CN1647451B

CN1647451B - 用于在网络环境中监视信息的装置、方法和系统

Info

Publication number: CN1647451B
Application number: CN03807778.7A
Authority: CN
Inventors: 托马斯·R·巴基塔; 克里斯·奥鲁尔克; 德怀特·R·费赖伊; 弗兰克·W·皮腾杰; 约翰·G·怀特; 基斯·R·朔姆堡; 罗伯特·A·麦凯; 沃尔特·G·狄克逊
Original assignee: Cisco Technology Inc
Current assignee: Cisco Technology Inc
Priority date: 2002-04-09
Filing date: 2003-04-02
Publication date: 2010-06-23
Anticipated expiration: 2023-04-02
Also published as: CN1647451A; US7103659B2; EP1493246B1; CA2480496A1; CA2480496C; EP1493246A1; US20060252410A1; WO2003088575A1; US7734770B2; AU2003262120A1; US20030233444A1

Abstract

本发明提出了一种用于在网络环境中监视信息的方法，所述方法包括从由终端用户(12)发起的通信流中接收一个或多个分组。和通信流相关联的信息接着被选择性地传递至多个客户已知的网络元件(24a)、(24b)。

Description

用于在网络环境中监视信息的装置、方法和系统

技术领域

本发明一般地涉及网络通信领域，并更具体地涉及用于在网络环境中监视信息的系统和方法。

背景技术

有效的网络通信在今天的社会中变得日渐重要。网络通信的一个方面涉及收集或监视包含在通信流中的信息的能力。网络中的器件、组件和设备可能希望从通信流中收集信息以便给网络中的实体提供某些性能或增强，或是以某种方式使之适应或说明终端用户。

在从通信流中监视或收集信息的过程中，需要直接在通信线路中插入一件网络设备以使通信流经过这件插入的网络设备。这种网络配置有许多缺点。例如，插入线路中的多件网络设备使整个网络通信变慢，这是因为在通信流中的每件设备处，都要接收通信流，然后转发。此外，某些插入的网络器件可能希望在将数据通信到下一目的地之前处理通信流中的信息，这样也会使网络通信变慢。对信息的处理可能影响通信格式，给位于处理设备下游的器件和设备带来兼容性或加密/解密的问题。另外，插入的那件网络设备可能只需要通信流的一小部分信息。

而和这种配置相关的另一个问题涉及到优先级的问题。本来，插入的器件、组件或设备的每个所有者或出租人一般希望位于接收通信流的最高优先级。因此，必须建立和维护层次结构，这就给网络带来额外的约束和管理问题。而该系统的另一个缺点是这一网络配置受限于故障恢复特性，这是因为一个器件或组件中的故障或损坏可能导致通信流的切断，从而下游器件不能从通信流中接收数据。

发明内容

本领域的技术人员可从前述认识到，需要一种改进的网络通信方法，所述方法为多个器件或组件提供接收和通信流有关的信息的能力。根据本发明的一个实施例，提出了一种用于在网络环境中监视信息的系统和方法，基本上消除了或极大地减小了和传统信息监视或代理技术相关联的缺点和问题。

根据本发明的一个实施例，提供了一种用于在网络环境中监视信息的装置，包括：接入元件，用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中所述信息是在终端用户和耦合到所述接入元件的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，其中所述接入元件包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

根据本发明的另一个实施例，提供了一种用于在网络环境中监视信息的方法，包括：从由终端用户发起的通信流中接收一个或多个分组；选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中所述信息是在终端用户和耦合到接入元件的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件；以及响应于对应的所述客户已知的网络元件中的一个失效，提供指令以传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

根据本发明的另一个实施例，提供了一种用于在网络环境中监视信息的系统，包括：用于从由终端用户发起的通信流中接收一个或多个分组的装置；用于选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件的装置，其中所述信息是在所述终端用户和耦合到所述用于接收分组的装置的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件；以及用于响应于对应的所述客户已知的网络元件中的一个失效，提供指令以传递和所述通信流相关联的所述信息到备份的客户已知的网络元件的装置。

根据本发明的另一个实施例，提供了一种用于传递数据的装置，包括：验证、授权和计费(AAA)接入元件，用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个，所述验证、授权和计费接入元件包括数据库元件，所述数据库元件用于存储从所述通信流中得到的部分数据，所述部分数据被间歇地传递至所述客户已知的网络元件中的一个或多个，其中所述信息是在终端用户和耦合到所述接入元件的AAA服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，并且其中所述AAA接入元件包括一个表，该表存储一个或多个关系，所述关系反映和所述通信流相关联的哪些类型的信息要被选择性地通信至所述客户已知的网络元件中的一个或多个，所述AAA接入元件还包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件；以及网络接入服务器，用于建立从和所述通信流相关联的终端用户到所述验证、授权和计费接入元件的所述通信流，所述网络接入服务器用于为所述终端用户执行网际协议地址管理。

