WO2013067911A1 - 一种接入认证方法、系统及设备 - Google Patents

一种接入认证方法、系统及设备 Download PDF

Info

Publication number
WO2013067911A1
WO2013067911A1 PCT/CN2012/084131 CN2012084131W WO2013067911A1 WO 2013067911 A1 WO2013067911 A1 WO 2013067911A1 CN 2012084131 W CN2012084131 W CN 2012084131W WO 2013067911 A1 WO2013067911 A1 WO 2013067911A1
Authority
WO
WIPO (PCT)
Prior art keywords
access
authentication
terminal
information
network
Prior art date
Application number
PCT/CN2012/084131
Other languages
English (en)
French (fr)
Inventor
潘云波
魏元
Original Assignee
中兴通讯股份有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 中兴通讯股份有限公司 filed Critical 中兴通讯股份有限公司
Publication of WO2013067911A1 publication Critical patent/WO2013067911A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/2854—Wide area networks, e.g. public data networks
    • H04L12/2856—Access arrangements, e.g. Internet access
    • H04L12/2869—Operational details of access network equipments
    • H04L12/287—Remote access server, e.g. BRAS
    • H04L12/2876—Handling of subscriber policies
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities

Definitions

  • the present invention relates to the field of network communications, and in particular, to an access authentication method, system, and device.
  • the identity and location separation network As shown in Figure 1, the identity and location are separated, the Host is the host, and the AID (Access Identity) is configured as the identity; the ASR is the access router and is equipped with the RID (Routing Identity). Identification) as a location identifier. All Host hosts are registered and authenticated through the ASR and access the network. When the Host accesses the ASR (Access Service Router) and leaves the ASR, the ASR needs to report to the ILR (Identity-Locator Register). The ILR saves the identity of the Host's identity AID and its location RID ⁇ AID, RID>. The ILR also provides a response to the query mapping relationship.
  • the ILR Identity-Locator Register
  • the host communicates with the host, encapsulates and routes the RID on the ASR, and encapsulates the original packet between the Host and the Host in the payload (Payload).
  • the packet arrives at the destination ASR.
  • the destination ASR decapsulates the packet and then forwards the original packet to the destination host.
  • the packet is forwarded in the identity and location network as shown in Figure 2.
  • the packet forwarding process is as follows: Encapsulate the packet in the source ASR (ASR1 in the figure), and then between the source ASR and the destination ASR (ASR2 in the figure) After forwarding the encapsulated packet, the packet is decapsulated on the destination ASR and forwarded to the destination HOST (Host2 in the figure).
  • the encapsulation format of the packet is divided into two types: the original packet and the RID encapsulated packet.
  • the original packet is forwarded:
  • the access layer of the network is separated from the identity and location, that is, the AID is used between the Host and the ASR.
  • the packet is forwarded as the source address and the destination address.
  • the format of the packet is shown in Figure 3.
  • RID-encapsulated packet forwarding The core layer of the identity and location separation network, that is, the packet forwarding between the ASR and the ASR after RID encapsulation, the packet is shown in Figure 4.
  • WLAN Wireless Local Area Network
  • WiMAX Worldwide Interoperability for Microwave Access
  • ASN-GW Access Service Network Gateway
  • fixed-line BRAS Broadband Remote Access Server
  • the first hop of the route that is, the access router
  • the enforcement point of authentication although the authentication method is different (some use EAP (Extensible Authentication Protocol), some use Portal, some use PPPoE (Point-to-Point Protocol Over Ethernet, Ethernet) Online peer-to-peer protocol)), but they are all authentication enforcement points (for example, EAP Authenticator in the framework) rather than the final authentication point (the final authentication point is AAA Server (Authentication Authorization Accounting Server).
  • the access device is an AAA Client (AAA client);
  • Access control points the access device can control the user's network access rights.
  • the ASR In the case of a separate identity and location network, the ASR must be an access router with authentication capabilities. Therefore, if the identity and location separation network transformation is to be performed on the existing network, the access equipment in the existing network needs to be upgraded, but there are a large number of different types of access devices (AC, ASN-GW, BRAS) in the existing network. And so on, these devices vary widely in shape, including:
  • routing implementation Some access control devices use software to implement their routing functions, and some use hardware to implement routing functions;
  • Some BRASs may have service router functions, and some ACs and ASN-GWs have radio resource management functions.
  • the differences in the capabilities, implementations, and functions of the existing access devices make the existing access devices look different. If the ASR is modified on the live network, it is necessary to make targeted changes to the access devices on the live network. Human, material and financial resources.
  • Embodiments of the present invention provide an access authentication system and method, and implement an upgrade to an existing network.
  • An access authentication system provided by the embodiment of the present invention includes an access network authentication device, and an access authentication device connected to the current network access device, where:
  • the active network access device is configured to: perform access control on the terminal;
  • the access authentication device is configured to: perform access authentication on the terminal, and send the terminal related information or the authentication result to the current network access device.
  • the access authentication device performs access authentication on the terminal, including:
  • the access authentication device interacts with the terminal and the authentication and authentication accounting server to authenticate the terminal.
  • the above system may also have the following features:
  • the current network access device is further configured to: after receiving the related information of the terminal, interact with the terminal to generate access control information, according to the access control information
  • the terminal performs access control.
  • the terminal related information includes one or any combination of the following: key information, user authority information, quality of service information, and identity.
  • the active network access device is an access controller, or an access gateway, or a wide-range remote access server.
  • An access authentication method provided by the embodiment of the present invention includes: accessing an authentication device to perform access authentication on a terminal, and transmitting terminal related information or an authentication result to an existing network access device.
