CN112602298A - 不允许对5gcn的非3gpp接入的处理失败 - Google Patents

不允许对5gcn的非3gpp接入的处理失败 Download PDF

Info

Publication number
CN112602298A
CN112602298A CN201980044322.7A CN201980044322A CN112602298A CN 112602298 A CN112602298 A CN 112602298A CN 201980044322 A CN201980044322 A CN 201980044322A CN 112602298 A CN112602298 A CN 112602298A
Authority
CN
China
Prior art keywords
message
network
eap
authentication
response
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201980044322.7A
Other languages
English (en)
Other versions
CN112602298B (zh
Inventor
J·刘
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Nokia Oyj
Original Assignee
Nokia Networks Oy
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nokia Networks Oy filed Critical Nokia Networks Oy
Priority to CN202310661806.4A priority Critical patent/CN116647394A/zh
Publication of CN112602298A publication Critical patent/CN112602298A/zh
Application granted granted Critical
Publication of CN112602298B publication Critical patent/CN112602298B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H04W12/0471—Key exchange
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W24/00—Supervisory, monitoring or testing arrangements
    • H04W24/08—Testing, supervising or monitoring using real traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/16—Discovering, processing access restriction or access information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/18—Management of setup rejection or failure
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H04W84/12—WLAN [Wireless Local Area Networks]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/02—Inter-networking arrangements

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

例如5G核心网络之类的核心网络系统中的互通功能试图在不受信任的接入网络中与用户设备(UE)建立安全关联。当5G核心网络不接受安全关联时，UE从核心网络接收响应，所述响应包括指示不允许对5G核心网络的非3GPP接入的消息类型。在接收到响应消息后，UE通过发送以可扩展认证协议(EAP)响应格式化的5G停止消息来结束会话。EAP响应/5G停止消息包括具有5G停止值的消息ID字段。

