CN101257412A

CN101257412A - 一种应用于WiMAX网络的警用监听系统和方法

Info

Publication number: CN101257412A
Application number: CNA2007100803236A
Authority: CN
Inventors: 朱戈; 马云飞
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2007-03-02
Filing date: 2007-03-02
Publication date: 2008-09-03
Anticipated expiration: 2027-03-02
Also published as: CN101257412B

Abstract

本发明公开了一种应用于WiMAX网络的警用监听系统和方法。其中所述系统包括WiMAX终端、WiMAX基站、接入服务网关、鉴权授权计费服务器，以及警用信息中心。所述系统中的鉴权授权计费服务器，用于存储可标识用户的真实网络接入标识和警用监听标识，以及所述真实网络接入标识与所述警用监听标识之间的对应关系；接入服务网关，用于根据所述终端的接入请求，向所述鉴权授权计费服务器发出接入认证授权请求；警用信息中心，用于在鉴权授权计费服务器和接入服务网关中对需要监听的用户进行布控。本发明所述的系统和方法，不损害EAP鉴权的安全性；实现成本和难度都较低；而且还可以运用于在其他使用EAP鉴权方法的接入网络中。

Description

一种应用于WiMAX网络的警用监听系统和方法

技术领域

本发明涉及微波存取全球互通(Worldwide Interoperability for MicrowaveAccess，简称WiMAX)网络，尤其涉及一种应用于WiMAX网络的警用监听系统和方法。

背景技术

在目前通信领域内，警用监听功能已经广泛应用，包括3GPP、3GPP2等核心网络设备均能够为警用信息中心(Lawful Information Center，简称LIC)提供接口。警用信息中心根据用户标识在移动交换中心(MobileSwitching Center，简称MSC)、网关移动交换中(Gateway Mobile SwitchingCenter，简称GMSC)、归属位置寄存器(Home Location Register，简称HLR)、短信中心(Short Message Center，简称SMC)、分组数据服务节点(PacketData Serving Node，简称PDSN)和鉴权、授权及计费(Authentication、Authorization and Accounting，简称AAA)服务器等网元设备布控，布控网元把被控目标的话务活动和非话务活动通过警用监听接口发送至警用信息中心LIC，警用信息中心LIC收集上报的被控目标的事件和通信内容，并对收集到的信息进行处理。

上述的用户标识比如包括：例如全球移动用户标识(International MobileStation Identity，简称IMSI)，网络接入标识(Network Access Identifier，简称NAI)等；话务活动比如包括语音呼叫、数据呼叫、和分组数据等业务；非话务活动比如包括补充业务的激活、去活、登记、注销、和查询短消息等业务。

微波存取全球互通WiMAX将提供固定、移动、便携形式的无线宽带连接，并最终能够在不需要直接视距基站的情况下提供移动无线宽带连接。随着WiMAX网络的广泛应用，WiMAX网络的警用监听功能也必然随着市场需求而产生。

WiMAX网络结构类似与CDMA2000的分组域，在目前CDMA2000网络PS域(Packet Switch Domain)中的警用监听系统是根据用户的全球移动用户标识IMSI对分组数据服务节点PDSN网元进行布控，根据用户的全球移动用户标识IMSI或网络接入标识NAI对鉴权、授权及计费AAA服务器网元进行布控。布控流程基本如下，对于已知被控目标的网络接入标识NAI进行布控时，警用信息中心可以直接对鉴权、授权及计费AAA服务器进行布控；鉴权、授权及计费AAA服务器通过网络接入标识NAI查询到全球移动用户标识IMSI的接口；警用信息中心根据AAA提供的该接口查询被控目标的IMSI；警用信息中心再根据查询到的IMSI对PDSN进行布控，从而实现对被控目标的监听。