  • the access authentication device performs access authentication on the terminal, including:
  • the access authentication device interacts with the terminal and the authentication and authentication accounting server to authenticate the terminal.
  • the above method may also have the following features, the method further comprising:
  • the active network access device After receiving the information about the terminal, the active network access device interacts with the terminal to generate access control information, and performs access control on the terminal according to the access control information.
  • the terminal related information includes one or any combination of the following: key information, user rights information, quality of service information, and identity.
  • the active network access device is an access controller, or an access gateway, or a wide-range remote access server.
  • An embodiment of the present invention further provides an access authentication device, which includes an authentication unit and a sending unit, where
  • the authentication unit is configured to: perform access authentication on the terminal;
  • the sending unit is configured to: send related information or an authentication result used for performing access control on the terminal to the current network access device.
  • the authentication unit may be configured to: interact with the terminal and the authentication and authentication charging server, and perform authentication on the terminal.
  • the access authentication device may further include a receiving unit, where the receiving unit is configured to: when the terminal accesses the network, receive the access information of the terminal or the access request of the terminal sent by the current network access device .
  • the embodiment of the present invention provides an access authentication system and method, and the routing and authentication functions are separated from the existing access device and centralized to the access authentication device, while keeping the existing access device shape unchanged. , thus achieving an upgrade to the existing network, simple and easy.
  • Figure 1 is a schematic diagram of an identity and location separation network
  • FIG. 2 is a schematic diagram of a forwarding process of a message in an identity and location separation network
  • Figure 3 is a schematic diagram of the original AID message
  • Figure 4 is a schematic diagram of a RID encapsulated message
  • FIG. 5 is a schematic structural diagram of a network element according to an embodiment of the present invention.
  • FIG. 6 is a schematic flowchart of an access authentication method according to an embodiment of the present invention.
  • FIG. 7 is a schematic diagram of an EAP-based access procedure according to Embodiment 1 of the present invention.
  • FIG. 8 is a schematic diagram of an access flow protocol stack in a WLAN network according to Embodiment 1 of the present invention
  • 9 is a schematic diagram of an access flow protocol stack in a WiMAX network according to Embodiment 1 of the present invention
  • FIG. 10 is a schematic diagram of a Portal-based access flow according to Embodiment 2 of the present invention
  • FIG. 11 is a schematic structural diagram of an access authentication device according to an embodiment of the present invention. Preferred embodiment of the invention
  • the embodiment of the present invention provides an access authentication system, which separates the routing and authentication functions from the existing access devices and concentrates them on the access authentication device, while maintaining the existing access device.
  • the access authentication system includes an access network device, and an access authentication device connected to the current network access device, where:
  • the active network access device is configured to: perform access control on the terminal;
  • the access authentication device is configured to: perform access authentication on the terminal, and send the terminal related information or the authentication result to the current network access device.
  • the access authentication device performs access authentication on the terminal, including:
  • the access authentication device interacts with the terminal and the authentication and authentication accounting server to authenticate the terminal.
  • the active network access device is further configured to: after receiving the related information of the terminal, interact with the terminal to generate access control information, and perform access control on the terminal according to the access control information. .
  • the terminal related information includes one or any combination of the following: key information, user rights information, quality of service information, and identity.
  • the active network access device is an access controller, or an access gateway, or a wide-range remote access server.
  • the embodiment of the invention further provides an access authentication method, including:
  • the access authentication device performs access authentication on the terminal, and sends the terminal related information or the authentication result to the terminal.
  • the current network access device The access authentication device performs access authentication on the terminal, and sends the terminal related information or the authentication result to the terminal.
  • the access authentication device performs access authentication on the terminal, including:
  • the access authentication device interacts with the terminal and the authentication and authentication accounting server to authenticate the terminal.
  • the method further includes: after receiving the related information of the terminal, the active network access device interacts with the terminal to generate access control information, and connects the terminal according to the access control information. Into control.
  • the terminal related information includes one or any combination of the following: key information, user rights information, quality of service information, and identity.
  • the active network access device is an access controller, or an access gateway, or a wide-range remote access server.
  • an access authentication device also referred to as an access authentication point
  • the access authentication device is not limited to ASR, and may be another device that can implement access authentication.
  • one or more specialized ASR modules are added to an existing network that requires an identity and location separation network transformation. These ASR modules are access routers that are independent of the access technology and have the ability to authenticate execution points.
  • the access device in the live network is connected to one or more ASRs through a specific protocol.
  • the access device in the current network informs the ASR of the terminal information through a specific protocol, or forwards the access request of the terminal to the ASR, and then the ASR connects the user.
