CN101163264A - 一种移动通信系统中的数据业务接入控制方法 - Google Patents

Abstract

本发明涉及一种用于移动通信系统中的数据业务接入控制方法，该方法在接入点或者网关支持节点收到创建业务请求消息后，通过判断该请求是否来自安全的数据网；是否来自可为之提供服务的运营商的服务支持节点；该用户是否属于可为之提供服务的运营商；该用户从该业务支持节点接入到本接入点或者网关支持节点的行为是否符合协议既定规则以及该业务请求携带的信息是否与位置注册时提交归属位置寄存器的对应信息一致对业务请求消息内容进行验证和检查，有效地过滤掉了来自非法外部网络的非法用户入侵业务请求消息，本发明可以应用于任何移动通信系统的分组数据网络的数据业务接入控制，尤其可用于GPRS网络。

Description

一种移动通信系统中的数据业务接入控制方法

技术领域

本发明涉及移动通信领域，尤其涉及一种移动通信系统中的数据业务接入控制方法。

背景技术

移动通信系统是指能够为在系统服务区域内进行移动的用户提供通信服务的电信系统。通过与移动通信运营商建立签约合同关系，用户可以接入到其移动通信网络中、使用话音服务、或者通过该接入网所能提供的数据服务连接到外部数据网，例如因特网等。

通常在使用数据服务之前，用户需要先在服务支持节点注册其当前移动位置。在该注册过程中，服务支持节点会对用户的合法性进行验证，只有合法的签约用户才能够在服务支持节点中成功注册其当前移动位置。然后，用户才可以通过该服务支持节点连接到接入点或者网关支持节点来使用数据服务；并且，在连接到接入点或者网关支持节点之前，服务支持节点可能还要对用户的合法性再次验证。因此接入点或者网关支持节点在收到的业务请求消息时，只对消息中的接入点名称等信息进行验证，而不对接入用户的安全性进行检查。

随着漫游业务的开通，移动用户可以漫游到国内其他地区、甚至是其他国家；而且运营商为了便于计费结算，可能会在签约移动用户数据的时候就选择让自己的移动用户漫游时进行数据业务接回归属地接入点或者网关支持节点。例如，运营商甲与运营商乙之间相互开通了漫游业务；那么运营商甲的用户漫游到运营商乙的网络之后，在运营商乙的服务支持节点进行位置注册，而在使用数据业务时则选择接回运营商甲的接入点或者网关支持节点。

在全球移动通信系统(GSM)中，为了提供通用分组无线服务(GPRS)这项数据服务，引入了服务GPRS支持节点(SGSN)、网关GPRS支持节点(GGSN)等核心网设备，通过SGSN、GGSN，移动用户可以连接到外部数据网络。在该系统中，漫游的移动用户可以在漫游地的SGSN进行位置注册，而使用数据业务时则可能接回归属地的GGSN。

为了满足漫游地的服务支持节点(例如SGSN)与归属地的接入点或者网关支持节点业务(例如GGSN)之间的数据通信需求(例如GPRS隧道协议消息即GTP消息，该消息用于在SGSN与GGSN之间进行通信)，需要将不同地区或者不同运营商的移动通信数据承载网络进行对接。在对接方式上，可以选择使用独立的承载网或者专线等方式，这样可以有效保证网络的安全性；但是，该方式可能会因为距离等因素的影响而面临高昂的成本。

在实际组网中为了降低运营成本，可以选择穿越公共数据网的方式进行对接；但是在该方式下，移动通信数据承载网络的封闭性将被打破、其安全性将受到严重的威胁。出于对安全性的考虑，通常会在移动通信数据承载网络与外部数据网之间架设防火墙。防火墙一般可以通过对IP地址和端口等信息来过滤掉部分非法分组数据包。只要已知需要对接的对端移动通信数据承载网络中所使用合法数据包的源地址，就可以在防火墙上通过检查这些源地址过滤掉部分来自外部分组数据网的非法消息。但是，防火墙可能无法对消息(例如GTP信令消息)内部的内容进行检查，这样就给非法消息的入侵留下了机会。因此，尽管有防火墙的帮助，处于开放性移动通信数据承载网络中的接入点或者网关支持节点仍然可能会收到不安全的业务请求消息，例如GTP信令消息中创建分组数据协议(Packet Data Protocol，PDP)上下文请求消息就有可能是不安全的。

