CN107070755B - 用于为用户实体提供网络接入的方法及装置 - Google Patents

用于为用户实体提供网络接入的方法及装置 Download PDF

Info

Publication number
CN107070755B
CN107070755B CN201710067182.8A CN201710067182A CN107070755B CN 107070755 B CN107070755 B CN 107070755B CN 201710067182 A CN201710067182 A CN 201710067182A CN 107070755 B CN107070755 B CN 107070755B
Authority
CN
China
Prior art keywords
user entity
gateway
gateway device
network
packet data
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201710067182.8A
Other languages
English (en)
Other versions
CN107070755A (zh
Inventor
蒂埃里·凡·德·菲尔德
维姆·亨德里克斯
特莱马科·梅里亚
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Technologies Oy
Original Assignee
Nokia Technologies Oy
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Technologies Oy filed Critical Nokia Technologies Oy
Publication of CN107070755A publication Critical patent/CN107070755A/zh
Application granted granted Critical
Publication of CN107070755B publication Critical patent/CN107070755B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2863—Arrangements for combining access network resources elements, e.g. channel bonding
    • H04L12/2867—Physical combinations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/162—Implementing security features at a particular protocol layer at the data link layer

Abstract

一种用于通过接入点为多个用户实体提供网络接入的方法，所述接入点包括局域网接口和宽带网络接口，在网关设备处，该方法包括以下步骤：建立与所述接入点的第二安全通信链路；通过所述第二安全通信链路，接收来自所述多个用户实体中的一个用户实体的IP地址分配请求；基于和所述多个用户实体中的所述一个用户实体相关联的移动用户相关的数据，接入AAA服务器来验证所述多个用户实体中的所述一个用户实体的成功的认证是否已经发生；和一旦成功验证，完成对于所述多个用户实体中的所述一个用户实体的IP地址分配方案，及启用在所述多个用户实体中的所述一个用户实体和PDN之间的数据的中继；其中所述网关设备适用于聚合从不同接入点到所述PDN的第二安全通信链路的多个实例。

