CN101652778A - Gw耦合的sip代理 - Google Patents

Abstract

在一个实施例中，一种方法可包括：(i)在接入网关中执行与移动装置的初始认证，该接入网关是附接点；(ii)将来自移动装置的第一消息转发至边缘代理；(iii)接收来自边缘代理的第二消息；以及(iv)将第二消息的修改版本返回至边缘代理，用于移动装置的最终认证。

Description

GW耦合的SIP代理

技术领域

本公开一般地涉及耦合至网关用于保护SIP基础构架的会话初始协议(SIP)代理。

背景技术

在传统的因特网协议(IP)多媒体子系统(IMS)中，代理呼叫会话控制功能(P-CSCF)或边缘代理可使能要根据会话描述协议(SDP)来实施的策略和收费、以及其他会话初始协议(SIP)头部的存在性和值。通常利用SIP来协商SDP。遗憾的是，在规避操作者策略的尝试中SIP头部可被操纵。

此外，第三代合作伙伴计划(3GPP)安全性可以是相对复杂和昂贵的，并且其他途径包括相对消息密集的途径、或者未广泛实施的途径。此外，3GPP IMS安全性没有防止对真正IMS用户的攻击。因此，使用传统途径可能难以停止对SIP基础构架的攻击。然而，希望防止这样的攻击以保护操作者策略。

发明内容

在一个实施例中，一种方法可包括：(i)在接入网关中执行与移动装置的初始认证，该接入网关是附接点；(ii)将来自移动装置的第一消息转发至边缘代理；(iii)接收来自边缘代理的第二消息；以及(iv)将第二消息的修改版本返回至边缘代理，用于移动装置的最终认证。

在一个实施例中，一种方法可包括：(i)在边缘代理中接收经由接入网关的来自移动装置的第一消息；(ii)将第二消息发送至接入网关；以及(iii)接收第二消息的修改版本，用于移动装置的最终认证。

附图说明

图1图示了示例通用分组无线业务(GPRS)网络。

图2图示了利用边缘代理的呼叫流中的第一示例操作。

图3图示了利用边缘代理的呼叫流中的第二示例操作。

图4图示了利用边缘代理的呼叫流中的第三示例操作。

图5图示了利用边缘代理的呼叫流中的第四示例操作。

图6图示了利用边缘代理的呼叫流中的第五示例操作。

图7图示了利用边缘代理的呼叫流中的第六示例操作。

图8图示了利用边缘代理的示例流程图。

图9图示了示例GGSN组件。

具体实施方式

在具体实施例中，会话初始协议(SIP)代理或“边缘”代理可被耦合至用于保护SIP基础构架的接入网关或附接点。例如，具体实施例可支持基于因特网协议(IP)地址的身份断言(identity assertion)、漫游伙伴识别、接入网络信息的监督/插入、IP电话(VoIP)统计报告、注册确认、注册生成、以及直接的服务质量(QoS)。

现在参考图1，通过总标号100示出并指示示例性通用分组无线业务(GPRS)网络。例如，这样的网络可使用UMTS 2.5GHz和/或3GHz标准。蜂窝电话102呼叫可由基站收发台站(BTS)104来接收/发送，BTS104可与基站控制器(BSC)106相接口。如果来自蜂窝电话102的呼叫是语音呼叫，则它可被路由选择至移动交换中心(MSC)108。然而，如果呼叫是数据呼叫(例如VoIP呼叫)，则呼叫可被路由选择至服务GPRS支持节点(SGSN)110。例如，网关GPRS支持节点(GGSN)112可以是服务器和/或交换机/路由器的一部分，并且可表示附接点或“网关”。下面在图9中示出示例GGSN组件。在图1中，蜂窝电话102可以是可接入因特网(例如公用数据网(PDN)114)的任何装置(例如膝上型、手持型或另一类型的电话)。

