WO2012159503A1

WO2012159503A1 - 一种业务访问控制方法和系统

Info

Publication number: WO2012159503A1
Application number: PCT/CN2012/073729
Authority: WO
Inventors: 成超文; 郭辉
Original assignee: 中兴通讯股份有限公司
Priority date: 2011-05-25
Filing date: 2012-04-10
Publication date: 2012-11-29
Also published as: CN102802169A; CN102802169B

Abstract

本发明公开了一种业务访问控制方法和系统，方法包括：宽带网络策略服务器向家庭网关传递本地控制访问列表信息；家庭网关根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。系统包括：宽带网络策略服务器和家庭网关，宽带网络策略服务器，用于向家庭网关传递本地控制访问列表信息；家庭网关，用于根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。通过本发明，能够保证固网有效的对移动终端业务行为进行控制。

Description

一种业务访问控制方法和系统技术领域

本发明涉及通信领域，尤其涉及一种业务访问控制方法和系统。背景技术

宽带论坛（BBF, Broadband Forum )致力于解决宽带网络发展中所遇到的问题，其主要负责对宽带网络控制（ control )、接入（ access ),家庭（ Home ) 三个领域的研究。 BBF定义的宽带网络架构，如图 1所示，包括：

用户设备（ UE , User Equipment ) , 一般包括电脑、交互式网络电视 ( IPTV )终端等；

用户驻地设备 ( CPE, Customer Premises Equipment ), 包括家庭网关等；商业路由器（ business router )，商业用户通过商业路由器接入宽带网络；接入节点（AN, Access Node ), 终结各种接入技术，上行提供统一的以太汇聚接口；

汇聚点（AGG, Aggreation ), 包括以太汇聚节点和 IP层汇聚设备，以太汇聚节点下行连接多个接入节点，提供流量二层汇聚功能；

IP边缘节点（IP Edge ), —般为宽带网络网关设备（BNG, Broadband Network Gateway );

网络业务提供者（NSP, Network Service Provider ), 为用户提供网络业务；

应用业务提供者（ASP, Application Service Provider ), 为用户提供专属的应用；

策略服务器（Policy server ), 为区域网络提供相应策略。

对于用户、业务的访问控制， BBF定义了宽带网络策略控制框架，如图 2所示，包括：

业务运营域 ( Service provider domain ), 包括 NSP、 ASP, 通过 G接口连接策略服务器；

宽带驻地网络，包括 BNG、数字用户线接入管理设备（DSLAM, Digital Subscriber Line Access Multiplexer ) , 通过 R接口连接策略服务器；

认证授权计费服务器（AAA Server ), 通过 A接口连接策略服务器；网络管理系统（NMS ), 通过 M/Q接口连接策略服务器。

移动运营商为了更好的运营业务、扩大无线覆盖，从节约成本的角度考虑，会租用固网运营商的一段无线局域网（WLAN, Wireless Local Area Networks )接入线路。

对于这种固定移动融合的场景，移动用户可以通过固网分配的本地 IP 地址进行 internet业务的流量固网本地卸载，并访问固网运营商本地业务。例如，移动用户使用家庭网关分配的本地私网地址 192.168.1.2在家庭网关丈网络地址转换（NAT , Network Address Translation )后获取公网地址 202.10.10.1 访问运营商本地业务，由于终端归属于移动网络，固网运营商无法根据 NAT修改后的公用 IP地址识别不同的终端。假设移动用户对未经授权的固网本地业务进行访问或者对不被允许本地卸载的 internet流量进行卸载（offload ), 固网运营商无法有效的对其进行控制。发明内容

有鉴于此，本发明的主要目的在于提供一种业务访问控制方法和系统，以实现固网有效的对移动终端业务行为进行控制。

为达到上述目的，本发明的技术方案是这样实现的：

本发明提供了一种业务访问控制方法，该方法包括：

宽带网络策略服务器向家庭网关传递本地控制访问列表信息；所述家庭网关根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。

