CN100558187C - 一种无线接入方法及接入控制器 - Google Patents

Abstract

本发明公开了一种无线接入方法及接入控制器。所述方法包括，接入控制器判断当前接入的无线用户是否为漫游用户，在确定所述无线用户为漫游用户时，跳过接入认证步骤，直接为该无线用户提供无线接入服务。在为无线用户提供无线接入服务之后，进一步包括：接入控制器对无线用户进行接入认证，并在接入认证失败时，停止对无线用户提供无线接入服务。本发明通过为漫游用户提供快速的接入服务，保证了高层业务的连续性，为用户提供了无缝的漫游服务。

Description

一种无线接入方法及接入控制器

技术领域

本发明涉及无线局域网通信技术，具体地说，是涉及一种无线接入方法及接入控制器。

背景技术

近年来，用户对接入业务的需求呈现出宽带化、移动化和便捷化等特点。以IEEE802.11标准为基础的无线局域网(Wireless Local Area Network，WLAN)技术和产品迎合了人们的需求，并在全球范围得到了大规模的推广和应用。WLAN提供了一种局域网的无线接入服务，包括接入控制器(AccessController，AC)和接入点(Access Point，AP)的WLAN称为集中式WLAN。在集中式WLAN中，AC用于对WLAN进行集中管理；AP是一个无线收发设备，它通过和AC建立链接后加入WLAN，并和AC一起为无线用户(Station，STA)提供无线接入服务。

无线接入点控制和配置(Control and Provisioning of Wireless AccessPoints，CAPWAP)协议定义了集中式WLAN的结构，描述了WLAN功能在AP设备和AC设备上的划分。CAPWAP协议还定义了AP和AC之间的通信协议。一个WLAN可以包括多个AC和AP，这为无线用户提供了广阔的服务域和漫游域。无线用户可以选择服务域中的任何AP接入WLAN，并且可以在WLAN中的各个AP之间进行漫游。

图1为集中式WLAN的组网结构示意图。如图1所示，所述WLAN包括两个接入控制器：第一接入控制器AC1、第二接入控制器AC2，两个接入点：第一接入点AP1、第二接入点AP2，其中AP1、AC1之间以及AP2、AC2之间建立有CAPWAP隧道(Tunnel)。AC1、AC2和路由器(Router)连接，并通过路由器访问因特网。AC1、AC2还和认证服务器连接，通过认证服务器对无线用户进行接入认证。认证服务器可以为远程认证拨号用户服务(Remote Authentication Dial In User Service，Radius)服务器。

图2为无线接入方法的流程图。以下结合图1及图2描述无线用户STA接入WLAN的方法，该方法包括以下步骤：

步骤201：无线用户STA选择接入WLAN的AP。

STA发现AP1和AP2提供无线接入服务，但是AP1比AP2具有更高的信号强度(即更高信噪比)，因而STA初始选择AP1接入WLAN。

步骤202：STA与AC1进行链路认证及链路协商。

STA通过AP1向AC1发送链路认证请求消息，由AC1对STA进行链路认证。如果链路认证成功，STA通过AP1向AC1发送链路协商请求消息，AC1根据该请求消息进行相应的处理。

步骤203：AC1对STA进行接入认证。

AC1通过Radius服务器对STA进行接入认证，接入认证采用IEEE802.1x协议进行。接入认证过程包括：1)STA向AC1发送接入认证请求消息，该请求消息中包括STA的用户名和密码；2)AC1将该请求消息转发给Radius服务器；3)Radius服务器确认用户身份后，为STA分配对称主密钥(PairwiseMaster Key，PMK)，并通过AC1将该PMK发送给STA，Radius服务器和STA中都保存有该PMK；4)Radius服务器对STA进行接入认证成功后，向AC1回应接入认证成功消息，并携带所述PMK；5)AC1接收到接入认证成功消息后，保存所述PMK，并建立STA的媒体接入控制(Medium AccessControl，MAC)地址与所述PMK的对应关系。

