本发明涉及无线通信领域，尤其涉及一种wlan用户接入认证及配置信息下发的方法、设备。
背景技术：
：：近几年，随着智能手机、平板电脑等移动终端的普及，无线数据的需求呈现爆炸性增长，作为3g/4g覆盖补充的wlan技术的应用也越来越广泛，如商场、酒店、餐厅等越来越多的服务场所需要给客户提供免费wifi，针对wlan用户的认证和推送广告信息成为该类公共无线网络的基础要求。portal认证通常也称为web认证，一般将portal认证网站称为门户网站。当未认证用户上网时，接入设备强制用户终端登录到特定站点，用户终端可以免费访问特定站点的服务。当用户终端需要访问互联网中的其它信息时，必须在门户网站进行认证，只有认证通过后才可以使用互联网资源。portal业务可以为运营商提供方便的管理功能，门户网站可以开展广告、社区服务、个性化的业务等，使宽带运营商、设备提供商和内容服务提供商形成一个产业生态系统。传统的wlan网络基于“胖”ap架构，wlan网络由相互独立的接入点(ap：accesspoint)组成，传统wlan架构在组网、管理、配置等上面非常复杂，难以满足大规模部署要求。目前运营商部署的wlan网络普遍采用包括ap和接入控制器(ac：accesscontrol)的网络架构，请参见图1，称为“瘦”ap架构；在瘦ap架构下，ac主要通过接入点控制与供应协议(capwap：controlandprovisioningofwirelessaccesspointsprotocolspecification)对无线局域网中的所有ap进行统一的管理和配置。在瘦ap网络架构下，进一步根据ap对sta数据报文转发流向不同分为本地转发模式和集中转发模式。本地转发模式下，ap对用户数据报文不做capwap封 装，报文可以不经过ac直接转发；集中转发模式则把用户数据报文封装到capwap隧道中，必须经过ac统一进行转发。在ap集中转发模式下，一般都由ac作为wlan用户的接入认证点，由ac截获wlan用户终端发送的http请求报文，检查wlan用户是否已经过认证，并和portal服务器及radius认证服务器一起完成对wlan用户的认证。同时ac作为业务控制点，也用于用户在wlan接入过程中的业务控制，包括强制portal功能等。随着ap集中大量的部署，集中转发模式下对ac的性能要求越来越高，故ap本地转发模式也得到了广泛的应用。对于ap本地转发模式下的portal认证，相关技术提出接入点ap在接收到sta的认证请求后，通过capwap隧道将该认证请求发送给接入控制器ac，再由ac转发给portal服务器。该方法可以利用已有的网络认证架构实现ap本地转发情况下的portal认证，但是该方法在sta认证通过之前需要将sta的所有认证请求报文集中发送至ac处理，由ac将wlan用户的所有http请求重定向到portal服务器，对ac本身处理性能会有一定影响。另一方面，目前推送的统一认证页面大多是基于各运营商定制的，不能满足很多商家ap用户本身真正个性化portal认证页面的定制需求。技术实现要素：有鉴于此，本发明提供了以下方案。一种wlan用户接入认证的方法，应用于包括接入点ap和接入控制器ac的网络架构，包括：ap拦截wlan用户通过站点sta发送的超文本传输协议http请求；所述ap确定所述wlan用户未经过接入认证时，向所述sta发送重定向报文，其中，所述重定向报文携带接入认证服务器上认证页面的统一资源定位标识符url地址，所述重定向报文用于将所述http请求重定向到所述接入认证服务器。一种接入点ap，所述ap应用于包括接入控制器ac的网络，其特征在于，所述ap包括：拦截模块，用于拦截wlan用户通过站点sta发送的超文本传输协议http请求；重定向模块，用于确定所述wlan用户未经过接入认证时，向所述sta发送重定向报文，其中，所述重定向报文携带接入认证服务器上认证页面的统一资源定位标识符url地址，所述重定向报文用于将所述http请求重定向到所述接入认证服务器。上述方案在包括ap和ac的“瘦”ap架构中，直接由ap拦截wlan用户的http请求，将其重定向到接入认证服务器进行接入认证，避免了现有在ac上进行拦截wlan用户的http请求报文的方法对ac处理性能有一定影响，接入认证效率较低的问题。