CN101155055B - 一种下一代网络的用户管理方法和系统 - Google Patents

Abstract

一种涉及电通信技术的下一代网络的用户管理方法和系统，其方法为：A、在下一代网络NGN的网络配属子系统NASS中，设立代理服务器的代理管理数据库，根据所述的代理管理数据库确定代理服务器的服务设置，B、用户通过代理服务器实现相应业务使用，该系统包括网络配属子系统NASS，网络配属子系统NASS中具有认证服务器、代理服务器和用户管理数据库，其特征在于：还包括代理管理数据库，代理管理数据库和用户管理数据库分别为代理服务器和用户的网络设置数据，认证服务器根据所述的代理管理数据确定代理服务器的服务设置，代理服务器完成用户接入网络业务的实施，本发明认证服务器对代理服务器具有多方面的管理功能，可靠性高，实用性强。

Description

一种下一代网络的用户管理方法和系统 

技术领域

本发明涉及电通信技术，尤其涉及一种下一代网络的用户管理方法和系统。 

背景技术

下一代网络(NGN：Next Generation Network)为用户提供了比以前的网络更丰富灵活的业务，对于用户的管理是必须解决的关键技术。在NGN中，网络配属子系统(NASS：Network Attachment Subsystem)用于对所有用户提供统一的管理，在用户管理中，用户的可靠性和安全性是用户管理中的重要组成部分。 

现有的NASS基本结构如图1所示，它包括认证服务器1、代理服务器2和用户管理数据库4，NASS中用户认证是通过认证服务器1从用户管理(User Profile)数据库4中取得用户3的数据，根据用户管理(UserProfile)数据库4的数据得到该用户3的相关信息，对用户3进行质量服务和安全限制方面的授权。 

代理服务器2把用户3的各种请求转发给认证服务器1，同时把认证服务器1的应答也转发给相应的用户3，用户3通过代理服务器2与认证服务器1进行联系，获得认证。认证通过的用户3，代理服务器2会通过认证服务器1从用户管理(User Profile)数据库4中取得用户3数据，即获得用户3的User Profile，然后根据其中的信息对该用户3进行质量服务和安全限制方等面的管理和控制。现有的用户管理数据 库4所包括的数据如表1所示： 

表1 

现有技术的基本控制流程如下： 

(1)认证服务器1和代理服务器2之间通过认证、授权和计费(AAA：Authentication，Authorization and Accounting)、远程认(验)证拔号用户服务(RADIUS：Remote Authentication Dial-In UserService)或下一代AAA协议(Diameter)等协议，建立二者的信任关系。 

(2)用户3发出申请接入网络的请求，代理服务器2负责把请求转发到认证服务器1。 

(3)认证服务器1对用户3进行认证，如果用户3通过认证，认证服务器1则从用户管理数据库4中得到用户策略，下发给代理服务器2；否则，向用户3反馈拒绝消息。 

(4)用户3通过代理服务器2连至相应的业务网络。 

在现有技术中，代理服务器2和认证服务器1之间仅通过已有的(AAA、RADIUS或Diameter)协议来保证认证，认证服务器1对代理服务器2缺乏全面的管理。 

发明内容

本发明的目的在于提供一种下一代网络的用户管理方法和系统，以解决现有技术中认证服务器对代理服务器缺乏全面管理的问题。 

本发明所采用的下一代网络的用户管理方法，其特征在于：它采用如下步骤： 

A、在下一代网络NGN的网络配属子系统NASS中，设立代理服务器的代理管理数据库，根据所述的代理管理数据库确定代理服务器的服务设置，其中，所述代理管理数据库至少包括代理服务器标识号ProxyID和QoS信息；所述的代理管理数据库中还包括所述代理服务器允许代理的最大用户数量和安全信息，所述代理管理数据库中的安全信息包括基于五元组和虚拟网识别号的访问控制列表； 

