CN101860865A - 二次接入实现方法和装置 - Google Patents

Abstract

本发明公开了一种二次接入实现方法和装置，其中，该方法包括：在接入网关根据终端的MAC地址确定终端为二次接入的情况下，鉴权实体对终端进行鉴权，并将鉴权结果发送给接入网关；接入网关根据鉴权结果确定是否对终端进行二次接入。借助于本发明的技术方案，解决了非法终端的二次接入攻击问题，提高了网络侧的安全性，保证了合法用户的利益。该方案兼顾用户接入的安全性和便利性，对于合法用户的二次接入，则能够保证用户资源的合理继承和释放。

Description

二次接入实现方法和装置

技术领域

本发明涉及通信领域，尤其涉及一种二次接入实现方法和装置。

背景技术

WiMAX标准是IEEE标准组织制定的宽带无线接入标准，在WiMAX网络中，主要包括移动终端(Mobile Station，简称为MS)，基站(Base Station，BS)，接入网关(Access GateWay，简称为AGW)，鉴权授权计费(Authorization/Authentication/Acccounting，简称为AAA)等网元组成，在具体的操作过程中，WiMAX网络中的上述实体之间的消息交互，完成MS与网络侧的通信。

在终端的移动过程中，由于信号衰落等原因，可能会存在终端的二次接入问题，其中，二次接入是指：已经接入网络并处于认证状态的终端，有可能再次在网络中进行初始接入流程。在二次接入过程中，终端可能与其已经接入的BS(例如，BS 1)进行二次接入，也可能与其他BS(除BS 1之外的其他BS，例如BS 2)进行二次接入。

在具体实现过程中，如果终端在其已经接入的BS(例如BS 1)上进行二次接入，这时，BS1可以拒绝该终端的接入，并通过老用户的在线检测机制确保离线用户释放后才允许该终端的接入，来保证终端接入流程的唯一性。如果终端在其他BS(例如，BS 2)上进行二次接入，由于BS 2无法确定该终端是否已经接入到网络中，即，BS 2无法获知这是该终端的初次接入还是二次接入，只有AGW可以感知到终端的二次接入，此时，BS 2会将该终端作为初次接入的用户，进行相应的流程。

可以看出，目前，对于二次接入的终端，主要是对该终端进行简单的下线处理后将该终端作为新用户进行接入处理，或直接将该终端作为新用户进行接入处理。这样终端的安全性较差，易受到MAC地址伪装用户的二次接入的攻击。

发明内容

考虑到相关技术中存在的对二次接入的终端进行相应处理时，终端的安全性较差，易受到MAC地址伪装用户的二次接入的攻击，的问题而提出本发明，为此，本发明的主要目的在于提供一种二次接入实现方法和装置，以解决上述问题。

根据本发明的一个方面，提供一种二次接入实现方法。

根据本发明的二次接入实现方法包括：在接入网关根据终端的MAC地址确定终端为二次接入的情况下，鉴权实体对终端进行鉴权，并将鉴权结果发送给接入网关；接入网关根据鉴权结果确定是否对终端进行二次接入。

进一步地，在对终端进行鉴权之前，上述方法还包括：接入网关从基站接收终端的MAC地址，并根据终端的MAC地址，判断终端是否处于鉴权状态；在判断为是的情况下，确定终端为二次接入。

其中，接入网关根据鉴权结果确定是否对终端进行二次接入包括：如果鉴权结果为鉴权成功，则接入网关确定终端为合法终端，并对终端执行二次接入处理。

其中，如果终端处于非空闲状态，则二次接入处理包括：接入网关启动基站的数据隧道注册流程；接入网关向原注册基站发送隧道去注册消息，消息中携带的标识用于指示为终端执行的去注册流程为基于二次接入的去注册流程。

其中，如果终端处于空闲状态，则二次接入处理包括：接入网关启动基站的数据隧道注册流程；接入网关向PC发送终端信息删除请求消息，消息中携带的标识用于指示终端为二次接入的终端。

优选地，接入网关根据鉴权结果确定是否对终端进行二次接入包括：如果鉴权结果为鉴权失败，则确定终端为非法终端，保持原注册基站上终端的信息，并释放基站上终端的所有相关信息。

