關鍵字: IP40, VPDN25, 網(wǎng)絡33, 漫游1, 網(wǎng)卡1, 服務器54, 運營商2, 接入網(wǎng)1, 聯(lián)通2, 局域網(wǎng)1, 基站2, 計算機6, 路由器8, 本地網(wǎng)1, Cisco1, 移動通信2, 監(jiān)測系統(tǒng)1

——用戶名和IMSI綁定及固定IP地址分配問題的解決


　　一、基于CDMA1X的企業(yè)VPDN無線網(wǎng)絡系統(tǒng)

　　1.企業(yè)VPDN網(wǎng)絡組成

　　VPDN技術是利用隧道技術，通過在專用或公用網(wǎng)絡上建立邏輯隧道，對網(wǎng)絡層進行加密以及采用口令保護、身份驗證等措施而實現(xiàn)的。CDMA1X分組網(wǎng)的VPDN業(yè)務是以高速分組數(shù)據(jù)網(wǎng)為承載，為企業(yè)建立VPDN虛擬專用內(nèi)部網(wǎng)絡，使企業(yè)用戶無論漫游到何處，均可采用無線上網(wǎng)卡+PC方式進入企業(yè)內(nèi)部專網(wǎng)。企業(yè)用戶通過CDMA1X分組域的接入認證，在PDSN和企業(yè)網(wǎng)之間建立起專用隧道，然后通過企業(yè)網(wǎng)的認證后，LNS的DHCP服務為撥入用戶分配指定的內(nèi)網(wǎng)IP地址，終端經(jīng)過分組網(wǎng)的PDSN與企業(yè)的LNS間建立起PPP連接，用戶傳輸?shù)臄?shù)據(jù)流通過隧道到達企業(yè)網(wǎng)，就像用戶直接通過專線連接到企業(yè)網(wǎng)一樣。企業(yè)VPDN業(yè)務的接入如圖1所示。



圖1　企業(yè)VPDN業(yè)務接入圖

　　2.加入AAA二次認證的VPDN組網(wǎng)模式

　　AAA二次認證的RADIUS服務器和DHCP服務器與企業(yè)LNS設備都架設在企業(yè)內(nèi)部網(wǎng)絡中，企業(yè)用戶的認證數(shù)據(jù)和配置由企業(yè)自己完成，企業(yè)LNS要給本企業(yè)的用戶分配IP地址，對于運營商只需要配置企業(yè)VPDN的認證數(shù)據(jù)。

　　如圖2所示，RADIUS和DHCP服務器架設在企業(yè)網(wǎng)絡內(nèi)部，撥號用戶的管理，IP地址的分配都可在企業(yè)內(nèi)部完成，全部由企業(yè)掌握，完全和第三方無關。

　　CDMA1X網(wǎng)絡憑借分組數(shù)據(jù)技術的先進性，為企業(yè)客戶提供了多種無線VPDN業(yè)務解決方案，它無論在數(shù)據(jù)傳輸速度上，還是在構建VPDN企業(yè)專網(wǎng)的安全性和管理性方面，都為企業(yè)客戶提供了優(yōu)質安全的組網(wǎng)方案。而更為重要的是以CDMA1X高速分組數(shù)據(jù)網(wǎng)絡為承載網(wǎng)，建立起的VPDN專網(wǎng)，將為公司、銀行、公安、醫(yī)療等企業(yè)用戶，提供隨時隨地的快速、安全、方便的企業(yè)專網(wǎng)訪問，這為企業(yè)用戶帶來運營成本的縮減.


