無線城市安全認(rèn)證架構(gòu)與方法研究

摘 ?要：作為城市的“第五公用基礎(chǔ)設(shè)施”，無線網(wǎng)絡(luò)現(xiàn)在已經(jīng)成為衡量一個(gè)城市的整體運(yùn)行效率的重要尺度。構(gòu)建安全可靠的安全認(rèn)證管理平臺(tái)，有益于增強(qiáng)無線網(wǎng)絡(luò)可信度和提高政府形象。無線城市認(rèn)證和門戶平臺(tái)為接入城市無線局域網(wǎng)的用戶提供安全認(rèn)證登錄。平臺(tái)提供統(tǒng)一的認(rèn)證頁面，頁面設(shè)計(jì)簡(jiǎn)潔大方，采用統(tǒng)一標(biāo)識(shí)并體現(xiàn)城市地方特色。另外，在認(rèn)證頁面上提供技術(shù)支持文字，包括運(yùn)營商單位名稱及客服電話。

關(guān)鍵詞：無線城市;無線網(wǎng)絡(luò);安全認(rèn)證

中圖分類號(hào)：TN925 ? ? 文獻(xiàn)標(biāo)識(shí)碼：A 文章編號(hào)：2096-4706（2020）12-0151-03

Abstract：As the “fifth public infrastructure” of a city，wireless cities have now become an important measure of the overall operational efficiency of a city. Building a safe and reliable security certification management platform is conducive to enhancing the credibility of the wireless network and the display of government image. The wireless city authentication and portal platform provides secure authentication login for users who access the city wireless LAN. The platform provides a unified authentication page. The page design is simple and elegant，adopting a unified logo and reflecting the local characteristics of the city. In addition，provide technical support text on the certification page，including the name of the operator unit and customer service phone.

Keywords：wireless city;wireless network;safety certification

0 ?引 ?言

城市無線網(wǎng)絡(luò)已成為信息化社會(huì)城市經(jīng)濟(jì)發(fā)展必不可少的基礎(chǔ)網(wǎng)絡(luò)設(shè)施，是城市運(yùn)營的必要條件，本公司基于中國移動(dòng)Portal V2.0.0協(xié)議對(duì)無線城市安全認(rèn)證架構(gòu)與方法進(jìn)行了研究。大力推進(jìn)公共場(chǎng)所的無線局域網(wǎng)建設(shè)，對(duì)提升城市功能服務(wù)質(zhì)量、滿足市民日益增長的信息消費(fèi)增長需求具有重要意義。無線網(wǎng)絡(luò)給社會(huì)帶來的不僅僅是對(duì)未來豐富多彩的網(wǎng)絡(luò)生活的憧憬，更重要的是帶來了強(qiáng)大的社會(huì)發(fā)展新動(dòng)力。因此，無線城市已成為未來信息化城市的發(fā)展方向。

城市無線局域網(wǎng)安全認(rèn)證管理平臺(tái)旨在為城市公共場(chǎng)所的無線局域網(wǎng)用戶提供安全認(rèn)證平臺(tái)、移動(dòng)互聯(lián)網(wǎng)應(yīng)用平臺(tái)，構(gòu)建集政務(wù)、商務(wù)、民生服務(wù)一體的綜合性無線應(yīng)用環(huán)境，深化無線網(wǎng)絡(luò)在政務(wù)、企業(yè)、民生、文化、經(jīng)濟(jì)等方面的應(yīng)用。重點(diǎn)建設(shè)內(nèi)容包括：認(rèn)證和門戶平臺(tái)、無線接入認(rèn)證推送平臺(tái)、內(nèi)容發(fā)布平臺(tái)、數(shù)據(jù)統(tǒng)計(jì)及運(yùn)營平臺(tái)、大數(shù)據(jù)平臺(tái)、安全審計(jì)平臺(tái)、網(wǎng)管和運(yùn)維平臺(tái)、移動(dòng)互聯(lián)網(wǎng)應(yīng)用平臺(tái)等。其中認(rèn)證和門戶平臺(tái)為接入城市無線局域網(wǎng)的用戶提供安全認(rèn)證登錄，是本文的重點(diǎn)。