有鉴于此，本发明还提供了以下方案。一种接入点配置信息下发的方法，包括：接入控制器ac接收网管系统下发的接入点ap的配置信息并保存，所述配置信息包括为wlan用户提供的个性化认证页面的统一资源定位标识符url地址；所述ac在所述ap接入时，向所述ap下发所述配置信息。一种接入点控制器ac，其特征在于，包括：信息接收子模块，用于接收网管系统下发的接入点ap的配置信息并保存，所述配置信息包括为wlan用户提供的个性化认证页面的统一资源定位标识符url地址；信息下发子模块，用于在所述ap接入时，向所述ap下发所述配置信息。上述方案将定制的个性化认证页面的url地址下发给ap，并且使得ap可以很方便地将wlan用户重定向到相应的个性化认证页面，实现个性化的认证页面的推送功能。附图说明图1是具有“瘦”ap架构的网络示意图；图2是本发明实施例一用户认证方法的流程图；图3是本发明实施例一接入点ap的模块图；图4是本发明实施例二配置信息下发方法的流程图；图5是本发明实施例二接入控制器ac的模块图；图6是本发明实施例三云网管系统的模块图及与ac的连接示意图；图7是本发明实施例四ac的功能模块图；图8是本发明示例二ap本地转发模式下，拦截wlan用户http请求并实现portal认证的流程图；图9是本发明示例三云网管系统下发portal认证相关配置的流程图。具体实施方式为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。实施例一本实施例提供一种用户接入认证的方法，应用于包括接入点ap和接入控制器ac的网络架构，如图1所示，包括：步骤110，ap拦截wlan用户通过站点sta发送的超文本传输协议http请求；步骤120，所述ap确定所述wlan用户未经过接入认证时，向所述sta发送重定向报文，其中，所述重定向报文携带接入认证服务器上认证页面的url地址，所述重定向报文用于将所述http请求重定向到所述接入认证服务器。本实施例中，接入认证服务器为portal服务器，但不局限于此。本实施例中，所述ap通过以下方式得到所述重定向报文中携带的url 地址：所述ap根据所述http请求中携带的ssid查找所述绑定关系信息，得到与所述ssid绑定的url地址，作为所述重定向报文中携带的url地址；其中，所述绑定关系信息是根据ac下发的ssid与接入认证服务器上认证页面的url地址之间的绑定关系信息。ap可以根据wlan用户sta终端关联的ssid对应的虚拟接入设备名称wlan0,wlan1等进行重定向参数的填充，ap收到空口处理报文时已知道该报文对应的虚拟接入设备名称ssid1-wlan0，ssid2-wlan1。本实施例中，所述绑定关系信息中，与每一个ssid绑定的url地址，是为该ssid所标识网络的wlan用户定制的个性化认证页面的url地址。但本发明不局限于此，该url地址也可以是统一的认证页面的url地址，或者按照其他方式定制的认证页面的url地址。需要说明的是，url地址与ssid绑定，包括url与ssid和ap标识绑定的情形，也即可以针对不同ap下的ssid分别定制个性化的认证页面，也可以对不同ap下相同的ssid定制相同的个性化认证页面。本实施例中，所述ap拦截所述http请求之前，可以接收所述ac下发的需要在url中插入的用户认证参数，在向所述sta发送的重定向报文中携带所述用户认证参数。本实施例中，所述ap可以采用本地转发模式进行数据报文的转发，也可以采用集中转发模式进行数据报文的转发。在采用集中转发模块时，所述ap在对所述http请求进行接入点控制和供应协议capwap隧道进行封装之前，拦截所述http请求。本实施例在ap集中转发或本地转发模式下，均可以实现http请求的拦截和重定向。本实施例中，所述ap通过ap侧网络防火墙拦截所述http请求。但本发明不局限于此，也可以是其他模块如新增功能模块来实现这一功能。本实施例中，所述ap可以根据设置在所述ap侧网络防火墙中的包过滤规则中所述wlan用户的接入认证信息，确定所述wlan用户未经过接入认证；而在所述ap向所述sta发送重定向报文之后，如接收到ac在所述wlan用户通过接入认证后下发的访问控制规则，则更新所述包过滤规则中所述wlan用户的接入认证信息，以指示所述wlan用户已经过接入认证， 放开对所述wlan用户的接入限制。