【正文】 Radius 。214。NAS185。214。185。187。211。214。185。 本地認(rèn)證/授權(quán)流程含義：指用戶無漫游（在其開戶節(jié)點(diǎn)登錄上網(wǎng)）時(shí)，系統(tǒng)對用戶身份的驗(yàn)證。在不同的業(yè)務(wù)模型中，四個(gè)主要元素的基本功能不變，只是相互的連接不同。248。235。226。221。253。167。195。216。244。167。195。197。166。226。221。253。167。195。167。195。197。166。缺點(diǎn) 額外占用網(wǎng)絡(luò)帶寬。RADIUS（分布）各地市 RADIUS 服務(wù)器負(fù)責(zé)本地認(rèn)證，省中心 RADIUS 服務(wù)器負(fù)責(zé)漫游認(rèn)證；所有 RADIUS 都到省中心數(shù)據(jù)庫中查詢用戶數(shù)據(jù)。NAS（分布）各地市有自己的 NAS，各地用戶撥本地特服號接入本地 NAS?；旌鲜秸J(rèn)證結(jié)構(gòu)是在分析上述三種系統(tǒng)的優(yōu)缺點(diǎn)之后提出的業(yè)務(wù)模型，它的結(jié)構(gòu)介于分布式和集中式之間（數(shù)據(jù)集中、認(rèn)證分布），也綜合了集中式和分布式的優(yōu)點(diǎn)，使整個(gè)系統(tǒng)性價(jià)比更高。缺點(diǎn) 實(shí)現(xiàn)復(fù)雜，系統(tǒng)維護(hù)工作量較大，成本高，額外占用網(wǎng)絡(luò)帶寬。省中心和各地的用戶數(shù)據(jù)保持同步。NAS 各地市有自己的 NAS，各地用戶撥本地特服號接入本地 NAS。缺點(diǎn) 可靠性較差，省中心是系統(tǒng)的潛在故障點(diǎn)和瓶頸點(diǎn)；系統(tǒng)的可伸縮性比較差。用戶數(shù)據(jù) 各地市不存放用戶數(shù)據(jù)，省中心集中存放全省用戶數(shù)據(jù)，所有認(rèn)證都到省中心查詢。 集中式認(rèn)證適用情況：用戶量不太大、管理相對集中的省或直轄市。優(yōu)點(diǎn) 實(shí)現(xiàn)簡單，系統(tǒng)維護(hù)工作量小，容易實(shí)現(xiàn)全省統(tǒng)一管理。用戶數(shù)據(jù) 省中心集中存放全省的用戶數(shù)據(jù)，省內(nèi)認(rèn)證到省中心查詢。 完全集中式認(rèn)證適用情況：用戶數(shù)量少、管理集中的省和直轄市。其實(shí)，CINMS 的系統(tǒng)設(shè)計(jì)是很靈活的：NAS 可以分布也可以集中，RADIUS 系統(tǒng)既可以分布又可以集中，用戶數(shù)據(jù)既可以隨 RADIUS 分布、又可以與 RADIUS 相對獨(dú)立。以下分析幾種典型的業(yè)務(wù)模型：完全集中式，集中式，分布式，綜合式。 網(wǎng)絡(luò)層認(rèn)證/授權(quán)業(yè)務(wù)模型樹型 RADIUS 系統(tǒng)具有良好的伸縮性，系統(tǒng)中的每一部分職責(zé)明確，流程清楚，當(dāng)系統(tǒng)橫向發(fā)展（增加省網(wǎng)、地市節(jié)點(diǎn)）和縱向發(fā)展（向下發(fā)展縣級節(jié)點(diǎn)）時(shí)，系統(tǒng)都能滿足管理要求。RADIUS 協(xié)議只規(guī)定了系統(tǒng)的框架，以及 NASRADIUS、RADIUSRADIUS 之間的通信格式，其他部分可以由軟件開發(fā)商自行設(shè)計(jì)，例如：NAS 指定哪臺 Radius Server 為認(rèn)證服務(wù)器、Radius Server 到哪個(gè)用戶數(shù)據(jù)庫查詢用戶信息，RADIUS 協(xié)議都沒有規(guī)定。