CN109964498A - 经由独立不可信非3gpp接入网络将远程单元附连到移动核心网络的方法和装置 - Google Patents

Abstract

能够经由第一网络接口通过非3GPP接入网络与远程单元通信(610)。能够经由第二网络接口和第三网络接口与移动核心网络通信(620，630)。能够经由第一网络接口接收建立安全连接的安全连接请求(640)。能够经由第一网络接口建立与远程单元的安全连接(670，680)。当安全连接请求与第一能力相关联时，能够在安全连接和第二网络接口之间中继信令数据(672)。当安全连接请求与第二能力相关联时，能够代表远程单元经由第三网络接口建立数据连接，并且能够在安全连接和数据连接之间中继用户数据(682)。

Description

经由独立不可信非3GPP接入网络将远程单元附连到移动核心 网络的方法和装置

技术领域

本公开涉及无线通信。更具体地，本公开涉及一种用于经由独立的不可信的非3GPP接入网络将远程单元附连到移动核心网络的方法和装置。

背景技术

目前，诸如智能电话、个人计算机、平板计算机、连接的家庭设备、智能电视、机顶盒的远程单元与移动通信网络通信以发送和接收数据。遵循长期演进(LTE)架构的移动通信网络支持接入网络(AN)和演进分组核心(EPC)之间的若干不同接口，其中不同类型的接入网络使用不同类型的接口。例如，S1接口仅在演进的通用陆地无线接入(E-UTRAN，Evolved Universal Terrestrial Radio Access)和EPC之间使用。作为另一示例，无线局域网(WLAN)接入到EPC涉及若干其他接口，诸如用于经由可信的WLAN接入的S2a和STa接口、用于经由不可信的WLAN接入的SWu和S2b接口、以及用于经由可信的或不可信的WLAN接入的S2c接口。此外，已经为WLAN互通指定了新的网络元件，包括认证、授权和计费(AAA)服务器、演进分组数据网关(ePDG)、可信的无线接入网关(TWAG)、和其他网络元件。用于连接到EPC的不同接入的所有这些不同的接口和网络元件导致复杂且难以管理的架构。

有时，诸如通过使用LTE-WLAN聚合(LWA)，WLAN接入网络以既不需要EPC中的新网络元件也不需要新AN-EPC接口的方式集成到E-UTRAN中。然而，这种WLAN集成具有有限的部署方案，因为WLAN接入网络必须始终在LTE覆盖范围内，更重要的是，WLAN接入网络需要是支持与移动通信网络基站(eNB)的接口并且需要若干其他增强的特殊WLAN。这种WLAN接入网络不是独立的WLAN，因为它需要E-UTRAN的存在与集成。为了支持占据大多数部署方案的独立WLAN接入的互通，额外地需要WLAN特定网络元件和接口，其增加了系统的复杂性。例如，远程单元能够通过诸如WLAN接入网络的非第三代合作伙伴计划(非3GPP)接入网络接入诸如5G网络的下一代(NextGen)核心网络(NGCN)。为了接入NGCN，远程单元必须使用特定协议，诸如非接入层(NAS)协议。

附图说明

为了描述可以获得本公开的优点和特征的方式，通过参考在附图中示出的本发明的特定实施例来呈现本公开的描述。这些附图仅描绘了本公开的示例实施例，因此不应被视为限制其范围。为了清楚可能已经简化了附图，并且不一定按比例绘制。

图1是根据可能的实施例的系统的示例图示；

图2是根据可能的实施例的系统的示例图示；

图3是根据可能的实施例的示例信令流程图；

图4是根据可能的实施例的示例信令流程图；

图5是根据可能的实施例的装置的示例框图；以及

图6是示出根据可能实施例的装置的操作的示例流程图。

具体实施方式

实施例提供了一种用于经由独立的不可信的非3GPP接入网络将远程单元附连到移动核心网络的方法和装置。根据可能的实施例，能够经由第一网络接口通过非3GPP接入网络与远程单元通信。能够经由第二网络接口和第三网络接口与移动核心网络通信。能够经由第一网络接口接收建立安全连接的安全连接请求。能够确定安全连接请求与第一能力或第二能力相关联。能够经由第一网络接口建立与远程单元的安全连接。当安全连接请求与第一能力相关联时，能够在安全连接和第二网络接口之间中继信令数据。当安全连接请求与第二能力相关联时，能够代表远程单元经由第三网络接口建立数据连接，并且能够在安全连接和数据连接之间中继用户数据。

根据可能的实施例，期望未来的无线标准简化架构并指定能够用于所有类型的接入网络(也称为AN)的公共接入网络核心网络(AN-CN)接口，所述接入网络包括诸如5G无线接入网络(RAN)的3GPP AN和诸如无线局域网(WLAN)、固定宽带网络、卫星接入网络和其他接入网络的非3GPP AN。所有类型的接入网络——3GPP和非3GPP两者都能够使用相同的AN-CN接口与CN通信。例如，诸如NG2接口的公共控制平面接口和诸如NG3接口的公共用户平面接口能够用作AN-CN接口。

非3GPP互通功能(N3IWF)能够用于提供非3GPP接入网络(N3AN)与CN之间的互通。N3IWF能够包含用于N3AN和CN之间的协议转换和信号适配的硬件和软件元件两者。此外，当UE连接到N3AN并执行认证过程时，N3IWF能够代表诸如远程单元的用户设备(UE)执行与CN的3GPP附连过程。例如，当UE与可信的任WLAN关联并且开始诸如EAP-AKA'的可扩展认证协议-认证和密钥协议(EAP-AKA，Extensible Authentication Protocol-Authenticationand Key Agreement)认证过程时，N3IWF能够代表UE发起与CN的5G附连过程。当UE继续EAP-AKA'认证过程时，N3IWF能够充当UE的代理。

N3IWF能够包括被称为附连代理(attach proxy)的功能组件，其能够执行认证信令和3GPP附连信令之间的互通。在这样做时，附连代理能够充当UE代理并且能够代表UE发起3GPP附连过程。附连代理能够在认证过程消息中获取从UE接收的参数，并使用所接收的参数生成用于CN的附连过程消息。相似地，附连代理能够在附连过程消息中获取从CN接收的参数，并且能够使用解析的参数生成用于UE的认证过程消息。

