WO2009074072A1 - Procédé, système de réseau et équipement de réseau de conversion de stratégie dynamique - Google Patents

Procédé, système de réseau et équipement de réseau de conversion de stratégie dynamique Download PDF

Info

Publication number
WO2009074072A1
WO2009074072A1 PCT/CN2008/073234 CN2008073234W WO2009074072A1 WO 2009074072 A1 WO2009074072 A1 WO 2009074072A1 CN 2008073234 W CN2008073234 W CN 2008073234W WO 2009074072 A1 WO2009074072 A1 WO 2009074072A1
Authority
WO
WIPO (PCT)
Prior art keywords
policy
communication
carrier system
service
racf
Prior art date
Application number
PCT/CN2008/073234
Other languages
English (en)
French (fr)
Inventor
Weilong Ouyang
Original Assignee
Huawei Technologies Co., Ltd.
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Huawei Technologies Co., Ltd. filed Critical Huawei Technologies Co., Ltd.
Publication of WO2009074072A1 publication Critical patent/WO2009074072A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L47/00—Traffic control in data switching networks
    • H04L47/70—Admission control; Resource allocation

Definitions

  • the invention relates to the field of network communication technologies, and in particular, to a method, a network system and a network device for providing dynamic policy conversion.
  • IP Internet Protocol
  • PPP point-to-point protocol
  • BT OpenReach 0 has a main way of wholesale.
  • BitStream a typical networking is shown in Figure 1. As shown in Figure 2, the process steps are as follows:
  • PPPoE Point to Point Protocol over Ethernet
  • NAS Network Access Server
  • the PPPoE client initiates a PPP Authentication process; the NAS extracts the user's account and password and other authentication letters from the PPP authentication packet.
  • the proxy authentication server (radiius server), the proxy user initiates the authentication request;
  • Radius Server confirms that the user is legal and is a virtual dial-up private network user (VIRTUAL PRIVATE DIAL NETWORK, VPDN) according to the user account and password information, and carries the user policy and the second layer tunneling protocol in the authentication response message (Layer 2 Tunneling Protocol (L2TP) tunnel parameters (IP address of the VPDN server, parameters required for L2TP session negotiation, etc.);
  • L2TP Layer 2 Tunneling Protocol
  • the NAS confirms that the user is a VPDN user, and negotiates and establishes an L2TP tunnel and a session with the VPDN server according to the L2TP tunnel parameter of the authentication response packet. After confirming that the L2TP session is successfully established, the PPP packet of the sending user is forwarded to the L2TP session.
  • the secondary authentication is optionally supported as shown in Figures A5 and A6.
  • the user obtains PPP link parameters and IP address information, and the PPP session is established, that is, the BitStream session is successfully established.
  • the RACS architecture (referred to as the NGN architecture) provides an end-to-end QoS guarantee mechanism, as shown in Figure 3.
  • a transport control layer, RACS is added between the service layer (AF) and the transport layer.
  • the Access Node is an edge access node
  • the IP Edge is an edge node of the access network and is connected to the IP transport network
  • the NASS is a network connection management subsystem, which only has data and control interfaces with the IP Edge, and is responsible for the access network.
  • the user performs processing such as authentication, authorization, and address assignment, and notifies the attributes and IP addresses of the users of the RACS through the interface e4.
  • the NGN architecture solves the end-to-end QOS problem, the NGN architecture needs to be pre-configured with the wholesale operator's A-RACF and the retail operator's A-RACF topology and communication parameters.
  • the lack of dynamic communication between the A-RACF and the retail operator's A-RACF makes the workload large, inflexible, and unable to adapt to future nomadic needs.
  • an object of embodiments of the present invention is to provide a dynamic policy proxy method, a network system, and a network device, thereby being a wholesale operator's A-RACF and a retail operator's A-RACF.
  • Inter-communication provides a dynamic communication mechanism that reduces the amount of work required to accommodate future nomadic needs.
  • the method for dynamic policy conversion is applied between at least two operator systems, and the method includes: the first operator system and the second operator system perform authentication to obtain communication parameters, and the communication
  • the parameter includes a communication interface parameter of the policy controller of the second operator system and tunnel information of the user; the first operator system according to the communication interface parameter of the policy controller of the second operator system and the tunnel information of the user and the second
  • the carrier system negotiates a communication relationship between the policy controller of the first carrier system and the policy controller of the second carrier system; the first carrier system converts the policy message from the second carrier system to the first a policy message localized by the operator system to perform a user session, where the process of converting the policy message from the second carrier system to the policy local to the first carrier system is based on the first carrier system determined through negotiation The communication relationship between the policy controller and the policy controller of the second carrier system.
  • a network device includes: a communication parameter negotiation unit, configured to obtain, from an authentication server, a communication parameter of a service system associated with a service, where the authentication server obtains authentication by using an operator system associated with the service.
  • the communication parameter includes a communication interface parameter of a policy controller of a carrier system associated with the service and tunnel information of the user; a communication relationship negotiation unit, configured to use the communication interface parameter and the user of the policy controller
  • the tunnel information determines a communication relationship of the operator system associated with the service; the policy conversion unit is configured to convert the policy message from the operator system of the service association to the local according to the communication relationship determined by the communication relationship negotiation unit Strategy message.
  • An authentication server provided by the embodiment of the present invention includes: an AAA authentication proxy, configured to perform authentication by using an AAA proxy protocol with an operator system associated with a service, to obtain communication parameters of an operator system associated with the service, where the communication The parameters include: the tunnel information of the user and the associated with the service a communication interface parameter of the policy controller of the operator system; a communication parameter sending unit, configured to send the authentication communication parameter obtained by the AAA authentication agent to a policy controller of the operator system to which the authentication server belongs, so that the The policy controller of the operator system to which the authentication server belongs is based on the communication parameter and the policy controller of the operator system associated with the service to negotiate a communication relationship between the two policy controls.
