层次认证方法及其在向量网的应用#张汉姝，梁满贵，刘贺**（北京交通大学计算机与信息技术学院，北京100044）510152025303540摘要：本文设计了一种递归、分层的网络接入认证方法，并探讨了该方法在一种新型数据通信网“向量网”的实际应用。首先，本文简单介绍向量网的抽象模型--标识架构和认证架构；然后，本文改进了向量网的认证架构体系，提出了基于新认证架构的统一、递归、分层的认证机制--该机制可实现用户的接入、移动、计费等功能，为实现网络的可管、可控、可运营、安全和QoS也提供了基础性支持；最后，本文给出了新认证机制在实际网络中的部署方案。关键词：层次；接入认证；向量网；802.1x：TP393.0LayeredAuthenticationMethodandItsApplicationinVectorNetworkZHANGHanshu,LIANGMangui,LIUHe(SchoolofComputerandInformationTechnology,Bei激ng激aotongUniversity,Bei激ng100044)Abstract:Thispaperdesignsarecursiveandlayerednetworkaccessauthenticationmethodanddiscussesthepracticalapplicationofanewdatacommunicationnetwork‘vectornetwork’.First,thepaperbrieflydescribestheabstractmodelofvectornetwork-identificationframeworkandauthenticationframework.Then,thethesisimprovesvectornetworkauthenticationarchitecturesystemandproposesaunited,recursiveandlayeredauthenticationmechanismbasedonthenewauthenticationarchitecture.Withthismechanism,userscanaccesstothenetwork,movebetweendifferentnetworksandbecharged.Thereforeitisabletoprovidebasicsupportstonetworkmanagement,control,operation,securityandQoS.Finally,weapplythenewmechanismtotheactualnetwork.Keywords:Layered;Accessauthentication;VectorNetwork;802.1x0引言随着互联网通信技术的快速发展，访问Internet网络的用户急速增加，在这个开放的网络环境中，各种类型的用户和设备都可接入网络获取资源，互联网的安全环境令人堪忧，网络接入控制日益成为研究的重点。网络接入控制，又称网络准入控制（NAC，NetworkAdmissionControl），是最早由Cisco提出的概念，最初使用网络的基础设施，来防止病毒对计算机网络的侵害。接入控制在任何网络体系中都是一个极其重要的、不可或缺的组成部分，它不但关系到网络的安全性、可控性，也关系到网络QoS、移动等网络功能的实现。向量网（VectorNetwork，简写为VN）是一种分形体系结构的、以向量地址为基础的新型数据通信网，对应着OSI七层网络模型的第三层——网络层[1]。从原理上讲，向量网与ATM网和IP网相比，具有安全性好、保证QoS、无限可扩展、交换设备简单、网络可运营等优势。向量网与其他现有网络一样，面临着网络安全的威胁，因此，为其设计一个科学完善、同时适用于多种网络的认证架构体系成为首先要解决的问题。基金项目：中央高校基本科研业务费专项资金资助；国家gap技术研究发展计划（863）（2007AA01Z203）作者简介：张汉姝，（1987-），女，硕士研究生，主要研究方向：新一代网络通信。通信联系人：梁满贵，（1958-），男，教授，博士生导师，主要研究方向：新一代网络通信。E-mail:mgliang@bjtu.edu-1-1向量网概述1.1向量网的三标识体系网络的身份和位置标识分离，即ID/Locator分离，对于解决网络的移动和多宿等问题起到关键作用，我们进一步把Locator角色分解为Loc和Route，形成身份标识（ID）、位置455055606570标识（Loc）和路径标识（Route）的三标识体系。另外，提供三标识相互映射的有三种网络控制面功能，称为三架构体系。如图1所示，向量网的三种架构包括：认证架构、路由架构和呼叫架构，分别用认证、呼叫和路由对等组对应的软节点搭建而成。身份标识：身份标识包括实体节点（即基本网域）和用户的ID，分别记为NID和UID，ID是网络对象在整个认证架构（即整个网络）的唯一标识，用于进行身份认证。实体节点的身份标识和身份密码用于建立链路和确定父子关系，软节点的身份标识和身份密码只用于确认父子之间的关系。用户标识用于取得机器的接纳，参与通信。位置标识：Loc代表一般的位置标识，包括主要包括...