CN102594939A - 一种二次地址分配方法和装置 - Google Patents

Abstract

本发明提供了一种二次地址分配方法和装置，该方法包括：接收用户的访问公网请求；如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，触发认证服务器对所述用户的认证；在触发认证服务器对所述用户的认证后，若用户认证成功，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；如果所述用户已通过认证，则将所述用户的私网IP地址转换为在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。本发明能够减少公网IP地址浪费。

Description

一种二次地址分配方法和装置

技术领域

本发明涉及通信技术领域，特别涉及一种二次地址分配方法和装置。

背景技术

在运营商网络中，用户连接上网时，通常会通过认证服务器进行认证(例如web认证)，认证成功后才被允许访问公网。由于认证服务器位于公网，需要在用户认证前就为用户分配公网IP地址，以使用户能够访问认证服务器进行认证。然而，由于公网IP地址的有限性，如果用户认证成功前就分配公网IP地址，将会造成大量的公网IP地址的浪费。下面以无线局域网(WLAN)为例进行说明。

参见图1，图1是运营商组网示意图，其中，宽带接入服务器(BAS)是部署在市级网络中的认证设备，能够和部署在省级网络中的认证服务器进行通信；无线控制器(AC)旁挂或下挂在BAS上，可以控制多个无线接入点(AP)。如图1所示，AP1-AP3、AP4-AP6、AP7-AP9分别形成热点区域。由于公网IP地址的有限性，通常会为一个或多个热点区域预留一组公共的IP地址。

当上述热点区域有用户需要访问网络时，用户需要先获得IP公网地址，然后向BAS发送认证请求，BAS根据用户的认证请求触发认证服务器对用户的认证过程，如果认证成功，则允许用户访问网络。众所周知，在WLAN网络中，热点区域中的用户流动性很大，许多用户实际上无意识地自动接入了网络，并没有访问网络的需求，也不会向认证设备发送认证请求，如果为这部分用户分配公网IP地址，就会浪费很多公网IP地址，同时还会影响有访问网络需求的用户。

发明内容

有鉴于此，本发明的目的在于提供一种二次地址分配方法，该方法将少量的公网IP地址提供给未认证成功的用户，将大量的公网IP地址提供给认证成功的用户，从而能够减少公网IP地址的浪费。

为了达到上述目的，本发明提供了一种二次地址分配方法，该方法包括：

接收私网内的用户的访问公网请求；

如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，触发认证服务器对所述用户的认证；在触发认证服务器对所述用户的认证后，若用户认证成功，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；

如果所述用户已通过认证，则将所述用户的私网IP地址转换为在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

本发明还提供了一种二次地址分配装置，应用于认证设备中，该装置包括：接收单元、分配单元、认证单元、NAT转换单元；

所述接收单元，用于接收用户的访问公网请求；

所述分配单元，用于在接收单元接收到用户的访问公网请求后，如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，并向认证单元发送认证通知；在向认证单元发送认证通知后，如果接收到认证单元的认证成功通知，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；如果所述用户已通过认证，则向NAT转换单元发送第二地址转换通知；

所述认证单元，用于接收到分配单元的认证通知后，触发认证服务器对所述用户的认证，若所述用户认证成功，则向分配单元发送认证成功通知；

所述NAT转换单元，用于接收到分配单元的第二地址转换通知后，将所述用户的私网IP地址转换为分配单元在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

由上面的技术方案可知，本发明中，在用户认证成功前，为用户分配第一地址池中的公网IP地址，以使用户可以访问认证服务器，进行认证；在用户认证成功后，选择第二地址池中空闲的公网IP地址分配给用户，从而使得用户可以使用唯一的公网IP地址访问公网；通过对用户执行二次地址分配，能够减少公网IP地址的浪费。

附图说明

图1现有技术运营商组网示意图；

图2是本发明实施例二次地址分配方法的流程示意图；

图3是本发明实施例二次地址分配装置的结构示意图。

具体实施方式

为了使本发明的目的、技术方案及优点更加清楚明白，下面结合附图并举实施例，对本发明的技术方案进行详细说明。

参见图2，图2是本发明实施例二次地址分配方法的流程示意图，包括以下步骤：

步骤201、接收私网内的用户的访问公网请求。

当私网内的用户连接上网时，会首先获得一个私网IP地址，使用该私网IP地址，用户无法访问位于公网中的认证服务器，但是可以使用该私网IP地址向认证设备发送访问公网请求。