Description

不允许对5GCN的非3GPP接入的处理失败
相关申请的交叉引用
根据35U.S.C.§119，本申请要求于2018年6月30日提交的题为“用于在安全关联建立期间处理认证失败的方法和设备(Method and Apparatus For HandlingAuthentication Failure During Security Association Establishment)”的第62/692,722号美国临时申请的优先权，所述美国临时申请在此明确以引用的方式并入本文。
技术领域
本申请总体上涉及接入网络，且更具体地，涉及当安全关联建立不被接受时用户设备在接入网络中进行的会话建立。
背景技术
本节中的陈述提供了对现有技术的描述，而不是对现有技术的承认。例如智能手机、智能平板计算机、膝上型计算机、计算机、智能手表等用户设备(UE)通常既具有无线局域网(WLAN)连接性(例如符合IEEE 802.11x的WLAN连接性)，又具有无线电接入网络连接性(例如完全或部分地符合第三代合作伙伴计划(3GPP)标准集的技术，包括EVDO、UMTS、HSPA和LTE)。因此，UE可使用由3GPP接入网络和非3GPP接入网络组成的两种类型的接入技术连接到3GPP演进分组核心(EPC)网络。
通常，3GPP接入网络完全或部分地符合3GPP标准集规定的技术，包括例如GPRS、UMTS、EDGE、HSPA、LTE和高级LTE。非3GPP接入网络完全或部分地符合3GPP标准集未指定的技术。它们包括例如cdma2000、WLAN(例如符合IEEE 802.11x的WLAN)或固定网络之类的技术。
3GPP标准集指定了具有不同安全机制的“非3GPP”接入技术：不受信任的接入网络和受信任的接入网络。不受信任的接入网络包括可能造成更高安全风险的接入网络(例如，公共WLAN或毫微微小区接入网络)。受信任的接入网络包括网络运营商从安全角度考虑具有信任级别并且可直接与EPC网络对接的的接入网络。
在新的5G标准集中，非3GPP接入网络(N3AN)被视为5G接入网络并被视为5G系统(5GS)的一部分。对于不受信任的非3GPP接入，与NG-RAN节点一样，非3GPP互通功能(N3IWF)提供分别用于控制平面和用户平面的信令接口的终止。因此，具有5G功能的UE可以通过经由N3IWF连接到作为5G接入网络的非3GPP接入网络来接入5G核心网络(5GCN)。N3IWF在UE与5GCN之间中继上行链路和下行链路控制平面信令。另外，N3IWF为非3GPP接入网络上的会话提供了UE与5GCN之间的用户平面连接。
当前，当网络接受某些安全认证建立时，指定UE与N3IWF之间的信令程序。但是，没有可用的方法来处理网络不接受安全关联建立的情况。类似地，对于用户平面连接，需要指定一种方法来处理网络不接受用户平面安全关联建立的情况。
因此，需要提供一种在经由非3GPP接入网络接入5GCN的安全关联建立期间支持处理失败的系统和方法。本文描述的实施方案还提供了其他需求和益处。
发明内容
下文呈现对所公开的主题的概述，以提供对所公开的主题的一些方面的基本理解。此概述并非是所公开的主题的详尽概括。它不意图标识所公开的主题的关键或决定性要素、或划出所公开的主题的范围。它的唯一目的是以简化形式呈现一些概念，以作为下文所讨论的更详细的描述的序言。
在一个方面，一种用于管理通过不受信任的接入网络与核心网络进行网络连接的互通功能节点包括：被配置成通过不受信任的接入网络与用户设备(UE)进行通信的第一网络接口和被配置成与核心网络中的一个或多个节点进行通信的第二网络接口。所述互通功能节点包括处理装置，所述处理装置被配置成：处理来自不受信任的接入网络中的UE的对与核心网络进行连接建立的请求，并向核心网络生成请求；确定核心网络不接受连接建立；向UE生成响应消息，其中所述响应消息包括错误，所述错误指示核心网络不允许通过不受信任的接入网络进行连接建立。
在另一方面，一种用于处理来自互通功能节点的网络连接请求的接入和移动性管理功能(AMF)包括：被配置成与互通功能节点和核心网络中的认证功能进行通信的网络接口。AMF还包括处理装置，所述处理装置被配置成：处理UE通过不受信任的接入网络进行认证和安全连接建立的请求；向认证服务器功能(AUSF)生成对认证和订阅检查的请求；确定对认证和订阅检查的响应指示认证失败；以及通过在认证和安全连接建立的响应消息中包括指示不允许通过不受信任的接入网络接入核心网络的原因值，生成所述响应消息。
在另一方面，用户设备(UE)包括网络接口，所述网络接口被配置成通过不受信任的接入网络与互通功能节点通信。UE包括处理装置，所述处理装置被配置成：生成对与核心网络进行安全会话建立的注册请求；处理来自互通功能节点的响应消息；以及根据响应消息确定核心网络不允许通过不受信任的接入网络进行连接建立。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成：接收来自UE的对通过不受信任的接入网络进行认证和安全连接建立的请求；生成对认证和订阅检查的请求，并通过第二接口将对认证和订阅检查的请求传输到接入和移动性管理功能(AMF)；接收来自AMF的对认证和订阅检查的响应；以及向UE生成互联网密钥交换(IKE)响应消息，所述IKE响应消息具有包括指示核心网络不允许通过不受信任的接入网络进行连接建立的错误的NAS有效负载。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成：接收来自接入和移动性管理功能的响应，所述响应封装了注册拒绝消息，所述注册拒绝消息包括指示不允许对5GCN的非3GPP接入的5GMM原因值；并生成互联网密钥交换(IKE)响应消息，所述IKE响应消息具有包括指示核心网络不接受连接建立的消息类型的有效负载。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成生成互联网密钥交换(IKE)响应消息，所述IKE响应消息具有包括指示失败原因的专用通知消息类型的通知有效负载。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成通过生成具有包括指示不允许不受信任的非3GPP接入5GCN的专用通知消息类型的通知有效负载的IKE响应消息来生成IKE响应消息。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成：向UE传输响应消息，其中所述响应消息指示核心网络不接受连接建立；接收来自UE的停止消息；并向UE生成失败消息。
在以上方面中的一个或多个方面中，互通功能节点中的处理装置被配置成处理来自UE的停止消息，其中所述停止消息包括具有消息标识符字段的5G停止消息格式，并且其中所述消息标识符字段包括5G停止标识符。
在以上方面中的一个或多个方面中，来自不受信任的接入网络中的UE的对连接建立的请求包括发起与核心网络的IPsec安全关联(SA)的IKE请求消息。
在以上方面中的一个或多个方面中，核心网络是5GCN，并且不受信任的接入网络是非3GPP接入网络。
在以上方面中的一个或多个方面中，AMF中的处理装置被配置成在响应消息中封装包括原因值的注册拒绝消息，其中所述原因值包括指示不允许对5GCN的非3GPP接入的5GMM原因值。
在以上方面中的一个或多个方面中，AMF中的处理装置被配置成在响应消息中生成可扩展认证协议(EAP)失败指示。
在以上方面中的一个或多个方面中，用户设备中的处理装置被配置成：生成停止消息，所述停止消息指示对与5GCN进行安全会话建立的注册请求的结束；并通过非3GPP接入网络将所述停止消息传输到互通功能节点。
在以上方面中的一个或多个方面中，用户设备中的处理装置被配置成生成停止消息作为EAP响应格式的消息，所述消息包括设置为5G停止的消息标识符字段。
在以上方面中的一个或多个方面中，用户设备中的处理装置被配置成处理来自互通功能节点的EAP失败消息，并执行安全关联删除程序。
在以上方面中的一个或多个方面中，用户设备中的处理装置被配置成通过生成对与5GCN进行安全会话建立的第二注册请求来重新尝试向5GCN注册，并根据来自互通功能节点的第二响应消息来确定通过不受信任的接入网络进行的连接建立成功。
在以上方面中的一个或多个方面中，用户设备中的处理装置被配置成使用更新后的参数生成对与5GCN进行安全会话建立的第二注册请求。
将部分地在详细描述、附图和随附的任何权利要求中阐述另外的方面，并且将部分地从详细描述中得出另外的方面。应理解，以上概述和以下详述都仅仅是示例性和解释性的，并且权利要求不限于所公开的实施方案。
附图说明
现在仅通过举例的方式并参考附图来描述根据本公开的实施方案的设备和/或方法的一些实施方案，其中：
图1示出了多种类型的接入网络的实施方案的示意框图。
图2示出了用于非3GPP接入的5G系统架构的实施方案的示意框图。
图3示出了逻辑流程图，所述逻辑流程图示出了UE经由不受信任的非3GPP接入网络向5GCN注册的方法的实施方案。
图4示出了用于处理不接受IKE SA和信令IPsec SA建立的情况的方法的实施方案的逻辑流程图。
图5示出了在由于可恢复的错误而导致的认证失败之后的EAP-5G会话程序的方法的实施方案的逻辑流程图。
示出了认证失败之后的EAP-5G会话程序的实施方案的逻辑流程图。
图6示出了逻辑流程图，所述逻辑流程图示出了由于不可恢复的错误失败而导致的注册拒绝的EAP-5G会话程序的实施方案。
图7示出了EAP响应/5G停止消息的实施方案的示意框图。
图8示出了当不接受用于通过非3GPP接入进行UE注册的IKE SA和信令IPsec SA建立时，用于网络功能之间的消息流的方法的实施方案的逻辑流程图。
图9示出了当由于订阅限制而不接受用于通过非3GPP接入进行UE注册的IKE SA和信令IPsec SA建立时，用于网络功能之间的消息流的方法的实施方案的逻辑流程图。
图10示出了当不接受用户平面IPsec安全关联建立时，用于网络功能之间的消息流的方法的实施方案的逻辑流程图。
图11示出了5GMM原因信息元素1100的实施方案的示意框图。
图12示出了5GMM原因信息元素的值的实施方案的示意框图。
图13示出了N3IWF的方法的实施方案的逻辑流程图。
图14示出了在由于可恢复的错误而导致认证失败的情况下通过不受信任的接入网络进行对核心网络的注册请求的方法的实施方案的逻辑流程图。
图15示出了在由于不可恢复的错误而导致认证失败的情况下通过不受信任的接入网络进行对核心网络的注册请求的方法的实施方案的逻辑流程图。
图16示出了示例用户设备的实施方案的示意框图。
图17示出了AMF节点的实施方案的示意框图。
图18示出了N3IWF的实施方案的示意框图。
具体实施方式
描述和附图仅示出了各种实施方案的原理。因此，将理解，本领域的技术人员将能够设计出各种布置，所述布置尽管未在本文中明确描述或示出，但体现本文和权利要求中的原理并且落入本公开的精神和范围内。此外，本文中列举的所有示例主要旨在明确地仅用于教导目的，以帮助读者理解实施方案的原理和发明人为深化本领域所做出的构思，并且应解释为不限于这些具体列举的示例和条件。此外，本文中引用原理、方面和实施方案及其具体示例的所有陈述旨在涵盖其等效物。
为了方便起见，下文展开本文中所描述的某些缩写：
5GC 5G核心
5GCN 5G核心网络
5GS 5G系统
5G-AN 5G接入网络
5GMM 5GS移动性管理
5G-GUTI 5G全局唯一临时标识符
5G-S-TMSI 5G S临时移动订阅标识符
5QI 5G QoS标识符
AMF 接入和移动性管理功能
AUSF 认证服务器功能
EAP 可扩展认证协议
HPLMN 家庭公共陆地移动网络
IKEv2 互联网密钥交换第2版
IMSI 国际移动订户身份
IMEI 国际移动设备身份
IPsec 互联网协议安全
MCM 多连接模式
N3IWF 非3GPP互通功能
NAS 非接入层
PDN 分组数据网络
PLMN 公共陆地移动网络
QoS 服务质量
SA 安全关联
SCM 单连接模式
UDM 统一数据管理
UE 用户设备
UICC 通用集成电路卡
USIM UMTS订户身份移动
本文描述了提供用于向未经认证的用户设备提供网络服务的系统和方法的一个或多个实施方案。例如，描述了用于未经认证的UE在非3GPP接入网络中进行会话建立的各种方法。
图1示出了用于5G核心网络(5GCN)100的多种类型的接入网络的实施方案的示意框图，所述5GCN 100完全或部分地符合用于5G系统的第三代合作伙伴计划(3GPP)标准集，例如技术规范(TS)23.501“用于5G系统的系统架构”、定义5G系统的程序的技术规范(TS)23.502，以及定义5G系统的策略和计费控制框架的技术规范(TS)23.503。
5GCN 100通信地耦合到一个或多个接入网络102。在实施方案中，接入网络102可包括一个或多个3GPP接入网络104或一个或多个非3GPP接入网络106。3GPP接入网络104完全或部分地符合3GPP标准集规定的技术，且包括例如GPRS、UMTS、EDGE、HSPA、LTE和高级LTE。非3GPP接入网络106完全或部分地符合3GPP标准集未指定的技术。非3GPP接入网络106也可在3GPP标准集中指定。非3GPP接入网络106可包括一个或多个非3GPP受信任的接入网络108或一个或多个非3GPP不受信任的接入网络110。
受信任的非3GPP接入网络108是运营商构建或运营商支持的无线局域网(WLAN)，例如具有加密和安全认证方法的符合IEEE 802.11x的WLAN网络。在一个实施方案中，受信任的非3GPP接入网络108支持以下示例特征：基于802.1x的认证，所述认证又需要对无线电接入网络(RAN)的加密；使用EAP方法进行认证的基于3GPP的网络接入；以及IPv4和/或IPv6协议。然而，运营商可确定具有不同类型的安全性的其他类型的非3GPP接入网络将被视为受信任的。不受信任的非3GPP接入网络110包括运营商未知或不包括支持的认证标准的非3GPP接入网络。例如，不受信任的非3GPP接入网络可包括家庭或公共WLAN，例如向公共、家庭WLAN或其他发起和管理的非运营商开放的符合IEEE 802.11x的WLAN网络。