根据本发明的另一个实施例，提供了一种用于传递数据的系统，包括：验证、授权和计费(AAA)服务器，所述AAA服务器包括AAA接入元件，所述元件用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中，所述验证、授权和计费服务器用于为和所述通信流相关联的一个或多个终端用户提供授权、验证和计费功能，其中所述信息是在终端用户和所述AAA服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，并且其中所述AAA接入元件包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

本发明的某些实施例可提供许多技术优点。例如，根据本发明的一个实施例，提出了一种网络通信方法，该方法允许网络环境中的多个器件或组件接收和通信流有关的信息而不加重整个网络系统的负担。由于单个的元件被插入通信流中，而不是使网络通信变慢的一连串插入器件，所以可实现有效的通信。单个接入元件操作用于在所有相关的器件中共享信息，并在单一位置执行取样或检测功能。接入元件还避免了由网络设备引起的延迟问题，所述网络设备或是由于处理需要，或是由于接收和转发数据，而延长了通信流的传输。

本发明的一个实施例提出的另一个优点涉及对网络体系结构的更易管理性。这可通过在通信流中具有单个接入元件获得。因此，对通信流中网络的改变或修改只涉及到那个元件，而不是通信流中的一连串器件或组件。网络中新组件的集成也变得更加容易，这是因为只有接入元件受到网络配置改变的影响。同样，随着新设备被引入通信流而带来的格式、加密/解密和兼容性问题将只涉及接入元件，而不是位于通信流中的所有设备。

而本发明的一个实施例提出的另一个优点涉及网络内部的故障恢复能力。搜集和通信流有关的信息的单个组件的失效将不影响整个网络的操作。这是正确的，因为接入元件是仅有的一件影响通信流的网络设备。本发明的实施例可具有这些优点中的某些或全部，或完全不具有。对于本领域的技术人员来说，从下面的附图、描述和权利要求中，其他技术优点可以是清楚的。

附图说明

为了提供对本发明与其特征和优点的更为完整的理解，下面的描述中参照了附图，其中，类似的标号表示类似的部分，其中：

图1是用于在网络环境中监视数据的通信系统的简化方框图；

图2是用于监视数据的验证、授权和计费(AAA)接入元件的简化方框图；以及

图3是图示了用于在网络环境中监视数据的一系列步骤的流程图。

具体实施方式

图1是根据本发明一个实施例用于在网络环境中监视数据的通信系统10的简化方框图。通信系统10包括终端用户12、网络接入服务器(NAS)14、验证、授权和计费(AAA)接入元件16以及AAA服务器18。通信系统10还包括多个客户已知的(client-aware)网络元件24a和24b、多个网际协议(IP)网络28a和28b以及无线应用协议(WAP)网关32。

根据本发明一个实施例的教导，AAA接入元件16操作用于替代、补充或模仿或模拟位于由终端用户12发起的通信流中的一个或多个器件(或其性能)。AAA接入元件16从通信流中收集信息，然后选择性地将和通信流相关的数据分发到客户已知的网络元件24a和24b。被接入元件16收集的信息随后被传送到通信系统10中的其他元件或是被与其他元件共享，该信息可以是任何合适的数据，例如终端用户12的位置、用于通信流中的协议或技术、历史信息、带宽参数、通信服务数据或其他网络特性信息或用户参数等等。

使用AAA接入元件16允许通信系统10中的多个器件或组件接收涉及通信流的信息，而非直接插入通信通路引起整个系统结构负担加重。为了获得到通信流的接入并检测与其相关联的相应信息，每个客户已知的网络元件24a和24b有必要在终端用户12和AAA服务器18之间的通信流中拥有其各自的代理器件，而使用AAA接入元件16避免了这种必要性。

AAA接入元件16提供了有效通信，这是因为只有AAA接入元件16被插入到通信流中，而不是会操作使得网络通信变慢的一连串的插入器件。AAA接入元件16可在相关的客户已知的网络元件24a和24b中共享信息，还可在单一位置执行取样或检测功能。使用由AAA接入元件16提供的单一代理点有效地避免了由网络设备引起的延迟问题，所述网络设备由于处理需要或是由于接收和转发数据，而延长了通信流的传输。AAA接入元件16还显著减小了网络结构的复杂性，因为只有一个器件提供了关于故障恢复、备份和集成的系统约束。

