CN101754210B - 一种对家用基站设备进行鉴权的方法和系统 - Google Patents

Abstract

本发明公开了一种对家用基站设备进行鉴权的方法和系统，该系统包括安全网关、鉴权数据库和鉴权装置。该方法包括步骤：建立鉴权数据库，该鉴权数据库至少存储了运营商允许Home NodeB接入的有效网络范围信息和身份识别信息；Home NodeB启动后，其至少携带网络标识信息和身份识别信息向安全网关发送接入请求，然后由安全网关发送给鉴权装置；鉴权装置根据该Home NodeB的身份识别信息查询鉴权数据库，获取该Home NodeB的有效网络范围信息，根据有效网络范围信息判断该Home NodeB的网络标识信息是否在合法范围内，如果不在，则拒绝接入。本发明满足了运营商对Home NodeB使用范围进行限制的需求，并可根据Home NodeB所属的网络范围来划分服务范围。

Description

一种对家用基站设备进行鉴权的方法和系统

技术领域

本发明属于家用基站接入移动通信网技术领域，具体涉及一种对家用基站设备进行鉴权的方法和系统。

背景技术

目前越来越多的跨国运营商希望能够提供一种ALL in One的无线接入方案，即提供一种无线接入设备，这种无线接入设备能够提供各种无线接入的功能，用户在家里使用该设备的时候，运营商可提供资费上的优惠。

在这样的需求上，业界提出了一种无线接入设备——Home NodeB(家用基站)。Home NodeB作为局部热点接入解决方案的设备，把局部热点(例如家庭)中的固网和移动网两种通信方式巧妙地结合起来，充分利用固定和移动的优势来满足用户和运营商的需求。

由于Home NodeB属于家庭等局部热点接入设备，运营商希望对接入设备进行鉴权，因此需要提供有效的方法和系统，对于未授权的设备在进入PLMN(Public Land Mobile Network，公共陆地移动网)之前即拒绝其接入。

发明内容

本发明的目的在于克服现有技术的不足，提供一种对家用基站设备进行鉴权的方法和系统，该方法和系统通过对Home NodeB的网络标识信息是否在合法范围内进行检查，达到拒绝非法设备接入的目的。

为解决上述技术问题，本发明是通过以下技术方案实现的：

一种对家用基站设备进行鉴权的方法，包括如下步骤：

建立鉴权数据库，该鉴权数据库至少存储了家用基站(Home NodeB)在运营商处签约服务时约定Home NodeB允许接入的有效网络范围信息和身份识别信息；

Home NodeB启动后，其至少携带网络标识信息和身份识别信息向安全网关发送接入请求，所述安全网关将至少包括网络标识信息和身份识别信息的鉴权请求发送给鉴权装置；

鉴权装置根据该Home NodeB的身份识别信息查询所述鉴权数据库，获取该Home NodeB的有效网络范围信息，根据有效网络范围信息判断该Home NodeB的网络标识信息是否在合法范围内，如果在合法范围内，则根据运营商要求决定是否进行其他认证；否则，拒绝接入；

认证完成后，允许接入的Home NodeB与普通基站(NodeB)一样进入正常业务流程。

所述身份识别信息是用户名及密码信息和/或设备标识信息。

所述网络标识信息是IP地址和/或MAC(Media Access Control，介质访问控制)地址。

若网络标识信息是IP地址，则鉴权数据库定义的有效网络范围以IP地址和IP网络掩码组合的方式或一个IP地址段的方式表示；若网络标识信息是MAC地址，则鉴权数据库定义的有效网络范围以MAC地址和MAC地址通配符(掩码)组合的方式或一个MAC段的方式表示。

所述鉴权装置若认为该Home NodeB合法，则赋予其一个合法的能接入移动通信网的IP地址。该IP地址是一个VPN(Virtual Private Network，虚拟专用网)IP地址，Home NodeB将利用该VPN IP地址与RNC(Radio Network Controller，无线网络控制器)进行业务交互。

