CN101179603A

CN101179603A - IPv6网络中用于控制用户网络接入的方法和装置

Info

Publication number: CN101179603A
Application number: CNA2006101181404A
Authority: CN
Inventors: 温海波; 马松伟
Original assignee: Alcatel Lucent Shanghai Bell Co Ltd
Current assignee: Nokia Shanghai Bell Co Ltd
Priority date: 2006-11-09
Filing date: 2006-11-09
Publication date: 2008-05-14
Anticipated expiration: 2026-11-09
Also published as: CN101179603B

Abstract

本发明的提出主要是为了实现IPv6中一个用户网络一个IP地址前缀的要求，也为了更有效地对用户网络进行认证，防止地址盗用。本发明提供的方案中，接入设备在转发给路由器的RS消息中附加用户网络的特征信息以及该接入设备的地址信息用于路由器执行接入认证。采用本发明提供的方案，不仅实现了一个用户网络一个IP地址前缀的目的，也更有力地执行了对用户网络的接入认证，在更大程度上杜绝了地址盗用。

Description

IPv6网络中用于控制用户网络接入的方法和装置

技术领域

本发明涉及IPv6网络，尤其涉及IPv6网络中用于对用户网络进行接入认证的方法及装置。

背景技术

IPv6(互联网协议第六版)是下一代互联网的核心协议，解决了IPv4所暴露的诸多缺陷，如地址稀缺、路由表庞大、对移动设备支持不足等。IPv6定义了有状态地址自动配置和无状态地址自动配置机制。

无状态地址自动配置不要求在用户终端(如，用户网络中的一台计算机)上进行人为的配置，简化了对路由器的配置要求，且无需额外的服务器；相对地，有状态地址自动配置需要动态主机分配协议服务器。基于无状态地址自动配置，用户终端通过将其相应的接口标识与路由器广播的IPv6地址前缀合并来生成自身的IP地址。本发明主要针对无状态地址自动配置的情形。

在现有的IPv6接入网中，接入设备多为二层(链路层)设备，由于接入设备转发至路由器的路由器请求消息不包含接入设备相应的端口标识，使得对用户网络的接入认证并不基于与该用户网络一一对应的端口标识。此外，如果选择由接入设备来分配IP地址，则需要将普遍属于二层设备的接入设备升级为三层(IP层)设备，导致运营商的成本上升；再者，由于二层接入设备将接收到的路由器广播消息(Router Advertisement message，以下称为RA消息)广播给多个用户网络，使得IPv6地址前缀到达多个用户网络，不能够有效实现IPv6标准中对一个用户网络对应一个IP地址前缀的要求，也容易产生地址盗用。

因此，如何在保留原有二层接入设备的基础上，充分实现IPv6网络的用户网络与IP地址前缀一一对应的特性并实现对用户网络的有效接入认证成为人们普遍关心的问题。

发明内容

在对本发明的技术方案进行说明之前，先对下文中可能出现的如下概念进行解释：

IPv6网络：基于IPv6协议的通信网络；

节点：包括用户终端、接入设备、路由器等；

接口：节点处用于与物理链路相连的装置，譬如，一台计算机(一种用户终端)的网卡；

链路层地址：接口的链路层标识，如：以太网中，计算机网卡的MAC地址；

链路本地地址：格式前缀为1111 1110 10，用于同一链路的相邻节点间通信，如单条链路上没有路由器时主机间的通信。用户终端可以利用链路本地地址来和与之处于同一用户网络中的其它用户终端进行通信；

用户网络：作为IPv6协议的一个重要特性，也作为本发明的一个技术目的，为每个用户网络(包括一个或多个用户终端)提供一个区别于其它用户网络的IPv6地址前缀。通常，一个用户网络经由物理链路连接到接入设备上一个与其一一对应的端口；

端口：在接入设备上用于与用户网络经由物理链路一一对应地相连的部分；

端口标识：至少在一个接入设备中具有唯一性的端口特征信息。在端口标识仅在局部(一个接入设备控制范围内)具有唯一性时，需要与该接入设备的地址信息(譬如，其二层地址)来共同在全局(路由器的一个接口所对应的部分，以下如无特别说明，“全局”均照此解释)唯一地标识该用户网络；而在端口标识具有全局唯一性时，无需接入设备的地址信息就可以在全局范围内唯一地标识该用户网络。

本发明为解决现有技术中的前述问题而提出，旨在提供一种新的接入控制方法及其装置，基于IPv6地址自动配置，结合用户网络的端口(即接入设备的用户网络端口)标识对用户网终进行接入认证，保证不同用户网络拥有各自的IPv6地址前缀。

为实现上述目的，根据本发明的第一方面，提供了一种在IPv6网络的接入设备中用于辅助控制用户终端接入的方法，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来辅助控制该用户终端的接入。该方法具体包括以下步骤：接收来自一个用户终端的接入请求消息，该用户终端属于一个用户网络；通过在所述接入请求消息附加该用户网络的特征信息，以生成一个新的接入请求消息；发送该新的接入请求消息给一个网络控制器；基于所述网络控制器的接入响应来辅助控制该用户终端的接入。

