CN104837147B - 无线访问接入点的配置方法及系统 - Google Patents

Abstract

本发明公开了一种无线访问接入点的配置方法及系统。其中，该方法包括：接入控制器AC接收AP发送的通知，其中，所述通知指示所述AP是否具有软定义网络SDN管道转发能力；述AC根据所述通知确定所述AP具有SDN管道转发能力，则将所述AP的属性信息发送给SDN配置管理器，由所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，其中，所述属性信息包括：标识信息及地址信息。

Description

无线访问接入点的配置方法及系统

技术领域

本发明涉及通信领域，具体而言，涉及一种AP的配置方法及系统。

背景技术

目前，基于TCP/IP的互联网体系结构的主机侧的应用层协议可以很方便、灵活地进行修改和部署，因此应用层软件得到突飞猛进地发展，应用层的功能得到极大的丰富。但另一方面，网络层的协议的设计虽然简单，但是可扩展性不强并且不易修改，从而导致以下两方面的问题：一方面，互联网网络层面暴漏出的许多致命的漏洞长期难以得到修补和改进，如网络管理难以部署、网络安全问题日益严重、尽力而为的转发策略不能提供用户需求的服务质量、组播难以部署和应用等；另一方面，新协议、新应用由于对网络层提出变革要求而难以得到实现，如从IPv4向IPv6过渡困难、接入设备日益呈现泛在移动性与异质性对网络可靠性和区分服务能力提出挑战、大规模网络情况下路由面临可扩展性问题、云计算和内容分发等应用对网络转发效率提出新需求等。

目前，针对传统IP网络在服务质量保证、移动支持、高效可靠和安全保证等方面暴露出许多问题，研究领域一般采用设计针对性的和修补的方式来分别解决这些问题，一旦发现运行的网络的弱点或错误就立即改进。例如在传统互联网体系结构中，添加新的协议和功能组件等。这种“修补->发现问题->再修改”的改进方式是以现有互联网TCP/IP体系结构为基础，对现有网络进行逐步演进和发展，以添加新的功能和特性来解决目前面临的问题，是一种Evolution(演进式)的改进方式。这种改进方式的优势在于易于部署和实施，有利于保护现有互联网建设中的已有投入。但是它的缺陷在于：(1)某次修补只是在小范围内解决局部的问题；(2)现有的改进可能引入短期收益而长期看则具有破坏性如NAT，或者局部收益对整体有破坏性；(3)某次修补可能不容易“兼容”未来的继续修改；(4)经过多次修补，互联网变得越来越“厚重”，复杂、不灵活，超出了当初设计Internet的简单的体系结构的承受能力；(5)传统互联网体系结构中的一些固有问题难以得到根本性的解决。

2005年开始，研究领域逐渐形成另一种观点，只有重新设计网络体系结构才能从根本上解决IP网络所面临的问题，而目前正是互联网体系结构“Clean-Slate”(从零开始)进行全面彻底变革的好时机，完全舍弃现有的互联网体系结构，设计一种全新的、融合多种设计目标的新一代互联网体系结构。这种方案旨在从根本上解决现有互联网体系结构存在的各种问题，是一种Revolution(革命性)的改进方案。这种方案的优势在于：(1)可以摆脱TPC/IP体系结构的束缚，跳出其约束与框架，以解决互联网多年因体系结构造成的遗留难题；(2)可以对互联网进行重新、全面的设计，统筹解决互联网的诸多问题，统筹安排互联网的诸多新需求的实现。但是这种方案的缺陷在于：(1)由于全新网络可能不能兼容现有互联网，需要完全替换原有网络的基础设施，因此存在着网络部署和平滑过渡的问题；(2)如何建立新的体系结构，以及建立了新的体系结构是否能解决当前和未来网络面临的问题也存在很大风险；(3)需要重新构建适合全新体系结构的试验网络，演进代价高。

为了解决目前互联网存在的问题，实现对新网络协议快速、灵活的部署，开放可编程网络被提出，开放可编程网络是指允许网络研究者而不只是设备厂商，在网络设备上进行编程和管理其网络体系结构或网络协议。开放可编程式思路是革命性改进方案的代表性成果之一，基本可以概括为：将原来多张功能网络并存、整体的、复杂的MAN/WAN网络或网络设备按功能进行切分，例如划分成数据转发部分和逻辑控制部分，或者系统核心部分和用户功能部分等。各部分之间的接口是开放的和标准的。基于这个开放和标准化的接口，每个部分可以自我演进和改进而不需通知或影响另部分其他部分，这样整个网络或网络设备也将实现独立、平滑演进和改进。开放可编程式思路面临的挑战在于：(1)网络分层需要具备一定的合理性、科学性和可扩展性；(2)定义科学、可扩展的分层间的接口；(3)控制层面如果采取集中管控方式，则需要考虑域间连接、可扩展性(如扩展到全球)等。

在开放可编程网络的研究方面，Berkeley(伯克利)大学的Scott Shenker等人提出的SDN(Software Defined Networking，软件定义网络)技术、Stanford(斯坦福)大学的OpenFlow等技术是网络开放性研究的代表性成果。图1是SDN/OpenFlow技术的层次模型示意图，包含基础设施层、网络控制层和应用层三个层次。SDN/OpenFlow网络的基础设施层由各个转发设备构成，转发设备相对当前网络中的路由器、交换机及各类网关来说结构更加简单、没有复杂的CP(Control Plane，控制面)，主要的工作是进行数据流的转发。网络控制层的主要设备是网络操作系统(或称SDN/OpenFlow控制器)，网络操作系统通过标准化的接口同时对多台转发设备进行控制，替代了原本独立于各台设备中的控制面甚至当前的网络管理系统，可以实现网络管理和端到端的数据流规则下发(即向转发路径上的多台转发设备下发流规则)，同时网络操作系统通过API(Application Programming Interface，应用程序编程接口)与应用层交互。应用层由不同应用构成，应用通过API接口能够直接调用控制层的网络管理和控制功能。

