CN101588580A - 一种用户接入控制方法、家庭基站网关及系统 - Google Patents

Abstract

本发明公开了一种用户接入控制方法包括：家庭基站网关接收通过家庭基站接入网络的用户终端的接入鉴权请求，该请求包含家庭基站接入点FAP标识；向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，指示家庭基站服务鉴权服务器根据FAP标识及其对应配置信息进行家庭基站服务鉴权；家庭基站网关接收家庭基站服务鉴权结果，以确定是否允许所述用户终端通过家庭基站接入网络。本发明还提供用户接入控制的家庭基站网关及系统。根据本发明，用户终端通过家庭基站接入网络时，需要通过网络业务提供商的服务鉴权之后，才能接入网络，使得家庭基站网络服务商Femto NSP可对家庭基站FAP的接入服务进行有效地控制。

Description

一种用户接入控制方法、家庭基站网关及系统

技术领域

本发明涉及无线通信技术领域，具体涉及一种用户接入控制方法、家庭基站网关及系统。

背景技术

为满足移动用户快速增长的数据业务需求，移动通信网络需要提供更高的分组数据传输能力。基于IEEE 802.16无线接入技术的移动微波接入全球互通(WiMAX，Worldwide Interoperability for Microwave Access)网络，能够为用户提供高速的数据传输能力，因此受到了广泛的关注。作为无线宽带接入技术的扩展，移动WiMAX网络增加了对终端移动性的支持，使得移动终端在不同无线接入点间切换和漫游时能够保持业务连续性，从而满足商用移动通信业务的需求。

提供服务的运营商可以分为网络接入提供商(NAP，Network AccessProvider)与网络服务提供商(NSP，Network Service Provider)，其中NAP拥有无线频谱资源，并通过架设基站设备等方式实现无线信号的覆盖，提供空口接入，为一个或多个NSP提供WiMAX无线接入。NSP则拥有用户的签约信息，并为通过鉴权的用户提供向因特网Internet的连接服务。用户通过NAP提供的无线接入连接到NSP，然后连接到Internet。NSP可以与一个或多个NAP建立商业关系，并通过NAP为签约用户提供无线接入Internet等服务。

在人口较稀少地区，运营商部署的基站数量少，覆盖面积大，难以穿透较厚的建筑墙壁，导致一些用户在居室内无法很好地接收到无线信号。为了解决类似的移动通信覆盖盲点问题，WiMAX系统引入了家庭基站Femtocell(或Femto)的概念。通过在用户室内部署微型的无线基站，家庭基站Femtocell(或Femto)，也称为家庭基站接入点(FAP，Femto AccessPoint)，可以有效地解决宏网络覆盖盲点的问题，并降低宏网络的空口负载。同时，由于Femtocell可以只为少数用户服务，使得这些通过家庭基站入网的用户可以获得更高的空口速率和服务质量。

在家庭基站Femtocell系统，由于家庭基站Femtocell是属于一个特定NSP(即家庭基站网络服务商Femto NSP)的用户设备，并不属于NAP，因此不能按照宏小区基站的方式配置提供服务的网络服务商NSP。

现有技术中的一种用户终端接入网络过程中，所有的鉴权都是在NSP执行，通常基于NSP中存储的用户签约信息进行鉴权。当一个用户终端通过家庭基站接入点FAP接入网络时，只要在NSP有合法签约，就能接入到该NSP获得业务服务，该过程对家庭基站网络服务商Femto NSP是透明的，不管用户终端是通过何种途径接入，从而导致家庭基站网络服务商FemtoNSP无法对FAP的接入服务进行控制。

发明内容

本发明实施例提供了一种用户接入控制方法、家庭基站网关及系统，可对通过家庭基站接入网络的用户终端进行控制。

本发明实施例提供的一种用户接入控制方法，包括：

家庭基站网关接收对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的接入鉴权请求，所述接入鉴权请求包含FAP标识；

家庭基站网关向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

家庭基站网关接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述FAP接入网络。

本发明实施例提供的另一种用户接入控制方法，包括：

用户终端认证授权计费服务器接收家庭基站网关发送的对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的认证鉴权请求，所述认证鉴权请求包含FAP标识；

用户终端认证授权计费服务器向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应配置信息进行家庭基站服务鉴权；

用户终端认证授权计费服务器接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述家庭基站网关，以便所述家庭基站网关根据所述家庭基站服务鉴权结果决定是否允许所述用户终端通过所述FAP接入网络。

本发明实施例提供的一种家庭基站网关，包括：

第一接收单元，用于接收对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的接入鉴权请求，所述接入鉴权请求包含FAP标识；

第一发送单元，用于向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

第二接收单元，用于家庭基站网关接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述FAP接入网络。

本发明实施例提供的一种实现用户接入控制的系统，包括：家庭基站网关和家庭基站服务鉴权服务器，其中，

所述家庭基站网关，用于接收家庭基站接入点FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识；

所述家庭基站服务鉴权服务器，用于根据所述FAP标识及其对应的配置信息对通过所述FAP接入网络的用户终端进行家庭基站服务鉴权，向所述家庭基站网关返回家庭基站服务鉴权结果；