此外，部分业务提供商会要求用户提供用户名密码信息来进一步验证其合法性(例如RADIUS鉴权，即远程拨入用户认证服务)；但是，还有部分业务提供商并不会对用户进行进一步的验证，因此这部分业务也留下了很多的安全隐患。

因此，在开放式的移动通信数据承载网络中，接入点或者网关支持节点不验证服务支持节点和用户的合法性会带来严重的安全问题。攻击者可以构造出非法的用户、并借助于其他合法服务支持节点所使用的合法IP地址来欺骗防火墙，将业务请求消息从公共数据网络发送到接入点或者网关支持节点。而接入点或者网关支持节点无法判断出该用户的合法性而允许其接入并为之分配系统资源；一旦非法用户占用了大量甚至全部的系统资源将直接导致合法用户无法正常接入，在任何移动通信系统的数据承载网络中，都可能会面临类似的安全问题。

发明内容

本发明所要解决的技术问题是，提供一种用于移动通信系统中的数据业务接入控制方法，该方法可减轻或者克服现有数据业务接入方法中接入点或者网关支持节点不验证服务支持节点和用户的合法性带来的安全问题。

本发明所用的术语中，服务支持节点是指对移动用户进行验证并为之向接入点发送业务请求的网元；接入点是指提供到外部数据网络通信功能的网元；业务请求是指请求建立数据通信会话的任何消息；归属位置寄存器是指保存用户签约数据和位置注册服务支持节点信息的网元。

本发明所述用于移动通信系统中的数据业务接入控制方法，移动用户在服务支持节点完成位置注册后，向服务支持节点发送业务请求，服务支持节点收到请求后向接入点或者网关支持节点发送创建业务请求，接入点或者网关支持节点收到请求后执行后续处理流程，所述后续处理流程包括进行接入点名称(APN)检查、远程接入拨号用户服务(RADIUS)鉴权以及响应业务请求，接入点或者网关支持节点执行后续处理流程前，执行以下步骤：

步骤一：判断该请求是否来自安全的数据网，若判断结果为是，则执行后续处理流程；否则执行步骤二；

步骤二：判断该请求是否来自可为之提供服务的运营商的服务支持节点，若判断结果为是，则执行步骤三；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤三：判断该用户是否属于可为之提供服务的运营商，若判断结果为是，则执行步骤四；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤四：判断该用户从该业务支持节点接入到本接入点或者网关支持节点的行为是否符合协议既定规则；若判断结果为是，则执行步骤五；否则认为该业务请求消息为非法消息而直接将其丢弃并结束业务处理流程；

步骤五：接入点或者网关支持节点从归属位置寄存器中获取该用户当前的服务支持节点的路由信息和移动用户国际综合业务数字网号码(MobileSubscriber international ISDN Number，MSISDN)，并与业务请求中对应的信息进行比较，若其中任何一项不一致则认为是非法请求而直接将其丢弃并结束业务处理流程；若两项都相同，则认为该业务请求是来自合法服务支持节点的合法业务请求而继续为其执行后续处理流程。

所述接入点或者网关支持节点中包括以下配置信息：安全的数据网IP地址列表或者范围；本接入点或者网关支持节点可为之提供服务的运营商的服务支持节点路由信息列表；本接入点或者网关支持节点可为之提供服务的运营商地址列表或者范围；每个可为之提供服务的运营商所使用的国际移动用户标识(International Mobile Subscriber Identity，IMSI)范围；每个可为之提供服务的运营商所使用的MSISDN范围。

若所述移动通信系统支持一个用户同时接入多个会话，则在所述步骤一和步骤二之间还包括以下步骤：

步骤a：接入点或者网关寄存器检查该用户是否已经在该接入点或者网关支持节点建立了会话，若是，则执行步骤b，若否，则执行所述步骤二；

步骤b：接入点或者网关寄存器将该业务请求中的IP地址、路由信息、位置信息及MSISDN与已建立会话中保存的对应信息进行比较，若其中任何一项不一致，则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；否则认为该业务请求为合法请求而执行后续处理流程。