可供应给蜂窝电话102的移动用户的IP服务可包括经由GGSN 112可获得的服务，例如QoS、IP地址分配、安全性、策略和记帐/收费。此外，SGSN 110可为用户(例如蜂窝电话102的用户)提供无线服务控制。这样的服务控制可包括经由归属位置登记(HLR)116的用户认证、经由HLR 116的用户简档下载和/或域名服务(DNS)118。一旦建立起认证用户连接，就可从HLR 116上存储的数据库检索用户信息。例如，以此方式可发生对于特定用户被授权使用的服务类型的确定。此外，还可供应其他参数，例如QoS概要、接入模式和/或接入点名称(APN)。APN实质上是指称GGSN和外部网络的逻辑名称。

蜂窝电话102可具有通过IMSI(国际移动用户标识符)来初始地标识的用户。利用这样的信息，SGSN 110可为此用户检索适当的用户信息(例如用来在认证期间挑战(challenge)用户的凭证，作为与蜂窝电话102相关联的E.164电话号码的、用户的移动用户综合业务数字网(MSISDN)，或者用户试图从PDN 114接入的APN)。可经由耦合至用户希望接入的实际web站点(例如yahoo.com或google.com)的一个服务器来提供这样的APN。为了辅助此接入，SGSN 110可判断几个可能GGSN中的哪一个(例如GGSN 112)应当被用于连接。例如，每个这样的GGSN可以能够支持所有APN的子集、或者分配给特定GGSN的APN的其他局部设置和/或配置。

GPRS隧道协议(GTP)120可用来设立SGSN 110和GGSN 112之间的用户连接。GTP 120中的参数包括移动站IP(MSIP)地址、QoS、接入模式、接入位置、MSISDN和记帐/收费特性等等。在一个实施例中，此参数信息可存储在GGSN 112中。在操作中，当SGSN 110接收到激活或接入请求(例如经由蜂窝电话102发起)时，SGSN 110可将这样相关联的GTP 120传递至GGSN 112。参数信息可存储在GGSN 112中作为分组数据协议(PDP)的一部分，该部分可以是用于每个用户的GTP会话或上下文。

在具体实施例中，代理呼叫会话控制功能(P-CSCF)或边缘代理(EP)与接入网关(例如GGSN)之间更紧密的集成可促进防止对SIP报头的操纵。因此，信息可在接入网关(例如GGSN/分组数据服务节点(PDSN))和P-CSCF(或EP)之间传递，以检测对SIP基础构架的攻击。例如，CSCF可以基于用于发起、管理和终止IP多媒体子系统(IMS)终端之间的多媒体会话的SIP的特定用途。

现在参考图2，通过总标号200示出并指示利用边缘代理的呼叫流中的第一示例操作。手机可被指示在左边，附接点或网关(例如GGSN/PDSN)在中间，并且SIP代理(例如EP)在右侧。初始认证202(GTP、或点对点协议(PPP))可建立在手机和GGSN/PDSN之间。这里，GGSN/PDSN可知道与无线电链路和所分配的IP相关联的用户标识(ID)(204)。

现在参考图3，通过总标号300示出并指示利用边缘代理的呼叫流中的第二示例操作。不同图中示出的相同或相似标号可指示相同或相似的事件/元素。这里，初始认证可后接邀请302。此外，任何合适的SIP消息(例如注册)可从手机发送至EP。在消息到达EP之前，GGSN可执行源IP过滤(304)。现在参考图4，通过总标号400示出并指示利用边缘代理的呼叫流中的第三示例操作。一旦SIP消息(例如邀请)到达EP，EP现在就知道邀请来自GGSN(404)。

现在参考图5，通过总标号500示出并指示利用边缘代理的呼叫流中的第四示例操作。EP现在可向GGSN查询与此IP相关联的IMSI、MSISDN、接入方法、接入位置和/或用户标识(504)。以此方式，已建立用户会话的GGSN可以缓存与可以已经认证过用户的SGSN所提供的相关联的IMSI、MSISDN和接入信息一起被分配的IP地址。GGSN还可操作以接收来自SGSN的所更新的用户信息(例如在用户改变了接入类型或接入位置的情况下)。在这样的环境中，GGSN可操作以利用最新接收的信息来更新它所缓存的信息。此外，GGSN可包括通常的对源地址“哄骗(spoofing)”的预防。

