WO2011088695A1 - 一种在公共设备上接入网络的方法及系统 - Google Patents

一种在公共设备上接入网络的方法及系统 Download PDF

Info

Publication number
WO2011088695A1
WO2011088695A1 PCT/CN2010/077882 CN2010077882W WO2011088695A1 WO 2011088695 A1 WO2011088695 A1 WO 2011088695A1 CN 2010077882 W CN2010077882 W CN 2010077882W WO 2011088695 A1 WO2011088695 A1 WO 2011088695A1
Authority
WO
WIPO (PCT)
Prior art keywords
aid
user
asn
public device
receiving
Prior art date
Application number
PCT/CN2010/077882
Other languages
English (en)
French (fr)
Inventor
颜正清
张世伟
符涛
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Priority to EP10843735.1A priority Critical patent/EP2512089B1/en
Priority to ES10843735T priority patent/ES2776475T3/es
Priority to JP2012549235A priority patent/JP5451903B2/ja
Priority to US13/520,609 priority patent/US8661517B2/en
Publication of WO2011088695A1 publication Critical patent/WO2011088695A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/083—Network architectures or network communication protocols for network security for authentication of entities using passwords
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/09—Mapping addresses
    • H04L61/10—Mapping addresses of different types
    • H04L61/103—Mapping addresses of different types across network layers, e.g. resolution of network layer into physical layer addresses or address resolution protocol [ARP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/12—Applying verification of the received information
    • H04L63/126—Applying verification of the received information the source of the received data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/30—Network architectures or network communication protocols for network security for supporting lawful interception, monitoring or retaining of communications or communication related information