步骤四所述协议既定规则是指接入用户与该接入点或网关支持节点属于同一个运营商则允许接入；或者服务支持节点与该接入点或网关支持节点属于同一个运营商也允许接入；否则禁止接入。

若步骤五所述接入点或者网关支持节点从归属位置寄存器中获取该用户当前的服务支持节点的路由信息和MSISDN失败，则认为该业务请求消息为非法消息而直接将其丢弃并结束业务处理流程。

本发明在接入点或者网关支持节点对业务请求消息内容进行验证和检查，有效地过滤掉了来自非法外部网络的非法用户入侵业务请求消息，本发明可以应用于任何移动通信系统的分组数据网络的数据业务接入控制，尤其可用于GPRS网络。

附图说明

图1是本发明所述方法流程图；

图2是GPRS网络的系统架构示意图；

图3是本发明在GPRS网络中实施时的流程图。

具体实施方式

下面结合附图对本发明作进一步详细说明。

如图1所示，为本发明的所述方法流程图，具体包括以下步骤：

步骤一：接入点或者网关支持节点收到创建业务请求后，首先根据业务请求中所包含的IP地址判断该请求是否来自安全的数据网，若判断结果为是，则执行后续处理流程；否则执行步骤二；

步骤二：接入点或者网关支持节点根据业务请求中所包含的IP地址和位置信息判断该请求是否来自可为之提供服务的运营商的服务支持节点，若判断结果为是，则执行步骤三；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤三：接入点或者网关支持节点根据业务请求中包含的IMSI和MSISDN判断该用户是否属于可为之提供服务的运营商，若判断结果为是，则执行步骤四；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤四：接入点或者网关支持节点判断该用户从该业务支持节点接入到本接入点或者网关支持节点的行为是否符合协议既定规则；若判断结果为是，则执行步骤五；否则认为该业务请求消息为非法消息而直接将其丢弃并结束业务处理流程；

步骤五：接入点或者网关支持节点从归属位置寄存器中获取该用户当前的服务支持节点的路由信息和MSISDN，并与业务请求中对应的信息进行比较，若其中任何一项不一致则认为是非法请求而直接将其丢弃并结束业务处理流程；若两项都相同，则认为该业务请求是来自合法服务支持节点的合法业务请求而继续为其执行后续处理流程。

下面以GPRS网络为例说明本发明在具体网络中的应用。

如图2所示，为GPRS网络的系统架构示意图。GPRS支持一个用户同时接入多个会话，在该系统中，移动用户(MS)可以通过基站子系统(BSS)接入到GPRS核心网。GPRS核心网包括若干个服务GPRS支持节点(SGSN)和若干个网关GPRS支持节点(GGSN)，这些不同的SGSN和GGSN之间可能会通过公共数据网进行互联。其中，SGSN为用户提供位置管理、会话管理和数据传输服务，此处的数据传输服务是指接收MS经过BSS发送来的用户数据后转发给GGSN或者接收外部数据网络(PDN)经过GGSN发来的用户数据后再通过BSS转发给MS；GGSN只提供会话管理和数据传输服务，而此处的数据传输服务仅指在SGSN与PDN之间转发用户数据；GGSN中还为用户保存了路由信息(即SGSN地址)，用于发送控制消息和用户数据。

GPRS网络的归属位置寄存器(HLR)用于保存用户的签约数据(包括MSISDN)和路由信息(包括SGSN地址)等。SGSN通过Gr接口连接到HLR，GGSN通过Gc接口连接到HLR，漫游MS的HLR可以位于当前位置注册SGSN所在的移动通信网之外。