所述家庭基站网关，用于接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述家庭基站接入网络。

本发明实施例提供的另一种实现用户接入控制的系统，包括：家庭基站网关、用户终端授权认证计费服务器和家庭基站服务鉴权服务器，其中，

所述家庭基站网关，用于接收家庭基站接入点FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向所述用户终端认证授权计费服务器发送认证鉴权请求，所述认证鉴权请求包含所述FAP标识；

所述用户终端认证计费授权服务器，用于接收所述家庭基站网关发送的认证鉴权请求，向所述家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述服务鉴权请求包含所述FAP标识；

所述家庭基站服务鉴权服务器，用于接收所述家庭基站服务鉴权请求，根据所述FAP标识及其对应的配置信息对通过所述FAP接入网络的用户终端进行家庭基站服务鉴权，向所述户终端认证授权计费服务器返回家庭基站服务鉴权结果；

所述用户终端认证授权计费服务器，还用于接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述家庭基站网关，所述家庭基站网关根据所述家庭基站服务鉴权结果决定是否允许所述用户终端通过所述家庭基站接入网络。

本发明实施例提供的技术方案中，家庭基站服务鉴权服务器根据FAP标识及其对应的配置信息进行家庭基站服务鉴权，可实现对通过家庭基站接入网络的用户终端进行接入控制。现有技术中用户终端不管是通过宏小区基站还是通过家庭基站接入网络时，只要在NSP有合法签约，就能接入到该NSP获得服务，无法对通过家庭基站接入网络的用户终端进行接入控制。根据本发明提供的实现用户接入控制方法，用户终端通过家庭基站接入点FAP接入网络时，需要通过家庭基站网络服务商Femto NSP的家庭基站服务鉴权之后，才能接入网络，使得家庭基站网络服务商Femto NSP可对家庭基站的接入服务进行有效地控制。

附图说明

图1为现有技术中的WiMAX家庭基站小区Femtocell系统架构示意图；

图2为本发明实施例一中对用户终端通过家庭基站接入点FAP接入进行控制的方法流程图；

图3为本发明实施例二中对用户终端通过家庭基站接入点FAP接入进行控制的方法流程图；

图4为本发明实施例三中对用户终端通过家庭基站接入点FAP接入进行控制的方法流程图；

图5为本发明实施例四中提供的对用户终端通过FAP接入进行控制的方法流程图；

图6为本发明实施例五中提供的对用户终端通过FAP接入进行控制的方法流程图；

图7为本发明实施例六中提供的对用户终端通过FAP接入进行控制的方法流程图；

图8为本发明实施例提供的实现用户接入控制的系统构成示意图；

图9为本发明实施例提供的一种家庭基站网关架构示意图；

图10为本发明实施例提供的另一种实现用户接入控制的系统构成示意图。

具体实施方式

WiMAX家庭基站小区Femtocell系统如图1所示，家庭基站Femtocell(也称为家庭基站接入点FAP)为网络服务商NSP的签约设备，通过用户家中的固定网络(如数字用户线路DSL，Digital Subscriber Line)接入Internet，在通过NSP的鉴权后，根据NAP授权的无线资源(如频段等)打开空口，为用户终端提供无线接入服务。用户终端(MS，MobileSubscriber)可以属于不同的NSP，通过FAP接入WiMAX网络，并能够在FAP与宏网络基站间进行无缝切换。在家庭基站Femtocell系统，由于家庭基站是属于家庭基站网络服务商Femto NSP的用户端设备，并不属于NAP，因此不能按照宏网络基站的方式配置NSP。现有技术中的对通过家庭基站接入的用户终端都是在NSP执行鉴权，用户通过FAP接入到网络的过程对NSP是透明的，NSP无法对FAP的接入服务进行控制。

鉴于现有技术中存在的问题，本发明实施例提供一种用户接入控制方法、家庭基站网关及系统，网络服务商NSP的家庭基站服务鉴权Femto AAA服务器对通过家庭基站接入网络的用户终端进行家庭基站服务鉴权，使得用户终端需要通过家庭基站网络服务商Femto NSP的鉴权后才能通过家庭基站接入网络，从而实现NSP对用户终端通过家庭基站接入网络进行接入控制。

下面结合具体实施例对本发明进行详细描述。

实施例一

本实施例中，当用户终端通过家庭基站接入网络时，家庭基站网络服务商Femto NSP的家庭基站服务鉴权Femto AAA服务器需要对用户终端进行鉴权。参照图2，本发明实施例提供的一种用户接入控制方法，包括：

S01，家庭基站接入点FAP发送对通过该FAP接入网络的用户终端进行鉴权的接入鉴权请求给家庭基站网关Femto GW，所述接入鉴权请求包含该家庭基站接入点FAP标识；

