［雷特 倪名］

軟件定義無線網(wǎng)絡(luò)中接入認(rèn)證技術(shù)的研究進(jìn)展

［雷特 倪名］

首先闡述了無線局域網(wǎng)中接入認(rèn)證技術(shù)存在的不足。介紹SDN轉(zhuǎn)發(fā)與控制分離的思想。通過將SDN引入WLAN，引出軟件定義無線網(wǎng)絡(luò)（SDWN），并闡明SDWN的優(yōu)點(diǎn)，以及當(dāng)前SDWN中接入認(rèn)證研究現(xiàn)狀。在SDWN這種新型網(wǎng)絡(luò)下解決傳統(tǒng)WLAN中接入認(rèn)證的缺陷與不足。并且初步討論在SDWN中，接入認(rèn)證的實(shí)現(xiàn)方案。

SDN WLAN Openfow 接入認(rèn)證技術(shù)

雷特

重慶郵電大學(xué)通信與信息工程學(xué)院。

倪名

重慶郵電大學(xué)通信與信息工程學(xué)院。

1 引言

無線局域網(wǎng)[1-3]（Wireless Local Area Network，WLAN）主要指以無線信道作為信息傳輸介質(zhì)組成的網(wǎng)絡(luò)， 用IEEE802.11[4]協(xié)議標(biāo)準(zhǔn)進(jìn)行網(wǎng)絡(luò)連接，組網(wǎng)方式分為分布式和集中式。

接入認(rèn)證技術(shù)，作為網(wǎng)絡(luò)安全[5]中的第一道防線，甚至是最重要的一道防線。有著重要的地位，可靠的身份認(rèn)證技術(shù)可以確保信息只被正確的“人（用戶）”所訪問。接入身份認(rèn)證技術(shù)提供了用戶身份的保證，阻止了非法用戶進(jìn)入網(wǎng)絡(luò)，為網(wǎng)絡(luò)的安全性提供了保障。

在傳統(tǒng)WLAN中，早期的分布式網(wǎng)絡(luò)Fat AP具有很高的智能性，AP本身承擔(dān)了用戶認(rèn)證、漫游切換、用戶數(shù)據(jù)加密、QoS、網(wǎng)絡(luò)管理等復(fù)雜功能。但是由于網(wǎng)絡(luò)中Fat AP之間獨(dú)立工作，在大規(guī)模網(wǎng)絡(luò)部署下，分布式網(wǎng)絡(luò)缺乏統(tǒng)一集中的用戶接入認(rèn)證和管理，很難實(shí)現(xiàn)集中認(rèn)證和管理功能。

集中式網(wǎng)絡(luò)使用AC+Fit AP架構(gòu)，新增無線控制器（Access Controller, AC）作為中央集中控制管理設(shè)備，原先將Fat AP自身承載的用戶認(rèn)證、漫游切換、動態(tài)密鑰等復(fù)雜功能轉(zhuǎn)移到無線控制器AC上，AP與AC之間通過隧道方式通信，可以跨越L2，L3網(wǎng)絡(luò)甚至廣域網(wǎng)進(jìn)行連接，大大提高了整網(wǎng)的工作效率。Fit AP僅提供數(shù)據(jù)與控制平面的部分功能，剩下的另一半數(shù)據(jù)與控制平面功能以及全部管理平面功能由AC完成。相對于Fat AP的分布式架構(gòu)來講，F(xiàn)it AP解決了Fat AP分布式網(wǎng)絡(luò)難于集中認(rèn)證和管理的問題，但往往AC和AP需要跨越廣域網(wǎng)通信，這種架構(gòu)需要消耗更大的鏈路帶寬來保證低時(shí)延，同時(shí)也會出現(xiàn)諸如用戶認(rèn)證慢導(dǎo)致漫游性能低下等問題，造成用戶體驗(yàn)度下降。