与其它革命性的改进技术的部署一样，运营商网络在向SDN/OpenFlow架构演进的过程中势必遇到这样那样的问题，尤其是具体应用到某一特定的业务或网络时，往往需要各种适配工作。“如何实现现有网络向SDN网络平滑迁移”是其中最重要的也是最迫切需要研究和解决的问题之一。从以往各种网络设备升级的案例来分析，越是靠近用户侧的产品越难以实现大面积的同步升级，由于基层网络通常很少部署足够的冗余资源，网络层次越低升级时对客户造成的困扰也越明显。对于WLAN(Wireless Local Area Networks，无线局域网络)而言，如图1所示，在逐步升级/替换现有AP(Wireless Access Point，无线访问接入点)设备、最终实现WLAN网络的SDN化的过程中，如何实现新旧AP设备的共存是当前尚未解决的问题。

发明内容

针对WLAN网络的SDN化过程中，新旧AP设备如何共存的问题，本发明提供了一种AP的配置方法及系统，以至少解决上述问题。

根据本发明的一个方面，提供了一种无线访问接入点AP的配置方法，包括：接入控制器AC接收AP发送的通知，其中，所述通知指示所述AP是否具有软定义网络SDN管道转发能力；所述AC根据所述通知确定所述AP具有SDN管道转发能力，则将所述AP的属性信息发送给SDN配置管理器，由所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，其中，所述属性信息包括：标识信息及地址信息。

优选地，在所述AC根据所述通知确定所述AP具有SDN管道转发能力之后，所述方法还包括：所述AC通知所述AP所述AC具有SDN应用能力。

优选地，所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，包括：所述SDN配置管理器为所述AP配置SDN转发实例，并为配置的所述SDN转发实例配置SDN控制器和SDN转发资源。

优选地，所述SDN配置管理器为配置的所述SDN转发实例配置SDN转发资源，包括：所述SDN配置管理器将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

优选地，在所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置之后，所述方法还包括：所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

优选地，所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接之后，所述方法还包括：无线局域网WLAN用户设备关联到所述AP；所述AP根据所述WLAN用户设备接入的射频口和/或BSS映射的所述接口资源获取处理所述WLAN用户设备流量的所述SDN转发实例，获取为所述SDN转发实例配置的一个或多个所述SDN控制器；所述AP向所述AC发送添加所述WLAN用户设备的站点事件请求消息，其中，所述站点事件请求消息中携带有获取的所述SDN控制器的标识信息、所述WLAN用户设备关联的所述BSS部署的接入认证方式、强健安全网络RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识；所述AC将所述WLAN用户设备与获取的所述SDN转发实例的对应关系及所述WLAN用户设备所采用的接入认证方式通知给获取的所述SDN控制器；所述SDN控制器将处理所述WLAN用户设备的用户认证阶段报文的流处理规则发送给所述AP上的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用服务器之间的SDN转发设备；所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户认证。

优选地，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证之后，所述方法还包括：所述SDN控制器或所述应用处理服务器将AAA服务器授权下发的所述WLAN用户设备的成对主密钥PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP使用所述PMK信息和所述WLAN用户设备进行密钥协商。

优选地，所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户认证之后，所述方法还包括：所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户地址分配，其中，在进行用户地址分配的过程中，地址分配阶段报文经所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备，根据所述SDN控制器下发的处理所述地址分配阶段报文的流表规则进行转发。

优选地，所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户地址分配之后，所述方法还包括：所述SDN控制器为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；所述SDN控制器将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

根据本发明的另一个方面，提供了一种无线访问接入点AP的配置系统，包括：AP，包括第一通知模块，所述第一通知模块用于向接入控制器AC发送通知，指示所述AP是否具有软定义网络SDN管道转发能力；所述AC，包括判断模块和第一发送模块，其中，所述判断模块用于根据所述通知确定所述AP是否具有SDN管道转发能力；所述第一发送模块用于在所述判断模块确定所述AP具有SDN管理转发能力时，则将所述AP的属性信息发送给SDN配置管理器，其中，所述属性信息包括：标识信息及地址信息；所述SDN配置管理器，包括配置模块，所述配置模块用于根据所述属性信息将所述AP作为SDN转发设备进行配置。

优选地，所述AC还包括：第二通知模块，用于通知所述AP所述AC具有SDN应用能力。

优选地，所述配置模块包括：第一配置单元，用于为所述AP配置SDN转发实例；第二配置单元，用于为所述第一配置单元配置的所述SDN转发实例配置SDN控制器和SDN转发资源。

优选地，所述第二配置单元通过以下方式为所述SDN转发实例配置SDN转发资源：将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