根据本发明的第二方面，提供了一种在IPv6网络的接入设备中用于辅助控制用户终端接入的接入辅助控制装置，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来辅助控制该用户终端的接入。具体包括：接收装置，用于接收来自一个用户终端的接入请求消息，该用户终端属于一个用户网络；生成装置，通过在所述接入请求消息附加该用户网络的特征信息，以生成一个新的接入请求消息；发送装置，用于发送该新的接入请求消息给一个网络控制器；辅助控制装置，用于基于所述网络控制器的接入响应来辅助控制该用户终端的接入。

根据本发明的第三方面，提供了一种在IPv6网络的网络控制器中用于控制用户终端接入的方法，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来对该用户终端进行接入控制。该方法包括以下步骤：接收其下属的一个接入设备转发的来自一个用户终端的新的接入请求消息，所述新的接入请求消息包含该用户终端所属用户网络的特征信息；基于所述接入请求消息来提供相应的接入响应。

其中，根据网络控制器的接入响应方式以及网络服务器与网络控制器之间的位置关系，根据本发明的第三方面，至少有四种情形需要讨论，将在以下结合附图和具体实施方式进行详述。

根据本发明的第四个方面，提供了一种在IPv6网络的网络控制器中用于控制用户终端接入的接入控制装置，其特征在于，基于IPv6无状态地址自动配置，根据用户终端所属用户网络的特征信息来对该用户终端进行接入控制。具体包括：第一接收装置，用于接收其下属的一个接入设备转发的来自一个用户终端的新的接入请求消息，所述新的接入请求消息包含该用户终端所属用户网络的特征信息；响应装置，用于基于所述接入请求消息来提供相应的接入响应。

采用本发明提供的方法及装置，可以有效地实现IPv6协议下的用户网络的接入认证，保证每个用户网络拥有各自的IP地址前缀。

附图说明

下面结合附图对本发明进行详细描述：

图1为根据本发明的一个具体实施方式的IPv6网络的接入网示意图；

图2为根据本发明的一个具体实施方式的在IPv6网络的接入设备中用于辅助控制用户终端接入的方法流程图；

图3示出了根据本发明的一个具体实施方式的由接入设备或路由器在路由器请求消息或路由器广播消息中附加的选项；

图4为根据本发明的一个具体实施方式的在IPv6网络的接入设备中用于辅助控制用户终端接入的接入辅助控制装置框图；

图5为根据本发明的一个具体实施方式的在IPv6网络的网络控制器(如，路由器)中用于控制用户终端接入的方法流程图；

图6为根据本发明的一个具体实施方式的在IPv6网络的网络控制器(如，路由器)中用于控制用户终端接入的接入控制装置框图；

图7综合性地示出了根据本发明的一个具体实施方式的用于对用户网络进行接入控制的方法流程；

图8示出了根据本发明的一个优选实施例的各网络节点对路由器请求消息和路由器广播消息的处理方法。

具体实施方式

标准的无状态地址自动配置通过如下过程实现：

i.用户终端在接口被激活后，生成一个链路本地地址，此时该链路本地地址属于实验状态；

ii.基于邻居发现机制，用户终端验证该链路本地地址在该用户网络内的唯一性，并在确认该链路本地地址的唯一性后将其分配给所述接口；

iii.路由器广播消息(RA消息)发现阶段，RA消息可以周期性地由路由器广播，通常，为避免等待时间过长，用户终端会主动发起路由器请求消息(Router Solicitation message，以下称RS消息)来请求路由器发送RA消息，以获得IP地址前缀分配；

iv.将路由器经由接入设备发来的IP地址前缀与相应的接口标识合并，最终生成其IP地址。在该地址分配给该接口使用之前，该地址也要进行地址唯一性检测。

其中，接口在满足包括但不限于以下条件中的任何一个时即被激活：

系统启动后接口被初始化；

在临时的接口故障后或临时的接口禁用后，接口被重新初始化；

接口第一次连接到一个用户网络。

在现有标准中的IPv6无状态地址自动配置方案中，包含IP地址前缀的路由广播消息的发送有两种方式：

-路由器周期性地经由其广播接口主动地向各个接入设备广播RA消息，具体地，利用ICMPv6对包含IP地址前缀的RA消息进行封装并发送至一个属于其下辖的各个接入设备的多播地址(multicastaddress)；

-用户网络中的一个用户终端经由接入设备向路由器发送RS消息，所述RS消息的发送间隔和发送次数通常都受预定数值的限制，譬如：发送间隔大于等于RTR_SOLICITATION_INTERVAL(4秒)；发送次数小于等于MAX_RTR_SOLICITATIONS(3次)。在接收到路由器请求消息后，路由器不必等到下一个预定的路由器广播消息发送时刻，而应立即发送RA消息，其中，RS消息来自于路由器的哪个接口，路由器就将RA消息经由哪个接口发送出去。

图1为根据本发明的一个具体实施方式的IPv6网络的接入网示意图。图中所示网络包括多个用户网络(每个用户网络中可以有多个用户终端)、接入设备3、路由器4以及AAA(认证、授权、计费)服务器5，在本实施例中，路由器与AAA服务器相互独立。接入设备3上的端口a、b、c分别与用户网络I、II、III对应。为简明起见，未在图中示出用户网络中接入所需的用户端设备(譬如，桥式用户端设备即Bridged CPE)。与接入设备一样，所述用户端设备同样不需要升级为三层设备。