Description

用于为用户实体提供网络接入的方法及装置
技术领域
本发明属于接入网领域，尤其属于蜂窝和非蜂窝接入网的服务级别集成领域。
背景技术
某些现代手持式电子设备(还被称为“用户实体”或“UE”)包括连接到诸如2G，2.5G，3G，和/或LTE网络的蜂窝网络的必要组件，和连接到诸如无线局域网(例如IEEE802.11a/b/g/n)或有线局域网(例如IEEE 802.3)的非蜂窝IP连接接入网(IP CAN，IPConnectivity Access Network)的必要组件。
迄今为止，缺少使运营商能够为移动客户，当他们通过非蜂窝网络进行通信时，提供宽带服务(连接和增值服务)的令人满意的协议架构。
例如，由第三代合作伙伴项目(3GPP，3rd Generation Partnership Project)规定的架构要求安全连接(“瘦管道”)在UE与演进的分组数据网关(ePDG，Packet DataGateway)或分组数据网络网关(PDN Gateway，Packet Data Network Gateway)之间被建立，如果从移动网络运营商(MNO，Mobile Network Operator)的角度，IP CAN是不可信的。
发明内容
本发明实施例的一个目标是克服上述缺点。
根据本发明的一个方面，提供了一种用于通过接入点为多个用户实体提供网络接入的方法，所述接入点包括局域网接口和宽带网络接口，在网关设备处，该方法包括以下步骤：建立与所述接入点的第二安全通信链路；通过所述第二安全通信链路，接收来自所述多个用户实体中的一个用户实体的IP地址分配请求；基于和所述多个用户实体中的所述一个用户实体相关联的移动用户相关的数据，接入AAA服务器来验证所述多个用户实体中的所述一个用户实体的成功的认证是否已经发生；和一旦成功验证，完成对于所述多个用户实体中的所述一个用户实体的IP地址分配方案，及启用在所述多个用户实体中的所述一个用户实体和PDN之间的数据的中继；其中所述网关设备适用于聚合从不同接入点到所述PDN的第二安全通信链路的多个实例。
根据本发明的一个方面，提供了一种用于通过接入点为多个用户实体提供网络接入的方法，所述接入点包括局域网接口和宽带网络接口，在所述接入点处，该方法包括以下步骤：通过所述局域网接口，建立与所述多个用户实体中的每一个用户实体的各自的第一安全通信链路；通过所述宽带网络接口，建立与网关设备的第二安全通信链路；和在各个第一安全通信链路和所述第二安全通信链路之间双向地中继数据；其中所述网关设备适用于聚合从不同接入点到PDN网关的第二安全通信链路的多个实例。
本发明提供了一种方式用于从蜂窝无线接入网“卸载(offload)”某些数据业务到非蜂窝IP CAN，其，为了本公开的目的，也会被一般地称为“局域网”。这为移动网络运营商和使用能在蜂窝网络和诸如Wi-Fi的非蜂窝IP CAN上运行的用户实体的终端用户带来好处。在宏蜂窝基础设施中每比特的成本比为被卸载的业务的每比特成本显著地高。不仅基础设施投资成本的情况是这样，运营费用也是如此，因为场所，电力和甚至用于Wi-Fi的固定回程的，将通常不由MNO负担。此外，它允许移动运营商对该被卸载的业务收费，创造新的收入机会。
在本发明的方法的一个实施例中，接入点是无线接入点，及局域网接口是无线局域网接口，该无线局域网接口的无线传输通过IEEE802.11i加密协议的方式来被保护。
该实施例具有在用户实体处和在网关(ePDG/PGW)中比已知的端到端的IPSec模型要求更少的通用处理能力的好处。
在本发明的方法的一个实施例中，第二安全通信链路通过IPSec传输遂道的方式被保护。
该实施例具有以合理的成本和复杂性，在接入点和网关设备之间提供好的安全性，从而避免在接入点和运营商网络(例如在一个住宅网关)之间的设备进行监听的风险，在用户实体处比已知的端到端的IPSec模型要求更少的通用处理能力。
在一个实施例中，本发明的方法还包括在接入点处：通过所述局域网接口接收来自用户设备的、对与连接到所述宽带网络接口的网络的通信进行授权的请求；从归属位置寄存器获取与所述用户设备相关联的移动用户相关的数据；基于所述移动用户相关的所述数据，认证所述用户设备；和如果所述认证成功，授权与连接到所述宽带网络接口的所述网络的通信。
在一个特定的实施例中，用户设备的认证包括：通过所述局域网接口，发送至少一个认证质询到所述用户设备，和通过所述局域网接口，接收来自所述用户设备的对所述至少一个认证质询的响应，所述响应通过被安全地存储在所述用户设备处的密钥，从所述至少一个认证质询被加密地派生。
在更特定的一个实施例中，密钥被存储在SIM卡中。
应理解“SIM卡”指如在GSM和UMTS规范中被标准化的用户识别模块。EAP-SIM/AKA认证允许统一的订购和用户数据库用于移动(3G-LTE)接入以及Wi-Fi卸载。被融合的运营商用来识别和认证用户实体，通常是“智能手机”，的EAP-SIM/AKA认证的重用允许运营商保持Wi-Fi卸载会话的所有权，以使运营商和终端用户的互利。这明显地对移动运营商(MNO)具有显著的好处。它允许MNO从它的宏层无线接入网(RAN)卸载显著的业务，释放资源和延迟对扩容所要求的投资，及同时维持与终端用户的完整的关系，提升品牌忠诚度。对终端用户来说，主要的好处是到所有由MNO支持的网络的无缝接入。这将极大地增加终端用户在那里利用可用的Wi-Fi资源的地点的数量。
在一个特定实施例中，用户实体包括IEEE 802.1X客户端(supplicant)，及其中通信的授权包括将所述无线接入点的端口转换到IEEE 802.1X授权状态。
在本发明的方法的一个实施例中，网关设备包括AAA服务器，AAA代理和AAA嗅探器中的一个，来实例化和移除用户实体会话。
在本发明的方法的一个实施例中，网关设备建立到GGSN或PDN网关的GTP遂道，来向所述用户实体提供到移动运营商IP服务和/或计费机制的接入。在该情况下，用户实体地址可以由GGSN或PDN网关授予。
在本发明的方法的另一个实施例中，网关设备包括将UE注册到家庭代理的移动IP(MIP，双栈MIP v6)外部代理。
根据本发明的一个方面，提供了一种计算机程序，被配置为用于使可编程的机器来实现上述在WAP/CPE中或在网关设备中的方法。
根据本发明的一个方面，提供了一种接入点，用于上述方法中。
根据本发明的一个方面，提供了一种网关设备，用于上述方法中。
根据本发明的程序，接入点，和网关设备的好处加上必要的细节调整对应于根据本发明的方法的好处。
附图说明
根据本发明实施例的装置和/或方法的一些实施例现在通过仅为实例并参考附图的方式被描述，其中：
图1示出本发明的方法的实施例可以被部署于其中的简单的示例性的网络拓扑；
图2示出本发明的方法的实施例的，尤其是步骤在网关设备处被执行的流程图；
图3示出本发明的方法的实施例的，尤其是步骤在接入点处被执行的流程图，；
图4示出本发明的方法的实施例中某些步骤的流程图；
图5示意性地示出用于本发明的方法的实施例中的某些步骤的详细的协议消息交换；以及
图6示出本发明的方法的实施例可以被部署于其中的详细的示例性的网络拓扑。
在所有的图中，相同的参考标记被用于标出相同的组件。
具体实施方式
在整个下面的描述中，以下概括有效。在特定的组件的任何特定数目的实例被示出和/或被描述之处，这仅为阐明的目的而作并不失一般性。在方法中的步骤以特定的次序被示出和/或被描述之处，这仅为阐明的目而作并不失一般性；这些步骤的次序可以被改变和/或被并行而不背离本发明的范围，除非从说明书中清楚可知为了获得相关联的技术结果，步骤的特定的次序是必须的。在特定的标准被参考之处，应理解其他的，功能等同的标准可以代替。与根据本发明的方法相关联的特征和益处加以必要的细节调整适用于根据本发明的装置，并且反之亦然。
图1示出了一个极其简化的示例性网络拓扑结构，本发明的实施例可以被部署于其中。本发明的实施例的一个目的是通过接入点110为多个用户实体100a-c提供网络接入。用户实体100a-c假定是能够在蜂窝网络(例如：2G，2.5G，3G，LTE)和诸如无线局域网(例如：IEEE 802.11a/b/g/n)的局域网上进行通信的设备。
不失一般性，无线局域网在余下的描述中被假定为局域网。本领域技术人员应理解，本发明以完全类似的方式适用于有线局域网。
当用户实体100a-c在无线局域网的范围中时，例如由无线接入点110服务的那个用户实体，既从经济的角度，以及作为传导包括诸如基于互联网的电视和/或视频呼叫的大容量的数据通信的带宽可用性的问题，通过无线局域网接口比通过蜂窝接口更好。将预期的通信从蜂窝无线接入网(RAN，radio access network)移动到无线局域网接入网中，为前者提供了一种“卸载”形式，因此，由本发明的实施例引入的部署模型将被称为“WiFi卸载”。
为了这个目的，无线接入点110允许在无线局域网接口上建立第一安全通信链路105。这些通信链路105是安全的，这是因为它们是被在各个用户实体100a-c和该接入点110之间的一种加密的形式，优选地如IEEE 802.11i框架(例如：WPA，WPA2)中被标准化的加密形式所涵盖的。在有线接入点被使用之处，通过介质(例如在双绞线或点到点光纤上的IEEE802.3以太网)的物理的点到点性质，安全可以被提供。
