WO2012167500A1 - 一种隧道数据安全通道的建立方法 - Google Patents

一种隧道数据安全通道的建立方法 Download PDF

Info

Publication number
WO2012167500A1
WO2012167500A1 PCT/CN2011/078083 CN2011078083W WO2012167500A1 WO 2012167500 A1 WO2012167500 A1 WO 2012167500A1 CN 2011078083 W CN2011078083 W CN 2011078083W WO 2012167500 A1 WO2012167500 A1 WO 2012167500A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
authentication
trusted
network identifier
relationship
Prior art date
Application number
PCT/CN2011/078083
Other languages
English (en)
French (fr)
Inventor
李欢
埃雷罗⋅克里斯蒂安
舒林
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to BR112014002742A priority Critical patent/BR112014002742B8/pt
Priority to PCT/CN2011/078083 priority patent/WO2012167500A1/zh
Priority to CN201180001519.6A priority patent/CN103039097B/zh
Publication of WO2012167500A1 publication Critical patent/WO2012167500A1/zh
Priority to US14/173,073 priority patent/US9438594B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0892—Network architectures or network communication protocols for network security for authentication of entities by using authentication-authorization-accounting [AAA] servers or protocols
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/02—Protecting privacy or anonymity, e.g. protecting personally identifiable information [PII]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/50—Secure pairing of devices
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W92/00—Interfaces specially adapted for wireless communication networks
    • H04W92/04—Interfaces between hierarchically different network devices
    • H04W92/14—Interfaces between hierarchically different network devices between access point controllers and backbone network device