较佳的，所述本地控制访问列表信息中包括：允许进行流量本地卸载及授权访问本地业务的 IP地址。

较佳的，所述本地控制访问列表信息中还包括：业务标识信息。

较佳的，该方法还包括：

所述宽带网络策略服务器通过到家庭网关的直接接口，传递所述本地控制访问列表信息到家庭网关。

较佳的，该方法还包括：

所述宽带网络策略服务器通过网络管理系统（NMS ), 传递所述本地控制访问列表信息到家庭网关。

较佳的，该方法还包括：

所述宽带网络策略服务器通过宽带网络网关（BNG ), 传递所述本地控制访问列表信息到家庭网关。

本发明还提供了一种业务访问控制系统，该系统包括：宽带网络策略服务器和家庭网关，其中，

所述宽带网络策略服务器，用于向家庭网关传递本地控制访问列表信所述家庭网关，用于根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。

较佳的，所述宽带网络策略服务器还用于，通过到家庭网关的直接接口，传递所述本地控制访问列表信息到家庭网关。

较佳的，该系统还包括： NMS,所述宽带网络策略服务器通过所述 NMS 传递所述本地控制访问列表信息到家庭网关。

较佳的，该系统还包括： BNG,所述宽带网络策略服务器通过所述 BNG 传递所述本地控制访问列表信息到家庭网关。

本发明所提供的一种业务访问控制方法和系统，通过在带宽网络策略服务器与家庭网关之间传递本地控制访问列表信息，由家庭网关根据该列表信息对移动终端数据进行检测和接入控制，以保证固网有效的对移动终端业务行为进行控制。附图说明

图 1为现有技术中 BBF定义的宽带网络架构的示意图；

图 2为现有技术中 BBF定义的宽带网络策略控制框架的示意图；图 3为本发明一种业务访问控制方法的流程图；

图 4为本发明实施例一的业务访问控制方法的流程图；

图 5为本发明实施例二的业务访问控制方法的流程图；

图 6为本发明实施例三的业务访问控制方法的流程图。具体实施方式

下面结合附图和具体实施例对本发明的技术方案进一步详细阐述。本发明所提供的一种业务访问控制方法，如图 3 所示，主要包括以下步驟：

步驟 301 , 宽带网络策略服务器向家庭网关传递本地控制访问列表信所述本地控制访问列表信息中包括：允许进行流量本地卸载及授权访问本地业务的 IP地址；也可以包括：允许进行流量本地卸载及授权访问本地业务的 IP地址、业务标识信息。

步驟 302, 家庭网关根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。

例如：本地控制访问列表信息为 {S=192.168.1.2, G=*}，表示对于源 IP 地址为 192.168.1.2的移动终端，其所有流量都被允许进行流量本地卸载，且不对移动用户访问固网本地业务进行限制；本地控制访问列表信息为 {S=192.168.1.6, G=x.x.x.x} ,表示对于源 IP地址为 192.168.1.6的移动终端，其所有数据均要求传输到移动本地网内用户隧道端点 X.X.X.X , 禁止进行流量本地卸载；本地控制访问列表信息为 {S=192.168.1.6 , G=x.x.x.xllG=A.B.C.D}，表示对于源 IP地址为 192.168.1.6的移动终端，当目的地址为 A.B.C.D 时，被允许进行流量本地卸载，其余数据都要求传输到移动网；本地控制访问列表信息为 {S=192.168.1.2, T=y}，表示对于源 IP 地址为 192.168.1.2的移动终端，只有业务标识 T为 y时，才允许进行流量本地卸载；本地控制访问列表信息为 {S=192.168.1.2, G=x.x.x.xllG=A.B.C.D, T=y } , 表示对于源 IP地址为 192.168.1.2的移动终端，只有当目的地址为 A.B.C.D且业务标识 T为 y时，才允许进行流量本地卸载。

