CN104080084B - 运行并行pana会话的方法以及系统 - Google Patents

Abstract

本发明提供一种多PANA会话。所述优选实施例提供了一种新的系统和方法，为具有网络的移动节点减少验证延迟，其包括，使用两个EAP，同时运行，以减少整体验证延迟。在一些例子中，使用两个EAP运行例，从而验证PaC的特定设备标识符。在一些例子中，使用两个EAP运行例，从而验证有关同时连接到多个ISP的PaC的特定设备标识符。

Description

运行并行PANA会话的方法以及系统

本申请是申请日为2007年1月31日、申请号为200780000023.0、发明创造名称为：“多PANA会话”的中国专利申请的分案申请。

技术领域

本申请涉及无线网络，并且在一些优选实施例中，涉及在无线网络等中进行多PANA会话的系统和方法。

背景技术

通过引用将Yoshihiro Ohba等，于2004年1月22日提交的名为“Serving NetworkSelection And Multihoming Using IP Access Network”的美国专利申请10/761347的全部内容结合于此。此外，也将以下文献的全部内容通过引用结合于此，作为本发明的背景。

1.D.Forsberg,et al.,“Protocol for Carrying Authentication for NetworkAccess(PANA)”,draft-ietf-pana-pana,work in progress,June 2003.

2.S.Deering,“ICMP Router Discovery Messages”,RFC 1256,September 1991.

3.T.Narten,et al.,“Neighbor Discovery for IP Version 6(IPv6)”,RFC2461,December 1998.

4.D.Harkins and D.Carrel,“The Internet Key Exchange(IKE)”,RFC 2409,November 1998.

5.C.Kaufman,“Internet Key Exchange(IKEv2)Protocol”,draft-ietf-ipsec-ikev2,work in progress,October 2003.

6.L.Blunk and J.Vollbrecht,“PPP Extensible Authentication Protocol(EAP)”,RFC 2284,March 1998.

7.B.Aboba et al.“EAP Key Management Framework”,draft-ietf-eap-keying,work in progress,October 2003.

8.M.Parthasarathy,“PANA enabling IPsec based Access Control”,draft-ietf-pana-ipsec,work in progress,October 2003.

9.Troan and R.Droms,“IPv6Prefix Options for DHCPv6”,draft-ietf-dhc-dhcpv6-opt-prefix-delegation,work in progress,October 2003.

10.C.Perkins,“IP Mobility Support for IPv4”,RFC 3344,August 2002.

11.D.Johnson et al.,“Mobility Support in IPv6”,draft-ietf-mobileip-ipv6,work in progress.

一般背景讨论：

网络和因特网协议：

有很多类型的计算机网络，其中因特网是最出名的。因特网是全世界范围的计算机网络。今天，因特网是公共的且自持的网络，可被数以百万计的用户使用。因特网使用了称为TCP/IP(即，传输控制协议/因特网协议)的一组通信协议来连接主机。因特网具有称为因特网骨干网的通信基础设施。主要由因特网服务提供商(ISP)控制对因特网骨干网的访问，所述ISP将访问权转售给公司或个人。

关于IP(因特网协议)，通过这个协议，可以在网络上从一个设备(例如，电话，PDA[个人数字助理]，计算机等)向另一个设备发送数据。今天有各种版本的IP，包括例如，IPv4，IPv6等。网络上的每个主机设备具有至少一个IP地址，作为其自己唯一的标识符。

IP是一种无连接协议。在通信期间在端点之间的连接是不连续的。当用户发送或接收数据或消息时，所述数据或消息被分割为称为分组的组成部分。每个分组被视为独立的数据单元。

为了将因特网或类似网络上的点之间的传输标准化，建立了OSI(开放系统互连)模型。OSI模型将网络上两点之间的通信处理分为七层，每层添加了其自己的一组功能。每个设备处理消息，从而在发送端点有通过各层向下的流动，而在接收端点有通过各层向上的流动。提供所述七个功能层的程序和/或硬件通常是操作系统的设备、应用软件、TCP/IP和/或其它传输和网络协议以及其它软禁和硬件的组合。

通常，当与用户之间传送消息时，使用上四层，而当通过设备(例如，IP主机设备)传送消息时，使用下三层。IP主机是所述网络上能够发送和接收IP分组的任何设备，诸如，服务器、路由器或者工作站。目的地为一些其它主机的消息不被向上传送到所述上层，而是被转发到其它主机。在OSI和其它相似的模型中，IP位于第三层，网络层。

无线网络：

无线网络可以容纳各种类型的移动设备，诸如，例如，蜂窝和无线电话，PC(个人计算机)，膝上型计算机，可穿戴计算机，无绳电话，寻呼机，头戴式耳机，打印机，PDA，等。例如，移动设备可以包括用以确保话音和/或数据的快速无线传输的数字系统。典型的移动设备包括如下组件中的一些或者全部：收发器(即，发送器和接收器，包括，例如，具有集成的发送器、接收器以及，如果需要，其它功能的单芯片收发器)；天线；处理器；一个或多个音频转换器(例如，作为用于音频通信的装置的扬声器或麦克风)；电磁数据存储装置(诸如，例如，ROM，RAM，数字数据存储装置，等，诸如在提供了数据处理的设备中)；存储器；闪存；全芯片集(full chip set)或集成电路；接口(诸如，例如，USB，CODEC，UART，PCM，等)；以及/或者其它类似组件。

