CN102209012A

CN102209012A - 一种终端实现连接建立的方法及系统

Info

Publication number: CN102209012A
Application number: CN2010101405793A
Authority: CN
Inventors: 赵凝霞; 吴强; 吴波
Original assignee: ZTE Corp
Current assignee: ZTE Corp
Priority date: 2010-03-29
Filing date: 2010-03-29
Publication date: 2011-10-05
Also published as: WO2011120276A1

Abstract

本发明提供了一种终端实现连接建立的方法及系统，包括发起方通过域名服务器(DNS)查询，获得响应方所在映射服务器的地址；发起方通过响应方所在映射服务器，利用响应方的身份标识Node ID查找到响应方的身份标识；发起方和响应方通过基本交换，建立连接。本发明方法中，业务的访问使用身份标识符Node ID，终端连接过程通过身份标识符找到对端用户的位置，并在发起方与响应方之间直接建立连接，不仅实现了传输与控制分离的情况下，终端建立连接的过程，而且保证了连接的可靠性。

Description

一种终端实现连接建立的方法及系统

技术领域

本发明涉及下一代网络中身份标识与位置分离(IPSPLIT，ID/locatorseparation in NGN)技术，尤其涉及一种IPSPLIT网络中，终端实现连接建立的方法及系统。

背景技术

当前，因特网的各层结构中，除了物理层以外，各层协议实体均有自己的名字空间，分别是：链路层的介质访问控制(MAC，MediaAccess Control)地址、网络层的IP地址、传输层的IP地址和端口号，以及应用层的域名。在上述名字空间中，MAC地址只要求在子网内唯一，端口号只要求在主机内部唯一，这样，因特网中存在两个重要的全局名字空间，即IP地址和域名。域名和IP地址中间通过域名服务器(DNS，Domain Name Server)实现解析。在这样的名字空间结构中，IP地址具有双重功能，既作为网络层的通信终端主机网络接口在网络拓扑中的位置标识，又作为传输层主机网络接口的身份标识。

传输控制协议/因特网协议(TCP/IP)设计之初并没有考虑主机移动的情况，但是，随着下一代网络(NGN，Next Generation Networks)的发展，用户移动性(mobility)和主机多穴性(multi homing)的问题越来越普遍，这种IP地址的语义过载缺陷日益明显。当主机的IP地址发生变化时，不仅路由要发生变化，通信终端主机的身份标识也发生变化。对于路由的变化是可以接受的，但是主机身份标识的变化却会导致应用和连接的中断。

为了支持用户移动性和主机多穴性，更好地支持通话的连续性，业界提出了下一代网络中身份标识与位置分离(IPSPLIT，ID/locator separation in NGN)技术。IPSPLIT技术用主机标识符(Node ID)作为主机的身份标识，主机标识符用于全球唯一地标识每台连接到Internet的主机，其目的是将传输层与网络层分开，为Internet提供一个安全的主机移动和多宿主的方法；进一步地，提供一个加密的主机标识命名空间，更容易地对通信双方进行认证，从而实现安全的、可信任的网络系统。在IPSPLIT网络中，IP地址仅表示通信终端主机在网络拓扑中的路由位置。IPSPLIT技术解决IP地址的语义过载问题，将IP地址的双重功能进行分离，实现对多移动性、多家乡性、IP地址动态重分配及不同网络区域之间的互访等问题的支持。

图1为现有IPSPLIT网络体系的架构示意图，图1中加粗单点划线表示控制信号，加粗双点划线表示管理信号，加粗虚线表示媒体流。如图1所示，IPSPLIT网络体系架构包括网络接入控制部分、身份标识与位置分离控制部分、身份标识与位置分离映射部分、资源控制部分、传输部分、业务控制功能部分和用户终端/用户网络部分。其中，网络接入控制部分为接入NGN网络的用户终端/用户网络提供注册、鉴权授权、地址分配、参数配置、位置管理等功能，例如图1中所示的网络附着控制功能(NACF，Network Attachment ControlFunctions)。身份标识与位置分离控制功能(ILCF，Id-loc-control functions)进行身份标识与位置分离ID/LOC映射的存储和动态更新。资源控制部分基于策略和网络资源状态，完成用户终端/用户网络接入网络时接纳控制、资源预留等功能，例如ITU-T NGN网络中资源接纳控制功能(RACF，Resource andAdmission Control Functions)，NGN中接入管理功能(Access managementFunctions)。传输部分完成信息的传输功能，例如ITU-T NGN网络中传输功能(Transport Functions)。业务控制功能(Service Control Functions)部分属于业务层(Service stratum)中的一部分，在业务层次上完成注册、鉴权授权、资源控制等功能，例如ITU-T NGN网络中业务终端认证和鉴权过程。用户终端/用户网络部分向用户提供网络接入功能，例如ITU-TNGN网络中用户设备(UE，User Equipment)。