现在参考图6，通过总标号600示出并指示利用边缘代理的呼叫流中的第五示例操作。响应602然后可由GGSN/PDSN提供至EP。响应可包括例如与所缓存的MSISDN相对应的订户ID(604)。现在参考图7，通过总标号700示出并指示利用边缘代理的呼叫流中的第六示例操作。EP可利用订户ID来插入P-断言-ID(P-Asserted-ID)(704)。

现在参考图8，通过总标号800示出并指示了利用边缘代理的示例流程图。可开始流程(802)，并且可执行初始认证(804)。这里，手机可在此认证期间发现EP细节，并且IP地址分配(例如GTP、PPP、动态主机配置协议(DHCP))可被进行。手机然后可将SIP消息发送至EP(806)。这样的消息可包括注册、邀请或任何合适的SIP消息。

SIP消息然后可通过附接点传递(808)。例如，这样的附接点可包括GGSN或PDSN。SIP消息然后可从EP发送至附接点，并且响应可被接收(810)。这里，查询消息可被发送至GGSN，并且关于接入的响应(例如用户标识、小区等)可被返回至EP。然后，EP可利用正常SIP过程转发消息(812)，并且流程可完成(814)。

现在参考图9，通过总标号900示出并指示示例GGSN组件。一般地，GGSN可充当GPRS主干网和外部分组数据网络(例如无线网络和IP网络)之间的接口。GGSN可将来自SGSN的GPRS分组转换成适当的PDP格式(例如IP或X.25)，并且可在相应的分组数据网络上将分组发送出去。在其他方向上，进入数据分组的PDP地址可被转换为目的地用户的全球移动通信系统(GSM)地址。重寻址的分组然后可被发送至负责SGSN。出于此目的，GGSN可将用户的当前SGSN地址、以及相关联的用户简档存储在位置寄存器中。GGSN还可执行认证和收费功能。

一个GGSN组件可以是单板计算机902，它可包括用于载波级电信和因特网应用的相对高性能的、基于标准的应用处理器。电信适配器904可支持用于通信和联网应用的T1/E1/J1和T3、以及软件解决办法。以太网交换机906可提供增加的带宽和网络性能。此外，例如，基于冗余主分组的平台908可与以太网交换机和电源而被捆扎(bundle)。

当P-CSCF或EP接收到来自用户代理(UA)或SIP客户端(例如手机)的SIP消息时，EP可使用SIP消息的源IP地址来查询GGSN，GGSN然后可将MSISDN和IMSI返回至P-CSCF。GGSN的查询可以通过安全的隧道，使EP和GGSN能被地理地分开。EP可包括当将SIP消息代理至其他SIP元件时从GGSN接收的信息。此信息可被格式化为“P-断言-ID”报头，如下在表1中所示：

表1：

P-断言-ID	sip：234150999999999@ims.mnc015.mcc234.IMS1.3gppnetwork.org
		P-断言-ID	tel：+447769999999

例如，在表1中，“234150999999999”可以是从GGSN传递的IMSI，并且“+4477669999999”可以是从GGSN传递的MSISDN。服务呼叫会话控制功能(S-CSCF)可使用此信息来实质地跳过对相关联的用户的认证，并且来为此用户下载用户简介(例如基于P-断言-ID字段中嵌入的IMSI)。因此，网关(例如GGSN)和边缘代理(例如SIP代理服务器)之间的紧密协作可使得传统SIP认证途径冗余。

在具体实施例中，甚至当EP包括或位于归属网络时，也可允许所访问的网络的区别。在此示例中，当EP接收到可以包含由客户端(例如图1的BSC 106)填充的接入网络信息的SIP消息时，EP可查询GGSN以提供用户位于的所访问的网络。在此情况下，用户可从所访问的SGSN被隧道传送至与EP连接的归属GGSN。GGSN可通过它的GTP接口接收SGSN移动国家码(MCC)移动网络码(MNC)。GGSN还可将此信息提供至用于特定用户的EP。EP可根据从SGSN接收的信息来增加预定义格式的“P-访问-网络-ID”(例如P-访问-网络-ID：“MCC：235 MNC：015”)。

归属网络可使用此信息来传送基于位置的订购限制或基于位置的服务区别。以此方式，在没有部署IMS漫游的情况下，可调节漫游伙伴估计。这与可使得P-访问-网络-ID设置为EP位于的网络的传统IMS规范形成对比，并且可使用户能通过隧道传送至归属GGSN而不是在所访问的GGSN处局部地逃脱、来试图规避漫游限制。

