CN101305543B - 允许不支持chap认证的节点在代理移动ip情况下的网络接入的方法和设备 - Google Patents

Abstract

公开的实施例支持对于未实现CHAP的节点的代理移动IP注册。它是通过由AAA服务器或者诸如PDSN或外地代理之类的网络设备生成CHAP挑战和响应来部分地完成的。若CHAP挑战和响应由AAA服务器生成，则AAA服务器向网络设备提供CHAP挑战和响应。通过这种方式，网络设备可基于CHAP挑战和响应生成移动IP注册请求。

Description

允许不支持CHAP认证的节点在代理移动IP情况下的网络接入的方法和设备

相关申请

本申请要求2005年11月7日递交的、Mukherjee等人的题为“Allowing Network Access for Proxy Mobile IP Cases for Nodes that Do NotSupport CHAP Authentication”的第2954/DEL/2005号印度专利申请的优先权，其通过引用方式结合于此并用于所有目的。

背景技术

本发明涉及移动IP网络技术。更具体而言，本发明涉及支持对于不支持挑战握手认证协议(CHAP)的节点的代理移动IP注册。

移动IP是允许膝上型电脑或其他移动计算机单元(本文称为“移动节点”)在位于各种位置的各种子网之间进行漫游-同时保持互联网和/或WAN连通性的协议。没有移动IP或相关协议，移动节点将无法在通过各种子网漫游的同时保持连接。这是因为任何节点通过互联网进行通信所需的IP地址是特定于位置的。每个IP地址具有指定该节点驻留的特定子网的字段。若用户想要携带通常附接到一个节点上的计算机并用它漫游使其通过不同子网，则它不能使用其归属基地(home base)IP地址。结果，穿越全国旅行的商人不能仅用他或她的计算机漫游穿过地理上不同的网段或无线节点同时保持在互联网上的连接。这种情况在便携计算设备时代是不可接受的。

为了解决该问题，开发并实现了移动IP协议。移动IP协议的实现方式描述于2002年8月的C.Perkins，Ed.的网络工作组的RFC 3344“IPMobility Support for IPv4”。移动IP还描述于J.Solomon所著Prentice Hall出版的教科书“Mobile IP Unplugged”中。这两篇参考文献都通过引用全文结合于此并用于所有目的。

移动IPv4环境中的移动IP过程在图1中示出。如图所示，移动IP环境2包括互联网(或WAN)4，还可包括外地代理10，移动节点6可以经由归属代理8的中介(mediation)通过互联网4进行远程通信。在第三代合作伙伴项目2(3GPP2)/CDMA2000网络中，外地代理在通常被称为分组数据服务节点(PDSN)的节点处实现。在未实现外地代理的移动IPv6环境或移动IPv4环境中缺少外地代理的情况下，移动节点6可以获得拓扑上正确的IP地址(即配置IP地址(collocated IP address))，并向归属代理注册该IP地址。(在移动IPv6环境中，这是经由接入路由器而不是外地代理来完成的。)一般而言，归属代理和外地代理是执行适当的由软件、硬件和/或固件实现的移动IP功能的路由器或其他网络连接设备。插入到其归属网段中的特定移动节点(例如，膝上型计算机)通过其指定的归属代理与互联网相连。当移动节点漫游时，其通过可用的外地代理经由互联网进行通信。可假定，在地理上不同的位置处有许多可用的外地代理以允许经由移动IP协议的宽范围互联网连接。注意，移动节点也可以直接向其归属代理进行注册。

如图1所示，移动节点6通常驻留在网段12上(或者以网段12为基地)，网段12允许其网络实体通过归属代理8(示为R2的适当配置的路由器)在互联网4上进行通信。注意，归属代理8不需要直接连接到互联网。例如，如图1所示，它可以通过另一路由器(在这种情况下为路由器R1)来连接。路由器R1进而可以将一个或多个其他路由器(例如，路由器R3)与互联网相连接。

现在，假定移动节点6被从其归属基地网段12去除，并漫游到远程网段14。网段14可以包括诸如PC 16之类的各种其他节点。网段14上的节点通过兼任外地代理10的路由器与互联网通信。移动节点6可以通过形成移动IP协议的一部分的各种请求和公告来识别外地代理10。当移动节点6参与到网段14中时，外地代理10将注册请求传递到归属代理8(由虚线“注册”指示)。归属和外地代理随后可以协商移动节点附接到外地代理10的条件。例如，附接可以限于一段时间，如两小时。当协商成功完成时，归属代理8更新内部的“移动性绑定表”，该表指定与移动节点6的标识相关联的转交地址(例如，配置转交地址(collocated care-ofaddress)或外地代理的IP地址)。另外，外地代理10更新内部的“访问者表”，该表指定移动节点地址、归属代理地址等。实质上，移动节点的归属基地IP地址(与网段12相关联)已变为外地代理的IP地址(与网段14相关联)。