所述FAP标识用于唯一标示该FAP的身份，它可以是该FAP的网络接入标识符(NAI，Network Access Identity)，或介质访问控制(MAC，MediaAccess Control)地址、小区标识、IP地址等，本发明实施例不做限定。

S02，家庭基站网关向家庭基站服务鉴权Femto AAA服务器发送家庭基站服务鉴权请求，该服务鉴权请求包含所述FAP标识；

S03，家庭基站服务鉴权Femto AAA服务器响应所述家庭基站服务鉴权请求，根据所述FAP标识及其对应的配置信息(包括用户签约信息)进行家庭基站服务鉴权；

S04，在完成所述家庭基站服务鉴权后，所述Femto AAA服务器返回家庭基站服务鉴权结果给家庭基站网关；

所述鉴权结果供家庭基站网关Femto GW确定是否允许所述用户终端通过所述FAP接入网络。

进一步地，家庭基站网关Femto GW接收到所述家庭基站服务鉴权结果后，还包括：

若Femto AAA服务器对所述用户终端的家庭基站服务鉴权通过，家庭基站网关Femto GW发送对所述用户终端进行身份及权限认证的请求给用户终端认证授权计费MS AAA服务器，通知所述用户终端认证授权计费服务器对所述用户终端进行身份及权限认证。

用户终端通过FAP接入网络时，需要通过家庭基站网络服务商FemtoNSP的家庭基站服务鉴权之后，才能接入到请求的业务服务系统，使得家庭基站网络服务商Femto NSP可对FAP接入服务进行有效地控制。

实施例二

参照图3，本实施例提供的一种用户接入控制方法，包括：

S11，家庭基站网关Femto GW发送对通过FAP接入网络的用户终端进行鉴权的接入鉴权请求给用户终端认证授权计费MS AAA服务器，所述认证鉴权请求包含FAP标识；

S12，MS AAA服务器向家庭基站服务鉴权Femto AAA服务器发送家庭基站服务鉴权请求，该服务鉴权请求包含所述FAP标识；

S13，家庭基站服务鉴权服务器收到所述家庭基站服务鉴权请求后，根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

S14，MS AAA服务器接收所述Femto AAA服务器返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述Femto GW，所述家庭基站服务鉴权结果用于供Femto GW决定是否允许所述用户终端通过所述FAP接入网络。

需要说明的是，在一种情况下，在MS AAA服务器接收Femto GW发送的认证鉴权请求之后，MS AAA服务器向Femto AAA服务器发送家庭基站服务鉴权请求之前，还包括步骤：

MS AAA服务器对所述用户终端进行身份及权限认证。

若对所述用户终端的身份及权限认证通过，则MS AAA服务器发送家庭基站服务鉴权请求消息给Femto AAA服务器。

在另一种情况下，在所述Femto AAA服务器对所述用户终端的家庭基站服务鉴权通过后，MS AAA服务器还需要对所述用户终端进行身份及权限认证；

若MS AAA服务器对所述用户终端的身份及权限认证通过，则Femto GW允许所述用户终端通过所述FAP接入网络；否则禁止所述用户终端通过所述FAP接入网络。

用户终端通过FAP接入网络时，由MS AAA服务器发起对用户终端的Femto服务鉴权，所述家庭基站服务鉴权结果用于决定是否允许所述用户终端通过所述FAP接入网络。只有通过Femto服务鉴权才有可能接入到请求的业务服务系统。进一步地，MS AAA服务器还需对所述用户终端的身份及权限进行认证，使得家庭基站网络服务商Femto NSP可对FAP的接入服务进行有效地控制。

实施例三

本实施例中，Femto GW将Femto服务鉴权请求发送到Femto鉴权服务器Femto AAA服务器，Femto AAA服务器根据Femto系统的相关配置信息对用户进行Femto服务鉴权，并将鉴权结果返回给Femto GW。

参照图4，本实施例中提供的一种对用户终端通过家庭基站接入点FAP接入进行控制的方法，包括如下步骤：

S101、用户终端发送接入请求消息或认证鉴权请求消息(如PKMv2_Req消息)至FAP，消息中携带网络接入标识符(NAI，Network AccessIdentity)；

S102、FAP向Femto GW发送接入鉴权请求消息，消息中携带有该FAP标识和网络接入标识符NAI；

具体地，可通过DSL等固网连接发送认证鉴权请求消息。

S103、Femto GW收到FAP发送的认证鉴权请求后，向Femto AAA服务器发送Femto服务鉴权请求，该请求消息中包括FAP标识和NAI；

S104、Femto AAA服务器根据该FAP及其对应配置信息(包括用户签约信息)对该FAP及用户终端进行Femto服务鉴权，并通过应答消息将鉴权结果返回给Femto GW；

所述配置信息为根据FAP模式及用户签约信息等设置的信息，通常保存在Femto AAA服务器，如，FAP的工作模式，用户可使用的业务类型、用户终端所在的封闭签约组(CSG，Closed Subscribing Group)是否有接入权限接入、用户终端所在的CSG组能否使用请求的业务等等。

