CN100425037C - 一种用于银行的无线网络数据通信接口及方法 - Google Patents

Abstract

本发明为一种用于银行的无线网络数据通信接口及方法。其包括：无线运营端交换机，接收银行各移动业务通信终端通过无线网络发送的银行业务数据，根据数据包中的应用字段和目的地址进行分发；无线运营端外联防火墙，根据数据包的源和目的地址，传输合法的数据包；无线运营端路由器和银行端路由器，用于建立银行端与无线运营端之间的专线联接；银行端外联防火墙，对收发数据包进行过滤和监控；银行端交换机，根据银行业务数据的分类经相应的银行业务局域网与相应的银行业务服务器进行通信。用以解决运行银行业务的移动通信终端与银行内部网络的无线接入问题。使银行移动业务在高效的交易、安全的数据传输、及便捷的运维性的环境中运行。

Description

一种用于银行的无线网络数据通信接口及方法

技术领域

本发明涉及无线通信和网络通信领域，特别涉及银行内部网络通过无线通信网络与运行银行业务的移动通信终端的联接，具体的讲是一种用于银行的无线网络数据通信接口及方法。

背景技术

目前，银行的结构一般以总行、分行、支行、网点的形式，呈树状结构分布。相应的，银行的数据传输方式也以各网点、支行、分行的业务终端通过通信运营方提供的专线与总行的业务网关、前置机、服务器之间进行实时的数据传输和交换，从而实现银行业务数据的处理。

在现有技术中，银行应用的数据通信主要使用有线连接方式，包括拨号(模拟拨号、ADSL、ISDN等)、专线(模拟专线、DDN、FR、光纤等)、以及通过互联网(internet)接入等通信接入方式。其基本结构组成是线路两端的接入设备(路由器、交换机)和通信线路。通过对接入设备的配置，使线路两端能够建立连接，业务数据就可以快速、可靠的进行传输和交换。对于目前银行的大多数业务，目前的各种有线数据传输方式已经可以达到要求。

但是，随着银行业务需求范围的不断扩大，其中一些业务希望不受时间、场所以及布线的限制，这种银行业务为移动银行业务、移动办公业务等。移动银行业务包括：(一)移动支付业务；例如，上门收取公用事业费和刷卡付费、出租车付费、交警值勤罚款、烟草配送等等；(二)流动银行业务；例如，各种会场中临时设立的银行业务办理专柜、某些网点通信线路备份等等。移动办公业务使银行工作人员能够在任何的时间、场所，均可安全的接入本银行网络进行办公和进行银行运作的移动管理。要实现上述的移动银行业务，仅依靠目前的有线接入方式很难得到满足。

随着无线通信技术的发展，无线技术开始广泛应用于银行电子支付业等领域，使移动银行业务和移动办公业务均能成为现实。无线接入“无处不在”的特点带来了极大的便利性，但同时也带来了“无处不在”的安全隐患，对于金融系统而言这一点尤其关键。移动银行业务和移动办公业务需要保障交易的高效性，传输的可靠性，数据的安全性和便捷的可运维性。

而现有技术中，银行的移动业务通常只能利用移动通信终端进行无线拨号接入internet网，再经internet网接入银行网络的方式进行无线数据通信，这样的无线数据通信必须面对来自internet网的随时发生的恶意攻击和安全危机，而且这样的接入方式没有一个专用的通道，因此也很难实行专门的安全保障措施。

再有，现有技术对不同的银行业务没有统一的处理传输过程，致使不同的银行业务实行各自的一套接入方式，这不但造成设备的严重浪费，也不利于系统的更新和业务种类的扩展。

发明内容

本发明的目的在于，提供一种用于银行的无线网络数据通信接口及方法。用以解决运行银行业务的移动通信终端与银行内部网络的无线接入问题。从而，使移动银行业务和移动办公业务在高效的交易、可靠和安全的数据传输、以及便捷的可运维性的良好环境中运行。

并且改变现有技术中，无线接入方式没有一个专用的通道的问题，从而可以实施针对银行无线接入的专门的安全保障措施。

本发明也用以解决现有技术对不同的银行移动业务没有统一的处理传输过程的问题，使不同的银行移动业务实行统一的接入方式，节约设备降低成本，便于系统的更新和业务种类的扩展。