其中，基站为：原注册服务基站、或除原注册基站之外的其他基站。

其中，鉴权实体对终端进行鉴权包括以下之一：对终端进行EAP鉴权流程、对终端进行RSA鉴权流程。

其中，鉴权实体包括：鉴权授权计费即AAA。

根据本发明的另一个方面，提供一种二次接入实现装置。

根据本发明的二次接入实现装置包括：鉴权实体，用于对终端进行鉴权；接入网关，用于根据终端的MAC地址确定终端是否为二次接入，并根据来自鉴权实体的鉴权结果确定是否对终端进行二次接入。

通过本发明的上述至少一个技术方案，在确定出终端为二次接入网络之后，通过鉴权处理对该终端的合法性进行判断，相比于现有技术，解决了非法终端的二次接入攻击问题，提高了网络侧的安全性，保证了合法用户的利益。该方案兼顾用户接入的安全性和便利历性，对于合法用户的二次接入，则能够保证用户资源的合理继承和释放。

附图说明

附图用来提供对本发明的进一步理解，并且构成说明书的一部分，与本发明的实施例一起用于解释本发明，并不构成对本发明的

图1是根据本发明方法实施例的二次接入实现方法的流程图；

图2是根据本发明实施例的WiMAX网络的结构示意图；

图3是根据图2所示方法的实例1的处理流程图；

图4是根据图2所示方法的实例2的处理流程图；

图5是根据本发明实施例的二次接入实现装置的结构框图。

具体实施方式

功能概述

如上，在终端的二次接入处理过程中，或者对该终端进行简单的下线处理后将该终端作为新用户进行接入处理，或者直接将该终端作为新用户进行接入处理，易受到MAC地址伪装用户的二次接入的攻击的问题，本发明提出一种二次接入实现方案，本发明的主要思想是：首先由接入网关根据终端的MAC地址确定终端是否为二次接入，如果为二次接入，则由鉴权实体对终端进行鉴权，来判断终端的合法性，如果终端为合法终端，接入网关会对终端执行二次接入操作。该方案兼顾用户接入的安全性和便利历性，能够识别出MAC地址伪装用户的非法二次接入攻击，对于合法用户的二次接入，则能够保证用户资源的合理继承和释放。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

方法实施例

根据本发明实施例，提供了一种二次接入实现方法，用于对处于认证状态的终端在与其原基站之间出现中断时，对该终端二次接入进行处理，其中，终端处于鉴权状态。

图1是根据本发明实施例的二次接入实现方法的流程图，需要说明的是，为了便于描述，在图1中以步骤的形式示出并描述了本发明的方法实施例的技术方案，在图1中所示出的步骤可以在诸如一组计算机可执行指令的计算机系统中执行。虽然在图1中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。如图1所示，该方法用于确定对待传输块进行分割所需的参数，主要包括以下步骤(步骤S102至步骤S104)。

步骤S102，在接入网关根据终端的MAC地址确定终端为二次接入的情况下，鉴权实体对终端进行鉴权，并将鉴权结果发送给接入网关，具体地，鉴权实体可以对终端进行EAP鉴权流程、也可以对终端进行RSA鉴权流程，或其他鉴权流程；并且该基站可以为终端的原注册基站、也可以为除原注册基站之外的其他基站，优选地，该鉴权实体可以为AAA。

步骤S104，接入网关根据鉴权结果确定是否对终端进行二次接入。

在具体实施过程中，首先，接入网关会接收来自基站的终端的MAC地址，并根据终端的MAC地址，判断终端是否处于鉴权状态，在判断为是的情况下，确定终端为二次接入。之后，鉴权实体会对终端进行鉴权，并将鉴权结果发送给接入网关，接入网关会根据鉴权结果确定是否对终端进行二次接入，具体地如果鉴权结果为鉴权成功，则接入网关确定终端为合法终端，并对终端执行二次接入处理；如果鉴权结果为鉴权失败，则确定终端为非法终端，保持原注册基站上终端的信息，并释放非法用户接入的新基站上终端的所有相关信息。