步骤202、判断用户是否已通过认证，如果是，则执行步骤204，否则，执行步骤203。

当认证设备接收到用户发送的访问公网请求时，首先需要判断用户是否已通过认证，根据用户是否已通过认证成功来确定后续动作。

步骤203、在第一地址池中选择一个公网IP地址分配给所述用户，触发认证服务器对所述用户的认证；在触发认证服务器对所述用户的认证后，若用户认证成功，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户。

本实施例中，基于公网IP地址的有限性，将可用的公网IP地址分为两部分，分别存放在第一地址池和第二地址池中。其中，第一地址池中的公网IP地址主要提供给未通过认证的用户使用，每个公网IP地址可以同时被多个用户共用。第二地址池中的公网IP地址主要提供给已经通过认证的用户使用，每个公网IP地址只会被分配给一个用户使用。一般情况下，第一地址池中的公网IP地址数量要小于第二地址池中的公网IP地址数量，但并不是必须的。

本步骤中，未通过认证的用户访问公网时，如果已经在第一地址池中选择公网IP地址分配给用户，则无需再在第一地址池中选择公网IP地址分配给用户，可以直接触发认证服务器对用户的认证过程，如果尚未分配，则需要先从第一地址池中选择一个公网IP地址分配给所述用户，然后再触发认证服务器对用户的认证。

本实施例中，第一地址池中的每个公网IP地址可能被多个用户共用，共用的方式为采用NAT的多对一转换，将用户的私网IP地址转换为在第一地址池中选择的一个共用的公网IP地址，通过将分配了同一公网IP地址的各用户的端口映射到不同端口来进行用户区分，从而实现多个用户共用一个公网IP地址访问公网中的目标网络资源，减少公网IP地址的浪费。第二地址池中的每个公网IP地址仅供一个用户使用，使用方式为采用NAT的一对一转换，将用户的私网IP地址转换为在第二地址池中选择并分配给用户的公网IP地址，从而使用户可以使用该公网IP地址访问公网中的目标网络资源。

对于未通过认证的用户，由于采用的是多个私网IP地址对一个公网IP地址的NAT转换，因此，用户对网络资源的访问将会受限；另外，认证设备一般也会对未通过认证的用户对公网的访问进行限制，只允许用户访问公网上的有限的网络资源，例如，只允许用户访问公网上的认证服务器，以进行用户认证。

另外，如果未通过认证的用户需要访问的目标网络资源是允许使用第一地址池中的公网IP地址进行访问的，则可以不触发认证服务器对用户的认证，而直接将用户的私网IP地址转换为已分配给用户的第一地址池中的公网IP地址，使得用户可以访问该目标网络资源。

因此，在触发认证服务器对所述用户的认证之前，还可以进一步包括：判断是否允许使用在第一地址池中选择并分配给所述用户的公网IP地址访问所述访问公网请求的目标网络资源，如果是，则将用户的私网IP地址转换为该公网IP地址，用以使所述用户使用该公网IP地址访问所述目标网络资源，否则，触发认证服务器对所述用户的认证。

可以预先设置允许访问列表，所述允许访问列表中包括允许使用第一地址池中的公网IP地址访问的公网中的所有网络资源。如果允许访问列表中存在用户的访问公网请求的目标网络资源，则说明允许用户使用第一地址池中的公网IP地址访问该目标网络资源，否则，说明不允许用户使用第一地址池中的公网IP地址访问该目标网络资源。

另外，当触发认证服务器对用户的认证后，认证服务器会返回对用户的认证结果，所述认证结果包括认证成功和认证失败。如果认证服务器返回的认证结果是该用户认证失败，则当用户再次发送访问公网请求时，可以再次触发认证服务器对用户的认证。如果认证服务器返回的认证结果是该用户认证成功，则可以对该用户实施第二次地址分配，也即：在第二地址池中选择一个空闲的公网IP地址，并将该空闲的公网IP地址分配为用户，这样，该用户就占用了该空闲的公网IP地址，在该用户下线之前，不会再将该公网IP地址分配给其它用户，该户可以使用该公网IP地址访问公网。这种情况下，由于用户的私网IP地址可以唯一地转换到为在第二地址池中选择并分配给该用户的公网IP地址，因此，用户对公网中网络资源的访问一般不受限制。

此外，在第二地址池中选择一个空闲的公网IP地址分配给所述用户时，还需要进一步释放在第一地址池中选择并分配给所述用户的公网IP地址。用户认证成功后，使用在第二地址池中选择并分配的公网IP地址访问公网。

这样，对于未通过认证的所有用户，通过采用NAT转换的方法，使所有用户共用少量的公网IP地址；对于已通过认证的用户，则分配各自的公网IP地址，从而可以节省大量的公网IP地址。

