WO2014124561A1

WO2014124561A1 - 实现在wlan中的通信的方法和系统

Info

Publication number: WO2014124561A1
Application number: PCT/CN2013/071647
Authority: WO
Inventors: 薛莉; 李井伟; 高红亮; 陈刚; 钱国锋
Original assignee: 华为技术有限公司
Priority date: 2013-02-18
Filing date: 2013-02-18
Publication date: 2014-08-21
Also published as: EP2958353A1; CN104247482A; US20150359017A1; EP2958353A4

Abstract

提供一种实现在WLAN中的通信的方法。路由设备接收来自认证服务器的报文，报文中携带用户终端的标识和所述用户终端的标识对应的PMK。路由设备为发起EAP认证的端点。所述路由设备管理所述用户终端。所述路由设备从所述报文中获得所述用户终端的标识和所述PMK。所述路由设备向接入控制器AC发送控制消息。所述控制消息中携带所述用户终端的标识和所述PMK。所述AC管理所述AP。所述用户终端通过所述AP接入WLAN。所述路由设备接收来自所述AC的响应消息。本发明实施例提供的方案，可以降低部署WLAN的成本。

Description

实现在 WLAN中的通信的方法和系统

技术领域

本发明实施例涉及通信领域，尤其涉及一种实现在 WLAN中的通信的方法和系统。背景技术

随着移动宽带业务普遍发展，蜂窝网络，例如第三代（ 3rd generation, 3G ) 网络、长期演进（ long term evolution, LTE ) 网络等，越来越不能满足日益增长的带宽需求。无线局域网 (wireless local area network, WLAN)作为短距离无线通信技术，可以作为蜂窝移动业务的补充，为运营商提供多层次的移动业务提供了很好的捷径，从而减轻运营商的负担。另一方面， WLAN可以提供免费频谱资源，使得 WLAN技术商用的门槛降低。 WLAN技术的应用在近几年掀起了热潮，各大运营商正在大力部署 WLAN, 市场前景广阔。

举例来说， WLAN的组网方式可以釆用胖接入点的自治形结构。一般来说，使用胖接入点的网络大多是家庭办公（ small office and home office, SOHO)等小型网络。可选地， WLAN的组网方式可以釆用瘦接入点和接入控制器（access controller, AC) 组成的集中式结构。在热点区域，例如机场，酒店，咖啡厅等公共区域一般使用所述集中式结构。所述釆用集中式结构的网络包括接入点（access point, AP )和 AC。在现有网络中， AC 管理 AP。并且， AC管理用户终端，例如通过 AC实现认证、授权和计费服务器 ( Authentication, Authorization and Accounting server , AAA server ) 与用户终端之间的认证。举例来说，用户终端可以是终端设备，例如电脑，手机，个人数字助理（ personal digital assistant, PDA ) , 或者其他可标识的终端设备。但是，现有组网中的 AC 多为低配置的交换机，当需要实现大型 WLAN, 尤其是运营商级的 WLAN时，低配置的交换机不能实现大型 WLAN中的用户管理的功能，因此需要部署高配置的 AC, 成本高。发明内容

有鉴于此，本发明实施例提供一种低成本部署 WLAN的方法和设备，用于降低部署大型 WLAN时的成本。

第一方面，提供一种实现在 WLAN中的通信的方法。所述方法包括下述操作。路由设备接收来自认证服务器的报文。所述报文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥（PMK )。其中，所述路由设备为发起可扩展认证协议（EAP )认证的端点，所述路由设备管理所述用户终端。所述路由设备从所述报文中获得所述用户终端的标识和所述 PMK。所述路由设备向接入控制器（AC )发送控制消息。所述控制消息中携带所述用户终端的标识和所述 PMK。其中所述 AC管理所述 AP。所述用户终端通过所述 AP接入 WLAN。所述路由设备接收来自所述 AC的响应消息，所述响应消息用于响应所述控制消息。

根据第一方面，提供第一种实现方式，所述控制消息是扩展的远程认证拨号用户服务（rad ius ) 消息。

根据第一方面的第一种实现方式，提供第二种实现方式，所述控制消息是密钥知会消息（Key- of- Announcement , KOA ) 消息。

根据第一方面或者第一方面的第一种或者第二种实现方式，提供第三种实现方式，所述响应消息是应答（ACK ) 消息。所述 ACK 消息用于表明所述 AC收到所述密钥。

根据第一方面或者第一方面的第一种或者第二种实现方式，提供第四种实现方式，，所述响应消息是错误指示（NAK ) 消息，所述错误指示消息用于表明所述 AC收到的密钥错误。