具体实施例可允许对P-接入-网络-信息的修正，如UA所提供的，并且如IETF(因特网工程任务部)RFC 3455中可定义的，P-接入-网络-信息可包括接入网络的类型的定义(例如WiFi、码分多址(CDMA))。RFC3455的所有相关部分通过引用而被结合于此。因此，具体实施例可通过哄骗P-接入-网络-信息来对干扰IMS操作的用户尝试进行寻址(例如包括不正确的无线技术，诸如与CDMA相比对通过802.11的IMS被叫信号的优先评定、或者处于不正确呼叫身份的信令，以便当用户处于另一位置时指示他们位于他们的归属小区)。

在具体实施例中，GGSN可由EP查询以为用户提供位置属性。例如，一旦查询，GGSN就可提供小区全球身份和无线接入类型信息，EP可使用它们来处理畸形请求。以此方式，EP可拒绝接入，或者以另外的方式处理这样的不适当请求。小区全球索引(CGI)可以是位置区域身份和小区身份的拼接。为了实施GGSN处的基于位置的策略强制施加，3GPP可用于从SGSN到GGSN的CGI的传送的定义。

在具体实施例中，经由可仅支持IPv4的漫游网络接入的用户可使用站内自动隧道寻址协议(ISATAP)来接入基于归属的IPv6服务。因此，在具体实施例中网关可支持增强的功能。“c线(c line)”可对应于ISATAP地址，并且可用来攻击网络，因为对基于IPv6会话描述协议(SDP)的策略强制施加的请求可能未强制施加在GGSN处。这里，IPv6使能的EP可将包含SDP的策略请求、以及第二标识符(例如IMSI或MSISDN)发送至GGSN。

GGSN可识别它正被请求对非分配的IP地址执行策略，并且可将特定控制分组发送至与经协商的SDP中的“c线”相对应的IPv6地址。分组可被路由选择至ISATAP路由器，这里分组可被封装并朝GGSN发送。GGSN可包括检测这样的专门分组的隧道传送的功能。如果IP地址与请求中包括的MSISDN或IMSI相对应，则GGSN可为到ISATAP路由器的流安装策略，或者GGSN可拒绝请求。

在具体实施例中，EP和GGSN之间的接口可用来补偿可不包括质量报告事件包的字段中所部署的遗产用户代理，这在传统移动对移动系统中是普通情况。这里，GGSN可包括导出媒体质量的功能，这可在质量报告事件包中找到。例如，媒体丢失率和延迟因子，或者经由用于查询接入网络的接口和所定义的过程，可被提供至EP。EP然后可支持事件包以使得能够代表非支持UA公布质量(例如VoIP统计)。在一个示例流程中，EP可请求GGSN开始报告特定媒体流的QoS，并且EP可始发相关联的消息。

在具体实施例中，EP和接入网关之间的增强接口可用来提供增强的功能。因此，对IMS构架的攻击可被防止，并且网络可支持所部署的UA当前未提供的额外功能。

虽然已经就其具体实施例而言描述了说明，但是这些具体实施例仅是例示性的，而非限制性的。例如，虽然已经就具体实施例而言描述了GPRS、GGSN和SIP，但是其他类型的网络、网关(例如PDSN、宽带远程接入服务器(B-RAS)、线缆调制解调器头端系统(cable modemtermination system)(CMTS))、以及消息接发协议(例如超文本传送协议(HTTP))可用在具体实施例中。

任何合适的编程语言可被用来实现具体实施例的例程，该编程语言包括C、C++、Java、汇编语言等。不同的编程技术诸如过程性的编程技术或面向对象的编程技术可被使用。例程可在单个处理设备或多个处理器上执行。尽管步骤、操作或计算可以以特定顺序被呈现，但是此顺序在不同具体实施例中可被改变。在一些具体实施例中，在此说明书中被示为顺序性的多个步骤可被同时执行。在此描述的操作的顺序可被另一处理中断、挂起或以其他方式控制，该处理诸如操作系统、内核等。例程可在操作系统环境中操作，或者作为占用所有系统处理的独立例程而操作，或者作为系统处理的实质部分而操作。功能可在硬件、软件或二者的组合中被执行。除非另外声明，否则功能还可整个地或部分地被人工执行。