进一步地，接入网关会根据终端所处的状态，进行不同的二次接入处理，例如，如果终端处于非空闲状态，接入网关会启动目标基站的数据隧道注册流程，并向原注册基站发送隧道去注册消息，消息中携带的标识用于指示终端执行的去注册流程为基于二次接入的去注册流程。如果终端处于空闲状态，接入网关会启动基站的信息删除流程，并向PC发送终端信息删除请求消息，消息中可以携带指示终端为二次接入的标识。

通过本发明实施例提供的技术方案，在确定出终端为二次接入网络之后，通过鉴权处理对该终端的合法性进行判断，兼顾用户接入的安全性和便利历性，能够识别出非法用户的二次接入攻击，提高了网络侧的安全性，保证了合法用户的利益，并且，对于合法用户的二次接入，能够保证用户资源的合理继承和释放。

下面结合实例1和实例2对图2所示的方法进行详细说明。

首先对实例1和实例2中所涉及的网络结构进行说明，如图1所示的WiMAX系统网络中，包括MS、BS 1、BS 2、AGW和AAA，其中，BS 1通过R6接口与AGW相连接，BS 2通过R6接口与AGW相连接，AGW和AAA之间通过R3口进行通信。

应用场景为：MS开机后，选择BS 1(即，上文所述的原注册基站)为自己的服务基站并接入网络，此时，MS已经处于认证状态，并且已经获取了IP地址。在MS的移动过程中，MS和BS 1之间出现了异常中断，并且MS在BS 2(即，上文所述的基站)上实现二次初始接入，下面通过图3与图4所示的具体实例对MS在BS 2上的二次接入处理进行说明，其中，实例1中的MS可以为处理非空闲状态的终端，实例2中的MS可以为处理空闲状态的终端。

实例1

图3是根据本发明方法实施例的二次接入实现方法的详细处理流程图，如图3所示，该方法包括以下步骤(步骤S301至步骤S312)。

步骤S301，MS在BS 2上开始接入，执行标准的测距流程，之后，MS向BS 2发送基本能力协商请求(SBC_REQ)消息。

步骤302，BS 2和MS完成基本能力协商之后，向鉴权者(例如，Authenticator)发送终端预绑定请求(MS_PreAttachment_Req)消息，与Authenticator协商终端的基本安全能力，Authenticator在接收到MS_PreAttachment_Req消息后根据MAC地址发现该用户已经存在并且处于鉴权状态，判定出该终端已经接入到网络中，需要对终端执行二次接入的判断处理。

步骤303，Authenticator对BS 2上接入的MS进行安全能力协商后向BS 2返回终端预绑定响应(MS_PreAttachment_Rsp)消息。

步骤304，BS 2接收到MS_PreAttachment_Rsp消息之后，向MS发送基本能力协商响应(SBC_Rsp)消息。

步骤305，Authenticator向BS 2发送终端预绑定确认(MS_PreAttachment_Ack)消息。

步骤306，MS和鉴权实体(例如，AAA)之间进行EAP鉴权流程，鉴权实体通过对MS进行鉴权处理，获得鉴权结果，该步骤主要的目的是判断用户是否为合法用户。其中，该鉴权流程可以为EAP鉴权流程、或其它方式的鉴权流程，并通过相应的鉴权流程，获得鉴权结果。

步骤307，鉴权流程结束后，AAA向AGW发送AAA的接入接受(Radius Access Accept)Radius Access Accept消息，该RadiusAccess Accept消息中携带有鉴权结果。

步骤308，如果鉴权成功，AGW认为MS为合法用户。

步骤309，AGW实现MS的跨基站二次接入。

步骤310，AGW向A-DPF发送RR-Req消息。

步骤311，A-DPF根据上述RR-Req消息，启动BS 1的数据隧道去注册流程，向BS 1发送数据隧道去注册消息，该消息中携带的指示字段表示该去注册为二次接入的去注册，BS 1释放MS的相关资源(也可称为相关信息)，但是不需要进行空口去注册流程。

步骤312，A-DPF根据上述RR-Req消息，启动BS 2的数据隧道注册流程，BS 2接收到来自A-DPF的数据隧道注册消息，完成与MS的业务流空口协商交互，之后，MS在BS 2上执行完整接入，就可以正常获取IP地址(AGW可以将在BS 1上接入的MS的IP地址保持不变)进行媒体间通信。