和现有技术的架构，比如那些在3GPP框架中被提议的相比，根据本发明的无线接入点110建立与网关设备120的第二安全和/或被封装通信链路115，网关设备120在下文中也被称为演进的宽带网络网关(eBNG，evolved Broadband Network Gateway)。第二安全通信链路115是安全的，这是因为它是被加密的和/或被封装的。该链路115可以被无线接入点110和eBNG 120之间的加密形式，优选地如在IPSec框架中被标准化的加密形式所涵盖。该链路115可以额外地或作为选择地被封装，这是因为从无线接入点110和eBNG 120分别将每一条上行链路和下行链路的IP分组封装为携带GRE，L2TP，MPLS，VLAN标签或其他封装协议的新的IP分组。第二通信链路115被任何合适的网络物理地承载，该合适的网络可以由几个有线(例如以太网，xDSL，GPON)和/或无线(例如IEEE 802.16)网络分段组成。诸如家庭网关112的额外的网络设备可以在这部分网络中出现。
第二安全通信链路115传送多个用户实体会话的业务，因此能够被称为“胖管道”，与仅承载单个由UE发起的会话的所谓“瘦管道”相对。根据本发明的网络和协议架构将也可以被称为“胖管道模型”。
eBNG 120聚合几个上面提及的“胖管道”，其中一些在图1中被说明为起源于不同的无线接入点实例(未编号)，并且对于每一个UE会话，可选地建立到PDN网关130的GTPv2隧道。通过该PDN网关130，用户实体100a-c根据它们的订购条款，能够具有所期望的，被或通过被云140所表示并在图5中更具体的示出的蜂窝网络所提供的，到IP服务的接入。
在PDN网关130处，终止一个来自接入点110的IPSec隧道有几个好处。首先，它减去了终止来自用户实体100a-c与提供商相关联的IPSec会话的负担，其能够相应地为其他任务释放资源，包括例如运行和诸如企业网络网关的通信方的端到端的IPSec会话。其次，由于接入点110一般能够在无线链路上提供安全，该设备110适合于提供背对背的加密，从而避免用户实体100a-c和eBNG 120之间端到端通信中的任何未加密链路的存在。当在端点之间存在额外的设备，例如家庭网关112，并一般地可被未授权的人接入时，这尤其相关。在那种情况下，接入点110和家庭网关112之间的分段可能在现有的3GPP架构中没有被保护，用于卸载到可信的IP CAN。可信的IP CAN事实上被定义为RGW 112和宽带网络网关(BNG，Broadband Network Gateway)118之间的分段，位于RGW 112和eBNG 120之间的路径上。
考虑到根据本发明的网络和协议架构，这是一个优点，即在网关设备120处实现“合法监听”功能变得容易，因为它能够重用所有已有的固定的或移动的“合法监听”基础设施(LI网关)。同样地，由于在网关设备120处的用户会话感知，AAA，在线计费，线下计费，策略控制和实施功能，网络地址转换和其他功能可以在网关设备120处被实现。
图2示出本发明的方法的实施例的流程图；尤其，它示出图1架构中的网关设备120的核心活动。在一个步骤210中，网关设备120建立与无线接入点110的安全通信链路。以下面将被更具体地描述，但包括基于与该用户实体100相关联的移动订购相关的数据的用户实体100的认证，的方式在用户实体100和无线接入点110之间建立层2通信。AAA服务器150被包括在认证过程中。在一个步骤220中，网关设备120接收来自在考虑中的用户实体100的IP地址分配请求，典型地是DHCP请求。在一个步骤230中，网关设备120联系AAA服务器150来验证是否前面提及的认证已经成功地发生。如果确实是这样的，235，网关设备120允许IP地址分配进行，并在步骤240中，在PDN网关130中在用户实体100和提供商的网络基础设施之间建立通信。因此，用户实体100仅需要被认证一次，虽然层2和层3的连接都是依所述认证结果的情况而定的。认证本身是基于由所述用户实体100的用户所持有的订购。
图3示出本发明的方法的实施例的流程图；尤其，它示出图1架构中无线接入点110的核心活动。在一个步骤310中，无线接入点110通过无线网络接口，建立与用户实体100的第一安全通信链路105。在一个步骤320中，无线接入点110建立与网关设备120的第二安全和/或被封装的通信链路115。在一个步骤330中，无线接入点110在第一安全通信链路105和第二通信链路115之间双向中继数据，也即，它允许在用户实体100和网关设备120之间的通信。
根据本发明的方法的实施例中，用户实体110和网关设备120之间的通信的建立是依用户实体110的成功认证的情况而定的，并且被用户实体110根据其操作的订购条款所限制。图4表示本发明的方法的实施例中某些步骤的流程图。
在一个步骤410中，无线接入点110接收来自用户实体100的请求，来授权通信。优选地，用户实体100为该目的实现IEEE 802.1X客户端(supplicant)功能，并且该请求被作为IEEE 802.1X授权请求来处理。在图4的意义上说，用户实体的请求不需要由该用户实体自己主动地发送：它可以实际上是对来自无线接入点110的“EAP请求”消息做出响应而被发送的“EAP响应”消息。
在一个步骤420中，无线接入点110获得与用户实体100相关联的，来自后者的归属位置寄存器(HLR)160的，移动订购数据。该信息典型地不是被直接地获得，而是经由认证，授权，和计费(AAA，authentication,authorization,and accounting)服务器，通过优选地使用RADIUS协议交换，来被间接地获得，该AAA服务器是网关设备120可接入的。从而，在步骤430中，基于来自HLR 160的用户信息，在无线接入点110处完成认证成为可能。该方法具有在网关设备120处创造用户实体的用户细节的感知的优点，使能够部署特定于订购的服务和/或基于订购的计费。进一步的优点是，通过在质询-响应认证交换中使用用户实体的SIM卡，认证步骤能够是高度安全的。整个认证序列可以有利地被实现为EAP-SIM或EAP-AKA交换。
一旦层2通信被建立，根据成功的认证435，层3通信必须被建立440-460。在此阶段，无线接入点110已经被建立来允许在用户实体100和网关设备120之间的层2通信，从而随后的协议交换在这些实体之间发生。层3阶段由用于IP地址分配的请求开始，该请求在一个步骤440中由网关设备120接收。响应于该请求，网关设备120在一个步骤450中，从AAA服务器150查询用户实体100的认证状态。如果该状态查询指示认证是成功的455，在一个步骤460中，IP地址分配请求被接受，并且IP地址被分配。IP地址分配交换优选地根据DHCP协议发生，由UE发起。
图5示意性地示出了根据本发明的方法的实施例的详细的协议消息交换，相应于如上文所述的图4的步骤410-460。
图6示出本发明的方法的实施例可以被部署于其中的详细的示例性网络拓扑。
图6尤其说明了网关设备120的接口。除了它的具体功能，作为演进的宽带网络网关(eBNG，evolved Broadband Network Gateway)跨非蜂窝IP CAN实例化UE会话之外，网关设备120可以完成传统的宽带网络网关(BNG实例化由CPE或RGW发起的会话)的功能和/或演进的分组数据网关(ePDG，evolved Packet Data Gateway,终止UE发起的IPSec SA)的那些功能，并且它具有为此目的的必要的结构组件。根据本发明的网关设备120包括典型地通过固定宽带接入网，使用表示如上文指示的“胖管道”的安全和/或被封装链路，来与无线接入点110交互的接口；可选的、来和PDN网关，GGSN或HA 130交互的接口；以及来和AAA服务器150交互的接口，它可以从其获得订购相关信息。技术人员应理解，这些接口不必物理地不同，但是必要的硬件和软件必须存在，来恰当地区分在网络层及其上面的层处，至或来自各自通信方的通信。
为了进一步阐明本发明和它的优点，一种示例性的实现现在将被更详细的描述。技术人员将理解，单独的实现选项可以从说明书中被采纳，并和本发明的上面提及的一般概念结合，而不超出当前公开的范围。
当智能手机100进入一个具有封闭式SSID的热点，它将使用它的SIM/USIM证书认证它自己，避免用户建立任何专用的Wi-Fi账号的需要。
SIM/USIM证书通过EAP-SIM/AKA方法被中继，并根据在HLR160中的用户信息来验证。照此，相同的移动证书(SIM/USIM)用于在2G，2.5G，3G或LTE网络中的认证和授权。
用户实体100，无线接入点110，和HLR160由eBNG 120和AAA服务器150辅助。
-用户实体100：用于Wi-Fi卸载的所有认证机制当前被商业智能手机，3G/Wi-Fi适配器(dongles)和具有3G/Wi-Fi功能的笔记本电脑所支持。
-无线接入点110：为了接收Wi-Fi IEEE 802.11n证书，无线接入点需要支持EAP-SIM和/或EAP-AKA认证。无线接入点还需要支持到eBNG 120的传输隧道，来在其中路由所有被卸载的业务。该遂道优选地被实现为IPsec或GRE遂道。