1 ?需求分析

認(rèn)證和門戶平臺(tái)的安全認(rèn)證系統(tǒng)在設(shè)計(jì)時(shí)須考慮以下關(guān)鍵需求。

（1）包含RADIUS系統(tǒng)，支持標(biāo)準(zhǔn)RADIUS協(xié)議，支持標(biāo)準(zhǔn)的Portal協(xié)議或者中國移動(dòng)WLAN業(yè)務(wù)Portal V2.0.0協(xié)議。

（2）認(rèn)證方式具備手機(jī)短信、微信、QQ、本機(jī)號(hào)碼一鍵登錄、微博、無感知認(rèn)證、AC認(rèn)證和BRAS認(rèn)證等認(rèn)證方式。

（3）手機(jī)號(hào)認(rèn)證需支持獲取驗(yàn)證碼認(rèn)證方式，短信通道支持中國移動(dòng)、中國聯(lián)通、中國電信手機(jī)號(hào)碼。

（4）支持已經(jīng)注冊(cè)過的手機(jī)號(hào)碼用戶，在再次登錄時(shí)不需要重新獲取驗(yàn)證碼即可登錄，其他覆蓋同類設(shè)備區(qū)域的登錄也不需重新獲取驗(yàn)證碼。

（5）為降低出口鏈路處的單點(diǎn)故障、實(shí)現(xiàn)后期無縫擴(kuò)容，部署的認(rèn)證系統(tǒng)采取旁路部署模式。

（6）支持基于MAC地址/用戶手機(jī)號(hào)的認(rèn)證黑白名單，列入黑名單的用戶無法通過認(rèn)證。

（7）支持存量AP認(rèn)證和增量AP認(rèn)證。

2 ?安全認(rèn)證架構(gòu)總體設(shè)計(jì)

認(rèn)證和門戶平臺(tái)為接入城市無線局域網(wǎng)的用戶提供安全認(rèn)證登錄。平臺(tái)提供統(tǒng)一的認(rèn)證頁面，頁面設(shè)計(jì)簡(jiǎn)潔大方，采用統(tǒng)一標(biāo)識(shí)體現(xiàn)城市地方特色。另外，在認(rèn)證頁面上提供技術(shù)支持文字，包括運(yùn)營商單位名稱及客服電話。無線城市技術(shù)架構(gòu)如圖1所示。

3 ?安全認(rèn)證架構(gòu)硬件設(shè)計(jì)

3.1 ?存量AP的認(rèn)證

存量AP的認(rèn)證包括兩種方式，若存量AC工作在二層則采用BRAS認(rèn)證方式，若存量AC工作在三層則采用AC認(rèn)證方式。

（1）如存量AP為胖AP部署，或存量AC為二層部署，旁掛于主干鏈路中，認(rèn)證流程如下。

1）在網(wǎng)絡(luò)出口添加認(rèn)證及推送BRAS網(wǎng)關(guān)。

2）存量AP設(shè)備向新增BRAS網(wǎng)關(guān)發(fā)起HTTP認(rèn)證上網(wǎng)請(qǐng)求。

3）BRAS網(wǎng)關(guān)將存量AP上網(wǎng)請(qǐng)求重定向到Portal推送系統(tǒng)，Portal向RADIUS系統(tǒng)提交驗(yàn)證請(qǐng)求，RADIUS系統(tǒng)校驗(yàn)賬號(hào)密碼合法性后，將校驗(yàn)結(jié)果返回到Portal。

4）Portal系統(tǒng)將Portal頁面及認(rèn)證結(jié)果傳至BRAS網(wǎng)關(guān)（采用中國移動(dòng)WLAN業(yè)務(wù)Portal V2.0.0協(xié)議或標(biāo)準(zhǔn)的Portal協(xié)議）。