Definitions

  • the present invention relates to the field of mobile communications and the Internet, and more particularly to a method and system for accessing a network on a public device.
  • IP Internet Protocol
  • a public device accesses a network, it directly uses the IP address of the public device to communicate with other users, and the network supervisor cannot perform access to the user accessing the network on the public device. Tracking and traceability.
  • IP Internet Protocol
  • the Internet requires an ID card, but many Internet cafes still cannot identify the authenticity of the document, and even if there is no legal document, they can use the public ID provided by the Internet cafe to access the Internet. This has brought great difficulties to the tracking and traceability of network regulators.
  • the user can log in to his business account on the public device, such as mail, internet banking, etc., but cannot implement the user network layer IP. Bind to the application layer service, once the account is lost, it will bring great losses to the user. If the user network layer IP is bound to the application layer service on the traditional IP technology, when the user accesses the network on the public device, the application layer service cannot be accessed because the IP address of the network layer is different. For network regulators, the supervision of users is also weakened because account and user IP cannot be bound.
  • the ambiguity of the identity and location of the traditional IP address also prevents the user from binding the application layer service with the network layer IP, so that the security of the application layer service cannot be more effectively guaranteed.
  • the technical problem to be solved by the present invention is to provide a method and system for accessing a network in a public device, which can effectively trace and trace users accessing the network on a public device in the identity identification and location separation network.
  • the present invention provides a method for accessing a network on a public device, which is applied to an identity identification and a location separation network, and the method includes:
  • the access server (ASN) After receiving the access network request message sent by the user on the public device, the access server (ASN) sends the request message to the authentication center (AC), where the access network request message includes at least the account and password of the user;
  • the AC verifies the validity of the account and the password, and if the verification passes, sends the access identity (AID) of the user to the ASN;
  • the ASN After receiving the AID of the user, the ASN sends the AID to the public device, and the public device uses the AID of the user as a virtual AID, and uses the virtual AID to send and receive the message of the user.
  • the ASN attaches the AID of the user, establishes a mapping relationship between the AID of the user and a route identifier (RID) of the ASN, and reports the relationship to the user.
  • ILR Identity and Location Register
  • the ASN After receiving the AID of the user, the ASN establishes a mapping table between the AID of the user and the AID of the public device.
  • the ASN sets the AID attribute of the user to a virtual AID, and sets the virtual AID as a source address or a virtual AID, while establishing a mapping table of the AID of the user and the AID of the public device.
  • the AID of the public device is obtained by querying the mapping table, and traffic statistics or charging is performed on the public device.
  • the ASN is used as: - user or device:
  • the ASN records the AID of the managed public device
  • the source address of the packet is the filed AID and the destination address is not The AID of the AC, or the destination address of the packet is the AID of the record, and the source address is not the AID of the AC, and the packet is discarded.
  • the user accesses the network on the public device, after being online in the network, when the user is offline,
  • the user sends an offline request on the public device, and the ASN sends the offline request to the AC;
  • the AC After deleting the online status of the user in the network, the AC sends an offline request response to the ASN;
  • the ASN Determining, by the ASN, the user's attachment, and requesting the ILR to delete the mapping relationship between the AID of the user and the RID of the ASN; and deleting the mapping between the AID of the user and the AID of the public device. And sending the offline request response to the public device; and after the public device receives the offline request response, deleting the virtual AID of the user.
  • the user's account number and password are pre-allocated by the network administrator or submitted by submitting the personal identity information online; and the user is assigned the bound AID while the account is being allocated.
  • the method further includes:
  • the ASN After receiving the access network request message, the ASN determines whether it is from the public device, and if the access network request message is not from the public device, the ASN sends the access network request message to the AC, and Forwarding the access network response of the AC to the originator of the access network request message.
  • the present invention also provides a system for accessing a network on a public device, which is applied to an identity identification and a location separation network, the system comprising: an access server (ASN), a public device, and an authentication center (AC), wherein
  • ASN access server
  • AC authentication center
  • the ASN is configured to: after receiving an access network request message sent by the user on the public device, send the message to the AC, where the access network request message includes at least the account and the password of the user; After the access identifier AID of the user sent by the AC is sent to the public device;
  • the AC is configured to: after receiving the access network request message of the user, the account Verification of the validity of the number and password, if the verification is passed, the AID of the user is sent to the ASN;
  • the public device is configured to send an access network request message to the ASN according to the account and password input by the user, and after receiving the AID of the user pushed by the ASN, the AID of the user is used as the virtual AID. And transmitting and receiving the user's 4 texts by using the virtual AID.
  • the system further includes an identity identifier and an address registration register (ILR), and the ASN is further configured to: after receiving the AID of the user, attach an AID of the user, and establish an AID of the user and Mapping relationship of the route identifier (RID) of the ASN, and reporting the ILR to the user;
  • ILR address registration register
  • the ILR is set to save a mapping relationship between the AID of the user and the RID of the ASN; and after receiving the mapping relationship query request initiated by the other ASN according to the AID of the user, preferably, the ASN is further set. After the AID of the user is received, a mapping table between the AID of the user and the AID of the public device is established.
  • the ASN is further configured to: set the AID attribute of the user to a virtual AID, and query the mapping table to obtain the public when receiving the packet with the virtual AID as a source address or a destination address.
  • the ASN is further configured to prohibit the managed public device from accessing a user or device other than the AC.
  • the ASN is further configured to: after receiving an offline request of the user, send the
  • the AC is further configured to: after receiving the offline request, after deleting the online status of the user in the network, send an offline request response to the ASN;
  • the public device is further configured to delete the virtual AID of the user after receiving the offline request response.