分析發(fā)現(xiàn)，傳統(tǒng)WLAN中，分布式網(wǎng)絡(luò)缺乏集中的接入認(rèn)證與管理。集中式網(wǎng)絡(luò)解決了分布式網(wǎng)絡(luò)缺乏集中認(rèn)證與管理的問題，但這種網(wǎng)絡(luò)架構(gòu)中，AP與AC需要跨越廣域網(wǎng)通信，鏈路延時(shí)長導(dǎo)致用戶認(rèn)證慢、漫游性能低、用戶體驗(yàn)度降低，例如用戶終端首先接入了AP1提供的WiFi熱點(diǎn)，并攜帶無線終端從AP1覆蓋區(qū)域移動向AP2覆蓋區(qū)域過程中，當(dāng)終端接收到AP1的信號強(qiáng)度低于漫游倒換閾值時(shí)，終端進(jìn)入漫游過程，終端無線客戶端驅(qū)動程序會發(fā)送探測幀，并等待周圍相鄰AP2的響應(yīng)，收到相鄰AP2的響應(yīng)后，對比信號強(qiáng)度，讓終端接入信號更強(qiáng)的WiFi熱點(diǎn)AP2。漫游步驟如下：

（1）終端停止發(fā)送和接收來自原AP( AP1 )的數(shù)據(jù)，并將數(shù)據(jù)緩存起來；

（2）終端向目標(biāo)AP( AP2 )發(fā)起關(guān)聯(lián)請求，并建立關(guān)聯(lián)；

（3）終端與原AP解除關(guān)聯(lián)關(guān)系；

（4）終端向目標(biāo)AP發(fā)起認(rèn)證請求；

（5）當(dāng)終端通過認(rèn)證后，獲取原有的IP地址。

漫游對業(yè)務(wù)的影響直接體現(xiàn)在漫游花費(fèi)的時(shí)間上。從上面漫游步驟可以看到漫游時(shí)間和認(rèn)證時(shí)間息息相關(guān)，不同認(rèn)證方式的漫游時(shí)間是不同的，所以不同認(rèn)證方式的認(rèn)證時(shí)間也是不同的。

軟件定義網(wǎng)絡(luò)[6-8]（Soft Defned Network，SDN）采用集中式的控制與分布式的轉(zhuǎn)發(fā)思想，實(shí)現(xiàn)控制平面全局優(yōu)化及高性能的網(wǎng)絡(luò)轉(zhuǎn)發(fā)能力[9]，對整個(gè)網(wǎng)絡(luò)有一個(gè)全局的視圖，能夠?qū)崟r(shí)掌握網(wǎng)絡(luò)的運(yùn)行狀況，有利于對網(wǎng)絡(luò)的管理。由此將軟件定義思想引入無線局域網(wǎng)中，即軟件定義無線網(wǎng)絡(luò)[10]（Soft Defne Wireless Network，SDWN）。SDWN繼承了SDN的網(wǎng)絡(luò)集中控制和網(wǎng)絡(luò)可編程等優(yōu)點(diǎn)，對整個(gè)網(wǎng)絡(luò)有一個(gè)全局的視圖,提供更加細(xì)粒度的網(wǎng)絡(luò)控制，解放了網(wǎng)絡(luò)設(shè)備，提升了網(wǎng)絡(luò)設(shè)備的擴(kuò)展性。在SDWN中，控制器代替了集中式網(wǎng)絡(luò)中AC作用，控制器與AP之間通信不需要跨越廣域網(wǎng)通信，如果把接入認(rèn)證功能移植到控制器上那么認(rèn)證時(shí)間必然會縮短。又由于不同認(rèn)證技術(shù)有不同的認(rèn)證時(shí)間。所以在SDWN下采取哪種認(rèn)證技術(shù)，可以在提供統(tǒng)一集中的接入認(rèn)證和管理的功能需求下，在一定程度上縮短認(rèn)證時(shí)間是一個(gè)丞待解決的問題。

本課題的研究目的是，在SDWN這種新型網(wǎng)絡(luò)架構(gòu)下，利用SDN集中管控優(yōu)勢，研究一種接入認(rèn)證技術(shù)。該接入認(rèn)證技術(shù)應(yīng)滿足如下條件：提供統(tǒng)一集中的接入認(rèn)證和管理；更短的認(rèn)證時(shí)間保證更好的漫游性能和更好的用戶體驗(yàn)。

2 研究現(xiàn)狀

2.1.接入身份認(rèn)證研究現(xiàn)狀及其應(yīng)用

(1) IEEE 802.1X接入認(rèn)證技術(shù)

