WO2010003354A1 - 认证服务器及虚拟专用网的移动通信终端接入控制方法 - Google Patents

认证服务器及虚拟专用网的移动通信终端接入控制方法 Download PDF

Info

Publication number
WO2010003354A1
WO2010003354A1 PCT/CN2009/072636 CN2009072636W WO2010003354A1 WO 2010003354 A1 WO2010003354 A1 WO 2010003354A1 CN 2009072636 W CN2009072636 W CN 2009072636W WO 2010003354 A1 WO2010003354 A1 WO 2010003354A1
Authority
WO
WIPO (PCT)
Prior art keywords
feature information
terminal
mobile communication
accessed
access
Prior art date
Application number
PCT/CN2009/072636
Other languages
English (en)
French (fr)
Inventor
马景旺
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to US13/003,096 priority Critical patent/US8806608B2/en
Priority to EP09793829.4A priority patent/EP2302865A4/en
Publication of WO2010003354A1 publication Critical patent/WO2010003354A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H04L63/0272—Virtual private networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/02—Terminal devices

Definitions

  • the present invention relates to the field of security control technologies for virtual private networks, and in particular to a mobile communication for authenticating servers and virtual private networks. Terminal access control method. Background technique
  • VPN Virtual Private Network
  • a virtual private network can interconnect components and resources of different networks, and can use the infrastructure of the Internet or other public internet to create tunnels for users, providing the same security and functional guarantees as private networks.
  • the mobile VPN service is a VPN service implemented by the mobile communication network, and can provide a mobile, secure, and quality-guaranteed data channel for enterprises and the like, so that users can access the organization resources anytime and anywhere. As with fixed-line VPN requirements, mobile VPNs also require network security, performance optimization, and ease of management.
  • Security can be implemented through tunneling and encryption, data verification, user authentication, firewall and attack detection. Performance optimization requires full utilization of existing resources and capabilities of the network. Traffic prioritization and control policies are used according to priority allocation. Bandwidth resources, as far as possible to meet the QoS (Quality of Service) requirements of various types of data services; easy management is reflected in the different needs of enterprises, to achieve the division of labor management between enterprises and operators, and It has good scalability, economy, safety and reliability. Tunneling is key in building VPNs.
  • the existing tunneling protocols mainly include a Layer 2 tunneling protocol (for example, Layer 2 tunneling protocol L2TP) and a 3 tunneling protocol (for example, general routing encapsulation GRE, IPSec, multi-protocol label switching MPLS, etc.).
  • the mobile VPN is a VPN network that utilizes the support capabilities of the mobile network device for the tunneling protocol to implement the VPN service of the mobile network.
  • mobile communication terminals such as mobile phones and network cards to access the resources of private networks of enterprises and other institutions.
  • the mobile communication terminal can access the resources of the dedicated network at any time, which brings convenience and terminal management difficulties. For example, the use status of the terminal is not controlled, and the terminal is lost or stolen during use. , there are unauthorized users using mobile The risk of the communication terminal accessing the resources of the private network, etc., all of which affect the security of the private network. Therefore, in the technical solution of the mobile VPN, it is necessary to provide a corresponding solution to the security problem in the mobile communication terminal.
  • the present invention has been made in view of a security problem brought by a mobile communication terminal in a mobile VPN technology.
  • the main object of the present invention is to provide an authentication method for a mobile communication terminal of an authentication server and a virtual private network, to solve the problem. At least one of the above issues.
  • an authentication server is provided.
  • the authentication server includes: a first saving module, configured to save first feature information of the mobile communication terminal that is allowed to access; a receiving module, configured to receive a virtual private network access request message; Determining the type of the terminal to be accessed, and obtaining a judgment result; the information acquisition module, configured to acquire the second feature information of the terminal to be accessed when the judgment result indicates that the terminal to be accessed is the mobile communication terminal; Comparing the second feature information and the first feature information to obtain a first comparison result; the first execution module, configured to allow when the first comparison result indicates that the second feature information is the same as the one feature information in the first feature information The access terminal continues to perform access processing. Otherwise, the access terminal is refused to continue access processing.
  • the foregoing authentication server further includes: a second saving module, configured to save third feature information of the mobile communication terminal that is not allowed to access; and a second comparing module, configured to refuse, in the first execution module, the terminal to be accessed to continue When the access processing is performed, the second feature information and the third feature information are compared to obtain a second comparison result.
  • the second execution module is configured to indicate, in the second comparison result, a feature of the second feature information and the third feature information.
  • an instruction to delete the virtual private network configuration information is sent to the to-be-accessed terminal.
  • the second feature information is an international mobile device identity code.
  • the foregoing authentication server further includes: a management module, configured to perform management operations on the first feature information and the third feature information saved by the first save module and the second save module.
  • a management module configured to perform management operations on the first feature information and the third feature information saved by the first save module and the second save module.
  • the determination result indicates that the to-be-accessed terminal is a mobile communication terminal.