本发明的技术方案可以通过在现有的接入设备中配置本发明提供的接入辅助控制装置1并在现有的网络控制器(譬如，路由器)中配置本发明提供的接入控制装置2来实现。

图2为根据本发明的一个具体实施方式的在IPv6网络的接入设备中用于辅助控制用户终端接入的方法流程图。以下参照图2并结合图1对该方法进行详述。

如前所述，当一个用户网络(以用户网络I为例)中的用户终端希望获得IPv6地址前缀时，可以经由接入设备3向路由器4发送接入请求消息，在本实施例中，所述接入请求消息为IPv6标准中定义的RS消息，相应地，所述接入应答消息为RA消息。

基于无状态地址自动配置，当接口被激活后，用户设备需先得到该接口的链路本地地址，并基于邻居发现机制通过重复地址检测来确定该链路本地地址是否已被使用，在检测结果表明该地址唯一之后，再将该地址分配给该接口。此后，通过该接口向接入设备上的相应端口发送RS消息，容易理解，无论该用户网络中的哪个用户设备发送RS消息，都会经由该用户网络与接入设备间的物理链路到达该端口。

在步骤S10中，接入设备3接收由一个用户网络(以用户网络I为例)中的一个用户设备(如，用户网络I中的一台笔记本电脑)发来的RS消息；

前已述及，现有技术中，接入设备转发给路由器的RS消息中不包括能够唯一标识用户网络的信息，这直接或间接地影响了用户网络认证的有效性以及IPv6地址前缀分配的针对性(所谓针对性即每个用户网络能够拥有其专有的IP地址前缀，而该IP地址前缀不会被其它用户网络中的用户盗用)，因此，作为本发明的最重要的发明点，在步骤S11中，接入设备3在即将发给路由器4的RS消息中添加该用户网络的特征信息，具体地，所述用户网络的特征信息包括以下几种情形：

-当端口标识具有全局唯一性时，所述用户网络的特征信息可以只包括该用户网络所对应的端口的端口标识；

-当端口标识不具备全局唯一性时(譬如，仅在一个接入设备处有唯一性)，所述用户网络的特征信息包括该用户网络所对应的端口的端口标识(仅能在该接入设备控制范围内唯一标识该用户网络)以及该用户网络所属的接入设备的特征信息譬如其链路层地址，这样，“端口标识-接入设备链路层地址”对就能在全局唯一地标识该用户网络；

-如果在接入网中从接入设备3到路由器4的网段使用了虚拟局域网(VLAN)技术，则所述用户网络的特征信息可以不包含接入设备3的二层地址，因为VLAN可以用来标识一个“接入设备，路由器”对。

为更清楚地说明此发明点，请参看图3，图3示出了根据本发明的一个具体实施例的由接入设备在RS消息中附加的选项(option)，所述选项包含相应用户网络的特征信息，以下结合图3详述本实施例。为了适应标准中对RS消息的限定，所述选项包括以下五个域：

类型(type)：8比特，用于标识所述选项的类型；

长度(length)：8比特的无符号整数。标识该选项(包括“类型”、“长度”域在内)的长度为8个字节的整数倍，在此，“长度”域为零则视为无效，即，节点会将接收到的包含一个长度为零的选项的邻居发现消息分组(ND Packet，RS、RA消息均属于邻居发现消息)自动丢弃；

预留部分(reserved)：预留的一个16比特域；

接入设备地址(access node address)：

a.根据本发明的一个优选实施例，考虑端口标识不能在全局唯一地标识用户网络的情形，所述特征信息包含接入设备地址，与下面要说明的端口标识一起在路由器4处(或在AAA服务器5处)用于对该用户网络I的认证。此外，路由器4在接收到RS消息后，通过提取并存储其中的接入设备地址信息，可以保证其在此后生成RA消息后，将RA消息有目的地发往确定的接入设备3；

b.根据本发明的一个具体实施方式，由于端口标识有能力在全局唯一地标识用户网络I，接入设备3向上转发的RS消息可不包括所述接入设备地址，则，当路由器3生成RA消息后，将会把RA消息发送给一个多播地址(所有其辖下的接入设备均能接收到)，由于只有接入设备3才能正确解析用户网络I相对应的端口标识，因此仍能避免地址前缀的盗用；

c.根据本发明的另一个具体实施方式，端口标识不具备全局唯一性，即，在不同的接入设备中，其对应的端口标识完全相同。那么，当接入设备3向路由器4转发的RS消息的所述选项中不包含接入设备地址时，路由器4仍会在认证通过后以广播的方式发送RA消息，假设由与接入设备3一样工作在路由器4下的接入设备6(未示出)负责接入的一个用户网络IV在接入设备6上的对应端口的端口标识与用户网络I对应的端口a的端口标识相同，那么当广播的包含分配给用户网络I的IP地址前缀的RA消息到达接入设备6时，接入设备6有能力对该RA消息进行解析，进而将其转发给在它看来与该端口标识相对应的用户网络IV，则用户网络IV中的用户设备在访问网络时将可能会涉及IP地址前缀的盗用。

端口标识(Port ID)：32比特的端口标识至少能在一个接入设备的控制范围内(如，图1中的接入设备3的控制范围包括用户网络I，II，III)唯一地标识一个用户网络。举例来说，在采用数字用户线(DSL)技术的接入网内，每条DSL线路被赋予一个在该接入设备下独有的32比特的标识(即，DSL端口号)。路由器4将端口标识用于对该用户网络I的接入认证。

在待转发给路由器4的RS消息中添加如图3所示的选项后，生成了一个新的RS消息，接着，进到步骤S12.

