WO2016033716A1 - 一种通信方法、移动网络设备、终端、应用服务器及系统 - Google Patents

一种通信方法、移动网络设备、终端、应用服务器及系统 Download PDF

Info

Publication number
WO2016033716A1
WO2016033716A1 PCT/CN2014/085654 CN2014085654W WO2016033716A1 WO 2016033716 A1 WO2016033716 A1 WO 2016033716A1 CN 2014085654 W CN2014085654 W CN 2014085654W WO 2016033716 A1 WO2016033716 A1 WO 2016033716A1
Authority
WO
WIPO (PCT)
Prior art keywords
application server
network device
mobile network
address
data packet
Prior art date
Application number
PCT/CN2014/085654
Other languages
English (en)
French (fr)
Inventor
王涛
龙水平
高林毅
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to CN201480081665.8A priority Critical patent/CN106797565B/zh
Priority to PCT/CN2014/085654 priority patent/WO2016033716A1/zh
Publication of WO2016033716A1 publication Critical patent/WO2016033716A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls

Definitions

  • the present invention relates to the field of communications technologies, and in particular, to a communication method, a mobile network device, a terminal, an application server, and a system.
  • UICC Universal Integrated Circuit Card
  • Some IoT applications also impose higher requirements on the UICC, such as: The use environment is more harsh, so the physical electrical characteristics of the UICC (such as the ambient temperature, Humidity, etc.) The capacity requirements are greatly improved; the read and write operations are more frequent, so the UICC is required to have a longer service life and higher reliability; it may be used in a large bumpy scene, so the physical connection contacts of the UICC are required to be more reliable. And more wear-resistant; some application scenarios have remote configuration, remote activation, air-changing user identity, etc., so UICC can be flexibly upgraded.
  • Embedded UICC embedded UICC, eUICC for short
  • the eUICC can be configured with multiple attribute parameter sets.
  • Each profile is a collective name for a series of files and data related to a mobile network operator (MNO), in order to implement eUICC and
  • MNO mobile network operator
  • the eUICC needs to establish a data connection with an application server such as a Subscription Manager-Securely Routing (SM-SR) or an SM for downloading and installing the profile. And management and other commands or data transmission.
  • SM-SR Subscription Manager-Securely Routing
  • the terminal utilizes a configuration file (Provisioning Profile, PP) is used to implement the connection and communication between the eUICC and the application server.
  • PP Provisioning Profile
  • the connection established by the PP may also be used to transmit service data or commands not related to the PP, resulting in the uplink data received by the application server.
  • the embodiments of the present invention provide a communication method, a mobile network device, a terminal, an application server, and a system, so as to solve the problem that the dedicated path between the eUICC and the application server is interfered, and the application server handles the pressure.
  • a first aspect of the embodiments of the present invention provides a communication method, which may include:
  • the mobile network device obtains a data packet filtering rule related to the first application server, where the data packet filtering rule carries an IP address of the first application server;
  • the mobile network device forwards the data packet to the first application server.
  • the mobile network device acquires a data packet filtering rule of the first application server, including:
  • a creation session issued by the mobility management unit after the mobility management unit in the mobile network device acquires a subscription identifier, an access point name, and a packet filtering rule from a home server in the mobile network device by a location update procedure Request message
  • the packet data gateway acquires the subscription identifier, the access point name, and the packet filtering rule from the create session request message.
  • the mobile network device acquires a data packet filtering rule of the first application server, including:
  • the mobile network device receives a domain name resolution request message sent by the terminal, where the domain name resolution request message carries the domain name of the first application server;
  • the mobile network device forwards the domain name resolution request message to the domain name server, and receives the domain name resolution result sent by the domain name server, where the domain name resolution result carries at least one IP address of the first application server;
  • the mobile network device uses the IP address carried in the domain name resolution result as a packet filtering rule related to the first application server.
  • the mobile network device acquires a data packet filtering rule of the first application server, including:
  • the session creation request message is sent to the service gateway in the mobile network device, so that the service gateway forwards The creating a session request message to a packet data gateway in the mobile network device, completing a session creation process;
  • the packet data gateway determines whether the destination IP address of the data packet is related to the first application server in the packet filtering rule carried in the session establishment and modification message of the IP connection access network.
  • the IP address is the same.
  • the first application server when the first application server receives the handover request message, the first application server connected to the terminal needs to be switched to the second application.
  • the home subscription server in the mobile network device passes the policy and The charging rule function unit receives the subscription data update request message sent by the first application server, and returns a subscription data update response message to the first application server by using the policy and charging rule function unit, so that the After receiving the embedded universal integrated circuit card information set sent by the first application server, the application server performs key generation and connection establishment with the embedded universal integrated circuit card and indicates the embedded universal integrated circuit card. And deleting the key set with the first application server, where the subscription data update request message carries the updated data packet filtering rule and the access point of the private network to which the second application server belongs.
  • the first application server when the first application server receives the handover request message, the first application server connected to the terminal needs to be switched to the second application.
  • the policy and charging rule function unit in the mobile network device receives the policy rule update request message sent by the first application server, and returns a policy rule update response message to the first application server, so that the server After receiving the embedded universal integrated circuit card information set sent by the first application server, the second application server performs key generation and connection establishment with the embedded universal integrated circuit card and indicates the embedded universal integration.
  • the circuit card deletes the key set with the first application server, where the policy rule update request message carries the updated data packet filtering rule.
  • the data packet further carries an embedded universal An identification of the integrated circuit card, an identification of an attribute parameter set on the embedded universal integrated circuit card, and a source IP address.
  • the data packet filtering rule or the updated data packet filtering rule further includes a capacity limitation of the data packet, and an embedded universal The identification of the integrated circuit card, the identification of the attribute parameter set on the embedded universal integrated circuit card, or the source IP address of the data packet.
  • IP address And not corresponding to the IP address of the first application server in the data packet filtering rule, sending a reject message to the terminal and discarding the data packet.
  • the first application server or the second application server is a subscription management unit-secure route SM-SR or a subscription management unit SM.
  • a second aspect of the embodiments of the present invention provides a communication method, including:
  • the terminal sends an attach request to the mobile network device to complete the attach
  • the terminal receives the mobile A rejection message returned by the network device.
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address.
  • the packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address definition of the data packet.
  • a third aspect of the embodiments of the present invention provides a communication method, which may include: If the first application server connected to the terminal needs to be switched to the second application server, the first application server receives the handover request message;
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the sending the subscription data update request message to the mobile network device, and receiving the subscription data update response message returned by the mobile network device includes: sending, by the first application server Signing a data update request message to a policy and charging rule function unit in the mobile network device, so that the policy and charging rule function unit forwards the subscription data update request message to a home subscription server in the mobile network device ;
  • the first application server receives the subscription data update response message forwarded by the policy and charging rule function unit.
  • the sending the policy rule update request message to the mobile network device, and receiving the policy rule update response message returned by the mobile network device including: sending, by the first application server a policy rule update request message to a policy and charging rule function unit in the mobile network device;
  • a fourth aspect of the embodiments of the present invention provides a mobile network device, which may include:
  • An obtaining unit configured to acquire a data packet filtering rule of the first application server, where the data packet filtering rule carries an IP address of the first application server, where the acquiring unit is a home subscription server or a policy and charging rule function
  • the unit is either a packet data gateway;
  • a base station configured to receive and output a data packet sent by the terminal, where the data packet carries a destination IP address
  • the packet data gateway is configured to determine whether the destination IP address is the same as the IP address of the first application server in the packet filtering rule, if the destination IP address is as described in the packet filtering rule. If the IP addresses of the first application server are the same, the data packet is forwarded to the first application server.
  • the mobile network device further includes a mobility management unit and a service gateway;
  • the base station is further configured to receive an attach request sent by the terminal, and forward the attach request to a mobility management unit in the mobile network device;
  • the mobility management unit is configured to send a location update request message to a home subscription server in the mobile network device;
  • the home subscription server is configured to return a location update response message to the mobility management unit, and carry a data packet filtering rule in the location update response message;
  • the mobility management unit is further configured to send a create session request message carrying the packet filtering rule to a serving gateway in the mobile network device;
  • the service gateway is configured to forward the create session request message to a packet data gateway in the mobile network device, so that the packet data gateway determines a destination IP address of the data packet when receiving a data packet sent by the terminal Whether it is the same as the IP address of the first application server in the packet filtering rule carried in the create session request message.
  • the fractional data gateway is specifically configured to: Receiving a domain name resolution request message sent by the terminal, where the domain name resolution request message carries the domain name of the first application server;
  • the IP address carried in the domain name resolution result is used as a packet filtering rule related to the first application server.
  • the mobile network device further includes: a mobility management unit, a service gateway, and a policy and charging rule function unit;
  • the base station is further configured to receive an attach request sent by the terminal, and forward the attach request to a mobility management unit in the mobile network device;
  • the mobile management unit After the mobile management unit is configured to complete the location update process with the home subscription server in the mobile network device, send a create session request message to the serving gateway in the mobile network device, so that the service gateway forwards the creation. Sending a session request message to a packet data gateway in the mobile network device, completing a session creation process;
  • the policy and charging rule function unit is configured to initiate a session establishment and modification process of an IP connection access network with the packet data gateway, and send the packet filtering rule to the packet data gateway to the packet data gateway.
  • the policy and charging rule function unit is configured to initiate a session establishment and modification process of an IP connection access network with the packet data gateway, and send the packet filtering rule to the packet data gateway to the packet data gateway.
  • the home subscription server is further configured to receive, by the policy and charging rule function unit, the subscription data update request message sent by the first application server, and return the subscription data update response by using the policy and charging rule function unit.
  • the data update request message carries the updated packet filtering rule and the access point of the private network to which the second application server belongs.
  • the first application server when the first application server receives the handover request message, the first application server connected to the terminal needs to be switched to the second application.
  • the policy and charging rule function unit is further configured to receive a policy rule update request message sent by the first application server, and return a policy rule update response message to the first application server, so that the first After receiving the embedded universal integrated circuit card information set sent by the first application server, the application server performs key generation and connection establishment with the embedded universal integrated circuit card and indicates the embedded universal integrated circuit card. And deleting the key set with the first application server, where the policy rule update request message carries the updated data packet filtering rule.
  • the data packet further carries an embedded universal An identification of the integrated circuit card, an identification of an attribute parameter set on the embedded universal integrated circuit card, and a source IP address.
  • the data packet filtering rule further includes a capacity limitation of the data packet, an identifier definition of the embedded universal integrated circuit card, and an embedded universal The identification of the attribute parameter set on the integrated circuit card or the source IP address of the data packet is defined.
  • the IP address is different from the IP address of the first application server in the data packet filtering rule, and the packet data gateway is further configured to send a reject message to the terminal and discard the data packet.
  • the first application server or the second application server is a subscription management unit-secure route SM-SR or a subscription management unit SM .
  • a fifth aspect of the embodiments of the present invention provides a terminal, including:
  • An attach request sending unit configured to send an attach request to the mobile network device to complete the attaching
  • the IP address obtaining unit configured to send an IP address obtaining request to the domain name server to obtain an IP address of the first application server
  • a data sending unit configured to send a data packet carrying an IP address of the first application server to the mobile network device, so that the mobile network device determines, in the data packet, a destination IP address and the mobile Transmitting the data packet to the first application server when the IP address of the first application server is the same in the packet filtering rule acquired by the network device;
  • a receiving unit if the mobile network device determines that the destination IP address carried in the data packet is different from the IP address of the first application server in the data packet filtering rule previously acquired by the mobile network device, receiving the mobile A rejection message returned by the network device.
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address.
  • the packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address definition of the data packet.
  • a sixth aspect of the embodiments of the present invention provides a terminal, including:
  • the memory is used to store a program, and the processor is configured to invoke the program to perform the following steps: Send an attach request to the mobile network device to complete the attach;
  • the mobile network device determines that the destination IP address carried in the data packet is different from the IP address of the first application server in the data packet filtering rule previously acquired by the mobile network device, receiving the mobile network device to return Rejection message.
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address.
  • the packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address definition of the data packet.
  • a seventh aspect of the embodiments of the present invention provides an application server system, including:
  • a first receiving unit configured to: if the first application server connected to the terminal needs to be switched to the second application server, receive a handover request message;
  • a first sending unit configured to send a subscription data update request message or a policy rule update request message to the mobile network device
  • a second receiving unit configured to: if the sent message is a subscription data update request message, receive a subscription data update response message returned by the mobile network device, and receive the mobile network device if the sent message is a policy rule update request message Returned policy rule update response message;
  • a second sending unit configured to send an embedded universal integrated circuit card information set to the second application server, to enable the second application server to perform key generation with the embedded universal integrated circuit card Establishing and indicating that the embedded universal integrated circuit card deletes a key set with the first application server;
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the first sending unit is specifically configured to send a subscription data update request message to a policy and charging rule function unit in the mobile network device, so that the policy and the The fee rule function unit forwards the subscription data update request message to a home subscription server in the mobile network device;
  • the second receiving unit is specifically configured to: after the home server sends the subscription data update response message to the policy and charging rule function unit, after receiving the policy and charging rule function unit, the subscription data update response message is forwarded .