图2示出了用于非3GPP接入的5G系统架构的实施方案的示意框图。在题为“5G系统的系统架构(System Architecture for the 5G System)”的技术标准3GPP TS 23.501(版本15)(2017年12月)中更详细地描述了此架构，所述技术标准在此以引用的方式并入本文。
非3GPP接入网络通过非3GPP互通功能(N3IWF)连接到5GCN 100。N3IWF 204分别经由N2和N3接口对接5GCN 100的控制平面(CP)和用户平面(UP)功能。UE 200与N3IWF 204建立IP安全(IPSec)隧道，以通过不受信任的非3GPP接入网络110附接到5GCN 100。UE 200在IPSec隧道建立程序期间由5GCN 100认证并附接到5GCN 100。在题为“5G系统的程序(Procedures for the 5G System)”的3GPP TS 23.502(版本15)(2017年12月)中描述了UE200通过不受信任的非3GPP接入110附接到5GCN 100的更多详细信息，所述技术标准在此以引用的方式并入本文。
5GCN 100包括家庭公共陆地移动网络或等效家庭PLMN(HPLMN)，包括接入和移动性管理功能(AMF)202。AMF 202提供控制平面接口(N2)的终止和NAS(N1)协议集的终止以及NAS加密和完整性保护。AMF 202还提供注册和连接管理。AMF 202可以包括各种功能以支持非3GPP接入网络110。例如，AMF 202可以通过N3IWF 204提供对N2接口控制协议的支持以及通过N3IWF 204支持与UE 200的NAS信令。另外，AMF 202可以支持通过N3IWF 204连接的UE200的认证，以及经由非3GPP接入连接或同时经由3GPP和非3GPP接入连接的UE 200的移动性管理、认证和单独的安全上下文状态。非接入层(NAS)是5G标准中的协议集。5G NAS(非接入层)包括与5GS(5G系统)上的5GMM(5GS移动性管理)和5GSM(5G会话管理)相关的程序。NAS用于在用户设备(UE)与5GCN功能之间传递控制信令。在3GPP TS 24.501：“用于5G系统(5GS)的接入层(NAS)协议(Access-Stratum(NAS)protocol for 5G System(5GS))”第1.1版(2018年5月9日)中定义了5G NAS协议的版本，所述协议在此以引用的方式并入本文。
会话管理功能(SMF)206包括会话管理功能性，例如会话建立、修改和发布，包括UPF208与AN节点之间的隧道维护。SMF 206还提供UE IP地址分配和管理(包括可选的授权)以及DHCPv4(服务器和客户端)和DHCPv6(服务器和客户端)功能。
用户平面功能(UPF)208提供与数据网络以及分组路由和转发的互连的外部PDU会话点。UPF 208还支持策略规则实施的用户平面部分，例如选通、重定向、流量转向等。
策略控制功能(PCF)214支持统一的策略框架来管理网络行为。统一数据管理(UDM)212包括支持生成3GPP AKA认证凭证、基于订阅数据的接入授权(例如漫游限制)以及UE的服务NF注册管理(例如为UE存储服务AMF，为UE的PDU会话存储服务SMF)。它还提供SMS和订阅管理。为了提供此功能性，UDM 212使用可以存储在UDR中的订阅数据(包括认证数据)。另一个模块提供认证服务器功能(AUSF)210。
在不受信任的非3GPP接入110的情况下，N3IWF 204的功能性包括支持与UE 200进行IPsec隧道建立。N3IWF 204通过NWu接口终止与UE 200的IKEv2/IPsec协议，并通过N2接口中继认证UE 200并授权其接入5GCN 100所需的信息。N3IWF 204为5GCN 100提供分别用于控制平面和用户平面的N2和N3接口的终端。N3IWF 204在UE 200与AMF 202之间中继上行链路和下行链路控制平面NAS(N1)信令。N3IWF 204提供来自SMF 206(由AMF 202中继)的与PDU会话和QoS有关的N2信令的处理。N3IWF 204还提供IPsec安全关联(IPsec SA)的建立以支持PDU会话流量。N3IWF 204还提供在UE 200与UPF 208之间中继上行链路和下行链路用户平面分组。
图3示出了逻辑流程图，所述逻辑流程图示出了UE 200经由不受信任的非3GPP接入110向5GCN 100注册的方法的实施方案。所述方法包括称为“EAP-5G”的供应商特定的可扩展认证协议(EAP)。在2004年6月发布的IETF RFC 3748：“可扩展认证协议(EAP)(Extensible Authentication Protocol(EAP))”中定义了EAP。EAP-5G是用于5GS的供应商特定的EAP(EAP-5G)，其用于封装在UE 200与N3IWF 204之间的NAS消息。EAP-5G分组利用“扩展的”EAP类型和根据SMI专用企业代码注册表(即10415)向IANA注册的现有3GPP供应商ID。在实施方案中，EAP-5G仅用于封装NAS消息(不用于认证)。
如果需要认证UE 200，则如下文所述，在UE 200与AUSF 210之间执行EAP-AKA'相互认证。在经由不受信任的非3GPP接入网络110进行的注册和随后的注册程序中，在UE 200与AMF 202之间交换NAS消息。
在步骤1中，UE 200利用3GPP范围之外的程序(例如在IEEE 802.11WLAN协议中指定的)连接到不受信任的非3GPP接入网络110，并且被分配IP地址。可以使用任何非3GPP认证方法，例如，不进行认证(在免费WLAN的情况下)，具有预共享密钥、用户名/密码等的可扩展认证协议(EAP)。当UE 200决定附接到5GCN 100时，UE 200在5G PLMN中选择N3IWF 204。
在步骤2中，通过发起互联网密钥交换(IKE)协议初始交换(例如，如IETF RFC7296“互联网密钥交换协议第2版(IKEv2)(Internet Key Exchange Protocol Version 2(IKEv2))”(2014年10月)中所描述的)，UE 200通过所选的N3IWF 204继续IPsec安全关联(SA)的建立。。步骤2之后，通过使用在此步骤中建立的IKE SA对后续的IKE消息进行加密和完整性保护。
在步骤3中，UE 200将通过发送IKE_AUTH请求消息来发起IKE_AUTH交换。AUTH有效负载未包含在IKE_AUTH请求消息中，这指示IKE_AUTH交换使用可扩展认证协议(EAP)信令协议，例如EAP-5G信令(例如IETF RFC 5448：“第三代认证和密钥协定(EAP-AKA')的改进的可扩展认证协议方法(Improved Extensible Authentication Protocol Method for 3rdGeneration Authentication and Key Agreement(EAP-AKA'))”(2018年3月5日)中描述的EAP-AKA’，所述协议在此以引用的方式并入本文)。
在步骤4中，N3IWF 204以IKE_AUTH响应消息进行响应，所述消息包括EAP请求/5G开始分组。EAP请求/5G开始分组通知UE 200发起EAP-5G会话，即开始发送封装在EAP-5G分组内的NAS消息。
在步骤5中，UE 200生成并传输针对5GCN 100的注册请求，例如IKE_AUTH请求，所述请求包括具有接入网络参数(AN参数)和NAS注册请求消息的EAP响应/5G-NAS分组。因此，UE通过发送EAP响应/5G-NAS分组来确认EAP-5G会话的开始，所述EAP响应/5G-NAS分组包括：a)包含NAS消息(例如注册请求消息)的NAS-PDU字段；b)包含接入网络参数的AN参数字段，例如SUPI或5G-GUTI、选择的网络和S-NSSAI等(参见3GPP TS 23.502)。N3IWF 204使用AN参数来选择5GCN 100中的AMF 202。
在步骤6a中，N3IWF 204基于接收到的AN参数和本地策略来选择5GCN 100中的AMF202。N3IWF 204然后在步骤6b中将从UE 200接收的注册请求转发到所选择的AMF 202。N3IWF 204在从AMF 202接收到NAS消息之后，将所述NAS消息包括在发送给UE 100的EAP请求/5G-NAS消息中。EAP请求/5G-NAS消息包括NAS-PDU字段，所述字段包含NAS消息。UE 200与AMF 202之间经由N3IWF 204传送的其他NAS消息被插入EAP响应/5G-NAS消息(UE到N3IWF方向)和EAP请求/5G-NAS消息(N3IWF到UE方向)的NAS-PDU字段中。
在步骤7a和7b中，所选择的AMF 202可以决定通过经由N3IWF 204向UE 200发送NAS身份请求消息来请求UE的永久身份(SUPI)。通过封装在EAP/5G-NAS分组中的N3IWF 204将此NAS消息和所有后续的NAS消息发送给UE 200。
在步骤8中，AMF 202可以决定认证UE 200。在这种情况下，AMF 202将通过使用UE200的SUPI或加密的SUPI来选择AUSF 210，并且将在步骤8a将密钥请求发送到所选择的AUSF 210。AUSF 210可以在步骤8b中发起EAP-AKA'认证，如在TS 3GPP TS 33.501：“用于5G系统的安全架构和程序(Security Architecture and Procedures for 5G System)”(2018年3月26日，版本15)中所指定的，所述协议在此以引用的方式并入本文。在步骤8c中，将EAP-AKA'质询分组封装在去往N3IWF的NAS认证消息中，并在步骤8d中，将NAS认证消息封装在EAP/5G-NAS分组中。在步骤8e中，UE 200生成对EAP-AKA质询的认证响应，在步骤8f中，所述认证响应由N3IWF 204转发给AMF。然后，在步骤8g中，AUSF 210从AMF接收认证响应。
在成功认证UE 100之后，在步骤8h中，AUSF 210将锚密钥(SEAF密钥)发送到AMF202，AMF 202使用所述锚密钥来导出NAS安全密钥和N3IWF 204的安全密钥(N3IWF密钥)。UE200还导出锚密钥(SEAF密钥)，并且从所述密钥中导出NAS安全密钥和N3IWF 204的安全密钥(N3IWF密钥)。UE 200和N3IWF 204使用N3IWF密钥来建立IPsec安全关联(在步骤11中)。如果在步骤8a中，AMF 202向AUSF 210提供了加密的SUPI，则AUSF 210包括SUPI(未加密)。
在步骤9a和9b，AMF 202向UE 200发送安全模式命令(SMC)请求以激活NAS安全性。此请求首先与N3IWF密钥一起发送到N3IWF 204(在N2消息内)。如果在步骤8中成功执行了EAP-AKA’认证，则在步骤9a中AMF 202将从AUSF 210接收到的EAP成功封装在SMC请求消息内。
在步骤10a中，UE 200完成EAP-AKA'认证(如果在步骤8中发起)，并创建NAS安全上下文和N3IWF密钥。在UE 200中创建了N3IWF密钥之后，UE 200通过发送EAP响应/5G完成分组来请求EAP-5G会话的完成。假设N3IWF 204也已经从AMF 202接收到N3IWF密钥，则这在步骤10b中触发N3IWF 204向UE 200发送EAP成功。这样就完成了EAP-5G会话，并且不再交换任何EAP-5G分组。如果N3IWF 204尚未从AMF 202接收到N3IWF密钥，则N3IWF 204以EAP失败来响应。
在步骤11中，通过使用在UE 200中创建并且在步骤9a中由N3IWF 204接收到的公共N3IWF密钥，在UE 200和N3IWF 204之间建立IPsec SA。此IPsec SA被称为“信令IPsecSA”。在建立信令IPsec SA之后，经由此IPsec SA在UE 200与N3IWF 204之间交换所有NAS消息。信令IPsec SA将被配置为在传送模式下操作。SPI值用于确定IPsec分组是否携带NAS消息。
在步骤12，UE 200通过所建立的信令IPsec SA发送SMC完成消息，并且所有后续的NAS消息经由此IPsec SA在UE 200与AMF 202之间交换。
如上所述，当5GCN 100接受在非3GPP接入网络110上的IKE SA和信令IPsec SA建立时，UE 200和N3IWF 204具有定义的方法。但是，没有可用的系统或方法来处理5GCN 100不接受IKE SA和信令IPsec SA建立的情况。另外，对于用户平面，需要指定一种系统和方法来处理5GCN 100不接受用户平面IPsec SA建立的情况。通常，需要建立用于处理对5GCN100的非3GPP接入的拒绝的方法和系统。
实施方案-用于处理5G核心网络不接受通过非3GPP接入网络进行UE注册的情况的过程和协议增强
图4示出了用于处理不接受IKE SA和信令IPsec SA建立的情况的方法400的实施方案的逻辑流程图。在步骤402中，UE 200继续进行对与所选择的N3IWF 204建立IPsec安全关联(SA)的请求。UE 200使用IETF RFC 7296“互联网密钥交换协议第2版(IKEv2)”(2014年10月)中描述的互联网密钥交换(IKE)协议发起IPsec SA建立。在步骤404中，UE 200发送IKE_AUTH请求消息。在步骤406中，N3IWF 204以IKE_AUTH响应消息作为响应，所述消息包括EAP请求/5G开始分组。EAP请求/5G开始分组通知UE 200发起EAP-5G会话，即开始发送封装在EAP-5G分组内的NAS消息。