根据第一方面的第四种实现方式，提供第五种实现方式，所述方法还包括：当所述路由设备接收到的响应消息是所述错误指示消息时，重新发送所述控制消息。

根据第一方面或者第一方面的上述任一种实现的方式，提供第六种实现方式，所述路由设备向接入控制器 AC发送控制消息前，所述方法还包括：所述路由设备接收来自所述 AC的请求消息。所述请求消息用于请求所述用户终端的标识对应的 PMK。根据第一方面或者第一方面的上述任一种实现的方式，提供第七种实现方式，所述方法还包括：所述路由设备在预设的时间内没有收到来自所述 AC 的响应消息时，重新发送所述控制消息。

根据第一方面或者第一方面的上述任一种实现的方式，提供第八种实现方式，所述方法还包括：所述路由设备连续 N次在预设的时间内没有收到来自所述 AC的响应消息时，停止发送所述控制消息。

第二方面，提供一种实现在 WLAN中的通信的方法。所述方法包括下述操作。 AC接收来自路由设备的控制消息。所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述路由设备为发起 EAP认证的端点，所述路由设备管理所述用户终端。数据加密节点根据所述 PMK加密数据报文，所述数据报文来自所述用户终端或者发往所述用户终端。所述 AC向所述路由设备发送响应消息。其中所述 AC管理 AP ,所述用户终端通过所述 AP接入 WLAN。

根据第二方面，提供第一种实现方式，所述响应消息为扩展的 RADIUS报文。

根据第二方面或者第二方面的第一种实现方式，提供第二种实现方式，所述数据加密节点为所述 AC。所述数据加密节点根据所述 PMK加密数据报文，包括：所述 AC根据所述 PMK生成成对临时密钥（ PTK )和组临时密钥（ GTK ); 如果所述数据报文是单播报文，所述 AC使用所述 PTK加密所述数据报文；和如果所述数据报文是组播报文，所述 AC使用所述 GTK加密所述数据报文。

根据第二方面或者第二方面的第一种实现方式，提供第三种实现方式，所述数据加密节点为所述 AP。所述数据加密节点根据所述 PMK加密数据报文，包括：所述 AP接收所述 AC发送的所述用户终端的标识和所述 PMK; 所述 AP 根据所述 PMK生成 PTK和 GTK; 如果所述数据报文是单播报文，所述 AP使用所述 PTK加密所述数据报文；和如果所述数据报文是组播报文，所述 AP使用所述 GTK加密所述数据报文。

根据第二方面或者第二方面的第一种实现方式，提供第四种实现方式，所述数据加密节点为所述 AP。所述数据加密节点根据所述 PMK加密数据报文，包括：所述 AP接收所述 AC发送的所述用户终端的标识、 PTK和 GTK, 所述 PTK和所述 GTK由所述 AC根据所述 PMK生成；如果所述数据报文是单播报文，所述 AP使用所述 PTK加密所述数据报文；和如果所述数据报文是组播报文，所述 AP使用所述 GTK加密所述数据报文。

根据第二方面或者第二方面的上述任何一种实现方式，在 AC接收来自路由设备的控制消息前，所述方法还包括：所述 AC向所述路由设备发送请求消息。所述请求消息用于请求所述用户终端的标识对应的 PMK。

第三方面，提供一种路由设备。所述路由设备为发起 EAP认证的端点。所述路由设备管理用户终端。所述路由设备包括发送接收单元和处理单元。所述发送接收单元用于接收来自认证服务器的报文。所述报文中携带所述用户终端的标识和所述用户终端的标识对应的 PMK。所述处理单元用于从所述中获得所述用户终端的标识和所述 PMK。所述发送接收单元还用于向 AC 发送控制消息。所述控制消息中携带所述用户终端的标识和所述 PMK。其中所述 AC管理所述 AP。所述用户终端通过所述 AP接入 WLAN₀ 所述发送接收单元还用于接收来自所述 AC的响应消息。所述响应消息用于响应所述控制消息。

根据第三方面，提供第一种实现方式，所述控制消息是扩展的 RADIUS报文。

根据第三方面的第一种实现方式，提供第二种实现方式，所述控制消息是 K0A消息。

根据第三方面或者第三方面的上述任一种实现方式，提供第三种实现方式，所述响应消息是应答 ACK消息。所述 ACK消息用于表明所述 AC收到所述密钥。根据第三方面或者第三方面的第一种或者第二种实现方式，提供第四种实现方式，所述响应消息是错误指示消息。所述错误指示消息用于表明所述 AC收到的密钥错误。

第四方面，提供一种网络设备。所述网络设备管理 AP。所述网络设备包括发送接收单元和处理单元。所述发送接收单元用于接收来自路由设备的控制消息。所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述路由设备为发起 EAP认证的端点，并且管理所述用户终端。所述处理单元用于生成响应消息。所述响应消息用于响应所述控制消息。所述发送接收单元还用于向所述路由设备发送所述响应消息。所述用户终端通过所述 AP接入 WLAN。

根据第四方面，提供第一种实现方式，所述响应消息是 ACK消息。根据第四方面，提供第二种实现方式，所述处理单元还用于判断所述控制消息是否正确，如果所述控制消息不正确，所述响应消息为错误指示消息。

