CN101610533B

CN101610533B - 一种实现访问控制器备份切换的方法和装置

Info

Publication number: CN101610533B
Application number: CN2009100882970A
Authority: CN
Inventors: 常慧锋
Original assignee: Hangzhou H3C Technologies Co Ltd
Current assignee: New H3C Technologies Co Ltd
Priority date: 2009-07-13
Filing date: 2009-07-13
Publication date: 2011-09-07
Anticipated expiration: 2029-07-13
Also published as: CN101610533A

Abstract

本发明提供了一种实现访问控制器(AC)备份切换的方法和AC，该方法包括：第一AC将自身管理的移动终端(STA)的认证密钥备份给第二AC；与所述第一AC连接的AP确定与所述第一AC之间的连接中断后，与所述第二AC建立连接，并触发所述STA进行无线链路重连接；在所述STA进行无线链路重连接过程中，所述第二AC利用备份到的所述STA的认证密钥与所述STA进行会话密钥协商。本发明降低了AC切换过程所需要的AC之间的同步数据量。

Description

一种实现访问控制器备份切换的方法和装置

技术领域

本发明涉及移动通信技术领域，特别涉及一种实现访问控制器备份切换的方法和装置。

背景技术

无线通信系统普遍采用的是无线集中式管理架构，如图1所示，多台无线接入点(AP，Access Point)通过访问控制器(AC，Access Control)集中控制，AC完成移动终端(STA，Station)的上线管理、密钥协商、密钥更新、数据转发等管理操作。AC和AP之间通过轻型接入点协议(LWAPP，Light Weight Access Point Protocol)隧道进行消息交互，LWAPP隧道的建立使得AP在数据转发时无需考虑与AC之间复杂的路由关系，通信变得更加简单。

随着网络技术的不断发展，如何提高可靠性避免通信故障成为需要重点解决的问题，在无线集中式管理架构中，作为集中控制核心的AC如果出现故障宕机，则会造成其管理的业务出现中断。为了解决这一问题，现有技术中提出了AC备份方案，互为备份的AC之间实时同步STA的所有运行信息，在一个AC宕机后，业务从宕机的AC切换到与该AC互为备份的AC上，从而保持业务不中断。如图2所示，AC1和AC2互为备份，AC1实时地将自身管理的STA的所有运行信息同步到AC2，一旦AC1宕机，AP1通过与AC2之间的连接使业务切换到AC2，由于AC2中已经具有AC1原来管理的STA的所有运行信息，包括：认证密钥、会话密钥等，因此，业务可以通过AC2继续执行，保持不中断。

但是，现有技术中的上述方法，需要在AC之间备份STA的所有运行信息，并且随着信息的更新需要频繁同步，同步的数据量较大，特别在管理的STA数量较多时，缺点更加突出。

发明内容

有鉴于此，本发明提供了一种实现AC备份切换的方法和装置，以便于较小AC切换过程所需要的AC之间的同步数据量。

一种实现访问控制器AC备份切换的方法，该方法包括：

A、第一AC将自身管理的移动终端STA的认证密钥备份给第二AC；

B、与所述第一AC连接的无线接入点AP确定与所述第一AC之间的连接中断后，与所述第二AC建立连接，并触发所述STA进行无线链路重连接；

C、所述STA发起无线链路重连接，具体包括：所述STA与所述第二AC进行链路协商；所述第二AC利用备份到的所述STA的认证密钥与所述STA进行会话密钥协商，生成会话密钥。

一种访问控制器AC，该AC包括：备份处理单元、第一连接建立单元和第二连接建立单元；

所述备份处理单元，用于将自身管理的移动终端STA的认证密钥备份给其它AC，接收其它AC备份来的STA的认证密钥；

所述第一连接建立单元，用于与无线接入点AP建立连接；

所述第二连接建立单元，用于在与STA进行无线链路重连接过程中时，与STA进行链路协商，并在所述链路协商完成后，利用所述备份处理单元已经备份到的该STA的认证密钥与该STA进行会话密钥协商。

