CN104025518A

CN104025518A - 隧道转发方法、装置、设备及系统

Info

Publication number: CN104025518A
Application number: CN201280001349.6A
Authority: CN
Inventors: 李岩; 吴问付; 魏凯
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2012-08-08
Filing date: 2012-08-08
Publication date: 2014-09-03
Anticipated expiration: 2032-08-08
Also published as: WO2014022993A1; CN104025518B

Abstract

本发明实施例提供了一种隧道转发方法、装置、设备及系统，涉及通信领域，所述方法包括：接收隧道建立请求，所述隧道建立请求包括隧道端点信息和隧道转发规则；指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，以便所述网关将符合所述隧道转发规则的数据利用所述隧道转发至所述应用服务器。本发明通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的UE的数据区分转发到应用服务器的效果。

Description

隧道转发方法、装置、设备及系统技术领域

本发明涉及通信领域，特别涉及一种隧道转发方法、装置、设备及系统。背景技术

UE (User Equipment, 用户设备）常基于 EPC (Evolved Packet Core, 演进分组核心网）移动分组域网络接入 PDN (Packet Data network) 网络， PDN网络包括 Internet (因特网）， Intranet (企业内部网）， ISP (Internet Service Provider, 因特网服务提供商）等。

请参考图 1，其示出了现有技术中一种隧道转发方法的流程示意图。该方法中涉及的网元或者网络包括： UE、 MME (Mobility Management Entity,移动性管理实体）、 SGW (Serving Gateway, 月艮务网关）、 PGW (PDN Gateway, PDN网关）禾口 PDN网络。其中， MME、 SGW 和 PGW均是 EPC移动分组域网络中的网元， EPC移动分组域网络中的网元还可以包括 eNB (Evolved Node B，演进节点 B)， HSS (Home Subscriber Server, 归属用户服务器）等（未具体示出）。 UE通过 EPC移动分组域网络接入 PDN网络，并利用隧道转发数据的过程如下：步骤 101， PGW预先与 PDN网络中的特定类型的网络建立隧道，该特定类型的网络可以是 Intranet, 此处建立隧道的目的是为了满足特定类型的网络对安全性或者路由寻址的要求，对于 PDN网络中的 Internet, PGW通常直接接入而不需要建立隧道；

步骤 102， UE发送 PDN连接建立请求给 MME, 该 PDN连接建立请求中携带有 APN

(Access point name, 接入点名称），在 EPC移动分组域网络内部，使用 APN来区分 UE希望连接哪个网络，比如 APN1表示 UE希望连接 Intranet; APN2表示 UE希望连接 Internet; 步骤 103， MME配合 HSS (未示出）对 UE进行签约检查，检查 UE是否被允许接入上述 APN对应的网络，上述 APN是 PDN连接建立请求中的 APN; 如果允许，则根据上述 APN选择 PGW，并进一步根据选择的 PGW选择对应的 SGW，然后向 SGW发送创建会话请求消息，该创建会话请求消息携带有上述 APN;

步骤 104， SGW向 PGW转发创建会话请求消息；

步骤 105， PGW根据上述 APN，决定 UE连接到哪个网络，如果是连接到 Internet, 则 PGW直接从本地地址池中分配 IP地址给 UE; 如果是连接到特定类型的网络，则 PGW需要和该特定类型的网络进行信令交互，从该特定类型的网络的地址池中分配 IP地址给 UE; 步骤 106， PGW向 SGW返回创建会话响应消息，该创建会话响应消息携带有上述 IP 地址；

步骤 107， SGW向 MME转发创建会话响应消息；

步骤 108， MME向 UE返回 PDN连接建立响应消息，该 PDN连接建立响应消息携带有上述 IP地址；

步骤 109， UE根据上述 IP地址接入 PDN网络，如果 PDN网络是 Internet, 则由 UE 发送的报文直接路由到 Internet; 如果 PDN网络是特定类型的网络，则由 UE发送的报文通过步骤 101建立的隧道转发到特定类型的网络。

现有的隧道转发方法中的隧道是基于不同类型的 PDN网络来建立的，对同一种类型的 PDN 网络中的不同业务流（比如安全性要求高的网上支付业务、安全性要求低的网页浏览业务等）无法进行区分，并采取不同的策略进行转发；对接入同一种类型的 PDN网络中的不同 UE发送的数据，也无法进行区分，并采取不同的策略进行转发。发明内容

为了解决现有的隧道转发方法中无法对业务粒度或者 UE粒度的数据进行区分和转发，本发明实施例提供了一种隧道转发方法、装置、设备及系统。所述技术方案如下：

一个方面，提供了一种隧道转发方法，所述方法包括：

接收隧道建立请求，所述隧道建立请求包括隧道端点信息和隧道转发规则；

指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，以便所述网关将符合所述隧道转发规则的数据利用所述隧道转发至所述应用服务器。

进一步地，所述隧道建立请求还包括范围指示信息，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，具体包括：

选择属于所述范围指示信息指示的范围中的至少一个网关；

指示被选择的所述网关与所述应用服务器建立隧道，并下发所述隧道转发规则给所述网关。

进一步地，所述隧道转发规则为转发指定用户设备的数据至所述应用服务器时，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关之后，还包括：