802.1X[11]協(xié)議是為了解決無線局域網(wǎng)的安全問題而提出來的。但是隨著該技術(shù)的廣泛應(yīng)用，目前802.1X協(xié)議的接入機(jī)制在以太網(wǎng)中被廣泛應(yīng)用，主要用于處理以太網(wǎng)的安全方面和網(wǎng)內(nèi)認(rèn)證方面[12]的問題。

802.1X協(xié)議是一種基于端口的網(wǎng)絡(luò)接入控制協(xié)議?！盎诙丝诘木W(wǎng)絡(luò)接入控制”指的是在局域網(wǎng)接入設(shè)備的端口這一級，對所接入的用戶設(shè)備通過認(rèn)證來控制對網(wǎng)絡(luò)資源的訪問。802.1X可以與不同的認(rèn)證協(xié)議結(jié)合實(shí)現(xiàn)對接入用戶的認(rèn)證，目前在使用802.1X接入時(shí)常與RADIUS配合實(shí)現(xiàn)對接入用戶的認(rèn)證與授權(quán)。

(2) Portal接入認(rèn)證技術(shù)

Portal認(rèn)證技術(shù)[13-14]通常也稱為Web認(rèn)證技術(shù)，一般將Portal認(rèn)證網(wǎng)站稱為門戶網(wǎng)站。Portal認(rèn)證是一種三層網(wǎng)絡(luò)接入認(rèn)證，在認(rèn)證之前將用戶需要先獲取IP地址,這點(diǎn)與802.1X不同。未認(rèn)證的新用戶上網(wǎng)時(shí)，接入設(shè)備會強(qiáng)制認(rèn)證用戶登錄到特定的IP站點(diǎn)，該用戶可以免費(fèi)訪問其中的服務(wù)。但當(dāng)該用戶需要使用Internet時(shí)，那就必須在制定的IP門戶（服務(wù)器）[15]上進(jìn)行認(rèn)證，只有認(rèn)證通過后才可以訪問因特網(wǎng)上的資源。

(3) MAC地址接入認(rèn)證技術(shù)

MAC[16]地址認(rèn)證是一種基于端口和MAC地址對用戶的網(wǎng)絡(luò)訪問權(quán)限進(jìn)行控制的認(rèn)證方法，是一種二層網(wǎng)絡(luò)接入技術(shù)，與802.1X以及Portal不同，用戶不需要安裝任何客戶端軟件就可以進(jìn)行認(rèn)證。設(shè)備在啟動了 MAC地址認(rèn)證的端口上第一次檢測出用戶的MAC地址以后,就開始對該用戶進(jìn)行認(rèn)證操作。在認(rèn)證的過程中,不需要用戶去手動輸入用戶名或者對應(yīng)的密碼。如果該用戶成功認(rèn)證，則允許用戶通過端口來訪問網(wǎng)絡(luò)資源，倘若未認(rèn)證成功，則該用戶的MAC地址就會被添加成靜默MAC。在靜默的時(shí)間內(nèi)，當(dāng)來自此MAC地址用戶的報(bào)文到達(dá)時(shí)，設(shè)備直接做丟棄處理，以防止非法MAC短時(shí)間內(nèi)的重復(fù)認(rèn)證。

2.2軟件定義無線網(wǎng)絡(luò)（SDWN）接入認(rèn)證研究現(xiàn)狀

文獻(xiàn)[17]旨在分析SDN如何有利于無線沒有基礎(chǔ)設(shè)施的網(wǎng)絡(luò)環(huán)境中，并將其用于無線個(gè)人網(wǎng)絡(luò)環(huán)境中。

BeHop[18]旨在提供無線軟件定義無線網(wǎng)絡(luò)的密集部署方式，并評估無線網(wǎng)絡(luò)管理策略如何影響用戶體驗(yàn)和網(wǎng)絡(luò)行為。

文獻(xiàn)[19]提出在一個(gè)OpenFlow框架建立無線連接及優(yōu)化支持，但只針對于802.21網(wǎng)絡(luò)。這些文獻(xiàn)利用SDN思想解決傳統(tǒng)WLAN網(wǎng)絡(luò)架構(gòu)上問題，卻沒有提出在SDWN這種新型網(wǎng)絡(luò)架構(gòu)下接入認(rèn)證存在的問題和解決方法。