步骤204：AC1与STA进行密钥协商。

为了提供对用户数据的私密性保护，在对STA进行接入认证成功后，AC1发起密钥协商过程，与STA协商对称临时密钥(Pairwise Temporary Key，PTK)，根据PMK生成PTK。PTK用于对单播数据进行加密。

步骤205：AC1和AP1为STA提供无线接入服务。

STA通过AC1的接入认证，并且成功协商密钥后，就可以通过AP1和AC1对网络进行访问。

在WLAN中，STA可能会在AP之间进行移动。当STA从AP1逐渐向AP2移动时，STA确定AP2能够提供更优质的服务，比如AP2具有更高的信号强度，此时，STA会选择通过AP2接入WLAN。

STA选择了新接入点AP2时，其接入过程和上文描述的一致，即也需要完成链路认证及链路协商、接入认证以及密钥协商。当完成这些步骤后，STA重新接入到WLAN，从而完成了漫游过程。但是，要完成这些步骤，需要进行多次报文协商，造成重新接入过程耗时较长。这样，就不能保证高层业务的连续性，也就无法为用户提供无缝的漫游服务。

因此，现有技术存在缺陷，而有待于改进。

发明内容

本发明所要解决的技术问题是提供一种无线接入方法和接入控制器，在无线用户进行漫游时，为其提供无缝的漫游服务。

为了解决上述问题，本发明提供技术方案如下：

一种无线接入方法，包括：接入控制器判断当前接入的无线用户是否为漫游用户，在确定所述无线用户为漫游用户时，跳过接入认证步骤，直接为该无线用户提供无线接入服务。

本发明所述的方法，其中，接入控制器判断当前接入的无线用户是否为漫游用户为：接入控制器向其邻居接入控制器发送漫游用户查询消息，该查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK，并根据邻居接入控制器返回的漫游用户确认消息确定无线用户是否为漫游用户。

本发明所述的方法，其中，接入控制器在无线网络内利用同步机制获取其他接入控制器保存的PMK信息；接入控制器判断当前接入的无线用户是否为漫游用户为：判断本接入控制器是否保存有与该无线用户的MAC地址对应的PMK，如果是，则确定所述无线用户为漫游用户。

本发明所述的方法，其中，接入控制器判断当前接入的无线用户是否为漫游用户为：判断本接入控制器是否保存有与该无线用户的MAC地址对应的PMK，如果是，则确定所述无线用户为漫游用户；否则，接入控制器向其邻居接入控制器发送漫游用户查询消息，该查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK，并根据邻居接入控制器返回的漫游用户确认消息确定无线用户是否为漫游用户。

本发明所述的方法，其中，在跳过接入认证步骤后为无线用户提供无线接入服务之前，进一步包括：接入控制器与所述无线用户进行密钥协商。

本发明所述的方法，其中，在为无线用户提供无线接入服务之后，进一步包括：接入控制器对无线用户进行接入认证，并在接入认证失败时，停止对无线用户提供无线接入服务。

一种接入控制器，包括，无线接入服务单元、及漫游用户判断单元；漫游用户判断单元用于判断无线用户是否为漫游用户，以及在确定无线用户为漫游用户时，向无线接入服务单元发送无线接入服务消息；无线接入服务单元用于在接收到所述无线接入服务消息时，跳过接入认证，直接为无线用户提供无线接入服务。

本发明所述的接入控制器，其中，漫游用户判断单元用于通过向邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户，所述查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK。

本发明所述的接入控制器，其中，还包括同步单元，用于从无线网络中其他接入控制器获取PMK信息；漫游用户判断单元用于通过判断本接入控制器是否保存有与无线用户的MAC地址对应的从其他接入控制器获取的PMK来判断无线用户是否为漫游用户。