引导所述指定用户设备连接至所述网关。进一步地，所述引导所述指定用户设备连接至所述网关，具体包括：

指示归属用户服务器 HSS将所述指定用户设备的签约数据进行修改，修改所述指定用户设备的每个接入点名称 APN都关联到所述网关，以便移动性管理实体 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

或，指示 HSS将所述指定用户设备的签约数据进行修改，替换所述指定用户设备的 APN 为特定 APN，所述特定 APN与所述网关关联，以便 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

或，指示与所述指定用户设备相连接的基站将所述指定用户设备的数据路由至所述网关。

进一步地，所述隧道建立请求还包括隧道类型，当所述隧道类型为安全隧道时，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，具体包括：

分别向所述网关和所述应用服务器发送认证信息，以便所述网关和所述应用服务器根据所述认证信息完成建立隧道时的相互认证。

另一方面，提供了一种隧道转发装置，所述装置包括：

请求接收模块，用于接收隧道建立请求，所述隧道建立请求包括隧道端点信息和隧道转发规则；

隧道建立模块，用于指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，以便所述网关将符合所述隧道转发规则的数据利用所述隧道转发至所述应用服务器。

进一步地，所述隧道建立请求还包括范围指示信息，所述隧道建立模块，具体包括：网关选择单元和隧道建立单元；

所述网关选择单元，用于选择属于所述范围指示信息指示的范围中的至少一个网关；所述隧道建立单元，用于指示被选择的所述网关与所述应用服务器建立隧道，并下发所述隧道转发规则给所述网关。

进一步地，所述隧道转发规则为转发指定用户设备的数据至所述应用服务器时，所述隧道转发装置，还包括：

连接引导模块，用于引导所述指定用户设备连接至所述网关。

进一步地，所述连接引导模块，具体包括：

第一指示单元、第二指示单元或第三指示单元；

所述第一指示单元，用于指示归属用户服务器 HSS将所述指定用户设备的签约数据进行修改，修改所述指定用户设备的每个接入点名称 APN都关联到所述网关，以便移动性管理实体 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；所述第二指示单元，用于指示 HSS将所述指定用户设备的签约数据进行修改，替换所述指定用户设备的 APN为特定 APN，所述特定 APN与所述网关关联，以便 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

所述第三指示单元，用于指示与所述指定用户设备相连接的基站将所述指定用户设备的数据路由至所述网关。

进一步地，所述隧道建立请求还包括隧道类型，当所述隧道类型为安全隧道时，所述隧道建立模块，具体包括：

认证发送单元；

所述认证发送单元，用于分别向所述网关和所述应用服务器发送认证信息，以便所述网关和所述应用服务器根据所述认证信息完成建立隧道时的相互认证。

再一方面，提供了一种应用服务器，包括：

请求发送模块，用于发送隧道建立请求，所述隧道建立请求至少包括隧道端点信息和隧道转发规则；

其中，所述隧道端点信息对应于待建立隧道的应用服务器；

所述隧道转发规则包括转发指定用户设备的数据至所述应用服务器，转发目标地址为所述应用服务器的数据至所述应用服务器。

进一步地，所述隧道建立请求还包括隧道类型和 /或范围指示信息；

所述隧道类型包括普通隧道或者安全隧道；

所述范围指示信息用于指示网关所属范围。

另一方面，提供了一种归属用户服务器，包括：

指示接收模块，用于接收隧道转发装置的指示，所述指示中包括指定用户设备的标识信息；

数据修改模块，用于根据所述指示接收模块接收的指示，将所述指定用户设备的签约数据进行修改；

其中，所述修改包括：修改所述指定用户设备的每个接入点名称 APN都关联到指定网关；

或，替换所述指定用户设备的 APN为特定 APN，所述特定 APN与指定网关关联。进一步地，所述归属用户服务器，还包括：连接判断模块和数据推送模块；所述连接判断模块，用于判断所述指定用户设备是否已经接入其它网关，所述其它网关为未与所述应用服务器建立隧道的网关；所述数据推送模块，用于在所述连接判断模块的判断结果为是时，将所述数据修改模块修改后的签约数据推送给移动性管理实体。

还一方面，提供了一种隧道转发系统，所述系统包括上述技术方案提供的隧道转发装置、上述技术方案提供的应用服务器和 /或上述技术方案提供的归属用户服务器。

本发明实施例提供的技术方案的有益效果是：

通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，且下发隧道转发规则给网关，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对业务粒度或者 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的业务流或者不同 UE的数据区分转发到应用服务器的效果。附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图 1是现有技术中的一种隧道转发方法的方法流程图；

图 2是本发明实施例一提供的隧道转发方法的方法流程图；

图 3是本发明实施例二提供的隧道转发方法的方法流程图；

图 4是本发明实施例三提供的隧道转发方法的方法流程图；

图 5是本发明实施例四提供的隧道转发方法的方法流程图；

图 6是本发明实施例五提供的隧道转发方法的方法流程图；

图 7是本发明实施例六提供的隧道转发装置的一种结构方框图；

图 8是本发明实施例六提供的隧道转发装置的另一种结构方框图；

图 9是本发明实施例六提供的隧道转发装置的再一种结构方框图；

图 10是本发明实施例六提供的隧道转发装置的还一种结构方框图；

图 11是本发明实施例六提供的隧道转发装置的再一种结构方框图；

图 12是本发明实施例七提供的应用服务器的结构方框图；

图 13是本发明实施例八提供的归属用户服务器的一种结构方框图；

图 14是本发明实施例九提供的归属用户服务器的另一种结构方框图；

图 15是本发明实施例十提供的隧道转发系统的结构方框图。具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明实施方式作进一步地详细描述。

