WO2019017836A1 - 一种会话处理方法及设备 - Google Patents

一种会话处理方法及设备 Download PDF

Info

Publication number
WO2019017836A1
WO2019017836A1 PCT/SG2017/050367 SG2017050367W WO2019017836A1 WO 2019017836 A1 WO2019017836 A1 WO 2019017836A1 SG 2017050367 W SG2017050367 W SG 2017050367W WO 2019017836 A1 WO2019017836 A1 WO 2019017836A1
Authority
WO
WIPO (PCT)
Prior art keywords
session
data network
smf
network element
address
Prior art date
Application number
PCT/SG2017/050367
Other languages
English (en)
French (fr)
Inventor
李漓春
雷中定
张博
Original Assignee
华为国际有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为国际有限公司 filed Critical 华为国际有限公司
Priority to BR112020001139-8A priority Critical patent/BR112020001139A2/pt
Priority to CN201780082837.7A priority patent/CN110199513B/zh
Priority to PCT/SG2017/050367 priority patent/WO2019017836A1/zh
Priority to EP23188049.3A priority patent/EP4325988A1/en
Priority to JP2020502608A priority patent/JP6926317B2/ja
Priority to EP17918431.2A priority patent/EP3565371A4/en
Publication of WO2019017836A1 publication Critical patent/WO2019017836A1/zh
Priority to US16/659,334 priority patent/US11425202B2/en

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/12—Setup of transport tunnels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H04L67/141—Setup of application sessions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L61/00—Network arrangements, protocols or services for addressing or naming
    • H04L61/50—Address allocation
    • H04L61/5007—Internet protocol [IP] addresses
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/11—Allocation or use of connection identifiers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems

Definitions

  • the present application relates to the field of communications, and in particular, to a session processing method and device.
  • the 3rd generation partnership project (3GPP) network first needs to perform primary authentication on the UE. After a UE passes the primary authentication, it can access the 3GPP network, and further requests the 3GPP network to establish a data packet ( PDU ) session with the data network ( DN ). To access the DN.
  • the DN may also need to perform secondary authentication and/or authorization on the UE. The UE is allowed to establish a PDU ses sion only if it passes this authentication and/or 4 authorization.
  • the prior art has already supported the DN to authenticate and authorize the UE, but does not support the DN to modify and cancel the UE authorization, that is, does not support the deletion and modification of the DN triggered PDU session.
  • the DN detects that a UE that has accessed the DN (that is, the 3GPP network has established a PDU sion for the UE) as a malicious or illegal UE, the DN cannot terminate the UE access DN; for example, the UE is After the DN's signing is cancelled or changed (or the UE's trust level changes), the DN cannot trigger the authority revocation and modification of the UE's PDU session accordingly.
  • the lack of DN function brings security risks and abuse of network resources, and cannot achieve effective access control.
  • the embodiment of the present invention provides a session control method and device, and the DN can control the deletion and modification of the PDU ses sion according to the monitored abnormality to implement effective access control.
  • the embodiment of the present invention uses the following technical solutions:
  • a session processing method including:
  • the session management function network element S MF receives the session establishment request from the UE, and further determines the session address to be used by the UE session; further, the S MF sends a data network access request to the data network element in the DN, the request including the session address And the identifier of the UE, which may instruct the data network element to authenticate and/or authorize the UE.
  • the SMF may receive a response message sent by the data network element, indicating that the UE is allowed to access the data network, that is, the UE is successfully authenticated and/or the authorization is successful. Then, the SMF can establish a session of the UE.
  • the SMF predetermines the session address of the UE.
  • the SMF provides the session address and the identifier of the UE to the data network element, and then according to the session address.
  • the UE establishes a session.
  • the data network element detects that the session of the UE needs to be processed (for example, the traffic of the session changes)
  • the data network element may be associated with the session of the UE according to the received session address or the identifier of the user, to the SMF or
  • the PCF send request triggers processing of the session.
  • the method further includes: the SMF receiving the session processing request triggered by the data network element, and processing the UE according to the session processing request Conversation.
  • the DN of the prior art cannot trigger the processing of the session.
  • the data network of the DN The network can trigger the processing of the session in the above manner to achieve effective access control.
  • determining, by using the session address that the session of the UE is to use specifically includes: if the session to be established for the UE The type is Ethernet type, then the UE adds its own Ethernet address to the session establishment request, then the S MF resolves the session establishment request, and can obtain the Ethernet address of the UE in the session establishment request, and uses the Ethernet address as The session address; of course, the SMF can also allocate a session address to the UE.
  • the SMF allocates an IP address to the UE as a session address; or, the SMF allocates an IP prefix to the UE as a session address;
  • the session type to be established for the UE is an unstructured type, and the SMF allocates a tunnel IP address as a session address to the user plane function network element UPF.
  • the SMF allocates a tunnel IP prefix as a session address for the UPF.
  • the SMF can determine the session address to be used by the UE, so that the session address can be sent to the data network element, and the data network element can monitor the session.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response is The message carries the authentication success identifier.
  • the SMF can authenticate the UE before establishing a session for the UE, and establish a session for the UE only when the authentication result of the UE is successful. In this way, the legitimacy of the UE can be ensured, the session is established for the illegal UE, and the security of the network communication is improved.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authorization request identifier is carried, and the authentication response message carries the authentication success identifier and the 4 authorized success identifier.
  • the S MF can authenticate and authorize the UE before establishing a session for the UE, and establish a session for the UE only when the UE is successfully authenticated and the authorization is successful. In this way, the legitimacy of the UE can be ensured, the session is established for the illegal UE, and the security of the network communication is improved.
  • the data network access request is an authorization request
  • the response message is an authorization response message
  • the message carries an authorization success identifier
  • the SMF can authorize the UE before establishing a session for the UE, and establish a session for the UE only when the UE is authorized successfully. In this way, the legitimacy of the UE can be guaranteed, the session is established for the illegal UE, and the security of the network communication is improved.
  • the receiving, by the S MF, the session processing request triggered by the data network network element specifically includes: receiving The first session processing request sent by the data network element; or, the third session processing request sent by the network element of the policy control function, the third session processing request is the second session processing sent by the network element of the network control function network element Sended to the SMF after the request.
  • the data network element can trigger the SMF to process the session of the UE in two ways, and the data network element can directly notify the SMF to process the session of the UE, and the data network network The element may also notify the policy control function network element PCF, and the PCF notifies the S MF to process the session of the UE.
  • the processing, by the session processing request, the session of the UE includes: deleting the session of the UE or modifying the UE Conversation.
  • the session of deleting the UE is released as a session established by the UE, and the resources of the session are deleted.
  • Modifying the session of the UE may be modifying the rights of the session, such as: adding an NE that allows the UE to access through the session.
  • a session processing method including:
  • the data network element receives the data network access request sent by the SMF, where the request includes the identifier of the UE and the session address that the UE will use; further, the data network element can authenticate and/or authorize the UE, and then the data network element moves to the SMF.
  • Sending a response message the S MF learns to allow the UE to access the data network according to the response message, and establishes a session of the UE.
  • a session processing request is generated, and the session processing request is used to instruct the SMF to process the session of the UE.
  • the SMF predetermines the session address of the UE.
  • the SMF provides the session address and the identifier of the UE to the data network element, and then according to the session address.
  • the UE establishes a session.
  • the data network element detects that the session of the UE needs to be processed (for example, the traffic of the session changes)
  • the data network element may be associated with the session of the UE according to the received session address or the identifier of the user, to the SMF or
  • the PCF send request triggers processing of the session.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response message carries an authentication success identifier
  • the SMF can authenticate the UE before establishing a session for the UE, and establish a session for the UE only when the authentication result of the UE is successful. In this way, the legitimacy of the UE can be ensured, the session is established for the illegal UE, and the security of the network communication is improved.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authorization request identifier is carried, and the authentication response message carries the authentication success identifier and the 4 authorized success identifier.
  • the S MF can authenticate and authorize the UE before establishing a session for the UE, and establish a session for the UE only when the UE is successfully authenticated and the authorization is successful. In this way, the legitimacy of the UE can be ensured, the session is established for the illegal UE, and the security of the network communication is improved.
  • the data network access request is an authorization request
  • the response message is an authorization response message
  • the message carries an authorization success identifier
  • the SMF can authorize the UE before establishing a session for the UE, and establish a session for the UE only when the UE authorization is successful. In this way, the legitimacy of the UE can be guaranteed and the illegal UE can be avoided. Establish a session to improve the security of network communication.
  • the data network network element detects that the UE needs to be processed according to the session address or the identifier of the UE.
  • the session specifically includes: detecting that the UE is in an abnormal access state, determining that the session corresponding to the identifier of the UE needs to be processed; the abnormal access state includes: the UE is an illegal UE, the subscription status of the UE changes, and the trust degree of the UE changes. Or, if the traffic corresponding to the session address is changed, it is determined that the session corresponding to the session address needs to be processed.
  • the data network element can be associated with a session according to the received session address or identifier, and the processing of the session can be triggered.
  • the method before the data network element detects that the session of the UE needs to be processed, the method further includes: Receiving an authentication request sent by the UE through the session of the UE, and authenticating the UE.
  • the UE may also be authenticated to ensure the legitimacy of the UE.
  • the data network network element detects that the session that needs to be processed by the UE specifically includes: If the authentication result of the authentication of the UE is that the authentication succeeds, it is determined that the session corresponding to the identifier of the UE needs to be modified, and the maximum transmission rate when the UE uses the session of the UE for data transmission is increased, and/or the UE can use the session access of the UE.
  • Other network elements outside the data network element are possible network elements outside the data network element.
  • the data network element can determine, according to the authentication result, what kind of processing is specifically performed on the session of the UE, and the permission for establishing the session for the UE is to allow the UE to access only the data network element. Accessing other network elements through the session requires expanding the permissions of the session. Of course, the threshold of the session transmission rate can also be increased.
  • the data network network element detects that the session that needs to be processed by the UE specifically includes: If the authentication result of the authentication of the UE is that the authentication fails, it is determined that the session corresponding to the identifier of the UE needs to be deleted.
  • the data network element may determine, according to the authentication result, what kind of processing is specifically performed on the UE's session.
  • the UE authentication fails, the UE may be an illegal UE.
  • the UE may be released. Conversation.
  • the data network element detects that the session that needs to be processed by the UE specifically includes: The data network element starts the timer after receiving the data network access request, and the data packet sent by the UE through the session of the UE is not received in the first time window determined by the timer, and the session corresponding to the identifier of the UE needs to be deleted; or After the data network element sends a response message to the S MF, the timer is started, and the data packet sent by the UE through the session of the UE is not received in the second time window determined by the timer, and the session corresponding to the identifier of the UE needs to be deleted.
  • the session established for the UE can be released. Specifically, the timer is started in advance, and when the PDU is not received by the UE through the session when the timer expires, it is considered that the UE does not use the session to transmit the PDU.
  • the data network network element generates a session processing request, and uses the session processing request to instruct the SMF to process the UE.
  • the session specifically includes: sending a first session processing request to the SMF to instruct the SMF to process the session of the UE.
  • the data network may directly notify the SMF to process the UE's session.
  • the data network element generates a session processing request, and uses the session processing request to instruct the SMF to process the UE.
  • the session specifically includes: sending a second session processing request to the policy control function network element PCF to instruct the PCF to send a second session processing request to the S MF to trigger the SMF to process the session of the UE.
  • the data network element may also notify the policy control function network element PCF, and the PCF notifies the SMF to process the session of the UE.
  • the second session processing request carries the session address.
  • the session address may be carried in the second session request to inform the SMF of the address of the session to be processed, so that the SMF processes the session of the UE.
  • the method before the data network element sends the second session processing request to the PCF, the method further The method includes: the data network element sends the foregoing session address to the PCF.
  • the data network element may also inform the address of the session to be processed by the SMF before transmitting the second session processing request, so that the SMF processes the session of the UE.
  • the session management function network element S MF comprising: a receiving unit, configured to receive a session establishment request from the user equipment UE; a determining unit, configured to determine a session address to be used by the UE session; And sending a data network access request to the data network element; the data network access request includes a session address and an identifier of the UE; the receiving unit is further configured to: receive a response message sent by the data network element, and the response message indicates that the UE is allowed to access the data network; Unit, used to establish a session of the UE.
  • the processing unit is further included.
  • the receiving unit is further configured to: after the establishing unit establishes the session of the UE, receive a session processing request triggered by the data network element; and the processing unit is configured to process the session of the UE according to the session processing request.
  • the determining unit is specifically configured to: resolve the session establishment request, and obtain the UE in the session establishment request
  • the Ethernet address is used as the session address; or, the UE is assigned an IP address as the session address; or, the UE is assigned an IP prefix as the session address; or, the user plane function network element UPF is assigned a tunnel IP address as the session address; or, The UPF allocates the tunnel IP prefix as Session address.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response message is Carry the authentication success logo
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response message carries the authentication success identifier and the 4 authorized success identifier.
  • the data network access request is an authorization request
  • the response message is an authorization response message
  • the receiving unit is configured to: receive, by the data network network element, the first session processing request Or, the third session processing request sent by the network element of the policy control function is received, and the third session processing request is sent by the policy control function network element to the S MF after receiving the second session processing request sent by the data network element.
  • the processing unit is specifically configured to delete the session of the UE or modify the session of the UE.
  • a data network element including: a receiving unit, configured to receive a data network access request sent by a session management function network element S MF; and the data network access request includes an identifier of the user equipment UE and a UE to use a sending unit, configured to send a response message to the S MF, the response message indicates that the UE is allowed to access the data network, so that the SMF establishes a session of the UE, and the detecting unit is configured to detect, according to the session address or the identifier of the UE, that the UE needs to be processed.
  • a session unit configured to: when the detecting unit detects a session that needs to process the UE, generate a session processing request; and the sending unit is further configured to use the session processing request generated by the generating unit to instruct the SMF to process the session of the UE.
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response message carries an authentication success identifier
  • the data network access request is an authentication request
  • the response message is an authentication response message
  • the authentication response message carries the authentication success identifier and the 4 authorized success identifier.
  • the data network access request is an authorization request
  • the response message is an authorization response message
  • the detecting unit is specifically configured to: when the UE is detected to be in an abnormal access state, determine the required Handling the session corresponding to the identifier of the UE; the abnormal access state includes at least: UE If the traffic of the session is changed, the session corresponding to the session address needs to be processed.
  • the receiving unit is further configured to: before the detecting unit detects the session that needs to process the UE, Receiving an authentication request sent by the UE through the session of the UE, and authenticating the UE.
  • the detecting unit is specifically configured to: if the authentication result of the UE authentication is successful, Then, it is determined that the session corresponding to the identifier of the UE needs to be modified, and the maximum transmission rate when the UE uses the session of the UE for data transmission is improved, and/or the UE can use the session of the UE to access other network elements except the data network element.
  • the detecting unit is specifically configured to: if the authentication result of the UE authentication is an authentication failure, Then, it is determined that the session corresponding to the identifier of the UE needs to be deleted.
  • the detecting unit is specifically configured to: after receiving the data network access request, the first time window If the inner receiving unit does not receive the data packet sent by the UE through the session of the UE, it is determined that the session corresponding to the identifier of the UE needs to be deleted; or the receiving unit does not receive the UE through the second time window after sending the response message to the S MF.
  • the data packet sent by the session of the UE determines that the session corresponding to the identifier of the UE needs to be deleted.
  • the sending unit is configured to send, by the S MF, the first session processing request indication S MF Handling the session of the UE
  • the sending unit is configured to send the second session processing to the policy control function network element PCF.
  • the request instructs the PCF to send a second session processing request to the S MF to trigger the SMF to process the UE's session.
  • the second session processing request carries the session address.
  • the sending unit is further configured to: before sending the second session processing request to the PCF, Send the session address to the PCF.
  • a fifth aspect of the embodiments of the present application provides an SMF, where the SMF may include: at least one processor, a memory, a communication interface, and a communication bus;
  • At least one processor is coupled to the memory and the communication interface via a communication bus, and the memory is configured to store the computer execution instructions.
  • the processor executes the memory storage computer to execute the instructions to enable the base station to perform the first aspect or the first aspect.
  • a sixth aspect of the embodiments of the present application provides a data network element, where the data network element may include: at least one processor, a memory, and a transceiver;
  • the at least one processor is connected to the memory and the communication interface through a communication bus, and the memory is configured to store the computer execution instructions.
  • the processor executes the memory stored computer execution instructions, so that the UE performs the second aspect or the second aspect.