在步骤S12中，接入设备3将生成的所述新的RS消息(至少包含用户网络I所对应的端口标识)发送给其所属的路由器4。

此后，路由器4将负责对用户网络I的接入认证。如果认证成功，则向接入设备3(本实施例中，RS消息包含接入设备3的地址)发送RA消息(路由器4根据认证结果进行响应将在此后对本发明的第三、第四方面进行介绍时详述)，于是在步骤S13中，接入设备3判断是否接收到来自路由器4的RA消息，其中包含分配给用户网络I的IP地址前缀以及用户网络I的相应端口标识。

步骤S13中判断结果为接收到来自路由器4的RA消息

进到步骤S14。由于RA消息中包含用户网络I对应的端口标识，使得接入设备3在步骤S14中能够有目的地将RA消息发送给相应的(RA消息中包含的端口标识所对应的)用户网络I，并为用户网络I打开相应的端口。用户网络I中的各用户设备接收到该RA消息后，通过提取其中的IP地址前缀，将其与各自的接口标识组合，生成128位IP地址。应当理解，在来自一个用户网络中的一个用户设备的RS消息在路由器或AAA服务器处通过认证后，路由器4经由接入设备3将IP地址前缀信息发送给该用户网络，该用户网络中的所有用户终端即可得知该IP地址前缀信息。这种方式尤其适用于以下情形：用户网络中的用户设备之间相互友好且属于同一个机构(家庭、企业等)。

来自路由器4的RA消息中通常包括用户网络I所对应的端口的端口标识，而用户设备并不需要所述端口标识。因此优选地，接入设备3在接收到来自路由器4的RA消息后，在将其发送给相应用户网络之前，从中删除该用户网络的特征信息即该端口标识，具体可以通过将所述选项从RA消息中删除。应当理解，如果接入设备3不删除所述端口标识而直接将RA消息发给用户网络I，并不会影响用户网络I中的用户设备获取其所需要的IP地址前缀信息，对于RA消息中无法识别的端口标识部分，用户设备可以不作处理。

步骤S13中判断结果为未接收到来自路由器4的RA消息

如果接入设备3在转发RS消息给路由器4后未接收到来自路由器4的RA消息，则说明认证失败，路由器不会为该用户网络I分配IPv6地址前缀。根据本发明的一个具体实施例，为兼容标准，基于本发明的路由器4在认证失败后不发送RA消息给接入设备3，而在转发RS消息后，接入设备3又进入了与接收到来自用户网络I的RS消息之前相同的一般状态，等待下一个来自某个用户网络的RS消息。

图4为根据本发明的一个具体实施方式的在IPv6网络的接入设备中用于辅助控制用户终端接入的接入辅助控制装置框图。以下参照图4并结合图1对该装置进行详述。所述接入辅助控制装置1具体包括接收装置10、生成装置11、发送装置12、辅助控制装置13。其中所述辅助控制装置13包括判断装置131以及受控发送装置132，优选地，还包括删除装置133。

如前所述，当用户网络I中的用户终端希望获得IPv6地址前缀时，可以经由接入设备3向路由器4发送接入请求消息，在本实施例中，所述接入请求消息为IPv6标准中定义的RS消息，相应地，所述接入应答消息为RA消息。

所述接收装置10接收由用户网络I中的一个用户设备(如，用户网络I中的一台笔记本电脑)发来的RS消息。

前已述及，现有技术中，接入设备转发给路由器的RS消息中不包括能够唯一标识用户网络的信息，这直接或间接地影响了用户网络认证的有效性以及IPv6地址前缀分配的针对性(所谓针对性即每个用户网络能够拥有其专有的IPv6地址前缀，而该IPv6地址前缀不会被其它用户网络中的用户盗用)，因此，作为本发明的最重要的发明点，接入设备3中的所述生成装置11在该RS消息中添加该用户网络的特征信息，具体地，所述用户网络的特征信息包括以下几种情形：

-当端口标识不具全局唯一性时(譬如，仅在一个接入设备处具有唯一性)，所述用户网络的特征信息包括该用户网络所对应的端口的端口标识(仅能在该接入设备控制范围内唯一标识该用户网络)以及该用户网络所属的接入设备的特征信息譬如其链路层地址，这样，“端口标识-接入设务链路层地址”对就能在全局唯一地标识该用户网络；

其中，关于接入设备3在待转发的RS消息中附加的选项的说明请参看上文中结合图3的描述。

该生成装置11在待转发给路由器4的RS消息中添加如图3所示的选项后，生成了一个新的RS消息，并将其传递给所述发送装置12；

发送装置12将生成的所述新的RS消息(至少包含用户网络I所对应的端口标识)发送给其所属的路由器4。

此后，路由器4将负责对用户网络I的接入认证。如果认证成功，则向接入设备3(本实施例中，RS消息包含接入设备3的地址)发送RA消息(路由器4根据认证结果进行响应将在此后对本发明的第三、第四方面进行介绍时详述)，于是辅助控制装置13中的判断装置131判断是否接收到了来自路由器4的RA消息，其中包含分配给用户网络I的IP地址前缀以及用户网络I的相应端口标识。所述RA消息可以由所述接收装置10负责接收，并在接收到该RA消息后通知所述判断装置131。

