湖南爱WIFI热点数据对接规范

1对接湖南电信商业WIFI热点Portal平台的接口规范中国电信湖南分公司移动互联网部2016Jan202目录1.规范说明......................................................................................................................................32.接口功能......................................................................................................................................32.1Portal流程..........................................................................................................................32.2自服务功能.........................................................................................................................32.3认证流程............................................................................................................................4用户上线认证流程...........................................................................................................4用户下线流程...................................................................................................................72.4Radius认证及计费的属性要求........................................................................................83审计数据对接..............................................................................................................................103.1认证数据对接..................................................................................................................103.2NAT数据对接...................................................................................................................113.3嗅探数据对接..................................................................................................................113.4合规日志...........................................................................................................................1231.规范说明湖南电信WIFI认证规范基本遵循运营商版《中国电信WLAN业务PORTAL协议规范2.0版》，并在此基础上增加了对第三方MSAD目录库的支持，增加了SNS的认证规范。为满足WLAN支持所有用户的需求，需要Radius服务器对接来访过的用户、员工、全球会员的目录库。目前建议采用集中建设中央Radius服务器的方式，在不影响现有第三方用户库会员用户连接的情况下，提供对“第三方用户库会员”用户和公共WIFI用户的连接、认证、计费（可选）功能的支持。2.接口功能2.1Portal流程无线热点对所有公网接入用户进行TCPRedirect，将尚未认证成功的WEB访问请求导向指定WEBPortal网址，端口只用80。无线热点可以根据源地址、源MAC定义条件，不进行TCPRedirect。2.2自服务功能登录页面及用户认证成功页面上均需显示“用户自服务”选项，并且PORTAL的认证成功页面在整个用户在线期间都不能关闭。自服务页面由中央Radius提供，各项功能的操作也由后台的服务器完成，Portal只是负责将“用户自服务”请求重定向到中央Radius即可。目前要求支持的基本自服务功能包括静态密码修改、访问记账信息查询（内部员工用户）、公共WIFI访问查询、历史使用记录查询等。将来可以根据业务开展的需要，开放更多的自服务功能。42.3认证流程用户认证流程包括认证上线流程、下线流程、动态密码申请流程、管理员配置个性化页面流程；包括静态密码修改、免费时限信息查询、帐户转帐、历史使用记录查询在内的用户自服务流程。用户上线认证流程WLAN用户通过PortalServer完成认证功能。Portal为WIFI登陆用户提供静态密码认证和动态密码认证两种选择。静态密码为员工目录库、会员目录库等密码，动态密码通过Portal与Radius的直连通道申请。