现在，假定移动节点6想要从其新位置向对方节点18发送消息。在移动IPv4中，来自移动节点的消息随后根据标准互联网协议被分组化并经由外地代理10被转发到互联网4上和转发到对方节点18(由虚线“来自MN的分组”指示)。如果对方节点18想要向移动节点发送消息-无论是对来自移动节点的消息的回复还是由于任何其他原因-其都将该消息寄送到子网12上移动节点6的IP地址。该消息的分组随后被转发到互联网4上和转发到路由器R1，并最终被转发到归属代理8，如虚线(“去往MN的分组(1)”)所示。从其移动性绑定表中，归属代理8认识到移动节点6不再附接到网段12。其随后根据移动IP协议封装来自对方节点18的分组(该分组被寄送到网段12上的移动节点6)，并将这些封装后的分组转发到移动节点6的“转交”地址，如虚线(“去往MN的分组(2)”)所示。转交地址例如可以是外地代理10的IP地址。外地代理10随后剥离封装，并将消息转发到子网14上的移动节点6。由归属和外地代理实现的分组转发机制经常被称为“隧道传递”(tunneling)。在缺少外地代理的情况下，分组被直接隧道传递到移动节点6的配置转交地址。

由于节点可能不支持移动IP，因此在网络内部改变其位置的节点无法发起向其归属代理的注册。因此可由该节点外的代理实体代表该节点执行代理移动IP支持(即代理注册)，所述代理实体如接入点、外地代理或分组数据服务节点(PDSN)(例如，在CDMA2000网络中)。通常，可令多个接入点、外地代理或PDSN遍布，以向用户提供通过延伸的区域自由漫游同时保持对所有网络资源的不受干扰的访问的能力。一旦节点注册到归属代理，归属代理就可以将分组转发给PDSN或外地代理。

为了代表节点发送注册请求，代理实体需要节点的IP地址和归属代理地址(即默认网关)以构造注册请求分组。另外，代理实体还确认节点的子网网络掩码(即，子网掩码)以便确认是否需要移动IP代理服务。具体而言，当代理实体通过数据分组的源地址和子网掩码确定节点位于与代理实体的子网相同的子网上时，不需要移动IP服务来代表节点，如方块所示。但是，当代理实体通过源地址确定节点不位于代理实体的子网上时，由代理实体代表节点执行代理移动IP服务。

因此，代理实体充当代理移动节点来向归属代理注册客户(即节点)。具体而言，代理实体识别或分配归属代理并向归属代理发送注册请求以代表客户建立移动IP会话。客户通过移动IP会话接收发往其归属代理的分组。通过这种方式，节点可在漫游的同时保持与网络的连接性。

有很多可用来认证用户的认证机制。这些认证机制包括密码认证协议(PAP)、CHAP、可扩展认证协议(EAP)以及微软挑战握手认证协议(MS-CHAP)。但是，移动IP协议是在假定CHAP挑战和响应被用于认证移动节点的前提下工作的。换言之，要求注册请求包含CHAP挑战和响应。

在移动IP注册过程期间，移动节点通常在其移动IP注册请求中提供CHAP挑战和响应。具体而言，外地代理通常在代理公告中公告CHAP挑战。当移动节点构造移动IP注册请求时，它包括移动外地挑战扩展(MFCE)，MFCE包含CHAP挑战和CHAP响应作为将在移动节点和AAA服务器之间共享的移动节点-AAA密钥。当CHAP挑战和响应被提供到AAA服务器时，AAA服务器使用该信息基于与CHAP挑战和响应有关的共享密码来认证移动节点。

在诸如CDMA2000网络之类的网络的代理移动IP情形中，PDSN不从节点接收注册请求因此不从节点接收CHAP挑战和响应。但是，若节点使用CHAP协议协商点对点协议(PPP)，则CHAP挑战和响应由PDSN在PPP协商期间从节点接收。这种情形下，PDSN可使用在PPP协商期间收到的CHAP挑战和响应代表节点生成注册请求。

不幸的是，很多节点不支持CHAP协议。例如，因为PAP是个较成熟的协议，所以它经常是唯一被支持的协议。由于PDSN在PPP协商期间不接收用于这些节点的CHAP挑战和响应，PDSN无法构建包含CHAP挑战和响应的注册请求。因此，这些系统中不支持代理移动IP。

考虑到上述因素，若代理移动IP能被不使用CHAP的节点支持，则会很有利。

发明内容

本发明的各种实施例支持对于不支持CHAP的节点的代理移动IP注册。这是通过由AAA服务器或者诸如PDSN或外地代理之类的实体生成CHAP挑战和响应来部分地完成的。通过这种方式，PDSN或外地代理可基于CHAP挑战和响应生成移动IP注册请求。