圖2 加入二次AAA認證的企業(yè)VPDN網(wǎng)絡結構圖

　　三、解決方案概述

　　1.目前存在的問題

　　目前使用基于CDMA1X技術建立的企業(yè)VPDN網(wǎng)絡存在兩個問題：一是已有系統(tǒng)只驗證用戶名和密碼，而沒有將IMSI號碼加入驗證，這樣只要知道用戶名和密碼，任何人都可以撥號進入企業(yè)的內(nèi)網(wǎng)，這就造成了很大的安全隱患；二是已有系統(tǒng)不能根據(jù)用戶名來分配固定IP地址，只能得到動態(tài)IP地址，所以每次撥號上來的用戶終端IP地址都不同，這就造成了很多需要固定IP地址的應用不能正常工作。

　　從ISP提供服務方面來看，這兩個問題是由于已有系統(tǒng)是為大眾用戶提供無線上Internet網(wǎng)的，為了方便使用，撥號上網(wǎng)的每個用戶的用戶名和密碼都一樣，通用的，用戶名和密碼都是card，它不需要根據(jù)IMSI認證，所以系統(tǒng)也就不對IMSI認證。

　　同樣的原因，ISP的目的是為用戶提供上網(wǎng)瀏覽服務，不需要固定IP地址，所以當用戶撥號上網(wǎng)時，系統(tǒng)都是在預先配置好的地址池中動態(tài)的為用戶分配IP地址。

　　從技術層面上來看，用戶撥號接入網(wǎng)絡有兩步，當用戶撥號時先連接到Radius服務器做請求接入認證；然后再向DHCP服務器請求IP地址。這兩步都是獨立的。現(xiàn)有的Radius服務器只提取屬性用戶名和密碼，而不提取IMSI號碼做驗證。在使用企業(yè)VPDN業(yè)務時，由于現(xiàn)有的DHCP服務軟件只能根據(jù)MAC地址分配IP地址，而無線上網(wǎng)設備卻沒有MAC地址，所以也只能為用戶分配動態(tài)IP地址。而IMSI也不能和IP地址綁定，因為現(xiàn)有CDMA1X網(wǎng)絡中的設備NAS不支持Radius分配IP地址，而且在用戶撥號上來時只將用戶名打包發(fā)送到DHCP服務器，所以DHCP服務器只能根據(jù)用戶名綁定IP地址。

　　2.解決問題的辦法

　　以上問題可歸結為二次AAA認證和DHCP分配IP地址兩個問題，是相互獨立的兩個過程。需要根據(jù)網(wǎng)絡實際情況定制AAA服務和DHCP服務，將IMSI認證和用戶名綁定IP的功能加入。這就可以軟件方式來解決此問題。

　　(1)二次AAA認證

　　在LNS架設1臺Radius服務器，用來做AAA二次認證。CDMA1X網(wǎng)絡側的AAA服務器用來識別撥入用戶是否是企業(yè)VPDN用戶，并將相應的LNS地址、密碼等必要信息發(fā)送給PDSN，PDSN再與LNS協(xié)商建立L2TP隧道。在隧道建立以后，企業(yè)內(nèi)部的AAA對企業(yè)用戶的用戶名和密碼及IMSI進行驗證鑒別，這樣用戶管理方便，而且與網(wǎng)絡運營商無關，接入權限都掌握在企業(yè)。

　　(2)DHCP分配固定IP地址

　　在LNS架設1臺DHCP服務器，用來做IP地址分配。NAS會將通過AAA認證用戶的DHCP請求包經(jīng)過LNS發(fā)送到DHCP服務器，由DHCP服務器解析數(shù)據(jù)包后，提取用戶名，然后驗證本地是否有此用戶，如果有就將預先設置的IP地址分配給用戶，沒有此用戶就丟棄該數(shù)據(jù)包。

　　完整的處理過程如圖3所示，假設一個企業(yè)的VPDN賬號是nxs.133vpdn.xj，這是由中國聯(lián)通為用戶分配的，企業(yè)一個用戶的VPDN用戶名是user1，密碼是user1，這都由企業(yè)自己設置，那么完整的登錄用戶名就是user1@nxs.133vpdn.xj。用戶進入企業(yè)網(wǎng)絡后，就如同在內(nèi)部上局域網(wǎng)一樣，中間的隧道對用戶來說是完全透明的。詳細步驟如下：