判断装置131的判断结果为接收到来自路由器4的RA消息

由于RA消息中包含用户网络I对应的端口标识，使得所述受控发送装置132能够有目的地将RA消息发送给相应的(RA消息中包含的端口标识所对应的)用户网络I，并为用户网络I打开相应的端口。用户网络I中的各用户设备接收到该RA消息后，通过提取其中的IP地址前缀，将其与各自的接口标识组合，即可生成128位IP地址。应当理解，在来自一个用户网络中的一个用户设备的RS消息在路由器或AAA服务器处通过认证后，路由器4经由接入设备3将IP地址前缀信息发送给该用户网络，该用户网络中的所有用户终端即可得知该IP地址前缀信息。这种方式尤其适用于以下情形：用户网络中的用户设备之间相互友好且属于同一个机构(家庭、企业等)。

来自路由器4的RA消息中通常包括用户网络I所对应的端口的端口标识，而用户设备并不需要所述端口标识，因此优选地，所述辅助控制装置13还包括删除装置133，该删除装置133在接入设备3接收到来自路由器4的RA消息后，在将其发送给相应用户网络之前，从中删除该用户网络的特征信息即该端口标识，具体可以通过将图3所示的所述选项从RA消息中删除。应当理解，如果接入设备3不删除所述端口标识而直接将RA消息发给用户网络I，并不会影响用户网络I中的用户设备获取其所需要的IP地址前缀信息，对于RA消息中无法识别的端口标识部分，用户设备可以不处理。

判断装置131的判断结果为未接收到来自路由器4的RA消息

图5为根据本发明的一个具体实施方式的在IPv6网络的网络控制器(如，路由器)中用于控制用户终端接入的方法流程图。以下结合图5并参照图1对本发明提供的所述方法进行详述。在本实施例中，接入请求消息仍以RS消息为例，接入应答消息仍以RA消息为例。

在步骤S20中，路由器4接收由接入设备3转发的RS消息，其中接入设备在该RS消息中附加的选项请参看图3及上文对图3的说明。用户网络I对应的端口标识与接入设备3的地址信息一起唯一地标识了用户网络I。这为对用户网络的有效认证提供了充足的条件。

图1仅示出了路由器4与AAA服务器5的一种关系，在实际应用中，AAA服务器既可以与路由器一体，也可以与路由器相互独立(如图1所示)；根据本发明的不同实施方式，在认证后对接入请求(RS消息)有至少两种响应方式，因此，在步骤S20后，本发明的具体实施方式至少包括以下情形(其中，图4所示对应下述情形1)：

情形1：AAA服务器与路由器一体

且只在认证成功时提供响应

这种情形与现有标准的兼容性最佳。在这种情形下，由于路由器4本身就能够根据RS消息进行对用户网络I的接入认证，因此进到步骤S21中从RS消息中提取用户网络I的特征信息(包括但不限于该用户网络对应的端口标识和接入设备3的地址信息)；

接着，在步骤S22中利用提取出的所述端口标识和接入设备3的地址信息对用户网络I进行接入认证，得到一个接入认证结果；

如果认证成功，则在步骤S23中依照标准生成RA消息，其中包含分配给用户网络I的IPv6地址前缀，与现有技术不同的是，该RA消息还包括如图3所示的选项，使得接入设备3能够将该IPv6地址前缀唯一地告知用户网络I中的各个用户设备。容易理解，路由器4可以在接收到来自接入设备3的RS消息时提取并存储其中的用户网络特征信息(包括端口标识和接入设备3的地址信息)，或者直接存储图3所示的选项，用于附加到基于本发明生成的所述RA消息中。

生成所述RA消息后，路由器4在步骤S24中将其发送给相应的接入设备3。

如果认证失败，优选地，路由器4可以不作任何响应，并准备接收下一个接入请求消息(譬如RS消息)。

情形2：AAA服务器与路由器一体

且无论认证是否成功均提供响应

情形2下，路由器4在接收到接入设备3转发的RS消息后至在本地获得接入认证结果的过程与情形1下完全相同。

接着，路由器4根据接入认证结果来提供相应的响应，具体地，如果认证成功，与情形1相同地，路由器4生成RA消息，其中包含分配给用户网络I的IP地址前缀以及所述用户网络I的特征信息；

如果认证失败，路由器4生成一个包含指示认证失败的认证失败指示消息，并将其发送给相应的接入设备3。该认证失败指示消息可以是RA消息(本领域技术人员可以理解，只要在RA消息中附加新的选项即可实现该功能)，也可以是其它另行定义的消息。

情形3：AAA服务器与路由器相互独立

且仅在认证成功时提供响应

接收到来自接入设备3的RS消息后，路由器4需要对该用户网络I进行接入认证，由于AAA服务器与该路由器相互独立，因此，路由器4向AAA服务器5发送认证请求，例如，可以将来自接入设备3的RS消息作为所述认证请求并转发至AAA服务器5，也可基于该RS消息生成一个新的认证请求消息，譬如RADIUS请求(RadiusRequest，RADIUS是Remote Authentication Dial In User Service的缩写，是网络远程接入设备、用户设备以及包含用户认证与配置信息的服务器之间信息交换的标准客户/服务器模式)，并将该新的认证请求消息发送至AAA服务器5。