AAA服务器支持认证、授权和计费。当认证确定了实体是“谁”时，授权确定允许用户执行或访问什么服务。可以使用一类被称为“AAA”或3A服务器的服务器。可以实现诸如远程认证拨入用户服务(RADIUS)和TACACS+之类的各种协议来提供这样的服务器。注意，向服务器提供记帐信息的归属代理或外地代理必须提供AAA服务器协议所要求的格式的通信。RFC 2138描述了RADIUS协议并通过引用方式结合于此。类似地，RFC 1492描述了TACACS，并且可从如下网址http://www.ietf.org/internet-drafts/draft-grant-tacacs-02.txt获得的互联网草案“The TACACS+Protocol Version 1.78”描述了TACACS+。这些文件都通过引用方式结合于此并用于所有目的。

根据本发明的一个方面，AAA服务器生成随后被提供给PDSN或外地代理的CHAP挑战和响应。具体而言，当AAA服务器收到标识节点的请求消息(例如，认证请求)时，它(例如，从AAA服务器维护的节点配置文件)获得与该节点相关的密码。AAA服务器生成CHAP挑战，它可随机生成或通过其他适当机制生成。AAA服务器根据密码和CHAP挑战生成CHAP响应。AAA服务器随后向PDSN(或外地代理)发送指示CHAP挑战和CHAP响应的答复消息，从而使PDSN(或外地代理)能够基于在答复消息中收到的CHAP挑战和响应来生成移动IP注册请求。

如上所述，当PDSN或外地代理向AAA服务器发送标识节点的请求消息时，它随后接收指示CHAP挑战和响应的回复消息。PDSN从回复消息中获得CHAP挑战和响应。PDSN(或外地代理)随后基于该CHAP挑战和响应构造移动IP注册请求消息。

根据一个实施例，AAA服务器是单个实体。但是，在其他实施例中，两个AAA服务器可以用来生成CHAP挑战和响应，并将CHAP挑战和响应提供到PDSN或外地代理。具体而言，可以实现外地网络中的本地AAA(LAAA)服务器和归属网络中的归属AAA(HAAA)服务器。这使得LAAA服务器能够在无法认证节点时联系HAAA服务器。

根据本发明的另一个方面，PDSN或外地代理生成CHAP挑战和响应，随后使用CHAP挑战和响应生成移动IP注册请求。具体而言，PDSN(或外地代理)向AAA服务器发送请求消息(例如认证请求)，并接收来自AAA服务器的回复消息(例如，认证回复)。回复消息包括(例如与节点相关的)密码。一旦PDSN(或外地代理)从回复消息中获得密码，它便生成CHAP挑战。PDSN(或外地代理)随后可通过CHAP挑战和密码生成CHAP响应。PDSN(或外地代理)随后基于CHAP挑战和响应构造移动IP注册请求消息。

如上所述，当AAA服务器接收标识节点的请求消息时，它(例如从AAA服务器维护的节点配置文件)获得与该节点相关的密码。AAA服务器随后向PDSN或外地代理发送回复消息，从而使PDSN(或外地代理)能够使用该密码生成CHAP响应，以用于生成包含CHAP响应和由PDSN(或外地代理)生成的CHAP挑战的移动IP注册请求。

根据本发明的另一方面，本发明涉及可操作来在AAA服务器或诸如PDSN、外地代理或接入点之类的代理实体中执行所公开的任何方法的系统。该系统包括一个或多个处理器以及一个或多个存储器。处理器和存储器中的至少一个适于提供至少某些上述方法操作。在又一个实施例中，本发明涉及用于执行所公开的方法的计算机程序产品。计算机程序产品具有至少一个计算机可读介质和存储在所述计算机可读介质的至少一个内的被配置成执行至少某些上述方法操作的计算机程序指令。

本发明的这些和其他特征和优点将在本发明的下述说明和附图中更详细地展示，所述附图通过示例方式说明了本发明的原理。

附图说明

图1是移动IP网段和相关环境的图示；

图2是例示了其中可由一个或多个PDSN实现代理移动IP的示例性系统的图示；

图3是例示了在CDMA2000网络中执行对于支持CHAP的节点的代理移动IP注册的方法的处理流程图；

图4是例示了根据本发明的第一实施例由PDSN使用AAA服务器生成的CHAP挑战和响应来执行代理移动IP注册的方法的处理流程图；

图5是例示了根据本发明的第二实施例由PDSN使用PDSN服务器生成的CHAP挑战和响应来执行代理移动IP注册的方法的处理流程图；

图6是其中可实现本发明的实施例的路由器的图形化表示。

具体实施方式

现在详细参考本发明的具体实施例。该实施例的示例在附图中示出。虽然本发明是结合具体实施例来描述的，但是应该理解不打算将本发明限制在一个实施例上。相反，希望涵盖可以包含在由所附权利要求限定的本发明的精神和范围内的变更、修改和等同物。在以下描述中，为了提供对本发明的全面理解，提出多个具体细节。本发明的实施可不需要这些具体细节。在其他示例中，公知的处理操作未详细描述，以免不必要地模糊本发明。