优选地，所述AP还包括：连接模块，用于通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

优选地，所述系统还包括：无线局域网WLAN用户设备，用于关联到所述AP；所述AP还包括：获取模块，用于根据所述WLAN用户设备接入的射频口和/或BSS映射的所述接口资源，获取处理所述WLAN用户设备流量的所述SDN转发实例，以及获取为所述SDN转发实例配置的一个或多个所述SDN控制器；第二发送模块，用于向所述AC发送添加所述WLAN用户设备的站点事件请求消息，其中，所述站点事件请求消息中携带有获取的一个或多个所述SDN控制器的标识信息、所述WLAN用户设备关联的所述BSS部署的接入认证方式、强健安全网络RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识；所述第二通知模块还用于将所述WLAN用户设备的标识、所述接入认证方式、所述RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识通知给获取的所述SDN控制器；所述SDN控制器包括：确定模块，用于根据所述接入认证方式和所述RSN参数确定处理所述WLAN用户设备的用户认证阶段报文的流表规则；第三发送模块，用于将处理所述WLAN用户设备的用户认证阶段报文的所述流表规则发送给所述AP的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用处理服务器之间的SDN转发设备；所述WLAN用户设备还用于与所述SDN控制器或所述应用协议处理服务器交互进行用户认证。

优选地，所述SDN控制器还包括：计算模块，用于为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；下发模块，用于将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

通过本发明，AP将其是否具有SDN管道转发能力的信息通知给AC，如果AP具有SDN管道转发能力，则AC将AP的属性信息发送给SDN配置管理器，由SDN配置管理器对该AP进行SDN转发设备的配置，从而解决了新旧AP共存的问题，实现WLAN网络向SDN的平滑迁移，增强了SDN技术在WLAN领域的可部署性，同时扩展了网络的场景和实用性。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1为WLAN网络向SDN架构演进的拓扑示意图；

图2为实施例一的AP的配置系统结构示意图；

图3为实施例一的可选系统结构示意图；

图4为实施例一的AP的配置方法的流程图；

图5为实施例二的系统结构示意图；

图6为实施例二的WLAN用户设备接入到SDN的方法的流程图；

图7为实施例三的WLAN用户接入到SDN网络的流程图；

图8为实施例四和实例五的组网示意图；

图9为实施例四的流程图；

图10为实施例五的流程图；

图11为实施例六的组网示意图；

图12为实施例六的流程图。

具体实施方式

下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。

实施例一

根据本发明实施例，提供了一种AP的配置方案，以解决新旧AP共存的问题。

图2为根据本发明实施例的AP的配置系统结构示意图，如图2所示，该系统主要包括：AP 22，AC 24和SDN配置管理器26。其中，AP 22包括：第一通知模块220，用于向AC 24发送通知，指示AP 22是否具有SDN管道转发能力；AC 24包括：判断模块240，用于根据所述通知确定AP 22是否具有SDN管道转发能力；第一发送模块242，用于在判断模块240确定AP 22具有SDN管理转发能力时，则将AP 22的属性信息发送给SDN配置管理器26，其中，所述属性信息包括：标识信息及地址信息；SDN配置管理器26包括：配置模块260，用于根据所述属性信息将AP 22作为SDN转发设备进行配置。

可选地，在一个实施方式中，AC 24还包括：第二通知模块244，用于通知AP 22，指示AC 26具有SDN应用能力。从而使用AP 22可以获知AC 24是否具有SDN APP能力，支持SDN管道转发能力的AP可以优选支持SDN应用能力的AC作为自己的主AC，因此，AP 22可以根据AC 24的通知确定是否选择该AC作为AP 22的主AC。

可选地，在一个实施方式中，配置模块260可以包括第一配置单元和第二配置单元，其中，第一配置单元，用于为所述AP配置SDN转发实例；第二配置单元，用于为所述第一配置单元配置的所述SDN转发实例配置SDN控制器28和SDN转发资源。

可选地，SDN配置管理器26具有对SDN转发实例的配置功能，SDN控制器具有流表管理功能，SDN配置管理器和SDN控制器可以合一部署作为SDN控制器设备，也可以分开部署，分开部署时两者之间存在通信接口。

在一个可选实施方式中，所述第二配置单元通过以下方式为所述SDN转发实例配置SDN转发资源将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

在实际应用中，如果系统中支持SDN管理转发能力的网络设备使用开放流(OF)协议族接口，则将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射成支持开放流协议能力的交换机(OFCS，Openflow Capable Switch)的接口资源。这种情况下，AP内嵌OFCS，SDN转发实例为OFLS(Openflow Logical Switch)，SDN配置管理器为OFCP(OpenFlowConfiguration Point)，SDN控制器为OFC(OpenFlow Controller)。AP将射频口收到802.11的数据帧转换成以太帧从AP射频口或所述AP的射频口及基础服务集BSS映射的逻辑以太接口导入OFCS，由OFCS根据接口绑定到OFLS的映射关系将报文牵引给对应的OFLS处理，完成上行报文的处理，AP将其内部的OFLS处理完下行报文根据报文输出的逻辑以太接口获得对应的射频口和BSS信息，将该报文从以太帧转换成802.11的数据帧从对应的射频口发送给WLAN用户设备。

在一个可选实施方式中，如图2所示，AP 22还可以包括：连接模块222，用于通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

可选地，在一个实施方式中，SDN控制器28用于将关联到AP的WLAN用户设备的用户认证阶段报文和/或地址分配阶段报文的流表规则发送给所述AP的SDN转发实例，以及所述AP与所述SDN控制器之间的SDN转发设备。或者，在一个实施方式中，系统可以采取如图3所示的结构，则SDN控制器还用于所述用户认证阶段报文和/或地址分配阶段报文的流表规则发送给所述AP 22与对应的应用服务器之间的SDN转发设备，以打通所述用户和所述应用服务器之间的认证阶段报文和/或地址分配阶段报文交互的双向转发路径。需要说明的是，在图3所示的系统中，AP 22已与SDN控制器建立控制面的连接，因此，将AP称为SDN AP，而AC在图3中为SDN AC。