终端用户12是在网络环境中发起通信的个人或实体。或者，终端用户12可以是任何网络元件，例如计算机、数据库、程序或试图发起(或使得发起)或参与通信系统10中通信的任何其他合适的元件。终端用户12可建立直接到AAA服务器18或通信系统10中任何其他元件的通信流。通信流可包含用于通过通信系统10传输的任何合适的通信协议或格式的数据分组或信元。本文件这里所使用的数据，指的是任何类型的数字、语音或文本数据，或以任何适当的格式可被从一点通信至另一点的任何其他合适的信息。

终端用户12可包括蜂窝(或无线)电话、个人数字助(PDA)、便携式电脑或电子笔记本，或能够在通信系统10中开始语音或数据交换的任何其他器件、组件或物体。终端用户12还可伴随有接口，例如麦克风、显示器或键盘或其他终端设备(例如在终端用户12被用作调制解调器的情况中到个人计算机或到传真机的接口)。

在本发明具体实施例的操作中，终端用户12使用radius(远程验证用户拨入服务)通信协议在网络中发起(或引起由NAS 14发起)或参与通信流。终端用户12可使用任何合适的通信协议以便使任何两件网络设备之间的通信对话或通信流变得容易。例如，可在通信系统10中使用diameter(直径)协议或终端接入控制器访问系统(TACACS)协议。TACACS代表了工业标准协议规范，RFC 1492，其转发用户名和密码信息到集中服务器。集中服务器可以是TACACS数据库，或者是具有TACACS协议支持类似UNIX密码文件的数据库。例如，具有TACACS的UNIX服务器传递请求到UNIX数据库，并将接受或拒绝消息发送回接入服务器。

radius通信协议可发送通信流中的多个要素，例如NAS IP地址(指示哪个NAS准许到网络上终端用户12的接入)、成帧IP地址(暗指终端用户12的身份)、NAS标识符、移动站标识符(产生或发出最初通信的实体)、呼叫站标识符(拨号的号码)或其他厂商专有信息。在本发明的一个具体实施例中，这一信息专用于终端用户12的第二层对话。

NAS 14是为终端用户12提供到网络的接入的元件。NAS 14可用于传输控制协议/网际协议(TCP/IP)网络，包括串行终端接入控制器、调制解调器池或栈、综合服务数字网(ISDN)路由器以及多功能接入控制器。NAS 14还可与提供交换服务连接、点对点(PPP)串行IP协议和用户验证功能的任何元件结合使用。NAS 14可支持串行线路网际协议(SLIP)和/或PPP协议，从而允许NAS 14建立和管理通过交换服务到远程站点的单个通信链接。NAS 14可在允许到网络或到另一个服务器的接入之前，验证终端用户12。NAS 14还可存储一个或多个可用于验证终端用户12的标识要素或密码。

NAS 14可使用TACACS、radius、diameter或其他任何合适的通信协议以便提供验证功能。在一个具体实施例中，由NAS 14实现的通信协议是radius。NAS 14可在例如PPP验证期间，使用网络接入标识符(NAI)，例如由终端用户12提交的用户ID。NAI可用于标识终端用户12，并可辅助验证请求的路由。在操作中，NAS 14操作以提出和终端用户12的第二层通信对话。NAS 14还可代表终端用户12提供AAA功能，并为终端用户12执行IP地址管理。

AAA接入元件16是从通信流中监视、取样、收集或检测信息，并使信息对通信系统10中其他设备可用的组件。尽管在AAA应用的文中描述了AAA接入元件16，但是AAA接入元件16可以不必基于AAA拓扑、配置、协议或结构。AAA接入元件16可以是获得到两点间通信流的接入的任何元件。只为了教导目的，提出了AAA应用。AAA接入元件16代表了单个权威性的监听元件，可代替多个执行类似功能的器件(或与其一同工作)。AAA接入元件16减小了结构复杂性，使网络设备的集成更简单，并使通信系统10的管理更简化。代理由AAA接入元件16在一个位置一次解决，而不是牵涉多个器件。在请求分组传输经过通信系统10时，AAA接入元件16还可执行任何必要的加密或解密协议或在适当的时候执行其他合适的转化。这一点在radius通信协议中尤其有益，在该协议中，通常需要加密/解密并操作使传输经过网络的通信变慢。