  • the above implementation is based on the identity identification and location separation network, and utilizes the network uniqueness of the user AID to implement the user accessing the network on the public device. Compared with the current traditional IP network, the above embodiments are used to fully utilize the superiority of the identity identifier and the location identifier to separate the network, and the user accessing the network on the public device can be effectively performed on the basis of the unique AID of the entire network. Ground tracking and traceability.
  • FIG. 1 is a schematic structural diagram of a SILSN according to an embodiment of the present invention.
  • FIG. 2 is a schematic flowchart of a user accessing a network on a public device according to an embodiment of the present invention
  • FIG. 4 is a schematic flowchart of a packet processing from a public device by an ASN according to an embodiment of the present invention
  • FIG. 5 is a schematic flowchart of processing an ASN packet from another ASN according to an embodiment of the present invention
  • FIG. 6 is a schematic flowchart of a user offline according to an embodiment of the present invention.
  • FIG. 7 is a schematic flowchart of a user applying for an account on a public device according to an embodiment of the present invention.
  • the present invention proposes a system architecture of the Subscriber Identifier & Locator Separation Network (SILSN) as shown in FIG.
  • the SILSN system consists of an Access Service Node (ASN), a User (User), an Authentication Center (AC), and an Identifier Information Center (IIC). 12 and the identity and location registration register (Identification & Location Register, ILR for short) 13 and so on.
  • ASN is mainly responsible for user access, and assumes functions such as billing and switching; ILR is set to assume user's location registration and identity location identification, and location query function; AC is responsible for authenticating user access; IIC is responsible for Store the user's identity information.
  • AID Access Identity (Access) Identifier
  • RID Routing Identifier
  • the AID is the identity of the user. This ID is only assigned to the user and is unique to the entire network. The identity can be uniquely changed during network transmission, and the AID does not change when the user moves in the network. The net is unique. The user and the user use the RID of the ASN to which they are attached to route the communication message. It should be noted that the identity and location identifiers may have different names in different SILSN architectures, but the essence is the same.
  • the above SILSN network has the following features: Each user in the network can only access after strict authentication, and the user sends the AID in the data packets sent by the various services, and each data packet sent by the user must be After ASN authentication, the data packet sent by the user is guaranteed to carry its own access identity, and the other user AID will not be impersonated to access the network, and the access identity will remain unchanged when transmitted in the network. This logo does not change when moving or switching.
  • users Userl and User2 have unique access identities AID1 and AID2, respectively, and Userl and User2 access the network through ASN1 and ASN2, respectively.
  • User2 accesses the network normally, that is, the user equipment (User Equipment, UE for short) is used to access the network.
  • the AID of the UE is the AID that User2 uses to bind to the service.
  • Userl accesses the network on the public device. Because the AID of the public device is not the AID owned by Userl, it cannot be bound to the application service of the user.
  • the basic implementation idea of the present invention is as follows:
  • the network administrator stores the user's account number, password and AID in the AC, and the user accesses the network by using his own account and password;
  • AC to the user The account and the password are authenticated.
  • the AC pushes the user's AID to the ASN and the public device.
  • the user's AID bound to the account is bound to the public device as the virtual AID.
  • the binding of Userl's AID to the application service can be realized.
  • the user's account may be directly assigned by the network administrator, or the user may submit a personal information application account on the public network.
  • an AID is assigned to it.
  • the present invention solves the problem of accessing a network on a public device based on a SILSN network by using the following scheme:
  • the ASN After receiving the access network request message sent by the user on the public device, the ASN sends the request to the AC.
  • the access network request message includes at least the account and password of the user;
  • the AC verifies the validity of the account and the password, and if the verification passes, sends the AID of the user to the ASN;
  • the ASN pushes the AID of the user to the public device, and the public device uses the AID of the user as a virtual AID, and uses the virtual AID to send and receive packets of the user.
  • the AC After verifying the validity of the account and the password, the AC sends an access network response message to the ASN, and if the verification passes, the AID of the user is carried in the access network response message;
  • the ASN After receiving the access network response message including the AID, the ASN attaches the AID of the user, establishes a mapping relationship between the AID of the user and the RID of the user, and reports the ILR to the user, and reports the ILR to the user.
  • An AID mapping table between the user and the public device.
  • the ASN also sets the attribute of the user's AID to virtual.
  • the user sends an access network request message to the ASN by inputting an account and a password on the public device, where the access network request message includes at least the account and password of the user;
  • the ASN Determining, by the ASN, whether the access network request is from a public device, and if yes, attaching an AID of the user after receiving the access network response message that is verified, and establishing the user and the public
  • the AID mapping table of the device if it is not from the public device, it only needs to forward to the AC for verification, and forwards the received access network response message to the initiator of the access network request.
  • the ASN will prohibit public devices from accessing users other than the AC.
  • Figure 2 shows the flow of a user accessing a network on a public device using an account.
  • the user enters the password on the public device using his own account and enters the password to apply for access to the network.
  • the application information is sent to the AC for processing, and the AC queries the account password and the AID according to the account number. Then, AC uses the query
  • the account information verifies the authenticity of the account and password submitted by the user to confirm whether the user's access network request can be accepted. If the verification is successful, the AC pushes the user's AID to the public device where the user is located.
  • the process may specifically include the following steps:
  • S200 The user inputs an account and a password on the public device, and sends an access network request message to the ASN, where the access network request information includes a user account and a password;
  • the source AID of the essay is the AID of the public device, and the destination AID is the AID of the AC;
  • the ASN receives an access network request message from a user of the public device, and forwards the message to the AC processing.
  • the ASN needs to determine whether the access network request message is from a public device. If it is not from a public device, for example, a normal home user passes a PC (Personal Computer, a personal computer) or a UE, the access network request carries itself. The AID is sent to the AC for verification. After receiving the AC access network request response, if the authentication is passed, the ASN directly attaches the AID of the user. The difference between the access and the access on the public device is that the AC only needs to return a response message for verifying the pass, without pushing the AID of the user; and the ASN does not need to establish a mapping table between the AID of the user and the AID of the public device.