Definitions

  • Embodiments of the present invention relate to the field of communications technologies, and, more particularly, to an evolved packet system
  • 3GPP Global System for Mobile Communications
  • SAE System Architecture Evolution
  • EPS evolved packet system
  • the S2c interface uses the Mobile IPv6 Support for Dual Stack Hosts (DSMIPv6) protocol, which can be used for trusted or non-trusted non-3GPP access networks to access the EPS network.
  • DSMIPv6 Mobile IPv6 Support for Dual Stack Hosts
  • PDN-GW Packet Data Network Gateway, or PGW.
  • the 3GPP defines that after establishing the DSMIPv6 tunnel between the UE and the PDN-GW, the PDN-GW may initiate establishment of a child SA (Child SA) with the UE ( Child Security Association (Child Security Association) protects the data plane; but when the UE accesses the EPC from the non-trusted non-3GPP access network, the UE and the non-3GPP access gateway ePDG (evolved PDG, evolved packet data gateway) An IPSec secure channel is set up to secure the data packets between the UE and the PDN-GW through the IPSec secure channel.
  • a child SA Child SA
  • UE Child Security Association
  • ePDG evolved packet data gateway
  • the child SA can be established on the S2c tunnel to protect the integrity and confidentiality of the data plane; when accessed in the untrusted manner, it will be between the UE and the ePDG.
  • the IPSec secure channel provides data integrity protection and confidentiality protection.
  • the PDN-GW needs to distinguish between the trusted access and the non-trusted access scenario to complete the establishment process of different data security channels.
  • the PDN-GW cannot determine whether the current UE is accessed from a trusted non-3GPP access network or a non-trusted non-3GPP access network, and thus cannot correctly select a correct S2c tunnel data security channel establishment method. Summary of the invention
  • the embodiment of the invention provides a method and a device for establishing a data security channel of an S2c tunnel, which can ensure the establishment of a correct S2c tunnel data security channel.
  • a method for establishing a data security channel including: sending an authentication authentication request message to an authentication device, and receiving an authentication authentication response message sent by the authentication device, where the authentication response is The message includes a trusted relationship cell, which is used to indicate the trusted relationship of the current access, and establishes an S2c tunnel security association according to the trusted relationship of the current access.
  • the authentication authentication device Before the receiving the authentication authentication response message sent by the authentication device, the authentication authentication device further determines the current access according to the configured policy or the trusted relationship stored when the non-3GPP access side initiates the authentication authentication request. Trusted relationship of the network.
  • a method for establishing a data security channel includes: receiving an authentication authentication request message of a gateway device, and determining a current according to a configured policy or a trusted relationship stored when a non-3GPP access side initiates an authentication authentication request And the trusted authentication response message is sent to the gateway device, where the authentication authentication response message includes a trusted access information element used to indicate the trusted relationship of the current access, so that the gateway device is configured according to the Indicates the establishment of a secure channel for the S2c tunnel data.
  • an authentication authentication device including: a receiving unit, configured to receive an authentication authentication request for non-3GPP access; and an authentication unit, configured to authenticate an authentication authentication request received by the receiving unit, Determining a trusted relationship of the current access according to the configured policy or a trusted relationship stored when the authentication request is initiated by the non-3GPP access side; the sending unit is configured to send a corresponding authentication response message to the PDN-GW, the message The trusted access cell is included to indicate the trusted relationship of the current access.
  • a gateway device including: a sending unit, configured to send an authentication authentication request message, and a receiving unit, configured to receive a response message of the authentication and authentication device to the authentication authentication request, where the message includes a trusted relationship
  • the cell is used to indicate the trusted relationship of the current access;
  • the SA establishing unit is configured to establish a data secure channel of the S2c tunnel according to the trusted relationship of the current non-3GPP access indicated in the response message received by the receiving unit.
  • the UE enters the EPC from the S2c interface by the non-3GPP access network, the UE receives the authentication authentication response message, and establishes a data security channel according to the trusted relationship of the current access network indicated in the message to ensure correct operation. Data security channel.
  • Figure 1 shows the non-3GPP access network in the non-roaming scenario specified by the 3GPP using the S2c interface.
  • FIG. 2 is a method for establishing a secure channel for a non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • FIG. 3 is a diagram of a method for establishing a secure channel for a non-3GPP access network to access an EPS network using an S2c interface according to another embodiment of the present invention.
  • FIG. 4 is a schematic flowchart of a secure channel establishment process for a trusted non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • FIG. 5 is a schematic flowchart of a secure channel establishment process for a trusted non-3GPP access network to access an EPS network by using an S2c interface according to another embodiment of the present invention.
  • FIG. 6 is a schematic flowchart of a secure channel establishment process of a non-trusted non-3GPP access network using an S2c interface to access an EPS network according to another embodiment of the present invention.
  • FIG. 7 is a schematic flowchart of a secure channel establishment process of a non-trusted non-3GPP access network using an S2c interface to access an EPS network according to another embodiment of the present invention.
  • FIG. 8 is a schematic flowchart of a secure channel establishment process for a non-3GPP access network to access an EPS network by using an S2c interface according to another embodiment of the present invention.
  • FIG. 9 is a block diagram of an authentication authentication apparatus in accordance with one embodiment of the present invention.
  • FIG. 10 is a block diagram of a gateway in accordance with one embodiment of the present invention. detailed description
  • Figure 1 is a system architecture diagram of a 3GPP-defined non-3GPP access network using an S2c interface to access an EPS network.
  • the embodiments of the present invention are applicable to the EPS network architecture shown in FIG. 1.
  • the S2c interface can be used to access the EPS network by non-3GPP access networks.
  • the UE will connect directly to the PDN-GW through the non-3GPP access network; and for the untrusted non-3GPP access network, the UE needs to pass the evolved packet data gateway ePDG trusted by the home network, and then Connect to the PDN-GW network element.
  • ePDG evolved packet data gateway
  • the PDN-GW When the UE authenticates the authentication through the PDN-GW from the S2c interface, if the trusted non-3GPP access network accesses the EPC, the PDN-GW needs to initiate the establishment of the child security association child SA to protect the data plane; if the UE is When accessing the EPC from the non-trusted non-3GPP access network, the PDN-GW establishes a DSMHV6 secure channel through the IPSec channel between the UE and the ePDG to protect the integrity and confidentiality of the data.
  • the PDN-GW needs to know whether the current UE is accessing from a trusted non-3GPP access network or a non-trusted non-3GPP access network is a prerequisite for selecting a correct S2c tunnel data security channel establishment mode.
  • the authentication and authentication device determines the trusted relationship of the current access, and sends the PDN-GW to the PDN-GW.
  • the PDN-GW selects a method for establishing a data security channel according to the indication.
  • the PDN-GW performs the correct secure channel establishment process.
  • the authentication authentication device in the embodiment of the present invention is exemplified by an AAA (Authentication Authorization Accounting) server, and may be implemented by other devices such as an HSS (Home Subscriber Server).
  • the authentication device in the example. 2 is a method for establishing a secure channel for a non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • the non-3GPP access side here may be a non-3GPP access network or an ePDG.
  • the AAA server determines whether the current access is a trusted access or a non-trusted access according to the parameter, and the parameter includes one or more of the following: The ANID, the visited network identifier, the Visited Network Identity (which is required only in the roaming scenario), the access type, and the security mechanism used in the access network, and sends the above judgment result to the non-3GPP in the authentication authentication response message. Enter the network, and will be trusted
  • the corresponding relationship between the incoming result and the UE identifier is stored, and may also be stored together with the corresponding relationship of the network identifier.
  • the AAA server determines that the current access is a trusted access or the current authentication request is a non-3GPP access network access authentication process, and sends the result in the authentication authentication response message.
  • the non-3GPP accesses the network, the correspondence between the result of the trusted access and the UE identity, and/or the network identity is not stored.
  • the non-collected storage may be stored at this time.
  • the AAA server stores the currently accessed non-trusted connection regardless of whether the stored information of the currently accessed non-trusted access result and the corresponding relationship between the UE identifier and the network identifier is stored.
  • the result is associated with the UE identity and/or network identity.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the PDN-GW receives an authentication authentication request sent by the PDN-GW, and determine a trusted relationship of the current access, that is, whether the current access is a trusted access or an untrusted access.
  • the PGW sends an authentication request message to the AAA server, and the information of the APN (Access Point Name) and the PGW is registered.
  • the request message includes the UE identifier, and may also include the visited network identifier (the identifier is only in the roaming scenario). Required), access type, access network identity, security mechanism used within the access network, etc.
  • the AAA server compares with the stored trusted access information according to the UE identifier and/or the network identifier. If the stored information indicates that the trusted access is trusted access, the current access is determined to be trusted access, and vice versa, such as storage. If the information is untrusted access, it is determined that the current access is an untrusted access.
  • the AAA server does not store information about whether the current access is trusted, the current access is considered to be trusted access.
  • the AAA server can directly compare the stored identity information with the stored trusted access information according to the UE identifier and/or the network identifier, for example, If the currently accessed trusted access information is not stored, the current access is considered to be trusted access, otherwise it is untrusted access.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the AAA server sends an authentication authentication response message to the PGW, including the trusted relationship cell, which is indicated as trusted access.
  • the PGW may initiate a Child SA establishment process with the UE at any time. If the UE initiates a Child SA establishment request, the PGW accepts the request. Conversely, after receiving the trusted relationship cell indication as non-trusted access, the PGW does not initiate the Child SA establishment process, and rejects the Child SA establishment request sent by the UE.
  • the PGW when the authentication request of the non-3GPP access side is processed, whether the result of the trusted access is stored, and when the authentication request sent by the PDN-GW is subsequently received, according to the stored The result of the access is determined, and the current access is determined to be a trusted access, and the PGW is notified of the trusted relationship information in the response message, so that the PGW can correctly establish the S2c tunnel security association.
  • FIG. 3 is a diagram of a method for establishing a secure channel for a non-3GPP access network to access an EPS network using an S2c interface according to another embodiment of the present invention.
  • the 301 Receive an authentication authentication request sent by the PDN-GW, and determine a trusted relationship that is currently accessed, that is, whether the current access is a trusted access or an untrusted access.
  • the PGW sends an authentication request message to the AAA server to register the information of the APN and the PGW.
  • the request message includes the UE identifier, the visited network identifier (which is required only in the roaming scenario), the access type, and possibly the access. Web logo, etc.
  • the AAA server determines whether the current access is a trusted access or a non-trusted access according to one or more of the following parameters: the UE identifier, the visited network identifier Visited Network Identity (which is required only in the roaming scenario), and the connection
  • the network access identifier ANID the access type, the security mechanism used in the access network, and the configured policy determine whether the current access is trusted access.
  • the foregoing policy includes the correspondence between the information such as the visited network identifier and/or the access network identifier and the trusted relationship.
  • the current access is determined to be a trusted access. Conversely, if the information in the policy indicates that the access is untrusted, the current access is determined to be an untrusted access.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the 302. Determine, according to the received trusted relationship of the current access, an establishment manner of the S2c tunnel security association.
  • the AAA server sends an authentication authentication response message to the PGW, including the trusted relationship cell, which is indicated as trusted access.
  • the PGW may initiate a Child SA establishment process with the UE at any time. If the UE initiates a Child SA establishment request, the PGW accepts the request. Conversely, after receiving the trusted relationship cell indication as non-trusted access, the PGW does not initiate the Child SA establishment process, and if the Child SA sent by the UE is received, Request, then reject.
  • the embodiment of the present invention determines whether the current access is a trusted access according to the configured policy, and notifies the PGW whether the trusted access information is sent in the response message, so that the PGW can Establish the S2c tunnel security association correctly.
  • FIG. 4 is a schematic flow chart of a method for establishing a data security channel for a trusted non-3GPP access network to access an EPS network using an S2c interface according to an embodiment of the present invention.
  • the UE sends an EAP-RSP authentication request message to the trusted non-3GPP access network.
  • the trusted non-3GPP access network sends an authentication request to the AAA server, where the access network identifier ANID, the access type, and the security mechanism parameters used in the access network are also included.
  • the authentication authentication request is forwarded from the access network to the AAA server through the AAA proxy, and the authentication authentication request further includes the visited network identifier Visited Network Identity.
  • the AAA server determines whether the current access is trusted access or non-trusted access according to the received parameters, and the parameters include one or more of the following: an access network identifier ANID, and a visited network identifier Visited Network Identity (the identifier) Required only in roaming scenarios), access type, security mechanisms used in access networks, etc.
  • the result of the trusted access is stored together with the UE identity, the network identity, or both.
  • the AAA server determines that the current access is a non-3GPP access network access or is a trusted access, and does not store the correspondence between the result of the trusted access and the UE identifier and/or the network identifier.
  • the network identifier saved in the foregoing process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the AAA server sends an authentication authentication response message to the trusted non-3GPP access network, where the trusted access result is included.
  • the trusted non-3GPP access network sends an EAP-REQ authentication response message to the UE, where the trusted access result is included.
  • the UE triggers an L3 (Level 3, Layer 3) access procedure.
  • the UE establishes an L3 connection with the trusted non-3GPP access network, and obtains a local IP address CoA from the access network.
  • the UE sends a security association establishment request to the PDN-GW to establish a relationship between the UE and the PDN-GW.
  • the SA of the DSMIPv6 the security association establishment request may specifically establish a request message for the security association such as an IKE authentication request, and the message includes the APN information.
  • the PGW sends an authentication request message to the AAA server, and the APN (Access Point Name) and the PGW information are included.
  • the request message includes the UE identifier, the access type, and the access network identifier. Security mechanisms used in the network, etc. If it is a roaming scenario, the request message also needs to include the visited network identifier.
  • the AAA server compares the UE identity and/or the network identity with the stored trusted access information. If the stored information is trusted access, it determines that the current access is trusted access.
  • the AAA server does not store information about whether the current access is trusted, the current access is considered to be trusted access.
  • the AAA server may directly compare the stored identifier information according to the UE identifier and/or the network identifier with the stored trusted access information. If there is no information about whether the current access is trusted or not, the current access is considered to be trusted access, otherwise it is untrusted access.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the AAA server sends an authentication authentication response message to the PGW, where the trusted relationship cell includes a value of "trusted” or “non-trusted”, and the indication is "trusted", indicating that the current trusted connection is In.
  • the PGW sends a security association establishment response message to the UE, where the PGW includes an IP address allocated by the PGW to the UE.
  • the PGW may initiate a Child SA establishment process with the UE at any time after indicating the trusted access. If a Child SA establishment request initiated by the UE is received, the request is accepted to establish a Child SA.
  • FIG. 5 is a schematic flowchart of a method for establishing a data security channel for a trusted non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • the UE triggers an L3 access process.
  • the UE establishes an L3 connection with the trusted non-3GPP access network, and obtains a local IP address CoA from the access network.
  • the UE sends a security association establishment request to the PDN-GW to establish a DSMIPv6 SA between the UE and the PDN-GW.
  • the security association establishment request may specifically be an IKE authentication request and other security association establishment request message, where the message includes the APN information. . 503.
  • the PGW sends an authentication request message to the AAA server, and the APN and the PGW information are registered.
  • the request message includes the UE identifier, the access type, and the access network identifier. In the case of a roaming scenario, the request message also needs to include the visited network identifier.
  • the AAA server does not find whether the stored current access is a trusted access according to the UE identifier and/or the network identifier, and considers that the current access is a trusted access.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the AAA server sends an authentication authentication response message to the PGW, where the trusted relationship cell includes a value of "trusted” or “non-trusted”, and the indication is "trusted", indicating that the current trusted connection is performed.
  • the trusted relationship cell includes a value of "trusted” or “non-trusted”, and the indication is "trusted”, indicating that the current trusted connection is performed.
  • the PGW sends a security association establishment response message to the UE, where the PGW includes an IP address allocated by the PGW to the UE.
  • the PGW may initiate a Child SA establishment process with the UE at any time after the indication is trusted access. If a Child SA establishment request initiated by the UE is received, the request is accepted to establish a Child SA.
  • FIG. 6 is a schematic flowchart of a secure channel establishment process for a non-trusted non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • the terminal sends an EAP-RSP authentication request message to the non-trusted non-3GPP access network.
  • the non-trusted non-3GPP access network sends an authentication request to the AAA server, where the authentication request includes an access network identifier ANID, an access type, and may include a security mechanism parameter used in the access network.
  • the authentication request submitted by the access network needs to be forwarded to the AAA server through the AAA proxy, and the request includes the visited network identifier Visited Network Identity.