对用户终端进行Femto服务鉴权时可根据下述配置信息(含签约信息)决定该用户终端能否通过该FAP接入到请求的Femto NSP：

该FAP的工作模式(开放Open模式、混合模式、封闭Closed模式)，例如，对于开放模式的FAP允许所有用户终端接入所请求的Femto NSP，封闭模式的FAP允许限定的用户终端接入所请求的Femto NSP，而混合模式的FAP允许限定的用户终端优先接入所请求的Femto NSP。

接入该FAP所在位置、用户的接入时间、该FAP的负载情况等；

例如，当FAP的负载较大时，禁止用户终端通过该FAP接入所请求的Femto NSP。

用户请求使用的业务类型、用户终端所在的封闭签约组CSG是否有接入权限接入、用户终端所在的CSG组能否使用请求的业务。

例如，FAP对于有些业务类型进行限制接入；FAP根据封闭签约组CSG的接入权限决定是否允许该封闭签约组CSG的用户接入。

S105a、如果Femto服务鉴权成功，则Femto GW根据MS的NAI将认证请求(如，PPP扩展认证协议(EAP，PPP Extensible AuthenticationProtocol)认证请求)消息路由到MS AAA服务器，本实施例采用EAP协议，也可采用其他认证协议；如果Femto服务鉴权失败，则转到步骤S108；

S105b、MS与MS AAA服务器之间执行交互操作EAP Exchange，MS AAA服务器对用户终端进行身份及权限认证；并且Femto GW获取MS AAA服务器对用户终端的认证结果。

S106、(可选地)

如果对用户的Femto服务鉴权成功，而MS AAA服务器对该用户的EAP认证失败，将认证失败结果通知Femto AAA服务器。具体地，Femto GW发送认证失败通知给Femto AAA服务器。

S107、(可选地)Femto AAA服务器将清除该次接入相关的上下文，并返回应答给Femto GW。

S108、Femto GW将鉴权结果返回给FAP，具体地，Femto GW发送接入鉴权响应消息给FAP，该消息携带有鉴权结果；

S109、FAP将鉴权结果通知MS；

具体地，发送接入响应消息给MS，该消息携带有鉴权结果；

如果Femto服务鉴权失败，将鉴权失败结果通知MS，还可进一步地将Femto服务鉴权失败原因信息发送给MS。

上述实施例中，先对用户终端进行Femto服务鉴权，在Femto服务鉴权通过之后再对用户终端进行身份及权限认证，这样当用户终端使用Femto系统接入网络时，需要通过Femto系统的授权才可以正常接入到网络，从而使得家庭基站网络服务商Femto NSP可对终端用户通过FAP接入时进行控制。

实施例四

本实施例中，与实施例一相同也是由Femto GW向Femto AAA服务器发送Femto服务鉴权请求，与实施例一不同的是，先由MS AAA服务器对用户终端进行认证，再由Femto AAA服务器进行用户的Femto服务鉴权。

参照图5，本实施例中提供的一种对用户终端通过家庭基站接入点FAP接入进行控制的方法，包括如下步骤：

S201、终端用户发送接入请求消息或认证鉴权请求消息(如PKMv2_Req消息)至FAP，消息中携带网络接入标识符NAI；

S202、FAP向Femto GW发送接入鉴权请求消息，消息中携带有该FAP标识和NAI；

具体地，可通过DSL等固网连接发送认证鉴权请求消息。

S203、a)如果Femto服务鉴权成功，则Femto GW根据MS的NAI将认证请求(EAP认证请求)消息路由到MS AAA服务器；如果Femto服务鉴权失败，则可转到步骤S208；

b)MS与MS AAA之间执行交互操作EAP Exchange，MS AAA服务器对用户终端进行身份及权限认证；并且Femto GW获取MS AAA服务器对用户终端的认证结果。

S204、若认证结果为MS AAA服务器对用户终端的认证通过，Femto GW发送Femto服务鉴权请求给Femto AAA服务器。发送的Femto服务鉴权请求中包括下述信息中的一种或多种：用户标识、FAP标识、业务信息；其中用户标识可以是用户的真实ID，也可能是用于指示该用户是合法用户的一个指示，甚至是能够被Femto AAA识别的一个用户证书。

S205、Femto AAA服务器根据该FAP标识及其对应配置信息(包括用户签约信息)，对该用户进行Femto服务鉴权，并将鉴权结果返回给FemtoGW；

该FAP的工作模式(开放Open模式、混合模式、封闭Closed模式)，例如，对于开放模式的FAP允许所有用户终端接入所请求的Femto NSP，封闭模式的FAP允许限定的用户终端接入所请求的Femto NSP，而混合模式的FAP允许限定的用户终端优先接入所请求的Femto NSP。