此外，宽带网络策略服务器可以通过到家庭网关的直接接口，传递所述本地控制访问列表信息到家庭网关；或者，

宽带网络策略服务器通过 NMS, 传递所述本地控制访问列表信息到家庭网关；或者，

宽带网络策略服务器通过 BNG, 传递所述本地控制访问列表信息到家庭网关。

对应上述业务访问控制方法，本发明还提供了一种业务访问控制系统 , 包括：宽带网络策略服务器和家庭网关。其中，宽带网络策略服务器，用于向家庭网关传递本地控制访问列表信息。家庭网关，用于根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。

宽带网络策略服务器进一步用于，通过到家庭网关的直接接口，传递所述本地控制访问列表信息到家庭网关。

该系统还可以包括： NMS , 所述宽带网络策略服务器通过所述 NMS 传递所述本地控制访问列表信息到家庭网关。

该系统还可以包括： BNG, 所述宽带网络策略服务器通过所述 BNG传递所述本地控制访问列表信息到家庭网关。

需要说明的是，在 BBF定义的宽带网络架构中，宽带网络策略服务器即是指宽带策略控制功能实体（ BPCF, Broadband policy control function )。下面结合具体实施例对上述业务访问控制的方法和系统进一步详细说明。

图 4示出了 BPCF通过 NMS传递本地控制访问列表信息到 HGW的流程，主要包括以下步驟：

步驟 401 ,移动网络用户通过宽带驻地网络无线网关接入，用户通过网络认证后，策略与计费功能实体（ PCRF, Policy and Charging Rules Function ) 和 BPCF之间建立 S9*会话， BPCF从 PCRF获取用户归属网络策略信息。

步驟 402, BPCF根据从 PCRF获取的用户归属网络策略信息，结合从带宽网络认证授权计费服务器中获取的运营商之间的签约相关信息，以及宽带承载网络内的本地策略信息，做出移动用户本地控制访问决策，得到移动用户本地控制访问列表信息，例如： {S=192.168.1.6, G=x.x.x.x}，禁止移动用户流量本地卸载。

步驟 403 , BPCF通过 M接口将该移动用户本地控制访问列表信息下发到 NMS。

步驟 404, NMS直接与 HGW交互，下发该移动用户本地控制访问列表信息到 HGW。

步驟 405 , HGW根据该移动用户本地控制访问列表信息，进行移动用户本地控制访问决策安装，并根据所述决策对移动用户进行接入控制。例如： HGW在为移动用户数据做 NAT时，检测生成的控制列表，对于源 IP 地址为 192.168.1.6的移动用户数据，如果其目的 IP地址不为 x.x.x.x, 则全部进行丟弃。

图 5示出了 BPCF通过 BNG传递本地控制访问列表信息到 HGW的流程，主要包括以下步驟：

步驟 501 ,移动网络用户通过宽带驻地网络无线网关接入，用户通过网络认证后， PCRF和 BPCF之间建立 S9*会话， BPCF从 PCRF获取用户归属网络策略信息。

步驟 502, BPCF根据从 PCRF获取的用户归属网络策略信息，结合从带宽网络认证授权计费服务器中获取的运营商之间的签约相关信息，以及宽带承载网络内的本地策略信息，做出移动用户流量本地控制访问决策，得到移动用户本地控制访问列表信息，例如： {S=192.168.1.6, G=x.x.x.x} , 禁止移动用户流量本地卸载。

步驟 503 , BPCF通过 R接口将该移动用户本地控制访问列表信息下发到 BNG。

步驟 504, BNG与 HGW交互，下发该移动用户本地控制访问列表信息到 HGW。

步驟 505, HGW根据该移动用户本地控制访问列表信息，进行移动用户本地控制访问决策安装，并根据所述决策对移动用户进行接入控制。例如： HGW在为移动用户数据做 NAT时，检测生成的控制列表，对于源 IP 地址为 192.168.1.6的移动用户数据，如果其目的 IP地址不为 x.x.x.x, 则全部进行丟弃。