实施例一

请参考图 2，其示出了本发明实施例一提供的隧道转发方法的方法流程图。该隧道转发方法可以由逻辑实体网元：隧道转发网元来执行，该隧道转发网元可以独立部署于 MME 之类的物理控制网元中，该隧道转发方法可以具体包括：

步骤 201，接收隧道建立请求，隧道建立请求包括隧道端点信息和隧道转发规则；隧道转发网元接收应用服务器 A发送的隧道建立请求，该隧道建立请求包括隧道端点信息和隧道转发规则。其中，隧道端点信息对应于待建立隧道的应用服务器，通常就是发送隧道建立请求的应用服务器 A。在一些情况下，也可以由应用服务器 A发送隧道建立请求，但隧道端点信息对应于应用服务器 B，也即隧道端点信息对应的应用服务器可能与发送隧道建立请求的应用服务器不同。

隧道转发规则用于表示哪些数据需要在建立后的隧道中转发。一些情况下，隧道转发规则是：转发指定用户设备的数据至应用服务器；另一些情况下，隧道转发规则是：转发目标地址为应用服务器的数据至应用服务器。

隧道建立请求中还可以包括隧道类型和范围指示信息等。其中，隧道类型包括普通隧道或者安全隧道，普通隧道可能是 IP in IP隧道、 IP in GRE ( generic route encapsulation;通用路由封装）隧道、 L2TP (Layer 2 Tunneling Protocol, 二层隧道协议）隧道等；安全隧道可能是 IPSEC (Internet Protocol Security, 因特网协议安全）隧道等。范围指示信息用于指示网关所属范围。

步骤 202，指示至少一个网关与隧道端点信息所对应的应用服务器建立隧道，并下发隧道转发规则给网关，以便网关将符合隧道转发规则的数据利用隧道转发至应用服务器。

隧道转发网元在接收到应用服务器发送的隧道建立请求之后，将指示一个、两个或者多个网关与隧道端点信息所对应的应用服务器建立隧道，网关可以是 PGW。在网关和应用服务器之间建立隧道之前、之中或者之后，隧道转发网元还需要将隧道转发规则同时下发给网关。此时，网关可以将符合隧道转发规则的数据利用已经建立的隧道转发至应用服务器。

综上所述，本实施例提供的隧道转发方法，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，且下发隧道转发规则给网关，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对业务粒度或者 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的业务流或者不同 UE的数据区分转发到应用服务器的效果。另一方面，由于本实施例中是由 PGW与应用服务器 A来建立隧道，而不是 UE与应用服务器 A建立隧道，所以，对于 UE来讲，自身不需要与应用服务器 A来建立隧道，也就不需要处理更高的处理任务、消耗更多的移动通信资源（隧道报文的封装需要占用更多无线通信资源）和付出更高的功耗。实施例二

假设实施场景为： UE1和 UE2分别通过 PGW1和 PGW2接入因特网， Internet上的电子商务网站希望所有或者某一地域的 UE访问该网站的应用服务器时，能够通过安全隧道转发以增强安全性。

请参考图 3，其示出了本发明实施例二提供的隧道转发方法的方法流程图。该隧道转发方法可以具体包括：

步骤 301，应用服务器 A 向隧道转发网元发送隧道建立请求，该隧道建立请求包括隧道类型、隧道端点信息和隧道转发规则；

在本实施例中，隧道类型为： IPSEC隧道；

隧道端点信息对应于待建立隧道的应用服务器，具体是发送隧道建立请求的应用服务器 A的 IP地址；

隧道转发规则为：转发目标地址为应用服务器 A的数据至该应用服务器。

如果电子商务网站希望某一地域（如北京）的 UE的数据被转发，则隧道建立请求还包括范围指示信息（北京）。

步骤 302，隧道转发网元向应用服务器 A发送隧道建立请求响应信息，该隧道建立请求响应信息中携带有认证信息；

隧道转发网元接收到应用服务器 A发送的隧道建立请求之后，向应用服务器 A发送隧道建立请求响应信息。由于本实施例中建立的是安全隧道（IPSEC隧道），则隧道转发网元还需要在该隧道建立请求响应信息中携带认证信息，以便将认证信息下发给应用服务器 A。

换句话说，如果需要建立的隧道类型为安全隧道，隧道转发网元作为网关和应用服务器共同信任的实体，需要分别向网关和应用服务器发送认证信息，以便网关和应用服务器根据认证信息完成建立隧道时的相互认证。

步骤 303，隧道转发网元根据范围指示信息选择至少一个 PGW,并向选择的 PGW发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息、隧道转发规则和认证信息；如果隧道建立请求中不包含范围指示信息，隧道转发网元可以选择所有可能与应用服务器 A建立连接的 PGW;

如果隧道建立请求中包含范围指示信息，隧道转发网元可以选择该范围指示信息所指示的范围内的所有可能与应用服务器 A建立连接的 PGW，比如范围指示信息为北京，则隧道转发网元选择北京范围内所有可能与应用服务器 A建立连接的 PGW。本例中，以 PGW1 和 PGW2为被选择的 PGW来进行描述。