  • the AAA server determines whether the current access is trusted access or non-trusted access according to the parameters in the authentication request, and the parameters include one or more of the following: an access network identifier ANID, and a visited network identifier Visited Network Identity ( This identifier is only required in the roaming scenario, the access type, and the security mechanism used in the access network.
  • the result of the non-trusted access is stored together with the UE identity and/or network identity and correspondence.
  • the AAA server determines that the current access is a non-3GPP access network access, and does not store the result of the non-trusted access and the UE identity and/or network identity and correspondence.
  • the network identifier saved in the foregoing process includes the visited network identifier (the identifier is only in the roaming scenario) Information required, or access type, or access network identity.
  • the AAA server sends an authentication authentication response message to the non-trusted non-3GPP access network, where the non-trusted access result is included.
  • the non-trusted non-3GPP access network sends an EAP-REQ authentication response message to the UE, where the non-trusted access result is included.
  • the UE sends an IKE authentication request to the ePDG, requesting to establish an IPSec tunnel between the UE and the ePDG.
  • the ePDG sends an authentication request to the AAA server.
  • the authentication request is forwarded by the AAA proxy. If the AAA server does not store the correspondence between the currently accessed non-trusted access and the UE identifier and/or the network identifier, the non-trusted access result of the access and the UE identifier and/or the network identifier are stored at this time. Correspondence, otherwise the above information will not be saved.
  • the AAA server stores the non-trusted connection of the current access regardless of whether the storage information of the currently accessed non-trusted access result and the corresponding relationship between the UE identifier and the network identifier is stored. Correspondence between the result and the UE identity and/or network identity.
  • the network identifier saved in the foregoing process includes one or more of the following information: an access network identifier, a security mechanism used in the access network, and an access type, and if it is a roaming scenario, the visited network identifier is also included.
  • the AAA server sends an authentication authentication response message to the ePDG.
  • the ePDG sends an IKE authentication response message to the UE.
  • the UE sends a security association establishment request to the PDN-GW to establish a DSMIPv6 SA between the UE and the PDN-GW.
  • the security association establishment request may be a security association establishment request message, such as an IKE authentication request, including the APN information.
  • the PGW sends an authentication request message to the AAA server, and registers the APN and the PGW information, where the request message includes the UE identifier.
  • the network identifier may also include one or more of the following information: an access network identifier, a security mechanism used in the access network, and an access type, and a roaming scenario, and a visited network identifier.
  • the AAA server determines that the current non-trusted access is based on the UE identity and/or the network identity and the stored trusted access correspondence.
  • the AAA server sends an authentication authentication response message to the PGW, where the trusted relationship cell includes a value of "trusted” or “non-trusted”, and the indication is "non-trusted", indicating that the current is non-trustable. Letter access.
  • the PGW After receiving the message indicating that the device is not trusted, the PGW does not initiate the Child SA establishment process. If the Child SA establishment request sent by the UE is received, the PGW rejects. The way to refuse can The reason value in Notify Payload in the response message of the Child SA setup request indicates "NO_ADDITIONAL S AS ", or "NO_Child_SAS", or other reason value, indicating that the establishment of the Child SA is no longer received.
  • the PGW sends a security association setup response message to the UE, where the PGW includes an IP address allocated by the PGW to the UE.
  • FIG. 7 is a schematic flowchart of a secure channel establishment process for a non-trusted non-3GPP access network to access an EPS network by using an S2c interface according to an embodiment of the present invention.
  • the UE sends an IKE authentication request to the ePDG, requesting to establish an IPSec tunnel between the UE and the ePDG.
  • the ePDG sends an authentication request to the AAA server.
  • the authentication request is forwarded by the AAA proxy.
  • the AAA server finds that the correspondence between the currently accessed non-trusted access and the UE identifier and/or the network identifier is not stored, and the corresponding relationship between the accessed non-trusted access result and the UE identifier and/or the network identifier is stored.
  • the AAA server stores the non-trusted connection of the current access regardless of whether the storage information of the currently accessed non-trusted access result and the corresponding relationship between the UE identifier and the network identifier is stored. Correspondence between the result and the UE identity and/or network identity.
  • the AAA server sends an authentication authentication response message to the ePDG.
  • the ePDG sends an IKE authentication response message to the UE.
  • the UE sends a security association establishment request to the PDN-GW to establish a DSMIPv6 SA between the UE and the PDN-GW.
  • the security association establishment request may be a security association establishment request message, such as an IKE authentication request, including the APN information.
  • the PDN-GW sends an authentication authentication request message to the AAA server, registering the APN and
  • the PDN-GW information includes a UE identifier in the request message.
  • the network identifier may also include one or more of the following information: an access network identifier, a security mechanism used in the access network, an access type, and a roaming scenario, and a visited network identifier.
  • the AAA server determines that the current non-trusted access is based on the UE identity and/or the network identity and the stored trusted access correspondence.
  • the AAA server sends an authentication authentication response message to the PGW, where the trusted relationship cell includes a value of “trusted” or “untrusted”, and the indication is “untrusted”, indicating that the current is non-trustable. Letter access.
  • the PGW After receiving the message indicating that the device is not trusted, the PGW does not initiate the Child SA establishment process. If the Child SA establishment request sent by the UE is received, the PGW rejects.
  • the way to reject can be: Cause value indication in Notify Payload in the response message of the Child SA setup request "NO_ADDITIONAL S AS " , or "NO_Child_SAS" , or other reason value, means that the establishment of Child SA is no longer accepted.
  • the PGW sends a security association setup response message to the UE, where the PGW includes an IP address allocated by the PGW to the UE.
  • the UE sends a security association establishment request to the PGW to establish a DSMIPv6 SA between the UE and the PDN-GW.
  • the security association establishment request may be a security association establishment request message, such as an IKE authentication request, including the APN information.
  • the PGW sends an authentication authentication request message to the AAA server, and registers the APN and the PGW information, where the request message includes the UE identifier.
  • the network identifier may also include one or more of the following information: an access network identifier, a security mechanism used in the access network, an access type, and a roaming scenario, and a visited network identifier.
  • the AAA server determines whether the current access is trusted access according to the configured policy, and the policy includes the correspondence between the network identifier and the trusted relationship.
  • the determining method may be: the AAA server determines the trusted relationship of the current access network according to the network identifier in the authentication request message and the configured policy. If the access authentication identifier is not included in the authentication authentication request message, the AAA server industry may also need to construct an access network identifier according to the access type identifier.
  • the specific method is as follows:
  • the access type is generally an integer type representation, such as 0 for WLAN and 2001 for HRPD.
  • the access network prefix is a string such as "WLAN" or "HRPD".
  • the AAA server knows the specific access type description corresponding to the integer of the access type according to the access type, and uses a string to indicate The prefix of the access network identifier.
  • the access network identifier may have no additional strings other than the prefix, or the generation rules are determined by the AAA server itself.
  • the determining method may be implemented in the following manner:
  • the policy includes a record of the trusted relationship and the non-trusted relationship, and the configured policy data table is configured, and if the trusted relationship corresponding to the network identifier is trusted access, the current access is determined to be If the trusted access is a non-trusted access, the current access is determined to be an untrusted access.
  • the AAA server sends an authentication authentication response message to the PGW, where the trusted relationship cell includes a value of “trusted” or “non-trusted”, indicating that the current access is a trusted access or a non-trusted access. .
  • the PGW receives the currently trusted relationship message and determines the S2c tunnel security association. Style. If it is a trusted access, the Child SA establishment process with the UE may be initiated at any time. If the Child SA establishment request initiated by the UE is received, the request is accepted to establish a Child SA; The Child SA establishment process is no longer initiated.
  • the rejection may be:
  • the reason value in the Notify Payload in the response message of the Child SA establishment request indicates "NO_ADDITIONAL_SAS", or "NO_Child_SAS” , or other reason value, means that the establishment of Child SA is no longer accepted.
  • the PGW sends a security association establishment response message to the UE, where the PGW includes an IP address allocated by the PGW to the UE.
  • FIG. 9 is a block diagram of an authentication authentication apparatus in accordance with one embodiment of the present invention.
  • a non-limiting example of the authentication authentication device 90 of FIG. 9 is the HSS/AAA device shown in FIGS. 4-8, including a receiving unit 91, an authentication unit 92, and a transmitting unit 93.
  • the receiving unit 91 receives an authentication authentication request sent by the non-3GPP access side (non-3GPP access network or ePDG) or the PDN-GW when the UE accesses the EPS network through the S2c interface.
  • the authentication unit 92 performs authentication authentication on the access: for the authentication authentication request sent by the non-3GPP access side, the authentication unit determines whether the current access is a trusted access, and records the trusted access result and the UE identifier. Corresponding relationship between the network identifier or the two; for the authentication authentication request sent by the PDN-GW, the authentication unit determines the current relationship according to the configured policy or the correspondence between the trusted access results recorded during the authentication of the access side authentication Whether the access is trusted access.
  • the sending unit 93 is configured to send, according to the trusted access result determined by the authentication unit, a trusted access cell to the PDN-GW, indicating whether it is a trusted access.
  • the embodiment of the present invention receives the authentication authentication request sent by the PDN-GW according to the configured policy or the previous access side (non-3GPP access network or ePDG) And determining whether the current access is a trusted access, and transmitting the trusted access result to the PDN-GW, thereby causing the PDN-
  • the GW can obtain information about whether the current access is trusted access, and implement the S2c tunnel data security channel correctly when the UE accesses the EPS network from the non-3GPP access network through the S2c interface.
  • the method may be determined according to the access network identifier in the authentication authentication request message. Visiting network identifier), querying the configured policy to determine the trusted relationship of the current access network. If the access network identifier is not included in the authentication request message, the access network identifier needs to be constructed according to the access type identifier.
  • the access type is generally an integer type representation, such as a 0 table.
  • WLAN, 2001 indicates HRPD, etc.
  • the access network prefix is a string such as "WLAN" and "HRPD".
  • the authentication unit 92 searches the table for the specific access type description corresponding to the integer of the access type according to the access type, and uses a string to indicate The prefix of the access network identifier.
  • the access network identifier may have no additional strings other than the prefix, or the generation rules are determined by the AAA server itself.
  • the foregoing policy includes the correspondence between the access network identifier (the network identifier that needs to be visited in the roaming scenario) and the trusted relationship.
  • the method for determining the method may be as follows: Query the configured policy data table, and find a trusted relationship corresponding to the access network identifier (the network identifier that needs to be visited in the roaming scenario), and determine the current connection if the trusted relationship is trusted access.
  • the incoming access is a trusted access
  • the trusted relationship is an untrusted access
  • the current access is determined to be an untrusted access.
  • only one of the trusted access or the non-trusted access may be set in the policy, for example, only the record of the trusted access is set, and the non-trusted access is obtained if the related information is not found. .
  • the authentication unit 92 performs authentication authentication on the authentication authentication request of the non-3GPP access side.
  • the non-3GPP access side here may be a non-3GPP access network or an ePDG.
  • the authentication unit 92 When the authentication unit 92 authenticates the authentication request of the non-3GPP access network, it determines whether the current access is a trusted access or an untrusted access according to the parameters in the request, and the parameter includes one or more of the following: The access network identifier ANID, the visited network identifier Visited Network Identity (which is required only in the roaming scenario), the access type, the security mechanism used in the access network, etc., will be the result of trusted access and The correspondence between the UE identifiers is stored, and the network identifiers and corresponding relationships may also be stored together.
  • the following storage method may also be adopted: determining whether the current access is a non-3GPP access network access or a trusted access, and does not store whether the result of the trusted access is related to the UE identity, and/or the network identity.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network.
  • the authentication unit 92 authenticates the authentication request of the ePDG, if the non-trusted access result currently accessed and the storage information of the UE identifier and/or the network identifier are not queried, the access information is stored at this time. Non-trusted access results and information such as UE identity and/or network identity, otherwise the above information is not saved. Of course, the following method may also be adopted: the non-trusted connection of the current access is stored regardless of whether the currently accessed non-trusted access result and the storage information of the UE identifier and/or the network identifier are already stored. The result is associated with the UE identity and/or network identity.
  • the authentication unit 92 performs authentication authentication on the received authentication request sent by the PDN-GW, according to the UE identifier and/or the network identifier in the request, and the foregoing non-3GPP access side
  • the authentication authentication application compares the UE identifier and/or the network identifier stored in the authentication with the corresponding relationship of the trusted access. If the stored information indicates that the trusted access is trusted access, the current access is determined to be trusted access. Conversely, if the stored information is untrusted access, it is determined that the current access is an untrusted access.
  • the current access is considered to be trusted access.
  • the authentication unit 92 may also directly determine, according to the UE identifier and/or the network identifier in the request, whether the trusted access is stored after receiving the authentication authentication request. The information is compared. If there is no information about whether the current access is trusted or not, the current access is considered to be trusted access, otherwise it is untrusted access.
  • the network identifier in the above process includes information such as the visited network identifier (which is required only in the roaming scenario), or the access type, or the access network identifier, or the security mechanism used in the access network. .
  • the sending unit 93 sends an authentication authentication response message to the PGW, including the trusted relationship cell, and the value is “trusted” or “non-trusted”, and the indication is "trusted”, indicating that the current is trusted access. .
  • the authentication authentication apparatus of the embodiment of the present invention extends the authentication authentication method when the UE accesses the EPS network by the non-3GPP access through the S2c interface, determines whether the current access is trusted access, and is trusted.
  • the access result is sent to the PDN-GW, so that the PDN-GW can correctly establish the S2c tunnel data security channel when the UE accesses the EPS network through the S2c interface from the non-3GPP access.
  • FIG. 10 is a block diagram of a gateway in accordance with one embodiment of the present invention.
  • a non-limiting example of the gateway 100 of FIG. 10 is the PDN-GW shown in FIGS. 4-8, including a transmitting unit 1001, a receiving unit 1002, and a security association SA establishing unit 1003.
  • the transmitting unit 1001 transmits an authentication authentication request message, and the receiving unit 1002 receives a response message of the authentication authentication device to the authentication authentication request.
  • the security association SA establishing unit 1003 establishes a data secure channel of the S2c tunnel according to the trusted relationship of the current non-3GPP access indicated in the response message received by the receiving unit 1002.
  • the authentication authentication request response message received by the authentication device includes information indicating the trusted relationship of the non-3GPP access.
  • the alliance SA establishing unit 1003 determines the S2c according to the trusted relationship message. The way the tunnel security association is established. If it is a trusted access, the establishment process of the child SA of the child security association with the UE may be initiated at any time. If the Child SA establishment request initiated by the UE is received, the request is accepted, and the child SA is established. In the case of non-trusted access, the child SA establishment process of the child security association is no longer initiated.
  • the method of rejecting may be: The child security association Child SA is established.
  • the "NO_ADDITIONAL_SAS" or “NO_Child_SAS”, or other reason value, in Notify Payload in the response message of the request indicates that the establishment of the child SA child Child SA is no longer accepted. Therefore, the S2c tunnel data security channel is correctly established.
  • the gateway device of the embodiment of the present invention when the UE accesses the EPS network by the non-3GPP access through the S2c interface, includes the indication information of the current access trusted relationship in the received authentication authentication message, so according to the obtained indication information.
  • the S2c tunnel data security association is correctly established, so that when the UE accesses the EPS network from the non-3GPP access through the S2c interface, the S2c tunnel data security channel can be correctly established.
  • a communication system according to an embodiment of the present invention may include the above-described authentication and authentication device 90 and/or gateway
  • the disclosed systems, devices, and methods may be implemented in other ways.
  • the device embodiments described above are merely illustrative.
  • the division of the unit is only a logical function division.
  • there may be another division manner for example, multiple units or components may be combined or Can be integrated into another The system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be in an electrical, mechanical or other form.
  • the components displayed for the unit may or may not be physical units, ie may be located in one place, or may be distributed over multiple network units. Some or all of the units may be selected according to actual needs to achieve the purpose of the solution of the embodiment.
  • each functional unit in each embodiment of the present invention may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software function unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium.
  • the technical solution of the present invention may contribute to the prior art or all or part of the technical solution may be embodied in the form of a software product stored in a storage medium.
  • a number of instructions are included to cause a computer device (which may be a personal computer, server, or network device, etc.) to perform all or part of the steps of the methods described in various embodiments of the present invention.
  • the foregoing storage medium includes: a U disk, a removable hard disk, a read-only memory (ROM), a random access memory (RAM), a magnetic disk or an optical disk, and the like, which can store program codes. .