  • the first sending unit is specifically configured to send a policy rule update request message to a policy and charging rule function unit in the mobile network device;
  • the unit is specifically configured to receive a policy rule update response message returned by the policy and charging rule function unit.
  • An eighth aspect of the embodiments of the present invention provides an application server, including:
  • the memory is used to store a program, and the processor is configured to invoke the program to perform the following steps: if the first application server connected to the terminal needs to be switched to the second application server, the processor receives the handover request message;
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the home server After the home server sends the subscription data update response message to the policy and charging rule function unit, the contract data update response message forwarded after the policy and charging rule function unit is received.
  • the first sending unit is specifically configured to send a policy rule update request message to a policy and charging rule function unit in the mobile network device;
  • the unit is specifically configured to receive a policy rule update response message returned by the policy and charging rule function unit.
  • a ninth aspect of the embodiments of the present invention provides a communication system, including:
  • the mobile network device according to any of the fourth or fourth aspects of the present invention; the terminal according to any of the fifth or fifth aspects of the embodiments of the present invention; And an application server according to any one of the seventh aspect or the seventh aspect of the present invention, configured to manage subscription information of the terminal, and perform data communication related to the attribute parameter set by the terminal.
  • the destination IP address can be judged and matched, only in the destination IP address and the packet filtering rule.
  • the data packet is forwarded to the application server, so that the data packet can be filtered, and other service data or commands not related to the configuration file are occupied, and the dedicated path between the eUICC and the application server is occupied.
  • the communication interference of the dedicated path between the eUICC and the application server and the processing pressure of the application server are reduced.
  • FIG. 1 is a schematic flow chart of a first embodiment of a communication method according to the present invention.
  • FIG. 2 is a schematic flowchart of a second embodiment of a communication method according to the present invention
  • FIG. 3 is a schematic flowchart of a third embodiment of a communication method according to the present invention
  • FIG. 4 is a schematic flowchart of performing SM-SR handover in the communication method of
  • FIG. 5 is a schematic flowchart of performing SM-SR switching in the communication method of FIG. 3
  • FIG. 6 is a schematic flowchart of a fourth embodiment of a communication method according to the present invention.
  • FIG. 7 is a schematic flowchart of a fifth embodiment of a communication method according to the present invention.
  • FIG. 8 is a schematic diagram of a composition of a first embodiment of a mobile network device according to the present invention.
  • FIG. 9 is a schematic structural diagram of a second embodiment of a mobile network device according to the present invention.
  • 10 is a schematic diagram of a first embodiment of a terminal according to the present invention.
  • FIG. 11 is a schematic diagram of a second embodiment of a terminal according to the present invention.
  • FIG. 12 is a schematic diagram of a first embodiment of an application server according to the present invention;
  • FIG. 14 is a schematic diagram of the composition of a communication system according to an embodiment of the present invention.
  • the communication method described in the present application can be used for a scenario in which a single SM-SR works, and of course, can be used for two or more SM-SRs to work simultaneously, and may need to be switched, especially for more than two SM-SRs.
  • the scenario occurs.
  • For the filtering process of the data packets sent by the terminal during the handover it is very important to avoid other service data or commands that are not related to the configuration file occupying the dedicated path between the eUICC and the application server.
  • the specific process refer to the details of the following embodiments. description. 1 is a schematic flowchart of a first embodiment of a communication method according to the present invention.
  • the method includes: S101.
  • a mobile network device acquires a data packet filtering rule related to a first application server.
  • the data packet filtering rule carries an IP address of the first application server.
  • Yuan SM can also be another application server.
  • the data packet filtering rule may be included in the subscription data, and is saved and sent together with an access point (Access Point Name, abbreviated as APN M) of the private network to which the first application server belongs.
  • APN M Access Point Name
  • the mobile network device receives a data packet sent by the terminal, where the data packet carries a destination IP address.
  • the data packet may further carry an identifier of an embedded universal integrated circuit card (EID Embedded Identity, EID for short), and an identifier of an attribute parameter set (the integrated circuit card identity of the embedded universal integrated circuit card). ICCID) and the source IP address.
  • EID embedded universal integrated circuit card
  • ICCID the integrated circuit card identity of the embedded universal integrated circuit card
  • the gateway receiving the data packet can know the source and identification information of the data packet, so that a new filtering condition can be formed.
  • the packet filtering rule may include, in addition to the IP address of the first application server, a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, and an attribute parameter set on the embedded universal integrated circuit card.
  • the source IP address of the identity limit or packet is limited,
  • the data packet capacity When the data packet capacity is greater than a certain value, it may not be forwarded to the first application server, or may not be forwarded to the first application server when the data packet capacity is less than a certain value; or when the data packet carries the identifier and the data packet is filtered. If the identifiers or identifiers carried in the rule are the same, they are not forwarded to the first application server. In this case, the identifiers in the filtering rules are blacklisted, and the identifiers carried in the data packets and the data packet filtering rules are not carried.
  • the packet is not forwarded.
  • the source IP address of the packet may be forwarded when the source IP address of the packet is different from the source IP address carried in the packet filtering rule.
  • the identifier or source IP address carried in the packet filtering rule may be one or multiple identifiers. Or an identity set or source IP address set consisting of the source IP address.
  • the plurality of qualification conditions may be considered in a single consideration, or may be considered simultaneously in a plurality of qualification conditions, and are not limited herein.
  • the mobile network device determines whether the destination IP address is the same as an IP address of the first application server in the data packet filtering rule. If they are the same, step S104 is performed, otherwise step S105 is performed.
  • the mobile network device forwards the data packet to the first application server.
  • S105. Send a reject message to the terminal and discard the data packet.
  • the destination IP address can be judged and matched, only in the destination IP address and the packet filtering rule.
  • the data packet is forwarded to the application server, so that the data packet can be filtered, and other service data or commands not related to the configuration file are occupied, and the dedicated path between the eUICC and the application server is occupied.
  • the communication interference of the dedicated path between the eUICC and the application server and the processing pressure of the application server are reduced.
  • an eUICC is embedded in a terminal
  • an application server is an SM-SR
  • a mobile network device includes multiple entities, such as a base station (eNB). ), Mobile Management Entity (MME), Serving Gateway (S-GW), Packet Data Network Gateway (P-GW), Home Subscription Server (Home Subscription Server) , referred to as HSS), various information exchanges between these entities to establish connectivity and data communication.
  • MME Mobile Management Entity
  • S-GW Serving Gateway
  • P-GW Packet Data Network Gateway
  • HSS Home Subscription Server
  • the mobile network device may receive an attach request sent by the terminal;
  • the mobility management unit in the mobile network device After the mobility management unit in the mobile network device acquires the subscription identifier, the access point name, and the packet filtering rule from the home server in the mobile network device by using the location update procedure,
  • the packet data gateway acquires the subscription identifier and the access point from the create session request message Name and packet filtering rules.
  • the implementation process of the method may include:
  • the UE sends an attach request to the eNodeB.
  • the eNodeB forwards the attach request to the MME;
  • the MME sends a Location Update Request (Update Location Request) message to the HSS;
  • the HSS returns a location update response (Update Location Response) message to the MME, carrying the subscription data, where the subscription data includes the SM-SR1 packet filtering rule, etc.; optionally, the APN of the private network to which the SM-SR1 belongs may also be included.
  • location update response Update Location Response
  • the MME sends a Create Session Request message to the S-GW, carrying a packet filtering rule, and the like;
  • the S-GW sends a Create Session Request message to the P-GW, carrying a packet filtering rule, packet filter criteria, and the like;
  • the P-GW returns a Create Session Response message to the S-GW;
  • the S-GW returns a Create Session Response message to the MME.
  • the MME sends an initial context setup request to the eNodeB/Initial Context.
  • the eNodeB sends a RRC Connection Reconfiguration (RRC Connection Reconfiguration) message to the UE;
  • the UE returns a RRC Connection Reconfiguration Complete message to the eNodeB.
  • the eNodeB returns an Initial Context Setup Response message to the MME;
  • the UE sends a Direct Transfer message to the eNodeB.
  • the eNodeB sends an Attach Complete message to the MME.
  • the UE sends a NAS layer signaling to the eNodeB: a Service Request message;
  • the eNodeB sends NAS layer signaling to the MME: Service Request (Service Request) Interest rate
  • the MME sends a Sl-AP layer signaling to the eNodeB: an Initial Context Setup Request message;
  • the eNodeB sends S1-AP layer signaling to the MME: Initial context setup is complete (Initial
  • the UE obtains the IP address of the SM-SR1 from the domain name server (DNS Server);
  • the UE forwards the eNodeB and the S-GW, and sends the uplink data packet to the P-GW to carry the destination IP address.
  • the UE can also carry the EID, the ICCID, the source IP address, and the like.
  • the P-GW filters the uplink data packet according to the data packet filtering rule obtained in step 6. If the destination IP address of the uplink data packet is different from the IP address of the SM-SR1 in the data packet filtering rule, the step is performed. 23, the same is performed in step 24.
  • the P-GW forwards the uplink data to SM-SR1.
  • the data packet filtering rule is carried in the location update response message returned by the HSS to the MME, and the P-GW is notified by the MME and the S-GW, so that the P-GW can receive the data packet sent by the UE.
  • Packets are filtered according to packet filtering rules.
  • the packet filtering rule in the HSS can be set by the user or obtained by the information exchange between the HSS and the SM-SR1.
  • the packet filtering rule can be fixed or adaptively updated according to the service requirement. Any restrictions.
  • the mobile network device further includes a Policy and Charging Rules Function (PCRF).
  • PCRF Policy and Charging Rules Function
  • Steps 1 - 3 of the method are the same as steps 1-3 of the embodiment shown in Figure 2. 1.
  • the UE sends an attach request to the eNodeB.
  • the eNodeB forwards the attach request to the MME;
  • the MME sends a Location Update Request (Update Location Request) message to the HSS;
  • the HSS returns a location update response (Update Location Response) message to the MME, and carries the subscription data, where the subscription data includes the APN of the private network to which the SM-SR1 belongs, and the like;
  • Step 5 - Step 6 is the same as the embodiment shown in FIG. 2.
  • the MME sends a Create Session Request message to the S-GW, carrying a packet filtering rule, and the like;
  • the S-GW sends a Create Session Request message to the P-GW, carrying a packet filtering rule, packet filter criteria, and the like;
  • PCEF initiated IP-CAN Session Establishment/Modification PCEF initiated IP-CAN Session Establishment/Modification
  • steps 8-25 are the same as steps 7-24 of the embodiment shown in FIG. 2.
  • the P-GW returns a Create Session Response message to the S-GW;
  • the S-GW returns a Create Session Response message to the MME.
  • the MME sends an Initial Context Setup Request (Attachment Request) message to the eNodeB.
  • the eNodeB sends a RRC Connection Reconfiguration (RRC Connection Reconfiguration) message to the UE;
  • the UE returns a RRC Connection Reconfiguration Complete message to the eNodeB.
  • the eNodeB returns an initial context setup response to the MME (Initial Context Setup
  • the UE sends a Direct Transfer message to the eNodeB.
  • the eNodeB sends an Attach Complete message to the MME.
  • the UE sends a NAS layer signaling to the eNodeB: a Service Request message
  • the eNodeB sends a NAS layer signaling to the MME: a Service Request message;
  • the MME sends an S1-AP layer signaling to the eNodeB: an Initial Context Setup Request message;
  • the eNodeB sends an S1-AP layer signaling to the MME: an Initial Context Setup Complete message;
  • the UE obtains the IP address of the SM-SR1 from the domain name server (DNS Server);
  • the UE forwards the eNodeB and the S-GW, and sends the uplink data packet to the P-GW to carry the destination IP address.
  • the UE can also carry the EID, the ICCID, the source IP address, and the like.
  • the P-GW filters the uplink data packet according to the data packet filtering rule obtained in step 6. If the destination IP address of the uplink data packet is different from the IP address of the SM-SR1 in the data packet filtering rule, the step is performed. 23, the same is performed in step 24.
  • the P-GW forwards the uplink data to SM-SR1.
  • the packet filtering rule is obtained by the P-GW from the PCRF. Therefore, the P-GW can filter the data packet according to the packet filtering rule when receiving the data packet sent by the UE.
  • the data packet filtering rule in the PCRF may be set by the user or obtained by the information exchange between the PCRF and the SM-SR1.
  • the data packet filtering rule may be fixed or may be adaptively updated according to service requirements. Any restrictions.
  • the mobile network device receives a domain name resolution request message sent by the terminal, where the domain name resolution request message carries the domain name of the first application server;
  • the domain name resolution request message is an application of an application server dedicated to domain name subscription management.
  • the mobile network device forwards the domain name resolution request message to the domain name server, and receives the domain name resolution result sent by the domain name server, where the domain name resolution result carries at least one IP address of the first application server;
  • the mobile network device uses the IP address carried in the domain name resolution result as a packet filtering rule related to the first application server.
  • the IP address obtained in this manner is the IP address in the packet filtering rule related to the first application server, and the two are the same, thereby providing a reference condition for subsequent packet filtering.
  • FIG. 4 it is a schematic flowchart of performing SM-SR switching in the communication method of FIG. 2.
  • the method includes:
  • SM-SR 2 receives the SM-SR handover request
  • SM-SR 2 replies with a confirmation message
  • SM-SR 1 receives the SM-SR handover request
  • the SM-SR 1 sends a subscription data update request (Subscription Data Update) message to the HSS through the PCRF, carrying the packet filtering rule and the signed APN;
  • the HSS returns a confirmation message to the SM-SR 1 through the PCRF;
  • SM-SR 1 sends eUICC information set (EIS) information to SM-SR 2;
  • EIS eUICC information set
  • the SM-SR 2 performs key generation and connection establishment with the eUICC in the UE;
  • SM-SR 2 indicates that the eUICC in the UE deletes the key set with SM-SR 1;
  • the SM-SR 2 sends a handover complete confirmation message to the SM-SR 1;
  • the SM-SR 2 sends a handover complete confirmation message to the initiator (such as a service provider);
  • the SM-SR 1 deletes the EIS information corresponding to the eUICC in the target UE.
  • the SM-SR is switched by sending a subscription data update message to the HSS for subscription data update. In this embodiment, only the switching of the SM-SR is used.
  • the SM switch or other application server switches the method is the same, and details are not described herein again.
  • FIG. 5 a schematic flowchart of performing SM-SR switching in the communication method of FIG. 3; in the embodiment, steps 1-3 of the method are the same as steps 1-3 of the embodiment shown in FIG. 4.
  • SM-SR 2 receives the SM-SR handover request
  • SM-SR 2 replies with a confirmation message
  • SM-SR 1 receives the SM-SR handover request
  • the SM-SR 1 sends a Policy Rule Update message to the PCRF, carrying a packet filtering rule
  • the PCRF returns a confirmation message to the SM-SR 1;
  • Steps 6-11 of the method are the same as steps 6-11 of the embodiment shown in FIG.
  • SM-SR 1 sends eUICC information set (EIS) information to SM-SR 2;
  • EIS eUICC information set
  • the SM-SR 2 performs key generation and connection establishment with the eUICC in the UE;
  • SM-SR 2 indicates that the eUICC in the UE deletes the key set with SM-SR 1;
  • the SM-SR 2 sends a handover complete confirmation message to the SM-SR 1;
  • the SM-SR 2 sends a handover complete confirmation message to the initiator (such as a service provider);
  • SM-SR 1 deletes the EIS information corresponding to the eUICC in the target UE.
  • the SM-SR is switched by sending a subscription data update message to the PCRF to update the subscription data.
  • FIG. 6 is a schematic flowchart of a fourth embodiment of a communication method according to the present invention.
  • the method includes:
  • the terminal sends an attach request to the mobile network device to complete the attach.
  • S602 The terminal sends an IP address obtaining request to the domain name server to obtain an IP address of the first application server.
  • S603. The terminal sends a data packet carrying an IP address of the first application server to the mobile network device, so that the mobile network device determines a destination IP address carried in the data packet and the mobile network.
  • the first application server of the packet filtering rule pre-acquired by the device
  • the data packet is forwarded to the first application server.