可以将无线LAN(WLAN)用于无线通信，在其中，移动用户可以通过无线连接而连接到局域网(LAN)。无线通信可以包括，例如，经由诸如光、红外、射频、微波等电磁波传播的通信。当前存在着各种WLAN标准，诸如，例如，蓝牙，IEEE 802.11，以及家用射频。

举例而言，使用蓝牙产品在移动计算机、移动电话、便携式手持设备、个人数字助理(PDA)以及其它移动设备与到因特网的连接性之间提供链路。蓝牙是一种计算和电信产业规范，其详细规定了移动设备如何利用短程无线连接容易地进行互连以及与非移动设备相连接。蓝牙产生了数字无线协议，以解决由于各种移动设备的扩散而导致的终端用户问题，如，需要保持数据同步以及设备互相兼容，从而使来自不同制造商的设备可以无缝地一起工作。可以根据普通的命名概念来命名蓝牙设备。例如，蓝牙设备可以拥有蓝牙设备名称(BDN)或者与唯一的蓝牙设备地址(BDA)相关联的名称。蓝牙设备也可以参与因特网协议(IP)网络。如果蓝牙设备在IP网络上工作，可以为其提供IP地址和IP(网络)名称。因而，被配置为参与IP网络的蓝牙设备可以包含，例如，BDN，BDA，IP地址和IP名称。术语“IP名称”指与接口的IP地址相对应的名称。

IEEE标准，IEEE 802.11规范了无线LAN和设备的技术。利用802.11，可以利用支持几个设备的单个基站实现无线连网。在一些例子中，可以为设备预先配备无线硬件，或者用户可以安装可能包括天线的分立的硬件，诸如卡。举例而言，在802.11中使用的设备通常包括三个值得注意的元素，所述设备是否是接入点(AP)、移动站(STA)、网桥、PCMCIA卡或者另一种设备：无线电收发器；天线；以及控制网络上的点之间的分组流的MAC(媒体访问控制)层。

另外，在一些无线网络中可以使用多接口设备(MID)。MID可以包含两个独立的网络接口，诸如蓝牙接口和802.11接口，从而使得MID可以参与两个分离的网络，并与蓝牙设备进行接口连接。MID可以具有IP地址以及与该IP地址相关联的通用IP(网络)名称。

无线网络设备可以包括，但不限于，蓝牙设备，多接口设备(MID)，802.11x设备(IEEE 802.11设备，这包括，例如，802.11a，802.11b和802.11g设备)，HomeRF(家用射频)设备，Wi-Fi(无线保真)设备，GPRS(通用分组无线业务)设备，3G蜂窝设备，2.5G蜂窝设备，GSM(全球移动通信系统)设备，EDGE(GSM演进增强型数据)设备，TDMA类型(时分复用)设备，或者CDMA类型(码分复用)设备，包括CDMA 2000。各个网络设备可以包含变化类型的地址，这包括但不限于IP地址，蓝牙设备地址，蓝牙通用名称，蓝牙IP地址，蓝牙IP通用名称，802.11IP地址，802.11IP通用名称，或者IEEE MAC地址。

无线网络还涉及在移动IP(因特网协议)系统、PCS系统以及其它移动网络系统中发现的方法和协议。关于移动IP，这涉及由因特网工程任务组(IETF)创设的标准通信协议。利用移动IP，移动设备用户可以跨网络移动，同时保持其曾经被分配的IP地址。参考互联网草案(RFC)3344。注意：RFC是因特网工程任务组(IETF)的正式文档。当在他们的家乡网络之外进行连接时，移动IP增强了因特网协议(IP)，并增加了向移动设备转发因特网流量的方法。移动IP为每个移动节点分配了在其家乡网络上的家乡地址以及标识所述设备在网络和其子网中的当前位置的转交地址(CoA)。当设备被移动到不同网络时，其接收新的转交地址。家乡网络上的移动代理可以将各个家乡地址与其转交地址相关联。利用，例如，因特网控制报文协议(ICMP)，移动节点可以在每次改变其转交地址时向家乡代理发送绑定更新。

在基本IP路由(例如，外部移动IP)中，通常，路由机制依赖于这样的假设，即，每个网络节点总是具有到诸如因特网的不变的附着点(attachment point)，并且每个节点的IP地址标识其所附着的网络链路。在此文档中，术语“节点”包括连接点，其可以包括，例如，数据传输的再分配点(redistribution point)或端点，并且其可以识别、处理和/或向其它节点转发通信。例如，因特网路由器可以察看例如IP地址前缀或者类似的标识设备网络的标识。然而，在网络级，路由器可以察看，例如，标识特定子网的一组比特。然后，在子网级，路由器可以察看，例如，标识特定设备的一组比特。利用通常的移动IP通信，如果用户将移动设备从诸如因特网断开，并试图将其重新连接到新的子网，则所述设备必须重新配置新的IP地址，适当的网络掩码和缺省路由器。否则，路由协议将不能适当地发送所述分组。

媒体独立预验证：

媒体独立预验证(MPA)是移动辅助的安全切换优化方案，其工作于任何链路层，并利用任何移动性管理协议。利用MPA，移动节点不仅能够安全地获得候选目标网络(CTN)的IP地址和其它配置参数，并且在其实际连接到所述CTN之前还能够利用所获得的IP地址发送和接收IP分组。这使得所述移动节点可以完成任何移动管理协议的绑定更新，并在进行在链路层的切换之前使用新的转交地址(CoA)。