根据第四方面或者第四方面的第一种实现方式，提供第三种实现方式，所述发送接收单元还用于接收数据报文，所述数据报文来自所述用户终端或者发往所述用户终端。所述处理单元还用于根据所述 PMK生成 PTK和 GTK , 如果所述数据报文是单播报文，使用所述 PTK加密所述数据报文；如果所述数据报文是组播报文，使用所述 GTK加密所述数据报文。

根据第四方面或者第四方面的第一种实现方式，提供第四种实现方式，所述处理单元还用于根据所述用户终端的标识确定所述 AP。所述发送接收单元还用于向所述 AP发送所述用户终端的标识和所述 PMK。

根据第四方面或者第四方面的第一种实现方式，提供第五种实现方式，所述处理单元还用于根据所述 PMK生成 PTK和 GTK , 并且根据所述用户终端的标识确定所述 AP。所述发送接收单元还用于向所述 AP发送所述用户终端的标识、所述 PTK和所述 GTK。

第五方面，提供一种网络系统。所述网络系统，包括路由设备和 AC。所述路由设备为发起 EAP认证的端点。所述路由设备用于管理所述用户终端。所述 AC用于管理 AP。所述路由设备还用于接收来自认证服务器的报文，所述"¾文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK; 从所述报文中获得所述用户终端的标识和所述 PMK;向所述 AC发送控制消息，所述控制消息中携带所述用户终端的标识和所述 PMK。所述用户终端通过所述 AP接入 WLAN。所述 AC用于向所述路由设备发送响应消息，所述响应消息用于响应所述控制消息。

根据第五方面，提供第一种实现方式，所述网络系统还包括所述 AP。在上述技术方案中，所述路由设备从来自认证服务器的报文中获得用户终端的标识和所述用户终端的标识对应 PMK , 将所述用户终端的标识和所述 PMK携带在控制消息中发送给所述 AC。所述路由设备管理所述用户终端，所述 AC管理所述 AP。因此，在实现 WLAN , 尤其是大型 WLAN,例如运营商级的 WLAN时，不需要部署高配置的 AC来实现用户终端的管理，并且可以充分利用现有网络中的路由设备来部署 WLAN , 从而降低成本，更经济地实现大型 WL AN的部署。附图说明

为了更清楚地说明本发明的技术方案，下面将对实施例中使用的附图作简单地介绍，显而易见地，下面附图只是本发明的一些实施例的附图，对于本领域普通技术人员来说，在不付出创造性劳动性的前提下，还可以根据这些附图获得同样能实现本发明技术方案的其它附图。

图 1为本发明一个实施例中 WLAN的组网简化示意图；

图 2为本发明又一个实施例中 WLAN的组网简化示意图；

图 3本发明一个实施例中 WLAN的组网简化示意图；

图 4为本发明又一个实施例中 WLAN的组网简化示意图；

图 5为本发明一个实施例中实现在 W L A N中的通信的方法的简化流程图; 图 6为本发明一个实施例中实现在 WL A N中的通信的方法的简化流程图；图 7为本发明一个实施例中路由设备的简化结构框图；

图 8为本发明又一个实施例中路由设备的简化结构框图；

图 9为本发明一个实施例中 AC的简化结构框图；

图 1 0为本发明又一个实施例中 AC的简化结构框图；

图 1 1为本发明一个实施例中网络系统的简化结构框图；

图 1 2所示为本发明一个实施例中控制消息的格式图；。

图 1 3所示为本发明一个实施例中控制消息的属性格式图；

图 1 4所示为本发明一个实施例中控制消息的属性格式图；

图 1 5所示为本发明一个实施例中响应消息的格式图；

图 1 6所示为本发明一个实施例中响应消息的属性格式图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例的技术方案进行清楚、完整地描述。显然，下述的各个实施例都只是本发明一部分的实施例。基于本发明下述的各个实施例，本领域普通技术人员即使没有作出创造性劳动，也可以通过等效变换部分甚至全部的技术特征，而获得能够解决本发明技术问题，实现本发明技术效果的其它实施例，而这些变换而来的各个实施例显然并不脱离本发明所公开的范围。图 1为本发明一个实施例中 WLAN的组网简化示意图。图 1示出了四个接入点（AP) , 其中两个 AP通过 WLAN技术接入因特网（Internet) 。 AP可以通过二层接入设备、二层汇聚设备、路由设备以及核心路由器（core router, CR ) 接入 Internet。图 1 示出的路由设备是发起可扩展认证协议 (Extensible Authentication Protocol, EAP)认证的端点。示例性地，所述路由设备可以是接入宽带远程接入服务器 ( broadband remote access server, BRAS )或者多业务控制网关 (Multi-Service Control Gateway, MSCG) 。接入控制器（AC) 管理 AP, AC 不参与数据转发。所述路由设备管理用户终端（图 1中未示出）。图 1所示的网络通过拨号用户远程认证月良务月良务器 ( Remote Authentication Dial In User Service server , RADIUS server )对所述用户终端进行认证。图 1 所示的 RADIUS server 仅为示例，也可以釆用其他 AAA服务器。可选地，图 1所示的网络还示出了其他设备，例如多住户单元（multi-dwelling unit, MDU ) 、光网络终端( opt ica 1 network termina 1 , ONT )、光线路终端 ( optical line termina 1 OLT) 。图 1 仅用于示例性地展示一种网络结构，实际应用中网络结构可以多样化。