而WiMAX网络中，用户的唯一标识为AAA服务器中存储的用户真实NAI，没有类似于IMSI的信息。用户接入认证的鉴权协议使用的是扩展鉴权协议(Extensible Authentication Protocol，简称EAP)。EAP协议从安全角度考虑，要求用户接入认证过程中使用的用户真实NAI都是在EAP报文中封装并加密，对于除鉴权、授权及计费AAA服务器和WiMAX终端以外的其他网元均不可见，而在消息报文中采用的都是伪随机NAI。伪随机NAI是在WiMAX终端每次接入时随机产生的，因此对于WiMAX接入服务网关(Access Service Network-Gateway，简称AGW)来说是无法得知用户的真实NAI，所以在AGW中无法通过真实NAI布控并监听用户。

经过专利检索，目前尚未发现WiMAX网络警用监听接口相关的专利，也没有已知的相关解决办法。

发明内容

本发明所要解决的技术问题在于提供一种WiMAX网络中既不损害扩展鉴权协议EAP鉴权的安全性，又能够实现对接入服务网关AGW和鉴权、授权及计费AAA服务器进行布控的系统及方法。

为解决上述技术问题，本发明首先提供一种应用于WiMAX网络的警用监听系统，包括WiMAX终端、WiMAX基站、接入服务网关、鉴权授权计费服务器，以及警用信息中心，其中：

所述鉴权授权计费服务器，用于存储可标识用户的真实网络接入标识和警用监听标识，以及所述真实网络接入标识与所述警用监听标识之间的对应关系，根据所述警用信息中心基于真实网络接入标识的查询请求，返回与该真实网络接入标识对应的警用监听标识，并根据所述接入服务网关的接入认证授权请求，返回携带有该请求用户的警用监听标识的接入认证授权响应；

所述接入服务网关，用于根据所述终端的接入请求，向所述鉴权授权计费服务器发出接入认证授权请求，并从返回的接入认证授权响应中提取出该请求用户的警用监听标识；

所述警用信息中心，用于根据用户的真实网络接入标识或警用监听标识在所述鉴权授权计费服务器中对需要监听的用户进行布控，并根据用户的警用监听标识在所述接入服务网关中对需要监听的用户进行布控；

其中，所述鉴权授权计费服务器和所述接入服务网关根据所述警用信息中心的布控，判断当前接入用户是否被布控，如果被布控，则由所述鉴权授权计费服务器将该用户接入通知事件发送给所述警用信息中心，由所述接入服务网关将该用户的通信活动相关事件、分组业务数据包发送给所述警用信息中心。

其中，所述警用信息中心可以通过将与需要监听的用户对应的真实网络接入标识或警用监听标识记录于所述鉴权授权计费服务器，并可以根据用户的警用监听标识在所述接入服务网关来实现布控；

所述鉴权授权计费服务器或接入服务网关通过查询所述记录的需要监听的真实网络接入标识或警用监听标识，判断是否存在与获知的当前接入用户的真实网络接入标识或警用监听标识相一致的记录，如果存在则确定当前接入用户被布控。

其中，所述警用信息中心可以通过相互独立的警用监听接口与所述鉴权授权计费服务器和接入服务网关进行通讯。

进一步地，所述警用监听接口链路层协议可以采用TCP/IP协议，工作协议栈为：TCP/IP ISO/IEC 802.2或802.3。

其中，所述鉴权授权计费服务器中可以存储的警用监听标识可唯一标识用户，且与所述用户真实网络接入标识具有唯一对应关系。

本发明进而提供一种应用于WiMAX网络的警用监听方法，所述WiMAX网络包括WiMAX终端、WiMAX基站、接入服务网关、鉴权授权计费服务器，以及警用信息中心，其中，所述鉴权授权计费服务器中存储有可标识用户的真实网络接入标识网络接入标识，本发明所述监听方法包括如下步骤：

(1)对应于每个终端用户的真实网络接入标识，为每个终端用户确定一个警用监听标识，并在所述鉴权授权计费服务器中存储所述对应于不同用户的警用监听标识，以及所述真实网络接入标识与所述警用监听标识之间的对应关系；