为了使用GPRS业务，首先要为MS提供位置管理服务，即MS在SGSN进行位置登记，即通过SGSN的位置管理服务在SGSN建立移动性管理上下文(MM上下文)，在该过程中，SGSN完成对MS的鉴权、向HLR登记SGSN的路由信息(即SGSN地址)、接收并保存来自HLR的用户签约数据(包括MSISDN)等。为了收发GPRS数据，还需要为MS提供会话管理服务，即通过PDP上下文激活流程，在MS、SGSN、GGSN上建立PDP上下文。PDP上下文激活流程中的“创建PDP上下文请求”本身是一个IP数据包，其IP地址的源地址表示该请求消息的来源；另外，该请求消息中还带有IMSI、网络层服务接入点标识(Network layer ServiceAccess Point Identifier，NSAPI)、路由区标识(Routing Area Identity，RAI)、SGSN GTP-C地址、MSISDN、APN等参数。其中，IMSI用于唯一识别一个MS，其中包含移动国家码(Mobile Country Code，MCC)和移动网络号(MobileNetwork Code，MNC)，可以用于识别该用户属于哪个移动运营商；NSAPI用于标识同一个MS的不同PDP；RAI为可选参数，业务请求消息中是否携带取决于各个设备厂家的实现，即有的厂家设备会携带而有的厂家设备不携带，包含MCC和MNC信息，用于标识MS是从哪个移动运营商的移动服务网络接入的；SGSNGTP-C地址表示SGSN的GTP信令接收地址，即GGSN把创建PDP上下文响应消息回复到这个地址，根据相关协议描述，该地址可以与创建PDP上下文请求消息的源地址不一致；MSISDN包含国家码(Country Code，CC)和国内目的码(NationalDestination Code，NDC)信息，由相关管理机构固定分配给运营商使用。GGSN中同一用户的不同的PDP上下文具有相同的IMSI和不同的NSAPI。

如图3所述，为本发明在GPRS网络中的一个实施例，GGSN对创建PDP上下文请求进行严格的验证，具体包括以下步骤：

步骤301：MS向SGSN发送激活PDP上下文请求；

步骤302：SGSN向GGSN发送创建PDP上下文请求；

步骤303：为了能够对创建PDP上下文请求进行验证，GGSN需要事先提供下列配置信息作为判断的依据：a.本GGSN可为之提供服务的归属运营商(假设为运营商A)和其他协议运营商地址列表；b.安全的数据网IP地址列表或者范围；c.每个可为之提供服务的运营商的SGSN发送GTP消息使用的源地址列表或者范围；d.每个可为之提供服务的运营商的SGSN GTP-C地址列表或者范围；e.每个可为之提供服务的运营商所使用的MCC和MNC；f.每个可为之提供服务的运营商所使用的IMSI范围；g.每个可为之提供服务的运营商所使用的MSISDN范围。该步骤具体包括以下步骤：

步骤3031：GGSN收到创建PDP上下文请求时，首先将该请求的源地址与上述配置项b做比较，判断该请求是否来自安全的数据网，若判断结果为是，则认为该请求为合法请求，直接执行后续处理流程；否则执行步骤3032；

步骤3032：判断GGSN中是否有该用户的其他成功激活的PDP上下文存在，若有，则将请求消息中的SGSN GTP-C地址、MSISDN信息与已经成功激活的PDP上下文中保存的对应信息作比较，其中任何一项参数不一致，则认为该业务请求属于非法请求而直接将其丢弃并结束业务处理流程；否则执行步骤3033；若GGSN中没有该用户成功创建的PDP上下文存在，则根据配置项c检查该请求的源地址属于可为之服务的运营商的SGSN，若不属于任何一个可为之提供服务的运营商SGSN，则认为该请求是非法请求而直接将其丢弃并结束业务处理流程；否则，执行步骤3033，此处假设该SGSN属于运营商B；

步骤3033：判断该请求是否来自可为之提供服务的运营商B的SGSN；包括以下步骤：

A：根据配置项d检查该请求中的SGSN GTP-C地址是否属于运营商B，若检查结果为是，则执行B步骤；否则认为该请求是非法请求而直接将其丢弃并结束业务处理流程；

B：若创建PDP上下文请求中带有RAI参数，则根据配置项e检查该消息所携带RAI参数中的MCC和MNC与该运营商B的是否一致，如果不一致，则认为该请求是非法请求而直接将其丢弃并结束业务处理流程；否则对该请求作进一步的验证；若该消息中不带RAI参数，则同样对其作进一步的验证：