MPA工作于任何链路层，并利用任何移动性管理协议，这些移动性管理协议包括移动IPv4、移动IPv6、MOBIKE、HIP、SIP移动性等。在MPA中，IEEE 802.11i预验证的观念被扩展到在更高层工作，集成了额外的机制对来自某网络的IP地址进行早期获取，其中，移动终端可以从所述网络移动，以及，当所述移动终端仍然被连接到当前网络时，主动地切换到所述网络。

支持MPA的移动节点(MN)利用验证代理(AA)开始预验证处理。成功的预验证使得PANA验证代理(PAA)与所述AA建立安全关联。这是对构造代理(CA)和接入路由器(AR)的补充，其中，配置代理(CA)被用来安全地执行配置协议，从而向移动节点安全地传送IP地址和其它配置参数，而所述接入路由器(AR)安全地执行隧道管理协议，以建立通向所述移动节点的主动切换隧道。当MN被连接到当前附着点时，执行该完整的处理。在2006年3月的“draft-ohba-mobopts-mpa-framework-02.txt”以及2006年10月22日的“draft-ohba-mobopts-mpa-framework-03.txt”中对此进行了详细解释，将所述公开通过引用结合于此。

提供安全的网络接入服务要求基于客户以及接入网络的验证和授权的接入控制。客户到网络的验证提供了管辖通过执行点的业务流量所需要的参数。需要某协议来支持在客户和接入网络之间的验证方法。

PANA为网络接入验证方法提供了链路层的不确定的传送。扩展的验证协议(EAP)[参见通过引用全部结合于此的RFC3748]提供了这样的验证方法。关于此，PANA支持EAP，而EAP能支持各种验证方法。利用能够在IP上进行EAP传送的优点，对于PANA，并且因此对于任何链路层技术，可以使用能够作为EAP方法被支持的任何验证方法。

PANA协议[I-D.ietf-pana-pana]在PaC(PANA客户端)和接入网络中的PAA(PANA验证代理)之间携载EAP消息。如果所述PaC是移动装置，并且能够在运行其应用时从一个接入网络移动到另一个接入网络，则进行无缝切换且不降低切换期间的应用的性能对于PaC非常关键。当所述切换要求PaC与新的接入网络中的PAA建立PANA会话时，应该尽快完成建立所述PANA会话的信令。

为了对所述网络接入服务进行验证和授权，在客户(PaC)和服务器(PAA)之间运行PANA协议。所述协议消息接发涉及一系列请求和响应，其中的一些由任一端进行初始化。每个消息可在有效负载中携带零个或更多AVP。PANA的主要有效负载是进行验证的EAP。PANA帮助PaC和PAA建立EAP会话。

PANA是基于UDP的协议。其自身具有可靠地传送消息的重传机制。在所述PaC和PAA之间发送PANA消息，作为PANA会话的一部分。PANA会话包括以下说明的多个不同阶段，这在图1中也进行了阐述：

1.握手阶段：这是初始化新的PANA会话的阶段。可以由PaC和PAA触发该握手阶段。

2.验证和授权阶段：紧接着握手阶段是在PAA和PaC之间的EAP执行。EAP有效负载(在其内部携带EAP方法)被用于验证。PAA在此阶段的结尾向PaC发送验证和授权的结果。

3.接入阶段：在成功的验证和授权之后，主机获得对所述网络的接入，并且能够通过EP发送和接收IP数据流量。在此阶段的任何时间，所述PaC和PAA可选择地发送PANA的查验(ping)消息，以测试对等实体(peer)上的PANA会话的活性(liveness)。

4.重新验证阶段：在所述接入阶段期间，PAA必须在PANA会话生命期过期之前启动重新验证。由PANA携带EAP，以进行验证。可选地，可与所述会话生命期无关，由PaC和PAA触发此阶段。会话从接入阶段移动到此阶段，并且在成功的重新验证之后返回那里。

5.终止阶段：在任何时间，PaC或PAA可以选择停止所述接入服务。可由任何一端发送明确的断开消息。如果PaC或PAA在没有进行终止消息发送的情况下断开连接，则期望有限的会话生命期的过期或者失败的活性测试能够在另一端清楚所述会话。

PANA使用UDP作为其传输层协议。例如，由PANA分配UDP端口号。在此，总是单播消息。

如下讨论，PANA使用属性值对。在此，任何PANA消息的有效负载包括零个或多个AVP。以下进行简要描述：

○算法AVP：包含伪随机函数和完整性算法。

○AUTH AVP：包含消息验证代码，其保护所述PANA消息的完整性。

○Cookie AVP：包含随机值，其根据[RFC4086]由PAA产生，并且被用于使得握手阶段能够鲁棒地防止盲资源消耗DoS攻击。

○设备Id AVP：包含PaC或EP的设备标识符(链路层地址或IP地址)。

○EAP AVP：包含EAP PDU。

○失败的AVP：包含导致失败的损坏的AVP。

○密钥Id AVP：包含MSK标识符。

○保护能力AVP：包含当PANA验证之后应该启用加密机制时的每分组保护的类型(链路层vs网络层)。

○NAP信息AVP，ISP信息AVP：分别包含NAP和ISP的标识符。

○不重性AVP：包含随机选择的值[RFC4086]，该值被用于加密密钥计算。

○通知AVP：包含可显示的消息。

○供应商标识符AVP：包含NAP或ISP的标识符。

○PPAC AVP：Post-PANA-Address-Configuration AVP。用于指示在成功的PANA验证之后能够由PaC使用的可用/可选IP地址配置方法。

