WO2018233436A1 - 会话处理方法和设备 - Google Patents

会话处理方法和设备 Download PDF

Info

Publication number
WO2018233436A1
WO2018233436A1 PCT/CN2018/088067 CN2018088067W WO2018233436A1 WO 2018233436 A1 WO2018233436 A1 WO 2018233436A1 CN 2018088067 W CN2018088067 W CN 2018088067W WO 2018233436 A1 WO2018233436 A1 WO 2018233436A1
Authority
WO
WIPO (PCT)
Prior art keywords
entity
pdu session
authentication
dnn
identifier
Prior art date
Application number
PCT/CN2018/088067
Other languages
English (en)
French (fr)
Inventor
应江威
谭仕勇
杨艳梅
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Priority to EP18820052.1A priority Critical patent/EP3627793B1/en
Publication of WO2018233436A1 publication Critical patent/WO2018233436A1/zh
Priority to US16/719,473 priority patent/US20200128614A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L65/00—Network arrangements, protocols or services for supporting real-time applications in data packet communication
    • H04L65/1066—Session management
    • H04L65/1069—Session establishment or de-establishment
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/08—Upper layer protocols
    • H04W80/10—Upper layer protocols adapted for application session management, e.g. SIP [Session Initiation Protocol]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0823—Network architectures or network communication protocols for network security for authentication of entities using certificates
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0869—Network architectures or network communication protocols for network security for authentication of entities for achieving mutual authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/60—Context-dependent security
    • H04W12/69—Identity-dependent
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/16—Discovering, processing access restriction or access information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/18—Selecting a network or a communication service
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/11—Allocation or use of connection identifiers