  • the mobile communication terminal access control method of the virtual private network includes: receiving a VPN access request message; determining a type of the terminal to be accessed, obtaining a judgment result; and determining, when the judgment result indicates that the terminal to be accessed is a mobile communication terminal Obtaining second feature information of the terminal to be accessed; comparing the second feature information with the first feature information to obtain a first comparison result; the first feature information is a set of feature information of the mobile communication terminal that is allowed to access; When the comparison result indicates that the second feature information is the same as the one feature information in the first feature information, the access terminal is allowed to continue the access process; otherwise, the access terminal is refused to continue the access process.
  • the method further includes: comparing the second feature information with the third feature information when the access terminal is refused to access, to obtain a second comparison result, where the third feature information is not allowed to be accessed. a set of feature information of the mobile communication terminal; when the second comparison result indicates that one of the second feature information and the third feature information is the same, the instruction to delete the virtual private network configuration information is sent to the to-be-accessed terminal.
  • the second feature information is an international mobile device identity code.
  • the determination result indicates that the to-be-accessed terminal is a mobile communication terminal.
  • FIG. 1 is a schematic structural diagram of an application environment according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of an authentication server according to an embodiment of the present invention
  • FIG. 1 is a schematic structural diagram of an application environment according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of an authentication server according to an embodiment of the present invention
  • FIG. 1 is a schematic structural diagram of an application environment according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of an authentication server according to an embodiment of the present invention
  • FIG. 1 is a schematic structural diagram of an application environment according to an embodiment of the present invention
  • FIG. 2 is a schematic structural diagram of an authentication server according to an embodiment of the present invention
  • FIG. 1 is a schematic structural diagram of an authentication server according to an embodiment of the present invention
  • the authentication server after determining that the VPN access request message is from the mobile communication terminal, the authentication server interacts with the mobile communication terminal to perform an authentication operation on the mobile communication terminal, and only authenticates.
  • the mobile communication terminal that passes through can access the VPN to perform subsequent operations.
  • the authentication server interacts with it to delete the VPN configuration on the terminal to prevent it from accessing the VPN again.
  • the apparatus and method of the embodiments of the present invention require support of a mobile VPN access system.
  • the mobile VPN access system in the embodiment of the present invention is as shown in FIG. 1, and includes a private network of a mobile communication terminal, a mobile communication network, an enterprise, and the like.
  • the mobile communication terminal needs to support the mobile data service and the VPN access function, and the VPN connection can be realized through the built-in VPN access software.
  • the mobile communication network may be a third generation communication network, and the GGSN (Gateway GPRS Support Node) device in the core network may access the mobile VPN to a private network of an enterprise or the like.
  • a private network of an enterprise or the like includes a VPN gateway, an authentication server, and other nodes in the private network (such as the computer shown in FIG. 1).
  • an authentication server includes: a first saving module, configured to save first feature information of a mobile communication terminal that is allowed to access; a receiving module, configured to receive a VPN access request message; and a determining module, configured to The source of the VPN access request message determines the type of the terminal to be accessed, and obtains a judgment result.
  • the information acquisition module is configured to: when the foregoing judgment result indicates that the to-be-accessed terminal is a mobile communication terminal, interact with the to-be-accessed terminal to acquire And a second comparison module, configured to compare the second feature information with the first feature information to obtain a first comparison result, where the first execution module is configured to indicate the second feature at the first comparison result
  • the terminal to be accessed is allowed to continue the access process. Otherwise, the terminal to be accessed is denied to continue the access process.
  • the above-mentioned mobile communication terminal to be accessed that is not within the allowable range further includes the following two types of conditions: Case 1: The feature information of the mobile communication terminal to be accessed is in the third feature information, the third The feature information is a set of feature information of the mobile communication terminal that is not allowed to access, that is, the to-be-accessed mobile communication terminal is explicitly prohibited from accessing the VPN; Case 2, the feature information of the mobile communication terminal to be accessed is neither in the first feature In the information, it is also not in the third feature information, that is, the to-be-accessed mobile communication terminal is neither explicitly allowed to access the VPN nor explicitly prohibited from accessing the VPN.
  • the authentication server of the embodiment of the present invention further includes: a second saving module, configured to save a mobile communication terminal that is not allowed to access (such as a mobile communication terminal that the user has reported loss, or explicitly The third feature information of the mobile communication terminal or the like that does not use the service; the second comparison module is configured to compare the second feature information and the third when the first execution module rejects the access terminal to continue the access process Feature information, obtaining a second comparison result; the second execution module, configured to send, when the second comparison result indicates that one of the second feature information and the third feature information is the same, send the delete VPN configuration information to the to-be-access terminal The instruction, after the access terminal receives the instruction to delete the VPN configuration information, deletes the VPN configuration information.