当传统UE诸如通过使用EAP-AKA'认证附连到可信的WLAN时，传统UE能够由5G CN认证和授权。以这种方式，不需要新的UE能力，传统UE能够连接到可信的WLAN并且启动非无缝WLAN卸载(NSWO)流量，诸如仅遍历WLAN而不是5G核心网络的流量。相似地，传统UE能够在其建立与N3IWF的诸如IKEv2/IPsec的互联网密钥交换(IKE)互联网协议安全(IPsec)连接时由5G CN认证和授权，其可以被视为演进分组数据网关(ePDG)。

在3GPP系统和服务方面-架构组(SA2)中的下一代(NextGen)工作的背景下，已经同意UE能够通过使用非接入层(NAS)协议，在诸如WLAN的非3GPP接入上附连到NextGen核心网络(NGCN)。对UE利用NAS信令的协议由具有用于3GPP接入和非3GPP接入两者的公共AN-CN接口的需求激励。

尽管因为它们无论如何支持3GPP接入上的NAS，合理地假设NextGen智能电话应该支持非3GPP接入上的NAS信令，但是假设仅支持非3GPP接入的设备——诸如仅支持WLAN设备——应实施NAS协议以连接到NGCN不是非常合理的。特别地，许多仅支持WLAN的设备应该可接入NextGen系统，诸如以支持广泛的部署方案和业务案例。然而，如果所有这些设备都必须通过WLAN支持NAS协议，则能够接入NextGen的设备相当有限，并且能够支持的物联网(IoT)方案受到限制。例如，大多数物联网设备，诸如具有网络连接的日常物品，目前具有WLAN连接功能，但没有一个利用WLAN上的NAS协议。理想地，所有这些现有的物联网设备无需进行任何实施更改，应该能够接入NextGen核心。要求所有这些物联网设备支持NAS协议基本上排除了所有这些物联网设备接入NextGen系统。根据一些实施例，诸如，仅支持WLAN的设备的现有的非3GPP接入网络设备在没有重大改变或没有改变的情况下——诸如，在不将非3GPP接入网络设备改变为使用NAS协议的情况下——能够被允许接入NGCN。

图1是根据可能的实施例的系统100的示例图示。在一个实施例中，系统100包括远程单元105、至少一个WLAN AN 110、WLAN通信链路115、移动RAN 120、和蜂窝通信链路125。每个WLAN AN 110能够包括一个或多个WLAN接入点(AP)111。在一个示例中，移动RAN 120能够是3GPP定义的5G RAN。移动RAN 120能够包括一个或多个蜂窝基站单元121。诸如提供N3IWF的实体的互通实体135能够包含在WLAN 110内(诸如，与WLAN 110共址)、能够位于移动设备RAN 120中、能够位于移动核心网络130中、能够是WLAN AP 111的组件和/或能够位于其他任何地方以提供互通功能。即使描绘了特定数量的远程单元105、WLAN AN 110、WLANAP 111、WLAN通信链路115、移动RAN 120、蜂窝基站单元121、和蜂窝通信链路125，系统100中可以包含任意数量的远程单元105、WLAN AN 110、WLAN AP 111、WLAN通信链路115、移动RAN 120、蜂窝基站单元121、和蜂窝通信链路125。通过使用互通实体135，系统100能够经由诸如WLAN AN 110的不可信的非3GPP接入网络将远程单元105附连到移动核心网络130。

在一个实施方式中，系统100能够符合3GPP移动网络的第五代(5G)并实现相关的5G协议。然而，更通常地，系统100能够实现一些其他开放或专有通信协议，诸如WiMAX和/或其他协议。

根据可能的实施例，远程单元105能够是计算设备，诸如台式计算机、膝上型计算机、个人数字助理、平板计算机、智能电话、诸如连接到因特网的电视的智能电视、诸如连接到互联网的设备的智能电器、机顶盒、游戏控制台、安全系统、安全摄像头、车载计算机、诸如路由器、交换机和/或调制解调器的网络设备、诸如智能手表、健身带、光学头戴式显示器的可穿戴设备、物联网设备、或可连接到网络的其他设备。此外，远程单元105可以被称为用户设备(UE)订户单元、移动设备、移动站、用户、终端、移动终端、固定终端、订户站、用户终端、设备、或可以连接到网络的任何其他设备。远程单元105能够经由上行链路UL和下行链路DL通信信号直接与一个或多个WLAN AP 111通信。UL和DL通信信号能够通过WLAN通信链路115承载。相似地，远程单元105能够经由通过蜂窝通信链路125携带的UL和DL通信信号与移动无线电接入网络(移动RAN)120中的一个或多个蜂窝基站单元121通信。

WLAN AN 110能够分布在地理区域上。WLAN AN 110能够经由互通实体135连接到移动核心网络130。根据可能的实施例，WLAN AN 110能够由移动核心网络130的运营商控制，并且WLAN AN 110能够具有对移动核心网130的直接接入。这种WLAN部署能够被称为可信的WLAN。当WLAN AN 110由3GPP移动核心网络运营商操作并且支持诸如基于3GPP的认证和强大的空中接口加密的特定安全特征时，其被认为是可信的(trusted)。

根据另一个可能的实施例，WLAN AN 110可以不由移动核心网络130的运营商控制，并且可以不具有对移动核心网络130的直接接入。这种WLAN部署能够被称为不可信的(untrusted)WLAN。不可信的WLAN的示例能够包括部署在商场、咖啡店、和其他公共区域中的公共热点、能够包括未注册的家庭WLAN、以及能够包括其他不可信的WLAN。不可信的WLANAN 110能够依赖于诸如因特网的数据网络来连接到移动核心网络130。移动核心网络130能够经由WLAN AN 110向远程单元105提供服务。

每个WLAN AP 111能够在服务区域内服务多个远程单元105。WLAN AP 111能够通过接收UL通信信号和发送DL通信信号来直接与一个或多个远程单元105通信，以在时间、频率、和/或空间域中为远程单元105服务。DL和UL通信信号两者都能够通过WLAN通信链路115承载。通信链路115能够在未许可的无线电频谱中。

移动RAN 120中的蜂窝基站单元121能够分布在地理区域上。蜂窝基站单元121还能够称为接入终端、基站、基站、Node-B、eNB、gNB、家庭Node-B、中继节点、设备、或任何其他蜂窝基站单元。蜂窝基站单元121能够是移动RAN 120的一部分。