  • the ASR sends the generated user profile (such as PMK, AID, QoS information, etc.) to the access device, and the access device generates user access control information according to the specific access technology.
  • the current network access device directly forwards all uplink data of the user to the ASR that authenticates the user. Access authentication can be triggered by the terminal or triggered by the network device.
  • FIG. 7 is a flowchart of a terminal accessing network in an EAP system according to an embodiment of the present invention, where the method includes the following steps: Step 701: The terminal user establishes a connection with the current access network, where the establishing connection means that the terminal can perform MAC layer communication with the network access device instead of authorizing access to the network;
  • the terminal and the network access device complete the association interaction can be regarded as completing the step
  • the terminal and the network device complete the SBC interaction (the terminal receives
  • SBC-Response can be considered as completing this step.
  • Step 702 The network access device (AC or ASN-GW) of the current network sends an EAP-Request/ID to the terminal to query the network access identifier of the terminal.
  • the triggering of the message may be a response to the EAP-Start message from the terminal (EAP-Start is an optional message in the EAP), or may be an internal trigger after completing step 701.
  • Step 703 After receiving the EAP-Request/ID message, the terminal replies to the EAP-Response/ID to notify the identity of the user. After receiving the message, the current network access device forwards the message to the ASR, and the ASR processes the message. And send it to the AAA Server through the AAA protocol.
  • Step 704 The terminal, the ASR, and the AAA server perform an EAP authentication process.
  • the current network access device is only an authentication relay.
  • the function is only to perform EAP packets between different bearer protocols. Conversion (with respect to the bearer protocol, refer to the description of Figures 8, 9);
  • the AAA Server sends security information such as the profile of the terminal, the AID, and the MSK generated by the authentication to the ASR.
  • Step 705 After the authentication is completed, the AAA Server notifies the terminal and the ASR of the authentication result.
  • Step 706 The ASR transmits the user information required by the current network access device to the current network access device.
  • the user information includes key information, user rights, and/or QoS information, and may also include an AID, where
  • the key information includes a PMK (Pairwise Master Key) and the like. Among them, ASR generates MSK, and then generates PMK according to MSK.
  • Step 707 The active network access device interacts with the terminal to generate information required for performing access control and subsequent communication on the terminal.
  • the terminal and the current network access device perform 4-way handshake (4-way-handshake) to generate information such as a temporary session key, and the current network access device performs the terminal according to the information generation result and the use result.
  • Access control In a WiMAX network, the terminal interacts with the live network access device for PKMv2/SA-TEK.
  • FIGS 8 and 9 are schematic diagrams of access authentication protocol stacks in the WLAN and WiMAX networks of Embodiment 1 respectively.
  • an RACP is added between the ASR and the existing access device.
  • the protocol is mainly used to:
  • the authentication packet between the ASR and the access device on the live network is carried.
  • the ASR delivers the user's PMK to the existing network access device, and informs the authentication result.
  • the agreement can be an agreement specifically for this purpose or an extension of an existing protocol (such as Radius).
  • FIG. 10 is a flowchart of a terminal accessing network in a portal authentication system according to an embodiment of the present invention. As shown in FIG. 9, the method includes the following steps:
  • Step 1001 The terminal accesses the network, and the current network access device or the ASR allocates a temporary
  • the IP address (which can be a private network address).
  • the IP address can only access devices such as Portal Server (Portal Authentication Server) and DNS Server.
  • the user accesses the website, and the ASR redirects it to the Portal Server.
  • the Portal Server pushes the authentication page to the terminal, and the user fills in the user name and password to initiate a connection request.
  • the Portal Server requests the Challenge from the ASR.
  • Step 1003 the ASR allocates a Challenge to the Portal Server
  • Step 1004 The Portal Server initiates an authentication request to the ASR.
  • Step 1005 The ASR performs RADIUS authentication, and obtains the RADIUS authentication result.
  • the ASR plays the role of the AAA client.
  • the ASR obtains the AID of the terminal.
  • the ASR sends the authentication result to the Portal Server.
  • Step 1007a the ASR informs the network access device of the authentication result, and requests the data to be released to the terminal;
  • step 1007b the Portal Server notifies the terminal of the authentication result, and requires the terminal to replace the IP address. Address.
  • An embodiment of the present invention further provides an access authentication device, which includes an authentication unit and a sending unit, as shown in FIG.
  • the authentication unit is configured to: perform access authentication on the terminal;
  • the sending unit is configured to: send related information or an authentication result used for performing access control on the terminal to the current network access device.
  • the authentication unit may be configured to: interact with the terminal and the authentication and authentication charging server, and perform authentication on the terminal.
  • the access authentication device may further include a receiving unit, where the receiving unit is configured to: when the terminal accesses the network, receive the access information of the terminal or the access request of the terminal sent by the current network access device .
  • the architecture is not only applicable to the transformation of the identity and location separation network of the existing network, but also can be used in other scenarios, such as FMC (Fixed Mobile Convergence), etc., and the process is similar to that of Embodiments 1, 2, and the difference Only in:
  • the ASR of the identity and location separation network becomes another access authentication device;
  • the parameters passed by the RACP protocol are different.
  • the embodiment of the present invention provides an access authentication system and method, and the routing and authentication functions are separated from the existing access device and centralized to the access authentication device, while keeping the existing access device shape unchanged. , thus achieving an upgrade to the existing network, simple and easy.