本实施例中，所述ap更新所述包过滤规则中所述wlan用户的接入认证信息后，所述方法还包括：所述ap如接收到所述ac发送的所述wlan用户下线的通知或收到所述sta发送的去关联消息后，则删除所述包过滤规则中所述wlan用户的信息，所述wlan用户的信息包括所述wlan用户的接入认证信息。本实施例还提供一种接入点ap，所述ap应用于包括接入控制器ac的网络，如图3所示，所述ap包括：拦截模块10，用于拦截wlan用户通过站点sta发送的超文本传输协议http请求；重定向模块20，用于确定所述wlan用户未经过接入认证时，向所述sta发送重定向报文，其中，所述重定向报文携带接入认证服务器上认证页面的统一资源定位标识符url地址，所述重定向报文用于将所述http请求重定向到所述接入认证服务器。可选地，所述重定向模块通过以下方式得到所述重定向报文中携带的url地址：根据所述http请求中携带的ssid查找所述绑定关系信息，得到与所述ssid绑定的url地址，作为所述重定向报文中携带的url地址；其中，所述绑定关系信息是根据ac下发的ssid与接入认证服务器上认证页面的url地址之间的绑定关系信息。可选地，所述绑定关系信息中，与每一个ssid绑定的url地址，是为该ssid所标识网络的wlan用户定制的个性化认证页面的url地址。可选地，所述ap还包括：接收模块，用于接收所述ac下发的需要在url中插入的用户认证参数；所述重定向模块向所述sta发送的重定向报文中还携带所述用户认证参数。可选地，所述ap还包括转发模块；所述转发模块采用本地转发模式进行数据报文的转发；或者所述转发模块采用集中转发模式进行数据报文的转发；所述拦截模块拦截所述http请求，包括：对所述http请求进行接入点控制和供应协议capwap隧道封装之前，拦截所述http请求。可选地，所述拦截模块使用ap侧网络防火墙实现。可选地，所述重定向模块确定所述wlan用户未经过接入认证，包括：根据包过滤规则中所述wlan用户的接入认证信息，确定所述wlan用户未经过接入认证，其中，所述包过滤规则设置在所述ap侧网络防火墙中；所述ap还包括：更新模块，用于接收ac在所述wlan用户通过接入认证后下发的访问控制规则，更新所述包过滤规则中所述wlan用户的接入认证信息，以指示所述wlan用户已经过接入认证。可选地，所述更新模块还用于接收到所述ac发送的所述wlan用户下线的通知或收到所述sta发送的去关联消息后，删除所述包过滤规则中所述wlan用户的信息，所述wlan用户的信息包括所述wlan用户的接入认证信息。本实施例在包括ap和ac的“瘦”ap架构中，直接由ap拦截wlan用户的http请求，将其重定向到接入认证服务器进行接入认证，不需要ap和ac之间的portal客户端进行交互，避免了现有在ac上进行拦截wlan用户的http请求报文的方法对ac处理性能有一定影响，接入认证效率较低的问题。另外，相关技术一般由ac或portal服务器根据sta发送的http请求消息中携带的用户属性信息，实现个性化的portal推送页面，在服务端先查询再推送个性化认证页面的方法耗时及响应时间比较慢。上述方案是一种动态预配置的方法，在ap侧直接根据wlan用户关联的ap和ssid标识实现 个性化的portal认证页面推送。本实施例不需要ap和ac之间的portal客户端频繁地进行交互，在radius服务器与ac确认该sta用户认证成功后，由ac上的portal认证管理模块直接通过一条capwap消息通知到ap侧(即将sta用户访问控制相关的acl规则下发给ap)，ap侧capwap模块收到该acl规则后，可通知网络防火墙模块，以放开该用户上网的限制。实施例二本实施例提供一种接入点配置信息下发的方法，如图4所示，包括：步骤210，接入控制器ac接收网管系统下发的接入点ap的配置信息并保存，所述配置信息包括为wlan用户提供的个性化认证页面的统一资源定位标识符url地址；步骤220，所述ac在所述ap接入时，向所述ap下发所述配置信息。本实施例中，ac可以在开通一个ap时，从网管系统接收该ap的配置信息并保存。本实施例中，所述配置信息还可以包括需要在url中插入的用户认证参数。