图4为根据本发明实施例的AP的配置方法的流程图，如图4所示，该方法主要包括以下步骤：

步骤S402，AC接收AP发送的通知，其中，该通知指示所述AP是否具有SDN管道转发能力；

例如，AP可以在CAPWAP发现请求报文携带扩展的消息元素实现该能力通告。

在一个可选的实施方式中，在所述AC接收AP的通知之后，所述方法还包括：所述AC通知所述AP，指示所述AC具有SDN应用能力。例如，AC可以通过CAPWAP发现应答消息中携带扩展的消息元素，通过该消息元素指示AC是否具有SDN应用能力，从而可以使得AP获取AC是否支持SDN APP，支持SDN管道转发能力的AP可以优选支持SDN应用能力的AC作为自己的主AC，因此，AP可以根据AC的通知确定是否选择该AC作为AP的主AC。

另外，在本实施例中，AP发现AC的机制可以沿用DHCP发现等方式，不受转发面设备SDN转发管道的控制和影响。

步骤S404，所述AC根据所述通知确定所述AP具有SDN管道转发能力，则将所述AP的属性信息发送给SDN配置管理器，由所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，其中，所述属性信息包括：标识信息及地址信息。

在一个可选的实施方式中，SDN配置管理器将AP作为SDN转发设备进行配置包括：所述SDN配置管理器为所述AP配置SDN转发实例，并为配置的所述SDN转发实例配置SDN控制器和SDN转发资源。

在一个可选的实施方式中，所述SDN配置管理器具有对SDN转发设备的配置功能，SDN控制器具有对SDN转发设备的流表管理功能。从而可以对AP进行配置，并管理到AP的流表。

在一个可选的实施方式中，SDN配置管理器和SDN控制器可以合一部署作为SDN控制器设备，也可以分开部署，分开部署时两者之间存在通信接口。

在一个可选的实施方式中，SDN配置管理器为配置的所述SDN转发实例配置SDN转发资源时，将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

在一个可选的实施方式中，如果支持SDN管理转发能力的网络设备使用OF协议族接口，则上述的支持SDN管道转发能力的网络设备的接口资源为OFCS的接口资源，在这种情况下，SDN转发实例为OFLS。所述SDN管理配置器在对AP进行配置时，设置该AP与配置的OFCS接口资源的对应关系，以及AP与配置的OFLS的对应关系。

在一个可选实施方式中，在所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置之后，所述方法还包括：所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

在一个可选的实施方式中，在所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接之后，WLAN用户设备可以关联到该AP，通过该AP接入到SDN网络。在WLAN用户设备关联到AP之后，该AP通过CAPWAP的站点事件请求消息携带扩展的消息元素上报WLAN用户的加入事件给AC，并在该消息元素中携带所述WLAN用户关联的基础服务集BSS标识和所述BSS下部署的接入认证方式、强健安全网络RSN参数、以及所述WLAN用户关联的所述AP上的SDN转发实例标识以及所述WLAN用户接入的AP射频口和/或BSS对应的SDN转发实例上配置的SDN控制器组信息。AC收到该消息后，将WLAN用户的加入事件和WLAN用户的接入认证方式以及强健安全网络RSN参数以及所述WLAN用户关联的所述AP上的SDN转发实例标识等通过SDN北向接口(例如REST overHTTP)定义的特定形式通知给所述WLAN用户最终关联的SDN控制器，所述SDN控制器根据AC通知的信息，规划关联到所述AP的用户设备的用户认证阶段报文和/或地址分配阶段报文在其控制的SDN转发网络上的双向转发路径，沿着该路径，为逐个SDN转发设备或AP的SDN转发设备生成的流表规则，并将所述流表规则发送给所述AP的SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的协议处理服务器之间的SDN转发设备，具体参见实施例二。通过该实施方式，可以将WLAN用户设备接入到SDN。

在一个可选的实施方式中，所述用户认证阶段报文和/或所述地址分配阶段报文在所述SDN控制器规划的转发路径上，由各个SDN转发设备和/或AP的SDN转发实例上对应的流表规则控制处理，并逐跳转发。从而保证WLAN用户设备和所述SDN控制器或所述应用服务器进行报文交互，实现对WLAN用户的认证以及为WLAN用户分配地址。

所述的流表规则在使用OpenFlow协议作为SDN南向控制接口时，可以描述为流表条目(Flow Entry)。

所述应用服务器支持BNG的用户接入认证和DHCP动态地址分配以及相应的授权控制等功能。可以单独部署，和SDN控制器之间采用RESTful接口或其他专用协议接口交互，附着在SDN转发面网络上，通过SDN转发面网络的双向转发路径和WLAN用户交互接入认证的信令报文，或附着在SDN控制器之上的控制面网络上，由SDN控制器中继这些信令报文；也可以和SDN控制器合一部署，这时其和SDN控制器之间可以采用设备内部私有接口交互。