　　用戶使用CDMA1X無線設備撥號；

　　基站和基站控制中心負責為此次連接分配各種資源，并建立用戶和PDSN的連接；

　　PDSN和用戶終端開始建立PPP協(xié)商，并選用認證方式PAP 或CHAP；

　　分組網(wǎng)的AAA根據(jù)PDSN打包發(fā)送的用戶信息，判斷是否VPDN用戶，如果是就返回相應的LNS地址以及建立隧道用的共享密鑰。

　　PDSN根據(jù)收到的LNS信息，和LNS建立L2TP隧道；

　　用戶終端和LNS之間建立PPP協(xié)商；

　　企業(yè)AAA對用戶終端進行驗證PAP或CHAP；

　　通過后，用戶終端會發(fā)送DHCP的廣播包，向DHCP服務器請求IP地址；

　　DHCP的發(fā)現(xiàn)包通過L2TP的隧道進入LNS；

　　LNS的DHCP服務器收到后，驗證本地是否有此用戶，有就將和用戶名匹配的IP

　　地址發(fā)送給用戶；

　　終端用戶收到DHCP服務器發(fā)送的offer包后，取得IP地址，從而進入了企業(yè)網(wǎng)絡。

　　四、具體實現(xiàn)

　　1.實現(xiàn)方式

　　在建立企業(yè)VPDN的基礎上，LNS要架設1臺AAA和DHCP服務器，但由于目前的網(wǎng)絡設備或系統(tǒng)軟件都不提供用戶名、密碼和IMSI三者一起認證，和根據(jù)用戶名分配IP地址的功能，所以為了解決上述問題，可使用軟件解決辦法，設計編制AAA服務器來解決IMSI認證問題，和編制分配IP地址的DHCP服務器。目前AAA的標準是RADIUS協(xié)議，因此工作的重點就是根據(jù)RADIUS協(xié)議并結合IMSI認證問題設計并實現(xiàn)AAA服務器；根據(jù)DHCP協(xié)議并結合用戶名綁定問題設計并實現(xiàn)DHCP服務器。

　　2.開發(fā)環(huán)境與工具

　　本文所使用的開發(fā)環(huán)境是Windows2000Server，開發(fā)工具是Delphi7。由于這個應用是基于標準RADIUS協(xié)議和DHCP協(xié)議，所以可以為任何用戶Windows，Unix等提供該服務。

　　3.RADIUS和DHCP協(xié)議基礎

　　(1)RADIUS協(xié)議

　　RADIUS（RemoteAuthenticationDialIn User Service）協(xié)議最初是由Livingston 公司提出的，原先的目的是為撥號用戶進行認證和計費。后來經(jīng)過多次改進，形成了一項通用的認證計費協(xié)議。RADIUS 是一種C/S 結構的協(xié)議，它的客戶端最初就是NAS（ Net Access Server）服務器，現(xiàn)在任何運行RADIUS客戶端軟件的計算機都可以成為RADIUS的客戶端。RADIUS 協(xié)議認證機制靈活，可以采用PAP、CHAP 或者Unix 登錄認證等多種方式。RADIUS是一種可擴展的協(xié)議，它進行的全部工作都是基于Attribute-Length-Value 的向量進行的。

　　RADIUS的基本工作原理，用戶接入NAS，NAS向RADIUS服務器發(fā)送Access-Require數(shù)據(jù)包提交用戶信息，包括用戶名、密碼等相關信息，其中用戶密碼是經(jīng)過MD5 加密的，雙方使用共享密鑰，這個密鑰不經(jīng)過網(wǎng)絡傳播；RADIUS 服務器對用戶名和密碼的合法性進行檢驗，必要時可以提出一個Challenge，要求進一步對用戶認證，也可以對NAS 進行類似的認證；如果合法，給NAS返回Access-Accept 數(shù)據(jù)包，允許用戶進行下一步工作，否則返回Access-Reject 數(shù)據(jù)包，拒絕用戶訪問；如果允許訪問，NAS 向RADIUS 服務器提出計費請求Account-Require，RADIUS 服務器響應Account-Accept，對用戶的計費開始，同時用戶可以進行自己的相關操作。