图 2为本发明又一个实施例中 WLAN的组网简化示意图。图 1中示出的接入控制器（AC)参与数据转发。图 3为本发明一个实施例中 WLAN的组网简化示意图，示出了用户终端。 AC不参与数据转发。图 4为本发明另一个实施例中 WLAN的组网简化示意图，示出了用户终端。 AC参与数据转发。

图 5所示为本发明一个实施例中实现在 WLAN中的通信的方法的简化流程图。图 5所示的方法包括 502-508示出的操作。图 5所示的方法可以应用于图 1-4示出的网络，也可以应用于其他的釆用集中式结构的 WLAN网络。

502.路由设备接收来自认证服务器的报文。所述路由设备为发起 EAP认证的端点。所述路由设备管理所述用户终端。所述报文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥（ pair-wise master key, PMK )。举例来说，所述用户终端接入网络时，所述用户终端与认证服务器通过所述路由设备进行消息交互，使得所述认证服务器认证所述用户终端。所述路由设备在转发所述用户终端与所述认证服务器之间的消息时，从来自所述认证服务器的报文中获得 PMK, 具体实现可以参考 RFC3748或者电气和电子工程师学会 ( Ins t i tute of Electr ica l and E lectronics Eng ineer s , IEEE ) 802. IX。

504.所述路由设备从所述 ^艮文中获得所述用户终端的标识和所述 PMK。 506.所述路由设备向 AC发送控制消息。所述控制消息中携带所述用户终端的标识和所述 PMK。所述 AC管理所述 AP。所述用户终端通过所述 AP接入 WLAN₀ 举例来说，当所述路由设备对应多个 AC时，所述路由设备可以根据所述用户终端的标识确定管理所述 AP的 AC,然后向该 AC发送所述控制消息。可选地，所述控制消息可以是扩展的 RADIUS 报文，例如密钥知会消息 ( Key-of -Announcement , KOA )消息。 KoA消息可以是扩展的授权变更（ change of author iza t ion, CoA ) 消息。

508.所述路由设备接收来自所述 AC的响应消息，所述响应消息用于响应所述控制消息。举例来说，所述响应消息可以是应答（ acknowledge , 简称 ACK ) 消息，用于表明所述 AC收到所述 PMK。可选地，所述路由设备在预设的时间内没有收到来自所述 AC的响应消息时，重新发送所述控制消息。可选地，如果连续 N次（ N为大于 1的自然数）在预设的时间内没有收到来自所述 AC的响应消息时，所述路由设备终止发送所述控制消息，可以预先在所述路由设备上配置 N的取值。

又举例来说，所述响应消息可以是错误指示（NAK )消息，用于表明所述 AC收到的密钥错误。例如所述 AC收到的控制消息不正确，例如长度不正确和 /或类型不正确。可选地，所述路由设备接收到的响应消息是错误指示消息时，重新发送所述控制消息。

可选地，在所述路由设备向所述 AC发送所述控制消息前，图 5所示的方法还可以包括：所述路由设备发送所述 AC发送的请求消息，用于请求所述用户终端的标识对应的 PMK。举例来说，所述请求消息可以扩展的 RADIUS报文。

图 6所示为本发明一个实施例中实现在 WLAN中的通信的方法的简化流程图。图 6所示的方法包括 604-608示出的操作。

604. AC接收来自路由设备的控制消息。所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述路由设备为发起 EAP认证的端点。所述路由设备管理所述用户终端。

606.所述 AC向所述路由设备发送响应消息。所述响应消息用于响应所述控制消息。所述 AC管理 AP。所述用户终端通过所述 AP接入 WLAN。 608.数据加密节点根据所述 PMK加密数据报文，所述数据报文来自所述用户终端或者发往所述用户终端。图 6所示的实施例不限定 608与 606的执行顺序，二者可以同时执行，也可以先执行 606再执行 608 , 或者反之。

当所述 AC参与数据转发时（例如图 2和图 4示出的网络），所述数据加密节点可以是所述 AC , 也可以是所述 AP。当所述 AC不参与数据转发时（例如图 1和图 3示出的网络），所述数据加密节点可以是所述 AP。

可选地，当所述数据加密节点是所述 AC时，所述 AC根据所述 PMK生成成对临时密钥 ( Pa i r-wi s e Trans ient Key , PTK ) 和组临时密钥 ( Group Trans ient Key , GTK )。如果所述数据报文是单播报文，所述 AC 使用所述 PTK加密所述数据报文。如果所述数据报文是组播报文，所述 AC使用所述 GTK 加密所述数据报文。