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Business, Economics & Management (AREA)
  • Accounting & Taxation (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

本发明实施例提供一种S2c隧道安全数据通道建立的方法和鉴权认证装置和网关装置，该方法包括：发送鉴权认证请求消息到鉴权认证设备，接收所述鉴权认证设备发送的鉴权认证响应消息，其中所述鉴权认证响应消息包括可信关系信元用于指示当前接入的可信关系，根据所述当前接入的可信关系，建立S2c隧道安全联盟。本发明实施例在UE通过S2c接口从非3GPP接入侧接入EPS网络时，接收鉴权认证设备发送的鉴权认证响应消息，并根据上述响应消息中指示的当前接入网络的可信关系，建立S2c隧道安全数据通道，从而能够获得非3GPP接入侧接入EPS网络时的可信关系，保障建立正确的S2c隧道安全数据通道。

Description

一种隧道数据安全通道的建立方法 技术领域
本发明实施例涉及通信技术领域， 并且更具体地， 涉及演进的分组系统
( EPS, Evolved Packet System ) 中 S2c隧道安全联盟的建立方法和装置。 背景技术
随着移动宽带时代的到来， 用户需要随时随地的使用宽带接入服务， 这 对移动通信网络提出了更高的要求， 如更高的传输速率、 更小的时延和更高 的系统容量等。 为了保持 3GPP网络的优势， 3GPP标准组织于 2004年底启 动了 SAE ( System Architecture Evolution, 系统架构演进）计划的研究和标 准化工作， 定义了一个新的移动通信网络框架， 称为演进的分组系统 EPS。 随着核心网融合统一的趋势， 3GPP在 EPS 系统中的核心网 EPC ( Evolved Packet Core, 演进的分组系统的核心部分） 中也提供了非 3GPP接入网络接 入的可能， 如 WLAN、 Wimax等接入 EPC。
S2c接口采用 DSMIPv6 ( Mobile IPv6 Support for Dual Stack Hosts， 双栈 主机的移动 IPv6支持 )协议，可用于可信或者非可信的非 3GPP接入网络接 入 EPS网络。 UE ( User Equipment,用户设备）从非 3GPP接入网络通过 S2c 接口接入 EPC时， UE与 PDN-GW ( Packet Data Network Gateway, 分组数 据网关， 也可简称为 PGW )之间将建立安全联盟 S A ( Security Association, 安全联盟）保护 DSMIPv6信令。 当 UE从 S2c接口由可信非 3GPP接入网络 接入 EPC时， 3GPP定义了在 UE与 PDN-GW之间建立 DSMIPv6隧道之后， PDN-GW 可以与 UE之间发起建立子安全联盟 Child SA ( Child Security Association, 子安全联盟）对数据面进行保护； 但当 UE从非可信非 3GPP 接入网络接入 EPC的时候， UE与非 3GPP接入网关 ePDG ( evolved PDG， 演进分组数据网关）之间会建立 IPSec安全通道，通过 IPSec安全通道对 UE 与 PDN-GW之间的数据包进行安全保护。 即， 当 UE以可信方式接入 EPS 的时候， S2c隧道上可以建立 Child SA对数据面的完整性和机密性进行保护； 以非可信方式接入的时候， 将由 UE与 ePDG之间的 IPSec安全通道提供数 据的完整性保护和机密性保护。 如上所述， UE通过 S2c接口接入 EPC的时候， PDN-GW需要区分可信 接入和非可信接入场景， 以完成不同的数据安全通道的建立过程。 但 PDN-GW并不能够判断当前 UE是从可信非 3GPP接入网络接入还是非可信 非 3GPP接入网络接入的， 也就无法选择正确的 S2c隧道数据安全通道建立 方法。 发明内容
本发明实施例提供了一种 S2c隧道数据安全通道的建立方法和装置， 能 够保障建立正确的 S2c隧道数据安全通道。
一方面， 提供了一种建立数据安全通道的方法， 包括， 发送鉴权认证请 求消息到鉴权认证设备， 接收所述鉴权认证设备发送的鉴权认证响应消息， 其中所述鉴权认证响应消息包括可信关系信元用于指示当前接入的可信关 系， 根据所述当前接入的可信关系， 建立 S2c隧道安全联盟。 其中， 所述接 收鉴权认证设备发送的鉴权认证响应消息之前，还包括鉴权认证设备根据配 置的策略或非 3GPP接入侧发起鉴权认证请求时所存储的可信关系确定当前 接入网络的可信关系。
另一方面， 提供了一种建立数据安全通道的方法， 包括， 接收网关设备 的鉴权认证请求消息， 根据配置的策略或者非 3GPP接入侧发起鉴权认证请 求时存储的可信关系确定当前接入的可信关系， 向网关设备发送鉴权认证响 应消息， 所述鉴权认证响应消息中包含可信接入信元用来指示所述当前接入 的可信关系， 以便网关设备根据该指示建立 S2c隧道数据安全通道。
另一方面，提供了一种鉴权认证设备，包括：接收单元，用于接收非 3GPP 接入的鉴权认证请求； 鉴权单元， 用于对接收单元接收的鉴权认证请求进行 鉴权， 根据配置的策略或对非 3GPP接入侧发起鉴权认证请求时所存储的可 信关系确定当前接入的可信关系； 发送单元， 用于向 PDN-GW发送鉴权认 证相应响应消息， 消息中包含可信接入信元用来指示当前接入的可信关系。
另一方面， 提供了一种网关设备， 包括： 发送单元， 用于发送鉴权认证 请求消息， 接收单元， 用于接收鉴权认证装置对鉴权认证请求的响应消息， 消息中包括可信关系信元用来指示当前接入的可信关系； SA建立单元， 用 于根据接收单元接收的响应消息中指示的当前非 3GPP接入的可信关系， 建 立 S2c隧道的数据安全通道。 本发明实施例在 UE从 S2c接口由非 3GPP接入网 矣入 EPC时，接收 鉴权认证响应消息， 根据消息中指示的当前接入网络的可信关系， 建立数据 安全通道， 保证进行正确的数据安全通道。 附图说明
为了更清楚地说明本发明实施例的技术方案， 下面将对实施例或现有技 术描述中所需要使用的附图作简单地介绍， 显而易见地， 下面描述中的附图 仅仅是本发明的一些实施例， 对于本领域普通技术人员来讲， 在不付出创造 性劳动的前提下， 还可以根据这些附图获得其他的附图。
图 1是 3GPP规定的非漫游场景下非 3GPP接入网络采用 S2c接口接入
EPS网络的系统架构图。
图 2是根据本发明一个实施例的非 3GPP接入网络采用 S2c接口接入 EPS网络的安全通道建立方法。
图 3是根据本发明另一个实施例的非 3GPP接入网络采用 S2c接口接入 EPS网络的安全通道建立方法。
图 4是本发明一个实施例的可信非 3GPP接入网络采用 S2c接口接入 EPS网络的安全通道建立过程的示意流程图。
图 5是本发明另一个实施例的可信非 3GPP接入网络采用 S2c接口接入 EPS网络的安全通道建立过程的示意流程图。
图 6是本发明另一个实施例的非可信非 3GPP接入网络采用 S2c接口接 入 EPS网络的安全通道建立过程的示意流程图。
图 7是本发明另一个实施例的非可信非 3GPP接入网络采用 S2c接口接 入 EPS网络的安全通道建立过程的示意流程图。
图 8是本发明另一个实施例的非 3GPP接入网络采用 S2c接口接入 EPS 网络的安全通道建立过程的示意流程图。
图 9是根据本发明一个实施例的鉴权认证装置的框图。
图 10是根据本发明一个实施例的网关的框图。 具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、 完整地描述， 显然， 所描述的实施例是本发明一部分实施例， 而不是 全部的实施例。 基于本发明中的实施例， 本领域普通技术人员在没有作出创 造性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
图 1是 3GPP规定的非 3GPP接入网络采用 S2c接口接入 EPS网络的系 统架构图。 本发明实施例可应用于图 1所示的 EPS网络架构。
如图 1所示， S2c接口可以用于非 3GPP接入网络接入 EPS网络。 对于 可信非 3GPP接入网络， UE将直接通过非 3GPP接入网络连接到 PDN-GW; 而对于不可信非 3GPP接入网络， UE则需要通过归属网络可信任的演进分 组数据网关 ePDG， 再连接到 PDN-GW网元上。
当 UE从 S2c接口通过 PDN-GW进行鉴权认证时，如果是由可信非 3GPP 接入网络接入 EPC的， PDN-GW需要发起建立子安全联盟 child SA对数据 面进行保护； 如果 UE是从非可信非 3GPP接入网络接入 EPC的， PDN-GW 通过 UE与 ePDG之间的 IPSec通道建立 DSMHV6安全通道对数据进行完整 性保护和机密性保护。
由上述描述可以看到， PDN-GW需要知道当前 UE是从可信非 3GPP接 入网络接入还是非可信非 3GPP接入网络接入是选择正确的 S2c隧道数据安 全通道建立方式的前提。
本发明实施例在图 1所述的网络架构上， 由鉴权认证设备确定当前接入 的可信关系， 并发送给 PDN-GW， PDN-GW根据此指示选择建立数据安全 通道的方式， 保证 PDN-GW进行正确的安全通道建立过程。 本发明实施例 中的鉴权认证设备均以 AAA ( Authentication Authorization Accounting , 认证 授权和计费）服务器来举例说明，具体实施时也可能是 HSS( Home Subscriber Server, 归属网络服务器）等其他设备作为实施例中的鉴权认证设备。 图 2 是本发明一个实施例的非 3GPP接入网络采用 S2c接口接入 EPS网络的安全 通道建立方法。
201 , 接收非 3GPP接入侧的鉴权认证请求， 进行认证鉴权过程。 此处 的非 3GPP接入侧， 可以是非 3GPP接入网络， 也可以是 ePDG。
当 AAA服务器接收非 3GPP接入网络的鉴权认证请求时， 根据其中参 数判断当前的接入为可信接入还是非可信接入， 参数包括以下的一种或几 种： 接入网标识 ANID， 拜访地网络标识 Visited Network Identity (该标识仅 在漫游场景下需要）， 接入类型， 接入网络内使用的安全机制等， 将上述判 断结果在鉴权认证响应消息中发送给非 3GPP接入网络， 并将是否为可信接 入的结果与 UE标识的对应关系存储下来， 也可以与网络标识的对应关系一 并存储。
也可以采用下面的存储方法： AAA服务器判断当前接入为可信接入或 本次鉴权认证请求为非 3GPP接入网络接入鉴权认证过程， 在将结果在鉴权 认证响应消息中发送给非 3GPP接入网络时， 不存储是否为可信接入的结果 与 UE标识、 和 /或网络标识的对应关系。
当 AAA服务器接收 ePDG的鉴权认证申请时，如果 AAA服务器中还没 有当前接入的非可信接入结果与 UE标识和 /或网络标识的存储信息，则此时 存储上述接入的非可信接入结果与 UE标识和 /或网络标识的对应关系信息， 否则不保存上述信息。 当然， 也可以采用下面的方法： AAA服务器不管是 否已有当前接入的非可信接入结果与 UE 标识和 /或网络标识的对应关系的 存储信息， 均存储当前接入的非可信接入结果与 UE标识和 /或网络标识。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
202, 接收 PDN-GW发送的鉴权认证请求， 判断当前接入的可信关系， 即当前接入为可信接入还是非可信接入。 PGW发送鉴权认证请求消息到 AAA服务器， 注册 APN ( Access Point Name,接入点名称）和 PGW的信息， 上述请求消息中包括 UE标识， 可能还包括拜访地网络标识（该标识仅在漫 游场景下需要）、 接入类型、 接入网标识、 接入网络内使用的安全机制等。 AAA服务器根据 UE标识和 /或网络标识， 与存储的是否可信接入信息进行 比较， 如存储的信息表明为可信接入则判定当前接入为可信接入， 相反的， 如存储的信息为非可信接入则判定当前接入为非可信接入。
进一步的，如果 AAA服务器中没有存储当前接入是否可信接入的信息， 则认为当前接入为可信接入。
当然， 具体实施时也可以采用下面的方法： AAA月良务器也可以在接收 到鉴权认证请求后，直接根据 UE标识和 /或网络标识与所存储的可信接入信 息进行比较， 如没有存储当前接入的可信接入信息， 则认为当前接入为可信 接入， 否则为非可信接入。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
203 , 根据接收到的当前接入的可信关系， 确定 S2c隧道安全联盟建立 方式。 AAA服务器发送鉴权认证响应消息到 PGW，其中包括可信关系信元， 此时指示为可信接入。 PGW接收到可信关系信元指示为可信接入后， 在任 意时间可发起与 UE间的 Child SA建立过程， 若接收到 UE发起的 Child SA 建立请求， 则接受请求。 相反的， PGW接收到可信关系信元指示为非可信 接入后， 不再发起 Child SA建立过程， 若接收到 UE发送的 Child SA建立 请求， 则拒绝。
本发明实施例在对非 3GPP接入侧的鉴权认证请求进行处理时， 存储是 否为可信接入的结果， 并在后续收到 PDN-GW发送的鉴权认证请求时， 根 据存储的可信接入结果， 判断当前接入是否为可信接入， 并在响应消息将可 信关系信息通知 PGW， 使 PGW可以正确建立 S2c隧道安全联盟。
图 3是根据本发明另一个实施例的非 3GPP接入网络采用 S2c接口接入 EPS网络的安全通道建立方法。