5）BRAS網(wǎng)關(guān)將Portal頁面及認(rèn)證結(jié)果反饋至增量AP，如認(rèn)證通過存量AP即正常接入網(wǎng)絡(luò)，如認(rèn)證不通過將在Portal頁面上發(fā)出錯(cuò)誤提示。

（2）如存量AP采用瘦AP部署方式，且存量AC屬于三層部署，認(rèn)證流程如下。

1）直接通過存量AC進(jìn)行認(rèn)證，存量AC將AP重定向到Portal推送系統(tǒng)，Portal向RADIUS提交驗(yàn)證請(qǐng)求，RADIUS返回認(rèn)證結(jié)果至Portal。

2）RADIUS系統(tǒng)將認(rèn)證結(jié)果發(fā)至Portal推送系統(tǒng)。

3）Portal推送系統(tǒng)通過中國移動(dòng)WLAN業(yè)務(wù)Portal V2.0.0協(xié)議或標(biāo)準(zhǔn)的Portal協(xié)議將推送頁面及認(rèn)證結(jié)果發(fā)至存量AC。

4）存量AC將推送頁面及認(rèn)證結(jié)果反饋至存量AP，如認(rèn)證通過存量AP即正常接入網(wǎng)絡(luò)，如認(rèn)證不通過將在Portal頁面上發(fā)出錯(cuò)誤提示。

3.2 ?增量AP認(rèn)證

增量AP認(rèn)證與存量AP類似，有兩種方式，若存量AC工作在二層則采用BRAS認(rèn)證方式，若新建存量AC工作在三層則采用AC認(rèn)證方式。

（1）如增量AP為胖AP部署，認(rèn)證流程如下。

1）在網(wǎng)絡(luò)出口添加認(rèn)證及推送BRAS網(wǎng)關(guān)。

2）增量AP向BRAS發(fā)起認(rèn)證上網(wǎng)請(qǐng)求。

3）BRAS將增量AP上網(wǎng)請(qǐng)求重定向到Portal系統(tǒng)，Portal系統(tǒng)將驗(yàn)證請(qǐng)求提交至RADIUS認(rèn)證系統(tǒng)，RADIUS認(rèn)證系統(tǒng)將驗(yàn)證結(jié)果返回至Portal系統(tǒng)。

4）Portal系統(tǒng)將Portal頁面及認(rèn)證結(jié)果傳至BRAS網(wǎng)關(guān)（通過中國移動(dòng)WLAN業(yè)務(wù)Portal V2.0.0協(xié)議）。

5）BRAS網(wǎng)關(guān)將Portal頁面及認(rèn)證結(jié)果反饋至增量AP，如認(rèn)證通過增量AP即正常接入網(wǎng)絡(luò)，如認(rèn)證不通過將在Portal頁面上發(fā)出錯(cuò)誤提示。

（2）如增量AP為瘦AP部署，認(rèn)證流程如下。

1）增量AP設(shè)備經(jīng)過本地交換路由接入公網(wǎng)。

2）AP設(shè)備用DNS發(fā)現(xiàn)的方式尋找云AC，并將用戶的認(rèn)證信息發(fā)至云AC。

3）云AC將HTTP認(rèn)證請(qǐng)求信息重定向到Portal系統(tǒng)（采用移動(dòng)Portal V2.0.0協(xié)議），Portal系統(tǒng)向RADIUS認(rèn)證系統(tǒng)提交驗(yàn)證請(qǐng)求，RADIUS進(jìn)行驗(yàn)證并把驗(yàn)證結(jié)果返回至Portal。

4）Portal系統(tǒng)將Portal頁面及認(rèn)證結(jié)果傳至云AC（采用中國移動(dòng)WLAN業(yè)務(wù)Portal V2.0.0協(xié)議）。

5）云AC將Portal頁面及認(rèn)證結(jié)果反饋至增量AP（采用CAPWAP協(xié)議），如認(rèn)證通過AP即正常接入網(wǎng)絡(luò)，如認(rèn)證不通過將在Portal頁面上發(fā)出錯(cuò)誤提示。

4 ?安全認(rèn)證架構(gòu)功能設(shè)計(jì)