一种无线接入点AP，用于实现从第一访问控制器AC到第二AC的备份切换，所述第一AC将自身管理的移动终端STA的认证密钥备份给所述第二AC；该AP包括：连接检测单元、连接建立单元、连接触发单元；

所述连接检测单元，用于确定该AP与所述第一AC之间的连接是否中断，如果是，则向所述连接建立单元发送第一执行通知；

所述连接建立单元，用于接收到所述第一执行通知后，与所述第二AC建立连接，并向所述连接触发单元发送第二执行通知；

所述连接触发单元，用于接收到所述第二执行通知后，触发所述STA进行无线链路重连接。

由以上技术方案可以看出，在本发明中AC之间仅进行STA认证密钥的备份，在AP从一个AC切换至另一个AC后，触发STA进行无线链路重连接；在无线链路重连接过程中，切换到的AC利用已经备份到的STA的认证密钥与STA进行会话密钥协商。对于STA而言，仅相当于进行了一次漫游，并不会感知到AC的切换，并且本发明中AC之间仅进行了STA认证密钥的备份，而不需备份STA的所有运行信息，从而大大减小了同步的数据量，特别在管理的STA数量较多时，效果更加突出。

附图说明

图1为无线集中式管理架构示意图；

图2为现有技术中的AC备份方案示意图；

图3为本发明实施例提供的主要方法流程图；

图4为本发明实施例提供的详细方法流程图；

图5为本发明实施例提供的一个无线集中式管理架构实例图；

图6为本发明实施例提供的切换示意图；

图7为本发明实施例提供的AC结构示意图；

图8为本发明实施例提供的AP结构示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面结合附图和具体实施例对本发明进行详细描述。

本发明提供的主要方法可以如图3所示，主要包括以下步骤：

步骤301：AC1将自身管理的STA的认证密钥备份给AC2。

步骤302：与AC1连接的AP确定与AC1之间的连接中断后，与AC2建立连接，并触发AC1管理的STA进行无线链路重连接。

步骤303：在AC1管理的STA进行无线链路重连接过程中，AC2利用备份到的该STA的认证密钥与该STA进行会话密钥协商。

下面结合具体实施例对上述方法进行详细描述。图4为本发明实施例提供的详细方法流程图，该实施例以图5所示架构为例，AP1初始与AC1通过LWAPP隧道建立连接，形成集中式管理架构无线网络，STA1通过AP1上线，由AC1进行管理，AC1、AC2和AC3互为备份。如图4所示，该方法可以包括以下步骤：

步骤401：AC1将STA1的认证密钥通过访问控制器间隧道协议(IACTP，Inter Access Controller Tunneling Protocol)隧道广播发送给AC2和AC3。

AC之间可以通过IACTP隧道进行通信。

当STA1初次关联到AC1时，在建立无线链路连接过程中会进行802.1X认证过程，AC1在802.1X认证过程中获取到认证密钥后，可以通过IACTP隧道把STA1的认证密钥同步到AC2和AC3。对于诸如会话密钥等其它信息，则无需进行同步。

步骤402：AP1确定与AC1之间的连接故障后，与AC2建立连接。

AP1在与AC1之间的隧道中通过发送保活报文确定与AC1之间的连接是否正常，如果AC1宕机或者AP1和AC1之间的链路故障，则AP1在设定时间内则无法接收到AC1的保活报文，从而确定与AC1之间的连接故障，该部分内容为现有技术，在此不再赘述。

AP与CA之间的隧道可以为LWAPP隧道、无线接入点配置控制协议(CAPWAP，Configuration and Provisioning for Wireless Access Points)隧道或者其它类型的隧道，在以下描述中均以LWAPP隧道为例。

另外，为了保证AP1能够与和AC1存在备份关系的AC建立连接，可以预先在AC1以及与AC1存在备份关系的AC2和AC3上进行针对AP的配置，只有预先进行了针对AP的配置的AC才能接收AP的连接请求。当AP1确定与AC1之间的连接故障后，会发起探测发现过程，假设发现了AC2、AC3和AC4，AP会分别向AC2、AC3和AC4发起连接请求，由于只有AC2 和AC3上存在针对AP1的配置，AP1会接收到AC2和AC3的连接接受响应，AP1会根据预设的选择策略从AC2和AC3中选择一个通过握手过程建立连接。例如，AP1可以选择AC2和AC3中响应最快的一个建立连接，也可以选择AC2和AC3中标识最小的进行连接等。