　　RADIUS服務器和NAS服務器通過UDP協(xié)議進行通信，RADIUS服務器的1812端口負責認證，1813端口負責計費工作。

　　路由器或NAS上運行的AAA程序對用戶來講為服務器端，對RADIUS服務器來講是作為客戶端，當用戶上網(wǎng)時路由器決定對用戶采用何那種驗證方法。下面是兩種用戶與路由器之間(本地驗證)的驗證方法CHAP和PAP，都使用MD5加密。

　　PAP(PasswordAuthentication Protocol ) ，用戶以明文的形式把用戶名和他的密碼傳遞給路由器， NAS根據(jù)用戶名在NAS端查找本地數(shù)據(jù)庫，如果存在相同的用戶名和密碼表明驗證通過，否則表明驗證未通過。

　　CHAP（ChallengeHandshakeAuthentication Protocol）， 當用戶請求上網(wǎng)時，路由器產(chǎn)生一個16字節(jié)的隨機碼給用戶，同時還有一個ID號，本地路由器的 host name 。用戶端得到這個包后，使用自己獨用的設備或軟件對傳來的各域進行加密，生成一個response傳給NAS，根據(jù)用戶名在NAS端查找本地數(shù)據(jù)庫得到和用戶端進行加密所用的一樣的密碼，然后根據(jù)原來的16字節(jié)的隨機碼進行加密，將其結果與Response作比較，如果相同表明驗證通過，如果不相同表明驗證失敗。

　　(2)DHCP協(xié)議

　　動態(tài)主機配置協(xié)議DHCP(DynamicHostConfiguration Protocol)屬于應用層，是基于BOOTP(BOOTstrap Protocol)的BOOTP和RARP類似，是用于相對靜態(tài)的環(huán)境，其中每個主機都有一個永久的網(wǎng)絡連接，管理人員創(chuàng)建一個BOOTP配置文件來定義每個主機的BOOTP參數(shù)，在計算機經(jīng)常移動和實際計算機數(shù)目超過了可獲得的IP主機地址時，這種只提供從主機標識到主機參數(shù)的靜態(tài)映射就不適用了，為此制訂了DHCP，它加入了自動分配可再利用的地址和附加的配置選項的能力，DHCP從兩個方式上擴充了BOOTP，第一DHCP可使計算機用一個消息獲取它所需要的所有配置信息，即傳送配置信息的協(xié)議。第二DHCP允許計算機快速動態(tài)的獲取IP地址即動態(tài)分配IP地址的機制，DHCP建立在client-server模型上，其中指定的DHCP server分配網(wǎng)絡地址，并向動態(tài)配置的主機傳送配置參數(shù)，只有當系統(tǒng)管理員明確的配置主機作為DHCP服務器時主機才能作為服務器來工作。

　　DHCP支持三種類型的地址分配，自動分配方式中DHCP給主機指定一個永久的IP地址，動態(tài)分配方式中DHCP給主機指定一個有時間限制的IP地址，到時間或主機明確表示放棄這個地址時，這個地址可以被其他的主機使用，手工分配方式中主機的IP地址是由網(wǎng)絡管理員指定的，DHCP只是把指定的IP地址告訴主機。在這三種方式中只有動態(tài)分配的方式可以對已經(jīng)分配給主機，但現(xiàn)在此主機已經(jīng)不用的IP地址重新加以利用，這樣在給一臺臨時連入網(wǎng)絡的主機分配地址，或者在一組不需要永久的IP地址的主機中共享一組有限的IP地址時，動態(tài)分配顯得特別有用。

　　DHCP的消息格式是建立在BOOTP消息格式上的，這樣可以利用BOOTP的中繼代理功能來避免在每個物理網(wǎng)絡都建立一個DHCPserver，同時還允許現(xiàn)有的BOOTPclient使用DHCP server。

　　客戶機為了分配地址和DHCP服務器進行報文交換的過程如下：

　　客戶機在其子網(wǎng)內(nèi)廣播一個DHCPDISCOVER報文，此報文中包含關于網(wǎng)絡地址和租用期選項的值，如果客戶機和服務器不在一個子網(wǎng)內(nèi)則BOOTP中繼代理會把這個報文傳給服務器；