  • a second saving module configured to save a mobile communication terminal that is not allowed to access (such as a mobile communication terminal that the user has reported loss, or explicitly The third feature information of the mobile communication terminal or the like that does not use the service
  • the second comparison module is configured to compare the second feature information and the third
  • FIG. 3 is a schematic diagram of a mobile communication terminal access control method for a virtual private network according to an embodiment of the present invention.
  • the method includes steps 31 to 37: Step 31: Receive a VPN access request message; Step 32, according to The source of the VPN access request message determines the type of the terminal to be accessed, and obtains a judgment result; Step 33: When the foregoing judgment result indicates that the terminal to be accessed is a mobile communication terminal, acquire second feature information of the terminal to be accessed; 34, comparing the second feature information and the first feature information to obtain a first comparison result; the first feature information is a set of feature information of the mobile communication terminal that is allowed to access; Step 35, in the first comparison result indication When the second feature information is the same as one of the first feature information, the terminal to be accessed is allowed to continue the access process; otherwise, the access terminal is denied to continue the access process; Step 36, comparing the second feature information with The third feature information is obtained as a second comparison result; the third feature information is a mobile communication terminal that
  • the VPN configuration information is deleted, where the VPN configuration information may include a VPN gateway IP address, a pre-shared key, an algorithm policy, and the like.
  • the security of the VPN configuration information can be increased and the mobile communication terminal can no longer access the private network, thereby further enhancing security.
  • the access processing to be performed by the access terminal includes the VPN user authentication, the establishment of the VPN tunnel, and the like. This is a technical specification in the VPN technical specification, and is not described here. Of course, before the terminal to be accessed sends a VPN access request message to the authentication server, the two parties can perform communication encryption negotiation according to the technical specifications of the VPN to ensure data communication security.
  • determining the type of the terminal to be accessed according to the source of the VPN access request message when the VPN access request message is from the GGSN of the mobile communication network, determining that the terminal to be accessed is a mobile communication terminal And performing a subsequent processing flow; when the VPN access request message is not from the GGSN of the mobile communication network, processing is performed according to a conventional processing manner, and the conventional processing manner has been described in detail in the existing VPN specification, where No longer described in detail.
  • After determining that the to-be-accessed terminal is a mobile communication terminal it is required to perform identity authentication on the mobile communication terminal.
  • the identity information of the mobile communication terminal is used for authentication, wherein the feature information may be any unique.
  • the IMEI International Mobile Equipment Identity
  • the authentication server of the embodiment of the present invention further includes: a management module, configured to save the first feature information saved by the first saving module and the second saving module. The management operation is performed with the third feature information.
  • the management operation includes one or more of the following operations: a deletion operation, such as loss of the user mobile communication terminal, the administrator should delete the feature information of the mobile communication terminal of the user from the first feature information; adding an operation, such as a user The mobile communication terminal is lost, and the administrator should add the feature information of the user's mobile communication terminal to the third feature information; the query operation.
  • a deletion operation such as loss of the user mobile communication terminal
  • adding an operation such as a user The mobile communication terminal is lost, and the administrator should add the feature information of the user's mobile communication terminal to the third feature information
  • the query operation can also be other management operations such as modification, such as modifying the feature information of the entry error.
  • modification such as modifying the feature information of the entry error.
  • Step A2 The to-be-accessed terminal sends an identity 3 certificate request response message to the VPN authentication server, where the identity 3 certificate request response message includes an IMEI; Step A3, the authentication server resolves the identity Verify the request response message to get the IMEI contained in the authentication request response message.
  • the mobile communication terminal after receiving the identity verification request message sent by the VPN authentication server, the mobile communication terminal reads the IMEI of the mobile communication terminal, and then encapsulates the IMEI into the identity verification request response message and sends it to the authentication server of the private network. .
  • the above modules or steps of the present invention can be implemented by a general-purpose computing device, which can be concentrated on a single computing device or distributed over a network composed of multiple computing devices.
  • the invention is not limited to any specific combination of hardware and software.
  • the above is only the preferred embodiment of the present invention, and is not intended to limit the present invention.
  • the present invention can be variously modified and modified. Any modifications, equivalent substitutions, improvements, etc. made therein are intended to be included within the scope of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Description