B、用户通过代理服务器实现相应业务使用。 

所述的步骤A包括如下步骤： 

A1、代理服务器和认证服务器之间通过通讯协议，建立信任关系，认证服务器对代理服务器进行认证，并从代理管理数据库取得代理管理数据，其中， 

所述的代理管理数据库至少包括代理服务器标识号ProxyID和QoS信息，其中， 

所述的代理服务器标识号ProxyID反映该代理服务器接入认证服务器的相应唯一号； 

所述的QoS信息反映该代理服务器的所有用户可以被施行的质 量服务； 

A2、认证服务器把认证通过后的代理管理数据，从代理管理数据库中取出，发给代理服务器本地保存。 

所述的步骤A1中，所述的QoS信息中包括流量工程参数，所述的步骤A2中，对代理服务器提供QoS保证时，通过流量工程来确保认证服务器和代理服务器之间数据的QoS。 

所述的步骤B包括如下步骤： 

B1、用户通过代理服务器向认证服务器发出申请接入网络的请求； 

B2、认证服务器根据用户管理数据库对所述的用户进行认证，将用户管理数据库中的用户策略下发给代理服务器； 

B3、代理服务器根据得到的用户策略，对用户接入网络的业务实施相应的控制； 

B4、用户根据该用户策略使用相应的业务。 

所述的步骤B2中，所述的用户管理数据库中增设计费类型、流量工程参数和安全信息，所述的安全信息包括访问控制列表ACL和最大连接数量。 

所述的步骤B2包括如下步骤： 

B21、认证服务器对所述用户进行认证，进行如下操作： 

B211、若用户通过认证，继续如下步骤B22； 

B212、否则，认证服务器通过代理服务器向用户反馈拒绝消息。 

B22、认证服务器从用户管理数据库中得到用户策略，下发给用户代理，所述的用户策略包括用户计费方式、用户电信级可靠性服务和用户安全策略。 

所述的步骤B21中，所述的认证服务器对用户进行认证前，还包括代理服务器检查接入的用户总数，若超过最大用户数量时，代理服务器拒绝该用户的认证。 

所述的步骤B2中，还包括认证服务器将代理管理数据库中的代理策略下发给代理服务器。 

本发明所采用的下一代网络的用户管理系统，包括网络配属子系统NASS，网络配属子系统NASS中具有认证服务器、代理服务器和用户管理数据库，所述的认证服务器对用户进行认证，所述的代理服务器将用户的请求转发给认证服务器，同时将认证服务器的应答转发给相应的用户，其特征在于： 

还包括代理管理数据库，所述的代理管理数据库和用户管理数据库分别为代理服务器和用户的网络设置数据，其中所述的代理管理数据库至少包括代理服务器标识号ProxyID和业务质量QoS信息；所述的代理管理数据库中还包括所述代理服务器允许代理的最大用户数量和安全信息，所述代理管理数据库中的安全信息包括基于五元组和虚拟网识别号的访问控制列表； 

所述的认证服务器根据所述的代理管理数据库确定代理服务器的服务设置； 

所述的代理服务器完成用户接入网络业务的实施。 

所述的认证服务器对代理服务器进行认证，认证服务器和代理服务器根据代理管理数据中的QOS策略提供相应的QoS保证。 

所述的代理服务器根据代理策略对接入的用户数量进行管理，当超过代理服务器允许接入的最大用户数量时，拒绝新的用户接入。 

所述的认证服务器将用户管理数据库中的用户策略下发给代理服务器，所述的用户策略包括用户计费方式、用户电信级可靠性服务和用户安全策略。 

所述的代理服务器根据用户计费方式，采集QoS流量信息；根据用户的可靠性策略，对用户的带宽和主线路进行保护；根据用户所定制的安全策略实施访问；根据从认证服务器取得的代理策略，对该代理服务器下的所有用户实施相应策略。 

本发明的有益效果为：在本发明中，在下一代网络NGN的网络配属子系统NASS中，设立代理服务器的代理管理数据库，根据代理管理数据库确定代理服务器的服务设置，通过代理管理数据库，认证服务器可对所有代理服务器的功能进行管理和限定，例如，通过对代理服务器进行认证、加密、QOS、备份、负载分担等，更好的管理认证代理，提供NGN网络的安全性和可靠性，根据其中的安全信息和QoS信息，行使对应的QoS、安全等功能，在QoS轮廓信息中设置流量工程参数，对代理服务器提供QoS保证时，就可以通过流量工程(TE：Traffic Engineering)来确保认证服务器和代理服务器之间数据的QoS，使本发明中认证服务器对代理服务器具有多方面的管理功能，且采用流量工程的QoS保证提高了本发明的可靠性。 