  • a computer storage medium for storing computer software instructions for use in the SMF is disclosed, the computer software instructions including a program involved in executing the session processing method.
  • another computer storage medium for storing computer software instructions for use in the data network element is disclosed, the computer software instructions including a program involved in executing the session processing method.
  • Figure 1 is a schematic diagram of an existing 5 G system architecture
  • FIG. 2 is a schematic diagram of a composition of a session function management network element according to an embodiment of the present invention
  • FIG. 3 is a schematic diagram of a composition of a data network element according to an embodiment of the present invention
  • FIG. 4 is a schematic flowchart of a session processing method according to an embodiment of the present invention.
  • FIG. 5 is a schematic flowchart diagram of another session processing method according to an embodiment of the present disclosure.
  • FIG. 6 is a schematic flowchart diagram of another session processing method according to an embodiment of the present disclosure.
  • FIG. 7 is a schematic flowchart diagram of another session processing method according to an embodiment of the present disclosure.
  • FIG. 8 is a schematic flowchart diagram of another session processing method according to an embodiment of the present disclosure.
  • FIG. 9 is a schematic flowchart diagram of another session processing method according to an embodiment of the present disclosure.
  • FIG. 10 is a schematic diagram of another composition of a session function management network element according to an embodiment of the present invention
  • FIG. 11 is another schematic diagram of a composition of a session function management network element according to an embodiment of the present invention.
  • FIG. 13 is a schematic diagram of another composition of a data network element according to an embodiment of the present invention.
  • FIG. 1 is a schematic diagram of the 5G system architecture developed by the 3GPP labeling organization.
  • the network element other than the UE and the DN constitutes a 3 GPP network.
  • the so-called 3 GPP network is a network that is operated by the operator and conforms to the 3GPP standard.
  • the 3GPP network is not limited to the 5G network defined by the 3GPP, and may also include 2G. , 3 G, 4G networks, and even 6G networks that 3 GPP may define in the future.
  • the network element involved in the embodiment of the present application is described in detail:
  • the access and mobility management function is a control plane network element provided by the operator, which can perform access control when the UE accesses the carrier network, or Conduct mobility management.
  • the session management function is also a control plane network element provided by the operator, which is responsible for establishing and managing the PDU session of the UE.
  • a data network also known as a PDN (packet data network)
  • PDN packet data network
  • the DN can be a company's internal office network, and the company's employee's terminal (ie, UE) can access the DN through the 3GPP network to view the company's internal resources.
  • the UE accesses the DN by accessing the carrier network, and uses the services provided by the operator or third party on the DN.
  • Unified data management is a control plane network element provided by the operator. It is responsible for storing data of 3GPP network subscription users, such as the Subscriber Permanent Identifier (SUPI) and the credential. , signing data, etc.
  • SUPI Subscriber Permanent Identifier
  • SUPI Subscriber Permanent Identifier
  • signing data etc.
  • the authentication server function is a control plane network element provided by the operator.
  • the 3GPP network uses the AUSF to authenticate the 3GPP network subscription users, which can be called the primary authentication for the UE.
  • the AUSF can perform primary authentication on the UE by using the user data stored on the UDM.
  • the network exposure function is a control plane network element provided by the operator.
  • NEF exposes the external interface of the 3GPP network to third parties in a secure manner.
  • a network element such as an SMF needs to communicate with a third-party network element
  • NEF can be used as a relay for communication.
  • NEF can translate internal and external identifiers. For example, when the ID of the UE inside the 3GPP network is sent from the 3GPP network to the third party, the NEF may translate the internal ID of the UE into its corresponding eve ID. Conversely, the NEF can translate the external ID into the UE's internal ID when it is sent to the 3GPP network.
  • the user plane function is a user plane network element provided by the operator and is a gateway for communication between the 3GPP network and the DN.
  • the policy control function is a control plane network element provided by the operator to provide a PDU session policy to the SMF.
  • Policies may include billing related policies, quality of service (QoS) related policies, authorization related policies, and the like.
  • a packet data unit is a unit for transmitting data between a UE and a DN.
  • PDUs can be classified into IP type PDUs, Ethernet (Ethernet) type PDUs, unstructured (types), type PDUs, and the like. Further, IP type PDUs can be further classified into IPv4 type PDUs and IPv6 type PDUs.
  • IP type PDU may be referred to as an IP PDU
  • Ethernet type PDU may be referred to as an Ethernet PDU or an Ethernet frame. It should be noted that the 3GPP network does not perceive PDUs of unstructured type, and the UE and the DN can communicate using unstructured PDUs of any custom format.
  • the PDU session is a channel between the UE and the DN for transmitting PDUs.
  • the UE and the DN send PDUs to each other through the PDU session to communicate.
  • the path of the PDU session is UE-(R)AN-UPF-DN. . That is to say, the 3GPP network can provide communication services for the UE and the DN through the PDU session.
  • the PDU session is established and managed by the SMF.
  • PDU sessions can also be classified into IP type, Ethernet type, and unstructured type.
  • IP class The PDU ses sion can be further divided into an IPv4 type PDU ses sion and an IPv6 type PDU sss sio .
  • the 3GPP network first performs primary authentication on the UE.
  • the so-called primary authentication is performed on the SUPI provided by the UE to verify whether the UE's SUPI is legal and authentic.
  • a UE can access the 3GPP network only after passing the primary authentication, and further requests to establish a PDU session to access the DN.
  • the DN may also need to further authenticate the UE (which may be referred to as secondary authentication) and/or authorization. Only through this authentication and / or 4 authorized UEs, the establishment of a PDU session is permitted.
  • the ID of the UE (which may be referred to as the secondary ID) verified by the secondary authentication is usually different from the SUPI and device ID verified by the primary authentication.
  • the SUPI format may be IMSI and the device ID may be IMEI.
  • the 3GPP network may perform primary authentication on the UE by using the IMEI of the UE, and the DN may also perform secondary authentication on the UE by using the IMEI of the UE.
  • the secondary ID can be other identifiers of the terminal, such as: DN is a company's internal office network, the company's employee terminal (ie, UE) can access the DN by accessing the 3GPP network, and the secondary ID can be the employee in the company. Job number.
  • the 3GPP network establishes a PDU session for the UE.
  • the PDU session of the UE needs to be processed according to the latest subscription status or traffic condition of the UE. For example, when the UE's subscription is modified or cancelled, or the UE's trust or credibility changes, or the UE's PDU session traffic is abnormal, the PDU ses sion needs to be processed, including deleting the PDU ses sion, or modifying the PDU. Ses sion (can expand or shrink the permissions of the session).
  • the SMF is usually triggered by the PCF to process the PDU session. It can be seen that the prior art cannot implement the processing of the PDU ses sion triggered by the DN, such as: deleting the PDU session and ! "Change PDU ses sion.
  • the prior art has already supported the DN to authenticate and authorize the UE, but does not support the DN triggering processing (such as deletion and modification) of the PDU session.
  • the DN detects that a UE that has accessed the DN (that is, the 3GPP network has established a PDU session for the UE) as a malicious or illegal UE, but the DN cannot terminate the UE access DN; for example, the UE signs the DN. Cancellation or change, or the UE's trust degree changes, the DN cannot trigger the revoke and modification of the PDU session of the UE correspondingly, and cannot implement effective access control.
  • the lack of DN to trigger the processing of PDU ses sion leads to security risks and abuse of network resources, and effective access control cannot be achieved.
  • the principle of the present application is as follows:
  • the SMF provides the session address and the UE that the UE will use to the data network element (the network element used for authentication and authorization in the DN, such as AAA).
  • the identity of the PDU ses sion is then established for the UE based on the session address.
  • the data network element may be associated with a PDU ses sion according to the received session address or the identity of the UE, and the PDU ses sion is monitored.
  • the data network element When the data network element detects that the PDU ses sion needs to be processed (for example, the traffic of the PDU session changes), triggering processing on the PDU ses sion, and sending a request for release or modification of the PDU ses sion to the S MF or PCF .
  • FIG. 2 is a schematic diagram of a composition of a session function management network element SMF according to an embodiment of the present invention.
  • the session function management network element may be an SMF in the system architecture shown in FIG. 1.
  • the session function management network element may include at least one processor 11, a memory 12, and a communication interface.
  • the components of the session function management network element are specifically described below with reference to FIG. 2.
  • the processor 11 is a control center of the session function management network element, and may be a processor or a collective name of multiple processing elements.
  • the processor 11 is a central processing unit (CPU), or may be an Application Specific Integrated Circuit (ASIC), or one or more integrated circuits configured to implement the embodiments of the present invention.
  • DSPs digital signal processors
  • FPGAs Field Programmable Gate Arrays
  • the processor 11 can perform various functions of the session function management network element by running or executing a software program stored in the memory 12 and calling data stored in the memory 12.
  • processor 11 may include one or more CPUs, such as CPU0 and CPU1 shown in FIG.
  • the session function management network element may include a plurality of processors, such as the processor 11 and the processor 15 as shown in FIG.
  • processors can be a single-core processor (single-CPU) or a multi-core processor (multi-CPU).
  • a processor herein may refer to one or more session function management network elements, circuits, and/or processing cores for processing data (e.g., computer program instructions).
  • the memory 12 can be a read-only memory (ROM) or other type of static storage session function management network element that can store static information and instructions, a random access memory (RAM) or can store information and Other types of dynamic storage session function management network elements of the instruction, or Electro Scientific Erasable Programmable Read-Only Memory (EEPROM), CD-ROM (Compact Disc Read-Only Memory, CD-ROM) ) or other disc storage, disc storage (including compact discs, laser discs, optical discs, digital versatile discs, Blu-ray discs, etc.), disk storage media or other magnetic storage session function management network elements, or can be used to carry or store instructions or The desired program code in the form of a data structure and any other medium that can be accessed by a computer, but is not limited thereto.
  • the memory 12 can be independently present and connected to the processor 11 via the communication bus 14.
  • the memory 12 can also be integrated with the processor 11.
  • the memory 12 is used to store a software program that executes the solution of the present invention, and is controlled by the processor 11.
  • the communication interface 13 may include a sending interface for transmitting data and a receiving interface for receiving data from the external session function management network element, that is, the session function management network element may implement data separately through two different communication interfaces. Receive and send data.
  • the communication interface 13 can integrate the data receiving function and the data transmitting function on a communication interface having a data receiving function and a data transmitting function.
  • the session function management network element structure shown in Fig. 2 does not constitute a limitation of the session function management network element, and may include more or less components than those illustrated, or some components may be combined, or different component arrangements.
  • FIG. 3 is a schematic diagram of a composition of a data network element according to an embodiment of the present invention.
  • the data network element may be used for authenticating a UE in a DN in the system architecture shown in FIG.
  • Authorized network element AAA ( authentication authorization accounting), or AAA Proxy server.
  • the data network element may include at least one processor 21, a memory 22, and a communication interface 23.
  • the processor 21 is a control center of the data network element, and may be a processor or a collective name of a plurality of processing elements.
  • the processor 21 is a central processing unit (CPU), or may be an Application Specific Integrated Circuit (ASIC), or one or more integrated circuits configured to implement the embodiments of the present invention.
  • CPU central processing unit
  • ASIC Application Specific Integrated Circuit
  • DSPs digital signal processors
  • FPGAs Field Programmable Gate Arrays
  • the processor 21 can perform various functions of the data network element by running or executing a software program stored in the memory 22 and calling data stored in the memory 22.
  • processor 21 may include one or more CPUs, such as CPU0 and CPU1 shown in FIG.
  • the data network element may include multiple processors, such as processor 21 and processor 25 shown in FIG.
  • processors can be a single-core processor (single-CPU) or a multi-core processor (multi-CPU).
  • a processor herein may refer to one or more data network elements, circuits, and/or processing cores for processing data (e.g., computer program instructions).
  • the memory 22 can be a read-only memory (ROM) or other type of static storage data network element that can store static information and instructions, a random access memory (RAM) or can store information and instructions. Other types of dynamic storage data network elements, or Electrically Erasable Programmable Read-Only Memory (EEPROM), Compact Disc Read-Only Memory (CD-ROM) or Other optical disc storage, optical disc storage (including compact discs, laser discs, optical discs, digital versatile discs, Blu-ray discs, etc.), disk storage media or other magnetic storage data network elements, or can be used to carry or store in the form of instructions or data structures The desired program code and any other medium that can be accessed by the computer, but is not limited thereto.
  • the memory 22 can be stored independently and connected to the processor 21 via a communication bus 24.
  • the memory 22 can also be integrated with the processor 21.
  • the memory 22 is used to store a software program that executes the solution of the present invention, and is controlled by the processor 21 for execution.
  • the communication interface 23 may include a sending interface for transmitting data and a receiving interface for receiving data from the external data network element, that is, the data network element may respectively receive data through two different communication interfaces. The transmission of data.
  • the communication interface 23 can integrate the data receiving function and the data transmitting function on a communication interface having a data receiving function and a data transmitting function.
  • the data network element structure shown in Figure 3 does not constitute a limitation of the data network element, and may include more or fewer components than those illustrated, or some components may be combined, or different component arrangements.
  • the embodiment of the invention provides a session processing method. As shown in FIG. 4, the method includes the following steps:
  • the S MF receives a session establishment request from the UE.
  • the UE first sends a session establishment request to the AMF, and then sends the UE by the AMF.
  • the session establishment request is forwarded to the S MF.
  • an Ethernet class session (ie, PDU ses sio n ) needs to be established for the UE.
  • the address of the session to be established for the UE is the Ethernet address of the UE. Then, the UE will carry its own Ethernet address in the session establishment request and send it to the AMF.
  • the session established for the UE in the embodiment of the present invention is a PDU session. Therefore, the "session" in the embodiment of the present invention refers to a PDU session.
  • the S MF determines a session address to be used by the UE.
  • the session of the UE may be established according to the address of the UE, so the session address that the UE will use may be the address of the UE.
  • the type of session established for the UE depends on the type of PDU transmitted by the UE.
  • the types of PDUs transmitted by the UE include the IP type, the Ethernet type, and the unstructured type. If the PDU transmitted by the UE is of the Ethernet type, the UE will carry its own Ethernet address in the session establishment request and send it to the AMF.
  • the SMF receives the session establishment request forwarded by the AMF, and can parse the request to obtain the Ethernet of the UE included therein. Address, the Ethernet address is the above session address.
  • the S MF allocates an address for the UE. Specifically, if the PDU transmitted by the UE is of the IPv4 type, the session of the UE is also of the IPv4 type, and the SMF allocates an IP address to the UE as the session address to be used by the UE; if the PDU transmitted by the UE is of the IPv6 type, the session of the UE It is also of the IPv6 type, and the S MF assigns an IP prefix to the UE as the session address that the UE will use.
  • the S MF also assigns an address to the UE. Specifically, the SMF allocates a tunnel IP address to the UPF, and uses the tunnel IP address of the UPF as the session address to be used by the UE; or, the SMF allocates a tunnel IP prefix for the UPF, and uses the tunnel IP prefix of the UPF as the session address.
  • the SMF sends a data network access request to the data network element.
  • the data network access request includes the foregoing session address and an identifier of the UE.
  • the data network element may be a network element used for authentication and authorization in the DN, such as an AAA server or an AAA proxy server.
  • the data network access request may be an authentication request, such as: DER (diameter EAP reque st ) message, requesting the data network network element to authenticate the UE; further, the authentication request may further carry an authorization request identifier (identity), requesting data
  • the network element authorizes the UE.
  • the data network access request may also be an authorization request, requesting the data network element to authorize the UE.
  • the identifier of the UE is a secondary ID of the UE, and the data network element may use the identifier of the UE to authenticate the UE.
  • the data network element sends a response message to the S MF, where the response message indicates that the UE is allowed to access the data network.
  • the data network element performs authentication on the UE between step 103 and step 104.
  • the response message here is an authentication response message, and the authentication response message carries an authentication success identifier.
  • the data network access request is an authentication request, and the authentication request carries the authorization request identifier
  • the data network element performs authentication and authorization on the UE between step 103 and step 104, and the response message is the authentication response message.
  • the message carries an authentication success identifier and an authorization success identifier.
  • the data network element authorizes the UE between step 103 and step 104. Then, the response message is an authorization response message, and the authorization response message carries an authorization success identifier.
  • the SMF establishes a session of the UE.
  • the address of the session is the session address determined in step 102.
  • the SMF since the data network element sends a response message to the SF to indicate that the UE is allowed to access the data network, the SMF will then establish a session for the UE according to the session address.