AAA服务器5根据该认证请求对该用户网络I进行接入认证，得到一个接入认证结果(成功/失败)，并将该接入认证结果通过一个接入认证响应消息来返回给所述路由器4，其中，该接入认证响应消息可以为RADIUS响应消息(RADIUS ACK/NACK)；

路由器4接收该接入认证结果，并根据该接入认证结果来对该RS进行响应：

如果来自AAA服务器的接入认证结果显示该用户网络I通过了认证，则生成RA消息，其中包含分配给该用户网络的IP地址前缀以及相应的端口标识；

如果来自AAA服务器的接入认证结果显示该用户网络I未能通过认证，则不作响应。

情形4：AAA服务器与路由器相互独立

且无论认证是否成功均提供响应

情形4下，路由器4在接收到接入设备3转发的RS消息后至从AAA服务器处接收接入认证结果的过程与情形3下完全相同。

接着，路由器4根据来自AAA服务器5的所述接入认证结果来提供相应的响应，具体地，如果认证成功，与情形3相同地，路由器4生成RA消息，其中包含分配给用户网络I的IP地址前缀以及所述用户网络I的特征信息；

如果认证失败，路由器4生成一个包含指示认证失败的指示信息的认证失败指示消息，并将其发送给相应的接入设备3。该认证失败指示消息可以是RA消息(本领域技术人员可以理解，只要在RA消息中附加新的选项即可实现该功能)，也可以是其它另行定义的消息。

图6为根据本发明的一个具体实施方式的在IPv6网络的网络控制器(如，路由器)中用于控制用户终端接入的接入控制装置框图。以下结合图6并参照图1对本发明提供的所述接入控制装置进行详述。

在本实施例中，接入请求消息仍以RS消息为例，接入应答消息仍以RA消息为例。

该接入控制装置包括：第一接收装置20和响应装置21，其中，根据本发明的一个具体实施方式，该响应装置21包括获得装置210和提供装置211，所述获得装置210包括提取装置2100和认证装置2101，所述提供装置211包括生成装置2110和第一发送装置2111。根据本发明的另一具体实施方式，所述获得装置210还包括第二发送装置2102和第二接收装置2103。为方便起见，将根据本发明的不同实施方式的所述接入控制装置2中可能包括的装置(模块)均在图6中示出，应当理解，本领域的普通技术人员可以根据实际需要选择其中的部分装置(模块)来实现本发明提供的接入控制装置2，如，在路由器4与AAA服务器的位置关系不同于图1所示情况，而是二位一体时，所述第二发送装置2102和第二接收装置2103即可省略。

所述第一接收装置20接收由接入设备3发来的RS消息，其中接入设备3在该RS消息中附加的选项请参看图3及上文对图3的说明。用户网络I对应的端口标识与接入设备3的地址信息一起唯一地标识了用户网络I。这为对用户网络进行有效认证提供了充足的条件。

图1仅示出了路由器4与AAA服务器5的一种关系，在实际应用中，AAA服务器既可以与路由器一体，也可以与路由器相互独立(如图1所示)；根据本发明的不同实施方式，在认证后对接入请求(RS消息)有至少两种响应方式，因此，在接收到所述RS消息后，本发明的具体实施方式至少包括以下情形，其中，图1对应下述情形1：

情形1：AAA服务器与路由器一体

且只在认证成功时提供响应

这种情形与现有标准的兼容性最佳。在这种情形下，由于路由器4本身就能够根据RS消息进行对用户网络I的接入认证，因此由提取装置2100从RS消息中提取用户网络I的特征信息(包括但不限于该用户网络对应的端口标识和接入设备3的地址信息)；

接着，认证装置2101利用提取出的所述端口标识和接入设备3的地址信息对用户网络I进行接入认证，得到一个接入认证结果；

如果认证成功，则由生成装置2110依照标准生成RA消息，其中包含分配给用户网络I的IP地址前缀，与现有技术不同的是，该RA消息还包括如图3所示的选项，使得接入设备3能够将该IP地址前缀唯一地告知用户网络I中的各个用户设备。容易理解，路由器4可以在接收到来自接入设备3的RS消息时提取并存储其中的用户网络特征信息(包括端口标识和接入设备3的地址信息)，或者直接存储图3所示的选项，用于附加到基于本发明生成的所述RA消息中。

生成所述RA消息后，所述第一发送装置2111将该RA消息发送给相应的接入设备3。

情形2：AAA服务器与路由器一体

且无论认证是否成功均提供响应

接着，响应装置21根据接入认证结果来提供相应的响应，具体地，如果认证成功，与情形1相同地，生成装置2110生成RA消息，其中包含分配给用户网络I的IP地址前缀以及所述用户网络I的特征信息；

如果认证失败，生成装置2110生成一个包含指示认证失败的指示信息的认证失败指示消息，并将其发送给相应的接入设备3。该认证失败指示消息可以是RA消息(本领域技术人员可以理解，只要在RA消息中附加新的选项即可实现该功能)，也可以是其它另行定义的消息。