在此的描述中，提供了很多特定细节，诸如组件和/或方法的示例，以提供对具体实施例的透彻理解。然而，相关领域的技术人员会意识到，具体实施例可在没有一个或多个特定细节的情况下被实践，或者可在具有其他装置、系统、组合件、方法、组件、材料、部分和/或其他的情况下被实践。在其他示例中，公知的结构、材料或操作未被详细地具体示出或描述，以避免掩盖具体实施例的方面。

出于具体实施例的目的“计算机可读介质”可以是如下的任何介质：该介质通过与指令执行系统、装置、系统或设备相连接或者与指令执行系统、装置、系统或设备有关而可以包含、存储、通信、传播或运输用于使用的程序。计算机可读介质可以是，仅作为示例但不被限制，电子的、磁的、光学的、电磁的、红外的或半导体的系统、装置、系统、设备、传播介质或计算机存储器。

具体实施例可以以控制逻辑的形式在软件或硬件或二者的组合中被实现。当被一个或多个处理器执行时，控制逻辑可操作以执行具体实施例中描述的东西。

“处理器”或“处理”包括处理数据、信号或其他信息的任何人、硬件和/或软件系统、机制或组件。处理器可包括具有多用途中央处理单元、多个处理单元、用于实现功能的专用电路的系统，或者其他系统。处理不需被限制在一个地理位置，或者有时间的限制。例如，处理器可以“实时”地、“脱机”地、以“批模式”等等来执行其功能。处理的部分可在不同的时间和在不同的位置被不同的(或相同的)处理系统执行。

此说明书通篇提及“一个实施例”、“实施例”、“特定实施例”或“具体实施例”意思是，所描述的与具体实施例有关的具体的特征、结构或特性被包括在至少一个实施例中，并且未必被包括在所有具体实施例中。因此，词组“在具体实施例中”、“在实施例中”或“在特定实施例中”分别出现在此说明书通篇各种地方，未必指相同的实施例。此外，任何特定实施例的具体的特征、结构或特性可以与一个或多个其他具体实施例以任何合适的方式被组合。将被理解的是，对在此描述和例示的具体实施例的其他变化和修改鉴于在此的教导是可以的，并且将被认为是精神和范围的部分。

具体实施例可通过利用程序化的多用途数字计算机、通过利用专用集成电路、可编程逻辑器件、现场可编程门阵列来实现，光学的、化学的、生物的、量子的或纳米工程的(nanoengineered)系统、组件和机制可被使用。总的说来，具体实施例的功能可通过本领域所知的任何手段来实现。分布式的或联网的系统、组件和/或电路可被使用。数据的通信或转移可以是有线的、无线的或通过任何其他手段进行。

还会被认识到的是，在绘图/图中所描绘的一个或多个元素在某些情况下还可以以更分离的或更集成的方式被实现，或者甚至被移除或者被使得不可操作的，这根据具体应用是有用的。实现可被存储在机器可读介质中的程序或代码以允许计算机执行任何上述的方法，这也在精神和范围之内。

此外，绘图/图中的任何信号箭头应当被认为仅是示例性的，而不是限制性的，除非另外特定地注释出。此外，在此使用的术语“或”一般希望是“和/或”的意思，除非另外指示。组件或步骤的组合也将被认为是被注意到的，其中并未详细描述被预见为提供分离或组合的能力的术语。

如在此的描述中以及权利要求通篇所使用的，“一”、“一个”和“该”包括复数指代，除非上下文明确另外规定。此外，如在此的描述中以及权利要求通篇所使用的，“中”的意思包括“中”和“上”，除非上下文明确另外规定。

对例示的具体实施例的上述描述，包括摘要中所描述的内容，不希望是穷尽的或者将本发明限制到在此公开的准确形式。虽然本发明的特定具体实施例和示例仅出于例示性目的在此被描述，但是在精神和范围内各种等同修改是可以的，如相关领域的技术人员会意识到并认识到的。如所指示的，鉴于对例示的具体实施例的上述描述可对本发明进行这些修改，并且这些修改将被包括在精神和范围内。