  • the SMF sends information to the PCF about the session to be established for the UE, including at least the session address.
  • one or more IDs of the UE may also be sent.
  • the PCF then sends the authorization scope of the session to the S MF.
  • the SMF informs the UPF of the session information, which contains the session address and the policy of the session.
  • the UPF guarantees that the PDU session will not exceed the scope of the PCF license.
  • the UPF responds to the S MF.
  • the SMF sends a session establishment request response to the UE via the AMF. So far, the establishment of the UE's session is completed. It should be noted that the permission of the session established for the UE here is "only access to the data network element".
  • the data network element detects that the session of the UE needs to be processed.
  • the data network element can directly determine a session according to the session address received in step 103 above, and monitor the traffic of the session. Once the traffic to the session is detected to change, it is determined that the session needs to be processed. It should be noted that the decision made by the data network element to monitor the traffic of the session may be “deleting the session of the UE” or “changing the session of the UE”, which is not limited herein, and the data network element may be specific according to the session traffic. Change the situation to decide how to handle the UE's session. For example, if the traffic of this session is abnormal, you may need to delete the session.
  • the uplink traffic of the PDU ses sion (that is, the traffic from the UE to the DN direction) can be identified by the source address or the source tunnel address of the PDU, and the downlink traffic of the PDU ses sion (that is, the traffic from the DN to the UE direction) can pass.
  • the destination address or destination tunnel address of the PDU is identified. If the PDU type is IPv4, the source IP address of the uplink PDU and the destination IP address of the downlink PDU are the same as the IP address of the UE (that is, the session address).
  • the source IP address of the uplink PDU and the downlink PDU are The destination IP address matches the IP prefix of the UE (ie, the session address;); if the PDU type is Ethernet, the source Ethernet address of the uplink PDU, the destination Ethernet address of the downlink PDU, and the Ethernet address of the UE (ie, the session) The address is consistent. If the PDU type is unstructured, the source tunnel address of the uplink PDU and the destination tunnel address of the downlink PDU match the tunnel IP address of the UPF or the tunnel IP prefix (that is, the session address).
  • the data network searches for the access status of the UE by using the identifier of the UE, and monitors the access status of the UE. Once the UE is detected as an illegal UE, the subscription status of the UE changes, or the UE's trust status changes. In any case, the UE can be determined to be in an abnormal access state, and thus It is necessary to process the session of the UE. Further, the data network element needs to determine which session is the session of the UE. Specifically, the session of the UE can be determined in the following two manners.
  • the data network element since the data network element receives the identifier and the session address of the UE, the data network element may be associated with a session address according to the identifier of the UE, and a session may be determined according to the associated session address (ie, the UE). The identity of the corresponding session), that is, the session of the UE, and thus can determine that the session needs to be processed.
  • the data network element maintains a corresponding diameter session for each PDU session, and a diameter session has a corresponding ID, that is, a diameter session ID can be used to identify a PDU session. .
  • the UE when the UE is detected to be in an abnormal access state, it may be associated with a diameter of the session according to the identifier of the UE, and a session (ie, a session corresponding to the identifier of the UE) may be determined according to the associated diameter of the dialog.
  • the session which in turn determines that the session needs to be processed.
  • the decision made by the data network element according to the access status of the UE may be “deleting the session of the UE, or “modifying the session of the UE”, which is not limited herein, and the data network element may be based on the current actual situation of the UE. Access to decide how to handle the session of the UE. For example, if the UE is an illegal UE, the session of the UE is deleted.
  • the UE may also initiate authentication to the data network element network element. Therefore, in step 106, the data network element may further determine whether the UE needs to be processed according to the authentication result. . Specifically, if the authentication result is that the authentication fails, it is proved that the UE may be an illegal UE, and the data network element determines that the session of the UE needs to be deleted. If the authentication result is that the authentication succeeds, the UE may be a legitimate UE, and the data network element determines that the session of the UE needs to be modified, and may modify the session permission, so that the UE can use the session to access the network network element except the data network element. Other network elements.
  • the data network element needs to determine which session is the session of the UE. Similarly, the data network element can determine the session of the UE by using the foregoing two methods. Specifically, according to the identifier of the UE, it is associated with a session address, and the session matched by the address is the session of the UE. Or, according to the identifier of the UE, it is associated with a diameter session ID, and the session matched by the diameter session ID is the session of the UE.
  • the data network element may further start a timer after step 103. After the session is established for the UE in step 105, the timer expires, and the data network element does not receive the data packet sent by the UE through the session. That is, PDU), the data network element determines the session that needs to delete the UE. Similarly, the data network element can determine the UE's session in the above two ways. Specifically, according to the identifier of the UE, it is associated with a session address, and the session matched by the address is the session of the UE. Or, according to the identifier of the UE, it is associated with a diameter session ID, and the session matched by the diameter session ID is the session of the UE.
  • the data network element may also start the timer after the step 104, and the rest of the process is the same as the process of starting the timer after the step 103, and details are not described herein.
  • the “traffic abnormality” in the embodiment of the present invention may be a feature that the traffic deviates from the normal traffic, for example, the traffic is too large, the accessed port number is not the service, the accessed address is too large, and the packet size distribution is Larger than usual, or traffic contains attack packets.
  • the data network element generates a session processing request, and the session processing request is used to instruct the SMF to process the session of the UE.
  • the data network element may send the session processing request to the PCF, requesting to use the STR message or the AAR message of the diameter protocol.
  • the PCF triggers the SMF to process the session of the UE.
  • the request contains a session address that identifies the session. If the data network element has previously sent this information to the PCF, it does not need to include this information.
  • the data network element may also send the request to the SMF requesting the use of the ASR message of the diameter protocol.
  • the session processing request sent at this time does not need to carry the session address, that is, the S MF does not need to provide the session address to identify the session.
  • the SMF and the data network element maintain a corresponding diameter session for each PDU session (ie, the session described in the embodiment of the present invention) in steps 103 and 104, the SMF can query the diameter message sent by the data network element. It is determined which PDU session the data network element indicates. Or, for each diameter session, a diameter session ID is maintained, and the data network element can carry a diameter session ID in the session processing request, and the SMF can also know which PDU session the data network element requests to process according to the received diameter session ID. .
  • the SMF when the DN authenticates the UE or the authorized UE, the SMF provides the session address and the identifier of the UE to the data network element, and then establishes a session for the UE according to the session address.
  • the data network element detects that the session of the UE needs to be processed (for example, the traffic of the session changes)
  • the data network element may be associated with the session of the UE according to the received session address or the identifier of the user, to the SMF or the PCF. Sending a request triggers processing of the session.
  • the embodiment of the present invention further provides a session processing method, which uses the data network element as the AAA as an example to introduce the authentication authorization and authorization cancellation of the AAA session by the AAA.
  • the method includes the following steps:
  • the UE sends a PDU session (session) to establish a request to the AMF.
  • the type of the PDU sent by the UE is Ethernet type
  • the type of PDU session to be established for the UE is also the Ethernet type, and the UE sends its own Ethernet address along with the request to the AMF.
  • the AMF sends the UE PDU session establishment request and the UE's SUPI and PEI to the SMF.
  • the PEI is the permanent equipment identifier of the UE
  • the common format is the IMEI format.
  • the SMF determines that a PDU session of the AAA-authenticated UE or the 4 authorized UE is required.
  • the SMF may determine whether an AAA authentication UE or an authorized UE PDU session is required according to a locally pre-stored policy (for example, AAA authentication and authorization is required for accessing the DN); or, the PDU session establishment request sent by the UE is related.
  • the indication is the judgment basis; or, between the SMF steps 202 and 203, the subscription information of the UE is read from the UDM, and whether the AAA session of the AAA authentication UE or the 4 authorized UE is required is determined according to the read correlation policy in the subscription information.
  • the SMF allocates a session address to the UE.
  • the SMF uses the Ethernet address of the UE received in step 203 as the session address that the UE will use. .
  • step 204 is performed. Specifically, if the PDU session type is IPv4, the SMF allocates an IP address to the UE as the UE. If the PDU session type is IPv6, the SMF allocates an IP prefix to the UE as the session address that the UE will use; if the PDU session type is unstructured, the SMF allocates a tunnel IP address or a tunnel IP prefix to the UE as the UE will use Session address. The tunnel IP address or tunnel IP prefix is assigned to the UPF.
  • the SMF sends an EAP-identity request to the UE.
  • the UE sends an EAP-identity response to the SMF, where the UE carries the secondary ID of the UE.
  • the DER message of the diameter protocol is the data network access request in the embodiment of the present invention, and carries the session address and the identifier of the UE.
  • the identifier of the UE is the secondary ID of the UE in this embodiment.
  • steps 205 and 206 are optional steps. If steps 205, 206 are performed, the SMF, after receiving the EAP-identity response message, generates a DER message including the EAP-identity response message and the session protocol's diameter protocol, and then forwards the DER message to the AAA. If the steps 205, 206 are not performed, the UE may carry the secondary ID of the UE in the message sent in step 201, and the message forwarded by the AMF to the SMF in step 202 also carries the secondary ID of the UE. In this way, the SMF obtains the secondary ID and session address of the UE. Further, the SMF generates a DER message of the diameter protocol carrying the secondary ID and the session address of the UE, and sends the generated DER message of the diameter protocol to the AAA.
  • the SMF may also obtain the UE's external ID, SUPI, and PEI from the UE's subscription data, and add the SUPI, PEI, or external ID to the DER message of the diameter protocol.
  • the external ID is obtained by the SUPI mapping.
  • the external ID corresponding to the SUPI can be provided.
  • the AAA authenticates the UE by using the EAP protocol.
  • this step is optional, and the AAA may not authenticate the UE.
  • the AAA sends a diameter DEA message to the SMF, including the authentication result and the authorization result.
  • the diameter DEA message sent here is a response message sent by the data network element to the SMF in the embodiment of the present invention.
  • the authentication result is an EAP-success message, indicating that the authentication is successful.
  • the authorization result is authorization information, which represents the authority of the PDU session that will be established for the UE.
  • the AAA sends the diameter DEA message to the SMF or does not include the authorization information, and the SMF can obtain the authorized policy (that is, the above authorization information) from the PCF.
  • the SMF informs the PCF of the information of the PDU session, which includes the address of the PDU session.
  • the address of the PDU session that is, the session address, may be an Ethernet address sent by the UE to the AMF in step 201, or may be an address allocated by the SMF to the UE in step 204.
  • one or more IDs of the UE such as a secondary ID of the UE, an external ID of the UE, and the like, may also be included.
  • the PCF sends the policy of the PDU session to the SMF.
  • the SMF informs the UPF of the information of the PDU session, where the address of the PDU session and the policy of the PDU session are included.
  • the UPF implements the PDU session policy to ensure that the PDU session does not exceed the authorized Scope.
  • the UPF replies to the SMF.
  • the SMF sends a PDU session to the AMF to establish a response and an EAP-success indicating that the authentication is successful.
  • the AMF forwards the received PDU session establishment response and the EAP-success to the UE.
  • the UE obtains an address of the PDU session.
  • the PDU session address is the Ethernet address of the UE. Step 216 is not performed here, and step 217 is directly executed.
  • the PDU session address is allocated by the SMF for the UE, and the SMF sends an address assigned to the UE to the UE through another message, such as using a dynamic host configuration protocol ( Dynamic host configuration protocol, DHCP).
  • a message may be sent in steps 214-215 to notify the address assigned to the UE.
  • the AAA detects that the PDU session needs to be released.
  • the DN obtained by the step 207 can identify the traffic of the PDU session.
  • the DN detects that the traffic of the PDU session is abnormal, it is determined that the PDU session of the UE needs to be deleted.
  • the specific traffic monitoring includes: the uplink traffic of the PDU session (that is, the traffic from the UE to the DN direction) can be identified by the source address or the source tunnel address of the PDU, and the downlink traffic (that is, the traffic from the DN to the UE direction) can pass.
  • the destination address or destination tunnel address of the PDU is identified.
  • the source IP address of the uplink PDU and the destination IP address of the downlink PDU are the same as the IP address obtained in step 207 (that is, the session address, which is also the address of the PDU session); if the PDU type is IPv6, The source IP address of the uplink PDU and the destination IP address of the downlink PDU match the IP prefix obtained in step 207 (that is, the session address, which is also the address of the PDU session); if the PDU type is Ethernet, the source Ethernet address of the uplink PDU The destination Ethernet address of the downlink PDU is the same as the Ethernet address obtained in step 207 (that is, the session address, which is also the address of the PDU session).
  • the source tunnel address of the uplink PDU and the destination of the downlink PDU are The tunnel address matches the tunnel IP address or tunnel IP prefix obtained in step 207 (that is, the session address, which is also the address of the PDU session).
  • the AAA determines that the PDU session corresponding to the UE address needs to be released. It should be noted that the "release” in this embodiment means “delete”.
  • the AAA sends a request to release the PDU session.
  • the AAA can send the request directly to the SMF using the ASR message of the diameter protocol (step 218a).
  • the PDU sent by the AAA does not carry the PDU session, that is, the SMF is not required to provide the address of the PDU session to identify the PDU session.
  • the four diameter messages 207, 209, 218a, and 220a in the figure are all in the same diameter session.
  • the AAA requests to release or modify the PDU session in the diameter session corresponding to the PDU session.
  • the SMF can know that the PDU session requesting the operation is the PDU S6sskm corresponding to the session.
  • the AAA uses the STR message of the diameter protocol or the AAR message of the diameter protocol,
  • the request is sent to the PCF (step 218M), and the PCF sends a request to release the PDU session to the SMF to trigger the SMF release PDU session (step 218b2).
  • the request sent by the AAA includes the address of the PDU session, which is used to identify the PDU session, and may also include one or more IDs of the UE for assisting the identification of the PDU session.
  • the AAA has previously sent the information to the PCF (for example, the AAA has previously sent a request to modify the PDU session through the PCF, the request contains such information), then it is not necessary to include such information.
  • the SMF releases the PDU session.
  • the SMF notifies the UPF to release the resources occupied by the PDU session, and stops forwarding the PDU of the PDU session.
  • the SMF notifies (R) AN to release the resources of the PDU session, and the notification is forwarded via the AMF.
  • the (R)AN releases the resources occupied by the PDU session and notifies the UE.
  • the AN informs the SMF that the resources occupied by the PDU session have been released, and the notification is forwarded by the AMF.
  • the SMF notifies the AMF to delete the context information of the PDU session, and the SMF notifies the PCF to delete the policy context information of the PDU session.
  • the AAA receives a response to the PDU session release request.
  • the SMF sends a response to the PDU session release request to the AAA using the ASA message of the diameter protocol (step 220a).
  • the SMF sends a response to the PDU session release request to the PCF (step 220b 1), and the PCF sends a response to the PDU session release request to the AAA by using the STA message or the AAA message of the diameter protocol (step 220b2).
  • the address of the PDU session in the above step is: if the PDU session type is IPv4, the address of the PDU session (that is, the above session address) is the IP address assigned by the SMF to the UE; if the PDU session type is IPv6, the address of the PDU session is SMF.
  • the SMF obtains the Ethernet address of the UE in step 202, or allocates the IP address/prefix used by the UE or used by the UE in step 204.
  • the SMF sends the address to the AAA in the identifier message of the authentication/authorization request, so that the AAA can identify the PDU of the PDU session and detect the PDU of the PDU session by determining the P traffic of the PDU session. No abnormality.
  • the AAA triggers the modification or release of the PDU session through the PCF. This enables the DN to control the deletion and modification of the PDU ses sion based on the detected abnormal conditions to achieve effective access control.
  • the embodiment of the present invention further provides a session processing method, where the data network element is used as an AAA, and the authorization process and the authorization modification process of the PDU session are established, which is different from the previous embodiment.
  • the AAA is only Authorized, the UR is not authenticated, and the EAP protocol is not used.
  • the AAA triggers the PDU session modification instead of triggering the PDU session release.
  • the PDU session establishment process in this embodiment and the first embodiment can be interchanged without affecting the subsequent trigger PDU session modification/release process. As shown in FIG. 6, the method includes the following steps:
  • the UE sends a message requesting to establish a PDU session to the AMF and a secondary ID of the UE.
  • the UE sends its own Ethernet address to the AMF along with the request.
  • the AMF sets the PDU session establishment request of the UE, the SUPI of the UE, the PEI of the UE, and the UE.
  • the secondary ID is sent to the SMF.