AAA接入元件16可为预先存在的客户已知的网络元件24a和24b复制AAA服务器18和终端用户12之间的业务量，其中，网络元件24a和24b被设计用作通信流中的被动代理。在具体实施例中，客户已知的网络元件24a和24b可被配置将AAA接入元件16既视为客户，又视为服务器。AAA接入元件16还可为通信系统10中的网络元件内的任何一个提供可扩展标记语言(XML)接口或通用对象请求代理体系结构(CORBA)接口。

在对于预先存在的客户已知的网络元件24a和24b的操作中，AAA接入元件16代理从由终端用户12发起的通信流中来的业务量。在读取或接收通信流之后，AAA接入元件16接着独立地通过一个或多个客户已知的网络元件24a和24b复制这些消息流。通过将AAA接入元件16既视为客户，又视为服务器，客户已知的网络元件24a和24b误以为它们被安装在radius通信的主流中。

由于AAA接入元件16被配置将AAA服务器18的真实回复返回到网络元件，因此，某些关于终端用户12、AAA服务器18与客户已知的网络元件24a和24b之间的通信流状态的状态信息可被维护。例如，当请求被复制到客户已知的网络元件24a和24b时，也将被提供回AAA接入元件16。然后，AAA接入元件16等待这一请求的实际回复，并将其复制回客户已知的网络元件24a和24b。当客户已知的网络元件24a和24b将这一信息代理回AAA接入元件16时，该消息可被确认，接着被丢弃。尤其在对于预先存在的客户已知的网络元件24a和24b的情况中，AAA接入元件16可被配置为在代理消息到终端用户12和AAA服务器18其中任一个之前，识别是否等待从客户已知的网络元件24a和24b来的转发消息。这可在特定情景中执行以便适应关于已经存在的定时的假设。

试图从通信流中监视信息的其他网络设备可能以与服务器执行该任务时同样的方式，简单地终止从AAA接入元件16来的复制的radius(或其他通信)协议。这可能对那些只对通信流中的计费消息或某些其他具体类型的信息，而不是对所有信息相关的设备尤其适合。这一配置更简单，因为主流不受影响，而且只维护AAA接入元件16与客户已知的网络元件24a和24b之间的协议状态。

在任一种情况中，不管客户已知的网络元件24a和24b是预先存在的还是新引入通信系统10的，AAA接入元件16都使能过滤通信流，使得给定的客户已知的网络元件只能检查到其可能相关的消息。或者，AAA接入元件16可能分发所有和通信流有关的消息到该元件所耦合的每一件网络设备。AAA接入元件16还可以向客户已知的网络元件24a和24b提供跨过其他接口到从AAA获得的信息的接入，例如CORBA、XML或根据具体需要任何其他合适的通信接口。

AAA服务器18是接收终端用户的访问网络资源的请求的服务器程序。网络资源是指给在通信系统10中通信的终端用户12提供某些功能的任何器件、组件或元件。对于对应的网络，AAA服务器18还可能提供验证、授权和计费服务和管理。授权通常是指给予终端用户作某事或访问某物的许可的过程。在多用户计算机系统中，系统管理员可能为系统规定哪些终端用户允许访问系统中给定位置，并且进一步，提供给终端用户什么样的特权。一旦终端用户登录进入例如IP网络28a的网络，该网络就希望识别出在通信对话期间给予终端用户什么样的资源。从而，通信系统10中的授权既可被视为系统管理员许可的初步建立，又可被视为当终端用户12试图访问所选区域时，对已建立的许可值的实际检查或确认。验证通常是指确认终端用户事实上是否是其所宣称的人或物的过程。在私有或公共计算机网络的情况中，验证可能通过使用例如用户身份或登录密码的唯一标识要素来完成。密码知识提供了终端用户可信的假设。计费通常是指和每个终端用户或每个网络相关的财务或会话信息，并且可额外的包括交易信息、会话定时信息、数据传输统计或者和通信系统10中其他信息流有关的信息。

AAA服务器18可从例如客户已知的网络元件24a和24b、动态主机配置协议(DHCP)服务器或域名系统(DNS)数据库元件等任何合适的源接收IP地址和其他参数，以便指引数据传递到终端用户12。AAA服务器18可包括操作用来接收和终端用户12相关联的数据，并给通信系统10中的网络组件提供对应的AAA相关功能的任何合适的硬件、软件、组件或元件。验证和IP地址管理可由AAA服务器18从第二层通道协议网络服务器(LNS)获得，LNS被提供用于在适当情况为终端用户12的地址安全服务。

