数字化校园中统一身份认证系统研究

论文摘要

校园网身份认证系统是数字化校园中十分关键的部分。现在许多校园多个校区的情况使得校园网划分为多个域,用户的跨域身份认证成为身份认证系统必须解决的问题。无线局域网由于其部署的灵活性也在校园网中广泛使用。因此,一个好的校园网身份认证系统不仅应有高的安全性和可用性,而且应该能够实现有线网络和无线网络中跨域的统一身份认证。另外,身份认证系统也应可以在IPv6环境下运行,以应对IPv6逐渐取代IPv4的趋势。Diameter协议作为替代RADIUS协议的下一代AAA协议标准,充分考虑了未来AAA服务对安全性、可靠性和移动性方面需求。它支持代理、支持漫游,提供明确的消息路由、端到端安全和传输级安全等特性,能够充分满足目前乃至今后IP网络用户访问控制要求。PANA协议作为一个认证承载协议,运行在IP层之上,将二层接入技术的差异屏蔽,认证协议可以穿越三层设备,接入设备可以按照网络环境的需求更加灵活地部署,为各种认证方法提供一个统一的承载平台。本文深入研究了Diameter协议和PANA协议,并在此基础上设计了一个适于校园网环境的统一身份认证系统。该系统基于Diameter基础协议中的消息路由机制实现用户跨域认证;采用PANA协议,使认证系统工作在IP层之上,屏蔽了链路层的差异,也使得部署更加灵活;同时支持有线局域网和无线局域网的身份认证,支持无线局域网IEEE 802.11i安全协议,保证了无线通信的安全;运行于IPv6协议之上,适于未来的通信环境。之后,本文介绍了一个该系统的原型系统的实现过程。通过模拟无线认证申请端的跨域身份认证过程,完成了原型系统主要功能的测试。测试结果表明原型系统基本实现了本文提出的统一身份认证系统的设计。最后,本文还在对EAP-PEAP协议的研究基础上,对统一身份认证系统做了进一步分析,提出一种基于扩展EAP-PEAP协议的身份认证令牌发放机制。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 研究背景
• 1.2 本文工作
• 1.3 本文结构
• 2 Diameter 协议分析
• 2.1 概述
• 2.2 Diameter 协议体系结构
• 2.3 Diameter 基础协议
• 2.3.1 消息格式
• 2.3.2 消息定义
• 2.3.3 连接管理
• 2.3.4 会话管理
• 2.3.5 消息安全
• 2.4 Diameter 协议消息路由机制
• 2.4.1 Diameter Agent 类型
• 2.4.2 域路由表
• 2.4.3 Diameter 请求消息处理
• 2.4.4 Diameter 应答消息处理
• 2.4.5 环路检测
• 2.4.6 失败备援/失败恢复
• 2.5 Diameter EAP 应用协议
• 2.5.1 可扩展认证协议EAP
• 2.5.2 EAP over Diameter
• 2.5.3 Diameter EAP 协议消息
• 2.5.4 Diameter EAP 认证过程
• 2.6 本章小结
• 3 PANA 协议分析
• 3.1 概述
• 3.2 PANA 协议的体系结构
• 3.3 PANA 协议的工作原理
• 3.4 PANA 协议的消息格式
• 3.5 PANA 会话管理
• 3.5.1 PANA 会话的建立
• 3.5.2 PANA 会话的维护
• 3.5.3 PANA 会话的终止
• 3.6 本章小结
• 4 校园网统一身份认证系统设计
• 4.1 概述
• 4.1.1 校园网对身份认证系统的需求
• 4.1.2 目前普遍采用的校园网身份认证系统及分析
• 4.2 校园网统一身份认证系统结构
• 4.3 校园网统一身份认证系统认证流程
• 4.4 无线局域网的安全考虑
• 4.4.1 无线局域网安全协议802.11i
• 4.4.2 统一身份认证系统对于802.11i 的支持
• 4.5 跨域认证
• 4.6 本章小结
• 5 统一身份认证系统原型系统
• 5.1 OpenDiameter 体系结构
• 5.1.1 Diameter 基础协议库libdiameter
• 5.1.2 Diameter 消息解析库libdiameterparser
• 5.2 认证申请端的设计与实现
• 5.3 NAS 的设计与实现
• 5.3.1 PAA 应用模块
• 5.3.2 Diameter EAP Client 应用模块
• 5.4 AAA Server 的设计与实现
• 5.5 Diameter 中继代理的设计与实现
• 5.6 测试系统构建
• 5.6.1 硬件设备要求
• 5.6.2 软件环境要求
• 5.6.3 搭建测试环境
• 5.7 相关软件的安装与配置
• 5.8 认证申请端的配置
• 5.9 NAS 的配置
• 5.9.1 PAA 模块配置文件
• 5.9.2 Diameter Client 配置文件
• 5.10 Diameter 中继代理的配置
• 5.11 AAA Server 的配置
• 5.11.1 用户信息数据库
• 5.11.2 Diameter Server 配置文件
• 5.12 功能测试及结果分析
• 5.12.1 测试步骤
• 5.12.2 测试结果分析
• 5.13 本章小结
• 6 统一身份认证系统的进一步研究
• 6.1 概述
• 6.2 EAP-PEAP 协议
• 6.2.1 TLS 隧道的建立
• 6.2.2 第二阶段认证
• 6.2.3 EAP-PEAP 消息格式
• 6.3 对EAP-PEAP 协议的扩展
• 6.4 本章小结
• 7 总结与展望
• 致谢
• 参考文献
• 附录