图2为现有IPSPLIT的体系功能框架示意图，如图2所示，其中，NACF包含如下功能实体：

传输层用户配置功能实体(TUP-FE，Transport User Profile FunctionalEntity)，负责保存与传输层面相关的用户信息；

认证和鉴权功能实体(TAA-FE，Transport Authentication and AuthorizationFunctional Entity)，用于提供传输层鉴权和认证功能，基于用户信息对用户的网络接入执行鉴权和授权检查；

接入管理功能实体(AM-FE，Access Management Functional Entity)，用于对用户发起的网络接入请求进行翻译转换，将分配IP地址和其它网络配置参数的请求发送给NAC-FE；

传输层位置管理功能实体(TLM-FE，Transport Location ManagementFunctional Entity)，用于注册分配给用户的IP地址和NAC-FE提供的其它网络位置信息；

网络接入管理功能实体(NAC-FE，Network Access Configuration FunctionalEntity)，用于向用户终端分配IP地址，同时可能向用户终端分配其他网络配置参数，如DNS服务器的地址、信令代理的地址等；

身份标识与位置分离映射存储功能实体(ILMS-FE，Id-loc-split mappingstorage function entity)，作为NGN中用户身份标识与位置分离映射存储实体，用于存储用户身份标识Node ID与一个或多个位置LOC的映射；

身份标识与位置分离映射更新功能实体(ILMU-FE，Id-loc-split mappingupdate function entity)，作为NGN中用户身份标识与位置分离映射更新实体，用于实现用户身份标识Node ID与一个或多个位置LOC的映射的更新。

传输功能包含的功能实体如下：

身份标识与位置分离映射功能实体(ILM-FE，Id-loc-split mapping functionentity)，作为NGN中用户身份标识与位置分离系统的映射数据库实体，用于实现用户身份标识Node ID与一个或多个位置LOC的映射；

策略执行功能实体(PE-FE，Policy enforcement functional entity)，是传输层策略执行的功能实体。

业务控制功能包含的功能实体为业务层用户配置功能实体(SUP-FE，Service User Profile Functional Entity)，用于负责配置业务层用户信息。

UE包含的功能有身份标识与位置分离映射功能(ILMF，Id-loc-Mappingfunctions)。

基于主机的IPSPLIT采用的是端点标识协议(HIP，Node Identity Protocol)协议。HIP协议是端到端的协议，图3为采用HIP协议的主机连接建立过程的示意图，如图3所示，采用HIP协议的主机连接建立过程包括：当发起方要发起对响应方的HIP连接时，发起方主机先在会和服务器(Rendezvous Server，简称为RVS服务器)中注册自己的IP地址和身份标识Node ID_I，发起方通过查询目录服务器DNS，获得响应方所在的RVS服务器的地址。

发起方发送认证包I1到响应方所在的RVS服务器，其中至少携带有发起方的身份标识Node ID_I和响应方的身份标识Node ID_R，RVS服务器查找响应方主机当前的IP地址，RVS服务器将相应的认证包I1转发送到响应方，响应方回复R1消息即响应消息。从第三个包开始，如图中的I2消息和R2消息，能够在基本交换中携带发送数据。