本发明的技术方案为：一种用于银行的无线网络数据通信接口，其包括：

无线运营端交换机，用于接收银行各移动业务通信终端通过无线网络发送的银行业务数据，根据数据包中的应用字段和目的地址进行分发；

无线运营端外联防火墙，与所述的无线运营端交换机连接，根据数据包的源和目的地址，过滤掉非法的数据包，传输合法的数据包；

无线运营端路由器和银行端路由器，所述的无线运营端路由器与所述的无线运营端外联防火墙连接，用于建立银行端与无线运营端之间的专线联接，并对收发数据包应用正确的路由；所述的银行端路由器还对收发数据包进行相应的网络地址转换(NAT)、过滤、及控制的处理；

银行端外联防火墙，与所述的银行端路由器连接，对收发数据包进行过滤和监控，并根据银行业务数据的分类应用相应的银行业务服务器访问策略；

银行端交换机，与所述的银行端外联防火墙及银行网络连接，根据银行业务数据的分类经相应的银行业务局域网(vlan)与相应的银行业务服务器进行通信。

所述的专线联接是指：在银行端路由器和无线运营端路由器之间建立虚拟专有网络隧道(VPN)。

所述的银行端路由器采用访问控制列表(ACL)对收发数据包进行过滤、及控制的处理。

所述的无线网络包括：GPRS、CDMA。

所述的银行各移动业务通信终端是指：移动POS、PDA、移动PC、流动银行终端、以及手机。

所述的银行业务数据分类是指：所述的银行业务数据分为移动POS业务数据、PDA业务数据、移动PC业务数据、流动银行业务数据、以及手机业务数据。

本发明还提供了一种用于银行的无线网络数据通信方法，对于银行各移动业务通信终端通过接入无线网络与银行网络中对应的银行业务服务器进行通信，其包括以下步骤：

银行移动业务通信终端接入认证步骤，用于接收银行各移动业务通信终端的接入请求，对移动业务通信终端进行认证，合法者进行下一步骤；

建立银行端与无线运营端之间专线联接的步骤，用于在银行端和无线运营端之间建立虚拟专有网络隧道(VPN)；

建立移动业务进程的步骤，通过路由器和防火墙的地址和路由安全策略，对移动业务通信终端的业务请求进行授权，使移动业务通信终端与银行网络中对应的银行业务服务器之间进行数据通信；

移动业务进程结束的步骤，切断银行网络中对应的银行业务服务器与移动业务通信终端之间的连接。

所述的银行移动业务通信终端接入认证步骤进一步包括：无线运营端接收银行各移动业务通信终端通过无线网络发送的银行业务数据，根据数据包中的应用字段和目的地址进行分发；根据数据包的源和目的地址进行数据包的合法性判断，过滤掉非法的数据包，传输合法的数据包。

所述的建立移动业务进程的步骤进一步包括：银行端对收发数据包进行相应的网络地址转换(NAT)、过滤、及控制的处理；根据银行业务数据的分类应用相应的银行业务服务器访问策略；根据银行业务数据的分类经相应的银行业务局域网(vlan)与相应的银行业务服务器进行通信。

在建立移动业务进程中对数据传输过程进行监控和记录。

所述的一种用于银行的无线网络数据通信方法包括以下具体步骤：所述的移动业务通信终端发起一个接入请求报文，申请接入用于对应移动业务的虚拟专有网络(VPN)，所述的接入请求报文传送至基站；

基站根据所述接入请求报文的地址将该接入请求报文发送到无线网络的接收部分；

所述的无线网络的接收部分接收到报文后，根据报文源地址和请求类型，检查该移动业务通信终端的合法性，如果合法，返回一个接入确认报文给该移动业务通信终端；

所述的移动业务通信终端收到允许接入的报文，跟相应移动业务的虚拟专有网络(VPN)端口间建立连接；

移动业务通信终端发起业务请求，通过对业务报文进行安全策略检查、隧道传输、网络地址转换、第二重策略检查和分发，发送至相应移动业务的前置机；

所述的相应移动业务的前置机把报文发往相应移动业务的服务器，该服务器对请求作出回应，并由原路径返回直至发送到所述的移动业务通信终端；

根据所述的服务器的回应数据报文，所述的移动业务通信终端与所述的服务器建立移动业务进程，移动业务得以进行。

本发明的效果在于，通过提供一种用于银行的无线网络数据通信接口及方法。解决了运行银行业务的移动通信终端与银行内部网络的无线接入问题。从而，使移动银行业务和移动办公业务在高效的交易、可靠和安全的数据传输、以及便捷的可运维性的良好环境中运行。