  • the AMF will receive the Ethernet address sent by the UE, and the Ethernet address of the UE also needs to be sent to the SMF.
  • the SMF determines a PDU session that requires an AAA authentication UE or a 4 authorized UE.
  • the SMF can determine whether an AAA authentication UE or an authorized UE PDU session is required according to a locally pre-stored policy (for example, AAA authentication and authorization is required to access the DN); or the relevant indication carried by the PDU session establishment request sent by the UE is Or the basis of the judgment; or, between the SMF steps 302 and 303, the subscription information of the UE is read from the UDM, and the AAA session of the AAA authentication UE or the authorized UE is determined according to the read related policy in the subscription information.
  • a locally pre-stored policy for example, AAA authentication and authorization is required to access the DN
  • the relevant indication carried by the PDU session establishment request sent by the UE is Or the basis of the judgment; or, between the SMF steps 302 and 303, the subscription information of the UE is read from the UDM, and the AAA session of the AAA authentication UE or the authorized UE is determined according to the read related policy in the subscription information.
  • the SMF allocates a session address to the UE.
  • the SMF uses the Ethernet address of the UE received in step 303 as the session address that the UE will use, and may skip step 304 and directly perform step 305. .
  • step 304 is required. Specifically, if the PDU session type is IPv4, the SMF allocates an IP address to the UE as the session address that the UE will use; For IPv6, the SMF allocates an IP prefix to the UE as the session address to be used by the UE. If the PDU session type is unstructured, the SMF allocates a tunnel IP address or a tunnel IP prefix to the UE as the session address to be used by the UE. The tunnel IP address or tunnel IP prefix is assigned to the UPF.
  • the SMF sends an AAR message of the diameter protocol to the AAA, where the message carries the authorization request, the session address, and the secondary ID of the UE.
  • the SMF may also find the external ID of the UE from the subscription data of the UE, and add the SUPI, the PEI, or the external ID of the UE to the AAR message of the diameter protocol, and send the AAA to the AAA.
  • the AAA sends an AAA message of the diameter protocol to the SMF, including 4 authorized results.
  • the authorization result may be an authorization information indicating the authority of the PDU session to be established for the UE.
  • the SMF informs the PCF of the information of the PDU session, which includes the address of the PDU session (that is, the above session address).
  • the information of the PDU session may further include one or more IDs of the UE.
  • the PCF sends the policy of the PDU session to the SMF.
  • the SMF informs the UPF of the information of the PDU session, where the address of the PDU session and the processing rule of the PDU session are included.
  • the processing rule of the foregoing PDU session is generated by the SMF according to the policy of the received PDU session, and the UPF ensures that the PDU session does not exceed the authorized range by executing the processing rule of the PDU session.
  • the UPF responds to the SMF.
  • the SMF sends a PDU session to the AMF to establish a response.
  • the AMF forwards the PDU session to the UE to establish a response.
  • the UE obtains an address of the PDU session.
  • the PDU session address is the Ethernet ground of the UE. Address. If the PDU type is not an Ethernet type, such as an IP type or an unstructured type, the address of the PDU session is allocated by the SMF for the UE, and the SMF sends the session address allocated to the UE to the UE through another message, such as using the DHCP protocol. The message was sent. Alternatively, a message may be sent in steps 314-315 to inform the UE of the session address assigned.
  • the AAA detects that the PDU session needs to be modified.
  • the AAA detects that the UE's subscription to the DN is modified according to the ID of the UE (obtained in step 307), or the DN detects that the UE's trust or credibility changes, or the DN detects the PDU session.
  • the specific method of traffic monitoring refer to the related explanation of step 217 in the previous embodiment, and details are not described herein.
  • the AAA sends a request to modify the PDU session.
  • the AAA may send a request for modifying the PDU session to the SMF by using the RAR message of the diameter protocol (step 315a).
  • the message sent by the AAA does not carry the PDU session, that is, the MF session is not required to be provided to the SMF.
  • SMF and AAA maintain a corresponding diameter session for each PDU session, the four diameter messages 305, 306, 315a, and 317a in the figure are all in the same diameter session.
  • the AAA requests to release or modify the PDU session in the diameter session corresponding to the PDU session.
  • the SMF can know that the PDU session requesting the operation is the PDU session corresponding to the session.
  • the AAA sends a request to modify the PDU session to the PCF using the AAR message of the diameter protocol (step 315bl), and the PCF further triggers the SMF to modify the PDU session (step 315b2).
  • the request sent by the AAA includes the address of the PDU session, which is used to identify the PDU session, and may also include one or more IDs of the UE to assist in identifying the PDU session.
  • the previous AAA has sent this information to the PCF (for example, the AAA has previously sent a request to modify the PDU session through the PCF, the request contains this information), then it is not necessary to include this information.
  • the SMF modifies the PDU session.
  • the SMF requests (R) AN to modify the configuration of the PDU session, and the request is forwarded by the AMF.
  • the (R)AN informs the UE about the modification of the PDU session, and the (R)AN notifies the SMF that the configuration of the PDU session has been modified, and the notification is forwarded by the AMF.
  • the SMF requests the UPF to modify the configuration of the PDU session and get a response.
  • the AAA receives a response to the PDU session modification request.
  • the SMF sends the message to the AAA, and the message is the RAA message of the diameter protocol (step 317a).
  • the PCF receives the response of the PDU session modification request sent by the SMF (step 317M), and the PCF sends a response to the PDU session modification request to the AAA by using the AAA message of the diameter protocol (step 317b2).
  • the address in the above step is: If the PDU session type is IPv4, the address is the IP address assigned by the SMF to the UE; if the PDU session type is IPv6, the address is the IP prefix assigned by the SMF to the UE; if the PDU session type is unstructured The address is the tunnel IP address or tunnel IP prefix assigned by the SMF to the UE. If the PDU session type is Ethernet, the address is the Ethernet address of the UE.
  • the SMF obtains the Ethernet address of the UE in step 302, or in step 604
  • the UE allocates an IP address/prefix used by the session or used by the tunnel.
  • the SMF sends the addresses to the AAA in the diameter message of the authorization request, so that the DN can identify the PDU of the PDU session and detect whether there is an abnormality or judge the trust or reputation value of the UE, thereby determining
  • the PDU session needs to be modified; or when the subscription condition of the UE changes, the AAA may associate with the PDU session to determine to modify the PDU session.
  • AAA triggers the modification of the PDU session through the PCF.
  • the embodiment of the present invention further provides a session processing method.
  • the data network element as an AAA as an example
  • the AAA uses the authorization release and authorization modification or cancellation of the PDU session to implement authentication on the user plane, as shown in FIG. 7 .
  • the method includes the following steps:
  • the UE sends a PDU session establishment request to the AMF and a secondary ID of the UE.
  • the UE sends its own Ethernet address along with the request to the AMF.
  • the AMF sends the PDU session establishment request of the UE together with the SUPI of the UE, the PEI of the UE, and the secondary ID of the UE to the SMF.
  • the Ethernet address of the UE is also sent to the SMF.
  • the SMF determines a PDU session that requires an AAA authentication UE or a 4 authorized UE.
  • the SMF may determine whether an AAA authentication UE or an authorized UE PDU session is required according to a locally pre-stored policy (for example, AAA authentication and authorization is required for accessing the DN); or, the PDU session establishment request sent by the UE is related.
  • the indication is the judgment basis; or, between the SMF steps 402 and 403, the subscription information of the UE is read from the UDM, and whether the AAA session of the AAA authentication UE or the 4 authorized UE is required is determined according to the read correlation policy in the subscription information.
  • the SMF allocates a session address to the UE.
  • Step 404 directly performs step 405.
  • step 404 is performed. Specifically, if the PDU session type is IPv4, the SMF allocates an IP address to the UE as the session address that the UE will use; For IPv6, the SMF allocates an IP prefix to the UE as the session address to be used by the UE. If the PDU session type is unstructured, the SMF allocates a tunnel IP address or a tunnel IP prefix to the UE as the session address to be used by the UE. The tunnel IP address or tunnel IP prefix is assigned to the UPF.
  • the SMF sends an authorization request to the AAA, and simultaneously sends the session address and the secondary ID of the UE to the AAA.
  • the SMF may also send any one or more of the UE's SUPI, the UE's PEI, and the UE's external ID to the AAA.
  • the SMF may find the external ID of the UE from the subscription data of the UE.
  • the S MF may send the message to be sent to the AAA through the A AR message of the diameter protocol.
  • AAA checks whether the UE has the right to access the DN. If the UE does not have permission to access the DN, the return authorization fails. If the UE has access to the DN, the process continues.
  • the AAA sends an AAA message of the diameter protocol to the SMF, including 4 authorized results.
  • the authorization result is authorization information, indicating the authority of the PDU session to be established for the UE.
  • the authorization information indicates that the PDU session only allows access to the AAA, and further limits the maximum transmission rate of the PDU session to a small value.
  • the PDU session has permission to access AAA as well as a DNS server and/or a DHCP server.
  • the PDU session is allowed to access the DHCP server, so that the UE can obtain an IP address through DHCP.
  • the PDU session is allowed to access the DNS server, so that the UE can query the address of the AAA/AAA proxy through the DNS.
  • the SMF informs the PCF of the information of the PDU session, where the address of the PDU session (ie, the session address) is included.
  • the SMF may also send one or more IDs of the UE to the PCF.
  • the PCF sends the policy of the PDU session to the SMF.
  • the policy of the PDU session indicates that the PDU session only allows access to the AAA, and further, the threshold value of the maximum transmission rate of the PDU session can be characterized, and the threshold is a small transmission rate.
  • At least one of the steps 407 and 409 indicates that the PDU session only allows access to the AAA.
  • the SMF informs the UPF of the information of the PDU session, where the address and processing rule of the PDU session are included.
  • the processing rule of the foregoing PDU session is generated by the SMF according to the policy of the received PDU session, and the UPF ensures that the PDU session does not exceed the authorized range by executing the processing rule of the PDU session.
  • the processing rule may indicate that the PDU session only allows access to the AAA, and the maximum transmission rate of the PDU session cannot exceed a threshold.
  • the UPF responds to the SMF.
  • the SMF sends a PDU session to the AMF to establish a response.
  • the AMF forwards the PDU session to the UE to establish a response.
  • the UE obtains an address of the PDU session.
  • the address of the PDU session is the Ethernet address of the UE. If the PDU type is not an Ethernet type, such as an IP type or an unstructured type, the PDU session address is allocated by the SMF for the UE, and the SMF sends an address assigned to the UE to the UE through another message, such as sending a message using the DHCP protocol. . Alternatively, a message may be sent between steps 414-415 to inform the UE of the assigned address.
  • the AAA authenticates the UE by using the established PDU session.
  • the authentication message is transmitted through the PDU.
  • the PDU type is IP
  • the PDU type is Ethernet
  • any Ethernet-based authentication protocol such as PPPoE and EAPoL, can be used.
  • the AAA judges that the PDU needs to be changed or released according to the authentication result. session ⁇
  • the AAA determines that the PDU session needs to be modified, so that the PDU session can access the network element except the AAA, and/or, so that the UE can access the other network except the AAA through the PDU session by using the larger transmission rate. yuan. If the authentication is successful, the AAA determines that the PDU session needs to be released.
  • the correspondence between the authentication result and the PDU session can be determined by the address of the PDU session.
  • the source address or the source tunnel address of the PDU carrying the authentication result is the address of the PDU session corresponding to the authentication result.
  • the AAA sends a request to modify the PDU session or release the PDU session.
  • the request can be sent to the SMF. If the request to modify the PDU session is used, the RAR message of the diameter protocol is used. If the request to release the PDU session is used, the ASR message of the diameter protocol is used.
  • the request may also be sent to the PCF; if the request for modifying the PDU session is used, the AAR message of the diameter protocol is used; if the request for releasing the PDU session is used, the AAR message or the STR message of the diameter protocol is used.
  • the request sent by the AAA includes the address of the PDU session, which is used to identify the PDU session, and may also include one or more IDs of the UE to assist in identifying the PDU session.
  • the previous AAA has sent this information to the PCF (for example, the previous AAA has sent a request to modify the PDU session through the PCF, the request contains this information), then it is not necessary to include this information.
  • PCF further triggers SMF modification or release PDU session.
  • the SMF changes or releases the PDU session.
  • the AAA receives a response to modify the PDU session or release the PDU session.
  • the response can be sent by the SMF to AAA (step 419a). If the response of the PDU session is modified, the response message is the RAA message of the diameter protocol. If the response to the PDU session is released, the response message is the ASA message of the diameter protocol.
  • the PCF receives the response of the SMF (step 419bl); further, the PCF sends a response to the AAA (step 419b2). If the response of the PDU session is modified, the response message sent by the PCF is the AAA message of the diameter protocol (the name of the message in the diameter protocol is the same as the AAA network element in the standard). If the response to the PDU session is released, the response message is an AAA message or a STA message of the diameter protocol.
  • the SMF obtains the Ethernet address of the UE, or allocates an IP address/prefix used by the UE or used by the UE for the UE.
  • the SMF sends the address to the AAA in the diameter message of the authorization request, so that the DN can identify the PDU of the PDU session, so that when the UE is authenticated again after the PDU session is established, the PDU session corresponding to the authentication result can be associated. Then, when the authentication succeeds or fails, the AAA knows which PDU session is modified or released.
  • this embodiment implements support for multiple authentication protocols by using AAA to trigger modification and release of the PDU session without requiring additional modification of the 3GPP network.
  • the embodiment of the present invention further provides a session processing method, which uses an agent network element AAA proxy whose data network element is AAA as an example, and introduces an authorization process for granting and canceling/authorizing the PDU session to implement the authentication process on the user plane, such as As shown in FIG. 8, the method includes the following steps:
  • the UE sends a PDU session establishment request to the AMF and a secondary ID of the UE.
  • the UE sends its own Ethernet address along with the request to the AMF.
  • the AMF sends the PDU session establishment request of the UE together with the SUPI of the UE, the PEI of the UE, and the secondary ID of the UE to the SMF.
  • the Ethernet address of the UE is also sent to the SMF.
  • the SMF determines that a PDU session of the AAA-authenticated UE or the 4 authorized UE is required.
  • the SMF may determine whether an AAA authentication UE or an authorized UE PDU session is required according to a locally pre-stored policy (for example, AAA authentication and authorization is required for accessing the DN); or, the PDU session establishment request sent by the UE is related.
  • the indication is the judgment basis; or, between the SMF steps 502 and 503, the subscription information of the UE is read from the UDM, and whether the AAA session of the AAA authentication UE or the 4 authorized UE is required is determined according to the read correlation policy in the subscription information.
  • the SMF allocates a session address to the UE.
  • the SMF uses the Ethernet address of the UE received in step 503 as the session address to be used by the UE, that is, the session address, and then can be skipped.
  • Step 504 directly performs step 505.
  • step 504 is performed. Specifically, if the PDU session type is IPv4, the SMF allocates an IP address to the UE as the session address that the UE will use; For IPv6, the SMF allocates an IP prefix to the UE as the session address to be used by the UE. If the PDU session type is unstructured, the SMF allocates a tunnel IP address or a tunnel IP prefix to the UE as the session address to be used by the UE. The tunnel IP address or tunnel IP prefix is assigned to the UPF.
  • the SMF sends an authorization request to the AAA proxy, and sends the session address and the secondary ID to the AAA proxy.
  • the SMF may further send any one or more of the UE's SUPI, the UE's PEI, and the UE's external ID to the AAA proxy.
  • the SMF may find the external ID of the UE from the subscription data of the UE.
  • the SMF may send the message to be sent to the AAA proxy through the AAR message of the diameter protocol.
  • the AAA proxy sends a 4 authorized request to the AAA, where the request includes the secondary ID of the UE.
  • the AAA checks whether the UE has the right to access the DN. If there is permission, the return authorization is successful and the process continues.
  • steps 506 and 507 are optional steps.
  • the AAA proxy sends an AAA message of the diameter protocol to the SMF, and includes 4 authorized results.
  • the authorization result is authorization information, indicating the authority of the PDU session to be established for the UE.
  • the authorization information indicates that the PDU session only allows access to the AAA proxy, and further, the maximum transmission rate of the PDU session can be limited to a smaller value.
  • the PDU session has permission to access the AAA proxy and the DNS server and/or the DHCP server.
  • the PDU session is allowed to access the DHCP server, so that the UE can obtain an IP address through DHCP.
  • the PDU session is allowed to access the DNS server, so that the UE can query the address of the AAA/AAA proxy through the DNS.