Definitions

  • the present application relates to communication technologies, and in particular, to a session processing method and device.
  • a data network may include a plurality of different applications.
  • the terminal device When a terminal device needs to access a DN network, the terminal device initiates a protocol data unit session establishment of the DN. Process to establish a data transmission channel from the terminal device to the DN network.
  • the embodiment of the present invention provides a session processing method and device, which can improve the security of the DN network and save network resources.
  • a session processing method including: a session management function SMF entity receiving a protocol data unit PDU session establishment request, the PDU session establishment request being used to request to establish a PDU session for a terminal device; the SMF entity according to a reference The information is determined to authenticate the PDU session; the SMF entity sends an authentication request to the third-party authentication entity through the network open function NEF entity.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network.
  • Network resources including: a session management function SMF entity receiving a protocol data unit PDU session establishment request, the PDU session establishment request being used to request to establish a PDU session for a terminal device; the SMF entity according to a reference The information is determined to authenticate the PDU session; the SMF entity sends an authentication request to the third-party authentication entity through the network open function
  • the reference information includes at least one of the following: a data network name DNN, a session management-network slice selection assistance information S-NSSAI, an application identifier.
  • the PDU session establishment request is carried in the first signaling
  • Determining, by the SMF entity, the authentication of the PDU session according to the reference information including:
  • the reference information includes a DNN
  • the first signaling further includes a DNN corresponding to the PDU session
  • the SMF entity determines to authenticate the PDU session.
  • the reference information includes an application identifier
  • the first signaling further includes an application identifier corresponding to the PDU session.
  • the SMF entity determines the PDU. Session authentication;
  • the reference information includes a DNN and an application identifier
  • the first signaling further includes a DNN and an application identifier corresponding to the PDU session
  • the reference information includes a DNN corresponding to the PDU session and an application identifier
  • the SMF The entity determines to authenticate the PDU session
  • the reference information includes a DNN and an S-NSSAI
  • the first signaling further includes a DNN and an S-NSSAI corresponding to the PDU session, when the reference information includes a DNN and an S-NSSAI corresponding to the PDU session,
  • the SMF entity determines to authenticate the PDU session.
  • the SMF entity sends an authentication request to the third-party authentication entity by using the NEF entity, including:
  • the SMF entity sends the authentication request by the NEF entity to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the SMF entity obtains the third-party authentication entity according to the corresponding relationship and the first signaling Logo, including:
  • the SMF entity obtains the identifier of the third-party authentication entity according to the corresponding relationship and the DNN corresponding to the PDU session, where the corresponding relationship is The correspondence between the DNN and the identity of the third-party authentication entity;
  • the SMF entity obtains the identifier of the third-party authentication entity according to the corresponding relationship and the application identifier corresponding to the PDU session, and the corresponding The relationship is the correspondence between the application identifier and the identifier of the third-party authentication entity;
  • the SMF entity obtains the third-party authentication entity according to the corresponding relationship, and the DNN and the application identifier corresponding to the PDU session. And the corresponding relationship between the DNN, the application identifier, and the identifier of the third-party authentication entity;
  • the SMF entity obtains the third-party authentication according to the correspondence, and the DNN and the S-NSSAI corresponding to the PDU session.
  • the identifier of the entity where the correspondence relationship is a correspondence between the DNN, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the PDU session establishment request is carried in the first signaling
  • the SMF entity sends an authentication request to the third-party authentication entity by using the NEF entity, including:
  • the first signaling further includes a user identifier, and the SMF entity obtains an identifier of the third-party authentication entity according to the user identifier.
  • the SMF entity sends the authentication request by the NEF entity to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the method further includes:
  • the SMF entity receives an authentication message sent by the third-party authentication entity by using the NEF entity, where the authentication message is used to request the terminal device to send an authentication parameter;
  • the SMF entity continues to perform a PDU session establishment process.
  • the PDU session establishment request is carried in the first signaling, where the first signaling further includes the authentication parameter;
  • the method further includes:
  • the SMF entity continues to perform a PDU session establishment process.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message is further Including key generation parameters;
  • the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • the authentication parameter includes at least one of the following:
  • a certificate of the terminal device a username or password of the terminal device, an authentication parameter, and a security key parameter
  • the authentication parameter is used by the third-party authentication entity to verify the identity of the terminal device; the security key parameter is used to generate a shared key between the terminal device and the third-party authentication entity.
  • the authentication request is carried in the second signaling, where the second signaling further includes the first parameter ;
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • the method before the SMF entity determines, according to the reference information, that the PDU session is authenticated, the method further includes:
  • the SMF entity configuring the reference information on the SMF entity
  • the SMF entity obtains the reference information from a unified data management function UDM entity, or a policy control function PCF entity, or the NEF entity.
  • a second aspect provides a session processing method, including: determining, by a terminal device, authentication of a protocol data unit PDU session according to reference information; the terminal device sends a signaling message, where the signaling message includes a PDU session establishment request and a user identifier, the PDU session establishment request is used to request to establish the PDU session for the terminal device.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network. Network resources.
  • the reference information includes at least one of the following: a data network name DNN, a session management-network slice selection assistance information S-NSSAI, and an application identifier.
  • the terminal device determines, according to the reference information, the PDU session to be authenticated, including:
  • the reference information includes a DNN, and when the reference information includes a DNN corresponding to the PDU session, the terminal device determines to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes an application identifier corresponding to the PDU session, the terminal device determines to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes a DNN and an application identifier corresponding to the PDU session, the terminal device determines to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes a DNN and an S-NSSAI corresponding to the PDU session, the terminal device determines to authenticate the PDU session.
  • the application identifier the authentication parameter corresponding to the PDU session.
  • the method further includes:
  • the terminal device receives a key generation parameter sent by a session management function SMF entity, where the key generation parameter is used for application layer security establishment of the terminal device.
  • a third aspect provides a session processing method, including: selecting a network open function NEF entity to receive an authentication request and a first parameter from a session management function SMF entity, where the authentication request is used to request authentication of a protocol data unit PDU session; The NEF entity sends the authentication request to a third-party authentication entity according to the first parameter.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network. Network resources.
  • the first parameter includes at least one of: a data network name DNN corresponding to the PDU session, and a session management network corresponding to the PDU session.
  • the NEF entity sends the authentication request to a third-party authentication entity according to the first parameter, include:
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the NEF entity obtains the identifier of the third-party authentication entity according to the first parameter, including:
  • the first parameter includes a DNN corresponding to the PDU session, and the NEF entity obtains an identifier of the third-party authentication entity according to the first correspondence and the first parameter, where the first correspondence is DNN and the first Correspondence between the identifiers of the three-party authentication entity;
  • the first parameter includes an application identifier corresponding to the PDU session, and the NEF entity obtains an identifier of the third-party authentication entity according to the second correspondence and the first parameter, where the second correspondence is an application identifier.
  • the second correspondence is an application identifier.
  • the first parameter includes a DNN corresponding to the PDU session and the application identifier, and the NEF entity obtains an identifier of the third-party authentication entity according to the third correspondence and the first parameter, where the third correspondence The relationship between the DNN, the application identifier, and the identifier of the third-party authentication entity;
  • the NEF entity obtains the identifier of the third-party authentication entity according to the fifth correspondence and the first parameter, and the fifth The correspondence relationship is the correspondence between the DNN, the S-NSSAI, and the identifiers of the third-party authentication entities.
  • the NEF entity sends the authentication request to the third-party authentication entity according to the first parameter, and further includes:
  • the NEF entity determines to authenticate the PDU session according to the reference information, where the reference information includes at least one of the following: DNN, S-NSSAI, and application identifier.
  • the NEF entity determines, according to the reference information, the PDU session to be authenticated, including:
  • the reference information includes a DNN, and when the reference information includes a DNN in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes the application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes a DNN and an application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes DNN and S-NSSAI in the first parameter, the NEF entity determines to authenticate the PDU session.
  • the authentication request and the first parameter are carried in a first signaling, the first The order also includes an identification of the SMF entity;
  • the NEF entity converts the identifier of the SMF entity into an external identifier of the SMF entity, and sends the authentication request and the external identifier to the third-party authentication entity.
  • the method before the receiving, by the NMF entity, the authentication request and the first parameter from the SMF entity, the method further includes:
  • the NEF entity When the service registration process is successful, the NEF entity generates reference information, and sends reference information to the SMF entity or the policy control function PCF entity; or, when the service registration process is successful, the NEF entity The PCF entity sends a first message, where the first message is used by the PCF entity to generate reference information and/or a dynamic policy control and charging PCC policy.
  • the NEF entity sends the authentication request to a third-party authentication entity according to the first parameter Previously, it also included:
  • the NEF entity establishes a binding relationship between the SMF entity and the third-party authentication entity.
  • a fourth aspect provides a session processing apparatus, including: a first receiving unit, configured to receive a protocol data unit PDU session establishment request, where the PDU session establishment request is used to request to establish a PDU session for a terminal device;
  • the first sending unit is configured to send an authentication request to the third-party authentication entity by using the network open function NEF entity according to the reference information.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network.
  • Network resources including: a protocol data unit PDU session establishment request, where the PDU session establishment request is used to request to establish a PDU session for a terminal device;
  • the first sending unit is configured to send an authentication request to the third-party authentication entity by using the network open function NEF entity according to the reference information.
  • a PDU session authentication method based on the control plane is provided.
  • the reference information includes at least one of the following: a data network name DNN, a session management-network slice selection auxiliary information S-NSSAI, and an application identifier.
  • the PDU session establishment request is carried in the first signaling
  • the determining unit is specifically configured to:
  • the reference information includes a DNN
  • the first signaling further includes a DNN corresponding to the PDU session, and when the reference information includes a DNN corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes an application identifier
  • the first signaling further includes an application identifier corresponding to the PDU session, and when the reference information includes an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, where the first signaling further includes a DNN and an application identifier corresponding to the PDU session, and when the reference information includes a DNN and an application identifier corresponding to the PDU session, determining a location Describe the PDU session for authentication;
  • the reference information includes a DNN and an S-NSSAI
  • the first signaling further includes a DNN and an S-NSSAI corresponding to the PDU session, when the reference information includes a DNN and an S-NSSAI corresponding to the PDU session, Determining to authenticate the PDU session.
  • the first sending unit includes:
  • Obtaining a subunit configured to obtain an identifier of the third party authentication entity according to the correspondence relationship and the first signaling
  • a sending subunit configured to send, by the NEF entity, the authentication request to a third party authentication entity indicated by the identifier of the third party authentication entity.
  • the acquiring subunit is specifically configured to:
  • the identifier of the third-party authentication entity is obtained according to the correspondence relationship and the DNN corresponding to the PDU session, where the correspondence relationship is a DNN and a third party. Correspondence between the identifiers of the authenticating entities;
  • the identifier of the third-party authentication entity is obtained according to the corresponding relationship and the application identifier corresponding to the PDU session, where the corresponding relationship is an application identifier. Correspondence with the identity of the third-party authentication entity;
  • the identifier of the third-party authentication entity is obtained according to the correspondence, and the DNN and the application identifier corresponding to the PDU session, where Corresponding relationship is the correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity;
  • the SMF entity obtains the third-party authentication according to the correspondence, and the DNN and the S-NSSAI corresponding to the PDU session.
  • the identifier of the entity where the correspondence relationship is a correspondence between the DNN, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the PDU session establishment request is carried in the first signaling
  • the first sending unit is specifically configured to:
  • the first signaling further includes a user identifier, and the identifier of the third-party authentication entity is obtained according to the user identifier;
  • the authentication request is sent by the NEF entity to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the device further includes:
  • a second receiving unit configured to: after the first sending unit sends an authentication request to the third-party authentication entity by using the NEF entity, receive an authentication message sent by the third-party authentication entity by using the NEF entity, where the authentication message And configured to request the terminal device to send an authentication parameter;
  • a second sending unit configured to send the authentication message to the terminal device
  • a third receiving unit configured to receive the authentication parameter, and send the authentication parameter to the third-party authentication entity by using the NEF entity;
  • a fourth receiving unit configured to receive an authentication result sent by the third-party authentication entity by using the NEF entity
  • the first confirming unit is configured to continue to perform the PDU session establishment process when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • the PDU session establishment request is carried in the first signaling, where the first signaling further includes Authentication parameter
  • the device further includes:
  • a fifth receiving unit after the first sending unit sends an authentication request to the third-party authentication entity by using the NEF entity, receiving an authentication result sent by the third-party authentication entity by using the NEF entity;
  • a second confirming unit configured to continue to perform a PDU session establishment process when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • the authentication result is carried in an authentication feedback message,
  • the authentication feedback message further includes a key generation parameter
  • the device also includes:
  • a third sending unit configured to send the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • the authentication The parameters include at least one of the following:
  • a certificate of the terminal device a username or password of the terminal device, an authentication parameter, and a security key parameter
  • the authentication parameter is used by the third-party authentication entity to verify the identity of the terminal device; the security key parameter is used to generate a shared key between the terminal device and the third-party authentication entity.
  • the authentication request is carried in the second signaling, where the second signaling further includes the first parameter ;
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • the device further comprising:
  • a configuration unit configured to configure the reference information before the determining unit determines to authenticate the PDU session according to the reference information
  • the device further includes:
  • An obtaining unit configured to acquire, after the determining unit determines, according to the reference information, that the PDU session is authenticated, on the unified data management function UDM entity, or the policy control function PCF entity, or the NEF entity Reference Information.
  • a session processing apparatus including: a determining unit, configured to determine, according to reference information, an authentication of a protocol data unit PDU session; and a sending unit, configured to send a signaling message, where the signaling message includes a PDU a session establishment request and a user identity, the PDU session establishment request being used to request to establish the PDU session for the terminal device.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network.
  • Network resources including: a determining unit, configured to determine, according to reference information, an authentication of a protocol data unit PDU session; and a sending unit, configured to send a signaling message, where the signaling message includes a PDU a session establishment request and a user identity, the PDU session establishment request being used to request to establish the PDU session for the terminal device.
  • the reference information includes at least one of the following: a data network name DNN, a session management-network slice selection auxiliary information S-NSSAI, and an application identifier.
  • the determining unit is specifically configured to:
  • the reference information includes a DNN, and when the reference information includes a DNN corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes a DNN and an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes the DNN and the S-NSSAI corresponding to the PDU session, determining to authenticate the PDU session.
  • the first signaling further includes at least one of the following: an application identifier corresponding to the PDU session , authentication parameters.
  • the device further includes:
  • the receiving unit is configured to receive, after the sending unit sends the first signaling, a key generation parameter sent by the session management function SMF entity, where the key generation parameter is used for application layer security establishment of the terminal device.
  • a session processing apparatus including: a first receiving unit, configured to receive an authentication request and a first parameter from a session management function SMF entity, where the authentication request is used to request to authenticate a protocol data unit PDU session
  • the first sending unit is configured to send the authentication request to the third-party authentication entity according to the first parameter.
  • a PDU session authentication method based on the control plane is provided.
  • the terminal device and the third-party authentication entity of the DN network can be mutually authenticated, and the access of the illegitimate user can be denied, thereby improving the security of the DN network. Network resources.
  • the first parameter includes at least one of: a data network name DNN corresponding to the PDU session, and a session management network corresponding to the PDU session.
  • the first sending unit includes:
  • Obtaining a subunit configured to obtain an identifier of the third party authentication entity according to the first parameter
  • a sending subunit configured to send the authentication request to a third party authentication entity indicated by the identifier of the third party authentication entity.
  • the acquiring subunit is specifically used to:
  • the first parameter includes a DNN corresponding to the PDU session, and the identifier of the third-party authentication entity is obtained according to the first correspondence and the first parameter, where the first correspondence is a DNN and a third-party authentication entity. Correspondence between the identifiers;
  • the first parameter includes an application identifier corresponding to the PDU session, and the identifier of the third-party authentication entity is obtained according to the second correspondence and the first parameter, where the second correspondence is an application identifier and a third-party authentication. Correspondence between the identifiers of the entities;
  • the first parameter includes a DNN corresponding to the PDU session and the application identifier, and the identifier of the third-party authentication entity is obtained according to the third correspondence and the first parameter, where the third correspondence is DNN.
  • the application identifier and the identifier of the third-party authentication entity corresponds to the application identifier and the identifier of the third-party authentication entity.
  • the NEF entity obtains the identifier of the third-party authentication entity according to the fifth correspondence and the first parameter, and the fifth The correspondence relationship is the correspondence between the DNN, the S-NSSAI, and the identifiers of the third-party authentication entities.
  • the device further includes:
  • a determining unit configured to: before the first sending unit sends the authentication request to the third-party authentication entity according to the first parameter, determine, according to the reference information, to authenticate the PDU session, where the reference information includes At least one of the following: DNN, S-NSSAI, application identification.
  • the determining unit is specifically configured to:
  • the reference information includes a DNN, and when the reference information includes a DNN in the first parameter, determining to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes the application identifier in the first parameter, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes the DNN and the application identifier in the first parameter, determining to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes the DNN and the S-NSSAI in the first parameter, determining to authenticate the PDU session.
  • the authentication request and the first parameter are carried in a first signaling, the first information
  • the order also includes an identification of the SMF entity
  • the first sending unit is specifically configured to:
  • the device further comprising:
  • a second receiving unit configured to receive, before the first receiving unit receives the authentication request and the first parameter from the SMF entity, a service registration request sent by the third-party authentication entity, where the service registration request is used to request the Declaring that the NEF entity completes a service registration process with the third-party authentication entity;
  • a second sending unit configured to: when the service registration process is successful, generate reference information, and send reference information to the SMF entity or a policy control function PCF entity; or, when the service registration process is successful, to the The PCF entity sends a first message for the PCF entity to generate reference information and/or a dynamic policy control and charging PCC policy.
  • the device further comprising:
  • a establishing unit configured to establish a binding relationship between the SMF entity and the third-party authentication entity before the first sending unit sends the authentication request to the third-party authentication entity according to the first parameter .
  • an SMF entity comprising means or means for performing the various steps of any of the methods of the above first aspect.
  • an SMF entity comprising a processor and a memory, the memory is for storing a program, and the processor calls a program stored in the memory to perform any of the methods of the above first aspect.
  • an SMF entity comprising at least one processing element or chip for performing any of the methods of the above first aspect.
  • a program for performing any of the methods of the above first aspect when executed by a processor.
  • a computer readable storage medium comprising the program of the tenth aspect.
  • a terminal device comprising means or means for performing the steps of any of the methods of the above second aspect.
  • a terminal device comprising a processor and a memory, wherein the memory is used to store a program, and the processor calls a program stored in the memory to perform any of the methods of the above second aspect.
  • a terminal device comprising at least one processing element or chip for performing any of the methods of the above second aspect.
  • a computer readable storage medium comprising the program of the fifteenth aspect is provided.
  • an NEF entity comprising means or means for performing the various steps of any of the methods of the above third aspect.
  • an NEF entity comprising a processor and a memory, the memory is for storing a program, and the processor calls a program stored in the memory to perform any of the methods of the above third aspect.
  • an NEF entity comprising at least one processing element or chip for performing any of the methods of the above third aspect.
  • a program for performing any of the methods of the above third aspect when executed by a processor.
  • a computer readable storage medium comprising the program of the twentieth aspect is provided.
  • Figure 1 is a network structure diagram
  • FIG. 2 is a flowchart of a session processing method according to an embodiment of the present application.
  • FIG. 3 is a flowchart of still another method for processing a session according to an embodiment of the present application.
  • FIG. 4 is a flowchart of another session processing method according to an embodiment of the present application.
  • FIG. 5 is a signaling diagram of still another session processing method according to an embodiment of the present application.
  • FIG. 6 is a signaling diagram of still another session processing method according to an embodiment of the present application.
  • FIG. 7 is a signaling diagram of another session processing method according to an embodiment of the present application.
  • FIG. 8 is a signaling diagram of still another session processing method according to an embodiment of the present application.
  • FIG. 9 is a signaling diagram of another method for processing a session according to an embodiment of the present disclosure.
  • FIG. 10 is a signaling diagram of still another session processing method according to an embodiment of the present application.
  • FIG. 11 is a schematic structural diagram of a session processing apparatus according to an embodiment of the present disclosure.
  • FIG. 12 is a schematic structural diagram of still another session processing apparatus according to an embodiment of the present application.
  • FIG. 13 is a schematic structural diagram of another session processing apparatus according to an embodiment of the present disclosure.
  • FIG. 14 is a schematic structural diagram of an SFM entity according to an embodiment of the present application.
  • FIG. 15 is a schematic structural diagram of a terminal device according to an embodiment of the present disclosure.
  • FIG. 16 is a schematic structural diagram of an NEF entity according to an embodiment of the present disclosure.
  • Figure 1 provides a network structure that can be applied to next generation communication systems. The following briefly describes the various components of the network structure as follows:
  • 5G technology can be used for mobile broadband, multimedia, machine type communication (MTC), industrial control, and intelligent transportation system (intelligent transportation system, In areas such as ITS).
  • MTC machine type communication
  • ITS intelligent transportation system
  • 5G networks need to be built in a flexible way.
  • a flexible way of constructing 5G is to separate the network functions, that is, to separate the control plane (CP) and the user plane (UP), and to manage mobility in the CP (mobility management, MM). ) Separated from session management (SM) functions.
  • Network function separation can be achieved by using network slice technology.
  • Network slicing technology can cut a physical network into multiple virtual end-to-end virtual networks; among them, each virtual network that is segmented includes devices, access technologies, transmission paths, and core networks in the virtual network. Logical independent. Each network slice is instantiated by a separate network function or combination of functions, each network slice having different functional characteristics for different needs and services. The separation of each network segment from each other allows different users or groups of users to flexibly and dynamically customize network capabilities according to different application scenarios and requirements.
  • a network slice includes a control plane function (CPF) entity and a user plane function (UPF) entity.
  • the CPF entity includes an access and mobility management function (AMF) entity, and a session management function (SMF) entity.
  • the CPF entity mainly performs functions such as access authentication, security encryption, and location registration of the terminal device, and completes functions such as establishing, releasing, and changing the user plane transmission path;
  • the UPF entity mainly performs functions such as routing and forwarding of user plane data.
  • Terminal device may include various handheld devices with communication functions, in-vehicle devices, wearable devices, computing devices or other processing devices connected to a wireless modem, and various forms of terminals, for example, mobile stations (MS) , terminal, user equipment (UE), soft terminal, etc., for example, water meters, electricity meters, sensors, and the like.
  • MS mobile stations
  • UE user equipment
  • soft terminal etc., for example, water meters, electricity meters, sensors, and the like.
  • Radio access network A network consisting of multiple 5G-RAN nodes, implementing wireless physical layer functions, resource scheduling and radio resource management, radio access control, and mobility management functions.
  • the 5G-RAN is connected to the UPF through the user plane interface N3, and is used to transmit data of the terminal device.
  • the 5G-RAN establishes a control plane signaling connection through the control plane interface N2 and the AMF, and is used to implement functions such as radio access bearer control.
  • the authentication server function (AUSF) entity is responsible for ensuring the security authentication between the terminal device and the 5G network.
  • AMF entity responsible for mobility management and access management, etc., for implementing functions other than session management in the mobility management entity (MME) function. For example, it is responsible for maintaining and managing the status information of the terminal, responsible for the authentication of the terminal device, selecting the network slice, and selecting the SMF entity.
  • MME mobility management entity
  • SMF entity establishes a session for the terminal device, assigns a session identifier (identity, ID), manages or terminates the session, selects a user plane function (UPF) entity, and selects a network exposure function (NEF) entity.
  • ID session identifier
  • UPF user plane function
  • NEF network exposure function
  • NEF entity responsible for connecting the SMF entity with an external data network (DN), and may include a third-party authentication entity.
  • the UPF entity provides functions such as session and bearer management, and IP address allocation. For example, it is responsible for data packet filtering, data transmission/retransmission, rate control, and generation of accounting information for the terminal device.
  • Unified data management (UDM) entity Assigns reference information to a network entity, for example, assigns reference information to an SMF entity or NEF entity.
  • PCF Policy control function
  • DN Provides external data network services.
  • the security authentication and authorization function entity of the external data network can be used to perform security authentication and authorization check on users.
  • the third-party authentication entity may be a DN device, and the DN device may be any one of a DN-AAA server, an application framework (AF), an AF-AAA, an application server (application-server), and an application-server-AAA. .
  • each of the above components communicates through each interface under the next-generation network architecture.
  • the terminal device and the AMF entity can communicate through the N1 interface.
  • the terminal device When the terminal device needs to access the network, the terminal device initiates a PDU session establishment request to perform a PDU session establishment process. After the terminal device initiates a PDU session establishment request, each solution of the present application may be implemented when the PDU session is established.
  • a session processing method provided by an embodiment of the present application is performed by an SMF entity, and the method is specifically as follows.
  • the SMF entity receives a PDU session establishment request, where the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • the PDU session establishment request is carried in the first signaling.
  • the terminal device sends the first signaling to the AMF entity, where the first signaling carries the PDU session establishment request, and the AMF entity sends the PDU session establishment request in the first signaling to the SMF entity.
  • the AMF entity selects an appropriate SMF entity, that is, the SMF entity in step 201, in a prior art manner; then, the AMF entity sends the PDU session to the selected SMF entity.
  • a request is established, for example, the AMF entity may send the first signaling to the selected SMF entity through the N11 interface.
  • the first signaling may further include a DNN corresponding to the PDU session, a session management-network slice selection assistance information (S-NSSAI), and a PDU session identifier (PDU session ID) corresponding to the PDU session. ), application identification.
  • the DNN corresponding to the PDU session refers to the data used by the PDU session to transmit the DN indicated by the DNN.
  • the S-NSSAI corresponding to the PDU session refers to the information of the slice corresponding to the PDU session, that is, the session is established through the resources of the slice.
  • the slice can be based on several major technical groups such as cloud computing, virtualization, software-defined network, distributed cloud architecture, etc., through the unified programming of the upper layer, the network has the ability to manage and coordinate, thereby implementing a general-purpose physical network infrastructure.
  • a slice can provide the same type of service, or it can be provided to a tenant.
  • the car network is a DN that can be assigned to the car network to service one or more slices.
  • the carrier network assigns an S-NSSAI to each slice.
  • the PDU session establishment request is used to request to establish a PDU session for the terminal device, and may carry a PDU type, a service and a session continuity mode (SSC mode).
  • the PDU type can be used to indicate whether the PDU session is Internet Protocol version 4 (IPv4) or Internet Protocol version 4 (IPv6);
  • the service and session continuity mode can be used to indicate the service of the PDU session.
  • the session continuity mode for example, the SSC mode1 is used to indicate that the anchor point of the IP address is unchanged, and the service continuity is supported; the SSC mode2 is used to indicate that the anchor point of the IP address is variable, and the old session can be released first, and then the terminal device is notified.
  • a new session is established;
  • SSC mode3 is used to indicate that a new session is established for the terminal device, and then the old session is released.
  • the SMF entity determines to authenticate the PDU session according to the reference information.
  • the reference information may include at least one of the following: a DNN, an S-NSSAI, an application identifier, and an identifier of the at least one terminal device.
  • the authentication of the PDU session involved in the step 202 may be a third-party authentication of the PDU session, where the third-party authentication refers to the authentication between the terminal device and the third-party authentication entity.
  • the SMF entity determines to perform third-party authentication on the PDU session according to the reference information, where the third-party authentication refers to authentication between the terminal device and the third-party authentication entity.
  • third-party authentication refers to authentication between the terminal device user and the third-party authentication entity.
  • the application identifier is an identifier of a service, such as the identity of service A.
  • the SMF entity sends an authentication request to the third-party authentication entity by using the NEF entity.
  • the SMF entity sends an authentication request to the NEF entity, and then the NEF entity sends the authentication request to the third party authentication entity.
  • the step 202 can be implemented as follows:
  • the reference information includes a DNN
  • the first signaling further includes a DNN corresponding to the PDU session.
  • the SMF entity determines to the PDU. The session is authenticated.
  • the AMF entity sends the first signaling to the SMF entity, and the first signaling carries a PDU session establishment request, and a DNN corresponding to the PDU session (eg, DNN2); the reference information includes at least one DNN (eg, DNN1, DNN2, and DNN3), then the SMF entity determines whether the reference information carries the DNN corresponding to the PDU session in the first signaling, and if so, the SMF entity determines to authenticate the PDU session.
  • the SMF entity may also determine that the third-party authentication entity corresponding to the DNN in the first signaling is a third-party authentication entity that is currently to authenticate with the terminal device.
  • the reference information includes an application identifier
  • the first signaling further includes an application identifier corresponding to the PDU session
  • the SMF entity determines The PDU session is authenticated.
  • the AMF entity sends the first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and an application identifier corresponding to the PDU session (for example, application identifier 1); and at least one application identifier is included in the reference information (for example, the application identifier 1, the application identifier 2, and the application identifier 3), and then the SMF entity determines whether the reference information includes the application identifier carried in the first signaling, and if the reference information includes the application identifier in the first signaling, the SMF entity It is determined that the PDU session is authenticated. Further, the SMF entity may further determine that the third-party authentication entity corresponding to the application identifier in the first signaling is a third-party authentication entity that authenticates with the terminal device.
  • the third-party authentication entity corresponding to the application identifier in the first signaling is a third-party authentication entity that authenticates with the terminal device.
  • the reference information includes a DNN and an application identifier
  • the first signaling further includes a DNN and an application identifier corresponding to the PDU session
  • the reference information includes a DNN and an application identifier corresponding to the PDU session
  • the SMF entity determines to authenticate the PDU session.
  • the AMF entity sends the first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and the DNN and the application identifier corresponding to the PDU session (eg, DNN1 and application identifier 1); the reference information includes multiple identifier combinations.
  • Each identification combination includes a DNN and an application identifier (eg, a combination of DNN1 and application identifier 1, a combination of DNN2 and application identifier 2); and then, the SMF entity determines whether the first signaling is included in the identification combination of the reference information.
  • the SMF entity determines to authenticate the PDU session, and further, the SMF entity may further determine the first signaling.
  • the third-party authentication entity corresponding to the DNN and the application identifier is a third-party authentication entity that authenticates with the terminal device.
  • the reference information includes a DNN and an S-NSSAI
  • the first signaling further includes a DNN and an S-NSSAI corresponding to the PDU session
  • the reference information includes DNN and S- corresponding to the PDU session.
  • the SMF entity determines to authenticate the PDU session.
  • the AMF entity sends the first signaling to the SMF entity, the first signaling carries the PDU session establishment request, and the DNN and S-NSSAI corresponding to the PDU session (eg, DNN1 and S-NSSAI1); the reference information includes multiple A combination of identifiers, each identification combination comprising a DNN and an S-NSSAI (eg, a combination of DNN1 and S-NSSAI1, a combination of DNN2 and S-NSSAI2); and then, the SMF entity determines whether the identification combination of the reference information includes the first letter
  • the DMF and the S-NSSAI are carried, and if the identification combination of the reference information includes the DNN and the S-NSSAISMF entity carried by the first signaling, the SMF entity determines to authenticate the PDU session, and further, the SMF entity may determine the first signaling.
  • the third-party authentication entity corresponding to the DNN and the S-NSSAI is a third-party authentication entity that authenticates with the terminal device.
  • the reference information includes an identifier of the at least one terminal device, where the first signaling further includes an identifier of the terminal device, and when the reference information includes an identifier of the terminal device, the SMF entity determines The PDU session is authenticated. That is, the reference information is part of the SM context or SM policy of the terminal device.
  • the reference information includes an identifier of at least one terminal device
  • the terminal device is a terminal device that the SMF entity determines to perform PDU session authentication
  • the first signaling carries a PDU session establishment request, and an identifier of the terminal device that sends the PDU session establishment request
  • the SMF entity determines whether the reference information includes the identifier of the terminal device in the first signaling, and if so, the SMF entity determines to authenticate the PDU session.
  • step 202 is not limited to the above five implementation manners, for example, it may also be implemented only according to the S-NSSAI or the application identifier, and the implementation manner is similar to the above.
  • the AMF entity sends the first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and the S-NSSAI corresponding to the PDU session (eg, S-NSSAI1); at least one S- is included in the reference information.
  • NSSAI for example, S-NSSAI1 and S-NSSAI2
  • the SMF entity determines whether the reference information includes the S-NSSAI carried in the first signaling, and if the reference information includes the DNN in the first signaling, the SMF entity Determining the authentication of the PDU session, and further determining that the third-party authentication entity corresponding to the S-NSSAI in the first signaling is a third-party authentication entity that authenticates with the terminal device.
  • the AMF entity sends the first signaling to the SMF entity, where the first signaling carries the PDU session establishment request, and the S-NSSAI and the application identifier corresponding to the PDU session (for example, a combination of the S-NSSAI1 and the application identifier 1);
  • the reference information includes a plurality of identifier combinations, each of which includes an S-NSSAI and an application identifier (for example, a combination of S-NSSAI1 and application identifier 1, a combination of S-NSSAI2 and application identifier 2); and then, the SMF entity Determining whether the identifier combination of the reference information includes the identifier combination corresponding to the S-NSSAI and the application identifier carried in the first signaling, and if yes, the SMF entity determines to authenticate the PDU session, and further, the SMF entity may further determine the first signaling
  • the third-party authentication entity corresponding to the S-NSSAI and the application identifier is a third-party authentication entity
  • the AMF entity sends the first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and three identifiers corresponding to the PDU session, where the three identifiers are DNN, S-NSSAI, and application identifier (for example, , DD1, S-NSSAI1, and application identifier 1);
  • the reference information includes a plurality of identification combinations, each of which includes a DNN, an S-NSSAI, and an application identifier (eg, DNN1, S-NSSAI1, and application identifier 1 Combination, DD2, S-NSSAI2, and application identifier 2 are combined; then, the SMF entity determines whether the identification combination in the reference information includes the identification combination corresponding to the three identifiers carried in the first signaling, and if so, the SMF The entity determines to authenticate the PDU session. Further, the SMF entity may further determine that the third-party authentication entity corresponding to the three-party identifier in the first signaling is
