通信工程师互联网技术考试AAA技术概述

　在线辅导　面授招生　考试大纲　指定教材　报名时间

5.3 AAA技术
5.3.1 AAA技术概述
伴随网络的诞生，认证（Authentication)、授权（Authorization)以及计费（Accounting)体制（AAA)就成为其运背的基础。网络中各类资源的使用，需要由认证、授权和计费进行管理。
认证：用户在使用网络系统中的资源时对用户身份的确认。这一过程，通过与用户交互获得身份信息（如用户名一密码组合、生物特征等)，然后提交给认证服务器：后者将身份信息与存储在数据库里的用户信息进行核对处理，然后根据处理结果确认用户身份是否合法。广义的认证可分为身份认证和消息认证。身份认证是对网络实体（用户）的身份是否属实进行判别，主要采用口令、密码箅法、证书等认证协议，用于网络接入和使用网络服务等场合。消息认证则是对接收到的消息来源和真实性进行认证，在各种安全协议中都要涉及，主要采用数字签名、消息摘要等密码学方法。另外，认证并不是单独的过程，通常还伴随者安全关联的协商和密钥的分配问题等。
授权：确定允许用户做什么。例如确定用户登录以后哪些资源可以被该用户访问。授权不仅仅是提供“是”或“否”的答案，它还芾要为用户配置服务。举个简单的例子说明授权和认证的区别，某同学的上网账号没有余额，他可以通过网关的认证，是合法用户，但因没有得到使用网络的授权而不能上网。
计费：统计用户使用了多少资源。例如计算用户使用了多少时间或发送和接收了多少数据，有时计费还包含审计的功能。
RFC2903定义了一个通用的AAA结构，“通用”意味着AAA服务器不依赖某一具体的认证方法。这个结构由如下儿部分组成。
ASM：应用特定模块。AAA应用指网络管理实体借助AAA结构提供的服务或功能。ASM模块可以处理复杂的认证授权请求。它和通用AAA服务器交互，AAA服务器知道将请求发到哪个ASM并接收认证结果，定义ASM这个模块，就可以定义AAA服务器和任意类型网络管理实体的通用接口，AAA服务器不用知道这种应用的细节。ASM的一个例子就是移动IP协议中的移动代理。
SE：服务设备。为用户提供某种服务，例如Internet接入服务。
策略、事件仓库：这个模块存储各个用户对应的认证授权策略和事件，通用AAA结构的交互如图5-5所示，请求可能来自用户或者AAA服务器，箭头1和箭头5采用AAA协议，箭头2、箭头3、箭头4采用其他协议。

RFC2903是实验性RFC而非标准，只是为AAA协议的设计提供指导性的结构，具体的协议则有RADIUS协议和Diameter协议。
RADIUS协议使用非常广泛，但它并不是基于这个结构设计的<RADIUS服务器采用C/S模式，没有详细定义对代理的支持，不适合大规模用到漫游环境中，不能很好支持移动性。IETF定义的RADIUS并不支持移动IP的功能，有关用户移动性的工作都以RADIUS漫游应用的名义幵展，IETF中负贲这方面工作的小组为ROAMOPSWEB，简称ROAMOPS(RoamingOperations)o这个小组通过在外地网络接入服务器（NetworkAccessServer,NAS)与家乡AAA服务器之间定义一个Proxy链来支持用户漫游。Proxy既可作为客户端也可作为服务器，Proxy通过用户标识中的服务域是否是本地域来判断用户是否漫游，并将漫游用户的请求转发到家乡AAA服务器。
Diameter协议在设计时，克服了现有AAA技术的许多不足，并保持了与广为使用的RADIUS协议的兼容，而且它被设计得非常灵活，容易进行新应用的扩展，以满足新的需求，所以它不仅被互联网采用，更被下一代移动通信网采用。
Diameter协议包括基础协议和各种应用协议。Diameter基础协议为像网络访问和移动IP这样的应用提供一个AAA的框架。它可以用于本地和漫游环境下的AAA，应用协议则充分利用基础协议提供的消息传送机制，规范相关节点的功能以及其特有的消息内容，来实现应用业务的AAA。

返回目录： 通信工程师考试移动互联网安全技术汇总

编辑特别推荐：

中级通信专业实务 互联网技术教程汇总

中级通信专业实务传输与接入教程汇总

通信专业实务考试设备与环境教程汇总

通信专业实务考试交换技术教程汇总