因此，虽然本发明参考其具体实施例已在此被描述，但是自由的修改、各种改变和替代被希望在上述公开中，并且会被认识到的是，在不脱离所阐述的范围和精神的情况下，在一些示例中具体实施例的一些特征会被使用而不对其他特征进行相应的使用。因此，可进行很多修改以使具体情形或材料适合于实质范围和精神。希望本发明不被限制到权利要求中所用的具体术语，并且/或者希望本发明不被限制到被公开为考虑用于执行本发明的最佳模式的具体实施例，但是希望本发明会包括落在权利要求的范围内的任何并且所有的具体实施例及等同物。

Claims (25)

1.一种方法，包括：

在接入网关中执行与移动装置的初始认证，所述接入网关是附接点；

将来自所述移动装置的第一消息转发至边缘代理；

接收来自所述边缘代理的第二消息；以及

将所述第二消息的修改版本返回至所述边缘代理，用于所述移动装置的最终认证。

2.根据权利要求1所述的方法，其中执行所述初始认证包括使用通用分组无线业务(GPRS)隧道协议(GTP)或点对点协议(PPP)。

3.根据权利要求1所述的方法，其中所述第一消息和所述第二消息包括会话初始协议(SIP)消息。

4.根据权利要求1所述的方法，其中所述接入网关包括网关GPRS支持节点(GGSN)或分组数据服务节点(PDSN)。

5.根据权利要求1所述的方法，其中所述边缘代理包括代理呼叫会话控制功能(P-CSCF)。

6.根据权利要求1所述的方法，还包括将SIP消息返回至所述移动装置。

7.根据权利要求1所述的方法，其中所述第一消息包括邀请或注册消息。

8.根据权利要求1所述的方法，其中所述第二消息包括对所访问网络标识的查询。

9.根据权利要求1所述的方法，还包括拒绝或允许网络接入。

10.根据权利要求1所述的方法，还包括分析来自所述接入网关的断言身份。

11.根据权利要求1所述的方法，还包括导出所述接入网关中的媒体质量统计。

12.根据权利要求1所述的方法，还包括接入来自基于归属的网络的服务。

13.一种方法，包括：

在边缘代理中接收经由接入网关的来自移动装置的第一消息；

将第二消息发送至所述接入网关；以及

接收所述第二消息的修改版本，用于所述移动装置的最终认证。

14.根据权利要求13所述的方法，其中所述第一消息和所述第二消息包括会话初始协议(SIP)消息。

15.根据权利要求13所述的方法，其中所述接入网关包括网关通用分组无线业务(GPRS)支持节点(GGSN)或分组数据服务节点(PDSN)。

16.根据权利要求13所述的方法，其中所述边缘代理包括代理呼叫会话控制功能(P-CSCF)。

17.根据权利要求13所述的方法，还包括将SIP消息返回至所述移动装置。

18.根据权利要求13所述的方法，其中所述第一消息包括邀请或注册消息。

19.根据权利要求13所述的方法，其中所述第二消息包括对所访问网络标识的查询。

20.根据权利要求13所述的方法，还包括拒绝或允许网络接入。

21.根据权利要求13所述的方法，还包括分析来自所述接入网关的断言身份。

22.根据权利要求13所述的方法，还包括导出所述接入网关中的媒体质量统计。

23.根据权利要求13所述的方法，还包括接入来自基于归属的网络的服务。

24.一种用于保护会话初始协议(SIP)基础构架的装置，所述装置包括：

用于在接入网关中执行与移动装置的初始认证的装置，所述接入网关是附接点；

用于将来自所述移动装置的第一消息转发至边缘代理的装置；

用于接收来自所述边缘代理的第二消息的装置；以及

用于将所述第二消息的修改版本返回至所述边缘代理以用于所述移动装置的最终认证的装置。

25.一种用于保护会话初始协议(SIP)基础构架的装置，所述装置包括：

用于在边缘代理中接收经由接入网关的来自移动装置的第一消息的装置；

用于将第二消息发送至所述接入网关的装置；以及

用于接收所述第二消息的修改版本以用于所述移动装置的最终认证的装置。

Images