一种对家用基站设备进行鉴权的系统，包括：

安全网关，用于接收Home NodeB的接入请求，并发送至少包括网络标识信息和身份识别信息的鉴权请求；

鉴权数据库，其至少存储Home NodeB在运营商处签约服务时约定Home NodeB允许接入的有效网络范围信息及其身份识别信息；

鉴权装置，接收所述安全网关发送的鉴权请求，根据Home NodeB的身份识别信息向所述鉴权数据库进行查询并获取该Home NodeB的有效网络范围信息，根据有效网络范围信息判断该Home NodeB的网络标识信息是否合法。

采用本发明所述的方法和系统，与现有技术相比具有以下有益效果：

(1)满足了运营商需要拒绝非法设备接入的需求；

(2)满足了运营商对Home NodeB使用范围进行限制的需求；

(3)运营商可根据Home NodeB所属的网络范围来划分服务范围。

附图说明

图1是Home NodeB接入时与鉴权系统交互的流程示意图；

图2是通过限制IP地址范围实现Home NodeB接入鉴权的一个实施例的示意图；

图3是通过限制MAC地址范围实现Home NodeB接入鉴权的一个实施例的示意图。

具体实施方式

为了更好地理解本发明，下面结合附图和具体实施例对本发明作进一步地描述。

请参阅图1，该图是Home NodeB接入时与鉴权系统交互的流程示意图，该鉴权系统包括安全网关、鉴权数据库和鉴权装置。图2为通过限制IP地址范围实现Home NodeB接入鉴权的一个实施例的示意图，该实施例以Home NodeB接入WCDMA移动系统时用到的鉴权装置AAAServer为例。

请参阅图2，AAA Server 3为Home NodeB提供鉴权等业务，鉴权数据库2由运营商根据对Home NodeB的签约信息进行配置，至少存储了Home NodeB允许接入的有效网络范围信息和身份识别信息。Home NodeB的自身网络标识信息以IP地址来表示，鉴权数据库2中为HomeNodeB配置了所属的有效网络范围信息(即合法子网)，以IP地址和IP网络掩码组合的方式或一个IP地址段的方式表示。鉴权时步骤如下：

1)所有Home NodeB在启动后，首先向安全网关1发起接入请求，发送接入请求时除了携带身份识别信息(如用户名及密码信息和/或设备标识信息)等，还要携带其在Internet上的网络标识信息，如IP地址；

2)安全网关1将Home NodeB的IP地址填入RADIUS协议中的VSA(Vendor-SpecificAttribute，厂商指定属性)字段中，与身份识别信息等一起发送至AAA Server 3；

3)AAA Server 3收到来自安全网关1的鉴权请求，解析出其请求消息中的Home NodeB的IP地址；

4)AAA Server 3从鉴权数据库2中查询到该Home NodeB的所有信息，首先判定该HomeNodeB的IP地址是否处于合法的子网内，如果不合法，则直接回拒绝应答，拒绝Home NodeB的接入；如果合法，则根据运营商要求决定是否进行其他认证；

5)AAA Server 3认为该Home NodeB合法后，则赋予其一个合法的可以接入移动通信网的IP地址，该IP地址是一个VPN IP地址，Home NodeB将利用该VPN IP地址与RNC进行业务交互；

6)允许接入的Home NodeB，完成初始化工作后，与RNC进行业务交互，进入正常业务流程。

请参阅图3，该图为通过限制MAC地址范围实现Home NodeB接入鉴权的一个实施例的示意图，AAA Server 3为Home NodeB提供鉴权等业务，Home NodeB的自身网络标识信息由其网卡MAC地址来表示。鉴权数据库2由运营商根据对Home NodeB的签约信息进行配置，至少存储了Home NodeB允许接入的合法的MAC地址范围和身份识别信息，该合法的MAC地址范围，以MAC地址和MAC地址通配符(掩码)组合的方式或一个MAC地址段的方式表示。MAC地址和MAC地址通配符组合可以是多种形式，比如可以通过网卡生产厂商号进行限定，也可以通过某些厂商的某些批次的MAC地址进行限定。鉴权时步骤如下：

1)所有Home NodeB在启动后，首先向安全网关1发起接入请求，Home NodeB向安全网关1发送接入请求时，除了携带身份识别信息(如用户名及密码信息和/或设备标识信息)等，还要携带其自身的网卡MAC地址；