步骤204、将所述用户的私网IP地址转换为在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

本步骤中，认证设备确定用户已经通过认证，说明在此之前已经在第二地址池中选择并分配给该用户了一个空闲的公网IP地址，因此，可以采用NAT技术，直接将用户的私网IP地址转换为在第二地址池中选择并分配给该用户的公网IP地址，从而使得用户可以使用该公网IP地址访问公网。

图2所示本发明实施例中，当用户上线并访问公网时，需要触发认证服务器对用户进行认证，并在认证服务器对用户认证成功后为用户在第二地址池中分配未被其它用户使用的公网IP地址，从而使用户在后续访问公网时，均会将用户的私网IP地址唯一地转换到该分配的公网IP地址，以使用户能够不受限地访问网络。当用户下线时，会向认证设备发送下线请求，为了能够充分的利用公网IP地址，则认证设备在接收到用户的下线请求后，可以释放此前在第二地址池中选择并分配给该用户的公网IP地址，将该公网IP地址重新作为第二地址池中空闲的公网IP地址，以便可以继续分配给其它新认证成功的用户使用，实现公网IP地址的充分利用。

另外，在释放在第二地址池中选择并分配给所述用户的公网IP地址时，还可以进一步在第一地址池中选择一个公网IP地址分配给所述用户，也可以先不为该下线用户分配第一地址池中的公网IP地址，而是在该下线用户再次发送访问公网请求时，再在第一地址池中选择一个公网IP地址分配给所述用户。

图2所示本发明实施例中，所述的认证可以是web认证，所述的认证服务器可以是web认证服务器。

这种情况下，认证设备触发认证服务器对用户的认证具体可以包括：

将web认证页面发送给所述用户；

接收所述用户接收到所述web认证页面后生成的web认证请求，将所述用户的web认证请求发送到web认证服务器，此外，还需要记录所述web认证请求中携带的所述用户的端口信息；

接收所述web认证服务器在接收到所述web认证请求后对所述用户的认证结果。

用户访问web认证服务器进行认证的过程中，是从第一地址池中选择的公网IP地址，并将用户的私网IP地址转换为该从第一地址池中选择的公网IP地址，并通过该从第一地址池中选择的公网IP地址访问web认证服务器进行认证，因此，web认证服务器中记录的用户的IP地址是该从第一地址池中选择的公网IP地址。而当用户认证成功后，从第二地址池中选择了一个空闲的公网IP地址分配给该用户，用户访问网络时，是将用户的私网IP地址转换为该从第二地址池中选择的公网IP地址，通过该从第二地址池中选择的公网IP地址访问网络。这就造成了用户认证时和实际访问网络时使用的公网IP地址不一致，因此，需要将用户认证成功后为用户分配的公网IP地址通知web服务器，从而使认证服务器中的用户的地址信息和用户实际访问网络时的地址信息保持一致。

因此，在将在第二地址池中选择的公网IP地址分配该用户之后，还需要将在第二地址池中选择的公网IP地址以及记录的用户的端口信息通知web认证服务器，此外，还需要将用户标识通知给web认证服务器，从而使得认证服务器可以根据用户标识查找并修改用户的IP地址和端口信息。这里，可以使用web认证过程中分配给用户使用的第一地址池中的公网IP地址和端口信息作为该用户的用户标识。

另外，当接收到已认证用户的下线请求时，还需要通知web认证服务器该用户下线，以使web认证服务器能够及时删除该用户相关信息，例如IP地址和端口信息。

本实施例中，实际上并未真正对用户进行二次地址分配，而是根据用户的认证情况，通过采用NAT技术将用户的私网IP地址转换为不同的公网IP地址，从而可以达到对用户进行二次地址分配的效果。而且根据认证结果，对未认证成功的用户采用多对一的NAT转换，对认证成功的用户则采用一对一的NAT转换，使得未认证成功的所有用户共用少量的公网IP地址，从而可以节省大量的公网IP地址。

需要说明的是，在图2所示本发明实施例中，无论是在第一地址池中选择公网IP地址分配给用户，以及用户认证成功后在第二地址池中选择公网IP地址给用户，均可以执行地址老化机制。当分配公网IP地址给用户后，如果用户在预设的时间内没有流量，则可以将分配给用户的公网IP地址老化，具体地，当分配的是第一地址池中的公网IP地址时，可以直接释放该公网IP地址，当分配的是第二地址池中的公网IP地址时，说明用户认证成功，可以按照用户下线进行处理。