上线流程完成用户帐户的认证，并把认证结果通知PortalServer，Portalserver将会通知WLAN用户并且显示相应的认证结果。用户可使用静态密码或动态密码登录，但Portal不对认证类型进行判断，由中央Radius负责区分。用户上线认证方式有两种：CHAP和PAP，其中CHAP方式为必选功能，PAP方式为可选功能。用户上线Chap认证流程，如图1.1所示：图1.1用户上线Chap认证流程5WLAN用户门户网站（Portal）接入控制器（AC）连接请求请求认证认证结果推送归属地定制的页面，通知用户认证结果，并启动正计时提醒用户请求，通过AC强制到Portalserver统一认证页面推送请求Challenge分配Challenge查询用户信息返回查询结果及用户连接时长相关信息RadiusRADIUS认证流程如果查询失败，直接给出提示信息，结束认证判断归属地(1)用户访问网站，经过AC重定向到PortalServer；(2)Portalserver推送统一的认证页面；(3)用户填入用户名、密码，提交页面，向PortalServer发起连接请求；(4)Portal向Radius发出用户信息查询请求，由Radius验证用户密码、查询用户信息，并向Portal返回查询结果及系统配置的单次连接最大时长、手机用户及用户的免费时限剩余时长信息；(5)如果查询失败，Portal结束认证流程，并直接返回提示信息给用户，指导用户开户及正确使用；(6)如果查询成功，PortalServer向AC请求Challenge；(7)AC分配Challenge给PortalServer；(8)PortalServer向AC发起认证请求；(9)而后AC进行RADIUS认证，获得RADIUS认证结果；(10)AC向PortalServer送认证结果；(11)PortalServer判断登录的热点和园区位置，推送相应定制的个性化页面，并将认证结果、系统配置的单次连接最大时长、免费时限剩余时长、6自服务选项填入页面，和门户网站一起推送给客户,同时启动正计时提醒；(12)PortalServer回应确认收到认证结果的报文。用户上线Pap认证流程，如图1.2所示：图1.2用户上线Pap认证流程WLAN用户门户网站（Portal）接入控制器（AC）连接请求请求认证认证结果推送归属地定制的页面，通知用户认证结果；并启动正计时提醒用户请求，通过AC强制到Portalserver统一认证页面推送判断归属地RadiusRADIUS认证流程如果查询失败，直接给出提示信息，结束认证查询用户信息返回查询结果及用户连接时长相关信息(1)用户访问网站，经过AC重定向到PortalServer；(2)Portalserver推送统一的认证页面；(3)用户填入用户名、密码，提交页面，向PortalServer发起连接请求；(4)Portal向Radius发出用户信息查询请求，由Radius验证用户密码、查询用户信息，并向Portal返回查询结果及系统配置的单次连接最大时长、手机用户及用户的免费时限剩余时长信息；(5)如果查询失败，Portal直接返回提示信息给用户，指导用户开户及正确使用；(6)如果查询成功，PortalServer向AC发起认证请求；(7)而后AC进行RADIUS认证，获得RADIUS认证结果；(8)AC向PortalServer送认证结果；7(9)PortalServer根据编码规则判断帐户的归属地，推送归属地定制的个性化页面，并将认证结果、系统配置的单次连接最大时长、免费时限剩余时长、自服务选项填入页面，和门户网站一起推送给客户,同时启动正计时提醒；(10)PortalServer回应确认收到认证结果的报文。用户下线流程用户下线流程包括用户主动发起下线流程，用户的强制下线流程和用户异常下线流程，即AC侦测到用户下线，主动通知Portalserver。用户上网结束后，可以使用Portal功能通知AC用户下线；当AC侦测到用户下线或者主动切断用户连接时，也能告知Portal。用户主动下线流程，如图1.3所示：图1.3用户主动下线流程WLAN用户门户网站（Portal）接入控制器（AC）下线请求请求下线下线回应告诉用户下线结果(1)用户发起下线请求到PortalServer；(2)PortalServer向AC请求下线；(3)AC回应PortalServer下线请求；(4)PortalServer推送下线结果页面给用户。用户强制下线流程，如图1.4所示：8图1.4用户强制下线流程WLAN用户门户网站（Portal）接入控制器（AC）请求下线下线成功告诉用户下线结果AC侦测到用户允许接入时间结束(1)AC侦测到用户的本次连接最大允许接入时间结束，向PortalServer请求下线；(2)PortalServer回应下线成功，并向用户推送下线结果页面。2.4Radius认证及计费的属性要求要求Ap/AC必须采用Radius认证和计费，认证Radius由电信提供，并分配各接入设备商使用，且认证和计费要求至少满足以下字段要求：类型Radius属性名称认证报文User-Name，用户登录名User-Password，PAP密码CHAP-Password，CHAP密码CHAP-Challenge，CHAPchallengeNAS-IP-Address，NAS的IP地址NAS-Port，用户接入端口Service-Type，用户业务类型NAS-Identifier，设备主机名NAS-Port-Type，NAS的端口类型NAS-Port-Id，用户接入端口号Called-Station-Id，NAS的MAC地址及Calling-Station-Id，用户终端的MAC地址Framed-IP-Address，用户的IPV4地址计费开始报文User-Name，用户登录名NAS-IP-Address，NAS的IP地址NAS-Port，用户接入端口9NAS-Identif