  • an AAA authentication proxy configured to perform authentication by using an AAA proxy protocol with an operator system associated with a service, to obtain communication parameters of an operator system associated with the service, where the communication The parameters include: the tunnel information of the user and the associated with the service a communication interface parameter of the policy controller of the operator system
  • a communication parameter sending unit configured to send the authentication communication parameter obtained
  • a network system provided by the embodiment of the present invention includes: a first negotiation unit, a second negotiation unit, a third negotiation unit, a fourth negotiation unit, a first policy conversion unit, and a second policy conversion unit, where the first negotiation The unit and the second negotiating unit negotiate communication parameters between the access network and the service network, where the communication parameters include communication interface parameters of the policy controller of the second carrier system and tunnel information of the user; third negotiation unit and fourth The negotiation unit negotiates a communication relationship between the access network and the service network according to the communication parameter; the first policy conversion unit is configured to convert the policy message from the service network into a policy message inside the local network according to the communication relationship; And a second policy conversion unit, configured to convert, according to the communication relationship, a policy message from the access network into a policy internal to the local network.
  • the embodiment of the present invention provides a dynamic policy proxy method, a network system, and a network device, which can automatically establish a policy communication between a wholesale and retail operator A-RACF.
  • the interface provides a dynamic communication mechanism for communication between the wholesale operator's A-RACF and the retail operator's A-RACF, reducing the workload and making it more flexible to accommodate future nomadic needs.
  • FIG. 1 is a schematic diagram of networking of a bitstream mode (BitStream) in the prior art
  • FIG. 2 is a schematic diagram of a signaling flow of a bitstream mode (BitStream) in the prior art
  • FIG. 3 is a schematic diagram of a model of a policy agent in an NGN architecture in the prior art
  • FIG. 4 is a schematic diagram of networking in Embodiment 2 of the present invention.
  • FIG. 5 is a schematic flowchart of Embodiment 2 of the present invention.
  • FIG. 7A is a schematic structural diagram of a policy controller according to Embodiment 4 of the present invention.
  • FIG. 7B is a schematic structural diagram of another policy controller according to Embodiment 4 of the present invention.
  • FIG. 8 is a schematic structural diagram of a network system according to Embodiment 6 of the present invention.
  • FIG. 9 is a schematic structural diagram of an authentication server according to an embodiment of the present invention. detailed description
  • Embodiment 1 The method, device and system according to embodiments of the present invention are described in detail below with reference to the accompanying drawings.
  • the method for dynamic policy conversion provided in this embodiment is applied to an access network and a service network.
  • the "access network” and the “service network” referred to in the present invention may refer to a network of a wholesale operator and a network of a retail operator, respectively.
  • the invention refers to an access network and a service network as networks in which services are related to each other.
  • the method of this embodiment includes the following steps:
  • the access network interacts with the service network to negotiate and determine communication parameters
  • the access network negotiates with the service network to determine a communication relationship between the two according to the communication parameter and the network parameter of the user;
  • the access network and the service network convert the policy message from the other party into a policy message inside the local network according to the communication relationship to perform the session.
  • the "access network and the service network negotiate to determine the communication relationship between the two” may specifically: negotiate to determine the master-slave relationship and interface of the access network policy controller and the service network policy controller.
  • the access network negotiates with the service network to determine the communication parameters, and the specific steps may be:
  • the access network sends communication parameters to the service network through the authentication protocol, and receives communication parameters from the service network through the authentication protocol.
  • the network parameter of the user accessing the network to obtain the request session may be: the access network obtains the network parameter of the user requesting the session by means of interception or other means; the type of the network parameter may include: an IP address and/or a MAC address. Wait.
  • This embodiment provides an embodiment of the scenario specificity based on the first embodiment.
  • This embodiment is based on the PPP session mode.
  • the user uses the PPP to initiate a BitStream session.
  • the Wholesale operator system and the retail operator system use the TISPAN NGN architecture to manage the network QOS network and process as follows.
  • the AAA server has a built-in TISPAN architecture. Into the configuration function (Network Access Control Function, NACF), UACF, and Connectionivity session Location and repository Function (CLF). As shown in FIG.
  • the system provided in this embodiment includes: a wholesale carrier system and a retail operator system, where the wholesale carrier system includes: A-RACF, charging, authentication, authentication server (AAA server), broadband Access servers (BROADBAND REMOTE ACCESS SERVERBRAS, BRAS), L2TP ACCESS CONCENTRATOR (LAC) and access nodes (such as DSLAM); retail operator systems include: AAA, A-RACF, SPDF and broadband An entity such as a Broadband Network Gateway (BNG), wherein the BNG can also be an L2TP Network Server (LNS).
  • AAA server authentication server
  • broadband Access servers BROADBAND REMOTE ACCESS SERVERBRAS, BRAS
  • LAC L2TP ACCESS CONCENTRATOR
  • DSLAM access nodes
  • retail operator systems include: AAA, A-RACF, SPDF and broadband An entity such as a Broadband Network Gateway (BNG), wherein the BNG can also be an L2TP Network Server (LNS).
  • BNG Broadband Network Gateway
  • LNS
  • the communication parameters of the wholesale operator system and the retail operator system may be negotiated by the AAA server of the wholesale carrier system and the AAA server of the retail operator system, including the communication of the wholesale operator system and the retail operator system A-RACF. Information, as well as user tunnel information, etc.
  • the A-RACF of the wholesale carrier system may interact with the A-RACF of the retail operator system to negotiate communication between the wholesale operator system and the retail operator system based on the communication parameters of the wholesale carrier system and the retail operator system. relationship. After the communication relationship is negotiated, the A-RACF of the wholesale carrier system and the A-RACF of the retail operator system can act as a mutual agent for each other, and translate the policy request from the other party into a policy request within the system.