ac将用户认证参数下发给ap，ap可以将其和所述url地址写入在发送给wlan用户的重定向报文中。本实施例中，所述网管系统可以为云网管系统，所述云网管系统针对不同ac虚拟化对应的接入认证服务器，所述个性化认证页面为接入认证服务器上的认证页面。本实施例中，所述url地址与ssid具有绑定关系，其中，与每一个ssid绑定的url地址，是为该ssid所标识网络的wlan用户定制的个性化认证页面的url地址。所述配置信息还包括与所述url地址绑定的ssid的信息。但本发明不局限于此。url地址可以与其他信息如ap标识绑定，也可以不与其他信息绑定。现有ac基于各个运营商自身的网络部署，推送的统一认证页面大多是 基于各运营商定制的，不能满足很多商家ap用户本身真正个性化portal认证页面的定制。而云网管系统可以提供统一的定制接口，很方便地为各个ac下ap的wlan用户实现个化性页面的定制。本实施例还提供一种接入点控制器ac，包括接入点ap管理模块，如图5所示，所述ap管理模块包括：信息接收子模块30，用于接收网管系统下发的接入点ap的配置信息并保存，所述配置信息包括为wlan用户提供的个性化认证页面的统一资源定位标识符url地址；信息下发子模块40，用于在所述ap接入时，向所述ap下发所述配置信息。可选地，所述信息接收子模块接收的所述配置信息还包括需要在url中插入的用户认证参数。可选地，所述网管系统为云网管系统，所述云网管系统针对不同ac虚拟化对应的接入认证服务器，所述个性化认证页面为接入认证服务器上的认证页面。可选地，所述信息接收子模块接收的配置信息中的url地址与ssid具有绑定关系，其中，与每一个ssid绑定的url地址，是为该ssid所标识网络的wlan用户定制的个性化认证页面的url地址；所述信息接收子模块接收的配置信息还包括与所述url地址绑定的ssid的信息。本实施例中，url地址与ssid绑定，可以是只与ssid绑定，即根据ssid即可确定需要提供的url地址；也可以同时与ssid和其他信息绑定，如与ssid和ap绑定，此时需要根据ssid和ap标识信息，共同确定需要提供的url地址。ac个性化的portal推送技术，可以由portal服务器根据一定策略向wlan用户终端推送定制的个性化portal认证页面。本实施例将定制的个性化认证页面的url地址下发给ap，直接由ap将wlan用户重定向到相应的个性化认证页面，可以更方便地实现个性化的认证页面的推送功能。实施例三传统ac一般基于各个于各个运营商的网络部署，ac网络维护成本较高，不能满足新型it架构需求，如大量虚拟化、云计算、统一存储技术等。本实施例提出了一种基于云平台的网管系统，也称为云网管系统、ac云网管平台、云平台网管等)。本实施例的云网管系统可以通过snmp协议对ac或ac下挂的ap进行管理或配置。支持通过网管系统对接入ac和ap设备进行基本配置，包括对ap无线接口参数(ssid、信道选择、安全加密相关参数、发射功率参数、qos相关参数配置等)进行配置。ac需要先向云平台注册，ac注册至云网管系统成功后，后续可以通过云平台下发认证所需的相关参数配置信息。如图6所示，本实施例的云网管系统包括ac注册服务端、ac配置管理模块及数据库，还可以包括虚拟化的接入认证服务器和radius((remoteauthenticationdialinuserservice：远程用户拨号认证系统))服务器、其中ac注册服务模块，用于接收ac的注册请求，验证通过后，将所述ac的注册信息存储至所述数据库，还可以负责与ac的通信链路维护。ac注册至云网管系统的步骤可以包括：ac设备获取到公网地址后，主动向云网管系统进行连接注册，注册请求可通过udp或tcp的方式向云网管系统发送，内容包括ac设备的型号、名称、mac地址、ip地址、sn、软硬件版本号等；云网管系统在验证所述ac的合法性后，将相关注册信息存储至db数据库，后续云网管系统可对这些ac设备进行统一配置和管理。ac配置管理模块，用于管理所有接入ac的全局参数配置，及ac的接入认证方式等配置信息的下发、ac接入的ap和sta容量规划，ac的dhcp 地址池容量规划、ssid规划及对应无线射频参数配等。