认证月良务器及虚拟专用网的移动通信终端接入控制方法 技术领域 本发明涉及虚拟专用网的安全控制技术领域， 具体而言， 涉及一种认证 月艮务器及虚拟专用网的移动通信终端接入控制方法。 背景技术
VPN ( Virtual Private Network, 虚拟专用网） 指的是在公用网络中建立 专用数据通信网络的技术， 在虚拟专用网中， 任意两个节点之间的连接釆用 某种公用网的资源动态组成。 虚拟专用网可以实现不同网络的组件和资源之 间的相互连接， 能够利用 Internet或其它公共互联网络的基础设施为用户创 建隧道， 提供与专用网络一样的安全和功能保障。 移动 VPN业务是利用移动通信网实现的 VPN业务，可以为企业等机构 提供移动的、 安全的、 有质量保证的数据通道， 以便用户随时随地实现对机 构资源的访问。 与固网 VPN的要求相同， 移动 VPN也要求网络安全、 性能优化、 和易 于管理。 安全性的实现可以通过隧道和加密、 数据验证、 用户验证、 防火墙 和攻击检测等手段实现； 性能优化的实现要求充分利用网络已有的资源和能 力， 通过流量预测和控制策略， 按照优先级分配带宽资源， 尽可能满足各类 数据业务的 QoS ( Quality of Service, 月艮务质量）需求； 易于管理体现在可才艮 据企业的不同需求， 实现企业和运营商对 VPN 的分工管理， 并使其具有良 好的扩展性、 经济性、 安全可靠性。 在构建 VPN方面， 隧道技术是关键。 现有的隧道协议主要有 2层隧道 协议（如， 层 2隧道协议 L2TP )和 3屋隧道协议 (如， 通用路由封装 GRE、 IPSec、 多协议标签交换 MPLS等）。移动 VPN正是利用移动网络设备对上述 隧道协议的支持能力进行 VPN组网， 来实现移动网的 VPN业务。 区别于固网 VPN, 用户釆用诸如手机、 上网卡等移动通信终端访问企 业等机构的专用网的资源。移动通信终端可以随时 地访问专用网路的资源， 在带来便捷的同时也带来了终端管理方面的困难， 如， 终端的使用状态不受 控制， 终端在使用中发生丢失、 被盗的现象， 存在未经许可的用户使用移动 通信终端访问专用网络的资源的风险等，以上情况均影响到专用网络的安全。 因此， 在移动 VPN 的技术方案中， 需要就移动通信终端方面的安全问题提 供相应的解决方法。 发明内容 针对移动 VPN技术中移动通信终端带来的安全方面的问题而提出本发 明， 为此， 本发明的主要目的在于提供一种认证服务器及虚拟专用网的移动 通信终端接入控制方法， 以解决上述问题至少之一。 为了实现上述目的， 根据本发明实施例的一个方面， 提供了一种认证服 务器。 根据本发明实施例的认证服务器包括： 第一保存模块， 用于保存允许接 入的移动通信终端的第一特征信息； 接收模块， 用于接收虚拟专用网接入请 求消息； 判断模块， 用于判断待接入终端的类型， 得到一判断结果； 信息获 取模块， 用于在判断结果指示待接入终端为移动通信终端时， 获取待接入终 端的第二特征信息； 第一比较模块， 用于比较第二特征信息和第一特征信息， 得到一第一比较结果； 第一执行模块， 用于在第一比较结果指示第二特征信 息与第一特征信息中的一个特征信息相同时， 允许待接入终端继续进行接入 处理， 否则， 拒绝待接入终端继续进行接入处理。 优选地， 上述的认证服务器还包括： 第二保存模块， 用于保存不允许接 入的移动通信终端的第三特征信息； 第二比较模块， 用于在第一执行模块拒 绝待接入终端继续进行接入处理时， 比较第二特征信息和第三特征信息， 得 到一第二比较结果； 第二执行模块， 用于在第二比较结果指示第二特征信息 与第三特征信息中的一个特征信息相同时， 向待接入终端发送删除虚拟专用 网配置信息的指令。 优选地， 第二特征信息为国际移动设备身份码。 优选地， 上述的认证服务器还包括： 管理模块， 用于对第一保存模块和 第二保存模块所保存的第一特征信息和第三特征信息进行管理操作。 优选地， 在 VPN接入请求消息来自于网关 GPRS支持节点时， 判断结 果指示待接入终端为移动通信终端。 为了实现上述目的， 才艮据本发明实施例的另一个方面， 提供了一种虚拟 专用网的移动通信终端接入控制方法。 根据本发明的虚拟专用网的移动通信终端接入控制方法包括： 接收 VPN接入请求消息； 判断待接入终端的类型， 得到一判断结果； 在判断结果 指示待接入终端为移动通信终端时， 获取待接入终端的第二特征信息； 比较 第二特征信息和第一特征信息， 得到一第一比较结果； 第一特征信息为允许 接入的移动通信终端的特征信息的集合； 在第一比较结果指示第二特征信息 与第一特征信息中的一个特征信息相同时， 允许待接入终端继续进行接入处 理， 否则， 拒绝待接入终端继续进行接入处理。 优选地， 上述的方法还包括： 在拒绝待接入终端继续进行接入处理时， 比较第二特征信息和第三特征信息， 得到一第二比较结果， 第三特征信息为 不允许接入的移动通信终端的特征信息的集合； 在第二比较结果指示第二特 征信息与第三特征信息中的一个特征信息相同时， 向待接入终端发送删除虚 拟专用网配置信息的指令。 优选地， 第二特征信息为国际移动设备身份码。 优选地， 在虚拟专用网接入请求消息来自于网关 GPRS支持节点时， 判 断结果指示待接入终端为移动通信终端。 通过本发明， 对请求接入 VPN的移动通信终端进行终端身份认证， 对 于不被允许接入 VPN 的移动通信终端， 通过认证服务器与其进行交互进而 删除该终端上的 VPN配置以防其再次接入该 VPN。解决了移动 VPN技术中 移动通信终端带来的安全方面的问题， 可以有效地保证移动 VPN的安全性。 本发明的其它特征和优点将在随后的说明书中阐述， 并且， 部分地从说 明书中变得显而易见， 或者通过实施本发明而了解。 本发明的目的和其他优 点可通过在所写的说明书、 权利要求书、 以及附图中所特别指出的结构来实 现和获得。 附图说明 图 1为才艮据本发明实施例的应用环境的结构示意图； 图 2为根据本发明实施例的认证服务器的结构示意图； 图 3为才艮据本发明实施例的方法的流程示意图。 具体实施方式 功能相无述 在本发明实施例提供的技术方案中， 认证服务器在判断出 VPN接入请 求消息来自移动通信终端之后， 与移动通信终端交互， 对移动通信终端执行 认证操作， 只有认证通过的移动通信终端才能接入到 VPN 执行后续操作。 对于不被允许接入 VPN 的移动通信终端， 通过认证服务器与其进行交互进 而删除该终端上的 VPN 配置以防其再次接入该 VPN。 该方案解决了移动 VPN技术中移动通信终端带来的安全方面的问题，可以有效地保证移动 VPN 的安全性。 在对本发明实施例的认证服务器及虚拟专用网的移动通信终端接入控 制方法进行详细说明之前， 先对本发明实施例认证服务器及虚拟专用网的移 动通信终端接入控制方法的应用环境进行说明， 以便于更好的理解本发明。 本发明实施例的装置和方法需要移动 VPN接入系统的支持。 本发明实 施例中的移动 VPN接入系统如图 1 所示， 包括移动通信终端、 移动通信网 络、 企业等机构的专用网络。 移动通信终端需要支持移动数据业务和 VPN接入功能， 其可以通过内 置的 VPN接入软件实现 VPN连接。 移动通信网络可以为第三代通信网络， 核心网中的 GGSN ( Gateway GPRS Support Node , 网关 GPRS支持节点）设备可以将移动 VPN接入到企 业等机构的专用网络。 企业等机构的专用网络包括 VPN网关、 验证服务器、 及专用网内的其他节点 （如图 1所示的计算机 )„ 以下结合附图对本发明的优选实施例进行说明， 应当理解， 此处所描述 的优选实施例仅用于说明和解释本发明， 并不构成对本发明的限定。 需要说 明的是， 在不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互 组合。 装置实施例 根据本发明的实施例， 提供了一种认证服务器。 如图 2所示， 该认证服务器包括： 第一保存模块， 用于保存允许接入的移动通信终端的第一特征信息； 接收模块， 用于接收 VPN接入请求消息； 判断模块，用于根据 VPN接入请求消息的来源判断待接入终端的类型， 得到一判断结果； 信息获取模块， 用于在上述判断结果指示待接入终端为移动通信终端 时， 与待接入终端交互， 获取待接入终端的第二特征信息； 第一比较模块， 用于比较第二特征信息和第一特征信息， 得到第一比较 结果； 第一执行模块，用于在上述第一比较结果指示第二特征信息与第一特征 信息中的一个特征信息相同时， 允许待接入终端继续进行接入处理， 否则， 拒绝待接入终端继续进行接入处理。 在上述的装置中，判断出待接入移动通信终端的第二特征信息与上述第 一特征信息中的所有特征信息均不相同时， 则拒绝待接入终端继续进行接入 处理， 然而， 一^:来说， 上述的不在允许范围内的该待接入移动通信终端还 包括以下两种 'It况： 情况一、待接入移动通信终端的特征信息在第三特征信息中， 该第三特 征信息为明确不允许接入的移动通信终端的特征信息的集合， 即该待接入移 动通信终端被明确禁止接入 VPN; 情况二、待接入移动通信终端的特征信息既不在第一特征信息中， 也不 在第三特征信息中， 即该待接入移动通信终端既没有被明确允许可以接入 VPN , 也没有被明确禁止接入 VPN。 在本发明的具体实施例的认证服务器中，需要对上述的两种不同情况区 别对待， 以尽可能地保证数据安全。 在上述情况下， 如图 2所示， 本发明实施例的认证服务器还包括： 第二保存模块， 用于保存不允许接入的移动通信终端（如用户已经挂失 的移动通信终端， 或者明确表示不使用该项业务的移动通信终端等） 的第三 特征信息； 第二比较模块，用于在上述第一执行模块拒绝待接入终端继续进行接入 处理时， 比较第二特征信息和第三特征信息， 得到第二比较结果； 第二执行模块，用于在上述第二比较结果指示第二特征信息与第三特征 信息中的一个特征信息相同时， 向待接入终端发送删除 VPN 配置信息的指 令， 待接入终端接收到删除 VPN配置信息的指令后删除 VPN配置信息。 方法实施例 图 3 所示为本发明实施例的虚拟专用网的移动通信终端接入控制方法 的示意图， 该方法包括步骤 31至步骤 37: 步骤 31 , 接收 VPN接入请求消息； 步骤 32 , 根据 VPN接入请求消息的来源判断待接入终端的类型， 得到 一判断结果； 步骤 33 , 在上述判断结果指示待接入终端为移动通信终端时， 获取待 接入终端的第二特征信息； 步骤 34, 比较上述第二特征信息和第一特征信息， 得到第一比较结果； 上述第一特征信息为允许接入的移动通信终端的特征信息的集合； 步骤 35 , 在上述第一比较结果指示第二特征信息与第一特征信息中的 一个特征信息相同时， 允许待接入终端继续进行接入处理， 否则， 拒绝待接 入终端继续进行接入处理； 步骤 36, 比较上述第二特征信息和第三特征信息， 得到第二比较结果； 上述第三特征信息为不允许接入的移动通信终端的特征信息的集合； 步骤 37 , 在上述第二比较结果指示第二特征信息与第三特征信息中的 一个特征信息相同时， 向待接入终端发送删除 VPN配置信息的指令。 待接入终端接收到删除 VPN配置信息的指令后删除 VPN配置信息，其 中， VPN配置信息可以包括 VPN网关 IP地址、 预共享秘钥、 算法策略等。 通过删除 VPN配置信息， 可以增加 VPN配置信息的安全性并使该移动通信 终端不能再接入该专用网络， 进一步加强了安全性。 其中， 待接入终端继续进行接入处理包括 VPN用户验证、 VPN隧道的 建立等其他接入过程， 这在 VPN 技术规范中有相应的技术规范， 在此不再 描述。 当然， 在待接入终端向认证月艮务器发送 VPN接入请求消息之前， 双方 可以按照 VPN 的技术规范进行通信加密的协商， 保证数据通信的安全。 通 信加密的¼、商属于现有 VPN的技术规范， 在 iH不再描述。 才艮据本发明实施例， 还提供了一种计算机可读介质， 该计算机可读介质 上存储有计算机可执行的指令， 当该指令被计算机或处理器执行时， 使得计 算机或处理器执行如图 3所示的步骤 31至步骤 37的处理。 下面对上述的装置和方法进行进一步详细的说明。 在上述的描述中， 可以看到， 本发明实施例的装置和方法是对移动通信 终端接入 VPN进行控制， 这就需要认证月艮务器知道请求接入 VPN的是移动 通信终端还是固定装置， 在本发明的具体实施例中， 根据 VPN接入请求消 息的来源判断待接入终端的类型： 当 VPN接入请求消息来自于移动通信网 络的 GGSN时， 判断待接入终端为移动通信终端， 并执行后续的处理流程； 当 VPN接入请求消息不是来自于移动通信网络的 GGSN时， 按常规处理方 式进行处理， 而该常规处理方式在现有的 VPN 规范中已经有详细描述， 在 此不再详细描述。 在判断出待接入终端为移动通信终端之后，就需要对该移动通信终端进 行身份认证， 在上面已经说明， 釆用移动通信终端的特征信息进行认证， 其 中， 该特征信息可以是任何能唯一标识移动通信终端的信息。 在本发明的具 体实施例中， 釆用移动通信终端的 IMEI ( International Mobile Equipment Identity,国际移动设备身份码）来进行身 人证，但应该理解，此处釆用 IMEI 作为标识移动终端的信息是为了对本发明进行更加详细的描述， 而不构成对 本发明的限定。 允许接入的移动通信终端的 IMEI 和不允许接入的移动通信终端的 IMEI使用数据库进行保存。 当然， 这些保存的数据应该是管理者可以更改的数据， 因此， 本发明实 施例的认证服务器还包括： 管理模块，用于对上述第一保存模块和第二保存模块所保存的第一特征 信息和第三特征信息进行管理操作。 其中该管理操作包括以下操作中的一个或多个： 删除操作， 如用户移动通信终端丢失， 管理员应该将该用户的移动通信 终端的特征信息从第一特征信息中删除； 添加操作， 如用户移动通信终端丢失， 管理员应该将该用户的移动通信 终端的特征信息添加到第三特征信息中； 查询操作。 当然， 还可以是修改等其他管理操作， 如， 对录入错误的特征信息进行 修改等。 在判断出待接入终端为移动通信终端时，需要获取上述待接入终端的第 二特征信息， 下面对该过程进行详细描述， 其包括步骤 A1至步骤 A3: 步骤 Al , VPN验证服务器向待接入终端发送身份验证请求消息； 步骤 A2 , 待接入终端向 VPN认证月艮务器发送身份 3 证请求响应消息， 该身份 3 证请求响应消息中包含 IMEI; 步骤 A3 , 认证服务器解析身份验证请求响应消息， 获取该身份验证请 求响应消息中包含的 IMEI。 在上述步骤 A2 中， 移动通信终端收到 VPN认证服务器发送的身份验 证请求消息后， 读取移动通信终端的 IMEI, 然后将 IMEI封装到身份验证请 求响应消息中， 并发送给专用网络的认证服务器。 显然， 本领域的技术人员应该明白， 上述的本发明的各模块或各步骤可 以用通用的计算装置来实现， 它们可以集中在单个的计算装置上， 或者分布 在多个计算装置所组成的网络上， 可选地， 它们可以用计算装置可执行的程 序代码来实现， 从而， 可以将它们存储在存储装置中由计算装置来执行， 或 者将它们分别制作成各个集成电路模块， 或者将它们中的多个模块或步骤制 作成单个集成电路模块来实现。 这样， 本发明不限制于任何特定的硬件和软 件结合。 以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本 领域的技术人员来说， 本发明可以有各种更改和变^^ 凡在本发明的^^申和 原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护 范围之内。

Claims

权 利 要 求 书 一种认证服务器， 其特征在于， 包括： 第一保存模块， 用于保存允许接入的移动通信终端的第一特征信 息；
接收模块， 用于接收来自待接入终端的虚拟专用网接入请求消 息；
判断模块， 用于判断所述待接入终端的类型， 得到一判断结果； 信息获取模块， 用于在所述判断结果指示所述待接入终端为移动 通信终端时， 获取所述待接入终端的第二特征信息；
第一比较模块， 用于比较所述第二特征信息和所述第一特征信 息， 得到一第一比较结果；
第一执行模块， 用于在所述第一比较结果指示所述第二特征信息 与所述第一特征信息中的一个特征信息相同时， 允许所述待接入终端 继续进行接入处理， 否则， 拒绝所述待接入终端继续进行接入处理。 根据权利要求 1所述的认证服务器， 其特征在于， 还包括：
第二保存模块， 用于保存不允许接入的移动通信终端的第三特征 信息；
第二比较模块， 用于在所述第一执行模块拒绝所述待接入终端继 续进行接入处理时， 比较所述第二特征信息和所述第三特征信息， 得 到一第二比较结果； 第二执行模块， 用于在所述第二比较结果指示所述第二特征信息 与所述第三特征信息中的一个特征信息相同时， 向所述待接入终端发 送删除虚拟专用网配置信息的指令。 根据权利要求 1或 2所述的认证服务器， 其特征在于， 所述第二特征 信息为国际移动设备身份码。 根据权利要求 2所述的认证服务器， 其特征在于， 还包括:
管理模块， 用于对所述第一保存模块和第二保存模块所保存的第 一特征信息和第三特征信息进行管理操作。 根据权利要求 1所述的认证服务器， 其特征在于， 在所述 VPN接入请 求消息来自于网关 GPRS支持节点时， 所述判断结果指示所述待接入 终端为移动通信终端。 一种虚拟专用网的移动通信终端接入控制方法， 其特征在于， 包括： 接收来自待接入终端的 VPN接入请求消息；
判断所述待接入终端的类型， 得到一判断结果；
在所述判断结果指示所述待接入终端为移动通信终端时， 获取所 述待接入终端的第二特征信息；
比较所述第二特征信息和第一特征信息， 得到一第一比较结果； 所述第一特征信息为允许接入的移动通信终端的特征信息的集合； 在所述第一比较结果指示所述第二特征信息与所述第一特征信 息中的一个特征信息相同时，允许所述待接入终端继续进行接入处理， 否则， 拒绝所述待接入终端继续进行接入处理。 根据权利要求 6所述的方法， 其特征在于， 还包括：
在拒绝所述待接入终端继续进行接入处理时， 比较所述第二特征 信息和第三特征信息， 得到一第二比较结果， 所述第三特征信息为不 允许接入的移动通信终端的特征信息的集合；
在所述第二比较结果指示所述第二特征信息与所述第三特征信 息中的一个特征信息相同时， 向所述待接入终端发送删除虚拟专用网 配置信息的指令。 根据权利要求 6或 7所述的方法， 其特征在于， 所述第二特征信息为 国际移动设备身份码。 根据权利要求 6或 7所述的方法， 其特征在于， 在所述虚拟专用网接 入请求消息来自于网关 GPRS支持节点时， 所述判断结果指示所述待 接入终端为移动通信终端。
PCT/CN2009/072636 2008-07-09 2009-07-06 认证服务器及虚拟专用网的移动通信终端接入控制方法 WO2010003354A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/003,096 US8806608B2 (en) 2008-07-09 2009-07-06 Authentication server and method for controlling mobile communication terminal access to virtual private network
EP09793829.4A EP2302865A4 (en) 2008-07-09 2009-07-06 AUTHENTICATION SERVER AND CONTROL METHOD FOR ACCESSING A MOBILE COMMUNICATION TERMINAL TO A VIRTUAL PRIVATE NETWORK

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN2008101164198A CN101309272B (zh) 2008-07-09 2008-07-09 认证服务器及虚拟专用网的移动通信终端接入控制方法
CN200810116419.8 2008-07-09

Publications (1)

Publication Number Publication Date
WO2010003354A1 true WO2010003354A1 (zh) 2010-01-14

Family

ID=40125490

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/072636 WO2010003354A1 (zh) 2008-07-09 2009-07-06 认证服务器及虚拟专用网的移动通信终端接入控制方法

Country Status (4)

Country Link
US (1) US8806608B2 (zh)
EP (1) EP2302865A4 (zh)
CN (1) CN101309272B (zh)
WO (1) WO2010003354A1 (zh)

Families Citing this family (16)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101309272B (zh) * 2008-07-09 2012-12-19 中兴通讯股份有限公司 认证服务器及虚拟专用网的移动通信终端接入控制方法
WO2010127610A1 (zh) * 2009-05-04 2010-11-11 成都市华为赛门铁克科技有限公司 一种虚拟专用网节点信息的处理方法、设备及系统
CN102195949A (zh) * 2010-03-16 2011-09-21 邵宇 Vpn的指纹认证方法
CN102316081A (zh) * 2010-06-30 2012-01-11 北京启明星辰信息技术股份有限公司 一种相似网页的识别方法及装置
CN102045198B (zh) * 2010-12-15 2014-02-05 中国联合网络通信集团有限公司 固网多协议标签交换虚拟专用网络备份传输方法和系统
CN102025547B (zh) * 2010-12-17 2012-07-25 中国联合网络通信集团有限公司 基于无线方式的mpls vpn路由备份方法及系统
CN102761866B (zh) * 2011-04-26 2018-01-02 福州天视信息技术有限公司 基于无线接入标准的Android终端的个人私有网络接入控制系统
US10277630B2 (en) * 2011-06-03 2019-04-30 The Boeing Company MobileNet
CN103166939A (zh) * 2011-12-19 2013-06-19 上海市闸北区信息化服务中心 一种虚拟专用网络结构及其认证授权方法
TR201204595A2 (tr) * 2012-04-19 2012-12-21 Netaş Telekomüni̇kasyon Anoni̇m Şi̇rketi̇ Yerden/mekândan bağımsız erişim sistemi.
CN102984346B (zh) * 2012-10-31 2015-01-28 上海汽车集团股份有限公司 一种通过移动终端控制汽车门锁系统和方法
US9590884B2 (en) * 2013-07-03 2017-03-07 Facebook, Inc. Native application hotspot
CN104702566B (zh) * 2013-12-06 2021-08-06 苏州海博智能系统有限公司 一种虚拟设备的授权使用方法及装置
CN106022042A (zh) * 2016-05-20 2016-10-12 中山市厚源电子科技有限公司 一种互联网安全网技术
CN109348523A (zh) * 2018-11-06 2019-02-15 海信集团有限公司 一种切换平台的方法及设备
CN113691545B (zh) * 2021-08-26 2023-03-24 中国电信股份有限公司 路由的控制方法、装置、电子设备及计算机可读介质

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20070038618A (ko) * 2005-10-06 2007-04-11 주식회사 케이티프리텔 이동통신 기반의 가상사설망 서비스 제공 방법 및 시스템과이를 위한 이동단말기
CN101043755A (zh) * 2007-04-16 2007-09-26 华为技术有限公司 移动通信系统中准入判断的方法、系统及装置
CN101102188A (zh) * 2006-07-07 2008-01-09 华为技术有限公司 一种移动接入虚拟局域网的方法与系统
CN101151849A (zh) * 2005-03-28 2008-03-26 客得富移动通信股份有限公司 用于利用移动ip连接移动结点和虚拟专用网络的方法
CN101309272A (zh) * 2008-07-09 2008-11-19 中兴通讯股份有限公司 认证服务器及虚拟专用网的移动通信终端接入控制方法

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100493247C (zh) 2004-02-27 2009-05-27 北京三星通信技术研究有限公司 高速分组数据网中接入认证方法
CN1738240A (zh) * 2004-08-16 2006-02-22 彭国展 网络身份的认证方法及安全辩识方法
US20060130135A1 (en) * 2004-12-10 2006-06-15 Alcatel Virtual private network connection methods and systems
EP1705941A1 (en) * 2005-03-24 2006-09-27 BRITISH TELECOMMUNICATIONS public limited company Secure communication of password information in a network
CA2521770A1 (en) * 2005-09-30 2007-03-30 Oz Communications Securing user logins with wv bindings and transports
US8621574B2 (en) * 2009-06-02 2013-12-31 Microsoft Corporation Opaque quarantine and device discovery

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101151849A (zh) * 2005-03-28 2008-03-26 客得富移动通信股份有限公司 用于利用移动ip连接移动结点和虚拟专用网络的方法
KR20070038618A (ko) * 2005-10-06 2007-04-11 주식회사 케이티프리텔 이동통신 기반의 가상사설망 서비스 제공 방법 및 시스템과이를 위한 이동단말기
CN101102188A (zh) * 2006-07-07 2008-01-09 华为技术有限公司 一种移动接入虚拟局域网的方法与系统
CN101043755A (zh) * 2007-04-16 2007-09-26 华为技术有限公司 移动通信系统中准入判断的方法、系统及装置
CN101309272A (zh) * 2008-07-09 2008-11-19 中兴通讯股份有限公司 认证服务器及虚拟专用网的移动通信终端接入控制方法

Also Published As

Publication number Publication date
US8806608B2 (en) 2014-08-12
EP2302865A1 (en) 2011-03-30
EP2302865A4 (en) 2014-08-20
CN101309272A (zh) 2008-11-19
US20120110658A1 (en) 2012-05-03
CN101309272B (zh) 2012-12-19

Similar Documents

Publication Publication Date Title
WO2010003354A1 (zh) 认证服务器及虚拟专用网的移动通信终端接入控制方法
JP4291213B2 (ja) 認証方法、認証システム、認証代行サーバ、ネットワークアクセス認証サーバ、プログラム、及び記録媒体
US7389534B1 (en) Method and apparatus for establishing virtual private network tunnels in a wireless network
EP2534889B1 (en) Method and apparatus for redirecting data traffic
WO2015101125A1 (zh) 网络接入控制方法和设备
WO2019017837A1 (zh) 网络安全管理的方法及装置
WO2022068219A1 (zh) 虚拟专有拨号网络接入方法、网络侧系统、系统和存储介质
US20070118744A1 (en) System and method for managing user equipment to access networks by using generic authentication architecture
WO2013056585A1 (zh) 一种虚拟私云接入认证方法及相关装置
WO2008019615A1 (fr) Procédé, dispositif et système pour authentification d'accès
RU2008146517A (ru) Управляемое политиками делегирование учетных данных для единой регистрации в сети и защищенного доступа к сетевым рессурсам
EP2939391A1 (en) Method and device for secure network access
US8397278B2 (en) Configuring interfaces of a switch using templates
WO2006058493A1 (fr) Procede et systeme d'authentification de domaine et d'autorite de reseau
WO2011140919A1 (zh) 接入业务批发网络的方法、设备、服务器和系统
WO2017219748A1 (zh) 访问权限的确定、页面的访问方法及装置
WO2008034355A1 (fr) Procédé, dispositif et système d'authentification de service réseau
WO2010000157A1 (zh) 接入设备的配置方法、装置及系统
WO2009082910A1 (fr) Procédé et dispositif de configuration de réseau pour un terminal d'utilisateur
WO2010040309A1 (zh) 一种接入方法、网络系统和装置
WO2020029793A1 (zh) 一种上网行为管理系统、设备及方法
WO2015100874A1 (zh) 家庭网关接入管理方法和系统
WO2023125675A1 (zh) 一种用于网络切片的用户面数据完整性保护方法和系统
KR100904215B1 (ko) 사용자 인증에 기반한 네트워크 접속 관리 시스템 및 방법
JP3953963B2 (ja) 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09793829

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2009793829

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 13003096

Country of ref document: US