当所述数据加密节点是所述 AP时，可选地，所述 AP接收所述 AC发送的所述用户终端的标识和所述 PMK。所述 AP才艮据所述 PMK生成 PTK和 GTK。如果所述数据报文是单播报文，所述 AP使用所述 PTK加密所述数据报文。如果所述数据报文是组播报文，所述 AP使用所述 GTK加密所述数据报文。 604示出的操作中，所述 AC接收携带所述用户终端的标识和所述 PMK的控制消息，可以根据所述用户终端的标识确定所述 AP , 从而将所述用户终端的标识和所述 PMK发送给所述 AP。

当所述数据加密节点是所述 AP时，可选地，所述 AP接收所述 AC发送的所述用户终端的标识、 PTK和 GTK , 所述 PTK和所述 GTK由所述 AC才艮据所述 PMK生成。如果所述数据报文是单播报文，所述 AP使用所述 PTK加密所述数据报文。如果所述数据报文是组播报文，所述 AP使用所述 GTK加密所述数据报文。 604示出的操作中，所述 AC接收携带所述用户终端的标识和所述 PMK 的控制消息，根据所述 PMK生成所述 PTK和所述 GTK , 并根据所述用户终端的标识确定所述 AP , 从而将所述用户终端的标识、所述 PTK和所述 GTK发送给所述 AP。

可选地，图 6所述的方法还可以在 604之前包括 602.所述 AC向所述路由设备发送请求消息，用于请求所述用户终端的标识对应的 PMK。举例来说，所述请求消息可以是扩展的 RADIUS报文。

图 7所示为本发明一个实施例中路由设备的简化结构框图。路由设备 700 是发起 EAP认证的端点，并且管理用户终端。如图 7所示，路由设备 700包括发送接收单元 702和处理单元 704。所述发送接收单元 702用于接收来自认证服务器的报文。所述报文中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述处理单元 704用于从所述 ^艮文中获得所述用户终端的标识和所述 PMK。所述发送接收单元 702还用于向 AC发送控制消息，从所述 AC 接收响应消息。所述控制消息携带所述用户终端的标识和所述 PMK。所述 AC 管理所述 AP。所述用户终端通过所述 AP接入 WLAN。所述响应消息用于响应所述控制消息。举例来说，所述响应消息可以是 ACK消息，用于表明所述 AC 收到所述 PMK。可选地，所述发送接收单元 702在预设的时间内没有收到来自所述 AC的响应消息时，重新发送所述控制消息。可选地，如果连续 N次（ N 为大于 1的自然数）在预设的时间内没有收到来自所述 AC的响应消息时，所述发送接收单元 702终止发送所述控制消息，所述路由设备 700还可以包括存储单元，用于存储预先配置的 N的取值。又举例来说，所述响应消息可以是错误指示消息，用于表明所述 AC收到的密钥错误，例如所述 AC收到的控制消息不正确，例如长度不正确和 /或类型不正确。可选地，所述发送接收单元 702接收到的响应消息是错误指示消息时，重新发送所述控制消息。

图 8所示为本发明又一个实施例中路由设备的简化结构框图。路由设备 800是发起 EAP认证的端点，并且管理用户终端。如图 8所示，路由设备 800包括输入输出电路 802和处理器 804。所述输入输出电路 802用于接收来自认证服务器的报文。所述报文中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述处理器 804用于从所述报文中获得所述用户终端的标识和所述 PMK。所述输入输出电路 802还用于向 AC发送控制消息，从所述 AC接收响应消息。所述控制消息携带所述用户终端的标识和所述 PMK。所述 AC管理所述 AP。所述用户终端通过所述 AP接入 WLAN₀ 所述响应消息用于响应所述控制消息。举例来说，所述响应消息可以是 ACK消息，用于表明所述 AC收到所述 PMK。可选地，所述输入输出电路 802在预设的时间内没有收到来自所述 AC的响应消息时，重新发送所述控制消息。可选地，如果连续 N次（ N为大于 1的自然数）在预设的时间内没有收到来自所述 AC的响应消息时 ,所述输入输出电路 802终止发送所述控制消息。可选地，所述路由设备 800还可以可以包括存储器，用于存储预先配置的 N的取值。又举例来说，所述响应消息可以是错误指示消息，用于表明所述 AC 收到的密钥错误，例如所述 AC收到的控制消息不正确，例如长度不正确和 /或类型不正确。可选地，所述输入输出电路 802接收到的响应消息是错误指示消息时，重新发送所述控制消息。