步骤3034：判断该MS是否属于可为之提供服务的运营商，包括以下步骤：

1)：根据配置项f判断请求中的IMSI是否属于可为之提供服务的运营商，若判断结果为否，则认为该请求是非法请求而直接将其丢弃并结束业务处理流程；若判断结果为是，则执行步骤2)，并假设该业务请求的源地址属于运营商C；

2)：根据配置项g判断该请求中的MSISDN是否属于运营商C；若判断结果为否，则认为该请求是非法请求而直接将其丢弃并结束业务处理流程；若判断结果为是，则对该请求作进一步的验证；

步骤3035：判断运营商C的MS使用运营商B的SGSN接入到运营商A的GGSN的行为是否符合协议既定的规则；

这里的A、B、C运营商三者可能全部相同或部分相同或都不相同。根据相关协议要求，本运营商的MS通过本运营商的SGSN进行接入时，必须选择本运营商的GGSN发送创建PDP上下文请求消息；而当本运营商的MS漫游到其他运营商的SGSN时，要么选择该漫游运营商的GGSN、要么选择使用本运营商的GGSN。也就是说，运营商C、运营商B、运营商A三者都相同的情况是符合接入规则的；运营商C与运营商B不同，但是运营商B与运营商A相同的情况也是符合接入规则的；运营商C与运营商B不同，但是运营商C与运营商A相同的情况同样是符合接入规则的；其他情况都是非法接入。

综上所述，如果运营商C和运营商A是同一个运营商，则认为该接入是协议允许的；如果运营商B和运营商A是同一个运营商，则认为该接入是协议允许的；而其他情况则都属于非法接入。对于非法接入消息，则直接丢弃该请求并结束业务处理流程；而对于协议允许接入的消息，则对该请求作进一步的验证；

步骤304：GGSN向HLR发送一条“发送GPRS路由信息”请求，该请求用于从HLR获取移动用户当前所注册SGSN的GTP-C地址信息，该请求携带的参数IMSI用于指明需要获取哪个用户的GPRS路由信息；

因为当GPRS的MS在某个SGSN成功完成位置注册后，HLR中就会保存该SGSN的GTP-C地址信息；而PDP上下文激活流程又是在成功完成位置注册流程之后才进行的，因此正常情况下进行PDP激活流程时HLR中已经成功保存有SGSN GTP-C信息；

步骤305：GGSN接收来自HLR的“发送GPRS路由信息确认”消息，若该“发送GPRS路由信息确认”消息中带回的SGSN GTP-C地址与创建PDP上下文请求中的不一致或者HLR回复的不是“发送GPRS路由信息确认”消息而是其他错误消息如获取SGSN GTP-C地址失败、该用户不存在等，则认为创建PDP上下文请求是非法请求而直接将其丢弃并结束业务处理流程；若一致，则执行步骤305。

步骤306：GGSN向HLR发送一条“发送MSISDN”请求，该消息用于从HLR获取该MS签约数据中的MSISDN信息，该请求携带的参数IMSI用于指明需要获取哪个用户的MSISDN；

步骤307：GGSN接收HLR返回的“发送MSISDN确认”消息，若“发送MSISDN确认”消息中带回的MSISDN信息与创建PDP上下文请求消息中的不一致，则认为创建PDP上下文请求是非法请求而直接将其丢弃并结束业务处理流程；若一致，则认为该创建PDP上下文请求是通过合法SGSN接入到该GGSN中来的合法用户的，继续为其执行后续处理流程；

步骤308：GGSN为该请求执行完后续处理流程后，向SGSN回复创建PDP上下文响应消息。若创建PDP上下文成功，则设置创建PDP上下文响应消息中的原因值为“请求被接受”；若创建PDP上下文失败，则设置创建PDP上下文响应消息中的原因值为“请求被拒绝”；

步骤309：SGSN收到GGSN的响应消息后，向MS回复激活PDP上下文响应消息，若收到创建PDP上下文响应消息中原因值为“请求被接受”时，向MS回复激活PDP上下文接受消息；否则向MS回复激活PDP上下文消息失败。

本发明在其他的实施例中，GGSN可以用一次性从HLR获取MS的SGSN GTP-C地址和MSISDN信息的方法代替分两次从HLR获取SGSN GTP-C信息和MSISDN信息的交互步骤，以减少GGSN与HLR的交互消息数量，即只要发送一条“发送GPRS路由信息和MSISDN”并接收一条“发送GPRS路由信息和MSISDN确认”消息即可从HLR获取MS的SGSN GTP-C地址和MSISDN信息。

本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员根据本发明作出各种相应的改变和变形，这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。

Claims (5)

1.一种移动通信系统中的数据业务接入控制方法，移动用户在服务支持节点完成位置注册后，向服务支持节点发送业务请求，服务支持节点收到业务请求后向接入点或者网关支持节点发送创建业务请求，接入点或者网关支持节点收到请求后执行后续处理流程，所述后续处理流程包括进行接入点名称检查、远程接入拨号用户服务鉴权以及响应业务请求，其特征在于，接入点或者网关支持节点执行后续处理流程前，还执行以下步骤：

步骤一：根据判断该请求是否来自安全的数据网，若判断结果为是，则执行后续处理流程；否则执行步骤二；

步骤二：判断该请求是否来自可为之提供服务的运营商的服务支持节点，若判断结果为是，则执行步骤三；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤三：判断该用户是否属于可为之提供服务的运营商，若判断结果为是，则执行步骤四；否则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；

步骤四：判断该用户从该业务支持节点接入到本接入点或者网关支持节点的行为是否符合协议既定规则；若判断结果为是，则执行步骤五；否则认为该业务请求消息为非法消息而直接将其丢弃并结束业务处理流程；

步骤五：从归属位置寄存器中获取该用户当前的服务支持节点的路由信息和移动用户国际综合业务数字网号码，并与业务请求中对应的信息进行比较，若其中任何一项不一致则认为是非法请求而直接将其丢弃并结束业务处理流程；若两项都相同，则认为该业务请求是来自合法服务支持节点的合法业务请求而继续为其执行后续处理流程。

2.如权利要求1所述的移动通信系统中的数据业务接入控制方法，其特征在于，所述接入点或者网关支持节点中包括以下配置信息：安全的数据网IP地址列表或者范围；本接入点或者网关支持节点可为之提供服务的运营商的服务支持节点路由信息列表；本接入点或者网关支持节点可为之提供服务的运营商地址列表或者列表；每个可为之提供服务的运营商所使用的国际移动用户标识范围；每个可为之提供服务的运营商所使用的移动用户国际综合业务数字网号码范围。

3.如权利要求1所述的移动通信系统中的数据业务接入控制方法，其特征在于，若所述移动通信系统支持一个用户同时接入多个会话，则在所述步骤一和步骤二之间还包括以下步骤：

步骤a：接入点或者网关寄存器检查该用户是否已经在该接入点或者网关支持节点建立了会话，若是，则执行步骤b，若否，则执行所述步骤二；

步骤b：接入点或者网关寄存器将该业务请求中的信息与已建立会话中保存的对应信息进行比较，若其中任何一项不一致，则认为该业务请求为非法请求而直接将其丢弃并结束业务处理流程；否则认为该业务请求为合法请求而执行后续处理流程。

4.如权利要求1所述的移动通信系统中的数据业务接入控制方法，其特征在于，步骤四所述协议既定规则是指若接入用户与该接入点或网关支持节点属于同一个运营商则允许接入；或者服务支持节点与该接入点或网关支持节点属于同一个运营商则允许接入；否则禁止接入。

5.如权利要求1所述的移动通信系统中的数据业务接入控制方法，其特征在于，若步骤五所述接入点或者网关支持节点从归属位置寄存器中获取该用户当前的服务支持节点的路由信息和移动用户国际综合业务数字网号码失败，则认为该业务请求消息为非法消息而直接将其丢弃并结束业务处理流程。

Images