以上对本发明实施例二次地址分配方法进行了详细说明，本发明还提供了一种二次地址分配装置，应用于认证设备中，该装置具有NAT转换功能，能够减少公网IP地址的浪费。

参见图3，图3是本发明实施例二次地址分配装置的结构示意图，该装置包括：接收单元301、分配单元302、认证单元303、NAT转换单元304；其中，

接收单元301，用于接收用户的访问公网请求；

分配单元302，用于在接收单元301接收到用户的访问公网请求后，如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，并向认证单元303发送认证通知；在向认证单元303发送认证通知后，如果接收到认证单元303的认证成功通知，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；如果所述用户已通过认证，则向NAT转换单元304发送第二地址转换通知；

认证单元303，用于接收到分配单元302的认证通知后，触发认证服务器对所述用户的认证，若所述用户认证成功，则向分配单元302发送认证成功通知；

NAT转换单元304，用于接收到分配单元302的第二地址转换通知后，将所述用户的私网IP地址转换为分配单元302在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

分配单元302在向认证单元303发送认证通知之前，进一步用于：判断是否允许使用在第一地址池中选择并分配给所述用户的公网IP地址访问所述访问公网请求的目标网络资源，如果是，则向NAT转换单元304发送第一地址转换通知，否则，向认证单元303发送认证通知；

所述NAT转换单元304，用于接收到分配单元302的第一地址转换通知后，将所述用户的私网IP地址转换为转换为分配单元302在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问所述目标网络资源。

该装置还包括配置单元305，用于预先设置允许访问列表；所述允许访问列表中包括允许使用第一地址池中的公网IP地址访问的公网中的所有网络资源；

所述NAT转换单元，用于采用多对一的网络地址转换NAT将未通过认证的用户的私网IP地址转换为在第一地址池中选择并分配的公网IP地址；采用一对一的NAT将通过认证的用户的私网IP地址转换为在第二地址池中选择并分配的公网IP地址。

所述分配单元302在第二地址池中选择一个的空闲的公网IP地址分配给所述用户时，进一步释放在第一地址池中选择并分配给所述用户的公网IP地址；

所述接收单元301，进一步用于接收所述用户的下线请求；

所述分配单元302在所述用户认证成功后，若接收单元301接收到所述用户的下线请求，则释放在第二地址池中选择并分配给所述用户的公网IP地址。

分配单元302在释放在第二地址池中选择并分配给所述用户的公网IP地址时，进一步在第一地址池中选择一个公网IP地址，将该公网IP地址分配给所述用户。

所述认证是web认证，所述认证服务器是web认证服务器；

所述认证单元303在触发认证服务器对所述用户的认证时，用于：将web认证页面发送给所述用户；接收所述用户接收到所述web认证页面后生成的web认证请求，将所述用户的web认证请求发送到web认证服务器，并记录所述web认证请求中携带的所述用户的端口信息；接收所述web认证服务器在接收到所述web认证请求后对所述用户的认证结果；所述认证结果包括认证成功和认证失败；

所述接收单元301，用于在分配单元302将在第二地址池中选择一个空闲的公网IP地址分配给所述用户后，将该公网IP地址以及认证单元303记录的所述用户的端口信息通知web认证服务器。

所述接收单元301在接收到所述用户的下线请求之后，进一步用于：通知web认证服务器所述用户下线。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种二次地址分配方法，其特征在于，该方法包括：

接收私网内的用户的访问公网请求；

如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，触发认证服务器对所述用户的认证；在触发认证服务器对所述用户的认证后，若用户认证成功，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；

如果所述用户已通过认证，则将所述用户的私网IP地址转换为在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

2.根据权利要求1所述的二次地址分配方法，其特征在于，

触发认证服务器对所述用户的认证之前，进一步包括：判断是否允许使用在第一地址池中选择并分配给所述用户的公网IP地址访问所述访问公网请求的目标网络资源，如果是，则将用户的私网IP地址转换为该公网IP地址，用以使所述用户使用该公网IP地址访问所述目标网络资源，否则，触发认证服务器对所述用户的认证。

3.根据权利要求2所述的二次地址分配方法，其特征在于，预先设置允许访问列表；所述允许访问列表中包括允许使用第一地址池中的公网IP地址访问的公网中的所有网络资源；

采用多对一的网络地址转换NAT将未通过认证的用户的私网IP地址转换为在第一地址池中选择并分配的公网IP地址；

采用一对一的NAT将通过认证的用户的私网IP地址转换为在第二地址池中选择并分配的公网IP地址。

4.根据权利要求1所述的二次地址分配方法，其特征在于，

在第二地址池中选择一个空闲的公网IP地址分配给所述用户时，进一步释放在第一地址池中选择并分配给所述用户的公网IP地址；

所述用户认证成功后，进一步包括：若接收到所述用户的下线请求，则释放在第二地址池中选择并分配给所述用户的公网IP地址。

5.根据权利要求4所述的二次地址分配方法，其特征在于，释放在第二地址池中选择并分配给所述用户的公网IP地址时，进一步在第一地址池中选择一个公网IP地址分配给所述用户。