接入该FAP所在位置、用户的接入时间、该FAP的负载情况等；

例如，当FAP的负载较大时，禁止用户终端通过该FAP接入所请求的Femto NSP。

用户请求使用的业务类型、用户终端所在的封闭签约组CSG是否有接入权限接入、用户终端所在的CSG组能否使用请求的业务。

例如，FAP对于有些业务类型进行限制接入；FAP根据封闭签约组CSG的接入权限决定是否允许该封闭签约组CSG的用户接入。

S206、Femto GW获得用户Femto服务接入鉴权结果后，如果结果指示失败，则Femto GW发送接入取消通知消息给MS AAA服务器；

S207、MS AAA服务器收到接入取消通知消息后，释放该用户本次接入相关的上下文，并发送通知应答消息或重新发送鉴权结果给Femto GW。

S208、Femto GW将鉴权结果发送给FAP；

具体地，发送接入鉴权响应消息给FAP，该消息携带有鉴权结果；

S209、FAP将鉴权结果发送给MS；

具体地，发送接入响应消息给MS，该消息携带有鉴权结果；

如果Femto服务鉴权失败，还可将Femto服务鉴权失败原因通知MS。

上述实施例中，先由MS AAA对用户终端进行身份及权限认证在用户终端身份及权限认证通过之后，再由Femto GW启动对用户终端进行Femto服务鉴权，这样当用户终端使用Femto系统接入网络时，首先对用户身份及权限进行认证再进行Femto服务鉴权，从而使得家庭基站网络服务商Femto NSP可对终端用户通过FAP接入进行有效控制。

实施例五

本实施例中，用户终端认证授权计费服务器MS AAA在收到家庭基站网关Femto GW的鉴权请求后，发送Femto服务鉴权请求到Femto AAA服务器，由Femto AAA服务器根据FAP标识对应的配置信息(包括用户签约信息)执行Femto服务鉴权，鉴权结果返回到MS AAA服务器。

参照图6，本实施例中提供的一种对用户终端通过FAP接入进行控制的方法，包括如下步骤：

S301、用户终端发送接入请求消息或认证鉴权请求消息(如PKMv2_Req消息)至FAP，消息中携带网络接入标识符(NAI，Network AccessIdentity)；

S302、FAP向Femto GW发送接入鉴权请求消息，消息中携带有该FAP标识和NAI；

具体地，FAP可通过DSL等固网连接发送认证鉴权请求消息给FemtoGW。

S303、Femto GW收到FAP的鉴权请求后，向MS AAA服务器发送认证请求消息，该认证请求消息中携带有FAP标识信息。

S304、MS AAA服务器收到Femto GW的认证请求后，发送Femto服务鉴权请求给Femto AAA，请求Femto AAA服务器进行Femto服务鉴权。Femto服务鉴权请求消息中包括FAP标识信息；可选地，还可携带用户请求的业务信息。

S305、Femto AAA服务器根据该FAP标识及其对应配置信息(含用户签约信息)，对该FAP进行Femto服务鉴权，并将鉴权结果返回到MS AAA服务器。Femto AAA服务器对用户进行Femto服务鉴权时可根据下述信息决定该用户终端能否通过该FAP接入到请求的Femto NSP：

该FAP的工作模式(开放Open模式、混合模式、封闭Closed模式)，例如，对于开放模式的FAP允许所有用户终端接入所请求的Femto NSP，封闭模式的FAP允许限定的用户终端接入所请求的Femto NSP，而混合模式的FAP允许限定的用户终端优先接入所请求的Femo NSP。

接入该FAP所在位置、用户的接入时间、该FAP的负载情况等；

例如，当FAP的负载较大时，禁止用户终端通过该FAP接入所请求的Femto NSP。

用户请求使用的业务类型、用户终端所在的封闭签约组CSG是否有接入权限接入、用户终端所在的CSG组能否使用请求的业务。

例如，FAP对于有些业务类型进行限制接入；FAP根据封闭签约组CSG的接入权限决定是否允许该封闭签约组CSG的用户终端接入。

S306、如果Femto服务鉴权成功，则MS与MS AAA服务器之间执行交互操作EAP Exchange，对用户终端进行认证鉴权；

若Femto AAA服务器对所述用户终端的Femto服务鉴权失败，则认证授权计费服务器释放该用户终端本次接入相关的上下文。

S307、MS AAA服务器将鉴权结果返回到Femto GW；

具体地，MS AAA服务器发送认证鉴权响应消息给Femto GW，该消息携带有鉴权结果。

S308、Femto GW将鉴权结果返回给FAP；

Femto GW发送接入鉴权响应消息给FAP，该消息携带有鉴权结果。

S309、FAP将鉴权结果返回给MS。

FAP发送接入响应消息给FAP，该消息携带有鉴权结果。

如果Femto服务鉴权失败，可选地将Femto服务鉴权失败原因指示给MS。

上述实施例中，由MS AAA服务器启动对用户终端进行Femto服务鉴权，在Femto服务鉴权通过之后再对用户终端进行身份及权限认证，这样当用户终端使用Femto系统接入网络时，需要通过Femto系统的授权才可以正常接入到网络，从而使得家庭基站网络服务商Femto NSP可对用户终端通过FAP接入时进行控制。