4.1 ?多維化用戶安全認(rèn)證

公眾可使用手機(jī)、平板電腦、筆記本電腦等移動(dòng)終端設(shè)備，通過手機(jī)短信、微信、QQ、APP無感知、一鍵登錄、微博等方式實(shí)現(xiàn)安全認(rèn)證。

（1）手機(jī)短信Web認(rèn)證：手機(jī)短信Web認(rèn)證支持三大運(yùn)營商手機(jī)用戶，各運(yùn)營商手機(jī)用戶都可享受同等服務(wù)。手機(jī)號(hào)認(rèn)證支持動(dòng)態(tài)驗(yàn)證碼認(rèn)證方式，短信通道支持中國移動(dòng)、中國聯(lián)通、中國電信手機(jī)號(hào)碼。認(rèn)證平臺(tái)認(rèn)證通過后記錄用戶的手機(jī)號(hào)碼，下次該手機(jī)用戶再次登錄時(shí)不需要重新獲取驗(yàn)證碼即可登錄，其他覆蓋同類設(shè)備區(qū)域的登錄也不需要重新獲取驗(yàn)證碼。用戶的手機(jī)、平板電腦、筆記本電腦等多臺(tái)設(shè)備可使用同一個(gè)手機(jī)號(hào)碼登錄。但若用戶手機(jī)號(hào)碼被列入黑名單，則該用戶無法通過認(rèn)證;若用戶手機(jī)號(hào)碼被列入白名單，則該用戶無需認(rèn)證即可登錄。

（2）APP無感知認(rèn)證：安全認(rèn)證平臺(tái)統(tǒng)一提供給Wi-Fi用戶進(jìn)行上網(wǎng)認(rèn)證的撥號(hào)客戶端APP，用戶通過該APP進(jìn)行實(shí)名注冊(cè)后通過用戶名、密碼進(jìn)行上網(wǎng)認(rèn)證。該APP客戶端具備區(qū)域內(nèi)覆蓋Wi-Fi網(wǎng)絡(luò)熱點(diǎn)查看、網(wǎng)絡(luò)接入等功能。通過該APP，用戶能夠查看覆蓋當(dāng)前區(qū)域的所有無線熱點(diǎn)賬號(hào)以及各個(gè)賬號(hào)的信號(hào)強(qiáng)度。用戶可選擇某個(gè)信號(hào)較強(qiáng)的賬號(hào)，經(jīng)安全認(rèn)證后可接入網(wǎng)絡(luò)，當(dāng)然用戶也可以通過APP實(shí)現(xiàn)接入賬號(hào)的快速切換。

（3）一鍵登錄認(rèn)證：無線局域網(wǎng)安全認(rèn)證平臺(tái)支持用戶在瀏覽過Portal內(nèi)容后，不需要輸入任何認(rèn)證信息，點(diǎn)擊“登錄”按鈕后實(shí)現(xiàn)一鍵登錄認(rèn)證上網(wǎng)（實(shí)際上后臺(tái)默認(rèn)采用一組固定用戶名和密碼進(jìn)行登錄校驗(yàn)，通過認(rèn)證后返回登錄成功提示）。該認(rèn)證方式從用戶體驗(yàn)來說較為簡(jiǎn)捷。

（4）微信認(rèn)證：用戶通過關(guān)注“無線城市”微信公眾賬號(hào)，直接實(shí)現(xiàn)認(rèn)證通過后上網(wǎng)。

（5）QQ認(rèn)證：無線局域網(wǎng)安全認(rèn)證平臺(tái)支持用戶通過QQ號(hào)和密碼進(jìn)行關(guān)聯(lián)登錄，實(shí)現(xiàn)互聯(lián)網(wǎng)的接入和訪問。通過該方式進(jìn)行認(rèn)證登錄，支持用戶轉(zhuǎn)發(fā)指定消息到其QQ空間或騰訊微博。