在一个可选的实施方式中，所述用户认证阶段报文包括EAPoL报文，和/或，所述用户地址分配阶段报文包括动态主机配置协议(DHCP)报文。

实施例二

本实施例提供了一种WLAN用户设备通过已与SDN控制器建立控制通道连接的AP接入到SDN的技术方案。

图5为根据本发明实施例的系统结构示意图，如图5所示，在本实施例中，WLAN用户设备52，用于关联到AP 22。所述AP 22还包括：获取模块224，用于根据所述WLAN用户设备接入的射频口和/或BSS映射的接口资源，获取处理所述WLAN用户设备流量的所述SDN转发实例，以及获取为所述SDN转发实例配置的一个或多个所述SDN控制器；第二发送模块226，用于向所述AC发送添加所述WLAN用户设备的站点事件请求消息，其中，所述站点事件请求消息中携带有获取的一个或多个所述SDN控制器的标识信息、所述WLAN用户关联的基础服务集BSS部署的接入认证方式、强健安全网络RSN参数以及其关联的所述AP上的SDN转发实例标识。所述AC 24的第二通知模块244还用于将所述WLAN用户设备标识、接入认证方式、强健安全网络RSN参数和所述WLAN用户关联的所述AP上的SDN转发实例标识通知给获取的所述SDN控制器。所述SDN控制器54包括：确定模块540，用于根据所述接入认证方式和所述RSN参数确定处理所述WLAN用户设备的用户认证阶段报文的流表规则；第三发送模块542，用于将处理所述WLAN用户设备的用户认证阶段报文的流表规则发送给所述AP的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用服务器之间的SDN转发设备。所述WLAN用户设备52还用于与所述SDN控制器或所述应用处理服务器交互进行用户认证。

在一个可选实施方案中，该系统还可以包括：AAA服务器，用于与所述SDN控制器或所述应用处理服务器交互完成用户认证信息的匹对。

在一个可选实施方案中，在所述WLAN用户设备采用EAP-SIM、EAP-AKA等认证方式和RSN参数采用WPA/WPA2安全加密方式时，所述SDN控制器或对应的所述应用服务器还用于将AAA服务器授权的所述WLAN用户设备52的PMK信息发送给所述AC 24；所述AC24还用于将所述PMK信息发送给所述AP 22；所述AP 22还用于将所述PMK信息和所述WLAN用户设备52进行密钥协商。

在一个可选实施方案中，所述WLAN用户设备52还用于与所述SDN控制器或对应的所述应用服务器交互进行用户地址分配，其中，在进行用户地址分配的过程中，地址分配阶段报文经所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备，根据所述地址分配阶段报文的流表规则进行处理和转发。

如图5所示，SDN控制器54还可以包括：计算模块544，用于为所述WLAN用户设备计算出一条从所述WLAN用户设备52接入的SDN用户侧接口(例如AP射频口和/或BSS映射的逻辑接口)到连接广域网(WAN)的网络侧接口的转发路径；下发模块546，用于将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

图6为根据本发明实施例的WLAN用户设备接入到SDN的方法的流程图，如图6所示，该方法主要包括以下步骤：

步骤S602，WLAN用户设备关联AP；

其中，所述AP具有SDN管理转发能力，且已按照实施例一所述的方法与SDN控制器建立控制通道的连接；

步骤S604，所述AP根据所述WLAN用户设备接入的射频口和/或BSS映射的接口资源获取处理所述WLAN用户设备流量的所述SDN转发实例，获取为所述SDN转发实例配置的一个或多个所述SDN控制器；

步骤S606，所述AP向所述AC发送添加所述WLAN用户设备的请求，其中，所述请求(例如，可以为CAPWAP协议的站点事件请求消息)中携带有获取的所述SDN控制器的标识信息、所述WLAN用户关联的基础服务集BSS标识和所述BSS下部署的接入认证方式、强健安全网络RSN参数以及所述WLAN用户关联的所述AP上的SDN转发实例标识；

步骤S608，所述AC将所述WLAN用户设备的加入事件和WLAN用户设备的接入认证方式、强健安全网络RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例标识通知给获取的一个或多个所述SDN控制器；

步骤S610，所述SDN控制器根据所述接入认证方式以及所述RSN参数确定处理所述WLAN用户设备的用户认证阶段报文的流表规则，并将所述流表规则发送给所述AP上的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用处理服务器之间的SDN转发设备；

步骤S612，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证。

在一个可选实施方式中，在所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证过程中，认证阶段报文经所述AP的SDN转发实例、及所述AP与所述SDN控制器或所述AP与所述应用服务器之间的SDN转发设备，按照所述认证阶段报文的流表规则进行转发。

在一个可选实施方式中，在所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证过程中，所述SDN控制器或所述应用服务器与AAA服务器交互完成用户认证信息的匹对。

在一个可选实施方式中，所述SDN控制器或所述应用处理服务器与AAA服务器交互完成用户认证信息的匹对包括：所述SDN控制器或所述应用服务器通过远程用户拨号认证系统Radius客户端功能与AAA服务器交互，完成所述WLAN用户设备的用户认证信息的匹对。

在一个可选实施方式中，在所述WLAN用户设备采用EAP-SIM、EAP-AKA等认证方式和RSN参数采用WPA/WPA2安全加密方式时，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证之后，所述方法还包括：所述SDN控制器或所述应用处理服务器将AAA服务器授权下发的所述WLAN用户设备的成对主密钥PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP使用所述PMK信息和所述WLAN用户设备进行密钥协商。

在一个可选实施方式中，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证之后，所述方法还包括：所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户地址分配，其中，在进行用户地址分配的过程中，地址分配阶段报文经所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备，根据所述SDN控制器下发的处理所述地址分配阶段报文的流表规则进行转发。

在一个可选实施方式中，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户地址分配之后，所述方法还包括：所述SDN控制器为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；所述SDN控制器将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