在步骤408中，UE 200向5GCN 100生成注册请求，例如IKE_AUTH请求，所述IKE_AUTH请求包括EAP响应/5G-NAS分组，所述EAP响应/5G-NAS分组包括接入网络参数(AN参数)和NAS注册请求消息。AN参数包含N3IWF 204用来在5GCN 100中选择AMF 202的信息(例如SUPI或5G-GUTI，所选择的网络和NSSAI)。
在一些情况下，例如由于认证失败，诸如EAP-AKA'认证不成功，通过非3GPP接入进行的UE注册被拒绝。然后，5GCN 100不接受IKE SA和信令IPsec SA建立。在一个实施方案中，在步骤410中，AMF 202生成注册拒绝消息，并且N3IWF 204向UE发送EAP响应/5G-NAS消息，所述EAP响应/5G-NAS消息包括NAS-PDU字段，所述NAS-PDU字段包含注册拒绝消息。
在接收到注册拒绝消息之后，在步骤412中，UE 200通过生成并发送EAP响应/5G停止消息(封装在IKE_Auth请求中)来结束注册请求。在步骤414中，UE 200从N3IWF 204接收带有EAP失败消息的IKE_AUTH响应。在从N3IWF 204接收到EAP失败消息时，UE 200执行IKEv2 SA删除程序。直到断开或移除包含USIM的UICC，UE 200才从相同的PLMN向N3IWF 204重新发起IKE SA和信令IPsec SA建立。
当通过非3GPP接入网络110进行UE 200注册被拒绝时，AMF 202将注册拒绝消息传输到N3IWF 204。作为响应，N3IWF 204向UE 200传输EAP响应/5G-NAS消息，所述EAP响应/5G-NAS消息包括NAS-PDU字段，所述NAS-PDU字段包括注册拒绝消息。后续UE 200响应可以根据注册拒绝的原因而不同。对于可恢复的错误，例如语法错误或某些临时拒绝原因，UE200可以尝试再次使用有效参数来发起注册。由于其他拒绝原因，UE 200停止EAP-5G程序并且恢复与IKE SA和EAP栈有关的资源。要停止EAP-5G程序，需要5G停止指示。这两个程序在本文中都有更详细的描述。
实施方案-在由于可恢复的错误而导致的注册失败之后的EAP-5G程序完成
图5示出了在由于可恢复的错误而导致认证失败之后的EAP-5G会话程序的方法500的实施方案的逻辑流程图。在此实施方案中，拒绝了UE 200通过不受信任的非3GPP接入网络110对5GCN 100的注册请求。
在步骤502中，N3IWF 204向UE 200传输EAP请求/5G开始消息。5G开始消息请求UE200发起EAP-5G会话，即开始发送封装在EAP-5G分组内的NAS消息。在步骤504中，UE 200以EAP响应/5G-NAS消息向5GCN 100生成注册请求，所述EAP响应/5G-NAS消息包括AN参数和包括注册请求的NAS-PDU字段。在此实施方案中，AMF 202拒绝UE 200向5GCN 100的注册。AMF202向N3IWF 204传输注册拒绝消息。作为响应，在步骤506，N3IWF 204向UE 200传输EAP响应/5G-NAS消息，所述EAP响应/5G-NAS消息包括NAS-PDU字段，所述NAS-PDU字段包括NAS注册拒绝消息。
UE 200可以尝试再次向5GCN发起注册，但重新尝试注册不是强制性的。对于可恢复的错误，例如语法错误或某些临时拒绝原因，UE 200可以使用更新后的参数来修改注册请求消息并重新尝试注册。替代地，UE 200可以在不更新参数的情况下稍后重新尝试注册。
在步骤508中，UE 200传输被格式化为EAP响应/5G-NAS消息的第二注册请求，所述EAP响应/5G-NAS消息包括更新后的AN参数(如果需要)和包括注册请求的NAS-PDU字段。然后，UE 200和N3IWF 204执行IKE SA和信令IPsec SA建立以创建NAS安全上下文和N3IWF密钥(未示出)。
在UE 200中创建N3IWF密钥之后，在510，N3IWF 204传输包括NAS PDU的EAP请求/5G NAS消息，所述NAS-PDU具有指示EAP成功的安全模式命令消息。在512，UE 200通过生成并传输具有包括安全模式完成消息的NAS PDU的EAP响应/5G-NAS消息来请求EAP-5G会话的完成。假设N3IWF 204也已经从AMF 202接收到N3IWF密钥，则这触发N3IWF 204向UE 200发送EAP成功。这样就完成了EAP-5G会话，并且不再交换任何EAP-5G分组。
因此，当被拒绝时，UE 200可以通过非3GPP接入网络110重新尝试向5GCN 100的注册请求。拒绝可能是由于可恢复错误，例如语法错误或AN参数中的错误。当此类可恢复的错误被纠正时，第二次注册尝试可能会成功。在另一个实施方案中，拒绝是由于暂时拒绝原因造成的。然后，UE 200可以使用相同的参数重新尝试注册并完成EAP-5G会话。
实施方案-在由于不可恢复的错误而导致的注册失败之后的EAP-5G程序完成
图6示出了逻辑流程图，所述逻辑流程图示出了由于不可恢复的错误或永久失败而导致的注册拒绝的EAP-5G会话程序的实施方案。在此实施方案中，再次拒绝UE 200通过不受信任的非3GPP接入网络110向5GCN 100的注册请求。
在步骤602中，N3IWF 204通过非3GPP接入网络110向UE 200传输EAP请求/5G开始消息以发起向5GCN 100的注册。在步骤604中，UE 200以例如EAP响应/5G-NAS消息的注册请求作出响应，所述EAP响应/5G-NAS消息包括AN参数和包括注册请求的NAS-PDU字段。
如果由于不可恢复的错误而导致认证失败，例如EAP-AKA'认证不成功，则N3IWF204从AMF 202(未示出)接收注册拒绝消息。响应于从AMF 202接收到注册拒绝消息，在606，N3IWF 204向UE 200生成EAP响应/5G-NAS消息。EAP响应/5G-NAS消息包括NAS-PDU字段，所述字段包括具有EAP失败字段的NAS注册拒绝消息。
在步骤608，UE 200通过生成并传输EAP响应/5G停止消息来结束注册程序。5G停止消息指示用于通过非3GPP接入网络110向5GCN 100注册的EAP会话结束。在从UE 200接收到EAP响应/5G停止消息之后，在步骤610，N3IWF 204通过向UE 200发送EAP失败消息来完成EAP-5G程序。在此实施方案中，UE 200在注册时没有重新尝试的情况下停止了EAP-5G会话。
图7示出了EAP响应/5G停止消息700的实施方案的示意框图。EAP响应/5G停止消息700包括各种EAP分组，其中示例性字段包括代码702、标识符704、长度706、类型708、供应商ID 710、供应商类型712、消息标识符(消息ID)714、备用716和扩展718。EAP分组的消息ID字段714包括用于指示5G停止消息的标识符。以下表1中描述了EAP分组中的字段的值的示例。
Figure BDA0002869686350000091
表1
EAP响应/5G停止消息的示例字段
EAP消息中的消息标识符(消息ID)字段714包括5G停止标识符或值。EAP响应/5G停止消息700的字段和值是示例，并且可以实现指示注册停止的相似含义的其他字段/值或协议分组。
实施方案-当由于认证失败而不接受IPsec SA建立时用于进行处理的方法和协议增强
图8示出了当由于认证失败而不接受用于通过非3GPP接入网络110进行UE 200注册的IKE SA和信令IPsec SA建立时，用于网络节点功能之间的消息流的方法800的实施方案的逻辑流程图。例如，由于例如AKA质询或AKA'质询之类的认证程序的失败，可能无法接受IKE SA和信令IPsec SA建立。方法800包括新的专用IKEv2通知消息类型以向UE 200发信号通知失败，并且包括新的原因值以指示不允许通过非3GPP接入网络110接入5GCN 100。
在步骤802中，UE 200连接到不受信任的非3GPP接入网络(N3AN)110，例如使用802.1x协议连接到公共WLAN。当UE 200决定附接到5GCN 100时，在步骤804中，UE 200选择5G PLMN中的N3IWF 204。在步骤806中，UE 200通过发起IKE初始交换(例如，如IETF RFC7296“互联网密钥交换协议第2版(IKEv2)(Internet Key Exchange Protocol Version 2(IKEv2))”(2014年10月)中所述)来继续与所选择的N3IWF 204的IPsec安全关联(SA)的建立。建立IKE SA后，对后续的IKE消息进行加密，并使用在此步骤806中建立的IKE SA进行完整性保护。
在步骤808，然后，UE 200通过发送IKE_AUTH请求消息来发起IKE_AUTH交换。AUTH有效负载未包括在IKE_AUTH请求消息中，这指示IKE_AUTH交换将使用EAP信令(在这种情况下为EAP-5G信令)。UE 200将把此消息中的UE ID字段设置为等于任何随机数。在步骤810中，N3IWF 204以IKE_AUTH响应消息进行响应，所述消息包括EAP请求/5G开始分组。EAP请求/5G开始分组通知UE 200发起EAP-5G会话，即开始发送封装在EAP-5G分组内的NAS消息。
UE 200还可以验证N3IWF证书并确认N3IWF 204的身份与UE 200选择的N3IWF 204匹配。N3IWF 204缺少证书或身份确认不成功可能会导致连接失败。在步骤812，然后，UE200发送包括EAP响应/5G-NAS分组的IKE_AUTH请求以请求向5GCN 100注册。EAP响应/5G-NAS消息包括AN参数(例如，GUAMI、所选择的PLMN ID、所请求的NSSAI)和包括注册请求的NAS-PDU字段
在步骤814中，然后，N3IWF 204使用AN参数选择AMF 202，并将从UE 200接收到的注册请求以N2 NAS传送消息转发到AMF 202。
AMF 202可以决定认证UE 200。在这种情况下，AMF 202在步骤816选择AUSF 210，并将密钥请求发送给AUSF 210。在步骤818，然后，AUSF 210可以发起认证程序，例如AKA质询或AKA'质询。在AMF 202与UE 200之间，将认证分组封装在NAS认证消息中，并且将NAS认证消息封装在EAP-5G/5G-NAS分组中。在步骤820和822中，经由N3IWF 204在NAS消息认证请求消息中将EAP请求/AKA'质询消息传输到UE 200。此消息可以包括将由UE 200和AMF 202使用的ngKSI，以标识在认证成功的情况下创建的部分本地安全上下文。UE 200将在EAP请求/AKA'质询消息中接收到的RAND和AUTN转发给USIM。
在接收到RAND和AUTN时，USIM通过检查是否可以接受AUTN来验证认证向量。如果是，则在步骤823，USIM计算响应RES。在步骤824中，UE 200在NAS消息认证响应消息中发送EAP响应/AKA'质询消息。在步骤826和828中，经由AMF 202将EAP响应/AKA'质询消息传输到AUSF 210。然后，AUSF 210将尝试验证消息。如果AUSF 210已成功验证了此消息，则它将继续进行认证。
在先前已知系统中，如果在步骤830中由于认证失败而导致AUSF 210确定不允许对5GCN 100的非3GPP接入，则它返回错误。在新的改进的系统和方法中，AMF 202生成新的专用IKEv2通知消息类型，以发信号通知例如由于认证失败而不允许对5GC网络的非3GPP接入。
在步骤832中，AUSF 210发送具有EAP失败的EAP有效负载和认证失败的认证结果的HTTP EAP会话消息。AMF 202生成新的5G移动性管理(5GMM)原因，以指示不允许5GCN 100的非3GPP接入。在步骤834，AMF 202生成N2 NAS传送消息，该消息具有注册拒绝以及指示EAP失败并包括5GMM原因的EAP消息。5GMM原因指示错误类型，例如在此情况下为“不允许5GCN的非3GPP接入”。
在步骤836中，UE 200从N3IWF 204接收IKE_AUTH响应消息，所述响应消息具有通知有效负载，所述通知有效负载具有专用通知消息类型(例如，预定义范围内的任何专用通知消息类型，例如8192......16383)。专用IKEv2通知消息包括EAP响应/5G-NAS PDU，所述EAP响应/5G-NAS PDU包括5GMM原因为“NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED”的注册拒绝和EAP失败的EAP消息类型。
因此，方法800包括新的专用IKEv2通知消息类型和新的5GMM原因值，以向UE通知注册请求的失败，即不允许对5GCN 100的非3GPP接入。尽管实现了新的专用IKEv2通知消息，但是可以实现其他类型的消息、格式或字段或错误类型，以向UE 200通知不允许或已拒绝对5GC网络的非3GPP接入。
在接收到具有5GMM原因NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED的专用通知消息时，在步骤838中，UE 200通过发送EAP响应/5G-停止消息来结束EAP-5G会话。在步骤840中，UE 200从N3IWF 204接收具有EAP失败消息的IKE_AUTH响应消息。
在从N3IWF 204接收到EAP失败消息时，在步骤842中，UE 200执行IKEv2 SA删除程序并关闭IKE SA。直到断开或移除包含USIM的UICC，UE 200才从相同的PLMN向N3IWF 204重新发起IKE SA和IPsec SA建立。在步骤844，UE 200可以传输IKEv2 SA删除的信息消息。然后，在步骤846，N3IWF 204可以关闭IKEv2 SA。