AP1在与AC2建立连接的过程中需要保证无线服务不中断，本发明实施例中采用的AP1与AC2建立连接的具体方式可以为以下两种：

第一种方式：AP预先与所有互为备份的AC建立LWAPP隧道，当与AC1之间LWAPP隧道中断后，立即切换到其它LWAPP隧道上。在本实施例中，AP1预先与AC1、AC2和AC3都建立LWAPP隧道，当与AC1之间的LWAPP隧道中断后，立即切换到已经建立好的与AC2之间的LWAPP隧道，从而保证无线服务并不中断。

第二种方式：AP1在与AC2建立LWAPP隧道之前采用不间断转发技术，并在STA1发起下一周期的会话密钥更新之前，完成与AC2建立LWAPP隧道。其中，不间断转发技术为：AP1在AC1宕机后，对于已经上线的STA1继续由AP1进行转发功能。但是，需要说明的是，对于此期间新上线的STA，则会上线失败，或者在此期间需要进行会话密钥更新的STA也会更新失败，不间断转发是一种AC宕机期间的临时状态。

步骤403：AP1与AC2建立连接成功后，触发STA1进行无线链路重连接。

如果AP1与AC2建立连接不成功，则可以继续尝试与AC3建立连接。

本步骤中，AP1可以通过向STA1发送解认证报文或预先约定的无线链路重连接触发信号的方式来触发STA1进行无线链路重连接。其中，解认证报文是现有协议中触发STA进行无线链路重连接的报文。

步骤404：STA1发起无线链路重连接，在无线链路重连接过程中，AC2利用备份到的该STA的认证密钥与该STA进行会话密钥协商。

通常，无线链路重连接的过程包括以下三个过程：1)STA与AC进行链路协商；2)AC对STA进行802.1X认证，获得认证密钥；3)利用获取的认证密钥进行4次握手的会话密钥协商，生成会话密钥。

但是由于在本实施例中，AC2已经备份有STA1的认证密钥，因此可以不必执行第二个过程，本实施例中的无线链路重连接过程可以为：1)STA1与AC2进行链路协商；2)AC2利用已经备份的STA1的认证密钥与STA1进行4次握手的会话密钥协商，生成会话密钥。在无线链路重连接过程中，进行802.1X认证的过程是最耗时的过程，一般为秒级，而其它过程仅为毫秒级，因此，本实施例中的无线链路重连接过程被缩减为毫秒级，通常为几十毫秒，通常不会引起网络中断。

步骤405：STA1完成从AC1到AC2的无缝切换。

在该实施例中，STA1被触发进行无线链路重连接时，所连接的AP仍然是AP1，但是，由于AP1连接的AC已经发生变化，对于STA1来说，并没有引起无线服务中断，相当于发生了一次漫游，即在AP1中进行了逻辑AP的漫游，假设与AC1连接的逻辑AP为AP1-1，与AC2连接的逻辑AP为AP1-2，STA1从AP1-1漫游到了AP1-2，如图6所示，STA1并不会感知到AC1的宕机，也不会引起STA1的业务中断。

如果AC2随后也出现宕机的状况，则AP1可以进一步通过探测发现过程连接到AC3，或者在AC1恢复正常后，连接到AC1。

本发明实施例以1个AC备份到2个AC上为例，但本发明并不限于此，可以备份到N个AC上，从而实现N+1的备份效果，其中，N为任意正整数。

以上是对本发明所提供方法进行的描述，下面对本发明提供的AC和AP进行详细描述。图7为本发明实施例提供的AC结构图，如图7所示，该AC可以包括：备份处理单元700、第一连接建立单元710和第二连接建立单元720。