  • the reference information includes at least one of a DNN, an S-NSSAI, and an application identifier, and the reference information further includes an identifier of the at least one terminal device.
  • the first signaling not only carries the PDU session establishment request but also The at least one of the DNN, the S-NSSAI, and the application identifier corresponding to the PDU session needs to be carried, and the identifier of the terminal device that sends the PDU session establishment request is also carried.
  • step 203 can be implemented in two different ways:
  • step 203 includes 2031 and 2032.
  • the SMF entity obtains the identifier of the third-party authentication entity according to the correspondence relationship and the first signaling.
  • the SMF entity determines the identity of the third party authentication entity that received the authentication request.
  • the identifier of the third-party authentication entity may be the name of the third-party authentication entity, or the ID of the third-party authentication entity, or the address information of the third-party authentication entity, for example, an IP address.
  • the step 2031 can be implemented as follows:
  • step 2031 When the first signaling includes the DNN corresponding to the third-party authentication entity PDU session, the SMF entity obtains according to the correspondence relationship and the DNN corresponding to the third-party authentication entity of the PDU session. The identifier of the third party authentication entity.
  • the corresponding relationship is a correspondence between the DNN and the identifier of the third-party authentication entity.
  • the correspondence between the DNN and the identifier of the third-party authentication entity may be: DNN1 corresponds to the third-party authentication entity 1, and DNN2 corresponds to the third-party authentication entity 2.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and a DNN corresponding to the PDU session; after receiving the first signaling, the SMF entity according to the DNN and the third party
  • the correspondence between the identifiers of the authentication entities and the DNN in the first signaling may obtain the identifier of the third-party authentication entity.
  • the SMF entity obtains the third-party authentication entity according to the corresponding relationship and the application identifier corresponding to the PDU session. logo.
  • the corresponding relationship is a correspondence between an application identifier and an identifier of a third-party authentication entity.
  • the correspondence between the application identifier and the identifier of the third-party authentication entity may be: the application identifier 1 corresponds to the third-party authentication entity 1, and the application identifier 2 corresponds to the third-party authentication entity 2.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and an application identifier corresponding to the PDU session; the SMF entity receives the first signaling, and then, the SMF The entity obtains the identifier of the third-party authentication entity according to the correspondence between the application identifier and the identifier of the third-party authentication entity and the application identifier in the first signaling.
  • the SMF entity obtains the location according to the correspondence, the DNN corresponding to the PDU session, and the application identifier.
  • the identifier of the third-party authentication entity is the identifier of the third-party authentication entity.
  • the corresponding relationship is a correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • the correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity may be: DNN1+ application identifier 1, corresponding to the third-party authentication entity 1; DNN1+ application identifier 2, corresponding to the third-party authentication entity 2; DNN2+ The application identifier 1 corresponds to the third-party authentication entity 2.
  • the AMF entity sends the first signaling to the SMF entity, the first signaling carries the PDU session establishment request, and the DNN and the application identifier corresponding to the PDU session; the SMF entity receives the first signaling, and then, the SMF entity is configured according to The correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity, and the DNN and the application identifier in the first signaling, obtain the identifier of the third-party authentication entity.
  • step 2031 when the first signaling includes the DNN and the S-NSSAI corresponding to the PDU session, the SMF entity according to the correspondence, and the DNN and the S-NSSAI corresponding to the PDU session, Obtaining an identifier of the third-party authentication entity, where the correspondence relationship is a correspondence between the DNN, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the SMF entity sends the authentication request by using the NEF entity to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the SMF entity sends the identity and authentication request of the third-party authentication entity to the NEF entity, and the NEF entity sends the authentication request to the third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the first signaling further includes a user identifier
  • the SMF entity obtains the identifier of the third-party authentication entity according to the user identifier
  • the SMF entity passes the NEF entity to the first
  • the third-party authentication entity indicated by the identifier of the three-party authentication entity sends the authentication request.
  • the domain name of the user identifier is the identifier of the third-party authentication entity.
  • the method when step 203 is performed, can be implemented in the manner provided in this manner.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and a user identifier.
  • the SMF entity can then obtain the identity of the third-party authentication entity based on the user identity.
  • the SMF entity sends the identifier and the authentication request of the third-party authentication entity to the NEF entity, and the NEF entity sends the authentication request to the third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the SMF entity receives the PDU session establishment request, and the PDU session establishment request is used to request to establish a PDU session for the terminal device. After the SMF entity determines to authenticate the PDU session according to the reference information, the SMF entity authenticates to the third party through the NEF entity. The entity sends an authentication request.
  • the SMF entity receives the PDU session establishment request, and the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • the SMF entity After the SMF entity determines to authenticate the PDU session according to the reference information, the SMF entity authenticates to the third party through the NEF entity. The entity sends an authentication request.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the SMF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the data network (DN) can accept the access of the legitimate user, and reject the access of the illegal user, thereby improving the security of the DN network; meanwhile, the third-party authentication entity can The authentication result is notified to the 5G network, and the 5G network can refuse to establish a PDU session for the illegal user, thereby saving network resources.
  • the foregoing method further includes step 204.
  • the SMF entity sends a message for acquiring a user identity request to the terminal device; the SMF entity receives the user identifier.
  • the SMF entity sends a message for acquiring the user identification request to the terminal device through the AMF entity; after receiving the message for obtaining the user identification request, the terminal device sends the user to the SMF entity through the AMF entity.
  • the foregoing method further includes the step 205 to the step 2010.
  • the SMF entity receives an authentication message sent by the third-party authentication entity by using the NEF entity, where the authentication message is used to request the terminal device to send an authentication parameter.
  • the authentication parameter includes at least one of the following: a certificate of the terminal device, a username or password of the terminal device, an authentication parameter, and a security key parameter; wherein the authentication parameter is used by the third party
  • the authentication entity verifies the identity of the terminal device; the security key parameter is used to generate a shared key between the terminal device and the third-party authentication entity.
  • the third-party authentication entity after the NEF entity of step 203 sends an authentication request to the third-party authentication entity, after the third-party authentication entity receives the authentication request, the third-party authentication entity generates an authentication message, which is used to request the terminal device to provide the authentication message. Authentication parameter; then, the third-party authentication entity sends the authentication message to the NEF entity; then, the NEF entity sends the authentication message to the SMF entity.
  • the SMF entity sends the authentication message to the terminal device.
  • the SMF entity sends the received authentication message to the AMF entity; then, the AMF entity sends the authentication message to the terminal device. After receiving the authentication message, the terminal device returns the authentication parameter to the SMF entity through the AMF entity.
  • the SMF entity receives the authentication parameter, and sends the authentication parameter to the third-party authentication entity by using the NEF entity.
  • the terminal device sends the authentication parameter to the AMF entity; the AMF entity sends the authentication parameter to the SMF entity; after the SMF entity receives the authentication parameter, the SMF entity sends the authentication parameter to the NEF entity.
  • the authentication parameter is sent by the NEF entity to the third-party authentication entity.
  • the third-party authentication entity authenticates the terminal device according to the authentication parameter, and generates an authentication result.
  • the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the generated authentication result to the NEF entity, and the NEF entity sends the authentication result to the SMF entity.
  • the third-party authentication entity sends an authentication feedback message to the NEF entity, where the authentication result is carried in the authentication feedback message, where the authentication feedback message further includes a key generation parameter; and then the NEF entity sends the authentication feedback message to the SMF.
  • the SMF entity receives an authentication result sent by the third-party authentication entity by using the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • the SMF entity receives the above authentication result generated by the third party authentication entity.
  • the SMF entity receives the foregoing authentication feedback message.
  • the SMF entity continues to perform a PDU session establishment process.
  • the SMF entity After the step S208, after the SMF entity receives the authentication result, if the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, then the SMF entity continues to perform the PDU session establishment. Process.
  • step 2010 may also be included:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • the SMF entity receives the authentication feedback message, where the authentication feedback message carries the authentication result and the key generation parameter, and the SMF entity may send the key generation parameter to the AMF entity.
  • the AMF entity then sends the key generation parameters to the terminal device.
  • the step 209 and the step 2010 may be performed simultaneously or at different times, which is not limited in this application.
  • the SMF entity may send the foregoing authentication result together with the key generation parameter to the AMF entity, and then the AMF entity sends the foregoing authentication result and the key generation parameter to the terminal device.
  • the terminal device performs the application layer security establishment according to the key generation parameter only when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • the key generation parameters described above may be used to establish a transport layer security (TLS) channel between the terminal device and the third party authentication entity.
  • TLS transport layer security
  • the terminal device may directly use the above-mentioned key generation parameter to perform application layer security establishment between the terminal device and the third-party authentication entity; or the terminal device may acquire another parameter according to the key generation parameter.
  • the key generation parameter is used by the terminal device to establish an application layer security between the terminal device and the third-party authentication entity by using the other key generation parameter.
  • the PDU session establishment request includes an authentication parameter
  • the method further includes a step 2011 to a step 2013.
  • the SMF entity receives an authentication result sent by the third-party authentication entity by using the NEF entity.
  • the authentication parameter includes at least one of the following:
  • a certificate of the terminal device a username or password of the terminal device, an authentication parameter, and a security key parameter
  • the authentication parameter is used by the third-party authentication entity to verify the identity of the terminal device; the security key parameter is used to generate a shared key between the terminal device and the third-party authentication entity.
  • the terminal device sends signaling to the AMF entity, where the signaling carries a PDU session establishment request, and the signaling further includes an authentication parameter.
  • the terminal device sends signaling to the AMF entity, in which the PDU session establishment request and the authentication parameters are carried.
  • the terminal device sends signaling to the AMF entity, where the signaling carries a PDU session establishment request, and the PDU session establishment request includes the authentication parameter.
  • the AMF entity sends a first signaling to the SMF entity.
  • the PDU session establishment request is carried, and the authentication parameter is also included in the signaling.
  • the first signaling sent by the AMF entity includes a PDU session establishment request and an authentication parameter.
  • the first signaling sent by the AMF entity includes a PDU session establishment request, where the PDU session establishment request includes an authentication parameter.
  • the SMF entity sends an authentication request to the NEF entity.
  • the authentication request includes the foregoing authentication parameter.
  • the NEF entity sends the authentication request including the foregoing authentication parameter to the third-party authentication entity.
  • the third-party authentication entity can perform authentication on the terminal device according to the authentication parameter in the authentication request, and generate an authentication result.
  • the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the generated authentication result to the NEF entity, and the NEF entity sends the authentication result to the SMF entity.
  • the third-party authentication entity sends an authentication feedback message to the NEF entity, where the authentication result is carried in the authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • the NEF entity sends the authentication feedback message to the NEF entity.
  • the SMF entity continues to perform a PDU session establishment process.
  • step 2011 if the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, then the SMF entity continues to perform the PDU session establishment procedure.
  • step 2013 may also be included:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • the SMF entity receives the authentication feedback message, where the authentication feedback message carries the authentication result and the key generation parameter, and the SMF entity may send the key generation parameter to the AMF entity.
  • the AMF entity then sends the key generation parameters to the terminal device.
  • Steps 2012 and Steps 2013 may be performed simultaneously or at different times, which is not limited in this application.
  • the SMF entity may send the foregoing authentication result together with the key generation parameter to the AMF entity, and then the AMF entity sends the foregoing authentication result and the key generation parameter to the terminal device.
  • the terminal device performs the application layer security establishment according to the key generation parameter only when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • step 2014 is further included.
  • the SMF entity configures the reference information on the SMF entity; or the SMF entity acquires the reference information from a UDM entity, or a PCF entity, or the NEF entity.
  • the reference information may be configured by the SMF entity on the SMF entity, or the reference information may be configured on the UDM entity, or the PCF entity, or the NEF entity.
  • the authentication request is carried in the second signaling,
  • the second signaling further includes a first parameter
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • the SMF entity sends a second signaling to the NEF entity, where the second signaling includes the foregoing authentication request and the first parameter.
  • the identifier of the foregoing SMF entity may also be included in the second signaling.
  • the SMF entity selects a PCF entity.
  • the SMF entity selects one.
  • a suitable PCF entity In one example, the SMF entity selects a PCF entity based on the S-NSSAI.
  • the SMF entity sends a PDU-Controller Session Establishment (PDU) session establishment request (PDU-CAN Session Establishment) to the PCF entity to obtain a PCC rule corresponding to the PDU session.
  • PDU PDU-Controller Session Establishment
  • PDU-CAN Session Establishment PDU-CAN Session Establishment
  • the SMF entity selects a UPF entity.
  • the SMF entity selects a suitable UPF entity. For example, the SMF entity selects a UPF entity according to the location information of the terminal device, the load information of the UPF, and the DNN.
  • step 201c is performed.
  • the SMF entity sends a PDU-CAN session establishment request to the PCF entity.
  • the SMF entity in 201a if the SMF entity in 201a does not send a PDU-CAN session establishment request to the PCF entity, the SMF entity in this step sends a PDU-CAN session establishment request to the PCF entity. And, if the PDU type included in the dynamic PCC policy is IPv4 or IPv6, at this time, the SMF entity sends a PDU-CAN Session Modification (PDU-CAN Session Modification) to the PCF entity, and the SMF entity puts the assigned end device device The IP address or IP prefix is sent to the PCF entity.
  • PDU-CAN Session Modification PDU-CAN Session Modification
  • the SMF entity sends an N4 session establishment request (Session Establishment request), an execution rule (enforcement rules) of the DU session, and tunnel information on the core network side to the UPF entity.
  • N4 session establishment request Session Establishment request
  • execution rule enforcement rules
  • the tunnel information on the core network side refers to the uplink data tunnel identifier of the N3 tunnel of the PDU session, and the tunnel information on the core network side is used to uniquely identify the data of the PDU session of the terminal device.
  • the UPF entity sends a session establishment response message to the SMF entity.
  • the SMF entity sends an N2 SM message and a PDU session establishment accept message to the AMF entity.
  • the N2 SM information includes an identifier of a PDU session, a quality of service (QoS Profile(s),), and CN tunnel info;
  • the PDU session establishment accept message includes an authorized QoS rule, SSC. Mode, S-NSSAI, IPv4 address.
  • the N2 SM information is used to send some parameters of the PDU session to the RAN (e.g., the RAN node or the base station) such that the RAN establishes a corresponding air interface connection for the PDU session.
  • the CN tunnel information is used to establish a data transmission channel between the RAN and the UPF entity for the PDU session.
  • the PDU session establishment accept message is used to notify the terminal device that the PDU session is successfully established, and returns some corresponding parameters of the PDU session to the terminal device.
  • the AMF entity sends the N2 SM information and the PDU session establishment accept message in step 201f to the RAN.
  • the RAN and the terminal device perform an access network (AN) signaling interaction.
  • AN access network
  • the RRC connection reconfiguration procedure provides corresponding radio resources for the PDU session.
  • the RAN sends a PDU session establishment accept message to the terminal device.
  • the RAN sends the N2 SM information to the SMF entity through the AMF entity.
  • the N2 SM information at this time includes the identity of the PDU session, the RAN tunnel information ((R)AN tunnel info), and the list of accepted/rejected qoS profile(s).
  • the RAN tunnel information is used to establish a data transmission channel between the RAN and the UPF entity.
  • the AMF entity sends the N2 SM information to the SMF entity.
  • the SMF entity initiates an N4 session modification process.
  • the SMF entity initiates an N4 session modification procedure to the UPF entity, in which the SMF entity will send the RAN tunnel information to the UPF entity.
  • the SMF entity returns a response message to the AMF entity.
  • the 201m, the SMF entity sends the IPv6 type IP address information to the terminal device through the UPF entity.
  • the SMF initiates a process of releasing the source to access the network side resources.
  • the SMF entity initiates release of the source access network side resources. Process.
  • the SMF entity sends a registration request to the UDM.
  • the SMF entity sends a registration request to the UDM, ie, the SMF entity registers with the UDM entity.
  • the SMF entity then informs the UDM entity which SMF entity is serving the PDU session of the current terminal device.
  • the UDM entity may store the identity of the SMF entity, the address of the SMF entity, and the correspondence between the DNNs.
  • another method for processing a session provided by the embodiment of the present application is performed by a terminal device, as follows.
  • the terminal device determines, according to the reference information, that the PDU session is authenticated.
  • the reference information includes at least one of the following: DNN, S-NSSAI, application identifier, and may refer to the related description in the embodiment shown in FIG. 2.
  • step 301 can be implemented as follows:
  • the reference information includes a DNN
  • the terminal device determines to authenticate the PDU session.
  • the reference information includes an application identifier
  • the terminal device determines to authenticate the PDU session.
  • the method of step 301 includes: the DNN and the application identifier.
  • the terminal device determines to authenticate the PDU session.
  • the reference information includes a DNN and an S-NSSAI
  • the terminal device determines to authenticate the PDU session.
  • the terminal device before the terminal device needs to perform a PDU session with the third-party authentication entity, the terminal device first performs a PDU session establishment process, and before the terminal device performs a PDU session establishment process, the terminal device needs to refer to the reference information. Determine the authentication of the PDU session.
  • the reference information includes a DNN
  • the terminal device determines that the reference information includes the DNN corresponding to the PDU session, the terminal device determines to authenticate the PDU session.
  • the reference information includes an application identifier
  • the terminal device determines that the reference information includes an application identifier corresponding to the PDU session, the terminal device determines to authenticate the PDU session.
  • the terminal device determines that the reference information includes the S-NSSAI corresponding to the PDU session, the terminal device determines to authenticate the PDU session.
  • the reference information includes a plurality of identifier combinations, where each identifier combination includes a DNN and an application identifier; and when the terminal device determines one of the identifier combinations of the reference information, including the DNN and the application identifier corresponding to the PDU session, The terminal device determines to authenticate the PDU session.
  • the reference information includes a plurality of identifier combinations, each of which includes a DNN and an S-NSSAI; and the terminal device determines a certain combination of the reference information, including the DNN and the S-NSSAI corresponding to the PDU session. The terminal device determines to authenticate the PDU session.
  • the reference information includes a plurality of combination of identifiers, each of which includes an application identifier and an S-NSSAI; and an identifier combination of the terminal device determining the reference information, including the application identifier corresponding to the PDU session and the S-NSSAI The terminal device determines to authenticate the PDU session.
  • the reference information includes a plurality of identifier combinations, each of which includes a DNN, an application identifier, and an S-NSSAI; and the terminal device determines a certain identifier combination of the reference information, including the DNN and the application corresponding to the PDU session.
  • the terminal device determines to authenticate the PDU session.
  • step 301 can refer to the implementation manner of step 202, the execution subject is different, and the execution actions are similar.
  • the nouns related to the embodiment may also refer to related descriptions in the embodiment shown in FIG. 2, and details are not described herein again.
  • the terminal device sends a signaling message, where the signaling message includes a PDU session establishment request and a user identifier, where the PDU session establishment request is used to request to establish the PDU session for the terminal device.
  • the terminal device sends signaling to the AMF entity, in which the PDU session establishment request and the user identity are included. In another example, the terminal device sends signaling to the AMF entity, the signaling including a PDU session establishment request, the PDU session establishment request including a user identity.
  • the AMF entity then sends a first signaling to the SMF entity, the first signaling including the PDU session establishment request and the user identifier.
  • the terminal device determines to authenticate the PDU session according to the reference information; the terminal device sends the first signaling, where the first signaling includes a PDU session establishment request, and the first signaling further includes a user identifier.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the terminal device; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the first signaling further includes at least one of the following: an application identifier corresponding to the PDU session, and an authentication parameter.
  • the terminal device sends signaling to the AMF entity, in which the PDU session establishment request is included, and the signaling further includes an authentication parameter.
  • the terminal device sends signaling to the AMF entity, in which the PDU session establishment request and the authentication parameters are carried.
  • the terminal device sends signaling to the AMF entity, where the signaling carries a PDU session establishment request, and the PDU session establishment request includes the authentication parameter.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling carries a PDU session establishment request, and the signaling parameter further includes the foregoing authentication parameter.
  • the first signaling sent by the AMF entity includes a PDU session establishment request and an authentication parameter.
  • the first signaling sent by the AMF entity includes a PDU session establishment request, where the PDU session establishment request includes an authentication parameter.
  • the SMF entity sends an authentication request to the NEF entity.
  • the authentication request includes the foregoing authentication parameter;
  • the NEF entity sends the authentication request including the foregoing authentication parameter to the third-party authentication entity.
  • the third-party authentication entity can authenticate the terminal device according to the authentication parameter in the authentication request, and generate an authentication result.
  • the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the generated authentication result to the NEF entity, and the NEF entity sends the authentication result to the SMF entity.
  • the third-party authentication entity sends an authentication feedback message to the NEF entity, where the authentication result is carried in the authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • the NEF entity sends the authentication feedback message to the NEF entity.
  • step 303 is further included.
  • Step 303 The terminal device receives a key generation parameter sent by the SMF entity, where the key generation parameter is used for application layer security establishment of the terminal device.
  • the SMF entity receives the authentication feedback message, where the authentication feedback message carries the authentication result and the key generation parameter, and the SMF entity may send the key generation parameter to the AMF entity.
  • the AMF entity then sends the key generation parameters to the terminal device. This step can be seen in step 2013 of FIG.
  • the foregoing method further includes step 304.
  • the terminal device receives the user identity request and sends the user identifier.
  • the SMF entity sends a message for acquiring the user identification request to the terminal device through the AMF entity; after receiving the message for obtaining the user identification request, the terminal device sends the user to the SMF entity through the AMF entity.
  • another session processing method provided by an embodiment of the present application is implemented by an NEF entity, and the method includes:
  • the NEF entity receives an authentication request and a first parameter from an SMF entity, where the authentication request is used to request to authenticate the PDU session.
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • the terminal device sends signaling to the AMF entity, in which the PDU session establishment request is carried. Then, after receiving the PDU session establishment request, the AMF entity sends signaling to the selected SMF entity, where the signaling carries the PDU session establishment request.
  • the SMF entity then sends an authentication request and a first parameter to the NEF entity.
  • the SMF entity sends signaling to the NEF entity, where the signaling includes the authentication request and the first parameter.
  • the NEF entity sends the authentication request to a third-party authentication entity according to the first parameter.
  • the NEF entity determines which third party authentication entity to send the above authentication request to based on the first parameter. The NEF entity can then send the authentication request to the identified third-party authentication entity.
  • the step 402 may include step 4021 and step 4022.
  • the NEF entity obtains an identifier of the third-party authentication entity according to the first parameter.
  • step 4021 can be implemented as follows:
  • the first parameter includes a DNN corresponding to the PDU session, and the NEF entity obtains an identifier of the third-party authentication entity according to the first correspondence and the first parameter, where the first The correspondence relationship is a correspondence between the DNN and the identifier of the third-party authentication entity;
  • the first parameter includes an application identifier corresponding to the PDU session, and the NEF entity obtains an identifier of the third-party authentication entity according to the second correspondence and the first parameter, where the The second correspondence is a correspondence between the application identifier and the identifier of the third-party authentication entity;
  • the first parameter includes a DNN corresponding to the PDU session and the application identifier
  • the NEF entity obtains the identifier of the third-party authentication entity according to the third correspondence and the first parameter.
  • the third correspondence is a correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • the first parameter includes a DNN and an S-NSSAI corresponding to the PDU session
  • the NEF entity obtains an identifier of the third-party authentication entity according to the fifth correspondence and the first parameter.
  • the fifth correspondence relationship is a correspondence between the DNN, the S-NSSAI, and the identifiers of the third-party authentication entities.
  • the NEF entity obtains an identifier of the third-party authentication entity according to the first parameter.
  • the first parameter includes a DNN corresponding to the PDU session, and the NEF entity obtains the identifier of the third-party authentication entity corresponding to the DNN in the first parameter according to the first correspondence between the DNN and the identifier of the third-party authentication entity.
  • the first correspondence may correspond to DNN1 and third party authentication entity 1
  • DNN2 corresponds to third party authentication entity 2.
  • the first parameter includes an application identifier corresponding to the PDU session
  • the NEF entity obtains the third-party authentication entity corresponding to the application identifier in the first parameter according to the second correspondence between the application identifier and the identifier of the third-party authentication entity.
  • the second correspondence may correspond to the third party authentication entity 1 and the application identifier 2 corresponds to the third party authentication entity 2.
  • the first parameter includes the DNN and the application identifier corresponding to the PDU session
  • the NEF entity obtains the identifier of the third-party authentication entity according to the third correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • the third correspondence may be DNN1+ application identifier 1, corresponding to the third-party authentication entity 1, DNN1+ application identifier 2, corresponding to the third-party authentication entity 2, and DNN2+ application identifier 1, corresponding to the third-party authentication entity 2.
  • the first parameter includes the S-NSSAI corresponding to the PDU session
  • the NEF entity obtains the third party corresponding to the S-NSSAI in the first parameter according to the fourth correspondence between the identifier of the S-NSSAI and the identifier of the third-party authentication entity.
  • the identity of the authenticating entity may be that the S-NSSAI1 corresponds to the third-party authentication entity 1, and the S-NSSAI2 corresponds to the third-party authentication entity 2.
  • the first parameter includes the DNN and the S-NSSAI corresponding to the PDU session
  • the NEF entity obtains the identifier of the third-party authentication entity according to the fifth correspondence between the DNN, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the fifth correspondence may be DNN1+S-NSSAI1, corresponding to the third-party authentication entity 1; DNN1+S-NSSAI2, corresponding to the third-party authentication entity 2; DNN2+S-NSSAI1, and the third-party authentication entity 2 correspond.
  • the first parameter includes an application identifier corresponding to the PDU session and the S-NSSAI
  • the NEF entity obtains the third-party authentication entity according to the sixth correspondence between the application identifier, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the sixth correspondence may be the application identifier 1+S-NSSAI1, corresponding to the third-party authentication entity 1; the application identifier 1+S-NSSAI2, corresponding to the third-party authentication entity 2; and the application identifier 2+S-NSSAI1, Corresponds to the third-party authentication entity 2.
  • the first parameter includes a DNN corresponding to the PDU session, an application identifier, and an S-NSSAI
  • the NEF entity obtains the seventh correspondence between the DNN, the application identifier, the S-NSSAI, and the identifier of the third-party authentication entity.
  • the seventh correspondence may be DNN1+ application identifier 1+S-NSSAI1, corresponding to third-party authentication entity 1; DNN1+ application identifier 2+S-NSSAI2, corresponding to third-party authentication entity 2; DNN3+ application identifier 2+S -NSSAI1, corresponding to the third-party authentication entity 1.
  • the identifier of the third-party authentication entity may be the name of the third-party authentication entity, or the ID of the third-party authentication entity, or the address information of the third-party authentication entity.
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the NEF entity may directly send the foregoing authentication request to the third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the NEF entity receives the authentication request and the first parameter from the SMF entity, and then the NEF entity sends the authentication request to the third-party authentication entity according to the first parameter.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the NEF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the SMF entity may determine to authenticate the PDU session according to the reference information. See step 202 of Figure 2, and no further details are provided.
  • step 403 may be further included.
  • the NEF entity determines, according to the reference information, the PDU session, where the reference information includes at least one of the following: DNN, S-NSSAI, and application identifier.
  • step 403 can take the following implementations.
  • the reference information includes a DNN, and when the reference information includes a DNN in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes the application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes the DNN and the application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI
  • the NEF entity determines to authenticate the PDU session.
  • the reference information includes at least one DNN, where the first parameter includes a DNN corresponding to the PDU session, and when the NEF entity determines that the reference information includes the DNN in the first parameter, the NEF entity determines to authenticate the PDU session. .
  • the reference information includes at least one application identifier, where the first parameter includes an application identifier corresponding to the PDU session, and the NEF entity determines that the reference identifier includes the application identifier in the first parameter, and the NEF entity determines to authenticate the PDU session.
  • the reference information includes at least one S-NSSAI, where the first parameter includes an S-NSSAI corresponding to the PDU session, and when the NEF entity determines that the reference information includes the S-NSSAI in the first parameter, the NEF entity determines the session to the PDU. Certify.
  • the reference information includes multiple identifier combinations, each identifier combination includes a DNN and an application identifier, the first parameter includes a DNN corresponding to the PDU session and an application identifier, and the NEF entity determines a combination of identifiers of a group in the reference information.
  • the NEF entity determines to authenticate the PDU session.
  • the reference information includes multiple identifier combinations, each identifier combination includes a DNN and an S-NSSAI, and the first parameter includes a DNN and an S-NSSAI corresponding to the PDU session, and the NEF entity determines a certain group of the reference information.
  • the NEF entity determines to authenticate the PDU session.
  • the reference information includes a plurality of identifier combinations, each of the identifier combinations includes an application identifier and an S-NSSAI, where the first parameter includes an application identifier corresponding to the PDU session and the S-NSSAI, and the NEF entity determines one of the reference information.
  • the identifier combination of the group includes the application identifier and the S-NSSAI in the first parameter, the NEF entity determines to authenticate the PDU session.
  • the reference information includes multiple identifier combinations, each identifier combination includes a DNN, an application identifier, and an S-NSSAI, and the first parameter includes a DNN corresponding to the PDU session, an application identifier, and an S-NSSAI, and the NEF entity
  • the NEF entity determines to authenticate the PDU session.
  • the foregoing method before the step 401, further includes any one of step 404 or step 405.
  • the NEF entity configures reference information on the NEF entity, and sends the reference information to the SMF entity.
  • the NEF entity obtains the reference information from the UDM entity or the PCF entity, and obtains the reference information.
  • the SMF entity sends the reference information.
  • the NEF entity configures the reference information on the NEF entity and then transmits the reference information to the SMF entity.
  • the UDF entity may have a reference information on the UDM entity or the PCF entity, and the NEF entity may send a request to the UDM entity or the PCF entity to obtain the reference information; after the NEF entity obtains the reference information, the reference information may be sent to the SMF. entity.
  • the NEF entity receives a service registration request sent by the third-party authentication entity, where the service registration request is used to request the NEF entity to complete a service registration process with the third-party authentication entity.
  • the NEF entity When the service registration process is successful, the NEF entity generates the reference information, and sends the reference information to the SMF entity or the PCF entity; or, when the service registration process is successful, the NEF entity The PCF entity sends a first message, where the first message is used by the PCF entity to generate the reference information.
  • the third-party authentication entity may send a service registration request to the NEF entity, where the service registration request is used to request the NEF entity to complete the service registration process with the third-party authentication entity, and then the NEF entity completes the service registration.
  • the NEF entity can obtain some information of the third-party authentication entity according to the service registration request sent by the third-party authentication entity, for example, the NEF entity obtains the DNN, the application identifier, and the like.
  • the NEF entity When the service registration process is successful, the NEF entity generates the reference information, and sends the reference information to the SMF entity or the PCF entity.
  • the NEF entity sends a first message to the PCF entity, where the first message carries at least one of a DNN, an S-NSSAI, and an application identifier; and then, the PCF The entity generates reference information according to the first message, or generates a PCC policy, or generates reference information and a PCC policy.
  • the authentication request and the first parameter are carried in the signaling, where the signaling further includes an identifier of the SMF entity, and the step 402 may include:
  • the NEF entity Sending, by the NEF entity, the authentication request and the identifier of the SMF entity to the third-party authentication entity; or the NEF entity converting the identifier of the SMF entity to an external identifier of the SMF entity;
  • the NEF entity sends the authentication request and the external identifier to the third-party authentication entity.
  • the SMF entity sends signaling to the NEF entity, where the signaling includes an authentication request, a first parameter, and an identifier of the SMF entity.
  • the NEF entity may convert the identifier of the SMF entity into an external identifier of the SMF entity; then the NEF entity puts the external identifier into a message sent to the third-party authentication entity, specifically, the NEF entity may The three-party authentication entity sends signaling, and the signaling includes an authentication request and an external identifier.
  • the identifier of the SMF entity can be hidden by converting the identifier of the SMF entity into an external identifier of the SMF entity.
  • the NEF entity may send one to the third-party authentication entity, including the authentication request and the identifier of the SMF entity in the signaling.
  • step 402 may be implemented by using another implementation manner.
  • the authentication request includes a user identifier
  • the NEF entity determines an identifier of the third-party authentication entity according to the user identifier, and the identifier of the NEF entity to the third-party authentication entity
  • the indicated third party authentication entity sends the authentication request.
  • the SMF entity sends signaling to the NEF entity, the signaling including the authentication request and the first parameter, the user identification being included in the authentication request.
  • the NEF entity determines the identifier of the third-party authentication entity according to the user identifier in the authentication request.
  • the identifier of the third-party authentication entity may be the name of the third-party authentication entity and the ID of the third-party authentication entity. Address information of the third-party authentication entity.
  • the NEF entity can directly send an authentication request to the third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the foregoing method further includes step 405 before step 402.
  • the NEF entity establishes a binding relationship between the SMF entity and the third-party authentication entity.
  • the NEF entity can bind the SMF entity to a third party authentication entity.
  • the NEF entity receives the signaling sent by the SMF entity, where the signaling includes the first parameter and the identifier of the SMF entity, where the first parameter includes the identifier of the third-party authentication entity, and then the NEF entity can establish the SMF. Binding relationship between the identifier of the entity and the identifier of the third-party authentication entity, and then binding the SMF entity to the third-party authentication entity.
  • the terminal device sends signaling to the AMF entity, where the signaling includes a PDU session establishment request, where the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • this step can be referred to step 201 of FIG. 2, and details are not described herein again.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling includes the PDU session establishment request in step 501.
  • this step can be referred to step 201 of FIG. 2, and details are not described herein again.
  • the SMF entity determines, according to the reference information, that the PDU session is authenticated.
  • the reference information includes at least one of the following: a DNN, a session management-network slice selection assistance information (S-NSSAI), an application identifier, and an identifier of at least one terminal device.
  • S-NSSAI session management-network slice selection assistance information
  • this step can refer to step 202 of FIG. 2, and details are not described herein again.
  • the SMF entity sends, by using an AMF entity, a message for acquiring a user identity request to the terminal device.
  • the terminal device sends the user identifier to the SMF entity by using the AMF entity.
  • this step can refer to step 202 of FIG. 2, and details are not described herein again.
  • the SMF entity obtains an identifier of the third-party authentication entity according to the correspondence relationship and the first signaling.
  • step 506 may be replaced by the first signaling further comprising a user identifier, and the SMF entity obtains the identifier of the third-party authentication entity according to the user identifier.
  • the SMF entity obtains the identifier of the third-party authentication entity according to the corresponding relationship and the first signaling, and includes the following implementation manners:
  • the SMF entity obtains an identifier of the third-party authentication entity according to the corresponding relationship and a DNN corresponding to the PDU session, where
  • the correspondence relationship is a correspondence between the DNN and the identifier of the third-party authentication entity.
