一定是携带有认证信息的合法请求。至于是否在信息子系统中进行“额外”的访问控制动作取决于各信息子系统中的配置，其只影响系统性能而不影响登陆。

另外，假设一个来自于外网的客户，其客户端机器上未曾安装IPSec协议栈，该客户端试图访问局域网内某信息子系统时，其IP包一样可以经过网络控制器的检查。网络控制器在持有的有效客户端清单中搜索客户端进程记录，如果有记录存在，则为客户IP包恢复之前的Ticket，进行后继处理。如果记录不存在，则将其视为未登录客户，返回登录页面并将其加入到IP包的头部信息中。这样下次该客户端的新请求进入时，之前新建的IP包的头部信息将会被恢复到新请求的IP包中。

事实上，网络控制器也可以将Ticket作为HTTPCookie加入到客户请求中，但是为了能在更低的层面上实施访问控制，本发明只将这些方法视为备案。在IP数据包层面上实施访问控制的另一个好处是让基于C/S架构的子系统也有可能被本单点登录系统统一管理起来。

本发明不局限于上述实施例所述的具体技术方案，除上述实施例外，本发明还可以有其他实施方式。凡采用等同替换形成的技术方案，均为本发明要求的保护范围。

Claims

1.一种基于网络控制器的局域网单点登录方法，所述局域网设有若干相互连接的信息子系统，每个信息子系统均连接有多个客户端；所述方法包括以下步骤：

2.根据权利要求1所述的基于网络控制器的局域网单点登录方法，其特征在于：所述网络协议模块为IPSec协议栈。

3.根据权利要求1所述的基于网络控制器的局域网单点登录方法，其特征在于：所述步骤4）中所述转发面接收到所述IP包后，所述转发面检查所述IP包的目标地址信息，如果该IP包的目标地址信息与所述局域网中的任一信息子系统的地址信息均不对应，则所述转发面将所述IP包直接转发至该目标地址信息所指向的所述局域网以外的网络服务器。