Radius Server 之間相互連接，可以實(shí)現(xiàn)漫游認(rèn)證。NAS（接入服務(wù)器）：用戶撥叫特服號后就接入 NAS，NAS 負(fù)責(zé)提示用戶輸入用戶名和密碼，向指定的 Radius Server 發(fā)出認(rèn)證請求，得到認(rèn)證結(jié)果并對用戶授權(quán)。RSNASRADIUS 認(rèn)證系統(tǒng)由四個(gè)主要元素構(gòu)成：用戶：用戶撥號接入網(wǎng)絡(luò)前，系統(tǒng)需要對其身份進(jìn)行認(rèn)證。202。Radius ServerNAS NAS181。202。Radius Server 181。202。Radius Server181。208。161。208。216。208。216。208。216。196。214。Radius Server202。208。161。196。214。185。 200。 網(wǎng)絡(luò)層認(rèn)證/授權(quán)系統(tǒng)結(jié)構(gòu)作為全國范圍的公用計(jì)算機(jī)信息服務(wù)網(wǎng)絡(luò)，163/169 的業(yè)務(wù)管理具有管理范圍廣泛、網(wǎng)絡(luò)規(guī)模發(fā)展迅速、管理層次化、管理統(tǒng)一化的特點(diǎn)。用戶權(quán)限級別：根據(jù)用戶能訪問的網(wǎng)絡(luò)范圍，CINMS 撥號接入權(quán)限可以分為多個(gè)級別，目前郵電部關(guān)于 169 規(guī)范規(guī)定的訪問控制級別分為三種：GUEST 用戶：無需注冊，可訪問全國 169，但不能訪問 163 和國際 INTERNET網(wǎng)內(nèi)有權(quán)用戶：需要注冊，可訪問全國 169，但不能訪問 163 和國際 INTERNET網(wǎng)外有權(quán)用戶：需要注冊，可訪問全國 16163 和國際 INTERNET以上是郵電部對撥號接入權(quán)限級別的定義，但從 CINMS 可以提供更多、更靈活的撥號接入權(quán)限級別，例如：可以限制用戶只能訪問 16不能訪問 163 之外的 Inter；只能訪問本省 16不能訪問其他省的 169 等等。RADIUS 是目前國際、國內(nèi)應(yīng)用最廣泛的用戶認(rèn)證協(xié)議，它定義了 Radius Server與 NAS（Network Access Server）、以及與其它 Radius Server 之間的數(shù)據(jù)傳輸格式。網(wǎng)絡(luò)層認(rèn)證僅存在于電話撥號接入方式，專線用戶無網(wǎng)絡(luò)層認(rèn)證。含義：用戶撥號上網(wǎng)時(shí)，系統(tǒng)對用戶的身份進(jìn)行驗(yàn)證。由于用戶可以統(tǒng)一支付 163/169 系統(tǒng)的所有費(fèi)用，不必象小型 ICP 一樣要求用戶成為會員，非常方便，就可以利用 163/169 規(guī)模大的優(yōu)勢，利用一些特色服務(wù)吸引其他 ISP 已經(jīng)發(fā)展的用戶，這樣就擴(kuò)大了潛在用戶的范圍。面向 163/169 用戶：用戶具有網(wǎng)絡(luò)接入的權(quán)限，并選擇 WWW、EMAIL 或 163/169 提供的其他服務(wù)。 CINMS需要強(qiáng)調(diào)的是，用戶對各種服務(wù)的的權(quán)限是相互獨(dú)立的，用戶可以分別選擇對各種服務(wù)的權(quán)限，支付不同的費(fèi)用，用戶權(quán)限可以隨時(shí)更改。 185。 199。196。 178。 194。205。 178。 207。 208。200。202。214。LDAP200。206。203。EMAIL198。200。 189。194。 WWW205。200。202。214。200。符合 169 的信息層認(rèn)證規(guī)范EMAIL 認(rèn)證：用戶訪問 EMAIL 時(shí)，系統(tǒng)對用戶的身份進(jìn)行驗(yàn)證。