　　每個收到這個報文的服務器廣播一個包含可提供的網(wǎng)絡地址和其他配置信息的DHCPOFFER報文；

　　客戶機收到一個或多個服務器的DHCPOFFER報文后根據(jù)一定的條件從中選出一個，并向選定的服務器發(fā)送DHCPREQUEST報文，在這個請求報文中必須包含一個服務器標識以指明被選中的服務器，如果客戶機在定時器超時之前沒有收到DHCPOFFER報文則重發(fā)DHCPDISCOVER報文；

　　服務器在收到DHCPREQUEST報文后，如果可以滿足請求報文中的請求則發(fā)回一個DHCPACK報文作為響應，如果不能滿足請求則發(fā)回DHCPNAK報文作為響應，服務器在DHCPOFFER中提供給客戶機的地址不能提供給另外一個客戶機，但如果服務器沒有收到客戶機的DHCPREQUEST報文，則可以把在DHCPOFFER中提供給客戶機的地址提供給另外的客戶機；

　　客戶機在收到包含配置參數(shù)的DHCPACK報文后對報文中提供的配置參數(shù)進行檢查，同時進行配置，如果發(fā)現(xiàn)報文中有錯誤則客戶機發(fā)送一個DHCPDECLINE報文，并重新開始整個過程，如果客戶機收到DHCPNAK報文則重新開始整個過程；

　　客戶機可以通過向服務器發(fā)送DHCPRELEASE報文來釋放地址。

　　4.RADIUS及DHCP服務的實現(xiàn)

　　(1)系統(tǒng)分析

　　本系統(tǒng)的主要功能有兩個：一是依據(jù)RADIUS協(xié)議完成對撥號用戶的用戶名、密碼和IMSI號碼三者統(tǒng)一認證和授權；二是依據(jù)DHCP協(xié)議為客戶機綁定用戶名和IP地址，完成對客戶機靜態(tài)地址的分配。


圖3　系統(tǒng)數(shù)據(jù)流程圖

　　由于IMSI號碼和用戶名都不是RADIUS和DHCP的標準屬性，所以必須先要了解系統(tǒng)對它們的存放方式。通過用截包軟件跟蹤現(xiàn)有CDMA1X撥號系統(tǒng)的工作流程后，發(fā)現(xiàn)IMSI號碼在RADIUS的Request包的屬性Calling-Station-Id域內(nèi)；而用戶名在DHCP的Discover包的Option域的第236字節(jié)起。

　　所以當RADIUS服務器收到Request包時，就可從中取出用戶名、密碼和IMSI號碼；當DHCP服務器收到Discover包時，也就可以取出用戶名了。

　　(2)系統(tǒng)設計

　　對于一個撥號用戶來說，必須是得先經(jīng)過AAA認證，然后NAS才允許它向DHCP服務請求IP地址，所以對同一個用戶來說，系統(tǒng)的處理過程是順序的，而不是并行的，而且兩個過程都是相互獨立的，因此系統(tǒng)可按功能分為兩大獨立模塊，RADIUS服務處理模塊和DHCP服務處理模塊，并以多線程運行加快處理速度。

　　RADIUS服務處理模塊分為主要五個部分。

　　解析收到的數(shù)據(jù)包。該模塊處理收到的數(shù)據(jù)包，首選檢查是否為Request包，如果是就按RADIUS協(xié)議取出用戶名密碼和IMSI號碼（Calling-Station-Id域）。

　　取得本地用戶資料。該模塊輸入?yún)��?shù)是用戶名，然后根據(jù)用戶名從本地的用戶資料文件中查找該用戶是否存在，如果在就取出該用戶的密碼返回。

　　驗證用戶。該模塊根據(jù)PAP或CHAP算法來驗證該用戶是否合法。

　　記錄日志。該模塊記錄每次發(fā)生的事件，包括用戶名IMSI號碼，時間等。

　　發(fā)送返回包。該模塊將處理結果按RADIUS協(xié)議打包，并發(fā)送回客戶機。

　　DHCP服務處理模塊分為主要四個部分。

　　解析收到的數(shù)據(jù)包。該模塊處理收到的數(shù)據(jù)包，首選檢查是否為Discover包，如果是就按DHCP協(xié)議取出用戶名。

　　取得本地用戶資料。該模塊輸入?yún)��?shù)是用戶名，然后根據(jù)用戶名從本地的用戶資料文件中查找該用戶是否存在，如果在就取出該用戶的IP地址返回。

　　記錄日志。該模塊記錄每次發(fā)生的事件，包括用戶名IMSI號碼，時間等。

　　發(fā)送返回包。該模塊將處理結果按DHCP協(xié)議打包，并發(fā)送回客戶機。

　　(3)RADIUS服務處理模塊的實現(xiàn)