  • the A-RACF of the wholesale carrier system acts as a strategic agent for the A-RACF of the retail operator system, and will be from the retail operator system A--
  • the RACF policy request is translated into a policy request within the wholesale carrier system.
  • FIG. 5 it is a schematic flowchart of a method corresponding to the system of the embodiment, which includes the following steps:
  • the BRAS of the wholesale carrier system detects the user's PPP call, and then performs communication processing with the AAA server of the wholesale carrier system, wherein the user passes the BRAS (LAC) of the home gateway or the routing gateway and the wholesale carrier system.
  • LAC BRAS
  • the home gateway or routing gateway may include a PPP client;
  • the AAA server of the wholesale carrier system checks whether the user belongs to the retail operator during the authentication process, and activates the AAA proxy (AAA Proxy) to remotely access the AAA server of the retail operator system for authentication;
  • the AAA server of the wholesale carrier system authenticates with the AAA server of the retail operator system through the AAA proxy on it, and if the authentication passes, that is, the AAA server of the retail operator system Confirm that the user can access, the AAA server of the wholesale carrier system can be informed by the AAA proxy protocol (such as Radius or Diameter) that the user passes the authentication, 4 authorized information, and the user's tunnel information (VPN ID, LNS IP address, password, forwarding mode). And the communication information (IP address, FQDN, password, contract information of the operator system, etc.) of the A-RACF of the retail carrier system, wherein the communication information of the A-RACF in FIG. 5 is the communication of the A-RACF Interface parameter
  • the BRAS of the wholesale carrier system establishes a tunnel with the BNG ( LNS ) of the retail operator system according to the authentication result and the tunnel information of the user, and transmits the user PPP packet to the BNG ( LNS ) through the tunnel;
  • the BNG (LNS) of the retail operator system may perform secondary authentication for the user. If successful, complete the negotiation and address allocation process with the user PPP client;
  • the AAA server of the retail operator system pushes the user attribute to the A-RACF of the retail operator system, the communication information of the A-RACF to which the BRAS of the wholesale carrier system belongs, and the tunnel information of the user (VPN) ID, LAC IP address, etc.);
  • the BRAS of the wholesale carrier system listens to the PPP session transmitted through the tunnel (such as PPPoE snooping and listens to the PPP protocol message). After confirming that the session is established successfully, the user IP address and PPPoE Session Id of the PPP session that is being monitored are obtained. The parameter is reported to the AAA server of the wholesale carrier system to successfully log in to the user;
  • the AAA server of the wholesale carrier system pushes the user attribute to the A-RACF of the wholesale carrier system, the communication information of the A-RACF to which the BNG (LNS) of the retail carrier system belongs, and the tunnel information of the user (VPN ID, LNS IP) Address, etc.);
  • the A-RACF of the wholesale carrier system negotiates the communication relationship between the two to the A-RACF of the retail operator system according to the communication parameters such as the communication information and the tunnel information of the user, so that the A-RACF of the wholesale carrier system is negotiated according to the agreement.
  • the determined communication relationship such as the A-RACF policy agent of the retail carrier system, translates the policy request from the retail operator's A-RACF system into a policy request within the wholesale carrier system.
  • the communication relationship includes a communication relationship between the A-RACF of the wholesale carrier system and the A-RACF of the retail operator system, including a master-slave relationship and an interface, and the master-slave relationship and the interface may be any one or combination of the following: (1)
  • the A-RACF of the wholesale carrier system acts as the Policy Execution Unit (RCEF) of the A-RACF of the retail operator system, using the Re interface;
  • RCEF Policy Execution Unit
  • the A-RACF of the wholesale carrier system serves as the A-RACF level interface of the retail operator system, using the Rr interface;
  • the A-RACF of the wholesale carrier system acts as the slave node of the A-RACF of the retail operator system, using the Rq interface.
  • the A-RACF of the retail operator system forwards the resource allocation request message to the wholesale operator system A. -RACF;
  • the A-RACF of the wholesale carrier system finds the corresponding user attribute, the protocol signed by the retail operator system and the wholesale carrier system, and the user session according to the user IP address and VPN ID in the resource allocation request message.
  • BRAS thereby performing local resource admission control of the wholesale operator system, and if successful, feeding back the resource allocation success message to the A-RACF of the retail operator system; and simultaneously terminating the user according to the user's IP address and VPN ID and the IP address of the BRAS
  • the resource is mapped to the resource of the PPP session identified by the PPPoE session Id;
  • the A-RACF of the retail operator system receives the local resource acceptance control of the retail operator system after receiving the success message of the A_RACF of the wholesale operator system, and if successful, notifies the retail operator system of the SPDF,
  • the SPDF notification VOD server of the retail operator system can push the program data to the user.
  • This embodiment provides another embodiment of the scenario specificization based on the first embodiment. This embodiment is based on the IP session mode.
  • the network diagram of the system provided in this embodiment is the same as that in the first embodiment, as shown in FIG.
  • FIG. 6 it is a schematic flowchart of a method corresponding to the system of the embodiment, and the steps included are as follows:
  • the BRAS of the wholesale carrier system detects the dynamic Host Configuration Protocol (DHCP) call initiated by the user to initiate an IP session, and then initiates authentication to the AAA server of the wholesale carrier system, where the user passes the home gateway or the routing gateway.
  • DHCP Dynamic Host Configuration Protocol
  • a DHCP protocol call is made between the BRAS (LAC) of the wholesale carrier system, and the home gateway or routing gateway can To include a DHCP client;
  • the AAA server of the wholesale carrier system checks that the user belongs to the retail operator during the authentication process, and activates the AAA proxy (AAA Proxy) to remotely access the retail operator's AAA server for authentication;
  • the AAA server of the wholesale carrier system interacts with the retail operator's AAA server for authentication. If the authentication is passed, the AAA server of the retail operator system confirms that the user can access and passes the AAA proxy protocol (such as Radius or Diameter).
  • the content of the notification includes one or more of the following combinations: user authentication and authorization information, user tunnel information (VPN ID, LNS IP address, password, forwarding mode, etc.) and retail Communication information of the A-RACF of the carrier system (IP address, FQDN, signing agreement of the cryptographic carrier system, etc.), and the communication information of the A-RACF in FIG. 6 is the communication interface parameter of the A-RACF;