301， 接收 PDN-GW发送的鉴权认证请求， 判断当前接入的可信关系， 即当前接入为可信接入还是非可信接入。 PGW发送鉴权认证请求消息到 AAA服务器， 注册 APN和 PGW的信息， 上述请求消息中包括 UE标识、 拜访 地网络标识（该标识仅在漫游场景下需要）、 接入类型、 可能还包括接入网 标识等。 AAA服务器根据根据如下参数的一种或几种判断当前接入为可信接 入还是非可信接入： UE标识、拜访地网络标识 Visited Network Identity (该标 识仅在漫游场景下需要）、 接入网标识 ANID、 接入类型、 接入网络内使用的 安全机制等， 与配置的策略判定当前接入是否为可信接入。 上述策略中包括 拜访地网络标识和 /或接入网标识等信息与可信关系的对应关系。
如策略表明为可信接入则判定当前接入为可信接入， 相反的， 如策略中 的信息表明为非可信接入则判定当前接入为非可信接入。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
302, 根据接收到的当前接入的可信关系， 确定 S2c隧道安全联盟建立 方式。 AAA服务器发送鉴权认证响应消息到 PGW，其中包括可信关系信元， 此时指示为可信接入。 PGW接收到可信关系信元指示为可信接入后， 在任 意时间可发起与 UE间的 Child SA建立过程， 若接收到 UE发起的 Child SA 建立请求， 则接受请求。 相反的， PGW接收到可信关系信元指示为非可信 接入后， 不再发起 Child SA建立过程， 若接收到 UE发送的 Child SA建立 请求， 则拒绝。
本发明实施例在收到 PDN-GW发送的鉴权认证请求时， 根据配置的策 略判断当前接入是否为可信接入， 并在响应消息将是否可信接入信息通知 PGW, 使 PGW可以正确建立 S2c隧道安全联盟。
下面结合具体例子， 更加详细地描述本发明的实施例。 图 4是根据本发 明一个实施例的可信非 3GPP接入网络采用 S2c接口接入 EPS网络的数据安 全通道建立的方法的示意流程图。
401 , UE发送 EAP-RSP鉴权请求消息到可信非 3GPP接入网络。
402, 可信非 3GPP接入网络发送鉴权认证请求到 AAA服务器， 其中包 括接入网标识 ANID， 接入类型， 还可能包括接入网络内使用的安全机制参 数等。在漫游场景下， 此鉴权认证请求要通过 AAA proxy从接入网络转发给 AAA服务器， 而且鉴权认证请求中还包括拜访地网络标识 Visited Network Identity
AAA服务器根据接收到的参数判断当前的接入为可信接入还是非可信 接入， 参数包括以下的一种或几种： 接入网标识 ANID， 拜访地网络标识 Visited Network Identity (该标识仅在漫游场景下需要）， 接入类型， 接入网 络内使用的安全机制等。 并将可信接入的结果与 UE标识、 网络标识或两者 一并存储下来。
也可以采用下面的方法： AAA服务器判断当前接入为非 3GPP接入网络 接入或为可信接入，不存储可信接入的结果与 UE标识和 /或网络标识的对应 关系。
上述过程中保存的网络标识包括拜访地网络标识（该标识仅在漫游场景 下需要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信 息。
403， AAA服务器发送鉴权认证响应消息给可信非 3GPP接入网络， 其 中包括上述可信接入结果。
404， 可信非 3GPP接入网络发送 EAP-REQ鉴权响应消息给 UE， 其中 包括可信接入结果。
405 , UE触发 L3 ( Level 3， 层 3 )接入过程。 UE与可信非 3GPP接入 网络之间建立 L3连接， 从接入网络获得一个本地 IP地址 CoA。
406, UE发送安全联盟建立请求给 PDN-GW为 UE和 PDN-GW之间建 立 DSMIPv6的的 SA，此安全联盟建立请求具体可以为 IKE鉴权请求等安全 联盟建立请求消息， 消息中包括 APN信息。
407, PGW发送鉴权认证请求消息到 AAA服务器， 注册 APN ( Access Point Name, 接入点名称）和 PGW信息， 上述请求消息中包括 UE标识、 接入类型、 可能还包括接入网标识， 接入网络内使用的安全机制等。 如果是 漫游场景， 上述请求消息中还需要包括拜访地网络标识。 AAA服务器根据 UE标识和 /或网络标识和存储的是否可信接入信息进行比较， 如存储的信息 为可信接入则判定当前接入为可信接入。
进一步的，如果 AAA服务器中没有存储当前接入是否可信接入的信息， 则认为当前接入为可信接入。
当然， 具体实施时也可以采用下面的方法： AAA月良务器也可以在接收 到鉴权认证请求后，直接根据 UE标识和 /或网络标识与所存储的是否可信接 入信息进行比较， 如没有存储当前接入是否可信接入的信息， 则认为当前接 入为可信接入， 否则为非可信接入。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
408， AAA服务器发送鉴权认证响应消息到 PGW， 其中包括可信关系 信元， 取值为 "可信" 或 "非可信"， 此时指示为 "可信"， 表示当前为可信 接入。
409， PGW发送安全联盟建立响应消息到 UE， 其中包括 PGW给 UE分 配的 IP地址。
410, PGW接收到可信关系信元， 指示为可信接入后， 在任意时间可发 起与 UE间的 Child SA建立过程。 若接收到 UE发起的 Child SA建立请求， 则接受请求， 建立 Child SA。
图 5是根据本发明一个实施例的可信非 3GPP接入网络采用 S2c接口接 入 EPS网络的数据安全通道建立的方法的示意流程图。
501 , UE触发 L3接入过程。 UE与可信非 3GPP接入网络之间建立 L3 连接， 从接入网络获得一个本地 IP地址 CoA。
502, UE发送安全联盟建立请求给 PDN-GW为 UE和 PDN-GW之间建 立 DSMIPv6的的 SA，此安全联盟建立请求具体可以为 IKE鉴权请求等安全 联盟建立请求消息， 消息中包括 APN信息。 503， PGW发送鉴权认证请求消息到 AAA服务器， 注册 APN和 PGW 信息， 上述请求消息中包括 UE标识、接入类型、可能还包括接入网标识等。 如果是漫游场景， 上述请求消息中还需要包括拜访地网络标识。 AAA服务 器根据 UE 标识和 /或网络标识没有找到存储的当前接入是否为可信接入的 信息， 认为当前接入为可信接入。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
504, AAA服务器发送鉴权认证响应消息到 PGW， 其中包括可信关系 信元， 取值为 "可信" 或 "非可信"， 此时指示为 "可信"， 表示当前为可信 接入。
505， PGW发送安全联盟建立响应消息到 UE， 其中包括 PGW给 UE分 配的 IP地址。
506, PGW接收到可信关系信元， 指示为可信接入后， 在任意时间可发 起与 UE间的 Child SA建立过程。 若接收到 UE发起的 Child SA建立请求， 则接受请求， 建立 Child SA。
图 6是根据本发明一个实施例的非可信非 3GPP接入网络采用 S2c接口 接入 EPS网络的安全通道建立过程的示意流程图。
601. 终端发送 EAP-RSP鉴权请求消息到非可信非 3GPP接入网络。
602, 非可信非 3GPP接入网络发送鉴权认证请求到 AAA服务器， 鉴权 请求中包括接入网标识 ANID， 接入类型， 还可能包括接入网络内使用的安 全机制参数等。在漫游场景下，接入网络提交的鉴权认证请求需要通过 AAA proxy 转发给 AAA 服务器， 且上述请求中包括拜访地网络标识 Visited Network Identity。
AAA服务器根据鉴权请求中的参数判断当前的接入为可信接入还是非 可信接入， 参数包括以下的一种或几种： 接入网标识 ANID， 拜访地网络标 识 Visited Network Identity (该标识仅在漫游场景下需要）， 接入类型， 接入 网络内使用的安全机制等。并将非可信接入的结果与 UE标识和 /或网络标识 及对应关系一并存储下来。
也可以采用下面的方法： AAA服务器判断当前接入为非 3GPP接入网络 接入， 不存储非可信接入的结果与 UE标识和 /或网络标识及对应关系。
上述过程中保存的网络标识包括拜访地网络标识（该标识仅在漫游场景 下需要）， 或接入类型， 或接入网标识等信息。
603 , AAA服务器发送鉴权认证响应消息给非可信非 3GPP接入网络， 其中包括上述非可信接入结果。
604, 非可信非 3GPP接入网络发送 EAP-REQ鉴权响应消息给 UE， 其 中包括上述非可信接入结果。
605， UE发送 IKE鉴权请求到 ePDG，请求建立 UE与 ePDG之间的 IPSec 隧道。
606， ePDG发送鉴权认证请求到 AAA服务器， 漫游场景下此鉴权认证 请求通过 AAA proxy转发。 如果 AAA服务器中还没有存储当前接入的非可 信接入与 UE标识和 /或网络标识的对应关系，则此时存储上述接入的非可信 接入结果与 UE标识和 /或网络标的对应关系， 否则不保存上述信息。
当然， 也可以采用下面的方法： AAA服务器不管是否已有当前接入的 非可信接入结果与 UE标识和 /或网络标识的对应关系的存储信息，均存储当 前接入的非可信接入结果与 UE标识和 /或网络标识的对应关系。
上述过程中保存的网络标识包括如下信息的一种或几种： 接入网标识、 接入网络内使用的安全机制、 接入类型， 如果是漫游场景， 还包括拜访地网 络标识。
607， AAA服务器发送鉴权认证响应消息给 ePDG。
608， ePDG发送 IKE鉴权响应消息给 UE。
609， UE发送安全联盟建立请求给 PDN-GW在 UE和 PDN-GW之间建 立 DSMIPv6的的 SA，此安全联盟建立请求具体可以为 IKE鉴权请求等安全 联盟建立请求消息， 其中包括 APN信息。
610, PGW发送鉴权认证请求消息到 AAA服务器， 注册 APN和 PGW 信息， 上述请求消息中包括 UE标识。 还可以包括网络标识， 网络标识包括 如下信息的一种或几种： 接入网标识、 接入网络内使用的安全机制、 接入类 型， 如果是漫游场景， 还包括拜访地网络标识。 AAA服务器根据 UE标识和 /或网络标识和存储的可信接入对应关系， 判定当前为非可信接入。
611 , AAA服务器发送鉴权认证响应消息到 PGW， 其中包括可信关系 信元， 取值为 "可信" 或 "非可信"， 此时指示为 "非可信"， 表示当前为非 可信接入。 PGW接收到指示为非可信接入的消息后， 不再发起 Child SA建 立过程， 若接收到 UE发送的 Child SA建立请求， 则拒绝。 拒绝的方式可以 为： 在 Child SA建立请求的响应消息中的 Notify Payload中的原因值指示 "NO_ADDITIONAL S AS " ，或 "NO_Child_SAS" ，或其它原因值， 表示不 再接收 Child SA的建立。
612, PGW发送安全联盟建立响应消息到 UE， 其中包括 PGW给 UE分 配的 IP地址。
图 7是根据本发明一个实施例的非可信非 3GPP接入网络采用 S2c接口 接入 EPS网络的安全通道建立过程的示意流程图。
701 , UE发送 IKE鉴权请求到 ePDG，请求建立 UE与 ePDG之间的 IPSec 隧道。
702, ePDG发送鉴权认证请求到 AAA服务器， 漫游场景下此鉴权认证 请求通过 AAA proxy转发。 AAA服务器中发现还没有存储当前接入的非可 信接入与 UE标识和 /或网络标识的对应关系，存储上述接入的非可信接入结 果与 UE标识和 /或网络标的对应关系。
当然， 也可以采用下面的方法： AAA服务器不管是否已有当前接入的 非可信接入结果与 UE标识和 /或网络标识的对应关系的存储信息，均存储当 前接入的非可信接入结果与 UE标识和 /或网络标识的对应关系。
703， AAA服务器发送鉴权认证响应消息给 ePDG。
704， ePDG发送 IKE鉴权响应消息给 UE。
705， UE发送安全联盟建立请求给 PDN-GW在 UE和 PDN-GW之间建 立 DSMIPv6的的 SA，此安全联盟建立请求具体可以为 IKE鉴权请求等安全 联盟建立请求消息， 其中包括 APN信息。
706， PDN-GW发送鉴权认证请求消息到 AAA服务器， 注册 APN和
PDN-GW信息， 请求消息中包括 UE标识。 还可以包括网络标识， 网络标识 包括如下信息的一种或几种： 接入网标识、 接入网络内使用的安全机制、 接 入类型， 如果是漫游场景， 还包括拜访地网络标识。 AAA服务器根据 UE标 识和 /或网络标识和存储的可信接入对应关系， 判定当前为非可信接入。
707, AAA服务器发送鉴权认证响应消息到 PGW， 其中包括可信关系 信元， 取值为 "可信" 或 "非可信"， 此时指示为 "非可信"， 表示当前为非 可信接入。 PGW接收到指示为非可信接入的消息后， 不再发起 Child SA建 立过程， 若接收到 UE发送的 Child SA建立请求， 则拒绝。 拒绝的方式可以 为： 在 Child SA建立请求的响应消息中的 Notify Payload中的原因值指示 "NO_ADDITIONAL S AS " ，或 "NO_Child_SAS" ，或其它原因值， 表示不 再接收 Child SA的建立。
708, PGW发送安全联盟建立响应消息到 UE， 其中包括 PGW给 UE分 配的 IP地址。
图 8是根据本发明另一个实施例的非 3GPP接入网络采用 S2c接口接入
EPS网络的安全通道建立过程的示意流程图。