  • the mobile network device determines that the destination IP address carried in the data packet is different from the IP address of the first application server in the data packet filtering rule previously acquired by the mobile network device, the terminal receiving the location A rejection message returned by the mobile network device.
  • FIG. 7 is a schematic flowchart of a fifth embodiment of a communication method according to the present invention.
  • the method includes: S701. If the first application server connected to the terminal needs to be switched to the second application server, The first application server receives the handover request message
  • S702 Send a subscription data update request message or a policy rule update request message to the mobile network device.
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the sending a subscription data update request message to the mobile network device; receiving the subscription data update response message returned by the mobile network device; Transmitting, by the first application server, a subscription data update request message to a policy and charging rule function unit in the mobile network device, so that the policy and charging rule function unit forwards the subscription data update request message to the mobile a home subscription server in the network device;
  • the first application server receives the subscription data update response message forwarded by the policy and charging rule function unit.
  • the mobile network device includes: an obtaining unit 100, configured to acquire a data packet filtering rule of the first application server,
  • the data packet filtering rule carries the IP address of the first application server, and the obtaining unit 100 is a home subscription server or a policy and charging rule function unit or a packet data gateway 300;
  • the base station 200 is configured to receive and output a data packet sent by the terminal, where the data packet carries a destination IP address.
  • the packet data gateway 300 is configured to determine whether the destination IP address is the same as the IP address of the first application server in the data packet filtering rule, if the destination IP address is in the data packet filtering rule. If the IP addresses of the first application server are the same, the data packet is forwarded to the first application server.
  • the data packet filtering rule carries an IP address of the first application server.
  • the first application server may be a subscription management unit-secure route SM-SR or a subscription management unit SM. It can also be another application server. It can be used to manage the subscription information of the terminal, and the data communication related to the attribute parameter set of the terminal. It is also possible to manage the channel through which the terminal communicates with the outside, and complete routing work.
  • the data packet filtering rule may be included in the subscription data, and is saved and sent together with an access point (Access Point Name, abbreviated as APN M) of the private network to which the first application server belongs.
  • APN M Access Point Name
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source. IP address.
  • the data packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, or a source IP address definition of the data packet.
  • the packet filtering rule may include, in addition to the IP address of the first application server, a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, and an attribute parameter set on the embedded universal integrated circuit card.
  • the source IP address of the identifier or the data packet is limited, and may not be forwarded to the first application server when the data packet capacity is greater than a certain value, or may not be forwarded to the first application server when the data packet capacity is less than a certain value; Or when the identifier carried by the data packet is the same as the identifier or the identifier set carried in the data packet filtering rule, the identifier may be not forwarded to the first application server, and the identifier in the filtering rule is a blacklist or may be carried in the data packet.
  • the identifier is not forwarded to the first application server.
  • the identifier in the filtering rule is a whitelist.
  • the identifier may be carried in the source IP address of the packet and the packet filtering rule.
  • the source IP address is the same, it is not forwarded. It can also be in the source IP address and packet filtering rule of the packet.
  • packet filtering rules carried in the source IP address or identifier may be one, or may be a plurality of sets logo or a source IP address or source IP address configuration set. A plurality of qualified conditions may be considered in a single consideration, or may be considered simultaneously in a plurality of limited conditions, and are not limited herein.
  • the packet data gateway 300 is further configured to send a reject message to the terminal and discard the The data packet.
  • the mobile network device includes: an acquiring unit, configured to acquire a data packet filtering rule of the first application server, where The packet filtering rule carries the IP address of the first application server, and the acquiring unit is the home subscription server 100;
  • the base station 200 is configured to receive and output a data packet sent by the terminal, where the data packet carries a destination IP address.
  • the packet data gateway 300 is configured to determine whether the destination IP address is the same as the IP address of the first application server in the packet filtering rule, if the destination IP address is the same as the packet filtering rule. If the IP address of an application server is the same, the data packet is forwarded to the first application server.
  • the mobile network device further includes a mobility management unit 400, a service gateway 500, and a policy and charging rule function unit 600;
  • the base station 200 is further configured to receive an attach request sent by the terminal, and forward the attach request to the mobility management unit 400 in the mobile network device;
  • the mobility management unit 400 is configured to send a location update request message to the home subscription server 300 in the mobile network device;
  • the home subscription server 300 is configured to return a location update response message to the mobility management unit 400, and carry a packet filtering rule in the location update response message.
  • the mobility management unit 400 is further configured to send a create session request message carrying the packet filtering rule to the serving gateway 500 in the mobile network device;
  • the service gateway 500 is configured to forward the create session request message to the packet data gateway 300 in the mobile network device, so that the packet data gateway 300 determines the data packet when receiving the data packet sent by the terminal. Whether the destination IP address is the same as the IP address of the first application server in the packet filtering rule carried in the create session request message.
  • the home subscription server 500 is further configured to use the policy and charging rule function.
  • the unit 600 receives the subscription data update request message sent by the first application server, and returns a subscription data update response message to the first application server by using the policy and charging rule function unit 600, so that the second application is used.
  • the server After receiving the embedded universal integrated circuit card information set sent by the first application server, the server performs key generation and connection establishment with the embedded universal integrated circuit card and indicates that the embedded universal integrated circuit card is deleted and The key set of the first application server, where the subscription data update request message carries the updated data packet filtering rule and the access point of the private network to which the second application server belongs.
  • the packet filtering rule is carried in the location update response message returned by the HSS to the MME, and the P-GW is notified by the MME and the S-GW, so that the P-GW can filter according to the data packet when receiving the data packet sent by the UE.
  • Rules filter packets.
  • the packet filtering rule in the HSS can be set by the user or obtained by the information exchange between the HSS and the SM-SR1.
  • the packet filtering rule can be fixed or adaptively updated according to the service requirement. Any restrictions.
  • the obtaining unit is a policy and charging rule function unit 600;
  • the base station 200 is further configured to receive an attach request sent by the terminal, and forward the attach request to the mobility management unit 400 in the mobile network device;
  • the mobility management unit 400 is configured to complete a location update process with the home subscription server 100 in the mobile network device, and then send a create session request message to the service gateway 500 in the mobile network device, so that the service gateway 500 Forwarding the create session request message to the packet data gateway 300 in the mobile network device, completing a session creation process;
  • the IP connection accesses the session establishment and modification process of the network, and sends the packet filtering rule to the packet data gateway 300, so that the packet data gateway 300 determines the destination IP of the data packet when receiving the data packet sent by the terminal. Whether the address is established and modified with the IP connection to the network.
  • the IP address of the first application server is the same in the packet filtering rule carried by the information.
  • the policy and charging rule function unit 600 is further configured to receive the first application server. Sending a policy rule update request message, and returning a policy rule update response message to the first application server, so that the second application server receives the embedded universal integrated circuit card information set sent by the first application server And performing key generation and connection establishment with the embedded universal integrated circuit card and instructing the embedded universal integrated circuit card to delete a key set with the first application server, where the policy rule update request message is Carry the updated packet filtering rules.
  • the packet filtering rule is obtained by the P-GW from the PCRF. So that the P-GW can receive it
  • the packet is filtered according to the packet filtering rule.
  • the packet filtering rule in the PCRF can be set by the user or obtained by the information exchange between the PCRF and the SM-SR1.
  • the packet filtering rule can be fixed or adaptively updated according to service requirements. Any restrictions.
  • the acquiring unit is a packet data gateway 300, and the packet data gateway 300 is specifically configured to: receive a domain name resolution request message sent by the terminal, where the domain name resolution request message carries the domain name of the first application server;
  • the IP address carried in the domain name resolution result is used as a packet filtering rule related to the first application server.
  • the terminal includes: an attach request sending unit 110, configured to send an attach request to a mobile network device, to complete attaching;
  • the IP address obtaining unit 120 is configured to send an IP address obtaining request to the domain name server to obtain the first The IP address of an application server;
  • a data sending unit 130 configured to send a data packet carrying an IP address of the first application server to the mobile network device, to enable the mobile network device to determine a destination IP address carried in the data packet, and the Transmitting the data packet to the first application server when the IP address of the first application server is the same in the packet filtering rule acquired by the mobile network device;
  • the receiving unit 140 if the mobile network device determines that the destination IP address carried in the data packet is different from the IP address of the first application server in the data packet filtering rule acquired by the mobile network device in advance, receiving the A rejection message returned by the mobile network device.
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address;
  • the packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address definition of the data packet.
  • the packet filtering rule may include, in addition to the IP address of the first application server, a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, and an attribute parameter set on the embedded universal integrated circuit card.
  • the source IP address of the identifier or the data packet is limited, and may not be forwarded to the first application server when the data packet capacity is greater than a certain value, or may not be forwarded to the first application server when the data packet capacity is less than a certain value; Or when the identifier carried by the data packet is the same as the identifier or the identifier set carried in the data packet filtering rule, the identifier may be not forwarded to the first application server, and the identifier in the filtering rule is a blacklist or may be carried in the data packet.
  • the identifier is not forwarded to the first application server.
  • the identifier in the filtering rule is a whitelist.
  • the identifier may be carried in the source IP address of the packet and the packet filtering rule. When the source IP address is the same, it is not forwarded. It can also be the source I carried in the source IP address and packet filtering rule of the packet. When the P address is different, the forwarding is performed.
  • the identifier or source IP address carried in the packet filtering rule may be one, or may be an identifier set or a source IP address set composed of multiple identifiers or source IP addresses.
  • FIG. 11 it is a schematic diagram of a second embodiment of a terminal according to the present invention.
  • the terminal includes: an input device 210 , an output device 220 , a memory 230 , a processor 240 , and a bus , and the input device 210.
  • the output device 220, the memory 230, and the processor 240 are connected to the bus, where:
  • the memory 230 is used to store a program, and the processor 240 is configured to invoke the program to perform the following steps:
  • the mobile network device determines that the destination IP address carried in the data packet is different from the IP address of the first application server in the data packet filtering rule previously acquired by the mobile network device, receiving the mobile network device to return Rejection message.
  • the data packet further carries an identifier of the embedded universal integrated circuit card, an identifier of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address;
  • the packet filtering rule further includes a capacity definition of the data packet, an identifier definition of the embedded universal integrated circuit card, an identifier definition of the attribute parameter set on the embedded universal integrated circuit card, and a source IP address definition of the data packet.
  • the application server includes: a first receiving unit 310, configured to switch a first application server that needs to connect a terminal. Receiving a handover request message for the second application server;
  • the first sending unit 320 is configured to send a subscription data update request message or a policy rule update request. Message to mobile network device;
  • the second receiving unit 330 is configured to: if the sent message is a subscription data update request message, receive a subscription data update response message returned by the mobile network device, and receive the mobile network if the sent message is a policy rule update request message The policy rule update response message returned by the device;
  • a second sending unit 340 configured to send an embedded universal integrated circuit card information set to the second application server, so that the second application server and the embedded universal integrated circuit card perform key generation and connection establishment and indication
  • the embedded universal integrated circuit card deletes a key set with the first application server
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the first sending unit 310 is specifically configured to send a subscription data update request message to a policy and charging rule function unit in the mobile network device, so that the policy and charging rule function unit uses the subscription data.
  • An update request message is forwarded to a home subscription server in the mobile network device;
  • the second receiving unit 330 is specifically configured to: after the home server sends the subscription data update response message to the policy and charging rule function unit, the contract data update response that is forwarded after receiving the policy and charging rule function unit Message.
  • the first sending unit 310 is specifically configured to send a policy rule update request message to the policy and charging rule function unit in the mobile network device;
  • the second receiving unit 330 is specifically configured to receive a policy rule update response message returned by the policy and charging rule function unit.
  • the application server includes: an input device 410, an output device 420, a memory 430, a processor 440, and a bus.
  • An input device 410, an output device 420, a memory 430, and a processor 440 are coupled to the bus, wherein:
  • the memory 430 is configured to store a program
  • the processor 440 is configured to invoke the program to perform the following steps:
  • the processor If the first application server connected to the terminal needs to be switched to the second application server, the processor
  • the first application server is configured to receive the data packet of the terminal, and the subscription data update request message carries the updated data packet filtering rule and the access of the private network to which the second application server belongs.
  • the policy rule update request message carries the updated packet filtering rule.
  • the processor 440 is specifically configured to:
  • the home server After the home server sends the subscription data update response message to the policy and charging rule function unit, the contract data update response message forwarded after the policy and charging rule function unit is received.
  • the processor 440 is specifically configured to:
  • FIG. 14 is a schematic diagram of the composition of a communication system according to an embodiment of the present invention.
  • the communication system includes: a mobile network device according to any one of the first or second embodiments of the mobile network device of the present invention; and the first or second embodiment of the terminal of the present invention Terminal
  • an application server configured to manage subscription information of the terminal, and perform data communication related to the attribute parameter set of the terminal.
  • the present invention has the following advantages: By obtaining a packet filtering rule carrying an IP address of an application server, and then receiving a data packet carrying a destination IP address sent by the terminal, the destination IP address can be determined. And matching, only when the destination IP address and the IP address in the packet filtering rule are the same, the data packet is forwarded to the application server, so that the data packet can be filtered, and other business data not related to the configuration file is avoided. Or the command occupies a dedicated path between the eUICC and the application server, which reduces the communication interference of the dedicated path between the eUICC and the application server and the processing pressure of the SM-SR.
  • the foregoing storage medium when the program is executed, the steps including the foregoing method embodiments are performed; and the foregoing storage medium includes: a medium that can store program codes, such as a ROM, a RAM, a magnetic disk or an optical disk.