移动RAN 120能够经由无线通信链路125在蜂窝基站单元121的诸如小区或小区扇区的服务区域内服务多个远程单元105。移动RAN 120能够使用通信信号直接与一个或多个远程单元105通信。通常，在时间、频率、和/或空间域中，移动RAN 120能够发送DL通信信号以服务远程单元105。此外，DL通信信号能够通过蜂窝通信链路125承载。蜂窝通信链路125能够是在许可或未许可无线电频谱中的任何合适的载波。蜂窝通信链路125能够与一个或多个远程单元105和/或移动RAN 120中的一个或多个蜂窝基站单元121通信。

移动核心网络130能够是5G分组核心网络，其能够耦合到其他网络，诸如因特网、专用数据网络、和/或其他数据网络。此外，移动核心网络130能够被耦合到其他类型的接入网络，诸如固定宽带接入网络、卫星接入网络、和其他类型的接入网络。

移动核心网络130能够属于单个公共陆地移动网络(PLMN)。移动核心网络130能够包括至少一个控制平面(CP)功能140。虽然移动核心网络130可以包括多个CP功能，但所公开的过程可能仅需要来自多个CP功能的一个CP功能——诸如一个网络实体——的参与。移动核心网络130还能够包括至少一个用户平面(UP)功能145。移动核心网络130能够进一步包括订户数据管理(SDM)150，其能够与演进分组核心(EPC)中的归属订户服务器(HSS)相关联。

CP功能140能够包括管理对移动核心网络130的服务的接入的网络控制功能。CP功能的示例能够包括移动性管理功能、策略功能、会话管理功能、认证功能、和/或其他网络控制功能。UP功能145能够实现向诸如远程单元105的订户传送数据和其他服务。SDM 150能够是包含用户相关和订阅相关信息的中央数据库。

在诸如5G的下一代3GPP移动核心网络130中，移动RAN 120和WLAN AN 110两者或任何其他非3GPP接入网络能够使用诸如NG2接口的公共控制平面接口和诸如NG3接口的公共用户平面接口来与核心网络通信。通过将非3GPP接入网络协议转换为通过NG2和NG3接口发送的消息，互通实体135能够提供WLAN AN 110和移动核心网络130之间的互通。

为了加速远程单元105从移动核心网130接收服务，当远程单元105连接到WLAN AN110并且与互通实体135执行认证过程时，互通实体135能够代表远程单元105向移动核心网130发送3GPP附连请求。这里，互通实体135可以为WLAN AN 110执行认证、授权和计费(AAA)功能，并且能够将由移动核心网络130使用的3GPP认证消息转换为由WLAN AN 110使用的认证消息。

图2是根据可能实施例的系统200的示例图示。系统200能够包括诸如互通实体135的N3IWF 210、诸如远程单元105的UE 220、诸如WLAN AN 110的独立的不可信的非3GPP接入网络230、以及诸如移动核心网络130的包括CP功能242、UP功能244和SDM 246的移动核心网络240。如上所述，CP/UP功能能够分别是NextGen核心网络中的控制平面/用户平面功能。NG2/NG3接口，也称为NGc/NGu，能够分别表示接入网核心网(AN-CN)CP和UP接口。UE 220能够经由NG1接口与CP功能242交换NAS信令。能够相当于EPC中的SGi的NG6可以是连接到外部数据网络的接口。当UE 220连接到不可信的非3GPP网络230时，能够在UE 220和N3IWF 210之间的NWu接口上建立IPsec隧道，以保护CP/UP业务。N3IWF 210的功能能够与EPC中的ePDG具有一些相似性。Y1接口取决于不可信的非3GPP接入的类型。在不可信的WLAN接入的情况下，Y1接口能够基于IEEE 802.11协议，并且能够是UE 220和诸如不可信的非3GPP接入网络230的WLAN接入网络之间的WLAN无线接口。

图3是根据可能的实施例的示例信令流程图300。信令流程图300能够示出例如在移动核心网络240处，UE 220、不可信的WLAN接入网络230、N3IWF 210和NGCN CP功能242之间的信号。信令流程图300能够示出其中支持NAS协议的诸如远程单元——如5G智能电话或其他远程单元——的UE 220能够通过不可信的WLAN接入网络230附连到诸如移动核心网络240的NGCN。

在305，UE能够连接到不可信的WLAN接入网络230并被指配互联网协议(IP)地址。例如，UE 220首先能够连接到不可信的非3GPP网络。当其不由3GPP运营商或3GPP运营商的可信赖合作伙伴管理时，诸如，不可信的WLAN或公共热点的不可信的网络能够被认为是不可信的。

然后，在310，UE 220能够发现特定PLMN中的N3IWF 210的IP地址并且启动IKEv2以建立IPsec隧道。IP地址的发现能够与3GPP TS 23.402中规定的ePDG发现类似或甚至相同。

在315，当UE 220想要通过不可信的WLAN 230附连到NGCN时，UE 220能够启动正常的IKEv2信令并建立IKE安全关联(IKE SA)。随后，UE 220能够开始IPsec隧道(也称为IPsecSA)的建立。在该IPsec隧道的建立期间，如果使用通用订户身份模块(USIM)凭证，则可以使用诸如EAP-AKA'的基于EAP的认证方法或者NGCN支持的任何其他方法——诸如EAP传输层安全性(EAP-TLS)、EAP隧道传输层安全性(EAP-TTLS)隧道传输层安全性、和/或其他认证方法——来相互认证UE 220和NGCN。

例如，在320，N3IWF 210能够向UE 220发送IKE(EAP-Req/Identity：EAP-请求/身份)身份请求消息。在325，UE 220能够发送IKE(EAP-Res/Identity：EAP-响应/身份)身份响应信息。身份响应消息中的UE身份能够以新的方式格式化。例如，作为EAP认证过程的一部分由UE 220呈现的身份通常能够根据作为网络接入标识符(NAI)的传统格式来格式化，诸如

0<IMSI>@nai.epc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

这能够基于现有UE在尝试向位于其家庭PLMN处的ePDG建立IPsec时所呈现的身份的格式。IMSI之前的“0”能够是指示使用EAP-AKA认证的偏好的提示。根据不同的实施方式，UE 220能够呈现以新的不同方式格式化的第一能力身份格式，诸如