  • the SMF informs the PCF of the information of the PDU session, which includes the address of the PDU session.
  • the SMF may also send one or more IDs of the UE to the PCF.
  • the PCF sends the policy of the PDU session to the SMF.
  • the policy of the PDU session indicates that the PDU session only allows access to the AAA, and further, the threshold value of the maximum transmission rate of the PDU session can be characterized, and the threshold is a small transmission rate. It should be noted that at least one of the two steps of step 508 and step 510 indicates that the PDU session only allows access to the AAA proxy.
  • the SMF informs the UPF of the PDU session information, including the address of the PDU session and the processing rules of the PDU session.
  • the processing rule of the foregoing PDU session is generated by the SMF according to the policy of the received PDU session, and the UPF ensures that the PDU session does not exceed the authorized range by executing the processing rule of the PDU session.
  • the processing rule may indicate that the PDU session only allows access to the AAA, and the maximum transmission rate of the PDU session cannot exceed a threshold.
  • the UPF responds to the SMF.
  • the SMF sends a PDU session to the AMF to establish a response.
  • the AMF forwards the PDU session to the UE to establish a response.
  • the UE obtains an address of the PDU session.
  • the address of the PDU session is the Ethernet address of the UE. If the PDU type is not an Ethernet type, such as an IP type or an unstructured type, the address of the PDU session is allocated by the SMF for the UE, and the SMF sends an address assigned to the UE to the UE through another message, such as a message using the DHCP protocol. send. Alternatively, a message may be sent between steps 515-516 to inform the UE of the assigned address.
  • the AAA authenticates the UE by using the established PDU session.
  • the authentication message is transmitted between the UE and the AAA proxy through the PDU, and the AAA proxy forwards the authentication message to the AAA and the UE.
  • any IP-based authentication protocol such as the SIP protocol
  • any Ethernet-based authentication protocol such as PPPoE protocol and EAPoL protocol, can be used.
  • the AAA proxy determines whether the PDU session needs to be changed or released according to the authentication result.
  • the AAA determines that the PDU session needs to be modified, so that the PDU session can access the network element except AAA, and/or, so that the UE can access the other network except the AAA proxy by using the PDU session with a larger transmission rate. yuan. If the authentication is successful, AAA judges that the PDU S6sskm needs to be released.
  • the correspondence between the authentication result and the PDU session can be determined by the address of the PDU session.
  • the source address or the source tunnel address identifier of the PDU of the uplink traffic may determine that the authentication corresponds to the PDU session.
  • the source address or the source tunnel address of the PDU carrying the authentication result is the address of the PDU session corresponding to the authentication result.
  • the destination address or the destination tunnel address of the PDU of the downstream traffic may determine that the authentication corresponds to the PDU session. If the PDU type is IPv4, the source IP address of the uplink PDU and the destination IP address of the downlink PDU are the same as the IP address obtained in step 505.
  • the PDU type is IPv6, the source IP address of the uplink PDU and the destination IP address of the downlink PDU. Matching with the IP prefix obtained in step 507; if the PDU type is Ethernet, the source Ethernet address of the uplink PDU and the destination Ethernet address of the downlink PDU are the same as the Ethernet address obtained in step 505; if the PDU type is unstructured The source tunnel address of the uplink PDU and the destination tunnel address of the downlink PDU match the tunnel IP address or tunnel IP prefix obtained in step 505. 518. According to the result of step 517, the AAA proxy sends a request to modify the PDU session or release the PDU session.
  • the request can be sent to the SMF. If the request to modify the PDU session is used, the RAR message of the diameter protocol is used. If the request to release the PDU session is used, the ASR message of the diameter protocol is used.
  • the request may also be sent to the PCF; if the request for modifying the PDU session is used, the AAR message of the diameter protocol is used; if the request for releasing the PDU session is used, the AAR message or the STR message of the diameter protocol is used.
  • the request sent by the AAA includes the address of the PDU session, which is used to identify the PDU session, and may also include one or more IDs of the UE to assist in identifying the PDU session.
  • the previous AAA has sent this information to the PCF (for example, the previous AAAproxy has sent a request to modify the PDU session through the PCF, the request contains this information), then it is not necessary to include this information.
  • PCF further triggers SMF modification or release PDU session.
  • the SMF changes or releases the PDU session.
  • the AAA proxy receives a response to change the PDU session or release a response of the PDU session.
  • the response can be sent by the SMF to the AAA proxy (step 520a). If the response of the PDU session is modified, the response message is the RAA message of the diameter protocol. If the response to the PDU session is released, the response message is the ASA message of the diameter protocol.
  • the PCF receives the response of the SMF (step 520M); further, the PCF sends a response to the AAA proxy (step 520b2). If the response of the PDU session is modified, the response message sent by the PCF is the AAA message of the diameter protocol (the name of the message in the diameter protocol is the same as the AAA network element in the standard). If the response of the PDU session is released, the response message is an AAA message or a STA message of the diameter protocol.
  • AAA proxy AAA proxy is added, and most steps performed by the AAA in the previous embodiment are transferred to the AAA proxy.
  • the AAA in this embodiment may be an S-CSCF network element in an IP multimedia subsystem (IMS), and the AAA proxy may be a P-CSCF network element in the IMS.
  • IMS IP multimedia subsystem
  • the SMF obtains the Ethernet address of the UE, or allocates the IP address/prefix used by the UE or used by the UE for the UE.
  • the SMF sends the address to the AAA proxy in the diameter message of the authorization request, so that the AAA proxy can only use the PDU of the PDU session, so that when the UE is authenticated again after the PDU session is established, the authentication result can be associated.
  • the AAA proxy knows which PDU session is modified or released.
  • the embodiment of the present invention further provides a session processing method, which uses an agent network element AAA proxy whose data network element is AAA as an example, and introduces an authorization process for granting and canceling/authorizing the PDU session to implement the authentication process on the user plane, such as As shown in FIG. 9, the method includes the following steps:
  • the UE sends a PDU session establishment request to the AMF and a secondary ID of the UE.
  • the UE sends its own Ethernet address along with the request to the AMF.
  • the AMF sends the PDU session establishment request of the UE together with the SUPI of the UE, the PEI of the UE, and the secondary ID of the UE to the SMF.
  • the Ethernet address of the UE is also sent to the SMF.
  • the SMF determines that the AAA session of the UE is required to be authenticated and/or authorized.
  • the SMF determines that a PDU session of the AAA-authenticated UE or the 4 authorized UE is required.
  • the SMF may determine whether an AAA authentication UE or an authorized UE PDU session is required according to a locally pre-stored policy (for example, AAA authentication and authorization is required for accessing the DN); or, the PDU session establishment request sent by the UE is related.
  • the indication is the judgment basis; or, between the SMF steps 602 and 603, the subscription information of the UE is read from the UDM, and whether the AAA session of the AAA authentication UE or the 4 authorized UE is required is determined according to the read correlation policy in the subscription information.
  • the SMF allocates a session address to the UE.
  • the SMF uses the Ethernet address of the UE received in step 603 as the session address that the UE will use, that is, the session address, and the steps may be skipped. 604 directly performs step 605.
  • step 604 is performed. Specifically, if the PDU session type is IPv4, the SMF allocates an IP address to the UE as the session address that the UE will use; For IPv6, the SMF allocates an IP prefix to the UE as the session address to be used by the UE. If the PDU session type is unstructured, the SMF allocates a tunnel IP address or a tunnel IP prefix to the UE as the session address to be used by the UE. The tunnel IP address or tunnel IP prefix is assigned to the UPF.
  • the SMF sends an authorization request to the AAA or AAA proxy, and also sends the session address and the secondary ID to the AAA or AAA proxy.
  • the SMF may also send any one or more of the UE's SUPI, the UE's PEI, and the UE's external ID to the AAA proxy or AAA.
  • the SMF may find the external ID of the UE from the subscription data of the UE.
  • the SMF may send the message to be sent to the AAA proxy or AAA through the AAR message of the diameter protocol.
  • the AAA/AAA proxy starts a timer.
  • the AAA/AAA proxy sends an AAA message or a DEA message of the diameter protocol to the SMF, including the authorization result.
  • the authorization result is authorization information, indicating the authority of the PDU session to be established for the UE.
  • the authorization information indicates that the PDU session only allows access to the AAA or AAA proxy, and further, the maximum transmission rate of the PDU session can be limited to a smaller value.
  • the PDU session has permission to access the AAA proxy and the DNS server and/or the DHCP server.
  • the PDU session is allowed to access the DHCP server, so that the UE can obtain an IP address through DHCP.
  • the PDU session is allowed to access the DNS server, so that the UE can query the address of the AAA/AAA proxy through the DNS.
  • step 606 can be exchanged with the step 607. That is, after the AAA/AAA proxy sends the AAA message or the DEA message of the diameter protocol to the SMF, the timer is started.
  • the SMF informs the PCF of the information of the PDU session, where the address of the PDU session is included.
  • the SMF may also send one or more IDs of the UE to the PCF.
  • the PCF sends the policy of the PDU session to the SMF.
  • the policy of the PDU session indicates that the PDU session only allows access to the AAA, and further, the threshold value of the maximum transmission rate of the PDU session may be characterized, and the threshold is a smaller transmission speed. Rate.
  • At least one of the steps 607 and 609 indicates that the PDU session only allows access to the AAA or AAA proxy.
  • the SMF informs the UPF of the information of the PDU session, where the address of the PDU session and the processing rule of the PDU session are included.
  • the processing rule of the foregoing PDU session is generated by the SMF according to the policy of the received PDU session, and the UPF ensures that the PDU session does not exceed the authorized range by executing the processing rule of the PDU session.
  • the processing rule may indicate that the PDU session only allows access to the AAA or AAA proxy, and the maximum transmission rate of the PDU session cannot exceed a threshold.
  • the UPF responds to the SMF.
  • the SMF sends a PDU session to the AMF to establish a response.
  • the AMF forwards the PDU session to the UE to establish a response.
  • the UE obtains a PDU session address.
  • the PDU session address is the Ethernet address of the UE. If the PDU type is not an Ethernet type, such as an IP type or an unstructured type, the PDU session address is allocated by the SMF for the UE, and the SMF sends an address assigned to the UE to the UE through another message, such as sending a message using the DHCP protocol. . Alternatively, a message may be sent between steps 614-615 to inform the UE of the assigned address.
  • the timer expires, and the AAA/AAA proxy has not received the PDU of the PDU session sent by the UE, and determines that the PDU session needs to be released.
  • the AAA/AAA proxy can identify the PDU of the PDU session according to the address obtained in step 605.
  • the source address or source tunnel address identification of the PDU can determine whether the PDU corresponds to the PDU session. For example, if the PDU type is IPv4, the source IP address of the PDU is consistent with the IP address obtained in step 605; if the PDU type is IPv6, the source IP address of the PDU matches the IP prefix obtained in step 605; If the type is Ethernet, the source Ethernet address of the PDU is the same as the Ethernet address obtained in step 605. If the PDU type is unstructured, the source tunnel address of the PDU is the tunnel IP address or tunnel IP prefix obtained in step 605. match.
  • the AAA/AAA proxy sends a request to release the PDU session.
  • the AAA/AAA proxy can send the request to the SMF.
  • the request to release the PDU session uses the ASR message of the diameter protocol.
  • the AAA/AAA proxy sends the request to the PCF; releases the request of the PDU session, uses the AAR message or the STR message of the diameter protocol.
  • the request sent by AAAproxy/AAA includes the address of the PDU session, which is used to identify the PDU session, and may also include one or more IDs of the UE for auxiliary identification of the PDU session 0. If the AAAproxy/AAA has previously sent these to the PCF, Information (for example, if AAAproxy/AAA has sent a request to modify the PDU session through the PCF, the request contains this information), you do not need to include this information.
  • PCF further triggers the SMF to release the PDU session.
  • the SMF releases the PDU session.
  • the AAA proxy/AAA receives a response to release the PDU session.
  • the response can be sent by the SMF to the AAA proxy (step 618a).
  • the response message for releasing the PDU session is the ASA message of the diameter protocol.
  • the PCF receives the response of the SMF (step 618b1); further, the PCF sends a response to the AAA proxy (step 618b2).
  • the response message for releasing the PDU session is the AAA message or the STA message of the diameter protocol.
  • the SMF can obtain the Ethernet address of the UE, or allocate the IP address/prefix used by the UE or used by the UE to the UE.
  • the SMF sends the address to the AAA/AAA proxy in the diameter message of the authorization request, so that the AAA/AAA proxy can identify the PDU of the PDU session, so that when the timeout has not received the PDU for authentication of the PDU session,
  • the AA/AAA proxy determines to release the PDU session 0 and the AAA/AAA proxy triggers the release of the PDU session through the PCF.
  • each network element such as an SMF and a data network element, includes a hardware structure and/or a software module for performing each function in order to implement the above functions.
  • a hardware structure for performing each function in order to implement the above functions.
  • the present application can be implemented in a combination of hardware or hardware and computer software in conjunction with the algorithm steps of the various examples described in the embodiments disclosed herein. Whether a function is implemented in hardware or computer software to drive hardware depends on the specific application and design constraints of the solution. The skilled person can use different methods for each particular application to implement the described functionality, but such implementation should not be considered beyond the scope of this application.
  • the embodiments of the present application may perform functional module division on the SMF and the data network element according to the foregoing method.
  • each functional module may be divided according to each function, or two or more functions may be integrated into one processing module.
  • the above integrated modules can be implemented in the form of hardware or in the form of software functional modules. It should be noted that the division of the modules in the embodiment of the present application is schematic, and only one logical function is divided, and the actual implementation may have another division manner.
  • FIG. 10 is a schematic diagram showing a possible composition of the session management function network element SMF involved in the foregoing embodiment.
  • the base station may include: The receiving unit 701, the determining unit 702, the transmitting unit 703, and the establishing unit 704.
  • the receiving unit 701 is configured to support the SMF to perform step 101 in the session processing method shown in FIG. 4.
  • the determining unit 702 is configured to support the SMF to perform step 102 in the session processing method shown in FIG.
  • the sending unit 703 is configured to support the SMF to perform step 103 in the session processing method shown in FIG. 4.
  • the sending unit 704 is configured to support the SMF to perform step 104 in the session processing method shown in FIG. 4.
  • the SMF provided by the embodiment of the present application is used to perform the transmission method of the above-mentioned discovery signal, so that the same effect as the transmission method of the above-mentioned discovery signal can be achieved.
  • Fig. 11 shows another possible composition diagram of the SMF involved in the above embodiment.
  • the SMF includes: a processing module 801 and a communication module 802.
  • the processing module 801 is configured to control the management of the actions of the server.
  • the processing module 801 is configured to support the SMF to perform steps 102, 105, and/or other processes for the techniques described herein in FIG.
  • the communication module 802 is configured to support communication between the SMF and other network entities, such as the UPF shown in FIG. Letter.
  • the SMF may further include a storage module 803 for storing program code and data of the server.
  • the processing module 801 can be a processor or a controller. It is possible to implement or carry out the various illustrative logical blocks, modules and circuits described in connection with the present disclosure.
  • the processor can also be a combination of computing functions, for example, including one or more microprocessor combinations, a combination of a DSP and a microprocessor, and the like.
  • the communication module 802 can be a transceiver, a transceiver circuit, a communication interface, or the like.
  • the storage module 803 can be a memory.
  • the SMF involved in the embodiment of the present application may be the session management function network element shown in FIG. 2.
  • FIG. 12 is a schematic diagram showing a possible composition of the data network element involved in the foregoing and the embodiment.
  • the data network element may be The method includes: a receiving unit 901, a sending unit 902, a detecting unit 903, and a generating unit 904.
  • the data network element may be a network element in the DN shown in FIG.
  • the receiving unit 901 is configured to support the data network element to perform step 103 in the session processing method shown in FIG. 4.
  • a sending unit 902 configured to support the data network element to perform step 104 in the session processing method shown in FIG. 4, and in step 107, the session processing request generated by the generating unit instructs the SMF to process the UE Steps of the session
  • the detecting unit 903 is configured to support the data network element to perform the steps in the session processing method shown in FIG.
  • the generating unit 904 is configured to support the step of the data network element performing the "generating the session processing request" in step 107 in the session processing method shown in FIG.
  • the data network element provided by the embodiment of the present application is configured to perform the foregoing transmission method of the discovery signal, so that the same effect as the transmission method of the discovery signal described above can be achieved.
  • Fig. 13 shows another possible composition diagram of the data network element involved in the above embodiment.