2)安全网关1将Home NodeB的MAC地址填入RADIUS协议中的VSA字段中，与身份识别信息等一起发送至AAA Server 3；

3)AAA Server 3收到来自安全网关1的鉴权请求，解析出其请求消息中的Home NodeB的MAC地址；

4)AAA Server 3从鉴权数据库2中查询到该Home NodeB的所有信息，首先判定该HomeNodeB的MAC地址是否处于合法的MAC地址范围内，如果不合法，则直接回拒绝应答，拒绝Home NodeB的接入；如果合法，则根据运营商要求决定是否进行其他认证；

5)AAA Server 3认为该Home NodeB合法后，则赋予其一个合法的可以接入移动通信网的IP，该IP地址是一个VPN IP地址，Home NodeB将利用该VPN IP地址与RNC进行业务交互；

6)允许接入的Home NodeB，完成初始化工作后，与RNC进行业务交互，进入正常业务流程。

从以上实施例可以看出，本发明提出的方法满足了对Home NodeB进行接入鉴权的需求。本鉴权方法和系统的提出，主要是基于对设备使用范围的限制，比如某个Home NodeB只能从某地的某个服务提供商进行接入PLMN，如果该设备从该地的其他服务提供商或另一地的服务提供商进行接入，则认为该设备非法。

以上所述仅为本发明的较佳实施例，并不用以限制本发明，应当指出，对于本领域的普通技术人员来说，凡是本发明的精神和原则之内所作的任何修改、等同替换或改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种对家用基站设备进行鉴权的方法，其特征在于，包括如下步骤：

建立鉴权数据库，该鉴权数据库至少存储了家用基站在运营商处签约服务时约定家用基站允许接入的有效网络范围信息和身份识别信息；

家用基站启动后，其至少携带网络标识信息和身份识别信息向安全网关发送接入请求，所述安全网关将至少包括网络标识信息和身份识别信息的鉴权请求发送给鉴权装置；

鉴权装置根据该家用基站的身份识别信息查询所述鉴权数据库，获取该家用基站的有效网络范围信息，根据有效网络范围信息判断该家用基站的网络标识信息是否在合法范围内，如果在合法范围内，则根据运营商要求决定是否进行其他认证；否则，拒绝接入；

认证完成后，允许接入的家用基站与普通基站一样进入正常业务流程。

2.根据权利要求1所述的对家用基站设备进行鉴权的方法，其特征在于，所述身份识别信息是用户名及密码信息和/或设备标识信息。

3.根据权利要求1或2所述的对家用基站设备进行鉴权的方法，其特征在于，所述网络标识信息是IP地址和/或介质访问控制地址。

4.根据权利要求3所述的对家用基站设备进行鉴权的方法，其特征在于，若网络标识信息是IP地址，则鉴权数据库定义的有效网络范围以IP地址和IP网络掩码组合的方式或一个IP地址段的方式表示；若网络标识信息是介质访问控制地址，则鉴权数据库定义的有效网络范围以介质访问控制地址和介质访问控制地址通配符组合的方式或一个介质访问控制地址段的方式表示。

5.根据权利要求4所述的对家用基站设备进行鉴权的方法，其特征在于，所述鉴权装置若认为该家用基站合法，则赋予其一个合法的能接入移动通信网的IP地址。

6.根据权利要求5所述的对家用基站设备进行鉴权的方法，其特征在于，所述合法的能接入移动通信网的IP地址是一个虚拟专用网IP地址。

7.一种对家用基站设备进行鉴权的系统，包括：

安全网关，用于接收家用基站至少携带网络标识信息和身份识别信息的接入请求，并发送至少包括网络标识信息和身份识别信息的鉴权请求；

鉴权数据库，其至少存储家用基站在运营商处签约服务时约定家用基站允许接入的有效网络范围信息及其身份识别信息；

鉴权装置，接收所述安全网关发送的鉴权请求，根据家用基站的身份识别信息向所述鉴权数据库进行查询并获取该家用基站的有效网络范围信息，根据有效网络范围信息判断该家用基站的网络标识信息是否合法。

Images