（6）微博認(rèn)證：無線局域網(wǎng)安全認(rèn)證平臺(tái)也支持用戶通過微博賬號(hào)、密碼進(jìn)行關(guān)聯(lián)登錄，實(shí)現(xiàn)互聯(lián)網(wǎng)的接入。通過該方式進(jìn)行認(rèn)證登錄，支持用戶轉(zhuǎn)發(fā)指定消息到其微博主頁。

4.2 ?安全認(rèn)證后臺(tái)管理

（1）用戶信息管理：通過后臺(tái)對(duì)用戶信息進(jìn)行管理，包括用戶類型、計(jì)費(fèi)規(guī)則、上網(wǎng)時(shí)長等。通過該平臺(tái)可以對(duì)同一用戶賬號(hào)（包括同一手機(jī)號(hào)、同一QQ賬號(hào)、同一微信號(hào)、同一微博賬號(hào)等）添加多個(gè)IP地址/MAC地址，實(shí)現(xiàn)多個(gè)終端共用同一賬號(hào)進(jìn)行網(wǎng)絡(luò)接入，包括手機(jī)、PAD、筆記本電腦等不同的終端。

（2）黑名單/白名單管理：支持基于用戶手機(jī)號(hào)或MAC地址的認(rèn)證黑/白名單管理，將可疑的手機(jī)號(hào)碼、MAC地址加入黑名單，則該用戶無法通過認(rèn)證并接入網(wǎng)絡(luò)。另外也支持將信任的手機(jī)號(hào)碼、MAC地址加入白名單，則用戶無需認(rèn)證即可接入網(wǎng)絡(luò)。

（3）認(rèn)證短信管理：手機(jī)認(rèn)證短信具有中國移動(dòng)、中國聯(lián)通、中國電信三家獨(dú)立短信發(fā)送端口。通過后端管理平臺(tái)支持對(duì)認(rèn)證短信的內(nèi)容進(jìn)行修改、刪除等操作。系統(tǒng)具備5套不同的短信模板可供選擇使用，管理者可以自定義認(rèn)證短信內(nèi)容，并可以對(duì)模板內(nèi)容進(jìn)行審核，未審核通過的短信模板不允許使用。

（4）Portal兼容性：系統(tǒng)推送的Portal認(rèn)證頁面通過判斷不同終端屬性，包括操作系統(tǒng)、瀏覽器、分辨率、終端型號(hào)等，按照不同的終端設(shè)置分辨率，推送適當(dāng)分辨率的認(rèn)證頁面。

（5）跳轉(zhuǎn)網(wǎng)站設(shè)置：系統(tǒng)支持設(shè)置指定的跳轉(zhuǎn)網(wǎng)站，包括用戶認(rèn)證前放通指定網(wǎng)站、認(rèn)證完成后跳轉(zhuǎn)的網(wǎng)站地址。設(shè)置完成后，用戶在認(rèn)證完成前系統(tǒng)將插播指定網(wǎng)站的頁面內(nèi)容，認(rèn)證完成后將直接跳轉(zhuǎn)到預(yù)設(shè)的網(wǎng)絡(luò)鏈接。

（6）上網(wǎng)帶寬參數(shù)設(shè)置：通過后臺(tái)可以設(shè)置單個(gè)用戶的最大上網(wǎng)帶寬，實(shí)現(xiàn)基于用戶的帶寬限制，防止因?yàn)閭€(gè)別用戶下載或看視頻占據(jù)大流量而導(dǎo)致其他用戶無法正常上網(wǎng)的情況，并可以根據(jù)不同用戶調(diào)整不同的限制策略。

（7）上網(wǎng)時(shí)長參數(shù)設(shè)置：通過后端管理平臺(tái)可設(shè)置免費(fèi)上網(wǎng)時(shí)長。管理者能夠設(shè)定用戶認(rèn)證成功后單次上網(wǎng)時(shí)長，用戶到上網(wǎng)時(shí)間后自動(dòng)下線，如要繼續(xù)上網(wǎng)需要再次認(rèn)證和瀏覽廣告、觀看信息，然后再登錄上網(wǎng)，達(dá)到加強(qiáng)廣告效果的目的。