  • the data network element includes: a processing module 1001 and a communication module 1002.
  • the processing module 1001 is configured to control and manage the actions of the data network element.
  • the processing module 1001 is configured to support the SMF to perform steps 106, 107, and/or other processes for the techniques described herein.
  • Communication module 1002 is operative to support communication between data network elements and other network entities, such as the UPF shown in FIG.
  • the data network element may further include a storage module 1003 for storing program code and data of the data network element.
  • the processing module 1001 can be a processor or a controller. It is possible to implement or carry out the various illustrative logical blocks, modules and circuits described in connection with the disclosure herein.
  • the processor can also be a combination of computing functions, such as one or more microprocessor combinations, a combination of a DSP and a microprocessor, and the like.
  • the communication module 1002 can be a transceiver, a transceiver circuit, a communication interface, or the like.
  • the storage module 1003 can be a memory.
  • the processing module 1001 is a processor
  • the communication module 502 is a transceiver
  • the storage module 503 is a memory
  • the data network element involved in the embodiment of the present application may be the data network element shown in FIG. 3.
  • the disclosed system, apparatus, and method may be implemented in other manners.
  • the device embodiments described above are merely illustrative.
  • the division of the modules or units is only a logical function division.
  • there may be another division manner for example, multiple units or components may be used. Combined or can be integrated into another system, or some features can be ignored, or not executed.
  • the mutual coupling or direct coupling or communication connection shown or discussed may be an indirect coupling or communication connection through some interface, device or unit, and may be electrical, mechanical or other form.
  • the units described as separate components may or may not be physically separate, and the components displayed as units may or may not be physical units, i.e., may be located in one place, or may be distributed to multiple network units. Some or all of the units may be selected according to actual needs to achieve the objectives of the solution of the embodiment.
  • each functional unit in each embodiment of the present application may be integrated into one processing unit, or each unit may exist physically separately, or two or more units may be integrated into one unit.
  • the above integrated unit can be implemented in the form of hardware or in the form of a software functional unit.
  • the integrated unit if implemented in the form of a software functional unit and sold or used as a standalone product, may be stored in a computer readable storage medium.
  • a computer readable storage medium includes: a medium that can store program code, such as a flash memory, a removable hard disk, a read only memory, a random access memory, a magnetic disk, or an optical disk.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

摘要本发明实施例提供一种会话处理方法及设备，涉及通信领域， DN 可以根据监测到的异常情控制 PDU session 的删除和修改，实现有效的访问控制。包括：数据网络网元接收会话管理功能网元 SMF 发送的数据网络访问请求；数据网络访问请求包括用户设备 UE 的标识以及 UE 将使用的会话地址；数据网络网元向 SMF 发送响应消息，响应消息指示允许 UE 访问数据网络，以便 SMF 建立 UE 的会话；数据网络网元根据会话地址或 UE 的标识检测到需要处理 UE 的会话，生成会话处理请求，利用会话处理请求指示 SMF 处理 UE 的会话。

Description

一种会话处理方法及设备
技术领域
本申请涉及通信领域， 尤其涉及一种会话处理方法及设备。
背景技术
用户设备如上文所述， UE ( u ser equipment , UE ) 在接入 5G 网络时， 第 三代合作伙伴计划 ( 3rd generation partnership project , 3 GPP ) 网络首先要对 UE进行首要认证。 一个 UE通过了首要认证后， 才可以接入 3 GPP 网络， 进 一步向 3 GPP 网络请求建立与数据网络 （ data network , DN ) 之间的数据包 ( acket data unit , PDU ) 会话 （ ses sion ) , 以访问 DN。 另夕卜， 在 UE 访问 DN 时， DN还可能需要对 UE 进行二次认证和 /或授权。 UE 只有通过了这一 认证和 /或 4受权， 才准许建立 PDU ses sion。
现有技术已经支持 DN对 UE进行认证和授权， 但不支持 DN对 UE授权 进行修改和取消， 即不支持 DN触发 PDU session的删除和修改。 如此， DN 如果检测到已经接入 DN 的某个 UE (即 3 GPP 网络已经为该 UE 建立了 PDU ses sion)为恶意或非法 UE , 但是 DN也无法终止这些 UE访问 DN ; 又如， UE 在 DN的签约取消或变更 （或者 UE的信任度变化） 后， DN无法相应地触发 UE 的 PDU session 的权限撤销和修改。 可见， DN这一功能的缺失会带来安 全风险和网络资源的滥用， 无法实现有效的访问控制。
发明内容
本发明的实施例提供一种会话控制方法及设备， DN可以根据监测到的异 常情控制 PDU ses sion的删除和修改， 实现有效的访问控制。
为达到上述目 的， 本发明的实施例釆用如下技术方案：
第一方面， 公开了一种会话处理方法， 包括：
会话管理功能网元 S MF接收来自 UE 的会话建立请求， 进而确定 UE 的 会话将使用的会话地址； 进一步， S MF 向 DN 中的数据网络网元发送数据网 络访问请求， 该请求包括上述会话地址以及 UE 的标识， 可以指示数据网络 网元对 UE进行认证和 /或授权。 当数据网络网元对 UE认证和 /或授权后， SMF 可以接收数据网络网元发送的响应消息， 该消息指示允许 UE访问数据网络， 即 UE认证成功和 /或授权成功。 那么， SMF可以建立 UE的会话。
本发明实施例提供的会话处理方法， S MF预先确定 UE 的会话地址， 在 DN认证 UE或授权 UE时， SMF向数据网络网元提供该会话地址以及 UE 的 标识， 随后再根据该会话地址为 UE 建立会话。 如此， 当数据网络网元检测 到需要处理 UE 的会话 （如： 该会话的流量发生变化） 时， 数据网络网元可 以根据接收到的会话地址或用户的标识关联到 UE的会话， 向 SMF或 PCF发 送请求触发对该会话的处理。
结合第一方面， 在第一方面的第一种可能的实现方式中， SMF 建立 UE 的会话之后， 方法还包括： SMF接收由数据网络网元触发的会话处理请求， 根据该会话处理请求处理 UE的会话。
现有技术 DN无法触发对会话的处理， 而本发明实施例中， DN的数据网 络可以通过上述方式触发对会话的处理， 实现有效的访问控制。
结合第一方面以及第一方面的第一种可能的实现方式， 在第一方面的第 二种可能的实现方式中， 确定 UE 的会话将使用的会话地址具体包括： 如果 将要为 UE建立的会话类型是以太网类型， 那么 UE会将自 己的以太网地址增 加到会话建立请求中， 那么 S MF解析会话建立请求， 可以获得会话建立请求 中的 UE 的以太网地址， 并将该以太网地址作为会话地址； 当然， SMF 也可 以为 UE分配会话地址， 当将要为 UE建立的会话类型是 IP类型， SMF为 UE 分配 IP地址作为会话地址； 或， S MF为 UE分配 IP前缀作为会话地址； 当将 要为 UE建立的会话类型是非结构化类型， SMF为用户面功能网元 UPF分配 隧道 IP地址作为会话地址； 或者， S MF为 UPF分配隧道 IP前缀作为会话地 址。
如此， SMF可以确定 UE将要使用的会话地址， 从而可以将该会话地址 发送给数据网络网元后， 数据网络网元可以对该会话进行监控。
结合第一方面以及以及以上第一方面的任意一种可能的实现方式， 在第 一方面的第三种可能的实现方式中， 数据网络访问请求为认证请求， 响应消 息为认证响应消息， 认证响应消息携带认证成功标识。
也就是说， SMF在为 UE建立会话之前， 可以对 UE进行认证， 在 UE的 认证结果为成功时才为 UE建立会话。 如此， 可以保证 UE的合法性， 避免为 非法 UE建立会话， 提高网络通信的安全性。
结合第一方面以及以及以上第一方面的任意一种可能的实现方式， 在第 一方面的第四种可能的实现方式中， 数据网络访问请求为认证请求， 响应消 息为认证响应消息； 认证请求携带授权请求标识， 认证响应消息携带认证成 功标识以及 4受权成功标识。
也就是说， S MF在为 UE 建立会话之前， 可以对 UE 进行认证和授权， 在 UE认证成功且授权成功时才为 UE建立会话。 如此， 可以保证 UE的合法 性， 避免为非法 UE建立会话， 提高网络通信的安全性。
结合第一方面以及以及以上第一方面的任意一种可能的实现方式， 在第 一方面的第五种可能的实现方式中， 数据网络访问请求为授权请求， 响应消 息为授权响应消息； 授权响应消息携带授权成功标识。
也就是说， SMF在为 UE建立会话之前， 可以对 UE进行授权， 在 UE授 权成功时才为 UE建立会话。 如此， 可以保证 UE 的合法性， 避免为非法 UE 建立会话， 提高网络通信的安全性。
结合第一方面以及以及以上第一方面的任意一种可能的实现方式， 在第 一方面的第六种可能的实现方式中， S MF接收由数据网络网元触发的会话处 理请求具体包括： 接收数据网络网元发送的第一会话处理请求； 或， 接收策 略控制功能网元发送的第三会话处理请求， 第三会话处理请求是策略控制功 能网元接收数据网络网元发送的第二会话处理请求后向 SMF发送的。
也就是说， 数据网络网元可以通过两种方式触发 SMF对 UE的会话进行 处理， 数据网络网元可以直接通知 SMF对 UE的会话进行处理， 数据网络网 元也可以通知策略控制功能网元 PCF , 由 PCF通知 S MF对 UE的会话进行处 理。
结合第一方面以及以及以上第一方面的任意一种可能的实现方式， 在第 一方面的第六种可能的实现方式中， 根据会话处理请求处理 UE的会话包括： 删除 UE的会话或修改 UE的会话。
其中， 删除 UE的会话即释放为 UE建立的会话， 删除该会话的资源。 修 改 UE的会话， 可以是修改该会话的权限， 如： 增加允许 UE通过该会话访问 的网元。
第二方面， 公开了一种会话处理方法， 包括：
数据网络网元接收 SMF发送的数据网络访问请求， 该请求包括 UE的标 识以及 UE将使用的会话地址； 进一步， 数据网络网元可以对 UE进行认证和 /或授权， 随后数据网络网元向 SMF 发送响应消息， S MF 根据响应消息获知 允许 UE访问数据网络后， 建立 UE的会话。 当数据网络网元根据会话地址或 UE的标识检测到需要处理 UE的会话， 生成会话处理请求， 利用会话处理请 求指示 SMF处理 UE的会话。
本发明实施例提供的会话处理方法， S MF预先确定 UE 的会话地址， 在 DN认证 UE或授权 UE时， SMF向数据网络网元提供该会话地址以及 UE 的 标识， 随后再根据该会话地址为 UE 建立会话。 如此， 当数据网络网元检测 到需要处理 UE 的会话 （如： 该会话的流量发生变化） 时， 数据网络网元可 以根据接收到的会话地址或用户的标识关联到 UE的会话， 向 SMF或 PCF发 送请求触发对该会话的处理。
结合第二方面， 在第二方面的第一种可能的实现方式中， 数据网络访问 请求为认证请求， 响应消息为认证响应消息， 认证响应消息携带认证成功标 识。
也就是说， SMF在为 UE建立会话之前， 可以对 UE进行认证， 在 UE的 认证结果为成功时才为 UE建立会话。 如此， 可以保证 UE的合法性， 避免为 非法 UE建立会话， 提高网络通信的安全性。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第二种可能的实现方式中， 数据网络访问请求为认证请求， 响应消 息为认证响应消息； 认证请求携带授权请求标识， 认证响应消息携带认证成 功标识以及 4受权成功标识。
也就是说， S MF在为 UE 建立会话之前， 可以对 UE 进行认证和授权， 在 UE认证成功且授权成功时才为 UE建立会话。 如此， 可以保证 UE的合法 性， 避免为非法 UE建立会话， 提高网络通信的安全性。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第三种可能的实现方式中， 数据网络访问请求为授权请求， 响应消 息为授权响应消息； 授权响应消息携带授权成功标识。
也就是说， SMF在为 UE建立会话之前， 可以对 UE进行授权， 在 UE授 权成功时才为 UE建立会话。 如此， 可以保证 UE 的合法性， 避免为非法 UE 建立会话， 提高网络通信的安全性。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第四种可能的实现方式中， 数据网络网元根据会话地址或 UE 的标 识检测到需要处理 UE的会话具体包括： 监测到 UE为异常接入状态， 则确定 需要处理 UE 的标识对应的会话； 异常接入状态至少包括： UE 为非法 UE、 UE的签约情况发生变化以及 UE的信任度发生变化中的任意一种； 或， 监测 到会话地址对应的流量发生变化， 则确定需要处理会话地址对应的会话。
如此，数据网络网元可以根据接收到的会话地址或标识关联到一个会话， 进而可以触发对该会话的处理。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第五种可能的实现方式中， 数据网络网元检测到需要处理 UE 的会 话之前， 方法还包括： 通过 UE的会话接收 UE发送的认证请求， 对 UE进行 认证。
也就是说， 在为 UE建立会话之后， 还可以对 UE进行认证， 以确保 UE 的合法性。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第六种可能的实现方式中， 数据网络网元根据 UE 的标识检测到需 要处理 UE的会话具体包括： 若对 UE进行认证的认证结果为认证成功， 则确 定需要修改 UE的标识对应的会话， 提高 UE利用 UE的会话进行数据传输时 的最大传输速率和 /或使得 UE 可以利用 UE 的会话访问除数据网络网元外的 其他网元。