  • the BRAS of the wholesale carrier system establishes a tunnel with the BNG ( LNS ) of the retail operator system according to the authentication result and the tunnel information of the user, and transmits the user DHCP message to the BNG ( LNS ) through the tunnel;
  • the BNG (LNS) of the retail operator system may perform secondary authentication for the user. If successful, complete the negotiation and address allocation process with the user DHCP client;
  • the IP session establishment process of the DHCP protocol is performed between the C6, the DHCP client, and the AAA server of the retail operator system;
  • the AAA server of the retail operator system pushes the user attribute to the retail operator system A-RACF, the communication information of the A-RACF to which the BRAS of the wholesale carrier system belongs, and the tunnel information of the user (VPN ID) , LAC IP address, etc.);
  • the BRAS of the wholesale carrier system listens to the IP session transmitted through the tunnel (such as DHCP snooping, listening for DHCP protocol messages, and ARP and other IP packets). After confirming that the session is successfully established, the user IP address of the IP session is monitored. Reporting the user to the AAA server of the wholesale carrier system and the MAC address successfully.
  • the AAA server of the wholesale carrier system pushes the user attribute to the A-RACF of the wholesale carrier system, the communication information of the A-RACF to which the BNG (LNS) of the retail carrier system belongs, and the tunnel information of the user (VPN ID, LNS IP) Address, etc.);
  • the A-RACF of the wholesale carrier system communicates with the communication information and the tunnel information of the user.
  • the A-RACF of the retail operator system negotiates the communication relationship between the two, so that the A-RACF of the wholesale carrier system can negotiate the determined communication relationship, such as the strategic agent of the A-RACF as the retail operator system.
  • the communication relationship includes a communication relationship between the A-RACF of the wholesale carrier system and the A-RACF of the retail operator system, including a master-slave relationship and an interface, and the master-slave relationship and the interface may be any one or combination of the following:
  • the A-RACF of the wholesale carrier system acts as the RCEF of the A-RACF of the retail operator system, using the Re interface;
  • the A-RACF of the wholesale carrier system serves as the A-RACF level interface of the retail operator system, using the Rr interface;
  • the A-RACF of the wholesale carrier system acts as the slave node of the A-RACF of the retail operator system, using the Rq interface.
  • the A-RACF of the wholesale carrier system finds the corresponding user attribute according to the user IP address and VPN ID in the request message, obtains the agreement signed by the operator's own operator system and the wholesale carrier system, and the BRAS where the user session is located, thereby Perform local resource admission control of the wholesale carrier system. If successful, the A-RACF feedback resource allocation to the retail operator system is successful; and the user session resources are mapped to the user according to the user's IP address and VPN ID and the BRAS IP address. The resource of the IP session identified by the MAC;
  • the A-RACF of the retail operator system After receiving the success message of the A_RACF of the wholesale operator system, the A-RACF of the retail operator system performs the resource admission control of the retail operator system locally, and if successful, notifies the retail operator system of the SPDF, so that The SPDF notification VOD server of the retail operator system can push the program data to the user.
  • the session scenario to which the embodiment of the present invention is applied is not limited to the PPP mode and the third IP mode of the second embodiment, and may be other session scenarios.
  • the embodiment provides a network device, which may specifically have a policy control function.
  • the capable network device, the present invention may be named "policy controller".
  • the policy controller includes: a communication parameter negotiation unit 702, configured to interact with an operator system associated with the service, and negotiate to determine a communication parameter, where the communication parameter includes a communication interface parameter of a policy controller of the operator system associated with the service, and User's tunnel information;
  • the communication relationship negotiation unit 704 is configured to determine, according to the communication interface parameter of the policy controller of the operator system associated with the service and the tunnel information of the user in the communication parameter determined by the communication parameter negotiation unit, to determine a communication relationship with the operator system associated with the service. ;
  • the policy conversion unit 706 is configured to convert the policy message from the operator system of the service association into a policy message inside the local operator system according to the communication relationship determined by the communication relationship negotiation unit to perform the session.
  • the communication parameter negotiation unit may include:
  • the sending unit 702-1 is configured to send, by using an authentication protocol, a communication parameter to an operator system associated with the service;
  • the receiving unit 702-3 is configured to receive, by using an authentication protocol, a communication parameter from an operator system of the service association.
  • the policy conversion unit may be:
  • the network parameter obtaining unit 706-1 is configured to acquire network parameters of the session user.
  • the determining unit 706-2 determines, according to the communication parameter and the network parameter of the session user, a master-slave relationship and an interface of the policy controller of the access network and the policy controller of the service network.
  • the policy controller may be an A-RACF function entity in the network architecture in the second embodiment, or a function body integrated with the A-RACF function entity, and the implementation may be flexible and adopts multiple modes.
  • the policy controller does not directly interact with the operator system associated with the service, and negotiates to determine communication parameters, that is, does not have the communication in FIG. 7A.
  • the parameter negotiation unit 702 correspondingly, the policy controller in this embodiment has a communication parameter acquisition unit 708, and the communication parameter acquisition unit 708 interacts with the authentication server to obtain communication parameters, wherein the function of the communication parameter negotiation unit 702 in FIG. 7A This is done by the authentication server.
  • the communication parameter acquisition unit 708 interacts with the authentication server to obtain communication parameters, wherein the function of the communication parameter negotiation unit 702 in FIG. 7A This is done by the authentication server.
  • the broadband access device may include: a listening unit, configured to listen to a user session, obtain user network parameters, and use the access network to negotiate a communication relationship between the two.
  • the type of the network parameter may include: an IP address and/or a MAC address, and the like.
  • the embodiment provides an abstract layer network system architecture based on the first embodiment and the second embodiment, which may include:
  • first negotiation unit 802 a first negotiation unit 802
  • second negotiation unit 804 a third negotiation unit 806, a fourth negotiation unit 808, a first policy conversion unit 810, and a second policy conversion unit 812, where
  • the first negotiating unit 802 and the second negotiating unit 804 negotiate a communication parameter between the access network and the serving network;
  • the third negotiating unit 806 and the fourth negotiating unit 808 negotiate a communication relationship between the access network and the serving network according to the communication parameter;
  • a first policy conversion unit 810 configured to convert a policy message from the service network into a policy inside the local network according to the communication relationship
  • the second policy conversion unit 812 is configured to convert the policy message from the access network into a policy inside the local network according to the communication relationship.
  • the network system can be:
  • the first negotiating unit, the third negotiating unit and the first policy converting unit are deployed in the access network (corresponding to the wholesale operator system); the second negotiating unit, the fourth negotiating unit and the second policy converting unit are deployed in the service network (corresponding to retail Carrier system).
  • An embodiment of the present invention further provides an authentication server, as shown in FIG. 9, including:
  • the AAA authentication proxy 902 is configured to perform authentication by using an AAA proxy protocol to the operator system associated with the service, to obtain communication parameters of the operator system associated with the service, where the communication parameters include: user tunnel information and the service association.
  • the communication parameter sending unit 904 is configured to send the authentication communication parameter obtained by the AAA authentication agent to a policy controller of the operator system to which the authentication server belongs, so that a policy controller of the operator system to which the authentication server belongs is based on the carrier system of the communication parameter associated with the service
  • the policy controller negotiates the communication relationship between the two policy controls.
  • the authentication server may further include function modules such as an access configuration function body 906 and a session location function body 908, and refer to TISPAN's NGN architecture.
  • function modules such as an access configuration function body 906 and a session location function body 908, and refer to TISPAN's NGN architecture.
  • the policy communication interface between the wholesale operator system and the A-RACF of the retail operator system can be automatically established, thereby being the A-RACF of the wholesale operator system and the A-RACF of the retail operator system.
  • Inter-communication provides a dynamic communication mechanism that reduces workload and is more flexible to accommodate future nomadic needs.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种动态策略转换的方法、 网络系统及网络设备
本申请要求于 2008年 11月 30 日 提交中 国专利局、 申请号为 200710077483.5、 发明名称为"一种动态策略转换的方法、 网络系统及网络设 备"的中国专利申请的优先权， 其全部内容通过引用结合在本申请中。
技术领域
本发明网络通信技术领域， 尤其涉及一种提供动态策略转换的方法、 网络 系统及网络设备。
背景技术
为不同的用户提供不同的业务，传统主流的电信运营商建了不同的网络来 承载不同的业务， 例如公共交换电话网 （PSTN )承载电话业务、 数字数据网 ( DDN )承载企业专线等。 随着电信竟争不断加大， 电信运营商试图将不同 网络融合到一张网络上承载多业务，从而降低运营成本提高盈利能力。越来越 多的业务不断在互联网协议（Internet Protocol, IP )上出现并不断提升性能， 例如 IP承载语音（ Voice over IP ), IP承载视频（ Video over IP ), IP承载电视 ( TV over IP ), 逐步具备电信业务所属的质量和性能， 于是， 电信运营商选择 IP承载网作为融合网络的承载技术，其中电信运营商关注用户认证和计费。 在 DSL论坛正在讨论如何让业务运营商从点到点协议（Point to Point Protocol, PPP )拨号接入方式演进到一种通过统一的传送方式来承载签约用户的所有 IP 业务的接入方式， 并将此种接入方式称为"用户会话 ( Subscriber Session ) ", 包含两种基本的会话， IP会话 （session )和点到点协议会话（PPP Session )。
随着开放访问 （Open Access )政策逐步被运营商所接受， 越来越多的宽 带网络运营商通过批发 （Wholesale ) 方式开放给其他运营商， 例如 BT OpenReach0 目前 wholesale有一种主要的方式是比特流模（ BitStream ), 典型 组网如图 1所示。 如图 2所示， 流程步骤如下：
A1 , 用户使用以太网点到点协议呼叫客户端（ PPPoE Client )发起以太网 点到点协议 ( Point to Point Protocol over Ethernet, PPPoE )呼叫， 与网络访问 服务器（Network Access Server, NAS )协商并建立 PPPoE会话；
A2 , 在 PPPoE会话建立成功后， PPPoE客户端发起点到点协议认证过程 ( PPP Authentication ); NAS从 PPP认证报文中提取用户的帐号和密码等认证信 息向认证服务器 （ Radius Server ), 代理用户发起认证请求；
A3 , Radius Server根据用户帐号和密码等信息确认用户是合法的并且是虚 拟拨号专网用户 （VIRTUAL PRIVATE DIAL NETWORK, VPDN ), 在认证响 应报文中携带用户策略以及第二层隧道协议（Layer 2 Tunneling Protocol, L2TP ) 的隧道参数（VPDN服务器的 IP地址、 L2TP会话协商所需的参数等信 息）；
A4 , NAS确认用户是 VPDN用户， 根据认证响应报文的 L2TP隧道参数， 向 VPDN服务器协商并建立 L2TP 隧道以及会话； 在确认 L2TP会话建立成功 后， 转发发用户的 PPP报文到 L2TP会话中；
用户和 VPDN服务器启动 PPP LCP (链路配置协议 )/NCP (网络配置协议 ) 过程后， 可选支持二次认证如图中 A5和 A6。
A7 , 用户获得 PPP链路参数和 IP地址等信息， PPP会话建立， 也就是 BitStream会话建立成功。
同时， 为了保证 IP业务的 QoS , 电信和互联网业务和协议的先进网络 ( TELECOMMUNICATIONS AND INTERNET CONVERGED SERVICES AND PROTOCOLS FOR ADVANCE NETWORKING , TISPAN )和下一代网 络 (NGN)资源接纳控制子系统（ Resource Admission Control Subsystem, RACS ) 架构 （简称 NGN架构）提供了一种端到端的 QoS保证机制， 如图 3所示。 在业 务层（AF )和传送层之间加入了一个传送控制层， 即 RACS , 由业务策略决策 功能体（ SERVICE POLICY DECISION FUNCTION, SPDF )和接入-资源接纳 控制功能体 （ACCESS-RESOURCE ADMISSION CONTROL FUNCTION, A-RACF )组成， 业务层通过接口 Gq，向 RACS请求用户使用业务的资源及控制 策略， RACS将这些资源请求及控制策略下发到对应的 IP Edge和 Border Node 进行资源分配和策略执行。 其中， Access Node是边缘接入节点； IP Edge是接 入网的边缘节点，与 IP传送网相连； NASS是网络连接管理子系统，仅与 IP Edge 有数据和控制接口， 负责对接入网的用户进行认证、 授权和地址分配等处理， 通过接口 e4通知 RACS的用户的属性和 IP地址。
NGN架构虽然解决端到端的 QOS问题， 但是 NGN架构需要预先配置好批 发运营商的 A-RACF和零售运营商的 A-RACF的拓朴和通信参数， 批发运营商 的 A-RACF和零售运营商的 A-RACF之间缺少动态的通信机制，使得工作量大， 不够灵活， 而且无法适应未来游牧的需求。
发明内容
鉴于上述现有技术所存在的问题，本发明实施例的目的是提供一种动态策 略代理的方法、 网络系统和网络设备， 从而为批发运营商的 A-RACF和零售运 营商的 A-RACF之间的通信提供动态的通信机制， 减少工作量， 进而以适应未 来游牧的需求。
本发明实施例的目的是通过以下技术方案实现：
本发明实施例提供的一种动态策略转换的方法，应用于至少两个运营商系 统之间， 该方法包括： 第一运营商系统与第二运营商系统进行认证以获得通信 参数,所述通信参数包括第二运营商系统的策略控制器的通信接口参数和用户 的隧道信息；第一运营商系统根据第二运营商系统的策略控制器的通信接口参 数和用户的隧道信息与所述第二运营商系统协商第一运营商系统的策略控制 器和第二运营商系统的策略控制器两者之间的通信关系；第一运营商系统将来 自第二运营商系统的策略消息转换为第一运营商系统本地的策略消息，以进行 用户会话， 其中， 所述将来自第二运营商系统的策略消息转换为第一运营商系 统本地的策略的处理是基于协商确定的第一运营商系统的策略控制器和第二 运营商系统的策略控制器之间的通信关系。
本发明实施例提供的一种网络设备， 包括： 通信参数协商单元， 用于从认 证服务器获得业务关联的运营商系统的通信参数， 其中， 所述认证服务器与业 务关联的运营商系统进行认证获得所述通信参数，所述通信参数包括与业务关 联的运营商系统的策略控制器的通信接口参数和用户的隧道信息；通信关系协 商单元，用于根据所述策略控制器的通信接口参数和用户的隧道信息确定与所 述业务关联的运营商系统的通信关系； 策略转换单元， 用于根据所述通信关系 协商单元确定的通信关系，将来自于业务关联的运营商系统的策略消息转换为 本地的策略消息。
本发明实施例提供的一种认证服务器， 包括： AAA认证代理， 用于通过 AAA代理协议与业务关联的运营商系统进行认证， 以获得所述业务关联的运 营商系统的通信参数， 所述通信参数包括： 用户的隧道信息和所述业务关联的 运营商系统的策略控制器的通信接口参数； 通信参数发送单元， 用于将所述 AAA认证代理获得的认证通信参数下发给所述认证服务器所属运营商系统的 策略控制器，以使所述认证服务器所属运营商系统的策略控制器基于所述通信 参数与所述业务关联的运营商系统的策略控制器协商两策略控制之间的通信 关系。
本发明实施例提供的一种网络系统， 包括：第一协商单元、第二协商单元、 第三协商单元、第四协商单元、第一策略转换单元和第二策略转换单元，其中， 第一协商单元和第二协商单元协商接入网络与服务网络之间的通信参数，所述 通信参数包括第二运营商系统的策略控制器的通信接口参数和用户的隧道信 息；第三协商单元与第四协商单元根据所述通信参数协商接入网络与服务网络 之间的通信关系； 第一策略转换单元， 用于根据所述通信关系， 将来自服务网 络的策略消息转换为本地网络内部的策略消息； 第二策略转换单元， 用于根据 所述通信关系， 将来自接入网络的策略消息转换为本地网络内部的策略。
由上述本发明实施例提供的技术方案可以看出，本发明实施例提供了一种 动态策略代理的方法、 网络系统和网络设备， 可以自动地建立批发和零售运营 商 A-RACF之间策略通信接口， 从而为批发运营商的 A-RACF和零售运营商 的 A-RACF之间的通信提供动态的通信机制， 减少工作量， 更加灵活， 进而 以适应未来的游牧需求。
附图说明
图 1为现有技术中比特流模式（BitStream ) 的组网示意图；
图 2为现有技术中比特流模式（BitStream ) 的信令流程示意图；
图 3为现有技术中 NGN架构下策略代理的模型示意图；
图 4为本发明实施例二的组网示意图；
图 5为本发明实施例二的流程示意图；
图 6为本发明实施例三的流程示意图；
图 7A为本发明实施例四的策略控制器组成示意图；
图 7B为本发明实施例四的另一策略控制器组成示意图；
图 8为本发明实施例六的网络系统架构示意图；
图 9为本发明实施例的认证服务器的组成示意图。 具体实施方式
为使本发明的目的、技术方案和优点更加清楚， 下面将结合附图对本发明 实施方式作进一步地详细描述。
下面结合附图对本发明实施例所述方法、 设备及系统进行详细阐述。 实施例一
本实施例提供的动态策略转换的方法，应用于接入网络和服务网络， 本发 明所指的 "接入网络"和"服务网络"可以是分别指批发运营商的网络和零售运 营商的网络， 本发明称接入网络和服务网络为业务互为关联的网络。本实施例 的方法包括以下步骤：
接入网络与服务网络进行交互， 协商确定通信参数；
接入网络获取请求会话用户的网络参数；
根据所述通信参数和用户的网络参数，接入网络与服务网络协商确定两者 之间的通信关系；
接入网络与服务网络根据所述通信关系，将来自对方的策略消息转换为本 地网络内部的策略消息， 以进行会话。
"接入网络与服务网络协商确定两者之间的通信关系 "可以具体是：协商确 定接入网络策略控制器与服务网络策略控制器的主从关系以及接口。
"接入网络与服务网络协商确定通信参数，，的步骤具体可以是：
接入网络通过认证协议向服务网络发送通信参数，通过认证协议接收来自 服务网络的通信参数。
"接入网络获取请求会话的用户的网络参数"具体可以是：接入网络通过侦 听或者其他手段获取请求会话的用户的网络参数； 网络参数的类型可以是包 括： IP地址和 /或 MAC地址等。
实施例二
本实施例提供了基于实施例一的场景具体化的实施例。
本实施例基于 PPP的会话模式。
用户釆用 PPP发起 BitStream会话， 批发 （ Wholesale )运营商系统和零售 ( Retail )运营商系统都釆用 TISPAN的 NGN架构管理网络 QOS的组网和流程如 下， 其中， AAA服务器内置 TISPAN架构下网络接入配置功能体 （ Network Access Control Function, NACF )、 UACF和会话位置功能体 ( Connectionivity session Location and repository Function, CLF )。 如图 4所示 , 本实施例提供的系 统包括： 批发运营商系统和零售运营商系统， 其中， 批发运营商系统包括： A-RACF、 计费、 鉴权、 认证服务器 （AAA服务器）、 宽带接入服务器 ( BROADBAND REMOTE ACCESS SERVERBRAS, BRAS )、 L2TP接入集中 器（L2TP ACCESS CONCENTRATOR, LAC )和接入节点（如 DSLAM )等实 体；零售运营商系统包括： AAA, A-RACF, SPDF和宽带网络网关（ Broadband Network Gateway , BNG )等实体，其中， BNG也可以为 L2TP网络服务器（ L2TP Network Server, LNS )。 可以是由批发运营商系统的 AAA^务器和零售运营商 系统的 AAA服务器协商批发运营商系统和零售运营商系统的通信参数， 包括 批发运营商系统和零售运营商系统的 A-RACF的通信信息， 以及用户的隧道信 息等。可以是由批发运营商系统的 A-RACF与零售运营商系统的 A-RACF交互， 根据批发运营商系统和零售运营商系统的通信参数，协商批发运营商系统和零 售运营商系统之间的通信关系。 通信关系协商好之后， 批发运营商系统的 A-RACF与零售运营商系统的 A-RACF就可以互为策略代理， 将来自对方的策 略请求转化为本系统内部的策略请求。 当然， 也可以只应用单向的策略代理， 可以视实际需求而定， 比如批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的策略代理， 将从零售运营商系统的 A-RACF的策略请求转化为批发 运营商系统内部的策略请求。
如图 5所示， 是对应本实施例系统的方法的流程示意图， 包括如下步骤：
B 1、 批发运营商系统的 BRAS检测到用户的 PPP呼叫， 然后与批发运营商 系统的 AAA服务器通信执行认证处理， 其中， 用户经由家庭网关或路由网关 与批发运营商系统的 BRAS ( LAC )之间进行 PPP呼叫， 家庭网关或路由网关 可以包括 PPP客户端；
B2、 批发运营商系统的 AAA服务器在认证过程中检查用户是属于零售运 营商的， 启动其上的 AAA代理（ AAA Proxy )以便远程接入到零售运营商系统 的 AAA服务器进行认证；
B3、 批发运营商系统的 AAA服务器通过其上的 AAA代理与零售运营商系 统的 AAA服务器进行认证， 如果认证通过， 即零售运营商系统的 AAA服务器 确认用户可接入， 批发运营商系统的 AAA服务器可以通过 AAA代理协议（如 Radius或 Diameter )被告知用户认证通过、 4受权信息、用户的隧道信息（ VPN ID、 LNS IP地址、 密码、 转发模式等）以及零售运营商系统的 A-RACF的通信信息 ( IP地址、 FQDN、 密码、 运营商系统的签约协议等信息） ， 其中， 图 5中的 A-RACF的通信信息为 A-RACF的通信接口参数；
B4、 批发运营商系统的 BRAS根据认证结果以及用户的隧道信息， 与零售 运营商系统的 BNG ( LNS ) 建立隧道并将用户 PPP报文通过隧道传到 BNG ( LNS ) ；
B5、 零售运营商系统的 BNG ( LNS )可选对用户进行二次认证， 如果成 功， 则完成与用户 PPP客户端协商和地址分配过程；
B6、 PPP客户端与零售运营商的 AAA^务器之间执行 PPP会话建立处理过 程；
B7,在 PPP会话建立成功后，零售运营商系统的 AAA服务器向零售运营商 系统的 A-RACF推送用户属性、批发运营商系统的 BRAS所属的 A-RACF的通信 信息以及用户的隧道信息 （ VPN ID , LAC IP地址等 ) ；
批发运营商系统的 BRAS 对通过隧道传送的 PPP会话进行侦听（如 PPPoE snooping, 侦听 PPP协议消息）， 确认会话建立成功后， 根据侦听的 PPP会话的 用户 IP地址和 PPPoE Session Id向等参数向批发运营商系统的 AAA服务器上报 用户上线成功；
B8、批发运营商系统的 AAA服务器向批发运营商系统的 A-RACF推送用户 属性、 零售运营商系统的 BNG ( LNS )所属的 A-RACF的通信信息和用户的隧 道信息 （VPN ID、 LNS IP地址等） ；
B9、批发运营商系统的 A-RACF根据通信信息和用户的隧道信息等通信参 数向零售运营商系统的 A-RACF协商两者之间的通信关系， 这样批发运营商系 统的 A-RACF根据协商确定的通信关系， 如作为零售运营商系统的 A-RACF的 策略代理， 将从零售运营商系统的 A-RACF的策略请求转化为批发运营商系统 内部的策略请求。 所述通信关系包括批发运营商系统的 A-RACF与零售运营商 系统的 A-RACF之间的通信关系包括主从关系以及接口， 该主从关系以及接口 可以是下面任一方式或组合： (1) .批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的策略执 行单元 (RCEF), 釆用 Re接口；
(2) .批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的级联接 口， 釆用 Rr接口；
(3).批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的从节点， 釆用 Rq接口。
B10、 当用户使用某个业务（如 VOD )触发批发运营商系统的 SPDF向零 售运营商系统请求分配资源时， 零售运营商系统的 A-RACF转发该资源分配请 求消息给批发运营商系统的 A-RACF;
Bl 1、批发运营商系统的 A - RACF根据资源分配请求消息中的用户 IP地址 和 VPN ID找到对应的用户属性、 用户所属零售运营商系统与批发运营商系统 所签约的协议及用户会话所在的 BRAS, 从而进行批发运营商系统本地的资源 接纳控制， 如果成功， 向零售运营商系统的 A - RACF反馈资源分配成功消息； 同时根据用户的 IP地址和 VPN ID以及 BRAS的 IP地址将用户会话的资源映射 到 PPPoE session Id所标识的 PPP会话的资源；
B 12、 零售运营商系统的 A-RACF在收到批发运营商系统的 A _ RACF的成 功消息之后， 进行零售运营商系统本地的资源接纳控制， 如果成功则通知零售 运营商系统的 SPDF ,这样零售运营商系统的 SPDF通知 VOD服务器可向用户推 送节目数据了。
实施例三
本实施例提供了基于实施例一的场景具体化的又一实施例。本实施例基于 IP的会话模式。
本实施例提供的系统组网图同实施例一， 如图 4所示。
如图 6所示， 是对应本实施例系统的方法的流程示意图， 所包括的步骤如 下：
C1、 批发运营商系统的 BRAS检测到用户发起 IP会话建立的动态主机配置 协议 ( Dynamic Host Configuration Protocol, DHCP )呼叫， 然后向批发运营商 系统的 AAA服务器发起认证， 其中用户经由家庭网关或路由网关与批发运营 商系统的 BRAS ( LAC )之间进行 DHCP协议呼叫， 家庭网关或路由网关上可 以包含 DHCP客户端；
C2、 批发运营商系统的 AAA服务器在认证过程中检查用户是属于零售运 营商的， 启动其上 AAA代理（AAA Proxy )以便远程接入到零售运营商的 AAA 服务器进行认证；
C3、 批发运营商系统的 AAA服务器与零售运营商的 AAA服务器交互以进 行认证， 如果认证通过， 那么零售运营商系统的 AAA服务器确认用户可接入， 并通过 AAA代理协议（如 Radius或 Diameter )通知批发运营商系统的 AAA^务 器， 通知的内容包括如下一种或多种组合： 用户认证通过以及授权信息、 用户 的隧道信息 （VPN ID、 LNS IP地址、 密码、 转发模式等） 以及零售运营商系 统的 A-RACF的通信信息 （IP地址、 FQDN、 密码运营商系统的签约协议等信 息） ， 图 6中 A-RACF的通信信息为 A-RACF的通信接口参数；
C4、 批发运营商系统的 BRAS根据认证结果以及用户的隧道信息， 与零售 运营商系统的 BNG ( LNS )建立隧道并将用户 DHCP报文通过隧道传送到 BNG ( LNS ) ；
C5、 零售运营商系统的 BNG ( LNS )可选对用户进行二次认证， 如果成 功， 则完成与用户 DHCP客户端协商和地址分配过程；
C6、 DHCP客户端与零售运营商系统的 AAA服务器之间进行基于 DHCP协 议的 IP会话建立处理过程；
C7、 在 IP会话建立成功后， 零售运营商系统的 AAA服务器向零售运营商 系统 A-RACF推送用户属性、批发运营商系统的 BRAS所属的 A-RACF的通信信 息以及用户的隧道信息 （VPN ID, LAC IP地址等） ；
批发运营商系统的 BRAS 对通过隧道传送的 IP会话进行侦听 （如 DHCP snooping, 侦听 DHCP协议消息和 ARP等 IP报文） ， 确认会话建立成功后， 根 据侦听的 IP会话的用户 IP地址和 MAC地址向批发运营商系统的 AAA服务器上 报用户上线成功；
C8、批发运营商系统的 AAA服务器向批发运营商系统的 A-RACF推送用户 属性、 零售运营商系统的 BNG ( LNS )所属的 A-RACF的通信信息和用户的隧 道信息 （VPN ID、 LNS IP地址等） ；
C9、批发运营商系统的 A-RACF根据通信信息和用户的隧道信息等通信参 数向零售运营商系统的 A-RACF协商两者之间的通信关系， 这样批发运营商系 统的 A-RACF就可以根据协商确定的通信关系， 如作为零售运营商系统的 A-RACF的策略代理， 将从零售运营商系统的 A-RACF的策略请求转化为批发 运营商系统内部的策略请求。 所述通信关系包括批发运营商系统的 A-RACF与 零售运营商系统的 A-RACF之间的通信关系包括主从关系以及接口， 该主从关 系以及接口可以是下面任一方式或组合：
(1) .批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的 RCEF, 釆用 Re接口；
(2) .批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的级联接 口， 釆用 Rr接口；
(3) .批发运营商系统的 A-RACF作为零售运营商系统的 A-RACF的从节点， 釆用 Rq接口。
C10、 当用户使用某个业务（如 VOD )触发 SPDF向零售运营商系统请求 分配资源时， 零售运营商系统的 A-RACF转发该请求给批发运营商系统的 A-RACF;
CI 1、 批发运营商系统的 A - RACF根据请求消息中的用户 IP地址和 VPN ID找到对应的用户属性获得用户所属运营商系统与批发运营商系统所签约的 协议及用户会话所在的 BRAS,从而进行批发运营商系统本地的资源接纳控制， 如果成功， 向零售运营商系统的 A - RACF反馈资源分配成功； 同时根据用户 的 IP地址和 VPN ID以及 BRAS的 IP地址将用户会话的资源映射到用户 MAC所 标识的 IP会话的资源；
C 12、 零售运营商系统的 A-RACF在收到批发运营商系统的 A _ RACF的成 功消息之后， 进行零售运营商系统本地的资源接纳控制， 如果成功则通知零售 运营商系统的 SPDF ,这样零售运营商系统的 SPDF通知 VOD服务器可向用户推 送节目数据了.
当然， 本发明实施例所应用的会话场景不仅限于实施例二的 PPP模式和实 施例三 IP模式， 还可以是其它方式的会话场景。
实施例四
如图 7A所示， 本实施例提供一种网络设备， 具体可以是具有策略控制功 能的网络设备， 本发明不妨将其命名为"策略控制器"。 该策略控制器包括： 通信参数协商单元 702 , 用于与业务关联的运营商系统进行交互， 协商确 定通信参数，所述通信参数包括与业务关联的运营商系统的策略控制器的通信 接口参数和用户的隧道信息；
通信关系协商单元 704 , 用于根据通信参数协商单元确定的通信参数中的 与业务关联的运营商系统的策略控制器的通信接口参数和用户的隧道信息与 业务关联的运营商系统协商确定通信关系；
策略转换单元 706 , 用于根据通信关系协商单元确定的通信关系， 将来自 于业务关联的运营商系统的策略消息转换为本地运营商系统内部的策略消息， 以进行会话。
具体地， 通信参数协商单元可以是包括：
发送单元 702-1 , 用于通过认证协议向业务关联的运营商系统发送通信参 数；
接收单元 702-3 , 用于通过认证协议接收来自所述业务关联的运营商系统 的通信参数。
具体地， 策略转换单元可以是包括：
网络参数获取单元 706-1 , 用于获取会话用户的网络参数；
确定单元 706-2 , 根据所述通信参数和会话用户的网络参数， 协商确定接 入网络的策略控制器与服务网络的策略控制器的主从关系以及接口。
更具体地， 该策略控制器可以是实施例二中网络架构中的 A-RACF功能实 体， 或者是同 A-RACF功能实体集成的功能体， 其实现可以是灵活釆用多种方 式。
在本发明的另一策略控制器的实施例中， 如图 7B所示， 该策略控制器并 不直接和业务关联的运营商系统进行交互，协商确定通信参数，即不具备图 7A 中的通信参数协商单元 702 , 相应的， 在本实施例的策略控制器具有通信参数 获取单元 708,通信参数获取单元 708和认证服务器交互，获得通信参数，其中， 图 7A中的通信参数协商单元 702的功能由认证服务器完成， 具体参见图 5、 6对 应的方法。 实施例五
本实施例提供一种网络设备， 具体可以具有侦听功能的"宽带接入设备"。 该宽带接入设备可以包括：侦听单元，用于侦听用户会话，获取用户网络参数， 用以供接入网络与服务网络协商两者之间的通信关系。
所述网络参数的类型可以是包括： IP地址和 /或 MAC地址等。
实施例六
如图 8所示， 本实施例基于实施例一和实施例二提供一种抽象层面的网络 系统架构， 可以是包括：
第一协商单元 802、 第二协商单元 804、 第三协商单元 806、 第四协商单元 808、 第一策略转换单元 810和第二策略转换单元 812, 其中，
第一协商单元 802和第二协商单元 804协商接入网络与服务网络之间的通 信参数；
第三协商单元 806与第四协商单元 808根据所述通信参数协商接入网络与 服务网络之间的通信关系；
第一策略转换单元 810 , 用于根据所述通信关系， 将来自服务网络的策略 消息转换为本地网络内部的策略；
第二策略转换单元 812 , 用于根据所述通信关系， 将来自接入网络的策略 消息转换为本地网络内部的策略。
该网络系统可以是：
第一协商单元、第三协商单元和第一策略转换单元部署在接入网络（对应 批发运营商系统）； 第二协商单元、 第四协商单元和第二策略转换单元部署在 服务网络（对应零售运营商系统） 。
本发明实施例还提供了一种认证服务器， 如图 9所示， 包括：
AAA认证代理 902 ,用于通过 AAA代理协议与业务关联的运营商系统进行 认证， 以获得所述业务关联的运营商系统的通信参数， 所述通信参数包括： 用 户的隧道信息和所述业务关联的运营商系统的策略控制器的通信接口参数； 通信参数发送单元 904, 用于将所述 AAA认证代理获得的认证通信参数下 发给所述认证服务器所属运营商系统的策略控制器，以使所述认证服务器所属 运营商系统的策略控制器基于所述通信参数与所述业务关联的运营商系统的 策略控制器协商两策略控制之间的通信关系。
其中， 认证服务器还可以包括接入配置功能体 906、 会话位置功能体 908 等功能模块， 参考 TISPAN的 NGN架构。
通过实施本发明实施例，可以自动地建立批发运营商系统和零售运营商系 统的 A-RACF之间策略通信接口， 从而为批发运营商系统的 A-RACF和零售运 营商系统的 A-RACF之间的通信提供动态的通信机制，减少工作量，更加灵活， 进而以适应未来的游牧需求。
以上所述，仅为本发明实施例较佳的具体实施方式，但本发明实施例的保 护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明实施例揭露的 技术范围内， 可轻易想到的变化或替换， 都应涵盖在本发明实施例的保护范围 之内。 因此， 本发明实施例的保护范围应该以权利要求的保护范围为准。

Claims

OP080416 WO 2009/074072 PCT/CN2008/073234 - 14- 权 利 要 求
1、 一种动态策略转换的方法， 其特征在于， 应用于至少两个运营商系统 之间， 该方法包括：
第一运营商系统与第二运营商系统进行认证以获得通信参数，所述通信参 数包括第二运营商系统的策略控制器的通信接口参数和用户的隧道信息；
第一运营商系统根据第二运营商系统的策略控制器的通信接口参数和用 户的隧道信息与所述第二运营商系统协商第一运营商系统的策略控制器和第 二运营商系统的策略控制器两者之间的通信关系；
第一运营商系统将来自第二运营商系统的策略消息转换为第一运营商系 统本地的策略消息， 以进行用户会话， 其中， 所述将来自第二运营商系统的策 略消息转换为第一运营商系统本地的策略的处理是基于协商确定的第一运营 商系统的策略控制器和第二运营商系统的策略控制器之间的通信关系。
2、 根据权利要求 1所述的方法， 其特征在于， 所述策略控制器为接入-资 源接纳控制功能 A-RACF。
3、 根据权利要求 2所述的方法， 其特征在于， 所述方法还包括： 所述通信 关系包括第一运营商系统和第二运营商系统之间的从属关系和接口，所述从属 关系和接口包括如下一种或多种组合：
( 1 )第一运营商系统的 A-RACF作为第二运营商系统的 A-RACF的 RCEF, 釆用 Re接口；
( 2 )第一运营商系统的 A-RACF作为第二运营商系统的 A-RACF的级联接 口， 釆用 Rr接口；
( 3 ) 第一运营商系统的 A-RACF作为第二运营商系统的 A-RACF的从节 点， 釆用 Rq接口。
4、 根据权利要求 1所述的方法， 其特征在于， 所述来自第二运营商系统的 策略消息为资源分配请求消息，所述请求消息中包括用户 IP地址和虚拟专用网 络标识 VPN ID;
所述第一运营商系统的策略控制器根据所述请求消息中的用户 IP地址和 虚拟专用网络标识 VPN ID进行所述第一运营商系统本地的资源接纳控制， 如 果成功， 向第二运营商系统反馈资源分配成功消息。 OP080416
WO 2009/074072 PCT/CN2008/073234
- 15 -
5、 根据权利要求 2所述的方法， 其特征在于， 所述第一运营商系统对应与 用户连接的接入网， 所述第二运营商系统对应服务网络， 所述服务网络通过接 入网络为用户提供服务。
6、 根据权利要求 1至 5任一项所述的方法， 其特征在于， 所述用户会话的 类型包括： 点到点协议会话或网际协议会话。
7、 一种网络设备， 其特征在于， 包括：
通信参数协商单元，用于从认证服务器获得业务关联的运营商系统的通信 参数, 其中， 所述认证服务器与业务关联的运营商系统进行认证获得所述通信 参数,所述通信参数包括与业务关联的运营商系统的策略控制器的通信接口参 数和用户的隧道信息；
通信关系协商单元，用于根据所述策略控制器的通信接口参数和用户的隧 道信息确定与所述业务关联的运营商系统的通信关系；
策略转换单元， 用于根据所述通信关系协商单元确定的通信关系，将来自 于业务关联的运营商系统的策略消息转换为本地的策略消息。
8、 根据权利要求 7所述的设备， 其特征在于， 所述通信关系包括本运营商 系统和业务关联的运营商系统之间的从属关系和接口，所述从属关系和接口包 括如下一种或多种组合：
( 1 ) 本运营商系统的 A-RACF作为业务关联的运营商系统的 A-RACF的 RCEF, 釆用 Re接口；
( 2 )本运营商系统的 A-RACF作为业务关联的运营商系统的 A-RACF的级 联接口， 釆用 Rr接口；
( 3 )本运营商系统的 A-RACF作为业务关联的运营商系统的 A-RACF的从 节点， 釆用 Rq接口。
9、 一种认证服务器， 其特征在于， 包括：
AAA认证代理， 用于通过 AAA代理协议与业务关联的运营商系统进行认 证， 以获得所述业务关联的运营商系统的通信参数， 所述通信参数包括： 用户 的隧道信息和所述业务关联的运营商系统的策略控制器的通信接口参数； 通信参数发送单元， 用于将所述 AAA认证代理获得的认证通信参数下发 给所述认证服务器所属运营商系统的策略控制器 ,以使所述认证服务器所属运 OP080416
WO 2009/074072 PCT/CN2008/073234
- 16- 营商系统的策略控制器基于所述通信参数与所述业务关联的运营商系统的策 略控制器协商两策略控制之间的通信关系。
10、 一种网络系统， 其特征在于， 包括：
第一协商单元、 第二协商单元、 第三协商单元、 第四协商单元、 第一策略 转换单元和第二策略转换单元， 其中，
第一协商单元和第二协商单元协商接入网络与服务网络之间的通信参数， 所述通信参数包括第二运营商系统的策略控制器的通信接口参数和用户的隧 道信息；
第三协商单元与第四协商单元根据所述通信参数协商接入网络与服务网 络之间的通信关系；
第一策略转换单元， 用于根据所述通信关系，将来自服务网络的策略消息 转换为本地网络内部的策略消息；
第二策略转换单元， 用于根据所述通信关系，将来自接入网络的策略消息 转换为本地网络内部的策略。
11、 根据权利要求 10所述的系统， 其特征在于， 第一协商单元、 第三协 商单元和第一策略转换单元部署在接入网络； 第二协商单元、第四协商单元和 第二策略转换单元部署在服务网络。
PCT/CN2008/073234 2007-11-30 2008-11-28 Procédé, système de réseau et équipement de réseau de conversion de stratégie dynamique WO2009074072A1 (fr)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2007100774835A CN101453527B (zh) 2007-11-30 2007-11-30 一种动态策略转换的方法、网络系统及网络设备
CN200710077483.5 2007-11-30

Publications (1)

Publication Number Publication Date
WO2009074072A1 true WO2009074072A1 (fr) 2009-06-18

Family

ID=40735538

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2008/073234 WO2009074072A1 (fr) 2007-11-30 2008-11-28 Procédé, système de réseau et équipement de réseau de conversion de stratégie dynamique

Country Status (2)

Country Link
CN (1) CN101453527B (zh)
WO (1) WO2009074072A1 (zh)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113678413A (zh) * 2019-02-14 2021-11-19 谷歌有限责任公司 多个网络服务提供商之间的动态资源分配
CN115016424A (zh) * 2022-08-08 2022-09-06 承德建龙特殊钢有限公司 一种无缝钢管生产线实时监控系统

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102131189B (zh) * 2010-12-28 2014-11-12 中国电信股份有限公司 采集仪、移动监管方法和系统
CN103166909B (zh) * 2011-12-08 2016-06-22 上海贝尔股份有限公司 一种虚拟网络系统的接入方法、装置和系统
CN103634189A (zh) * 2012-08-29 2014-03-12 中兴通讯股份有限公司 L2tp隧道的建立方法及系统
CN104394151A (zh) * 2014-11-26 2015-03-04 北京星网锐捷网络技术有限公司 一种校园网接入运营商网络的方法、设备及系统
US10015671B2 (en) * 2016-01-19 2018-07-03 T-Mobile Usa, Inc. Network service access control

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1643947A (zh) * 2002-03-20 2005-07-20 Ut斯达康有限公司 用于提供动态互联网协议安全策略服务的方法
WO2007074006A1 (fr) * 2005-12-29 2007-07-05 France Telecom Procédé d'affectation dynamique d'ensembles d'adresses par dhcp, entité de gestion, relais et programme d'ordinateur correspondants
CN101075914A (zh) * 2007-04-29 2007-11-21 中兴通讯股份有限公司 Ngn中具备动态发现功能的racf系统及设备

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5638412A (en) * 1994-06-15 1997-06-10 Qualcomm Incorporated Method for providing service and rate negotiation in a mobile communication system
CN1937619A (zh) * 2005-09-23 2007-03-28 华为技术有限公司 运营商的运营商情况下生存时间分区安全机制的实现方法
CN100463449C (zh) * 2005-10-21 2009-02-18 中兴通讯股份有限公司 一种用于宽带接入设备的组播快速加入方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1643947A (zh) * 2002-03-20 2005-07-20 Ut斯达康有限公司 用于提供动态互联网协议安全策略服务的方法
WO2007074006A1 (fr) * 2005-12-29 2007-07-05 France Telecom Procédé d'affectation dynamique d'ensembles d'adresses par dhcp, entité de gestion, relais et programme d'ordinateur correspondants
CN101075914A (zh) * 2007-04-29 2007-11-21 中兴通讯股份有限公司 Ngn中具备动态发现功能的racf系统及设备

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN113678413A (zh) * 2019-02-14 2021-11-19 谷歌有限责任公司 多个网络服务提供商之间的动态资源分配
CN115016424A (zh) * 2022-08-08 2022-09-06 承德建龙特殊钢有限公司 一种无缝钢管生产线实时监控系统

Also Published As

Publication number Publication date
CN101453527A (zh) 2009-06-10
CN101453527B (zh) 2011-11-30

Similar Documents

Publication Publication Date Title
US7561586B2 (en) Method and apparatus for providing network VPN services on demand
EP2156655B1 (en) Apparatus and method to support voip calls for mobile subscriber stations
US7649890B2 (en) Packet forwarding apparatus and communication bandwidth control method
WO2008006317A1 (fr) Système et procédé pour accès multiservice
WO2006094448A1 (fr) Procede pour implementer la reservation des ressources en mode de requete utilisateur dans le reseau de prochaine generation
WO2009074072A1 (fr) Procédé, système de réseau et équipement de réseau de conversion de stratégie dynamique
WO2008106881A1 (fr) Procédé d'accès ppp, système correspondant et dispositif à noeud d'accès
WO2008022576A1 (fr) Système de réseau d'accès à commande et transport séparés et procédé de transmission correspondant
JP2009159608A (ja) サービス受付制御を実行する方法及びシステム
WO2011147074A1 (zh) 策略与计费控制的实现方法、系统及相应设备
CA2604234A1 (en) Method for managing service bindings over an access domain and nodes therefor
WO2011150610A1 (zh) 一种动态调整带宽业务的方法及系统、宽带策略系统
WO2012051868A1 (zh) 防火墙策略分发方法、客户端、接入服务器及系统
WO2009114976A1 (zh) 资源接纳控制方法和系统
WO2011140919A1 (zh) 接入业务批发网络的方法、设备、服务器和系统
WO2014067420A1 (zh) 分组数据网络类型的管理方法、装置及系统
WO2012034413A1 (zh) 一种双栈用户管理方法及宽带接入服务器
WO2005013553A1 (fr) Procede permettant de fournir une qualite de service fiable dans un reseau de communication
WO2009056013A1 (en) A policy control method and system for layer two device
WO2009094910A1 (fr) Procédé, système et appareil pour convergence fixe-mobile
US8379519B2 (en) Method for realizing resource admission control at push mode in nomadism scene of NGN
WO2010091562A1 (zh) 用于固定网络与第三方网络或应用服务器交互的方法及装置
WO2013082987A1 (zh) 对本地卸载数据进行资源控制的方法及系统
WO2014032518A1 (zh) L2tp隧道的建立方法及系统
WO2008017226A1 (fr) Système et procédé de commande de multidiffusion

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 08859100

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 08859100

Country of ref document: EP

Kind code of ref document: A1