CN104883683B - 一种apn访问限制方法及ggsn - Google Patents

Abstract

本发明公开了一种APN访问限制方法及GGSN，该方法包括：根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息；将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；若不允许用户终端进行APN访问，向SGSN发送PDP连接建立拒绝消息，用于限制用户终端的APN访问。该方案限制精度得到了细化，提升了安全级别。

Description

一种APN访问限制方法及GGSN

技术领域

本发明涉及通信技术领域，尤指一种接入点名称（Access Point Name，APN）访问限制方法及网关通用分组无线系统支持节点（Gate GPRS Support Node，GGSN）。

背景技术

移动运营商开展通用分组无线系统（General Packet Radio System，GPRS）业务，为用户终端提供移动分组的互联网协议（Internet Protocol，IP）连接，用户终端接入不同的网络是通过不同的接入点名称（Access Point Name，APN）进行区分的，例如用户终端要接入互联网（Internet），可以接入对应的中国移动网络（CMNET）/中国移动无线应用协议（CMWAP）的APN。同时，移动各省都会根据自身情况发展一些自有业务，对这些自有业务，也可以专门创建一个APN来实现，这些APN被称为专网APN。不同的业务覆盖面决定了专网APN的不同接入范围，根据其接入的地域特性，专网APN可以分为不可漫游的专网APN和可漫游的专网APN。不同的业务方式牵涉到不同的资费，因此，从技术层面来说，需要保证不可漫游的专网APN只能在本地使用，而可漫游的专网APN能够在允许的漫游区域使用。

用户终端进行APN访问接入网络的流程如图1所示，具体包括：

1、用户终端附着到GPRS网络的服务通用分组无线系统支持节点（Service GPRSSupport Node，SGSN）上，SGSN通过与用户终端的归属位置寄存器（Home LocationRegister，HLR）进行交互，获取用户的鉴权数据和签约的APN信息，并反馈给用户终端。

2、用户终端发起携带APN信息的APN访问请求消息，SGSN将APN信息送到域名系统（Domain Name System，DNS）解析出GGSN的地址。

3、SGSN创建到相应的GGSN的分组数据协议（Packet Data Protocol，PDP）上下文。

4、GGSN根据APN信息和路由信息配置路由数据。

5、防火墙执行安全策略后将APN访问请求消息路由到相应的GGSN地址，从而实现用户终端对互联网或专网进行访问。

目前，对用户终端进行APN访问限制的方法有以下两种：

第一种是DNS通过识别SGSN的IP地址来进行APN访问限制，在DNS上对不同的SGSN配置与其对应的GGSN的地址，对于全国范围内漫游的APN，在DNS上将全国的SGSN地址段都配置对应的GGSN的地址；对于本省范围漫游的APN，在DNS上只对本省的SGSN的IP地址配置对应的GGSN的地址。

第二种是在HLR中可以设置用户可以登录的SGSN的E164地址的允许列表，在用户终端进行附着时进行SGSN的E164地址的识别，如果存在于允许列表中则允许用户终端进行APN访问，如果不存在于在允许列表中，则限制用户终端进行APN访问。

上述两种方法都存在一些突出的问题：

对于第一种方法，当用户终端在使用业务过程中进行SGSN切换后，并不需要再到DNS进行解析，即使切换后的SGSN不允许进行APN访问，由于切换后不会再到DNS进行解析，用户终端仍然可以使用切换后的SGSN进行APN访问，APN访问限制失效；非APN归属省的HLR可以为该HLR上的用户制作它省的APN，此时APN访问限制也失效，安全性无法保障；现有的SGSN的设备容量较大，一般都覆盖有多个地市，无法针对单个地市级别进行APN访问限制。

对于第二种方法，非APN归属省的HLR可以为该HLR上的用户制作它省的APN，此时APN访问限制也失效，安全性无法保障；现有的SGSN的设备容量较大，一般都覆盖有多个地市，无法针对单个地市级别进行APN访问限制。