(2)所述鉴权授权计费服务器根据所述警用信息中心基于真实网络接入标识的查询请求，向所述警用信息中心返回与该真实网络接入标识对应的警用监听标识；

(3)所述接入服务网关根据所述终端的接入请求，向所述鉴权授权计费服务器发出接入认证授权请求，所述鉴权授权计费服务器在返回的接入认证授权响应中携带该请求用户的警用监听标识，并由所述接入服务网关提取出来；

(4)所述警用信息中心根据用户的真实网络接入标识或警用监听标识在所述鉴权授权计费服务器中对需要监听的用户进行布控，并根据用户的警用监听标识在所述接入服务网关中对需要监听的用户进行布控；

(5)所述鉴权授权计费服务器和所述接入服务网关根据所述警用信息中心的布控，判断当前接入用户是否被布控，如果被布控，则由所述鉴权授权计费服务器将该用户接入通知事件发送给所述警用信息中心，由所述接入服务网关将该用户的通信活动相关事件、分组业务数据包发送给所述警用信息中心。

其中，所述警用信息中心通过相互独立的警用监听接口与所述鉴权授权计费服务器和接入服务网关进行通讯。

进一步地，所述警用监听接口链路层协议采用TCP/IP协议，工作协议栈为：TCP/IP ISO/IEC 802.2或802.3。

其中，所述鉴权授权计费服务器中存储的警用监听标识可唯一标识用户，且与所述用户真实网络接入标识具有唯一对应关系。

其中，所述鉴权授权计费服务器中存储的警用监听标识由运营商统一编码。

本发明所述的系统和方法，具有以下特点：

1)不损害EAP鉴权的安全性；

2)与现有技术相比，仅仅对WiMAX网络中的鉴权、授权及计费AAA服务器和接入服务网关AGW这两个网元进行了一定的改动，实现成本和难度都较低；

3)还可以运用于在其他使用EAP鉴权方法的接入网络中。

附图说明

图1为本发明系统实施例结构示意图；

图2为本发明方法实施例流程框图；

图3为本发明方法的一个应用实施例流程示意图。

具体实施方式

下面结合附图和具体实施方式对本发明作进一步详细的描述。

本发明是在现有的公众电信网警用监听的网络架构中，根据WiMAX网络的具体情况，给WiMAX终端增加相关的监听标识，通过对WiMAX网络的鉴权、授权及计费AAA服务器网元和接入服务网关AGW网元进行布控，来实现对WiMAX网络进行监听的目的。

如图1所示，本发明应用于WiMAX网络的警用监听系统，包括如下部分：

WiMAX终端101，WiMAX网络中的移动终端设备，通过无线网络与WiMAX基站(Base Station，简称BS)相连；增加警用监听功能之后，不需要对终端进行任何修改。

WiMAX基站102，WiMAX网络中的无线基站设备，对WiMAX终端101提供无线接口，与WiMAX终端101通过无线网络连接；

接入服务网关103，传送认证计费等消息，为WiMAX终端101分配链路资源的网元。接入服务网关103与WiMAX基站102相连，用于根据WiMAX终端101的接入请求，向鉴权授权计费AAA服务器发出接入认证授权请求，从AAA服务器返回的接入认证授权响应中提取出该请求用户的警用监听标识；接入服务网关103还能够通过该警用监听标识定位对应的唯一用户。

鉴权授权计费AAA服务器104，用于WiMAX网络用户终端鉴权、授权和计费功能的网元。用于存储可标识用户的真实网络接入标识NAI和警用监听标识，以及真实NAI与警用监听标识之间的对应关系；根据警用信息中心105基于真实NAI的查询请求，返回与该真实NAI对应的警用监听标识；并根据接入服务网关103的接入认证授权请求，返回携带有该请求用户的警用监听标识的接入认证授权响应；AAA服务器104还可对真实NAI与警用监听标识之间的对应关系进行维护。