○供应商名称AVP：包含NAP或ISP的名称。

○结果代码AVP：包含有关协议执行结果的信息。

○会话Id AVP：包含PANA会话标识符值。

○会话生命期AVP：包含已授权接入的持续时间。

○终止原因AVP：包含会话终止的原因。

AVP是封装与PANA消息相关的信息的方法。参见部分6.3，可得到有关AVP的更多信息。对于AVP报头，需要将每个OctetString类型的AVP填充排列到32比特边界，而其它AVP类型自然排列。将许多的零值比特加入到所述AVP数据字段的末尾，直到到达字的边界。AVP长度字段中不反映所述填充的长度[参见RFC3588]。以网络字节顺序发送AVP报头中的字段。图2中描述了AVP报头的格式。

对于进一步的背景信息请参见网络接入验证协议(PANA)，其为D.Forsberg，Y.Ohba等于2006年8月24日提出的I.E.T.F的PANA工作组的因特网草案，文档号为draft-ietf-pana-pana-12，其全部公开通过引用结合于此。

对于其它参考，一些背景术语包括：

移动绑定：

在移动终端的定位符和标识符之间的绑定。

移动管理协议(MMP)：

在网络层或更高层工作的协议，其维持移动终端的定位符和标识符之间的绑定。

绑定更新：

更新移动绑定的过程。

媒体独立预验证移动节点(MN)：

在优选实施例中，媒体独立预验证(MPA)的移动终端是移动辅助的安全切换优化方案，其工作于任何链路层，并利用任何移动管理协议。MPA移动节点是IP节点。在本文档中，术语“移动节点”或没有修饰语的“MN”指代“MPA移动节点”。MPA移动节点通常也具有移动管理协议的移动节点的功能性。

候选目标网络(CTN)：

移动装置即将移动到其中的网络。

目标网络(TN)：

移动装置已决定移动到其中的网络。从一个或多个候选目标网络中选出所述目标网络。

主动切换隧道(PHT，Proactive Handover Tunnel)：

双向IP隧道，其被建立在MPA移动节点和候选目标网络的接入路由器之间。在本文档中，没有修饰语的术语“隧道”指代“主动切换隧道”。

连接点(PoA，Point of Attachment)：

链路层设备(例如，交换机，接入点或基站，等。)其作为MPA移动节点到网络的链路层附着点。

转交地址(CoA)：

移动管理协议所使用的IP地址，其作为MPA移动节点的定位符。

PANA客户端(PaC)：

位于接入装置(例如，膝上电脑、PDA等)的协议的客户侧。为了在网络接入授权中证明其身份(验证)，其有责任提供凭证。PaC和EAP同等地共同位于相同的接入装置中。

PANA验证代理(PAA)：

接入网络中的协议实体，其责任在于验证由PANA客户端(PaC)提供的凭证，并向与所述客户端关联并由设备标识符(DI)标识的所述设备授权网络接入。PAA和EAP验证器(以及可选地EAP服务器)共同位于相同的节点中。注意到，根据EAP模型，能够将所述验证和授权处理卸载到后端AAA基础设施。

PANA会话：

PANA会话开始于在PANA客户端(PaC)和PANA验证代理(PAA)之间的握手，并且作为验证或活性测试失败、重传达到最大值之后的消息传送失败、会话生命期过期，或者明确的终止消息的结果，其终止。贯穿会话始终，维持着固定的会话标识符。不能由多个网络接口共享会话。为简便起见，仅允许将所述PaC的一个设备标识符绑定到PANA会话。

会话生命期：

与PANA会话相关联的持续时间。对于已经建立的PANA会话，所述会话生命期被绑定到给与所述PaC的当前授权的生命期。可以在其过期之前，通过EAP验证的新循环来更新所述会话生命期。

会话标识符：

此标识符用于唯一地标识PAA和PaC上的PANA会话。其包括PAA的标识符，因此其不能由多个PAA共享。其被包含在PANA消息中，以将所述消息绑定到特定的PANA会话。当会话终止时，在握手和释放之后由PAA分配此双向标识符。

PANA安全关联(PANA SA)：

通过共享加密密钥资料和关联的上下文在PaC和PAA之间形成PANA安全关联。所形成的双工安全关联被用于保护PaC和PAA之间的双向PANA信令流量。

设备标识符(DI)：

网络使用该标识符，作为控制和管辖设备的网络接入的句柄(handle)。取决于接入技术，此标识符可包含在协议报头中携载的地址(例如，IP或链路层地址)，或者通过已连接设备的局部协议栈(例如，电路id，PPP接口id)变得可用的局部重要标识符。

执行点(EP)：

在其中对接入设备的向内和向外流量应用每分组执行策略(例如，过滤器)的接入网络上的节点。对每客户端由PAA提供诸如DI和(可选地)加密密钥的信息，从而在EP上产生过滤器。所述EP和PAA可以被共同放置。