0<IMSI>.nas@nai.epc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

在该示例中，UE呈现的用户名是0<IMSI>.nas，其符合将用户名定义为字符串*(“.”字符串)的RFC7542。请注意，“.nas”后缀能够作为用户名的一部分添加。该第一能力标识格式能够向N3IWF 210指示UE 220具有第一能力。例如，身份格式能够向N3IWF指示UE220不是传统远程单元，而是支持诸如WLAN的非3GPP接入网络上的NAS信令的新UE。

否则，UE 220呈现的身份能够是第二能力身份格式，其能够是通常根据传统格式格式化的NAI身份。该第二能力标识格式能够向N3IWF 210指示UE 220具有第二能力。例如，该第二能力标识格式能够向N3IWF 210指示UE 220不支持非3GPP接入上的NAS。

根据另一可能的实施方式，作为新身份格式的替代或补充，身份响应消息能够包括UE 220的身份和能力信息元素。能力信息元素能够向N3IWF 210指示UE 220是否具有诸如支持NAS的能力的第一能力，或诸如不支持NAS的能力的第二能力。因此，代替使用不同的UE标识格式，UE 220能够在EAP-响应/身份消息中添加新的信息元素，其能够向N3IWF 210指示UE 220支持NAS协议。

在330，N3IWF 210能够根据身份的格式、根据能力信息元素，或者根据确定UE 220能够支持NAS的任何其他方式来确定UE 220能够支持NAS。

随后，在335，N3IWF 210能够代表UE 220向NGCN CP功能242发送诸如附连请求的初始UE消息。这能够在NG2上发起正常的附连过程。在附连过程期间，能够认证UE 220。例如，在340，NGCN CP功能能够发送包括EAP认证请求的DL NAS传输消息，N3IWF 210能够使用IKE(EAP)将其转发到UE 220。在345，N3IWF 210能够将来自UE 220的包括EAP认证响应的ULNAS传输消息发送到NGCN CP功能242。根据所示的可能的实施方式，因为诸如EAP-TTLS的一些认证方法能够需要在客户端和服务器之间进行诸如多个请求/响应的多次往返，能够存在N3IWF 210和NGCN CP功能242之间的多个NAS传输认证请求350和认证响应355。根据另一种可能的实施方式，诸如EAP-AKA的其他认证方法能够只需要一次往返。

在360，N3IWF 210能够接收来自NGCN CP功能242的包括附连接受的初始上下文建立请求，并且能够通过使用IKE(EAP通知)向UE 220发送包括在附连接受(例如，新的UE临时标识)中的一个或多个参数。在365，N3IWF 210能够从UE 220接收IKE(EAP通知)响应，并且能够向NGCN CP功能242发送指示附连完成的UL NAS传输消息。在370，N3IWF 210能够向UE220发送IKE(EAP-成功)消息，其完成成功的IPsec隧道建立。在375，IPsec隧道在UE 220和N3IWF 210之间建立，并且能够用于在UE 220和NGCN CP功能242之间传送NAS信令消息。这些消息由N3IWF 210在IPsec隧道和NG2接口之间中继。例如，UE能够通过IPsec隧道发送NAS消息，以请求协议数据单元(PDU)数据会话建立，以便与诸如因特网、另一NGCN、或其他外部数据网络的外部数据网络进行连接以通过外部数据网络传输和接收数据。

在替代实施方式中，当N3IWF 210在步骤360接收附连接受时，它可以不向UE 220发送IKE(EAP通知)。替代地，它能够将IKE(EAP-SUCCESS:：EAP-成功)发送到UE 220，其完成IPsec隧道的建立，然后经由建立的IPsec隧道将附连接受消息转发到UE 220。由于UE 220确实支持NAS信令，因此它将能够处理该附连接受消息并经由IPsec隧道发送附连完成响应。

图4是根据可能的实施例的示例信令流程图400。信令流程图400能够示出UE 220、不可信的WLAN接入网络230、N3IWF 210、NGCN CP功能242、和移动核心网络240的NGCN UP功能244之间的信令消息。信令流程图400能够示出一种方法，通过该方法，不支持非3GPP接入上的NAS协议的诸如远程单元——如仅支持WLAN的设备、IoT设备或其他远程单元——的UE220能够附连到NGCN。

在402，UE能够连接到不可信的WLAN接入网络230并被指配互联网协议(IP)地址。例如，UE 220首先能够连接到不可信的非3GPP网络。在404，UE 220能够发现特定PLMN中的N3IWF 210的IP地址，并启动IKEv2以建立IPsec隧道。IP地址的发现能够与TS 23.402中指定的ePDG发现类似或甚至相同。

在406，当UE 220想要通过不可信的WLAN 230附连到NGCN时，UE 220能够启动正常的IKEv2信令并建立IKE SA。随后，UE 220能够启动IPsec隧道的建立，其也能够被称为IPsec SA。在408，N3IWF 210能够向UE 220发送IKE(EAP-请求/身份)身份请求消息。在410，UE 220能够发送IKE(EAP-响应/身份)身份响应消息。身份响应消息能够以诸如EPC中指定的传统方式的正常方式格式化。根据可能的实施方式，如上所述，作为EAP认证过程的一部分的由UE 220呈现的身份通常能够根据传统格式来格式化为网络接入标识符(NAI)，诸如

0<IMSI>@nai.epc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

这能够基于现有UE在尝试向位于其家庭PLMN的ePDG建立IPsec时所呈现的身份的格式。IMSI之前的“0”能够是指示使用EAP-AKA认证的偏好的提示。例如，UE 220呈现的身份能够是第二能力身份格式，其能够是通常根据传统格式格式化的NAI身份。该第二能力标识格式能够向N3IWF 210指示UE 220具有第二能力。例如，该第二能力标识格式能够向N3IWF210指示UE 220不支持非3GPP接入上的NAS。

根据另一可能的实施方式，身份响应消息能够包括UE 220的身份和能力信息元素。能力信息元素能够向N3IWF 210指示UE 220是否具有诸如支持NAS的能力的第一能力，或诸如不支持NAS的能力的第二能力。因此，替代对UE身份使用不同的格式，UE 220能够在EAP-响应/标识消息中添加新的信息元素，其能够向N3IWF 210指示UE 220是否支持NAS协议。作为替代的实施方式，能力信息元素的缺少能够指示UE 220不支持NAS协议。