Abstract

本发明实施例提供一种接入认证系统、方法和设备，所述系统包括现网接入设备，与所述现网接入设备相连的接入认证设备，其中：所述现网接入设备设置为：对终端进行接入控制；所述接入认证设备设置为：对终端进行接入认证，将终端相关信息或认证结果发送给所述现网接入设备。

Description

一种接入认证方法、 系统及设备
技术领域
本发明涉及网络通信领域， 尤其涉及一种接入认证方法、 系统及设备。
背景技术
在身份与位置分离网络中， 如图 1所示， 身份和位置分离， Host为主机， 配置 AID (Access Identity, 接入标识)作为身份标识； ASR为接入路由器， 配 备 RID ( Routing Identity, 路由标识）作为位置标识。 所有 Host主机通过 ASR进行注册和认证并接入网络。 Host接入到 ASR ( Access Service Router, 接入业务路由器）上，以及离开 ASR的行为， ASR都需向 ILR( Identity-Locator Register, 身份-位置映射器） 汇报。 ILR保存 Host的身份标识 AID和所在位 置 RID的映射关系 <AID, RID>。 ILR同时提供对查询映射关系的响应。
Host与 Host之间通信， 釆用 ASR上的 RID进行封装并路由， 并将 Host 与 Host之间的原始报文封装在载荷（Payload ) 中。 报文到达目的 ASR, 目 的 ASR对报文进行解封装， 然后将原始报文转发到目的 Host。
报文在身份和位置网络中转发如图 2 所示， 报文转发的过程为： 在源 ASR (图中 ASR1)对报文进行封装， 然后在源 ASR和目的 ASR (图中 ASR2 ) 之间转发封装后的报文， 最后在目的 ASR上对报文进行解封装， 并转发到目 的 HOST (图中 Host2)。
在报文转发流程中 ,报文的封装格式分为原始报文和 RID封装报文两种： 原始报文转发： 在身份与位置分离网络的接入层， 即 Host与 ASR之间 釆用 AID作为源地址和目的地址进行报文转发， 报文格式如图 3所示。
RID封装报文转发： 在身份与位置分离网络的核心层， 即 ASR与 ASR 之间釆用 RID封装后的报文转发， 报文如图 4所示。
在现有网络中，存在着大量的接入设备，例如 WLAN(Wireless Local Area Network,无线局域网） AC( Access Controller,接入控制器）， WiMAX(Worldwide Interoperability for Microwave Access,全球微波互联接入) ASN-GW ( Access Service Network Gateway, 接入网关） ， 固网的 BRAS ( Broadband Remote Access Server, 宽带远程接入服务器）， 尽管这些设备的产品形态以及功能各 有不同， 但是他们大都有着以下共同点：
路由的第一跳， 也即接入路由器；
认证的执行点， 尽管认证的方式存在不同 （有的釆用 EAP ( Extensible Authentication Protocol,可扩展认证协议），有的釆用 Portal,有的釆用 PPPoE ( Point-to-Point Protocol Over Ethernet,以太网上点对点协议） ） ， 但它们都是 认证的执行点（例如， ΕΑΡ框架中的 EAP Authenticator )而非最终认证点（最 终认证点为 AAA Server ( Authentication Authorization Accounting Server, 婆 权认证计费服务器） ， 接入设备为 AAA Client ( AAA客户端） ） ；
接入的控制点， 接入设备可以控制用户的网络接入权限。
鉴于在身份与位置分离网络中， ASR必须是接入路由器， 同时具备认证 功能。 因此， 如果要对现网进行身份与位置分离网络改造， 就需要对现网中 的接入设备进行升级，但是现有网络中存在着大量不同类型的接入设备（AC、 ASN-GW, BRAS )等等， 这些设备形态千差万别， 包括：
处理能力的区别： 有的位于楼宇之中， 服务于数百用户， 有的位于机房， 可以同时服务于数十万用户；
路由实现的区别： 有的接入控制设备用软件来实现其路由功能， 有的用 硬件来实现路由功能；
功能的区别： 有些 BRAS可能具备业务路由器功能，有些 AC、 ASN-GW 具备无线资源管理功能。
这些能力、 实现方式、 功能的区别使得现有的接入设备形态各异， 如果 对现网进行 ASR化改造， 需要对现网的这些接入设备——作针对性的改造， 这将耗费大量的人力、 物力和财力。
发明内容
本发明实施例提供一种接入认证系统和方法， 实现对现有网络的升级。 本发明实施例提供的一种接入认证系统， 包括现网接入设备， 与所述现 网接入设备相连的接入认证设备， 其中：
所述现网接入设备设置为： 对终端进行接入控制；
所述接入认证设备设置为： 对终端进行接入认证， 将终端相关信息或认 证结果发送给所述现网接入设备。
上述系统还可具有以下特点， 所述接入认证设备对所述终端进行接入认 证包括：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
上述系统还可具有以下特点， 所述现网接入设备还设置为： 接收到所述 终端相关信息后， 与所述终端进行交互， 生成接入控制信息， 根据所述接入 控制信息对所述终端进行接入控制。
上述系统还可具有以下特点， 所述终端相关信息包括如下之一或其任意 组合： 密钥信息、 用户权限信息、 服务质量信息和身份标识。
上述系统还可具有以下特点， 所述现网接入设备为接入控制器， 或者， 接入网关， 或者， 宽度远程接入服务器。