文獻(xiàn)[20]提出了一種SDWN下接入認(rèn)證的方法，在NOX[26]控制器上實(shí)現(xiàn)RADIUS客戶端功能，使用RADIUS完成認(rèn)證。但該作者只是做了實(shí)驗(yàn)仿真，并沒有做相應(yīng)的實(shí)現(xiàn)，也沒用在實(shí)際網(wǎng)絡(luò)中測試。

文獻(xiàn)[22]也提到了SDWN中接入認(rèn)證，但該作者研究重點(diǎn)是SDWN中的安全技術(shù)，在SDN架構(gòu)下利用現(xiàn)有的安全技術(shù)，如IPS/防火墻、VPN、加密和認(rèn)證等，對SDN接入網(wǎng)安全解決方案實(shí)例化，解決傳統(tǒng)IPS部署問題，對認(rèn)證沒有進(jìn)行深入的研究。

文獻(xiàn)[25]設(shè)計(jì)了SDWN下的無線網(wǎng)絡(luò)架構(gòu)，SDNAP+SDN-AC架構(gòu)。通過在SDN-AC端自己定義軟件接口API，進(jìn)行控制SDN-AP，利用802.1X技術(shù)在SDNAP + SDN-AC這種網(wǎng)絡(luò)框架下實(shí)現(xiàn)了接入認(rèn)證，但這關(guān)于這種架構(gòu)沒有相關(guān)標(biāo)準(zhǔn)，穩(wěn)定性和適用性不得而知，且該作者主要是研究這種新型架構(gòu)，接入認(rèn)證只是用來證明這種架構(gòu)的可行性。

文獻(xiàn)[27]提出了一種在SDN網(wǎng)絡(luò)中，通過Web認(rèn)證方式來實(shí)現(xiàn)用戶訪問網(wǎng)絡(luò)的方法，該方法在認(rèn)證成功后，雖然對整個(gè)網(wǎng)絡(luò)有訪問權(quán)限，但沒有更加精細(xì)的網(wǎng)絡(luò)資源訪問控制。

3 目前存在的問題

分析發(fā)現(xiàn)，現(xiàn)有的3種接入認(rèn)證技術(shù)均存在著一定問題：

(1) 802.1X認(rèn)證安全性高，但認(rèn)證過程較復(fù)雜，認(rèn)證時(shí)間長；并且不能實(shí)現(xiàn)統(tǒng)一的認(rèn)證管理，還需要安裝客戶端軟件，不具有擴(kuò)展性，且不易修改和維護(hù)；

(2) MAC地址認(rèn)證認(rèn)證流程簡單，認(rèn)證時(shí)間短，但這種技術(shù)容易被攻擊，比如MAC地址偽造就能輕易地獲取網(wǎng)絡(luò)權(quán)限，網(wǎng)絡(luò)安全性很低，用戶資料很容易泄露。

(3) Portal認(rèn)證，可以提供統(tǒng)一集中的認(rèn)證管理，且認(rèn)證過程相比802.1X簡單，認(rèn)證時(shí)間較短；

綜上所述，現(xiàn)有的MAC認(rèn)證技術(shù)和802.1X認(rèn)證技術(shù)不能滿足SDWN中對接入認(rèn)證技術(shù)的需求，即在提供統(tǒng)一集中的接入認(rèn)證和管理功能下；縮短認(rèn)證時(shí)間保障漫游性能和提升用戶體驗(yàn)。而SDWN中接入認(rèn)證技術(shù)又不成熟，沒有解決漫游中如何實(shí)現(xiàn)快速認(rèn)證的問題。所以在SDWN環(huán)境下，如何在提供統(tǒng)一集中的接入認(rèn)證和管理功能需求下，在一定程度上縮短認(rèn)證時(shí)間提升用戶體驗(yàn)，解決漫游中快速認(rèn)證是亟需解決的問題。Portal認(rèn)證為滿足SDWN接入認(rèn)證的需求提供了可能。

4 研究目標(biāo)和內(nèi)容

4.1 研究目標(biāo)