但是，现有技术中，没有基于主机的IPSPLIT的HIP连接建立的实现方法。

发明内容

有鉴于此，本发明的主要目的在于提供一种终端实现连接建立的方法及系统，能够在IPSPLIT网络中，传输与控制分离的情况下，实现终端建立连接的过程。

为达到上述目的，本发明的技术方案是这样实现的：

一种终端实现连接建立的方法，应用在下一代网络中的身份标识与位置分离的IPSPLIT网络中，在发起方完成注册认证后，该方法还包括：

发起方通过域名服务器DNS查询，获得响应方所在映射服务器的地址；

发起方发送ID/LOC映射查询消息给所述映射服务器，获得响应方的位置信息；所述映射服务器保存终端的身份标识与位置映射；

发起方根据获得的所述位置信息与响应方建立连接。

所述发起方和响应方建立连接包括：

所述发起方发送携带有自身所在位置的位置信息的消息给响应方；

所述响应方对接收到的消息验证后，更新本地关联与自身地址之间的映射关系并向所述发起方所在位置返回响应消息；所述发起方向响应方回复响应确认消息；

所述响应方收到响应确认消息后，确认对所述发起方所在位置验证成功，建立与所述发起方之间的连接。

在所述发起方向响应方发送的消息中，还携带有所述发起方的身份标识符、所述响应方的身份标识符以及安全参数索引；

所述响应方向发起方所在位置返回的响应消息中，携带有用于对所述发起方所在位置的位置信息进行验证的响应参数，及安全参数索引。

所述发起方向响应方发送的消息中还携带有所述发起方所在位置的位置信息的生命期。

所述发送方向响应方发送消息后，如果在预设时间段内未收到来自响应方的响应，该方法还包括：

所述发起方重新发送所述消息。

所述响应方所在映射服务器为身份标识与位置分离映射存储功能实体ILMS-FE或身份标识与位置分离映射更新功能实体ILMU-FE。

一种终端实现连接建立的系统，该系统至少包括发起方、DNS、映射服务器和响应方，其中，

发起方，用于通过域名服务器DNS查询，获得响应方所在映射服务器的地址；发送ID/LOC映射查询消息给所述映射服务器，获得响应方的位置信息；根据获得的所述位置信息与响应方建立连接；

DNS，用于接受发起方的查询，提供响应方所在映射服务器的地址；

映射服务器，用于接受发起方的查询，通过身份标识与位置映射查询，获得响应方的位置信息并返回给发起方；保存终端的身份标识与位置映射即ID/LOC映射；

响应方，用于与发起方建立连接。

所述发起方，还用于与响应方使用安全封装协议ESP通道，执行数据封装发送或解封操作。

所述映射服务器为身份标识与位置分离映射存储功能实体ILMS-FE，或身份标识与位置分离映射更新功能实体ILMU-FE。

从上述本发明提供的技术方案可以看出，包括发起方通过域名服务器(DNS)查询，获得响应方所在映射服务器的地址；发起方通过响应方所在映射服务器，通过ID/LOC映射查询查找到响应方的地址；发起方和响应方通过基本交换，建立连接。本发明方法中，业务的访问使用身份标识符Node ID，终端连接过程通过身份标识符找到对端用户的位置，并在发起方与响应方之间直接建立连接，不仅实现了传输与控制分离的情况下，终端建立连接的过程，而且保证了连接的可靠性。

附图说明

图1为现有IPSPLIT网络体系的架构示意图；

图2为现有IPSPLIT的体系功能框架示意图；

图3为现有采用HIP协议的主机连接建立过程的示意图；

图4为本发明终端实现连接建立的方法的流程示意图；

图5为本发明终端实现连接建立的方法的实施例的流程图。

具体实施方式

图4为本发明终端实现连接建立的方法的流程示意图，如图4所示，在IPSPLIT网络中，当发起方要发起对响应方的连接时，在发起方完成注册认证后，包括：

首先，发起方通过DNS查询，获得响应方所在映射服务器的地址；

然后，发起方通过响应方所在映射服务器，通过ID/LOC映射查询，利用响应方的身份标识符Node ID查找到响应方的位置信息(LOC)；所述映射服务器保存终端的身份标识与位置映射即ID/LOC映射。

最后，发起方根据获得的所述位置信息与响应方建立连接。

进一步地，发送方和响应方通过IPSec封装式安全协议(ESP)通道，执行将数据封装发送或解封操作。具体实现属于现有技术，这里不再赘述。

在IPSPLIT网络中，应用和业务层与身份标识符相映射，当终端因位置发生改变时身份标识符不变，从而业务和应用不会中断，本发明方法中，业务的访问使用身份标识符Node ID，终端连接过程通过身份标识符找到对端用户，不仅实现了传输与控制分离的情况下，终端建立连接的过程，而且保证了连接的可靠性。