ap实现的可以是零配置方式，ap上电时的所有配置信息均需ac下发，即在ap接入ac时，ac统一经过capwap协议交互将ap的配置信息下发给ap。porta服务器，用于存储ac的配置信息，其中包括为ac下的wlan用户定制的个性化的认证页面，及在认证过程中推送所述个性化的认证页面，其中可以包括一些广告推送信息。这些个性化认证页面可以根据ssid定制，这些个性化认证页面的url地址可以与相应的ssid绑定。所述配置信息可以包括以下至少一种信息：为wlan用户提供的个性化认证页面的统一资源定位标识符url地址，及所述url地址与ssid具有绑定关系，其中，与每一个ssid绑定的url地址，是为该ssid所标识网络的wlan用户定制的个性化认证页面的url地址。radius服务器用于对wlan用户进行radius认证。数据库，用于存储和维护ac的基本配置信息。所述配置信息可以包括以下信息中的一种或多种：ap的ssid规划及对应无线射频参数配置信息、portal服务器的url地址及其绑定的ssid信息等，这些数据均存储在云平台的数据库中。并可通过ac配置管理模块将相关的配置信息下发给ac，可对ac实现统一存储和管理。在现有ac架构下，各ap的个性化定制portal认证页面不方便进行统一管理。一般每个ac都需要有一个对应的portal认证服务器，不同ac及认证服务器之间不能实现资源共享。本实施例的云网管系统通过sntp协议给各个ac下发所需的配置参数信息，由ac将配置信息通过capwap协议通知到ap侧；可以对不同ac设置对应的虚拟化portal/radius认证服务器，兼容在不同运营商网络中部署的ac，实现统一管理；还可以直接根据ap商家用户的需要实现个性化portal认证页面的定制。实施例四本实施例涉及ac的功能模块，如图7所示，本实施例的ac包括以下 功能模块：云平台接口管理模块、数据库、ap管理模块、sta管理模块、wlan管理模块、portal认证管理模块和capwap协议模块。其中：云平台接口模块，用于到云网管系统进行注册，及对心跳链路状态进行维护，如可以周期性地上报心跳消息至云网管系统，以保证ac和云网管系统的通信通道正常，ac在与主用网管服务器通信失败时，也可选择注册至云平台上的其它备份ac网管。ap管理模块，用于在ap接入时下发ap的相关配置，及ap版本升级和状态维护等；可以将portal认证页面的url地址及与其绑定的ssid标识，及需要在url中插入的用户认证参数下发给相应的ap。sta管理模块，用于管理sta上下线认证及sta的漫游处理等；sta管理模块可对wlan用户的mac地址进行记录并对用户的行为进行分析。wlan用户首次访问接入时，如果用户认证通过，则将认证通过的用户名、mac和访问的原始url等信息上报记录在云端服务器中，当用户漫游或再次接入时即可实现用户的免认证或快速认证功能。capwap协议模块，用于ac和ap之间的控制协议报文的交互，实现ap配置参数下发。portal认证模块，用于实现portal认证和策略控制，该portal认证模块同时支持portal客户端及radius客户端功能，所述portal客户端及radius客户端的wlan用户数据区与sta上线时在所述sta管理模块中创建的数据区共用，所述sta管理模块创建的数据区记录有所述waln用户的信息，所述信息包括认证过程中所需要的wlan用户的身份验证参数。wlan管理模块，用于wlan接口ssid射频参数的设置；下面再用几个应用中的具体示例对本发明进行说明。示例一本示例基于瘦“ap”架构，由ap实现本地用户http请求的拦截和重定向功能。在wlan用户sta终端关联ssid成功之后，ap首先通过 capwap消息通知ac该sta上线，ac侧的sta管理创建对应的sta数据区，记录该sta的相关身份信息。当有wlan用户发起外网http请求时，由ap侧的网络防火墙模块拦截并确认是否需要重定向到portal服务器，portal服务器推送认证页面，用户在认证页面填写用户认证信息并向portal服务器提交。