本发明实施例提供的一种接入认证方法， 包括： 接入认证设备对终端进 行接入认证， 将终端相关信息或认证结果发送给现网接入设备。
上述方法还可具有以下特点， 所述接入认证设备对所述终端进行接入认 证包括：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
上述方法还可具有以下特点， 所述方法还包括：
所述现网接入设备接收到所述终端相关信息后， 与所述终端进行交互， 生成接入控制信息， 根据所述接入控制信息对所述终端进行接入控制。
上述方法还可具有以下特点， 所述终端相关信息包括如下之一或其任意 组合： 密钥信息、 用户权限信息、 服务质量信息和身份标识。 上述方法还可具有以下特点， 所述现网接入设备为接入控制器， 或者， 接入网关， 或者， 宽度远程接入服务器。
本发明实施例还提供一种接入认证设备， 其包括认证单元和发送单元， 其中，
所述认证单元设置为： 对终端进行接入认证；
所述发送单元设置为： 将用来对所述终端进行接入控制的相关信息或认 证结果发送给现网接入设备。
其中， 所述认证单元可以设置为： 与所述终端、 鉴权认证计费服务器交 互， 对所述终端进行认证。
所述接入认证设备还可以包括接收单元， 所述接收单元设置为： 当终端接入网络时， 接收所述现网接入设备发送的所述终端的接入信息 或所述终端的访问请求。
本发明实施例提供了一种接入认证系统和方法， 在保持现有接入设备形 态不变的前提下， 将路由及认证功能从现有接入设备中剥离出来， 集中到接 入认证设备， 从而实现了对现有网络的升级， 简单易行。
附图概述
图 1是身份和位置分离网络示意图；
图 2 是报文在身份和位置分离网络中的转发过程示意图；
图 3是原始 AID报文示意图；
图 4 是 RID封装报文示意图；
图 5是本发明实施例所涉及的网元架构示意图；
图 6是本发明实施例接入认证方法流程示意图；
图 7是本发明实施例 1基于 EAP的接入流程示意图；
图 8是本发明实施例 1在 WLAN网络中的接入流程协议栈示意图； 图 9是本发明实施例 1在 WiMAX网络中的接入流程协议栈示意图； 图 10是本发明实施例 2基于 Portal的接入流程示意图；
图 11是本发明实施例的接入认证设备的结构示意图。 本发明的较佳实施方式
下文中将结合附图对本发明的实施例进行详细说明。 需要说明的是， 在 不冲突的情况下， 本申请中的实施例及实施例中的特征可以相互任意组合。
本发明实施例提供了一种接入认证系统， 在保持现有接入设备形态不变 的前提下， 将路由及认证功能从现有接入设备中剥离出来， 集中到接入认证 设备。
上述接入认证系统， 包括现网接入设备， 与所述现网接入设备相连的接 入认证设备， 其中：
所述现网接入设备设置为： 对终端进行接入控制；
所述接入认证设备设置为： 对终端进行接入认证， 将终端相关信息或认 证结果发送给所述现网接入设备。
其中， 所述接入认证设备对所述终端进行接入认证包括：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
其中： 所述现网接入设备还设置为： 接收到所述终端相关信息后， 与所 述终端进行交互， 生成接入控制信息， 根据所述接入控制信息对所述终端进 行接入控制。
其中， 所述终端相关信息包括如下之一或其任意组合： 密钥信息、 用户 权限信息、 服务质量信息和身份标识。
其中， 所述现网接入设备为接入控制器， 或者， 接入网关， 或者， 宽度 远程接入服务器。
本发明实施例还提供一种接入认证方法， 包括：
接入认证设备对终端进行接入认证， 将终端相关信息或认证结果发送给 现网接入设备。
其中， 所述接入认证设备对所述终端进行接入认证包括：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
其中， 所述方法还包括： 所述现网接入设备接收到所述终端相关信息后， 与所述终端进行交互， 生成接入控制信息， 根据所述接入控制信息对所述终 端进行接入控制。
其中， 所述终端相关信息包括如下之一或其任意组合： 密钥信息、 用户 权限信息、 服务质量信息和身份标识。
其中， 所述现网接入设备为接入控制器， 或者， 接入网关， 或者， 宽度 远程接入服务器。
下面实施例中以接入认证设备（也称接入认证点）为 ASR为例进行说明， 但接入认证设备不限于 ASR, 也可是其它能实现接入认证的装置。
如图 5所示， 在某个需要进行身份与位置分离网络改造的现有网络中增 加一个或多个专门的 ASR模块。 这些 ASR模块是独立于接入技术的接入路 由器， 同时具备认证执行点的功能。 现网中的接入设备与一个或者多个 ASR 通过特定的协议连接起来。 如图 6所示， 当终端用户接入网络时， 现网中的 接入设备将终端的信息通过特定的协议告知 ASR, 或者将终端的访问请求转 发给 ASR, 然后由 ASR来对用户进行接入认证， 认证通过后， ASR将产生 的用户 Profile (例如 PMK、 AID, QoS信息等等）发送给接入设备， 接入设 备再根据具体的接入技术产生用户接入控制的信息， 在用户获准接入后， 现 网接入设备将用户所有的上行数据都直接转发给对其进行认证的 ASR。 接入 认证可以是终端主动触发， 也可以是网络设备触发。
实施例 1
图 7为本发明实施例在 EAP体系下的一种终端入网流程， 所述方法包括 以下步骤： 步骤 701 : 终端用户与当前的接入网络建立连接， 所述的建立连接是指 终端可以与网络接入设备进行 MAC层通信， 而非授权接入网络；
以 WLAN为例，终端与网络接入设备完成 Association交互即可视为完成 该步骤；
以 WiMAX 为例， 终端与网络设备完成 SBC 交互 （终端收到
SBC-Response ) 即可视为完成该步骤。