可选地，在步骤S308中，AGW在完成初始接入鉴权之后，如果AAA的Radius Access Accept消息中携带的鉴权结果为鉴权失败，则AGW判定出该终端为非法终端，网络遭到了非法终端的MAC地址伪装攻击，此时AGW会保持BS 1上MS信息不变，同时释放BS 2上的MS所有相关信息，并中断BS 2对MS的后续初始接入处理。

可选地，步骤S311和步骤S312的操作可以同时进行，也可以按照先执行步骤S311再执行步骤S312的顺序进行操作，还可以按照先执行步骤S312再执行步骤S311的顺序进行操作。

实例2

图4是根据本发明方法实施例的二次接入实现方法的详细处理流程图，如图4所示，该方法包括以下步骤(步骤S401至步骤S413)。

步骤S401，MS在BS 2上开始接入，执行标准的测距流程，之后，MS向BS 2发送基本能力协商请求(SBC_REQ)消息。

步骤402，BS 2和MS完成基本能力协商之后，BS 2向鉴权者(例如，Authenticator)发送终端预绑定请求(MS_PreAttachment_Req)消息，与Authenticator协商终端的基本安全能力，Authenticator在接收到MS_PreAttachment_Req消息后根据MAC地址发现该用户已经存在并且处于鉴权状态，判定出该终端已经接入到网络中，需要对终端执行二次接入的判断处理。

步骤403，Authenticator对BS 2上接入的MS进行安全能力协商后向BS 2返回终端预绑定响应(MS_PreAttachment_Rsp)消息。

步骤404，BS 2接收到MS_PreAttachment_Rsp消息之后，向MS发送基本能力协商响应(SBC_Rsp)消息。

步骤405，Authenticator向BS 2发送终端预绑定确认(MS_PreAttachment_Ack)消息。

步骤406，MS和鉴权实体(例如，AAA)之间进行EAP鉴权流程，鉴权实体通过对MS进行鉴权处理，获得鉴权结果，该步骤主要的目的是判断用户是否为合法用户。其中，该鉴权流程可以为EAP鉴权流程、或ISI鉴权流程，或其他鉴权流程，并通过相应的鉴权流程，获得鉴权结果。

步骤407，鉴权流程结束后，AAA向AGW发送AAA的接入接收(Radius Access Accept)Radius Access Accept消息，该RadiusAccess Accept消息中携带有鉴权结果。

步骤408，如果鉴权成功，AGW认为MS为合法用户。

步骤409，AGW实现MS的跨基站二次接入。

步骤410，AGW向A-DPF发送RR-Req消息。

步骤411，A-DPF根据上述RR-Req消息，该消息中携带的指示字段表示为二次接入的去注册，向PC发送Delete_Entry_Req，通知PC删除BS 1下MS的相关信息。

步骤412，PC接收到上述Delete_Entry_Req消息，PC会释放MS的相关内部资源，并向AGW反馈Delete_Entry_Rsp消息。

步骤413，A-DPF根据上述RR-Req消息，启动BS 2的数据隧道注册流程，BS 2接收到来自A-DPF的数据隧道注册消息，完成与MS的业务流空口协商交互，之后，MS在BS 2上执行完整接入，就可以正常获取IP地址(AGW可以将在BS 1上接入的MS的IP地址保持不变)进行媒体间通信。

可选地，在步骤S408中，AGW在完成初始接入鉴权之后，如果AAA的Radius Access Accept消息中携带的鉴权结果为鉴权失败，则AGW判定出该终端为非法终端，网络遭到了非法终端的MAC地址伪装攻击，此时AGW会保持BS 1上MS信息不变，同时释放BS 2上的MS所有相关信息，并中断BS 2对MS的后续初始接入处理。

可选地，步骤S412和步骤S413的操作可以同时进行，也可以按照先执行步骤S412再执行步骤S413的顺序进行操作，还可以按照先执行步骤S413再执行步骤S412的顺序进行操作。

装置实施例

根据本发明实施例，提供一种二次接入实现装置。

图5是根据本发明的二次接入实现装置，如图5所示，该装置包括鉴权实体10和接入网关20。

鉴权实体10，用于对终端进行鉴权；接入网关20，连接至鉴权实体10，用于根据终端的MAC地址确定终端是否为二次接入，并根据来自鉴权实体的鉴权结果确定是否对终端进行二次接入。