因此，目前的APN访问限制方法都存在安全性和精确度较差的问题。

发明内容

本发明实施例提供一种APN访问限制及GGSN，用以解决现有的APN访问限制方法都存在安全性和精确度较差的问题。

因此，根据本发明实施例提供一种APN访问限制方法，包括：

根据接收到的服务通用分组无线系统支持节点SGSN发送的分组数据协议PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的接入点名称APN信息；

将所述用户终端的位置信息、所述用户终端的标识信息、所述用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许所述用户终端进行APN访问，所述对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；

若不允许所述用户终端进行APN访问，向所述SGSN发送PDP连接建立拒绝消息，用于限制所述用户终端的APN访问。

具体的，所述PDP连接建立请求消息是根据所述用户终端的APN访问请求或者所述用户终端正在进行的APN访问发送的。

具体的，根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息，具体包括：

解析所述PDP连接建立请求消息，得到所述PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

将得到的位置信息、标识信息和APN信息分别作为所述用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息。

具体的，将所述用户终端的位置信息、所述用户终端的标识信息、所述用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许所述用户终端进行APN访问，具体包括：

从所述对应关系表中获取所述用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；

判断所述用户终端的位置信息所代表的位置是否落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及所述用户终端的标识信息是否包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中；

若所述用户终端的位置信息所代表的位置未落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中或者所述用户终端的标识信息未包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则不允许所述用户终端进行APN访问。

可选的，还包括：

若所述用户终端的位置信息所代表的位置落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中且所述用户终端的标识信息包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则允许所述用户终端进行APN访问；

向所述SGSN发送PDP连接建立应答消息。

还提供一种GGSN，包括：

获取单元，用于根据接收到的服务通用分组无线系统支持节点SGSN发送的分组数据协议PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的接入点名称APN信息；

判断单元，用于将所述用户终端的位置信息、所述用户终端的标识信息、所述用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许所述用户终端进行APN访问，所述对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；

执行单元，用于若所述判断单元判断出不允许所述用户终端进行APN访问，向所述SGSN发送PDP连接建立拒绝消息，用于限制所述用户终端的APN访问。

具体的，所述PDP连接建立请求消息是根据所述用户终端的APN访问请求或者所述用户终端正在进行的APN访问发送的。

具体的，所述获取单元，具体用于：

解析所述PDP连接建立请求消息，得到所述PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

将得到的位置信息、标识信息和APN信息分别作为所述用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息。

具体的，所述判断单元，具体用于：

从所述对应关系表中获取所述用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；

判断所述用户终端的位置信息所代表的位置是否落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及所述用户终端的标识信息是否包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中；

若所述用户终端的位置信息所代表的位置未落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中或者所述用户终端的标识信息未包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则不允许所述用户终端进行APN访问。

可选的，所述执行单元，还用于：

若所述用户终端的位置信息所代表的位置落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中且所述用户终端的标识信息包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则允许所述用户终端进行APN访问；

向所述SGSN发送PDP连接建立应答消息。

本发明实施例提供的APN访问限制方法及GGSN，通过在GGSN侧预设一个对应关系表，对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系，当接收到SGSN发送的PDP连接建立请求消息后，首先获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息，然后将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，若不允许用户终端进行APN访问，向SGSN发送PDP连接建立拒绝消息，从而实现限制用户终端的APN访问。该方案可以从区域和用户终端的标识信息进行APN访问限制，限制精度得到了细化，从而可以实现地市级别的访问控制，也可以实现对进行APN访问的用户终端鉴权，防止了未授权用户使用该APN，提升了安全级别。

附图说明

图1为现有技术中的APN访问方法的流程图；

图2为本发明实施例中APN访问限制方法的流程图；

图3为本发明实施例中GGSN的结构示意图。

具体实施方式

针对现有的APN访问限制方法都存在安全性和精确度较差的问题，本发明实施例提供的APN访问限制方法，该方法的流程如图2所示，执行主体为GGSN，具体步骤如下：

S20：根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息。

SGSN可以在两种情况下发送PDP连接建立请求消息，一种情况是接收到用户终端的APN访问请求后，这时需要首先根据APN查询DNS，得到GGSN的地址，然后发送PDP连接建立请求消息；另一种情况是用户终端正在进行的APN访问，但是由于位置变动而进行了SGSN切换，切换后的SGSN需要重新向GGSN发送PDP连接建立请求消息。