备份处理单元700，用于将自身管理的STA的认证密钥备份给其它AC，接收其它AC备份来的STA的认证密钥。

第一连接建立单元710，用于与AP建立连接。

第二连接建立单元720，用于在与STA进行无线链路重连接过程中，利用备份处理单元已经备份到的该STA的认证密钥与该STA进行会话密钥协商。

其中，第一连接建立单元710可以具体包括：请求接收子单元711、判断子单元712和响应发送子单元713。

请求接收子单元711，用于接收AP发送的连接请求，并向判断子单元发送判断通知。

判断子单元712，用于接收到判断通知后，判断该AC是否已经保存了针对AP的配置，如果是，则向响应发送子单元713发送执行通知。

响应发送子单元713，用于接收到执行通知后，向AP回复连接接受响应。

也就是说，只有预先保存了针对AP的配置的AC才能够接受该AP的连接请求，可以预先在互为备份的AC上保存针对AP的配置，以使该AP能够实现在这些互为备份的AC上的切换。

另外，第二连接建立单元720可以具体包括：链路协商子单元721和会话协商子单元722。

链路协商子单元721，用于与STA进行链路协商。

会话协商子单元722，用于在链路协商完成后，利用备份处理单元700已经备份到的该STA的认证密钥与该STA进行会话密钥协商。

该第二连接建立单元720不需要对该STA进行802.1X认证过程。

图8为本发明实施例提供的AP结构图，该AP用于实现从第一AC到第二AC的备份切换，第一AC将自身管理的STA的认证密钥备份给第二AC；如图8所示，该AP可以包括：连接检测单元800、连接建立单元810和连接触发单元820。

连接检测单元800，用于确定该AP与第一AC之间的连接是否中断，如果是，则向连接建立单元810发送第一执行通知。

连接建立单元810，用于接收到第一执行通知后，与第二AC建立连接，并向连接触发单元820发送第二执行通知。

连接触发单元820，用于接收到第二执行通知后，触发STA进行无线链路重连接。

其中，连接触发单元820可以通过向STA发送解认证报文或者预先约定的无线链路重连接触发信号，来触发STA进行无线链路重连接。

上述连接建立单元810可以包括：请求发送子单元811、响应接收子单元812、选择子单元813和连接建立子单元814。

请求发送子单元811，用于接收到第一执行通知后，向探测到的AC发送连接请求。

响应接收子单元812，用于接收AC回复的连接接受响应。

选择子单元813，用于根据预设的选择策略从回复连接接受响应的AC中选择一个作为第二AC。

连接建立子单元814，用于与第二AC建立LWAPP隧道。

通过该连接建立单元810，AP仅从回复连接接受响应的AC中选择一个AC作为第二AC重新建立连接，即进行切换。

另外，该AP还可以包括：不间断转发单元830，用于当确定该AP与第一AC之间的连接中断后，采用不间断转发技术。以保证切换过程中无线服务不中断。

还有一种保证切换过程中无线服务不中断的方式，即连接建立子单元814预先与第一AC和第二AC分别建立LWAPP隧道，选择子单元813选择第二AC后，立即切换到与第二AC之间的LWAPP隧道。

由以上描述可以看出，在本发明中AC之间仅进行STA认证密钥的备份，在AP从一个AC切换至另一个AC后，触发STA进行无线链路重连接；在无线链路重连接过程中，切换到的AC利用已经备份到的STA的认证密钥与STA进行会话密钥协商。对于STA而言，仅相当于进行了一次漫游，并不会感知到AC的切换，并且本发明中AC之间仅进行了STA认证密钥的备份，而不需备份STA的所有运行信息，从而大大减小了同步的数据量，特别在管理的STA数量较多时，效果更加突出。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims

1.一种实现访问控制器AC备份切换的方法，其特征在于，该方法包括：

C、所述STA发起无线链路重连接，具体包括：所述STA与所述第二AC进行链路协商；所述第二AC利用已经备份的所述STA的认证密钥与所述STA进行会话密钥协商，生成会话密钥。

2.根据权利要求1所述的方法，其特征在于，所述步骤A为：所述第一AC将自身管理移动终端STA的认证密钥通过访问控制器间隧道协议IACTP隧道发送给包含所述第二AC的至少一个AC，该至少一个AC预先保存了针对所述AP的配置；