Abstract

本发明实施例公开了一种通信方法，包括：MNO设备获取第一应用服务器的数据包过滤规则，所述数据包过滤规则中携带所述第一应用服务器的IP地址；所述MNO设备接收终端发送的数据包，所述数据包中携带目的IP地址；所述MNO设备判断所述目的IP地址是否与所述数据包过滤规则中所述第一应用服务器的IP地址相同；若所述目的IP地址与所述数据包过滤规则中所述第一应用服务器的IP地址相同，则所述MNO将所述数据包转发至所述第一应用服务器。本发明实施例还公开了一种移动网络设备、终端及系统。采用本发明，可解决eUICC与应用服务器之间的专用通路受干扰，应用服务器处理压力大的问题。

Description

一种通信方法、 移动网络设备、 终端、 应用服务器及系统 技术领域 本发明涉及通信技术领域，尤其涉及一种通信方法、移动网络设备、终端、 应用服务器及系统。
通用集成电路卡（ Universal Integrated Circuit Card, 简称 UICC )研究与开 发移动通信系统多使用智能卡来存储用户身份、 用户认证参数 (密钥等)和算 法、 用户的电话簿和短信数据、运营商的定制参数等信息， 以方便实现用户身 份和用户数据的可携带性以及运营商间的差异化定制。在很多应用中终端需要 更加小巧、 UICC也须相应减小尺寸， 部分物联网应用还对 UICC提出了更高 要求， 诸如： 使用环境更为恶劣， 故对 UICC 的物理电气特性 (如环境温度、 湿度等)能力要求有大幅提高； 读写操作更加频繁， 故要求 UICC有更长的使 用寿命和更高的可靠性； 可能在大幅颠簸的场景中使用， 故需要 UICC的物理 连接触点更加可靠和更耐磨损； 某些应用场景有远程配置、 远程激活、 空中更 换用户身份等需求， 故需要 UICC能灵活升级。
面对持续增长、日益庞大的物联网市场，为了能更有效地管理物联网订购、 更灵活有效地进行物联网终端配置、特别是为了满足一些应用场景和使用环境 下对终端尺寸、 价格和物理 /电气特性等所提出的特殊要求， 嵌入式 UICC(embedded UICC, 简称 eUICC)应运而生。 其中， eUICC能配置多个属性 参数集 (Profile), 每个 Profile 即为 eUICC 与某个移动网络运营商 （Mobile Network Operator， 简称 MNO )相关的一系列文件、 数据的统称， 为了实现对 eUICC与某个 MNO相关的 Profile的灵活管理， eUICC需要与应用服务器如 远程签约管理单元-安全路由 （Subscription Manager-Securely Routing, 简称 SM-SR )或 SM等建立数据连接， 用于 Profile的下载、 安装， 以及管理等命 令或数据的传输等。 在现有技术中， 终端利用配置文件（Provisioning Profile, 简称 PP ) 实现 eUICC与应用服务器之间的连接和通信， 但是实际的信息交互 时， 使用 PP建立的连接可能还被用于传输与 PP不相关的业务数据或命令， 导致应用服务器接收的上行数据中可能存在其他的业务数据或命令，对 eUICC 与应用服务器之间的专用通路造成了干扰， 占用了 eUICC与应用服务器之间 的通路资源， 增大了应用服务器的处理压力。 发明内容
本发明实施例提供了一种通信方法、 移动网络设备、 终端、 应用服务器及 系统， 以解决 eUICC与应用服务器之间的专用通路受干扰， 应用服务器处理压 力大的问题。 本发明实施例第一方面提供了一种通信方法， 可包括：
移动网络设备获取与第一应用服务器相关的数据包过滤规则，所述数据包 过滤规则中携带所述第一应用服务器的 IP地址；
所述移动网络设备接收终端发送的数据包， 所述数据包中携带目的 IP地 址；
所述移动网络设备判断所述目的 IP地址是否与所述数据包过滤规则中所 述第一应用服务器的 IP地址相同；
若所述目的 IP地址与所述数据包过滤规则中所述第一应用服务器的 IP地 址相同， 则所述移动网络设备将所述数据包转发至所述第一应用服务器。
在第一方面的第一种可能的实现方式中，所述移动网络设备获取第一应用 服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的附着请求；
在所述移动网络设备中的移动管理单元通过位置更新流程从所述移动网 络设备中的归属服务器获取签约标识、接入点名称和数据包过滤规则之后， 所 所述移动管理单元发出的创建会话请求消息； 所述分组数据网关从所述创建会话请求消息中获取所述签约标识、接入点 名称和数据包过滤规则。
在第一方面的第二种可能的实现方式中，所述移动网络设备获取第一应用 服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的域名解析请求消息，所述域名解析请求 消息中携带所述第一应用服务器的域名；
所述移动网络设备转发所述域名解析请求消息至域名服务器，并接收所述 域名服务器发送的域名解析结果，所述域名解析结果中携带所述第一应用服务 器的至少一个 IP地址；
所述移动网络设备使用所述域名解析结果中携带的 IP地址， 作为与所述 第一应用服务器相关的数据包过滤规则。
在第一方面的第三种可能的实现方式中，所述移动网络设备获取第一应用 服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的附着请求；
所述移动网络设备中的移动管理单元与所述移动网络设备中的归属签约 服务器完成位置更新流程后，再发送创建会话请求消息至所述移动网络设备中 的服务网关，以便所述服务网关转发所述创建会话请求消息至所述移动网络设 备中的分组数据网关， 完成创建会话流程；
所述移动网络设备中的策略与计费规则功能单元与所述分组数据网关之 间发起 IP连接访问网络的会话建立和修改流程， 发送所述数据包过滤规则至 所述分组数据网关以便所述分组数据网关在接收到终端发送的数据包时，判断 所述数据包的目的 IP地址是否与所述 IP连接访问网络的会话建立和修改消息 携带的数据包过滤规则中所述第一应用服务器的 IP地址相同。
结合第一方面的第一种可能的实现方式，在第四种可能的实现方式中， 当 所述第一应用服务器接收到切换请求消息，需要将终端连接的第一应用服务器 切换为第二应用服务器时，所述移动网络设备中的归属签约服务器通过策略与 计费规则功能单元接收所述第一应用服务器发送的签约数据更新请求消息，并 通过所述策略与计费规则功能单元返回签约数据更新响应消息至所述第一应 用服务器，以使所述第二应用服务器在接收到所述第一应用服务器发送的嵌入 式通用集成电路卡信息集后，与所述嵌入式通用集成电路卡进行密钥生成和连 接建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥 集， 其中， 所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所 述第二应用服务器所属专用网络的接入点。
结合第一方面的第三种可能的实现方式，在第五种可能的实现方式中， 当 所述第一应用服务器接收到切换请求消息，需要将终端连接的第一应用服务器 切换为第二应用服务器时，所述移动网络设备中的策略与计费规则功能单元接 收所述第一应用服务器发送的策略规则更新请求消息，并返回策略规则更新响 应消息至所述第一应用服务器，以使所述第二应用服务器在接收到所述第一应 用服务器发送的嵌入式通用集成电路卡信息集后，与所述嵌入式通用集成电路 卡进行密钥生成和连接建立并指示所述嵌入式通用集成电路卡删除与所述第 一应用服务器的密钥集， 其中， 所述策略规则更新请求消息中携带更新后的数 据包过滤规则。
结合第一方面或结合第一方面的第一或第二或第三或第四或第五种可能 的实现方式，在第六种可能的实现方式中， 所述数据包中还携带嵌入式通用集 成电路卡的标识、 所述嵌入式通用集成电路卡上属性参数集的标识以及源 IP 地址。
结合第一方面的第六种可能的实现方式，在第七种可能的实现方式中， 所 述数据包过滤规则或所述更新后的数据包过滤规则还包括数据包的容量限定、 嵌入式通用集成电路卡的标识限定、嵌入式通用集成电路卡上属性参数集的标 识限定或数据包的源 IP地址限定。
结合第一方面或结合第一方面的第一或第二或第三或第四或第五或第六 或第七种可能的实现方式， 在第八种可能的实现方式中， 若所述目的 IP地址 与所述数据包过滤规则中所述第一应用服务器的 IP地址不相同， 则发送拒绝 消息至所述终端并丟弃所述数据包。
结合第一方面或结合第一方面的第一或第二或第三或第四或第五或第六 或第七或第八种可能的实现方式，在第九种可能的实现方式中， 所述第一应用 服务器或所述第二应用服务器为签约管理单元-安全路由 SM-SR或签约管理单 元 SM。 本发明实施例第二方面提供了一种通信方法， 包括：
终端发送附着请求至移动网络设备， 完成附着；
所述终端向域名服务器发送 IP地址获取请求以获取第一应用服务器的 IP 地址；
所述终端发送携带所述第一应用服务器的 IP地址的数据包至所述移动网 络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地址与所 述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址 相同时转发所述数据包至所述第一应用服务器；
若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则 所述终端接收所述移动网络设备返回的拒绝消息。
在第二方面的第一种可能的实施方式中，所述数据包中还携带嵌入式通用 集成电路卡的标识、 所述嵌入式通用集成电路卡上属性参数集的标识和源 IP 地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。 本发明实施例第三方面提供了一种通信方法， 可包括： 若需要将终端连接的第一应用服务器切换为第二应用服务器，所述第一应 用服务器接收切换请求消息；
发送签约数据更新请求消息或策略规则更新请求消息至移动网络设备； 若发送的消息为签约数据更新请求消息，则接收所述移动网络设备返回的 签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收所述移 动网络设备返回的策略规则更新响应消息；
发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述第二 应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所 述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
在第三方面的第一种可能的实现方式中，所述发送签约数据更新请求消息 至移动网络设备；接收所述移动网络设备返回的签约数据更新响应消息；包括： 所述第一应用服务器发送签约数据更新请求消息至所述移动网络设备中 的策略与计费规则功能单元以便所述策略与计费规则功能单元将所述签约数 据更新请求消息转发给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后，所述第一应用服务器接收所述策略与计费规则功能单元后转发的签 约数据更新响应消息。
在第三方面的第二种可能的实现方式中，所述发送策略规则更新请求消息 至移动网络设备；接收所述移动网络设备返回的策略规则更新响应消息，包括： 所述第一应用服务器发送策略规则更新请求消息至所述移动网络设备中 的策略与计费规则功能单元；
接收所述策略与计费规则功能单元返回的策略规则更新响应消息。 本发明实施例第四方面提供了一种移动网络设备， 可包括：
获取单元， 用于获取第一应用服务器的数据包过滤规则， 所述数据包过滤 规则中携带所述第一应用服务器的 IP地址， 所述获取单元为归属签约服务器 或者为策略与计费规则功能单元或者为分组数据网关；
基站， 用于接收终端发送的数据包并输出， 所述数据包中携带目的 IP地 址；
所述分组数据网关， 用于判断所述目的 IP地址是否与所述数据包过滤规 则中所述第一应用服务器的 IP地址相同， 若所述目的 IP地址与所述数据包过 滤规则中所述第一应用服务器的 IP地址相同， 则将所述数据包转发至所述第 一应用服务器。
在第四方面的第一种可能的实现方式中，所述移动网络设备还包括移动管 理单元和服务网关；
所述基站还用于接收终端发送的附着请求，并将所述附着请求转发至所述 移动网络设备中的移动管理单元；
所述移动管理单元，用于发送位置更新请求消息至所述移动网络设备中的 归属签约服务器；
所述归属签约服务器用于返回位置更新响应消息至所述移动管理单元，并 在所述位置更新响应消息中携带数据包过滤规则；
所述移动管理单元还用于发送携带所述数据包过滤规则的创建会话请求 消息至所述移动网络设备中的服务网关；
所述服务网关用于转发所述创建会话请求消息至所述移动网络设备中的 分组数据网关， 以便所述分组数据网关在接收到终端发送的数据包时，判断所 述数据包的目的 IP地址是否与所述创建会话请求消息携带的数据包过滤规则 中所述第一应用服务器的 IP地址相同。
在第四方面的第二种可能的实现方式中， 所述分数数据网关具体用于： 接收终端发送的域名解析请求消息，所述域名解析请求消息中携带所述第 一应用服务器的域名；
转发所述域名解析请求消息至域名服务器，并接收所述域名服务器发送的 域名解析结果， 所述域名解析结果中携带所述第一应用服务器的至少一个 IP 地址；
使用所述域名解析结果中携带的 IP地址， 作为与所述第一应用服务器相 关的数据包过滤规则。
在第四方面的第三种可能的实现方式中，所述移动网络设备还包括移动管 理单元、 服务网关和策略与计费规则功能单元；
所述基站还用于接收终端发送的附着请求，并将所述附着请求转发至所述 移动网络设备中的移动管理单元；
所述移动管理单元用于与所述移动网络设备中的归属签约服务器完成位 置更新流程后， 再发送创建会话请求消息至所述移动网络设备中的服务网关， 以便所述服务网关转发所述创建会话请求消息至所述移动网络设备中的分组 数据网关， 完成创建会话流程；
所述策略与计费规则功能单元用于与所述分组数据网关之间发起 IP连接 访问网络的会话建立和修改流程，发送所述数据包过滤规则给所述分组数据网 关以便所述分组数据网关在接收到终端发送的数据包时，判断所述数据包的目 的 IP地址是否与所述 IP连接访问网络的会话建立和修改消息携带的数据包过 滤规则中所述第一应用服务器的 IP地址相同。
结合第四方面的第一种可能的实现方式，在第四种可能的实现方式中， 当 所述第一应用服务器接收到切换请求消息，需要将终端连接的第一应用服务器 切换为第二应用服务器时，所述归属签约服务器还用于通过策略与计费规则功 能单元接收所述第一应用服务器发送的签约数据更新请求消息，并通过所述策 略与计费规则功能单元返回签约数据更新响应消息至所述第一应用服务器，以 使所述第二应用服务器在接收到所述第一应用服务器发送的嵌入式通用集成 电路卡信息集后，与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指 示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集， 其中， 所 述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二应用 服务器所属专用网络的接入点。
结合第四方面的第三种可能的实现方式，在第五种可能的实现方式中， 当 所述第一应用服务器接收到切换请求消息，需要将终端连接的第一应用服务器 切换为第二应用服务器时，所述策略与计费规则功能单元还用于接收所述第一 应用服务器发送的策略规则更新请求消息，并返回策略规则更新响应消息至所 述第一应用服务器，以使所述第二应用服务器在接收到所述第一应用服务器发 送的嵌入式通用集成电路卡信息集后，与所述嵌入式通用集成电路卡进行密钥 生成和连接建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务 器的密钥集， 其中， 所述策略规则更新请求消息中携带更新后的数据包过滤规 则。