也就是说， 数据网络网元可以根据认证结果确定具体对 UE 的会话进行 何种处理，在此之前为 UE建立会话的权限是仅允许 UE访问该数据网络网元， 当 UE认证成功， UE需要通过该会话访问其他网元， 因此需要扩大该会话的 权限， 当然也可以提高该会话传输速率的门限。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第七种可能的实现方式中， 数据网络网元根据 UE 的标识检测到需 要处理 UE的会话具体包括： 若对 UE进行认证的认证结果为认证失败， 则确 定需要删除 UE的标识对应的会话。
也就是说， 数据网络网元可以根据认证结果确定具体对 UE 的会话进行 何种处理， 当 UE认证失败， 说明该 UE可能是非法 UE , 那么为了避免网络 资源的浪费， 可以释放该 UE建立的会话。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第八种可能的实现方式中， 数据网络网元根据 UE 的标识检测到需 要处理 UE 的会话具体包括： 数据网络网元在接收数据网络访问请求之后启 动定时器， 定时器确定的第一时间窗内未接收到 UE通过 UE的会话发送的数 据包， 则确定需要删除 UE的标识对应的会话； 或， 数据网络网元在向 S MF 发送响应消息之后启动定时器， 在定时器确定的第二时间窗内未接收到 UE 通过 UE的会话发送的数据包， 则确定需要删除 UE的标识对应的会话。 虽然已经为 UE 建立了会话， 但是 UE 并未使用该会话传输 PDU , 则可 以释放为该 UE 建立的会话。 具体地， 预先启动定时器， 当定时器超时时还 未收到 UE通过该会话传输的 PDU , 则认为 UE并未使用该会话传输 PDU。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第九种可能的实现方式中， 数据网络网元生成会话处理请求， 利用 会话处理请求指示 SMF处理 UE的会话具体包括： 向 SMF发送第一会话处理 请求指示 SMF处理 UE的会话。
在一些实施例中， 数据网络可以直接通知 SMF处理 UE的会话。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第十种可能的实现方式中， 数据网络网元生成会话处理请求， 利用 会话处理请求指示 SMF处理 UE的会话具体包括： 向策略控制功能网元 PCF 发送第二会话处理请求指示 PCF 向 S MF发送第二会话处理请求以触发 SMF 处理 UE的会话。
在一些实施例中， 数据网络网元也可以通知策略控制功能网元 PCF , 由 PCF通知 SMF对 UE的会话进行处理。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第十一种可能的实现方式中， 第二会话处理请求携带会话地址。
当数据网络直接通知 SMF处理 UE的会话时， 可以在第二会话请求中携 带会话地址， 告知 SMF要处理的会话的地址， 以便 S MF对 UE的会话进行处 理。
结合第二方面以及以及以上第二方面的任意一种可能的实现方式， 在第 二方面的第十二种可能的实现方式中， 数据网络网元向 PCF发送第二会话处 理请求之前， 方法还包括： 数据网络网元向 PCF发送上述会话地址。
在一些实施例中， 数据网络网元也可以在发送第二会话处理请求之前告 知 SMF要处理的会话的地址， 以便 S MF对 UE的会话进行处理。
第三方面， 公开了会话管理功能网元 S MF , 包括： 接收单元， 用于接收 来自用户设备 UE的会话建立请求； 确定单元， 用于确定 UE的会话将使用的 会话地址； 发送单元， 用于向数据网络网元发送数据网络访问请求； 数据网 络访问请求包括会话地址以及 UE 的标识； 接收单元还用于， 接收数据网络 网元发送的响应消息， 响应消息指示允许 UE 访问数据网络； 建立单元， 用 于建立 UE的会话。
结合第三方面， 在第三方面的第一种可能的实现方式中， 还包括处理单 元。 接收单元还用于， 在建立单元建立 UE 的会话之后， 接收由数据网络网 元触发的会话处理请求； 处理单元用于， 根据会话处理请求处理 UE的会话。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第二种可能的实现方式中， 确定单元具体用于， 解析会话建立请求， 获 得会话建立请求中的 UE 的以太网地址作为会话地址； 或， 为 UE分配 IP地 址作为会话地址； 或， 为 UE分配 IP前缀作为会话地址； 或， 为用户面功能 网元 UPF分配隧道 IP地址作为会话地址； 或， 为 UPF分配隧道 IP前缀作为 会话地址。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第二种可能的实现方式中， 数据网络访问请求为认证请求， 响应消息为 认证响应消息， 认证响应消息携带认证成功标识。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第三种可能的实现方式中， 数据网络访问请求为认证请求， 响应消息为 认证响应消息； 认证请求携带授权请求标识， 认证响应消息携带认证成功标 识以及 4受权成功标识。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第四种可能的实现方式中， 数据网络访问请求为授权请求， 响应消息为 授权响应消息； 授权响应消息携带授权成功标识。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第五种可能的实现方式中， 接收单元具体用于， 接收数据网络网元发送 的第一会话处理请求； 或， 接收策略控制功能网元发送的第三会话处理请求， 第三会话处理请求是策略控制功能网元接收数据网络网元发送的第二会话处 理请求后向 S MF发送的。
结合第三方面以及以上第三方面的任意一种可能的实现方式， 在第三方 面的第六种可能的实现方式中， 处理单元具体用于， 删除 UE 的会话或修改 UE的会话。
第四方面， 公开了一种数据网络网元， 包括： 接收单元， 用于接收会话 管理功能网元 S MF发送的数据网络访问请求； 数据网络访问请求包括用户设 备 UE 的标识以及 UE将使用的会话地址； 发送单元， 用于向 S MF发送响应 消息， 响应消息指示允许 UE访问数据网络， 以便 S MF建立 UE 的会话； 检 测单元， 用于根据会话地址或 UE的标识检测到需要处理 UE的会话； 生成单 元， 用于当检测单元检测到需要处理 UE 的会话， 则生成会话处理请求； 发 送单元，还用于利用生成单元生成的会话处理请求指示 SMF处理 UE的会话。
结合第四方面， 在第四方面的第一种可能的实现方式中， 数据网络访问 请求为认证请求， 响应消息为认证响应消息， 认证响应消息携带认证成功标 识。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第二种可能的实现方式中， 数据网络访问请求为认证请求， 响应消息为 认证响应消息； 认证请求携带授权请求标识， 认证响应消息携带认证成功标 识以及 4受权成功标识。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第三种可能的实现方式中， 数据网络访问请求为授权请求， 响应消息为 授权响应消息； 授权响应消息携带授权成功标识。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第四种可能的实现方式中， 检测单元具体用于， 监测到 UE 为异常接入 状态， 则确定需要处理 UE 的标识对应的会话； 异常接入状态至少包括： UE 为非法 UE、 UE 的签约情况发生变化以及 UE 的信任度发生变化中的任意一 种； 或， 监测到会话地址对应的流量发生变化， 则确定需要处理会话地址对 应的会话。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第五种可能的实现方式中， 接收单元还用于， 在检测单元检测到需要处 理 UE的会话之前， 通过 UE的会话接收 UE发送的认证请求， 对 UE进行认 证。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第六种可能的实现方式中， 检测单元具体用于， 若对 UE 进行认证的认 证结果为认证成功， 则确定需要修改 UE 的标识对应的会话， 提高 UE 利用 UE的会话进行数据传输时的最大传输速率和 /或使得 UE可以利用 UE的会话 访问除数据网络网元外的其他网元。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第七种可能的实现方式中， 检测单元具体用于， 若对 UE 进行认证的认 证结果为认证失败， 则确定需要删除 UE的标识对应的会话。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第八种可能的实现方式中， 检测单元具体用于， 在接收数据网络访问请 求之后的第一时间窗内接收单元未接收到 UE通过 UE的会话发送的数据包， 则确定需要删除 UE的标识对应的会话； 或， 在向 S MF发送响应消息之后的 第二时间窗内接收单元未接收到 UE通过 UE的会话发送的数据包， 则确定需 要删除 UE的标识对应的会话。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第九种可能的实现方式中， 发送单元具体用于， 向 S MF发送第一会话处 理请求指示 S MF处理 UE的会话
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第十种可能的实现方式中，发送单元具体用于， 向策略控制功能网元 PCF 发送第二会话处理请求指示 PCF 向 S MF发送第二会话处理请求以触发 SMF 处理 UE的会话。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第十一种可能的实现方式中， 第二会话处理请求携带会话地址。
结合第四方面以及以上第四方面的任意一种可能的实现方式， 在第四方 面的第十三种可能的实现方式中， 发送单元还用于， 在向 PCF发送第二会话 处理请求之前， 向 PCF发送会话地址。
本申请实施例的第五方面， 提供一种 S MF , 该 SMF可以包括： 至少一个 处理器， 存储器、 通信接口、 通信总线；
至少一个处理器与存储器、 通信接口通过通信总线连接， 存储器用于存 储计算机执行指令， 当服务器运行时， 处理器执行存储器存储的计算机执行 指令， 以使基站执行第一方面或第一方面的可能的实现方式中任一的会话处 理方法。 本申请实施例的第六方面， 提供一种数据网络网元， 该数据网络网元可 以包括： 至少一个处理器、 存储器、 收发器；
其中， 至少一个处理器与存储器、 通信接口通过通信总线连接， 存储器 用于存储计算机执行指令， 当服务器运行时， 处理器执行存储器存储的计算 机执行指令， 以使 UE 执行第二方面或第二方面的可能的实现方式中任一的 发现信号的传输方法。
本申请实施例的第七方面， 公开了一种计算机存储介质， 用于存储上述 SMF 所用的计算机软件指令， 该计算机软件指令包含用于执行上述会话处理 方法所涉及的程序。
本申请实施例的第八方面， 公开了另一种计算机存储介质， 用于存储上 述数据网络网元所用的计算机软件指令， 该计算机软件指令包含用于执行上 述会话处理方法所涉及的程序。
附图说明
图 1 为现有的 5 G 系统架构示意图；
图 2为本发明实施例提供的一种会话功能管理网元的组成示意图； 图 3为本发明实施例提供的一种数据网络网元的组成示意图；
图 4为本发明实施例提供的会话处理方法的流程示意图；
图 5为本发明实施例提供的另一会话处理方法的流程示意图；
图 6为本发明实施例提供的另一会话处理方法的流程示意图；
图 7为本发明实施例提供的另一会话处理方法的流程示意图；
图 8为本发明实施例提供的另一会话处理方法的流程示意图；
图 9为本发明实施例提供的另一会话处理方法的流程示意图；
图 10为本发明实施例提供的会话功能管理网元的另一组成示意图； 图 1 1 为本发明实施例提供的会话功能管理网元的另一组成示意图； 图 12为本发明实施例提供的数据网络网元的另一组成示意图；
图 13为本发明实施例提供的数据网络网元的另一组成示意图。
具体实施方式
下面将结合本发明实施例中的附图， 对本发明实施例中的技术方案进行 详细地描述。
图 1 是 3 GPP 标注组织制定的 5G 系统架构示意图。 其中， 除 UE、 DN 之外的网元构成了 3 GPP 网络， 所谓 3 GPP 网络即运营商运营的符合 3 GPP标 准的网络， 3 GPP 网络不只局限于 3 GPP定义的 5G 网络， 还可以包括 2G、 3 G、 4G 网络， 甚至是 3 GPP未来可能定义的 6G 网络。 以下对图 1 所示架构中， 本申请实施例涉及的网元做以详细说明：
接入与移动' |·生管理功能网元 (acces s and mobility management function , AMF)是由运营商提供的控制面网元， 可以在 UE接入运营商网络时进行接入 控制， 或者对 UE进行移动性管理。
会话管理功能网元 (ses sion management function , SMF)也是由运营商提 供的控制面网元， 负责建立和管理 UE的 PDU会话。 数据网络（data network, DN), 也被称为 PDN(packet data network), 是位 于 3GPP 网络之外的网络。 5G 系统架构中可以有多个 DN, DN上可部署运营 商或第三方提供的业务。 例如， DN可以是一个公司的内部办公网络， 该公司 员工的终端 （ 即 UE ) 可以通过接入 3GPP 网络访问 DN, 查看公司 内部的资 源。 UE通过接入运营商网络来访问 DN, 使用 DN上的运营商或第三方提供 的业务。
统一数据管理网元（unified data management, UDM)是由运营商提供的控 制面网元， 负责存储 3GPP 网络签约用户的数据，如用户的持久 ID (Subscriber Permanent Identifier, SUPI)、 信任状（credential)、 签约数据等。
认证月艮务器功能网元（authentication server function, AUSF)是由运营商 提供的控制面网元， 3GPP 网络利用 AUSF对 3GPP网络签约用户进行认证， 可以称为对 UE的首要认证。 具体地， 在 UE接入运营商 3GPP 网络时， AUSF 可以利用 UDM上存储的用户数据对 UE进行首要认证。
网络暴露功能网元（network exposure function, NEF)是由运营商提供的控 制面网元。 NEF 以安全的方式对第三方暴露 3 GPP 网络的对外接口。 如： 在 SMF等网元需要与第三方网元通信时， 可以将 NEF作为通信的中继， 在通信 过程中 NEF可以进行内外部标识的翻译。 示例的， 将 UE在 3GPP 网络内部 的 ID从 3GPP 网络发送到第三方时， NEF可以将 UE的内部 ID翻译成其对应 的夕卜部 ID。 反之， NEF可以将外部 ID在发送到 3GPP 网络时， 翻译成 UE的 内部 ID。
用户面功能网元 （user plane function, UPF)是由运营商提供的用户面网 元， 是 3GPP 网络与 DN进行通信的网关。
策略控制功能网元 （policy control function, PCF)是由运营商提供的控制 面网元， 用于向 SMF提供 PDU session的策略。 策略可以包括计费相关策略、 服务盾量 （ quality of service, QoS ) 相关策略、 授权相关策略等。
另外， 为方便理解本申请提供的方法， 对本申请涉及的术语进行介绍：
1.数据包（ packet data unit, PDU )是 UE和 DN间传输数据的单元。 PDU 可以分为 IP类型的 PDU、以太网（Ethernet)类型的 PDU、非结构（unstructured) , 类型的 PDU等。 进一步， IP类型的 PDU又可分为 IPv4类型的 PDU和 IPv6 类型的 PDU。
IP类型的 PDU可以筒称为 IPPDU , Ethernet类型的 PDU可以筒称为以 太网 PDU, 也可称为以太网帧。 需要说明的是， 3GPP 网络不感知非结构类型 的 PDU, UE和 DN可以釆用任何自定义格式的非结构化 PDU进行通信。
2. PDU session (会话）， 是 UE和 DN之间一个用于传输 PDU 的通道， UE和 DN通过 PDU session互相发送 PDU以进行通信， PDU session的路径 为 UE-(R)AN-UPF-DN。 也就是说， 3GPP 网络可以通过 PDU session为 UE与 DN提供通信服务。
PDU session由 SMF负责建立和管理。 另外，根据所传输的 PDU的类型， PDU session 同样可分为 IP类型、 以太网类型和非结构化类型。 同样， IP类 型的 PDU ses sion 又可分为 IPv4 类型的 PDU ses sion 和 IPv6 类型的 PDU sss sio 。
如上文所述， UE在通过 3 GPP 网络访问 DN时， 首先 3 GPP 网络要对 UE 进行首要认证。 所谓首要认证是对 UE 提供的 SUPI 进行， 验证 UE 的 SUPI 是否合法真实。 一个 UE只有通过了首要认证后， 才可以接入 3 GPP 网络， 进 一步地请求建立 PDU session , 以访问 DN。 在 UE访问 DN时， DN还有可能 需要对 UE 进行进一步认证 （可称为次要认证） 和 /或授权。 只有通过这一认 证和 /或 4受权的 UE ,才准许建立 PDU session。次要认证所校验的 UE的 ID(可 称为次要 ID ) 通常不同于首要认证所校验的 SUPI和设备 ID。
进一步， SUPI的格式可以是 IMSI , 设备 ID可以是 IMEI。 其中， 3 GPP 网络可以利用 UE的 IMEI对该 UE进行首要认证， DN也可以利用 UE的 IMEI 对该 UE进行次要认证。 另外， 次要 ID可以终端的其他标识， 如： DN是一 个公司的内部办公网络， 该公司 员工的终端 （ 即 UE ) 可以通过接入 3 GPP 网 络访问 DN , 次要 ID可以是员工在公司 内的工号。
当 UE需要经过 DN的次要认证和 /或授权之后， 3 GPP 网络为 UE建立了 PDU session , 在一些场景下， 还需要根据 UE最新的签约情况或流量情况对 UE的 PDU session进行处理。 示例的， 当 UE的签约被修改或取消， 或者 UE 的信任度或信誉度发生变化， 或者 UE的 PDU session的流量异常， 都需要对 PDU ses sion进行处理， 包括删除 PDU ses sion , 或修改 PDU ses sion (可以扩 大或缩小该 ses sion的权限）。 现有技术中， 在上述场景下， 通常是由 PCF触 发 SMF进行对 PDU session的处理。可见，现有技术无法实现由 DN触发 PDU ses sion的处理， 如： 删除 PDU session和 ！ "改 PDU ses sion。