801 , UE发送安全联盟建立请求给 PGW在 UE和 PDN-GW之间建立 DSMIPv6的的 SA， 此安全联盟建立请求具体可以为 IKE鉴权请求等安全联 盟建立请求消息， 其中包括 APN信息。
802, PGW发送鉴权认证请求消息到 AAA服务器，注册 APN和 PGW信息， 上述请求消息中包括 UE标识。 还可以包括网络标识， 网络标识包括如下信 息的一种或几种： 接入网标识、 接入网络内使用的安全机制、 接入类型， 如 果是漫游场景， 还包括拜访地网络标识。
AAA服务器根据配置的策略判定当前接入是否为可信接入， 策略中包 括网络标识与可信关系的对应关系。 判定方法可以为： AAA服务器根据鉴 权认证请求消息中的网络标识， 查询配置的策略确定当前接入网络的可信关 系。 若鉴权认证请求消息中不包括接入网标识， AAA服务器业也可以需要 根据接入类型标识构造接入网络标识。 具体方法为： 接入类型一般是整数类 型的表示方法， 如 0表示 WLAN， 2001 表示 HRPD等。 接入网前缀即为 "WLAN" , "HRPD" 这样的字符串， 因此， AAA服务器根据接入类型， 查 表得知接入类型的整数对应的具体接入类型描述， 用字符串表示， 作为接入 网标识的前缀。 接入网标识除前缀之外的附加字符串可以没有， 或者生成规 则由 AAA服务器自己决定。
判定方法可以采用如下方式实现： 策略中包含可信关系与非可信关系的 记录， 查询配置的策略数据表， 如与网络标识对应的可信关系为可信接入则 判定当前接入为可信接入， 可信关系为非可信接入则判定当前接入为非可信 接入。 也可以在策略中仅设置可信接入或非可信接入中的一种， 如： 仅设置 可信接入的记录， 查询不到相关信息的则为非可信接入。
803 , AAA服务器发送鉴权认证响应消息到 PGW， 其中包括可信关系 信元， 取值为 "可信" 或 "非可信"， 指示当前接入为可信接入或非可信接 入。 PGW接收到当前接入的可信关系消息， 确定 S2c隧道安全联盟建立方 式。 如为可信接入， 则在任意时间可发起与 UE间的 Child S A建立过程， 若 接收到 UE发起的 Child SA建立请求， 则接受请求， 建立 Child SA; 如为非 可信接入后， 不再发起 Child SA建立过程， 若接收到 UE发送的 Child SA 建立请求， 则拒绝， 拒绝的方式可以为： 在 Child SA建立请求的响应消息中 的 Notify Payload 中的原因值指示 " NO_ADDITIONAL_SAS " ,或 "NO_Child_SAS" ，或其它原因值， 表示不再接收 Child SA的建立。
804， PGW发送安全联盟建立响应消息到 UE， 其中包括 PGW给 UE分 配的 IP地址。
图 9是根据本发明一个实施例的鉴权认证装置的框图。 图 9的鉴权认证 装置 90的非限制性例子是图 4-图 8中所示的 HSS/AAA设备， 包括接收单 元 91、 鉴权单元 92和发送单元 93。
接收单元 91 接收非 3GPP接入侧 （非 3GPP接入网络或 ePDG )或 PDN-GW在 UE通过 S2c接口接入 EPS网络时发送的鉴权认证请求。 鉴权 单元 92对上述接入进行鉴权认证： 针对非 3GPP接入侧发送的鉴权认证请 求， 鉴权单元判断当前接入是否为可信接入， 并记录可信接入结果与 UE标 识或网络标识或两者一并的对应关系； 针对 PDN-GW发送的鉴权认证请求， 鉴权单元根据配置的策略或接入侧鉴权认证时记录的可信接入结果对应关 系， 判断当前接入是否为可信接入。发送单元 93， 用于根据鉴权单元确定的 是否可信接入结果， 向 PDN-GW发送可信接入信元， 指示是否为可信接入。
本发明实施例在 UE通过 S2c接口由非 3GPP接入网络接入 EPS网络时， 接收 PDN-GW发送的鉴权认证请求， 根据配置的策略或之前对接入侧（非 3GPP接入网络或 ePDG )发起的鉴权请求进行鉴权认证时记录的是否可信接 入的对应关系， 判断当前接入是否为可信接入， 并将可信接入结果发送给 PDN-GW, 从而使得 PDN-GW能够获得当前接入是否为可信接入的信息， 实现 UE从非 3GPP接入网通过 S2c接口接入 EPS网络时， 正确建立 S2c隧 道数据安全通道。
在一个实施例中， 鉴权单元 92根据配置的策略判定当前接入是否为可 信接入时，判定的方法可以为：根据鉴权认证请求消息中的接入网络标识（漫 游场景下还需要拜访地网络标识）， 查询配置的策略确定当前接入网络的可 信关系。 若鉴权认证请求消息中不包括接入网标识， 需要根据接入类型标识 构造接入网络标识。 具体为： 接入类型一般是整数类型的表示方法， 如 0表 示 WLAN， 2001表示 HRPD等。 接入网络前缀即为 "WLAN"， "HRPD" 这样的字符串， 鉴权单元 92根据接入类型， 查表得知接入类型的整数对应 的具体接入类型描述， 用字符串表示， 作为接入网络标识的前缀。 接入网络 标识除前缀之外的附加字符串可以没有， 或者生成规则由 AAA服务器自己 决定。 上述策略中包括接入网标识（漫游场景下还需要拜访地网络标识 )与 可信关系的对应关系。
判定方法可以采用如下方式： 查询配置的策略数据表， 找到与接入网络 标识（漫游场景下还需要拜访地网络标识）对应的可信关系， 如可信关系为 可信接入则判定当前接入为可信接入， 可信关系为非可信接入则判定当前接 入为非可信接入。 具体实现时， 也可以采用在策略中仅设置可信接入或非可 信接入中的一种， 如仅设置可信接入的记录， 查询不到相关信息的则为非可 信接入。
在另一个实施例中， 鉴权单元 92对非 3GPP接入侧的鉴权认证请求进 行认证鉴权。 此处的非 3GPP接入侧， 可以是非 3GPP接入网络， 也可以是 ePDG。
当鉴权单元 92对非 3GPP接入网络的鉴权认证请求进行鉴权时， 根据 请求中的参数判断当前的接入为可信接入还是非可信接入， 参数包括以下的 一种或几种：接入网标识 ANID，拜访地网络标识 Visited Network Identity (该 标识仅在漫游场景下需要）， 接入类型， 接入网络内使用的安全机制等， 将 是否为可信接入的结果及 UE标识的对应关系存储下来， 也可以把网络标识 及对应关系一并存储。
也可以采用下面的存储方法： 判断当前接入为非 3GPP接入网络接入或 为可信接入， 不存储是否为可信接入的结果与 UE标识、和 /或网络标识的对 应关系。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。
当鉴权单元 92对 ePDG的鉴权认证申请进行鉴权时， 如果没有查询到 当前接入的非可信接入结果与 UE标识和 /或网络标识的存储信息，则此时存 储上述接入的非可信接入结果与 UE标识和 /或网络标识等信息，否则不保存 上述信息。 当然， 也可以采用下面的方法： 不管是否已有当前接入的非可信 接入结果与 UE标识和 /或网络标识的存储信息，均存储当前接入的非可信接 入结果与 UE标识和 /或网络标识。
进一步的， 当鉴权单元 92对接收到的 PDN-GW发送的鉴权认证请求进 行鉴权认证时， 根据请求中的 UE 标识和 /或网络标识， 与前面所述的对非 3GPP接入侧的鉴权认证申请进行鉴权时存储的 UE标识和 /或网络标识与是 否可信接入的对应关系进行比较，如存储的信息表明为可信接入则判定当前 接入为可信接入， 相反的， 如存储的信息为非可信接入则判定当前接入为非 可信接入。
进一步的， 如果没有存储当前接入是否可信接入的信息， 则认为当前接 入为可信接入。
当然， 具体实施时也可以采用下面的方法： 鉴权单元 92也可以在接收 到鉴权认证请求后，直接根据请求中的 UE标识和 /或网络标识与所存储的是 否可信接入对应关系信息进行比较，如没有存储当前接入是否可信接入的信 息， 则认为当前接入为可信接入， 否则为非可信接入。
上述过程中的网络标识包括拜访地网络标识（该标识仅在漫游场景下需 要）， 或接入类型， 或接入网标识， 或接入网络内使用的安全机制等信息。。
发送单元 93发送鉴权认证响应消息到 PGW， 其中包括可信关系信元， 取值为 "可信" 或 "非可信"， 此时指示为 "可信"， 表示当前为可信接入。
因此， 本发明实施例的鉴权认证装置在 UE通过 S2c接口由非 3GPP接 入接入 EPS网络时，扩展了鉴权认证的方法，判定当前接入是否为可信接入， 并将可信接入结果发送给 PDN-GW, 从而使得 PDN-GW 能够在 UE从非 3GPP接入通过 S2c接口接入 EPS网络时，正确建立 S2c隧道数据安全通道。
图 10是才艮据本发明一个实施例的网关的框图。 图 10的网关 100的非限 制性例子是图 4-图 8所示的 PDN-GW, 包括发送单元 1001、 接收单元 1002 和安全联盟 SA建立单元 1003。
发送单元 1001发送鉴权认证请求消息，接收单元 1002接收鉴权认证装 置对鉴权认证请求的响应消息。 安全联盟 SA建立单元 1003根据接收单元 1002接收的响应消息中指示的本次非 3GPP接入的可信关系，建立 S2c隧道 的数据安全通道。
本发明实施例在非 3GPP接入通过 S2c接口接入到 EPS网络时，接收到 鉴权认证装置的鉴权认证请求响应消息中包含有指示本次非 3GPP接入的可 信关系的信息， 安全联盟 SA建立单元 1003根据可信关系消息， 确定 S2c 隧道安全联盟建立方式。 如为可信接入， 则在任意时间可发起与 UE间的子 安全联盟 Child SA的建立过程， 若接收到 UE发起的子安全联盟 Child SA 建立请求， 则接受请求， 建立子安全联盟 Child SA; 如为非可信接入， 不再 发起子安全联盟 Child SA建立过程， 若接收到 UE发送的在安全联盟 Child SA建立请求， 则拒绝， 拒绝的方式可以为： 在子安全联盟 Child SA建立请 求的响应消息中的 Notify Payload 中指示 "NO_ADDITIONAL_SAS" ，或 "NO_Child_SAS"，或其它原因值， 表示不再接收子安全联盟 Child SA的建 立。 从而正确建立 S2c隧道数据安全通道。
因此， 本发明实施例的网关装置在 UE通过 S2c接口由非 3GPP接入接 入 EPS网络时，通过接收的鉴权认证消息中包含当前接入可信关系的指示信 息， 从而根据获取的指示信息内容正确建立 S2c隧道数据安全联盟， 使得在 UE从非 3GPP接入通过 S2c接口接入 EPS网络时， 能够保障正确建立 S2c 隧道数据安全通道。 根据本发明实施例的通信系统可包括上述鉴权认证装置 90 和 /或网关
100。 本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各 示例的单元及算法步骤， 能够以电子硬件、 计算机软件或者二者的结合来实 现， 为了清楚地说明硬件和软件的可互换性， 在上述说明中已经按照功能一 般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执 行， 取决于技术方案的特定应用和设计约束条件。 专业技术人员可以对每个 特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超 出本发明的范围。
所属领域的技术人员可以清楚地了解到， 为描述的方便和简洁， 上述描 述的系统、 装置和单元的具体工作过程， 可以参考前述方法实施例中的对应 过程， 在此不再赘述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统、 装置和 方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示 意性的， 例如， 所述单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可 以有另外的划分方式， 例如多个单元或组件可以结合或者可以集成到另一个 系统， 或一些特征可以忽略， 或不执行。 另一点， 所显示或讨论的相互之间 的耦合或直接耦合或通信连接可以是通过一些接口， 装置或单元的间接耦合 或通信连接， 可以是电性， 机械或其它的形式。 为单元显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或 者全部单元来实现本实施例方案的目的。
另外， 在本发明各个实施例中的各功能单元可以集成在一个处理单元 中， 也可以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一 个单元中。 上述集成的单元既可以采用硬件的形式实现， 也可以采用软件功 能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销 售或使用时， 可以存储在一个计算机可读取存储介质中。 基于这样的理解， 本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方 案的全部或部分可以以软件产品的形式体现出来， 该计算机软件产品存储在 一个存储介质中， 包括若干指令用以使得一台计算机设备（可以是个人计算 机， 服务器， 或者网络设备等）执行本发明各个实施例所述方法的全部或部 分步骤。 而前述的存储介质包括： U盘、 移动硬盘、 只读存储器 （ROM， Read-Only Memory ), 随机存取存储器 ( RAM, Random Access Memory )、 磁碟或者光盘等各种可以存储程序代码的介质。
以上所述， 仅为本发明的具体实施方式， 但本发明的保护范围并不局限 于此， 任何熟悉本技术领域的技术人员在本发明揭露的技术范围内， 可轻易 想到变化或替换， 都应涵盖在本发明的保护范围之内。 因此， 本发明的保护 范围应所述以权利要求的保护范围为准。