结合第四方面或结合第四方面的第一或第二或第三或第四或第五种可能 的实现方式，在第六种可能的实现方式中， 所述数据包中还携带嵌入式通用集 成电路卡的标识、 所述嵌入式通用集成电路卡上属性参数集的标识以及源 IP 地址。
结合第四方面的第六种可能的实现方式，在第七种可能的实现方式中， 所 述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的标识限 定、 嵌入式通用集成电路卡上属性参数集的标识限定或数据包的源 IP地址限 定。
结合第四方面或结合第四方面的第一或第二或第三或第四或第五或第六 或第七种可能的实现方式， 在第八种可能的实现方式中， 若所述目的 IP地址 与所述数据包过滤规则中所述第一应用服务器的 IP地址不相同， 则所述分组 数据网关还用于发送拒绝消息至所述终端并丟弃所述数据包。
结合第四方面或结合第四方面的第一或第二或第三或第四或第五或第六 或第七或第八种可能的实现方式，在第九种可能的实现方式中， 所述第一应用 服务器或所述第二应用服务器为签约管理单元-安全路由 SM-SR或签约管理单 元 SM。 本发明实施例第五方面提供了一种终端， 包括：
附着请求发送单元， 用于发送附着请求至移动网络设备， 完成附着； IP地址获取单元， 用于向域名服务器发送 IP地址获取请求以获取第一应 用服务器的 IP地址；
数据发送单元， 用于发送携带所述第一应用服务器的 IP地址的数据包至 所述移动网络设备，以使所述移动网络设备在判定所述数据包中携带的目的 IP 地址与所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器 的 IP地址相同时转发所述数据包至所述第一应用服务器；
接收单元， 若所述移动网络设备判定所述数据包中携带的目的 IP地址与 所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地 址不同， 则接收所述移动网络设备返回的拒绝消息。
在第五方面的第一种可能的实现方式中，所述数据包中还携带嵌入式通用 集成电路卡的标识、 所述嵌入式通用集成电路卡上属性参数集的标识和源 IP 地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。 本发明实施例第六方面提供了一种终端， 包括：
输入装置、 输出装置、 存储器、 处理器以及总线， 所述输入装置、 输出装 置、 存储器以及处理器与所述总线连接， 其中：
所述存储器用于存储程序， 所述处理器用于调用所述程序进行以下步骤： 发送附着请求至移动网络设备， 完成附着；
向域名服务器发送 IP地址获取请求以获取第一应用服务器的 IP地址； 发送携带所述第一应用服务器的 IP地址的数据包至所述移动网络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址相同时转 发所述数据包至所述第一应用服务器；
若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则 接收所述移动网络设备返回的拒绝消息。
在第六方面的第一种可能的实现方式中，所述数据包中还携带嵌入式通用 集成电路卡的标识、 所述嵌入式通用集成电路卡上属性参数集的标识和源 IP 地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
本发明实施例第七方面提供了一种应用服务器统， 包括：
第一接收单元，用于若需要将终端连接的第一应用服务器切换为第二应用 服务器， 接收切换请求消息；
第一发送单元，用于发送签约数据更新请求消息或策略规则更新请求消息 至移动网络设备；
第二接收单元， 用于若发送的消息为签约数据更新请求消息， 则接收所述 移动网络设备返回的签约数据更新响应消息，若发送的消息为策略规则更新请 求消息则接收所述移动网络设备返回的策略规则更新响应消息；
第二发送单元，用于发送嵌入式通用集成电路卡信息集至所述第二应用服 务器以使所述第二应用服务器与所述嵌入式通用集成电路卡进行密钥生成和 连接建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密 钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
在第七方面的第一种可能的实现方式中，所述第一发送单元具体用于发送 签约数据更新请求消息至所述移动网络设备中的策略与计费规则功能单元以 便所述策略与计费规则功能单元将所述签约数据更新请求消息转发给所述移 动网络设备中的归属签约服务器；
所述第二接收单元具体用于当所述归属服务器发送签约数据更新响应消 息给所述策略与计费规则功能单元后，接收所述策略与计费规则功能单元后转 发的签约数据更新响应消息。
在第七方面的第二种可能的实现方式中，所述第一发送单元具体用于发送 策略规则更新请求消息至所述移动网络设备中的策略与计费规则功能单元； 所述第二接收单元具体用于接收所述策略与计费规则功能单元返回的策 略规则更新响应消息。 本发明实施例第八方面提供了一种应用服务器， 包括：
输入装置、 输出装置、 存储器、 处理器以及总线， 所述输入装置、 输出装 置、 存储器以及处理器与所述总线连接， 其中：
所述存储器用于存储程序， 所述处理器用于调用所述程序进行以下步骤： 若需要将终端连接的第一应用服务器切换为第二应用服务器，所述处理器 接收切换请求消息；
发送签约数据更新请求消息或策略规则更新请求消息至移动网络设备； 若发送的消息为签约数据更新请求消息，则接收所述移动网络设备返回的 签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收所述移 动网络设备返回的策略规则更新响应消息；
发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述第二 应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所 述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
在第八方面的第一种可能的实现方式中，所述发送签约数据更新请求消息 至移动网络设备；接收所述移动网络设备返回的签约数据更新响应消息时， 所 述处理器具体用于：
发送签约数据更新请求消息至所述移动网络设备中的策略与计费规则功 能单元以便所述策略与计费规则功能单元将所述签约数据更新请求消息转发 给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后， 接收所述策略与计费规则功能单元后转发的签约数据更新响应消 息。
在第八方面的第二种可能的实现方式中，所述第一发送单元具体用于发送 策略规则更新请求消息至所述移动网络设备中的策略与计费规则功能单元； 所述第二接收单元具体用于接收所述策略与计费规则功能单元返回的策 略规则更新响应消息。 本发明实施例第九方面提供了一种通信系统， 包括：
如本发明实施例第四方面或第四方面任一实施方式所述的移动网络设备; 如本发明实施例第五方面或第五方面任一实施方式所述的终端； 以及，至少一个如本发明实施例第七方面或第七方面任一实施方式所述的 应用服务器， 用于管理所述终端的签约信息， 与所述终端进行属性参数集相关 的数据通信。
实施本发明实施例， 具有如下有益效果：
通过获取携带应用服务器的 IP地址的数据包过滤规则， 然后在接收到终 端发送的携带目的 IP地址的数据包时， 可以对目的 IP地址进行判断和匹配， 只有在目的 IP地址和数据包过滤规则中的 IP地址相同时， 才会将数据包转发 给应用服务器，从而可实现对数据包的过滤，避免了其他与配置文件不相关的 业务数据或命令占用 eUICC与应用服务器之间的专用通路， 减少了 eUICC与 应用服务器之间的专用通路的通信干扰以及应用服务器的处理压力。 附图说明 为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施 例中所需要使用的附图作简单地介绍，显而易见地， 下面描述中的附图仅仅是 本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的 前提下， 还可以根据这些附图获得其他的附图。
图 1 为本发明通信方法的第一实施例的流程示意图；
图 2为本发明通信方法的第二实施例的流程示意图； 图 3为本发明通信方法的第三实施例的流程示意图； 图 4为在图 2通信方法中进行 SM-SR切换的流程示意图； 图 5为在图 3通信方法中进行 SM-SR切换的流程示意图； 图 6为本发明通信方法的第四实施例的流程示意图；
图 7为本发明通信方法的第五实施例的流程示意图； 图 8为本发明移动网络设备的第一实施例的组成示意图；
图 9为本发明移动网络设备的第二实施例的组成示意图； 图 10为本发明终端的第一实施例的组成示意图； 图 11为本发明终端的第二实施例的组成示意图； 图 12为本发明应用服务器的第一实施例的组成示意图； 图 13为本发明应用服务器的第二实施例的组成示意图； 图 14为本发明实施例通信系统的组成示意图。
具体实施方式 下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清 楚、 完整地描述， 显然， 所描述的实施例仅仅是本发明一部分实施例， 而不是 全部的实施例。基于本发明中的实施例， 本领域普通技术人员在没有作出创造 性劳动前提下所获得的所有其他实施例， 都属于本发明保护的范围。
本申请所述的通信方法可使用于单个 SM-SR工作的场景， 当然也可使用 于两个以上的 SM-SR同时工作， 可能需要切换的场景， 尤其适用于在两个以 上的 SM-SR同时工作，当终端接入的 SM-SR发生切换的场景。因为在切换时， 对于终端发送的数据包的过滤处理，避免其他与配置文件不相关的业务数据或 命令占用 eUICC与应用服务器之间的专用通路非常重要， 具体过程可参见下 述实施例的详细描述。 请参照图 1， 为本发明通信方法的第一实施例的流程示意图； 在本实施例 中， 所述方法包括： S101 , 移动网络设备获取与第一应用服务器相关的数据包过滤规则。 其中， 所述数据包过滤规则中携带所述第一应用服务器的 IP地址。 元 SM。 也可以是其他的应用服务器。 可用于管理终端的签约信息， 与终端进 行属性参数集相关的数据通信。还可以管理终端与外部通信的通道， 完成路由 工作等。
可选地， 所述数据包过滤规则可以包含在签约数据中， 和第一应用服务器 所属专用网络的接入点 ( Access Point Name,简称 APN M言息一起保存和发送。 所述接入点信息用于指示终端接入的节点、 网关或传输通路。
S102, 所述移动网络设备接收终端发送的数据包， 所述数据包中携带目的 IP地址。 可选地， 所述数据包中还可以携带嵌入式通用集成电路卡的标识 （EID Embedded Identity, 简称 EID )、所述嵌入式通用集成电路卡上属性参数集的标 识 （ Integrated Circuit Card Identity, 简称 ICCID ) 以及源 IP地址。 这样， 接 收到数据包的网关就可以知道数据包的来源和标识信息，从而可形成新的过滤 条件。
例如， 所述数据包过滤规则除了携带第一应用服务器的 IP地址之外， 还 可以包括数据包的容量限定、嵌入式通用集成电路卡的标识限定、嵌入式通用 集成电路卡上属性参数集的标识限定或数据包的源 IP地址限定，
当数据包容量大于某一个值时则可以不转发给第一应用服务器，也可以在 数据包容量小于某一个值时则不转发给第一应用服务器；或当数据包携带的标 识与数据包过滤规则中携带的标识或标识集相同时，则可以不转发给第一应用 服务器， 此时过滤规则中的标识为黑名单，也可以在数据包携带的标识与数据 包过滤规则中携带的标识不同时， 不转发给第一应用服务器， 此时过滤规则中 的标识为白名单； 或还可以当数据包的源 IP地址与数据包过滤规则中携带的 源 IP地址相同时， 则不转发， 也可以在数据包的源 IP地址与数据包过滤规则 中携带的源 IP地址不同时， 进行转发， 当然， 数据包过滤规则中携带的标识 或源 IP地址可以是 1个，也可以是多个标识或源 IP地址构成的标识集或源 IP 地址集。 多个限定条件可以单一考虑，也可以多个限定条件同时考虑， 此处不作任 何限定。
S 103， 所述移动网络设备判断所述目的 IP地址是否与所述数据包过滤规 则中所述第一应用服务器的 IP地址相同。 若相同则执行步骤 S104， 否则执行 步骤 S 105。
S 104, 所述移动网络设备将所述数据包转发至所述第一应用服务器。 S 105， 发送拒绝消息至所述终端并丟弃所述数据包。 通过获取携带应用服务器的 IP地址的数据包过滤规则， 然后在接收到终 端发送的携带目的 IP地址的数据包时， 可以对目的 IP地址进行判断和匹配， 只有在目的 IP地址和数据包过滤规则中的 IP地址相同时， 才会将数据包转发 给应用服务器，从而可实现对数据包的过滤，避免了其他与配置文件不相关的 业务数据或命令占用 eUICC与应用服务器之间的专用通路， 减少了 eUICC与 应用服务器之间的专用通路的通信干扰以及应用服务器的处理压力。
请参照图 2， 为本发明通信方法的第二实施例的流程示意图； 在本实施例 中， eUICC嵌入在终端内， 应用服务器为 SM-SR， 移动网络设备包括多个实 体， 如基站（ eNB )、移动管理单元（ Mobile Management Entity， 简称 MME )、 月良务网关（ Serving Gateway,简称 S-GW )、 分组数据网关（ Packet Data Network Gateway, 简称 P-GW )、 归属签约服务器 （ Home Subscription Server, 简称 HSS )， 这些实体之间可进行各种信息交互以建立连接和数据通信。
所述移动网络设备可接收终端发送的附着请求；
在所述移动网络设备中的移动管理单元通过位置更新流程从所述移动网 络设备中的归属服务器获取签约标识、接入点名称和数据包过滤规则之后， 所
Figure imgf000019_0001
所述分组数据网关从所述创建会话请求消息中获取所述签约标识、接入点 名称和数据包过滤规则。
具体地， 所述方法的实现流程可包括：
1. UE向 eNodeB发送附着请求；
2. eNodeB将附着请求转发给 MME;
3. MME向 HSS发送位置更新请求（ Update Location Request ) 消息；
4. HSS向 MME返回位置更新响应 （Update Location Response ) 消息， 携带签约数据， 这里的签约数据包括 SM-SR1数据包过滤规则等； 可选地还可 以包括 SM-SR1所属专用网络的 APN。
5. MME向 S-GW发送创建会话请求（ Create Session Request ) 消息， 携 带数据包过滤规则等；
6. S-GW向 P-GW发送创建会话请求（ Create Session Request ) 消息， 携 带数据包过滤规则 packet filter criteria等；
7. P-GW向 S-GW返回创建会话响应 （ Create Session Response ) 消息；
8. S-GW向 MME返回创建会话响应 （ Create Session Response ) 消息； 9. MME向 eNodeB发送初始上下文设置请求 /附着接收（Initial Context