然后，隧道转发网元向 PGW1和 PGW2发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息、隧道转发规则和认证信息。

步骤 304， PGW1和 PGW2根据建立隧道指示信息与应用服务器 A建立 IPSEC隧道； PGW1和 PGW2根据隧道类型和隧道端点信息与应用服务器 A建立 IPSEC隧道。在建立 IPSEC隧道过程中， PGW与应用服务器 A之间相互利用隧道转发网元下发的认证信息完成认证，该认证信息可以是证书或者共享密钥等。同时， PGW1和 PGW2分别保存隧道转发规则。

步骤 305， UE1通过 PGW1建立 PDN连接， UE2通过 PGW2建立 PDN连接；

UE1作为 PGW1下的用户，通过 PGW1建立 PDN连接；

UE2作为 PGW2下的用户，通过 PGW2建立 PDN连接，建立 PDN连接的过程可以参考背景技术中的相关步骤。

步骤 306， PGW1和 PGW2将符合隧道转发规则的数据利用与应用服务器 A之间建立的隧道进行转发。

当 UE1或者 UE2访问应用服务器 A时， PGW1和 PGW2可以接收到相关的数据报文，并且判断到该数据报文符合隧道转发规则。此时， PGW1和 PGW2可以将该数据报文利用与应用服务器 A之间建立的隧道转发至应用服务器 A。

综上所述，本实施例提供的隧道转发方法，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，且下发隧道转发规则给网关，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对业务粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的业务流区分转发到应用服务器的效果。另一方面，对于应用服务器 A来讲，同时连接到同一 PGW的多个 UE可以共用一条该 PGW 至自身的隧道，而不需要每个 UE都与应用服务器 A来建立一条隧道，也减少了隧道的管理数量和维持数量，降低了负载。实施例三假设实施场景为： UE属于企业中的一个员工，该 UE不仅需要通过隧道接入该企业的 Intranet, 还需要接入 Internet, 该企业希望该 UE接入 Internet的数据也经由接入 Intranet的隧道来转发。

请参考图 4，其示出了本发明实施例三提供的隧道转发方法的方法流程图。该隧道转发方法可以包括：

步骤 401，应用服务器 A 向隧道转发网元发送隧道建立请求，该隧道建立请求包括隧道类型、隧道端点信息和隧道转发规则；

在本实施例中，隧道类型为： IP in IP隧道；

隧道端点信息对应于待建立隧道的应用服务器，具体是发送隧道建立请求的应用服务器 A的 IP地址，应用服务器 A是企业内部网中的服务器；

隧道转发规则为：转发指定 UE的所有数据至该应用服务器 A。

步骤 402，隧道转发网元选择至少一个 PGW，并向选择的 PGW发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息和隧道转发规则；

隧道转发网元可以选择指定 UE可能建立 PDN连接的一个或多个 PGW。具体地讲，对于每一地域接入功能类似的 PGW，隧道转发网元只需要选择该地域中的一个 PGW即可。

然后，隧道转发网元向选择的 PGW发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息和隧道转发规则。

步骤 403，被选择的 PGW根据建立隧道指示信息与应用服务器 A建立 IP in IP隧道；被选择的 PGW根据隧道类型和隧道端点信息与应用服务器 A建立 IP in IP隧道。同时，被选择的 PGW保存隧道转发规则。

需要说明的是，由于指定 UE在一个地域时，其接入 PDN时选择的 PGW不一定正好是隧道转发网元选择的 PGW。为此，隧道转发网元需要引导指定 UE连接至被选择的网关。在本实施例中，隧道转发网元可以指示 HSS将指定 UE的签约数据进行修改，修改指定 UE 的每个 APN都关联到被选择的 PGW，以便 MME根据修改后的签约数据来引导指定 UE连接至被选择的 PGW。

步骤 404，隧道转发网元向 HSS发送修改签约数据的指示，该指示中携带有指定 UE 的标识信息和被选择的 PGW的标识信息；

其中，指定 UE 的标识信息可以是 IMSI (International Mobile Subscriberldentification Number, 国际移动用户识别码）。该指定 UE的标识信息可以从隧道转发规则中获得。

被选择的 PGW的标识信息可以是 PGW的 IP地址。

HSS接收到隧道转发网元的指示后，可以修改指定 UE的每个 APN都关联到被选择的 PGW。

步骤 405，指定 UE向 MME发送附着请求；

该附着请求中可以携带有 APN，如果未携带，可以按照签约数据中的默认 APN处理。另外，该附着请求中通常还携带有指定 UE的 IMSI。

步骤 406， MME向 HSS获取该指定 UE的签约数据；

MME在收到附着请求后，向 HSS获取该指定 UE的签约数据。此过程中， MME可以使用指定 UE的 IMSI来发起签约数据获取请求给 HSS, 以便 HSS返回该指定 UE的签约数据。

步骤 407， HSS向 MME返回该指定 UE被修改过的签约数据；

HSS向 MME返回该指定 UE被修改过的签约数据，修改过的签约数据包括指定 UE可选的 APN，以及每个 APN关联的 PGW。此处的 PGW通常都是隧道转发网元选择的 PGW。