在本发明的可替代实施例中，通信系统10可由计费服务器(用来代替AAA服务器18)或取代AAA服务器18并操作为另一个客户已知的网络元件的任何其他的被动(或附带的)服务器或元件实现。此外，根据本发明的教导，通信系统10可被配置为不含AAA服务器18。在这种配置中，AAA接入元件16可被配置为忽略AAA结果，并正确地转发信息到所选的客户已知的网络元件24a和24b。从客户已知的网络元件24a和24b中的每一个来的响应可被当作发回NAS 14的ACK信号。根据具体需要以及在适当情况下，也可实现在缺少AAA服务器18时，通信系统10中各个元件之间其他合适的内部通信。

客户已知的网络元件24a和24b中的每一个都是试图接收或访问包含在NAS 14(或终端用户12)和AAA服务器18之间的通信流中的信息的一部分的网络组件。客户已知的网络元件24a和24b可以是试图接收和由终端用户12发起的通信流相关的数据的通信系统10中的任何器件或组件。在具体实施例中，客户已知的网络元件24a和24b是为终端用户12提供某些服务或特征的客户已知的组件。例如，客户已知的网络元件24a和24b可能希望收集关于通信流的任何信息，如特定终端用户存在，通信流具有确定属性或质量以及先前通信流已经在网络中完成或执行某些任务。客户已知的网络元件24a和24b还可能希望为授权目的而标识终端用户12，或维护终端用户12的简介以提供计费记录或内容帐单信息。或者，客户已知的网络元件24a和24b可根据网络组件、设备或具体终端用户12的具体需要，使用通信流中的信息来提供任何其他类型的合适的客户已知的服务、工具或特征。额外的服务可能和例如路由、计费、防火墙、过滤或在用户已知的特性作为服务或增强实现的基础时的任何其他的合适参数或策略的领域相关。每一个客户已知的网络元件24a和24b能够独立的操作，以便一个的失效或损坏不是必然地影响另一个或通信系统10的功能。

在本发明的可替代实施例中，客户已知的网络元件24a或24b可被提供在IP网关内。在该实施例中，客户已知的网络元件24a或24b可以在接收从通信流中收集的信息以跟踪、监视或使用从AAA接入元件16接收的数据方面，以与上述的同样方式运行。然后，客户已知的网络元件24a和24b可使用从通信流中得到的该数据，以便为终端用户12提供用户特定的要素。例如，客户已知的网络元件24a和24b可使用该信息来为一组终端用户辨别收入等级，并提供汽车网站给那组可以买得起该网站上所提供汽车的终端用户。

在radius通信协议与客户已知的网络元件24a和24b一起使用的具体实施例中，radius通信的特性允许客户已知的网络元件24a和24b选择性地接收关于通信流的具体信息。这是因为radius将计费流和访问流隔离开，这样可允许选择性地分发数据到客户已知的网络元件24a和24b。例如，在特定情景中，客户已知的网络元件24a和24b可能只对接收用户名、电话号码或密码感兴趣。另外，其他客户已知的网络元件24a或24b可能对接收特定信息没有兴趣，从而可被排除在那些特定通信流之外。

每一个客户已知的网络元件24a和24b可包括用于存储信息的表(暂时或相反)，所述信息包括例如终端用户12当前使用的硬件、给终端用户12提供服务的服务供应者、例如和网关通用分组无线服务支持节点(GGSN)或分组数据服务节点(PDSN)特性相关的信息的网络特性，或可从取样通信流中收集的任何其他合适的用户概要特性或参数。客户已知的网络元件24a和24b还可执行第二层到第三层的映射。客户已知的网络元件24a和24b可标识并进一步验证终端用户12，接着允许终端用户12访问所选网络。例如，客户已知的网络元件24a和24b可能允许访问IP网络28a，而可能不允许访问IP网络28b。客户已知的网络元件24a和24b还可执行第三层到第七层(或更高)的映射。

此外，根据具体需要，每一个客户已知的网络元件24a和24b可被合适地配置，以便和AND(与)和OR(或)元件或者结构协同操作。在这种配置中，每一个客户已知的网络元件24a和24b的结果可被传递至NAS14作额外处理，由此NAS 14在为客户或终端用户提供到网络的接入之前等候ACK信号。