图 6示出了 BPCF通过到 HGW的直接接口传递本地控制访问列表信息到 HGW的流程，主要包括以下步驟：

步驟 601 , 移动网络用户通过宽带驻地网络无线网关接入，用户通过网络认证后， PCRF和 BPCF之间建立 S9*会话， BPCF从 PCRF获取用户归属网络策略信息。

步驟 602, BPCF根据从 PCRF获取的用户归属网络策略信息，结合从带宽网络认证授权计费服务器中获取的运营商之间的签约相关信息，以及宽带承载网络内的本地策略信息，做出移动用户本地控制访问决策，得到移动用户本地控制访问列表信息，例如： {S=192.168.1.6, G=x.x.x.x}，禁止移动用户流量本地卸载。

步驟 603, BPCF通过与 HGW之间的接口将该移动用户本地控制访问列表信息下发到 HGW。

步驟 604, HGW根据该移动用户本地控制访问列表信息，进行移动用户本地控制访问决策安装，并根据所述决策对移动用户进行接入控制。例如： HGW在为移动用户数据做 NAT时，检测生成的控制列表，对于源 IP 地址为 192.168.1.6的移动用户数据，如果其目的 IP地址不为 x.x.x.x, 则全部进行丟弃。

综上所述，本发明通过在带宽网络策略服务器与家庭网关之间传递本地控制访问列表信息，由家庭网关根据该列表信息对移动终端数据进行检测和接入控制，以保证固网有效的对移动终端业务行为进行控制。

以上所述，仅为本发明的较佳实施例，并非用于限定本发明的保护范围。

Claims

权利要求书

1、一种业务访问控制方法，该方法包括：

2、根据权利要求 1所述业务访问控制方法，其中，所述本地控制访问列表信息中包括：允许进行流量本地卸载及授权访问本地业务的网络协议 IP地址。

3、根据权利要求 2所述业务访问控制方法，其中，所述本地控制访问列表信息中还包括：业务标识信息。

4、根据权利要求 1、 2或 3所述业务访问控制方法，其中，该方法还包括：

5、根据权利要求 1、 2或 3所述业务访问控制方法，其中，该方法还包括：

所述宽带网络策略服务器通过网络管理系统 NMS, 传递所述本地控制访问列表信息到家庭网关。

6、根据权利要求 1、 2或 3所述业务访问控制方法，其中，该方法还包括：

所述宽带网络策略服务器通过宽带网络网关 BNG, 传递所述本地控制访问列表信息到家庭网关。

7、一种业务访问控制系统，该系统包括：宽带网络策略服务器和家庭网关，其中，

所述宽带网络策略服务器，用于向家庭网关传递本地控制访问列表信息；

所述家庭网关，用于根据接收的本地控制访问列表信息，对移动终端数据进行接入控制。

8、根据权利要求 7所述业务访问控制系统，其中，所述本地控制访问列表信息中包括：允许进行流量本地卸载及授权访问本地业务的网络协议 IP地址。

9、根据权利要求 8所述业务访问控制系统，其中，所述本地控制访问列表信息中还包括：业务标识信息。

10、根据权利要求 7、 8或 9所述业务访问控制系统，其中，所述宽带网络策略服务器还用于，通过到家庭网关的直接接口，传递所述本地控制访问列表信息到家庭网关。

11、根据权利要求 7、 8或 9所述业务访问控制系统，其中，该系统还包括： NMS, 所述宽带网络策略服务器通过所述 NMS传递所述本地控制访问列表信息到家庭网关。

12、根据权利要求 7、 8或 9所述业务访问控制系统，其中，该系统还包括： BNG, 所述宽带网络策略服务器通过所述 BNG传递所述本地控制访问列表信息到家庭网关。