在本发明中，通过建立并保存代理管理数据库，利用其中的安全信 息，对于系统的安全性保障则不仅仅局限于初始网管设置(目的IP地址、网段和端口范围、用户可以访问的范围)，本发明可以根据基于五元组、VLAN ID等各种信息的访问控制列表(ACL：Access Control List)来进行安全管理，进一步提高了本发明的安全性。 

在本发明中，用户管理数据库包括计费类型，通过计费类型可以进行计费的定义，这样代理服务器可以确定是否为该用户提供QOS计数，提高本发明的实用性。 

具体地说，本发明具有如下优点： 

1)本发明通过提供针对代理服务器的QoS，为代理服务器和认证服务器之间的信息提供QoS保证，从而提高用户认证的服务质量，通过提供TE带宽保护，自动部署电信级可靠性的接入服务，为用户提供更高质量的服务。 

2)本发明通过提供更精细的安全策略，保护网络安全，同时对于“受限用户”，比如儿童帐号，可以提供更好的安全措施。 

3)本发明通过用户计费模式，使网络接入设备能清楚用户的计费方式，并对相应的计费方式提供相应的处理，比如对于基于QoS流量或业务流量计费的用户，接入设备将提供基于用户的QoS流量或者业务流量的统计，使计费功能得到自动的部署，对不需要该功能的用户不比做相应处理，节省设备的资源，并能更精细的控制用户的计费管理； 

4)本发明通过提供代理服务器的最大用户数量，可以防止非法用户的攻击，保证网络安全。 

附图说明

图1为现有技术NASS基本结构示意图； 

图2为本发明NASS基本结构示意图； 

图3为本发明基本控制流程示意图； 

图4为本发明具体控制流程示意图。 

具体实施方式

下面根据附图和实施例对本发明作进一步详细说明： 

根据图2，本发明包括网络配属子系统NASS，网络配属子系统NASS中具有认证服务器1、代理服务器2、用户管理数据库4和代理管理数据库5，代理管理(Proxy Profile)数据库5和用户管理(User Profile)数据库4分别为代理服务器2和用户3的网络设置数据。 

在本发明中，如下表2所示，代理管理数据库5包括代理服务器标识号、物理访问标识号、逻辑访问标识号、访问网络类型、全球唯一IP地址、用户管理信息、QoS信息、安全信息和初始网关设置，其中： 

代理服务器标识号ProxyID反映该代理服务器接入认证服务器的相应唯一标志。 

安全信息包括基于五元组和虚拟网识别号VLAN ID的访问控制列表ACL和最大连接数量。 

QoS信息反映该代理服务器的所有用户可以被施行的分层质量服务，还包括上行链路带宽和下行注册带宽。 

表2 

如下表3所示，本发明的用户(User Profile)管理数据库4增设了计费类型、流量工程参数、安全信息，安全信息包括访问控制列表ACL和最大会话数量。 

表3 

如图2所示，认证服务器1对用户3进行认证，代理服务器2将用户3的请求转发给认证服务器1，同时将认证服务器1的应答转发给相应的用户，认证服务器1对代理服务器2进行认证，并根据代理管理数据库5对代理服务器2提供相应的QoS保证，认证服务器1根据代理管理数据库5确定代理服务器2的服务设置，代理服务器2完成用户3接入网络业务的实施。 

如图2所示，认证服务器1还通过对代理服务器2的接入数量的检查，根据代理服务器2的最大用户数量(Max user number)决定用户3的认证合法性。 

如图2所示，认证服务器1将用户管理数据库4中的用户策略和代理管理数据库5中的代理策略下发给代理服务器2，用户策略包括用户计费方式、用户电信级可靠性服务、用户安全策略等，具体地，代理服务器2根据用户3计费方式，采集QoS的流量信息；根据用户3的可靠性策略，对用户3的带宽和主线路进行保护；根据用户3所定制的安全策略实施访问控制；根据从认证服务器1取得的代理策略，对该代理服务器2下的所有用户3实施相应策略。 