通过本实施例提供的技术方案，在现有WLAN网络基础上实现向SDN架构的平滑迁移，即新旧AP在迁移工程中的共存和用户通过新AP的安全接入。

实施例三

图7为根据本发明实施例的WLAN用户接入到SDN网络的流程图，在本实施例中，将SDN配置管理器与SDN控制器合一部署，统称为SDN控制器，南向接口采用OF-Config作为南向配置接口，OpenFlow作为南向控制接口，同时SDN控制器上内嵌BNG业务应用，并有独立的BNG业务信令通道连接在SDN转发网络上，能在SDN转发面网络中提供信令报文的处理服务。如图7所示，本实施例中，WLAN用户接入到SDN网络主要包括以下步骤：

步骤701，AP通知AC支持SDN管道转发能力；

可选地，AC也可以通知AP支持SDN APP能力。

步骤702，所述AC将所述AP的属性信息(例如，AP的标识和地址信息)告知SDN控制器；

可选地，所述SDN控制器的功能可以包括对SDN转发设备的配置功能和流表管理功能。

可选地，所述SDN控制器的配置功能和流表管理功能分布于同一台或一台以上的物理设备上，两者之间存在通信接口。

步骤703，所述SDN控制器对所述AP进行SDN转发设备相关配置；

可选地，所述相关配置包括创建并配置所述AP射频口或射频口和BSS映射而成逻辑接口、创建并配置OFLS和OFLS对应的OFC组信息。

步骤704，配置完成后，AP上的OFLS与SDN控制器建立SDN控制面连接。

步骤705，WLAN用户关联AP；

步骤706，所述AP向AC发送CAPWAP协议的站点事件请求消息，通知添加WLAN用户；

步骤707，所述AC将所述WLAN用户的信息告知SDN控制器；

进一步，所述WLAN用户的信息包括用户标识和所述WLAN用户关联的基础服务集BSS部署的接入认证方式、强健安全网络RSN参数以及所述WLAN用户关联的所述AP上的SDN转发实例标识。

可选地，所述SDN控制器规划关联到所述AP的WLAN用户设备的用户认证阶段报文和/或地址分配阶段报文在其控制的SDN转发网络上的双向转发路径，沿着该路径，为逐个SDN转发设备或AP的SDN转发设备生成的流条目，并将所述流表规则发送给所述AP的SDN转发设备。

可选地，所述用户认证阶段报文包括EAPoL报文。

可选地，所述用户地址分配阶段报文包括DHCP报文。

步骤708，所述用户与所述SDN控制器交互进行用户认证；

可选地，所述认证阶段报文经所述AP，及所述AP与SDN控制器处理服务器间的转发设备根据所述认证阶段报文的流表条目进行转发。

可选地，所述SDN控制器在认证阶段与AAA服务器交互完成用户认证信息的匹对。

可选地，所述SDN控制器通过Radius Client功能与AAA服务器交互。

可选地，在所述WLAN用户设备采用EAP-SIM、EAP-AKA等认证方式和RSN参数采用WPA/WPA2安全加密方式时，所述SDN控制器将AAA服务器授权的所述用户的PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP依据所述PMK信息和所述WLAN用户设备进行密钥协商。

可选地，所述用户与所述SDN控制器交互进行用户地址分配，所述地址分配阶段报文经所述AP及所述AP与SDN控制器间的转发设备根据所述地址分配阶段报文的流表条目进行转发。

实施例四

本实施例对AP连接到SDN网络的技术方案进行说明。在本实施例中，SDN配置管理器与SDN控制器分离部署，分别表示为OFCP与OFC，OFC内嵌BNG业务应用，BNG业务没有独立的BNG业务信令通道连接在SDN转发网络上，被认为是附着在OFC上的应用。图8为本实施例的组网示意图，图9为本实施例中AP连接到SDN网络的流程图，如图9所示，主要包括以下步骤：

步骤901，OFC向所有SDN转发设备发送AC与AP间的控制协议消息对应的流表条目；

进一步地，所述AC与AP间的控制协议包括CAPWAP协议。

可选的，采用不同网络部署方式，AC与AP间的CAPWAP控制协议报文也可以走单独的控制通道，在网络通道上采用传统的二三层转发方式进行报文寻址转发，这样CAPWAP控制协议报文也可以不受SDN网络的流表规则控制和影响。

步骤902，SDN AP将支持SDN转发设备能力的信息通知SDN AC；

进一步地，SDN AC将支持SDN APP能力的信息通知SDN AP。

步骤903，SDN AC将SDN AP的地址信息告知OFCP；

在本实施例中，OFCP和OFC分布于一台以上的物理设备上，两者之间存在通信接口。

步骤904，OFCP对SDN AP进行SDN转发设备相关配置；

进一步地，所述相关配置包括创建并配置所述AP射频口或射频口和BSS映射而成逻辑接口、创建并配置OFLS和OFLS对应的OFC组信息。

可选的，OFCP将上SDN AP配置的OFLS的信息告知预期和所述OFLS建立安全控制连接的OFC。

步骤905，配置完成后，SDN AP上的OFLS与OFC建立SDN控制面连接。

可选的，所述OFC将预置的处理所述OFLS的所有WLAN用户的认证阶段报文和/或地址分配阶段报文的流表条目发送给SDN AP上所述的OFLS，以便所述OFLS将未认证的所有WLAN用户的认证阶段报文和/或地址分配阶段报文抓获，封装在OpenFlow协议的Packet-In消息中发给OFC，并将OFC下发的封装在Packet-Out消息中的WLAN用户的认证阶段报文和/或地址分配阶段报文转发给WLAN用户设备，从而保证WLAN用户的认证阶段报文和/或地址分配阶段报文的正常交互。