  • a public device for example, a normal home user passes a PC (Personal Computer, a personal computer) or a UE, the access network request carries itself. The AID is sent to the AC for verification. After receiving the AC access network request response, if the authentication is passed, the ASN directly attaches the
  • the AC receives the User access network request information from the public device, and performs verification on the validity of the account and the password, for example, extracting the account and password of the User in the request information, and performing corresponding account and password stored in the AC. If the comparison is consistent, the verification is successful, otherwise the verification fails;
  • the AC sends a network access request response message to the ASN, where the message carries the AID of the user;
  • the ASN After receiving the user access network authentication response message from the AC, the ASN attaches the AID of the user, and establishes an ⁇ AID, RID> mapping relationship with the RID of the ASN itself, and establishes a relationship between the user and the public device.
  • the form is ⁇ 0, AID ⁇ AID mapping table.
  • the ASN sets the User's AID attribute to the User virtual AID; if the authentication fails, the ASN directly forwards the access network authentication response message from the AC;
  • the public device After the public device receives the access network authentication response message, if the authentication is passed, the public device uses the AID of the user as a virtual AID in the system, and the network behavior of the user on the public device is the virtual AID.
  • the source AID For example, when User accesses the File Transfer Protocol (FTP) server, the source AID in the access request message sent is the virtual AID.
  • FTP File Transfer Protocol
  • the ASN reports the ⁇ , RID> mapping relationship of the User to the ILR.
  • the user user establishes an ⁇ AID, RID> mapping relationship with the ASN, and reports the information to the ILR to indicate that the user is attached to the ASN, so that other users and the ASN can query the ILR according to the AID of the user to obtain the corresponding RID information. Then, according to the queried RID information, the message is sent to the ASN.
  • the S270JLR After the S270JLR records or updates the ⁇ , RID> mapping relationship of the User, it returns the report mapping relationship response information to the ASN.
  • the ILR After receiving the mapping request of the other ASN to the user, the ILR returns the RID corresponding to the AID of the user to the querying party, that is, the ASN that initiates the query request.
  • S260 and S270 may also be implemented before S250, and the order of implementation depends on the internal implementation method of the ASN.
  • Figure 3 shows the packet forwarding process for users to access the Internet on public devices.
  • the user's online behavior on the public device is basically consistent with the user's online behavior on the device. It complies with the network manager and the regulatory agency's tracking and traceability requirements for the user, and also solves the problem between the user network layer AID and the application layer service. Binding problem. The difference is that the ASN needs to count the traffic of the public device to manage the public device.
  • the process specifically includes the following steps:
  • Userl sends a communication request message to User2 on the public device, and the source AID in the packet is a virtual AID (Userl's AID);
  • the public device not only has its own AID, but its system also allows users who successfully access the network on the public device to attach their AID to the public device. That is to say, when the AID of the user is attached to the public device, the AID used by the public device to send and receive messages is the virtual AID of the user, not the AID of the public device. When the user exits the network, the virtual AID will also be deleted. Thereafter, the AID used by the public device to send and receive messages is its own AID.
  • the ASN1 receives the packet from the public device, and after checking that the source AID is the virtual AID according to the attribute of the AID of the attached user set by the ASN, the AID is used to query the User1 and the public.
  • the AID mapping table of the device obtains the AID of the public device and performs traffic statistics on the public device.
  • ASN1 queries the ILR according to the destination AID in the communication request message of User1, that is, the AID of User2 to obtain the corresponding RID (RID of ASN2), and can use the RID of ASN1 as the source RID and the RID of ASN2 as the destination RID.
  • the route is forwarded to ASN2;
  • the ASN2 de-encapsulates the RID and forwards the communication request of the User1 to the User2;
  • ASN2 encapsulates the source RID (the RID of the ASN2) and the destination RID (the RID of the ASN1) in the reply message, and forwards it to the ASN1;
  • This example is based on the case where User1 initiates communication with User2. If User2 initiates communication with User1, ASN2 queries the ILR according to the destination address in the communication request packet of User2, that is, the AID of User1, and obtains the RID of the corresponding ASN1. The packet is encapsulated in the packet and forwarded to ASN1.
  • the communication process is similar to this example, and is not mentioned here.
  • ASN1 receives the 4 ⁇ message from ASN2, checks to obtain the destination AID as the virtual AID, and then uses the AID to query the AID mapping table of the User1 and the public device, obtains the AID of the public device, and performs traffic statistics on the public device.
  • ASN1 uses the AID mapping table of Userl and the public device to query the AID of the public device, and performing traffic statistics is only one of the functions.
  • the functions that ASN1 can implement based on the AID mapping table are not limited to traffic statistics. It also includes the functions of recording the specific location of Userl access to the network and charging for public devices.
  • Figure 4 shows the ASN processing packet flow from the public device.
  • the ASN needs to check if the source AID is the AID of the public device, and if so, it is necessary to prohibit the public device from directly accessing the non-AC destination.
  • the process specifically includes the following steps: S400: The ASN receives a message from a public device (such as a Internet cafe PC);
  • the ASN extracts the source AID in the packet, and determines whether it is the AID of the public device. If yes, the process goes to step S420. If not, the process goes to step S430.
  • the ASN can find the source AID according to the list of all the AIDs on the ASN, and then check whether the source AID is a public device by checking the attribute of the source AID.
  • the AID can determine whether the source AID is a public device by using various other methods.
  • the ASN can record the AID of all the public devices on the ASN, and separately save the AID list of the public device; Determine whether the source AID is a public device according to the AID list of the public device being filed, and so on. It is not listed here one by one.
  • step S420 The ASN determines whether the destination of the packet is AC. If yes, the process proceeds to step S470, and the packet is forwarded normally; if not, the process proceeds to step S460, and the packet is discarded;
  • the ASN determines whether the AID attribute is a virtual user, that is, whether the user accesses the virtual AID of the network on the public device, and if so, jumps to the step S440; if not, jumps to the S470 Step, normal forwarding;
  • step S440 Query whether there is a corresponding AID mapping table between the public device and the public device AID according to the virtual AID of the user accessing the network on the public device. If there is an AID mapping table, the process jumps to step S450; if not, then jumps Go to step S460, discard the text;
  • the ASN performs traffic statistics on the public device according to the queried AID mapping table; and proceeds to step 470;
