浅谈校园网认证计费体系的构建1

校园网是学校和外界交流的重要平台，也是展现学校面貌的重要舞台。随着学校网络规模的不断扩大及硬件设备的不断健全，网络应用日益增多，校园网为广大教师、学生和科研管理人员提供了一个全新的工作环境，从根本上改变了原有的信息获取方式，促进了信息交流、资源共享和科研合作。用户的复杂性及多样性，对校园网络提出了安全认证的需求，网络需要运营，因此也有了认证计费的需要。
　　1 构建校园网认证计费体系的重要性
　　1.1 实名登录互联网是地区相关法规的要求
　　根据地区网络安全管理的相关法规，地区*、地区*的相关文件要求和省市公安、教育、文化等部门的要求，互联网使用单位**落实上网人员身份认证和日志留存等相关技术措施，并对上网内容和网上行为提供审计功能，记录备份需保存60天以上;**健全安全组织、安全管理员、信息审核员的安全责任制度。因此，上网人员身份认证和日志留存是地区对互联网安全管理的强制规范。
　　1.2 认证计费有助于控制流量、缓解出口拥堵
　　随着网络用户的不断增多，出口流量骤然增大。根据网络中心流量信息统计，校园网日常流通量中的很大一部分与教学、科研、管理无关。这部分流量对于校园网的正常运行构成了很大的冲击，经常造成校园网流量过大，甚至出口阻塞。为**校园网的正常运行，**实施校园网出口总体流量控制，采用认证计费是有效控制流量、缓解出口拥堵的有效途径之一。
　　1.3 认证计费有助于加强和规范校园网管理、控制随意浪费
　　为**校园网的正常运行以满足教育、教学、科研和管理工作的需要，学校每年都要投入巨额经费来支付线路租用、IP地址使用、网络设备升级维护等费用。为了更好地实现校园网的规范化管理，学校将对校园网的使用实行成本核算，办公、教学、管理和科研等公用联网用户产生的合理费用由学校承担;学生宿舍用户和流动用户实行适度收费服务，但不以盈利为目的。
　　2 我校校园网认证计费体系的构建
　　目前校园网常用的计费方法主要有基于路由器、基于代理服务器、基于防火墙等几种形式，使用的认证技术主要有IPMAC绑定、PPPoE、*和802.1X等。802.1X认证技术是在二层网络上实现用户认证, 与以太网中传统的PPPoE和Web/Portal等身份认证方式相比，具有简洁*、*实现、安全**、应用灵活和管理方便等优点[1]。通过认证之后的数据包是*封装的纯数据包，简化了PPPoE认证方式中对每个数据包进行拆包和封装等繁琐的工作，所以802.1X封装**，消除了网络瓶颈。因此，我校校园网采用802.1X +Radius的认证计费体系，使用Radius服务器实时采集数据，**了灵活的计费策略对用户进行计费。校园网计费管理系统和用户自助服务子系统全面解决了上网用户的身份认证、授权、上网时间/流量计费、收费结算与费用查询、接入管理等问题。
　　2.1 802.1X认证协议
　　IEEE802.1X又名为基于端口的访问控制协议(Port based network access control protocol)[2]，该协议的认证体系结构中采用了“可控端口”和“不可控端口”的逻辑功能，从而可以实现认证与业务的分离，**了网络传输的效率。用户通过认证后，业务流和认证流分开，对后续的数据包处理没有特殊要求，所有业务很灵活，都不受认证方式限制，易于实现多业务运行。
　　802.1X协议是基于Client/Server的访问控制和认证协议，采用纯以太网技术内核，保持IP网络无连接特性，去除冗余昂贵的多业务网关设备，它作为二层协议，不需要到达三层，对设备的整体性能要求不高，可以有效降低建网成本。它可以限制未授权的用户或设备通过接入端口访问网络。802.1X协议作为一种基于端口的网络接入控制技术，只关注LAN端口的开关，在认证通过之前，只允许EAPOL (基于局域网的扩展认证协议)数据通过设备连接的交换机端口;认证通过时，远端认证服务器可以下发用户的属性信息，如IP地址、VLAN、用户访问控制列表等;认证通过以后，正常的数据才可以顺利地通过交换机端口。认证的结果仅仅是LAN端口状态的改变，不涉及传统认证技术**考虑的IP地址协商与分配问题。因此，802.1X也是目前各种认证技术中较易实现的一种解决方案之一[3]。
　　2.2 Radius认证
　　Radius(Remote authentication dial in user service)即远程拨入用户认证服务[4]，是一个应用广泛的标准。它是一套由IE IF(Internet工程任务组)颁布的协议规范，用于对网络用户的身份验证。Radius服务器提供安全性、身份认证计费管理，提供对AAA(即认证、授权、计费)的支持。它的实现采用Client/Server模型，通过将Radius协议流封装在UDP数据报文中实现远程的接入认证服务，其中客户机是网络访问服务器，服务器是接收并存储来自一个或多个NAS的计费数据的进程。他们之间的通信协议利用简单的AccountRequest包实现客户机到服务器的数据通信，利用AccountResponse包作为回应，表示数据已成功接收。
蓝海**无线Portal认QQ群 22623254                                                                          
小区宽带运营交流群：328518596 
COOVA**广告路由器：372194965