6.根据权利要求1-5中任一权项所述的二次地址分配方法，其特征在于，

所述认证是web认证，所述认证服务器是web认证服务器；

触发认证服务器对所述用户的认证包括：将web认证页面发送给所述用户；接收所述用户接收到所述web认证页面后生成的web认证请求，将所述用户的web认证请求发送到web认证服务器，并记录所述web认证请求中携带的所述用户的端口信息；接收所述web认证服务器在接收到所述web认证请求后对所述用户的认证结果；所述认证结果包括认证成功和认证失败；

在第二地址池中选择一个空闲的公网IP地址分配给所述用户之后，进一步包括：将该公网IP地址以及记录的所述用户的端口信息通知web认证服务器。

7.一种二次地址分配装置，应用于认证设备中，其特征在于，该装置包括：接收单元、分配单元、认证单元、NAT转换单元；

所述接收单元，用于接收用户的访问公网请求；

所述分配单元，用于在接收单元接收到用户的访问公网请求后，如果所述用户未通过认证，则在第一地址池中选择一个公网IP地址分配给所述用户，并向认证单元发送认证通知；在向认证单元发送认证通知后，如果接收到认证单元的认证成功通知，则在第二地址池中选择一个空闲的公网IP地址分配给所述用户；如果所述用户已通过认证，则向NAT转换单元发送第二地址转换通知；

所述认证单元，用于接收到分配单元的认证通知后，触发认证服务器对所述用户的认证，若所述用户认证成功，则向分配单元发送认证成功通知；

所述NAT转换单元，用于接收到分配单元的第二地址转换通知后，将所述用户的私网IP地址转换为分配单元在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问公网。

8.根据权利要求7所述的二次地址分配装置，其特征在于，

分配单元在向认证单元发送认证通知之前，进一步用于：判断是否允许使用在第一地址池中选择并分配给所述用户的公网IP地址访问所述访问公网请求的目标网络资源，如果是，则向NAT转换单元发送第一地址转换通知，否则，向认证单元发送认证通知；

所述NAT转换单元，用于接收到分配单元的第一地址转换通知后，将所述用户的私网IP地址转换为转换为分配单元在第二地址池中选择并分配给所述用户的公网IP地址，用以使所述用户使用该公网IP地址访问所述目标网络资源。

9.根据权利要求8所述的二次地址分配装置，其特征在于，该装置还包括配置单元，用于预先设置允许访问列表；所述允许访问列表中包括允许使用第一地址池中的公网IP地址访问的公网中的所有网络资源；

所述NAT转换单元，用于采用多对一的网络地址转换NAT将未通过认证的用户的私网IP地址转换为在第一地址池中选择并分配的公网IP地址；采用一对一的NAT将通过认证的用户的私网IP地址转换为在第二地址池中选择并分配的公网IP地址。

10.根据权利要求7所述的二次地址分配装置，其特征在于，

所述分配单元在第二地址池中选择一个的空闲的公网IP地址分配给所述用户时，进一步释放在第一地址池中选择并分配给所述用户的公网IP地址；

所述接收单元，进一步用于接收所述用户的下线请求；

所述分配单元在所述用户认证成功后，若接收单元接收到所述用户的下线请求，则释放在第二地址池中选择并分配给所述用户的公网IP地址。

11.根据权利要求10所述的二次地址分配装置，其特征在于，分配单元在释放在第二地址池中选择并分配给所述用户的公网IP地址时，进一步在第一地址池中选择一个公网IP地址，将该公网IP地址分配给所述用户。

12.根据权利要求7-11中任一权项所述的二次地址分配装置，其特征在于，所述认证是web认证，所述认证服务器是web认证服务器；

所述认证单元在触发认证服务器对所述用户的认证时，用于：将web认证页面发送给所述用户；接收所述用户接收到所述web认证页面后生成的web认证请求，将所述用户的web认证请求发送到web认证服务器，并记录所述web认证请求中携带的所述用户的端口信息；接收所述web认证服务器在接收到所述web认证请求后对所述用户的认证结果；所述认证结果包括认证成功和认证失败；

所述接收单元，用于在分配单元将在第二地址池中选择一个空闲的公网IP地址分配给所述用户后，将该公网IP地址以及认证单元记录的所述用户的端口信息通知web认证服务器。

Images