图 9所示为本发明一个实施例中 AC的简化结构框图。 AC管理 AP。如图

9所示， AC900包括发送接收单元 902和处理单元 904。所述发送接收单元 902 用于接收来自路由设备的控制消息，所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述路由设备为发起 EAP认证的端点，并且管理所述用户终端。所述处理单元 904用于生成响应消息。所述响应消息用于响应所述控制消息。所述发送接收单元 902还用于向所述路由设备发送所述响应消息。所述用户终端通过所述 AP接入 WLAN。举例来说，所述响应消息可以是 ACK消息。可选地，所述处理单元 904还可以用于判断所述控制消息是否正确，例如所述控制消息的长度和 /或类型是否正确，当所述控制消息的长度和 /或类型不正确时，所述处理单元 904生成的所述响应消息为错误指示消息。

可选地，所述发送接收单元 902还可以用于接收数据报文，所述数据报文来自所述用户终端或者发往所述用户终端。举例来说，所述处理单元 904 还可以用于根据所述 PMK生成 PTK和 GTK , 如果所述数据报文是单播报文，使用所述 PTK加密所述数据报文；如果所述数据报文是组播报文，使用所述 GTK加密所述数据报文。

可选地，所述处理单元 904还可以用于根据所述用户终端的标识确定所述 AP。所述发送接收单元 902还可以用于向所述 AP发送所述用户终端的标识和所述 PMK。

可选地，所述处理单元 904还可以用于根据所述 PMK生成 PTK和 GTK , 并且根据所述用户终端的标识确定所述 AP。所述发送接收单元 902还可以用于向所述 AP发送所述用户终端的标识、所述 PTK和所述 GTK。

图 1 0所示为本发明一个实施例中 AC的简化结构框图。 AC管理 AP。如图 1 0所示， AC1 000包括输入输出电路 1 002和处理器 1 004。所述输入输出电路 1 002用于接收来自路由设备的控制消息，所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK。所述路由设备为发起 EAP认证的端点，并且管理所述用户终端。所述处理器 1004用于生成响应消息。所述响应消息用于响应所述控制消息。所述输入输出电路 1002还用于向所述路由设备发送所述响应消息。所述用户终端通过所述 AP接入 WLAN。举例来说，所述响应消息可以是 ACK消息。可选地，所述处理器 1004还可以用于判断所述控制消息是否正确，例如所述控制消息的长度和 /或类型是否正确，当所述控制消息的长度和 /或类型不正确时，所述处理器 1004生成的所述响应消息为错误指示消息。

可选地，所述输入输出电路 1002还可以用于接收数据报文，所述数据报文来自所述用户终端或者发往所述用户终端。举例来说，所述处理器 1004还可以用于根据所述 PMK生成 PTK和 GTK, 如果所述数据报文是单播报文，使用所述 PTK加密所述数据报文；如果所述数据报文是组播报文，使用所述 GTK 加密所述数据报文。

可选地，所述处理器 1004还可以用于根据所述用户终端的标识确定所述 AP。所述输入输出电路 1002还可以用于向所述 AP发送所述用户终端的标识和所述 PMK。

可选地，所述处理器 1004还可以用于才艮据所述 PMK生成 PTK和 GTK, 并且根据所述用户终端的标识确定所述 AP。所述输入输出电路 1002还可以用于向所述 AP发送所述用户终端的标识、所述 PTK和所述 GTK。

图 11所示为本发明一个实施例中的网络系统的简化结构框图。网络系统 1100包括路由设备 1102和 AC1104.所述路由设备 1102为发起 EAP认证的端点。所述路由设备用于管理所述用户终端。所述 AC1104用于管理 AP。所述路由设备 1102还用于接收来自认证服务器的报文。所述报文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK。所述路由设备 1102还用于从所述报文中获得所述用户终端的标识和所述 PMK; 向所述 AC1104发送控制消息。所述控制消息中携带所述用户终端的标识和所述 PMK。所述用户终端通过所述 AP接入 WLAN。所述 AC1104用于向所述路由设备 1102发送响应消息。所述响应消息用于响应所述控制消息。