本发明所述的接入控制器，其中，漫游用户判断单元用于通过判断本接入控制器是否保存有与无线用户的MAC地址对应的PMK来判断无线用户是否为漫游用户；且在确定本接入控制器中没有保存与所述MAC地址对应的PMK时，通过向邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户，所述查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK。

本发明所述的接入控制器，其中，还包括，密钥协商单元，用于在无线接入服务单元为无线用户提供无线接入服务之前，与所述无线用户进行密钥协商。

本发明所述的接入控制器，其中，还包括，接入认证单元，用于在无线接入服务单元为无线用户提供无线接入服务之后，对无线用户进行接入认证，以及在接入认证失败时，向无线接入服务单元发送停止无线接入服务消息；无线接入服务单元，进一步用于在接收到所述停止无线接入服务消息时，停止对无线用户提供无线接入服务。

一种计算机软件产品，其中，包括若干指令用以使得一台计算机设备执行本发明所述方法。

一种计算机设备，包括用以执行本发明所述方法的软件以及运行该软件必须的硬件。

与现有技术相比，本发明的有益效果是：

判断需要接入的无线用户是否为漫游用户，在确定无线用户为漫游用户时，为该无线用户提供快速的接入服务，即在进行链路认证和链路协商后，不进行接入认证，直接为无线用户提供接入服务，从而保证了高层业务的连续性，为用户提供了无缝的漫游服务。在为无线用户提供快速的接入服务后，还可以对无线用户进行后认证，进一步保证了WLAN的安全性。

附图说明

图1为集中式WLAN的组网结构示意图；

图2为现有技术中的无线接入方法的流程图；

图3为本发明实施例所述无线接入方法的流程图；

图4为本发明实施例所述接入控制器的结构示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图及具体实施例对本发明进行详细描述。

本发明的关键在于：无线用户需要接入时，AC判断该无线用户是否为漫游用户，在确定无线用户为漫游用户时，为该无线用户提供快速的接入服务，即在进行链路认证和链路协商后，不进行接入认证，直接为无线用户提供接入服务，从而保证了高层业务的连续性，可以为用户提供无缝的漫游服务。为提高数据通信的安全性，在为无线用户提供无线接入服务之前，还可以包括密钥协商过程。

图3为本发明实施例所述无线接入方法的流程图。以下结合图1及图3描述本发明实施例的无线接入方法，该方法包括以下步骤：

步骤301：STA选择接入WLAN的AP。

STA可以通过被动地接收AP发送的信标(Beacon)报文，或者主动地发送探查(Probe)报文来发现周围的WLAN接入服务。STA发现AP1和AP2提供无线接入服务，假设STA初始选择AP1接入WLAN。当STA从AP1逐渐向AP2移动时，STA确定AP2能够提供更优质的服务，比如AP2具有更高的信号强度，此时，STA选择通过AP2接入WLAN。

步骤302：STA与AC2进行链路认证及链路协商。

STA通过AP2向AC2发送链路认证请求消息，该请求消息中包括STA的MAC地址。AC2对STA进行链路认证，即检查其保存的MAC地址列表中是否有与STA对应的MAC地址，并向STA回应链路认证应答消息。如果链路认证成功，STA通过AP2向AC2发送链路协商请求消息，AC2根据该请求消息进行相应的处理后，向STA回应链路协商应答消息。链路协商成功，也就完成了STA和AP2之间数据链路的建立，以及STA和AC2之间逻辑链路的建立。

步骤303：AC2判断STA是否为漫游用户，在确认STA为漫游用户时，执行步骤304；否则，执行正常的接入处理，并结束本流程。

AC2可以通过向所有的邻居接入控制器发送漫游用户查询消息来判断STA是否为漫游用户。这里仅以AC2向AC1进行查询为例进行说明。如果STA是由AC1漫游到AC2，则其在初始接入AC1时，AC1会对其进行接入认证。如背景技术所述，接入认证成功后，AC1中保存有STA的MAC地址以及对应的PMK。也就是说，如果AC1中保存有与STA的MAC地址对应的PMK，则可以确定STA为漫游用户。因而，所述查询过程包括：AC2向AC1发送漫游用户查询消息，该查询消息中携带STA的MAC地址；AC1查询自身是否保存有与所述MAC地址对应的PMK，如果是，则向AC2回应漫游用户确认消息，消息中携带所述MAC地址及对应的PMK；AC2接收到所述漫游用户确认消息，则确定STA为漫游用户。