上述AAA服务器中存储的警用监听标识可唯一标识用户，且与上述的用户真实NAI具有唯一对应的关系。

鉴权、授权及计费AAA服务器104能够维护用户真实NAI和警用监听标识的唯一关联联系。警用监听标识由运营商统一编码，并保证用户唯一，以方便不同运营商之间的互联互通。该警用监听标识比如可以使用按照国家、运营商和地域编码来进行统一编码。

鉴权授权计费AAA服务器104除了能够维护用户真实NAI和警用监听标识的对应关系外，还可完成增删改查等操作，并保证AAA服务器104内部的警用监听标识唯一并与真实NAI一一对应。

接入服务网关103与鉴权、授权及计费AAA服务器104之间，通过远程身份验证拨入用户服务(Remote Authentication Dial-In User Service，简称RADIUS)协议接口进行通信。

警用信息中心105，用于完成用户布控和接收用户上网各种事件和上下行数据包的功能网元。

根据用户的真实NAI或警用监听标识在AAA服务器104中对需要监听的用户进行布控，并根据用户的警用监听标识在接入服务网关103中对需要监听的用户进行布控。警用信息中心105通过将与需要监听的用户对应的真实NAI或警用监听标识记录于所述AAA服务器104或接入服务网关103中来实现布控。

警用信息中心105与接入服务网关103，及AAA服务器104通过基于TCP/IP协议的警用监听接口进行通信。其中警用信息中心105与接入服务网关103之间的警用接口，警用信息中心105与鉴权授权计费AAA服务器104之间的警用接口，这两个警用接口是相互独立的；且这两个警用接口链路层协议均采用TCP/IP协议，其工作协议栈为：TCP/IP ISO/IEC 802.2、ISO/IEC 802.3。

AAA服务器104和接入服务网关103根据警用信息中心105的布控，判断当前接入用户是否被布控。如果已经被布控，则由AAA服务器104将该用户接入通知事件发送给警用信息中心105；由接入服务网关103将该用户的通信活动相关事件、分组业务数据包等发送给警用信息中心105。

上述判断当前接入用户是否被布控的过程，实现方式为：AAA服务器104或接入服务网关103通过查询记录的需要监听的真实NAI或警用监听标识，判断是否存在与获知的当前接入用户的真实NAI或警用监听标识相一致的记录，如果存在则确定当前接入用户已经被布控。

警用信息中心105与鉴权、授权及计费AAA服务器104之间的警用接口，可以根据用户的真实NAI在AAA服务器104中查询被控目标当前接入服务网关103的IP地址、查询被控目标NAI与警用监听标识的关联关系等信息，还可用于监听被控目标的接入活动，包括上网等各种事件。

警用信息中心105与接入服务网关103之间的警用接口，可以根据从鉴权、授权及计费AAA服务器104中查询到的警用监听标识，实现对分组业务的监听。被控目标的分组业务数据包从警用接口上报到警用信息中心105。

本发明根据上述应用于WiMAX网络的警用监听系统，还提出了一种应用于WiMAX网络的警用监听方法。本发明方法中所述的WiMAX网络，包括WiMAX终端101、WiMAX基站102、接入服务网关AGW103、鉴权、授权及计费AAA服务器104，以及警用信息中心LIC105，其中所述的AAA服务器104中存储有可标识用户的真实网络接入标识NAI。如图2所示，本发明方法包括如下步骤：

步骤201：对应于每个终端用户的真实网络接入标识NAI，为每个终端用户均确定一个一一对应的警用监听标识，并在鉴权、授权及计费AAA服务器104中存储对应于不同用户的警用监听标识，以及真实NAI与警用监听标识之间的唯一对应关系；

步骤202：AAA服务器104根据警用信息中心105基于真实网络接入标识NAI的查询请求，向警用信息中心LIC105返回与该真实NAI对应的警用监听标识；

步骤203：接入服务网关AGW103根据WiMAX终端101的接入请求，向AAA服务器104发出接入认证授权请求；AAA服务器104在返回的接入认证授权响应中携带该请求用户的警用监听标识，并由接入服务网关AGW103提取出来；