进一步地，所述用户认证阶段报文包括EAPoL报文。

进一步地，所述用户地址分配阶段报文包括DHCP报文。

实施例五

本实施例对WLAN用户终端UE接入SDN网络的技术方案进行说明，并延续上个实施例的设定。

图8为本实施例的组网示意图，图10为本实施例中WLAN UE接入SDN网络的流程图，如图10所示，主要包括以下步骤：

步骤1001～1005与步骤901～905类似。

步骤1006，UE关联AP；

步骤1007，所述AP向AC发送CAPWAP协议的站点事件请求消息，通知添加所述UE；

步骤1008，所述AC将所述UE的信息告知OFC；

进一步，所述WLAN用户的信息包括用户标识和所述WLAN用户关联的基础服务集BSS部署的接入认证方式、强健安全网络RSN参数以及所述WLAN用户关联的所述AP上的OFLS标识。

可选的，所述OFC根据所述WLAN用户的接入认证方式，生成并下发处理所述认证阶段报文的流表规则给所述AP上所述的OFLS和/或所述AP到附着在SDN转发面网络上的外置应用服务器之间的SDN转发设备，打通UE认证报文在所述OFC控制的SDN转发面网络上的转发通道。

步骤1009，所述UE与所述OFC交互进行用户认证；

进一步地，所述认证阶段报文经所述AP根据所述认证阶段报文的流表规则上送给OFC。

进一步地，所述OFC充当认证者(Authenticator)，同时作为AAA Client在认证阶段与AAA服务器交互完成用户认证信息的匹对。

可选的，在所述UE采用EAP-SIM、EAP-AKA等认证方式和RSN参数采用WPA/WPA2安全加密方式时，所述OFC将AAA服务器授权的UE的PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP依据所述PMK信息和所述UE进行密钥协商；

步骤1010，所述UE与所述OFC交互进行用户地址分配，所述地址分配阶段报文经所述AP根据所述地址分配阶段报文的流表规则上送给所述OFC。

实施例六

本实施例对WLAN用户终端接入SDN网络的技术方案进行说明。

在本实施例中采用专门的应用服务器，认证服务由APP-BNG所在的应用服务器的Authenticator模块提供，地址分配服务由DHCP Server模块提供。SDN配置管理器和SDN控制器合一部署，统称为SDN控制器，配置管理功能由OFCP模块提供，流表规则管理和控制器由OFC模块提供。同时设定WLAN用户设备采用EAP-SIM、EAP-AKA等认证方式接入采用WPA/WPA2安全加密方式的WLAN网络。图11为本实施例的组网示意图，图12为本实施例中WLAN UE接入到SDN网络的流程图，如图12所示，主要包括以下步骤：

步骤1201～1205与步骤901～905类似，其中认证阶段报文的最终目的地为APP-BNG所在的应用服务器的Authenticator模块，地址分配阶段报文的最终目的地为APP-BNG所在的应用服务器的DHCP Server模块；

步骤1206～1208与步骤1106～1108类似；

步骤1209，UE与所述Authenticator交互进行用户认证；

进一步地，所述认证阶段报文经所述AP的SDN转发实例及所述AP与所述Authenticator间的转发设备根据所述认证阶段报文的流表规则进行转发。

进一步地，所述Authenticator在认证阶段与AAA服务器交互完成用户认证信息的匹对。

进一步地，所述Authenticator通过Radius Client功能与所述AAA服务器交互。

步骤1210，所述Authenticator将所述AAA服务器授权给所述UE的PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP依据所述PMK信息和所述UE进行密钥协商；

步骤1211，所述UE与所述DHCP Server交互进行用户地址分配，所述地址分配阶段报文经所述AP的SDN转发实例及所述AP与所述DHCP Server间的转发设备根据所述地址分配阶段报文的流表规则进行转发。

步骤1212，所述APP-BNG通过所述Authenticator模块感知所述UE认证通过并且分配到地址，所述APP-BNG通过SDN北向接口发送用户上线信息给所述OFC。

步骤1213，所述OFC根据用户上线信息在其控制的SDN转发面网络上规划所述UE的上下行流量的转发路径，并沿路径下发流表规则给各个SDN转发设备。

进一步，所述OFC为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；

进一步，所述OFC将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

从以上的描述中，可以看出，通过本发明实施例提供的技术方案，实现了在WLAN网络向SDN的平滑迁移，增强了SDN技术在WLAN领域的可部署性，同时扩展了网络的场景和实用性。

显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (16)

1.一种无线访问接入点AP的配置方法，其特征在于，包括：

接入控制器AC接收AP发送的通知，其中，所述通知指示所述AP是否具有软定义网络SDN管道转发能力；

所述AC根据所述通知确定所述AP具有SDN管道转发能力，则将所述AP的属性信息发送给SDN配置管理器，由所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，其中，所述属性信息包括：标识信息及地址信息。

2.根据权利要求1所述的方法，其特征在于，在所述AC根据所述通知确定所述AP具有SDN管道转发能力之后，所述方法还包括：所述AC通知所述AP所述AC具有SDN应用能力。

3.根据权利要求1或2所述的方法，其特征在于，所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置，包括：

所述SDN配置管理器为所述AP配置SDN转发实例，并为配置的所述SDN转发实例配置SDN控制器和SDN转发资源。

4.根据权利要求3所述的方法，其特征在于，所述SDN配置管理器为配置的所述SDN转发实例配置SDN转发资源，包括：

所述SDN配置管理器将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

5.根据权利要求4所述的方法，其特征在于，在所述SDN配置管理器根据所述属性信息将所述AP作为SDN转发设备进行配置之后，所述方法还包括：

所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

6.根据权利要求5所述的方法，其特征在于，所述AP通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接之后，所述方法还包括：