  • S470 Forwards the packet normally. It should be noted that S470 is jumped from step S420, S430 or S450.
  • the ASN processes the end of the process from the public device.
  • Figure 5 shows the flow of ASN processing messages from other ASNs.
  • the ASN needs to determine whether the destination AID is accessing the user virtual AID of the network on the public device.
  • the process specific Including the following steps:
  • S500 The ASN receives the message of the other ASN.
  • the ASN extracts the source AID and the destination AID, and determines whether the destination AID is a public device AID, and if yes, jumps to step S520; if not, jumps to step S530;
  • step S520 the ASN determines whether the packet is from the AC, and if yes, the process proceeds to step S570, and the packet is forwarded normally; if not, the process proceeds to step S560, and the packet is discarded;
  • the ASN determines whether the destination AID of the packet is connected to the user virtual AID of the network on the public device, and if yes, the process proceeds to step S540; if not, the process proceeds to step S570, and the packet is normally forwarded;
  • step S540 If the destination AID of the packet is a user virtual AID that accesses the network on the public device, the ASN queries whether the AID mapping table exists with the public device AID according to the AID, and if so, jumps to step S550; , go to step S560, discard the text;
  • the ASN calculates the traffic of the public device according to the AID of the public device; and proceeds to step 570;
  • the ASN processes the packet flow from other ASNs.
  • Figure 6 shows the flow of the user offline.
  • the user has access to the network on the public device.
  • the offline request is sent to the AC.
  • the AC, ILR, and ASN need to delete the records related to the user AID.
  • the process specifically includes the following steps:
  • the ASN receives the offline request of the User1, and forwards the request to the AC.
  • S620 The AC receives an offline request from User1, and deletes the online status of Userl in the network.
  • S630 The AC sends an offline request response to the ASN, and notifies the ASN to delete the Userl related information.
  • S640 the ASN receives the offline request response message from the AC, cancels the AID attachment of the User1, and deletes the AID mapping table between the AID of the User1 and the AID of the public device;
  • the ASN sends the ⁇ 10, 1 10> mapping relationship update to the ILR to the ILR, and requests to delete the mapping relationship of the i ⁇ AID, RID>;
  • the ILR deletes the ⁇ AID, RID> mapping relationship of Userl, and sends a mapping relationship deletion response to the ASN.
  • S670 The ASN sends an offline successful response message to the public device, and deletes the virtual AID of the User1 attached to the public device.
  • Figure 7 shows the process for a user to register an account on a public device.
  • the user can fill in the personal information on the public device and submit the registration account application directly.
  • the user's real personal information is collected and saved by the network administrator in advance at the IIC to verify the authenticity of the user's online application for submitting the account.
  • the process specifically includes the following steps:
  • the ASN forwards an account registration application message to the AC.
  • the AC receives the account registration application message, and queries the IIC for the real personal information of the user according to the ID card in the message;
  • IIC returns the real personal information of the queried User to the AC;
  • the AC verifies whether the account registration message submitted by the User is valid by using the real personal information of the User queried from the IIC, if valid (for example, the identity information provided by the user online, such as the ID number, name, password, etc., corresponding to the IIC If the information is consistent, that is, valid, the AC assigns an account, password, and AID to the User;
  • the AC sends a registration request response message to the ASN.
  • the ASN is attached to the AID of the user, and the AID mapping table with the public device is created, and the mapping relationship is sent to the ILR.
  • S770 The ASN sends a registration response message to the User, carrying the AID of the User. If the registration is successful, the AID of the User is virtualized into the AID of the public device. Thereafter, the AID of all User's network behavior is this virtual AID.
  • the method and system for accessing a network on a public device utilizes the uniqueness of the entire network of the user AID to implement the user accessing the network on the public device, and uses the above implementation scheme to fully utilize the identity identifier and the location identifier.
  • the superiority of the network is separated, and the users accessing the network on the public device can be effectively tracked and traced based on the unique AID of the whole network.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种在公共设备上接入网络的方法及系统
技术领域
本发明涉及移动通讯领域和互联网领域， 尤其涉及一种在公共设备上接 入网络的方法及系统。
背景技术
在现有的互联网协议（ IP ) 网络中， 人们在公共设备上接入网络时， 直 接使用公共设备的 IP地址与其他用户进行通讯， 网络监管机构无法对在公共 设备上接入网络的用户进行追踪和溯源。 例如， 在现有的网络中， 上网需要 出示身份证件， 但艮多网吧仍然无法识别证件的真伪， 甚至于没有合法证件 也可以用网吧提供的某一个公用证件上网。 这给网络监管机构的追踪和溯源 带来了很大的困难。
而且， 在现有网络中， 由于传统的 IP地址存在身份和位置的二义性， 使 得用户可以在公共设备上登录自己的业务账号， 如邮件， 网络银行等等， 却 无法实现用户网络层 IP与应用层业务绑定， 一旦账号丟失， 将给用户带来很 大损失。 如果在传统的 IP技术上实现用户网络层 IP与应用层业务绑定， 用 户在公共设备上接入网络时， 由于网络层 IP地址的不同， 将不能访问自己的 应用层业务。 而对于网络监管机构来说， 由于账号和用户 IP不能绑定， 对用 户的监管力度也被削弱。
综上所述， 目前的传统 IP技术存在如下问题：
1、 由于传统的 IP地址存在身份和位置的二义性， 使得监管机构无法对 在公共设备上接入网络的用户进行有效地追踪和溯源， 不仅存在安全隐患， 也为打击违法犯罪活动带来了困难；
2、 此外， 传统的 IP地址的身份和位置的二义性还使得用户无法用网络 层 IP与应用层业务绑定， 从而无法更有效地保障应用层业务的安全性。
发明内容 本发明要解决的技术问题是提供一种在公共设备接入网络的方法及系 统， 能够在身份标识和位置分离网络中对在公共设备上接入网络的用户进行 有效地溯源和追踪。
为了解决上述问题， 本发明提供了一种在公共设备上接入网络的方法， 应用于身份标识和位置分离网络， 该方法包括：
接入服务器（ASN )收到用户在公共设备上发送的接入网络请求消息后， 发送到认证中心（ AC ) , 所述接入网络请求消息中至少包括所述用户的账号 和密码；
所述 AC对所述账号和密码的有效性进行验证， 如果验证通过， 则将所 述用户的接入身份标识（AID )发送给所述 ASN; 以及
所述 ASN收到所述用户的 AID后， 推送给所述公共设备， 所述公共设 备将所述用户的 AID作为虚拟 AID,并使用所述虚拟 AID进行所述用户的报 文的收发。
优选地， 所述 ASN收到所述用户的 AID后， 对所述用户的 AID进行附 着， 建立所述用户的 AID与所述 ASN的路由标识（RID )的映射关系， 并汇 报给所述用户的身份标识和位置登记寄存器（ILR ) 。
优选地， 所述 ASN收到所述用户的 AID后， 建立所述用户的 AID与所 述公共设备的 AID的映射表。
优选地， 所述 ASN在建立所述用户的 AID与所述公共设备的 AID的映 射表的同时，将所述用户的 AID属性设置为虚拟 AID ,在收到以所述虚拟 AID 为源地址或目的地址的报文时， 查询所述映射表得到所述公共设备的 AID并 对所述公共设备进行流量统计或计费。
优选地， 所述 ASN ^
设备。
优选地， 所述 ASN釆用如- 用户或设备：
所述 ASN对所管理的公共设备的 AID进行备案；
在收到报文时， 如果该报文的源地址为已备案的 AID、 且目的地址不是 所述 AC的 AID, 或者， 该报文的目的地址为已备案的 AID, 且源地址不是 所述 AC的 AID, 则丟弃该报文。
优选地， 所述用户在所述公共设备上接入网络， 在网络中处于在线状态 后， 当所述用户离线时，
所述用户在所述公共设备上发送离线请求 ,所述 ASN将该离线请求发送 给所述 AC;
所述 AC删除所述用户在网络中的在线状态后， 向所述 ASN发送离线请 求响应；
所述 ASN解除所述用户的附着，并向所述 ILR请求删除所述用户的 AID 与所述 ASN的 RID的映射关系； 同时， 删除所述用户的 AID与所述与公共 设备的 AID的映射表， 并将所述离线请求响应发送给所述公共设备； 以及 所述公共设备收到所述离线请求响应后， 删除所述用户的虚拟 AID。 优选地， 所述用户的账号和密码是由网络管理者预先分配， 或者通过在 线提交个人身份信息申请得到； 且在分配所述账号的同时， 为所述用户分配 绑定的 AID。
优选地， 所述方法还包括：
所述 ASN接收到接入网络请求消息后， 判断其是否来自公共设备， 如果 该接入网络请求消息不是来自公共设备，则所述 ASN将所述接入网络请求消 息发送给所述 AC,并将所述 AC的接入网络响应转发给所述接入网络请求消 息的发起方。
本发明还提供了一种在公共设备上接入网络的系统， 应用于身份标识和 位置分离网络，该系统包括：接入服务器（ASN )、公共设备和认证中心（AC ) , 其中，
所述 ASN设置为， 收到用户在公共设备上发送的接入网络请求消息后， 发送到所述 AC, 所述接入网络请求消息中至少包括所述用户的账号和密码； 且在收到所述 AC发送的所述用户的接入身份标识 AID后， 推送给所述公共 设备；
所述 AC设置为， 接收到用户的接入网络请求消息后， 对其中的所述账 号和密码的有效性进行验证， 如果验证通过， 则将所述用户的 AID发送给所 述 ASN;
所述公共设备设置为，根据用户输入的账号和密码向所述 ASN发送接入 网络请求消息， 并在收到所述 ASN推送的所述用户的 AID后， 将所述用户 的 AID作为虚拟 AID , 使用所述虚拟 AID进行所述用户的 4艮文的收发。
优选地， 所述系统还包括身份标识和位置登记寄存器（ILR ) ， 所述 ASN还设置为， 收到所述用户的 AID后， 对所述用户的 AID进行 附着， 建立所述用户的 AID与所述 ASN的路由标识（RID )的映射关系， 并 汇报给所述用户的 ILR;
所述 ILR设置为，保存所述用户的 AID与所述 ASN的 RID的映射关系； 以及， 在接收到其他 ASN根据用户的 AID发起的映射关系查询请求后， 将 优选地， 所述 ASN还设置为， 收到所述用户的 AID后， 建立所述用户 的 AID与所述公共设备的 AID的映射表。
优选地， 所述 ASN还设置为， 将所述用户的 AID属性设置为虚拟 AID, 在收到以所述虚拟 AID为源地址或目的地址的报文时， 查询所述映射表得到 所述公共设备的 AID , 并对所述公共设备进行流量统计或计费。
优选地， 所述 ASN还设置为， 禁止所管理的公共设备访问所述 AC之外 的用户或者设备。
优选地， 所述 ASN还设置为， 接收到用户的离线请求后， 发送给所述
AC; 以及， 收到离线请求响应后， 解除所述用户的附着， 并向所述 ILR请求 删除所述用户的 AID与所述 ASN的 RID的映射关系， 同时， 删除所述用户 的 AID与所述与公共设备的 AID的映射表，并将所述离线请求响应发送给所 述公共设备；
所述 AC还设置为， 收到所述离线请求后， 删除所述用户在网络中的在 线状态后， 向所述 ASN发送离线请求响应；
所述公共设备还设置为， 收到所述离线请求响应后， 删除所述用户的虚 拟 AID。 上述实施方案是基于身份标识和位置分离网络， 利用用户 AID的全网唯 一性来实现用户在公共设备上接入网络。 相较于目前的传统 IP网络， 釆用上 述实施方案， 充分利用身份标识和位置标识分离网络的优越性， 在全网 AID 唯一的基础上，可以对在公共设备上接入网络的用户进行有效地追踪和溯源。