步骤204：警用信息中心LIC105根据用户的真实NAI或警用监听标识，在AAA服务器104中对需要监听的用户进行布控，并根据用户的警用监听标识在接入服务网关103中对需要监听的用户进行布控；

步骤205：AAA服务器104和接入服务网关AGW103根据警用信息中心LIC105的布控，判断当前接入用户是否被布控；如果判断出已经被布控，则由AAA服务器104将该用户接入通知事件发送给所述警用信息中心LIC105，由接入服务网关AGW103将该用户的通信活动相关事件、分组业务数据包发送给警用信息中心LIC105。

根据上述步骤204，鉴权、授权及计费服务器AAA服务器104必须支持根据真实NAI和警用监听标识这两种方式的布控。

上述步骤205中，AAA服务器104上报给警用信息中心105的接入通知事件中，至少要包括用户帐号、用户密码、鉴权方式、成功标志、接入失败原因、接入服务网关103地址、以及基站标识BS-ID等信息。

上述步骤205中，接入服务网关103上报给警用信息中心105的通信活动相关事件，至少需要包括会话建立、会话释放、会话切换和用户在线通知等信息；上报给警用信息中心105的分组业务数据包，也至少需要包括用户数据传输的信息，无论是上行数据还是下行数据。

图3示出了本发明方法的一个应用实施例，包括如下步骤：

步骤301：警用信息中心LIC105通过警用接口，根据用户真实NAI向鉴权、授权及计费AAA服务器104查询被控目标的警用监听标识；

步骤302：鉴权、授权及计费AAA服务器104通过真实网络接入标识NAI，根据其内部存储的NAI和警用监听标识的对应关系查询到用户的警用监听标识，并通过警用接口发送给警用信息中心105；

步骤303：警用信息中心105使用用户真实NAI或警用监听标识，通过与AAA服务器104之间的警用接口，在鉴权、授权及计费AAA服务器104中对被控目标进行布控，并监听该用户的接入通知事件信息；

步骤304：警用信息中心105使用警用监听标识，通过与接入服务网关103之间的警用接口，在接入服务网关103中对被控目标进行布控，并监听该用户的通信活动相关事件、分组业务数据包；

步骤305：WiMAX终端101经由WiMAX基站102向接入服务网关103发送接入请求，其中包含扩展鉴权协议EAP消息，请求接入WiMAX网络；WiMAX终端101通过无线接口WiMAX基站102进行通信；

步骤306：接入服务网关103接收到解析终端101的接入请求的后，将该请求封装为远程身份验证拨入用户服务RADIUS报文，发送给鉴权、授权及计费AAA服务器104请求认证和授权；

步骤307：鉴权、授权及计费AAA服务器104判断用户接入合法，向接入服务网关103返回授权信息，其中包含有接入允许报文；而且不管该终端是否已经被布控，授权信息中都包含有警用监听标识；

步骤308：接入服务网关103经由WiMAX基站102向WiMAX终端101响应认证成功消息；并根据授权信息会话，允许用户终端接入并使用WiMAX网络，为WiMAX终端101分配链路资源；

步骤309：鉴权、授权及计费AAA服务器在用户认证处理结束后，根据用户的真实NAI和警用监听标识，判断用户是否已经被布控；如果判断为已经被布控，则将用户的接入通知事件信息发送给警用信息中心105；该接入通知事件信息中，至少要包括用户帐号、用户密码、鉴权方式、成功标志、接入失败原因、接入服务网关103地址、以及基站标识BS-ID等信息；

步骤310：接入服务网关103在用户使用WiMAX网络时，根据警用监听标识判断用户是否被布控；如果判断为已经被布控，则将被控目标的通信活动相关事件、被控目标的分组业务数据包复制并通过警用接口上报给警用信息中心105。