用户终端的位置信息可以为SGSN的IP地址、位置区编码（Location AreaCode，LAC）、路由区编码（Routing Area Code，RAC）等等，用户终端的标识信息可以为国际移动用户识别码（International Mobile Subscriber Identity，IMSI）或者移动用户国际综合业务数字网编码（Mobile Subscriber International ISDN Number，MSISDN）等等。

S21：将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系。

可以预先对APN的使用区域和使用用户进行存储，保存在对应关系表中。将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问。

S22：若不允许用户终端进行APN访问，向SGSN发送PDP连接建立拒绝消息，用于限制用户终端的APN访问。

该方案中，通过在GGSN侧预设一个对应关系表，对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系，当接收到SGSN发送的PDP连接建立请求消息后，首先获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息，然后将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，若不允许用户终端进行APN访问，向SGSN发送PDP连接建立拒绝消息，从而实现限制用户终端的APN访问。该方案可以从区域和用户终端的标识信息进行APN访问限制，限制精度得到了细化，从而可以实现地市级别的访问控制，也可以实现对进行APN访问的用户终端鉴权，防止了未授权用户使用该APN，提升了安全级别。

具体的，根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息，具体包括：

解析PDP连接建立请求消息，得到PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

将得到的位置信息、标识信息和APN信息分别作为用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息。

PDP连接建立请求消息中会携带位置信息、标识信息和APN信息，这些信息就可以是用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息。

具体的，将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，具体包括：

从对应关系表中获取用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；

判断用户终端的位置信息所代表的位置是否落入用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及用户终端的标识信息是否包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中；

若用户终端的位置信息所代表的位置未落入用户终端请求访问的APN信息对应的区域信息所代表的区域中或者用户终端的标识信息未包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则不允许用户终端进行APN访问。

可选的，上述APN访问限制方法，还包括：

若用户终端的位置信息所代表的位置落入用户终端请求访问的APN信息对应的区域信息所代表的区域中且用户终端的标识信息包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则允许用户终端进行APN访问；

向SGSN发送PDP连接建立应答消息。

上述方法可以应用在分组域流控系统（Policy and Charging Control，PCC）中，由于PCC能够获得用户使用的业务、累积流量、用户签约信息、位置和接入方式、接入时间等等信息，并能通过不同的信息以及信息组合提供不同的管控策略，实现差异化、精细化的网络运营，通过在PCC上进行定制开发，为专用APN关联允许使用SGSN的IP地址和允许使用业务的LAC信息，并将专用APN的用户信息和相应的APN进行关联。

基于同一发明构思，本发明实施例提供一种GGSN，该装置的结构如图3所示，包括：

获取单元30，用于根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息。

判断单元31，用于将用户终端的位置信息、用户终端的标识信息、用户终端请求访问的APN信息与预设的对应关系表进行比对，判断是否允许用户终端进行APN访问，对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；

执行单元32，用于若判断单元31判断出不允许用户终端进行APN访问，向SGSN发送PDP连接建立拒绝消息，用于限制用户终端的APN访问。

具体的，PDP连接建立请求消息是根据用户终端的APN访问请求或者用户终端正在进行的APN访问发送的。

具体的，上述获取单元30，具体用于：

解析PDP连接建立请求消息，得到PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

将得到的位置信息、标识信息和APN信息分别作为用户终端的位置信息、用户终端的标识信息和用户终端请求访问的APN信息。

具体的，上述判断单元31，具体用于：

从对应关系表中获取用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；

判断用户终端的位置信息所代表的位置是否落入用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及用户终端的标识信息是否包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中；

若用户终端的位置信息所代表的位置未落入用户终端请求访问的APN信息对应的区域信息所代表的区域中或者用户终端的标识信息未包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则不允许用户终端进行APN访问。

可选的，上述执行单元32，还用于：

若用户终端的位置信息所代表的位置落入用户终端请求访问的APN信息对应的区域信息所代表的区域中且用户终端的标识信息包含于用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则允许用户终端进行APN访问；