所述步骤B中在与所述第二AC建立连接之前还包括：所述AP向探测到的AC发送连接请求，预先保存了针对所述AP的配置的AC接收到所述AP的连接请求后回复连接接受响应，所述AP根据预设的选择策略从回复连接接受响应的AC中选择一个作为所述第二AC。

3.根据权利要求1所述的方法，其特征在于，步骤B中所述与所述第二AC建立连接包括：所述AP预先与所述第一AC和第二AC分别建立隧道，当确定与所述第一AC之间的连接中断后，立即切换到与所述第二AC之间的隧道上；或者，

所述AP确定与所述第一AC之间的连接中断后，采用不间断转发技术，并在所述STA发起会话密钥更新之前，与所述第二AC建立隧道。

4.根据权利要求3所述的方法，其特征在于，AP与AC之间的隧道包括：轻型接入点协议LWAPP隧道或无线接入点配置控制协议CAPWAP隧道。

5.根据权利要求1所述的方法，其特征在于，步骤B中触发所述STA进行无线链路重连接包括：所述AP向所述STA发送解认证报文或者预先约定的无线链路重连接触发信号。

6.一种访问控制器AC，其特征在于，该AC包括：备份处理单元、第一连接建立单元和第二连接建立单元；

所述第一连接建立单元，用于与无线接入点AP建立连接；

所述第二连接建立单元，用于在与STA进行无线链路重连接时，与STA进行链路协商，并在所述链路协商完成后，利用所述备份处理单元已经备份到的该STA的认证密钥与该STA进行会话密钥协商。

7.根据权利要求6所述的AC，其特征在于，所述第一连接建立单元包括：请求接收子单元、判断子单元和响应发送子单元；

所述请求接收子单元，用于接收所述AP发送的连接请求，并向所述判断子单元发送判断通知；

所述判断子单元，用于接收到所述判断通知后，判断该AC是否已经保存了针对所述AP的配置，如果是，则向所述响应发送子单元发送执行通知；

所述响应发送子单元，用于接收到所述执行通知后，向所述AP回复连接接受响应。

8.根据权利要求6或7所述的AC，其特征在于，所述第二连接建立单元包括：链路协商子单元和会话协商子单元；

所述链路协商子单元，用于与STA进行链路协商；

所述会话协商子单元，用于在所述链路协商完成后，利用所述备份处理单元已经备份到的该STA的认证密钥与该STA进行会话密钥协商。

9.一种无线接入点AP，用于实现从第一访问控制器AC到第二AC的备份切换，其特征在于，所述第一AC将自身管理的移动终端STA的认证密钥备份给所述第二AC；该AP包括：连接检测单元、连接建立单元、连接触发单元；

所述连接触发单元，用于接收到所述第二执行通知后，触发所述STA进行无线链路重连接，其中，所述STA进行无线链路重连接具体为：所述STA与所述第二AC进行链路协商；所述第二AC利用已经备份的所述STA的认证密钥与所述STA进行会话密钥协商，生成会话密钥。

10.根据权利要求9所述的AP，其特征在于，所述连接建立单元包括：请求发送子单元、响应接收子单元、选择子单元和连接建立子单元；

所述请求发送子单元，用于接收到所述第一执行通知后，向探测到的AC发送连接请求；

所述响应接收子单元，用于接收AC回复的连接接受响应；

所述选择子单元，用于根据预设的选择策略从回复连接接受响应的AC中选择一个作为所述第二AC；

所述连接建立子单元，用于与所述第二AC建立隧道。

11.根据权利要求10所述的AP，其特征在于，该AP还包括：不间断转发单元，用于所述连接检测单元确定该AP与所述第一AC之间的连接中断后，采用不间断转发技术。

12.根据权利要求11所述的AP，其特征在于，所述连接建立子单元预先与所述第一AC和第二AC分别建立隧道，在所述选择子单元选择第二AC后，立即切换到与所述第二AC之间的隧道。

13.根据权利要求10或12所述的AP，其特征在于，所述隧道包括：轻型接入点协议LWAPP隧道或无线接入点配置控制协议CAPWAP隧道。