上述步骤305和步骤308中的WiMAX终端101与接入服务网关103之间的通信，均是通过WiMAX基站102进行中转的。

上述步骤310中的通信活动相关事件，至少需要包括会话建立、会话释放、会话切换和用户在线通知等信息；其中的分组业务数据包，也至少需要包括用户数据传输的信息，无论是上行数据还是下行数据。

本发明克服了由于WiMAX网络采用EAP鉴权方法，接入服务网关AGW无法得知用户真实NAI而无法布控并进行监听的问题，提供了一种在不损害EAP鉴权的安全性的前提下，实现对接入服务网关AGW和鉴权、授权及计费AAA服务器进行布控的系统及方法。是一种满足警用监听的“警用接口不能够导致电信服务的差异，从而使被监听用户或相关用户觉察到警用活动”原则下的较为完善的解决方案。

本发明提出的WiMAX网络，解决了采用EAP鉴权方法在网元中禁止传输真实NAI而无法对在接入服务网关AGW网元进行布控问题，也定义了WiMAX网络中警用信息中心LIC对鉴权、授权及计费AAA服务器和接入服务网关AGW网元监控的事件和数据。

本发明仅仅涉及到对WiMAX网络中的鉴权、授权及计费AAA服务器和接入服务网关AGW这两个网元进行一定的改动来实现警用监听功能，成本和难度都较低。

另外，在其他使用EAP鉴权方法的接入网络中，如果仅有真实NAI作为用户表示的情况下，也可以采用本发明完成警用监听操作。

Claims

1. 一种应用于WiMAX网络的警用监听系统，包括WiMAX终端、WiMAX基站、接入服务网关、鉴权授权计费服务器，以及警用信息中心，其特征在于：

2. 如权利要求1所述的系统，其特征在于，所述警用信息中心通过将与需要监听的用户对应的真实网络接入标识或警用监听标识记录于所述鉴权授权计费服务器，并根据用户的警用监听标识在所述接入服务网关来实现布控；

3. 如权利要求1所述的系统，其特征在于，所述警用信息中心通过相互独立的警用监听接口与所述鉴权授权计费服务器和接入服务网关进行通讯。

4. 如权利要求3所述的系统，其特征在于，所述警用监听接口链路层协议采用TCP/IP协议，工作协议栈为：TCP/IP ISO/IEC 802.2或802.3。

5. 如权利要求1所述的系统，其特征在于，所述鉴权授权计费服务器中存储的警用监听标识可唯一标识用户，且与所述用户真实网络接入标识具有唯一对应关系。

6. 一种应用于WiMAX网络的警用监听方法，所述WiMAX网络包括WiMAX终端、WiMAX基站、接入服务网关、鉴权授权计费服务器，以及警用信息中心，其中，所述鉴权授权计费服务器中存储有可标识用户的真实网络接入标识网络接入标识，其特征在于，所述监听方法包括如下步骤：

7. 如权利要求6所述的方法，其特征在于，所述警用信息中心通过将与需要监听的用户对应的真实网络接入标识或警用监听标识记录于所述鉴权授权计费服务器，并根据用户的警用监听标识在所述接入服务网关来实现布控；

8. 如权利要求6所述的方法，其特征在于，所述警用信息中心通过相互独立的警用监听接口与所述鉴权授权计费服务器和接入服务网关进行通讯。

9. 如权利要求8所述的方法，其特征在于，所述警用监听接口链路层协议采用TCP/IP协议，工作协议栈为：TCP/IP ISO/IEC 802.2或802.3。

10. 如权利要求6所述的方法，其特征在于，所述鉴权授权计费服务器中存储的警用监听标识可唯一标识用户，且与所述用户真实网络接入标识具有唯一对应关系。

11. 如权利要求6所述的方法，其特征在于，所述鉴权授权计费服务器中存储的警用监听标识由运营商统一编码。