并且使无线接入方式实现了多点接入，一点处理的专用通道接入，从而可以实施针对银行无线接入的专门的安全保障措施。

本发明也解决了现有技术对不同的银行移动业务没有统一的处理传输过程的问题，使不同的银行移动业务实行统一的接入方式，节约设备降低成本，便于系统的更新和业务种类的扩展。

附图说明

图1为本发明的无线网络数据通信接口的功能框图；

图2为本发明的无线网络数据通信接口结构框图；

图3为本发明方法的流程图。

具体实施方式

下面，结合附图对于本发明进行如下详细说明。本发明提供的用于银行的无线网络数据通信接口是一个高度集中的数据接口，其为多点发起，单点处理的模式，可以满足银行辖内金融业务需求和远程管理需要。它的功能如图1所示：

其中，银行各移动业务所用的移动业务通信终端通过无线网络(例如移动公司的GPRS网络或者联通公司的CDMA网络)进行业务数据的收发，而无线通信公司通过专线连接将集中的数据传输至银行的无线网络数据通信接口，无线网络数据通信接口对这些数据进行接收、过滤、网络地址转换(NAT)和分类转发，发送到各处理平台；同时，也将各处理平台的反馈数据集中处理、发送至无线网络中，供相应的移动业务通信终端接收。通过这样一个通用数据接口，银行的无线应用业务实现了标准接入、统一管理和安全保障。同时，所述的无线网络数据通信接口具有透明性，不局限于处理任何一种无线业务数据，从而具有很好的可扩展性，依靠无线网络数据通信的数据接口，任何新开发的无线通信技术均可以很快很方便的应用到移动银行业务上来。

本发明所述的无线网络数据通信接口101主要包括无线通信公司102(无线运营端)数据接收交换设备201、外联防火墙202、数据转发路由器203、无线通信公司和银行之间的专线204连接、银行端数据转发路由器205、银行端外联防火墙206以及银行内部核心交换机207，它的基本结构如图2所示：

图2中各部分功能如下：

1)通信公司数据接收交换设备201

该设备主要是接收各无线业务终端设备通过无线网络发送的数据，根据数据包中的应用字段和目的地址进行分发。例如，当其接收到某些数据，根据数据包报文中目标地址判断出是某银行的数据，便把数据转发至面向该银行的外联防火墙。

2)通信公司外联防火墙202

该部分主要视应用相应的控制策略，根据数据包的源和目的地址，判断数据是否合法，过滤掉不合法的数据包，合法的数据包则从相应的专有VPN端口分发，从而建立无线业务接入安全检测的第一道防线。例如，通过源和目的地址的检查，确认某数据包为某银行的移动POS数据，通过安全控制策略检查后，向面向该银行的端口转发。

3)通信公司端数据转发路由器203、银行端数据转发路由器205及专线204数据的传输采用了GRE或L2TP的虚拟专有网络(VPN)技术，因而通信公司端数据转发路由器203、银行端数据转发路由器205及专线204这三部分可以看作一个整体。如图2所示，数据一旦通过通信公司外联防火墙202的安全控制策略检查，即可由虚拟专有网络(VPN)隧道传输至银行端数据转发路由器203上。通信公司和银行两端的路由器的功能正是建立这样的虚拟专有VPN隧道，并对数据包应用正确的路由。同时，银行端路由器205还对收发数据进行相应的网络地址转换(NAT)，减少银行内网的网段。另外，该银行端路由器205上还应用访问控制列表ACL来对收发的数据包进行过滤和控制，防止不明数据入侵，保证内网的安全。例如，某银行应用GRE技术建立从银行路由器205到通信公司防火墙202端口的虚拟专有VPN隧道，属于该银行的无线业务数据均由此隧道进行双向的传输。银行端路由器205收到外来的数据包后，经过ACL的认可后，把它的源和目的地址均转换为该银行的私有地址，以便接入银行内网；同理，内网发来的数据包，银行端路由器205也进行相应的NAT，把私有地址转换回相应的公网地址，往外发送，供移动业务通信终端接收。

4)银行端外联防火墙206

这部分的功能是对数据进行第二重安全控制策略检查数据包过滤和监控。对不同的业务数据应用不同的访问策略，只能受限的访问相应的服务器，从而尽可能的保证业务访问的安全可靠。同时，银行端外联防火墙206还对数据传输过程进行监控和记帐，便于事后检查和故障排除。例如，银行端外联防火墙206接收到一些数据包，通过IP地址检查，确认是属于本银行的移动办公业务，于是检查其目的地址和端口，看是否符合移动办公的访问策略，如果符合，才把它向内网核心交换机分发。