-eBNG 120：eBNG需要为无线接入点之后的终端用户处理DHCP会话创建。DHCP请求信息能够利用RADIUS客户端来被交给AAA服务器150，该AAA服务器150将该请求关联到、对于相同的UE MAC地址的、以前的EAP-SIM/AKA认证。如果eBNG 120在EAP-SIM/AKA认证阶段支持RADIUS代理(proxy agent)或嗅探器，eBNG 120能够为那个UE MAC查找以前成功的EAP-SIM/AKA认证上下文，并基于在认证阶段被发现的UE标识符(IMSI，MISDN，…)建立北向通信(AAA，计费，PCC，LI，…)。eBNG120能够代表移动网络运营商实施线下/在线计费，例如通过出售一天的通行证，其中一部分将被付给移动网络运营商。
-AAA：AAA服务器150通过它的到HLR 160的基于映射的后端接口(Gr)，来支持终端EAP-SIM或EAP-AKA认证和授权：它执行RADIUS EAP-到-映射网关功能。当，为了会话的建立，第二RADIUS请求从eBNG RADIUS客户端到达时，AAA服务器150将用户实体的标识(UE-MAC地址)进行关联。如果该UE之前被授权过，网络接入将被接受，并且该会话将被建立。AAA服务器150能够返回计费注册简档标识(Charging-Profile-Id)和MSISDN给eBNG 20，来允许与计费及其他北向服务平台的便捷集成。
端到端的安全在逐跳的基础上被实现。用户实体100和无线接入点110之间的空中接口用IEEE 802.11i来被保护。IEEE 802.11i密钥(优选地使用WPA2)能够从EAP-SIM/AKA加密密钥派生。
无线接入点110和eBNG 120之间的接口用IPSec来被保护。从eBNG 120开始，存在多个与被提供服务的功能有关的选项。根据“胖管道”模型，如上文所述的，无线接入点110和eBNG 120之间的单个IPsec遂道承载多个终端用户的会话。
胖管道模型为了避免欺骗，要求用户实体100支持802.11i或等同的加密。在另一方面，胖管道模型不要求用户实体100上的IPsec加密，从而避免在无线LAN空中接口上的IPsec开销，分组碎片和IKE保活分组。它也和企业VPN接入兼容，因为它允许端到端加密(可选的“瘦管道模型”会要求由用户实体100进行双重的IPsec加密)。
对eBNG 120来说，胖管道模型比瘦管道模型(ePDG或PDN网关)提供更好的可扩展性，因为每一个遂道在无线接入点100上包含所有UE会话活动。
eBNG 120能够额外地传递一组与基础服务类似的被管服务提供给移动用户。这通过基于用户简档(profile)的增强的用户管理上下文中实例化会话来完成。增强的用户管理(ESM，Enhanced Subscriber Management)是一组允许自动的用户开通和按用户的QoS和安全实施的AAA，安全和QoS特征。该ESM特征组的关键方面是它提供独立于接入类型(IPCAN)的用户感知模型，因此它也能够被应用于Wi-Fi接入。
业务在它被封装进入到无线接入点的IPsec ESP遂道中(或进入非加密遂道中)之前，由ESM引擎处理。该ESM引擎在最后的RADIUS接入接受消息中，从AAA服务器150接收用户简档。该用户简档能够包含分帧IP地址(framed IP address)，分帧IP池(framed IPpool)，虚拟专用路由网络(VPRN，Virtual Private Routing Network)标识，QoS简档(QoSprofile)，计费简档(charging profile)，DPI规则库，NAT和安全简档(securityprofile)。
-QoS：用户上下文允许eBNG 120来根据个性化的QoS简档对所有的用户业务分类。服务专用硬件队列和硬件策略器(HW policers)能够按分类和(分层的)调度器一起，被分配给每个被实例化的用户。调度器和专用队列允许WiFi服务从尽力而为的演进到QoS使能的IP服务，并支持实时的语音和视频应用。
-安全：到eBNG 120的安全接入由eBNG 120中的一组安全特征补充。其包括基于用户简档的接入控制列表和反欺骗保护。反欺骗过滤器被用于防止终端用户通过欺骗的IP和MAC地址，来攻击其他用户或尝试冒充其他用户。
-VPRN：eBNG120中的VPRN实例化能够被用于在批发的上下文中的服务虚拟化，或能够被用于提供安全商业VPN接入。VPRN标识因此将指向零售商VPN或指向商业客户VPN。
-NAT：为了保留IPv4地址空间，网络地址和端口转换(NAPT，Network Address andPort Translation)能够在eBNG120上被配置。每一个新的用户NAPT上下文被动态地实例化。
-本地内容插入：当eBNG 120已经和固定CDN(Content Distribution Network，内容分发网络)网络的本地内容插入点集成时，Wi-Fi卸载业务也能够利用该缓存的内容。这将减少业务穿越的跳数和它产生的开销，并增加对终端用户的内容可用性和响应性。
计费集成能够通过从eBNG 120到移动计费支持系统(BSS，billing supportsystem)提供Wi-Fi卸载计费记录来实现。特别是当eBNG 120是由移动运营商拥有时，对于线下以及在线计费，该计费集成都能够允许Wi-Fi卸载服务引入的最早的介入。它将两个网络的集成减少至仅AAA和计费接口的集成。Wi-Fi被卸载的业务的数据平面不需要通过移动网络，并能够被直接卸载到互联网。
相同的基础设施也能够被开放来支持开放的接入(没有IEEE802.1X)和门户认证。在那种场景中，eBNG 120允许未认证的设备开始DHCP会话，但将重定向任何http业务到登陆页面。任何非http业务被丢弃。这是通过eBNG 120从AAA服务器150获得的重定向策略来实现的。
当用户已经完成门户注册并已被认证，该用户简档在eBNG 120中被更新来给予该用户完全的数据接入。这是通过来自AAA服务器150的RADIUS CoA更新完成的。
eBNG 120到移动分组核心网的进一步的集成是通过被卸载的业务的GTP封装来实现的，因为它在基于GTP的，类似S2b的接口上被交付给PGW或GGSN。eBNG 120中的GTP封装允许运营商对3G-LTE和Wi-Fi被卸载的业务都具有相同的锚点。它允许终端用户在蜂窝和非蜂窝IP CAN之间漫游同时保持它的IP地址，并且它允许到移动数据服务基础设施的本地接入。它允许移动运营商在PGW-GGSN上重用它的整个服务基础设施，不仅在计费方面，而且用于移动内容，互联网接入，深度分组检测，视频优化，头增强等。
认证和授权与独立的、具有上述可选的嵌入式RADIUS代理的eBNG 120完全一致。然而，eBNG 120现在通过创建到PGW-GGSN的EPS会话或PDP上下文来对DHCP发现消息进行响应。然后UE IP地址被PGW从它的本地池或预先存在的EPS会话或PDP上下文来选择。
在数据平台中，eBNG 120可选地完成如LAC的功能：在上行流中，它GTP封装所有来自IPsec胖管道中的会话的业务，并转发该业务到PGW-GGSN；在下行流中，它终止从PGW-GGSN接收的GTP封装的业务，并转发该业务到通到正确的无线接入点的正确的IPsec遂道。
为了在蜂窝IP CAN会话和非蜂窝IP CAN会话之间维持该UE的IP地址，eBNG 120在PGW-GGSN处，创建带有切换指示的EPS会话。该切换指示将迫使PGW-GGSN去验证对该用户实体是否现有的EPS会话或PDP上下文正在进行，及查询该会话的上下文。结果是，PGW-GGSN会分配现有的IP地址给非蜂窝会话，及会发送会话断开给SGW/MME或Gn/Gp SGSN。
需要在接入点110的主要的私有使用和供公共使用的可用的额外的带宽的使用之间进行区分。
这可以通过在接入点上提供两个SSID来实现。在私有SSID上的业务如固定接入一样来被聚集并被照此计费。对于在公有SSID上的业务，专用的连接需要被建立(可能基于专用的VLAN或遂道)，从而该业务能够被独立地对待及独立地计费。
在图中显示的各种元素的功能，包括被标记为“处理器”的任何功能模块，可以通过专用硬件的使用，及能够执行软件的硬件联合适当的软件的使用来被提供。当由处理器提供时，功能可以由单个的专用处理器，由单个的共享处理器，或由其中的一些可以被共享的多个单独的处理器来提供。此外，术语“处理器”或“控制器”的明确的使用不应该被解释为排他地指能够执行软件的硬件，并可以隐含地包括，不限于，数字信号处理器(DSP)硬件，网络处理器，专用集成电路(ASIC)，现场可编程门阵列(FPGA)，用于存储软件的只读存储器(ROM)，随机访问存储器(RAM)，和非易失性存储器。其他常规的和/或定制的硬件也可以被包括进来。类似地，在图中示出的任何开关仅仅是概念性的。它们的功能可以通过程序逻辑的运行，通过专用逻辑，通过程序控制和专用逻辑的交互，或甚至手动地来完成，从上下文可更明确地被理解能被实现者选择的特定技术。