Claims

权利要求
1、 一种建立数据安全通道的方法， 其特征在于， 包括，
发送鉴权认证请求消息到鉴权认证设备，
接收所述鉴权认证设备发送的鉴权认证响应消息， 其中所述鉴权认证响 应消息包括可信关系信元用于指示当前接入的可信关系，
根据所述当前接入的可信关系， 建立 S2c隧道安全联盟。
2、 如权利要求 1所述的方法， 其特征在于， 所述可信关系为是否为可 信接入或是否为非可信接入。
3、 如权利要求 1所述的方法， 其特征在于， 所述可信关系信元取值为 可信， 指示当前接入为可信接入， 贝' J
发起与 UE间的子安全联盟 Child SA建立过程；
或者， 接收到 UE发起的子安全联盟 Child SA建立请求， 则接受请求。
4、 如权利要求 1所述的方法， 其特征在于， 所述可信关系信元取值为 非可信， 指示当前接入为非可信接入， 则
不发起与 UE间的子安全联盟 Child SA建立过程； 或者
接收到 UE发送的子安全联盟 Child SA建立请求， 则拒绝请求。
5、 如权利要求 4所述的方法， 其特征在于， 所述接收到 UE发送的子 安全联盟 Child SA建立请求， 拒绝的方式为在子安全联盟 Child SA建立请 求的响应消息中指示不接受所述 UE发送的子安全联盟 Child SA建立请求。
6、 如权利要求 1所述的方法， 其特征在于， 所述接收所述鉴权认证设 备发送的鉴权认证响应消息之前， 还包括： 所述鉴权认证设备根据配置的策 略确定所述当前接入的可信关系。
7、 如权利要求 6所述的方法， 其特征在于， 所述配置的策略包括网络 标识与可信关系的对应关系， 所述网络标识包括接入网标识、 接入网络内使 用的安全机制、 接入类型以及拜访地网络标识中的一种或者多种。
8、 如权利要求 7所述的方法， 其特征在于， 所述网络标识与可信关系的 对应关系包含所述网络标识与可信接入和非可信接入的对应关系； 或者所述 对应关系包含所述网络标识与可信接入的对应关系； 或者所述对应关系包含 所述网络标识与非可信接入的对应关系。
9、 如权利要求 1所述的方法， 其特征在于， 所述接收所述鉴权认证设 备发送的鉴权认证响应消息之前， 还包括所述鉴权认证设备根据非 3GPP接 入侧发起鉴权认证请求时所存储的可信关系信息确定所述当前接入的可信 关系。
10、 如权利要求 9所述的方法， 其特征在于， 所述存储的可信关系信息 包括 UE标识与可信关系的对应关系， 或者 UE标识和网络标识与可信关系 的对应关系， 所述网络标识包括接入网标识、 接入网络内使用的安全机制、 接入类型以及拜访地网络标识中的一种或者多种。
11、 如权利要求 7或 10所述的方法， 其特征在于， 鉴权认证设备从所 述鉴权认证请求消息中获得所述接入网标识； 或者从所述鉴权认证请求消息 中获得的接入类型构造所述接入网标识。
12、 如权利要求 9所述的方法， 其特征在于， 所述鉴权认证设备接收到 演进分组数据网关 ePDG发送的所述鉴权认证请求时， 存储 UE标识与非可 信关系的对应关系；或者存储 UE标识和网络标识与非可信关系的对应关系， 所述网络标识包括接入网标识、 接入网络内使用的安全机制、 接入类型以及 拜访地网络标识中的一个或多个。
13、 如权利要求 12所述的方法， 其特征在于， 所述鉴权认证设备存储 所述与非可信接入对应关系前， 判断没有已存储的当前接入的非可信接入对 应关系， 则保存所述与非可信接入的对应关系， 否则不保存。
14、 如权利要求 9所述的方法， 其特征在于， 所述鉴权认证设备接收到 所述非 3GPP接入网络发送的所述鉴权认证请求时， 存储 UE标识与当前接 入可信关系的对应关系， 或者存储 UE标识和网络标识与与当前接入可信关 系的对应关系，所述网络标识包括接入网标识、接入网络内使用的安全机制、 接入类型和拜访地网络标识中的一个或多个。
15、 如权利要求 10所述的方法， 其特征在于， 所述鉴权认证设备判断 当前接入为可信接入， 不存储所述当前接入可信关系的对应关系。
16、 如权利要求 15所述的方法， 其特征在于， 所述鉴权认证设备判断 没有存储当前接入可信关系的对应关系， 则判断当前接入为可信接入。
17、 根据权利要求 1-16任一项所述的方法， 其特征在于， 所述鉴权认证 设备为 AAA服务器或 AAA代理。
18、 一种建立数据安全通道的方法， 其特征在于， 包括，
接收网关设备的鉴权认证请求消息， 根据配置的策略或者非 3GPP接入侧发起鉴权认证请求时存储的可信关 系确定当前接入的可信关系，
向网关设备发送鉴权认证响应消息， 所述鉴权认证响应消息中包含可信 接入信元用来指示所述当前接入的可信关系， 以便网关设备根据该指示建立 S2c隧道数据安全通道。
19、 如权利要求 18所述的方法， 其特征在于， 所述可信关系为是否为 可信接入或是否为非可信接入。
20、 如权利要求 18所述的方法， 其特征在于， 所述可信关系信元取值 为可信或非可信， 指示当前接入为可信接入或非可信接入。
21、 如权利要求 18所述的方法， 其特征在于， 所述配置的策略包括网 络标识与可信关系的对应关系， 所述网络标识包括接入网标识、 接入网络内 使用的安全机制、 接入类型以及拜访地网络标识中的一种或者多种。
22、 如权利要求 21所述的方法， 其特征在于， 所述网络标识与可信关系 的对应关系包含所述网络标识与可信接入和非可信接入的对应关系； 或者所 述对应关系包含所述网络标识与可信接入的对应关系； 或者所述对应关系包 含所述网络标识与非可信接入的对应关系。
23、 如权利要求 18所述的方法， 其特征在于， 所述接收所述鉴权认证 设备发送的鉴权认证响应消息之前， 还包括所述鉴权认证设备根据非 3GPP 接入侧发起鉴权认证请求时存储的可信关系信息确定所述当前接入的可信 关系。
24、 如权利要求 23所述的方法， 其特征在于， 所述存储的可信关系信 息包括 UE标识与可信关系的对应关系， 或者 UE标识和网络标识与可信关 系的对应关系，所述网络标识包括接入网标识、接入网络内使用的安全机制、 接入类型以及拜访地网络标识中的一种或者多种。
25、 如权利要求 21或 24所述的方法， 其特征在于， 鉴权认证设备从所 述鉴权认证请求消息中获得所述接入网标识； 或者从所述鉴权认证请求消息 中获得的接入类型构造所述接入网标识。
26、 如权利要求 23所述的方法， 其特征在于， 所述鉴权认证设备接收 到演进分组数据网关 ePDG发送的所述鉴权认证请求时， 存储 UE标识与非 可信关系的对应关系； 或者存储 UE标识和网络标识与非可信关系的对应关 系， 所述网络标识包括接入网标识、 接入网络内使用的安全机制、 接入类型 以及拜访地网络标识中的一个或多个。
27、 如权利要求 26所述的方法， 其特征在于， 所述鉴权认证设备存储 所述与非可信接入对应关系前， 判断没有已存储的当前接入的非可信接入对 应关系， 则保存所述与非可信接入的对应关系， 否则不保存。
28、 如权利要求 23所述的方法， 其特征在于， 所述鉴权认证设备接收 到所述非 3GPP接入网络发送的所述鉴权认证请求时， 存储 UE标识与当前 接入可信关系的对应关系， 或者存储 UE标识和网络标识与当前接入可信关 系的对应关系，所述网络标识包括接入网标识、接入网络内使用的安全机制、 接入类型和拜访地网络标识中的一个或多个。
29、 如权利要求 24所述的方法， 其特征在于， 所述鉴权认证设备判断 当前接入为可信接入， 不存储所述当前接入可信关系的对应关系。
30、 如权利要求 29所述的方法， 其特征在于， 所述鉴权认证设备判断 没有存储当前接入可信关系的对应关系， 则判断当前接入为可信接入。
31、 根据权利要求 18-30任一项所述的方法， 其特征在于， 所述鉴权认 证设备为 AAA服务器或 AAA代理。
32、 一种鉴权认证设备， 其特征在于， 包括：
接收单元， 用于接收非 3GPP接入的鉴权认证请求；
鉴权单元， 用于对所述接收单元接收的所述鉴权认证请求进行鉴权， 根 据配置的策略或者非 3GPP接入侧发起鉴权认证请求时存储的可信关系确定 当前接入的可信关系，
发送单元， 用于向 PDN-GW发送鉴权认证响应消息， 所述鉴权认证响 应消息中包含可信接入信元用来指示所述当前接入的可信关系。
33、 如权利要求 32所述的鉴权认证设备， 其特征在于， 鉴权单元根据 所述鉴权认证请求中的信息查询所述的策略确定所述当前接入的可信关系， 所述策略包括网络标识与可信关系的对应关系， 所述网络标识包括接入网标 识、 接入网络内使用的安全机制、 接入类型以及拜访地网络标识中的至少一 种或者多种。
34、 如权利要求 33所述的鉴权认证设备， 其特征在于， 所述网络标识与 可信关系的对应关系包含所述网络标识与可信接入和非可信接入的对应关 系； 或者所述对应关系包含所述网络标识与可信接入的对应关系； 或者所述 对应关系包含所述网络标识与非可信接入的对应关系。
35、 如权利要求 32所述的鉴权认证设备， 其特征在于， 所述鉴权单元 根据所述鉴权认证请求的信息查询所述存储的可信关系信息确定所述当前 接入的可信关系， 所述存储的可信关系信息包括 UE标识与可信关系的对应 关系， 或者 UE标识和网络标识与可信关系的对应关系， 其中， 所述网络标 识包括接入网标识、 接入网络内使用的安全机制、 接入类型和拜访地网络标 识中的一种或多种。
36、 如权利要求 33或 35所述的鉴权认证设备， 其特征在于， 所述鉴权 单元从所述鉴权认证请求消息中获得所述接入网标识； 或者
从所述鉴权认证请求消息中获得的接入类型构造所述接入网标识。
37、 如权利要求 32所述的鉴权认证设备， 其特征在于， 所述鉴权单元 接收到演进分组数据网关 ePDG发送的所述鉴权认证请求时， 存储 UE标识 与非可信关系的对应关系； 或者存储 UE标识和网络标识与非可信关系的对 应关系， 其中所述网络标识包括接入网标识、 接入网络内使用的安全机制、 接入类型以及拜访地网络标识中的至少一种。
38、 如权利要求 37所述的鉴权认证设备， 其特征在于， 所述鉴权单元存 储所述与非可信接入对应关系前， 判断没有已存储的当前接入的非可信接入 对应关系， 则保存所述与非可信接入的对应关系， 否则不保存。
39、 如权利要求 32所述的鉴权认证设备， 其特征在于， 所述鉴权单元 接收到所述非 3GPP接入网络发送的所述鉴权认证请求时， 存储 UE标识与 是否为可信接入的对应关系； 或者存储 UE标识和网络标识中至少一个与是 否为可信接入的对应关系， 其中所述网络标识包括接入网标识、 接入网络内 使用的安全机制、 接入类型以及拜访地网络标识中的至少一种。
40、 如权利要求 39所述的鉴权认证设备， 其特征在于， 所述鉴权单元 判断当前接入为可信接入， 不存储所述当前接入可信关系的对应关系。
41、 如权利要求 40所述的鉴权认证设备， 其特征在于， 所述鉴权单元 判断没有存储的当前接入可信关系的对应关系， 则判断当前接入为可信接 入。
42、 如权利要求 32所述的方法， 其特征在于， 所述可信关系为是否为 可信接入或是否为非可信接入。
43、 如权利要求 32所述的鉴权认证设备， 其特征在于， 所述可信接入 信元取值为可信或非可信， 指示当前接入为可信接入或非可信接入。
44、 一种网关设备， 其特征在于， 包括：
发送单元， 用于发送鉴权认证请求消息，
接收单元， 用于接收鉴权认证设备的鉴权认证请求响应消息， 所述鉴权 认证请求响应消息中包括可信关系信元用来指示当前接入的可信关系；
安全联盟 SA建立单元， 用于根据所述接收单元接收的所述认证请求响 应消息中指示的当前接入的可信关系， 建立 S2c隧道的数据安全通道。
45、 如权利要求 44所述的网关设备， 其特征在于， 当所述接收单元接 收的所述认证请求响应消息中指示当前接入为可信接入时， 则所述安全联盟 SA建立单元发起与 UE间的子安全联盟 Child SA建立过程； 或者，
接收到 UE发起的子安全联盟 Child SA建立请求时， 则接受请求。
46、 如权利要求 44所述的网关设备， 其特征在于， 当所述接收单元接 收的认证请求响应消息中指示当前接入为非可信接入时， 则安全联盟 SA建 立单元不发起与 UE间的子安全联盟 Child SA建立过程；
或者，接收到 UE发送的子安全联盟 Child SA建立请求时，则拒绝请求。
47、如权利要求 46所述的网关设备， 其特征在于， 所述安全联盟 SA建 立单元接收到所述 UE发送的子安全联盟 Child SA建立请求，拒绝的方式为 在所述子安全联盟 Child SA建立请求的响应消息中指示不再接收子安全联 盟 Child SA建立请求。
PCT/CN2011/078083 2011-08-05 2011-08-05 一种隧道数据安全通道的建立方法 WO2012167500A1 (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
BR112014002742A BR112014002742B8 (pt) 2011-08-05 2011-08-05 Método para estabelecer um canal de segurança de dados, dispositivo de porta e dispositivo de autenticação
PCT/CN2011/078083 WO2012167500A1 (zh) 2011-08-05 2011-08-05 一种隧道数据安全通道的建立方法
CN201180001519.6A CN103039097B (zh) 2011-08-05 2011-08-05 一种隧道数据安全通道的建立方法
US14/173,073 US9438594B2 (en) 2011-08-05 2014-02-05 Method and apparatus for establishing tunnel data security channel