实施方案-当由于订阅限制而不接受IPsec SA建立时用于进行处理的方法和协议增强
图9示出了当由于订阅限制而不接受用于通过非3GPP接入进行UE 200注册的IKESA和信令IPsec SA建立时，用于网络功能之间的消息流的方法900的实施方案的逻辑流程图。例如，由于订阅限制，可能不接受IKE SA和信令IPsec SA建立。方法900包括新的专用IKEv2通知消息类型以向UE 200发信号通知失败，并且包括新的原因值以指示不允许通过非3GPP接入网络110接入5GCN 100。
在步骤902中，UE 200连接到不受信任的非3GPP接入网络(N3AN)110，例如使用802.1x协议连接到公共WLAN。当UE 200决定附接到5GCN 100时，在步骤904中，UE 200选择5G PLMN中的N3IWF 204。在步骤906中，UE 200通过发起IKE初始交换(例如，如IETF RFC7296“互联网密钥交换协议第2版(IKEv2)(Internet Key Exchange Protocol Version 2(IKEv2))”(2014年10月)中所述)来继续与所选择的N3IWF 204的IPsec安全关联(SA)的建立。建立IKE SA后，对后续的IKE消息进行加密，并使用IKE SA中建立的密钥进行完整性保护。
在步骤908，然后，UE 200通过发送IKE_AUTH请求消息来发起IKE_AUTH交换。AUTH有效负载未包括在IKE_AUTH请求消息中，这指示IKE_AUTH交换将使用EAP信令(在这种情况下为EAP-5G信令)。UE 200将此消息中的UE ID字段设置为等于任何随机数。在步骤910中，N3IWF 204以IKE_AUTH响应消息进行响应，所述消息包括EAP请求/5G开始分组。EAP请求/5G开始分组通知UE 200发起EAP-5G会话，即开始发送封装在EAP-5G分组内的NAS消息。
UE 200还可以验证N3IWF证书并确认N3IWF 204的身份与UE选择的N3IWF 204匹配。N3IWF 204缺少证书或身份确认不成功可能会导致连接失败。在步骤912中，然后，UE200在包括EAP响应/5G-NAS分组的IKE_AUTH请求中发送注册请求。EAP响应/5G-NAS分组包括AN参数，例如GUAMI、所选择的PLMN ID、所请求的NSSAI和具有注册请求的NAS PDU。在步骤914中，然后，N3IWF 204选择AMF 202并将从UE 200接收到的NAS PDU中的注册请求转发到AMF 202。
AMF 202可以决定认证UE 200。在这种情况下，AMF 202在步骤916选择AUSF 210，并将密钥请求发送给AUSF 210。在步骤918，然后，AUSF 210可以发起认证程序，例如AKA质询或AKA'质询。在AMF 202与UE 200之间，将认证分组封装在NAS认证消息中，并且将NAS认证消息封装在EAP-5G/5G-NAS分组中。EAP请求/AKA'质询消息在步骤920中由AMF在NAS消息认证请求消息中传输到UE 200，并在步骤922中由N3IWF转发。此消息可以包括将由UE 200和AMF 202使用的ngKSI，以标识在认证成功的情况下创建的部分本地安全上下文。UE 200将在EAP请求/AKA'质询消息中接收到的RAND和AUTN转发给其USIM。
在接收到RAND和AUTN时，USIM通过检查是否可以接受AUTN来验证认证向量。如果是，则在步骤923，USIM计算认证响应。在步骤924中，UE 200在NAS消息认证响应消息中发送EAP响应/AKA'质询消息。EAP响应/AKA'质询消息在步骤926中由N3IWF传输到AMF，然后在步骤928中传输到AUSF 210。然后，AUSF 210将尝试验证消息。如果AUSF 210已成功验证了此消息，则它将继续进行认证。然而，在步骤930中，AUSF 210可以拒绝认证并且不允许对5GCN100的非3GPP接入。
在先前已知系统中，如果AUSF 210确定认证失败，则AUSF 210返回错误。在新的改进方法中，AMF 202生成新的原因以发信号通知不允许对5GCN 100的非3GPP接入。例如，AMF202可以生成新的专用IKEv2通知消息类型，以向UE 200发信号通知例如由于订阅或网络限制而不允许对5GCN 100的非3GPP接入。
在步骤932中，AUSF 210发送HTTP EAP会话消息，所述会话消息具有EAP失败的EAP有效负载和具有原因的认证失败的认证结果。在步骤934，AMF 202生成N2 NAS传送消息，所述传送消息具有注册拒绝和包括5GMM原因的EAP失败的EAP消息。5GMM原因指示错误类型为NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED。
N3IWF 204从AMF 202接收封装了注册拒绝消息的响应，所述注册拒绝消息包括指示不允许对5GCN的非3GPP接入的5GMM原因值和EAP失败类型消息。在步骤936中，N3IWF 204生成IKE_AUTH响应消息，所述响应消息具有通知有效负载，所述通知有效负载具有专用通知消息类型(例如，预定义范围内的任何专用通知消息类型，例如8192......16383)。专用IKEv2通知消息包括EAP响应/5G-NAS PDU，所述EAP响应/5G-NAS PDU包括5GMM原因为“NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED”的注册拒绝和EAP失败的EAP消息类型。
因此，实现了新的5GMM原因代码，以向UE 200发信号通知不允许对5GCN 100的非3GPP接入。此5GMM原因由AMF 202生成，并且如果UE 200通过PLMN中的非3GPP接入请求服务，则将此5GMM原因传输到UE 200，其中因订阅或网络限制，不允许UE 200通过非3GPP接入网络110接入5GCN 100。因此，通知UE 200拒绝通过非3GPP接入网络110接入5GCN 100。
在步骤936中，UE 200从N3IWF 204接收具有通知有效负载的IKE_AUTH响应消息，所述通知有效负载具有专用通知消息类型和EAP失败的EAP消息以及5GMM原因NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED。UE 200因此接收具有原因的注册拒绝通知，而不是仅仅接收错误消息。
在步骤938中，然后，UE 200通过向N3IWF 204生成EAP响应/5G停止消息来结束注册请求。在步骤940中，UE 200从N3IWF 204接收具有EAP失败消息的IKE_AUTH响应消息。
在从N3IWF 204接收到EAP失败消息时，在步骤942中，UE 200执行IKEv2 SA删除程序并关闭IKE SA。在此示例中，由于订阅或网络限制的不可恢复的错误，直到断开或移除包含USIM的UICC，UE 200才从相同的PLMN向N3IWF 204重新发起IKE SA和IPsec SA建立。在步骤944，UE 200可以传输IKEv2 SA删除的信息消息。在步骤946，然后，N3IWF 204可以关闭IKEv2 SA。
实施方案-当不接受用户平面IPsec SA建立时用于进行处理的方法和协议增强
图10示出了当不接受用户平面IPsec安全关联(SA)建立时，用于网络节点功能之间的消息流的方法的实施方案的逻辑流程图。在步骤1002中，UE 200连接到不受信任的非3GPP接入网络(N3AN)110，例如使用802.1x协议连接到公共WLAN。当UE 200决定附接到5GCN100时，在步骤1004中，UE 200选择5G PLMN中的N3IWF 204。在步骤1006中，UE 200通过发起IKE初始交换来继续与所选择的N3IWF 204的IPsec安全关联(SA)的建立。在此实施方案中，在1008，UE 200成功建立了IKE SA并向所选择的N3IWF 204发信号通知IPsec SA。例如，如图3所示，UE 200的认证(例如EAP-AKA'程序)成功，并且EAP-5G完成。
然后，在1010，UE 200将PDU会话建立请求消息传输到AMF 202以建立用户平面IPsec SA。在步骤1012，经由信令IPsec SA将此PDU会话建立请求消息发送到N3IWF 204，并且N3IWF 204将其透明地转发到5GCN 100中的AMF 202。在步骤1014，AMF 202可以与SMF206创建会话管理(SM)上下文。在步骤1016中，AMF 202向N3IWF 204发送NAS N2接口PDU会话请求消息，以例如在N2 PDU会话资源设置请求中建立用于此PDU会话的接入资源。PDU会话请求可以包括PDU会话ID、PDU会话建立接受、QFI、QoS配置文件等。
基于其自身的策略和配置以及基于在N2 PDU会话请求中接收到的QoS配置文件，N3IWF 204确定要建立的多个用户平面IPsec SA以及与每个用户平面IPsec SA相关联的QoS配置文件。例如，N3IWF 204可以决定建立一个用户平面IPsec SA，并将所有QoS配置文件与此用户平面IPsec SA相关联。在此示例中，PDU会话的所有QoS流将通过一个用户平面IPsec SA传送。在另一示例中，N3IWF 204可以决定建立多个用户平面IPsec子SA，并将某些QoS配置文件与所述多个用户平面IPsec子SA中的不同用户平面IPsec子SA关联。
在步骤1018，N3IWF 204向UE 200发送IKE Create_Child_SA请求，以建立用于PDU会话的第一用户平面IPsec子SA。IKE Create_Child_SA请求指示具有SAup1标识的第一用户平面IPsec子SA。此请求可以包括3GPP特定的通知有效负载，所述有效负载包括(a)与子SA相关联的QFI，(b)与此子SA相关联的PDU会话的标识，(c)可选地，与子SA相关联的DSCP值，和(d)UP_IP_ADDRESS。IKE Create_Child_SA请求还可以包括其他信息，例如SA有效负载、N3IWF 204和UE 200的流量选择器(TS)等。
在步骤1020，当UE 200接受新的IPsec子SA时，UE 200发送IKE Create_Child_SA响应。在步骤1022，UE 200和N3IWF 204可以交换IKE Create_Child_SA请求和响应的多次迭代以建立多个IPsec子SA。建立额外的IPsec子SA，每个IPsec子SA与一个或多个QFI和UP_IP_ADDRESS相关联。
如果在步骤1026中UE 200不接受步骤1024中的用户平面IPsec SA请求，则在步骤1026，UE 200将具有错误类型的通知有效负载的CREATE_CHILD_SA响应消息发送到N3IWF204。通知消息类型可以是“错误”。为“错误”的通知消息类型指示UE 200不接受IPsec子SA。
在接收到具有错误类型的通知有效负载的CREATE_CHILD_SA响应消息后，在步骤1032，N3IWF 204经由N2 PDU会话资源设置响应消息向AMF 202指示失败和PDU会话资源设置失败列表，以触发拒绝通过非3GPP接入进行PDU会话建立。替代地，如果N3IWF 204先前决定为PDU会话的QoS流标识符(QFI)创建多个用户平面IPsec SA，并且PDU会话的一个或多个用户平面IPsec SA已经处于活动状态，则网络可以选择通过将失败的用户平面IPsec SA的QFI映射到已经建立的用户平面IPsec SA来完成PDU会话建立，如步骤1028和1030所示。
当在步骤1034中接收到包括指示PDU会话建立拒绝消息的NAS PDU的N2 PDU会话资源释放命令时，在步骤1036中，N3IWF 204将PDU会话建立拒绝透明地转发到UE 200。建立专用的5G会话管理(5GSM)原因“IPsec SA失败”以指示PDU会话拒绝原因。
实施方案-非3GPP接入的专用IKEv2通知消息类型
下表2列出了非3GPP接入的通知消息类型。在此示例中，描述了专用IKEv2通知消息和专用错误类型，然而当不允许对5GCN 100的非3GPP接入时，可以使用其他消息协议、值和错误类型向UE 200提供原因或错误的通知。
在此示例中，为非3GPP接入使用定义了专用IKEv2通知消息类型。尽管可以实现其他值和字段，但保留具有介于8192与16383之间的值(以十进制表示)的通知消息类型仅供专用错误使用。保留具有介于40960与65535之间的值(以十进制表示)的通知消息类型供专用状态使用。在此仅描述用于此规范的专用IKEv2通知消息类型。表2中定义的专用通知消息错误类型是错误通知，其指示在协商对5GCN 100的非36PP接入时发生错误。例如，可响应于协商用于对5GCN 100的非36PP接入的IKEv2 SA或IPsec SA而生成错误类型。专用通知消息类型的字段和值是示例，并且可以实现指示相似含义的其他字段/值。
Figure BDA0002869686350000131
Figure BDA0002869686350000141
表2
非3GPP接入的通知消息类型
UE 200可以接收具有指示不允许对5GCN 100的非3GPP接入的错误类型的消息。因此，通知UE 200拒绝通过非3GPP接入网络110接入5GCN 100。
实施方案—由于没有用于对5GC网络的非3GPP接入的订阅而导致发信号通知认证失败的原因代码