在412，N3IWF 210能够根据身份的格式、根据能力信息元素、或者根据确定UE 220不支持NAS的任何其他方式确定UE 220不支持NAS。

在414，N3IWF 210能够代表UE 220向NGCN CP功能242发送诸如附连请求的初始UE消息。这能够在NG2上发起正常的附连过程。在附连过程期间，能够认证UE 220。例如，在416，NGCN CP功能能够发送包括EAP认证请求的DL NAS传输消息，N3IWF 210能够使用IKE(EAP)将其转发到UE 220。在418，N3IWF 210能够从UE220将包括EAP认证响应的UL NAS传输消息发送到NGCN CP功能242。根据所示的可能的实施方式，因为一些认证方法(诸如，EAP-TTLS)能够需要在客户端和服务器之间进行诸如多次请求/响应的多次往返，能够存在N3IWF 210和NGCN CP功能242之间的多个NAS传输认证请求420和认证响应422。根据另一种可能的实施方式，诸如EAP-AKA的其他认证方法能够只需要一次往返。在424，N3IWF 210能够从NGCN CP功能242接收包括附连接受的初始上下文建立请求，并且能够通过使用IKE(EAP-NOTIFICATION：EAP-通知)将包括在附连接受中的诸如新的UE临时标识的一个或多个参数发送到UE 220。在426，N3IWF 210能够从UE 220接收IKE(EAP-通知)响应，并且能够向NGCN CP功能242发送指示附连完成的UL NAS传输消息。

在428，在成功附连之后，N3IWF 210能够代表UE 220请求PDU会话。例如，N3IWF210能够向NGCN CP功能242发送PDU会话建立请求以便请求用于UE 220的数据连接。该PDU会话的参数，诸如APN、PDU类型、SCC模式和其他参数，可以不由N3IWF 210提供。代替地，在430，N3IWF能够使用包括用于默认PDU会话的PDU会话建立请求的UL NAS传输消息来请求默认PDU会话。在432，CP功能242能够从UE 220的订阅简档中检索PDU会话参数，诸如APN、PDU类型、会话和服务连续性(SSC)模式以及其他参数。例如，UE 220能够是NGCN订户，并且能够从移动核心网络中的SDM检索UE 220的订阅简档中的订户数据。

根据可能的实施方式，如果移动运营商想要允许诸如UE 220的现有/传统IoT/仅支持WLAN的设备连接到诸如NextGen核心网络的移动核心网络，该设备的订阅能够在NextGen核心网络中创建。此订阅创建可能不会影响该设备。该设备可能只需要配置新的身份验证凭证。设备在尝试建立IPsec隧道时能够使用这些凭证。根据可能的实施方式，仅订户的远程单元可以接入NGCN。除了配置在N3IWF的IPsec建立期间使用的凭证之外，现有设备可能不需要任何更改。这可能需要在设备中进行配置更改，但不需要实施方式更改。现有设备能够通过配置为在某个PLMN中尝试N3IWF的IPsec隧道时使用某些凭证来接入NGCN。几乎所有现有设备能够用新的和/或更新的凭证进行重新配置。

在建立PDU会话时，在434，NGCN CP功能242能够向N3IWF 210发送资源建立请求。在436，然后N3IWF 210能够利用包含诸如N3IWF期望DL数据流量的IP地址和端口的N3IWF特定参数的资源建立响应来响应NGCN CP功能242，以建立新的NG3数据连接。在438，NGCN CP功能242利用适当的通信参数配置NGCN UP功能244，使得NGCN UP功能244能够随后经由新的NG3数据连接与N3IWF 210通信。在建立PDU会话并且建立NG3用户平面(即，在N3IWF 210和UP功能244之间建立新的NG3数据连接)之后，在440，N3IWF 210能够将EAP-成功消息发送到UE 220，其完成IPsec隧道建立过程。在此之后，UE 220然后能够创建新的网络接口并将该接口绑定到IPsec隧道442。N3IWF 210能够在NG3接口上使用IPsec隧道442用于UE 220和NGCN UP功能244之间的用户平面通信。在这种情况下，N3IWF 210不像在信令流程图300中将IPsec隧道442用于UE 220和NGCN CP功能242之间的控制平面通信。通过该过程，诸如当它们支持具有嵌入式EAP身份验证的现有IKEv2过程时，传统UE和现有仅支持WLAN的设备能够连接到NGCN。

图5是根据可能实施例的诸如互通实体135和/或N3IWF 210的装置500的示例性框图。装置500能够是WLAN的一部分，能够是核心网络的一部分，能够是自治的，或者能够是在诸如远程单元105的远程单元和诸如移动核心网络130的移动核心网络之间提供接入的任何其他地方。装置500能够包括外壳510、外壳510内的控制器520、耦合到控制器520的音频输入和输出电路530、耦合到控制器520的显示器540、耦合到控制器520的收发器550、耦合到收发器550的天线555、耦合到控制器520的用户接口560、耦合到控制器520的存储器570、耦合到控制器520的第一接口581、耦合到控制器520的第二接口582。在某些实施例中，装置500可以不包括音频输入和输出电路530、显示器540、用户接口560、收发器550、和/或天线555。装置500可以能够执行所有实施例中描述的方法。

显示器540能够是取景器、液晶显示器(LCD)、发光二极管(LED)显示器、等离子显示器、投影显示器、触摸屏、或显示信息的任何其他设备。收发器550能够包括发射器和/或接收器。音频输入和输出电路530能够包括麦克风、扬声器、传感器、或任何其他音频输入和输出电路。用户接口560能够包括小型键盘、键盘、按钮、触摸板、操纵杆、触摸屏显示器、另一附加显示器、或用于在用户和电子设备之间提供接口的任何其他设备。存储器570能够包括随机存取存储器、只读存储器、光存储器、固态存储器、闪存、可移动存储器、硬盘驱动器、高速缓冲存储器、或可以耦合到装置的任何其他存储器。