情形3：AAA服务器与路由器相互独立

且仅在认证成功时提供响应

第一接收装置20接收到来自接入设备3的RS消息后，路由器4需要对该用户网络I进行接入认证，由于AAA服务器5与该路由器4相互独立，因此，路由器4通过第二发送装置2102向AAA服务器5发送认证请求，例如，可以将来自接入设备3的RS消息作为所述认证请求并转发至AAA服务器5，也可基于该RS消息生成一个新的认证请求消息，譬如RADIUS请求(Radius Request，RADIUS是RemoteAuthentication Dial In User Service的缩写，是网络远程接入设备、用户设备以及包含用户认证与配置信息的服务器之间信息交换的标准客户/服务器模式)，并将该新的认证请求消息发送至AAA服务器5。

AAA服务器5根据该认证请求对该用户网络I进行接入认证，得到一个接入认证结果(成功/失败)，并将该接入认证结果通过一个接入认证响应消息返回给所述路由器4，其中，该接入认证响应消息可以为RADIUS响应消息(RADIUS ACK/NACK)；

第二接收装置2103接收该接入认证结果，接下来，需要根据该接入认证结果来对该RS进行响应：

如果来自AAA服务器的接入认证结果显示该用户网络I通过了认证，则由生成装置2110生成RA消息，其中包含分配给该用户网络的IP地址前缀以及相应的端口标识；

情形4：AAA服务器与路由器相互独立

且无论认证是否成功均提供响应

接着，路由器4根据来自AAA服务器5的所述接入认证结果来提供相应的响应，具体地，如果认证成功，与情形3相同地，生成装置2110生成RA消息，其中包含分配给用户网络I的IP地址前缀以及所述用户网络I的特征信息；

如果认证失败，生成装置2110生成一个包含指示认证失败的指示信息的认证失败指示消息，再由第一发送装置2111发送给相应的接入设备3。该认证失败指示消息可以是RA消息(本领域技术人员可以理解，只要在RA消息中附加新的选项即可实现该功能)，也可以是其它另行定义的消息。

前面结合附图对接入设备端和路由器端的方法和装置进行了描述。图7综合性地示出了根据本发明的一个具体实施方式的用于对用户网络进行接入控制的方法流程。其具体内容已经在此前结合图3-图6进行了详述。

图8示出了根据本发明的一个优选实施例各网络节点对RS消息和RA消息的处理方法，请同时参看图1。具体地，图中示出了各个网络节点发出的消息的各层(即封装后的各个包头，如以太网、IP、ICMP等)的目的地址以及源地址。

在上述各实施例中，充分利用了现有标准中定义的RS消息和RA消息，与现有技术相比明显降低了信令开销。应当理解，本发明中的接入请求消息不限于本实施例中的RS消息，同样，接入应答消息也不限于RA消息。

以上结合具体实施例对本发明进行了描述，需要理解的是，本发明并不局限于上述特定实施方式，本领域技术人员可以在所附权利要求的范围内做出各种变形或修改。

Claims

1.一种在IPv6网络的接入设备中用于辅助控制用户终端接入的方法，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来辅助控制该用户终端的接入。

2.根据权利要求1所述的方法，其中，包括以下步骤：

a.接收来自一个用户终端的接入请求消息，该用户终端属于一个用户网络；

b.通过在所述接入请求消息附加该用户网络的特征信息，以生成一个新的接入请求消息；

c.发送该新的接入请求消息给一个网络控制器；

d.基于所述网络控制器的接入响应来辅助控制该用户终端的接入。

3.根据权利要求2所述的方法，其中，所述步骤d包括：

d1.判断是否接收到来自该网络控制器的接入应答消息，其中该接入应答消息包含所述用户网络的路由相关信息；

d2.当接收来自该网络控制器的接入应答消息，将该接入应答消息发送至该用户终端所在的用户网络。

4.根据权利要求3所述的方法，其中，所述步骤d2还包括：

-当接收到来自所述网络控制器的接入应答消息，从该接入应答消息中删除该用户网络的特征信息，以生成一个新的接入应答消息；

-将所述新的接入应答消息发送给该用户终端所在的用户网络。

5.根据权利要求1-4中任一项所述的方法，其特征在于，所述接入请求消息为路由器请求消息，所述接入应答消息为路由器广播消息。

6.根据权利要求1-4中任一项所述的方法，其中，

所述用户网络的特征信息包括与该用户网络相对应的接入端口的标识符、AN(接入节点)地址信息等，所述路由相关信息为IPv6地址前缀。

7.一种在IPv6网络的接入设备中用于辅助控制用户终端接入的接入辅助控制装置，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来辅助控制该用户终端的接入。