在軟件定義無線網(wǎng)絡(luò)（SDWN）的場景下，研究現(xiàn)有用戶接入認(rèn)證技術(shù)。在提供統(tǒng)一集中的用戶接入認(rèn)證和管理功能需求下，在一定程度上縮短漫游中認(rèn)證時(shí)間、提升漫游性能，從而解決漫游中如何實(shí)現(xiàn)快速認(rèn)證的問題，提升用戶體驗(yàn)。

4.2研究內(nèi)容

(1) SDWN中接入認(rèn)證功能模塊設(shè)計(jì)與實(shí)現(xiàn)

接入認(rèn)證功能模塊主要包括：數(shù)據(jù)報(bào)文解析模塊、數(shù)據(jù)報(bào)文加密模塊、用戶信息查詢模塊、用戶上下線模塊、計(jì)時(shí)與計(jì)費(fèi)模塊等。數(shù)據(jù)報(bào)文解析模塊處于認(rèn)證功能最底層，主要用來解析認(rèn)證交互報(bào)文，提取用戶信息。數(shù)據(jù)報(bào)文加密模塊主要是用來加密用戶數(shù)據(jù)防止泄露。用戶信息查詢模塊主要是把獲得的信息與數(shù)據(jù)庫存貯的數(shù)據(jù)進(jìn)行比對，返回相應(yīng)的結(jié)果（成功或失?。Ｓ脩羯舷戮€模塊主要是對用戶上下線行為進(jìn)行響應(yīng)完成用戶上線，下線。計(jì)時(shí)與計(jì)費(fèi)模塊主要是對用戶上線時(shí)間進(jìn)行計(jì)時(shí)，在下線時(shí)，從而完成計(jì)費(fèi)。

(2) SDWN中接入認(rèn)證數(shù)據(jù)庫模塊設(shè)計(jì)與實(shí)現(xiàn)

數(shù)據(jù)庫采用MySQL5版本，運(yùn)行在Ubuntu14.04上，單工模式工作，編碼方式為UTF-8。按照功能需求，數(shù)據(jù)庫模塊包括：用戶表單模塊、管理員表單模塊、用戶關(guān)系表單模塊、用戶日志表單。實(shí)現(xiàn)用戶的管理、認(rèn)證和數(shù)據(jù)記錄。

4.3 SDWN接入認(rèn)證實(shí)現(xiàn)方案

由于Portal認(rèn)證適用性高，只要有瀏覽器的設(shè)備均可以進(jìn)行認(rèn)證。Portal界面定制靈活、多變且Portal支持多渠道訪問；認(rèn)證也不需要特殊的客戶端軟件，降低網(wǎng)絡(luò)維護(hù)工作量?？梢蕴峁┙y(tǒng)一集中的認(rèn)證管理，且認(rèn)證過程相比802.1X簡單，認(rèn)證時(shí)間較短。

通過在現(xiàn)有的Portal認(rèn)證上進(jìn)行二次開發(fā)，將Portal認(rèn)證移植到SDWN網(wǎng)絡(luò)下，實(shí)現(xiàn)SDWN中接入認(rèn)證。并在這種認(rèn)證技術(shù)下研究合適的漫游認(rèn)證機(jī)制，實(shí)現(xiàn)快速漫游。

5 總結(jié)

根據(jù)上述分析，無線局域網(wǎng)是無線通信的重要組成部分，而接入認(rèn)證技術(shù)又是無線局域網(wǎng)中不可或缺的重要部分。因此本文為解決當(dāng)前WLAN中接入認(rèn)證技術(shù)存在的不足提供了一種可行的方法，即利用SDN思想結(jié)合WLAN引出軟件定義無線網(wǎng)絡(luò)（SDWN），經(jīng)過對現(xiàn)有接入認(rèn)證技術(shù)的對比，得出在SDWN中portal認(rèn)證優(yōu)勢更為明顯。