  • Manner 2 When the first signaling includes the application identifier corresponding to the PDU session, the SMF entity obtains the identifier of the third-party authentication entity according to the corresponding relationship and the application identifier corresponding to the PDU session.
  • the corresponding relationship is a correspondence between an application identifier and an identifier of a third-party authentication entity.
  • the SMF entity obtains the third party according to the corresponding relationship, and the DNN and the application identifier corresponding to the PDU session.
  • An identifier of the authentication entity where the correspondence relationship is a correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • the SMF entity sends an identifier and an authentication request of the third-party authentication entity to the NEF entity.
  • the SMF entity sends a second signaling to the NEF entity, the second signaling including an authentication request and a first parameter, the first parameter including an identifier of the third-party authentication entity.
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the third-party authentication entity generates an authentication message, where the authentication message is used to request the terminal device to provide the authentication parameter.
  • the third-party authentication entity sends the foregoing authentication message to the SMF entity by using the NEF entity.
  • step 509 and step 5010 can be referred to step 205, and details are not described herein again.
  • the SMF entity sends the foregoing authentication message to the terminal device by using the AMF entity.
  • this step can be referred to step 206, and details are not described herein again.
  • the terminal device sends the authentication parameter to the SMF entity by using the AMF entity.
  • this step can be referred to step 207, and details are not described herein.
  • the SMF entity sends the foregoing authentication parameter to the third-party authentication entity by using the NEF entity.
  • this step can be referred to step 207, and details are not described herein.
  • the third-party authentication entity performs authentication on the terminal device according to the authentication parameter, and generates an authentication result, where the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • step 5014 and step 5015 can be referred to step 208, and details are not described herein again.
  • the SMF entity continues to perform the PDU session establishment process when the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • this step can be referred to step 209, and details are not described herein again.
  • the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • Step 5016 and step 5017 may be performed simultaneously or at different times.
  • this step can be referred to step 2010, and details are not described herein again.
  • the SMF entity receives the PDU session establishment request, and the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • the SMF entity authenticates to the third party through the NEF entity.
  • the entity sends an authentication request.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the SMF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • a step may be further performed: the SMF entity configuring the reference information on the SMF entity; or the SMF entity is configured from The reference information is obtained on the UDM entity entity, or on the PCF entity, or on the NEF entity. See the description of step 2014, and no further details are provided.
  • a session processing method is provided in the embodiment of the present application, and the method is specifically as follows.
  • the terminal device sends signaling to the AMF entity, where the signaling includes a PDU session establishment request and an authentication parameter, where the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • this step may refer to step 201 of FIG. 2, which is different from step 201 in that the signaling at 601 includes an authentication parameter.
  • the AMF entity sends a first signaling to the SMF entity, where the first signaling includes the PDU session establishment request and the authentication parameter in step 601.
  • this step may refer to step 201 of FIG. 2, which is different from step 201 in that the first signaling at 602 includes an authentication parameter.
  • the SMF entity determines to authenticate the PDU session according to the reference information.
  • the reference information includes at least one of the following: a DNN, an S-NSSAI, an application identifier, and an identifier of the at least one terminal device.
  • this step can refer to step 202 of FIG. 2, and details are not described herein again.
  • the SMF entity sends, by using an AMF entity, a message for acquiring a user identity request to the terminal device.
  • the terminal device sends the user identifier to the SMF entity by using the AMF entity.
  • this step can refer to step 202 of FIG. 2, and details are not described herein again.
  • the SMF entity obtains an identifier of the third-party authentication entity according to the correspondence relationship and the first signaling.
  • the first signaling further includes a user identifier, and the SMF entity obtains the identifier of the third-party authentication entity according to the user identifier.
  • the SMF entity sends an identifier and an authentication request of the third-party authentication entity to the NEF entity, where the authentication request includes the authentication parameter.
  • the SMF entity sends a second signaling to the NEF entity, the second signaling including an authentication request and a first parameter, the first parameter including an identifier of the third-party authentication entity.
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the method may refer to the method 1 of step 203 of FIG. 2 and the description of mode 2 of step 203.
  • the difference from step 203 is that the authentication request includes the foregoing authentication parameter.
  • the third-party authentication entity authenticates the terminal device according to the authentication parameter, and generates an authentication result, where the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • step 609 and step 6010 can be referred to step 2011, and details are not described herein again.
  • the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, the SMF entity continues to perform the PDU session establishment process between the terminal device and the third-party authentication entity. .
  • this step can be referred to step 2012, and will not be described again.
  • the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • this step can be referred to step 2013, and details are not described herein again.
  • the SMF entity receives the PDU session establishment request, and the PDU session establishment request is used to request to establish a PDU session for the terminal device.
  • the SMF entity authenticates to the third party through the NEF entity.
  • the entity sends an authentication request.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the SMF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • a step may be further performed: the SMF entity configuring the reference information on the SMF entity; or the SMF entity is configured from The reference information is obtained on the UDM entity, or on the PCF entity, or on the NEF entity. See the description of step 2014, and no further details are provided.
  • FIG. 7 another session processing method provided by the embodiment of the present application is specifically as follows.
  • the terminal device determines, according to the reference information, that the PDU session is authenticated.
  • the reference information includes at least one of the following: DNN, S-NSSAI, and application identifier.
  • this step can be referred to step 301, and details are not described herein again.
  • the terminal device sends signaling to an AMF entity, where the signaling includes a PDU session establishment request and a user identifier.
  • the AMF entity sends signaling to the SMF entity, where the signaling includes the foregoing PDU session establishment request and the user identifier.
  • steps 702 and 703 can be referred to step 302 and will not be described again.
  • the SMF entity sends, by using an AMF entity, a message for acquiring a user identity request to the terminal device.
  • the terminal device sends the user identifier to the SMF entity by using the AMF entity.
  • the SMF entity obtains the identifier of the third-party authentication entity according to the correspondence and the signaling in step 703. Alternatively, the SMF entity obtains the identifier of the third-party authentication entity according to the user identifier in 705.
  • the PDU session is a PDU session between the current terminal device and a third party authentication entity.
  • the DNN corresponding to the PDU session is the DNN corresponding to the PDU session;
  • the application identifier corresponding to the PDU session is the application identifier corresponding to the PDU session;
  • the S-NSSAI corresponding to the PDU session is the S-NSSAI corresponding to the PDU session;
  • the SMF entity obtains the identifier of the third-party authentication entity according to the correspondence and the signaling in step 703, and includes the following implementation manners:
  • the SMF entity obtains the identifier of the third-party authentication entity according to the correspondence and the DNN corresponding to the PDU session.
  • the correspondence relationship is a correspondence between the DNN and the identifier of the third-party authentication entity.
  • the SMF entity obtains the identifier of the third-party authentication entity according to the corresponding relationship and the application identifier corresponding to the PDU session.
  • the corresponding relationship is a correspondence between an application identifier and an identifier of a third-party authentication entity.
  • Manner 3 When the signaling in step 703 includes the DNN and the application identifier corresponding to the PDU session, the SMF entity obtains the third party according to the corresponding relationship, and the DNN and the application identifier corresponding to the PDU session.
  • the SMF entity sends an identifier and an authentication request of the third-party authentication entity to the NEF entity.
  • the SMF entity sends signaling to the NEF entity, the signaling including an authentication request and a first parameter, the first parameter including an identification of the third party authentication entity.
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the third-party authentication entity generates an authentication message, where the authentication message is used to request the terminal device to provide the authentication parameter.
  • the third-party authentication entity sends the foregoing authentication message to the SMF entity by using the NEF entity.
  • step 709 and step 7010 can refer to the description of step 205, and details are not described herein again.
  • the SMF entity sends the foregoing authentication message to the terminal device by using an AMF entity.
  • step 206 the description of step 206 can be referred to in this step, and details are not described herein again.
  • the terminal device sends the authentication parameter to the SMF entity by using the AMF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the SMF entity sends the foregoing authentication parameter to the third-party authentication entity by using the NEF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the third-party authentication entity performs authentication on the terminal device according to the authentication parameter, and generates an authentication result, where the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • step 7014 and step 7015 can be referred to the description of step 208, and details are not described herein.
  • the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, and the SMF entity continues to perform a PDU session establishment process between the terminal device and the third-party authentication entity. .
  • step 209 can be referred to in this step, and details are not described herein.
  • step 7015 the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • Step 7016 and step 7017 may be performed simultaneously or at different times.
  • the terminal device determines to authenticate the PDU session according to the reference information; the terminal device sends the first signaling, where the first signaling includes a PDU session establishment request, and the first signaling further includes a user identifier.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the terminal device; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the signaling sent by the terminal device to the AMF entity in step 702 includes a PDU session establishment request and a user identifier.
  • the terminal device sends a PDU session establishment request and a user identifier to the AMF entity, and the PDU session establishment request and the user identifier are simultaneously carried in the signaling; or, the terminal device sends signaling to the AMF entity, where the signaling includes the PDU session.
  • a request is established, and the PDU session establishment request includes a user identification.
  • the AMF entity sends signaling to the SMF entity, where the signaling includes the PDU session establishment request and the user identifier.
  • the terminal device determines to authenticate the PDU session according to the reference information.
  • the reference information includes at least one of the following: DNN, S-NSSAI, and application identifier.
  • this step can be referred to step 301, and details are not described herein again.
  • the terminal device sends signaling to an AMF entity, where the signaling includes a PDU session establishment request and an authentication parameter.
  • the AMF entity sends signaling to the SMF entity, where the signaling includes the foregoing PDU session establishment request, user identifier, and authentication parameter.
  • steps 802 and 803 can be referred to step 302 and will not be described again.
  • the SMF entity sends, by using an AMF entity, a message for acquiring a user identity request to the terminal device.
  • the terminal device sends the user identifier to the SMF entity by using the AMF entity.
  • step 806 The SMF entity obtains the identifier of the third-party authentication entity according to the correspondence relationship and the signaling in step 803.
  • step 806 may be replaced by: the SMF entity obtains the identity of the third party authentication entity according to the user identity in 805.
  • the PDU session is a PDU session between the current terminal device and a third party authentication entity.
  • the DNN corresponding to the PDU session is the DNN corresponding to the PDU session;
  • the application identifier corresponding to the PDU session is the application identifier corresponding to the PDU session;
  • the S-NSSAI corresponding to the PDU session is the S-NSSAI corresponding to the PDU session;
  • the SMF entity sends an identifier and an authentication request of the third-party authentication entity to the NEF entity, where the authentication request includes the foregoing authentication parameter.
  • the SMF entity sends signaling to the NEF entity, where the signaling includes an authentication request and a first parameter, where the first parameter includes an identifier of the third-party authentication entity, and the authentication request includes the foregoing authentication parameter.
  • the NEF entity sends the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the authentication request in step 808 includes the above authentication parameters.
  • the third-party authentication entity performs authentication on the terminal device according to the authentication parameter, and generates an authentication result, where the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • the third-party authentication entity sends the generated authentication result to the NEF entity, and the NEF entity sends the authentication result to the SMF entity.
  • the third-party authentication entity sends an authentication feedback message to the NEF entity, where the authentication result is carried in the authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • the NEF entity sends the authentication feedback message to the NEF entity.
  • the SMF entity After the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, the SMF entity continues to perform the PDU session establishment process between the terminal device and the third-party authentication entity. .
  • step 209 can be referred to in this step, and details are not described herein.
  • the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • Step 8011 and step 8012 may be performed simultaneously or at different times.
  • the terminal device determines to authenticate the PDU session according to the reference information; the terminal device sends the first signaling, where the first signaling includes a PDU session establishment request, and the first signaling further includes a user identifier.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the terminal device; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the steps 804 and 805 may not be performed.
  • the signaling sent by the terminal device to the AMF entity in step 802 includes a PDU session establishment request and a user identifier.
  • the terminal device sends a PDU session establishment request and a user identifier to the AMF entity, and the PDU session establishment request and the user identifier are simultaneously carried in the signaling; or, the terminal device sends signaling to the AMF entity, where the signaling includes the PDU session.
  • a request is established, and the PDU session establishment request includes a user identification.
  • the AMF entity sends signaling to the SMF entity, the signaling including the PDU session establishment request and the user identifier.
  • the terminal device sends signaling to the AMF entity, where the signaling includes a PDU session establishment request.
  • the AMF entity sends signaling to the SMF entity, where the signaling includes the foregoing PDU session establishment request.
  • the SMF entity sends an authentication request and a first parameter to the NEF entity.
  • step 901 to step 903 can refer to step 401, and details are not described herein again.
  • the NEF entity obtains an identifier of the third-party authentication entity according to the first parameter.
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • step 904 can be implemented as follows:
  • the first parameter includes the DNN
  • the NEF entity obtains the identifier of the third-party authentication entity according to the first correspondence and the first parameter, where the first correspondence is DNN. Correspondence with the identity of the third-party authentication entity;
  • the first parameter includes the application identifier
  • the NEF entity obtains the identifier of the third-party authentication entity according to the second correspondence and the first parameter, where the second correspondence is Correspondence between the application identifier and the identifier of the third-party authentication entity;
  • the first parameter includes the DNN and the application identifier
  • the NEF entity obtains the identifier of the third-party authentication entity according to the third correspondence and the first parameter, where the The three correspondences are the correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • this step can be referred to step 4021, and details are not described herein again.
  • the NEF entity sends the foregoing authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • this step can be referred to step 4022, and details are not described herein again.
  • the third-party authentication entity generates an authentication message, where the authentication message is used to request the terminal device to provide the authentication parameter.
  • the third-party authentication entity sends the foregoing authentication message to the SMF entity by using the NEF entity.
  • step 906 and step 907 can refer to the description of step 205, and details are not described herein again.
  • the SMF entity sends the foregoing authentication message to the terminal device by using the AMF entity.
  • step 206 the description of step 206 can be referred to in this step, and details are not described herein again.
  • the terminal device sends the authentication parameter to the SMF entity by using the AMF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the SMF entity sends the foregoing authentication parameter to the third-party authentication entity by using the NEF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the third-party authentication entity authenticates the terminal device according to the authentication parameter, and generates an authentication result.
  • the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • step 9011 and step 9012 can be referred to the description of step 208, and details are not described herein again.
  • the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, and the SMF entity continues to perform a PDU session establishment process between the terminal device and the third-party authentication entity. .
  • step 209 can be referred to in this step, and details are not described herein.
  • step 9012 the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • Step 9013 and step 9014 may be performed simultaneously or at different times.
  • the NEF entity receives the authentication request and the first parameter from the SMF entity, and then the NEF entity sends the authentication request to the third-party authentication entity according to the first parameter.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the NEF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the foregoing authentication request when the authentication parameter is included in the signaling in 901, the foregoing authentication request includes the foregoing authentication parameter.
  • Steps 906-9012 are not implemented and may be implemented using steps 9015 and 9016.
  • Step 9014 is performed after step 9016.
  • the third-party authentication entity authenticates the terminal device according to the authentication parameter, and generates an authentication result.
  • the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • step 903 the authentication request and the first parameter are carried in the first signaling, where the first The method further includes the identifier of the SMF entity.
  • the step 905 may be implemented as follows: the NEF entity sends the authentication request and the identifier of the SMF entity to the third-party authentication entity. Or the NEF entity converts the identifier of the SMF entity into an external identifier of the SMF entity, and sends the authentication request and the external identifier to the third-party authentication entity.
  • the steps 9017 and 9018 may be further included.
  • the NEF entity receives a service registration request sent by the third-party authentication entity, where the service registration request is used to request the NEF entity to complete a service registration process with the third-party authentication entity; When the service registration process is successful, the NEF entity generates reference information, and sends reference information to the SMF entity or the policy control function PCF entity; or, when the service registration process is successful, the NEF entity The PCF entity sends a first message, where the first message is used by the PCF entity to generate reference information and/or a dynamic policy control and charging PCC policy.
  • the method may further include the step 9019, the NEF entity establishing a binding relationship between the SMF entity and the third-party authentication entity.
  • another method for processing a session provided by the embodiment of the present application is specifically as follows.
  • the terminal device sends signaling to the AMF entity, where the signaling includes a PDU session establishment request.
  • the AMF entity sends signaling to the SMF entity, where the signaling includes the foregoing PDU session establishment request.
  • the SMF entity sends an authentication request and a first parameter to the NEF entity.
  • step 1001 to step 1003 may refer to step 401, and details are not described herein again.
  • the NEF entity determines to authenticate the PDU session according to the reference information, where the reference information includes at least one of the following: DNN, S-NSSAI, and application identifier.
  • step 1004 can take the following implementations.
  • the reference information includes a DNN, and when the reference information includes a DNN in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes the application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes the DNN and the application identifier in the first parameter, the NEF entity determines to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI.
  • the NEF entity determines to authenticate the PDU session.
  • the NEF entity obtains an identifier of the third-party authentication entity according to the first parameter.
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • step 1005 can be implemented as follows:
  • the first parameter includes the DNN, and the NEF entity obtains the identifier of the third-party authentication entity according to the first correspondence and the first parameter, where the first correspondence is DNN. Correspondence with the identity of the third-party authentication entity;
  • the first parameter includes the application identifier
  • the NEF entity obtains the identifier of the third-party authentication entity according to the second correspondence and the first parameter, where the second correspondence is Correspondence between the application identifier and the identifier of the third-party authentication entity;
  • the first parameter includes the DNN and the application identifier
  • the NEF entity obtains the identifier of the third-party authentication entity according to the third correspondence and the first parameter, where the The three correspondences are the correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • this step can be referred to step 4021, and details are not described herein again.
  • the NEF entity sends the foregoing authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • this step can be referred to step 4022, and details are not described herein again.
  • the third-party authentication entity generates an authentication message, where the authentication message is used to request the terminal device to provide the authentication parameter.
  • the third-party authentication entity sends the foregoing authentication message to the SMF entity by using the NEF entity.
  • steps 1007 and 1008 can be referred to the description of step 205, and details are not described herein again.
  • the SMF entity sends the foregoing authentication message to the terminal device by using an AMF entity.
  • step 206 the description of step 206 can be referred to in this step, and details are not described herein again.
  • the terminal device sends the authentication parameter to the SMF entity by using the AMF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the SMF entity sends the foregoing authentication parameter to the third-party authentication entity by using the NEF entity.
  • step 207 can be referred to in this step, and details are not described herein again.
  • the third-party authentication entity performs authentication on the terminal device according to the authentication parameter, and generates an authentication result, where the authentication result indicates whether the authentication between the terminal device and the third-party authentication entity is successful.
  • the third-party authentication entity sends the authentication result to the SMF entity through the NEF entity.
  • the authentication result is carried in an authentication feedback message, where the authentication feedback message further includes a key generation parameter.
  • steps 10012 and 10013 can be referred to the description of step 208, and details are not described herein.
  • the SMF entity determines that the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful, and the SMF entity continues to perform a PDU session establishment process between the terminal device and the third-party authentication entity. .
  • step 209 can be referred to in this step, and details are not described herein.
  • the method further includes:
  • the SMF entity sends the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • Step 10014 and step 10015 may be performed simultaneously or at different times.
  • the NEF entity receives the authentication request and the first parameter from the SMF entity, and then the NEF entity sends the authentication request to the third-party authentication entity according to the first parameter.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the NEF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the data network (DN) are mutually authenticated. Only when the authentication is passed, the PDU session is established.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the embodiment of the present application provides a session processing apparatus, which may be an SMF node, and may be used to perform an action or a step of an SMF entity in the embodiment shown in FIG.
  • the session processing apparatus may include a first receiving unit 111, a determining unit 112, and a first transmitting unit 113.
  • the first receiving unit 111 is configured to receive a PDU session establishment request, where the PDU session establishment request is used to request to establish a PDU session for the terminal device;
  • the determining unit 112 is configured to determine, according to the reference information, that the PDU session is authenticated;
  • the first sending unit 113 is configured to send an authentication request to the third-party authentication entity by using the NEF entity.
  • the reference information includes at least one of the following: a data network name DNN, a session management-network slice selection auxiliary information S-NSSAI, and an application identifier.
  • the PDU session establishment request is carried in the first signaling; the determining unit 112 is specifically configured to:
  • the reference information includes a DNN
  • the first signaling further includes a DNN corresponding to the PDU session, and when the reference information includes a DNN corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes an application identifier, where the first signaling further includes an application identifier corresponding to the PDU session, and when the reference information includes an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, where the first signaling further includes a DNN and an application identifier corresponding to the PDU session, and when the reference information includes a DNN and an application identifier corresponding to the PDU session, determining a location Describe the PDU session for authentication;
  • the reference information includes a DNN and an S-NSSAI
  • the first signaling further includes a DNN and an S-NSSAI corresponding to the PDU session, when the reference information includes a DNN and an S-NSSAI corresponding to the PDU session, Determining to authenticate the PDU session.
  • the first sending unit 113 includes:
  • the obtaining sub-unit 1131 is configured to obtain an identifier of the third-party authentication entity according to the correspondence relationship and the first signaling;
  • the sending sub-unit 1132 is configured to send, by using the NEF entity, the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the obtaining subunit 1131 is specifically configured to:
  • the identifier of the third-party authentication entity is obtained according to the correspondence relationship and the DNN corresponding to the PDU session, where the correspondence relationship is a DNN and a third party. Correspondence between the identifiers of the authenticating entities;
  • the identifier of the third-party authentication entity is obtained according to the corresponding relationship and the application identifier corresponding to the PDU session, where the corresponding relationship is an application identifier. Correspondence with the identity of the third-party authentication entity;
  • the identifier of the third-party authentication entity is obtained according to the correspondence, and the DNN and the application identifier corresponding to the PDU session, where
  • the correspondence relationship is the correspondence between the DNN, the application identifier, and the identifier of the third-party authentication entity.
  • the PDU session establishment request is carried in the first signaling
  • the first sending unit 113 is specifically configured to:
  • the first signaling further includes a user identifier, and the identifier of the third-party authentication entity is obtained according to the user identifier;
  • the authentication request is sent by the NEF entity to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the device further includes:
  • the second receiving unit 114 is configured to: after the first sending unit 113 sends an authentication request to the third-party authentication entity by using the NEF entity, receive an authentication message sent by the third-party authentication entity by using the NEF entity, where The authentication message is used to request the terminal device to send an authentication parameter.
  • the second sending unit 115 is configured to send the authentication message to the terminal device.
  • the third receiving unit 116 is configured to receive the authentication parameter, and send the authentication parameter to the third-party authentication entity by using the NEF entity;
  • the fourth receiving unit 117 is configured to receive an authentication result sent by the third-party authentication entity by using the NEF entity.
  • the first confirming unit 118 is configured to continue to perform the PDU session establishment process when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • the PDU session establishment request is carried in the first signaling, where the first signaling further includes an authentication parameter, and the device further includes:
  • the fifth receiving unit 119 after the first sending unit sends an authentication request to the third-party authentication entity by using the NEF entity, receiving an authentication result sent by the third-party authentication entity by using the NEF entity;
  • the second confirming unit 1110 is configured to continue to perform the PDU session establishment process when the authentication result indicates that the authentication between the terminal device and the third-party authentication entity is successful.
  • the authentication result is carried in the authentication feedback message, where the authentication feedback message further includes a key generation parameter, and the device further includes:
  • the third sending unit 1111 is configured to send the key generation parameter to the terminal device, where the key generation parameter is used for application layer security establishment between the terminal device and the third-party authentication entity.
  • the authentication parameter includes at least one of the following: a certificate of the terminal device, a username or password of the terminal device, an authentication parameter, and a security key parameter;
  • the authentication parameter is used by the third-party authentication entity to verify the identity of the terminal device; the security key parameter is used to generate a shared key between the terminal device and the third-party authentication entity.
  • the authentication request is carried in the second signaling, where the second signaling further includes a first parameter
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity.
  • the device further includes: a configuration unit 1112 or an acquisition unit 1113.
  • the configuration unit 1112 is configured to configure the reference information before the determining unit 112 determines to authenticate the PDU session according to the reference information.
  • the obtaining unit 1113 is configured to obtain, from the unified data management function UDM entity, or the policy control function PCF entity, or the NEF entity, before the determining unit 112 determines to authenticate the PDU session according to the reference information.
  • the reference information is configured to obtain, from the unified data management function UDM entity, or the policy control function PCF entity, or the NEF entity, before the determining unit 112 determines to authenticate the PDU session according to the reference information.
  • the reference information is configured to obtain, from the unified data management function UDM entity, or the policy control function PCF entity, or the NEF entity.
  • the SMF entity provided in this embodiment receives a PDU session establishment request through a SMF entity, and the PDU session establishment request is used to request to establish a PDU session for the terminal device; after the SMF entity determines to authenticate the PDU session according to the reference information, the NEF entity passes the NEF entity to the third party.
  • the authentication entity sends an authentication request.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the SMF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the embodiment of the present application provides another session processing apparatus, which may be a terminal device, and may be used to perform an action or a step of an SMF entity in the embodiment shown in FIG.
  • the actions or steps of the terminal device in the embodiment shown in FIG. 7-8 are performed.
  • the session processing apparatus may include: a determining unit 121 and a transmitting unit 122.
  • a determining unit 121 configured to determine, according to the reference information, the PDU session to be authenticated
  • the sending unit 122 is configured to send a signaling message, where the signaling message includes a PDU session establishment request and a user identifier, where the PDU session establishment request is used to request to establish the PDU session for the terminal device.
  • the reference information includes at least one of the following: DNN, S-NSSAI, application identifier.
  • the determining unit 121 is specifically configured to:
  • the reference information includes a DNN, and when the reference information includes a DNN corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes a DNN and an application identifier corresponding to the PDU session, determining to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes the DNN and the S-NSSAI corresponding to the PDU session, determining to authenticate the PDU session.
  • the first signaling further includes at least one of the following: an application identifier corresponding to the PDU session, and an authentication parameter.
  • the device further includes:
  • the receiving unit 123 is configured to receive, after the sending unit 122 sends the first signaling, a key generation parameter sent by the session management function SMF entity, where the key generation parameter is used for application layer security of the terminal device set up.
  • the terminal device provided by the embodiment determines that the PDU session is authenticated by the terminal device according to the reference information.
  • the terminal device sends the first signaling, where the first signaling includes a PDU session establishment request, and the first signaling further includes a user identifier.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the terminal device; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the embodiment of the present application provides another session processing apparatus, which may be an NEF entity, and may be used to perform an action or a step of an NEF entity in the embodiment shown in FIG.
  • the actions or steps of the NEF entity in the embodiment shown in Figures 9-10 are performed.
  • the session processing apparatus may include: a first receiving unit 131 and a first transmitting unit 132.
  • the first receiving unit 131 is configured to receive, from the SMF entity, an authentication request and a first parameter, where the authentication request is used to request to authenticate the PDU session;
  • the first sending unit 132 is configured to send the authentication request to the third-party authentication entity according to the first parameter.
  • the first parameter includes at least one of the following: a DNN corresponding to the PDU session, an S-NSSAI corresponding to the PDU session, an application identifier corresponding to the PDU session, and an identifier of the third-party authentication entity. .
  • the first sending unit 132 includes:
  • the obtaining sub-unit 1321 is configured to obtain an identifier of the third-party authentication entity according to the first parameter
  • the sending sub-unit 1322 is configured to send the authentication request to a third-party authentication entity indicated by the identifier of the third-party authentication entity.
  • the obtaining subunit 1321 is specifically configured to:
  • the first parameter includes a DNN corresponding to the PDU session, and the identifier of the third-party authentication entity is obtained according to the first correspondence and the first parameter, where the first correspondence is a DNN and a third-party authentication entity. Correspondence between the identifiers;
  • the first parameter includes an application identifier corresponding to the PDU session, and the identifier of the third-party authentication entity is obtained according to the second correspondence and the first parameter, where the second correspondence is an application identifier and a third-party authentication. Correspondence between the identifiers of the entities;
  • the first parameter includes a DNN corresponding to the PDU session and the application identifier, and the identifier of the third-party authentication entity is obtained according to the third correspondence and the first parameter, where the third correspondence is DNN.
  • the device further includes:
  • the determining unit 133 is configured to: before the first sending unit 132 sends the authentication request to the third-party authentication entity according to the first parameter, determine, according to the reference information, to authenticate the PDU session, where the reference is performed.
  • the information includes at least one of the following: DNN, S-NSSAI, application identification.
  • the determining unit 133 is specifically configured to:
  • the reference information includes a DNN, and when the reference information includes a DNN in the first parameter, determining to authenticate the PDU session;
  • the reference information includes an application identifier, and when the reference information includes the application identifier in the first parameter, determining to authenticate the PDU session;
  • the reference information includes a DNN and an application identifier, and when the reference information includes the DNN and the application identifier in the first parameter, determining to authenticate the PDU session;
  • the reference information includes a DNN and an S-NSSAI, and when the reference information includes the DNN and the S-NSSAI in the first parameter, determining to authenticate the PDU session.
  • the authentication request and the first parameter are carried in the first signaling, where the first signaling further includes an identifier of the SMF entity;
  • the first sending unit 132 is specifically configured to:
  • the device further includes:
  • the second receiving unit 134 is configured to receive, before the first receiving unit 132 receives the authentication request and the first parameter from the SMF entity, a service registration request sent by the third-party authentication entity, where the service registration request is used for Requesting the NEF entity to complete a service registration process with the third-party authentication entity;
  • the second sending unit 134 is configured to: when the service registration process is successful, generate reference information, and send reference information to the SMF entity or the policy control function PCF entity; or, when the service registration process is successful, The PCF entity sends a first message, where the first message is used by the PCF entity to generate reference information and/or a dynamic policy control and charging PCC policy.
  • the device further includes:
  • the establishing unit 135 is configured to establish a binding between the SMF entity and the third-party authentication entity before the first sending unit 132 sends the authentication request to the third-party authentication entity according to the first parameter. Relationship.
  • the NEF entity provided by the embodiment receives the authentication request and the first parameter from the SMF entity by using the NEF entity, and then the NEF entity sends the authentication request to the third-party authentication entity according to the first parameter.
  • a method for authenticating a PDU session based on a control plane is provided, and the third-party authentication entity can be authenticated on the NEF entity; and the SMF entity sends an authentication request to the third-party authentication entity through the NEF entity connected to the SMF entity, so that The third-party authentication entity can authenticate the terminal device.
  • the terminal device and the third-party authentication entity of the DN network are mutually authenticated.
  • the PDU session is established only when the authentication is passed.
  • the DN network can accept the access of the legitimate user and deny the access of the illegal user, thereby improving the security of the DN network; at the same time, the third-party authentication entity can notify the 5G network of the authentication result.
  • the 5G network can refuse to establish a PDU session for an illegal user, thereby saving network resources.
  • the embodiment of the present application provides an SMF entity, which can be used to perform the SMF entity action or step in the embodiment shown in FIG. 2, and can also be used to execute the SMF node in the embodiment shown in FIG. 5-6.
  • the action or step specifically includes: a processor 1401, a memory 1402, and a communication interface 1403.
  • a memory 1402 configured to store a program
  • the processor 1401 is configured to execute the program stored in the memory 1402 to implement the action of the SMF entity in the embodiment shown in FIG. 2 or the action of the SMF entity in the embodiment shown in FIG. 5-6, and details are not described herein.
  • the embodiment of the present application provides a terminal device, which can be used to perform the action or the step of the terminal device in the embodiment shown in FIG. 3, and can also be used to execute the SMF node in the embodiment shown in FIG. 7-8.
  • the action or step specifically includes: a processor 1501, a memory 1502, and a communication interface 1503.
  • a memory 1502 configured to store a program
  • the processor 1501 is configured to execute the program stored in the memory 1502 to implement the action of the terminal device in the embodiment shown in FIG. 3 or the action of the terminal device in the embodiment shown in FIG. 7-8, and details are not described herein.
  • Communication interface 1503 may specifically be a transceiver.
  • the embodiment of the present application provides an NEF entity, which can be used to perform an NEF entity action or step in the embodiment shown in FIG. 4, and can also be used to execute the NEF node in the embodiment shown in FIG. 9-10.
  • the action or step specifically includes: a processor 1601, a memory 1602, and a communication interface 1603.
  • the processor 1601 is configured to execute the program stored in the memory 1602 to implement the action of the NEF entity in the embodiment shown in FIG. 4 or the action of the NEF entity in the embodiment shown in FIG. 9-10, and details are not described herein.
  • the computer program product includes one or more computer instructions.
  • the computer can be a general purpose computer, a special purpose computer, a computer network, or other programmable device.
  • the computer instructions can be stored in a computer readable storage medium or transferred from one computer readable storage medium to another computer readable storage medium, for example, the computer instructions can be from a website site, computer, server or data center Transfer to another website site, computer, server, or data center by wire (eg, coaxial cable, fiber optic, digital subscriber line (DSL), or wireless (eg, infrared, wireless, microwave, etc.).
  • the computer readable storage medium can be any available media that can be accessed by a computer or a data storage device such as a server, data center, or the like that includes one or more available media.
  • the usable medium may be a magnetic medium (eg, a floppy disk, a hard disk, a magnetic tape), an optical medium (eg, a DVD), or a semiconductor medium (such as a solid state disk (SSD)).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • Multimedia (AREA)
  • General Business, Economics & Management (AREA)
  • Business, Economics & Management (AREA)
  • Telephonic Communication Services (AREA)
  • Computer And Data Communications (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请提供一种会话处理方法和设备，其中，该方法包括：SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息，确定对PDU会话进行认证；SMF实体通过网络开放功能NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。