8.根据权利要求7所述的装置，其中，包括：

接收装置，用于接收来自一个用户终端的接入请求消息，该用户终端属于一个用户网络；

生成装置，通过在所述接入请求消息附加该用户网络的特征信息，以生成一个新的接入请求消息；

发送装置，用于发送该新的接入请求消息给一个网络控制器；

辅助控制装置，用于基于所述网络控制器的接入响应来辅助控制该用户终端的接入。

9.根据权利要求8所述的装置，其中，所述辅助控制装置还包括：

判断装置，用于判断是否接收到来自该网络控制器的接入应答消息，其中该接入应答消息包含所述用户网络的路由相关信息；

受控发送装置，用于当接收来自该网络控制器的接入应答消息时，将该接入应答消息发送至该用户终端。

10.根据权利要求9所述的装置，其中，所述辅助控制装置还包括：

删除装置，用于当接收到来自所述网络控制器的接入应答消息，从该接入应答消息中删除该用户网络的特征信息，以生成一个新的接入应答消息；

其中，所述受控发送装置还用于，将所述新的接入应答消息发送至所述用户终端所在的用户网络。

11.根据权利要求7-10中任一项所述的装置，其特征在于，所述接入请求消息为路由器请求消息，所述接入应答消息为路由器广播消息。

12.根据权利要求7-11中任一项所述的装置，其特征在于，所述用户网络的特征信息包括与该用户网络相对应的接入端口的标识符、AN(接入节点)地址信息等，所述路由相关信息为IPv6地址前缀。

13.一种在IPv6网络中的接入设备，其特征在于，包括根据权利要求7-12中任一项所述的用于辅助控制用户终端接入的接入辅助控制装置。

14.一种在IPv6网络的网络控制器中用于控制用户终端接入的方法，其特征在于，基于IPv6无状态地址自动配置，根据所述用户终端所属用户网络的特征信息来对该用户终端进行接入控制。

15.根据权利要求14所述的方法，其中，包括以下步骤：

g.接收其下属的一个接入设备转发的来自一个用户终端的新的接入请求消息，所述新的接入请求消息包含该用户终端所属用户网络的特征信息；

h.基于所述接入请求消息来提供相应的接入响应。

16.根据权利要求15所述的方法，其中，步骤h包括以下步骤：

h1.基于所述接入请求消息来获得一个接入认证结果；

h2.根据所述接入认证结果来提供相应的接入响应。

17.根据权利要求16所述的方法，其中，步骤h1包括：

-由所述接入请求中提取出该用户网络的特征信息；

-基于该用户网络的特征信息来对该用户网络进行接入认证，以获得接入认证结果。

18.根据权利要求16或17所述的方法，其中，所述步骤h2包括：

-当该用户网络通过认证，则生成一个接入应答消息，其中，该接入请求应答消息包含该用户网络的路由相关信息；

-将所述接入应答消息发送给所述接入设备。

19.根据权利要求16所述的方法，其中，所述步骤h1包括：

h11.发送一个认证请求消息至一个网络服务器，该认证请求消息中包含所述用户网络的特征信息；

h12.接收来自所述网络服务器的接入认证结果；

所述步骤h2还包括，根据来自所述网络服务器的接入认证结果来提供相应的接入响应。

20.根据权利要求19所述的方法，其中，所述步骤h2包括：

-当所述来自所述网络服务器的接入认证结果指示该用户网路通过认证时，生成一个接入应答消息，其中，该接入请求应答消息包含该用户网络的路由相关信息。

21.根据权利要求14-20中任一项所述的方法，其特征在于，所述接入请求消息为路由器请求消息，所述接入应答消息为路由器广播消息。

22.一种在IPv6网络的网络控制器中用于控制用户终端接入的接入控制装置，其特征在于，基于IPv6元状态自动地址配置，根据用户终端所属用户网络的特征信息来对该用户终端进行接入控制。

23.根据权利要求22所述的接入控制装置，其中，包括：

第一接收装置，用于接收其下属的一个接入设备转发的来自一个用户终端的新的接入请求消息，所述新的接入请求消息包含该用户终端所属用户网络的特征信息；

响应装置，用于基于所述接入请求消息来提供相应的接入响应。

24.根据权利要求21所述的接入控制装置，其中，所述响应装置包括：

获得装置，用于基于所述接入请求消息来获得一个接入认证结果；

提供装置，用于根据所述接入认证结果来提供相应的接入响应。

25.根据权利要求24所述的接入控制装置，其中，所述获得装置包括：

提取装置，用于由所述接入请求中提取出该用户网络的特征信息；

认证装置，基于该用户网络的特征信息来对该用户网络进行接入认证，以获得接入认证结果。

26.根据权利要求24或25所述的接入控制装置，其中，所述提供装置包括：

生成装置，用于当该用户网络通过认证，则生成一个接入应答消息，其中，该接入请求应答消息包含该用户网络的路由相关信息；

第一发送装置，用于将所述接入应答消息发送给所述接入设备。

27.根据权利要求25所述的接入控制装置，其中，所述获得装置包括：

第二发送装置，用于发送一个认证请求消息至一个网络服务器，该认证请求消息中包含所述用户网络的特征信息；

第二接收装置，用于接收来自所述网络服务器的接入认证结果；

所述提供装直还用于，根据所述来自所述网络服务器的接入认证结果来提供相应的接入响应。

28.根据权利要求27所述的接入控制装置，其中，所述提供装置还用于，当所述来自所述网络服务器的接入认证结果指示该用户网路通过认证时，生成一个接入应答消息，其中，该接入请求应答消息包含该用户网络的路由相关信息。

29.根据权利要求22-28中任一项所述的接入控制装置，其特征在于，所述接入请求消息为路由器请求消息，所述接入应答消息为路由器广播消息。

30.一种在IPv6网络中的网络控制器，其特征在于，包括根据权利要求22-29中任一项所述的用于控制用户终端接入的接入控制装置。