向SGSN发送PDP连接建立应答消息。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

尽管已描述了本发明的可选实施例，但本领域内的技术人员一旦得知了基本创造性概念，则可对这些实施例作出另外的变更和修改。所以，所附权利要求意欲解释为包括可选实施例以及落入本发明范围的所有变更和修改。

显然，本领域的技术人员可以对本发明实施例进行各种改动和变型而不脱离本发明实施例的精神和范围。这样，倘若本发明实施例的这些修改和变型属于本发明权利要求及其等同技术的范围之内，则本发明也意图包含这些改动和变型在内。

Claims (6)

1.一种APN访问限制方法，其特征在于，包括：

网关通用分组无线系统支持节点GGSN根据接收到的服务通用分组无线系统支持节点SGSN发送的分组数据协议PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的接入点名称APN信息；

所述GGSN从对应关系表中获取所述用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；所述GGSN判断所述用户终端的位置信息所代表的位置是否落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及所述用户终端的标识信息是否包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中；若所述用户终端的位置信息所代表的位置未落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中或者所述用户终端的标识信息未包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则所述GGSN不允许所述用户终端进行APN访问；若所述用户终端的位置信息所代表的位置落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中且所述用户终端的标识信息包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则所述GGSN允许所述用户终端进行APN访问；所述对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；

若不允许所述用户终端进行APN访问，所述GGSN向所述SGSN发送PDP连接建立拒绝消息，用于限制所述用户终端的APN访问；

若允许所述用户终端进行APN访问，所述GGSN向所述SGSN发送PDP连接建立应答消息。

2.如权利要求1所述的方法，其特征在于，所述PDP连接建立请求消息是所述SGSN根据所述用户终端的APN访问请求或者所述用户终端正在进行的APN访问发送的。

3.如权利要求1所述的方法，其特征在于，所述GGSN根据接收到的SGSN发送的PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息，具体包括：

所述GGSN解析所述PDP连接建立请求消息，得到所述PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

所述GGSN将得到的位置信息、标识信息和APN信息分别作为所述用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息。

4.一种网关通用分组无线系统支持节点GGSN，其特征在于，包括：

获取单元，用于根据接收到的服务通用分组无线系统支持节点SGSN发送的分组数据协议PDP连接建立请求消息，获取用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的接入点名称APN信息；

判断单元，用于从对应关系表中获取所述用户终端请求访问的APN信息对应的区域信息和用户终端的标识信息集合；判断所述用户终端的位置信息所代表的位置是否落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中、以及所述用户终端的标识信息是否包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中；若所述用户终端的位置信息所代表的位置未落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中或者所述用户终端的标识信息未包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则不允许所述用户终端进行APN访问；若所述用户终端的位置信息所代表的位置落入所述用户终端请求访问的APN信息对应的区域信息所代表的区域中且所述用户终端的标识信息包含于所述用户终端请求访问的APN信息对应的用户终端的标识信息集合中，则允许所述用户终端进行APN访问，所述对应关系表存储的是APN信息分别与区域信息和用户终端的标识信息集合的对应关系；

执行单元，用于若所述判断单元判断出不允许所述用户终端进行APN访问，向所述SGSN发送PDP连接建立拒绝消息，用于限制所述用户终端的APN访问；若所述判断单元判断出允许所述用户终端进行APN访问，向所述SGSN发送PDP连接建立应答消息，用于允许所述用户终端的APN访问。

5.如权利要求4所述的GGSN，其特征在于，所述PDP连接建立请求消息是根据所述用户终端的APN访问请求或者所述用户终端正在进行的APN访问发送的。

6.如权利要求4所述的GGSN，其特征在于，所述获取单元，具体用于：

解析所述PDP连接建立请求消息，得到所述PDP连接建立请求消息中携带的位置信息、标识信息和APN信息；

将得到的位置信息、标识信息和APN信息分别作为所述用户终端的位置信息、所述用户终端的标识信息和所述用户终端请求访问的APN信息。