如图3所示，本发明的基本控制流程如下： 

I.代理服务器2和认证服务器1之间通过通讯协议进行认证，建立信任关系，认证服务器1对代理服务器2进行认证，建立并保存代理管理数据库5。 

II.认证服务器1根据代理管理数据库5，对代理服务器2提供相应的QoS保证，并向代理服务器2发出相应通知。 

III.用户3通过代理服务器2实现相应业务使用。 

如图4所示，本发明的具体控制流程如下： 

1.代理服务器2和认证服务器1之间通过IP传输网络进行交换，建立信任关系，认证服务器1对代理服务器2进行认证，建立并保存代理管理数据库5，代理管理数据库5包括代理服务器标识号、物理访问标识号、逻辑访问标识号、访问网络类型、全球唯一IP地址、用户管理信息、QoS信息、安全信息和初始网关设置等，。 

2.认证服务器1根据代理管理数据库5，通过流量工程TE来确保认证服务器1和代理服务器2之间数据的QoS，并向代理服务器2发出相应通知。 

3.用户3通过代理服务器2向认证服务器1发出申请接入网络的请求，该请求包括用户3的注册标识号、密码等信息，请求允许自己使用申请的业务，代理服务器2将该请求转发到认证服务器1。 

4.认证服务器1收到请求后，检查代理服务器2的接入数量，根据代理管理数据库5中的最大用户数量(Max user number)，决定用户3的认证合法性，进行如下操作： 

41.若代理服务器2所接入的数量超过最大用户数量时，则表示对用户3的认证不合法，认证服务器1拒绝用户3的认证通过，认证服务器1通过代理服务器2向用户3反馈拒绝消息。 

42.否则，表示对用户3的认证合法，继续如下步骤5。 

5.认证服务器1对用户3进行认证，认证可以采用AAA/RADIUS等，进行如下操作： 

51.若认证未通过，认证服务器1通过代理服务器2向用户3反馈拒绝消息。 

52.若认证通过，继续如下步骤6。 

6.认证服务器1将用户管理数据库4中的用户策略和代理管理数据库5中的代理策略下发给代理服务器2。 

7.代理服务器2根据得到的用户策略和代理策略，对用户3接入网络的业务实施相应的控制，具体的控制可包括： 

代理服务器2根据用户3计费方式，采集QoS的流量信息。 

代理服务器2根据用户3的可靠性策略，对用户3的带宽和主线路进行保护。 

代理服务器2根据用户3所定制的安全策略实施访问控制，例如，用户3是儿童，其父母为其申请的帐户中定义好了可以访问的WEB站点(通过用户管理数据库4中的安全轮廓信息体现)，这样，该儿童就不能访问一些不该访问的站点了。 

代理服务器2根据从认证服务器1取得的代理策略，对该代理服务器2下的所有用户3实施相应策略。 

8.用户3根据用户策略实现对业务的使用，通过代理服务器2连接至相应的业务网络。 

Claims (13)

1.一种下一代网络的用户管理方法，其特征在于：它采用如下步骤：

A、在下一代网络NGN的网络配属子系统NASS中，设立代理服务器的代理管理数据库，根据所述的代理管理数据库确定代理服务器的服务设置和执行的功能，其中所述的代理管理数据库至少包括代理服务器标识号ProxyID和业务质量QoS信息；所述的代理管理数据库中还包括：所述代理服务器允许代理的最大用户数量和安全信息，所述代理管理数据库中的安全信息包括基于五元组和虚拟网识别号的访问控制列表；