5)银行内网核心交换机207

银行内网核心交换机207在本平台中的作用就是把不同业务的数据向相应的业务vlan发送，最终到达所要访问的服务器。例如，银行内网核心交换机207接收到属于银行移动POS的业务数据，根据内网业务分类，把数据往POS业务服务器所属的vlan发送。

可见，本发明提供的一种无线网络数据通信接口的应用可以解决现有技术难以解决的多方面难题。

无线网络数据通信接口能够很好的保证移动业务数据传输的安全性和可靠性，这是现有技术所难以较好解决的。通信公司和银行之间采用GRE或L2TP的虚拟专有网络VPN传输方式，这些都属于级别较高的VPN传输方式，而且这些专有VPN跟Internet物理上隔离，能够保证传输数据的高保密性和专用性。专有VPN隧道两端均由防火墙对数据进行过滤和严格的安全策略控制；银行端接入路由器还对收发的数据进行相应的网络地址转换(NAT)和ACL限制，双重保证传输数据的高安全性和高可控性。而现有技术中，移动业务通常只能利用无线拨号接入internet，再接入企业的方式，必须面对随时发生的恶意攻击和安全危机，没有一个专用的通道，也难以实行专门的安全保障。

由于无线网络数据通信接口是一个通用的业务接口，对业务数据传输来说是接近透明的，不同的无线业务均通过相同设备和步骤来进行处理和传输，只是区分于可以一种业务使用一个专有VPN，也可以多种近似业务使用同一个专有VPN。在接入端路由器中，不同的业务分别用不同的地址池来进行网络地址转换，也分别应用不同的ACL和防火墙策略。因此，新的移动业务一旦投入应用，只需要在接入路由器上增加相应的路由、NAT和ACL，在防火墙上增加相应的安全控制策略，并视情况增加相应的专有VPN即可。而现有技术对不同的业务没有一个统一的处理传输过程，各自实行自己的一套接入方式，不但浪费设备，也不利于以后更新技术的快速应用和业务种类的扩展。从这一点上，无线网络数据通信接口表现出良好的通用性和可扩展性。

本发明还提供了一种无线网络数据通信的方法，其步骤如图3所示：

步骤1、移动业务通信终端接入认证步骤：用于接收无线终端的接入请求，对无线终端进行认证，合法者才可进行下一步流程；

步骤2、建立银行端与无线运营端之间专线连接的步骤(无线接入通道)：结合GRE或者L2TP等虚拟专有隧道技术，建立移动业务通信终端和银行内网间的接入通道；

步骤3、建立移动业务进程的步骤：通过路由器和防火墙的地址和路由安全策略，对无线终端的业务请求进行授权，建立业务进程，并在过程中进行必要的记录；

步骤4、移动业务进程结束的步骤：当业务进程结束，数据接口自动关闭通道，切断移动业务通信终端和银行内网的连接。

通过无线网络和无线网络数据通信接口实现的银行各移动业务一般流程如下实施例所述：

实施例1、银行移动POS业务

移动POS发起一个接入请求报文，申请接入用于移动POS的虚拟专有网络VPN，报文传送至基站；

基站根据报文的地址发送到无线网络数据通信的数据接口的接收部分；

接收到报文后，数据接口的接收部分根据报文源地址和请求类型，检查该移动POS的合法性；

如果合法，数据接口的接收部分返回一个接入确认报文，发送至移动POS

移动POS收到允许接入的报文，跟移动POS的虚拟专有网络VPN端口间建立连接；

移动POS发起业务请求，通过基站传送至无线网络数据通信的数据接口，无线网络数据通信的数据接口对业务报文进行安全策略检查、隧道传输、网络地址转换、第二重策略检查和分发，发送至POS前置机；