图11示出了5GMM原因信息元素1100的实施方案的示意框图。5GMM原因信息元素1100包括5GMM原因信息元素指示符(IEI)1104和原因值1106。原因值1106指示网络拒绝从UE 200接入5GCN 100的5GMM请求的原因。在此实施方案中，新的原因代码对应于“不允许对5GCN的非3GPP接入”。如果UE 200通过PLMN中的非3GPP接入请求服务，则将此5GMM原因发送到UE 200，其中因订阅或网络限制或其他认证失败，不允许UE 200通过非3GPP接入来接入5GCN 100。
图12示出了5GMM原因信息元素的值的实施方案的示意框图。在此示例中，预定值对应于“不允许对5GCN的非3GPP接入”。UE 200接收到的其他值被视为“协议错误，未指定”。网络接收到的任何其他值也被视为“协议错误，未指定”。5GMM原因信息元素的字段和值是示例，并且可以实现指示相似含义的其他字段/值。
图13示出了N3IWF 204的方法1300的实施方案的逻辑流程图。在步骤1302，N3IWF204使用第一接口使用一个或多个协议与5GCN 100中的节点进行通信。在步骤1304，N3IWF204使用至少第二接口(例如，符合IEEE 802.1x WLAN协议的WLAN收发器)通过非3GPP接入网络与UE进行通信。
在步骤1306，N3IWF 204处理来自不受信任的接入网络中的UE 200的对与核心网络进行安全连接建立的注册请求。例如，N3IWF 204从UE 100接收包括AN参数和注册请求的EAP响应/5G-NAS消息。N3IWF 204将消息转发到5GCN 100以用于UE 200的认证和订阅检查。例如，N3IWF 204生成对认证和订阅检查的请求，并且通过第二接口将对认证和订阅检查的请求传输到AMF 202。
在步骤1308，N3IWF 204确定例如由于不可恢复的错误而导致核心网络不接受连接建立。例如，AMF 202从AUSF 210接收认证失败响应。AMF 202生成NAS传送消息，所述传送消息具有注册拒绝和指示5GMM原因的EAP失败的EAP消息。5GMM原因指示错误类型为NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED。N3IWF 204从AMF 202接收封装了注册拒绝消息的响应，所述注册拒绝消息包括指示不允许对5GCN的非3GPP接入的5GMM原因值。
在步骤1310，N3IWF 204向UE生成响应消息，其中所述响应消息包括指示核心网络不允许通过不受信任的网络接入进行连接建立的原因值。例如，N3IWF 204生成具有有效负载的互联网密钥交换(IKE)响应消息，所述有效负载包括指示5GCN 100不接受连接建立的消息类型或EAP失败以及5GMM原因。去往UE 200的EAP响应/5G-NAS消息包括具有EAP失败字段和5GMM原因的注册拒绝消息。注册拒绝消息中的5GMM原因指示5GCN 100不允许非3GPP接入。
在实施方案中，去往UE的IKE响应消息可以包括IKE_AUTH响应消息，所述响应消息具有通知有效负载，所述通知有效负载具有专用通知消息类型(例如，预定义范围内的任何专用通知消息类型，例如8192......16383)。专用IKEv2通知消息包括EAP响应/5G-NASPDU，所述EAP响应/5G-NAS PDU包括5GMM原因为“NON_3GPP_ACCESS_TO_5GCN_NOT_ALLOWED”的注册拒绝和EAP失败的EAP消息类型。
N3IWF 204处理来自UE 200的包括停止消息的响应，并作为响应向UE 200生成失败消息。例如，UE 200将EAP响应/5G停止消息传输到N3IWF 204以指示对与5GCN 100进行安全会话建立的注册请求的结束。EAP响应分组包括5G停止的消息类型标识符。在从UE 200接收到EAP响应/5G停止消息之后，N3IWF 204通过向UE 200发送EAP失败消息来完成EAP-5G程序。尽管将N3IWF 204描述为执行方法1300中的这些步骤，但是与UE和核心网络通信的其他节点或模块也可以执行本文描述的一个或多个步骤。
图14示出了在由于可恢复的错误而导致认证失败的情况下通过不受信任的接入网络进行对核心网络的注册请求的方法1400的实施方案的逻辑流程图。在步骤1402，将UE200配置为通过非3GPP接入网络与5GCN 100中的互通功能(例如N3IWF 204)进行通信。在1404，UE 200可以通过非3GPP接入网络请求向5GCN 100注册。在1406，UE 200处理响应消息，所述响应消息具有不允许对5GCN 100的非3GPP接入的通知。在步骤1408，UE 200确定拒绝的错误或原因是可恢复的。UE 200可以从第一次尝试开始校正此第二注册请求中的参数。替代地，UE可以决定稍后使用相同的参数重新尝试注册。然后，在1410，UE 200通过非3GPP接入网络将第二注册请求传输到5GCN 100。然后，在步骤1412，UE 200处理会话建立成功的响应。
图15示出了在由于不可恢复的错误而导致认证失败的情况下通过不受信任的接入网络进行对核心网络的注册请求的方法1500的实施方案的逻辑流程图。在步骤1502，将UE 200配置为通过非3GPP接入网络与5GCN 100中的互通功能(例如N3IWF 204)进行通信。在1504，UE 200可以通过非3GPP接入网络请求向5GCN 100注册。在1506，UE 200处理响应消息，所述响应消息具有不允许对5GCN 100的非3GPP接入的通知。在步骤1508，UE 200确定拒绝的错误或原因不是可恢复的。在步骤1510，UE 200结束会话并生成具有停止消息的响应。在步骤1512，UE 200接收失败消息，并且执行删除程序并关闭会话。
图16示出了示例用户设备200的实施方案的示意框图。用户设备(UE)200可以包括智能手机、智能平板计算机、膝上型计算机、智能手表、PC、TV或可通过非3GPP接入网络110进行通信的其他设备。在UE 200内可以包括额外或替代部件和功能。另外，本文所示的功能和部件中的一个或多个可不存在或与其他部件或功能组合。
UE 200包括处理装置1600和存储器装置1602，其被配置成执行本文关于UE 200所描述的一个或多个功能。存储器装置1602可以包括被管理对象1604，所述被管理对象1604存储应用程序和操作指令，所述应用程序和操作指令控制处理装置1600执行本文描述的各种功能。UE 200还可包括UICC 1606，所述UICC 1606包括用于存储IMSI的USIM 1608。在其他实施方案中，UE 200不具有UICC功能，例如，UE 200不具有UICC 1606，具有不可操作的UICC 1606等。
UE 200可以进一步包括蓝牙收发器1610、WLAN(符合IEEE 802.11x的)收发器1612、移动RF(3G/4G)收发器1614和GPS 1616。WLAN收发器1612可以用作通向WLAN网络的非3GPP接入接口。UE 200可以进一步包括用户界面1618、AC适配器1620、电池模块1622、USB收发器1624和以太网端口1628。
UE 200可以进一步包括数码相机1630、触摸屏控制器1632、扬声器1634和传声器1636。UE 200还可以包括功率管理单元1638。一个或多个内部通信总线(未示出)可以通信地耦合UE 200的一个或多个部件。
图17示出了示例AMF 202的实施方案的示意框图。AMF 202包括具有AMF 202的功能的任何一个或多个节点。AMF 202可以与5GCN 100中的其他节点集成。在AMF 202内可以包括额外或替代部件和功能。另外，本文所示的功能和部件中的一个或多个可不存在或与其他部件或功能或节点组合。AMF 202包括处理装置1700和存储器装置1702，其被配置成执行本文关于AMF 202所描述的一个或多个功能。AMF 202可以包括网络接口1704，所述网络接口1704包括用于对接5GCN 100中的其他网络节点的端口。
图18示出了示例N3IWF 204的实施方案的示意框图。N3IWF 204可以是无线局域网中的接入点、局域网中的网关，或包括本文描述的互通功能的其他类型的节点。N3IWF 204可以与接入网络或5GCN 100中的其他节点集成。在N3IWF 204内可以包括额外或替代部件和功能。另外，本文所示的功能和部件中的一个或多个可不存在或与其他部件或功能组合。
N3IWF 204包括处理装置1800和存储器装置1802，其被配置成执行本文描述的一个或多个功能。N3IWF 204可以包括用于对接5GCN 100中的其他网络节点的第一网络接口1804(例如，以太网端口、IP端口)。N3IWF 204还可包括一种或多种其他类型的用于与UE进行通信的接口，例如(例如，符合IEEE 802.1x WLAN类型网络的)WLAN收发器1806。N3IWF204还可以包括与蜂窝空中接口兼容的移动RF收发器1808。UE 200可以使用WLAN收发器1806或移动RF收发器1808中的一个或多个与N3IWF 204进行通信。
在一个实施方案中，处理装置被配置成接收来自UE 200的通过不受信任的非3GPP接入网络做出的IPsec安全关联(SA)请求，并在不受信任的非3GPP接入网络中执行UE 200的认证协议，例如IKE协议。然后，N3IWF 204可以获取指示核心网络不接受IPsec SA请求的认证响应。然后，N3IWF 204可以向UE 200生成认证响应，其中所述认证响应指示拒绝UE200通过不受信任的接入网络接入核心网络。
本文所述的处理装置包括至少一个处理装置，例如微处理器、微控制器、数字信号处理器、微计算机、中央处理单元、现场可编程门阵列、可编程逻辑装置、状态机、逻辑电路、模拟电路、数字电路和/或基于电路和/或操作指令的硬编码来操纵信号(模拟和/或数字)的任何装置。存储器装置是非暂时性存储器装置，并且可以是内部存储器或外部存储器，并且存储器可以是单个存储器装置或多个存储器装置。存储器装置可以是只读存储器、随机存取存储器、易失性存储器、非易失性存储器、静态存储器、动态存储器、快闪存储器、高速缓冲存储器和/或存储数字信息的任何非暂时性存储器装置。在本文的元件的一个或多个实施方案的描述中使用术语“模块”。模块包括一个或多个处理装置和/或一个或多个非暂时性存储器装置，其可操作以执行如本文所述的一个或多个功能。模块可以独立地和/或与其他模块结合地操作，并且可以利用其他模块的处理装置和/或存储器和/或其他模块的操作指令。还如本文使用的，模块可以包含一个或多个子模块，每个子模块可以是一个或多个模块。
如本文所使用的，术语“可操作以”或“可配置以”指示元件包括电路、指令、模块、数据、输入、输出等中的一个或多个，以执行所描述的或必要的对应功能中的一个或多个，并且还可以包括推断的与一个或多个其他项目的耦合以执行所描述的或必要的对应功能。如本文中也可以使用的，术语“耦合”、“耦合至”、“连接到”和/或“连接”或“互连”包括节点/设备之间的直接连接或链接，和/或节点/装置之间经由中间项(例如，项包括但不限于部件、元件、电路、模块、节点、装置、网络元件等)的间接连接。如本文中可能进一步使用的，推断的连接(即，推断一个元件连接到另一元件的情况)包括以“连接到”相同的方式在两个项之间进行直接和间接连接。
注意，本文中可以将本公开的各方面描述为被描绘为示意图、流程图、流图、结构图或框图的过程。尽管流程图可以将操作描述为顺序过程，但是许多操作可以并行或同时执行。另外，可以重新安排操作顺序。操作完成后，过程将终止。过程可以对应于方法、函数、程序、子例程、子程序等。当过程对应于函数时，其终止对应于函数返回到调用函数或主函数。
在不脱离本公开的情况下，可以在不同的系统和装置中实现本文描述的本公开的各种特征。应当注意，本公开的前述方面仅是示例，并且不应被解释为限制本公开。本公开的各方面的描述旨在是说明性的，而不是限制权利要求的范围。这样，本教导可以容易地应用于其他类型的设备，并且许多替代、修改和变化对于本领域技术人员而言将是显而易见的。
在前述说明书中，已经参考特定示例描述了本发明的某些代表性方面。然而，在不脱离如在权利要求中阐述的本发明的范围的情况下，可以做出各种修改和改变。本说明书和附图是说明性而非限制性的，并且修改意在包括在本公开的范围内。因此，本公开的范围可以由权利要求及其法律等效物来确定而不是仅由所描述的示例来确定。例如，任何设备权利要求中记载的部件和/或元件可以以各种排列进行组装或以其他方式可操作地配置，并且因此不限于权利要求中记载的特定配置。
此外，上文已经关于特定实施方案描述了某些益处、其他优点和问题的解决方案；然而，任何益处、优点、问题的解决方案，或可能导致任何特定益处、优点或解决方案出现或变得更加明显的任何要素都不应被解释为任何或所有权利要求的关键、必需或必要特征或部件。
如本文中所用，术语“包括”、“具有”或其任何其他变体意图指非排它性的包括，使得包括一系列要素的过程、方法、物品、组成或设备不仅包括那些所述要素，而且还可以包括没有明确列出或这种过程、方法、物品、组成或设备所固有的其他要素。除了没有特别叙述的以外，在本发明的实践中使用的上述结构、布置、应用、比例、要素、材料或部件的其他组合和/或修改可以被改变或另外特别地适于特定环境、制造规格、设计参数或其他操作要求，而不会背离其一般原则。
此外，除非特别声明，否则以单数形式提及要素并不意图意指“一个且仅一个”，而是“一个或多个”。除非另有明确说明，否则术语“一些”是指一个或多个。本领域普通技术人员已知或以后将知道的，贯穿本公开内容所描述的各个方面的要素的所有结构和功能等效物均通过引用明确地并入本文，并且旨在由权利要求涵盖。而且，无论在权利要求中是否明确叙述了本文公开的内容，都不打算将这种公开内容贡献给社会大众。根据35U.S.C.§112(f)的规定，任何权利要求要素均不应解释为“装置附加功能”类型的要素，除非该要素使用短语“用于……的装置”明确叙述，或者在方法权利要求中，使用短语“用于……的步骤”来叙述要素。

Claims (20)

1.一种用于管理通过不受信任的接入网络与核心网络进行网络连接的互通功能节点，其包括：
第一网络接口，所述第一网络接口被配置成通过所述不受信任的接入网络与用户设备(UE)进行通信；
第二网络接口，所述第二网络接口被配置成与所述核心网络中的一个或多个节点进行通信；
处理装置，所述处理装置被配置成：
处理来自所述不受信任的接入网络中的所述UE的对与所述核心网络进行连接建立的请求，并向所述核心网络生成请求；
确定所述核心网络不接受所述连接建立；以及
向所述UE生成响应消息，其中所述响应消息包括错误，所述错误指示所述核心网络不允许通过所述不受信任的接入网络进行所述连接建立。
2.如权利要求1的互通功能节点，其中所述处理装置被配置成：
从所述第一网络接口接收来自所述UE的对通过所述不受信任的接入网络进行认证和安全连接建立的请求；
生成对认证和订阅检查的请求，并通过所述第二网络接口将对认证和订阅检查的所述请求传输到接入和移动性管理功能(AMF)；
从所述第二网络接口接收来自所述AMF的对认证和订阅检查的响应；以及
向所述UE生成互联网密钥交换(IKE)响应消息，所述IKE响应消息具有包括指示所述核心网络不允许通过所述不受信任的接入网络进行所述连接建立的所述错误的NAS有效负载。
3.如权利要求2所述的互通功能节点，其中所述处理装置还被配置成：
接收来自所述接入和移动性管理功能的响应，所述响应封装了注册拒绝消息，所述注册拒绝消息包括指示不允许对5GCN的非3GPP接入的5GMM原因值；以及
生成所述IKE响应消息，所述IKE响应消息具有包括指示所述核心网络不接受所述连接建立的消息类型的有效负载。
4.如权利要求2所述的互通功能节点，其中所述处理装置还被配置成通过以下方式生成所述IKE响应消息：
生成具有包括指示失败原因的专用通知消息类型的通知有效负载的所述IKE响应消息。
5.如权利要求2所述的互通功能节点，其中所述处理装置还被配置成通过以下方式生成所述IKE响应消息：
生成具有包括指示不允许不受信任的非3GPP接入5G核心网络(5GCN)的专用通知消息类型的通知有效负载的所述IKE响应消息。
6.如权利要求1所述的互通功能节点，其中所述处理装置还被配置成：
向所述UE传输所述响应消息，其中所述响应消息指示所述核心网络不接受所述连接建立；
接收来自所述UE的停止消息；以及
向所述UE生成失败消息。
7.如权利要求6所述的互通功能节点，其中所述处理装置还被配置成：
处理来自所述UE的所述停止消息，其中所述停止消息包括具有消息标识符字段的5G停止消息格式，并且其中所述消息标识符字段包括5G停止标识符。
8.如权利要求1所述的互通功能节点，其中来自所述不受信任的接入网络中的所述UE的对所述连接建立的所述请求包括用于发起与所述核心网络的IPsec安全关联(SA)的IKE请求消息。
9.如权利要求1所述的互通功能节点，其中所述核心网络是5GCN，并且所述不受信任的接入网络是非3GPP接入网络。
10.一种用于处理来自互通功能节点的网络连接请求的接入和移动性管理功能(AMF)，其包括：
网络接口，所述网络接口被配置成与核心网络中的互通功能节点和认证功能进行通信；以及
处理装置，所述处理装置被配置成：
处理UE通过不受信任的接入网络进行认证和安全连接建立的请求；
向认证服务器功能(AUSF)生成对认证和订阅检查的请求；
确定对所述认证和订阅检查的响应指示认证失败；以及
通过在认证和安全连接建立的响应消息中封装指示不允许通过所述不受信任的接入网络接入所述核心网络的原因值，生成所述响应消息。
11.如权利要求10所述的AMF，其中所述不受信任的接入网络是非3GPP接入网络，并且所述核心网络是5G核心网络(5GCN)。
12.如权利要求11所述的AMF，其中所述处理装置被配置成：
在所述响应消息中封装包括所述原因值的注册拒绝消息，其中所述原因值包括指示不允许对所述5GCN的非3GPP接入的5GMM原因值。
13.如权利要求12所述的AMF，其中所述处理装置被配置成：
在所述响应消息中生成可扩展认证协议(EAP)失败指示。
14.一种用户设备，其包括：
网络接口，所述网络接口被配置成通过不受信任的接入网络与互通功能节点进行通信；
处理装置，所述处理装置被配置成：
生成对与核心网络进行安全会话建立的注册请求；处理来自所述互通功能节点的响应消息；以及
根据所述响应消息确定所述核心网络不允许通过所述不受信任的接入网络进行所述安全会话建立。
15.如权利要求14所述的用户设备，其中所述不受信任的接入网络是非3GPP接入网络，并且所述核心网络是5G核心网络(5GCN)。
16.如权利要求15所述的用户设备，其中所述处理装置还被配置成：
生成停止消息，所述停止消息指示对与所述5GCN进行安全会话建立的所述注册请求的结束；以及
通过所述非3GPP接入网络将所述停止消息传输到所述互通功能节点。
17.如权利要求16所述的用户设备，其中所述处理装置还被配置成：
生成所述停止消息作为EAP响应格式的消息，所述消息包括设置为5G停止的消息标识符字段。
18.如权利要求17所述的用户设备，其中所述处理装置还被配置成：
处理来自所述互通功能节点的EAP失败消息；以及
执行安全关联删除程序。
19.如权利要求15所述的用户设备，其中所述处理装置还被配置成：
通过生成对与所述5GCN进行安全会话建立的第二注册请求来重新尝试向所述5GCN注册；以及
根据来自所述互通功能节点的第二响应消息确定通过所述不受信任的接入网络进行的所述连接建立成功。
20.如权利要求19所述的用户设备，其中所述处理装置还被配置成：
使用更新后的参数生成对与所述5GCN进行安全会话建立的所述第二注册请求。
CN201980044322.7A 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败 Active CN112602298B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202310661806.4A CN116647394A (zh) 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
US201862692722P 2018-06-30 2018-06-30
US62/692,722 2018-06-30
PCT/US2019/039992 WO2020006515A1 (en) 2018-06-30 2019-06-28 Handling failure of non-3gpp access to 5gcn not being allowed