（8）強(qiáng)制用戶下線：系統(tǒng)支持強(qiáng)制用戶下線功能。如發(fā)現(xiàn)用戶有惡意操作行為，管理員可以通過后端管理平臺(tái)強(qiáng)制該用戶下線。

4.3 ?統(tǒng)一門戶平臺(tái)

系統(tǒng)提供無線城市門戶平臺(tái)，在門戶平臺(tái)上可查看城市人文情況介紹、時(shí)事新聞、政策動(dòng)向、政務(wù)民生、商業(yè)消費(fèi)等信息。同時(shí)集成移動(dòng)互聯(lián)網(wǎng)應(yīng)用平臺(tái)，為用戶提供便捷、實(shí)用、智能化的移動(dòng)互聯(lián)網(wǎng)服務(wù)入口。

5 ?結(jié) ?論

本文研究了城市無線局域網(wǎng)安全認(rèn)證管理平臺(tái)的重點(diǎn)建設(shè)內(nèi)容，給出了無線城市安全認(rèn)證技術(shù)架構(gòu)。根據(jù)對(duì)無線城市安全認(rèn)證系統(tǒng)的需求調(diào)研，詳細(xì)研究設(shè)計(jì)了認(rèn)證和門戶平臺(tái)，研究?jī)?nèi)容包括平臺(tái)的業(yè)務(wù)流程、硬件設(shè)備認(rèn)證流程以及平臺(tái)功能。構(gòu)建安全可靠的安全認(rèn)證管理平臺(tái)，增強(qiáng)無線網(wǎng)絡(luò)可信度和提升政府形象，為政府、企業(yè)、公眾等用戶提供集政務(wù)、商務(wù)、民生服務(wù)一體的綜合性無線應(yīng)用環(huán)境，深化無線網(wǎng)絡(luò)在政務(wù)、企業(yè)、民生、文化、經(jīng)濟(jì)等方面應(yīng)用，方便市民生活，提高企業(yè)經(jīng)營業(yè)績(jī)，提升政府管理水平。

參考文獻(xiàn)：

[1] 全國信息技術(shù)標(biāo)準(zhǔn)化技術(shù)委員會(huì).信息技術(shù) 系統(tǒng)間遠(yuǎn)程通信和信息交換 局域網(wǎng)和城域網(wǎng) 特定要求 第11部分：無線局域網(wǎng)媒體訪問控制和物理層規(guī)范：GB 15629.11-2003 [S].北京：中國標(biāo)準(zhǔn)出版社，2004.

[2] 中國通信標(biāo)準(zhǔn)化協(xié)會(huì).公眾無線局域網(wǎng)網(wǎng)絡(luò)管理 第2部分：網(wǎng)絡(luò)管理系統(tǒng)功能要求：YD/T 2615.2-2013 [S].北京：人民郵電出版社，2013.

[3] 新華社.中共中央辦公廳、國務(wù)院辦公廳印發(fā)《2006-2020年國家信息化發(fā)展戰(zhàn)略》 [EB/OL].（2006-05-08）.http：//www.gov.cn/jrzg/2006-05/08/content_275560.htm.

[4] 國務(wù)院.國務(wù)院關(guān)于加快培育和發(fā)展戰(zhàn)略性新興產(chǎn)業(yè)的決定 [EB/OL].（2010-10-18）. http：//www.gov.cn/zwgk/20 10-10/18/content_1724848.htm.

[5] 公安部信息系統(tǒng)安全標(biāo)準(zhǔn)化技術(shù)委員會(huì).互聯(lián)網(wǎng)信息服務(wù)系統(tǒng)安全保護(hù)技術(shù)措施技術(shù)要求：GA 611-2006 [S].北京：中國標(biāo)準(zhǔn)出版社，2006.

作者簡(jiǎn)介：展昭（1989.09—），男，漢族，安徽蚌埠人，系統(tǒng)架構(gòu)師，本科，研究方向：智慧城市軟件系統(tǒng)架構(gòu)。