此外，还存在另外一种情形，即STA第一次接入到WLAN时，就将相关信息在所有的AC上进行同步，所述相关信息包括为其分配的PMK。对于这种情形，判断STA是否为漫游用户为：AC2判断本接入控制器是否保存有与STA的MAC地址对应的PMK，如果是，则确定STA为漫游用户。

对于不知道STA第一次接入到WLAN时是否将相关信息在所有的AC上进行同步的情形，AC2还可以先判断本接入控制器是否保存有与STA的MAC地址对应的PMK，如果是，则确定STA为漫游用户；如果不是，再通过向所有的邻居接入控制器发送漫游用户查询消息来判断STA是否为漫游用户。

由于接入认证过程，需要进行多次报文协商，而且需要Radius服务器的参与，因而耗时较长。在确定STA为漫游用户时，说明STA已经通过了AC1的接入认证，STA的合法性得到了初步保证，为了提高漫游用户的接入速度，AC2可以暂时不对STA进行接入认证，而是直接进行密钥协商。

步骤304：AC2与STA进行密钥协商。

为了提供对用户数据的私密性保护，由AC2发起密钥协商过程，与STA协商PTK，PTK用于对单播数据进行加密。AC2和STA通过四次握手过程进行密钥协商，并根据STA的MAC地址对应的PMK生成PTK，在这个过程中，AC2和STA需要验证双方是否保存有匹配的PMK，如果不是，四次握手过程失败，连接也因此中断。因而，密钥协商过程也提供了对无线用户合法性的保证。

步骤305：AC2和AP2为STA提供无线接入服务。

密钥协商完成后，STA可以通过建立的逻辑链路访问网络。STA发送的数据先被AP2接收，然后通过CAPWAP隧道发送到AC2，再通过AC2进行二层转发，最终发送到目的设备；对于需要发送到STA的数据，先发送到AC2后再通过CAPWAP隧道发送到AP2，最终通过AP2的无线接口发送到STA。

在为STA提供无线接入服务的同时，AC2还可以向AC1发送停止无线接入服务消息，该消息中包括STA的MAC地址。AC1接收到该消息后，停止对STA的无线接入服务。

由于AC2没有对漫游用户STA进行接入认证就为其提供无线接入服务，为了进一步保证WLAN的安全性，在该STA通过AP2接入WLAN后，还可以通过AC2对其进行接入认证(或者称为后认证)。因而，本发明实施例所述无线接入方法，在步骤304之后还可以进一步包括：AC2对STA进行接入认证，并在接入认证失败时，停止对STA提供无线接入服务。

AC2可以通过认证服务器对STA进行接入认证，认证服务器可以为Radius服务器。接入认证采用IEEE802.1x协议进行，采用IEEE 802.1x协议对STA进行接入认证的过程在背景技术里已经描述，这里不再赘述。在进行接入认证的过程中，STA可以正常的访问WLAN。如果接入认证成功，则STA漫游成功，AC2和AP2继续为STA提供无线接入服务，同时，AC2向AC1发送漫游成功消息，该消息中包括STA的MAC地址。AC1接收到该消息后，删除与STA相关的信息。如果接入认证失败，则STA漫游失败，AC2和AP2停止对STA提供无线接入服务。

本领域技术人员容易理解的是，接入认证也可以采用其它协议进行。在简单的WLAN中，接入认证过程也可以不需要认证服务器的参与，而是由AC直接完成。

图4为本发明实施例所述接入控制器的结构示意图。如图4所示，本发明实施例的接入控制器包括：链路认证及协商单元41、漫游用户判断单元42、接入认证单元43、密钥协商单元44以及无线接入服务单元45。

链路认证及协商单元41，用于对无线用户进行链路认证及链路协商，以及向漫游用户判断单元42发送漫游用户判断消息。接入控制器接收到无线用户发送的链路认证以及链路协商请求消息后，通过链路认证及协商单元41对无线用户进行链路认证以及链路协商。链路协商成功后，向漫游用户判断单元42发送漫游用户判断消息。

漫游用户判断单元42，用于在接收到所述漫游用户判断消息时，判断无线用户是否为漫游用户，以及在确定无线用户为非漫游用户时，向接入认证单元43发送接入认证消息，在确定无线用户为漫游用户时，向密钥协商单元44发送密钥协商消息。

漫游用户判断单元42可以通过向所有的邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户。该查询消息中携带无线用户的MAC地址；邻居接入控制器查询自身是否保存有与所述MAC地址对应的PMK，如果是，则向漫游用户判断单元42回应漫游用户确认消息，消息中携带所述MAC地址及对应的PMK；漫游用户判断单元42接收到所述漫游用户确认消息，则确定无线用户为漫游用户。

对于无线用户第一次接入到WLAN时，就将相关信息在所有的AC上进行同步的情形，本发明实施例所述的接入控制器进一步包括同步单元，用于从无线网络中其他接入控制器获取PMK信息。漫游用户判断单元42还可以通过判断本接入控制器是否保存有与无线用户的MAC地址对应的PMK来判断无线用户是否为漫游用户，如果是，则确定无线用户为漫游用户。

对于不知道无线用户第一次接入到WLAN时是否将相关信息在所有的AC上进行同步的情形，漫游用户判断单元42先判断先本接入控制器是否保存有与无线用户的MAC地址对应的PMK，如果是，则确定无线用户为漫游用户；如果不是，再通过向所有的邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户。

在确定无线用户为漫游用户时，为了提高漫游用户的接入速度，直接向密钥协商单元44发送密钥协商消息。在确定无线用户为非漫游用户时，进行正常的无线接入过程，即向接入认证单元43发送接入认证消息。

接入认证单元43，用于根据所述接入认证消息，对无线用户进行接入认证，以及向密钥协商单元44发送密钥协商消息。接入认证单元43可以通过认证服务器对无线用户进行接入认证，接入认证成功后，向密钥协商单元44发送密钥协商消息。

密钥协商单元44，用于在接收到所述密钥协商消息时，与无线用户进行密钥协商，以及向无线接入服务单元45发送无线接入服务消息。密钥协商单元44和无线用户通过四次握手过程进行密钥协商，并根据无线用户的MAC地址对应的PMK生成PTK。秘钥协商成功后，向无线接入服务单元45发送无线接入服务消息。

无线接入服务单元45，用于在接收到所述无线接入服务消息时，为无线用户提供无线接入服务。

在本发明另一实施例的接入控制器中，为了进一步保证WLAN的安全性，在漫游用户接入WLAN后，所述接入控制器还进一步对无线用户进行接入认证(或者称为后认证)。其中：

密钥协商单元44，进一步用于在根据漫游用户判断单元42发送的密钥协商消息与无线用户进行密钥协商后，向接入认证单元43发送后认证消息。

接入认证单元43，进一步用于根据所述后认证消息，对无线用户进行接入认证，以及在接入认证失败时，向无线接入服务单元45发送停止无线接入服务消息。

无线接入服务单元45，进一步用于在接收到所述停止无线接入服务消息时，停止对无线用户提供无线接入服务。

本领域技术人员容易理解的是，在一些对数据通信的安全性要求不高的场合，也可以不进行密钥协商。也就是说，本发明实施例所述的接入控制器也可以不包括密钥协商单元44。漫游用户判断单元42在确定无线用户为漫游用户时，直接向无线接入服务单元45发送无线接入服务消息；无线接入服务单元45根据所述无线接入服务消息，为无线用户提供无线接入服务。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到本发明可借助软件加必须的通用硬件平台的方式来实现，当然也可以通过硬件，但显然前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明实施例所述方法。