公开的实施例支持对于不使用CHAP的节点的代理移动IP注册。如下面将进一步详细描述的那样，这可通过如参考图4所提出的那样由AAA服务器或者如参考图5所提出的那样由诸如PDSN之类的实体生成CHAP挑战和响应来完成。一旦CHAP挑战和响应已生成，PDSN便可基于CHAP挑战和响应来生成移动IP注册请求。

图2是例示了可实现本发明的系统的框图。在以下描述中，公开的实施例是参考CDMA2000网络来描述的，CDMA2000网络是使用第三代合作伙伴项目2(3GPP2)架构来实现的。示例性3GPP2架构描述于可从http://www.3gpp2.org/Public_html/Misc/v&vindex.cfm  获得的题为“X.P0011-00x-D-cdma2000 Wireless IP Standard(6个文档：-001至-006)”的IS-835D，其通过引用方式结合于此并用于所有目的。分组数据服务节点(PDSN)充当3GPP2/CDMA2000网络中的接入路由器。虽然本发明被描述为在CDMA2000网络中实现，但是本发明也可在另一种类型的移动IP网络中实现。因此，下述由PDSN执行的那些功能也可由诸如外地代理或接入点之类的实体来执行。

如图2所示，节点206可能希望从其归属代理200漫游到第一PDSN/外地代理202。类似地，一旦附接到第一PDSN 202，节点206可能还希望漫游到第二PDSN/外地代理204。虽然节点206可能具有分配的IP地址，但是当节点206漫游时，该节点最好保持该分配的IP地址。例如，虽然DHCP服务器208通常在网络内节点的位置改变时将新IP地址动态分配给该节点，但是最好保持由DHCP服务器208最初分配给节点的IP地址。

在CDMA2000网络中，分组控制功能(PCF)210和分组控制功能(PCF)212分别耦合到PDSN 202和204。PCF 210、212通常耦合到基站控制器(BSC)(未示出)和移动交换中心(MSC)(未示出)。通常，实现移动IP的移动节点通过注册过程向其归属代理注册和注销。但是，在代理注册期间，注册由诸如PDSN之类的另一个网络设备代表节点发起。类似地，注销可由PDSN代表漫游节点发起。例如，已漫游到第一PDSN202的节点206利用第一PDSN 206在第一PDSN 202构造并发送注册请求分组时向该节点的归属代理200注册。因此，第一外地代理的访问者表和归属代理的移动性绑定表被更新以指示节点已漫游到第一外地代理202。当节点206漫游到第二PDSN 204时，节点206可被(例如，PDSN 210、212之一，外地代理202、204的任一个或归属代理200)注销。换言之，第一外地代理202更新其访问者表以反映节点206的移动。类似地，归属代理的移动性绑定表被更新以反映出节点206移动到第二外地代理204。因此，第一外地代理的访问者表和归属代理的移动性绑定表中的适当条目可被删除。新条目在节点向归属代理的注册完成后随后被输入到第二外地代理的访问者表和归属代理的移动性绑定表中。或者，访问者表可由PDSN维护和更新。

归属代理200可通过联系位于归属网络中的归属AAA服务器(HAAA)214来认证节点。类似地，第一PDSN/FA 202可经由位于与第一PDSN/FA 202相关的本地网络中的第一本地AAA服务器(LAAA1)216来认证节点，同时第二PDSN/FA 204可经由第二本地AAA服务器(LAAA2)218来认证节点。下面将参考图4-5进一步详细描述认证。

代理移动IP注册当前被支持CHAP的节点支持。图3是例示了在CDMA2000网络中执行对于支持CHAP的节点的代理移动IP注册的方法的处理流程图。由不支持移动IP的节点执行的过程、分组控制功能(PCF)、PDSN、位于PDSN所在的外地网络中的本地AAA服务器(LAAA)，位于归属网络中的归属AAA(HAAA)服务器以及归属代理(HA)分别由竖线302、304、306、308、310和312表示。当在314中在节点和PCF之间建立了数据呼叫时，PCF在316中向PDSN发送注册请求(RRQ)。假设呼叫成功，PDSN在318中向PCF发送注册响应(RRP)。节点在320中利用CHAP协议参加PPP协商，使得PDSN能够获得来自节点的CHAP挑战和响应。

PDSN向AAA服务器发送用于PPP认证的认证请求(例如，RADIUS接入请求)，并且在答复中从AAA服务器接收将用户认证为代理移动IP用户的认证响应(例如，RADIUS接入响应)。如所示，PDSN通常在322中向LAAA发送所示的认证请求，若LAAA服务器不能认证该节点，则认证请求可在324中被转发到HAAA服务器。在这些示例中，HAAA服务器在326中向LAAA服务器发送认证响应，认证响应在328中被转发到PDSN。

PDSN利用在PPP协商期间获得的PPP挑战和响应在330中代表节点构造移动IP注册请求，并在332中将该注册请求发送到归属代理。为了认证注册请求，归属代理通常在334中将认证请求发送到HAAA服务器，HAAA服务器在336中认证移动IP注册请求并将认证响应发送到归属代理。归属代理处理注册请求，并在收到认证响应后在338中向PDSN发送移动IP注册答复。隧道随后在340中在归属代理和PDSN之间被建立。隧道还在PDSN和节点之间被建立。

认证请求和响应以AAA格式被发送到AAA服务器。如图3所示，认证请求和响应可能包括RADIUS接入请求和响应。

目前，不执行使用CHAP协议的PPP协商的节点不支持代理移动IP。认证在PPP协商期间不使用CHAP的节点的一种替代方案是在PDSN和不支持移动IP的节点处配置共享密码，使得该密码用来认证节点。但是，在诸如PDSN之类的外地实体处存储这类密码是违反安全规则的，可能损害系统安全。

如下面将进一步详细描述的那样，本发明的各种实施例支持对于不支持CHAP的节点的代理移动IP注册。例如，节点可使用PAP或EAP协议执行PPP协商。如下面将进一步详细描述的那样，CHAP挑战和响应由AAA服务器或PDSN生成。一旦PDSN获得该CHAP挑战和响应，PDSN就根据要求移动IP注册请求包含CHAP挑战和响应的移动IP标准来生成移动IP注册请求。

一般地，在CDMA网络中，归属代理将访问AAA服务器来认证节点，除非归属代理保持本地安全关联。在描述的实施例中，本地AAA(LAAA)服务器和归属AAA(HAAA)服务器二者被示出。但是，要注意，单个AAA服务器(例如，LAAA服务器)可认证节点而不联系另一个AAA服务器(例如，HAAA服务器)。

图4是例示了根据本发明的第一实施例由PDSN使用AAA服务器生成的CHAP挑战和响应来执行代理移动IP注册的方法的处理流程图。由不支持移动IP的节点执行的过程、分组控制功能(PCF)、PDSN、位于PDSN所在的外地网络中的本地AAA服务器(LAAA)，位于归属网络中的归属AAA(HAAA)服务器以及归属代理(HA)分别由竖线402、404、406、408、410和412表示。当数据呼叫在414中在节点和PCF之间建立时，PCF在416中向PDSN发送注册请求(RRQ)。假设呼叫成功，PDSN在418中向PCF发送注册响应(RRP)。节点在420中利用诸如PAP或EAP之类的非CHAP认证协议参加PPP协商。由于不使用CHAP执行PPP协商，PDSN不在PPP协商期间接收CHAP挑战和响应。

为了认证节点，PDSN向AAA服务器发送标识该节点的认证请求(例如，接入请求)，并且在答复中从AAA服务器接收将用户认证为代理移动IP用户的认证响应(例如，接入响应)。如所示，PDSN通常在422中向LAAA服务器发送所示的认证请求，若LAAA服务器不能认证该节点，则认证请求可在424中被转发到HAAA服务器。例如，这可能发生在LAAA服务器不具有用于该节点的节点配置文件的情况下。用于节点的节点配置文件通常包括用于该节点的密码。

当认证请求被接收时，HAAA服务器在426中生成CHAP挑战和响应。具体而言，HAAA服务器访问节点的配置文件来验证该节点是代理移动IP用户。更具体而言，根据一个实施例，HAAA服务器从节点的配置文件获得与该节点相关的密码。另外，HAAA服务器生成CHAP挑战。例如，CHAP挑战可经由随机数发生器生成。HAAA服务器随后通过该密码和CHAP挑战生成CHAP响应。例如，CHAP响应可通过使用诸如MD-5之类的散列函数获得CHAP挑战和密码的散列来生成。HAAA服务器还可更新节点配置文件以包含CHAP挑战和响应。