针对本发明方法，还提供一种终端实现连接建立的系统，如图4所示，至少包括发起方、DNS、映射服务器和响应方，其中，

映射服务器，用于接受发起方的查询，通过身份标识与位置映射查询，利用响应方的身份标识符Node ID查找到响应方的位置信息并返回给发起方；保存终端的身份标识与位置映射即ID/LOC映射；

响应方，用于与发起方建立连接。

发起方，还用于与响应方使用安全封装协议(ESP)通道，执行数据封装发送或解封等操作。

图5为本发明终端实现连接建立的方法的实施例的流程图，图5中假设发起方为UE1，响应方为UE2，当UE1完成注册认证后，UE1开始进行连接建立过程，如图5所示，包括以下步骤：

步骤500：UE1查询DNS服务器，获得UE2所在映射服务器的IP地址。本步骤中，映射服务器指ILMS-FE或ILMU-FE。

步骤501：UE1向UE2所在映射服务器发送ID/LOC映射查询(ID/LOCmapping query)，其中携带有UE2的身份标识符。

步骤502：UE2所在映射服务器，利用UE2的身份标识符查询获得UE2的LOC信息，并将获得的UE2的LOC信息携带在ID/LOC映射响应(ID/LOCmapping response)中返回给UE1。UE2所在映射服务器保存终端的身份标识与位置映射即ID/LOC映射。

步骤503：UE1与UE2连接建立，具体包括：

UE1发送携带有自身所在位置的LOC信息的消息给UE2，在该消息中，还携带有UE1的身份标识符Node ID1和UE2的身份标识符Node ID2以及安全参数索引，同时参数中包含UE1所在位置的LOC信息的生命期。UE1发送该消息后，等待来自UE2的确认。进一步地，如果在预设时间段内未收到来自UE2的响应，可以进行重发。

UE2收到UE1发送的消息并验证后，更新本地关联与UE2地址之间的映射关系并向UE1所在位置(由UE1所在位置的LOC信息指示)返回响应消息。同时，UE2为了对UE1所在位置的LOC信息进行验证，会在响应消息中携带响应参数，响应消息中还应携带有安全参数索引。

UE1处理来自UE2的响应消息并向UE2回复响应确认消息。UE2收到响应确认消息后，认为对UE1所在位置的LOC信息验证成功完成，建立UE1与UE2之间的连接。

需要说明的是，发起方与响应方之间的验证具体实现可以采用现有多种方式实现，这里并不用于限定本发明保护范围。本发明强调的是，业务的访问使用身份标识符，终端连接过程通过身份标识符找到对端用户的位置，并在发起方与响应方之间直接建立连接。

UE1与UE2之间建立连接后，UE1与UE2使用ESP通道，执行数据封装发送或解封等操作。

以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围，凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明的保护范围之内。

Claims

1.一种终端实现连接建立的方法，应用在下一代网络中的身份标识与位置分离的IPSPLIT网络中，在发起方完成注册认证后，其特征在于，该方法还包括：

发起方根据获得的所述位置信息与响应方建立连接。

2.根据权利要求1所述的方法，其特征在于，所述发起方和响应方建立连接包括：

3.根据权利要求2所述的方法，其特征在于，在所述发起方向响应方发送的消息中，还携带有所述发起方的身份标识符、所述响应方的身份标识符以及安全参数索引；

4.根据权利要求3所述的方法，其特征在于，所述发起方向响应方发送的消息中还携带有所述发起方所在位置的位置信息的生命期。

5.根据权利要求4所述的方法，其特征在于，所述发送方向响应方发送消息后，如果在预设时间段内未收到来自响应方的响应，该方法还包括：

所述发起方重新发送所述消息。

6.根据权利要求1所述的方法，其特征在于，所述响应方所在映射服务器为身份标识与位置分离映射存储功能实体ILMS-FE或身份标识与位置分离映射更新功能实体ILMU-FE。

7.一种终端实现连接建立的系统，其特征在于，该系统至少包括发起方、DNS、映射服务器和响应方，其中，

响应方，用于与发起方建立连接。

8.根据权利要求7所述的系统，其特征在于，所述发起方，还用于与响应方使用安全封装协议ESP通道，执行数据封装发送或解封操作。

9.根据权利要求7或8所述的系统，其特征在于，所述映射服务器为身份标识与位置分离映射存储功能实体ILMS-FE，或身份标识与位置分离映射更新功能实体ILMU-FE。