Description

会话处理方法和设备
本申请要求于2017年06月20日提交中国专利局、申请号为201710471926.2、申请名称为“会话处理方法和设备”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
技术领域
本申请涉及涉及通信技术，尤其涉及一种会话处理方法和设备。
背景技术
随着通信技术的不断发展，第五代移动通信技术(5th-generation，5G)已经开始研究及标准化工作。在5G网络中，数据网络(data network，DN)可以包含多种不同的应用，当终端设备需要接入DN网络时，终端设备会发起该DN的协议数据单元会话建立(protocol data unit session establishment)流程，以建立终端设备到DN网络的数据传输通道。
然而，在安全风险和信息隐私面临越来越多的问题时，网络信息安全显得尤为重要。现有技术的PDU会话建立流程的过程中，终端设备与DN网络的第三方认证实体之间不会进行认证，从而会造成非法用户接入DN网络的问题，对DN网络的安全性造成影响。
发明内容
本申请实施例提供一种会话处理方法和设备，能够提高DN网络的安全性，节省网络资源。
第一方面，提供了一种会话处理方法，包括：会话管理功能SMF实体接收协议数据单元PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话；所述SMF实体根据参考信息，确定对所述PDU会话进行认证；所述SMF实体通过网络开放功能NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第一方面，在第一方面的第一种实施方式中，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
结合第一方面或第一方面的第一种实现方式，在第一方面的第二种实施方式中，所述PDU会话建立请求携带在第一信令中；
所述SMF实体根据参考信息，确定对所述PDU会话进行认证，包括：
所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述SMF实体确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述SMF实体确定对所述PDU 会话进行认证；
或者，
所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述SMF实体确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体确定对所述PDU会话进行认证。
结合第一方面或第一方面的第二种实现方式，在第一方面的第三种实施方式中，所述SMF实体通过NEF实体向第三方认证实体发送认证请求，包括：
所述SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识；
所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第一方面或第一方面的第三种实现方式，在第一方面的第四种实施方式中，所述SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识，包括：
当所述第一信令包括所述PDU会话对应的DNN时，所述SMF实体根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的应用标识时，所述SMF实体根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的DNN和应用标识时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和S-NSSAI，获得所述第三方认证实体的标识，所述对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
结合第一方面或第一方面的第一种实现方式或第二种实现方式，在第一方面的第五种实施方式中，所述PDU会话建立请求携带在第一信令中；
所述SMF实体通过NEF实体向第三方认证实体发送认证请求，包括：
所述第一信令还包括用户标识，所述SMF实体根据所述用户标识，获得所述第三方认证实体的标识；
所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第一方面或第一方面的任一种实现方式，在第一方面的第六种实施方式中，在所 述SMF实体通过NEF实体向第三方认证实体发送认证请求之后，还包括：
所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数；
所述SMF实体向所述终端设备发送所述认证消息；
所述SMF实体接收所述认证参数，并将所述认证参数通过所述NEF实体发送给所述第三方认证实体；
所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果；
当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
结合第一方面或第一方面的任一种实现方式，在第一方面的第七种实施方式中，所述PDU会话建立请求携带在第一信令中，所述第一信令还包括认证参数；
在所述SMF实体通过NEF实体向第三方认证实体发送认证请求之后，还包括：
所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果；
当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
结合第一方面或第一方面的第六种实现方式或第七中实现方式，在第一方面的第八种实施方式中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数；
所述方法还包括：
所述SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
结合第一方面或第一方面的第六种实现方式或第七种实现方式或第八种实现方式，在第一方面的第九种实施方式中，所述认证参数包括以下的至少一种：
所述终端设备的证书、所述终端设备的用户名或密码、身份验证参数、安全密钥参数；
其中，所述身份验证参数用于所述第三方认证实体验证所述终端设备的身份；所述安全密钥参数用于生成所述终端设备与所述第三方认证实体之间的共享密钥。
结合第一方面或第一方面的任一种实现方式，在第一方面的第十种实施方式中，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
结合第一方面或第一方面的任一种实现方式，在第一方面的第十一种实施方式中，在所述SMF实体根据参考信息，确定对所述PDU会话进行认证之前，还包括：
所述SMF实体在所述SMF实体上配置所述参考信息；
或者，
所述SMF实体从统一数据管理功能UDM实体上、或策略控制功能PCF实体上、或所述NEF实体上获取所述参考信息。
第二方面，提供了一种会话处理方法，包括：终端设备根据参考信息，确定对协议数据单元PDU会话进行认证；所述终端设备发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为所述终端设备建立所述PDU会话。 提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第二方面，在第二方面的第一种实施方式中，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
结合第二方面或第二方面的第一种实现方式，在第二方面的第二种实施方式中，所述终端设备根据参考信息，确定对PDU会话进行认证，包括：
所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述终端设备确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述终端设备确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述终端设备确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述终端设备确定对所述PDU会话进行认证。
结合第二方面或第二方面的任一种实现方式，在第二方面的第三种实施方式中，所述PDU会话对应的应用标识，认证参数。
结合第二方面或第二方面的任一种实现方式，在第二方面的第四种实施方式中，在所述终端设备发送第一信令之后，还包括：
所述终端设备接收会话管理功能SMF实体发送的密钥生成参数，其中，所述密钥生成参数用于所述终端设备的应用层安全建立。
第三方面，提供了一种会话处理方法，包括：选择网络开放功能NEF实体从会话管理功能SMF实体接收认证请求和第一参数，所述认证请求用于请求对协议数据单元PDU会话进行认证；所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第三方面，在第三方面的第一种实施方式中，所述第一参数包括以下的至少一种：所述PDU会话对应的数据网络名DNN、所述PDU会话对应的会话管理-网络切片选择辅助信息S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
结合第三方面或第三方面的第一种实现方式，在第三方面的第二种实施方式中，所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体，包括：
所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识；
所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第三方面或第三方面的第二种实现方式，在第三方面的第三种实施方式中，所述 NEF实体根据所述第一参数，获得所述第三方认证实体的标识，包括：
所述第一参数包括所述PDU会话对应的DNN，所述NEF实体根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的应用标识，所述NEF实体根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的DNN和所述应用标识，所述NEF实体根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
或者，
当所述第一参数包括所述PDU会话对应的DNN和S-NSSAI时，所述NEF实体根据第五对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第五对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
结合第三方面或第三方面的第一种实现方式或第三方面的第二种实现方式或第三方面的第三种实现方式，在第三方面的第四种实施方式中，在所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体之前，还包括：
所述NEF实体根据参考信息，确定对所述PDU会话进行认证，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
结合第三方面或第三方面的第四种实现方式，在第三方面的第五种实施方式中，所述NEF实体根据参考信息，确定对PDU会话进行认证，包括：
所述参考信息包括DNN，当所述参考信息包括所述第一参数中的DNN时，所述NEF实体确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述第一参数中所述应用标识时，所述NEF实体确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述第一参数中DNN和应用标识时，所述NEF实体确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述第一参数中DNN和S-NSSAI时，所述NEF实体确定对所述PDU会话进行认证。
结合第三方面或第三方面的任一种实现方式，在第三方面的第六种实施方式中，所述认证请求和所述第一参数携带在第一信令中，所述第一信令还包括所述SMF实体的标识；
所述NEF实体将所述认证请求发送给第三方认证实体，包括：
所述NEF实体将所述认证请求和所述SMF实体的标识发送给所述第三方认证实体；
或者，
所述NEF实体将所述SMF实体的标识转换为所述SMF实体的外部标识，并将所述认证请求和所述外部标识发送给所述第三方认证实体。
结合第三方面或第三方面的任一种实现方式，在第三方面的第七种实施方式中，在所述NEF实体从SMF实体接收认证请求和第一参数之前，还包括：
所述NEF实体接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；
当所述业务注册流程成功时，所述NEF实体生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，所述NEF实体向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
结合第三方面或第三方面的任一种实现方式，在第三方面的第八种实施方式中，在所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体之前，还包括：
所述NEF实体建立所述SMF实体与所述第三方认证实体之间的绑定关系。
第四方面，提供了一种会话处理装置，包括：第一接收单元，用于接收协议数据单元PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话；确定单元，用于根据参考信息，确定对所述PDU会话进行认证；第一发送单元，用于通过网络开放功能NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第四方面，在第四方面的第一种实施方式中，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
结合第四方面或第四方面的第一种实现方式，在第四方面的第二种实施方式中，所述PDU会话建立请求携带在第一信令中；
所述确定单元，具体用于：
所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
结合第四方面或第四方面的第二种实现方式，在第四方面的第三种实施方式中，所述第一发送单元，包括：
获取子单元，用于根据对应关系以及所述第一信令，获得所述第三方认证实体的标识；
发送子单元，用于通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第四方面或第四方面的第三种实现方式，在第四方面的第四种实施方式中，所述获取子单元，具体用于：
当所述第一信令包括所述PDU会话对应的DNN时，根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的应用标识时，根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的DNN和应用标识时，根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和S-NSSAI，获得所述第三方认证实体的标识，所述对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
结合第四方面或第四方面的以上任一种实现方式，在第四方面的第五种实施方式中，所述PDU会话建立请求携带在第一信令中；
所述第一发送单元，具体用于：
所述第一信令还包括用户标识，根据所述用户标识，获得所述第三方认证实体的标识；
通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第四方面或第四方面的以上任一种实现方式，在第四方面的第六种实施方式中，所述装置，还包括：
第二接收单元，用于在所述第一发送单元通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数；
第二发送单元，用于向所述终端设备发送所述认证消息；
第三接收单元，用于接收所述认证参数，并将所述认证参数通过所述NEF实体发送给所述第三方认证实体；
第四接收单元，用于接收所述第三方认证实体通过所述NEF实体发送的认证结果；
第一确认单元，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
结合第四方面或第四方面的以上任一种实现方式，在第四方面的第七种实施方式中，所述PDU会话建立请求携带在第一信令中，所述第一信令还包括认证参数；
所述装置，还包括：
第五接收单元，在所述第一发送单元通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证结果；
第二确认单元，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
结合第四方面或第四方面的第六种实现方式或第四方面的第七种实现方式，在第四方面的第八种实施方式中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数；
所述装置还包括：
第三发送单元，用于向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
结合第四方面或第四方面的第六种实现方式或第四方面的第七种实现方式或第四方面的第八种实现方式，在第四方面的第九种实施方式中，所述认证参数包括以下的至少一种：
所述终端设备的证书、所述终端设备的用户名或密码、身份验证参数、安全密钥参数；
其中，所述身份验证参数用于所述第三方认证实体验证所述终端设备的身份；所述安全密钥参数用于生成所述终端设备与所述第三方认证实体之间的共享密钥。
结合第四方面或第四方面的任一种实现方式，在第四方面的第十种实施方式中，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
结合第四方面或第四方面的任一种实现方式，在第四方面的第十一种实施方式中，所述装置，还包括：
配置单元，用于在所述确定单元根据参考信息，确定对所述PDU会话进行认证之前，配置所述参考信息；
或者，所述装置，还包括：
获取单元，用于在所述确定单元根据参考信息，确定对所述PDU会话进行认证之前，从统一数据管理功能UDM实体上、或策略控制功能PCF实体上、或所述NEF实体上获取所述参考信息。
第五方面，提供了一种会话处理装置，包括：确定单元，用于根据参考信息，确定对协议数据单元PDU会话进行认证；发送单元，用于发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为终端设备建立所述PDU会话。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第五方面，在第五方面的第一种实施方式中，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
结合第五方面或第五方面的第一种实现方式，在第五方面的第二种实施方式中，所述确定单元，具体用于：
所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
结合第五方面或第五方面的以上任一种实现方式，在第五方面的第三种实施方式中，所述第一信令还包括以下的至少一种：所述PDU会话对应的应用标识，认证参数。
结合第五方面或第五方面的以上任一种实现方式，在第五方面的第四种实施方式中，所述装置，还包括：
接收单元，用于在所述发送单元发送第一信令之后，接收会话管理功能SMF实体发送的密钥生成参数，其中，所述密钥生成参数用于所述终端设备的应用层安全建立。
第六方面，提供了一种会话处理装置，包括：第一接收单元，用于从会话管理功能SMF实体接收认证请求和第一参数，所述认证请求用于请求对协议数据单元PDU会话进行认证；第一发送单元，用于根据所述第一参数，将所述认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以要求终端设备与DN网络的第三方认证实体进行相互认证，可以拒绝非法用户的接入，提高了DN网络的安全性；同时，节省了络资源。
结合第六方面，在第六方面的第一种实施方式中，所述第一参数包括以下的至少一种：所述PDU会话对应的数据网络名DNN、所述PDU会话对应的会话管理-网络切片选择辅助信息S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
结合第六方面或第六方面的第一种实现方式，在第六方面的第二种实施方式中，所述第一发送单元，包括：
获取子单元，用于根据所述第一参数，获得所述第三方认证实体的标识；
发送子单元，用于向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
结合第六方面或第六方面的第二种实现方式，在第六方面的第三种实施方式中，所述获取子单元，具体用于：
所述第一参数包括所述PDU会话对应的DNN，根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的应用标识，根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体 的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的DNN和所述应用标识，根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
或者
当所述第一参数包括所述PDU会话对应的DNN和S-NSSAI时，所述NEF实体根据第五对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第五对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
结合第六方面或第六方面的以上任一种实现方式，在第六方面的第四种实施方式中，所述装置，还包括：
确定单元，用于在所述第一发送单元根据所述第一参数，将所述认证请求发送给第三方认证实体之前，根据参考信息，确定对所述PDU会话进行认证，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
结合第六方面或第六方面的以上第四种实现方式，在第六方面的第五种实施方式中，所述确定单元，具体用于：
所述参考信息包括DNN，当所述参考信息包括所述第一参数中的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述第一参数中所述应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述第一参数中DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述第一参数中DNN和S-NSSAI时，确定对所述PDU会话进行认证。
结合第六方面或第六方面的以上任一实现方式，在第六方面的第六种实施方式中，所述认证请求和所述第一参数携带在第一信令中，所述第一信令还包括所述SMF实体的标识；
所述第一发送单元，具体用于：
将所述认证请求和所述SMF实体的标识发送给所述第三方认证实体；
或者，
将所述SMF实体的标识转换为所述SMF实体的外部标识，并将所述认证请求和所述外部标识发送给所述第三方认证实体。
结合第六方面或第六方面的以上任一实现方式，在第六方面的第七种实施方式中，所述装置，还包括：
第二接收单元，用于在所述第一接收单元从SMF实体接收认证请求和第一参数之前，接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述 NEF实体完成与所述第三方认证实体之间的业务注册流程；
第二发送单元，用于当所述业务注册流程成功时，生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
结合第六方面或第六方面的以上任一实现方式，在第六方面的第八种实施方式中，所述装置，还包括：
建立单元，用于在所述第一发送单元根据所述第一参数，将所述认证请求发送给第三方认证实体之前，建立所述SMF实体与所述第三方认证实体之间的绑定关系。
第七方面，提供了一种SMF实体，包括用于执行以上第一方面的任一方法各个步骤的单元或者手段(means)。
第八方面，提供了一种SMF实体，包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行以上第一方面的任一方法。
第九方面，提供了一种SMF实体，包括用于执行以上第一方面的任一方法的至少一个处理元件或芯片。
第十方面，提供了一种程序，该程序在被处理器执行时用于执行以上第一方面的任一方法。
第十一方面，提供了一种计算机可读存储介质，包括第十方面的程序。
第十二方面，提供了一种终端设备，包括用于执行以上第二方面的任一方法各个步骤的单元或者手段(means)。
第十三方面，提供了一种终端设备，包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行以上第二方面的任一方法。
第十四方面，提供了一种终端设备，包括用于执行以上第二方面的任一方法的至少一个处理元件或芯片。
第十五方面，提供了一种程序，该程序在被处理器执行时用于执行以上第二方面的任一方法。
第十六方面，提供了一种计算机可读存储介质，包括第十五方面的程序。
第十七方面，提供了一种NEF实体，包括用于执行以上第三方面的任一方法各个步骤的单元或者手段(means)。
第十八方面，提供了一种NEF实体，包括处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行以上第三方面的任一方法。
第十九方面，提供了一种NEF实体，包括用于执行以上第三方面的任一方法的至少一个处理元件或芯片。
第二十方面，提供了一种程序，该程序在被处理器执行时用于执行以上第三方面的任一方法。
第二十一方面，提供了一种计算机可读存储介质，包括第二十方面的程序。
附图说明
为了更清楚地说明在一个示例中的技术方案，下面将对实施例描述中所需要使用的附图进行简单地介绍，显而易见地，下面描述中的附图是本申请的一些实施例，对 于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为一种网络结构图；
图2为本申请实施例提供的一种会话处理方法的流程图；
图3为本申请实施例提供的又一种会话处理方法的流程图；
图4为本申请实施例提供的另一种会话处理方法的流程图；
图5为本申请实施例提供的再一种会话处理方法的信令图；
图6为本申请实施例提供的还一种会话处理方法的信令图；
图7为本申请实施例提供的其他一种会话处理方法的信令图，
图8为本申请实施例提供的又其他一种会话处理方法的信令图；
图9为本申请实施例提供的另外的其他一种会话处理方法的信令图；
图10为本申请实施例提供的又有的其他一种会话处理方法的信令图；
图11为本申请实施例提供的一种会话处理装置的结构示意图；
图12为本申请实施例提供的又一种会话处理装置的结构示意图；
图13为本申请实施例提供的另一种会话处理装置的结构示意图；
图14为本申请实施例提供的SFM实体的结构示意图；
图15为本申请实施例提供的终端设备的结构示意图；
图16为本申请实施例提供的NEF实体的结构示意图。
具体实施方式
下面将结合在一个示例中的附图，对在一个示例中的技术方案进行描述。图1提供了一种网络结构，该网络结构可以应用于下一代通信系统。下面对该网络结构中的各个组成部分进行简单介绍如下：
移动通信技术的更新换代，5G技术已经开始研究及标准化工作，5G技术可以被用于移动宽带、多媒体、机器类通信(machine type communication，MTC)、工业控制、和智能交通系统(intelligent transportation system，ITS)等领域中。为了满足广泛变化的业务需求，5G网络需要以灵活的方式被构建。其中，一种灵活的构建5G的方式为，进行网络功能分离，即将控制面(control plane，CP)和用户面(user plane，UP)功能分离，将CP中的移动性管理(mobility management，MM)和会话管理(session management，SM)功能分离。可以采用网络切片(network slice)技术，实现网络功能分离。
网络切片技术可以将一个物理网络切割成多个虚拟的端到端的虚拟网络；其中，分割出的每个虚拟网络之间，包括虚拟网络内的设备、接入技术、传输路径和核心网等是逻辑独立的。每个网络切片由一个独立的网络功能或功能组合实例化构成，每个网络切片具备不同的功能特点，面向不同的需求和服务。每个网络切片相互之间的分离，可以使得不同用户或用户组可以根据不同应用场景和需求，去灵活的、动态的定制网络能力。
一个网络切片包括控制面功能(control plane function，CPF)实体和用户面功能(user plane function，UPF)实体。其中，CPF实体包括接入和移动管理功能(access and mobility management function，AMF)实体，以及会话管理功能(session management  function，SMF)实体。CPF实体主要完成终端设备的接入鉴权、安全加密、位置注册等功能，完成用户面传输路径的建立、释放和更改等功能；UPF实体主要完成用户面数据的路由转发等功能。
终端设备：可以包括各种具有通信功能的手持设备、车载设备、可穿戴设备、计算设备或连接到无线调制解调器的其它处理设备，以及各种形式的终端，例如，移动台(mobile station，MS)，终端(terminal)，用户设备(user equipment，UE)，软终端等等，举例来说有水表、电表、传感器等。
无线接入网(radio access network，RAN)：由多个5G-RAN节点组成的网络，实现无线物理层功能、资源调度和无线资源管理、无线接入控制以及移动性管理功能。例如，5G-RAN通过用户面接口N3和UPF相连，用于传送终端设备的数据；5G-RAN通过控制面接口N2和AMF建立控制面信令连接，用于实现无线接入承载控制等功能。
认证服务功能(authentication server function，AUSF)实体：用于负责保证终端设备和5G网络之间的安全认证。
AMF实体：负责移动性管理和接入管理等，用于实现移动性管理实体(mobility management entity，MME)功能中除会话管理之外的其它功能。例如，负责维护和管理终端的状态信息，负责终端设备的认证，选择网络切片，选择SMF实体。
SMF实体：为终端设备建立会话，分配会话标识(identity，ID)，管理或终止会话；选择用户面功能(user plane function，UPF)实体；选择网络开放功能(network exposure function，NEF)实体。
NEF实体：负责连接SMF实体与外部数据网络(data network，DN)，可以包括第三方认证实体。
UPF实体：提供会话和承载管理，IP地址分配等功能；例如，负责对终端设备的数据报文过滤、数据传输/转发、速率控制、生成计费信息等。
统一数据管理功能(unified data management，UDM)实体：为网络实体分配参考信息，例如，为SMF实体或NEF实体分配参考信息。
策略控制功能(policy control function，PCF)实体：为网络实体分配参考信息，例如，为SMF实体或NEF实体分配参考信息。
DN：提供外部数据网络服务。
第三方认证实体：外部数据网络的安全认证和授权功能实体，可以用于对用户进行安全认证和授权检查。例如，第三方认证实体可以为DN设备，DN设备可以为DN-AAA服务器，应用层(Application framework，AF)，AF-AAA，应用服务器(application-server)，application-server-AAA的任意一种。
如图1所示，上述各个组成部分通过下一代网路架构下的各个接口进行通信，例如，终端设备与AMF实体可以通过N1接口进行通信。当终端设备需要接入网络时，终端设备会发起PDU会话建立请求，去进行PDU会话建立流程；在终端设备会发起PDU会话建立请求之后，在建立PDU会话时，可以实施本申请的各方案。
需要指出的是，本申请实施例中涉及的名词或术语可以相互参考，不再赘述
如图2所示，本申请实施例提供的一种会话处理方法，该方法由SMF实体来执行，该方法具体如下所述。
201、SMF实体接收PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话。
其中，所述PDU会话建立请求携带在第一信令中。
示例性地，终端设备向AMF实体发送第一信令，第一信令中携带有上述PDU会话建立请求，AMF实体将第一信令中的PDU会话建立请求发送给SMF实体。具体地，AMF实体在接收到PDU会话建立请求之后，AMF实体采用现有技术的方式选择一个合适的SMF实体，即步骤201中的SMF实体；然后，AMF实体向选择的SMF实体发送该PDU会话建立请求，例如，AMF实体可以通过N11接口向选择出的SMF实体发送第一信令。
其中，该第一信令还可以包括PDU会话对应的DNN、PDU会话对应的会话管理-网络切片选择辅助信息(session management-network slice selection assistance information，S-NSSAI)、PDU会话标识(PDU session ID)、应用标识。PDU会话对应的DNN指的是该PDU会话用于传输DNN所指示的DN的数据。PDU会话对应的S-NSSAI，指的是该PDU会话所对应的切片的信息，即该会话是通过该切片的资源建立的。其中，切片可以是基于云计算、虚拟化、软件定义网络、分布式云架构等几大技术群，通过上层统一的编排让网络具备管理、协同的能力，从而实现基于一个通用的物理网络基础架构平台，能够同时支持多个逻辑网络的功能。一个切片可以提供相同的业务类型，或，提供给一个租户(tenant)使用，例如，车联网是一个DN，可以将一个或多个切片分配给该车联网，为该车联网提供服务。运营商网络为每一个切片分配一个S-NSSAI。
其中，PDU会话建立请求用于请求为该终端设备建立PDU会话，可以携带PDU类型(PDU type)、业务和会话连续性模式(service and session continuity mode，SSC mode)。该PDU类型可以用于指示PDU会话是网际协议版本4(internet protocol version4，IPv4)还是网际协议版本6(internet protocol version 4，IPv6)；该业务和会话连续性模式可以用于指示PDU会话的业务和会话连续性模式；例如，SSC mode1用于指示IP地址的锚点不变，支持业务连续性；SSC mode2用于指示IP地址的锚点可变，可以先释放旧的会话，然后通知终端设备建立一个新的会话；SSC mode3用于指示为终端设备建立一个新的会话之后，然后释放旧的会话。
202、所述SMF实体根据参考信息，确定对所述PDU会话进行认证。
其中，参考信息可以包括以下的至少一种：DNN，S-NSSAI，应用标识，至少一个终端设备的标识。
需要说明的是，步骤202中涉及的对PDU会话进行认证可以是对PDU会话进行第三方认证，其中，第三方认证指的是终端设备与第三方认证实体之间的认证。一个示例中，SMF实体根据参考信息，确定对PDU会话进行第三方认证，其中，第三方认证指的是终端设备与第三方认证实体之间的认证。可选地，第三方认证指的是终端设备用户与第三方认证实体之间的认证。
例如，应用标识为某一个服务的标识，例如服务A的标识。
203、所述SMF实体通过NEF实体向第三方认证实体发送认证请求。
在一个示例中，SMF实体向NEF实体发送认证请求，然后NEF实体向第三方认证实体发送该认证请求。
其中，步骤202可以采用如下方式实现：
方式一、所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述SMF实体确定对所述PDU会话进行认证。
例如，假设AMF实体向SMF实体发送第一信令，且该第一信令中携带有PDU会话建立请求，以及PDU会话对应的DNN(例如，DNN2)；参考信息包括了至少一个DNN(例如，DNN1、DNN2、和DNN3)，那么SMF实体判断参考信息中是否包含第一信令中携带PDU会话对应的DNN，若是，则SMF实体确定对PDU会话进行认证。SMF实体还可以确定第一信令中DNN对应的第三方认证实体是当前要与终端设备进行认证的第三方认证实体。
方式二、所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述SMF实体确定对所述PDU会话进行认证。
例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的应用标识(例如，应用标识1)；在参考信息中包括了至少一个应用标识(例如，应用标识1、应用标识2、和应用标识3)，然后SMF实体判断参考信息是否包含第一信令中携带的应用标识，若参考信息包含第一信令中的应用标识，则SMF实体确定对PDU会话进行认证，进一步地，SMF实体还可以确定第一信令中应用标识对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
方式三、所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述SMF实体确定对所述PDU会话进行认证。
例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的DNN和应用标识(例如，DNN1和应用标识1)；参考信息包括多个标识组合，每一个标识组合包括一个DNN和一个应用标识(例如，DNN1和应用标识1的组合，DNN2和应用标识2的组合)；然后，SMF实体判断参考信息的标识组合中，是否包含第一信令中携带的DNN和应用标识，若参考信息的标识组合包含第一信令中携带的DNN和应用标识，则SMF实体确定对PDU会话进行认证，进一步地，SMF实体还可以确定第一信令中DNN和应用标识对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
方式四、所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体确定对所述PDU会话进行认证。
例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的DNN和S-NSSAI(例如，DNN1和S-NSSAI1)；参考信息中包括多个标识组合，每一个标识组合包括一个DNN和一个S-NSSAI(例如，DNN1和 S-NSSAI1的组合，DNN2和S-NSSAI2的组合)；然后，SMF实体判断参考信息的标识组合是否包含第一信令携带的DNN和S-NSSAI，若参考信息的标识组合包含第一信令携带的DNN和S-NSSAISMF实体，则SMF实体确定对PDU会话进行认证，进一步地，SMF实体可以确定第一信令中DNN和S-NSSAI对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
方式五、所述参考信息包括至少一个终端设备的标识，所述第一信令还包括所述终端设备的标识，当所述参考信息包括所述终端设备的标识时，所述SMF实体确定对所述PDU会话进行认证。即所述参考信息是终端设备的SM上下文或者SM策略的一部分。
例如，参考信息包括至少一个终端设备的标识，这些终端设备是SMF实体确定进行PDU会话认证的终端设备；第一信令携带有PDU会话建立请求，以及发送该PDU会话建立请求的终端设备的标识；然后，SMF实体判断参考信息中是否包含第一信令中的终端设备的标识，若是，则SMF实体确定对PDU会话进行认证。
此外，步骤202不限于上述五种实现方式，例如，还可以仅根据S-NSSAI或应用标识来实现，实现方式与上述类似。
例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的S-NSSAI(例如，S-NSSAI1)；在参考信息中包括了至少一个S-NSSAI(例如，S-NSSAI1和S-NSSAI2)，然后，SMF实体判断参考信息中是否包含第一信令中携带的S-NSSAI，若参考信息中包含第一信令中的DNN，则SMF实体确定对PDU会话进行认证，进一步还可以确定第一信令中S-NSSAI对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
再例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的S-NSSAI和应用标识(例如，S-NSSAI1和应用标识1的组合)；参考信息中包括多个标识组合，每一个标识组合包括一个S-NSSAI和一个应用标识(例如，S-NSSAI1和应用标识1的组合，S-NSSAI2和应用标识2的组合)；然后，SMF实体判断参考信息的标识组合是否包含第一信令中携带的S-NSSAI和应用标识对应的标识组合，若是，则SMF实体确定对PDU会话进行认证，进一步地，SMF实体还可以确定第一信令中S-NSSAI和应用标识对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