portal服务器接收到用户信息，向radius服务器发出用户信息查询请求，radius验证用户密码、查询用户信息，并向portal返回查询结果，如查询成功，portal服务器按照chap流程向ac请求challenge，ac返回challengeid和challenge，后续portal服务器将密码和challengeid及challenge做md5算法后的challenge-password和帐号一起提交到ac，发起认证。ac将challengeid、challenge、challenge-password和帐号一起送到radius认证服务器，由radius认证服务器进行认证。radius服务器根据用户信息判断用户是否合法。如果认证成功，radius向ac返回认证成功报文。如果认证失败，radius向ac返回认证失败报文，ac进一步返回认证结果给portal服务器。portal服务器根据认证结果，推送认证结果页面。如果成功，portal服务器推送定制的个性化页面，并放行该wlan用户sta终端的上网限制；如果失败，页面提示用户失败原因。在radius服务器确认该sta用户认证成功后，可由ac上的portal认证管理模块进一步通过capwap协议将sta用户访问控制相关的acl规则下发给相关的ap，ap侧的capwap模块收到该acl规则后，可通知网络防火墙模块配置针对该sta用户的iptable规则等，以放开该用户上网的限制。ac对接的portal服务器和radius服务器可以为用户提供个性化的portal认证页面，这些个性化定制页面的统一资源定位标识符url地址可以和ac下某个ap的ssid进行绑定。ac在从云网管系统获取到这些配置后，进一步通过capwap协议将ap和ssid绑定的url地址参数等配置下发给相关的ap。后续在sta关联ap时，ap侧的网络防火墙根据wlan用户终端关联的ssid信息，直接将用户重定向到个性化的定制需求访问页面的url。 云平台上的portal服务器认证页面的内容可以由管理员自定义，以便及时更新发布相关广告信息。本示例中，在ap集中转发或本地转发模式下，均由ap侧的网络防火墙拦截用户的http请求报文，以实现用户的url重定向功能，直接在ap侧根据wlan用户关联的ssid标识实现个性化的portal认证页面推送。在本地转发模式下，报文ap拦截后直接由ap本地重定向到portalserver服务器；在集中转发模式下，ap需在sta的数据报文经capwap隧道封装之前进行拦截并判断用户是否已经通过认证，即如果未经过认证，则将报文经capwap隧道封装送至ac转发，ac不必再拦截和处理该报文，从而减小了由ac处理http请求报文所带来对ac处理性能的影响。本示例中，在ap侧可以方便地获取到wlan用户的ip、mac等信息，便于携带portal服务器认证所需要的相关参数。示例二图4是本示例ap本地转发模式下，由ap拦截wlan用户http请求并实现portal认证流程图，包括如下步骤：1：sta用户探测关联ap的某个ssid成功。2：sta通过dhcp获取到ip地址，该dhcp请求报文可由ap本地转发或经ac集中转发至dhcp服务器。3：用户打开浏览器，访问某个网站，发起http请求。4：ap侧网络防火墙模块截获到用户的http请求，确认用户是否通过认证。如果已认证通过，则直接转发该http请求报文；如果用户没有认证过，则判断访问的是否是portal认证服务器的url地址，是则放行，否则丢弃原有http的请求，进一步获取到该用户关联的ssid信息，并根据ac下发的配置获取到该ssid绑定的url地址及需要携带的相关认证参数(如在url后需要插入ac/ap名称、ssid名称、用户ip地址等)，进一步构造http协议的重定向报文(可以是30x报文，如通过http协议状态码为302的重定向操作)给sta，sta用户直接根据新的url地址 访问下一跳，从而实现url重定向功能。在集中转发模式下，该步骤中ap需在sta的数据报文经capwap隧道封装之前进行拦截并判断用户是否已经通过认证。5：sta根据该ssid绑定的portalurl地址信息，向指定portal服务器url地址发起认证请求；6：portal服务器向wlan用户终端推送定制的个性化的web认证页面；7：用户在认证页面上填入帐号、密码等信息，提交到portal服务器。8：portal服务器接收到用户信息，向radius服务器发出用户信息查询请求。