步骤 702 : 现网的网络接入设备 （AC 或者 ASN-GW ) 向终端发送 EAP-Request/ID来询问终端的网络接入标识；
该消息的触发可以是对来自终端的 EAP-Start消息的回应 （EAP-Start是 EAP中的可选消息） ， 也可以是完成步骤 701后的内部触发。
步骤 703: 终端在收到 EAP-Request/ID消息后， 回复 EAP-Response/ID 告知自己的身份， 现网接入设备收到该消息后将该消息转发给 ASR, ASR对 该消息进行处理， 并将之通过 AAA协议发送给 AAA Server。
步骤 704: 终端、 ASR、 AAA Server三者执行 EAP认证流程， 在该流程 中， 现网接入设备仅仅是个认证的 Relay (中继） ， 其作用仅仅是将 EAP报 文在不同承载协议间进行转换（关于承载协议， 参考对附图 8、 9的描述） ； 在该过程中， AAA Server将终端的 Profile, AID及认证产生的 MSK等 安全信息发送给 ASR。
步骤 705: 认证完成后， AAA Server将认证结果告知终端和 ASR。
步骤 706: ASR将现网接入设备所需的用户信息传递给现网接入设备； 所述用户信息包括密钥信息、用户权限和 /或 QoS信息等，还可包括 AID, 其中， 所述密钥信息包括 PMK ( Pairwise master key )等。 其中， ASR生成 MSK, 再才艮据 MSK生成 PMK。
步骤 707: 现网接入设备与终端进行交互， 产生用于对终端进行接入控 制以及后续通信所需的信息；
例如， 在 WLAN 网络中， 终端与现网接入设备进行 4 次握手 ( 4-way-handshake )产生临时会话密钥等信息， 现网接入设备根据信息的产 生结果及使用结果来对终端进行接入控制； 在 WiMAX网络中， 终端与现网接入设备进行 PKMv2/SA-TEK交互。
附图 8、 9分别为实施例 1在 WLAN、 WiMAX网络中的接入认证协议栈 示意图。
如图 8 , 9所示，在 ASR与现网接入设备之间增加了一个 RACP ( Remote
Access Control Protocol, 远端接入控制协议） ， 该协议主要用于：
承载 ASR与现网接入设备之间的认证报文；
用于 ASR与现网接入设备之间传递用户相关信息， 例如 ASR向现网接 入设备传递用户的 PMK, 告知认证结果等等。
该协议可以是个专门为此制定的协议， 也可以是现有协议（例如 Radius ) 的扩充。
图 10为本发明实施例在 Portal认证体系下的一种终端入网流程， 如图 9 所示， 所述方法包括以下步骤：
步骤 1001 , 终端接入网络， 现网接入设备或者 ASR为其分配一个临时
IP地址（可以是私网地址） , 该 IP地址只能访问 Portal Server(Portal认证服 务器）、 DNS Server等设备。 用户访问网站， ASR将其重定向至 Portal Server, Portal Server将认证页面推送至终端，用户填入用户名、密码，发起连接请求； 步骤 1002, Portal Server向 ASR请求 Challenge;
步骤 1003 , ASR分配 Challenge给 Portal Server;
步骤 1004, Portal Server向 ASR发起认证请求；
步骤 1005, ASR进行 RADIUS认证， 获得 RADIUS认证结果， 在该过 程中， ASR扮演 AAA Client角色， 在认证过程中， ASR获得终端的 AID; 步骤 1006, ASR将认证结果告知 Portal Server;
步骤 1007a, ASR将认证结果告知网络接入设备， 要求其对终端的数据 放行；
步骤 1007b, Portal Server将认证结果告知终端， 同时要求终端更换 IP地 址。
本发明实施例还提供一种接入认证设备， 如图 11所示， 其包括认证单元 和发送单元， 其中，
所述认证单元设置为： 对终端进行接入认证；
所述发送单元设置为： 将用来对所述终端进行接入控制的相关信息或认 证结果发送给现网接入设备。
其中， 所述认证单元可以设置为： 与所述终端、 鉴权认证计费服务器交 互， 对所述终端进行认证。
所述接入认证设备还可以包括接收单元， 所述接收单元设置为： 当终端接入网络时， 接收所述现网接入设备发送的所述终端的接入信息 或所述终端的访问请求。
更进一步， 本架构不仅适用于对现网进行身份与位置分离网络改造， 还 可用于其他场景 , 例如 FMC ( Fixed Mobile Convergence, 固网融合 )等等 , 其流程与实施例 1、 2类似， 区别仅仅在于： 身份与位置分离网络的 ASR变成其他接入认证设备；
RACP协议传递的参数有所区别。
本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序 来指令相关硬件完成， 所述程序可以存储于计算机可读存储介质中， 如只读 存储器、 磁盘或光盘等。 可选地， 上述实施例的全部或部分步骤也可以使用 一个或多个集成电路来实现。 相应地， 上述实施例中的各模块 /单元可以釆用 硬件的形式实现， 也可以釆用软件功能模块的形式实现。 本发明不限制于任 何特定形式的硬件和软件的结合。
以上所述， 仅为本发明的较佳实施例而已， 并非用于限定本发明的保护 范围， 凡在本发明的精神和原则之内所作的任何修改、 等同替换和改进等， 均应包含在本发明的保护范围之内。
工业实用性
本发明实施例提供了一种接入认证系统和方法， 在保持现有接入设备形 态不变的前提下， 将路由及认证功能从现有接入设备中剥离出来， 集中到接 入认证设备， 从而实现了对现有网络的升级， 简单易行。