在本例中，HAAA服务器生成CHAP挑战和响应。但是，要注意，单个AAA服务器(例如，LAAA服务器)可认证节点而不联系另一个AAA服务器(例如，HAAA服务器)。因此，LAAA服务器或HAAA服务器可生成CHAP挑战和响应。

一旦CHAP挑战和响应已生成，HAAA服务器就在428中向LAAA服务器发送指示或包含CHAP挑战和响应的认证响应。例如，CHAP挑战和响应可在认证响应的一个或多个属性中提供。LAAA服务器随后在430中将认证响应转发给PDSN。认证请求和响应可根据诸如RADIUS或TACACS+之类的AAA协议来发送。例如，如本例中所示，认证请求可以是RADIUS接入请求，且认证响应可以是RADIUS接入响应。

收到认证响应后，PDSN从认证响应中获得CHAP挑战和响应，并在432中代表节点基于CHAP挑战和响应构造移动IP注册请求。例如，注册请求可包括CHAP挑战和响应。具体而言，当移动节点构造移动IP注册请求时，它包括移动外地挑战扩展(MFCE)，MFCE包含CHAP挑战和CHAP响应作为共享的移动节点-AAA密钥。PDSN随后在434中将注册请求发送到归属代理。

为了认证注册请求，归属代理在436中向HAAA服务器发送认证请求，HAAA服务器认证移动IP注册请求，并在438中将认证响应发送到归属代理。具体而言，如上所述，当CHAP挑战和响应被提供给AAA服务器时，AAA服务器基于与CHAP挑战和响应相关的共享密码使用该信息来认证移动节点。

归属代理在440中向PDSN发送移动IP注册答复。隧道随后在442中在归属代理和PDSN之间建立。另外，隧道还在444中在PDSN和节点之间建立。

图5是例示了根据本发明的第二实施例PDSN使用PDSN服务器生成的CHAP挑战和响应来执行代理移动IP注册的方法的处理流程图。步骤414-420如上面参考图4所提出的那样被执行以建立PPP会话。

当标识节点的认证请求如上面参考步骤422-444所描述的那样被发送时，HAAA服务器访问节点的配置文件以验证该节点是代理移动IP用户。更具体而言，HAAA服务器在502中从其节点配置文件中获得该节点的密码。HAAA服务器随后在504中将包含节点的密码的认证响应发送到LAAA服务器。例如，密码可以认证响应的属性的形式被提供。LAAA服务器随后在506中将认证响应转发到PDSN。

在本例中，HAAA服务器从服务器维护的节点配置文件中获得节点的密码。但是，要注意，单个AAA服务器(例如，LAAA服务器)可认证节点而不联系另一个AAA服务器(例如，HAAA服务器)。因此，LAAA服务器或者HAAA服务器可从其节点配置文件中获得节点的密码。认证请求和响应可根据诸如RADIUS或TACACS+之类的AAA协议来发送，如上所述。

当包含密码的认证响应被PDSN接收时，PDSN在508中生成CHAP挑战和响应。具体而言，PDSN通过认证响应获得密码。另外，PDSN生成CHAP挑战。例如，CHAP挑战可经由随机数发生器生成。PDSN随后通过密码和CHAP挑战生成CHAP响应。例如，CHAP响应可通过使用MD-5获得CHAP的挑战和密码的散列来生成。

PDSN随后基于PDSN生成的CHAP挑战和响应代表节点构造注册请求，且该节点向归属代理的注册如上面参考步骤432-444所描述的那样被完成。

上述实施例实现了对于不支持CHAP的节点的代理移动IP注册。这是通过由诸如AAA服务器或PDSN之类的实体生成CHAP挑战和响应来完成的。一旦CHAP挑战和响应生成，PDSN便可代表移动节点生成包含CHAP挑战和响应的注册请求。

本发明还可实现为计算机可读介质上的计算机可读代码。计算机可读介质是能够存储此后被计算机系统读取的数据的任何数据存储设备。计算机可读介质的示例包括只读存储器、随机存取存储器、CD-ROM、磁带和光数据存储设备。

本发明的装置(例如，移动节点、归属代理、外地代理或PDSN)可专门为所需目的构建，或者可以是由存储器中存储的计算机程序选择性激活或重新配置的通用可编程机器。此处展示的过程不与任何特定路由器或其他装置内在相关。在优选实施例中，本发明的归属代理的任一个可以是专门配置的路由器，如加州圣何塞的思科系统公司有售的特制路由器型号1700、1800、2500、2600、3200、3600、4000、4500、4700、7200和7500。用于这些机器的某些的通用结构从下面给出的描述中可见。

一般地，本发明的技术可在软件和/或硬件上实施。例如，它可以在操作系统内核中、单独的用户进程中、捆绑到网络应用的库程序包中、专门构建的机器上或网络接口卡上实施。在本发明的具体实施例中，本发明的技术在诸如操作系统之类的软件中或在操作系统上运行的应用程序中实施。

本发明的软件或软/硬件混合系统优选地在由存储器中存储的计算机程序选择性激活或重新配置的通用可编程机器上实施。这类可编程机器可以是设计为处理网络流量的网络设备。这类网络设备通常具有多个网络接口，例如包括帧中继、ISDN和无线接口。这类网络设备的具体示例包括路由器和交换机。例如，本发明的漫游系统可以是专门配置的路由器，如加州圣何塞的思科系统公司有售的特制路由器型号350、1100、1200、1400、1600、2500、2600、3200、3600、4500、4700、7200、7500和12000。用于这些机器的某些的一般结构从下面给出的描述中可见。在替代实施例中，注册系统可在诸如个人计算机或工作站之类的通用网络主机上实施。另外，本发明可以至少部分地在用于网络设备或通用计算机设备的卡(例如接口卡)上实施。

现在参考图6，适合实施本发明的路由器1110包括主中央处理单元(CPU)1162、接口1168和总线1115(例如，PCI总线)。当在适当的软件或固件的控制下运行时，CPU 1162负责诸如路由表计算和网络管理之类的路由任务。它还可负责更新移动性绑定和访问者表等。其最好在包含操作系统(例如，思科系统公司的Internetwork操作系统

)和任何适当的应用软件在内的软件的控制下完成所有这些功能。CPU 1162可包括一个或多个处理器1163，如来自摩托罗拉微处理器家族或MIPS微处理器家族的处理器。在替代实施例中，处理器1163是用于控制路由器1110的操作的专门设计的硬件。在具体实施例中，存储器1161(如非易失性RAM和/或ROM)也形成CPU 1162的一部分。但是，存在很多不同的方式可以将存储器耦合到系统上。

接口1168通常被提供为接口卡(有时称为“线卡”)。一般地，它们控制数据分组在网络上的发送和接收，有时支持与路由器1110一起使用的其他外设。可提供的接口有以太网接口、帧中继接口、有线接口、DSL接口、令牌环接口等等。另外，可提供各种甚高速的接口，如快速令牌环接口、无线接口、以太网接口、千兆以太网接口、ATM接口、HSSI接口、POS接口、FDDI接口等等。一般地，这些接口可包括适合于通过适当介质进行通信的端口。在某些情况下，它们还可包括独立处理器，在某些情况下包括非易失性RAM。独立处理器可控制诸如分组交换、介质控制和管理之类的通信密集型任务。通过为通信密集型任务提供单独的处理器，这些接口允许主微处理器1162有效地执行路由计算、网络诊断、安全功能等。

虽然图6所示系统是本发明的一个具体路由器，但它绝不是可以实施本发明的唯一路由器结构。例如，经常使用具有处理通信及路由计算等的单个处理器的结构。另外，还可与路由器一起使用其他类型的接口和介质。

不论网络设备的配置如何，它都可采用被配置为存储用于通用网络操作的程序指令和用于此处描述的认证和注册功能的机制的一个或多个存储器或存储模块(包括存储器1161)。程序指令例如可控制操作系统和/或一个或多个应用程序的操作。一个或多个存储器还可被配置为存储表格，如移动性绑定、注册和关联表等。

因为这类信息和程序指令可用来实施此处描述的系统/方法，所以本发明涉及包含用于执行此处描述的各种操作的程序指令、状态信息等的机器可读介质。机器可读介质的示例包括但不限于诸如硬盘、软盘和磁带之类的磁介质；诸如CD-ROM光盘之类的光介质；诸如可光读的软盘之类的磁光介质；以及专门用于存储和执行程序指令的硬件设备，如只读存储设备(ROM)和随机存取存储器(RAM)。本发明还可实现为计算机可读介质，在该介质中载波通过诸如无线电、光线、电线等之类的适当介质传播。程序指令的示例包括诸如可由编译器生成的机器代码，以及包含可由计算机利用解释器运行的较高层代码的文件。

虽然出于理解清楚的目的在一定细节上描述了前述发明，但是很明显在所附权利要求的范围内可进行某些修改和变更。另外，虽然所描述的示例主要参考IPv4，但是本发明可与其他版本的IP一起使用。另外，虽然本说明书参考代理移动IP在PDSN中的实现，但是公开的实施例还可在外地代理、接入点或其他实体中实现。于是，公开的实施例不一定要在CDMA2000网络中执行。因此，所述实施例应被视作说明性而非限制性的，且不应将本发明限制在此处给出的细节上，而应由所附权利要求及其等同物的全部范围来限定。

Claims (25)

1.一种AAA服务器中的认证节点的方法，包括：

由所述AAA服务器接收标识节点的请求消息，所述请求消息是AAA格式的；

由所述AAA服务器获得与所述节点相关的密码；

由所述AAA服务器生成CHAP挑战；

由所述AAA服务器根据所述密码和所述CHAP挑战生成CHAP响应；以及

由所述AAA服务器向网络设备发送AAA格式的、指示所述CHAP挑战和所述CHAP响应的回复消息，从而使所述网络设备能够生成包含所述CHAP挑战和所述CHAP响应的移动IP注册请求。

2.如权利要求1所述的方法，还包括：

和所述密码相关联地存储所述CHAP挑战和所述CHAP响应。

3.如权利要求1所述的方法，其中所述请求消息是RADIUS接入请求，且所述回复消息是RADIUS接入回复。

4.如权利要求1所述的方法，其中所述节点不支持CHAP协议。

5.如权利要求1所述的方法，其中所述节点支持PAP协议。

6.如权利要求1所述的方法，其中所述AAA服务器位于所述网络设备所处的本地网络中。

7.如权利要求1所述的方法，其中所述AAA服务器位于所述节点的归属网络中。

8.一种网络设备中的代表节点构造移动IP注册请求的方法，包括：

由所述网络设备向AAA服务器发送标识节点的请求消息，所述请求消息是AAA格式的；

由所述网络设备从所述AAA服务器接收AAA格式的、指示CHAP挑战和CHAP响应的回复消息；

由所述网络设备从所述回复消息获得所述CHAP挑战和所述CHAP响应；以及

由所述网络设备基于所述CHAP挑战和所述CHAP响应构造移动IP注册请求消息。

9.如权利要求8所述的方法，其中所述请求消息是RADIUS接入请求，且所述回复消息是RADIUS接入回复。

10.如权利要求8所述的方法，其中所述节点不支持CHAP协议。

11.如权利要求8所述的方法，其中所述节点支持PAP协议。

12.如权利要求8所述的方法，其中所述AAA服务器位于所述网络设备所处的本地网络或所述节点的归属网络中。

13.如权利要求8所述的方法，其中所述回复消息包括所述CHAP挑战和所述CHAP响应。

14.一种AAA服务器中的认证节点的方法，包括：

由所述AAA服务器接收标识节点的请求消息，所述请求消息是AAA格式的；

由所述AAA服务器获得与所述节点相关的密码；以及

由所述AAA服务器向PDSN或外地代理发送AAA格式的、包含所述密码的回复消息，从而使PDSN或外地代理能够使用所述密码生成CHAP响应，以用于生成包含所述CHAP响应和由所述PDSN或所述外地代理生成的CHAP挑战的移动IP注册请求。

15.如权利要求14所述的方法，其中所述请求消息是RADIUS接入请求，且所述回复消息是RADIUS接入回复。

16.如权利要求14所述的方法，其中所述节点不支持CHAP协议。

17.如权利要求14所述的方法，其中所述节点支持PAP协议。

18.如权利要求14所述的方法，其中所述AAA服务器位于所述PDSN或外地代理所处的本地网络中。

19.如权利要求14所述的方法，其中所述AAA服务器位于所述节点的归属网络中。

20.一种网络设备中的代表节点构造移动IP注册请求的方法，包括：

由所述网络设备向AAA服务器发送标识节点的请求消息，所述请求消息是AAA格式的；

由所述网络设备从所述AAA服务器接收回复消息，所述回复消息是AAA格式的且包含密码；

由所述网络设备从所述回复消息获得所述密码；

由所述网络设备生成CHAP挑战；

由所述网络设备根据所述密码和所述CHAP挑战生成CHAP响应；以及

由所述网络设备基于所述网络设备生成的所述CHAP响应和CHAP挑战构造所述移动IP注册请求。

21.如权利要求20所述的方法，其中所述请求消息是RADIUS接入请求，且所述回复消息是RADIUS接入回复。

22.如权利要求20所述的方法，其中所述节点不支持CHAP协议。

23.如权利要求20所述的方法，其中所述节点支持PAP协议。

24.如权利要求20所述的方法，其中所述AAA服务器位于所述网络设备所处的本地网络或所述节点的归属网络中。

25.一种网络设备中的代表节点构造移动IP注册请求的设备，包括：

用于由所述网络设备向AAA服务器发送标识节点的请求消息的装置，所述请求消息是AAA格式的；

用于由所述网络设备从所述AAA服务器接收AAA格式的、指示CHAP挑战和CHAP响应的回复消息的装置；

用于由所述网络设备从所述回复消息获得所述CHAP挑战和所述CHAP响应的装置；以及

用于由所述网络设备基于所述CHAP挑战和所述CHAP响应构造所述移动IP注册请求消息的装置。

Images