9：radius验证用户密码、查询用户信息，并向portal返回查询结果。10：如查询成功，portal服务器按照chap流程向ac请求challenge；如果查询失败，portal直接返回提示信息给用户，流程至此结束。11：ac返回challenge，包括challengeid和challenge。12：portal服务器将密码和challengeid及challenge做md5算法后的challenge-password和帐号一起提交到ac，发起认证。13：ac将challengeid、challenge、challenge-password和帐号一起送到radius认证服务器，由radius认证服务器进行认证。14：radius服务器根据用户信息判断用户是否合法。如果认证成功，radius向ac返回认证成功报文。如果认证失败，radius向ac返回认证失败报文。15：ac返回认证结果给portal服务器。其中，7至15步是portal服务器和ac及radius的交互完成认证的过程，该过程可以采用现有流程。16：在radius服务器确认该sta用户认证成功后，ac上的portal认证管理模块进一步通过capwap将sta用户访问控制相关的acl规则下发给相关的ap，ap侧capwap模块收到该acl规则后，可通知网络防火墙模块配置针对该sta用户的iptable规则等，以放开该用户上网的限制。17：portal服务器根据认证结果，推送认证结果页面。如果成功，推送定制的个性化页面；如果失败，页面提示用户失败原因。18：portal服务器回应ac收到认证结果报文。如果认证成功，ac后续会发起计费开启请求报文给radius服务器，计费流程在此不再详述；如果认证失败，则流程到此结束。wlan用户的下线流程一般包括用户主动下线和异常下线两类情况。主动下线指当wlan用户需要下线时，点击认证结束页面上的下线机制，主动向portal服务器发起下线请求；异常下线包括ac设备检测到用户异常下线、portal服务器侦测到用户下线、ac强制用户下线等。在ac获知wlan用户下线后，需要通知ap删除该wlan用户的相关acl规则。示例三图9是本示例云网管系统下发portal认证相关配置流程图，主要步骤如下：s501：ac云网管系统针对不同ac虚拟化对应的portal/radius认证服务器，并根据用户需求针对某ac下指定ap的各ssid定制对应的个性化认证页面内容，然后将该个性化定制页面的统一资源定位标识符url地址和该ap的ssid进行绑定。一般wlan用户关联的ssid对应于某个wlan服务集，ap上一般可支持多个ssid，基于ssid的业务接入控制、用户认证方式、本地转发或集中转发方式等是wlan应用中基本的业务需求。s502：当开通ap时，云网管系统将上述ap各ssid绑定的url地址信息及需要在url中插入的用户认证参数内容(如ac和ap名称、ssid名称、用户ip地址等)下发给ac。s503：ac接收到上述配置后，通过云平台接口管理模块将相关配置信息分发给具体业务模块，如将待开通ap各个ssid绑定的portal服务器url地址信息配置给portal认证管理模块。在ap发现接入时，ac通过capwap协议将ap基本配置和各ssid无线射频参数通用配置及各ssid绑定的url 地址信息等动态下发给相关的ap。对于ap本地转发模式下，ac同时需要给ap下发用户网关下一跳地址的路由信息。s504：ap接收到上述配置后，由capwap模块解码后调用相关配置接口将ap各ssid绑定的portal服务器url地址信息配置给ap的网络防火墙url重定向模块。s505：ap侧的网络防火墙url重定向模块拦截用户的http请求，根据用户关联的ssid信息获取到该ssid绑定的强制portalurl地址及需要携带的相关认证参数，进一步构造http协议的30x报文给sta，sta用户直接根据新的url地址访问下一跳，从而实现个性化的portal认证页面推送功能。上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如rom/ram、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。当前第1页12当前第1页12