附图概述
图 1示出了本发明实施例的 SILSN的架构示意图；
图 2示出了本发明实施例的用户在公共设备上接入网络的流程示意图； 图；
图 4示出了本发明实施例的 ASN处理来自公共设备的报文流程示意图； 图 5示出了本发明实施例的 ASN处理来自其他 ASN的报文的流程示意 图；
图 6示出了本发明实施例的用户离线的流程示意图；
图 7示出了本发明实施例的用户在公共设备上申请账号的流程示意图。
本发明的较佳实施方式
为解决现有传统 IP地址的身份和位置的二义性问题， 本发明提出一种如 图 1 所示的身份标识和位置分离网络 ( Subscriber Identifier & Locator Separation Network, 简称为 SILSN ) 系统架构， 在图 1中， 此 SILSN系统由 接入服务器 ( Access Service Node, 简称为 ASN )、 用户 （User ) 、 认证中心 ( Authentication Center, 简称为 AC ) 11、 身份信息中心（ Identifier Information Center, 简称为 IIC ) 12 以及身份标识和位置登记寄存器 （Identification & Location Register, 简称为 ILR ) 13等组成。
其中， ASN主要负责用户的接入， 并承担计费、 切换等功能； ILR设置 为， 承担用户的位置注册和身份位置识别， 以及位置查询功能； AC负责对用 户的接入进行认证； IIC负责存放用户的身份信息。
上述 SILSN 架构网络中有两种标识类型： 接入身份标识 （Access Identifier, 简称为 AID )和路由标识（ Routing Identifier, 简称为 RID )。 其中，
AID是用户的身份标识， 此标识仅分配给该用户使用且全网唯一， 且此身份 标识在网络传输中可以唯一不变， 并且用户在网络中进行移动时， 该 AID也 不会改变，全网唯一。用户与用户之间使用各自所附着的 ASN的 RID进行通 信报文的路由。 应说明的是， 身份标识和位置标识在不同的 SILSN架构可以 有不同的名称， 但实质是一样的。
上述 SILSN网络有如下特征： 此网络内每个用户只有经过严格认证才能 接入， 用户在各种业务中所发送的数据包中都同时携带自己的 AID, 且用户 发送的每个数据包都必须经过 ASN验证，保证用户发出的数据包携带的是自 己的接入身份标识， 不会假冒其他用户 AID接入网络， 并且此接入身份标识 在网络中传送时将一直保持不变， 当用户发生移动或切换时， 此标识也不会 发生变化。
在图 1的示例中，用户 Userl和 User2分别存在唯一的接入身份标识 AID1 和 AID2, Userl和 User2分别通过 ASN1和 ASN2接入网络。 其中， User2 正常接入网络， 即使用自有用户设备 ( User Equipment, 简称为 UE )接入网 络， 其 UE的 AID便是 User2用来与业务绑定的 AID。 而 Userl则是在公共 设备上接入网络， 由于公共设备的 AID不是 Userl所拥有的 AID, 因此， 无 法与用户的应用业务绑定。
针对上述提出的 SILSN网络， 为解决该问题， 本发明的基本实现思想如 下： 网络管理者将用户的账号、 密码和 AID存储在 AC中， 用户利用自己的 账号和密码接入网络； AC对用户的账号和密码进行认证，当用户通过认证后 , AC将用户的 AID推送到 ASN和公共设备上； 然后将用户的与账号绑定的 AID作为虚拟 AID绑定在公共设备上。
这样， 便可实现 Userl的 AID与应用业务的绑定。 需要说明的是， 用户 的账号可以是网络管理者直接分配， 也可以是用户在公共网络当场提交个人 信息申请账号。 在该账号被分配的同时， 会分配一个 AID与之绑定。
更具体地， 本发明釆用如下方案来解决基于 SILSN网络的在公共设备上 接入网络的问题：
ASN收到用户在公共设备上发送的接入网络请求消息后， 发送到 AC, 所述接入网络请求消息中至少包括所述用户的账号和密码；
所述 AC对所述账号和密码的有效性进行验证， 如果验证通过， 则将所 述用户的 AID发送给所述 ASN;
所述 ASN将所述用户的 AID推送给所述公共设备， 所述公共设备将所 述用户的 AID作为虚拟 AID, 使用所述虚拟 AID进行该用户的报文的收发。
进一步地， AC在对所述账号和密码的有效性进行验证后，发送接入网络 响应消息给 ASN, 且如果验证通过， 则在所述接入网络响应消息中携带所述 用户的 AID;
ASN收到包含 AID的所述接入网络响应消息后， 则对所述用户的 AID 进行附着，建立用户的 AID与自身的 RID映射关系，并汇报给所述用户的 ILR; 并且， 建立所述用户与所述公共设备的 AID映射表。
进一步地， 如果验证通过， ASN还将所述用户的 AID的属性设置为虚拟
AID。
进一步地， 用户通过在公共设备上输入账号和密码， 向 ASN发送接入网 络请求消息， 接入网络请求消息中至少包括所述用户的账号和密码；
所述 ASN判断所述接入网络请求是否来自公共设备， 如果是， 则在收到 验证通过的接入网络响应消息后， 对所述用户的 AID进行附着， 并建立所述 用户与所述公共设备的 AID映射表； 如果不是来自公共设备， 则只需转发给 AC进行验证，并将收到的接入网络响应消息转发给所述接入网络请求的发起 方。
进一步地， ASN将禁止公共设备访问 AC之外的用户。
下面将结合附图及具体实施例对本发明技术方案的实施作进一步详细描 述。 需要说明的是， 本发明内容可以用以下实施例解释， 但不限于以下的实 施例。
图 2示出了用户使用账号在公共设备上接入网络的流程。 用户使用自己 的账号在公共设备上输入， 并输入密码， 申请接入网络。 申请信息被发送到 AC处理， AC根据账号查询得账号的密码以及 AID。 然后， AC用查询到的 账号信息验证用户提交的账号和密码的真实性， 用以确认是否可以接受用户 的接入网络请求。 如果验证成功， AC将用户的 AID推送到用户所在的公共 设备上。 该流程具体可包括如下步骤：
S200,User在公共设备上输入账号和密码， 向 ASN发送接入网络请求信 息， 该接入网络请求信息中包括 User的账号和密码；
此时该艮文的源 AID为公共设备的 AID, 目的 AID为 AC的 AID;
S210,ASN接收到来自公共设备的 User的接入网络请求消息， 将该消息 转发至 AC处理；
该步骤中， ASN需要判断接入网络请求消息是否来自公共设备， 如果不 是来自公共设备， 例如， 普通家庭用户通过 PC ( Personal Computer, 个人计 算机）或 UE , 则该接入网络请求中会携带自身的 AID , ASN发送到 AC进行 验证， 在接收到 AC的接入网络请求响应后， 如果通过验证， 则 ASN直接对 该用户的 AID进行附着。 其与在公共设备上接入的区别在于， AC只需返回 验证是否通过的响应消息， 而无需再推送该用户的 AID; 而 ASN也无需建立 该用户的 AID与公共设备的 AID的映射表。
S220,AC接收到来自公共设备的 User接入网络请求信息， 对其中的账号 和密码的有效性进行验证， 例如提取请求信息中 User的账号和密码， 与 AC 中存储的对应的账号和密码进行比较， 如果一致， 则验证成功， 否则验证失 败；
S230, AC向 ASN发送网络接入请求响应消息，消息中携带 User的 AID;
S240,ASN接收到来自 AC的 User接入网络认证响应消息后， 如果认证 通过， 则对 User的 AID进行附着， 与 ASN自身的 RID建立 <AID, RID>映射 关系， 同时为 User和公共设备建立形式为<^0, AID 々 AID映射表， 可选 地， ASN将 User的 AID属性设置为 User虚拟 AID;如果认证未通过，则 ASN 将直接转发来自 AC的接入网络认证响应消息；
S250,公共设备接收到接入网络认证响应消息后， 如果认证通过， 则公共 设备将 User的 AID在自身的系统中作为一个虚拟 AID, User在公共设备上 发生的网络行为都将以该虚拟 AID作为源 AID； 例如， User在访问文件传输协议（FTP )服务器时， 发送的访问请求报 文中源 AID为虚拟 AID。
S260,ASN向 ILR汇报该 User的<^©, RID>映射关系；
其中， 用户 User与 ASN建立 <AID,RID>映射关系， 并汇报给 ILR的目 的是为了说明 User附着在该 ASN上， 方便其他用户和 ASN根据该用户的 AID向 ILR查询得到对应的 RID信息，进而根据查询到的 RID信息发送 4艮文 到该 ASN。
S270JLR记录或更新该 User的<^©, RID>映射关系后， 向 ASN返回汇 报映射关系响应信息。
此后， ILR在接收到其他 ASN对该用户的映射关系查询请求后， 将该用 户的 AID所对应的 RID返回给查询方， 即发起查询请求的 ASN。
需要说明的是， 上述步骤中， S260和 S270也可以在 S250之前实现， 实 现的前后顺序取决于 ASN的内部实现方法。
图 3所示为用户在公共设备上上网的报文转发流程。 用户在公共设备上 的上网行为与用户在自身设备上的上网行为基本一致， 符合网络管理者和监 管机构对用户的追踪和溯源需求， 同时也解决了用户网络层 AID和应用层业 务之间的绑定问题。 其不同之处在于 ASN需要统计公共设备的流量， 以实现 对公共设备的管理。 该流程具体包括如下步骤：
S300, Userl在公共设备上向 User2发送通信请求报文，报文中的源 AID 为虚拟 AID ( Userl的 AID ) ；
其中， 公共设备除了具有本身的 AID之外， 其系统还允许在公共设备上 成功接入网络的用户将其 AID附着在公共设备上。 也就是说， 当用户的 AID 附着在公共设备上时，公共设备收发报文所用的 AID都是该用户的虚拟 AID, 而非公共设备的本身 AID。 当用户退出网络时，虚拟 AID也将被删除， 此后， 公共设备收发报文所用的 AID是本身的 AID。
S310, ASN1接收到来自公共设备的报文， 根据 ASN设置的附着 User 的 AID的属性检查得源 AID为虚拟 AID后， 用所述 AID查询 Userl与公共 设备的 AID映射表，查询得到公共设备的 AID,并对公共设备进行流量统计；
S320, ASN1根据 Userl的通信请求报文中的目的 AID, 即 User2的 AID 向 ILR查询得到对应的 RID ( ASN2的 RID ) , 并可将 ASN1的 RID作为源 RID, 将 ASN2的 RID作为目的 RID封装在报文中， 路由转发到 ASN2;
S330, ASN2收到上述>¾文后，解除封装的 RID后转发 Userl的通信请求 才艮文到 User2;
S340, User2 回复 Userl 的通信请求， 回复 4艮文中的源地址为 User2 的 AID, 目的地址为 Userl的 AID;
S350, ASN2在回复报文中封装源 RID( ASN2的 RID )和目的 RID( ASN1 的 RID )后， 转发到 ASN1；
本示例是以 Userl向 User2发起通信为例进行描述，如果是 User2向 Userl 发起通信， 则 ASN2根据 User2的通信请求报文中的目的地址， 即 Userl的 AID查询 ILR,得到对应的 ASN1的 RID后，封装在报文中，转发路由到 ASN1 , 其通信流程与本示例相似， 在此不再赘述。
S360, ASN1接收到来自 ASN2的 4艮文， 检查得到目的 AID为虚拟 AID, 然后用所述 AID查询 Userl与公共设备的 AID映射表， 查询得到公共设备的 AID, 并对公共设备进行流量统计；
S370, ASN1 解除报文中封装的 RID后， 将 User2 的回复报文转发给 Userl。
至此， 用户在公共设备上的报文转发流程结束。
需要说明的是， ASN1利用 Userl与公共设备的 AID映射表， 查询得到 公共设备的 AID, 进行流量统计只是其中功能之一。 ASN1根据 AID映射表 可以实现的功能不限于流量统计， 还包括记录 Userl接入网络的具体位置、 对公共设备计费等功能。
图 4所示为 ASN处理来自公共设备的报文流程。在该示例中， ASN需要 检查源 AID是否是公共设备的 AID, 如果是， 需要禁止公共设备直接访问非 AC的目的地。 该流程具体包括如下步骤： S400,ASN接收到来自公共设备（例如网吧 PC ) 的报文；
S410,ASN提取报文中的源 AID, 判断是否是公共设备的 AID, 如果是， 跳转到 S420步骤； 如果不是， 跳转到 S430步骤；
其中， ASN可以根据其上所有的 AID的列表查到所述源 AID, 再通过查 看该源 AID的属性， 判断该源 AID是否是公共设备。 AID的属性可能有很多 种， 例如上述的公共设备的属性， 以及， 虚拟 AID, 需要重定向的 AID, 等 等。
此外， AID还可以通过其他多种方式判断上述源 AID是否是公共设备， 例如， ASN可以对其上所有公共设备的 AID进行备案， 并单独保存为公共设 备的 AID列表； 在收到报文时， 根据备案的公共设备的 AID列表判断该源 AID是否是公共设备， 等等。 此处不再逐一列举。
S420,ASN判断该报文的目的地是否 AC, 如果是， 跳转到 S470步骤， 正常转发报文； 如果不是， 跳转到 S460步骤， 丟弃报文；
S430,如果该 AID不是公共设备的 AID, ASN判断该 AID属性是否虚拟 用户， 即是否用户在公共设备上接入网络的虚拟 AID, 如果是， 跳转到 S440 步骤； 如果不是， 跳转到 S470步骤， 正常转发；
S440,根据用户在公共设备上接入网络的虚拟 AID, 查询是否有对应的与 公共设备 AID之间的 AID映射表存在， 如果有 AID映射表， 则跳转到 S450 步骤； 如果没有， 则跳转到 S460步骤， 丟弃 文；
S450,ASN根据查询到的 AID映射表， 对公共设备进行流量统计； 转向 步骤 470;
S460, 丟弃报文； 结束；
S470,正常转发报文。 需要说明的是， S470由步骤 S420,S430或者 S450 跳转而来。
至此， ASN处理来自公共设备的 ^艮文流程结束。
图 5所示为 ASN处理来自其他 ASN的报文的流程。 在该示例中， ASN 需要判断目的 AID是否在公共设备上接入网络的用户虚拟 AID。 该流程具体 包括如下步骤：
S500, ASN接收到其他 ASN的报文；
S510, ASN提取 文的源 AID和目的 AID, 判断目的 AID是否为公共 设备 AID, 如果是， 跳转到 S520步骤； 如果不是， 跳转到 S530步骤；
S520, ASN判断该报文是否来自 AC, 如果是， 跳转到 S570步骤， 正常 转发报文； 如果不是， 跳转到 S560步骤， 丟弃报文；
S530, ASN判断该报文的目的 AID是否在公共设备上接入网络的用户虚 拟 AID, 如果是， 则跳转到 S540步骤； 如果不是， 则跳转到 S570步骤， 正 常转发报文；
S540,若报文的目的 AID是在公共设备上接入网络的用户虚拟 AID, ASN 根据该 AID查询是否有与公共设备 AID之间的 AID映射表， 如果有， 跳转 到 S550步骤； 如果没有， 跳转到 S560步骤， 丟弃 文；
S550, ASN根据公共设备的 AID统计公共设备的流量； 转向步骤 570;
S560, ASN丟弃报文； 结束；
S570, ASN正常转发报文。 需要说明的是所述步骤由步骤 S520、 S530和
S550跳转而来。
至此， ASN处理来自其他 ASN的报文流程结束。
图 6所示为用户离线的流程。 用户已经在公共设备上接入网络， 处于在 线状态后， 当用户需要离线时， 向 AC发送离线请求， AC、 ILR和 ASN均需 删除与该用户 AID相关的记录。 该流程具体包括如下步骤：
S600, 在公共设备上接入网络的用户 Userl通过 ASN向 AC发送离线请 求；
S610, ASN接收到 Userl的所述离线请求， 转发到 AC处理；
S620, AC接收到来自 Userl的离线请求， 删除 Userl在网络中的在线状 态；
S630, AC向 ASN发送离线请求响应， 通知 ASN删除 Userl相关信息； S640, ASN接收到来自 AC的离线请求响应消息， 解除 Userl的 AID附 着， 同时删除 Userl的 AID与公共设备的 AID之间的 AID映射表；
S650, ASN向 ILR汇才艮 Userl的<^10,1 10>映射关系更新， 请求删除所 i^<AID,RID>映射关系；
S660, ILR删除 Userl的 <AID, RID>映射关系， 向 ASN发送映射关系删 除响应；
S670, ASN向公共设备发送离线成功的响应消息， 删除附着在公共设备 上的 Userl的虚拟 AID。
至此， 用户离线的流程结束。
图 7所示为用户在公共设备上注册账号的流程。 在网络管理者允许的情 况下， 用户可以在公共设备上填写个人真实信息， 直接提交注册账号申请。 用户的真实个人信息在 IIC 由网络管理者事先收集保存， 用于验证用户在线 提交账号申请的真实性。 该流程具体包括如下步骤：
S700, User填写个人信息， 如身份证号、 家庭住址、 工作单位、 密码等 信息， 向 AC发送账号注册申请消息；
S710, ASN向 AC转发账号注册申请消息；
S720, AC接收到账号注册申请消息， 根据此消息中的身份证向 IIC查询 User的真实个人信息；
S730, IIC向 AC返回查询到的 User的真实个人信息；
S740, AC用从 IIC查询到的 User的真实个人信息验证 User提交的账号 注册消息是否有效， 如果有效（例如， 用户在线提供的身份信息， 如身份证 号， 姓名， 密码等与 IIC提供的相应信息一致， 即为有效） ， 则 AC为 User 分配账号、 密码和 AID;
S750, AC向 ASN发送注册请求响应消息；
S760, ASN为 User的 AID附着， 同时创建与公共设备的 AID映射表，并 向 ILR汇 ^艮映射关系； S770, ASN向 User发送注册响应消息，携带 User的 AID ,如果注册成功， User的 AID被虚拟化成公共设备的 AID。 此后， User的一切网络行为的 AID 就是此虚拟 AID。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
以上所述仅为本发明的优选实施例而已， 并不用于限制本发明， 对于本 领域的技术人员来说， 本发明可以有各种更改和变化。 凡在本发明的精神和 原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护 范围之内。
工业实用性
本发明提供的在公共设备上接入网络的方法及系统， 利用用户 AID的全 网唯一性来实现用户在公共设备上接入网络， 且釆用上述实施方案， 充分利 用了身份标识和位置标识分离网络的优越性， 在全网 AID唯一的基础上， 可 以对在公共设备上接入网络的用户进行有效地追踪和溯源。