无线局域网WLAN用户设备关联到所述AP；

所述AP根据所述WLAN用户设备接入的射频口和/或BSS映射的所述接口资源获取处理所述WLAN用户设备流量的所述SDN转发实例，获取为所述SDN转发实例配置的一个或多个所述SDN控制器；

所述AP向所述AC发送添加所述WLAN用户设备的站点事件请求消息，其中，所述站点事件请求消息中携带有获取的所述SDN控制器的标识信息、所述WLAN用户设备关联的所述BSS部署的接入认证方式、强健安全网络RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识；

所述AC将所述WLAN用户设备与获取的所述SDN转发实例的对应关系及所述WLAN用户设备所采用的接入认证方式通知给获取的所述SDN控制器；

所述SDN控制器将处理所述WLAN用户设备的用户认证阶段报文的流处理规则发送给所述AP上的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用服务器之间的SDN转发设备；

所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户认证。

7.根据权利要求6所述的方法，其特征在于，所述WLAN用户设备与所述SDN控制器或所述应用服务器交互进行用户认证之后，所述方法还包括：所述SDN控制器或所述应用处理服务器将AAA服务器授权下发的所述WLAN用户设备的成对主密钥PMK信息发送给所述AC，所述AC将所述PMK信息发送给所述AP，所述AP使用所述PMK信息和所述WLAN用户设备进行密钥协商。

8.根据权利要求6所述的方法，其特征在于，所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户认证之后，所述方法还包括：所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户地址分配，其中，在进行用户地址分配的过程中，地址分配阶段报文经所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备，根据所述SDN控制器下发的处理所述地址分配阶段报文的流表规则进行转发。

9.根据权利要求8所述的方法，其特征在于，所述WLAN用户设备与所述SDN控制器或所述应用处理服务器交互进行用户地址分配之后，所述方法还包括：

所述SDN控制器为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；

所述SDN控制器将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。

10.一种无线访问接入点AP的配置系统，其特征在于，包括：

AP，包括第一通知模块，所述第一通知模块用于向接入控制器AC发送通知，指示所述AP是否具有软定义网络SDN管道转发能力；

所述AC，包括判断模块和第一发送模块，其中，

所述判断模块用于根据所述通知确定所述AP是否具有SDN管道转发能力；

所述第一发送模块用于在所述判断模块确定所述AP具有SDN管理转发能力时，则将所述AP的属性信息发送给SDN配置管理器，其中，所述属性信息包括：标识信息及地址信息；

所述SDN配置管理器，包括配置模块，所述配置模块用于根据所述属性信息将所述

AP作为SDN转发设备进行配置。

11.根据权利要求10所述的系统，其特征在于，所述配置模块包括：

第一配置单元，用于为所述AP配置SDN转发实例；

第二配置单元，用于为所述第一配置单元配置的所述SDN转发实例配置SDN控制器和SDN转发资源。

12.根据权利要求11所述的系统，其特征在于，所述第二配置单元通过以下方式为所述SDN转发实例配置SDN转发资源：将所述AP的射频口，或者，所述AP的射频口及基础服务集BSS映射为支持SDN管道转发能力的网络设备的接口资源，为配置的所述SDN转发实例配置映射得到的所述接口资源。

13.根据权利要求12所述的系统，其特征在于，所述AP还包括：

连接模块，用于通过配置的所述SDN转发实例与配置的所述SDN控制器建立控制通道的连接。

14.根据权利要求10至13任一项所述的系统，其特征在于，所述AC还包括：第二通知模块，用于通知所述AP所述AC具有SDN应用能力。

15.根据权利要求14所述的系统，其特征在于，

所述系统还包括：无线局域网WLAN用户设备，用于关联到所述AP；

所述AP还包括：

获取模块，用于根据所述WLAN用户设备接入的射频口和/或BSS映射的所述接口资源，获取处理所述WLAN用户设备流量的所述SDN转发实例，以及获取为所述SDN转发实例配置的一个或多个所述SDN控制器；

第二发送模块，用于向所述AC发送添加所述WLAN用户设备的站点事件请求消息，其中，所述站点事件请求消息中携带有获取的一个或多个所述SDN控制器的标识信息、所述WLAN用户设备关联的所述BSS部署的接入认证方式、强健安全网络RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识；

所述第二通知模块还用于将所述WLAN用户设备的标识、所述接入认证方式、所述RSN参数以及处理所述WLAN用户设备流量的所述SDN转发实例的标识通知给获取的所述SDN控制器；

所述SDN控制器包括：

确定模块，用于根据所述接入认证方式和所述RSN参数确定处理所述WLAN用户设备的用户认证阶段报文的流表规则；

第三发送模块，用于将处理所述WLAN用户设备的用户认证阶段报文的所述流表规则发送给所述AP的所述SDN转发实例，以及所述AP与所述SDN控制器之间或者所述AP与对应的应用处理服务器之间的SDN转发设备；

所述WLAN用户设备还用于与所述SDN控制器或所述应用协议处理服务器交互进行用户认证。

16.根据权利要求15所述的系统，其特征在于，所述SDN控制器还包括：

计算模块，用于为所述WLAN用户设备计算出一条从所述WLAN用户设备接入的SDN用户侧接口到连接广域网WAN的网络侧接口的双向转发路径；

下发模块，用于将所述WLAN用户设备的用户信息和授权信息转换成流规则和QoS规则下发给所述转发路径上的所述AP的SDN转发实例、及所述AP与SDN控制器间的SDN转发设备。