网络接入提供商(NAP)：

服务提供商，其提供，例如，到其管理的接入网络的物理和链路层连通性。

因特网服务提供商(ISP)：

服务提供商，其提供，例如，到因特网和其它相关服务的接入。

主会话密钥(MSK)：

由EAP对等实体和EAP服务器产生的密钥，并被传送给验证器[参见RFC3748]。

附加的术语和背景被通过引用结合于此，其来自于PANA框架文档[I-D.ietf-pana-framework]。

尽管已经知道了各种系统和方法，但是仍然需要改进的系统和方法，这包括，例如，增加各种语境下的验证速度的系统和方法。

发明内容

本发明克服了背景技术中的各种限制和缺陷，这包括，例如，有关验证延迟。

根据一些实施例，一种为具有网络的移动节点减少验证延迟的方法，其包括：采用两个EAP，同时运行，以减少总的验证延迟。类似地，根据一些实施例，一种为具有网络的移动节点减少验证延迟的系统，其包括：PANA验证客户端，其被配置为利用PANA验证代理同时进行两个PANA会话，以减少总的验证延迟。以及，类似地，根据一些实施例，一种为具有网络的移动节点减少验证延迟的系统，其包括：PANA验证代理，其被配置为利用PANA验证客户端同时进行两个PANA会话，以减少总的验证延迟。

在一些例子中，所述方法包括：采用两个EAP运行的步骤，从而验证PaC的特定设备标识符。在一些例子中，所述方法包括：采用两个EAP运行的步骤，从而验证与同时连接到多个ISP有关的PaC的特定设备标识符。在一些例子中，所述方法包括：采用两个EAP运行的步骤，从而验证与PaC上的多个用户有关的PaC的特定设备标识符。在一些例子中，所述方法包括在NAP和ISP验证中采用两个EAP运行的步骤，以减少总的验证延迟。

在一些其它的例子中，所述方法包括：在PaC和该PaC的相同设备标识符的PAA之间建立多个PANA会话，并且在多个PANA会话之间生成加密绑定。在一些例子中，所述方法包括：在PaC和该PaC的相同设备标识符的PAA之间建立多个PANA会话，并为多个独立的PANA会话中的每一个的EP产生各别的PaC-EP-Master-Key(PaC-EP主密钥)。在一些例子中，所述方法包括：对PaC和PAA之间的所述独立PANA会话的每一个建立各别的IKE安全关联，并且生成专用于各个独立会话的各个用户的IPSec安全关联。在一些例子中，所述方法包括提供新的验证情形AVP，其用于向对等实体通知所述验证的情况。在一些例子中，所述方法包括：在PANA开始请求(PSR，PANA-start request)中提供新的验证情况类型长度值。在一些例子中，所述方法包括：不将所述PSR中的S标志(S-flag)设置为禁用的NAP和ISP分离验证，并且其中，不将N标志(N-flag)设置在所述PSR和后续PANA消息中。

在一些例子中，所述方法包括：使PaC发送PANA PAA发现消息，以生成PAA的新的会话，并且分配新的UDP资源端口号，此新端口号不同于分配给PAA的其它会话的端口号。在一些例子中，所述方法包括：当PAA主动地发送PSR，以生成PaC的新的会话时，分配新的UDP目的地端口号，其不同于分配给所述PaC的其它会话的端口号。在一些例子中，所述方法包括在不同的会话中使用不同的EAP验证方法和凭证。在一些例子中，所述方法包括：提供与PANA条件成功(conditional success)相关的新的结果代码以及包含一个或多个会话IDAVP的新的AVP，并使得从属会话(dependent session)的PANA绑定请求(PBR)携带所述新的结果代码。在一些例子中，所述方法包括：不从从属会话的AAA密钥(AAA-Key)得到EP的PaC-EP主密钥。在一些例子中，所述方法包括：使所述PAA生成新的会话，以加密地绑定从属会话，并在生成所述新的会话之后向所述PAA发送PSR。在一些例子中，所述方法包括：在接收所述新的会话的PANA开始应答之后，PAA立即发送PBR，而不需要进行PANA验证请求/PANA验证应答(PANA-Auth-Request/PANA-Auth-Answer)交换。

参考以下描述连同附图，可以进一步理解各种实施例的上述和/或其它方面、特征和/或优点。在应用时，各种实施例可以包括和/或不包括不同的方面、特征和/或优点。此外，在应用时，各种实施例可以结合其它实施例的一个或多个方面或特征。不应该将对特定实施例的方面、特征和/或优点的描述理解为限制其它实施例或权利要求。

附图说明

图1是示图，其示出了对会话中的PANA消息的说明，注意到，取决于环境和部署，可以简化图1中描述的协议流(无需PANA客户端初始化(PANA-Client-Initiation)，可以发送主动的PANA开始请求(PANA-Start-Request)消息，可以在PANA验证应答(PANA-Auth-Answer)上背负式运输(piggyback)EAP响应，并且PANA查验(PANA-Ping)和PANA终止(PANA-Termination)用法是可选的)；

图2是示图，其示出了AVP报头格式；

图3是示图，其示出了根据一些说明性实施例的，与独立的、从属的以及父会话相关的PaC和PAA之间的消息序列；

图4是示图，其示出了利用PANA会话1和2来分隔ISP的说明性的多宿主使用情况；

图5是示图，其示出了利用具有分别的用户的PANA会话1和2的说明性的多用户使用情况；

图6是示图，其示出了根据一些说明性实施例的，用于建立多个PANA会话、会话A和B的在PaC和PAA之间的说明性消息序列。

具体实施方式

在附图中通过举例示出了本发明的优选实施例，这不作为限制。

虽然以很多不同形式实施了本发明，在此描述了许多说明性实施例，需要理解的是，本公开的目的在于提供在此描述的各种发明的原理的例子，这些例子并不用来将本发明限制为在此描述的和/或在此说明的优选实施例。