　　此功能要根據(jù)RADIUS協(xié)議來實現(xiàn)。服務器以UDP方式在1812端口監(jiān)聽，客戶端以UDP方式發(fā)送數(shù)據(jù)，在Delphi7環(huán)境里，可使用的標準組件是TIdUDPServer，它提供了完整的服務端UDP功能，可收發(fā)數(shù)據(jù)包，可設置緩沖區(qū)等。在判斷收到數(shù)據(jù)包是正常的請求包時，要記錄下源地址，用于發(fā)送應答數(shù)據(jù)包。由于只需要認證和授權功能，而本地網(wǎng)絡又不需要計費功能，所以本文也未實現(xiàn)計費功能，程序流程如圖4所示。


圖4 RADIUS服務的程序流程圖

　　(4)DHCP服務處理模塊的實現(xiàn)

　　此服務根據(jù)標準的DHCP協(xié)議編制，服務器以UDP方式在67端口監(jiān)聽，客戶端以UDP方式從68端口發(fā)送數(shù)據(jù)，在Delphi7環(huán)境里，可使用的標準組件是TIdUDPServer，它提供了完整的服務端UDP功能，可收發(fā)數(shù)據(jù)包，可設置緩沖區(qū)等。簡化DHCP服務的流程如圖5所示。


圖5　DHCP服務的程序流程圖

　　(5)LNS路由器的配置

　　為了和CDMA1X網(wǎng)絡的PDSN建立VPDN隧道，和建立AAA和DHCP服務器的連接，在LNS的路由器上需要如下主要配置（以CISCO為例，OS需12.2以上）：

　　1、指定DHCP服務器地址，命令：ipdhcp-server 10.0.0.58；

　　2、啟動VPDN，命令：vpdn enable ；

　　3、配置L2TP；

　　4、配置Virtual-Template1，命令：peerdefault ip address dhcp，compress mppc， ppp authentication pap or chap ；

　　5、指定RADIUS服務器地址，命令：radius-serverhost 10.0.0.58 auth-port 1812 acct-port 1813 key.

　　(6)方案的適用范圍

　　由于目前CDMA1X無線移動網(wǎng)絡的實際傳輸速率在80~100kbit/s，所以在行業(yè)應用中，只要應用的傳輸速率低于100kbit/s，就可使用此套方案建立企業(yè)內(nèi)部網(wǎng)絡。

　　在試驗中此服務程序連續(xù)運行了兩周，使用了4個終端撥測4300多次，回應NAS請求包的時間都在1毫秒到2毫秒，沒有發(fā)生錯誤，證明了用軟件解決此問題是可行的。

　　五、總結

　　隨著移動通信技術和計算機技術的快速發(fā)展，很多企業(yè)越來越多的采用了CDMA1X移動通信技術來建立企業(yè)VPDN內(nèi)部網(wǎng)絡，完成了移動辦公，監(jiān)測系統(tǒng)的數(shù)據(jù)集中等應用。本文結合目前中國聯(lián)通CDMA1X網(wǎng)絡實際情況提出了一種軟件解決辦法，該方案是在現(xiàn)有的CDMA1X分組網(wǎng)環(huán)境里，利用VPDN技術為企業(yè)建立內(nèi)部無線網(wǎng)絡，然后在企業(yè)LNS架設一臺AAA和DHCP服務器，該服務器根據(jù)標準的RADIUS及DHCP協(xié)議編制，并和現(xiàn)有CDMA1X網(wǎng)絡設備相匹配。從而簡單低成本的解決了的該問題。