Claims (12)

1.一种用于通过3GPP分组核心网的分组数据网网关向用户实体提供分组数据网接入的方法，所述分组数据网网关可通过非3GPP接入网接入，所述非3GPP接入网包括无线局域网的接入点以及网关设备，所述网关设备与所述接入点以及所述分组数据网网关交互，在所述网关设备处，所述方法包括：
-将来自所述用户实体与所述网关设备之间的层2通信链路的用户实体的会话业务封装进至所述分组数据网网关的3GPP分组核心网隧道中；其中，至所述分组数据网网关的所述3GPP分组核心网隧道包括通用分组无线业务隧道协议的隧道；
-将所封装的业务转发至所述分组数据网网关；以及
-提供关于所述会话业务的计费数据。
2.根据权利要求1的方法，还包括，在所述网关设备处：
-接收来自所述用户实体经由所述层2通信链路的IP地址分配请求；
-验证在与所述用户实体相关联的移动订购相关的订购数据基础上的关于所述用户实体的成功认证是否已发生；以及
-一旦成功验证，完成对所述用户实体的IP地址分配方案以允许所述用户实体与所述分组数据网之间通信。
3.根据权利要求2的方法，其中所述认证已在建立与所述接入点的所述通信链路时发生。
4.根据权利要求2或3的方法，其中所述认证在所述网关设备处已建立关于用户实体的订购细节的感知。
5.根据权利要求1至4中任一项的方法，还包括，在所述网关设备处：
-建立至所述分组数据网网关的所述3GPP分组核心网隧道。
6.根据权利要求1至5中任一项的方法，还包括，在所述网关设备处：
-在所述非3GPP接入网与3GPP接入网之间发生切换的情况下，通过切换指示迫使分组数据网网关分配现有IP地址以维持用户实体的IP地址。
7.一种网关设备，被配置为用于通过3GPP分组核心网的分组数据网网关向用户实体提供分组数据网接入，所述分组数据网网关可通过非3GPP接入网接入，所述非3GPP接入网包括无线局域网的接入点以及网关设备，所述网关设备与所述接入点以及所述分组数据网网关交互：
-将来自所述用户实体与所述网关设备之间的层2通信链路的用户实体会话业务封装进至所述分组数据网网关的3GPP分组核心网隧道中；其中，至所述分组数据网网关的所述3GPP分组核心网隧道包括通用分组无线业务隧道协议的隧道；
-将所封装的业务转发至所述分组数据网网关；以及
-提供关于所述会话业务的计费数据。
8.根据权利要求7的网关设备，还被配置为：
-接收来自所述用户实体经由所述层2通信链路的IP地址分配请求；
-验证在与所述用户实体相关联的移动订购相关的订购数据基础上的关于所述用户实体的成功认证是否已发生；以及
-一旦成功验证，完成对所述用户实体的IP地址分配方案以允许所述用户实体与所述分组数据网之间通信。
9.根据权利要求8的网关设备，其中所述认证已在建立与所述接入点的所述通信链路时发生。
10.根据权利要求8或9的网关设备，其中所述认证在所述网关设备处已建立关于用户实体的订购细节的感知。
11.根据权利要求7至10中任一项的网关设备，还被配置为：
-建立至所述分组数据网网关的所述3GPP分组核心网隧道。
12.根据权利要求7至11中任一项的网关设备，还被配置为：
-在所述非3GPP接入网与3GPP接入网之间发生切换的情况下，通过切换指示迫使分组数据网网关分配现有IP地址以维持用户实体的IP地址。
CN201710067182.8A 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置 Active CN107070755B (zh)