第一接口581能够是网络接口、NWu接口、和/或通过非3GPP接入网络来与诸如远程单元105的远程单元通信的任何其他接口。非3GPP接入网络能够是WLAN接入网络110、独立的不可信的非3GPP接入网络230、未由3GPP标准指定的网络、蓝牙网络、WiMax网络、IEEE1394网络、和/或任何其他支持IP通信的非3GPP接入网络。第二接口582能够是网络接口、NG2接口、控制平面接口、和/或与诸如移动核心网络130的移动核心网络通信的任何其他接口。控制平面也能够被称为信令。第三接口583能够是网络接口、NG3接口、用户平面接口、和/或与移动核心网络通信的任何其他接口。NG2/NG3接口在3GPP TR 23.799中定义。根据其他实施方式，网络接口能够是通用串行总线(USB)端口、以太网端口、红外发送器/接收器、IEEE 1394端口、WLAN收发器、或能够将装置连接到网络、设备、或计算机并且能够发送和接收数据通信信号的任何其他接口。

装置500或控制器520可以实现任何操作系统，诸如Microsoft或Android^TM或任何其他操作系统。装置操作软件可以用诸如C、C++、Java或Visual Basic的任何编程语言编写。装置软件还可以在诸如Java框架、.NET框架、或任何其他应用程序框架的应用程序框架上运行。软件和/或操作系统可以存储在存储器570中或装置500上的其他地方。装置500或控制器520还可以使用硬件来实现所公开的操作。例如，控制器520可以是任何可编程处理器。所公开的实施例还可以在通用或专用计算机、编程的微处理器或微处理器、外围集成电路元件、专用集成电路或其他集成电路、诸如分立元件电路的硬件/电子逻辑电路、诸如可编程逻辑阵列的可编程逻辑器件、现场可编程门阵列等上实现。通常，控制器520可以是能够操作装置并实现所公开的实施例的任何控制器或处理器装置。装置500的一些或所有附加元件还能够执行所公开实施例的一些或全部操作。

在操作中，经由第一网络接口581控制器520能够接收安全连接请求以建立安全连接。安全连接请求能够是IKE(EAP-响应/身份)消息或任何其他取决于用于请求的通信协议的对安全连接的请求。

控制器520能够确定安全连接请求是与第一能力相关联还是第二能力相关联。第一能力能够是支持NAS信令的远程单元的非接入层(NAS)通信能力。第二种能力能够是不支持NAS信令的远程单元的通信能力。NAS是在移动核心网络中和远程单元中操作的控制平面功能层。NAS层能够用于管理通信会话的建立以及用于在远程单元移动时保持与远程单元的连续通信。NAS层实现通信协议(NAS协议)，其能够在远程单元和通过接入网络和移动核心节点之间交换NAS消息，移动核心节点是诸如通过接入网络透明地传递的服务GPRS支持节点、和/或移动性管理实体、和/或5G接入和移动功能(AMF)，诸如N3IWF 210的中间实体。NAS消息的示例能够包括位置更新或附连消息、认证消息、服务请求、和其他消息。第一能力和第二能力也能够是其他通信能力，诸如安全和非安全能力、不同通信协议、和其他通信能力。

根据可能的实施方式，控制器520能够经由第一网络接口581接收远程单元的身份。远程单元的身份能够具有身份格式，并且控制器520能够基于身份格式来确定安全连接请求是与第一能力相关联还是与第二能力相关联。身份格式能够包括添加到身份中的用户名的后缀，其中添加到用户名的后缀能够指示安全连接请求与第一能力相关联。替代地，省略后缀能够指示安全连接请求与第二能力相关联。

例如，根据可能的实施方式并且如上所述，作为EAP认证过程的一部分的由远程单元呈现的身份通常能够根据传统格式来格式化为NAI，诸如

0<IMSI>@nai.epc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

这能够基于现有远程单元在尝试向位于其家庭PLMN的ePDG建立IPsec时所呈现的身份的格式。IMSI之前的‘0’能够是指示使用EAP-AKA认证的偏好的提示。根据不同的实施方式，远程单元能够呈现以不同方式格式化的第一能力身份格式，诸如

0<IMSI>.nas@nai.epc.mnc<MNC>.mcc<MCC>.3gppnetwork.org

在这种情况下，可以添加“.nas”后缀作为用户名的一部分，其符合将用户名定义为字符串*(“.”字符串)的RFC7542。该第一能力标识格式能够向N3IWF装置指示该请求与第一能力相关联。例如，身份格式可以向N3IWF指示远程单元不是传统远程单元，而是支持WLAN接入上的NAS信令的新远程单元。

否则，由远程单元呈现的身份能够是以第二能力身份格式，其能够是通常根据传统格式格式化的NAI身份。该第二能力标识格式能够向装置500指示该请求与第二能力相关联。例如，该第二能力标识格式能够向装置500指示远程单元不支持NAS。

根据另一可能的实施方式，控制器520能够经由第一网络接口581接收远程单元标识身份消息。远程单元身份消息能够包括远程单元的身份，并且控制器520能够基于远程单元标识消息中的能力信息元素的存在来确定安全连接请求是与第一能力相关联还是与第二能力相关联。例如，替代使用用于远程单元身份的不同的格式，远程单元能够简单地在EAP-响应/身份消息中添加新信息元素，其能够向控制器520指示远程单元支持NAS协议。根据可能的实施方式，控制器520能够经由第一网络接口581发送远程单元身份请求，并且远程单元身份消息能够是对远程单元身份请求的远程单元身份响应。

控制器520能够经由第一网络接口581与远程单元建立安全连接。安全连接能够是装置500和远程单元之间的因特网协议安全(IPsec)连接，诸如N3IWF和UE之间的IPsec连接。例如，经由第一网络接口的安全连接能够是IPsec隧道。

当安全连接请求与第一能力相关联时，控制器520能够确定安全连接能够仅用于信令数据并且能够在安全连接和第二网络接口582之间中继信令数据。当安全连接请求与第一能力相关联时，IPsec隧道能够用于控制信令，诸如NAS信令。在这种情况下，控制器520能够假设经由IPsec隧道接收的任何分组是来自远程单元的NAS消息，并且能够经由第二网络接口582将该NAS消息中继到移动核心网络，诸如NGCN。