B、用户通过代理服务器实现相应业务使用。

2.根据权利要求1所述的下一代网络的用户管理方法，其特征在于：

所述的步骤A包括如下步骤：

A1、代理服务器和认证服务器之间通过通讯协议，建立信任关系，认证服务器对代理服务器进行认证，并从代理管理数据库取得代理管理数据；

所述的代理管理数据库至少包括代理服务器标识号ProxyID和QoS信息，其中，

所述的代理服务器标识号反映该代理服务器接入认证服务器的相应唯一标志；

所述的QoS信息反映该代理服务器的所有用户可以被施行的质量服务；

A2、认证服务器把认证通过后的代理管理数据，从代理管理数据库中取出，发给代理服务器本地保存。

3.根据权利要求2所述的下一代网络的用户管理方法，其特征在于：

所述的步骤A1中，所述的QoS信息中包括流量工程参数，所述的步骤A2中，对代理服务器提供QoS保证时，通过流量工程来确保认证服务器和代理服务器之间数据的QoS。

4.根据权利要求1-3中任意一项所述的下一代网络的用户管理方法，其特征在于：所述的步骤B包括如下步骤：

B1、用户通过代理服务器向认证服务器发出申请接入网络的请求；

B2、认证服务器根据用户管理数据库对所述的用户进行认证，将用户管理数据库中的用户策略下发给代理服务器；

B3、代理服务器根据得到的用户策略，对用户接入网络的业务实施相应的控制；

B4、用户根据该用户策略使用相应的业务。

5.根据权利要求4所述的下一代网络的用户管理方法，其特征在于：

所述的步骤B2中，所述的用户管理数据库中增设计费类型、流量工程参数和安全信息，所述用户管理数据库中的安全信息包括访问控制列表ACL和最大连接数量。

6.根据权利要求5所述的下一代网络的用户管理方法，其特征在于：

所述的步骤B2包括如下步骤：

B21、认证服务器对所述用户进行认证，进行如下操作：

B211、若用户通过认证，继续如下步骤B22；

B212、否则，认证服务器通过代理服务器向用户反馈拒绝消息；

B22、认证服务器从用户管理数据库中得到用户策略，下发给用户代理，所述的用户策略包括用户计费方式、用户电信级可靠性服务和用户安全策略。

7.根据权利要求6所述的下一代网络的用户管理方法，其特征在于：

所述的步骤B21中，所述的认证服务器对用户进行认证前，还包括代理服务器检查接入的用户总数，若超过最大用户数量时，代理服务器拒绝该用户的认证。

8.根据权利要求4所述的下一代网络的用户管理方法，其特征在于：

所述的步骤B2中，还包括认证服务器将代理管理数据库中的代理策略下发给代理服务器。

9.一种下一代网络的用户管理系统，包括网络配属子系统NASS，网络配属子系统NASS中具有认证服务器、代理服务器和用户管理数据库，所述的认证服务器对用户进行认证，所述的代理服务器将用户的请求转发给认证服务器，同时将认证服务器的应答转发给相应的用户，其特征在于：

还包括代理管理数据库，所述的代理管理数据库和用户管理数据库分别为代理服务器和用户的网络设置数据，其中所述的代理管理数据库至少包括代理服务器标识号ProxyID和业务质量QoS信息；所述的代理管理数据库中还包括所述代理服务器允许代理的最大用户数量和安全信息，所述代理管理数据库中的安全信息包括基于五元组和虚拟网识别号的访问控制列表；

所述的认证服务器根据所述的代理管理数据库确定代理服务器的服务设置；

所述的代理服务器完成用户接入网络业务的实施。

10.根据权利要求9所述的下一代网络的用户管理系统，其特征在于：

所述的认证服务器对代理服务器进行认证，认证服务器和代理服务器根据代理管理数据中的QoS策略提供相应的QoS保证。

11.根据权利要求9或10所述的下一代网络的用户管理系统，其特征在于：代理服务器根据代理策略对接入的用户数量进行管理，当超过代理服务器允许接入的最大用户数量时，拒绝新的用户接入。

12.根据权利要求9或10所述的下一代网络的用户管理系统，其特征在于：所述的认证服务器将用户管理数据库中的用户策略下发给代理服务器，所述的用户策略包括用户计费方式、用户电信级可靠性服务和用户安全策略。

13.根据权利要求12所述的下一代网络的用户管理系统，其特征在于：

所述的代理服务器根据用户计费方式，采集QoS流量信息；根据用户的可靠性策略，对用户的带宽和主线路进行保护；根据用户所定制的安全策略实施访问；根据从认证服务器取得的代理策略，对该代理服务器下的所有用户实施相应策略。

Images