Setup Request I Attach Request ) 消息；
10. eNodeB 向 UE发送无线资源控制协议连接重构 （ RRC Connection Reconfiguration ) 消息；
11. UE向 eNodeB返回无线资源控制协议连接重构完成（ RRC Connection Reconfiguration Complete ) 消息；
12. eNodeB 向 MME返回初始上下文设置响应 （Initial Context Setup Response ) 消息；
13. UE向 eNodeB发送直传（ Direct Transfer ) 消息；
14. eNodeB向 MME发送附着完成（ Attach Complete ) 消息；
15. UE向 eNodeB发送 NAS层信令：服务请求（ Service Request ) 消息；
16. eNodeB向 MME发送 NAS层信令 ：服务请求（Service Request ) 消 息；
17. MME向 eNodeB发送 Sl-AP层信令： 初始上下文设置请求（Initial Context Setup Request ) 消息；
18. eNodeB与 UE之间建立无线承载；
19. eNodeB向 MME发送 S1-AP层信令： 初始上下文设置完成（Initial
Context Setup Complete ) 消息；
20. UE向域名服务器（ DNS Server )获取 SM-SR1的 IP地址；
21. UE通过 eNodeB、 S-GW转发， 向 P-GW发送上行数据包， 携带目的 IP地址； 可选地， 还可以携带 EID、 ICCID、 源 IP地址等
22. P-GW根据在步骤 6中得到的数据包过滤规则， 对上行数据包进行过 滤； 如果上行数据包的目的 IP地址与数据包过滤规则中的 SM-SR1的 IP地址 不同， 则执行步骤 23， 相同则执行步骤 24。
23. 拒绝该上行数据的转发， 并向依次通过 S-GW、 eNodeB发送拒绝消 息至 UE;
24. 如果上行数据的目的 IP地址与数据包过滤规则中的 SM-SR1的 IP地 址相同， 那么 P-GW将该上行数据转发至 SM-SR1。
在本实施例中， 通过在 HSS向 MME返回的位置更新响应消息中携带数 据包过滤规则， 并经过 MME、 S-GW告知 P-GW， 从而使得 P-GW可以在接 收到 UE发送的数据包时，根据数据包过滤规则对数据包进行过滤。其中， HSS 中的数据包过滤规则可以由用户设定或者由 HSS与 SM-SR1之间的信息交互 获取， 数据包过滤规则可以固定不变， 也可以根据业务需要进行适应性更新， 此处不作任何限定。
请参照图 3， 为本发明通信方法的第三实施例的流程示意图； 在本实施例 中， 所述移动网络设备还包括策略与计费规则功能单元 （Policy and Charging Rules Function, 简称 PCRF)。
所述方法的步骤 1-步骤 3与图 2所示实施例的步骤 1-3相同。 1. UE向 eNodeB发送附着请求；
2. eNodeB将附着请求转发给 MME;
3. MME向 HSS发送位置更新请求（ Update Location Request ) 消息；
4. HSS向 MME返回位置更新响应 （Update Location Response ) 消息， 携带签约数据， 这里的签约数据包括 SM-SR1所属专用网络的 APN等； （与图
2所示实施例相比， 缺少了数据包过滤规则 )
步骤 5-步骤 6与图 2所示实施例相同。
5. MME向 S-GW发送创建会话请求（ Create Session Request ) 消息， 携 带数据包过滤规则等；
6. S-GW向 P-GW发送创建会话请求（ Create Session Request ) 消息， 携 带数据包过滤规则 packet filter criteria等；
7. P-GW与 PCRF之间发起策略及计费执行功能（Policy and Charging Enforcement Function, 简称 PCEF )发起的 IP连接访问网络的会话建立 /修改
( PCEF initiated IP-CAN Session Establishment/Modification )流程，进而 P-GW 从 PCRF获取数据包过滤规则；
后续的步骤 8-25与图 2所示实施例的步骤 7-24相同。
8. P-GW向 S-GW返回创建会话响应 （ Create Session Response ) 消息；
9. S-GW向 MME返回创建会话响应 （ Create Session Response ) 消息；
10. MME向 eNodeB发送初始上下文设置请求 /附着接收（ Initial Context Setup Request / Attach Request ) 消息；
11. eNodeB 向 UE发送无线资源控制协议连接重构 （ RRC Connection Reconfiguration ) 消息；
12. UE向 eNodeB返回无线资源控制协议连接重构完成（ RRC Connection Reconfiguration Complete ) 消息；
13. eNodeB 向 MME返回初始上下文设置响应 （Initial Context Setup
Response ) 消息； 14. UE向 eNodeB发送直传（ Direct Transfer ) 消息；
15. eNodeB向 MME发送附着完成（ Attach Complete ) 消息；
16. UE向 eNodeB发送 NAS层信令：服务请求（ Service Request ) 消息；
17. eNodeB向 MME发送 NAS层信令 ：服务请求（ Service Request ) 消 息；
18. MME向 eNodeB发送 S1-AP层信令： 初始上下文设置请求（Initial Context Setup Request ) 消息；
19. eNodeB与 UE之间建立无线承载；
20. eNodeB向 MME发送 S1-AP层信令： 初始上下文设置完成（Initial Context Setup Complete ) 消息；
21. UE向域名服务器（ DNS Server )获取 SM-SR1的 IP地址；
22. UE通过 eNodeB、 S-GW转发， 向 P-GW发送上行数据包， 携带目的 IP地址； 可选地， 还可以携带 EID、 ICCID、 源 IP地址等
23. P-GW根据在步骤 6中得到的数据包过滤规则， 对上行数据包进行过 滤； 如果上行数据包的目的 IP地址与数据包过滤规则中的 SM-SR1的 IP地址 不同， 则执行步骤 23， 相同则执行步骤 24。
24. 拒绝该上行数据的转发， 并向依次通过 S-GW、 eNodeB发送拒绝消 息至 UE;
25. 如果上行数据的目的 IP地址与数据包过滤规则中的 SM-SR1的 IP地 址相同， 那么 P-GW将该上行数据转发至 SM-SR1。
在本实施例中，由 P-GW从 PCRF处获取数据包过滤规则。从而使得 P-GW 可以在接收到 UE发送的数据包时， 根据数据包过滤规则对数据包进行过滤。 其中， PCRF中的数据包过滤规则可以由用户设定或者由 PCRF与 SM-SR1之 间的信息交互获取，数据包过滤规则可以固定不变，也可以根据业务需要进行 适应性更新， 此处不作任何限定。
当然， 除了上述两种获取签约规则的方式之外，还可以通过移动网络设备 与域名服务器的信息交互来实现， 其具体实现流程可以为：
1. 所述移动网络设备接收终端发送的域名解析请求消息， 所述域名解析 请求消息中携带所述第一应用服务器的域名；
其中， 所述域名解析请求消息为专用于域名签约管理的应用服务器的应 用。
2. 所述移动网络设备转发所述域名解析请求消息至域名服务器， 并接收 所述域名服务器发送的域名解析结果，所述域名解析结果中携带所述第一应用 服务器的至少一个 IP地址；
3. 所述移动网络设备使用所述域名解析结果中携带的 IP地址， 作为与所 述第一应用服务器相关的数据包过滤规则。
通过此种方式获取的 IP地址即为所述第一应用服务器相关的数据包过滤 规则中的 IP地址， 两者相同， 从而为后续的数据包过滤提供参考条件。
请参照图 4， 为在图 2通信方法中进行 SM-SR切换的流程示意图； 在本 实施例中， 所述方法包括：
1. SM-SR 2收到 SM-SR切换请求；
2. SM-SR 2回复确认消息；
3. SM-SR 1收到 SM-SR切换请求；
4. SM-SR 1通过 PCRF向 HSS发送签约数据更新请求（ Subscription Data Update ) 消息， 携带数据包过滤规则和签约的 APN;
5. HSS通过 PCRF向 SM-SR 1返回确认消息；
6. SM-SR 1向 SM-SR 2发送 eUICC信息集（ EIS )信息；
7. SM-SR 2与 UE内的 eUICC进行密钥生成和连接建立；
8. SM-SR 2指示 UE内的 eUICC删除与 SM-SR 1的密钥集；
9. SM-SR 2向 SM-SR 1发送切换完成确认消息；
10. SM-SR 2向发起方（ Initiator )如业务提供商发送切换完成确认消息；
11. SM-SR 1删除与目标 UE内的 eUICC对应的 EIS信息。 通过发送签约数据更新消息至 HSS 进行签约数据的更新， 从而实现 SM-SR的切换。 在本实施例中仅以 SM-SR的切换进行说明， 当 SM切换或其 他应用服务器切换时， 方法相同， 此处不再赘述。
请参照图 5， 为在图 3通信方法中进行 SM-SR切换的流程示意图； 在本 实施例中， 所述方法的步骤 1-3与图 4所示实施例的步骤 1-3相同。
1. SM-SR 2收到 SM-SR切换请求；
2. SM-SR 2回复确认消息；
3. SM-SR 1收到 SM-SR切换请求；
4. SM-SR 1向 PCRF发送策略规则更新请求（ Policy Rules Update )消息， 携带数据包过滤规则；
5. PCRF向 SM-SR 1返回确认消息；
所述方法的步骤 6-11与图 4所示实施例的步骤 6-11相同。
6. SM-SR 1向 SM-SR 2发送 eUICC信息集（ EIS )信息；
7. SM-SR 2与 UE内的 eUICC进行密钥生成和连接建立；
8. SM-SR 2指示 UE内的 eUICC删除与 SM-SR 1的密钥集；
9. SM-SR 2向 SM-SR 1发送切换完成确认消息；
10. SM-SR 2向发起方（Initiator )如业务提供商发送切换完成确认消息；
11. SM-SR 1删除与目标 UE内的 eUICC对应的 EIS信息。
通过发送签约数据更新消息至 PCRF 进行签约数据的更新， 从而实现 SM-SR的切换。
请参照图 6， 为本发明通信方法的第四实施例的流程示意图； 在本实施例 中， 所述方法包括：
5601 , 终端发送附着请求至移动网络设备， 完成附着。
5602, 所述终端向域名服务器发送 IP地址获取请求以获取第一应用服务 器的 IP地址。 S603, 所述终端发送携带所述第一应用服务器的 IP地址的数据包至所述 移动网络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地 址与所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的
IP地址相同时转发所述数据包至所述第一应用服务器。 S604, 若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述 移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不 同， 则所述终端接收所述移动网络设备返回的拒绝消息。
请参照图 7， 为本发明通信方法的第五实施例的流程示意图； 在本实施例 中， 所述方法包括： S701 ,若需要将终端连接的第一应用服务器切换为第二应用服务器，所述 第一应用服务器接收切换请求消息
5702,发送签约数据更新请求消息或策略规则更新请求消息至移动网络设 备；
5703,若发送的消息为签约数据更新请求消息，则接收所述移动网络设备 返回的签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收 所述移动网络设备返回的策略规则更新响应消息；
S704，发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述 第二应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指 示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
可选地， 所述发送签约数据更新请求消息至移动网络设备； 接收所述移动 网络设备返回的签约数据更新响应消息； 包括： 所述第一应用服务器发送签约数据更新请求消息至所述移动网络设备中 的策略与计费规则功能单元以便所述策略与计费规则功能单元将所述签约数 据更新请求消息转发给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后，所述第一应用服务器接收所述策略与计费规则功能单元后转发的签 约数据更新响应消息。
具体可参照图 4所示的流程， 此处不再赘述。 可选地， 所述发送策略规则更新请求消息至移动网络设备； 接收所述移动 网络设备返回的策略规则更新响应消息， 包括：
所述第一应用服务器发送策略规则更新请求消息至所述移动网络设备中 的策略与计费规则功能单元；
接收所述策略与计费规则功能单元返回的策略规则更新响应消息。
具体可参照图 5所示的流程， 此处不再赘述。 请参照图 8， 为本发明移动网络设备的第一实施例的组成示意图； 在本实 施例中， 所述移动网络设备包括： 获取单元 100， 用于获取第一应用服务器的数据包过滤规则， 所述数据包 过滤规则中携带所述第一应用服务器的 IP地址， 所述获取单元 100为归属签 约服务器或者为策略与计费规则功能单元或者为分组数据网关 300;
基站 200， 用于接收终端发送的数据包并输出， 所述数据包中携带目的 IP 地址；
所述分组数据网关 300， 用于判断所述目的 IP地址是否与所述数据包过 滤规则中所述第一应用服务器的 IP地址相同， 若所述目的 IP地址与所述数据 包过滤规则中所述第一应用服务器的 IP地址相同， 则将所述数据包转发至所 述第一应用服务器。
其中， 所述数据包过滤规则中携带所述第一应用服务器的 IP地址。 所述 第一应用服务器可以为签约管理单元-安全路由 SM-SR或签约管理单元 SM。 也可以是其他的应用服务器。可用于管理终端的签约信息， 与终端进行属性参 数集相关的数据通信。 还可以管理终端与外部通信的通道， 完成路由工作等。
可选地， 所述数据包过滤规则可以包含在签约数据中， 和第一应用服务器 所属专用网络的接入点 ( Access Point Name,简称 APN M言息一起保存和发送。 所述接入点信息用于指示终端接入的节点、 网关或传输通路。 可选地， 所述数据包中还携带嵌入式通用集成电路卡的标识、所述嵌入式 通用集成电路卡上属性参数集的标识以及源 IP地址。
可选地， 所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成 电路卡的标识限定、嵌入式通用集成电路卡上属性参数集的标识限定或数据包 的源 IP地址限定。