问题陈述：

利用已有的系统，存在许多问题和缺陷。例如，存在如下问题：

问题1：存在这样的情形，在其中，需要多于两个EAP运行来验证PaC的特定设备标识符。例如，在如下的两个说明性语境中：a)同时连接到多个ISP；以及b)PaC上有多个用户，需要多于两个EAP运行来验证PaC的特定设备标识符。

问题2：当前PANA规范中的NAP和ISP分开验证要求顺序的两个EAP运行。在此应用中，可以想到，采用两个EAP运行应该能够被同时进行，以减小总的验证延迟。

在Samsung、Starent以及Nokia贡献的3GPP2中，名为“TSG-X,EAP/PANA for PFO”，由A.Yegin、K.Chowdhury和G.Bajko提出，可在线获得，http://ftp.3gpp2.org/TSGX/Working/2005/2005-12/TSG-X-2005-12-Maui/WG3-PSN/SWG31-PDS/(December 08,200511:43PM 109568X31-20051205-013PANA-for-PFO-[Samsung,Starent,Nokia].ppt)，作者解释，“由于PANA能够跨路由器运行，其使得终端可以利用一个或多个目标接入网络(多跳，甚至是利用混合接入技术)进行预验证”，从而使得，“在切换之后，空中的单个往返行程足以授权终端对所述网络的接入”。另外，作者进一步注意到，利用PANA可以获得“并行信令”，因为“利用PANA，操作者能够使得额外的受限L3协议信令并行发生(带外)，例如：当执行PANA时的IMS、移动IPv6、移动IPv4信令”，从而使得，“总的时延(latency)是单个时延的最大值，而不是它们的累积”。然后，没有任何支持、细节等，作者假设，关于预验证：

“并行用户和设备验证

－如果需要进行多个验证(例如，一个用于接入设备，另一个用于用户)，可以作为两个分开的PANA会话并行地执行它们，稍后再绑定在一起。

－净效果：验证时延减半”。

要求：

与已有的技术相比，本申请尤其提出了关于实现并行PANA会话的新颖的系统和方法。为在此描述的目的，关于实现并行PANA会话，本发明人确定了多个要求。关于此，以下阐明相关的要求。

要求1：PANA需要支持将在PaC和对于该PaC的相同设备标识符的PAA之间建立的多个PANA会话。关于此，已有的PANA规范并不阻止。

要求2：当在PaC和对于该PaC的相同设备标识符的PAA之间建立多个PANA会话时，需要在各个会话的对等实体之间通信所述验证的情形。作为例子而不是限制，一些示例性情形包括：ISP验证、NAP验证等。

要求3：当在PaC和对于该PaC的相同设备标识符的PAA之间建立多个PANA会话时，PANA需要能够同时地建立所述会话。

要求4：当在PaC和对于该PaC的相同设备标识符的PAA之间建立多个PANA会话时，除非，例如，为所述多个会话中的每一个生成用于EP的各别的PaC-EP-Master-Key，否则，需要在所述多个会话中产生加密绑定。关于此，在此将共享用于EP的相同PaC-EP-Master-Key的PANA会话称为“从属”会话，否则，在此将它们称为“独立”会话。在此，独立会话可以产生用于EP的不同PaC-EP-Master-Keys。在一个例子中，这可以包括为PaC和PAA之间的各个独立会话建立独特的IKE SA。将为各个独立会话产生各个用户专用的IPSec SA。

在一些实施例中，要求2的解决方法包括如下〉

1.提供新的AVP：验证情况(类型：OctetString，需要设置“M标志)。在此，使用新的AVP向对等实体告知验证情况。此外，可以将其携载在PANA-PAA-Discover或PANA-Start-Request消息中。此外，其涉及携载一个1Octet的情况：1(NAP验证)；以及2(ISP验证)。

2.可选地，在所述PANA-start请求(PSR)中包含验证情况类型长度值分组(TLV)。当包含AVP时，不应该将PSR中的S标志设置为禁用NAP和ISP分开验证。此外，不应该在PSR和后续PANA消息中设置N标志。

在一些实施例中，要求3的解决方法包括如下：

1.当PaC发送PANA-PAA-Discover(PDI)消息，为PAA产生新会话时，应该分配新的UDP资源端口号，其不同于分配给PAA的其它会话的端口号。

2.当PAA主动发送PSR，为PaC产生新会话时，应该分配新的UDP目的端口号，其不同于分配给所述PaC的其它会话的端口号。

3.此外，不同的会话可以使用不同的EAP验证方法和信任状。

在一些实施例中，要求4的解决方法包括如下：

1.提供新的结果代码：PANA-CONDITIONAL-SUCCESS；

2.提供新的AVP：Session-Id-List(类型：已分组，应该设置’M’标志)。在此，其包含一个或多个Session-Id AVP。

3.相关会话的PANA-Bind-Request(PBR)携带此结果代码，而不是PANA-SUCCESS。此外，在此，a)此时不进行授权，以及b)从相关会话的AAA-Key得不到用于EP的PaC-EP-Master-Key。