步骤 408， MME向修改过的签约数据中的 PGW发送创建会话请求消息；

该创建会话请求消息包括指定 UE的 IMSI和 APN，该 APN可以是指定 UE在附着请求中携带的 APN。虽然该 APN在本实施例的后续步骤中已经没有实际作用，但是为了对现有技术的改动尽量小，仍然保留了该内容。需要意识到，创建会话请求消息中可以不包括该 APN。

步骤 409， PGW根据指定 UE的 IMSI到应用服务器 A分配地址；

PGW接收到 MME发送的创建会话请求消息之后，根据其中的指定 UE的 IMSI和隧道转发规则可以判断到当前 UE是指定 UE。为此， PGW到应用服务器 A为指定 UE分配地址。

也就是说， PGW判断到当前 UE是指定 UE时，并不按照正常模式，在 APN对应的地址池中为指定 UE分配地址；而是忽略 APN信息，直接到应用服务器 A处为指定 UE分配地址。

步骤 410， PGW向 MME返回创建会话响应消息，该创建会话响应消息携带有分配的地址。

步骤 411， MME向指定 UE返回附着响应，该附着响应携带有 PGW分配的地址；此后，指定 UE可以利用 PGW分配的地址完成 PDN接入，并访问 PDN网络。

步骤 412， PGW接收到指定 UE的数据报文，将符合隧道转发规则的该数据报文利用与应用服务器 A之间建立的隧道进行转发。

当指定 UE发送的数据报文发送给 PGW时， PGW可以根据数据报文的来源地址判断出该数据报文符合隧道转发规则，然后将该数据报文利用与应用服务器 A之间建立的隧道进行转发。综上所述，本实施例提供的隧道转发方法，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，且下发隧道转发规则给网关，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。另一方面，通过只选择少量的 PGW与应用服务器 A建立隧道，同时利用修改 HSS的签约数据的方式来引导指定 UE连接到被选择的 PGW，使得应用服务器 A需要维持和管理的隧道数量减到更少。实施例四

假设实施场景仍然为： UE属于企业中的一个员工，该 UE不仅需要通过隧道接入该企业的 Intranet,还需要接入 Internet,该企业希望该 UE接入 Internet的数据也经由接入 Intranet 的隧道来转发。

但是与实施例三不同的是，在网关与应用服务器建立隧道之前， UE已经通过一个 PGW 接入 PDN网络。

请参考图 5，其示出了本发明实施例四提供的隧道转发方法的方法流程图。该隧道转发方法可以包括：

步骤 501，应用服务器 A 向隧道转发网元发送隧道建立请求，该隧道建立请求包括隧道类型、隧道端点信息和隧道转发规则；

在本实施例中，隧道类型为： IP in GRE隧道；

步骤 502，隧道转发网元选择至少一个 PGW，并向选择的 PGW发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息和隧道转发规则；

隧道转发网元可以选择指定 UE可能建立 PDN连接的一个或多个 PGW。具体地讲，对于每一地域接入功能类似的 PGW，隧道转发网元只需要选择该地域中的一个 PGW即可。本实施例中，以 PGW1为被选择的网关来进行描述；

然后，隧道转发网元向 PGW1发送建立隧道指示信息，该建立隧道指示信息包括隧道类型、隧道端点信息和隧道转发规则。

步骤 503， PGW1根据建立隧道指示信息与应用服务器 A建立 IP in GRE隧道；

PGW1根据隧道类型和隧道端点信息与应用服务器 A建立 IP in GRE隧道。同时， PGW1 保存隧道转发规则。

需要说明的一点是，由于指定 UE在一个地域时，其接入 PDN时选择的 PGW不一定正好是隧道转发网元选择的 PGW。为此，隧道转发网元需要引导指定 UE连接至被选择的网关。在本实施例中，隧道转发网元可以指示 HSS将指定 UE的签约数据进行修改，修改替换指定 UE的 APN为特定 APN，特定 APN与 PGW1关联，以便 MME根据修改后的签约数据来引导指定 UE连接至 PGW1。

需要说明的另一点是：由于指定 UE预先已经与 PGW2建立 PDN连接，为此，隧道转发网元在指示 HSS将指定 UE的签约数据进行修改之后，还需要 HSS将修改后的签约数据主动发送给 MME，以便 MME先将指定 UE的已有连接去激活，并重新根据修改后的签约数据来引导指定 UE连接至 PGW1。

步骤 504，隧道转发网元向 HSS发送修改签约数据的指示，该指示中携带有指定 UE 的标识信息和特定 APN;

其中，指定 UE的标识信息可以是 IMSI。该指定 UE的标识信息可以从隧道转发规则中获得。

特定 APN是与 PGW1关联的 APN。在本实施例中，以 APN2作为特定 APN。

HSS接收到隧道转发网元的指示后，可以替换指定 UE的签约数据中的 APN为 APN2; 步骤 505， HSS判断指定 UE是否已经接入其它网关，其它网关为未与应用服务器建立隧道的网关；如果是，则进入步骤 506;

HSS修改指定 UE的签约数据之后， HSS可以判断到 UE已经接入 PGW2。

步骤 506， HSS将修改后的签约数据主动发送给 MME;

修改后的签约数据包括指定 UE的 IMSI和 APN2;