Claims

权 利 要 求 书
1、 一种接入认证系统， 包括现网接入设备， 以及与所述现网接入设备相 连的接入认证设备， 其中：
所述接入认证设备设置为： 对终端进行接入认证， 将用来对所述终端进 行接入控制的相关信息或认证结果发送给所述现网接入设备；
所述现网接入设备设置为： 根据所述相关信息或认证结果对所述终端进 行接入控制。
2、 如权利要求 1所述的系统， 其中， 所述接入认证设备是设置为以如下 方式对所述终端进行接入认证：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
3、 如权利要求 1所述的系统， 其中，
所述现网接入设备是设置为： 接收到所述相关信息后， 与所述终端进行 交互， 生成接入控制信息， 根据所述接入控制信息对所述终端进行接入控制。
4、 如权利要求 1所述的系统， 其中， 所述终端相关信息包括如下之一或 其任意组合： 密钥信息、 用户权限信息、 服务质量信息和身份标识。
5、 如权利要求 1至 4任一所述的系统， 其中， 所述现网接入设备为接入 控制器， 或者， 接入网关， 或者， 宽度远程接入服务器。
6、 一种接入认证方法， 其包括：
接入认证设备对终端进行接入认证， 将用来对所述终端进行接入控制的 相关信息或认证结果发送给现网接入设备。
7、 如权利要求 6所述的方法， 其中， 所述接入认证设备对所述终端进行 接入认证包括：
所述接入认证设备与所述终端、 鉴权认证计费服务器交互， 对所述终端 进行认证。
8、 如权利要求 6所述的方法， 所述方法还包括：
所述现网接入设备接收到所述终端相关信息后， 与所述终端进行交互， 生成接入控制信息， 根据所述接入控制信息对所述终端进行接入控制。
9、 如权利要求 6所述的方法， 其中， 所述相关信息包括如下之一或其任 意组合： 密钥信息、 用户权限信息、 服务质量信息和身份标识。
10、 如权利要求 6至 9任一所述的方法， 其中， 所述现网接入设备为接 入控制器， 或者， 接入网关， 或者， 宽度远程接入服务器。
11、 一种接入认证设备， 其包括认证单元和发送单元， 其中，
所述认证单元设置为： 对终端进行接入认证；
所述发送单元设置为： 将用来对所述终端进行接入控制的相关信息或认 证结果发送给与所述接入认证设备相连的现网接入设备。
12、 如权利要求 11所述的设备， 其中， 所述认证单元是设置为： 与所述终端、 鉴权认证计费服务器交互， 对所述终端进行认证。
13、 如权利要求 11所述的设备， 其中， 所述相关信息包括如下之一或其 任意组合： 密钥信息、 用户权限信息、 服务质量信息和身份标识。
14、 如权利要求 11所述的设备， 其还包括接收单元， 所述接收单元设置 为：
当终端接入网络时， 接收所述现网接入设备发送的所述终端的接入信息 或所述终端的访问请求。
PCT/CN2012/084131 2011-11-09 2012-11-06 一种接入认证方法、系统及设备 WO2013067911A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201110352529.6 2011-11-09
CN2011103525296A CN103108324A (zh) 2011-11-09 2011-11-09 一种接入认证方法及系统

Publications (1)

Publication Number Publication Date
WO2013067911A1 true WO2013067911A1 (zh) 2013-05-16

Family

ID=48288523

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2012/084131 WO2013067911A1 (zh) 2011-11-09 2012-11-06 一种接入认证方法、系统及设备

Country Status (2)

Country Link
CN (1) CN103108324A (zh)
WO (1) WO2013067911A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110582085A (zh) * 2018-06-11 2019-12-17 成都鼎桥通信技术有限公司 一种通信方法、装置和系统