POS前置机把报文发往POS业务服务器，服务器对请求作出回应，并由原路径返回直至发送到移动POS；

根据服务器的回应数据报文，移动POS与服务器建立业务进程，业务得以进行。

实施例2、银行移动办公业务

移动电脑或移动个人数字管理装置(PC/PDA)发起一个接入请求报文，申请接入用于移动办公的虚拟专有网络VPN，报文传送至基站；

基站根据报文的地址发送到无线网络数据通信接口的接收部分；

接收到报文后，数据接口接收部分根据报文源地址和请求类型，检查该移动PC/PDA的合法性；

如果合法，数据接口接收部分返回一个接入确认报文，发送至移动所述的PC/PDA；

移动PC/PDA收到允许接入的报文，跟用于移动办公的虚拟专有网络VPN端口间建立连接

所述的移动PC/PDA发起业务数据，通过基站传送至所述的无线网络数据通信接口；

无线网络数据通信接口对该业务数据进行策略检查、隧道传输、网络地址转换、第二重安全策略检查和分发；

经过无线网络数据通信接口，业务数据得以进入银行内网办公vlan，实现相应的操作；

操作后的回应数据也经过原路径返回移动PC/PDA。

实施例3、流动银行业务

流动银行业务终端发起签到请求，业务前置机向生产网关发送接入请求，请求报文发往无线路由器；

无线路由器接收到前置机报文后，触发一个申请加入用于流动银行业务的虚拟专有网络VPN的请求报文，送往基站；

基站根据报文的地址发送到无线网络数据通信接口的接收部分；

接收到报文后，无线网络数据通信接口接收部分根据报文源地址和请求类型，检查该无线路由器的合法性

如果合法，无线网络数据通信接口接收部分返回一个接入确认报文，发送至无线路由器；

无线路由器收到允许接入的报文，跟用于流动银行业务的虚拟专有网络VPN端口间建立连接；

无线路由器把前置机发来的请求报文发往基站，经过无线网络数据通信的数据接口对报文的策略检查、专线传输、网络地址转换、第二重安全策略检查和分发后，传送到生产网关服务器；

生产网关服务器根据报文信息检查前置机的合法性，然后回应一个允许建立连接的报文，沿原路径发送到流动银行前置机；

前置机得到确认包，跟生产网关服务器间建立连接，从而完成业务终端的签到过程；

然后，业务终端各种业务数据即可经过所建立的连接进行传送，实现各种业务功能。

可见，在各种无线接入业务流程中，无线网络数据通信的数据接口担负着授权、认证、建立通道、安全策略、工作记录以及数据传输等主要功能。缺少这一接口，任何无线接入业务均不能正常、稳定、安全的运作。

实施例4：

下面是一个某银行应用无线网络数据通信接口实现移动POS接入的实施例。其采用移动公司的GPRS通信网络，数据传输采用GRE隧道的APN方式。

1)银行端接入路由器Cisco 7206的配置：配置接入端口的IP地址，该IP地址由移动公司分配，用于专线接入；

建立GRE通道，配置源和目标IP地址，源应为本地接入端口，目标为移动公司GGSN接入端口)，配置通道key(移动公司提供，用于通道APN接入许可)；

对移动POS机的IP地址进行NAT(网络地址转换)，转换为银行内网地址(由该银行自行确定)；

对POS前置机IP进行NAT，转换为对外公布地址(由该银行自行分配)；

分别配置移动公司GGSN、移动POS机、POS前置机的路由；

配置路由器接入列表(Access list)，开通移动POS机的对内访问权限。

2)银行端防火墙的配置：

分别配置POS前置机和移动POS机(地址转换后)的路由；

配置允许POS前置机访问移动POS机(地址转换后)的策略，配置允许移动POS机(地址转换后)访问POS前置机业务端口的策略。

3)移动POS机配置：

配置接入GPRS网络中银行APN的端口(由移动公司分配)；

配置移动POS机的签到IP地址(POS前置机对外公布地址)；

配置POS业务端口(银行自行规定)。

本发明的效果在于，通过提供一种用于银行的无线网络数据通信接口及方法。解决了运行银行业务的移动通信终端与银行内部网络的无线接入问题。使移动银行业务和移动办公业务在高效的交易、可靠和安全的数据传输、以及便捷的可运维性的良好环境中运行。并且使无线接入方式实现了多点接入，一点处理的专用通道接入，从而可以实施针对银行无线接入的专门的安全保障措施。本发明也使不同的银行移动业务实行统一的接入方式，节约设备降低成本，便于系统的更新和业务种类的扩展。

以上具体实施方式仅用于说明本发明，而非用于限定本发明。

Claims (10)

1. 一种用于银行的无线网络数据通信接口，其特征在于，包括：

无线运营端交换机，用于接收银行各移动业务通信终端通过无线网络发送的银行业务数据，根据数据包中的应用字段和目的地址进行分发；

无线运营端外联防火墙，与所述的无线运营端交换机连接，根据数据包的源和目的地址，过滤掉非法的数据包，传输合法的数据包；

无线运营端路由器和银行端路由器，所述的无线运营端路由器与所述的无线运营端外联防火墙连接，用于建立银行端与无线运营端之间的专线联接，并对收发数据包应用正确的路由；所述的银行端路由器对上述收发数据包进行相应的网络地址转换、过滤、及控制的处理；