步骤 507， MME对指定 UE与 PGW2的已有连接去激活，并指示指定 UE重新建立连接；

MME在收到 HSS发送的修改后的签约数据之后，可以根据修改后的签约数据包括的指定 UE的 IMSI, 来对指定 UE与 PGW2的已有连接进行去激活。

步骤 508，指定 UE重新发送附着请求，

该附着请求中可以携带有 APN1。由于替换 APN的过程对于 UE不可见，所以此附着请求仍然携带 APN1。

步骤 509， MME利用 APN2选择到 PGW1 , 并向 PGW1发起创建会话请求消息； MME在收到附着请求后，由于只有建立隧道后的 PGW1提供 APN2的支持， MME根据 APN2可以选择到 PGW1 , 然后向 PGW1发起创建会话请求消息。该创建会话请求消息包括指定 UE的 IMSI和 APN2。

步骤 510， PGW1根据 APN2选择到应用服务器 A为指定 UE分配地址，然后向 MME 返回创建会话相应消息，该创建会话相应消息携带有分配的地址。

步骤 511， MME向指定 UE返回附着响应，该附着响应携带有 PGW1分配的地址；此后，指定 UE可以利用 PGW1分配的地址重新完成 PDN接入，并访问 PDN网络。步骤 512， PGW1接收到指定 UE的数据报文，将符合隧道转发规则的该数据报文利用与应用服务器 A之间建立的隧道进行转发。

当指定 UE发送的数据报文发送给 PGW1时， PGW1可以根据数据报文的来源地址判断出该数据报文符合隧道转发规则，然后将该数据报文利用与应用服务器 A之间建立的隧道进行转发。

综上所述，本实施例提供的隧道转发方法，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，且下发隧道转发规则给网关，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。另一方面，通过隧道控制网元来判断指定 UE是否已经利用其他网关接入 PDN，然后去激活连接至被选择的 PDN的方式，达到了即便指定 UE 已经接入 PDN, 仍然能够引导指定 UE通过选择的 PGW接入 PDN, 从而利用建立的隧道转发该指定 UE的数据的效果。实施例五

上述实施例均已基于 EPC的分组域网络架构来描述，但是上述隧道转发方法也可以用于控制和转发分离的移动分组网络架构。所谓的控制与转发分离，指的是转发网元仅处理数据报文，和转发流表生成信令，而其他诸如 IP地址分配， PDN连接建立等均由控制网元处理。

请参考图 6，其示出了本发明实施例五提供的隧道转发方法的方法流程图。本实施例中，隧道转发网元实施与控制器中，路由器作为网关，该隧道转发方法可以具体包括：

步骤 601，应用服务器 A向控制器发送隧道建立请求，该隧道建立请求包括隧道类型、隧道端点信息和隧道转发规则；

在本实施例中，隧道类型为： L2TP隧道；

隧道转发规则为：转发指定 UE的所有数据至该应用服务器 A。步骤 602，控制器选择至少一个路由器，向选择的路由器通过流表来指示路由器建立到应用服务器的隧道流表；

控制器可以选择指定 UE可能建立 PDN连接的一个或多个路由器。具体地讲，对于每一地域接入功能类似的路由器，隧道转发网元只需要选择该地域中的一个路由器即可。

然后，控制器向选择的路由器通过流表来指示路由器建立到应用服务器的隧道流表。步骤 603，路由器建立到应用服务器 A的隧道；

具体地讲，路由器可以建立到应用服务器 A的 L2TP隧道。

步骤 604， UE发送 PDN连接建立请求给控制器，该 PDN连接建立请求携带 APN信息；该 PDN连接建立请求通常还包括有 UE的 IMSI。

步骤 605，控制器忽略 APN信息，选择应用服务器 A来为 UE分配地址；

控制器可以根据 UE的 IMSI和隧道转发规则，判断出 UE为指定 UE。此时，控制器忽略 PDN连接建立请求中的 APN信息，选择从应用服务器 A的地址池中分配一个地址给 UE。

步骤 606，控制器向 UE返回 PDN连接建立响应，该 PDN连接建立响应携带有分配的地址；

步骤 607，控制器通过流表指示该 UE连接的 eNB，将该 UE的数据转发到路由器；此步骤，也即控制器引导 UE连接到路由器的过程。

步骤 608，控制器通过流表指示路由器，将该 UE的数据通过隧道转发至应用服务器 A。综上所述，本实施例提供的隧道转发方法，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。实施例六

请参考图 7，其示出了本发明实施例六提供的隧道转发装置的结构方框图。该隧道转发装置可以包括请求接收模块 720和隧道建立模块 740。

请求接收模块 720用于接收隧道建立请求，该隧道建立请求包括隧道端点信息和隧道转发规则。

隧道建立模块 740用于指示至少一个网关与请求接收模块 720接收到的隧道端点信息所对应的应用服务器建立隧道，并下发隧道转发规则给网关，以便网关将符合隧道转发规则的数据利用隧道转发至应用服务器。

如果请求接收模块 720接收到隧道建立请求中还包括范围指示信息，隧道建立模块 740 可以具体包括：网关选择单元 742和隧道建立单元 744，如图 8所示。其中，网关选择单元 742用于选择属于范围指示信息指示的范围中的至少一个网关；隧道建立单元 744用于指示被选择的网关与应用服务器建立隧道，并下发隧道转发规则给网关。