例如， 所述数据包过滤规则除了携带第一应用服务器的 IP地址之外， 还 可以包括数据包的容量限定、嵌入式通用集成电路卡的标识限定、嵌入式通用 集成电路卡上属性参数集的标识限定或数据包的源 IP地址限定， 当数据包容 量大于某一个值时则可以不转发给第一应用服务器，也可以在数据包容量小于 某一个值时则不转发给第一应用服务器；或当数据包携带的标识与数据包过滤 规则中携带的标识或标识集相同时， 则可以不转发给第一应用服务器， 此时过 滤规则中的标识为黑名单，也可以在数据包携带的标识与数据包过滤规则中携 带的标识不同时，不转发给第一应用服务器，此时过滤规则中的标识为白名单； 或还可以当数据包的源 IP地址与数据包过滤规则中携带的源 IP地址相同时， 则不转发， 也可以在数据包的源 IP地址与数据包过滤规则中携带的源 IP地址 不同时， 进行转发， 当然， 数据包过滤规则中携带的标识或源 IP地址可以是 1个， 也可以是多个标识或源 IP地址构成的标识集或源 IP地址集。 多个限定 条件可以单一考虑， 也可以多个限定条件同时考虑， 此处不作任何限定。
若所述目的 IP地址与所述数据包过滤规则中所述第一应用服务器的 IP地 址不相同，则所述分组数据网关 300还用于发送拒绝消息至所述终端并丟弃所 述数据包。
请参照图 9， 为本发明移动网络设备的第二实施例的组成示意图； 在本实 施例中， 所述移动网络设备包括： 获取单元， 用于获取第一应用服务器的数据包过滤规则， 所述数据包过滤 规则中携带所述第一应用服务器的 IP地址， 所述获取单元为归属签约服务器 100;
基站 200， 用于接收终端发送的数据包并输出， 所述数据包中携带目的 IP 地址；
分组数据网关 300， 用于判断所述目的 IP地址是否与所述数据包过滤规 则中所述第一应用服务器的 IP地址相同， 若所述目的 IP地址与所述数据包过 滤规则中所述第一应用服务器的 IP地址相同， 则将所述数据包转发至所述第 一应用服务器。
所述移动网络设备还包括移动管理单元 400、服务网关 500和策略与计费 规则功能单元 600;
所述基站 200还用于接收终端发送的附着请求，并将所述附着请求转发至 所述移动网络设备中的移动管理单元 400;
所述移动管理单元 400， 用于发送位置更新请求消息至所述移动网络设备 中的归属签约服务器 300;
所述归属签约服务器 300用于返回位置更新响应消息至所述移动管理单 元 400， 并在所述位置更新响应消息中携带数据包过滤规则；
所述移动管理单元 400还用于发送携带所述数据包过滤规则的创建会话 请求消息至所述移动网络设备中的服务网关 500;
所述服务网关 500 用于转发所述创建会话请求消息至所述移动网络设备 中的分组数据网关 300， 以便所述分组数据网关 300在接收到终端发送的数据 包时， 判断所述数据包的目的 IP地址是否与所述创建会话请求消息携带的数 据包过滤规则中所述第一应用服务器的 IP地址相同。 可选地， 当所述第一应用服务器接收到切换请求消息， 需要将终端连接的 第一应用服务器切换为第二应用服务器时，所述归属签约服务器 500还用于通 过策略与计费规则功能单元 600接收所述第一应用服务器发送的签约数据更 新请求消息，并通过所述策略与计费规则功能单元 600返回签约数据更新响应 消息至所述第一应用服务器，以使所述第二应用服务器在接收到所述第一应用 服务器发送的嵌入式通用集成电路卡信息集后，与所述嵌入式通用集成电路卡 进行密钥生成和连接建立并指示所述嵌入式通用集成电路卡删除与所述第一 应用服务器的密钥集， 其中， 所述签约数据更新请求消息中携带更新后的数据 包过滤规则以及所述第二应用服务器所属专用网络的接入点。
通过在 HSS向 MME返回的位置更新响应消息中携带数据包过滤规则， 并经过 MME、 S-GW告知 P-GW， 从而使得 P-GW可以在接收到 UE发送的 数据包时， 根据数据包过滤规则对数据包进行过滤。 其中， HSS中的数据包过 滤规则可以由用户设定或者由 HSS与 SM-SR1之间的信息交互获取， 数据包 过滤规则可以固定不变，也可以根据业务需要进行适应性更新， 此处不作任何 限定。
或者所述获取单元为策略与计费规则功能单元 600;
则所述基站 200还用于接收终端发送的附着请求，并将所述附着请求转发 至所述移动网络设备中的移动管理单元 400;
所述移动管理单元 400用于与所述移动网络设备中的归属签约服务器 100 完成位置更新流程后，再发送创建会话请求消息至所述移动网络设备中的服务 网关 500， 以便所述服务网关 500转发所述创建会话请求消息至所述移动网络 设备中的分组数据网关 300， 完成创建会话流程；
IP连接访问网络的会话建立和修改流程， 发送所述数据包过滤规则给所述分 组数据网关 300以便所述分组数据网关 300在接收到终端发送的数据包时，判 断所述数据包的目的 IP地址是否与所述 IP连接访问网络的会话建立和修改消 息携带的数据包过滤规则中所述第一应用服务器的 IP地址相同。
当所述第一应用服务器接收到切换请求消息，需要将终端连接的第一应用 服务器切换为第二应用服务器时，所述策略与计费规则功能单元 600还用于接 收所述第一应用服务器发送的策略规则更新请求消息，并返回策略规则更新响 应消息至所述第一应用服务器，以使所述第二应用服务器在接收到所述第一应 用服务器发送的嵌入式通用集成电路卡信息集后，与所述嵌入式通用集成电路 卡进行密钥生成和连接建立并指示所述嵌入式通用集成电路卡删除与所述第 一应用服务器的密钥集， 其中， 所述策略规则更新请求消息中携带更新后的数 据包过滤规则。
由 P-GW从 PCRF处获取数据包过滤规则。从而使得 P-GW可以在接收到
UE发送的数据包时， 根据数据包过滤规则对数据包进行过滤。 其中， PCRF 中的数据包过滤规则可以由用户设定或者由 PCRF与 SM-SR1之间的信息交互 获取， 数据包过滤规则可以固定不变， 也可以根据业务需要进行适应性更新， 此处不作任何限定。
或者所述获取单元为分组数据网关 300，所述分组数据网关 300具体用于： 接收终端发送的域名解析请求消息，所述域名解析请求消息中携带所述第 一应用服务器的域名；
转发所述域名解析请求消息至域名服务器，并接收所述域名服务器发送的 域名解析结果， 所述域名解析结果中携带所述第一应用服务器的至少一个 IP 地址；
使用所述域名解析结果中携带的 IP地址， 作为与所述第一应用服务器相 关的数据包过滤规则。
请参照图 10， 为本发明终端的第一实施例的组成示意图； 在本实施例中， 所述终端包括： 附着请求发送单元 110， 用于发送附着请求至移动网络设备， 完成附着；
IP地址获取单元 120， 用于向域名服务器发送 IP地址获取请求以获取第 一应用服务器的 IP地址；
数据发送单元 130， 用于发送携带所述第一应用服务器的 IP地址的数据 包至所述移动网络设备，以使所述移动网络设备在判定所述数据包中携带的目 的 IP地址与所述移动网络设备预先获取的数据包过滤规则中所述第一应用服 务器的 IP地址相同时转发所述数据包至所述第一应用服务器；
接收单元 140， 若所述移动网络设备判定所述数据包中携带的目的 IP地 址与所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则接收所述移动网络设备返回的拒绝消息。
所述数据包中还携带嵌入式通用集成电路卡的标识、所述嵌入式通用集成 电路卡上属性参数集的标识和源 IP地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
例如， 所述数据包过滤规则除了携带第一应用服务器的 IP地址之外， 还 可以包括数据包的容量限定、嵌入式通用集成电路卡的标识限定、嵌入式通用 集成电路卡上属性参数集的标识限定或数据包的源 IP地址限定， 当数据包容 量大于某一个值时则可以不转发给第一应用服务器，也可以在数据包容量小于 某一个值时则不转发给第一应用服务器；或当数据包携带的标识与数据包过滤 规则中携带的标识或标识集相同时， 则可以不转发给第一应用服务器， 此时过 滤规则中的标识为黑名单，也可以在数据包携带的标识与数据包过滤规则中携 带的标识不同时，不转发给第一应用服务器，此时过滤规则中的标识为白名单； 或还可以当数据包的源 IP地址与数据包过滤规则中携带的源 IP地址相同时， 则不转发， 也可以在数据包的源 IP地址与数据包过滤规则中携带的源 IP地址 不同时， 进行转发， 当然， 数据包过滤规则中携带的标识或源 IP地址可以是 1个， 也可以是多个标识或源 IP地址构成的标识集或源 IP地址集。 多个限定 条件可以单一考虑， 也可以多个限定条件同时考虑， 此处不作任何限定。 请参照图 11， 为本发明终端的第二实施例的组成示意图； 在本实施例中， 所述终端包括： 输入装置 210、 输出装置 220、 存储器 230、 处理器 240以及总线， 所述 输入装置 210、 输出装置 220、 存储器 230以及处理器 240与所述总线连接， 其中：
所述存储器 230用于存储程序，所述处理器 240用于调用所述程序进行以 下步骤：
发送附着请求至移动网络设备， 完成附着；
向域名服务器发送 IP地址获取请求以获取第一应用服务器的 IP地址； 发送携带所述第一应用服务器的 IP地址的数据包至所述移动网络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址相同时转 发所述数据包至所述第一应用服务器；
若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则 接收所述移动网络设备返回的拒绝消息。
可选地， 所述数据包中还携带嵌入式通用集成电路卡的标识、所述嵌入式 通用集成电路卡上属性参数集的标识和源 IP地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
请参照图 12， 为本发明应用服务器的第一实施例的组成示意图； 在本实 施例中， 所述应用服务器包括： 第一接收单元 310， 用于若需要将终端连接的第一应用服务器切换为第二 应用服务器， 接收切换请求消息；
第一发送单元 320， 用于发送签约数据更新请求消息或策略规则更新请求 消息至移动网络设备；
第二接收单元 330， 用于若发送的消息为签约数据更新请求消息， 则接收 所述移动网络设备返回的签约数据更新响应消息，若发送的消息为策略规则更 新请求消息则接收所述移动网络设备返回的策略规则更新响应消息；
第二发送单元 340， 用于发送嵌入式通用集成电路卡信息集至所述第二应 用服务器以使所述第二应用服务器与所述嵌入式通用集成电路卡进行密钥生 成和连接建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器 的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
可选地，所述第一发送单元 310具体用于发送签约数据更新请求消息至所 述移动网络设备中的策略与计费规则功能单元以便所述策略与计费规则功能 单元将所述签约数据更新请求消息转发给所述移动网络设备中的归属签约服 务器；
所述第二接收单元 330 具体用于当所述归属服务器发送签约数据更新响 应消息给所述策略与计费规则功能单元后，接收所述策略与计费规则功能单元 后转发的签约数据更新响应消息。
或者，所述第一发送单元 310具体用于发送策略规则更新请求消息至所述 移动网络设备中的策略与计费规则功能单元；
所述第二接收单元 330 具体用于接收所述策略与计费规则功能单元返回 的策略规则更新响应消息。
请参照图 13， 为本发明应用服务器的第二实施例的组成示意图； 在本实 施例中， 所述应用服务器包括： 输入装置 410、 输出装置 420、 存储器 430、 处理器 440以及总线， 所述 输入装置 410、 输出装置 420、 存储器 430以及处理器 440与所述总线连接， 其中：
所述存储器 430用于存储程序，所述处理器 440用于调用所述程序进行以 下步骤：
若需要将终端连接的第一应用服务器切换为第二应用服务器，所述处理器
440接收切换请求消息；
发送签约数据更新请求消息或策略规则更新请求消息至移动网络设备； 若发送的消息为签约数据更新请求消息，则接收所述移动网络设备返回的 签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收所述移 动网络设备返回的策略规则更新响应消息；
发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述第二 应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所 述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
所述发送签约数据更新请求消息至移动网络设备；接收所述移动网络设备 返回的签约数据更新响应消息时， 所述处理器 440具体用于：
发送签约数据更新请求消息至所述移动网络设备中的策略与计费规则功 能单元以便所述策略与计费规则功能单元将所述签约数据更新请求消息转发 给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后， 接收所述策略与计费规则功能单元后转发的签约数据更新响应消 息。
所述发送策略规则更新请求消息至移动网络设备； 接收所述移动网络设备返回的策略规则更新响应消息时， 所述处理器 440 具体用于：
发送策略规则更新请求消息至所述移动网络设备中的策略与计费规则功 能单元；
接收所述策略与计费规则功能单元返回的策略规则更新响应消息。
请参照图 14， 为本发明实施例通信系统的组成示意图。 在本实施例中， 所述通信系统包括： 如本发明移动网络设备的第一或第二任一实施例所述的移动网络设备； 如本发明终端的第一或第二任一实施例所述的终端；
以及，至少一个如本发明应用服务器的第一或第二任一实施例所述的应用 服务器， 用于管理所述终端的签约信息， 与所述终端进行属性参数集相关的数 据通信。
本说明书中的各个实施例均釆用递进的方式描述，每个实施例重点说明的 都是与其它实施例的不同之处， 各个实施例之间相同相似的部分互相参见即 可。 对于装置实施例而言， 由于其与方法实施例基本相似， 所以描述的比较简 单， 相关之处参见方法实施例的部分说明即可。
通过上述实施例的描述， 本发明具有以下优点： 通过获取携带应用服务器的 IP地址的数据包过滤规则， 然后在接收到终 端发送的携带目的 IP地址的数据包时， 可以对目的 IP地址进行判断和匹配， 只有在目的 IP地址和数据包过滤规则中的 IP地址相同时， 才会将数据包转发 给应用服务器，从而可实现对数据包的过滤，避免了其他与配置文件不相关的 业务数据或命令占用 eUICC与应用服务器之间的专用通路， 减少了 eUICC与 应用服务器之间的专用通路的通信干扰以及 SM-SR的处理压力。
本领域普通技术人员可以理解：实现上述方法实施例的全部或部分步骤可 以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算机可读取存 储介质中， 该程序在执行时， 执行包括上述方法实施例的步骤； 而前述的存储 介质包括： ROM、 RAM, 磁碟或者光盘等各种可以存储程序代码的介质。
以上对本发明实施例所提供的一种通信方法、 移动网络设备、 终端、 应用 服务器及系统进行了详细介绍，本文中应用了具体个例对本发明的原理及实施 方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心 思想； 同时， 对于本领域的一般技术人员， 依据本发明的思想， 在具体实施方 式及应用范围上均会有改变之处， 综上所述，本说明书内容不应理解为对本发 明的限制。

Claims

权 利 要 求
1、 一种通信方法， 其特征在于， 包括：
移动网络设备获取与第一应用服务器相关的数据包过滤规则，所述数据包 过滤规则中携带所述第一应用服务器的 IP地址；
所述移动网络设备接收终端发送的数据包， 所述数据包中携带目的 IP地 址；
所述移动网络设备判断所述目的 IP地址是否与所述数据包过滤规则中所 述第一应用服务器的 IP地址相同；
若所述目的 IP地址与所述数据包过滤规则中所述第一应用服务器的 IP地 址相同， 则所述移动网络设备将所述数据包转发至所述第一应用服务器。
2、 如权利要求 1所述的方法， 其特征在于， 所述移动网络设备获取第一 应用服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的附着请求；
在所述移动网络设备中的移动管理单元通过位置更新流程从所述移动网 络设备中的归属服务器获取签约标识、接入点名称和数据包过滤规则之后， 所 所述移动管理单元发出的创建会话请求消息；
所述分组数据网关从所述创建会话请求消息中获取所述签约标识、接入点 名称和数据包过滤规则。
3、 如权利要求 1所述的方法， 其特征在于， 所述移动网络设备获取第一 应用服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的域名解析请求消息，所述域名解析请求 消息中携带所述第一应用服务器的域名；
所述移动网络设备转发所述域名解析请求消息至域名服务器，并接收所述 域名服务器发送的域名解析结果，所述域名解析结果中携带所述第一应用服务 器的至少一个 IP地址；
所述移动网络设备使用所述域名解析结果中携带的 IP地址， 作为与所述 第一应用服务器相关的数据包过滤规则。
4、 如权利要求 1所述的方法， 其特征在于， 所述移动网络设备获取第一 应用服务器的数据包过滤规则， 包括：
所述移动网络设备接收终端发送的附着请求；
所述移动网络设备中的移动管理单元与所述移动网络设备中的归属签约 服务器完成位置更新流程后，再发送创建会话请求消息至所述移动网络设备中 的服务网关，以便所述服务网关转发所述创建会话请求消息至所述移动网络设 备中的分组数据网关， 完成创建会话流程；
所述移动网络设备中的策略与计费规则功能单元与所述分组数据网关之 间发起 IP连接访问网络的会话建立和修改流程， 发送所述数据包过滤规则至 所述分组数据网关以便所述分组数据网关在接收到终端发送的数据包时，判断 所述数据包的目的 IP地址是否与所述 IP连接访问网络的会话建立和修改消息 携带的数据包过滤规则中所述第一应用服务器的 IP地址相同。
5、 如权利要求 2所述的方法， 其特征在于， 当所述第一应用服务器接收 到切换请求消息， 需要将终端连接的第一应用服务器切换为第二应用服务器 时，所述移动网络设备中的归属签约服务器通过策略与计费规则功能单元接收 所述第一应用服务器发送的签约数据更新请求消息，并通过所述策略与计费规 则功能单元返回签约数据更新响应消息至所述第一应用服务器，以使所述第二 应用服务器在接收到所述第一应用服务器发送的嵌入式通用集成电路卡信息 集后，与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所述嵌入 式通用集成电路卡删除与所述第一应用服务器的密钥集， 其中， 所述签约数据 更新请求消息中携带更新后的数据包过滤规则以及所述第二应用服务器所属 专用网络的接入点。
6、 如权利要求 4所述的方法， 其特征在于， 当所述第一应用服务器接收 到切换请求消息， 需要将终端连接的第一应用服务器切换为第二应用服务器 时，所述移动网络设备中的策略与计费规则功能单元接收所述第一应用服务器 发送的策略规则更新请求消息，并返回策略规则更新响应消息至所述第一应用 服务器，以使所述第二应用服务器在接收到所述第一应用服务器发送的嵌入式 通用集成电路卡信息集后，与所述嵌入式通用集成电路卡进行密钥生成和连接 建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集， 其中， 所述策略规则更新请求消息中携带更新后的数据包过滤规则。
7、 如权利要求 1-6任一项所述的方法， 其特征在于， 所述数据包中还携 带嵌入式通用集成电路卡的标识、所述嵌入式通用集成电路卡上属性参数集的 标识以及源 IP地址。
8、 如权利要求 7所述的方法， 其特征在于， 所述数据包过滤规则或所述 更新后的数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定或数据包的源 IP 地址限定。
9、 如权利要求 1-8任一项所述的方法， 其特征在于， 若所述目的 IP地址 与所述数据包过滤规则中所述第一应用服务器的 IP地址不相同， 则发送拒绝 消息至所述终端并丟弃所述数据包。
10、 如权利要求 1-9任一项所述的方法， 其特征在于， 所述第一应用服务 器或所述第二应用服务器为签约管理单元-安全路由 SM-SR或签约管理单元 SM。
11、 一种通信方法， 其特征在于， 包括：
终端发送附着请求至移动网络设备， 完成附着；
所述终端向域名服务器发送 IP地址获取请求以获取第一应用服务器的 IP 地址；
所述终端发送携带所述第一应用服务器的 IP地址的数据包至所述移动网 络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地址与所 述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址 相同时转发所述数据包至所述第一应用服务器；
若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则 所述终端接收所述移动网络设备返回的拒绝消息。
12、 如权利要求 10所述的方法， 其特征在于， 所述数据包中还携带嵌入 式通用集成电路卡的标识、所述嵌入式通用集成电路卡上属性参数集的标识和 源 IP地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
13、 一种通信方法， 其特征在于， 包括：
若需要将终端连接的第一应用服务器切换为第二应用服务器，所述第一应 用服务器接收切换请求消息；
发送签约数据更新请求消息或策略规则更新请求消息至移动网络设备； 若发送的消息为签约数据更新请求消息，则接收所述移动网络设备返回的 签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收所述移 动网络设备返回的策略规则更新响应消息；
发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述第二 应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所 述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
14、 如权利要求 13所述的通信方法， 其特征在于， 所述发送签约数据更 新请求消息至移动网络设备；接收所述移动网络设备返回的签约数据更新响应 消息； 包括：
所述第一应用服务器发送签约数据更新请求消息至所述移动网络设备中 的策略与计费规则功能单元以便所述策略与计费规则功能单元将所述签约数 据更新请求消息转发给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后，所述第一应用服务器接收所述策略与计费规则功能单元后转发的签 约数据更新响应消息。
15、 如权利要求 14所述的通信方法， 其特征在于， 所述发送策略规则更 新请求消息至移动网络设备；接收所述移动网络设备返回的策略规则更新响应 消息， 包括： 所述第一应用服务器发送策略规则更新请求消息至所述移动网络设备中 的策略与计费规则功能单元；
接收所述策略与计费规则功能单元返回的策略规则更新响应消息。
16、 一种移动网络设备， 其特征在于， 包括：
获取单元， 用于获取第一应用服务器相关的数据包过滤规则， 所述数据包 过滤规则中携带所述第一应用服务器的 IP地址， 所述获取单元为归属签约服 务器或者为策略与计费规则功能单元或者为分组数据网关；
基站， 用于接收终端发送的数据包并输出， 所述数据包中携带目的 IP地 址；
所述分组数据网关， 用于判断所述目的 IP地址是否与所述数据包过滤规 则中所述第一应用服务器的 IP地址相同， 若所述目的 IP地址与所述数据包过 滤规则中所述第一应用服务器的 IP地址相同， 则将所述数据包转发至所述第 一应用服务器。
17、 如权利要求 16所述的移动网络设备， 其特征在于， 所述移动网络设 备还包括移动管理单元和服务网关；
所述基站还用于接收终端发送的附着请求，并将所述附着请求转发至所述 移动网络设备中的移动管理单元；
所述移动管理单元，用于发送位置更新请求消息至所述移动网络设备中的 归属签约服务器；
所述归属签约服务器用于返回位置更新响应消息至所述移动管理单元，并 在所述位置更新响应消息中携带数据包过滤规则；
所述移动管理单元还用于发送携带所述数据包过滤规则的创建会话请求 消息至所述移动网络设备中的服务网关；
所述服务网关用于转发所述创建会话请求消息至所述移动网络设备中的 分组数据网关， 以便所述分组数据网关在接收到终端发送的数据包时，判断所 述数据包的目的 IP地址是否与所述创建会话请求消息携带的数据包过滤规则 中所述第一应用服务器的 IP地址相同。
18、 如权利要求 16所述的移动网络设备， 其特征在于， 所述分数数据网 关具体用于：
接收终端发送的域名解析请求消息，所述域名解析请求消息中携带所述第 一应用服务器的域名；
转发所述域名解析请求消息至域名服务器，并接收所述域名服务器发送的 域名解析结果， 所述域名解析结果中携带所述第一应用服务器的至少一个 IP 地址；
使用所述域名解析结果中携带的 IP地址， 作为与所述第一应用服务器相 关的数据包过滤规则。
19、 如权利要求 16所述的移动网络设备， 其特征在于， 所述移动网络设 备还包括移动管理单元、 服务网关和策略与计费规则功能单元；
所述基站还用于接收终端发送的附着请求，并将所述附着请求转发至所述 移动网络设备中的移动管理单元；
所述移动管理单元用于与所述移动网络设备中的归属签约服务器完成位 置更新流程后， 再发送创建会话请求消息至所述移动网络设备中的服务网关， 以便所述服务网关转发所述创建会话请求消息至所述移动网络设备中的分组 数据网关， 完成创建会话流程；
所述策略与计费规则功能单元用于与所述分组数据网关之间发起 IP连接 访问网络的会话建立和修改流程，发送所述数据包过滤规则给所述分组数据网 关以便所述分组数据网关在接收到终端发送的数据包时，判断所述数据包的目 的 IP地址是否与所述 IP连接访问网络的会话建立和修改消息携带的数据包过 滤规则中所述第一应用服务器的 IP地址相同。
20、 如权利要求 16所述的移动网络设备， 其特征在于， 当所述第一应用 服务器接收到切换请求消息，需要将终端连接的第一应用服务器切换为第二应 用服务器时，所述归属签约服务器还用于通过策略与计费规则功能单元接收所 述第一应用服务器发送的签约数据更新请求消息，并通过所述策略与计费规则 功能单元返回签约数据更新响应消息至所述第一应用服务器，以使所述第二应 用服务器在接收到所述第一应用服务器发送的嵌入式通用集成电路卡信息集 后，与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所述嵌入式 通用集成电路卡删除与所述第一应用服务器的密钥集， 其中， 所述签约数据更 新请求消息中携带更新后的数据包过滤规则以及所述第二应用服务器所属专 用网络的接入点。
21、 如权利要求 18所述的移动网络设备， 其特征在于， 当所述第一应用 服务器接收到切换请求消息，需要将终端连接的第一应用服务器切换为第二应 用服务器时，所述策略与计费规则功能单元还用于接收所述第一应用服务器发 送的策略规则更新请求消息，并返回策略规则更新响应消息至所述第一应用服 务器，以使所述第二应用服务器在接收到所述第一应用服务器发送的嵌入式通 用集成电路卡信息集后，与所述嵌入式通用集成电路卡进行密钥生成和连接建 立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集，其 中， 所述策略规则更新请求消息中携带更新后的数据包过滤规则。
22、 如权利要求 16-20任一项所述的移动网络设备， 其特征在于， 所述数 据包中还携带嵌入式通用集成电路卡的标识、所述嵌入式通用集成电路卡上属 性参数集的标识以及源 IP地址。
23、 如权利要 21所述的移动网络设备， 其特征在于， 所述数据包过滤规 则还包括数据包的容量限定、嵌入式通用集成电路卡的标识限定、嵌入式通用 集成电路卡上属性参数集的标识限定或数据包的源 IP地址限定。
24、 如权利要求 16-22任一项所述的移动网络设备， 其特征在于， 若所述 目的 IP地址与所述数据包过滤规则中所述第一应用服务器的 IP地址不相同， 则所述分组数据网关还用于发送拒绝消息至所述终端并丟弃所述数据包。
25、 如权利要求 16-23任一项所述的移动网络设备， 其特征在于， 所述第 一应用服务器或所述第二应用服务器为签约管理单元-安全路由 SM-SR或签约 管理单元 SM。
26、 一种终端， 其特征在于， 包括：
附着请求发送单元， 用于发送附着请求至移动网络设备， 完成附着； IP地址获取单元， 用于向域名服务器发送 IP地址获取请求以获取第一应 用服务器的 IP地址；
数据发送单元， 用于发送携带所述第一应用服务器的 IP地址的数据包至 所述移动网络设备，以使所述移动网络设备在判定所述数据包中携带的目的 IP 地址与所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器 的 IP地址相同时转发所述数据包至所述第一应用服务器；
接收单元， 若所述移动网络设备判定所述数据包中携带的目的 IP地址与 所述移动网络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地 址不同， 则接收所述移动网络设备返回的拒绝消息。
27、 如权利要求 26所述的终端， 其特征在于， 所述数据包中还携带嵌入 式通用集成电路卡的标识、所述嵌入式通用集成电路卡上属性参数集的标识和 源 IP地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
28、 一种终端， 其特征在于， 包括：
输入装置、 输出装置、 存储器、 处理器以及总线， 所述输入装置、 输出装 置、 存储器以及处理器与所述总线连接， 其中：
所述存储器用于存储程序， 所述处理器用于调用所述程序进行以下步骤： 发送附着请求至移动网络设备， 完成附着；
向域名服务器发送 IP地址获取请求以获取第一应用服务器的 IP地址； 发送携带所述第一应用服务器的 IP地址的数据包至所述移动网络设备， 以使所述移动网络设备在判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址相同时转 发所述数据包至所述第一应用服务器；
若所述移动网络设备判定所述数据包中携带的目的 IP地址与所述移动网 络设备预先获取的数据包过滤规则中所述第一应用服务器的 IP地址不同， 则 接收所述移动网络设备返回的拒绝消息。
29、 如权利要求 28所述的终端， 其特征在于， 所述数据包中还携带嵌入 式通用集成电路卡的标识、所述嵌入式通用集成电路卡上属性参数集的标识和 源 IP地址；
所述数据包过滤规则还包括数据包的容量限定、嵌入式通用集成电路卡的 标识限定、 嵌入式通用集成电路卡上属性参数集的标识限定和数据包的源 IP 地址限定。
30、 一种应用服务器， 其特征在于， 包括：
第一接收单元，用于若需要将终端连接的第一应用服务器切换为第二应用 服务器， 接收切换请求消息；
第一发送单元，用于发送签约数据更新请求消息或策略规则更新请求消息 至移动网络设备；
第二接收单元， 用于若发送的消息为签约数据更新请求消息， 则接收所述 移动网络设备返回的签约数据更新响应消息，若发送的消息为策略规则更新请 求消息则接收所述移动网络设备返回的策略规则更新响应消息；
第二发送单元，用于发送嵌入式通用集成电路卡信息集至所述第二应用服 务器以使所述第二应用服务器与所述嵌入式通用集成电路卡进行密钥生成和 连接建立并指示所述嵌入式通用集成电路卡删除与所述第一应用服务器的密 钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
31、 如权利要求 30所述的应用服务器， 其特征在于， 所述第一发送单元 具体用于发送签约数据更新请求消息至所述移动网络设备中的策略与计费规 则功能单元以便所述策略与计费规则功能单元将所述签约数据更新请求消息 转发给所述移动网络设备中的归属签约服务器；
所述第二接收单元具体用于当所述归属服务器发送签约数据更新响应消 息给所述策略与计费规则功能单元后，接收所述策略与计费规则功能单元后转 发的签约数据更新响应消息。
32、 如权利要求 30所述的应用服务器， 其特征在于， 所述第一发送单元 具体用于发送策略规则更新请求消息至所述移动网络设备中的策略与计费规 则功能单元；
所述第二接收单元具体用于接收所述策略与计费规则功能单元返回的策 略规则更新响应消息。
33、 一种应用服务器， 其特征在于， 包括：
输入装置、 输出装置、 存储器、 处理器以及总线， 所述输入装置、 输出装 置、 存储器以及处理器与所述总线连接， 其中：
所述存储器用于存储程序， 所述处理器用于调用所述程序进行以下步骤： 若需要将终端连接的第一应用服务器切换为第二应用服务器，所述处理器 接收切换请求消息；
发送签约数据更新请求消息或策略规则更新请求消息至移动网络设备； 若发送的消息为签约数据更新请求消息，则接收所述移动网络设备返回的 签约数据更新响应消息，若发送的消息为策略规则更新请求消息则接收所述移 动网络设备返回的策略规则更新响应消息；
发送嵌入式通用集成电路卡信息集至所述第二应用服务器以使所述第二 应用服务器与所述嵌入式通用集成电路卡进行密钥生成和连接建立并指示所 述嵌入式通用集成电路卡删除与所述第一应用服务器的密钥集；
其中， 所述第一应用服务器接收终端的数据包时基于数据包过滤规则进 行，所述签约数据更新请求消息中携带更新后的数据包过滤规则以及所述第二 应用服务器所属专用网络的接入点，所述策略规则更新请求消息中携带更新后 的数据包过滤规则。
34、 如权利要求 32所述的应用服务器， 其特征在于， 所述发送签约数据 更新请求消息至移动网络设备；接收所述移动网络设备返回的签约数据更新响 应消息时， 所述处理器具体用于： 发送签约数据更新请求消息至所述移动网络设备中的策略与计费规则功 能单元以便所述策略与计费规则功能单元将所述签约数据更新请求消息转发 给所述移动网络设备中的归属签约服务器；
当所述归属服务器发送签约数据更新响应消息给所述策略与计费规则功 能单元后， 接收所述策略与计费规则功能单元后转发的签约数据更新响应消 息。
35、 如权利要求 32所述的应用服务器， 其特征在于， 所述发送策略规则 更新请求消息至移动网络设备；接收所述移动网络设备返回的策略规则更新响 应消息时， 所述处理器具体用于：
发送策略规则更新请求消息至所述移动网络设备中的策略与计费规则功 能单元；
接收所述策略与计费规则功能单元返回的策略规则更新响应消息。
36、 一种通信系统， 其特征在于， 包括：
如权利要求 16-25任一项所述的移动网络设备；
如权利要求 26或 27所述的终端；
以及， 至少一个如权利要求 30-32任一项所述的应用服务器， 用于管理所 述终端的签约信息， 与所述终端进行属性参数集相关的数据通信。
PCT/CN2014/085654 2014-09-01 2014-09-01 一种通信方法、移动网络设备、终端、应用服务器及系统 WO2016033716A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
CN201480081665.8A CN106797565B (zh) 2014-09-01 2014-09-01 一种通信方法、移动网络设备、终端、应用服务器及系统
PCT/CN2014/085654 WO2016033716A1 (zh) 2014-09-01 2014-09-01 一种通信方法、移动网络设备、终端、应用服务器及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/CN2014/085654 WO2016033716A1 (zh) 2014-09-01 2014-09-01 一种通信方法、移动网络设备、终端、应用服务器及系统

Publications (1)

Publication Number Publication Date
WO2016033716A1 true WO2016033716A1 (zh) 2016-03-10

Family

ID=55438966

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2014/085654 WO2016033716A1 (zh) 2014-09-01 2014-09-01 一种通信方法、移动网络设备、终端、应用服务器及系统

Country Status (2)

Country Link
CN (1) CN106797565B (zh)
WO (1) WO2016033716A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114731544A (zh) * 2019-11-28 2022-07-08 华为技术有限公司 一种基于网络切片的数据传输方法、装置和系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101959192A (zh) * 2009-07-17 2011-01-26 华为技术有限公司 业务处理方法及通信设备
WO2013039900A1 (en) * 2011-09-16 2013-03-21 Alcatel-Lucent Usa Inc. Network operator-neutral provisioning of mobile devices
CN103782568A (zh) * 2013-08-30 2014-05-07 华为终端有限公司 远程变更签约方法及其装置

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101106533B (zh) * 2007-08-21 2011-11-23 中兴通讯股份有限公司 初始过滤规则下载和处理系统及方法
WO2011085803A1 (en) * 2010-01-12 2011-07-21 Nokia Siemens Networks Oy Controlling traffic flow template generation
CN101860531B (zh) * 2010-04-21 2013-04-17 北京星网锐捷网络技术有限公司 数据包过滤规则匹配方法及装置
CN103731823B (zh) * 2012-10-15 2017-04-12 华为终端有限公司 签约管理安全路由设备切换的方法及设备
CN103415008A (zh) * 2013-07-24 2013-11-27 牟大同 一种加密通信方法和加密通信系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101959192A (zh) * 2009-07-17 2011-01-26 华为技术有限公司 业务处理方法及通信设备
WO2013039900A1 (en) * 2011-09-16 2013-03-21 Alcatel-Lucent Usa Inc. Network operator-neutral provisioning of mobile devices
CN103782568A (zh) * 2013-08-30 2014-05-07 华为终端有限公司 远程变更签约方法及其装置

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN114731544A (zh) * 2019-11-28 2022-07-08 华为技术有限公司 一种基于网络切片的数据传输方法、装置和系统

Also Published As

Publication number Publication date
CN106797565B (zh) 2020-07-14
CN106797565A (zh) 2017-05-31

Similar Documents

Publication Publication Date Title
CN105282732B (zh) 用于更新配置文件管理服务器的方法和设备
US10003957B2 (en) Method and apparatus for supporting location privacy protection in wireless access system supporting small cell environment
CN105379354B (zh) 一种mme重选的方法和mme
CN107318113B (zh) 网络切片处理方法和装置
CN107666723B (zh) 一种信息传输方法、融合网关及系统
CN110049533B (zh) 一种本地数据网络的指示方法及装置
CN104798391B (zh) 服务网络、时区和uci的报告
KR20210142725A (ko) 코어 페이징 처리
US8837326B2 (en) Session management method and system based on M2M application, and apparatus
WO2014000265A1 (zh) 在线签约数据配置方法、装置及系统
CN111869182A (zh) 无线通信网络认证
WO2020233688A1 (zh) 语音通信方法及其装置
KR101669165B1 (ko) 사설망 서비스 제공방법 및 이를 위한 이동성관리장치
CN110268732B (zh) 数据传输方法、基站、本地疏导控制器、网关和系统
WO2010133107A1 (zh) 家用基站网关转发消息至家用基站的方法及系统
WO2014056449A1 (zh) 设备到设备通信的管理和校验方法、装置及系统
JP2021106429A (ja) 端末装置、ＭＭＥ（Ｍｏｂｉｌｉｔｙ Ｍａｎａｇｅｍｅｎｔ Ｅｎｔｉｔｙ）、及び通信制御方法
WO2019136925A1 (zh) 一种数据传输方法及装置、计算机存储介质
WO2016033716A1 (zh) 一种通信方法、移动网络设备、终端、应用服务器及系统
CN105376851A (zh) 一种网络附着方法及系统
JP2021514566A (ja) サービス伝送方法および装置、コンピュータ記憶媒体
US11419176B2 (en) Data transmission method and apparatus
WO2017011975A1 (zh) 一种无线通信网络的接入方法及相关装置
CN111567015B (zh) 一种数据传输方法及装置、计算机存储介质
CN118042561A (zh) 重定向方法、装置和移动管理实体

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 14901084

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 14901084

Country of ref document: EP

Kind code of ref document: A1