银行端外联防火墙，与所述的银行端路由器连接，对收发数据包进行过滤和监控，并根据银行业务数据的分类应用相应的银行业务服务器访问策略；

银行端交换机，与所述的银行端外联防火墙及银行网络连接，根据银行业务数据的分类经相应的银行业务局域网与相应的银行业务服务器进行通信。

2. 根据权利要求1所述的一种用于银行的无线网络数据通信接口，其特征在于，所述的专线联接是指：在银行端路由器和无线运营端路由器之间建立虚拟专有网络隧道。

3. 根据权利要求1所述的一种用于银行的无线网络数据通信接口，其特征在于，所述的银行端路由器采用访问控制列表对收发数据包进行过滤、及控制的处理。

4. 根据权利要求1所述的一种用于银行的无线网络数据通信接口，其特征在于，所述的无线网络包括：GPRS、CDMA。

5. 根据权利要求1所述的一种用于银行的无线网络数据通信接口，其特征在于，所述的银行各移动业务通信终端是指：移动POS、PDA、移动PC、流动银行终端、以及手机。

6. 根据权利要求1所述的一种用于银行的无线网络数据通信接口，其特征在于，所述的银行业务数据分类是指：所述的银行业务数据分为移动POS业务数据、PDA业务数据、移动PC业务数据、流动银行业务数据、以及手机业务数据。

7. 一种用于银行的无线网络数据通信方法，对于银行各移动业务通信终端通过接入无线网络与银行网络中对应的银行业务服务器进行通信，其特征在于包括以下步骤：

银行移动业务通信终端接入认证步骤，用于接收银行各移动业务通信终端的接入请求，对移动业务通信终端进行认证，合法者进行下一步骤；

建立银行端与无线运营端之间专线联接的步骤，用于在银行端和无线运营端之间建立虚拟专有网络隧道；

建立移动业务进程的步骤，通过路由器和防火墙的地址和路由安全策略，对移动业务通信终端的业务请求进行授权，使移动业务通信终端与银行网络中对应的银行业务服务器之间进行数据通信；

移动业务进程结束的步骤，切断银行网络中对应的银行业务服务器与移动业务通信终端之间的连接；

所述的银行移动业务通信终端接入认证步骤进一步包括：无线运营端接收银行各移动业务通信终端通过无线网络发送的银行业务数据，根据数据包中的应用字段和目的地址进行分发；根据数据包的源和目的地址进行数据包的合法性判断，过滤掉非法的数据包，传输合法的数据包。

8. 根据权利要求7所述的一种用于银行的无线网络数据通信方法，其特征在于，所述的建立移动业务进程的步骤进一步包括：银行端对收发数据包进行相应的网络地址转换、过滤、及控制的处理；根据银行业务数据的分类应用相应的银行业务服务器访问策略；根据银行业务数据的分类经相应的银行业务局域网与相应的银行业务服务器进行通信。

9. 根据权利要求8所述的一种用于银行的无线网络数据通信方法，其特征在于，在建立移动业务进程中对数据传输过程进行监控和记录。

10. 根据权利要求7所述的一种用于银行的无线网络数据通信方法，其特征在于包括以下具体步骤：

所述的移动业务通信终端发起一个接入请求报文，申请接入用于对应移动业务的虚拟专有网络，所述的接入请求报文传送至基站；

基站根据所述接入请求报文的地址将该接入请求报文发送到无线网络的接收部分；

所述的无线网络的接收部分接收到报文后，根据报文源地址和请求类型，检查该移动业务通信终端的合法性，如果合法，返回一个接入确认报文给该移动业务通信终端；

所述的移动业务通信终端收到允许接入的报文，跟相应移动业务的虚拟专有网络端口间建立连接；

移动业务通信终端发起业务请求，通过对业务报文进行安全策略检查、隧道传输、网络地址转换、第二重策略检查和分发，发送至相应移动业务的前置机；

所述的相应移动业务的前置机把报文发往相应移动业务的服务器，该服务器对请求作出回应，并由原路径返回直至发送到所述的移动业务通信终端；

根据所述的服务器的回应数据报文，所述的移动业务通信终端与所述的服务器建立移动业务进程，移动业务得以进行。

Images