如果请求接收模块 720接收到的隧道转发规则为转发指定用户设备的数据至应用服务器时，隧道转发装置，还包括：连接引导模块 760，如图 9所示。连接引导模块 760用于引导指定用户设备连接至隧道建立模块 740选择的与应用服务器建立隧道的网关。

连接引导模块 760可以具体包括：第一指示单元 762a、第二指示单元 762b或第三指示单元 762c，如图 10所示。其中，第一指示单元 762a用于指示归属用户服务器 HSS将指定用户设备的签约数据进行修改，修改指定用户设备的每个接入点名称 APN都关联到网关，以便移动性管理实体 MME根据修改后的签约数据来引导指定用户设备连接至网关;第二指示单元用于指示 HSS将指定用户设备的签约数据进行修改，替换指定用户设备的 APN为特定 APN，特定 APN与网关关联，以便 MME根据修改后的签约数据来引导指定用户设备连接至网关；第三指示单元用于指示与指定用户设备相连接的基站将指定用户设备的数据路由至网关。

如果请求接收模块 720接收到的隧道建立请求还包括隧道类型，当隧道类型为安全隧道时，隧道建立模块 740还可以具体包括：认证发送单元 746，如图 11所示。认证发送单元 746用于分别向网关和应用服务器发送认证信息，以便网关和应用服务器根据认证信息完成建立隧道时的相互认证。

综上所述，本实施例提供的隧道转发装置，通过根据隧道建立请求来指示相应的网关与应用服务器建立隧道，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。实施例七

请参考图 12，其示出了本发明实施例七提供的应用服务器的结构方框图。该应用服务器包括：请求发送模块 120。

请求发送模块 120用于发送隧道建立请求，该隧道建立请求至少包括隧道端点信息和隧道转发规则。其中，隧道端点信息对应于待建立隧道的应用服务器；隧道转发规则包括转发指定用户设备的数据至应用服务器，转发目标地址为应用服务器的数据至应用服务器。

隧道建立请求还可以包括隧道类型和 /或范围指示信息；

隧道类型包括普通隧道或者安全隧道。范围指示信息用于指示网关所属范围。

综上所述，本实施例提供的应用服务器，通过发送隧道建立请求，来使得隧道转发网元根据隧道建立请求来指示相应的网关与应用服务器建立隧道，使得网关能够根据隧道转发规则选择性地转发数据至应用服务器，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。实施例八

请参考图 13，其示出了本发明实施例八提供的归属用户服务器的结构方框图。该归属用户服务器包括：指示接收模块 132和数据修改模块 134。

指示接收模块 132用于接收隧道转发装置的指示，指示中包括指定用户设备的标识信息。

数据修改模块 134用于根据指示接收模块 132接收的指示，将指定用户设备的签约数据进行修改。其中，修改包括：修改指定用户设备的每个接入点名称 APN都关联到指定网关；或，替换指定用户设备的 APN为特定 APN，特定 APN与指定网关关联。

归属用户服务器还包括：连接判断模块 136和数据推送模块 138，如图 14所示。其中，连接判断模块 136用于判断指定用户设备是否已经接入其它网关，其它网关为未与应用服务器建立隧道的网关；数据推送模块 138用于在连接判断模块 136的判断结果为是时，将数据修改模块 134修改后的签约数据推送给移动性管理实体。

综上所述，本实施例提供的归属用户服务器，通过根据隧道转发装置的指示来对指定用户设备的签约数据进行修改，使得指定用户设备总是能够连接到隧道转发装置选择的网关上，解决了现有的隧道转发方法中无法对 UE粒度的数据进行区分和转发的技术问题，达到了网关可以对不同的 UE的数据区分转发到应用服务器的效果。实施例九

请参考图 15，其示出了本发明实施例九提供的隧道转发系统的结构方框图。该隧道转发系统包括实施例七提供的隧道转发装置 700、实施例八提供的应用服务器 800和 /或实施例九提供的归属用户服务器 900。需要说明的是：上述实施例提供的隧道转发装置、应用服务器、归属用户服务器和隧道转发系统在利用隧道转发数据时，仅以上述各功能模块的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能模块完成，即将设备的内部结构划分成不同的功能模块，以完成以上描述的全部或者部分功能。另外，上述实施例提供的隧道转发装置、应用服务器、归属用户服务器和隧道转发系统与隧道转发方法实施例属于同一构思，其具体实现过程详见方法实施例，这里不再赘述。本领域普通技术人员可以理解实现上述实施例的全部或部分步骤可以通过硬件来完成，也可以通过程序来指令相关的硬件完成，所述的程序可以存储于一种计算机可读存储介质中，上述提到的存储介质可以是只读存储器，磁盘或光盘等。以上所述仅为本发明的较佳实施例，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

权利要求书

1、一种隧道转发方法，其特征在于，所述方法包括：

接收隧道建立请求，所述隧道建立请求包括隧道端点信息和隧道转发规则；

指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，以便所述网关将符合所述隧道转发规则的数据利用所述隧道转发至所述应用服务器。
2、根据权利要求 1所述的隧道转发方法，其特征在于，所述隧道建立请求还包括范围指示信息，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，具体包括：

选择属于所述范围指示信息指示的范围中的至少一个网关；

指示被选择的所述网关与所述应用服务器建立隧道，并下发所述隧道转发规则给所述网关。
3、根据权利要求 1所述的隧道转发方法，其特征在于，所述隧道转发规则为转发指定用户设备的数据至所述应用服务器时，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关之后，还包括：

引导所述指定用户设备连接至所述网关。
4、根据权利要求 3所述的隧道转发方法，其特征在于，所述引导所述指定用户设备连接至所述网关，具体包括：

指示归属用户服务器 HSS将所述指定用户设备的签约数据进行修改，修改所述指定用户设备的每个接入点名称 APN都关联到所述网关，以便移动性管理实体 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

或，指示 HSS将所述指定用户设备的签约数据进行修改，替换所述指定用户设备的 APN 为特定 APN,所述特定 APN与所述网关关联，以便 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

或，指示与所述指定用户设备相连接的基站将所述指定用户设备的数据路由至所述网关。 5、根据权利要求 1至 4任一所述的隧道转发方法，其特征在于，所述隧道建立请求还包括隧道类型，当所述隧道类型为安全隧道时，所述指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，具体包括：

分别向所述网关和所述应用服务器发送认证信息，以便所述网关和所述应用服务器根据所述认证信息完成建立隧道时的相互认证。
6、一种隧道转发装置，其特征在于，所述装置包括：

请求接收模块，用于接收隧道建立请求，所述隧道建立请求包括隧道端点信息和隧道转发规则；

隧道建立模块，用于指示至少一个网关与所述隧道端点信息所对应的应用服务器建立隧道，并下发所述隧道转发规则给所述网关，以便所述网关将符合所述隧道转发规则的数据利用所述隧道转发至所述应用服务器。
7、根据权利要求 6所述的隧道转发装置，其特征在于，所述隧道建立请求还包括范围指示信息，所述隧道建立模块，具体包括：

网关选择单元和隧道建立单元；

所述网关选择单元，用于选择属于所述范围指示信息指示的范围中的至少一个网关；所述隧道建立单元，用于指示被选择的所述网关与所述应用服务器建立隧道，并下发所述隧道转发规则给所述网关。
8、根据权利要求 6所述的隧道转发装置，其特征在于，所述隧道转发规则为转发指定用户设备的数据至所述应用服务器时，所述隧道转发装置，还包括：

连接引导模块，用于引导所述指定用户设备连接至所述网关。 9、根据权利要求 8所述的隧道转发装置，其特征在于，所述连接引导模块，具体包括: 第一指示单元、第二指示单元或第三指示单元；

所述第一指示单元，用于指示归属用户服务器 HSS将所述指定用户设备的签约数据进行修改，修改所述指定用户设备的每个接入点名称 APN都关联到所述网关，以便移动性管理实体 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

所述第二指示单元，用于指示 HSS将所述指定用户设备的签约数据进行修改，替换所述指定用户设备的 APN为特定 APN，所述特定 APN与所述网关关联，以便 MME根据修改后的签约数据来引导所述指定用户设备连接至所述网关；

所述第三指示单元，用于指示与所述指定用户设备相连接的基站将所述指定用户设备的数据路由至所述网关。
10、根据权利要求 6至 9任一所述的隧道转发装置，其特征在于，所述隧道建立请求还包括隧道类型，当所述隧道类型为安全隧道时，所述隧道建立模块，具体包括：

认证发送单元；

所述认证发送单元，用于分别向所述网关和所述应用服务器发送认证信息，以便所述网关和所述应用服务器根据所述认证信息完成建立隧道时的相互认证。
11、一种应用服务器，其特征在于，包括：

请求发送模块，用于发送隧道建立请求，所述隧道建立请求至少包括隧道端点信息和隧道转发规则；

其中，所述隧道端点信息对应于待建立隧道的应用服务器；

所述隧道转发规则包括转发指定用户设备的数据至所述应用服务器，转发目标地址为所述应用服务器的数据至所述应用服务器。
12、根据权利要求 11所述的应用服务器，所述隧道建立请求还包括隧道类型和 /或范围指示信息；

所述隧道类型包括普通隧道或者安全隧道；

所述范围指示信息用于指示网关所属范围。
13、一种归属用户服务器，其特征在于，包括：

指示接收模块，用于接收隧道转发装置的指示，所述指示中包括指定用户设备的标识信息；

数据修改模块，用于根据所述指示接收模块接收的指示，将所述指定用户设备的签约数据进行修改；

其中，所述修改包括：修改所述指定用户设备的每个接入点名称 APN都关联到指定网关; 或，替换所述指定用户设备的 APN为特定 APN，所述特定 APN与指定网关关联。 14、根据权利要求 13所述的归属用户服务器，其特征在于，所述归属用户服务器，还包括：连接判断模块和数据推送模块；

所述连接判断模块，用于判断所述指定用户设备是否已经接入其它网关，所述其它网关为未与所述应用服务器建立隧道的网关；

所述数据推送模块，用于在所述连接判断模块的判断结果为是时，将所述数据修改模块修改后的签约数据推送给移动性管理实体。
15、一种隧道转发系统，其特征在于，所述系统包括如权利要求 6至 10任一项所述的隧道转发装置、如权利要求 11至 12所述的应用服务器和 /或如权利要求 13或 14所述的归属用户服务器。