同样，还可以通过一种计算机设备来实现，所述计算机设备包括用以执行本发明所述方法的软件以及运行该软件必须的硬件。

综上所述，本发明实施例所述无线接入方法及接入控制器，在无线用户需要接入时，AC判断该无线用户是否为漫游用户，在确定无线用户为漫游用户时，为该无线用户提供快速的接入服务，即在进行链路认证和链路协商后，直接进行密钥协商，密钥协商完成后，立即为无线用户提供接入服务，从而保证了高层业务的连续性，为用户提供了无缝的漫游服务。

最后应当说明的是，以上实施例仅用以说明本发明的技术方案而非限制，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神范围，其均应涵盖在本发明的权利要求范围当中。

Claims (18)

1.一种无线接入方法，其特征在于，包括：

接入控制器判断当前接入的无线用户是否为漫游用户，在确定所述无线用户为漫游用户时，跳过接入认证步骤，直接为该无线用户提供无线接入服务，其中，

接入控制器判断当前接入的无线用户是否为漫游用户为：

接入控制器向其邻居接入控制器发送漫游用户查询消息，该查询消息中携带该无线用户的媒体接入控制MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的对称主密钥PMK，并根据邻居接入控制器返回的漫游用户确认消息确定无线用户是否为漫游用户。

2.根据权利要求1所述的方法，其特征在于，在跳过接入认证步骤后为无线用户提供无线接入服务之前，进一步包括：

接入控制器与所述无线用户进行密钥协商。

3.根据权利要求1或2所述的方法，其特征在于，在为无线用户提供无线接入服务之后，进一步包括：

接入控制器对无线用户进行接入认证，并在接入认证失败时，停止对无线用户提供无线接入服务。

4.一种无线接入方法，其特征在于，包括：

接入控制器判断当前接入的无线用户是否为漫游用户，在确定所述无线用户为漫游用户时，跳过接入认证步骤，直接为该无线用户提供无线接入服务，其中，

接入控制器在无线网络内利用同步机制获取其他接入控制器保存的PMK信息；

接入控制器判断当前接入的无线用户是否为漫游用户为：

判断本接入控制器是否保存有与该无线用户的MAC地址对应的PMK，如果是，则确定所述无线用户为漫游用户。

5.根据权利要求4所述的方法，其特征在于，在跳过接入认证步骤后为无线用户提供无线接入服务之前，进一步包括：

接入控制器与所述无线用户进行密钥协商。

6.根据权利要求4或5所述的方法，其特征在于，在为无线用户提供无线接入服务之后，进一步包括：

接入控制器对无线用户进行接入认证，并在接入认证失败时，停止对无线用户提供无线接入服务。

7.一种无线接入方法，其特征在于，包括：

接入控制器判断当前接入的无线用户是否为漫游用户，在确定所述无线用户为漫游用户时，跳过接入认证步骤，直接为该无线用户提供无线接入服务，其中，

接入控制器判断当前接入的无线用户是否为漫游用户为：

判断本接入控制器是否保存有与该无线用户的MAC地址对应的PMK，如果是，则确定所述无线用户为漫游用户；否则，

接入控制器向其邻居接入控制器发送漫游用户查询消息，该查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK，并根据邻居接入控制器返回的漫游用户确认消息确定无线用户是否为漫游用户。

8.根据权利要求7所述的方法，其特征在于，在跳过接入认证步骤后为无线用户提供无线接入服务之前，进一步包括：

接入控制器与所述无线用户进行密钥协商。

9.根据权利要求7或8所述的方法，其特征在于，在为无线用户提供无线接入服务之后，进一步包括：

接入控制器对无线用户进行接入认证，并在接入认证失败时，停止对无线用户提供无线接入服务。

10.一种接入控制器，包括，无线接入服务单元，其特征在于，还包括漫游用户判断单元，其中：

漫游用户判断单元，用于通过向邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户，以及在确定无线用户为漫游用户时，向无线接入服务单元发送无线接入服务消息，其中，所述查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK；

无线接入服务单元，用于在接收到所述无线接入服务消息时，跳过接入认证，直接为无线用户提供无线接入服务。

11.根据权利要求10所述的接入控制器，其特征在于，还包括：

密钥协商单元，用于在无线接入服务单元为无线用户提供无线接入服务之前，与所述无线用户进行密钥协商。

12.根据权利要求10或11所述的接入控制器，其特征在于，还包括：

接入认证单元，用于在无线接入服务单元为无线用户提供无线接入服务之后，对无线用户进行接入认证，以及在接入认证失败时，向无线接入服务单元发送停止无线接入服务消息；

无线接入服务单元，进一步用于在接收到所述停止无线接入服务消息时，停止对无线用户提供无线接入服务。

13.一种接入控制器，包括，无线接入服务单元，其特征在于，还包括漫游用户判断单元和同步单元，其中：

同步单元，用于从无线网络中其他接入控制器获取PMK信息；

漫游用户判断单元，用于通过判断本接入控制器是否保存有与无线用户的MAC地址对应的从其他接入控制器获取的PMK来判断无线用户是否为漫游用户，以及在确定无线用户为漫游用户时，向无线接入服务单元发送无线接入服务消息；

无线接入服务单元，用于在接收到所述无线接入服务消息时，跳过接入认证，直接为无线用户提供无线接入服务。

14.根据权利要求13所述的接入控制器，其特征在于，还包括：

密钥协商单元，用于在无线接入服务单元为无线用户提供无线接入服务之前，与所述无线用户进行密钥协商。

15.根据权利要求13或14所述的接入控制器，其特征在于，还包括：

接入认证单元，用于在无线接入服务单元为无线用户提供无线接入服务之后，对无线用户进行接入认证，以及在接入认证失败时，向无线接入服务单元发送停止无线接入服务消息；

无线接入服务单元，进一步用于在接收到所述停止无线接入服务消息时，停止对无线用户提供无线接入服务。

16.一种接入控制器，包括，无线接入服务单元，其特征在于，还包括漫游用户判断单元，其中：

漫游用户判断单元，用于通过判断本接入控制器是否保存有与无线用户的MAC地址对应的PMK来判断无线用户是否为漫游用户；

且在确定本接入控制器中没有保存与所述MAC地址对应的PMK时，通过向邻居接入控制器发送漫游用户查询消息来判断无线用户是否为漫游用户，以及在确定无线用户为漫游用户时，向无线接入服务单元发送无线接入服务消息，其中，所述查询消息中携带该无线用户的MAC地址，用以请求邻居接入控制器确认其是否保存有与所述MAC地址对应的PMK；

无线接入服务单元，用于在接收到所述无线接入服务消息时，跳过接入认证，直接为无线用户提供无线接入服务。

17.根据权利要求16所述的接入控制器，其特征在于，还包括：

密钥协商单元，用于在无线接入服务单元为无线用户提供无线接入服务之前，与所述无线用户进行密钥协商。

18.根据权利要求16或17所述的接入控制器，其特征在于，还包括：

接入认证单元，用于在无线接入服务单元为无线用户提供无线接入服务之后，对无线用户进行接入认证，以及在接入认证失败时，向无线接入服务单元发送停止无线接入服务消息；

无线接入服务单元，进一步用于在接收到所述停止无线接入服务消息时，停止对无线用户提供无线接入服务。

Images