在具体实施过程中，首先，接入网关10会接收来自基站的终端的MAC地址，并根据终端的MAC地址，判断终端是否处于鉴权状态，在判断为是的情况下，确定终端为二次接入。之后，鉴权实体20会对终端进行鉴权，并将鉴权结果发送给接入网关10，接入网关10会根据鉴权结果确定是否对终端进行二次接入，具体地如果鉴权结果为鉴权成功，则接入网关10确定终端为合法终端，并对终端执行二次接入处理；如果鉴权结果为鉴权失败，则确定终端为非法终端，保持原注册基站上终端的信息，并释放基站上终端的所有相关信息。

进一步地，接入网关10会根据终端所处的状态，进行不同的二次接入处理，例如，如果终端处于非空闲状态，接入网关10会启动基站的数据隧道注册流程，并向原注册基站发送隧道去注册消息，消息中携带的标识用于指示为终端执行的去注册流程为基于二次接入的去注册流程。如果终端处于空闲状态，接入网关10会启动基站的数据隧道注册流程，并向PC发送隧道去注册消息，消息中携带的标识用于指示为终端执行的去注册流程为基于二次接入的去注册流程。

如上所述，借助于本发明提供的二次接入实现方法和/或装置，在确定出终端为二次接入网络之后，通过鉴权处理对该终端的合法性进行判断，兼顾用户接入的安全性和便利历性，能够识别出非法用户的二次接入攻击，提高了网络侧的安全性，保证了合法用户的利益，并且，对于合法用户的二次接入，能够保证用户资源的合理继承和释放。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种二次接入实现方法，其特征在于，包括：

在接入网关根据终端的MAC地址确定所述终端为二次接入的情况下，鉴权实体对所述终端进行鉴权，并将鉴权结果发送给所述接入网关；

所述接入网关根据所述鉴权结果确定是否对所述终端进行二次接入。

2.根据权利要求1所述的方法，其特征在于，在对所述终端进行鉴权之前，所述方法还包括：

所述接入网关从基站接收所述终端的MAC地址，并根据所述终端的MAC地址，判断所述终端是否处于鉴权状态；

在判断为是的情况下，确定所述终端为二次接入。

3.根据权利要求1所述的方法，其特征在于，所述接入网关根据所述鉴权结果确定是否对所述终端进行二次接入包括：

如果所述鉴权结果为鉴权成功，则所述接入网关确定所述终端为合法终端，并对所述终端执行二次接入处理。

4.根据权利要求3所述的方法，其特征在于，如果所述终端处于非空闲状态，则所述二次接入处理包括：

所述接入网关启动所述基站的数据隧道注册流程；

所述接入网关向原注册基站发送隧道去注册消息，所述消息中携带的标识用于指示为所述终端执行的去注册流程为基于二次接入的去注册流程。

5.根据权利要求3所述的方法，其特征在于，如果所述终端处于空闲状态，则所述二次接入处理包括：

所述接入网关启动所述基站的数据隧道注册流程；

所述接入网关向PC发送终端信息删除请求消息，所述消息中携带的标识用于指示所述终端为二次接入的终端。

6.根据权利要求1所述的方法，其特征在于，所述接入网关根据所述鉴权结果确定是否对所述终端进行二次接入包括：

如果所述鉴权结果为鉴权失败，则确定所述终端为非法终端，保持原注册基站上所述终端的信息，并释放所述基站上所述终端的所有相关信息。

7.根据权利要求1至6中任一项所述的方法，其特征在于，所述基站为：原注册服务基站、或除所述原注册基站之外的其他基站。

8.根据权利要求1至6中任一项所述的方法，所述鉴权实体对所述终端进行鉴权包括以下之一：对所述终端进行EAP鉴权流程、对所述终端进行RSA鉴权流程。

9.根据权利要求1至6中任一项所述的方法，所述鉴权实体包括：鉴权授权计费即AAA。

10.一种二次接入实现装置，其特征在于，包括：

鉴权实体，用于对终端进行鉴权；

接入网关，用于根据所述终端的MAC地址确定所述终端是否为二次接入，并根据来自所述鉴权实体的鉴权结果确定是否对所述终端进行二次接入。

Images