实施例六

本实施例中，与实施例三不同的是，MS AAA在执行完对用户终端的EAP认证鉴权后，再发送Femto服务鉴权请求到Femto AAA服务器，由FemtoAAA服务器根据FAP标识及其对应配置信息对通过FAP接入的用户终端进行鉴权，将鉴权结果返回到MS AAA服务器。

参照图7，本实施例中提供的一种对用户终端通过FAP接入进行控制的方法，包括如下步骤：

S401、用户终端MS发送接入请求消息或接入鉴权请求消息(如PKMv2_Req消息)至FAP，消息中携带网络接入标识符NAI；

S402、FAP向Femto GW发送接入鉴权请求消息，该消息中携带有该FAP标识；

具体地，可通过DSL等固网连接发送认证鉴权请求消息。

S403、Femto GW收到FAP的鉴权请求后，向MS AAA服务器发送认证请求消息，该认证请求消息中携带有FAP标识和NAI。

S404、MS AAA服务器与用户终端MS之间执行EAP Exchange，MS AAA服务器对用户终端MS进行身份及权限认证；

S405、根据步骤S404的认证结果决定是否启动后续的Femto服务鉴权操作；如果MS AAA服务器对用户终端MS的认证通过，则MS AAA服务器发送Femto服务鉴权请求给Femto AAA服务器；鉴权请求消息中包括下述信息中的一种或多种：用户标识、该FAP标识、请求的业务信息；其中用户标识可以是用户的真实ID，也可能是用于指示该用户是合法用户的指示，或者可以是能够被Femto AAA服务器识别的一个用户证书。如果MS AAA服务器对用户终端MS认证未通过，则直接转到步骤S407。

S406、Femto AAA服务器根据该FAP的配置信息，对该用户终端进行Femto服务鉴权，并将鉴权结果返回到MS AAA服务器。Femto AAA服务器对用户终端进行Femto服务鉴权时，可根据下述信息决定该用户终端能否通过该FAP接入到请求的Femto NSP：

该FAP的工作模式(开放Open模式、混合模式、封闭Closed模式)，例如，对于开放模式的FAP允许所有用户终端接入所请求的Femto NSP，封闭模式的FAP允许限定的用户终端接入所请求的Femto NSP，而混合模式的FAP允许限定的用户终端优先接入所请求的Femto NSP。

接入该FAP所在位置、用户的接入时间、该FAP的负载情况等；

例如，当FAP的负载较大时，禁止用户终端通过该FAP接入所请求的Femto NSP。

用户请求使用的业务类型、用户终端所在的封闭签约组CSG是否有接入权限接入、用户终端所在的CSG组能否使用请求的业务。

例如，FAP对于有些业务类型进行限制接入；FAP根据封闭签约组CSG的接入权限决定是否允许该封闭签约组CSG的用户终端接入。

S407、MS AAA服务器将鉴权结果返回给Femto GW；

具体地，MS AAA服务器发送认证鉴权响应消息给Femto GW，该消息携带有鉴权结果。

S408、Femto GW将鉴权结果返回给FAP；

Femto GW发送接入鉴权响应消息给FAP，该消息携带有鉴权结果。

S409、FAP将鉴权结果返回给MS。

FAP发送接入响应消息给FAP，该消息携带有鉴权结果。

如果对用户终端的Femto服务鉴权失败，可选地，还可将Femto服务鉴权失败原因发送给用户终端MS。

该实施例中，先由MS AAA服务器对用户终端进行身份及权限认证，再由MS AAA服务器根据认证结果决定是否启动后续Femto服务鉴权；若用户终端身份及权限认证通过，则对用户终端进行Femto服务鉴权，这样当用户终端通过家庭基站接入时，首先对用户身份及权限进行认证再进行Femto服务鉴权，从而使得家庭基站网络服务商Femto NSP可对终端用户通过FAP接入进行有效控制。

参照图8，本发明实施例提供的一种实现用户接入控制的系统500，包括：Femto GW51和Femto AAA服务器52，其中，

Femto GW51，用于接收FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向Femto AAA服务器发送Femto服务鉴权请求，该鉴权请求包含所述FAP标识；

Femto AAA服务器52，用于根据所述FAP标识及其对应配置信息对通过所述FAP接入网络的用户终端进行Femto服务鉴权，向Femto GW51返回femto服务鉴权结果。

Femto GW51接收所述Femto AAA服务器52返回的femto服务鉴权结果。

参照图9，本发明实施例提供的一种Femto GW51，包括：

第一接收单元51a，用于接收对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的接入鉴权请求，所述接入鉴权请求包含FAP标识；

第一发送单元51b，用于向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

第二接收单元51c，用于家庭基站网关接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述FAP接入网络。