再例如，AMF实体向SMF实体发送第一信令，第一信令携带有PDU会话建立请求，以及PDU会话对应的三个标识，这三个标识分别为DNN、S-NSSAI和应用标识(例如，DD1、S-NSSAI1和应用标识1)；参考信息包括多个标识组合，每一个标识组合包括一个DNN、一个S-NSSAI和一个应用标识(例如，DNN1、S-NSSAI1和应用标识1的三者组合，DD2、S-NSSAI2和应用标识2的三者组合)；然后，SMF实体判断参考信息中的标识组合是否包含第一信令中携带的三个标识对应的标识组合，若是，则SMF实体确定对PDU会话进行认证，进一步地，SMF实体还可以确定第一信令中的三方标识对应的第三方认证实体是与终端设备进行认证的第三方认证实体。
再例如，参考信息包括DNN、S-NSSAI和应用标识中的至少一种，并且参考信息还包括至少一个终端设备的标识；对应的，第一信令除了携带有PDU会话建立请求之 外，还需要携带PDU会话对应的DNN、S-NSSAI和应用标识中的至少一种，还携带发送PDU会话建立请求的终端设备的标识。具体可以参考上述类似的方式实现，不再赘述。
其中，步骤203可以采用两种不同的方式实现：
步骤203的方式一，步骤203包括2031和2032。
2031、所述SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识。
一个示例中，在SMF实体向NEF实体发送认证请求之前，SMF实体确定接收该认证请求的第三方认证实体的标识。
其中，第三方认证实体的标识可以为第三方认证实体的名字，或者第三方认证实体的ID，或者第三方认证实体的地址信息，例如，IP地址。
其中，步骤2031可以采用如下方式实现：
步骤2031的方式一、当所述第一信令包括所述第三方认证实体PDU会话对应的DNN时，所述SMF实体根据所述对应关系以及所述PDU会话第三方认证实体对应的DNN，获得所述第三方认证实体的标识。
其中，所述对应关系为DNN与第三方认证实体的标识之间的对应关系。例如，DNN与第三方认证实体的标识之间的对应关系可以为：DNN1与第三方认证实体1对应，DNN2与第三方认证实体2对应。
在一个示例中，AMF实体向SMF实体发送第一信令，该第一信令携带有PDU会话建立请求，以及PDU会话对应的DNN；SMF实体接收该第一信令后，根据DNN与第三方认证实体的标识之间的对应关系，以及该第一信令中的DNN，可以获得该第三方认证实体的标识。
步骤2031的方式二、当所述第一信令包括所述PDU会话对应的应用标识时，所述SMF实体根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识。
其中，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系。例如，应用标识与第三方认证实体的标识之间的对应关系可以为：应用标识1与第三方认证实体1对应，应用标识2与第三方认证实体2对应。
在一个示例中，AMF实体向SMF实体发送第一信令，在该第一信令中携带有PDU会话建立请求，以及PDU会话对应的应用标识；SMF实体接收该第一信令，然后，SMF实体根据应用标识与第三方认证实体的标识之间的对应关系，以及第一信令中的应用标识，获得该第三方认证实体的标识。
步骤2031的方式三、当所述第一信令包括所述PDU会话对应的DNN和应用标识时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识。
其中，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。例如，DNN，应用标识以及第三方认证实体的标识三者之间的对应关系可以为：DNN1+应用标识1，与第三方认证实体1对应；DNN1+应用标识2，与第三方认 证实体2对应；DNN2+应用标识1，与第三方认证实体2对应。
例如，AMF实体向SMF实体发送第一信令，在第一信令中携带有PDU会话建立请求，以及PDU会话对应的DNN和应用标识；SMF实体接收该第一信令，然后，SMF实体根据DNN、应用标识以及第三方认证实体的标识三者之间的对应关系，以及第一信令中的DNN和应用标识，获得该第三方认证实体的标识。
步骤2031的方式四、当所述第一信令包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和S-NSSAI，获得所述第三方认证实体的标识，所述对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
2032、所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，SMF实体将第三方认证实体的标识和认证请求发送给NEF实体，NEF实体向第三方认证实体的标识所指示的第三方认证实体发送该认证请求。
步骤203的方式二、所述第一信令还包括用户标识，所述SMF实体根据所述用户标识，获得所述第三方认证实体的标识；所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
一个示例中，用户标识的域名，为第三方认证实体的标识。
在一个示例中，在执行步骤203的时候，可以以本方式提供的方法进行实施。AMF实体向SMF实体发送第一信令，在该第一信令中携带有PDU会话建立请求，以及用户标识。然后SMF实体可以根据用户标识，获得第三方认证实体的标识。然后，SMF实体将第三方认证实体的标识和认证请求发送给NEF实体，NEF实体向第三方认证实体的标识所指示的第三方认证实体发送该认证请求。
采用上述实施例提供的方法，SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息确定对PDU会话进行认证之后，通过NEF实体向第三方认证实体发送认证请求。
采用上述实施例提供的方法，SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息确定对PDU会话进行认证之后，通过NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以在SMF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，数据网络(data network，DN)可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，上述方法在步骤203之后，还包括步骤204。
204、SMF实体向终端设备发送用于获取用户标识请求的消息；SMF实体接收用户标识。
在一个示例中，在步骤203之后，SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息；终端设备接收到用于获取用户标识请求的消息之后，通过AMF实体向SMF实体发送用户标识。
可选地，在上述实施例的第一种实施场景或第二种实施场景下，上述方法在步骤203之后，还包括步骤205至步骤2010。
205、所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数。
所述认证参数包括以下的至少一种：所述终端设备的证书、所述终端设备的用户名或密码、身份验证参数、安全密钥参数；其中，所述身份验证参数用于所述第三方认证实体验证所述终端设备的身份；所述安全密钥参数用于生成所述终端设备与所述第三方认证实体之间的共享密钥。
在一个示例中，在步骤203的NEF实体向第三方认证实体发送认证请求之后，第三方认证时实体接收到认证请求之后，第三方认证实体会生成认证消息，该认证消息用于请求终端设备提供认证参数；然后，第三方认证实体将该认证消息发送给NEF实体；然后，由NEF实体将该认证消息发送给SMF实体。
206、所述SMF实体向所述终端设备发送所述认证消息。
在一个示例中，在步骤205之后，SMF实体将接收到的认证消息，发送给AMF实体；然后，AMF实体将认证消息发送给终端设备。终端设备在接收到认证消息之后，终端设备通过AMF实体向SMF实体返回认证参数。
207、所述SMF实体接收所述认证参数，并将所述认证参数通过所述NEF实体发送给所述第三方认证实体。
在一个示例中，在步骤206之后，终端设备将认证参数发送给AMF实体；AMF实体将认证参数发送给SMF实体；然后SMF实体接收到该认证参数之后，SMF实体将该认证参数发送给NEF实体；由NEF实体将该认证参数发送给第三方认证实体。
然后，第三方认证实体会根据该认证参数，对终端设备进行认证，生成认证结果；认证结果指示终端设备与第三方认证实体之间的认证是否成功。
然后，第三方认证实体会将生成的认证结果发送给NEF实体，NEF实体将认证结果发送给SMF实体。可选的，第三方认证实体会向NEF实体发送认证反馈消息，上述认证结果携带在该认证反馈消息中，该认证反馈消息还包括了密钥生成参数；然后NEF实体上述认证反馈消息发送给SMF实体；其中，密钥生成参数用于终端设备与第三方认证实体之间的应用层安全建立。
208、所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，在步骤207之后，SMF实体会接收到第三方认证实体生成的上述认证结果。可选的，SMF实体接收到上述认证反馈消息。
209、当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时， 所述SMF实体继续执行PDU会话建立流程。
在一个示例中，在步骤208之后，SMF实体接收到认证结果之后，SMF实体若确定该认证结果指示了终端设备与第三方认证实体之间的认证成功时，那么SMF实体就继续执行PDU会话建立流程。
在步骤208之后，还可以包括步骤2010：
2010、所述SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，在步骤208之后，在SMF实体接收到上述认证反馈消息时，其中，上述认证反馈消息携带了认证结果和密钥生成参数，SMF实体可以向AMF实体发送该密钥生成参数；然后AMF实体向终端设备发送该密钥生成参数。其中，步骤209和步骤2010可以同时进行，也可以不同时进行，本申请不做限定。
可选的，SMF实体可以将上述认证结果和上述密钥生成参数一起发送给AMF实体，然后AMF实体向终端设备发送上述认证结果和上述密钥生成参数。其中，只有在认证结果指示出终端设备与第三方认证实体之间的认证成功的时候，终端设备才会根据上述密钥生成参数去进行应用层安全建立。
在一个示例中，上述密钥生成参数可以用于终端设备与第三方认证实体之间的传输层安全(transport layer security，TLS)通道的建立。
在一个示例中，终端设备可以直接采用上述密钥生成参数，进行终端设备与第三方认证实体之间的应用层安全建立；或者，终端设备也可以根据上述密钥生成参数，获取到另一个密钥生成参数，终端设备采用该另一个密钥生成参数进行终端设备与第三方认证实体之间的应用层安全建立。
可选地，在上述实施例的第一种实施场景或第二种实施场景下，所述PDU会话建立请求包括认证参数，上述方法在步骤203之后，还包括步骤2011至步骤2013。
2011、所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果。
所述认证参数包括以下的至少一种：
所述终端设备的证书、所述终端设备的用户名或密码、身份验证参数、安全密钥参数；
其中，所述身份验证参数用于所述第三方认证实体验证所述终端设备的身份；所述安全密钥参数用于生成所述终端设备与所述第三方认证实体之间的共享密钥。
在一个示例中，在步骤201中，终端设备向AMF实体发送信令，在这个信令中携带有PDU会话建立请求，在这个信令中还包括认证参数。一个示例中，终端设备向AMF实体发送信令，在这个信令中携带有PDU会话建立请求和认证参数。或者，一个示例中，终端设备向AMF实体发送信令，在这个信令中携带有PDU会话建立请求，该PDU会话建立请求包括了认证参数。
然后，AMF实体向SMF实体发送一个第一信令，在这个第一信令中，携带有PDU会话建立请求，在这个信令中还包括认证参数。一个示例中，AMF实体发出的第一信令中包括PDU会话建立请求和认证参数。或者，一个示例中，AMF实体发出的第一 信令中包括PDU会话建立请求，该PDU会话建立请求包括了认证参数。
然后，SMF实体向NEF实体发送认证请求，此时，该认证请求中包括上述认证参数；NEF实体将包括了上述认证参数的认证请求发送给第三方认证实体。那么在步骤203之后，第三方认证实体就可以根据认证请求中的认证参数，对终端设备进行认证，生成认证结果；认证结果指示终端设备与第三方认证实体之间的认证是否成功。
然后，第三方认证实体会将生成的认证结果发送给NEF实体，NEF实体将认证结果发送给SMF实体。可选的，第三方认证实体会向NEF实体发送认证反馈消息，上述认证结果携带在该认证反馈消息中，该认证反馈消息还包括了密钥生成参数；然后，NEF实体上述认证反馈消息发送给SMF实体；其中，密钥生成参数用于终端设备与第三方认证实体之间的应用层安全建立。
2012、当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
在一个示例中，在步骤2011之后，SMF实体若确定该认证结果指示了终端设备与第三方认证实体之间的认证成功时，那么SMF实体就继续执行PDU会话建立流程。
在步骤2011之后，还可以包括步骤2013：
2013、所述SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，在步骤208之后，在SMF实体接收到上述认证反馈消息时，其中，上述认证反馈消息携带了认证结果和密钥生成参数，SMF实体可以向AMF实体发送该密钥生成参数；然后AMF实体向终端设备发送该密钥生成参数。其中，步骤2012和步骤2013可以同时进行，也可以不同时进行，本申请不做限定。
可选的，SMF实体可以将上述认证结果和上述密钥生成参数一起发送给AMF实体，然后AMF实体向终端设备发送上述认证结果和上述密钥生成参数。其中，只有在认证结果指示出终端设备与第三方认证实体之间的认证成功的时候，终端设备才会根据上述密钥生成参数去进行应用层安全建立。
可选地，结合上述第一种实施场景或上述第二种实施场景或上述第三种实施场景或上述第四种实施场景，在步骤202之前，还包括步骤2014。
2014、所述SMF实体在所述SMF实体上配置所述参考信息；或者，所述SMF实体从UDM实体上、或PCF实体上、或所述NEF实体上获取所述参考信息。
在一个示例中，参考信息可以被SMF实体在SMF实体上进行配置，或者，参考信息可以被配置在UDM实体、或PCF实体上、或NEF实体上。
可选地，结合上述第一种实施场景或上述第二种实施场景或上述第三种实施场景或上述第四种场景或第五种实施场景，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
在一个示例中，SMF实体向NEF实体发送第二信令，第二信令中包括了上述认证 请求和上述第一参数。可选的，第二信令中还可以包括上述SMF实体的标识。
可选地，在上述实施例的第三种实施场景或第四种实施场景下，在步骤208之后或在步骤2010之后，还包括如下步骤。
201a、在SMF实体接收到的认证结果指示终端设备与第三方认证实体之间的认证成功时，SMF实体选择一个PCF实体。
在一个示例中，在认证结果指示终端设备与第三方认证实体之间的认证成功时，若SMF实体中部署了动态策略控制和计费(policy control and charging，PCC)策略，则SMF实体选择一个合适的PCF实体。在一个示例中，SMF实体根据S-NSSAI选择一个PCF实体。SMF实体向该PCF实体发送PDU-控制器局域网络(controller area network,CAN)会话建立请求(PDU-CAN Session Establishment)，从而获取该PDU会话对应的PCC规则。
201b、SMF实体选择一个UPF实体。
在一个示例中，SMF实体选择一个合适的UPF实体。例如，SMF实体根据终端设备的位置信息、UPF的负载信息以及DNN等信息，选择出一个UPF实体。
若201a中SMF实体没有向PCF实体发送PDU-CAN会话建立请求，则执行步骤201c。
201c、SMF实体向PCF实体发送PDU-CAN会话建立请求。
在一个示例中，若201a中SMF实体没有向PCF实体发送PDU-CAN会话建立请求，则本步骤中SMF实体向PCF实体发送PDU-CAN会话建立请求。并且，如果动态PCC策略中包含的PDU类型是IPv4还是IPv6，此时，SMF实体向PCF实体发送PDU-CAN会话变更请求(PDU-CAN Session Modification)，并且SMF实体把已经分配的终设备设备的IP地址或者IP前缀发送给PCF实体。
201d、SMF实体向UPF实体发送N4会话建立请求(Session Establishment request)、DU会话的执行规则(enforcement rules)、核心网侧的隧道信息。
在一个示例中，核心网侧的隧道信息指的是PDU会话的N3隧道的上行数据隧道标识，该核心网侧的隧道信息用于对终端设备的PDU会话的数据进行唯一标识。
201e、UPF实体向SMF实体发送会话建立响应消息(session establishment response)。
201f、SMF实体向AMF实体发送N2 SM信息、PDU会话建立接受消息(PDU session establishment accept)。
在一个示例中，N2 SM信息包括PDU会话的标识、服务质量配置(quality of service，QoS Profile(s),)、CN隧道信息(CN tunnel info)；PDU会话建立接受消息包括授权QoS规则、SSC mode、S-NSSAI、IPv4地址。
N2 SM信息用于将PDU会话的一些参数发送给RAN(例如，RAN节点或基站)，使得RAN为该PDU会话建立相应的空口连接。CN隧道信息用于为PDU会话建立RAN和UPF实体之间的数据传输通道。PDU会话建立接受消息用于通知终端设备PDU会话建立成功，并将该PDU会话的一些相应参数返回给终端设备。
201g、AMF实体将步骤201f中的N2 SM信息和PDU会话建立接受消息发送给RAN。
201h、RAN和终端设备进行接入网(access network，AN)信令交互。
在一个示例中，一个示例中，RRC连接重配置流程，为PDU会话提供相应的无线资源。同时，RAN将PDU会话建立接受消息发送给终端设备。
201i、RAN通过AMF实体将N2 SM信息发送给SMF实体。
在一个示例中，这个时候的N2 SM信息包括了PDU会话的标识、RAN隧道信息((R)AN tunnel info)、被授权的Qos配置列表(list of accepted/rejected qoS profile(s))。其中，RAN隧道信息用于建立RAN和UPF实体之间的数据传输通道。
201j、AMF实体将N2 SM信息发送给SMF实体。
201k、SMF实体发起N4会话修改流程。
在一个示例中，SMF实体发起到UPF实体的N4会话修改流程，在这个过程中，SMF实体将会将RAN隧道信息发送给UPF实体。
201l、SMF实体向AMF实体返回一个应答消息。
201m、SMF实体通过UPF实体向终端设备发送IPv6类型的IP地址信息。
201n、SMF发起释放源接入网侧资源的流程。
在一个示例中，如果PDU会话的建立流程是由于第三代合作伙伴计划3rd(generation partnership project，3GPP)和N-3GPP之间的切换导致的，则SMF实体发起释放源接入网侧资源的流程。
201o、SMF实体向UDM发送注册请求。
在一个示例中，SMF实体向UDM发送注册请求，即SMF实体注册到UDM实体上。然后SMF实体通知UDM实体，是哪个SMF实体为当前终端设备的PDU会话提供服务。并且，UDM实体可以存储SMF实体的标识、SMF实体的地址和DNN三者之间的对应关系。
如图3所示，本申请实施例提供的又一种会话处理方法，该方法由终端设备执行，具体如下所述。
301、终端设备根据参考信息，确定对PDU会话进行认证。
其中，参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识，可以参看图2所示实施例中的相关描述。
例如，步骤301可以采用如下方式实现：
步骤301的方式一、所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述终端设备确定对所述PDU会话进行认证。
步骤301的方式二、所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述终端设备确定对所述PDU会话进行认证。
步骤301的方式三、所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述终端设备确定对所述PDU会话进行认证。
步骤301的方式四、所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述终端设备确定对所述PDU会话进行认证。
在一个示例中，在终端设备需要与第三方认证实体进行PDU会话之前，首先终端设备要进行PDU会话建立的流程，在进行终端设备要进行PDU会话建立的流程之前，终端设备要根据参考信息，确定对该PDU会话进行认证。
具体来说，参考信息包括DNN，终端设备确定参考信息包括该PDU会话对应的DNN的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括应用标识，终端设备确定参考信息包括该PDU会话对应的应用标识的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括S-NSSAI，终端设备确定参考信息包括该PDU会话对应的S-NSSAI的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括多个标识组合，每一个标识组合中包括一个DNN和一个应用标识；终端设备确定参考信息的某一个标识组合中，包括该PDU会话对应的DNN和应用标识的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括多个标识组合，每一个标识组合中包括一个DNN和一个S-NSSAI；终端设备确定参考信息的某一个标识组合中，包括该PDU会话对应的DNN和S-NSSAI的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括多个标识组合，每一个标识组合中包括一个应用标识和一个S-NSSAI；终端设备确定参考信息的某一标识组合中，包括该PDU会话对应的应用标识和S-NSSAI的时候，所述终端设备确定对该PDU会话进行认证。
或者是，参考信息包括多个标识组合，每一个标识组合中包括一个DNN、一个应用标识和一个S-NSSAI；终端设备确定参考信息的某一标识组合中，包括该PDU会话对应的DNN、应用标识和S-NSSAI的时候，所述终端设备确定对该PDU会话进行认证。
需要指出的是，步骤301的实现方式可以参考步骤202的实现方式，执行主体不同，执行动作类似。此外，本实施例涉及的名词也可以参见图2所示实施例中的相关描述，不再赘述。
302、所述终端设备发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为所述终端设备建立所述PDU会话。
在一个示例中，在一个示例中，终端设备向AMF实体发送信令，在这个信令中包括了PDU会话建立请求和用户标识。在另一示例中，终端设备向AMF实体发送信令，该信令中包括PDU会话建立请求，该PDU会话建立请求包括用户标识。
然后AMF实体会向SMF实体发送一个第一信令，该第一信令包括了上述PDU会话建立请求和上述用户标识。
采用上述实施例提供的方法，终端设备根据参考信息，确定对PDU会话进行认证；终端设备发送第一信令，第一信令包括PDU会话建立请求，第一信令还包括用户标识。提供了一种基于控制面的PDU会话认证的方式，可以在终端设备上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用 户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，在步骤302中，所述第一信令还包括以下的至少一种：所述PDU会话对应的应用标识，认证参数。
在一个示例中，在步骤302中，终端设备向AMF实体发送信令，在这个信令中包括了PDU会话建立请求，且这个信令中还包括了认证参数。一个示例中，终端设备向AMF实体发送信令，在这个信令中携带有PDU会话建立请求和认证参数。或者，一个示例中，终端设备向AMF实体发送信令，在这个信令中携带有PDU会话建立请求，该PDU会话建立请求包括了认证参数。
然后，AMF实体向SMF实体发送一个第一信令，在这个第一信令中，携带有PDU会话建立请求，在这个信令中还包括上述认证参数。一个示例中，AMF实体发出的第一信令中包括PDU会话建立请求和认证参数。或者，一个示例中，AMF实体发出的第一信令中包括PDU会话建立请求，该PDU会话建立请求包括了认证参数。
然后，SMF实体接收到PDU会话建立请求之后，SMF实体向NEF实体发送认证请求，此时，该认证请求中包括上述认证参数；NEF实体将包括了上述认证参数的认证请求发送给第三方认证实体。第三方认证实体就可以根据认证请求中的认证参数，对终端设备进行认证，生成认证结果；认证结果指示终端设备与第三方认证实体之间的认证是否成功。
然后，第三方认证实体会将生成的认证结果发送给NEF实体，NEF实体将认证结果发送给SMF实体。可选的，第三方认证实体会向NEF实体发送认证反馈消息，上述认证结果携带在该认证反馈消息中，该认证反馈消息还包括了密钥生成参数；然后，NEF实体上述认证反馈消息发送给SMF实体；其中，密钥生成参数用于终端设备与第三方认证实体之间的应用层安全建立。本步骤可以参见图2的步骤2011和2012。
可选地，在上述实施例的任意一种实施场景下，在步骤302之后，还包括步骤303。
步骤303、所述终端设备接收所述SMF实体发送的密钥生成参数，其中，所述密钥生成参数用于所述终端设备的应用层安全建立。
在一个示例中，在步骤302之后，在SMF实体接收到上述认证反馈消息时，其中，上述认证反馈消息携带了认证结果和密钥生成参数，SMF实体可以向AMF实体发送该密钥生成参数；然后AMF实体向终端设备发送该密钥生成参数。本步骤可以参见图2的步骤2013。
可选地，在上述实施例的任意一种实施场景下，上述方法在步骤302之后，还包括步骤304。
304、终端设备接收用户标识请求，并发送用户标识。
在一个示例中，在步骤302之后，SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息；终端设备接收到用于获取用户标识请求的消息之后，通过AMF实体向SMF实体发送用户标识。
如图4所示，本申请实施例提供的另一种会话处理方法，该方法由NEF实体执行，该方法包括：
401、NEF实体从SMF实体接收认证请求和第一参数，所述认证请求用于请求对PDU会话进行认证。
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
在一个示例中，在终端设备向AMF实体发送信令，在该信令中携带有PDU会话建立请求。然后，AMF实体接收到PDU会话建立请求之后，向选择出的SMF实体发送信令，该信令携带有该PDU会话建立请求。
然后，SMF实体向NEF实体发送认证请求和第一参数。可选的，SMF实体向NEF实体发送信令，该信令包括了认证请求和第一参数。
402、所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体。
在一个示例中，NEF实体根据第一参数，确定出要将上述认证请求发送给哪一个第三方认证实体。然后NEF实体才可以将认证请求发送给确定出的第三方认证实体。
其中，步骤402可以包括步骤4021和步骤4022。
4021、所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识。
例如，步骤4021可以采用如下方式实现：
步骤4021的方式一，所述第一参数包括所述PDU会话对应的DNN，所述NEF实体根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
步骤4021的方式二，所述第一参数包括所述PDU会话对应的应用标识，所述NEF实体根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
步骤4021的方式三，所述第一参数包括所述PDU会话对应的DNN和所述应用标识，所述NEF实体根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
步骤4021的方式四，所述第一参数包括所述PDU会话对应的DNN和S-NSSAI，所述NEF实体根据第五对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第五对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
在一个示例中，NEF实体根据第一参数，获取到第三方认证实体的标识。具体来说，第一参数包括PDU会话对应的DNN，NEF实体根据DNN与第三方认证实体的标识之间的第一对应关系，获取到第一参数中的DNN对应的第三方认证实体的标识。一个示例中，第一对应关系可以为DNN1与第三方认证实体1对应，DNN2与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的应用标识，NEF实体根据应用标识与第三方认证实体的标识之间的第二对应关系，获取到第一参数中的应用标识对应的第三方认证实体的标识。一个示例中，第二对应关系可以为应用标识1与第三方认证实体1 对应，应用标识2与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的DNN和应用标识，NEF实体根据DNN、应用标识以及第三方认证实体的标识三者之间的第三对应关系，获取到第三方认证实体的标识。一个示例中，第三对应关系可以为DNN1+应用标识1，与第三方认证实体1对应；DNN1+应用标识2，与第三方认证实体2对应；DNN2+应用标识1，与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的S-NSSAI，NEF实体根据S-NSSAI与第三方认证实体的标识之间的第四对应关系，获取到第一参数中的S-NSSAI对应的第三方认证实体的标识。一个示例中，第四对应关系可以为S-NSSAI1与第三方认证实体1对应，S-NSSAI2与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的DNN和S-NSSAI，NEF实体根据DNN、S-NSSAI以及第三方认证实体的标识三者之间的第五对应关系，获取到第三方认证实体的标识。一个示例中，第五对应关系可以为DNN1+S-NSSAI1，与第三方认证实体1对应；DNN1+S-NSSAI2，与第三方认证实体2对应；DNN2+S-NSSAI1，与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的应用标识和S-NSSAI，NEF实体根据应用标识、S-NSSAI以及第三方认证实体的标识三者之间的第六对应关系，获取到第三方认证实体的标识。一个示例中，第六对应关系可以为应用标识1+S-NSSAI1，与第三方认证实体1对应；应用标识1+S-NSSAI2，与第三方认证实体2对应；应用标识2+S-NSSAI1，与第三方认证实体2对应。
或者是，第一参数包括PDU会话对应的DNN、应用标识和S-NSSAI，NEF实体根据DNN、应用标识、S-NSSAI以及第三方认证实体的标识三者之间的第七对应关系，获取到第三方认证实体的标识。一个示例中，第七对应关系可以为DNN1+应用标识1+S-NSSAI1，与第三方认证实体1对应；DNN1+应用标识2+S-NSSAI2，与第三方认证实体2对应；DNN3+应用标识2+S-NSSAI1，与第三方认证实体1对应。
一个示例中，第三方认证实体的标识可以为第三方认证实体的名字、或第三方认证实体的ID、或第三方认证实体的地址信息。
4022、所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，NEF实体在确定出第三方认证实体的标识之后，NEF实体就可以直接向第三方认证实体的标识所指示的第三方认证实体发送上述认证请求。
采用上述实施例提供的方法，NEF实体从SMF实体接收认证请求和第一参数，然后NEF实体根据第一参数，将认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以在NEF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G 网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，在不实施步骤4021和4022的时候，在401之前，可以由SMF实体根据参考信息，确定对所述PDU会话进行认证。可以参见图2的步骤202，不再赘述。
可选地，在上述实施例的第一种实施场景下，在步骤402之前，还可以包括步骤403。
403、所述NEF实体根据参考信息，确定对PDU会话进行认证，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
例如，步骤403可以采用如下几种实现方式。
步骤403的方式一、所述参考信息包括DNN，当所述参考信息包括所述第一参数中的DNN时，所述NEF实体确定对所述PDU会话进行认证；
步骤403的方式二、所述参考信息包括应用标识，当所述参考信息包括所述第一参数中所述应用标识时，所述NEF实体确定对所述PDU会话进行认证；
步骤403的方式三、所述参考信息包括DNN和应用标识，当所述参考信息包括所述第一参数中DNN和应用标识时，所述NEF实体确定对所述PDU会话进行认证；
步骤403的方式四、所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述第一参数中DNN和S-NSSAI时，所述NEF实体确定对所述PDU会话进行认证。
在一个示例中，具体来说，参考信息中包括至少一个DNN，第一参数包括PDU会话对应的DNN，NEF实体确定参考信息包括第一参数中DNN时，NEF实体确定对所述PDU会话进行认证。
或者是，参考信息中包括至少一个应用标识，第一参数包括PDU会话对应的应用标识，NEF实体确定参考信息包括该第一参数中的应用标识时，NEF实体确定对所述PDU会话进行认证。
或者是，参考信息中包括至少一个S-NSSAI，第一参数包括PDU会话对应的S-NSSAI，NEF实体确定参考信息包括该第一参数中的S-NSSAI时，NEF实体确定对所述PDU会话进行认证。
或者是，参考信息中包括多个标识组合，每一个标识组合包括了一个DNN和一个应用标识，第一参数包括PDU会话对应的DNN和应用标识，NEF实体确定参考信息中某一组的标识组合中包括该第一参数中的DNN和应用标识时，NEF实体确定对所述PDU会话进行认证。
或者是，参考信息中包括多个标识组合，每一个标识组合包括了一个DNN和一个S-NSSAI，第一参数包括PDU会话对应的DNN和S-NSSAI，NEF实体确定参考信息中某一组的标识组合中包括该第一参数中的DNN和S-NSSAI时，NEF实体确定对所述PDU会话进行认证。
或者是，参考信息中包括多个标识组合，每一个标识组合包括了一个应用标识和一个S-NSSAI，第一参数包括PDU会话对应的应用标识和S-NSSAI，NEF实体确定参考信息中某一组的标识组合中包括该第一参数中的应用标识和S-NSSAI时，NEF实 体确定对所述PDU会话进行认证。
或者是，参考信息中包括多个标识组合，每一个标识组合包括了一个DNN、一个应用标识、和一个S-NSSAI，第一参数包括PDU会话对应的DNN、应用标识和S-NSSAI，NEF实体确定参考信息中某一组的标识组合中包括该第一参数中的DNN、应用标识和S-NSSAI时，NEF实体确定对所述PDU会话进行认证。
可选地，在上述实施例的第一种实施场景或第二种实施场景或第三种实施场景下，在步骤401之前，上述方法还包括步骤404或者步骤405中任意一个。
404、所述NEF实体在NEF实体上配置参考信息，并向所述SMF实体发送所述参考信息；或者，所述NEF实体从UDM实体上、或PCF实体上获取所述参考信息，并向所述SMF实体发送所述参考信息。
在一个示例中，在步骤401之前，NEF实体在NEF实体上配置参考信息，然后将参考信息发送给SMF实体。
或者是，UDM实体上、或PCF实体上具有参考信息，NEF实体可以向UDM实体或PCF实体发送请求，去获得该参考信息；在NEF实体获得该参考信息之后，可以将该参考信息发送给SMF实体。
405、所述NEF实体接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；
当所述业务注册流程成功时，所述NEF实体生成所述参考信息，并向所述SMF实体或PCF实体发送所述参考信息；或者，当所述业务注册流程成功时，所述NEF实体向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成所述参考信息。
在一个示例中，在步骤401之前，第三方认证实体可以向NEF实体发送业务注册请求，业务注册请求用于请求NEF实体完成与第三方认证实体之间的业务注册流程，然后NEF实体完成业务注册；这之后，NEF实体就可以根据第三方认证实体发送的业务注册请求等，获得第三方认证实体的一些信息，例如，NEF实体获得DNN、应用标识等等。当所述业务注册流程成功时，所述NEF实体生成所述参考信息，并向所述SMF实体或PCF实体发送所述参考信息。
或者是，当所述业务注册流程成功时，所述NEF实体向所述PCF实体发送第一消息，在第一消息中携带了DNN、S-NSSAI、应用标识中的至少一种；然后，PCF实体根据该第一消息生成参考信息，或者生成PCC策略，或者生成参考信息和PCC策略。
可选地，在上述实施例的任意一种实施场景下，所述认证请求和所述第一参数携带在信令中，所述信令还包括所述SMF实体的标识；步骤402可以包括：
所述NEF实体将所述认证请求和所述SMF实体的标识发送给所述第三方认证实体；或者，所述NEF实体将所述SMF实体的标识转换为所述SMF实体的外部标识；所述NEF实体将所述认证请求和所述外部标识发送给所述第三方认证实体。
在一个示例中，可以参见步骤401中，SMF实体向NEF实体发送信令，该信令包 括了认证请求、第一参数、和该SMF实体的标识。
实施步骤402的时候，NEF实体可以将SMF实体的标识转换为SMF实体的外部标识；然后NEF实体将该外部标识放到发送给第三方认证实体的消息中，具体来说，NEF实体可以向第三方认证实体发送信令，该信令包括认证请求和外部标识；将SMF实体的标识转换为SMF实体的外部标识的方式，可以对SMF实体的标识进行隐藏。或者，在实施骤402的时候，NEF实体可以将向第三方认证实体发送一个，在该信令中包括了认证请求和SMF实体的标识。
可选地，在上述实施例的任意一种实施场景下，步骤402可以采用另外一种实现方式进行实现。
402的另一种实现方式、所述认证请求包括用户标识；所述NEF实体根据所述用户标识，确定所述第三方认证实体的标识；所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，SMF实体向NEF实体发送信令，该信令包括了认证请求和第一参数，在认证请求中包括了用户标识。NEF实体接收到认证请求之后，NEF实体根据认证请求中的用户标识，确定出第三方认证实体的标识，其中，第三方认证实体的标识可以为第三方认证实体的名字、第三方认证实体的ID、第三方认证实体的地址信息。然后，NEF实体就可以直接向第三方认证实体的标识所指示的第三方认证实体，发送认证请求。
可选地，在上述实施例的任意一种实施场景下，上述方法在步骤402之前还包括步骤405。
405、所述NEF实体建立所述SMF实体与所述第三方认证实体之间的绑定关系。
在一个示例中，步骤402之前，NEF实体可以将SMF实体与第三方认证实体进行绑定。一个示例中，NEF实体接收到SMF实体发送的信令，该信令包括第一参数和SMF实体的标识，其中，第一参数包括第三方认证实体的标识，然后NEF实体就可以将建立起SMF实体的标识与第三方认证实体的标识之间的绑定关系，进而将SMF实体与第三方认证实体进行绑定。
如图5所示，本申请实施例提供的再一种会话处理方法，该方法具体如下所述。
501、终端设备向AMF实体发送信令，在该信令中包括PDU会话建立请求，其中，PDU会话建立请求用于请求为终端设备建立PDU会话。
在一个示例中，本步骤可以参见图2的步骤201，不再赘述。
502、AMF实体向SMF实体发送一个第一信令，在该第一信令中包括步骤501中的PDU会话建立请求。
在一个示例中，本步骤可以参见图2的步骤201，不再赘述。
503、SMF实体根据参考信息，确定对PDU会话进行认证。
其中，所述参考信息包括以下的至少一种：DNN，会话管理-网络切片选择辅助信息(ssession management-network slice selection assistance information，S-NSSAI)，应 用标识，至少一个终端设备的标识。