IP网络28a和28b每个代表了用于接收和传输通过通信系统10传播的信息分组的互连通信通路的一连串点或节点。IP网络28a和28b可被耦合至一个或多个客户已知的网络元件24a或24b。IP网络28a和28b可提供客户已知的网络元件24a和24b与WAP网关32之间的通信接口。IP网络28a和28b可以是任何局域网(LAN)、城域网(MAN)或广域网(WAN)或在网络环境中促进通信的任何其他合适的结构或系统。在本发明具体实施例中，IP网络28a和28b实现了TCP/IP通信语言体系结构。然而，IP网络28a和28b可替代地实现用于在通信系统10中传输和接收数据分组的任何其他合适的通信协议。

WAP(无线应用协议)网关32是操作为IP网络28b和网络中另一个节点之间的数据交换接口的网络点或节点。或者，WAP网关32可以是可操作以促进网络通信的任何服务器、路由器、网关或元件。本文件这里所提到的WAP，一般表示一组通信协议的规范，所述一组通信协议用来使例如蜂窝/无线电话和无线收发器的无线器件可被用于包括电子邮件、万维网、新闻组和因特网多线交谈系统的因特网接入的方式标准化。

WAP网关32可允许例如终端用户12的器件或组件从IP网络28b发起请求，接着通常可以促使所请求的数据传递回源或终端用户12。该数据可被翻译为WAP格式或任何其他合适的格式，以便所请求数据的源能够正确解释信息或所请求的数据可被恰当地显示在合适的器件或组件上。

图2是图示了和AAA接入元件16有关的附加细节的简化方框图。在本发明的一个具体实施例中，AAA接入元件16包括表40、智能元件42和数据库元件44。在AAA接入元件16中提供的这些元件是作为对AAA接入元件16的增强，而不应当被解释为限制或约束本发明的教导。

表40是用于跟踪、维护或标识客户已知的网络元件24a和24b中的每一个希望知道的信息类型的数据存储单元。此外，表40还可记录该信息何时需要被提供给一个或多个客户已知的网络元件24a和24b。表40可被配置使得其与网络厂商或网络中的其他设备共享信息，而不与其他共享该信息。也可使用表40以建立信息，并只要终端用户12在通信系统10中处于活动状态，就持续潜在地保持信息。或者，表40可在通信对话或通信流的持续时间内临时存储的关于包括终端用户12的通信流的信息。

智能元件42包括分别为一个或多个客户已知的网络元件24a和24b指定一个或多个备份的客户已知的网络元件的信息。在客户已知的网络元件24a和24b失效或发生故障(临时性的或永久性的)的情景中，智能元件42可指引AAA接入元件16提供专用数据到备份的客户已知的网络元件，以便使和通信流有关的信息的传播连续。智能元件42还可包括通信系统10中所有网络器件或组件的整体映射。

数据库元件44是以持久的或临时的方式维护和终端用户12有关的信息的存储元件。持久地存储在数据库元件44中的信息提供了数据的存储，所述数据可在客户已知的网络元件24a和24b暂时失效或需要重载和通信流有关的部分数据时被客户已知的网络元件24a和24b使用。当从暂时的失效阻塞中恢复时，客户已知的网络元件24a和24b可在操作重新开始后请求数据库元件44，并重新获得任何需要的信息以便继续收集关于AAA服务器18和终端用户12之间的通信流的信息的过程。数据库元件44还可存储关于通信系统10中的通信流的冗余信息。

表40、智能元件42和数据库元件44可使用任意数量的合适的方法或技术进行填充。表40、智能元件42和数据库元件44中的条目可被周期性地整理、删除或更新(或者可替代地基于某些事件或对系统参数的修改被更新或改变)以便正确地反映和通信系统10中的通信对话有关的当前数据。条目还可被指定地删除或在按每个通信流删除。在radius消息的情况中，表的填充内容可由radius计费消息或根据具体需要由任何其他合适的填充协议来控制。

图3是图示了和在网络环境中监视信息相关联的一连串步骤的流程图。图3中图示的示例是针对已知AAA接入元件16的客户已知的网络元件24a和24b。在步骤100，由终端用户12建立PPP对话。NAS 14通过AAA接入元件16发送接入请求到AAA服务器18。接入请求可包含用户名、用户IP地址或在适当情况任何其他合适的参数或要素。在产生要发送到AAA服务器18的请求的过程中，可实现推或拉协议。在步骤102，AAA接入元件16创建或访问表40中的条目，所述条目可包括用户名、MSISDN、建立通信的NAS 14的IP地址或任何其他合适的参数或数据片。