第二发送单元51d，用于发送对所述用户终端进行身份及权限认证的请求给用户终端认证授权计费服务器，以对所述用户终端进行身份及权限认证。

参照图10，本发明实施例提供的另一种实现用户接入控制的系统600，包括：Femto GW、MS AAA服务器和Femto AAA服务器，其中，

Femto GW61，用于接收FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向MS AAA服务器62发送认证请求，所述认证请求包含所述FAP标识；

MS AAA服务器62，用于接收所述Femto GW发送的认证请求，向FemtoAAA服务器63发送Femto服务鉴权请求，所述服务鉴权请求包含所述FAP标识；

Femto AAA服务器63，用于接收所述Femto服务鉴权请求，根据所述FAP标识及其对应配置信息(包括用户签约信息)对通过FAP接入网络的用户终端进行Femto服务鉴权，向所述MS AAA服务器62返回femto服务鉴权结果；

MS AAA服务器62，还用于接收所述Femto AAA服务器63返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述Femto GW61，所述家庭基站服务鉴权结果用于决定是否允许所述用户终端通过所述FAP接入网络。

本发明实施例提供的技术方案中，家庭基站服务鉴权服务器根据FAP标识及其对应配置信息进行家庭基站服务鉴权，从而实现对通过FAP接入网络的用户终端进行控制。根据本发明提供的实现用户接入控制方法，用户终端通过FAP接入网络时，需要通过家庭基站网络服务商Femto NSP的家庭基站服务鉴权之后，才能接入到请求的业务服务系统，使得家庭基站网络服务商Femto NSP可对FAP的接入服务进行有效地控制。

显然，本领域的技术人员应该明白，上述的本发明的各单元或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块，或者将它们中的多个单元或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的示范性实施方案而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内所作的任何修改、等同替换、改进等，均包含在本发明的保护范围内。

Claims (18)

1、一种用户接入控制方法，其特征在于，包括：

家庭基站网关接收对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的接入鉴权请求，所述接入鉴权请求包含FAP标识；

家庭基站网关向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

家庭基站网关接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述FAP接入网络。

2、如权利要求1所述的用户接入控制方法，其特征在于，所述家庭基站网关向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求之前，还包括：

家庭基站网关发送对所述用户终端进行身份及权限认证的请求给用户终端认证授权计费服务器，以对所述用户终端进行身份及权限认证；

若对所述用户终端的身份及权限认证通过，则家庭基站网关发送家庭基站服务鉴权请求消息给家庭基站服务鉴权服务器。

3、如权利要求2所述的用户接入控制的方法，其特征在于，

若家庭基站服务鉴权失败，所述方法还包括：

所述家庭基站网关通知所述用户终端认证授权计费服务器释放所述用户终端本次接入的上下文。

4、如权利要求1所述的用户接入控制方法，其特征在于，

家庭基站网关接收到所述家庭基站服务鉴权结果后，还包括：

若家庭基站服务鉴权服务器对所述用户终端的家庭基站服务鉴权通过，家庭基站网关发送对所述用户终端进行身份及权限认证的请求给用户终端认证授权计费服务器，通知所述用户终端认证授权计费服务器对所述用户终端进行身份及权限认证。

5、如权利要求4所述的用户接入控制方法，其特征在于，还包括：

若所述用户终端认证授权计费服务器对所述用户终端进行身份及权限认证失败，所述家庭基站网关通知所述家庭基站服务鉴权服务器释放所述用户终端本次接入的上下文。

6、如权利要求1所述的用户接入控制方法，其特征在于，还包括：

如果家庭基站服务鉴权失败，家庭基站网关通过所述FAP向用户终端返回响应消息，所述响应消息携带家庭基站服务鉴权失败原因。

7、如权利要求1所述的用户接入控制方法，其特征在于，所述家庭基站服务鉴权服务器对所述用户终端进行家庭基站服务鉴权，具体包括以下至少一种：

根据所述FAP允许接入的家庭基站网络服务商Femto NSP判断所述用户能否通过所述FAP接入到请求的网络服务提供端；

根据所述FAP的工作模式判断所述用户终端能否通过所述FAP接入到请求的网络服务提供端；

根据所述FAP的位置、负载情况或用户终端的接入时间决定是否允许用户终端通过所述FAP接入到请求的网络服务提供端；

根据所述用户终端能否通过所述FAP使用请求的业务、用户终端所在的封闭签约组CSG组是否可接入到请求的网络服务提供端或用户终端所在的CSG组能否使用请求的业务判断所述用户终端能否通过所述FAP接入到请求的网络服务提供端。

8、一种用户接入控制方法，其特征在于，包括：

用户终端认证授权计费服务器接收家庭基站网关发送的对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的认证鉴权请求，所述认证鉴权请求包含FAP标识；

用户终端认证授权计费服务器向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应配置信息进行家庭基站服务鉴权；

用户终端认证授权计费服务器接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述家庭基站网关，以便所述家庭基站网关根据所述家庭基站服务鉴权结果决定是否允许所述用户终端通过所述FAP接入网络。