在一个示例中，本步骤可以参见图2的步骤202，不再赘述。
504、SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息。
505、终端设备通过AMF实体向SMF实体发送用户标识。
在一个示例中，本步骤可以参见图2的步骤202，不再赘述。
506、SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识。
可替换地，步骤506可以替换为所述第一信令还包括用户标识，所述SMF实体根据所述用户标识，获得所述第三方认证实体的标识。
其中，SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识，包括了如下几种实现方式：
方式一、当所述第一信令包括所述PDU会话对应的DNN时，所述SMF实体根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系。
方式二、当所述第一信令包括所述PDU会话对应的应用标识时，所述SMF实体根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系。
方式三、当所述第一信令包括所述PDU会话对应的DNN和应用标识时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
在一个示例中，本步骤可以参见图2的步骤203的方式一以及步骤203的方式二的描述，不再赘述。
507、SMF实体向NEF实体发送第三方认证实体的标识和认证请求。
在一个示例中，SMF实体向NEF实体发送第二信令，该第二信令包括认证请求和第一参数，第一参数包括上述第三方认证实体的标识。
508、NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，本步骤可以参见图2的步骤203的方式一以及步骤203的方式二的描述，不再赘述。
509、第三方认证实体生成认证消息，该认证消息用于请求终端设备提供认证参数。
5010、第三方认证实体通过NEF实体向SMF实体发送上述认证消息。
在一个示例中，步骤509和步骤5010可以参见步骤205，不再赘述。
5011、SMF实体通过AMF实体向终端设备发送上述认证消息。
在一个示例中，本步骤可以参见步骤206，不再赘述。
5012、终端设备通过AMF实体向SMF实体发送认证参数。
在一个示例中，本步骤可以参见步骤207，不再赘述。
5013、SMF实体通过NEF实体向第三方认证实体发送上述认证参数。
在一个示例中，本步骤可以参见步骤207，不再赘述。
5014、第三方认证实体会根据该认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
5015、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，步骤5014和步骤5015可以参见步骤208，不再赘述。
5016、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
在一个示例中，本步骤可以参见步骤209，不再赘述。
在步骤5015之后，还包括：
5017、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。其中步骤5016和步骤5017可以同时进行，也可以不同时进行。
在一个示例中，本步骤可以参见步骤2010，不再赘述。
采用上述实施例提供的方法，SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息确定对PDU会话进行认证之后，通过NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以在SMF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，在步骤503之前，还可以执行一个步骤：所述SMF实体在所述SMF实体上配置所述参考信息；或者，所述SMF实体从UDM实体实体上、或PCF实体上、或所述NEF实体上获取所述参考信息。可以参见步骤2014的描述，不再赘述。
如图6所示，本申请实施例提供的还一种会话处理方法，该方法具体如下所述。
601、终端设备向AMF实体发送信令，在该信令中包括PDU会话建立请求和认证参数，其中，PDU会话建立请求用于请求为终端设备建立PDU会话。
在一个示例中，本步骤可以参见图2的步骤201，与步骤201不同之处在于，在601的信令包括了认证参数。
602、AMF实体向SMF实体发送一个第一信令，在该第一信令中包括步骤601中的PDU会话建立请求和认证参数。
在一个示例中，本步骤可以参见图2的步骤201，与步骤201不同之处在于，在602的第一信令包括了认证参数。
603、SMF实体根据参考信息，确定对PDU会话进行认证。
其中，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识，至少一个终端设备的标识。
在一个示例中，本步骤可以参见图2的步骤202，不再赘述。
604、SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息。
605、终端设备通过AMF实体向SMF实体发送用户标识。
在一个示例中，本步骤可以参见图2的步骤202，不再赘述。
606、SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识。或者，所述第一信令还包括用户标识，所述SMF实体根据所述用户标识，获得所述第三方认证实体的标识。
在一个示例中，本步骤可以参见图2的步骤203的方式一以及步骤203的方式二的描述，不再赘述。
607、SMF实体向NEF实体发送第三方认证实体的标识和认证请求，其中，认证请求中包括认证参数。
在一个示例中，SMF实体向NEF实体发送第二信令，该第二信令包括认证请求和第一参数，第一参数包括上述第三方认证实体的标识。
608、NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，本步骤可以参见图2的步骤203的方式一以及步骤203的方式二的描述，与步骤203的不同之处在于，认证请求中包括上述认证参数。
609、第三方认证实体会根据认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
6010、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，步骤609和步骤6010可以参见步骤2011，不再赘述。
6011、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行所述终端设备与所述第三方认证实体之间的PDU会话建立流程。
在一个示例中，本步骤可以参见步骤2012，不再赘述。
在步骤6010之后，还包括：
6012、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，本步骤可以参见步骤2013，不再赘述。
采用上述实施例提供的方法，SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息确定对PDU会话进行认证之后，通过NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以在SMF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立 的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，在步骤603之前，还可以执行一个步骤：所述SMF实体在所述SMF实体上配置所述参考信息；或者，所述SMF实体从UDM实体上、或PCF实体上、或所述NEF实体上获取所述参考信息。可以参见步骤2014的描述，不再赘述。
如图7所示，本申请实施例提供的其他一种会话处理方法，该方法具体如下所述。
701、终端设备根据参考信息，确定对PDU会话进行认证。
其中，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
在一个示例中，本步骤可以参见步骤301，不再赘述。
702、所述终端设备向AMF实体发送信令，该信令包括PDU会话建立请求和用户标识。
703、AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求和用户标识。
在一个示例中，步骤702和703可以参见步骤302，不再赘述。
704、SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息。
705、终端设备通过AMF实体向SMF实体发送用户标识。
706、SMF实体根据对应关系以及步骤703中的信令，获得所述第三方认证实体的标识。或者，SMF实体根据705中的用户标识，获得所述第三方认证实体的标识。
在一个示例中，PDU会话为当前的终端设备与第三方认证实体之间的PDU会话。PDU会话对应的DNN，为PDU会话对应的DNN；PDU会话对应的应用标识，为PDU会话对应的应用标识；PDU会话对应的S-NSSAI，为PDU会话对应的S-NSSAI；
其中，SMF实体根据对应关系以及步骤703中的信令，获得所述第三方认证实体的标识，包括了如下几种实现方式：
方式一、当步骤703中的信令包括所述PDU会话对应的DNN时，所述SMF实体根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系。
方式二、当步骤703中的信令包括所述PDU会话对应的应用标识时，所述SMF实体根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系。
方式三、当步骤703中的信令包括所述PDU会话对应的DNN和应用标识时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
707、SMF实体向NEF实体发送第三方认证实体的标识和认证请求。
在一个示例中，SMF实体向NEF实体发送信令，该信令包括认证请求和第一参数， 第一参数包括上述第三方认证实体的标识。
708、NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
709、第三方认证实体生成认证消息，该认证消息用于请求终端设备提供认证参数。
7010、第三方认证实体通过NEF实体向SMF实体发送上述认证消息。
在一个示例中，步骤709和步骤7010可以参见步骤205的描述，不再赘述。
7011、SMF实体通过AMF实体向终端设备发送上述认证消息。
在一个示例中，本步骤可以参见步骤206的描述，不再赘述。
7012、终端设备通过AMF实体向SMF实体发送认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
7013、SMF实体通过NEF实体向第三方认证实体发送上述认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
7014、第三方认证实体会根据该认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
7015、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，步骤7014和步骤7015可以参见步骤208的描述，不再赘述。
7016、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行所述终端设备与所述第三方认证实体之间的PDU会话建立流程。
在一个示例中，本步骤可以参见步骤209的描述，不再赘述。
在步骤7015之后，还包括：
7017、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，本步骤可以参见步骤2010的描述，不再赘述。其中步骤7016和步骤7017可以同时进行，也可以不同时进行。
采用上述实施例提供的方法，终端设备根据参考信息，确定对PDU会话进行认证；终端设备发送第一信令，第一信令包括PDU会话建立请求，第一信令还包括用户标识。提供了一种基于控制面的PDU会话认证的方式，可以在终端设备上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，步骤704和705可以不执行，这个时候，步骤702中终端设备向AMF实体发送的信令中包括PDU会话建立请求和用户标识。例如，终端设备向AMF实体发送PDU会话建立请求和用户标识，PDU会话建 立请求和用户标识同时携带在了信令中；或者是，终端设备向AMF实体发送信令，该信令中包括PDU会话建立请求，该PDU会话建立请求包括用户标识。然后步骤703中，AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求和上述用户标识。
如图8所示，本申请实施例提供的又其他一种会话处理方法，该方法具体如下所述。
801、终端设备根据参考信息，确定对PDU会话进行认证。
其中，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
在一个示例中，本步骤可以参见步骤301，不再赘述。
802、所述终端设备向AMF实体发送信令，该信令包括PDU会话建立请求和认证参数。
803、AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求、用户标识和认证参数。
在一个示例中，步骤802和803可以参见步骤302，不再赘述。
804、SMF实体通过AMF实体向终端设备发送用于获取用户标识请求的消息。
805、终端设备通过AMF实体向SMF实体发送用户标识。
806、SMF实体根据对应关系以及步骤803中的信令，获得所述第三方认证实体的标识。可替换地，步骤806可以替换为：SMF实体根据805中的用户标识，获得所述第三方认证实体的标识。
在一个示例中，PDU会话为当前的终端设备与第三方认证实体之间的PDU会话。PDU会话对应的DNN，为PDU会话对应的DNN；PDU会话对应的应用标识，为PDU会话对应的应用标识；PDU会话对应的S-NSSAI，为PDU会话对应的S-NSSAI；
807、SMF实体向NEF实体发送第三方认证实体的标识和认证请求，该认证请求中包括上述认证参数。
在一个示例中，SMF实体向NEF实体发送信令，该信令包括认证请求和第一参数，第一参数包括上述第三方认证实体的标识；该认证请求中包括上述认证参数。
808、NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
在一个示例中，步骤808中的认证请求中包括上述认证参数。
809、第三方认证实体会根据该认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
8010、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，第三方认证实体会将生成的认证结果发送给NEF实体，NEF实体将认证结果发送给SMF实体。可选的，第三方认证实体会向NEF实体发送认证反馈消息，上述认证结果携带在该认证反馈消息中，该认证反馈消息还包括了密钥生成参数；然后，NEF实体上述认证反馈消息发送给SMF实体；其中，密钥生成参数用于终端设备与第三方认证实体之间的应用层安全建立。
8011、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行所述终端设备与所述第三方认证实体之间的PDU会话建立流程。
在一个示例中，本步骤可以参见步骤209的描述，不再赘述。
在步骤8010之后，还包括：
8012、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，本步骤可以参见步骤2010的描述，不再赘述。其中步骤8011和步骤8012可以同时进行，也可以不同时进行。
采用上述实施例提供的方法，终端设备根据参考信息，确定对PDU会话进行认证；终端设备发送第一信令，第一信令包括PDU会话建立请求，第一信令还包括用户标识。提供了一种基于控制面的PDU会话认证的方式，可以在终端设备上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选地，在上述实施例的第一种实施场景下，步骤804和805可以不执行，这个时候，步骤802中终端设备向AMF实体发送的信令中包括PDU会话建立请求和用户标识。例如，终端设备向AMF实体发送PDU会话建立请求和用户标识，PDU会话建立请求和用户标识同时携带在了信令中；或者是，终端设备向AMF实体发送信令，该信令中包括PDU会话建立请求，该PDU会话建立请求包括用户标识。然后步骤803中，AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求和上述用户标识。
如图9所示，本申请实施例提供的另外的其他一种会话处理方法，该方法具体如下所述。
901、终端设备向AMF实体发送信令，该信令包括PDU会话建立请求。
902、AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求。
903、SMF实体向NEF实体发送认证请求和第一参数。
在一个示例中，步骤901至步骤903可以参见步骤401，不再赘述。
904、所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识。
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
例如，步骤904可以采用如下方式实现：
步骤904的方式一，所述第一参数包括所述DNN，所述NEF实体根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN 与第三方认证实体的标识之间的对应关系；
步骤904的方式二，所述第一参数包括所述应用标识，所述NEF实体根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
步骤904的方式三，所述第一参数包括所述DNN和所述应用标识，所述NEF实体根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
在一个示例中，本步骤可以参见步骤4021，不再赘述。
905、所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送上述认证请求。
在一个示例中，本步骤可以参见步骤4022，不再赘述。
906、第三方认证实体生成认证消息，该认证消息用于请求终端设备提供认证参数。
907、第三方认证实体通过NEF实体向SMF实体发送上述认证消息。
在一个示例中，步骤906和步骤907可以参见步骤205的描述，不再赘述。
908、SMF实体通过AMF实体向终端设备发送上述认证消息。
在一个示例中，本步骤可以参见步骤206的描述，不再赘述。
909、终端设备通过AMF实体向SMF实体发送认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
9010、SMF实体通过NEF实体向第三方认证实体发送上述认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
9011、第三方认证实体会根据该认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
9012、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，步骤9011和步骤9012可以参见步骤208的描述，不再赘述。
9013、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行所述终端设备与所述第三方认证实体之间的PDU会话建立流程。
在一个示例中，本步骤可以参见步骤209的描述，不再赘述。
在步骤9012之后，还包括：
9014、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，本步骤可以参见步骤2010的描述，不再赘述。其中步骤9013和步骤9014可以同时进行，也可以不同时进行。
采用上述实施例提供的方法，NEF实体从SMF实体接收认证请求和第一参数，然后NEF实体根据第一参数，将认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以在NEF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN的第三方认证实 体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
可选的，在上述实施例的第一种实施场景下，在901中的信令中还包括了认证参数时，上述认证请求中包括上述认证参数。步骤906-9012不用实施，可以采用步骤9015和步骤9016实施。步骤9014在步骤9016之后进行。
9015、第三方认证实体会根据认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
9016、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
可选的，在上述实施例的第一种实施场景或第二种实施场景下，在步骤903中，所述认证请求和所述第一参数携带在第一信令中，所述第一信令还包括所述SMF实体的标识；这时，在步骤905中，步骤905可以采用如下实现方式：所述NEF实体将所述认证请求和所述SMF实体的标识发送给所述第三方认证实体；或者，所述NEF实体将所述SMF实体的标识转换为所述SMF实体的外部标识，并将所述认证请求和所述外部标识发送给所述第三方认证实体。
可选的，在上述实施例的第一种实施场景或第二种实施场景或第三种实施场景下，在步骤903之前，还可以包括步骤9017和9018。
9017、所述NEF实体接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；9018、当所述业务注册流程成功时，所述NEF实体生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，所述NEF实体向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
可选的，在上述实施例的任意一种实施场景下，在步骤905之前，还可以包括步骤9019、所述NEF实体建立所述SMF实体与所述第三方认证实体之间的绑定关系。
如图10所示，本申请实施例提供的又有的其他一种会话处理方法，该方法具体如下所述。
1001、终端设备向AMF实体发送信令，该信令包括PDU会话建立请求。
1002、AMF实体向SMF实体发送信令，该信令包括上述PDU会话建立请求。
1003、SMF实体向NEF实体发送认证请求和第一参数。
在一个示例中，步骤1001至步骤1003可以参见步骤401，不再赘述。
1004、所述NEF实体根据参考信息，确定对所述PDU会话进行认证，所述参考 信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
例如，步骤1004可以采用如下几种实现方式。
步骤1004的方式一、所述参考信息包括DNN，当所述参考信息包括所述第一参数中的DNN时，所述NEF实体确定对所述PDU会话进行认证；
步骤1004的方式二、所述参考信息包括应用标识，当所述参考信息包括所述第一参数中所述应用标识时，所述NEF实体确定对所述PDU会话进行认证；
步骤1004的方式三、所述参考信息包括DNN和应用标识，当所述参考信息包括所述第一参数中DNN和应用标识时，所述NEF实体确定对所述PDU会话进行认证；
步骤1004的方式四、所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述第一参数中DNN和S-NSSAI时，所述NEF实体确定对所述PDU会话进行认证。
1005、所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识。
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
例如，步骤1005可以采用如下方式实现：
步骤1005的方式一，所述第一参数包括所述DNN，所述NEF实体根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
步骤1005的方式二，所述第一参数包括所述应用标识，所述NEF实体根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
步骤1005的方式三，所述第一参数包括所述DNN和所述应用标识，所述NEF实体根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
在一个示例中，本步骤可以参见步骤4021，不再赘述。
1006、所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送上述认证请求。
在一个示例中，本步骤可以参见步骤4022，不再赘述。
1007、第三方认证实体生成认证消息，该认证消息用于请求终端设备提供认证参数。
1008、第三方认证实体通过NEF实体向SMF实体发送上述认证消息。
在一个示例中，步骤1007和步骤1008可以参见步骤205的描述，不再赘述。
1009、SMF实体通过AMF实体向终端设备发送上述认证消息。
在一个示例中，本步骤可以参见步骤206的描述，不再赘述。
10010、终端设备通过AMF实体向SMF实体发送认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
10011、SMF实体通过NEF实体向第三方认证实体发送上述认证参数。
在一个示例中，本步骤可以参见步骤207的描述，不再赘述。
10012、第三方认证实体会根据该认证参数对终端设备进行认证，生成认证结果，认证结果指示终端设备与第三方认证实体之间的认证是否成功。
10013、第三方认证实体通过NEF实体向SMF实体发送认证结果。其中，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数。
在一个示例中，步骤10012和步骤10013可以参见步骤208的描述，不再赘述。
10014、SMF实体确定认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行所述终端设备与所述第三方认证实体之间的PDU会话建立流程。
在一个示例中，本步骤可以参见步骤209的描述，不再赘述。
在步骤10013之后，还包括：
10015、SMF实体向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
在一个示例中，本步骤可以参见步骤2010的描述，不再赘述。其中步骤10014和步骤10015可以同时进行，也可以不同时进行。
采用上述实施例提供的方法，NEF实体从SMF实体接收认证请求和第一参数，然后NEF实体根据第一参数，将认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以在NEF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与数据网络(data network，DN)的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
如图11所示，本申请实施例提供了一种会话处理装置，该会话处理装置可以为SMF节点，可以用于执行图2所示实施例中SMF实体的动作或步骤，还可以用于执行图5-6所示实施例中SMF实体的动作或步骤。该会话处理装置可以包括：第一接收单元111、确定单元112和第一发送单元113。
第一接收单元111，用于接收PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话；
确定单元112，用于根据参考信息，确定对所述PDU会话进行认证；
第一发送单元113，用于通过NEF实体向第三方认证实体发送认证请求。
进一步地，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
进一步地，所述PDU会话建立请求携带在第一信令中；所述确定单元112，具体用于：
所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识， 当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
进一步地，所述第一发送单元113，包括：
获取子单元1131，用于根据对应关系以及所述第一信令，获得所述第三方认证实体的标识；
发送子单元1132，用于通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
进一步地，所述获取子单元1131，具体用于：
当所述第一信令包括所述PDU会话对应的DNN时，根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的应用标识时，根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系；
或者，
当所述第一信令包括所述PDU会话对应的DNN和应用标识时，根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
进一步地，所述PDU会话建立请求携带在第一信令中；
所述第一发送单元113，具体用于：
所述第一信令还包括用户标识，根据所述用户标识，获得所述第三方认证实体的标识；
通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
进一步地，所述装置，还包括：
第二接收单元114，用于在所述第一发送单元113通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数；
第二发送单元115，用于向所述终端设备发送所述认证消息；
第三接收单元116，用于接收所述认证参数，并将所述认证参数通过所述NEF实 体发送给所述第三方认证实体；
第四接收单元117，用于接收所述第三方认证实体通过所述NEF实体发送的认证结果；
第一确认单元118，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
或者，所述PDU会话建立请求携带在第一信令中，所述第一信令还包括认证参数；所述装置，还包括：
第五接收单元119，在所述第一发送单元通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证结果；
第二确认单元1110，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
进一步地，所述认证结果携带在认证反馈消息中，所述认证反馈消息还包括密钥生成参数；所述装置还包括：
第三发送单元1111，用于向所述终端设备发送所述密钥生成参数，其中，所述密钥生成参数用于所述终端设备与所述第三方认证实体之间的应用层安全建立。
进一步地，所述认证参数包括以下的至少一种：所述终端设备的证书、所述终端设备的用户名或密码、身份验证参数、安全密钥参数；
其中，所述身份验证参数用于所述第三方认证实体验证所述终端设备的身份；所述安全密钥参数用于生成所述终端设备与所述第三方认证实体之间的共享密钥。
进一步地，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
进一步地，所述装置，还包括：配置单元1112或者获取单元1113。
配置单元1112，用于在所述确定单元112根据参考信息，确定对所述PDU会话进行认证之前，配置所述参考信息；
获取单元1113，用于在所述确定单元112根据参考信息，确定对所述PDU会话进行认证之前，从统一数据管理功能UDM实体上、或策略控制功能PCF实体上、或所述NEF实体上获取所述参考信息。
本实施例提供的SMF实体，通过SMF实体接收PDU会话建立请求，PDU会话建立请求用于请求为终端设备建立PDU会话；SMF实体根据参考信息确定对PDU会话进行认证之后，通过NEF实体向第三方认证实体发送认证请求。提供了一种基于控制面的PDU会话认证的方式，可以在SMF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
如图12所示，本申请实施例提供了又一种会话处理装置，该会话处理装置可以为终端设备，可以用于执行图3所示实施例中SMF实体的动作或步骤，还可以用于执行图7-8所示实施例中终端设备的动作或步骤。该会话处理装置可以包括：确定单元121和发送单元122。
确定单元121，用于根据参考信息，确定对PDU会话进行认证；
发送单元122，用于发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为终端设备建立所述PDU会话。
进一步地，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
进一步地，所述确定单元121，具体用于：
所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
进一步地，所述第一信令还包括以下的至少一种：所述PDU会话对应的应用标识，认证参数。
进一步地，所述装置，还包括：
接收单元123，用于在所述发送单元122发送第一信令之后，接收会话管理功能SMF实体发送的密钥生成参数，其中，所述密钥生成参数用于所述终端设备的应用层安全建立。
本实施例提供的终端设备，通过终端设备根据参考信息，确定对PDU会话进行认证；终端设备发送第一信令，第一信令包括PDU会话建立请求，第一信令还包括用户标识。提供了一种基于控制面的PDU会话认证的方式，可以在终端设备上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
如图13所示，本申请实施例提供了另一种会话处理装置，该会话处理装置可以为NEF实体，可以用于执行图4所示实施例中NEF实体的动作或步骤，还可以用于执行 图9-10所示实施例中NEF实体的动作或步骤。该会话处理装置可以包括：第一接收单元131和第一发送单元132。
第一接收单元131，用于从SMF实体接收认证请求和第一参数，所述认证请求用于请求对PDU会话进行认证；
第一发送单元132，用于根据所述第一参数，将所述认证请求发送给第三方认证实体。
进一步地，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
进一步地，所述第一发送单元132，包括：
获取子单元1321，用于根据所述第一参数，获得所述第三方认证实体的标识；
发送子单元1322，用于向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
进一步地，所述获取子单元1321，具体用于：
所述第一参数包括所述PDU会话对应的DNN，根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的应用标识，根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
或者，
所述第一参数包括所述PDU会话对应的DNN和所述应用标识，根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系。
进一步地，所述装置，还包括：
确定单元133，用于在所述第一发送单元132根据所述第一参数，将所述认证请求发送给第三方认证实体之前，根据参考信息，确定对所述PDU会话进行认证，所述参考信息包括以下的至少一种：DNN，S-NSSAI，应用标识。
进一步地，所述确定单元133，具体用于：
所述参考信息包括DNN，当所述参考信息包括所述第一参数中的DNN时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括应用标识，当所述参考信息包括所述第一参数中所述应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和应用标识，当所述参考信息包括所述第一参数中DNN和应用标识时，确定对所述PDU会话进行认证；
或者，
所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述第一参数中DNN和S-NSSAI时，确定对所述PDU会话进行认证。
进一步地，所述认证请求和所述第一参数携带在第一信令中，所述第一信令还包括所述SMF实体的标识；
所述第一发送单元132，具体用于：
将所述认证请求和所述SMF实体的标识发送给所述第三方认证实体；
或者，
将所述SMF实体的标识转换为所述SMF实体的外部标识，并将所述认证请求和所述外部标识发送给所述第三方认证实体。
进一步地，所述装置，还包括：
第二接收单元134，用于在所述第一接收单元132从SMF实体接收认证请求和第一参数之前，接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；
第二发送单元134，用于当所述业务注册流程成功时，生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
进一步地，所述装置，还包括：
建立单元135，用于在所述第一发送单元132根据所述第一参数，将所述认证请求发送给第三方认证实体之前，建立所述SMF实体与所述第三方认证实体之间的绑定关系。
本实施例提供的NEF实体，通过NEF实体从SMF实体接收认证请求和第一参数，然后NEF实体根据第一参数，将认证请求发送给第三方认证实体。提供了一种基于控制面的PDU会话认证的方式，可以在NEF实体上对第三方认证实体进行认证；并且，SMF实体通过与SMF实体连接的NEF实体，向第三方认证实体发送认证请求，使得第三方认证实体可以对终端设备进行认证；进而要求终端设备与DN网络的第三方认证实体进行相互认证，只有当认证通过，才会建立PDU会话。进而通过以上的PDU会话建立的认证，DN网络可以接受合法用户的接入，并且拒绝非法用户的接入，提高了DN网络的安全性；同时，第三方认证实体可以将认证结果通知给5G网络，5G网络可以拒绝为非法用户建立PDU会话，进而节省了网络资源。
如图14所示，本申请实施例提供了一种SMF实体，可以用于执行图2所示实施例中SMF实体动作或步骤，还可以用于执行图5-6所示实施例中SMF节点的动作或步骤，具体包括：处理器1401，存储器1402和通信接口1403。
存储器1402，用于存储程序；
处理器1401，用于执行存储器1402中存储的程序，以实现图2所示实施例中SMF实体的动作，或图5-6所示实施例中SMF实体的动作，不再赘述。
在本申请实施例中，上述各实施例之间可以相互参考和借鉴，相同或相似的步骤以及名词均不再一一赘述。
如图15所示，本申请实施例提供了一种终端设备，可以用于执行图3所示实施例中终端设备动作或步骤，还可以用于执行图7-8所示实施例中SMF节点的动作或步骤，具体包括：处理器1501，存储器1502和通信接口1503。
存储器1502，用于存储程序；
处理器1501，用于执行存储器1502中存储的程序，以实现图3所示实施例中终端设备的动作，或图7-8所示实施例中终端设备的动作，不再赘述。
通信接口1503具体可以是收发器。
在本申请实施例中，上述各实施例之间可以相互参考和借鉴，相同或相似的步骤以及名词均不再一一赘述。
如图16所示，本申请实施例提供了一种NEF实体，可以用于执行图4所示实施例中NEF实体动作或步骤，还可以用于执行图9-10所示实施例中NEF节点的动作或步骤，具体包括：处理器1601，存储器1602和通信接口1603。
存储器1602，用于存储程序；
处理器1601，用于执行存储器1602中存储的程序，以实现图4所示实施例中NEF实体的动作，或图9-10所示实施例中NEF实体的动作，不再赘述。
在本申请实施例中，上述各实施例之间可以相互参考和借鉴，相同或相似的步骤以及名词均不再一一赘述。
在上述实施例中，可以全部或部分地通过软件、硬件、固件或者其任意组合来实现。当使用软件实现时，可以全部或部分地以计算机程序产品的形式实现。所述计算机程序产品包括一个或多个计算机指令。在计算机上加载和执行所述计算机程序指令时，全部或部分地产生按照本申请实施例所述的流程或功能。所述计算机可以是通用计算机、专用计算机、计算机网络、或者其他可编程装置。所述计算机指令可以存储在计算机可读存储介质中，或者从一个计算机可读存储介质向另一个计算机可读存储介质传输，例如，所述计算机指令可以从一个网站站点、计算机、服务器或数据中心通过有线(例如同轴电缆、光纤、数字用户线(DSL))或无线(例如红外、无线、微波等)方式向另一个网站站点、计算机、服务器或数据中心进行传输。所述计算机可读存储介质可以是计算机能够存取的任何可用介质或者是包含一个或多个可用介质集成的服务器、数据中心等数据存储设备。所述可用介质可以是磁性介质，(例如，软盘、硬盘、磁带)、光介质(例如，DVD)、或者半导体介质(例如固态硬盘Solid State Disk(SSD))等。