在步骤106，AAA接入元件16转发接入请求到AAA服务器18上。接着，AAA服务器18匹配密码到所提供的用户名。在步骤108，AAA服务器18将接入接受发送回AAA接入元件16。然后在步骤110，AAA接入元件16可被调用或触发。也可调用计费功能或其他合适的应用。AAA接入元件16可基于须知传递信息至客户已知的网络元件24a和24b，或者客户已知的网络元件24a或24b可向AAA接入元件16发出特定信息的请求，例如网络等级、用户身份信息、和过滤有关的数据、级别数据或客户已知的网络元件24a和24b试图寻找的任何其他合适的信息。然后在步骤112，客户已知的网络元件24a和24b可映射或关联IP信息或数据到用户名或其他概要信息。该概要信息可授予特定的权利、特权或网络增强给终端用户12。例如，该概要信息可规定提供给终端用户12到IP网络28a或IP网络28b的接入。

现在，AAA接入元件16可发送计费消息到客户已知的网络元件24a和24b，由此客户已知的网络元件24a和24b可发回确认消息。为了由终端用户12发起的通信对话的目的，必需的知识在当前被传递至客户已知的网络元件24a和24b，从而，保证了客户已知的网络元件24a和24b中的每一个，当分组从NAS 14通信时，该分组可传播至正确的网络，并根据指定的过滤规则集被适当地过滤。从而，客户已知的网络元件24a和24b已经准备好通信对话。现在，当通信流量到达时，客户已知的网络元件24a和24b中的每一个知道如何正确地处理输入数据。因此在通信对话被完全授权之前，客户已知的网络元件24a和24b已经就绪。

尽管参照具体实施例详细描述了本发明，但是应当理解，可对本发明作出多种其他的改变、替代和替换，而不脱离本发明的精神和范围。例如，尽管本发明被描述为在特定环境中操作，但是本发明可被用于试图从通信流中收集信息的任何网络环境。通信系统10可以和异步传递模式(ATM)、帧中继、X.25或任何其他类型的分组或电路交换网络一起使用。

另外，尽管参照终端用户12和AAA服务器18之间的通信描述了本发明，但是这里所描述的AAA接入元件16可被实现用于网络内部或外部任意两个组件之间的通信。本发明仅仅出于教导目的，描述了示例的网络环境。这不应当被解释为限制AAA接入元件16如何或在哪里实现。此外，上面公开的代理和监视配置可以和包括在通信过程中的任何组件、单元、硬件、软件、对象或元件一起实现。从前述中应当清楚，AAA接入元件16可用于AAA领域外，其中数据的代理或监视是其所实现的通信体系结构的要素。AAA接入元件16可用于多个器件希望从通信流中收集信息的任何环境中。

此外，AAA接入元件16可被包括在AAA服务器18中，或在客户已知的网络元件24a和24b其中的一个中，或在通信系统10内的任何其他的元件或组件中。为了教导本发明的目的，在图1和图2中图示了位于指定位置的AAA接入元件16，但是在适当情况下，AAA接入元件16可位于网络中的任何地方，并且可包括在任何附加的网络设备或器件中。

另外，尽管图3图示的示例是针对知道AAA接入元件16的客户已知的网络元件24a和24b所提出，但是AAA接入元件16可用于传统系统体系结构，而不脱离本发明的教导。本领域的技术人员可以确知大量的其他改变、替代、变化、替换和修改，并且本发明希望将所有的这种改变、替代、变化、替换和修改都包含在所附权利要求的精神和范围内。本发明并不希望被以任何方式被未在所附权利要求中反映的说明书中的任何陈述所限制。

Claims

1.一种用于在网络环境中监视信息的装置，包括：

接入元件，用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中所述信息是在终端用户和耦合到所述接入元件的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，其中所述接入元件包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

2.如权利要求1所述的装置，其中，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个。

3.如权利要求1所述的装置，还包括：

网络接入服务器，用于建立从和所述通信流相关联的终端用户到所述接入元件的所述通信流。

4.如权利要求3所述的装置，其中，所述网络接入服务器执行到所述终端用户的网际协议地址管理。

5.如权利要求1所述的装置，其中，所述接入元件包括数据库元件，所述数据库元件用于存储来自所述通信流中的部分数据，所述部分数据被间歇地传递至所述客户已知的网络元件中的一个或多个。

6.如权利要求1所述的装置，其中，所述接入元件包括表，所述表存储一个或多个关系，所述关系反映和所述通信流相关联的哪些类型的信息要被选择性地传递至所述客户已知的网络元件中的一个或多个。

7.如权利要求1所述的装置，其中，所述客户已知的网络元件中的一个或多个使用所述信息，以为和所述通信流相关联的一个或多个终端用户提供客户专有的能力。

8.一种用于在网络环境中监视信息的方法，包括：

从由终端用户发起的通信流中接收一个或多个分组；

选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中所述信息是在终端用户和耦合到接入元件的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件；以及