Claims

权 利 要 求 书
1、一种在公共设备上接入网络的方法，应用于身份标识和位置分离网络， 该方法包括：
接入服务器（ASN )收到用户在公共设备上发送的接入网络请求消息后， 发送到认证中心（ AC ) , 所述接入网络请求消息中至少包括所述用户的账号 和密码；
所述 AC对所述账号和密码的有效性进行验证， 如果验证通过， 则将所 述用户的接入身份标识（AID )发送给所述 ASN; 以及
所述 ASN收到所述用户的 AID后， 推送给所述公共设备， 所述公共设 备将所述用户的 AID作为虚拟 AID,并使用所述虚拟 AID进行所述用户的报 文的收发。
2、 如权利要求 1所述的方法， 所述方法还包括：
所述 ASN收到所述用户的 AID后， 对所述用户的 AID进行附着， 建立 所述用户的 AID与所述 ASN的路由标识 ( RID )的映射关系， 并汇 4艮给所述 用户的身份标识和位置登记寄存器（ILR ) 。
3、 如权利要求 2所述的方法， 所述方法还包括：
所述 ASN收到所述用户的 AID后， 建立所述用户的 AID与所述公共设 备的 AID的映射表。
4、 如权利要求 3所述的方法， 所述方法还包括：
所述 ASN在建立所述用户的 AID与所述公共设备的 AID的映射表的同 时， 将所述用户的 AID属性设置为虚拟 AID, 在收到以所述虚拟 AID为源地 址或目的地址的报文时， 查询所述映射表得到所述公共设备的 AID, 并对所 述公共设备进行流量统计或计费。
5、 如权利要求 1至 4任一权利要求所述的方法， 所述方法还包括：
6、 如权利要求 5所述的方法， 其中，
所述 ASN釆用如 ^ 备：
所述 ASN对所管理的公共设备的 AID进行备案；
在收到报文时， 如果该报文的源地址为已备案的 AID、 且目的地址不是 所述 AC的 AID, 或者， 该报文的目的地址为已备案的 AID, 且源地址不是 所述 AC的 AID, 则丟弃该报文。
7、 如权利要求 2或 3所述的方法， 所述方法还包括： 所述用户在所述公 共设备上接入网络， 在网络中处于在线状态后， 当所述用户离线时，
所述用户在所述公共设备上发送离线请求 ,所述 ASN将该离线请求发送 给所述 AC;
所述 AC删除所述用户在网络中的在线状态后， 向所述 ASN发送离线请 求响应；
所述 ASN解除所述用户的附着，并向所述 ILR请求删除所述用户的 AID 与所述 ASN的 RID的映射关系； 同时， 删除所述用户的 AID与所述与公共 设备的 AID的映射表， 并将所述离线请求响应发送给所述公共设备； 以及 所述公共设备收到所述离线请求响应后， 删除所述用户的虚拟 AID。
8、 如权利要求 1至 4任一权利要求所述的方法， 其中，
所述用户的账号和密码是由网络管理者预先分配， 或者通过在线提交个 人身份信息申请得到； 且在分配所述账号的同时， 为所述用户分配绑定的 AID。
9、 如权利要求 1所述的方法， 所述方法还包括：
所述 ASN接收到接入网络请求消息后， 判断其是否来自公共设备， 如果 该接入网络请求消息不是来自公共设备，则所述 ASN将所述接入网络请求消 息发送给所述 AC,并将所述 AC的接入网络响应转发给所述接入网络请求消 息的发起方。
10、 一种在公共设备上接入网络的系统， 应用于身份标识和位置分离网 络， 该系统包括： 接入服务器（ASN )、 公共设备和认证中心（AC ) , 其中， 所述 ASN设置为， 收到用户在公共设备上发送的接入网络请求消息后， 发送到所述 AC, 所述接入网络请求消息中至少包括所述用户的账号和密码； 且在收到所述 AC发送的所述用户的接入身份标识（ AID )后， 推送给所述公 共设备；
所述 AC设置为， 接收到用户的接入网络请求消息后， 对其中的所述账 号和密码的有效性进行验证， 如果验证通过， 则将所述用户的 AID发送给所 述 ASN;
所述公共设备设置为，根据用户输入的账号和密码向所述 ASN发送接入 网络请求消息， 并在收到所述 ASN推送的所述用户的 AID后， 将所述用户 的 AID作为虚拟 AID , 使用所述虚拟 AID进行所述用户的 4艮文的收发。
11、如权利要求 10所述的系统， 所述系统还包括身份标识和位置登记寄 存器（ILR ) ,
所述 ASN还设置为， 收到所述用户的 AID后， 对所述用户的 AID进行 附着， 建立所述用户的 AID与所述 ASN的路由标识（RID )的映射关系， 并 汇报给所述用户的 ILR;
所述 ILR设置为，保存所述用户的 AID与所述 ASN的 RID的映射关系； 以及， 在接收到其他 ASN根据用户的 AID发起的映射关系查询请求后， 将
12、 如权利要求 10所述的系统， 其中，
所述 ASN还设置为， 收到所述用户的 AID后， 建立所述用户的 AID与 所述公共设备的 AID的映射表。
13、 如权利要求 12所述的系统， 其中，
所述 ASN还设置为， 将所述用户的 AID属性设置为虚拟 AID, 在收到 以所述虚拟 AID为源地址或目的地址的报文时， 查询所述映射表得到所述公 共设备的 AID , 并对所述公共设备进行流量统计或计费。
14、 如权利要求 10至 13任一权利要求所述的系统， 其中， 者设备。
15、 如权利要求 13所述的系统， 其中， 所述 ASN还设置为， 接收到用户的离线请求后， 发送给所述 AC; 以及， 收到离线请求响应后， 解除所述用户的附着， 并向所述 ILR请求删除所述用 户的 AID与所述 ASN的 RID的映射关系， 同时， 删除所述用户的 AID与所 述与公共设备的 AID的映射表，并将所述离线请求响应发送给所述公共设备； 所述 AC还设置为， 收到所述离线请求后， 删除所述用户在网络中的在 线状态后， 向所述 ASN发送离线请求响应；
所述公共设备还设置为， 收到所述离线请求响应后， 删除所述用户的虚 拟 AID。
PCT/CN2010/077882 2010-01-20 2010-10-19 一种在公共设备上接入网络的方法及系统 WO2011088695A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
EP10843735.1A EP2512089B1 (en) 2010-01-20 2010-10-19 Method and system for accessing network through public equipment
ES10843735T ES2776475T3 (es) 2010-01-20 2010-10-19 Método y sistema para acceder a una red a través de un equipo público
JP2012549235A JP5451903B2 (ja) 2010-01-20 2010-10-19 公共設備においてネットワークにアクセスする方法及びシステム
US13/520,609 US8661517B2 (en) 2010-01-20 2010-10-19 Method and system for accessing network through public equipment