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
EP11290264.8 2011-06-08
EP11290264.8A EP2533466B1 (en) 2011-06-08 2011-06-08 Method and apparatus for providing network access to a user entity
CN201280028330.0A CN103597779A (zh) 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置
PCT/EP2012/060473 WO2012168173A1 (en) 2011-06-08 2012-06-04 Method and apparatus for providing network access to a user entity

Related Parent Applications (1)

Application Number Title Priority Date Filing Date
CN201280028330.0A Division CN103597779A (zh) 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置

Publications (2)

Publication Number Publication Date
CN107070755A CN107070755A (zh) 2017-08-18
CN107070755B true CN107070755B (zh) 2022-06-10

Family

ID=46210247

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201280028330.0A Pending CN103597779A (zh) 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置
CN201710067182.8A Active CN107070755B (zh) 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置

Family Applications Before (1)

Application Number Title Priority Date Filing Date
CN201280028330.0A Pending CN103597779A (zh) 2011-06-08 2012-06-04 用于为用户实体提供网络接入的方法及装置

Country Status (6)

Country Link
US (1) US10992674B2 (zh)
EP (1) EP2533466B1 (zh)
JP (2) JP5797332B2 (zh)
KR (1) KR101545879B1 (zh)
CN (2) CN103597779A (zh)
WO (1) WO2012168173A1 (zh)