4.所述PAA产生新的会话，以加密绑定相关会话。在此，将新会话称为父会话。

5.在产生所述父会话之后，向所述PAA发送PSR。

6.在接收所述父会话的Pana-Start-Answer(PSA)之后，无需PANA-Auth-Request/PANA-Auth-Answer(PAR/PAN)，所述PAA立即发送PBR。在此：

i.父会话的PBR中的结果代码是PANA-SUCCESS；

ii.所述PBR携带Session-Id-List AVP，其包含子会话的一系列Session-Id AVP；

iii.计算父会话的AAA-Key，作为相关会话的AAA-Key的串联：

a.根据Session-Id-List AVP中列出的会话的顺序排列相关会话的AAA-Key

iv.此外，此时进行授权。

a.相关会话中的最小的授权生存时间成为父会话的授权生存时间。

b.将由父会话的AAA-Key得到的EP的PaC-EP-Master-Key在其相关会话之间共享。

7.为各个相关会话进行重验证。

i.各个完成重验证之后，重新计算父会话的授权存在时间和AAA-Key。

8.当终止父会话时，立即安静地终止其相关会话。

9.当终止其相关会话之一时，可以终止也可以不终止父会话，这取决于终止策略。

i.在此，当终止策略指示不终止父会话时，重新计算父会话的授权生存时间和AAA-Key。

ii.此外，不管所述终止策略怎么样，当终止最后一个相关会话时，立即安静地终止父会话。

PANA验证延迟：

作为参考，以下阐明可应用的PANA验证延迟。在以下的等式中，使用如下表示：T1＝在发现和握手阶段的延时；T2，NAP＝NAP验证的PAR/PAN交换中的延时；T2，ISP＝ISP验证的PAR/PAN交换中的延时；以及T3＝PBR/PBA交换中的延时。此外，假设在相关和独立PANA会话的情况下，同时开始两个会话的PAA发现，并同时完成它们。

●NAP和ISP分开验证：

D_s＝T₁+T_2,NAP+T_2,ISP+T₃

●独立会话：

D_I＝T₁+max(T_2,NAP+T_2,ISP)+T₃

●相关会话和父会话：

D_D＝D_I+T_l+T₃

D_I＜D_D＜D_s

图3－6：

图3－6示出了一些说明性示图，其表现了本发明的一些实施例的方面。

关于此，图3示出了PaC和关于独立会话、相关会话和父会话的PAA之间的说明性消息序列，以及在如上所述的一些情况下建立加密绑定。

此外，图4示出说明性的结构和示意示图，其示出了有关多地址的说明性使用情况。如这个说明性例子中所示，关于第一服务提供商ISP1建立第一PANA会话，关于第二服务提供商ISP2建立第二PANA会话。在此图的顶部附近示出了与PANA会话1相关联的流量，而在此图的底部附近示出与PANA会话2相关联的流量。在此，如所述，会话1和2可以是相关会话或独立会话。在这种情况下，当它们是相关会话时，需要能够区分与不同会话相关联的流量，例如，这可以通过为不同会话产生分开的IKE SA来进行。

此外，图5示出说明性的结构和示意示图，其示出了有关多用户的说明性使用情况。如这个说明性例子中所示，关于第一用户User A建立第一PANA会话，关于第二用户UserB建立第二PANA会话。在此图的顶部附近示出与PANA会话1相关联的流量，而在此图的底部附近示出与PANA会话2相关联的流量。具体地，此图示出了一个说明性例子，其中，第一用户User A经由第一用户装置进行操作，其经由利用PANA验证代理(PAA)/执行点(EP)与网络接入提供商(NAP)和因特网服务提供商(ISP)进行通信的PANA验证客户(PaC)/网络接入转发器(NAT)建立第一PANA会话1，并且，其中，第二用户User B经由第一用户装置进行操作，其经由利用PANA验证代理(PAA)/执行点(EP)与网络接入提供商(NAP)和因特网服务提供商(ISP)进行通信的PANA验证客户(PaC)/网络接入转发器(NAT)建立第二PANA会话2。在此，利用子装置的EAP信任状预先配置PaC。此外，需要能够区分与不同会话相关联的流量，例如，这可以通过为不同会话产生分开的IKE SA来进行。图6是示图，其示出根据一些说明性实施例的、所述PaC和用于建立多个PANA会话、会话A和B的PAA之间的说明性消息序列。

本发明的广义范围：

虽然在此已经描述了本发明的说明性实施例，本发明不限于在此描述的各种优选实施例，还包括任何所有具有类似元件、修改、省略、组合(例如，跨越各种实施例的各个方面)、调整和/或改变，本领域技术人员基于本公开可以理解这些方面。基于所述权利要求中使用的语言理解权利要求(例如，包括稍后增加的)中的限制，其不限于本说明或申请进行期间所描述的例子，可以将这些例子理解为是非排它性的。例如，在本公开中，术语“优选地”是非排它性的，其意味着“优选地，但不限于”。在此公开中，以及此申请执行期间，对于具体的权利要求限制，仅在所述限制中存在如下所有条件时，将仅使用装置加功能或者步骤加功能限制：a)明确叙述了“用于……的装置”或“用于……的步骤”；b)明确叙述了相应的功能；以及c)支持没有叙述出的结构的结构、材料或动作。在此公开中，以及此申请执行期间，术语“本发明”或“发明”用于指代本公开中的一个或多个方面。不应该将本发明或发明这种用语不适当地理解为临界标识，也不应该将其理解为应用于所有方面或实施例(即，应该将其理解为本发明具有一些方面和实施例)，并且不应该将其不适当地理解为限制本申请或权利要求的范围。在此公开中，以及此申请执行期间，术语“实施例”可以用于描述任何方面、特征、过程或步骤，其中的任何组合，以及/或者其中的任何部分等。在一些例子中，各种实施例包括重叠特征。本公开中，可以使用以下简略术语：“e.g.”表示“例如”。