Claims (36)

  1. 一种会话处理方法，其特征在于，包括：
    会话管理功能SMF实体接收协议数据单元PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话；
    所述SMF实体根据参考信息，确定对所述PDU会话进行认证；
    所述SMF实体通过网络开放功能NEF实体向第三方认证实体发送认证请求。
  2. 根据权利要求1所述的方法，其特征在于，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
  3. 根据权利要求2所述的方法，其特征在于，所述PDU会话建立请求携带在第一信令中；
    所述SMF实体根据参考信息，确定对所述PDU会话进行认证，包括：
    所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述SMF实体确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述SMF实体确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述SMF实体确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体确定对所述PDU会话进行认证。
  4. 根据权利要求3所述的方法，其特征在于，所述SMF实体通过NEF实体向第三方认证实体发送认证请求，包括：
    所述SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识；
    所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  5. 根据权利要求4所述的方法，其特征在于，所述SMF实体根据对应关系以及所述第一信令，获得所述第三方认证实体的标识，包括：
    当所述第一信令包括所述PDU会话对应的DNN时，所述SMF实体根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的应用标识时，所述SMF实体根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述 对应关系为应用标识与第三方认证实体的标识之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的DNN和应用标识时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和S-NSSAI，获得所述第三方认证实体的标识，所述对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
  6. 根据权利要求1-3任一项所述的方法，其特征在于，所述PDU会话建立请求携带在第一信令中；
    所述SMF实体通过NEF实体向第三方认证实体发送认证请求，包括：
    所述第一信令还包括用户标识，所述SMF实体根据所述用户标识，获得所述第三方认证实体的标识；
    所述SMF实体通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  7. 根据权利要求1-6任一项所述的方法，其特征在于，在所述SMF实体通过NEF实体向第三方认证实体发送认证请求之后，还包括：
    所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数；
    所述SMF实体向所述终端设备发送所述认证消息；
    所述SMF实体接收所述认证参数，并将所述认证参数通过所述NEF实体发送给所述第三方认证实体；
    所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果；
    当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
  8. 根据权利要求1-6任一项所述的方法，其特征在于，所述PDU会话建立请求携带在第一信令中，所述第一信令还包括认证参数；
    在所述SMF实体通过NEF实体向第三方认证实体发送认证请求之后，还包括：
    所述SMF实体接收所述第三方认证实体通过所述NEF实体发送的认证结果；
    当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，所述SMF实体继续执行PDU会话建立流程。
  9. 根据权利要求1-8任一项所述的方法，其特征在于，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
    其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
  10. 根据权利要求1-9任一项所述的方法，其特征在于，在所述SMF实体根据参 考信息，确定对所述PDU会话进行认证之前，还包括：
    所述SMF实体在所述SMF实体上配置所述参考信息；
    或者，
    所述SMF实体从统一数据管理功能UDM实体上、或策略控制功能PCF实体上、或所述NEF实体上获取所述参考信息。
  11. 一种会话处理方法，其特征在于，包括：
    终端设备根据参考信息，确定对协议数据单元PDU会话进行认证；
    所述终端设备发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为所述终端设备建立所述PDU会话。
  12. 根据权利要求11所述的方法，其特征在于，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
  13. 根据权利要求12所述的方法，其特征在于，所述终端设备根据参考信息，确定对PDU会话进行认证，包括：
    所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，所述终端设备确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，所述终端设备确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，所述终端设备确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，所述终端设备确定对所述PDU会话进行认证。
  14. 一种会话处理方法，其特征在于，包括：
    选择网络开放功能NEF实体从会话管理功能SMF实体接收认证请求和第一参数，所述认证请求用于请求对协议数据单元PDU会话进行认证；
    所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体。
  15. 根据权利要求14所述的方法，其特征在于，所述第一参数包括以下的至少一种：所述PDU会话对应的数据网络名DNN、所述PDU会话对应的会话管理-网络切片选择辅助信息S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
  16. 根据权利要求15所述的方法，其特征在于，所述NEF实体根据所述第一参数，将所述认证请求发送给第三方认证实体，包括：
    所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识；
    所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  17. 根据权利要求16所述的方法，其特征在于，所述NEF实体根据所述第一参数，获得所述第三方认证实体的标识，包括：
    所述第一参数包括所述PDU会话对应的DNN，所述NEF实体根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
    或者，
    所述第一参数包括所述PDU会话对应的应用标识，所述NEF实体根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
    或者，
    所述第一参数包括所述PDU会话对应的DNN和所述应用标识，所述NEF实体根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
    或者，
    当所述第一参数包括所述PDU会话对应的DNN和S-NSSAI时，所述NEF实体根据第五对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第五对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
  18. 根据权利要求14-17任一项所述的方法，其特征在于，在所述NEF实体从SMF实体接收认证请求和第一参数之前，还包括：
    所述NEF实体接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；
    当所述业务注册流程成功时，所述NEF实体生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，所述NEF实体向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
  19. 一种会话处理装置，其特征在于，包括：
    第一接收单元，用于接收协议数据单元PDU会话建立请求，所述PDU会话建立请求用于请求为终端设备建立PDU会话；
    确定单元，用于根据参考信息，确定对所述PDU会话进行认证；
    第一发送单元，用于通过网络开放功能NEF实体向第三方认证实体发送认证请求。
  20. 根据权利要求19所述的装置，其特征在于，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
  21. 根据权利要求20所述的装置，其特征在于，所述PDU会话建立请求携带在第一信令中；
    所述确定单元，具体用于：
    所述参考信息包括DNN，所述第一信令还包括所述PDU会话对应的DNN，当所述参考信息包括所述PDU会话对应的DNN时，确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括应用标识，所述第一信令还包括所述PDU会话对应的应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和应用标识，所述第一信令还包括所述PDU会话对应的DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和S-NSSAI，所述第一信令还包括所述PDU会话对应的DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
  22. 根据权利要求21所述的装置，其特征在于，所述第一发送单元，包括：
    获取子单元，用于根据对应关系以及所述第一信令，获得所述第三方认证实体的标识；
    发送子单元，用于通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  23. 根据权利要求22所述的装置，其特征在于，所述获取子单元，具体用于：
    当所述第一信令包括所述PDU会话对应的DNN时，根据所述对应关系以及所述PDU会话对应的DNN，获得所述第三方认证实体的标识，所述对应关系为DNN与第三方认证实体的标识之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的应用标识时，根据所述对应关系以及所述PDU会话对应的应用标识，获得所述第三方认证实体的标识，所述对应关系为应用标识与第三方认证实体的标识之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的DNN和应用标识时，根据所述对应关系，以及所述PDU会话对应的DNN和应用标识，获得所述第三方认证实体的标识，所述对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
    或者，
    当所述第一信令包括所述PDU会话对应的DNN和S-NSSAI时，所述SMF实体根据所述对应关系，以及所述PDU会话对应的DNN和S-NSSAI，获得所述第三方认证实体的标识，所述对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
  24. 根据权利要求19-21任一项所述的装置，其特征在于，所述PDU会话建立请求携带在第一信令中；
    所述第一发送单元，具体用于：
    所述第一信令还包括用户标识，根据所述用户标识，获得所述第三方认证实体的标识；
    通过所述NEF实体向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  25. 根据权利要求19-24任一项所述的装置，其特征在于，所述装置，还包括：
    第二接收单元，用于在所述第一发送单元通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证消息，其中，所述认证消息用于请求所述终端设备发送认证参数；
    第二发送单元，用于向所述终端设备发送所述认证消息；
    第三接收单元，用于接收所述认证参数，并将所述认证参数通过所述NEF实体发送给所述第三方认证实体；
    第四接收单元，用于接收所述第三方认证实体通过所述NEF实体发送的认证结果；
    第一确认单元，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
  26. 根据权利要求19-24任一项所述的装置，其特征在于，所述PDU会话建立请求携带在第一信令中，所述第一信令还包括认证参数；
    所述装置，还包括：
    第五接收单元，在所述第一发送单元通过NEF实体向第三方认证实体发送认证请求之后，接收所述第三方认证实体通过所述NEF实体发送的认证结果；
    第二确认单元，用于当所述认证结果指示所述终端设备与所述第三方认证实体之间的认证成功时，继续执行PDU会话建立流程。
  27. 根据权利要求19-26任一项所述的装置，其特征在于，所述认证请求携带在第二信令中，所述第二信令还包括第一参数；
    其中，所述第一参数包括以下的至少一种：所述PDU会话对应的DNN、所述PDU会话对应的S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
  28. 根据权利要求19-27任一项所述的装置，其特征在于，所述装置，还包括：
    配置单元，用于在所述确定单元根据参考信息，确定对所述PDU会话进行认证之前，配置所述参考信息；
    或者，所述装置，还包括：
    获取单元，用于在所述确定单元根据参考信息，确定对所述PDU会话进行认证之前，从统一数据管理功能UDM实体上、或策略控制功能PCF实体上、或所述NEF实体上获取所述参考信息。
  29. 一种会话处理装置，其特征在于，包括：
    确定单元，用于根据参考信息，确定对协议数据单元PDU会话进行认证；
    发送单元，用于发送信令消息，所述信令消息包括PDU会话建立请求和用户标识，所述PDU会话建立请求用于请求为终端设备建立所述PDU会话。
  30. 根据权利要求29所述的装置，其特征在于，所述参考信息包括以下的至少一种：数据网络名DNN，会话管理-网络切片选择辅助信息S-NSSAI，应用标识。
  31. 根据权利要求30所述的装置，其特征在于，所述确定单元，具体用于：
    所述参考信息包括DNN，当所述参考信息包括所述PDU会话对应的DNN时，确 定对所述PDU会话进行认证；
    或者，
    所述参考信息包括应用标识，当所述参考信息包括所述PDU会话对应的应用标识时，确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和应用标识，当所述参考信息包括所述PDU会话对应的DNN和应用标识时，确定对所述PDU会话进行认证；
    或者，
    所述参考信息包括DNN和S-NSSAI，当所述参考信息包括所述PDU会话对应的DNN和S-NSSAI时，确定对所述PDU会话进行认证。
  32. 一种会话处理装置，其特征在于，包括：
    第一接收单元，用于从会话管理功能SMF实体接收认证请求和第一参数，所述认证请求用于请求对协议数据单元PDU会话进行认证；
    第一发送单元，用于根据所述第一参数，将所述认证请求发送给第三方认证实体。
  33. 根据权利要求32所述的装置，其特征在于，所述第一参数包括以下的至少一种：所述PDU会话对应的数据网络名DNN、所述PDU会话对应的会话管理-网络切片选择辅助信息S-NSSAI、所述PDU会话对应的应用标识、所述第三方认证实体的标识。
  34. 根据权利要求33所述的装置，其特征在于，所述第一发送单元，包括：
    获取子单元，用于根据所述第一参数，获得所述第三方认证实体的标识；
    发送子单元，用于向所述第三方认证实体的标识所指示的第三方认证实体发送所述认证请求。
  35. 根据权利要求34所述的装置，其特征在于，所述获取子单元，具体用于：
    所述第一参数包括所述PDU会话对应的DNN，根据第一对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第一对应关系为DNN与第三方认证实体的标识之间的对应关系；
    或者，
    所述第一参数包括所述PDU会话对应的应用标识，根据第二对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第二对应关系为应用标识与第三方认证实体的标识之间的对应关系；
    或者，
    所述第一参数包括所述PDU会话对应的DNN和所述应用标识，根据第三对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第三对应关系为DNN，应用标识以及第三方认证实体的标识三者之间的对应关系；
    或者
    当所述第一参数包括所述PDU会话对应的DNN和S-NSSAI时，所述NEF实体根据第五对应关系以及所述第一参数，获得所述第三方认证实体的标识，所述第五对应关系为DNN，S-NSSAI以及第三方认证实体的标识三者之间的对应关系。
  36. 根据权利要求32-35任一项所述的装置，其特征在于，所述装置，还包括：
    第二接收单元，用于在所述第一接收单元从SMF实体接收认证请求和第一参数之前，接收所述第三方认证实体发送的业务注册请求，其中，所述业务注册请求用于请求所述NEF实体完成与所述第三方认证实体之间的业务注册流程；
    第二发送单元，用于当所述业务注册流程成功时，生成参考信息，并向所述SMF实体或策略控制功能PCF实体发送参考信息；或者，当所述业务注册流程成功时，向所述PCF实体发送第一消息，所述第一消息用于所述PCF实体生成参考信息和/或动态策略控制和计费PCC策略。
PCT/CN2018/088067 2017-06-20 2018-05-23 会话处理方法和设备 WO2018233436A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
EP18820052.1A EP3627793B1 (en) 2017-06-20 2018-05-23 Session processing method and device
US16/719,473 US20200128614A1 (en) 2017-06-20 2019-12-18 Session processing method and device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201710471926.2 2017-06-20
CN201710471926.2A CN109104394B (zh) 2017-06-20 2017-06-20 会话处理方法和设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/719,473 Continuation US20200128614A1 (en) 2017-06-20 2019-12-18 Session processing method and device

Publications (1)

Publication Number Publication Date
WO2018233436A1 true WO2018233436A1 (zh) 2018-12-27

Family

ID=64735474

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2018/088067 WO2018233436A1 (zh) 2017-06-20 2018-05-23 会话处理方法和设备

Country Status (4)

Country Link
US (1) US20200128614A1 (zh)
EP (1) EP3627793B1 (zh)
CN (1) CN109104394B (zh)
WO (1) WO2018233436A1 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020183058A1 (en) * 2019-03-12 2020-09-17 Nokia Technologies Oy Communication network-anchored cryptographic key sharing with third-party application
WO2020249861A1 (en) * 2019-06-08 2020-12-17 Nokia Technologies Oy Communication security between user equipment and third-party application using communication network-based key
EP4030818A4 (en) * 2019-09-30 2023-04-12 Huawei Technologies Co., Ltd. METHOD AND COMMUNICATION DEVICE

Families Citing this family (18)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108512878B (zh) * 2017-02-28 2021-01-29 华为技术有限公司 一种业务管理方法及其装置
JP7455580B2 (ja) * 2017-03-21 2024-03-26 ノキア テクノロジーズ オサケユイチア ネットワークスライシングをサポートするモバイルシステムにおける強化された登録手続き
US10797894B2 (en) * 2017-12-28 2020-10-06 Ofinno, Llc Service type and device type-based policy and charging control
WO2019229492A1 (en) * 2018-05-26 2019-12-05 Telefonaktiebolaget Lm Ericsson (Publ) Methods and systems for ue to request appropriate nssai in 5g
CN112740732A (zh) * 2018-09-18 2021-04-30 Oppo广东移动通信有限公司 用于网络切片鉴权的方法和设备
CN111405553B (zh) * 2019-01-03 2021-07-23 大唐移动通信设备有限公司 一种基于5g网络建立会话的方法及装置
CN111436160B (zh) * 2019-01-15 2022-04-29 华为技术有限公司 一种局域网通信方法、装置及系统
KR102587360B1 (ko) * 2019-02-14 2023-10-11 삼성전자 주식회사 Dn authorized pdu세션 재인증 지원 및 dn authorization data 변경에 따른 pdu세션 관리 방법 및 장치
KR102655128B1 (ko) * 2019-02-18 2024-04-04 후아웨이 테크놀러지 컴퍼니 리미티드 네트워크에 외부 서비스를 제공하기 위한 엔티티
CN111669750B (zh) * 2019-03-07 2021-08-03 华为技术有限公司 一种pdu会话二次验证的方法及装置
WO2020215486A1 (en) * 2019-04-26 2020-10-29 Telefonaktiebolaget Lm Ericsson (Publ) Method and apparatus for network function managing nidd session
CN112104757A (zh) * 2019-06-18 2020-12-18 中国移动通信有限公司研究院 Ip地址的配置方法、设备及系统
CN113904781B (zh) * 2020-06-20 2023-04-07 华为技术有限公司 切片认证方法及系统
US20230363019A1 (en) * 2020-08-14 2023-11-09 Beijing Xiaomi Mobile Software Co., Ltd. Method for information transmission
CN114640994A (zh) * 2020-12-16 2022-06-17 中国电信股份有限公司 协议数据单元会话鉴权认证方法、系统和相关设备
CN113194549B (zh) * 2021-03-22 2022-07-22 深圳市广和通无线股份有限公司 数据连接方法、装置、终端设备和计算机可读存储介质
WO2023010366A1 (zh) * 2021-08-04 2023-02-09 北京小米移动软件有限公司 共享会话建立方法、装置及通信设备
CN115884177A (zh) * 2021-09-26 2023-03-31 华为技术有限公司 一种通信方法、装置及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101277297A (zh) * 2007-03-26 2008-10-01 华为技术有限公司 会话控制系统和方法
CN101442523A (zh) * 2008-01-18 2009-05-27 任少华 通过第三方的身份认证系统和方法
CN106210042A (zh) * 2016-07-11 2016-12-07 清华大学 一种基于端到端网络切片的用户服务请求选择方法

Family Cites Families (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101730174B (zh) * 2009-05-08 2012-10-10 中兴通讯股份有限公司 演进的分组系统中实现跨系统切换的方法及系统
CN103716775B (zh) * 2012-09-29 2017-10-10 华为终端有限公司 数据流控制方法及相关设备和通信系统

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101277297A (zh) * 2007-03-26 2008-10-01 华为技术有限公司 会话控制系统和方法
CN101442523A (zh) * 2008-01-18 2009-05-27 任少华 通过第三方的身份认证系统和方法
CN106210042A (zh) * 2016-07-11 2016-12-07 清华大学 一种基于端到端网络切片的用户服务请求选择方法

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
NOKIA: "Secondary authentication by an external DN-AAA server", 3GPP TSG-RAN WG3 (SECURITY) MEETING #87, vol. SA WG3, 19 May 2017 (2017-05-19), pages 1 - 5, XP051289686 *
See also references of EP3627793A4

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020183058A1 (en) * 2019-03-12 2020-09-17 Nokia Technologies Oy Communication network-anchored cryptographic key sharing with third-party application
CN113574829A (zh) * 2019-03-12 2021-10-29 诺基亚技术有限公司 与第三方应用共享通信网络锚定加密密钥
WO2020249861A1 (en) * 2019-06-08 2020-12-17 Nokia Technologies Oy Communication security between user equipment and third-party application using communication network-based key
EP4030818A4 (en) * 2019-09-30 2023-04-12 Huawei Technologies Co., Ltd. METHOD AND COMMUNICATION DEVICE

Also Published As

Publication number Publication date
CN109104394A (zh) 2018-12-28
US20200128614A1 (en) 2020-04-23
EP3627793B1 (en) 2021-09-29
EP3627793A4 (en) 2020-07-29
EP3627793A1 (en) 2020-03-25
CN109104394B (zh) 2022-01-21

Similar Documents

Publication Publication Date Title
EP3627793B1 (en) Session processing method and device
US11917498B2 (en) Communication method and communications apparatus
US11979798B2 (en) Session establishment to join a group communication
WO2018145654A1 (zh) 实现多接入管理的方法、装置及计算机存储介质
KR102066188B1 (ko) 로밍 연결을 확립하기 위한 방법
WO2018201506A1 (zh) 一种通信方法及相关装置
US10123205B2 (en) Admission of a session to a virtual network service
CN110167025B (zh) 一种通信方法及通信装置
JP2019536305A (ja) アプリケーションフレンドリなプロトコルデータユニット（ｐｄｕ）セッション管理のためのシステムおよび方法
CN112449315B (zh) 一种网络切片的管理方法及相关装置
US20210058771A1 (en) Key generation method and related apparatus
WO2019033796A1 (zh) 会话处理方法及相关设备
CN111654862B (zh) 终端设备的注册方法及装置
US11140545B2 (en) Method, apparatus, and system for protecting data
CN111818516B (zh) 认证方法、装置及设备
CN112312466A (zh) 一种事件报告的发送方法、装置及系统
WO2019158093A1 (zh) 一种确定ssc模式的方法及装置
WO2018233451A1 (zh) 通信方法、装置和系统
US20240022952A1 (en) Resource Allocation in Non-Public Network
WO2022247812A1 (zh) 一种鉴权方法、通信装置和系统
CN111757313A (zh) 一种通信方法及装置
KR20230062254A (ko) 단말 라우팅 선택 정책의 준수를 확인하는 방법 및 장치

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 18820052

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 2018820052

Country of ref document: EP

Effective date: 20191218