可选地，图 11所示的系统，还可以包括所述 AP。举例来说，所述 AP与所述路由设备 1102以及所述 AC1104的组网关系可以参考图 1-4示出的结构。

图 7-10示例的设备，以及图 11示例的系统的技术方案细节，请参考图 5和 6所示的方法实施例中的描述，此处不再赘述。

图 12所示为本发明一个实施例中控制消息的格式图，如图 12所示，控制消息可以是 K0A消息，控制消息包括下述字段。类型（Code)字段是一个八位组（ octet ), 用于标识 RADIUS ^艮文的类型，该 code的值釆用现有 RADIUS相关协议中未分配的 code值，例如，该 code可以等于 100。标识（ Identifier ) 字段是一个八位组，该 Identifier 可以是 0-255。 Identifier可以帮助匹配控制消息和响应消息，即标识控制消息和响应该控制消息的响应消息。长度（Length) 字段是两个八位组，用于标明该 RADIUS报文的长度，包括 Code, Identifier, Length, Authent icator ( ik 证器）和 Attributes (属性）字段，举例来说， length 字段的值可以为 62。 Authent icator是 16个八位组， Authent icator的值用于认证 RADIUS 月良务器与用户终端之间的消息。该 Authenticator的值是 16个八位组 MD5 验证码（ checksum),可以参考 RFC3576描述的方式计算该 Authenticator。 Attributes 字段，釆用类型 -长度 -值（ Type_Length_Va lue, TLV)格式，如图 13所示的用户终端的媒体接入控制地址（ STA MAC address ) 和图 14 所示的 PMK。图 13所示的属性是 STA MAC address, 类型（Type) 为 31, 长度（Length) 为 8, 值（Value) 为用户终端的 MAC地址。图 14所示的属性是 PMK, Type为 17, length为 34, Value为 PMK。图 14所示的属性的 Type也可以釆用现有的 RADIUS相关协议中未定义的值。

图 15所示为本发明一个实施例中响应消息的格式图，如图 15所示，响应消息可以是扩展的 RADIUS消息。相较于图 12所示的控制消息，图 15 所示的响应消息中的 code可以釆用现有 RADIUS相关协议中未分配的 code 值，并且与控制消息中的 code值不同，例如响应消息中的 code可以等于 101。举例来说，响应消息中的 length字段的值可以为 32。图 15所示的响应消息包括图 13所示的 TLV和图 16所示的 TLV。如图 16所示， Type 可以釆用现有的 RADIUS相关协议中未定义的值，例如 21或者 18, Length 为 4, Value为错误码，错误码为 0时，表明该响应消息为 ACK消息，当错误码不为 0时，表明该响应消息为 NAK消息。或者， NAK消息可以釆用与 ACK消息不同的 code的值。

本领域普通技术人员可以理解：实现上述各方法实施例的全部或部分步骤可以通过程序指令相关的硬件来完成。前述的程序可以存储于一计算机可读取存储介质中。该程序在执行时，执行包括上述各方法实施例的步骤；而前述的存储介质包括：只读存储器（ read-only memory, 简称 R0M)、随机存取存储器（ random access memory, 简称 RAM)、磁碟或者光盘等各种可以存储程序代码的介质。

最后应说明的是：以上各实施例仅用以示例性说明本发明的技术方案, 而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围。

Claims

权利要求书

1、一种实现在无线局域网 WLAN中的通信的方法，其特征在于，所述方法包括：

路由设备接收来自认证服务器的报文，所述报文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK , 其中，所述路由设备为发起可扩展认证协议 EAP认证的端点，所述路由设备管理所述用户终端；

所述路由设备从所述 ^艮文中获得所述用户终端的标识和所述 PMK;

所述路由设备向接入控制器 AC发送控制消息，所述控制消息中携带所述用户终端的标识和所述 PMK , 其中所述 AC管理所述 AP , 所述用户终端通过所述 AP接入 WLAN;

所述路由设备接收来自所述 AC的响应消息，所述响应消息用于响应所述控制消息。

2、根据权利要求 1所述的方法，其特征在于，所述控制消息是扩展的远程认证拨号用户服务 RADIUS报文。

3、根据权利要求 2所述的方法，其特征在于，所述控制消息是密钥知会消息 K0A消息。

4、根据权利要求 1 -3任一所述的方法，其特征在于，所述响应消息是应答 ACK消息，所述 ACK消息用于表明所述 AC收到所述密钥。

5、根据权利要求 1 -3任一所述的方法，其特征在于，所述响应消息是错误指示消息，所述错误指示消息用于表明所述 AC收到的密钥错误。

6、根据权利要求 5所述的方法，其特征在于，还包括：

当所述路由设备接收到的响应消息是所述错误指示消息时，重新发送所述控制消息。

7、根据权利要求 1-6任一所述的方法，其特征在于，所述方法还包括：所述路由设备在预设的时间内没有收到来自所述 AC的响应消息时，重新发送所述控制消息。

8、一种实现在无线局域网 WLAN中的通信的方法，其特征在于，所述方法包括：

AC接收来自路由设备的控制消息，所述控制消息中携带用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK , 所述路由设备为发起可扩展认证协议 EAP认证的端点，所述路由设备管理所述用户终端；

数据加密节点根据所述 PMK加密数据报文，所述数据报文来自所述用户终端或者发往所述用户终端；

所述 AC向所述路由设备发送响应消息，所述响应消息用于响应所述控制消息，其中所述 AC管理 AP , 所述用户终端通过所述 AP接入 WLAN。

9、根据权利要求 8 所述的方法，其特征在于，所述响应消息为扩展的 RADIUS报文。

1 0、根据权利要求 8或 9所述的方法，其特征在于，所述数据加密节点为所述 AC;

所述数据加密节点根据所述 PMK加密数据报文，包括：

所述 AC根据所述 PMK生成成对临时密钥 PTK和组临时密钥 GTK;