响应于对应的所述客户已知的网络元件中的一个失效，提供指令以传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

9.如权利要求8所述的方法，其中，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个。

10.如权利要求8所述的方法，还包括：

为所述终端用户执行网际协议地址管理。

11.如权利要求8所述的方法，还包括：

为和所述通信流相关联的一个或多个终端用户提供验证、授权和计费功能。

12.如权利要求8所述的方法，还包括：

存储从所述通信流中得到的部分数据，所述部分数据被间歇地传递至所述客户已知的网络元件中的一个或多个。

13.如权利要求8所述的方法，还包括：

存储一个或多个关系，所述关系反映和所述通信流相关联的哪些类型的信息要被选择性地通信至所述客户已知的网络元件中的一个或多个。

14.如权利要求8所述的方法，还包括：

使用所述信息，以为和所述通信流相关联的所述终端用户提供客户专有的能力。

15.一种用于在网络环境中监视信息的系统，包括：

用于从由终端用户发起的通信流中接收一个或多个分组的装置；

用于选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件的装置，其中所述信息是在所述终端用户和耦合到所述用于接收分组的装置的验证、授权和计费(AAA)服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件；以及

用于响应于对应的所述客户已知的网络元件中的一个失效，提供指令以传递和所述通信流相关联的所述信息到备份的客户已知的网络元件的装置。

16.如权利要求15所述的系统，其中，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个。

17.如权利要求15所述的系统，还包括：

用于建立从所述终端用户到所述AAA服务器的所述通信流的装置。

18.如权利要求17所述的系统，还包括：

用于为所述终端用户执行网际协议地址管理的装置。

19.如权利要求15所述的系统，还包括：

用于存储来自所述通信流中的部分数据的装置，所述部分数据被间歇地传递至所述客户已知的网络元件中的一个或多个。

20.如权利要求15所述的系统，还包括：

用于存储一个或多个关系的装置，所述关系反映和所述通信流相关联的哪些类型的信息要被选择性地通信至所述客户已知的网络元件中的一个或多个。

21.如权利要求15所述的系统，还包括：

用于使用所述信息，以为和所述通信流相关联的所述终端用户提供客户专有能力的装置。

22.一种用于传递数据的装置，包括：

验证、授权和计费(AAA)接入元件，用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个，所述验证、授权和计费接入元件包括数据库元件，所述数据库元件用于存储从所述通信流中得到的部分数据，所述部分数据被间歇地传递至所述客户已知的网络元件中的一个或多个，其中所述信息是在终端用户和耦合到所述接入元件的AAA服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，并且其中所述AAA接入元件包括一个表，该表存储一个或多个关系，所述关系反映和所述通信流相关联的哪些类型的信息要被选择性地通信至所述客户已知的网络元件中的一个或多个，所述AAA接入元件还包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件；以及

网络接入服务器，用于建立从和所述通信流相关联的终端用户到所述验证、授权和计费接入元件的所述通信流，所述网络接入服务器用于为所述终端用户执行网际协议地址管理。

23.一种用于传递数据的系统，包括：

验证、授权和计费(AAA)服务器，所述AAA服务器包括AAA接入元件，所述元件用于从通信流中接收一个或多个分组，并选择性地传递和所述通信流相关联的信息到多个客户已知的网络元件，其中，所述验证、授权和计费服务器用于为和所述通信流相关联的一个或多个终端用户提供授权、验证和计费功能，其中所述信息是在终端用户和所述AAA服务器之间传播的AAA信息，所述AAA信息被复制并被发送到所述客户已知的网络元件，并且其中所述AAA接入元件包括智能元件，所述智能元件响应于对应的所述客户已知的网络元件中的一个失效，指示所述接入元件传递和所述通信流相关联的所述信息到备份的客户已知的网络元件。

24.如权利要求23所述的系统，其中，和所述通信流相关联的所述信息响应于从所述客户已知的网络元件中的一个或多个发出的请求，被传递至所述客户已知的网络元件中的一个或多个。

25.如权利要求23所述的系统，还包括：

网络接入服务器，用于建立从和所述通信流相关联的终端用户中的一个或多个到所述验证、授权和计费接入元件的所述通信流。

26.如权利要求23所述的系统，其中，所述客户已知的网络元件中的一个或多个使用所述信息以为和所述通信流相关联的所述终端用户中的一个或多个提供客户专有的能力。