WWW 認(rèn)證：對應(yīng)于郵電部 169 規(guī)范的信息層認(rèn)證。根據(jù)用戶身份和權(quán)限，控制用戶是否能夠撥號接入網(wǎng)絡(luò)、以及能接入的網(wǎng)絡(luò)的范圍。為此，CINMS 提供基于 LDAP 的認(rèn)證接口，由于 LDAP 是一種國際標(biāo)準(zhǔn)協(xié)議，因此可以與任何支持 LDAP 的應(yīng)用連接。16 / 49第五章 認(rèn)證授權(quán)管理認(rèn)證授權(quán)管理主要是要驗(yàn)證用戶身份的合法性，控制用戶對不同服務(wù)的不同訪問權(quán)限，并要求支持漫游認(rèn)證/授權(quán)。1. WWW 信息源管理WWW 信息源如果系統(tǒng)希望通過 CINMS 統(tǒng)一認(rèn)證、計(jì)費(fèi)、導(dǎo)航或統(tǒng)計(jì)，就需要在CINMS 的信息源管理系統(tǒng)中登記，記錄如下主要信息：WWW 信息源信息：信息源名稱、提供公司、公司聯(lián)系地址、注冊時(shí)間等等；連接方式：主機(jī)域名、IP 地址、需認(rèn)證或計(jì)費(fèi)的 URL、連接方式（專線接入/專線類型和速率、主機(jī)托管、服務(wù)器空間租用/占用硬盤；信息分類：WWW 瀏覽信息分類（書籍/報(bào)刊/雜志、新聞 /政治、/ 藝術(shù)、郵政/郵電、金融/商業(yè)、科技/技術(shù)、文化/教育、體育/旅游、生活/服務(wù)等），WWW 應(yīng)用系統(tǒng)分類（例如：數(shù)據(jù)庫查詢、股票交易、網(wǎng)絡(luò)服務(wù)、電子商務(wù)等）認(rèn)證：是否需要 CINMS 認(rèn)證，權(quán)限級別計(jì)費(fèi)：是否需要 CINMS 計(jì)費(fèi)，費(fèi)率服務(wù)提供商可以有自己的用戶帳號（信息層用戶帳號），這些用戶帳號可以由服務(wù)提供商自己管理，也可以交由 CINMS 統(tǒng)一管理。15 / 49第四章 信息源管理信息源是系統(tǒng)中的服務(wù)提供者，也稱服務(wù)提供商。用戶信息修改：修改用戶的所有屬性。14 / 49用戶暫停/恢復(fù)：修改用戶狀態(tài)，暫停用戶登錄，凍結(jié)用戶的信息；恢復(fù)用戶狀態(tài)。用戶在線實(shí)時(shí)監(jiān)控：如果用戶的余額低于預(yù)設(shè)值，系統(tǒng)可以將該用戶立即拆線，保證系統(tǒng)的計(jì)費(fèi)準(zhǔn)確和實(shí)時(shí)。這樣可以滿足中國國情的用戶管理需求。212。192。185。188。202。212。192。185。188。202。212。192。185。188。202。212。192。185。 D207。212。192。185。 C207。212。192。185。B207。187。211。 D207。187。211。 C207。187。211。 B207。187。211。A207。212。192。185。管理結(jié)構(gòu)為：A207。省級管理員可以對全省的用戶進(jìn)行管理，市級管理員可以對屬于本市的用戶進(jìn)行管理（包括隸屬于本市的縣級用戶）。5. 分級管理CINMS 提供了對用戶的分級管理功能，可以對省、市、縣的用戶進(jìn)行分級管理。這樣，用戶不需要定期到營業(yè)廳交費(fèi)，而郵電也可以廣泛發(fā)售續(xù)款卡，免去收費(fèi)的手續(xù)。試用卡適于在業(yè)務(wù)拓展期發(fā)展用戶使用，免費(fèi)或有償發(fā)送試用卡，如果用戶不滿意，金額用完作廢；如果用戶滿意，可隨時(shí)轉(zhuǎn)換成正式帳號，且不需到營業(yè)廳辦理手續(xù)，雙方都非常方便。定額卡適于移動(dòng)用戶使用，比如：出差用戶購買定額卡，即買即通、臨時(shí)使用、用完作廢，非常方便和快捷。目前，CINMS 支持的用戶卡屬性有：定額：用戶卡的金額自動(dòng)過期：金額用完后，系統(tǒng)是否自動(dòng)刪除卡號可否開戶：如果“是”則用戶可以自行開戶，即輸入卡號和密碼號，然后在網(wǎng)絡(luò)上為自己開戶可否轉(zhuǎn)帳：用戶卡上金額是否可以轉(zhuǎn)到其他帳戶利用這些屬性，可以定義出多種用戶卡，供不同場合使用。二、用戶卡類型“用戶卡”實(shí)質(zhì)是用戶類型的擴(kuò)展，每一種用戶卡就是一種特殊的用戶類型，所有卡具有相同的權(quán)限和計(jì)費(fèi)方式，管理員可以定義新的卡類型。一般的用戶帳號需要到電信營業(yè)廳注冊和交費(fèi)，對經(jīng)營者和使用者都有一定局限。用戶卡分為多種類型，不同的用戶卡有不同權(quán)限和計(jì)費(fèi)方式。一、什么是用戶卡？實(shí)際上，用戶卡并不是一個(gè)新的概念，早在廣東視靈通發(fā)展業(yè)務(wù)時(shí)就已實(shí)現(xiàn)，只是現(xiàn)在又有了新的功能。例二：任何一類用戶都可以定義是否允許使用 EMAIL，設(shè)置可以定義只有 EMAIL 權(quán)限的用戶，他們可以通過主叫號碼或其他 ISP 上網(wǎng)，使用 EMAIL。目前郵電部規(guī)范規(guī)定的用戶類型有 A 類、B 類和 C 類三種：A 類用戶（GUEST 用戶）：通過主叫號碼上網(wǎng)和計(jì)費(fèi)，不需要認(rèn)證密碼B 類用戶（國內(nèi)有權(quán)）：需要帳號和密碼，通過帳號收費(fèi)；可訪問 169 網(wǎng)，但不可以通過 169 訪問 163 和 INTERNETC 類用戶（國外有權(quán)）：需要帳號和密碼，通過帳號收費(fèi)；可訪問 169 網(wǎng)及 163 和INTERNET其實(shí)，CINMS 可以支持的用戶類型遠(yuǎn)遠(yuǎn)不只這三類，管理員可以把任意權(quán)限和計(jì)費(fèi)方式組合起來、任意定義新的用戶類型，也可以隨時(shí)更改用戶類型的屬性，以適應(yīng)靈活的業(yè)務(wù)發(fā)展需要。用戶組內(nèi)的所有用戶具有相同的權(quán)限和計(jì)費(fèi)方式，這樣，管理員可以定義一系列常用的用戶組，新開戶的用戶加入用戶組后，就自動(dòng)具有相應(yīng)的屬性，一旦修改用戶組的屬性，全部用戶屬性都相應(yīng)變化，不需要逐個(gè)定義用戶。為此，CINMS 提供用戶組的管理，以使管理員負(fù)擔(dān)大大降低。例如：有的用戶只能撥號接入，沒有 EMAIL 信箱；有的用戶訪問收費(fèi)￥20/ 小時(shí)，有的用戶收費(fèi)￥15/小時(shí)。CINMS 為系統(tǒng)管理員提供一套用戶管理工具，可以方便地查詢、修改和維護(hù)用戶的上述信息。認(rèn)證/授權(quán)系統(tǒng)就是通過查詢用戶的權(quán)限信息，判斷用戶對系統(tǒng)資源的權(quán)限。用戶自然信息：包括用戶的開戶信息（用戶姓名/年齡、電話/ 住址等其他系統(tǒng)運(yùn)營者系統(tǒng)保留的用戶自然信息）。用戶的屬性主要分為四大類：用戶狀態(tài)信息：包括用戶帳號/密碼、帳號狀態(tài)（是否正在上網(wǎng)、是否已暫停等）。成組用戶：進(jìn)行成組開戶，數(shù)量由您任意指定；分布式管理：在世界上任意一個(gè)地方進(jìn)行用戶管理，只要能夠連通 Inter；管理授權(quán)：將用戶管理的功能進(jìn)行授權(quán)給其它部門，以分散系統(tǒng)管理員的負(fù)擔(dān)，增加管理的靈活性。為了減輕管理員管理的負(fù)擔(dān)，系統(tǒng)提供了客戶管理的概念，充分利用 Inter 網(wǎng)絡(luò)的優(yōu)勢，讓用戶在網(wǎng)上自己修改自己的用戶資料（部分）。系統(tǒng)對用戶的增、刪改操作可以說方式多變，一應(yīng)俱全。 用 戶 數(shù) 據(jù) 庫開 戶 /銷 戶 查 詢 認(rèn) 證 計(jì) 費(fèi)CINMS 為系統(tǒng)管理員提供統(tǒng)一的維護(hù)工具，對成員數(shù)據(jù)庫進(jìn)行方便的查詢和修改。例如：認(rèn)證/ 授權(quán)系統(tǒng)通過查詢用戶信息，判斷用戶是否有權(quán)訪問某種服務(wù)；計(jì)費(fèi)/結(jié)算系統(tǒng)針對用戶訪問網(wǎng)絡(luò)資源、信息源、應(yīng)用的記錄來計(jì)算費(fèi)用。CINMS 在以往系統(tǒng)運(yùn)行的基礎(chǔ)上，對用戶管理的需求進(jìn)行多次調(diào)查，總結(jié)了其它管理系統(tǒng)上的經(jīng)驗(yàn)，具有管理靈活、用戶量大、穩(wěn)定可靠、對外接口靈活等特點(diǎn)。10 / 49第三章 用戶管理用戶是整個(gè)系統(tǒng)的消費(fèi)者，因此用戶管理是整個(gè)系統(tǒng)管理的核心。并和第三方財(cái)務(wù)系統(tǒng)提供靈活的接口。收費(fèi)管理 提供對用戶的費(fèi)用管理。資費(fèi)管理 提供對多種計(jì)費(fèi)信息源的計(jì)費(fèi)模型管理。為用戶的費(fèi)用查詢提供明細(xì)數(shù)據(jù)備份提供完善地?cái)?shù)據(jù)臨界備份手段。目前可以提供的認(rèn)證/授權(quán)有：撥號接入、WWW 和 EMAIL，其他服務(wù)通過認(rèn)證接口統(tǒng)一提供。支持漫游認(rèn)證/授權(quán)。可以靈活地為一種新的計(jì)費(fèi)業(yè)務(wù)進(jìn)行配置，從而使系統(tǒng)對該信息源進(jìn)行計(jì)費(fèi)。信息源管理 對信息層應(yīng)用系統(tǒng)進(jìn)行統(tǒng)計(jì)的認(rèn)證和計(jì)費(fèi)管理。提供用戶組的管理概念，管理員可將用戶按組管理和維護(hù)，方便管理大量用戶。241。254。228。235。211。231。248。237。220。167。195。227。225。209。198。168。218。164。207。198。179。241。181。237。220。180。162。197。195。166。231。248。168。189。231。248。其他：提供數(shù)據(jù)的完整備份功能，提供和其它系統(tǒng)的靈活接口。4）出帳和付款：輸出交納/支付費(fèi)用的帳單，收取/ 支付費(fèi)用提供靈活的帳單定制功能，支持多種付款方式。提供在線修改費(fèi)率、優(yōu)惠率功能。2）資費(fèi)策略：每種服務(wù)有獨(dú)立的資費(fèi)政策，并可以隨時(shí)制訂新的資費(fèi)政策。其實(shí)，每種服務(wù)都需要計(jì)費(fèi)，因此要求 CINMS 的計(jì)費(fèi)系統(tǒng)具有較的靈活性，提供統(tǒng)一的計(jì)費(fèi)接口，以便開8 / 49展新的服務(wù)。支持漫游認(rèn)證和結(jié)算。認(rèn)證/授權(quán)：判斷用戶的身份是否合法及是否有權(quán)訪問某種服務(wù)郵電部的規(guī)范中有兩種認(rèn)證/授權(quán)：網(wǎng)絡(luò)層認(rèn)證/授權(quán)和信息層認(rèn)證/授權(quán)。每種服務(wù)都應(yīng)該可以單獨(dú)進(jìn)行費(fèi)用結(jié)算和數(shù)據(jù)統(tǒng)計(jì)、由一個(gè)單位獨(dú)立運(yùn)營。服務(wù)提供商可以有多種類型，例如：網(wǎng)絡(luò)接入服務(wù)、WWW 信息、EMAIL 服務(wù)