Families Citing this family (32)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102244866B (zh) * 2011-08-18 2016-01-20 杭州华三通信技术有限公司 门户认证方法及接入控制器
US8438631B1 (en) 2013-01-24 2013-05-07 Sideband Networks, Inc. Security enclave device to extend a virtual secure processing environment to a client device
CN105027664B (zh) 2013-01-03 2018-11-02 英特尔公司 在使用无线局域网的无线通信系统中的分组数据连接
CN103973658A (zh) * 2013-02-04 2014-08-06 中兴通讯股份有限公司 静态用户终端认证处理方法及装置
CN103974223B (zh) * 2013-02-05 2019-07-26 中兴通讯股份有限公司 无线局域网络与固网交互中实现认证及计费的方法及系统
CN103532717B (zh) * 2013-10-16 2016-10-12 杭州华三通信技术有限公司 一种Portal认证处理方法、认证协助方法及装置
US10212030B2 (en) * 2014-06-13 2019-02-19 Telefonaktiebolaget Lm Ericsson (Publ) Mobile network IOT convergence
CN105207858B (zh) * 2014-06-16 2017-04-12 华为技术有限公司 接入装置及其执行的将用户设备接入网络的方法
WO2016027545A1 (ja) * 2014-08-22 2016-02-25 ソニー株式会社 無線通信装置及び無線通信方法
CN107005534B (zh) * 2014-12-04 2020-07-14 瑞典爱立信有限公司 一种安全连接建立的方法和装置
WO2016161017A1 (en) * 2015-03-31 2016-10-06 Ruckus Wireless, Inc. Virtual device with internet protocol security tunnel
EP3329720B1 (en) * 2015-07-30 2020-07-15 Sony Corporation Mobile hotspot
US9979730B2 (en) * 2015-10-30 2018-05-22 Futurewei Technologies, Inc. System and method for secure provisioning of out-of-network user equipment
WO2017137881A1 (en) * 2016-02-12 2017-08-17 Telefonaktiebolaget Lm Ericsson (Publ) Method for converging iot data with mobile core
US10404648B2 (en) 2016-02-26 2019-09-03 Nokia Of America Corporation Addressing for customer premises LAN expansion
EP3430731B1 (en) * 2016-03-18 2021-02-17 Parallel Wireless Inc. Iugw architecture
EP3498043A4 (en) 2016-08-15 2020-08-05 Parallel Wireless Inc. OFFICER OF CONVERGENCE FOR THE VIRTUALIZATION OF THE CENTRAL NETWORK
US10531356B2 (en) 2016-08-15 2020-01-07 Parallel Wireless, Inc. VoIP and native carrier call integration
US10270674B2 (en) * 2017-05-19 2019-04-23 Akamai Technologies, Inc. Traceroutes for discovering the network path of inbound packets transmitted from a specified network node
FR3067551A1 (fr) * 2017-06-07 2018-12-14 Orange Transmission de donnees entre un terminal et un serveur associe
US10701572B2 (en) * 2017-08-08 2020-06-30 T-Mobile Usa, Inc. Provisioning of SIMs for a testing environment of a wireless communications network
CN111034125B (zh) * 2017-08-31 2021-06-22 华为技术有限公司 一种地址分配方法及相关设备
CN107666433B (zh) * 2017-09-13 2021-05-11 上海展扬通信技术有限公司 一种基于智能终端的语音中继方法及语音中继系统
CN108196886B (zh) * 2017-12-26 2020-11-27 浪潮通用软件有限公司 一种读卡器业务实现方法及读卡器
CN110798437B (zh) * 2018-08-03 2023-02-21 中兴通讯股份有限公司 一种数据保护方法、装置及计算机存储介质
US11252049B2 (en) * 2018-09-20 2022-02-15 Cable Television Laboratories, Inc. Systems and methods for providing individualized communication service
WO2020124230A1 (en) * 2018-12-19 2020-06-25 Conversant Intellectual Property Management Inc. System and method for a network access service
US11395139B1 (en) 2019-06-03 2022-07-19 Sprint Communications Company Lp Network profile anti-spoofing on wireless gateways
CN110248375B (zh) * 2019-07-25 2021-11-09 维沃移动通信有限公司 一种通信方法及无线接入点
CN111131642B (zh) * 2019-11-18 2021-05-18 集奥聚合(北京)人工智能科技有限公司 用于私有化部署场景的便携式智能语音外呼系统、方法
CN112738132A (zh) * 2021-01-27 2021-04-30 华北石油通信有限公司 一种二次认证接入系统及其方法
CN114189864B (zh) * 2022-02-16 2022-05-31 中国电子科技集团公司第三十研究所 移动通信系统非蜂窝接入装置及接入方法

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1940872A (zh) * 2002-12-19 2007-04-04 株式会社小松制作所 车载程序的改写控制装置
KR20090041345A (ko) * 2007-10-23 2009-04-28 닛본 덴끼 가부시끼가이샤 송신 처리 장치 및 수신 처리 장치를 포함하는 멀티플렉싱 통신 시스템, 및 멀티플렉싱 통신 방법
EP2160051A1 (en) * 2008-09-01 2010-03-03 Nokia Siemens Networks OY Methods and devices for messaging
CN101785351A (zh) * 2007-08-29 2010-07-21 夏普株式会社 移动通信系统、无线通信方法、核心网络、移动终端装置及程序
CN101939968A (zh) * 2008-02-06 2011-01-05 高通股份有限公司 针对封装的数据流的策略控制