Related Child Applications (1)

Application Number Title Priority Date Filing Date
CN202310661806.4A Division CN116647394A (zh) 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败

Publications (2)

Publication Number Publication Date
CN112602298A true CN112602298A (zh) 2021-04-02
CN112602298B CN112602298B (zh) 2023-06-30

Family

ID=67470646

Family Applications (2)

Application Number Title Priority Date Filing Date
CN201980044322.7A Active CN112602298B (zh) 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败
CN202310661806.4A Pending CN116647394A (zh) 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败

Family Applications After (1)

Application Number Title Priority Date Filing Date
CN202310661806.4A Pending CN116647394A (zh) 2018-06-30 2019-06-28 不允许对5gcn的非3gpp接入的处理失败

Country Status (15)

Country Link
US (1) US20210136582A1 (zh)
EP (1) EP3811588A1 (zh)
JP (2) JP7317056B2 (zh)
KR (3) KR102666042B1 (zh)
CN (2) CN112602298B (zh)
AU (2) AU2019293046B2 (zh)
BR (1) BR112020026940A2 (zh)
CA (1) CA3104374A1 (zh)
CL (1) CL2020003401A1 (zh)
CO (1) CO2021000912A2 (zh)
MX (2) MX2021000159A (zh)
PH (1) PH12020552227A1 (zh)
SG (1) SG11202012478QA (zh)
WO (1) WO2020006515A1 (zh)
ZA (1) ZA202100508B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115175264A (zh) * 2022-07-21 2022-10-11 亚信科技（中国）有限公司 接入核心网的方法、装置及处理器可读存储介质
CN115529680A (zh) * 2021-06-24 2022-12-27 联发科技股份有限公司 借助指示符执行因特网可达性管理的方法和装置
WO2024050736A1 (zh) * 2022-09-07 2024-03-14 北京小米移动软件有限公司 通信方法、装置、系统、电子设备及介质

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11683847B2 (en) * 2018-09-27 2023-06-20 Lenovo (Singapore) Pte. Ltd. Accessing a 5G network via a non-3GPP access network
CN113141676B (zh) * 2020-01-19 2022-10-11 大唐移动通信设备有限公司 非3gpp接入的终端进入连接状态的方法及通信设备
US20230078563A1 (en) * 2020-02-13 2023-03-16 Lenovo (Singapore) Pte. Ltd. Determining an access network radio access type
US20230080836A1 (en) * 2020-02-21 2023-03-16 Telefonaktiebolaget Lm Ericsson (Publ) Determination of trust relationship of non-3gpp access networks in 5gc
WO2021201558A1 (en) * 2020-03-30 2021-10-07 Samsung Electronics Co., Ltd. Method and apparatus for providing akma service in wireless communication system
WO2022175964A1 (en) * 2021-02-20 2022-08-25 Telefonaktiebolaget Lm Ericsson (Publ) Method and system in 3gpp networks for reporting of vowifi calls over untrusted non-3gpp access
US11729849B1 (en) * 2021-07-20 2023-08-15 T-Mobile Usa, Inc. UE retry during network overload
CN116980897A (zh) * 2022-04-22 2023-10-31 华为技术有限公司 通信方法和装置

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2009126083A1 (en) * 2008-04-11 2009-10-15 Telefonaktiebolaget L M Ericsson (Publ) Access through non-3gpp access networks
US20110093919A1 (en) * 2007-01-04 2011-04-21 Naeslund Mats Method and Apparatus for Determining an Authentication Procedure
US20170094512A1 (en) * 2015-09-30 2017-03-30 Apple Inc. Authentication failure handling for access to services through untrusted wireless networks
US9877198B1 (en) * 2016-09-08 2018-01-23 Alcatel-Lucent Usa Inc. Network access backoff mechanism
KR20180033263A (ko) * 2015-08-07 2018-04-02 후아웨이 테크놀러지 컴퍼니 리미티드 3gpp 네트워크로의 단말 액세스를 위한 처리 방법 및 장치
KR20180057665A (ko) * 2015-09-22 2018-05-30 후아웨이 테크놀러지 컴퍼니 리미티드 사용자 장비(ue)를 위한 액세스 방법, 디바이스 및 시스템

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011129107A1 (ja) * 2010-04-16 2011-10-20 パナソニック株式会社 経路切替システム、経路切替方法、及び移動端末
CN108702724B (zh) * 2016-11-27 2021-06-15 Lg 电子株式会社 无线通信系统中的注销方法及其装置
US10327278B2 (en) * 2017-03-24 2019-06-18 Qualcomm Incorporated Mechanisms for establishing user plane connectivity for non-3GPP access
US11968614B2 (en) * 2018-04-17 2024-04-23 Mediatek Singapore Pte. Ltd. Apparatuses and methods for handling access type restriction information

Patent Citations (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20110093919A1 (en) * 2007-01-04 2011-04-21 Naeslund Mats Method and Apparatus for Determining an Authentication Procedure
WO2009126083A1 (en) * 2008-04-11 2009-10-15 Telefonaktiebolaget L M Ericsson (Publ) Access through non-3gpp access networks
KR20180033263A (ko) * 2015-08-07 2018-04-02 후아웨이 테크놀러지 컴퍼니 리미티드 3gpp 네트워크로의 단말 액세스를 위한 처리 방법 및 장치
KR20180057665A (ko) * 2015-09-22 2018-05-30 후아웨이 테크놀러지 컴퍼니 리미티드 사용자 장비(ue)를 위한 액세스 방법, 디바이스 및 시스템
US20170094512A1 (en) * 2015-09-30 2017-03-30 Apple Inc. Authentication failure handling for access to services through untrusted wireless networks
CN106572438A (zh) * 2015-09-30 2017-04-19 苹果公司 针对通过不受信任的无线网络访问服务的认证失败应对
US9877198B1 (en) * 2016-09-08 2018-01-23 Alcatel-Lucent Usa Inc. Network access backoff mechanism

Non-Patent Citations (7)

* Cited by examiner, † Cited by third party
Title
3RD GENERATION PARTNERSHIP PROJECT: "Non-Access-Stratum (NAS) protocol for 5G System (5GS)，Stage3，Release15", 《3GPP TS 24.501 V1.1.1》 *
3RD GENERATION PARTNERSHIP PROJECT: "Procedures for the 5G System，Stage2，Release15", 《3GPP TS 23.502 V0.2.0》 *
3RD GENERATION PARTNERSHIP PROJECT: "Security architecture and procedures for 5G system，Release 15", 《3GPP TS 33.501 V15.0.0》 *
ABOBA: "Extensible Authentication Protocol (EAP)", 《IETF RFC3748》 *
ARKKO: "Improved Extensible Authentication Protocol Method for 3rd Generation Authentication and Key Agreement (EAP-AKA’)", 《IETF RFC5448》 *
KAUFMAN: "Internet Key Exchange Protocol Version 2 (IKEv2)", 《IETF RFC7296》 *
NOKIA: "Observations on the solution for untrusted non-3GPP access in S2-174885", 《3GPP TSG SA WG3 (SECURITY) MEETING #88 S3-171943》 *

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115529680A (zh) * 2021-06-24 2022-12-27 联发科技股份有限公司 借助指示符执行因特网可达性管理的方法和装置
CN115175264A (zh) * 2022-07-21 2022-10-11 亚信科技（中国）有限公司 接入核心网的方法、装置及处理器可读存储介质
WO2024050736A1 (zh) * 2022-09-07 2024-03-14 北京小米移动软件有限公司 通信方法、装置、系统、电子设备及介质

Also Published As

Publication number Publication date
KR20230086812A (ko) 2023-06-15
SG11202012478QA (en) 2021-01-28
BR112020026940A2 (pt) 2021-03-30
AU2022204645A1 (en) 2022-07-21
WO2020006515A1 (en) 2020-01-02
ZA202100508B (en) 2022-07-27
KR102542210B1 (ko) 2023-06-14
MX2024006886A (es) 2024-06-20
CN116647394A (zh) 2023-08-25
US20210136582A1 (en) 2021-05-06
KR20220119762A (ko) 2022-08-30
PH12020552227A1 (en) 2021-06-28
AU2022204645B2 (en) 2024-06-13
KR102666042B1 (ko) 2024-05-13
AU2019293046B2 (en) 2022-03-31
JP7317056B2 (ja) 2023-07-28
KR102435266B1 (ko) 2022-08-22
CL2020003401A1 (es) 2021-07-02
CN112602298B (zh) 2023-06-30
AU2019293046A1 (en) 2021-01-21
JP2021530896A (ja) 2021-11-11
CA3104374A1 (en) 2020-01-02
JP2023156302A (ja) 2023-10-24
MX2021000159A (es) 2021-05-27
KR20210024152A (ko) 2021-03-04
CO2021000912A2 (es) 2021-04-19
EP3811588A1 (en) 2021-04-28

Similar Documents

Publication Publication Date Title
CN112602298B (zh) 不允许对5gcn的非3gpp接入的处理失败
KR102428262B1 (ko) 이종 액세스 네트워크를 통한 연결의 보안 실현을 위한 방법 및 장치
KR101961301B1 (ko) 통합된 스몰 셀 및 wi-fi 네트워크를 위한 통합 인증
CN110249648B (zh) 由未经认证的用户设备执行的用于会话建立的系统和方法
RU2774977C1 (ru) Обработка отказа в случае не разрешения доступа к 5gcn не от 3gpp

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant