CN115150830A - 5g专网接入认证失败时保障终端公网访问的方法和系统 - Google Patents

5g专网接入认证失败时保障终端公网访问的方法和系统 Download PDF

Info

Publication number
CN115150830A
CN115150830A CN202211068096.6A CN202211068096A CN115150830A CN 115150830 A CN115150830 A CN 115150830A CN 202211068096 A CN202211068096 A CN 202211068096A CN 115150830 A CN115150830 A CN 115150830A
Authority
CN
China
Prior art keywords
aaa
terminal
address
public network
government
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202211068096.6A
Other languages
English (en)
Other versions
CN115150830B (zh
Inventor
何余锋
董芸
王菲
王正兵
赵小龙
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Capitek Co ltd
Original Assignee
Beijing Capitek Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Capitek Co ltd filed Critical Beijing Capitek Co ltd
Priority to CN202211068096.6A priority Critical patent/CN115150830B/zh
Publication of CN115150830A publication Critical patent/CN115150830A/zh
Application granted granted Critical
Publication of CN115150830B publication Critical patent/CN115150830B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0227—Filtering policies
    • H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/10—Network architectures or network communication protocols for network security for controlling access to devices or network resources
    • H04L63/101—Access control lists [ACL]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及5G专网接入认证失败时保障终端公网访问的方法和系统，属于通信技术领域。在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；SMF向AAA‑P发送身份认证消息，AAA‑P将身份认证消息转发给政企行业侧AAA服务器处理；身份认证通过，为终端分配白名单地址池内的IP地址，终端同时访问政企内网和公网；身份认证失败，为终端分配公网地址池内的IP地址，终端只能访问公网。本发明解决了同时访问内外网并且内网做自主认证时，如果认证失败或认证无响应时如何保障终端公网访问的技术问题。

Description

5G专网接入认证失败时保障终端公网访问的方法和系统
技术领域
本发明属于通信研究领域，特别涉及5G专网接入认证失败时保障终端公网访问的方法和系统。
背景技术
5G网络的大规模部署，为各行业数字化发展提供强大的网络底座。国家多次出台政策，鼓励5G应用创新，5G与行业相结合将进一步提升我国的科技创新水平、产业竞争力和社会治理效率，进一步激发社会活力，推动国内经济的高质量发展。
5G专网是使用5G技术为特定用户提供网络通信服务的专用网络，具有差异化本地服务、可定制化建网成本、灵活安全管控、个性化自服务等诸多特点，5G赋能千行百业应用广泛，推动数字社会建设发展。5G与垂直行业领域深度融合引发的安全风险备受瞩目，构建与5G应用发展相适应的安全保障体系成为迫切需要。
在5G校园网、5G远程办公、5G远程执法、5G家庭医疗等场景中，通过5G专网技术可以为用户提供无感知无边界同时访问行业内网与公网的服务，相比传统VPN技术，在保障网络安全和数据安全的基础上，用户接入专网无需输入账号密码、不受VPN网关带宽限制，用户感知体验更好，因此广受欢迎。
政企行业内网的应用和数据是政企行业客户的核心资产，终端通过5G专网访问行业数据内网时，5G专网方案需要提供高等级的安全保障能力，对终端身份进行安全认证和访问授权，5G专网安全接入方案可以在终端接入5G网络进行一次安全认证的基础上，对接入行业内网的终端，政企侧AAA服务器进行二次认证授权，验证接入行业数据网的终端身份安全。对于非授权的终端接入，政企AAA服务器直接响应认证失败消息，运营商核心网设备收到认证失败消息将无法建立数据通信连接通道，必然导致终端上线失败，终端也无法访问互联网。运营商需要有技术方案和设备解决这种应用场景下导致的终端不能正常访问互联网的问题。
针对上述问题，本发明提供了5G专网接入认证失败时保障终端公网访问的方法和系统。
发明内容
为了解决所述现有技术的不足，本发明提供了5G专网接入认证失败时保障终端公网访问的方法和系统，以解决上述技术问题。
本发明第一方面公开了一种5G专网接入认证失败时保障终端公网访问的方法，所述方法包括：
步骤S1、在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
步骤S2、在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
步骤S3、SMF向AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
步骤S4、如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
根据本发明第一方面的方法，在所述步骤S3中，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址的方法包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址，所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带。
根据本发明第一方面的方法，在所述步骤S4中，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址的方法包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
根据本发明第一方面的方法，在所述步骤S4中，所述方法还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
根据本发明第一方面的方法，在所述步骤S4中，所述方法还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
本发明第二方面公开了一种5G专网接入认证失败时保障终端公网访问的系统，所述系统包括：
第一处理模块，被配置为，在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
第二处理模块，被配置为，在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
第三处理模块，被配置为，所述SMF向所述AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给所述政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
第四处理模块，被配置为，如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
根据本发明第二方面的系统，所述第三处理模块，被配置为，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址；所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带；
所述第四处理模块，被配置为，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
根据本发明第二方面的系统，所述第四处理模块，被配置为，还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址；
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
根据本发明第二方面的系统，所述第四处理模块，被配置为，当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
本发明第三方面公开了一种电子设备。电子设备包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时，实现本发明第一方面中任一项的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤。
本发明第四方面公开了一种计算机可读存储介质。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时，实现本发明第一方面中任一项的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤。
本申请所要达到的技术效果通过以下方案实现：一种5G专网认证失败时保障公网访问的方法与系统不仅解决了这种应用场景的存在的问题，而且实现了终端无感知无边界同时访问内外网，相比传统VPDN、VPN安全技术，可以为终端用户提供更好的服务体验。同时，通过本发明的方法与系统的应用，政企和运营商的网络管理职责分工将更加明确。AAA-P对政企行业侧AAA认证失败或无响应时的处理机制，通过这个处理机制保障终端在接入行业专网被拒或无响应时仍可以访问公网，使政企和运营商的网络管理职责分工将更加明确；将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性；本发明解决了同时访问内外网，并且内网做自主认证时，如果认证失败或认证无响应时如何保障终端公网访问的技术问题。该方法及系统的应用将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性。
附图说明
为了更清楚地说明本申请实施例或现有的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为本发明一实施例中一种5G专网接入认证失败时保障终端公网访问的方法的流程图；
图2为根据本发明实施例的AAA-P直接与SMF对接互通；
图3为根据本发明实施例的AAA-P通过UPF与SMF对接互通；
图4为根据本发明实施例的AAA-P保障公网访问业务流程；
图5为根据本发明实施例的AAA-P计费消息转发业务流程；
图6为根据本发明实施例的一种5G专网接入认证失败时保障终端公网访问的系统的结构图；
图7为根据本发明实施例的一种电子设备的结构图。
具体实施方式
为使本申请的目的、技术方案和优点更加清楚，下面将结合具体实施例及相应的附图对本申请的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。
下面结合附图，详细说明本申请的各种非限制性实施方式。
本发明提供一种5G专网接入认证失败时保障终端公网访问的方法，采用 AAA-P对政企行业侧AAA认证失败或无响应时的处理机制，通过这个处理机制保障终端在接入行业专网被拒或无响应时仍可以访问公网，可以为终端用户提供更好的服务体验，使政企和运营商的网络管理职责分工更加明确；将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性；本发明解决了同时访问内外网，并且内网做自主认证时，如果认证失败或认证无响应时如何保障终端公网访问的技术问题。
本发明第一方面公开了一种5G专网接入认证失败时保障终端公网访问的方法。图1为根据本发明实施例的一种5G专网接入认证失败时保障终端公网访问的方法的流程图，如图1所示，所述方法包括：
引入AAA代理转发系统AAA-P，串联在5G核心网设备的会话管理功能SMF和政企行业侧AAA服务器之间，实现所述5 G核心网设备的SMF和政企行业侧AAA服务器之间认证和计费消息的双向代理转发；
具体地，AAA-P对政企行业侧AAA认证失败或无响应时的处理机制，通过这个处理机制保障终端在接入行业专网被拒或无响应时仍可以访问公网，使政企和运营商的网络管理职责分工将更加明确；将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性；解决同时访问内外网，并且内网做自主认证时，如果认证失败或认证无响应时如何保障终端公网访问的技术问题。
具体对接方案包括如下两种方式：
1）AAA-P串联在SMF网元和政企AAA服务器之间，直接与SMF对接互通，SMF将认证、计费请求消息发送给AAA-P，如附图2所示。
2）AAA-P通过UPF与SMF对接互通，串联在UPF网元和政企AAA服务器之间，SMF通过N4接口将认证、计费请求消息发送给UPF，UPF再将认证、计费请求消息发送给AAA-P，如附图3所示。
在AAA-P上配置DNN与政企AAA的映射表及转发控制策略，格式如下：
DNN1，透传模式，政企AAA IP；
DNN2，公网保障模式，政企AAA IP；
…
所述方法包括：
步骤S1、在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
步骤S2、在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
步骤S3、所述SMF向所述AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给所述政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
步骤S4、如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
在步骤S1，在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池。
在一些实施例中，在所述步骤S1中，在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池，如IP地址池1和IP地址池2，配置UPF与政企内网和互联网都互通。
具体地，在UPF上为政企定制DNN配置地址池1和地址池2共两个地址池，并且配置UPF与政企内网和互联网都互通，可通过5G ULCL机制或路由机制实现内外网的业务分流。
在步骤S2，在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网。
在一些实施例中，在所述步骤S2中，在政企防火墙上配置基于源IP的接入控制策略，将白名单地址池IP地址池1配置为允许接入政企内网的白名单，只允许从IP地址池1内获取IP地址的终端接入，获取其他IP地址的终端禁止接入。
具体地，在政企防火墙上将地址池1配置为允许访问政企内网的白名单，其他地址不允许接入。这样终端如果获取到地址池1中的IP地址，就可以同时访问内外网；如果获取到地址池2中的IP地址，因为政企防火墙不允许地址池2中的IP地址访问，终端只能访问互联网。
在步骤S3，所述SMF向所述AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给所述政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网。
在一些实施例中，在所述步骤S3中，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址的方法包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址；所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带。
具体地，终端接入时，SMF基于DNN向AAA-P发送认证消息；
AAA-P本地配置DNN与政企AAA （政企行业侧AAA服务器）IP映射表，当收到SMF发送的认证消息时，从消息中解析出DNN，查询本地数据中的DNN与政企AAA IP映射表，获取到政企AAA IP，然后将消息转发给政企AAA，同时启动响应计时器，监听政企AAA响应情况，针对不同情况进行相应的业务逻辑操作，如图4所示。
情况一：政企AAA响应认证成功消息，此时由政企AAA为终端指定地址池1中的IP地址，因此在认证成功消息中通过Framed-IP-Address属性携带终端IPv4地址，通过Framed-Ipv6-Prefix、Framed-Interface-Id等属性携带终端Ipv6地址，AAA-P直接将认证成功消息透传给SMF，同时检查本地数据中该主叫号码是否已标记为“计费消息不转发”，如有则清除标记，如无则不做处理。终端成功接入并获得地址池1中的IP地址，可同时访问政企内网和互联网。
在步骤S4，如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
在一些实施例中，在所述步骤S4中，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址的方法包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。由于政企防火墙不允许源IP属于IP地址池2的终端接入，因此终端不能访问政企内网，但UPF上配置IP地址池2与公网互通，因此终端可正常访问公网。
所述方法还包括：
为了防止政企AAA服务器故障导致用户无法访问互联网，当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，即IP地址池2名称，所述UPF为终端分配所述公网地址池内的IP地址。由于政企防火墙不允许源IP属于IP地址池2的终端接入，因此终端不能访问政企内网，但UPF上配置IP地址池2与公网互通，因此终端可正常访问公网。
所述方法还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
具体地，政企AAA响应认证失败消息，消息中不携带终端IP地址，AAA-P收到后，从消息中解析出DNN，查询本地数据中的DNN转发控制策略。
情况二：政企AAA响应认证失败消息，消息中不携带终端IP地址，AAA-P收到后，从消息中解析出DNN，查询本地数据中的DNN转发控制策略。
i.如果DNN转发控制策略为“透传模式”，则AAA-P直接将认证失败消息透传给SMF。终端接入失败，政企内网和互联网都不可访问。
ii. 如果DNN转发控制策略为“公网保障模式”，则AAA-P将认证失败消息丢弃，提取本地数据（如地址池2的名称）组成认证成功消息，发送给SMF，同时将该主叫号码标记为“计费消息不转发”。终端成功接入并获得地址池2中的IP地址，只可以访问互联网。
情况三：政企AAA无消息回复，AAA-P响应计时器超过设定值，重发N次后政企AAA仍无消息响应，则AAA-P提取本地数据（如地址池2的名称）组成认证成功消息，发送给SMF，同时将该主叫号码标记为“计费消息不转发”。终端成功接入并获得地址池2中的IP地址，只可以访问互联网。
终端上线后，SMF基于DNN向AAA-P发送计费消息，AAA-P从消息中解析出主叫号码，查询本地数据中该主叫号码是否标记为“计费消息不转发”，如果是，则计费消息不进行转发；如果否，则计费消息按DNN转发到指定政企AAA，业务流程如附图5。
综上，本发明提出的方案能够实现终端无感知无边界同时访问内外网，相比传统VPDN、VPN安全技术，可以为终端用户提供更好的服务体验。同时，通过本发明的方法与系统的应用，政企和运营商的网络管理职责分工将更加明确。该方法及系统的应用将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性。尤其是AAA-P对政企行业侧AAA认证失败或无响应时的处理机制，通过这个处理机制保障终端在接入行业专网被拒或无响应时仍可以访问公网，使政企和运营商的网络管理职责分工将更加明确；将大大促进5G专网技术的广泛应用，尤其是针对手持终端使用5G专网技术的应用场景，不仅为运营商带来经济效益，同时促进数字经济转型发展，提升社会生活的便利性；本发明解决了同时访问内外网，并且内网做自主认证时，如果认证失败或认证无响应时如何保障终端公网访问的技术问题。
本发明第二方面公开了一种5G专网接入认证失败时保障终端公网访问的系统。图6为根据本发明实施例的一种5G专网接入认证失败时保障终端公网访问的系统的结构图；如图6所示，所述系统100包括：
第一处理模块101，被配置为，在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
第二处理模块102，被配置为，在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
第三处理模块103，被配置为，所述SMF向所述AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给所述政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
第四处理模块104，被配置为，如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
根据本发明第二方面的系统，所述第三处理模块103，被配置为，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址；所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带；
所述第四处理模块104，被配置为，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
根据本发明第二方面的系统，所述第四处理模块104，被配置为，还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址；
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
根据本发明第二方面的系统，所述第四处理模块104，被配置为，当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
本发明第三方面公开了一种电子设备。电子设备包括存储器和处理器，存储器存储有计算机程序，处理器执行计算机程序时，实现本发明第一方面中任一项的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤。
图7为根据本发明实施例的一种电子设备的结构图，如图7所示，电子设备包括通过系统总线连接的处理器、存储器、通信接口、显示屏和输入装置。其中，该电子设备的处理器用于提供计算和控制能力。该电子设备的存储器包括非易失性存储介质、内存储器。该非易失性存储介质存储有操作系统和计算机程序。该内存储器为非易失性存储介质中的操作系统和计算机程序的运行提供环境。该电子设备的通信接口用于与外部的终端进行有线或无线方式的通信，无线方式可通过WIFI、运营商网络、近场通信（NFC）或其他技术实现。该电子设备的显示屏可以是液晶显示屏或者电子墨水显示屏，该电子设备的输入装置可以是显示屏上覆盖的触摸层，也可以是电子设备外壳上设置的按键、轨迹球或触控板，还可以是外接的键盘、触控板或鼠标等。
本领域技术人员可以理解，图7中示出的结构，仅仅是与本发明的技术方案相关的部分的结构图，并不构成对本申请方案所应用于其上的电子设备的限定，具体的电子设备可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
本发明第四方面公开了一种计算机可读存储介质。计算机可读存储介质上存储有计算机程序，计算机程序被处理器执行时，实现本发明第一方面中任一项的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤中的步骤。
请注意，以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。以上实施例仅表达了本申请的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本申请构思的前提下，还可以做出若干变形和改进，这些都属于本申请的保护范围。因此，本申请专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种5G专网接入认证失败时保障终端公网访问的方法，其特征在于，所述方法包括：
步骤S1、在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
步骤S2、在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
步骤S3、SMF向AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
步骤S4、如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
2.根据权利要求1所述的一种5G专网接入认证失败时保障终端公网访问的方法，其特征在于，在所述步骤S3中，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址的方法包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址，所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带。
3.根据权利要求1所述的一种5G专网接入认证失败时保障终端公网访问的方法，其特征在于，在所述步骤S4中，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址的方法包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
4.根据权利要求1所述的一种5G专网接入认证失败时保障终端公网访问的方法，其特征在于，在所述步骤S4中，所述方法还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
5.根据权利要求1所述的一种5G专网接入认证失败时保障终端公网访问的方法，其特征在于，在所述步骤S4中，所述方法还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
6.一种5G专网接入认证失败时保障终端公网访问的系统，其特征在于，所述系统包括：
第一处理模块，被配置为，在5G网元的用户面功能UPF上为5G专网终端配置多个IP地址池；
第二处理模块，被配置为，在多个IP地址池中，配置政企防火墙的允许接入政企内网的白名单地址池和配置公网地址池；所述公网地址池内的IP地址只能访问公网；
第三处理模块，被配置为，SMF向AAA-P发送身份认证消息，所述AAA-P将身份认证消息转发给政企行业侧AAA服务器处理；如果身份认证通过，为终端分配所述白名单地址池内的IP地址，所述终端同时访问政企内网和公网；
第四处理模块，被配置为，如果身份认证失败，为终端分配所述公网地址池内的IP地址，所述终端只能访问公网。
7.根据权利要求6所述的一种5G专网接入认证失败时保障终端公网访问的系统，其特征在于，所述第三处理模块，被配置为，所述如果身份认证通过，为终端分配所述白名单地址池内的IP地址包括：
如果身份认证通过，则所述政企行业侧AAA服务器发送认证成功消息到所述AAA-P，所述AAA-P再将所述认证成功消息发送给所述SMF，所述AAA-P转发白名单地址池，所述UPF为终端分配所述白名单地址池内的IP地址；所述白名单地址池内的IP地址由政企行业侧AAA服务器发送认证成功消息中携带；
所述第四处理模块，被配置为，所述如果身份认证失败，为终端分配所述公网地址池内的IP地址包括：
当所述AAA-P接收到政企行业侧AAA服务器的身份认证失败的消息时，所述AAA-P将所述身份认证失败的消息转变为身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址。
8.根据权利要求6所述的一种5G专网接入认证失败时保障终端公网访问的系统，其特征在于，所述第四处理模块，被配置为，还包括：
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复消息时，所述AAA-P生成身份认证成功的消息发送给所述SMF，所述AAA-P下发公网地址池，所述UPF为终端分配所述公网地址池内的IP地址；
当所述AAA-P监测到发送给所述政企行业侧AAA服务器的身份认证的消息无回复或者身份认证失败的终端在线的计费消息，所述AAA-P不再转发给所述政企行业侧AAA服务器。
9.一种电子设备，其特征在于，所述电子设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时，实现如权利要求1至5中任一项所述的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时，实现如权利要求1至5中任一项所述的一种5G专网接入认证失败时保障终端公网访问的方法中的步骤。
CN202211068096.6A 2022-09-02 2022-09-02 5g专网接入认证失败时保障终端公网访问的方法和系统 Active CN115150830B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211068096.6A CN115150830B (zh) 2022-09-02 2022-09-02 5g专网接入认证失败时保障终端公网访问的方法和系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211068096.6A CN115150830B (zh) 2022-09-02 2022-09-02 5g专网接入认证失败时保障终端公网访问的方法和系统

Publications (2)

Publication Number Publication Date
CN115150830A true CN115150830A (zh) 2022-10-04
CN115150830B CN115150830B (zh) 2022-11-29

Family

ID=83415611

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211068096.6A Active CN115150830B (zh) 2022-09-02 2022-09-02 5g专网接入认证失败时保障终端公网访问的方法和系统

Country Status (1)

Country Link
CN (1) CN115150830B (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115996380A (zh) * 2023-03-22 2023-04-21 北京首信科技股份有限公司 一种网络柔性管控的方法和设备

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107040495A (zh) * 2016-02-03 2017-08-11 重庆小目科技有限责任公司 一种应用于工业通信和业务的多级联合身份认证方法
CN108076164A (zh) * 2016-11-16 2018-05-25 新华三技术有限公司 访问控制方法及装置
CN109561430A (zh) * 2017-09-26 2019-04-02 大唐移动通信设备有限公司 一种公网用户接入专网的实现方法及设备
WO2021136175A1 (zh) * 2019-12-30 2021-07-08 京信网络系统股份有限公司 设备管理方法、装置、通信设备及存储介质
CN113411286A (zh) * 2020-03-16 2021-09-17 北京沃东天骏信息技术有限公司 基于5g技术的访问处理方法及装置、电子设备、存储介质
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN114205815A (zh) * 2021-10-27 2022-03-18 广州热点软件科技股份有限公司 一种5g专网认证控制的方法和系统
CN114726829A (zh) * 2022-04-02 2022-07-08 中国电信股份有限公司 通信方法、用户面网关及通信系统

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107040495A (zh) * 2016-02-03 2017-08-11 重庆小目科技有限责任公司 一种应用于工业通信和业务的多级联合身份认证方法
CN108076164A (zh) * 2016-11-16 2018-05-25 新华三技术有限公司 访问控制方法及装置
CN109561430A (zh) * 2017-09-26 2019-04-02 大唐移动通信设备有限公司 一种公网用户接入专网的实现方法及设备
WO2021136175A1 (zh) * 2019-12-30 2021-07-08 京信网络系统股份有限公司 设备管理方法、装置、通信设备及存储介质
CN113411286A (zh) * 2020-03-16 2021-09-17 北京沃东天骏信息技术有限公司 基于5g技术的访问处理方法及装置、电子设备、存储介质
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN114205815A (zh) * 2021-10-27 2022-03-18 广州热点软件科技股份有限公司 一种5g专网认证控制的方法和系统
CN114726829A (zh) * 2022-04-02 2022-07-08 中国电信股份有限公司 通信方法、用户面网关及通信系统

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115996380A (zh) * 2023-03-22 2023-04-21 北京首信科技股份有限公司 一种网络柔性管控的方法和设备

Also Published As

Publication number Publication date
CN115150830B (zh) 2022-11-29

Similar Documents

Publication Publication Date Title
US20210360399A1 (en) Mobile authentication in mobile virtual network
CN101582769B (zh) 用户接入网络的权限设置方法和设备
EP2586179B1 (en) Federation among services for supporting virtual-network overlays
EP2819363B1 (en) Method, device and system for providing network traversing service
US9992202B2 (en) Access control through dynamic grouping
CN110602216A (zh) 多终端使用单账号的方法、装置、云服务器及存储介质
CN105939240A (zh) 负载均衡方法及装置
CN111049946A (zh) 一种Portal认证方法、系统及电子设备和存储介质
CN115150830B (zh) 5g专网接入认证失败时保障终端公网访问的方法和系统
CN105827663A (zh) 访问控制方法和系统
CN111698346A (zh) 一种专线网络地址转换方法、装置、专线网关及存储介质
CN110784489B (zh) 安全通信系统及其方法
US20160337859A1 (en) System, methods and apparatuses for providing network access security control
CN104270317B (zh) 一种路由器运行应用程序的控制方法、系统及路由器
CN106533894A (zh) 一种全新的安全的即时通信体系
US20150256544A1 (en) Method and Device for Gateway Managing Terminal
US9848017B2 (en) Techniques for identity and policy based routing
CN114157532A (zh) 远程控制方法、系统、电子装置和存储介质
CN111163463B (zh) 一种无线设备接入路由器的方法、装置、设备和存储介质
JP2012070225A (ja) ネットワーク中継装置及び転送制御システム
CN101296196B (zh) 一种鉴权方法及鉴权装置
CN103746995A (zh) 用于安全网络的用户管控方法及系统
CN116566764A (zh) 一种接入虚拟专用网络的配置方法和装置
Nguyen et al. An SDN‐based connectivity control system for Wi‐Fi devices
JP2005327189A (ja) サーバ、認証交換システム及びリクエスト中継方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant