WO2010097004A1

WO2010097004A1 - 一种以分离mac模式实现wapi与capwap融合的方法

Info

Publication number: WO2010097004A1
Application number: PCT/CN2009/075922
Authority: WO
Inventors: 杜志强; 曹军; 铁满霞; 赖晓龙
Original assignee: 西安西电捷通无线网络通信有限公司
Priority date: 2009-02-27
Filing date: 2009-12-24
Publication date: 2010-09-02
Also published as: CN101646170A; CN101646170B

Description

一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法本申请要求于 2009 年 2 月 27 日提交中国专利局、申请号为 200910021419.4、发明名称为"一种以分离 MAC模式实现 WAPI与 CAPWAP 融合的方法"的中国专利申请的优先权，其全部内容通过引用结合在本申请中。技术领域

本发明涉及一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法。背景技术

自治式体系架构的无线局域网 WLAN ( Wireless Local Area Networks ) 中无线接入点 AP ( Access Point ) 完全部署和端接 GB15629.il功能，作为网络上一个单独的实体，需进行独立管理。目前基于无线局域网鉴别与保密基础结用自治式体系架构，但随着 WLAN部署规模的扩大，这种自治式架构的网络工作模式因其固有的缺陷已逐渐成为制约无线技术发展的障碍。

首先，自治式架构的 WLAN中， AP作为网际互联协议 IP( Internet Protocol ) 可寻址设备，需要进行独立管理，包括监测、配置和控制等。在进行大规模网络部署时，大量的 AP将产生巨大的管理开销，给网络造成沉重负担。尤其是网内 AP的配置管理方式互不相同时，这种现象更为明显，势必阻碍无线技术的发展。

其次，自治式架构的 WLAN中，保证所有 AP配置参数的一致性存在一定困难。因为 AP的配置中除静态参数外，更多的是需要动态配置的参数。在大规模 WLAN中，及时更新全网 AP的动态配置的工作量非常繁重，甚至无法实现。

第三， WLAN中，无线传输介质作为一种共享资源，为提高网络的性能，必须实时监测每一个 AP并根据当前共享介质的使用情况对这些 AP的配置进行动态更新，而手工配置与无线传输介质相关的 AP参数将耗费大量的人力、物力。

第四，自治式架构的 WLAN中，安全接入网络和阻止非法 AP的加入也较为困难。因为在通常情况下， AP的部署位置使得难以对其加以保护，一旦 AP被窃将造成所加载的密钥等安全信息的泄漏，利用这些安全信息，攻击者将给网络安全造成威胁。

综上所述，自治式架构的 WLAN 中，尤其在大规模部署的情况下，对 AP进行监测、配置和控制将给网络造成沉重的管理负担。而且，维护 AP配置的一致性也十分困难。此外，无线传输介质的共享和动态特性要求网络中 AP协作一致以争取最大的网络性能和最小的无线干扰，这对 AP的配置管理提出了更高的要求。安全是设计无线网络需要考虑的重要因素之一，大规模的部署也将给 WLAN的安全带来巨大挑战。由此可见，自治式体系架构 WLAN 的工作模式已无法适用大规模网络的部署需求，亟需设计基于 WAPI的会聚式 WLAN网络体系架构，即 WAPI瘦 AP架构。目前基于无线接入点控制与配置 CAPWAP ( Control And Provisioning of Wireless Access Points )协议 IEEE 802.11 绑定规范的 WLAN不可避免地继承了 IEEE 802.11i的安全缺陷，需要更为安全的替代解决方案。

发明内容

本发明的目的在于克服上述自治式 WLAN网络体系架构的缺陷，提供一种由访问控制器 AC ( Access Controller ) 实现无线局域网保密基础结构 WPI ( WLAN Privacy Infrastructure ) 的分离 MAC模式的将 CAPWAP规范绑定 WAPI的方法，提出一种更为安全的基于 WAPI的会聚式 WLAN体系架构的工作流程。通过将 AP的媒体访问控制 MAC ( Medium Access Control )功能以及 WAPI功能进行划分，实现对全网 AP的集中控制和管理，能够满足大规模 WLAN的部署需求。

本发明的技术解决方案是：本发明为一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法，其特殊之处在于：该方法包括以下步骤：

1 ) 构建由访问控制器实现 WPI的分离 MAC模式：将无线接入点的 MAC功能和 WAPI功能分别分离到无线终端点和访问控制器上；

2 )在由访问控制器实现 WPI的分离 MAC模式下，实现 CAPWAP规范与 WAPI的绑定；

2.1 )站点与无线终端点以及访问控制器之间的关联连接过程；

2.2 )访问控制器与无线终端点之间无线局域网鉴别基础结构 WAI( WLAN Authentication Infrastructure )十办议开: ½执行々通告过程；

2.3 )站点与访问控制器之间 WAI协议的执行过程；

2.4 )访问控制器与无线终端点之间 WAI协议执行结束的通告过程；

2.5 )无线终端点与站点之间利用 WPI进行保密通信的过程。

上述步骤 2.1 ) 的具体步骤如下：

2.1.1 )站点被动侦听无线终端点的信标帧获得包括 WAPI信息元素的无线终端点的相关参数，该 WAPI信息元素包括无线终端点支持的鉴别及密钥管理套件和密码套件等；或者站点主动向无线终端点发送探询请求帧，无线终端点收到站点的探询请求帧后，向站点发送探询响应帧，站点收到探询响应帧即获得包括 WAPI信息元素的无线终端点的相关参数，该 WAPI信息元素包括无线终端点支持的鉴别及密钥管理套件和密码套件等；

2.1.2 )站点向访问控制器发送链路验证请求帧，请求与访问控制器之间的链路验证；

2.1.3 )访问控制器根据站点的链路验证请求帧，向站点发送链路验证响应帧；

2.1.4 )链路验证成功后，站点向访问控制器发送关联请求帧，请求与访问控制器进行关联，站点在关联请求帧中包含 WAPI信息元素确定站点选择的鉴别及密钥管理套件和密码套件等；

2.1.5 )访问控制器解析站点的关联请求帧，向站点发送关联响应帧。上述步骤 2.2 ) 的具体步骤如下：

2.2.1 )访问控制器向无线终端点发送 CAPWAP 站点配置请求（Station Configuration Request ) 消息，消息中包含加入站点 Add Station, GB15629.il 加入站点 ( GB15629.il Add Station ), GB15629.il站点会话密钥 ( GB15629.il Station Session Key )等消息元素; 其中， GB15629.il站点会话密钥消息元素中的 A被置为 1用于告知无线终端点关闭受控端口，仅转发来自对应站点的 WAI协议数据；

2.2.2 ) 无线终端点向访问控制器发送 CAPWAP 站点配置响应（Station Configuration Response ) 消息，其中包含结果码（Result Code ) 消息元素，用于标识对 CAPWAP站点配置请求消息的处理结果。上述步骤 2.3 ) 的具体步骤如下：

2.3.1 )访问控制器与站点之间的 WAI鉴别过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI鉴别数据进行拆封后转发给站点；对来自站点的 WAI鉴别数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器；

2.3.2 )访问控制器与站点之间的 WAI单播密钥协商过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI单播密钥协商数据进行拆封后转发给站点；对来自站点的 WAI 单播密钥协商数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器；

2.3.3 )访问控制器与站点之间的 WAI组播密钥通告过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI组播密钥通告数据进行拆封后转发给站点；对来自站点的 WAI 组播密钥通告数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器。

上述步骤 2.4 ) 的具体步骤如下：

2.4.1 )访问控制器向无线终端点发送 CAPWAP站点配置请求消息，消息中包含加入站点、 GB15629.il 加入站点、 GB15629.il 站点会话密钥消息元素；根据加入站点消息元素中站点的 MAC地址，无线终端点打开与之对应的受控端口，转发来自该站点的所有数据，包括 WAI协议数据和非 WAI协议数据；

2.4.2 )无线终端点向访问控制器发送 CAPWAP站点配置响应消息，其中包含结果码消息元素，用于标识对 CAPWAP站点配置请求消息的处理结果。

上述步骤 2.5 ) 的具体步骤如下：

2.5.1 )访问控制器加密并发送去往站点的数据；

2.5.2 )访问控制器解密来自站点的数据。

本发明提供一种将 CAPWAP规范绑定 WAPI的由 AC实现 WPI的分离

MAC模式的 WLAN实体之间的通信交互流程，将 AP的 MAC功能和 WAPI 功能分离到无线终端点 WTP ( Wireless Terminal Point )和 AC上，由 WTP实现与站点 STA ( Station )之间的 GB15629.il标准要求的实时性信息的交互，包括信标帧、对探询请求帧的响应等，由 AC实现与 STA之间的非实时性交互，包括关联、 WAPI协议等。并基于 CAPWAP GB15629.il绑定规范实现 AC 与 WTP之间的通信。将这种 AP功能的划分模式称为由 AC实现 WPI的分离 MAC模式。本发明与现有技术相比具有如下优点：本发明提出了一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法，克服了目前基于 WAPI协议的自治式网络架构无法适用大规模 WLAN部署需求的局限性。它采用分离 MAC 的模式，实现 AC对 WTP的统一监测、配置和控制，从而达到对 WLAN中 WTP进行集中管理的目的；采用由 AC实现 WAPI协议的方式，将 WAPI与会聚式 WLAN体系架构无缝融合，能够保障 WLAN的安全。本发明不仅能够满足 WLAN的大规模部署需求，而且能够保证会聚式体系架构下 WLAN的安全性。

附图说明

图 1为将 CAPWAP规范绑定 WAPI由 AC实现 WPI的分离 MAC模式的消息流程图；

具体实施方式

参见图 1 , 根据本发明的优选实施例，其具体方法如下：

1 )构建由 AC实现 WPI的分离 MAC模式：将 AP的 MAC功能和 WAPI 功能分别分离到 WTP和 AC上；

2 )在由 AC实现 WPI的分离 MAC模式下，实现 CAPWAP规范绑定 WAPI; 2.1 ) STA与 WTP以及 AC之间的关联连接过程；

2.1.1 ) STA被动侦听 WTP的信标帧获得 WTP的相关参数，包括 WAPI 信息元素，例如 WTP支持的鉴别及密钥管理套件和密码套件等；或者 STA主动向 WTP发送探询请求帧， WTP收到 STA的探询请求帧后，向 STA发送探询响应帧， STA收到 WTP的探询响应帧获得 WTP的相关参数，包括 WAPI 信息元素，例如 WTP支持的鉴别及密钥管理套件和密码套件等；

2.1.2 ) STA获得 WTP的探询响应后，向 AC发送链路验证请求帧，请求与 AC之间的链路验证；

2.1.3 ) AC根据 STA的链路验证请求帧，向 STA发送链路验证响应帧； 2.1.4 )链路验证成功后， STA向 AC发送关联请求帧，请求与 AC进行关联， STA在关联请求中包含 WAPI信息元素确定 STA选择的鉴别及密钥管理套件和密码套件等；

2.1.5 ) AC解析 STA的关联请求帧，向 STA发送关联响应帧。

2.2 ) AC与 WTP之间 WAI协议开始执行的通告过程；

2.2.1 ) AC向 WTP发送 CAPWAP站点配置请求消息，消息中包含加入站点（STA的 MAC地址）、 GB15629.il加入站点（ WLAN ID )、 GB15629.il 站点会话密钥（A被置为 1 )等消息元素。其中，站点会话密钥消息元素中的 A被置为 1用于告知 WTP关闭受控端口，仅转发来自对应 STA的 WAI协议数据；

2.2.2 ) WTP向 AC发送 CAPWAP站点配置响应消息，其中包含结果码等消息元素，用于标识对 CAPWAP站点配置请求消息的处理结果。

2.3 ) STA与 AC之间 WAI协议的执行过程；

2.3.1 ) AC与 STA之间的 WAI鉴别过程；包括： WTP对来自 AC的根据 CAPWAP数据封装格式封装的 WAI鉴别数据进行拆封后转发给 STA; 对来自 STA的 WAI鉴别数据根据 CAPWAP数据封装格式进行封装后发送给 AC;

2.3.2 ) AC与 STA之间的 WAI单播密钥协商过程；包括： WTP对来自

AC的根据 CAPWAP数据封装格式封装的 WAI单播密钥协商数据进行拆封后转发给 STA; 对来自 STA的 WAI单播密钥协商数据根据 CAPWAP数据封装格式进行封装后发送给 AC;

2.3.3 ) AC与 STA之间的 WAI组播密钥通告过程；包括： WTP对来自 AC的根据 CAPWAP数据封装格式封装的 WAI组播密钥通告数据进行拆封后转发给 STA; 对来自 STA的 WAI组播密钥通告数据根据 CAPWAP数据封装格式进行封装后发送给 AC。

2.4 ) AC与 WTP之间 WAI协议执行结束的通告过程；

2.4.1 ) AC向 WTP发送 CAPWAP站点配置请求消息，消息中包含加入站点 ( STA的 MAC地址）、 GB15629.il加入站点（ WLAN ID )、 GB15629.il 站点会话密钥（C被置为 1 )等消息元素；根据加入站点消息元素中 STA的 MAC地址， WTP打开与之对应的受控端口，转发来自该 STA的所有数据，包括 WAI协议数据和非 WAI协议数据；

2.4.2 ) WTP向 AC发送 CAPWAP站点配置响应消息，其中包含结果码等消息元素，用于标识对 CAPWAP站点配置请求消息的处理结果。 2.5 ) WTP与 STA之间利用 WPI进行保密通信的过程； 2.5.1 ) AC加密并发送去往 STA的数据；

2.5.2 ) AC解密来自 STA的数据。

Claims

权利要求

1、一种以分离 MAC模式实现无线局域网鉴别与保密基础结构 WAPI与无线接入点控制与配置 CAPWAP协议融合的方法，其特征在于：该方法包括以下步骤：

1 ) 将无线接入点的 MAC功能和 WAPI功能分别分离到无线终端点和访问控制器上，构建由访问控制器实现无线局域网保密基础结构 WPI的分离 MAC模式；

2 )在由访问控制器实现 WPI的分离 MAC模式下，实现将 CAPWAP规范绑定 WAPI; 所述步骤 2 ) 包括：

2.1 )执行站点与无线终端点以及访问控制器之间的关联连接过程；

2.2 )执行访问控制器与无线终端点之间无线局域网鉴别基础结构 WAI协议开始执行的通告过程；

2.3 )执行站点与访问控制器之间 WAI协议的执行过程；

2.4 )执行访问控制器与无线终端点之间 WAI协议执行结束的通告过程； 2.5 )执行无线终端点与站点之间利用 WPI进行保密通信的过程。

2、根据权利要求 1所述的一种以分离 MAC模式实现 WAPI与 CAPWAP 融合的方法，其特征在于：所述步骤 2.1 ) 包括：

2.1.1 )站点被动侦听无线终端点的信标帧获得包括 WAPI信息元素的无线终端点的参数；或者站点主动向无线终端点发送探询请求帧，无线终端点收到站点的探询请求帧后，向站点发送探询响应帧，站点收到探询响应帧即获得包括 WAPI信息元素的无线终端点的参数；所述 WAPI信息元素包括无线终端点支持的 WAI鉴别及密钥管理套件和密码套件；

2.1.4 )链路验证成功后，站点向访问控制器发送关联请求帧，请求与访问控制器进行关联，站点在关联请求帧中包括 WAPI信息元素以确定站点所选择的 WAI鉴别及密钥管理套件和密码套件；

2.1.5 )访问控制器解析站点的关联请求帧，向站点发送关联响应帧。

3、根据权利要求 1 或 2 所述的一种以分离 MAC模式实现 WAPI 与 CAPWAP融合的方法，其特征在于：所述步骤 2.2 ) 包括：

2.2.1 )访问控制器向无线终端点发送 CAPWAP站点配置请求消息，消息中包括加入站点、 GB15629.il加入站点和 GB15629.il站点会话密钥；其中， GB15629.il站点会话密钥消息元素中的 A被置为 1用于告知无线终端点关闭受控端口，仅转发来自对应站点的 WAI协议数据；

2.2.2 )无线终端点向访问控制器发送 CAPWAP站点配置响应消息，其中包括结果码消息元素，用于标识对 CAPWAP站点配置请求消息的处理结果。

4、根据权利要求 1 至 3 中任意一项所述的一种以分离 MAC模式实现

WAPI与 CAPWAP融合的方法，其特征在于：所述步骤 2.3 ) 包括：

2.3.1 )执行访问控制器与站点之间的 WAI鉴别过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI鉴别数据进行拆封后转发给站点；对来自站点的 WAI鉴别数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器；

2.3.2 )执行访问控制器与站点之间的 WAI单播密钥协商过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI单播密钥协商数据进行拆封后转发给站点；对来自站点的 WAI单播密钥协商数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器；

2.3.3 )执行访问控制器与站点之间的 WAI组播密钥通告过程；包括：无线终端点对来自访问控制器的根据 CAPWAP数据封装格式封装的 WAI组播密钥通告数据进行拆封后转发给站点；对来自站点的 WAI组播密钥通告数据根据 CAPWAP数据封装格式进行封装后发送给访问控制器。

5、根据权利要求 1 至 4 中任意一项所述的一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法，其特征在于：所述步骤 2.4 ) 包括：

2.4.1 )访问控制器向无线终端点发送 CAPWAP站点配置请求消息，消息中包括加入站点、 GB15629.il加入站点和 GB15629.il站点会话密钥消息元素；才艮据加入站点消息元素中站点的 MAC地址，无线终端点打开与之对应的受控端口，转发来自该站点的所有数据；

2.4.2 )无线终端点向访问控制器发送 CAPWAP站点配置响应消息，其中包括用于标识对 CAPWAP站点配置请求消息的处理结果的结果码消息元素。

6、根据权利要求 1 至 5 中任意一项所述的一种以分离 MAC模式实现 WAPI与 CAPWAP融合的方法，其特征在于：所述步骤 2.5 ) 包括：

2.5.1 )访问控制器加密并发送去往站点的数据；

2.5.2 )访问控制器解密来自站点的数据。