Claims (16)

1.一种运行并行PANA会话的方法，

两个可扩展验证协议的运行被用于分别验证PANA验证客户的特定设备标识符，

两个可扩展验证协议的运行被用于同时关于向多个服务提供商的连接而验证PANA验证客户的特定设备标识符或关于PANA验证客户上的多个用户而验证PANA验证客户的特定设备标识符，

所述方法包括在所述PANA验证客户和对于该PANA验证客户的相同设备标识符的PANA验证代理之间建立多个PANA会话，

所述建立多个PANA会话包括：

1)在所述多个PANA会话之间建立加密绑定，按所述多个PANA会话中的每一个会话而对执行点共享相同的PaC-EP主密钥，或者

2)按所述多个PANA会话中的每一个会话而对执行点生成不同的PaC-EP主密钥及按所述会话中的每一个会话而建立不同的安全关联。

2.根据权利要求1所述的方法，其中，

所述两个可扩展验证协议运行被用于同时关于向多个因特网服务提供商的连接而验证PANA验证客户的特定设备标识符。

3.根据权利要求1所述的方法，其中，

所述两个可扩展验证协议运行为了减少整体验证延迟而被用于网络接入提供商及因特网服务提供商。

4.根据权利要求1所述的方法，还包括：

按所述多个独立PANA会话中的每一个会话而对执行点产生不同的PaC-EP主密钥，

在PANA验证客户和PANA验证代理之间按每个所述独立PANA会话而建立不同的IKE安全关联，并且按每个独立会话而形成IPsec安全关联。

5.根据权利要求1所述的方法，还包括：

为了向对等实体告知所述验证的情况而提供新的验证情况属性值对。

6.根据权利要求1所述的方法，还包括：

在PANA开始请求中提供新的验证情况类型长度值分组。

7.根据权利要求6所述的方法，

所述PANA开始请求的S标志不被设置为禁用网络接入提供商和因特网服务提供商分开验证，N标志不被设置在所述PANA开始请求和后续PANA消息中。

8.根据权利要求1所述的方法，还包括：

使PANA验证客户发送PANA PANA验证代理发现消息以对PANA验证代理生成新的会话，对所述PANA验证代理分配新的UDP资源端口号，该新的UDP资源端口号不同于分配给所述PANA验证代理的其它会话的端口号。

9.根据权利要求1所述的方法，还包括：

当PANA验证代理主动地对PANA验证客户发送PANA开始请求以生成新的会话时，对所述PANA验证客户分配新的UDP目的地端口号，该新的UDP目的地端口号不同于分配给所述PANA验证客户的其它会话的端口号。

10.根据权利要求1所述的方法，还包括：

在不同的会话中使用不同的可扩展验证协议验证方法和凭证。

11.根据权利要求1所述的方法，还包括：

提供与PANA条件成功相关的新的结果代码以及包含1个或多个会话ID属性值对的新的属性值对，使对独立会话的PANA绑定请求携带所述新的结果代码。

12.根据权利要求11所述的方法，还包括：

不从独立会话的AAA密钥得到对执行点的PaC-EP主密钥。

13.根据权利要求11所述的方法，还包括：

使所述PANA验证代理生成新的会话以加密地绑定独立会话，在生成所述新的会话之后向所述PANA验证代理发送PANA开始请求。

14.根据权利要求13所述的方法，包括：

在接收对所述新的会话的PANA开始应答之后，所述PANA验证代理立即发送PANA绑定请求，而不进行PANA验证请求/PANA验证应答交换。

15.一种为具有网络的移动节点减少验证延迟的系统，

PANA验证客户端被配置为同时使用两个可扩展验证协议运行以关于向多个服务提供商的连接而验证PANA验证客户的特定设备标识符或关于PANA验证客户的多个用户而验证PANA验证客户的特定设备标识符，多个PANA会话在PANA验证客户和PANA验证代理之间针对PANA验证客户的相同设备标识符而建立，对于所述多个PANA会话，

1)加密绑定在所述多个PANA会话之间建立，相同的PaC-EP主密钥按所述多个PANA会话中的每一个会话而对执行点共享使用，或者

2)不同的PaC-EP主密钥按所述多个PANA会话中的每一个会话而针对执行点生成，不同的安全关联按所述会话中的每一个会话而建立。

16.一种为具有网络的移动节点减少验证延迟的系统，

PANA验证代理被配置为同时使用两个可扩展验证协议运行以关于向多个服务提供商的连接而验证PANA验证客户的特定设备标识符或关于PANA验证客户上的多个用户而验证PANA验证客户的特定设备标识符，多个PANA会话在PANA验证客户和PANA验证代理之间针对所述PANA验证客户的相同设备标识符而建立，对于所述多个PANA会话，

1)加密绑定在所述多个PANA会话之间建立，相同的PaC-EP主密钥按所述多个PANA会话中的每一个会话而对执行点共享使用，或者

2)不同的PaC-EP主密钥按所述多个PANA会话中的每一个会话而针对执行点生成，不同的安全关联按所述会话中的每一个会话而建立。