1 Cisco Systems公司. 思科網(wǎng)絡(luò)技術(shù)學(xué)院教程[M]. 人民郵電出版社, 2004

2 何小玉. 無線局域網(wǎng)技術(shù)與應(yīng)用[J]. 電信科學(xué), 2003, 19(3):42-45

3 謝希仁.計(jì)算機(jī)網(wǎng)絡(luò)[M].電子工業(yè)出版社.2008

4 Yang D, Xu Y, Gidlund M. Wireless Coexistence between IEEE 802.11- and IEEE 802.15.4-Based Networks: A Survey[J]. International Journal of Distributed Sensor Networks, 2011, 10(3):876-879

5 李湘江. 網(wǎng)絡(luò)安全技術(shù)與管理[J]. 現(xiàn)代圖書情報(bào)技術(shù), 2002(2):59-61

6 Software-Defned Networking: The New Norm for Networks ONF White Paper[J].2012

7 左青云, 陳鳴, 趙廣松,等. 基于OpenFlow的SDN技術(shù)研究[J]. 軟件學(xué)報(bào), 2013(5):1078-1097

8 SDN for Wi-Fi : OpenFlow-enabling the wireless LAN can bring new levels of agility[J].2014,MeruNetworks,Inc.http:// www.merunetworks.com/collateral/white-papers/sdn-forwif-wp.pdf

9 Feamster N, Rexford J, Zegura E. The road to SDN: an intellectual history of programmable networks[J]. Acm Sigcomm Computer Communication Review, 2014, 44(2):87-98

10 Fortinet[EB/OL].http://www.merunetworks.com/collateral/ white-papers/sdn-for-wif-wp.pdf.2014

11 Huang R. Design and applications of campus network user terminal access control system based on 802.1x and Web portal authentication techniques[J]. Journal of Fuzhou University, 2008, 36(5):673-676

12 韓穎錚. PPPoE與802.1X在校園網(wǎng)中的應(yīng)用分析[J]. 中國教育網(wǎng)絡(luò), 2012(2):56-57

13 馬燕, 范植華. Web/Portal認(rèn)證技術(shù)研究[J]. 微電子學(xué)與計(jì)算機(jī), 2004, 21(8):76-79

14 Pickering C. A Look Through the PORTAL[J]. Software Magazine, 2001

15 Strauss H. Web Portals[J]. Serials Librarian, 2003, 44(1):26-35牛曉妍, 薛赟. 基于MAC地址的Radius認(rèn)證在Linux下的實(shí)現(xiàn)[J]. 山西農(nóng)業(yè)大學(xué)學(xué)報(bào):自然科學(xué)版, 2009, 29(5):458-460

16 Costanzo S, Galluccio L, Morabito G, et al. Software Defned Wireless Networks: Unbridling SDNs[C]// EWSDN. 2012:1-6

17 Yiakoumis Y, Bansal M, Covington A, et al. BeHop: a testbed for dense WiFi networks[C]// Proceedings of the 9th ACM

18 international workshop on Wireless network testbeds,experimental evaluation and characterization. ACM, 2014:1-8

19 Guimaraes C, Corujo D, Aguiar R L, et al. Empowering Software Defined Wireless Networks Through Media Independent Handover Management[C]// Globecom. 2013:2204-2209溫浩. 基于SDN架構(gòu)的WLAN組網(wǎng)技術(shù)研究[D]. 北京郵電

20 大學(xué), 2013 Cao Z, Fitschen, J&#, rgen, et al. FreeSurf: Application-

21 Centric Wireless Access with SDN[J]. Acm Sigcomm Computer Communication Review, 2015, 45(4):357-358張磊. 基于SDN的接入網(wǎng)安全技術(shù)研究[D]. 北京郵電大學(xué), 2014

22 Ju S, Lee K, Kim J, et al. An efficient flow classification

23 algorithm in Software-Defined Networking[C]// Information Networking (ICOIN), 2015 International Conference on. IEEE, 2015:227-232 J?ger B, R?pke C, Adam I, et al. Multi-layer Access Control

24 for SDN-Based Telco Clouds[M]// Secure IT Systems. Springer International Publishing, 2015趙立旺. 基于SDN架構(gòu)的無線接入網(wǎng)絡(luò)研究與設(shè)計(jì)[D]. 電子

25 科技大學(xué), 2014 NOX/POX Controller[EB/OL].[2015.1.26],http://www.

26 noxrepo.org

2016-11-25）

10.3969/j.issn.1006-6403.2016.12.014