当安全连接请求与第二能力相关联时，控制器520能够代表远程单元经由第三网络接口583建立数据连接。控制器520还能够确定安全连接能够仅用于用户数据，并且能够通过第三网络接口583在安全连接和数据连接之间中继用户数据。用户数据可以不包括NAS信令。在这种情况下，控制器520能够建立数据连接，该数据连接能够是装置500和远程单元之间的IPsec连接，诸如N3IWF和UE之间的IPsec隧道。当安全连接请求与第二功能相关联时，IPsec隧道能够仅用于数据，诸如用户平面数据。在这种情况下，控制器520能够假设通过IPsec隧道接收的任何分组是来自远程单元的用户数据分组，诸如TCP/IP或UDP/IP分组，并且能够经由第三网络接口583将该分组中继到NGCN。

根据可能的实施方式，当安全连接请求与第二能力相关联时，控制器520能够通过经由第二网络接口582请求协议数据单元会话，代表远程单元经由第三网络接口583建立数据连接。在远程单元在移动核心网络中成功附连之后，控制器520能够通过发送协议数据单元会话请求来请求协议数据单元会话。当控制器520经由第二网络接口582接收到附连接受消息并且利用附连完成消息响应时，能够认为远程单元在移动核心网络中成功附连。例如，如信令流程图400所示，控制器520能够从移动核心网络接收附连接受消息，能够利用附连完成消息响应，并且能够代表远程单元发送协议数据单元会话建立请求。两个IKE(EAP-通知)消息能够是可选消息。当控制器520想要向远程单元发送包括在附连接受消息中的一些信息时，它能够向远程单元发送IKE(EAP-通知)消息。当远程单元不支持NAS时，可能没有必要向远程单元发送IKE(EAP-通知)消息。因此，在一些实施方式中，可以不使用这两个消息。在替代的实施方式中，如上关于信令流程图300所讨论的，当控制器520接收附连接受时，它可以不向远程单元发送IKE(EAP-通知)。相反，它能够向远程单元发送IKE(EAP-成功)，其完成IPsec隧道的建立，然后经由已建立的IPsec隧道将附连接受消息转发到远程单元。由于远程单元能够在此实施方式中支持NAS信令，它能够处理此附连接受消息并经由IPsec隧道发送附连完成响应。

在经由诸如NG2接口的第二网络接口582发送协议数据单元会话建立请求消息之后，能够经由诸如NG3接口的第三网络接口583建立数据连接。控制器520能够通过经由第二网络接口582发送协议数据单元会话建立请求消息来请求协议数据单元会话。协议数据单元会话建立请求消息能够包括指示应该被用于所请求的协议数据单元会话的默认参数的标示。默认参数能够从远程单元的订阅数据导出或与之相关联。响应于请求协议数据单元会话，控制器520能够经由第二网络582接口接收资源建立请求。资源建立请求能够触发控制器520向远程单元发送成功消息以指示安全连接已成功建立。成功消息能够是因特网密钥交换可扩展认证协议成功消息。资源建立请求能够是指示控制器520与远程单元建立通信资源的消息。这些资源能够被用于支持所请求的协议数据单元会话的数据通信。该消息能够触发控制器520以完成用于安全连接的IPsec建立。

图6是示出根据可能实施例的诸如互通实体130、N3IWF 210、和/或装置500的装置的操作的示例流程图600。在610，能够经由第一网络接口通过非3GPP接入网络与远程单元通信。在620，能够经由第二网络接口与移动核心网络进行通信。在630，能够经由第三网络接口与移动核心网络进行通信。在640，经能够由第一网络接口接收建立安全连接的安全连接请求。

在660，能够确定安全连接请求与第一能力相关联或与第二能力相关联。能够基于远程单元的身份的身份格式来确定安全连接请求与第一能力相关联或与第二能力相关联。还能够基于远程单元身份消息中的能力信息元素的存在来确定安全连接请求与第一能力相关联或与第二能力相关联。例如，仅能力信息元素的存在能够指示安全连接请求与第一能力相关联。作为替代，能力信息元素的值能够指示安全连接请求是与第一能力相关联还是与第二能力相关联。

如果安全连接请求与第一能力相关联，在670，安全连接能够被建立，并且能够被用于经由第一网络接口与远程单元仅传送信令数据。在672，能够在安全连接和第二网络接口之间中继信令数据。根据可能的实施方式，当安全连接与第一能力相关联时，安全连接能够仅用于传送信令数据。

如果安全连接请求与第二能力相关联，在680，安全连接能够被建立，并且能够被用于经由第一网络接口与远程单元仅传送用户数据。在682，能够代表远程单元经由第三网络接口建立数据连接。建立数据连接能够包括经由第二网络接口请求协议数据单元会话。在远程单元成功附连到移动核心网络之后，能够通过发送协议数据单元会话请求请求协议数据单元会话。建立数据连接还能够包括响应于请求协议数据单元会话，经由第二网络接口接收资源建立请求。资源建立请求能够触发向远程单元发送指示安全连接已成功建立的成功消息。在684，当安全连接请求与第二能力相关联时，能够在安全连接和数据连接之间中继用户数据。

应当理解的是，尽管如图中所示的特定步骤，取决于实施例，能够执行各种附加的或不同的步骤，并且取决于实施例，能够重新排列、重复或完全消除一个或多个特定步骤。例如，流程图600能够包含信令流程图300的操作、信令流程图400的操作、和/或装置500的操作。并且，当执行其他步骤时，所执行的一些步骤能够在持续或连续的基础上重复。此外，不同的步骤能够由所公开的实施例的不同的元件执行或在所公开的实施例的单个元件中执行。

能够在编程的处理器上实现本公开的方法。然而，控制器、流程图和模块也可以在通用或专用计算机、编程微处理器或微控制器和外围集成电路元件、集成电路、诸如分立元件电路的硬件电子或逻辑电路、可编程逻辑器件等上实现。通常，其上驻留有能够实现图中所示的流程图的有限状态机的任何设备可用于实现本公开的处理器功能。

虽然已经用其具体实施方式描述了本公开，但显然许多替代、修改和变化对于本领域技术人员而言是显而易见的。例如，在其他实施例中，实施例的各种组件可以互换、添加或替换。并且，每个图的所有元件对于所公开的实施例的操作不是必需的。例如，通过简单地采用独立权利要求的元素，所公开的实施例的本领域的一个普通技术人员将能够制造和使用本公开的教导。因此，如本文所述的本公开的实施方式旨在说明而非限制。在不脱离本公开的精神和范围的情况下，可以进行各种改变。