如果所述数据报文是单播报文，所述 AC使用所述 PTK加密所述数据报文；和

如果所述数据报文是组播报文，所述 AC使用所述 GTK加密所述数据报文。

1 1、根据权利要求 8或 9所述的方法，其特征在于，所述数据加密节点为所述 AP;

所述数据加密节点根据所述 PMK加密数据报文，包括：

所述 AP接收所述 AC发送的所述用户终端的标识和所述 PMK ;

所述 AP根据所述 PMK生成成对临时密钥 PTK和组临时密钥 GTK;

如果所述数据报文是单播报文，所述 AP使用所述 PTK加密所述数据报文；和

如果所述数据报文是组播报文，所述 AP使用所述 GTK加密所述数据报文。

12、根据权利要求 8或 9所述的方法，其特征在于，所述数据加密节点为所述 AP;

所述数据加密节点根据所述 PMK加密数据报文，包括：

所述 AP接收所述 AC发送的所述用户终端的标识、成对临时密钥 PTK和组临时密钥 GTK , 所述 PTK和所述 GTK由所述 AC根据所述 PMK生成；

1 3、一种路由设备，所述路由设备为发起可扩展认证协议 EAP认证的端点，所述路由设备管理用户终端，其特征在于，包括：

发送接收单元，用于接收来自认证服务器的报文，所述报文中携带所述用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK;

处理单元，用于从所述报文中获得所述用户终端的标识和所述 PMK ; 所述发送接收单元还用于向接入控制器 AC发送控制消息，所述控制消息中携带所述用户终端的标识和所述 PMK , 其中所述 AC管理所述 AP , 所述用户终端通过所述 AP接入 WLAN;

所述发送接收单元还用于接收来自所述 AC的响应消息，所述响应消息用于响应所述控制消息。

14、根据权利要求 1 3所述的路由设备，特征在于，所述控制消息是扩展的远程认证拨号用户服务 RADIUS报文。

15、根据权利要求 14所述的路由设备，其特征在于，所述控制消息是密钥知会消息 K0A消息。

16、根据权利要求 1 3-15任一所述的路由设备，其特征在于，所述响应消息是应答 ACK消息，所述 ACK消息用于表明所述 AC收到所述密钥。

17、根据权利要求 1 3-15任一所述的路由设备，其特征在于，所述响应消息是错误指示消息，所述错误指示消息用于表明所述 AC收到的密钥错误。

18、一种网络设备，所述网络设备管理接入点 AP , 其特征在于，所述网络设备包括发送接收单元和处理单元；

所述发送接收单元用于接收来自路由设备的控制消息，所述控制消息中携带用户终端的标识和所述用户终端的标识对应的 PMK; 所述路由设备为发起 EAP认证的端点，并且管理所述用户终端；

所述处理单元用于生成响应消息，所述响应消息用于响应所述控制消息；所述发送接收单元还用于向所述路由设备发送所述响应消息；所述用户终端通过所述 AP接入 WLAN ₀

19、根据权利要求 18所述的设备，其特征在于，所述响应消息是 ACK消息。

20、根据权利要求 18所述的设备，其特征在于，所述处理单元还用于判断所述控制消息是否正确，如果所述控制消息不正确，所述响应消息为错误指示消息。

21、根据权利要求 18或 19所述的设备，其特征在于，所述发送接收单元还用于接收数据报文，所述数据报文来自所述用户终端或者发往所述用户终端；

所述处理单元还用于根据所述 PMK生成 PTK和 GTK , 如果所述数据 ^艮文是单播报文，使用所述 PTK加密所述数据报文；如果所述数据报文是组播报文，使用所述 GTK加密所述数据报文。

22、根据权利要求 18或 19所述的设备，其特征在于，所述处理单元还用于才艮据所述用户终端的标识确定所述 AP;

所述发送接收单元还用于向所述 AP发送所述用户终端的标识和所述 PMK。

23、根据权利要求 18或 19所述的设备，其特征在于，所述处理单元还用于根据所述 PMK生成 PTK和 GTK , 并且根据所述用户终端的标识确定所述 AP;

所述发送接收单元还用于向所述 AP发送所述用户终端的标识、所述 PTK 和所述 GTK。

24、一种网络系统，其特征在于，包括路由设备和接入控制器 AC ; 所述路由设备为发起可扩展认证协议 EAP认证的端点；所述路由设备用于管理所述用户终端；所述 AC用于管理 AP ;

所述路由设备还用于接收来自认证服务器的报文，所述报文中携带用户终端的标识和所述用户终端的标识对应的成对主密钥 PMK ; 从所述 ^艮文中获得所述用户终端的标识和所述 PMK; 向所述 AC发送控制消息，所述控制消息中携带所述用户终端的标识和所述 PMK ,所述用户终端通过所述 AP接入 WLAN; 所述 AC用于向所述路由设备发送响应消息，所述响应消息用于响应所述控制消息。

25、根据权利要求 24所述的系统，其特征在于，还包括所述 AP。