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010002849.4 2010-01-20
CN201010002849.4A CN102130887B (zh) 2010-01-20 2010-01-20 一种在公共设备上接入网络的方法及系统

Publications (1)

Publication Number Publication Date
WO2011088695A1 true WO2011088695A1 (zh) 2011-07-28

Family

ID=44268779

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2010/077882 WO2011088695A1 (zh) 2010-01-20 2010-10-19 一种在公共设备上接入网络的方法及系统

Country Status (7)

Country Link
US (1) US8661517B2 (zh)
EP (1) EP2512089B1 (zh)
JP (1) JP5451903B2 (zh)
KR (1) KR20120094958A (zh)
CN (1) CN102130887B (zh)
ES (1) ES2776475T3 (zh)
WO (1) WO2011088695A1 (zh)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102130975A (zh) * 2010-01-20 2011-07-20 中兴通讯股份有限公司 一种用身份标识在公共设备上接入网络的方法及系统
CN104579969B (zh) * 2013-10-29 2019-04-23 中兴通讯股份有限公司 报文发送方法及装置
CN105991785A (zh) * 2015-02-09 2016-10-05 中兴通讯股份有限公司 网络接入用户的追踪方法及装置
CN105610841B (zh) * 2015-12-31 2020-10-23 国网智能电网研究院 一种基于可溯源的用户信息认证方法
CN111970178B (zh) * 2019-05-20 2022-06-14 青岛海尔电冰箱有限公司 家用电器的通信控制方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101119206A (zh) * 2007-09-13 2008-02-06 北京交通大学 基于标识的一体化网络终端统一接入控制方法
CN101123536A (zh) * 2007-09-19 2008-02-13 北京交通大学 实现一体化网络位置管理的方法
CN101127663A (zh) * 2007-09-13 2008-02-20 北京交通大学 一种移动自组织网络接入一体化网络的系统及方法

Family Cites Families (20)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6327037B1 (en) * 1997-11-12 2001-12-04 Chien Chou Optical rotation angle polarimeter
GB2349244A (en) * 1999-04-22 2000-10-25 Visage Developments Limited Providing network access to restricted resources
WO2001071984A1 (en) * 2000-03-20 2001-09-27 At & T Corporation Method and apparatus for coordinating a change in service provider between a client and a server with identity based service access management
CN1243434C (zh) * 2002-09-23 2006-02-22 华为技术有限公司 基于远程认证的网络中实现eap认证的方法
SG108326A1 (en) 2002-10-16 2005-01-28 Ntt Docomo Inc Service verifying system, authentication requesting terminal, service utilizing terminal, and service providing method
KR100645512B1 (ko) 2004-09-30 2006-11-15 삼성전자주식회사 통신 시스템에서 네트워크 접속에 대한 사용자 인증 장치및 그 방법
US7778199B2 (en) * 2005-02-19 2010-08-17 Cisco Technology, Inc. Techniques for customer self-provisioning of edge nodes for a virtual private network
CN1852094B (zh) * 2005-12-13 2010-09-29 华为技术有限公司 网络业务应用账户的保护方法和系统
CN100571125C (zh) * 2005-12-30 2009-12-16 上海贝尔阿尔卡特股份有限公司 一种用于用户设备与内部网络间安全通信的方法及装置
US8064357B2 (en) * 2006-02-06 2011-11-22 At&T Intellectual Property I, L.P. Methods, DSL modems, and computer program products for provisioning DSL service using downloaded username/password
CN101175067A (zh) * 2006-11-02 2008-05-07 华为技术有限公司 一种网络安全实现系统及方法
US9003488B2 (en) * 2007-06-06 2015-04-07 Datavalet Technologies System and method for remote device recognition at public hotspots
EP2051473B1 (en) * 2007-10-19 2018-04-25 Deutsche Telekom AG Method and system to trace the ip traffic back to the sender or receiver of user data in public wireless networks
JP4993122B2 (ja) * 2008-01-23 2012-08-08 大日本印刷株式会社 プラットフォーム完全性検証システムおよび方法
US20090258637A1 (en) * 2008-04-11 2009-10-15 Beijing Focus Wireless Media Technology Co., ltd. Method for user identity tracking
US20100125891A1 (en) * 2008-11-17 2010-05-20 Prakash Baskaran Activity Monitoring And Information Protection
CN102025589B (zh) * 2009-09-18 2015-04-01 中兴通讯股份有限公司 虚拟专用网络的实现方法及系统
CN102035813B (zh) * 2009-09-30 2016-01-20 中兴通讯股份有限公司 端到端呼叫的实现方法、端到端呼叫终端及系统
CN102130975A (zh) * 2010-01-20 2011-07-20 中兴通讯股份有限公司 一种用身份标识在公共设备上接入网络的方法及系统
CN102131197B (zh) * 2010-01-20 2015-09-16 中兴通讯股份有限公司 一种在公共设备上接入网络的方法及系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101119206A (zh) * 2007-09-13 2008-02-06 北京交通大学 基于标识的一体化网络终端统一接入控制方法
CN101127663A (zh) * 2007-09-13 2008-02-20 北京交通大学 一种移动自组织网络接入一体化网络的系统及方法
CN101123536A (zh) * 2007-09-19 2008-02-13 北京交通大学 实现一体化网络位置管理的方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
See also references of EP2512089A4 *

Also Published As

Publication number Publication date
ES2776475T3 (es) 2020-07-30
JP2013517718A (ja) 2013-05-16
EP2512089A4 (en) 2013-06-19
EP2512089A1 (en) 2012-10-17
KR20120094958A (ko) 2012-08-27
US8661517B2 (en) 2014-02-25
JP5451903B2 (ja) 2014-03-26
US20120278874A1 (en) 2012-11-01
CN102130887A (zh) 2011-07-20
CN102130887B (zh) 2019-03-12
EP2512089B1 (en) 2019-12-18

Similar Documents

Publication Publication Date Title
US9954868B2 (en) System and method to associate a private user identity with a public user identity
WO2011088693A1 (zh) 一种在公共设备上接入网络的方法及系统
CN103067337B (zh) 一种身份联合的方法、IdP、SP及系统
WO2011088694A1 (zh) 一种在公共设备上接入网络的方法及系统
JP2009163546A (ja) ゲートウェイ、中継方法及びプログラム
WO2011088695A1 (zh) 一种在公共设备上接入网络的方法及系统
WO2011079650A1 (zh) 即时通讯控制的实现方法和系统
JP4080402B2 (ja) 名前解決・認証方法及び装置
JP3953963B2 (ja) 認証機能付きパケット通信装置、ネットワーク認証アクセス制御サーバ、および分散型認証アクセス制御システム
JP4152753B2 (ja) ネットワーク認証アクセス制御サーバ、アプリケーション認証アクセス制御サーバ、および統合型認証アクセス制御システム
WO2011035577A1 (zh) 一种实现行业应用平台异地多媒体消息发送的方法及系统
WO2012037759A1 (zh) 一种数据传输的方法及永远在线网关系统
KR100986326B1 (ko) 로밍 사용자 세션 관리 방법
WO2011054230A1 (zh) 电子公告板管理方法、系统、终端和服务器
WO2009092225A1 (zh) 网络信息获取方法及通讯系统以及相关设备
WO2011054232A1 (zh) 电子公告板管理方法、系统、终端和服务器

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 10843735

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 13520609

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2010843735

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 20127018790

Country of ref document: KR

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2012549235

Country of ref document: JP