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2011/078083 WO2012167500A1 (zh) 2011-08-05 2011-08-05 一种隧道数据安全通道的建立方法

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US14/173,073 Continuation US9438594B2 (en) 2011-08-05 2014-02-05 Method and apparatus for establishing tunnel data security channel

Publications (1)

Publication Number Publication Date
WO2012167500A1 true WO2012167500A1 (zh) 2012-12-13

Family

ID=47295383

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/078083 WO2012167500A1 (zh) 2011-08-05 2011-08-05 一种隧道数据安全通道的建立方法

Country Status (4)

Country Link
US (1) US9438594B2 (zh)
CN (1) CN103039097B (zh)
BR (1) BR112014002742B8 (zh)
WO (1) WO2012167500A1 (zh)

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8528059B1 (en) * 2008-10-06 2013-09-03 Goldman, Sachs & Co. Apparatuses, methods and systems for a secure resource access and placement platform
WO2013139879A1 (en) * 2012-03-23 2013-09-26 Nokia Siemens Networks Oy Trust indication for wlan access networks
USRE48631E1 (en) * 2012-06-08 2021-07-06 Samsung Electronics Co., Ltd. Method and system for selective protection of data exchanged between user equipment and network
EP3295763B1 (en) * 2015-05-11 2020-12-09 Telefonaktiebolaget LM Ericsson (PUBL) Methods and nodes for handling access to a service via an untrusted non-3gpp network
CN113596032B (zh) * 2015-05-12 2024-04-26 瑞典爱立信有限公司 处理经由非3gpp网络到epc服务的接入的方法和节点
FR3039954A1 (fr) 2015-08-05 2017-02-10 Orange Procede et dispositif d'identification de serveurs d'authentification visite et de domicile
CN105120462B (zh) * 2015-09-11 2018-10-02 中国联合网络通信集团有限公司 网络接入方法及装置
WO2017141175A1 (en) * 2016-02-16 2017-08-24 Telefonaktiebolaget Lm Ericsson (Publ) Roaming management in communication systems
WO2017159970A1 (ko) * 2016-03-17 2017-09-21 엘지전자(주) 무선통신 시스템에서 단말의 보안설정을 수행하기 위한 방법 및 이를 위한 장치
CN107820234B (zh) 2016-09-14 2021-02-23 华为技术有限公司 一种网络漫游保护方法、相关设备及系统
CN109819440B (zh) * 2017-11-20 2022-08-26 华为技术有限公司 鉴权的方法和装置
GB2586223A (en) * 2019-08-05 2021-02-17 British Telecomm Conditional message routing in a telecommunications network
CN113987560A (zh) * 2021-12-29 2022-01-28 北京交研智慧科技有限公司 一种数据的零信任认证方法、装置及电子设备

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101267319A (zh) * 2008-04-30 2008-09-17 中兴通讯股份有限公司 一种下发策略计费控制规则的方法
CN101459952A (zh) * 2008-03-27 2009-06-17 中兴通讯股份有限公司 分组数据系统及其p-gw获取无线接入技术类型的方法
WO2010076044A1 (en) * 2009-01-05 2010-07-08 Nokia Siemens Networks Oy Trustworthiness decision making for access authentication

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP2037652A3 (en) * 2007-06-19 2009-05-27 Panasonic Corporation Methods and apparatuses for detecting whether user equipment resides in a trusted or a non-trusted access network
US8295289B2 (en) * 2009-07-29 2012-10-23 Telefonaktiebolaget L M Ericsson (Publ.) Method and system for simultaneous local and EPC connectivity
EP2494814B1 (en) * 2009-10-27 2015-12-23 Telefonaktiebolaget L M Ericsson (PUBL) Method and apparatus for exchanging data between a user equipment and a core network via a security gateway
US8885471B2 (en) * 2010-10-07 2014-11-11 Qualcomm Incorporated Methods and apparatus for providing uplink traffic differentiation support for ciphered tunnels
WO2012148445A1 (en) * 2011-04-29 2012-11-01 Intel Corporation Methods and system for communicating control information using carrier aggregation
US20130121322A1 (en) * 2011-11-10 2013-05-16 Motorola Mobility, Inc. Method for establishing data connectivity between a wireless communication device and a core network over an ip access network, wireless communication device and communicatin system

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101459952A (zh) * 2008-03-27 2009-06-17 中兴通讯股份有限公司 分组数据系统及其p-gw获取无线接入技术类型的方法
CN101267319A (zh) * 2008-04-30 2008-09-17 中兴通讯股份有限公司 一种下发策略计费控制规则的方法
WO2010076044A1 (en) * 2009-01-05 2010-07-08 Nokia Siemens Networks Oy Trustworthiness decision making for access authentication

Also Published As

Publication number Publication date
US9438594B2 (en) 2016-09-06
BR112014002742A8 (pt) 2021-03-09
BR112014002742B8 (pt) 2023-01-17
CN103039097B (zh) 2015-06-03
BR112014002742B1 (pt) 2021-10-05
US20140157395A1 (en) 2014-06-05
BR112014002742A2 (pt) 2017-06-13
CN103039097A (zh) 2013-04-10

Similar Documents

Publication Publication Date Title
US10356619B2 (en) Access through non-3GPP access networks
WO2012167500A1 (zh) 一种隧道数据安全通道的建立方法
JP5922785B2 (ja) データセキュリティチャネル処理方法およびデバイス
US11888652B2 (en) VXLAN implementation method, network device, and communications system
EP3120515B1 (en) Improved end-to-end data protection
US10432632B2 (en) Method for establishing network connection, gateway, and terminal
WO2018170617A1 (zh) 一种基于非3gpp网络的入网认证方法、相关设备及系统
WO2006002601A1 (fr) Procede pour l'etablissement de la connexion de session par les utilisateurs de reseau local sans fil
CN111726228B (zh) 使用互联网密钥交换消息来配置活动性检查
WO2010094244A1 (zh) 一种进行接入认证的方法、装置及系统
JP2018537927A (ja) 認証されていないユーザのための３ｇｐｐ進化型パケットコアへのｗｌａｎアクセスを介した緊急サービスのサポート
EP3324681B1 (en) Processing method and device for accessing to 3gpp network by terminal
WO2010069202A1 (zh) 认证协商方法及系统、安全网关、家庭无线接入点
JP6861285B2 (ja) 緊急アクセス中のパラメータ交換のための方法およびデバイス
WO2013037273A1 (zh) 一种对用户设备能力进行处理的方法和系统
JP6151819B2 (ja) データセキュリティチャネル処理方法およびデバイス
RU2454812C2 (ru) Способ, устройство и система связи для создания первоначального потока служб

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 201180001519.6

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11867192

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112014002742

Country of ref document: BR

122 Ep: pct application non-entry in european phase

Ref document number: 11867192

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 112014002742

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20140204