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103648109B (zh) * 2013-12-09 2017-03-08 成都飞鱼星科技股份有限公司 一种无线分布式转发系统及方法
CN104869564A (zh) * 2014-02-21 2015-08-26 中国电信股份有限公司 一种以bras作为peap认证点的实现方法和系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1581770A (zh) * 2003-08-13 2005-02-16 华为技术有限公司 一种三层用户的认证方法
CN1874287A (zh) * 2005-05-30 2006-12-06 中兴通讯股份有限公司 移动通信网与无线城域网的互通系统及其方法
CN101227477A (zh) * 2008-02-01 2008-07-23 中兴通讯股份有限公司 一种用户终端接入认证的实现方法
CN101355485A (zh) * 2007-07-26 2009-01-28 华为技术有限公司 一种网络接入认证转换的方法及系统和装置
KR20090014625A (ko) * 2007-08-06 2009-02-11 삼성전자주식회사 사설 네트워크를 갖는 네트워크에서의 인증 시스템 및 방법

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN100352203C (zh) * 2003-09-04 2007-11-28 华为技术有限公司 控制宽带网络用户接入网络的方法
CN1564127A (zh) * 2004-03-26 2005-01-12 中兴通讯股份有限公司 一种无线局域网移动终端接入认证方法
CN100421403C (zh) * 2005-06-29 2008-09-24 华为技术有限公司 一种认证接入系统及其认证接入方法
CN100488263C (zh) * 2005-07-08 2009-05-13 北京邮电大学 基于控制和应用分离、具有业务生成能力的智能外设系统
US8418228B2 (en) * 2008-12-03 2013-04-09 Electronics And Telecommunications Research Institute Converged access control method using network access device at penetration node of IP network of convergence ALL-IP network

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1581770A (zh) * 2003-08-13 2005-02-16 华为技术有限公司 一种三层用户的认证方法
CN1874287A (zh) * 2005-05-30 2006-12-06 中兴通讯股份有限公司 移动通信网与无线城域网的互通系统及其方法
CN101355485A (zh) * 2007-07-26 2009-01-28 华为技术有限公司 一种网络接入认证转换的方法及系统和装置
KR20090014625A (ko) * 2007-08-06 2009-02-11 삼성전자주식회사 사설 네트워크를 갖는 네트워크에서의 인증 시스템 및 방법
CN101227477A (zh) * 2008-02-01 2008-07-23 中兴通讯股份有限公司 一种用户终端接入认证的实现方法

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110582085A (zh) * 2018-06-11 2019-12-17 成都鼎桥通信技术有限公司 一种通信方法、装置和系统
CN110582085B (zh) * 2018-06-11 2022-12-16 成都鼎桥通信技术有限公司 一种通信方法、装置和系统

Also Published As

Publication number Publication date
CN103108324A (zh) 2013-05-15

Similar Documents

Publication Publication Date Title
US8335490B2 (en) Roaming Wi-Fi access in fixed network architectures
JP6045648B2 (ja) ユーザエンティティにネットワークアクセスを提供する方法及び装置
US9112909B2 (en) User and device authentication in broadband networks
US8509440B2 (en) PANA for roaming Wi-Fi access in fixed network architectures
CA2414216C (en) A secure ip access protocol framework and supporting network architecture
JP4865805B2 (ja) 異なる認証証明書をサポートするための方法および機器
KR101002799B1 (ko) 이동통신 네트워크 및 상기 이동통신 네트워크에서 이동 노드의 인증을 수행하는 방법 및 장치
US20100325714A1 (en) System and method for providing mobility in a network environment
US20070211659A1 (en) Method for implementing eap authentication relay in a wireless access system
US20090150665A1 (en) Interworking 802.1 AF Devices with 802.1X Authenticator
US20080137863A1 (en) Method and system for using a key management facility to negotiate a security association via an internet key exchange on behalf of another device
CA2414044C (en) A secure ip access protocol framework and supporting network architecture
WO2014117525A1 (zh) 静态用户终端认证处理方法及装置
US20190028475A1 (en) Systems and methods for routing traffic originating from a communicaiton device
WO2014101449A1 (zh) 一种无线局域网中接入节点的控制方法及通信系统
WO2011127774A1 (zh) 一种用户终端接入互联网方式的控制方法及装置
WO2007131426A1 (en) Aaa system and authentication method of multi-hosts network
US11388145B2 (en) Tunneling data traffic and signaling over secure etls over wireless local area networks
WO2014048373A1 (zh) 无线信息传输方法和设备
TWI428031B (zh) 區域網協存取網路元件與終端設備的認證方法與裝置
WO2013067911A1 (zh) 一种接入认证方法、系统及设备
WO2014117524A1 (zh) Wlan接入网络中传递成对主密钥的方法和系统
JP4584776B2 (ja) ゲートウェイ装置およびプログラム
WO2012022212A1 (zh) 用户设备接入方法、装置及系统
WO2014032542A1 (zh) 多连接建立的方法及系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 12847966

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 12847966

Country of ref document: EP

Kind code of ref document: A1