校园网无感知认证安全研究阳甫军刘科张艺黄庆摘要：随着高校信息化的不断发展，校园网络管理员的工作日益繁重，校园网安全显得越来越重要。为简化用户的网络接入认证过程，确保用户登录安全，提出一种基于DHCP与无感知认证相结合的网络安全接入方案。该方法首先依据MAC地址作为用户接入网络的安全标志，以Portal认证方式接入校园网，结合DHCP协议，对认证方式进行改进和二次验证，从理论上论证了方案的可行性。最后通过实际实验的模拟验证，验证了该方法的可行性，实现了用户的无感知安全认证，提高了校园网的安全性。关键词：MAC地址;Portal认证;DHCP协议;无感知认证研究：TB：Adoi：10.19311/j.cnki.1672-3198.2020.01.090近年来随着高校信息化建设不断加快，高校各种智能终端设备的使用也日益广泛，校园用户对校园网接入要求也越来越高。由于目前大多数校园网依旧采用传统的Portal认证方式，用户登录方式较为繁琐，登录后安全性较低，故本文提出一种校园网无感知认证方案。1技术背景1.1DHCP原理概述DHCP是基于BOOTP的拓展版本，其主要由两个部分组成：（1）服务器端：DHCP服务器负责集中管理网络IP的所有數据。并且处理客户端发来的DHCP请求。（2）客户端：使用服务器分配的IP环境数据。当DHCP服务器与用户进行交互的过程中，DHCP对应的报文中会产生options字段，而options字段里会带有基本参数，除了基础的IP地址等信息外，还会有网关地址、子网掩码等信息，这些字段信息也可以在认证过程中进行验证。1.2Portal认证Portal认证系统主要由终端、接入设备、PortalServer、DHCPServer、RadiusServer、WEBServer组成，其具体组成如图1所示。用户采用Portal认证技术可以直接通过浏览器进行主动或者被动的认证，显得更加方便快捷。现高校中大多采用Portal认证方式进行网络接入，但是，如果用户出现网络中断的话，当用户再次接入网络则需要重新进行认证，这也是Portal认证的不足之处。1.3MAC地址认证校园网络管理员在交换机内部设置一张MAC地址表，当用户接入校园网时，就需要验证该用户终端的MAC地址是否与MAC地址表中的地址匹配，若匹配成功，则认为合法用户，若匹配失败，则不允许访问网络。在局域网内，MAC地址认证的方式显得快捷、实用。但是如果用户登录终端发生变化的话，修改MAC地址表显得更加复杂，所以MAC地址认证在实际网络管理中也显得不够灵活。2基于DHCP和Portal相结合的无感知认证通过对常见的认证方式进行具体分析，若在校园网日常管理过程中采用Portal认证、MAC地址认证的方式，则显得不够灵活，用户的无感知体验也较差，网络安全性不高。本文提出一种基于DHCP和Portal相结合的无感知认证研究方案，首先依据MAC地址作为用户接入网络的安全标志，以Portal认证方式接入校园网，结合DHCP协议，对认证方式进行改进和二次验证。其具体过程如图2所示。3局域网验证为了验证本方案的可行性，本文通过搭建一个小型局域网来验证。具体验证过程如下：（1）将Portal认证服务和DHCP服务同时部署在同一服务器上，当用户首次采用某一终端接入校园网的时候，用户向服务器发起认证请求，服务器通过请求获取用户终端的IP、MAC信息，并将其储存在对应服务器的数据库中。（2）服务器通过捕捉DHCP协议中request包、discover包和options字段的55标签记录用户终端的参数请求列表和，包括用户的系统版本、内核版本等基础信息，某次实验环境下的认证信息数据如表1所示。（3）当用户发生网络中断，再次连接服务器的时候，服务器先验证用户的MAC地址、系统版本、内核版本等信息。若验证成功，则用户之间接入校园网，不需要再次进行Portal认证。并且在后续网络中断过程中，步骤3是自动完成的，不需要用户主动二次登录。达到无感知认证的效果。4结论随着校园网的建设发展，校园网的无感知认证需要有安全、方便、快捷、灵活等多种特点。而无感知认证对于校园的安全建设显得尤为重要，既增加了校园网络的安全性，又为全校师生带来了便利性，大大提高了校园网用户的体验感。此外，本认证方案也具有一定的局限性，由于未限制用户终端的数量，未考虑用户使用一次性终端的情况，若用户认证的终端较多，导...