在本文中，诸如“第一”、“第二”等的关系术语可以仅用于将一个实体或动作与另一个实体或动作区分开，而不一定要求或暗示实体或动作之间的任何实际的这种关系或顺序。后跟随列表的短语“至少一个”或“从…的组中选择的至少一个”或“从…中选择的至少一个”被定义为表示列表中的元素中的一个、一些或全部，但不一定是全部。术语“包括”、“包含”或其任何其他变型旨在涵盖非排他性包含，使得包括元素列表的过程、方法、物品或装置不仅包括那些元素，而且可以包括未明确列出的或者这种过程、方法、物品或装置固有的其他元素。在没有更多约束的情况下，由“一”、“一个”等接着的元素不排除在包括该元素的过程、方法、物品或装置中存在另外的相同元素。并且，术语“另一个”被定义为至少第二个或更多。这里使用的术语“包括(including)”、“具有”等被定义为“包括(comprising)”。此外，背景技术部分是作为在提交时发明人对一些实施例的背景的理解，并且包括发明人自己对现有技术和/或发明人自己工作中遇到的问题的任何问题的认识。

Claims (20)

1.一种装置，包括：

第一网络接口，所述第一网络接口通过非3GPP接入网络与远程单元通信；

第二网络接口，所述第二网络接口与移动核心网络通信；

第三网络接口，所述第三网络接口与所述移动核心网络通信；

控制器，所述控制器：

经由所述第一网络接口，接收建立安全连接的安全连接请求；

确定所述安全连接请求是与第一能力相关联还是与第二能力相关联；

经由所述第一网络接口，建立与所述远程单元的所述安全连接；

当所述安全连接请求与所述第一能力相关联时，在所述安全连接和所述第二网络接口之间中继信令数据；以及

当所述安全连接请求与所述第二能力相关联时，代表所述远程单元经由所述第三网络接口建立数据连接，并通过所述第三网络接口在所述安全连接和所述数据连接之间中继用户数据。

2.根据权利要求1所述的装置，其中，通过经由所述第二网络接口请求协议数据单元会话，所述控制器代表所述远程单元经由所述第三网络接口建立数据连接。

3.根据权利要求2所述的装置，其中，通过经由所述第二网络接口发送协议数据单元会话建立请求消息，所述控制器请求协议数据单元会话，其中所述协议数据单元会话建立请求消息包括指示默认参数应被用于所请求的协议数据单元会话的标示。

4.根据权利要求2所述的装置，其中，响应于请求所述协议数据单元会话，所述控制器经由所述第二网络接口接收资源建立请求，其中所述资源建立请求触发所述控制器向所述远程单元发送指示所述安全连接已成功建立的成功消息。

5.根据权利要求2所述的装置，其中，在所述远程单元成功附连到所述移动核心网络之后，所述控制器通过发送协议数据单元协议数据单元会话请求来请求协议数据单元会话。

6.根据权利要求1的装置，

其中，所述控制器经由所述第一网络接口接收所述远程单元的身份，其中，所述远程单元的所述身份具有身份格式；以及

其中，所述控制器基于所述身份格式确定所述安全连接请求是与第一能力相关联还是与第二能力相关联。

7.根据权利要求6所述的装置，其中，身份格式包括添加到所述身份中的用户名的后缀，其中添加到所述用户名的所述后缀指示所述安全连接请求与所述第一能力相关联。

8.根据权利要求7所述的装置，其中所述后缀的省略指示所述安全连接请求与所述第二能力相关联。

9.根据权利要求1所述的装置，

其中，所述控制器经由所述第一网络接口接收远程单元身份消息，所述远程单元身份消息包括所述远程单元的身份；以及

其中，所述控制器基于所述远程单元身份消息中的能力信息元素的存在来确定所述安全连接请求是与第一能力相关联还是与第二能力相关联。

10.根据权利要求1所述的装置，其中，所述第一能力支持非接入层通信，并且所述第二能力不支持非接入层通信。

11.根据权利要求1所述的装置，其中，所述非3GPP接入网络是包含至少一个无线局域网接入点的无线局域网。

12.根据权利要求1所述的装置，

其中第二网络接口与所述移动核心网络交换控制平面数据；以及

其中第三网络接口与所述移动核心网络交换用户平面数据。

13.根据权利要求1所述的装置，其中，当所述安全连接与所述第一能力相关联时所述安全连接仅用于传送信令数据。

14.根据权利要求1所述的装置，其中，当所述安全连接与所述第二能力相关联时所述安全连接仅用于传送用户数据。

15.一种方法，包括：

经由第一网络接口通过非3GPP接入网络与远程单元通信；

经由第二网络接口与移动核心网络通信；

经由第三网络接口与所述移动核心网络通信；

经由所述第一网络接口，接收建立安全连接的安全连接请求；

确定所述安全连接请求是与第一能力相关联还是与第二能力相关联；

经由所述第一网络接口，建立与所述远程单元的所述安全连接；

当所述安全连接请求与所述第一能力相关联时，在所述安全连接和所述第二网络接口之间中继信令数据；以及

当所述安全连接请求与所述第二能力相关联时，代表所述远程单元经由所述第三网络接口建立数据连接，并在所述安全连接和所述数据连接之间中继用户数据。

16.根据权利要求15所述的方法，其中建立数据连接包括经由所述第二网络接口请求协议数据单元会话。

17.根据权利要求16所述的方法，其中建立数据连接包括响应于请求所述协议数据单元会话，经由所述第二网络接口接收资源建立请求，其中所述资源建立请求触发向所述远程单元发送指示所述安全连接已成功建立的成功消息的发送。

18.根据权利要求16所述的方法，其中，在所述远程单元成功附连到所述移动核心网络之后，通过发送协议数据单元协议数据单元会话请求来请求所述协议数据单元会话。

19.根据权利要求15所述的方法，进一步包括：经由所述第一网络接口接收所述远程单元的身份，其中，所述远程单元的所述身份具有身份格式，

其中，确定包括基于所述身份格式确定所述安全连接请求是与第一能力相关联还是与第二能力相关联。

20.根据权利要求15所述的方法，进一步包括：经由所述第一网络接口接收远程单元身份消息，所述远程单元身份消息包括所述远程单元的身份，

其中，确定包括基于所述远程单元身份消息中的能力信息元素的存在来确定所述安全连接请求是与第一能力相关联还是与第二能力相关联。