9、如权利要求8所述的用户接入控制方法，其特征在于，用户终端认证授权计费服务器接收家庭基站网关发送的认证鉴权请求之后，向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求之前，还包括：

用户终端认证授权计费服务器对所述用户终端进行身份及权限认证；

若对所述用户终端的身份及权限认证通过，则用户终端认证授权计费服务器发送家庭基站服务鉴权请求消息给家庭基站服务鉴权服务器。

10、如权利要求8所述的用户接入控制方法，其特征在于，还包括：

在所述家庭基站服务鉴权服务器对所述用户终端的家庭基站服务鉴权通过后，用户终端认证授权计费服务器对所述用户终端进行身份及权限认证；

若对所述用户终端的身份及权限认证通过，则家庭基站网关允许所述用户终端通过所述FAP接入网络；否则禁止所述用户终端通过所述FAP接入网络。

11、如权利要求8所述的用户接入控制方法，其特征在于，所述家庭基站服务鉴权服务器对所述用户终端进行家庭基站服务鉴权，具体包括以下至少一种：

根据所述FAP允许接入的家庭基站网络服务商Femto NSP判断所述用户能否通过所述FAP接入到请求的网络服务提供端；

根据所述FAP的工作模式判断所述用户终端能否通过所述家庭基站接入到请求的网络服务提供端；

根据所述FAP的位置、负载情况或用户终端的接入时间决定是否允许用户终端通过所述FAP接入到请求的网络服务提供端；

根据所述用户终端能否通过所述FAP使用请求的业务、用户终端所在的封闭签约组CSG组是否可接入到请求的网络服务提供端或用户终端所在的CSG组能否使用请求的业务判断所述用户终端能否通过所述家庭基站接入到请求的网络服务提供端。

12、如权利要求8所述的用户接入控制方法，其特征在于，还包括：

如果家庭基站服务鉴权失败，家庭基站网关通过所述FAP向用户终端返回响应消息，所述响应消息携带家庭基站服务鉴权失败原因。

13、如权利要求9所述的用户接入控制方法，其特征在于，还包括：

若对所述用户终端的家庭基站服务鉴权失败，则用户终端认证授权计费服务器释放该用户终端本次接入相关的上下文。

14、如权利要求10所述的用户接入控制方法，其特征在于，还包括：

若对所述用户终端的身份及权限认证失败，则所述用户终端认证授权计费服务器通知所述家庭基站服务鉴权服务器释放该用户终端本次接入相关的上下文。

15、一种家庭基站网关，其特征在于，包括：

第一接收单元，用于接收对通过家庭基站接入点FAP接入网络的用户终端进行鉴权的接入鉴权请求，所述接入鉴权请求包含FAP标识；

第一发送单元，用于向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识，以便所述家庭基站服务鉴权服务器根据所述FAP标识及其对应的配置信息进行家庭基站服务鉴权；

第二接收单元，用于家庭基站网关接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述FAP接入网络。

16、如权利要求15所述的家庭基站网关，其特征在于，还包括：

第二发送单元，用于发送对所述用户终端进行身份及权限认证的请求给用户终端认证授权计费服务器，以对所述用户终端进行身份及权限认证。

17、一种实现用户接入控制的系统，其特征在于，包括：家庭基站网关和家庭基站服务鉴权服务器，其中，

所述家庭基站网关，用于接收家庭基站接入点FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述家庭基站服务鉴权请求包含所述FAP标识；

所述家庭基站服务鉴权服务器，用于根据所述FAP标识及其对应的配置信息对通过所述FAP接入网络的用户终端进行家庭基站服务鉴权，向所述家庭基站网关返回家庭基站服务鉴权结果；

所述家庭基站网关，用于接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，以确定是否允许所述用户终端通过所述家庭基站接入网络。

18、一种实现用户接入控制的系统，其特征在于，包括：家庭基站网关、用户终端授权认证计费服务器和家庭基站服务鉴权服务器，其中，

所述家庭基站网关，用于接收家庭基站接入点FAP发送的接入鉴权请求，所述接入鉴权请求包含FAP标识，向所述用户终端认证授权计费服务器发送认证鉴权请求，所述认证鉴权请求包含所述FAP标识；

所述用户终端认证计费授权服务器，用于接收所述家庭基站网关发送的认证鉴权请求，向所述家庭基站服务鉴权服务器发送家庭基站服务鉴权请求，所述服务鉴权请求包含所述FAP标识；

所述家庭基站服务鉴权服务器，用于接收所述家庭基站服务鉴权请求，根据所述FAP标识及其对应的配置信息对通过所述FAP接入网络的用户终端进行家庭基站服务鉴权，向所述户终端认证授权计费服务器返回家庭基站服务鉴权结果；

所述用户终端认证授权计费服务器，还用于接收所述家庭基站服务鉴权服务器返回的家庭基站服务鉴权结果，将家庭基站服务鉴权结果通知所述家庭基站网关，所述家庭基站网关根据所述家庭基站服务鉴权结果决定是否允许所述用户终端通过所述家庭基站接入网络。

Images