Family Cites Families (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FI106831B (fi) 1998-01-14 2001-04-12 Nokia Networks Oy Pääsyn kontrollointimenetelmä matkaviestinjärjestelmää varten
CN1476205A (zh) 2002-08-16 2004-02-18 华为技术有限公司 综合接入设备的通信系统和系统中综合接入设备的管理方法
AU2002332279A1 (en) * 2002-08-30 2004-03-29 Fujitsu Limited Communication method, communication device, and communication system
US7136651B2 (en) * 2004-08-30 2006-11-14 Tatara Systems, Inc. Mobile services control platform providing a converged voice service
EP1871065A1 (en) 2006-06-19 2007-12-26 Nederlandse Organisatie voor Toegepast-Natuuurwetenschappelijk Onderzoek TNO Methods, arrangement and systems for controlling access to a network
CN101155126A (zh) 2006-09-25 2008-04-02 华为技术有限公司 一种实现移动性管理的系统、装置和方法
WO2008127662A1 (en) * 2007-04-12 2008-10-23 Marvell World Trade Ltd. Packet data network connectivity domain selection and bearer setup
US20080310358A1 (en) * 2007-06-06 2008-12-18 Interdigital Technology Corporation Method and apparatus for providing cell information list for non-3gpp capable user equipment operating in a 3gpp network and supporting layer-2 based handoff from a utran system to a non-3gpp system
US20090047966A1 (en) 2007-08-17 2009-02-19 Qualcomm Incorporated Method for a heterogeneous wireless ad hoc mobile internet access service
CN101141822B (zh) * 2007-09-30 2011-05-25 中兴通讯股份有限公司 一种无线网络的网关选择方法
CN101471964B (zh) 2007-12-27 2011-11-02 华为技术有限公司 一种网络地址的分配方法、网络系统及网络节点
US9112909B2 (en) * 2008-02-13 2015-08-18 Futurewei Technologies, Inc. User and device authentication in broadband networks
EP2347560B1 (en) * 2008-10-15 2014-08-27 Telefonaktiebolaget L M Ericsson (PUBL) Secure access in a communication network
WO2010081554A1 (en) 2009-01-15 2010-07-22 Telefonaktiebolaget Lm Ericsson (Publ) PROXY MOBILE IPv6 SUPPORT IN RESIDENTIAL NETWORKS
JP5153732B2 (ja) * 2009-07-13 2013-02-27 Ｋｄｄｉ株式会社 アクセスポイントにおける電波の検出に基づく端末間の呼確立方法及びシステム
US8687631B2 (en) * 2009-10-16 2014-04-01 Cisco Technology, Inc. System and method for providing a translation mechanism in a network environment
US8423760B2 (en) * 2010-02-23 2013-04-16 Stoke, Inc. Method and system for reducing packet overhead for an LTE architecture while securing traffic in an unsecured environment

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1940872A (zh) * 2002-12-19 2007-04-04 株式会社小松制作所 车载程序的改写控制装置
CN101785351A (zh) * 2007-08-29 2010-07-21 夏普株式会社 移动通信系统、无线通信方法、核心网络、移动终端装置及程序
KR20090041345A (ko) * 2007-10-23 2009-04-28 닛본 덴끼 가부시끼가이샤 송신 처리 장치 및 수신 처리 장치를 포함하는 멀티플렉싱 통신 시스템, 및 멀티플렉싱 통신 방법
CN101939968A (zh) * 2008-02-06 2011-01-05 高通股份有限公司 针对封装的数据流的策略控制
EP2160051A1 (en) * 2008-09-01 2010-03-03 Nokia Siemens Networks OY Methods and devices for messaging

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
3GPP Organizational Partners."3GPP system to Wireless Local Area Network(WLAN) interworking *
System description(Release 10)".《3GPP TS 23.234 v10.0.0》.2011, *

Also Published As

Publication number Publication date
JP2014524166A (ja) 2014-09-18
WO2012168173A1 (en) 2012-12-13
EP2533466A1 (en) 2012-12-12
KR20140022455A (ko) 2014-02-24
EP2533466B1 (en) 2020-03-04
JP6045648B2 (ja) 2016-12-14
JP5797332B2 (ja) 2015-10-21
CN103597779A (zh) 2014-02-19
US10992674B2 (en) 2021-04-27
JP2015181299A (ja) 2015-10-15
KR101545879B1 (ko) 2015-08-20
CN107070755A (zh) 2017-08-18
US20140223538A1 (en) 2014-08-07

Similar Documents

Publication Publication Date Title
CN107070755B (zh) 用于为用户实体提供网络接入的方法及装置
US10021566B2 (en) Non-mobile authentication for mobile network gateway connectivity
US11729619B2 (en) Methods and apparatus for wireless communication using a security model to support multiple connectivity and service contexts
CN108029017B (zh) 通过受管理的公共WLAN接入进行安全wifi呼叫连接的方法
US9549317B2 (en) Methods and apparatuses to provide secure communication between an untrusted wireless access network and a trusted controlled network
US8477785B2 (en) Method and system for interworking a WLAN into a WWAN for session and mobility management
US8335490B2 (en) Roaming Wi-Fi access in fixed network architectures
US20060182061A1 (en) Interworking between wireless WAN and other networks
JP2020506578A (ja) ユーザ機器の二次認証
US8509440B2 (en) PANA for roaming Wi-Fi access in fixed network architectures
CN105393630B (zh) 建立网络连接的方法、网关及终端
US8914520B2 (en) System and method for providing enterprise integration in a network environment
Yi et al. A comparative study of WiMAX and LTE as the next generation mobile enterprise network
CN103781073B (zh) 移动用户固网的接入方法及系统
JP5820782B2 (ja) フロー分配システム、フロー分配装置、フロー分配方法、及びプログラム

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
TA01 Transfer of patent application right
TA01 Transfer of patent application right

Effective date of registration: 20190422

Address after: Espoo, Finland

Applicant after: Technology Co., Ltd. of Nokia

Address before: French Boulogne Billancourt

Applicant before: Alcatel Optical Networks Israe

GR01 Patent grant
GR01 Patent grant