可见， 现有技术已经支持 DN对 UE进行认证和授权， 但不支持 DN触发 对 PDU session的处理 （如： 删除和修改）。 如， DN检测到已经接入 DN的某 个 UE (即 3 GPP 网络已经为该 UE建立 PDU session)为恶意或非法 UE , 但是 DN也无法终止这些 UE访问 DN ; 又如， UE在 DN的签约取消或变更， 或者 UE的信任度变化， DN无法相应地触发 UE的 PDU session的权限撤销和修改， 无法去实现有效访问控制。 总之， DN无法触发 PDU ses sion的处理这一功能 缺失会带来安全风险和网络资源的滥用， 无法实现有效的访问控制。
本申请的原理在于： 在 DN认证 UE或授权 UE的 PDU session时， S MF 向数据网络网元 （ DN中用于认证、 授权的网元， 如： AAA ) 提供 UE将使用 的会话地址以及 UE的标识， 随后再根据该会话地址为 UE建立 PDU ses sion。 数据网络网元可以根据接收到的会话地址或者 UE 的标识关联到一个 PDU ses sion , 并对该 PDU ses sion 进行监控。 当数据网络网元检测到需要处理该 PDU ses sion(如：该 PDU session的流量发生变化）时，则触发对该 PDU ses sion 的处理， 向 S MF或 PCF发送 PDU ses sion释放或修改的请求。
在具体的实现中， 图 2为本发明实施例提供的一种会话功能管理网元 SMF 的组成示意图， 该会话功能管理网元可以是图 1 所示系统架构中的 SMF。 如图 2 所示， 该会话功能管理网元可以包括至少一个处理器 11 , 存储器 12 以及通信接口 下面结合图 2对会话功能管理网元的各个构成部件进行具体的介绍： 处理器 11是会话功能管理网元的控制中心， 可以是一个处理器， 也可以是多个 处理元件的统称。例如，处理器 11是一个中央处理器（ central processing unit , CPU ), 也可以是特定集成电路 ( Application Specific Integrated Circuit , ASIC ), 或者是被配 置成实施本发明实施例的一个或多个集成电路， 例如： 一个或多个微处理器（ digital signal processor , DSP ) ,或，一个或者多个现场可编程门阵列 ( Field Programmable Gate Array , FPGA )。
其中， 处理器 11 可以通过运行或执行存储在存储器 12 内的软件程序， 以及调 用存储在存储器 12内的数据， 执行会话功能管理网元的各种功能。
在具体的实现中， 作为一种实施例， 处理器 11可以包括一个或多个 CPU , 例如 图 2中所示的 CPU0和 CPU1。
在具体实现中， 作为一种实施例， 会话功能管理网元可以包括多个处理器， 例 如图 2中所示的处理器 11和处理器 15。这些处理器中的每一个可以是一个单核处理 器 （ single-CPU ) , 也可以是一个多核处理器 （ multi-CPU )。 这里的处理器可以指一 个或多个会话功能管理网元、 电路、 和 /或用于处理数据 （例如计算机程序指令） 的 处理核。
存储器 12可以是只读存储器 （read-only memory , ROM ) 或可存储静态信息和 指令的其他类型的静态存储会话功能管理网元， 随机存取存储器 （random access memory , RAM ) 或者可存储信息和指令的其他类型的动态存储会话功能管理网元， 也可以是电可擦可编程只读存储器 （Electrically Erasable Programmable Read-Only Memory , EEPROM )、 只读光盘（ Compact Disc Read-Only Memory , CD-ROM )或其 他光盘存储、 光碟存储 （包括压缩光碟、 激光碟、 光碟、 数字通用光碟、 蓝光光碟 等）、 磁盘存储介质或者其他磁存储会话功能管理网元、 或者能够用于携带或存储具 有指令或数据结构形式的期望的程序代码并能够由计算机存取的任何其他介质， 但 不限于此。 存储器 12可以是独立存在， 通过通信总线 14与处理器 11相连接。 存储 器 12也可以和处理器 11集成在一起。
其中， 所述存储器 12用于存储执行本发明方案的软件程序， 并由处理器 11 来 控制执行。
通信接口 13 , 可以包括一个用于发送数据的发送接口和一个用于接收来自外部 会话功能管理网元的数据的接收接口， 即会话功能管理网元可以通过两个不同的通 信接口分别实现数据的接收和数据的发送。 当然， 该通信接口 13可以将数据接收功 能和数据发送功能集成在一个通信接口上， 该通信接口具备数据接收功能和数据发 送功能。
图 2 中示出的会话功能管理网元结构并不构成对会话功能管理网元的限定， 可 以包括比图示更多或更少的部件， 或者组合某些部件， 或者不同的部件布置。
在具体的实现中， 图 3 为本发明实施例提供的一种数据网络网元的组成 示意图， 该数据网络网元可以是图 1所示系统架构中的 DN中用于对 UE进行认证、 4受权的网元， AAA ( authentication authorization accounting ) 月艮务器， 或 AAA 代理服务器。 如图 3所示， 该数据网络网元可以包括至少一个处理器 21 , 存储器 22 以及通信接口 23。
下面结合图 3对数据网络网元的各个构成部件进行具体的介绍：
处理器 21是数据网络网元的控制中心， 可以是一个处理器， 也可以是多个处理 元件的统称。 例如， 处理器 21是一个中央处理器 （ central processing unit , CPU ), 也可以是特定集成电路 ( Application Specific Integrated Circuit , ASIC ), 或者是被配 置成实施本发明实施例的一个或多个集成电路， 例如： 一个或多个微处理器（ digital signal processor , DSP ) ,或，一个或者多个现场可编程门阵列 ( Field Programmable Gate Array , FPGA )。
其中， 处理器 21 可以通过运行或执行存储在存储器 22 内的软件程序， 以及调 用存储在存储器 22内的数据， 执行数据网络网元的各种功能。
在具体的实现中， 作为一种实施例， 处理器 21可以包括一个或多个 CPU , 例如 图 3中所示的 CPU0和 CPU1。
在具体实现中， 作为一种实施例， 数据网络网元可以包括多个处理器， 例如图 3 中所示的处理器 21 和处理器 25。 这些处理器中的每一个可以是一个单核处理器 ( single-CPU ) , 也可以是一个多核处理器 （ multi-CPU )。 这里的处理器可以指一个 或多个数据网络网元、 电路、 和 /或用于处理数据（例如计算机程序指令） 的处理核。
存储器 22可以是只读存储器 （read-only memory , ROM ) 或可存储静态信息和 指令的其他类型的静态存储数据网络网元， 随机存取存储器（ random access memory , RAM ) 或者可存储信息和指令的其他类型的动态存储数据网络网元， 也可以是电可 擦可编程只读存储器 ( Electrically Erasable Programmable Read-Only Memory , EEPROM )、 只读光盘 （ Compact Disc Read-Only Memory , CD-ROM ) 或其他光盘存 储、 光碟存储 （包括压缩光碟、 激光碟、 光碟、 数字通用光碟、 蓝光光碟等）、 磁盘 存储介质或者其他磁存储数据网络网元、 或者能够用于携带或存储具有指令或数据 结构形式的期望的程序代码并能够由计算机存取的任何其他介质， 但不限于此。 存 储器 22可以是独立存在， 通过通信总线 24与处理器 21相连接。 存储器 22也可以 和处理器 21集成在一起。
其中， 所述存储器 22用于存储执行本发明方案的软件程序， 并由处理器 21 来 控制执行。
通信接口 23 , 可以包括一个用于发送数据的发送接口和一个用于接收来自外部 数据网络网元的数据的接收接口， 即数据网络网元可以通过两个不同的通信接口分 别实现数据的接收和数据的发送。 当然， 该通信接口 23可以将数据接收功能和数据 发送功能集成在一个通信接口上， 该通信接口具备数据接收功能和数据发送功能。
图 3 中示出的数据网络网元结构并不构成对数据网络网元的限定， 可以包括比 图示更多或更少的部件， 或者组合某些部件， 或者不同的部件布置。
本发明实施例提供一种会话处理方法， 如图 4 所示， 所述方法包括以下 步骤：
101、 S MF接收来自 UE的会话建立请求。
具体实现中， UE先将会话建立请求发送给 AMF , 再由 AMF将 UE发送 的会话建立请求转发给 S MF。
另外， 如果 UE发送的 PDU的类型是以太网类型， 那么需要给 UE建立 以太网类的会话 （ 即 PDU ses sio n ) , 进一步， 将要为 UE建立的会话的地址为 UE 的以太网地址。 那么， UE 会将自 己的以太网地址携带在会话建立请求中 发送给 AMF。需要说明的是，本发明实施例中为 UE建立的会话是 PDU会话， 因此， 本发明实施例中的 "会话" 特指 PDU会话。
102、 S MF确定 UE将使用的会话地址。
具体实现中， 可以根据 UE的地址建立 UE的会话， 因此 UE将使用的会 话地址可以是 UE 的地址。 通常， 为建立的会话的类型取决于 UE 所传输的 PDU的类型， UE所传输的 PDU的类型包括 IP类型、 以太网类型以及非结构 化类型。 如果 UE传输的 PDU为以太网类型， 那么 UE会将自 己的以太网地 址携带在会话建立请求中发送给 AMF , SMF接收 AMF转发的会话建立请求， 可以解析该请求获得其中包括的 UE 的以太网地址， 该以太网地址即为上述 会话地址。
如果 UE所传输的 PDU为 IP类型， 那么 S MF为 UE分配地址。 具体地， 如果 UE传输的 PDU为 IPv4类型， 那么 UE 的会话也是 IPv4类型， S MF则 为 UE分配一个 IP地址作为 UE将使用的会话地址； 如果 UE传输的 PDU 为 IPv6类型， 那么 UE的会话也是 IPv6类型， S MF则为 UE分配一个 IP前缀作 为 UE将使用的会话地址。
如果 UE所传输的 PDU为非结构化类型，那么 S MF同样为 UE分配地址。 具体地， S MF为 UPF分配隧道 IP地址， 将 UPF的隧道 IP地址作为 UE将使 用的会话地址； 或， S MF为 UPF分配隧道 IP前缀， 将 UPF的隧道 IP前缀作 为会话地址。
103、 S MF 向数据网络网元发送数据网络访问请求； 该数据网络访问请 求包括上述会话地址以及 UE的标识。
该数据网络网元可以是 DN中用于认证、 授权的网元， 如： AAA服务器 或 AAA代理服务器等。
具体地， 这个数据网络访问请求可以是认证请求， 如： DER ( diameter EAP reque st ) 消息， 请求数据网络网元对 UE 进行认证； 进一步， 认证请求还可 以携带授权请求标识 （ identity ) , 请求数据网络网元对 UE进行授权。
当然， 数据网络访问请求也可以是授权请求， 请求数据网络网元对 UE 进行授权。
另外， UE的标识是 UE的次要 ID , 数据网络网元可以利用 UE的标识对 UE进行认证。
104、 数据网络网元向 S MF 发送响应消息， 该响应消息指示允许该 UE 访问数据网络。
具体地， 如果数据网络访问请求是认证请求， 那么数据网络网元在步骤 103步骤 104之间对 UE进行认证， 则， 这里的响应消息是认证响应消息， 并 且该认证响应消息携带认证成功标识。 如果数据网络访问请求为认证请求， 且认证请求携带授权请求标识， 那 么数据网络网元在步骤 103 步骤 104 之间对 UE 进行认证、 授权， 所述响应 消息为认证响应消息所述认证响应消息， 且该消息携带认证成功标识以及授 权成功标识。
如果数据网络访问请求为授权请求， 那么数据网络网元在步骤 103 步骤 104之间对 UE进行授权， 则， 上述响应消息为授权响应消息， 且该授权响应 消息携带授权成功标识。
105、 SMF建立 UE的会话。
其中， 该会话的地址为步骤 102 确定的会话地址。 另外， 由于步骤 104 数据网络网元向 S MF发送响应消息指示允许 UE访问数据网络， 因此， SMF 会接着根据会话地址为 UE建立会话。
具体地， SMF 向 PCF发送将要为 UE 建立的会话的信息， 至少包含会 话地址。 可选地， 还可以发送 UE 的一个或多个 ID。 随后， PCF将会话的授 权范围发送给 S MF。
接着， SMF将会话的信息告知 UPF , 其中包含会话地址和会话的策略。 UPF保证 PDU session不会超越 PCF授权的范围。 另外， UPF向 S MF回复响 应。 SMF经过 AMF向 UE发送会话建立请求响应。 至此， 完成了 UE的会话 的建立。 需要说明的是， 这里为 UE 建立的会话的权限是 "仅可访问该数据 网络网元"。
106、 数据网络网元检测到需要处理 UE的会话。
数据网络网元可以直接根据上述步骤 103 接收的会话地址确定一个会 话， 对该会话的流量进行监控。 一旦检测到该会话的流量发生变化， 则确定 需要处理该会话。 需要说明的是， 数据网络网元根据对会话的流量进行监控 作出的决策可以是 "删除 UE的会话" 或 "修改 UE的会话"， 在此不作限定， 数据网络网元可以根据会话流量具体的变化情况来决策如何处理 UE的会话。 如： 该会话的流量异常， 则可能需要删除该会话。 示例的， PDU ses sion的上 行流量 （ 即从 UE到 DN方向的流量） 可以通过 PDU的源地址或源隧道地址 识别，该 PDU ses sion的下行流量（ 即从 DN到 UE方向的流量）可以通过 PDU 的目 的地址或目 的隧道地址识别。 如果 PDU类型为 IPv4 , 则上行 PDU 的源 IP地址、 下行 PDU的目 的 IP地址与该 UE的 IP地址 （ 即会话地址） 一致； 如果 PDU类型为 IPv6 , 则上行 PDU的源 IP地址、 下行 PDU的目 的 IP地址 与该 UE的 IP前缀匹配（ 即会话地址；)； 如果 PDU类型为以太网， 则上行 PDU 的源以太网地址、 下行 PDU的 目 的以太网地址与该 UE的以太网地址 （ 即会 话地址） 一致； 如果 PDU 类型为非结构化， 则上行 PDU 的源隧道地址、 下 行 PDU的目 的隧道地址与 UPF的隧道 IP地址或隧道 IP前缀匹配（ 即会话地 址）。
或者， 数据网络以 UE的标识为索引查找到 UE的接入状态， 对 UE的接 入状态进行监测， 一旦监测到 UE为非法 UE、 UE的签约情况发生变化、 或， UE的信任度发生变化等任意一种情况则可确定 UE为异常接入状态， 进而确 定需要处理 UE的会话。 进一步， 数据网络网元还需要确定哪个会话是 UE的 会话， 具体可以通过以下两种方式确定 UE 的会话。 第一、 由于步骤 103 数 据网络网元接收到了接收到了 UE 的标识和会话地址， 因此数据网络网元可 以根据 UE 的标识关联到一个会话地址， 根据关联到的会话地址可以确定一 个会话 （ 即 UE 的标识对应的会话 ）， 也就是 UE 的会话， 进而可以确定需要 对这个会话进行处理。 第二、 在步骤 103 与步骤 104之间， 数据网络网元为 每个 PDU会话维护一个对应的 diameter会话，一个 diameter会话有相应的 ID , 也就是说可以用一个 diameter会话 ID来标识一个 PDU会话。 因此， 当监测 到 UE为异常接入状态时，也可以根据 UE的标识关联到一个 diameter会话 ID , 根据关联到的 diameter会话 ID可以确定一个会话（ 即 UE的标识对应的会话 ）， 也就是 UE的会话， 进而可以确定需要对这个会话进行处理。 需要说明的是， 数据网络网元根据 UE的接入状态作出的决策可以是 "删除 UE的会话，，或 "修 改 UE 的会话"， 在此不作限定， 数据网络网元可以根据 UE 当前实际的接入 来决策如何处理 UE的会话。 如： UE为非法 UE , 则删除 UE的会话。
在一些实施例中， 在步骤 105为 UE建立会话之后， UE还可以向数据网 元网元发起认证， 因此， 在步骤 106 中数据网络网元还可以根据认证结果来 判断是否需要处理 UE 的会话。 具体地， 如果认证结果为认证失败， 则证明 UE 可能是非法 UE , 数据网络网元则确定需要删除 UE 的会话。 如果认证结 果为认证成功， 则证明 UE可能是合法 UE , 数据网络网元则确定需要修改 UE 的会话， 可以是修改该会话的权限， 使得 UE 利用该会话可以访问除上述数 据网络网元外的其他网元。 进一步， 数据网络网元还需要确定哪个会话是 UE 的会话， 同样， 数据网络网元可以通过上述两种方式确定 UE 的会话。 具体 地， 根据 UE的标识关联到一个会话地址， 那么该地址所匹配的会话就是 UE 的会话。 或者， 根据 UE 的标识关联到一个 diameter会话 ID , diameter会话 ID所匹配的会话就是 UE的会话。
在一些实施例中，数据网络网元还可以在步骤 103之后启动一个定时器， 在步骤 105为 UE建立会话之后， 定时器超时， 数据网络网元没有接收到 UE 通过该会话发送的数据包 （ 即 PDU ) , 数据网络网元则确定需要删除 UE的会 话。 同样， 数据网络网元可以通过上述两种方式确定 UE 的会话。 具体地， 根据 UE的标识关联到一个会话地址， 那么该地址所匹配的会话就是 UE的会 话。 或者， 根据 UE的标识关联到一个 diameter会话 ID , diameter会话 ID所 匹配的会话就是 UE的会话。
另外， 数据网络网元还可以在步骤 104之后启动定时器， 其余流程与在 步骤 103之后启动定时器的处理流程相同， 在此不做赘述。
需要说明的是， 本发明实施例中的 "流量异常" 可以是流量偏离正常业 务流量的特征， 如： 流量过大、 访问的端口号不是本业务的、 访问的地址过 多、 数据包大小分布与平常差别大、 或流量中包含有攻击报文。
107、 数据网络网元生成会话处理请求， 利用该会话处理请求指示 SMF 处理 UE的会话。 具体实现中， 数据网络网元可以将该会话处理请求发送给 PCF , 请求使 用 diameter协议的 STR消息或 AAR消息。 PCF收到该请求后触发 SMF处理 UE的会话。 该请求包含会话地址， 用于标识会话。 如果数据网络网元之前已 经向 PCF发送过这些信息， 则不需要包含这些信息。
另外， 数据网络网元也可以将该请求发送给 SMF , 请求使用 diameter协 议的 ASR消息。 需要说明的是， 这时发送的会话处理请求不需要携带会话地 址， 也就是说， 不需要给 S MF提供会话地址来标识会话。 因为 S MF 和数据 网络网元在步骤 103、 104为每个 PDU ses sion ( 即本发明实施例所述的会话） 维护一个对应的 diameter会话， SMF 可以才艮据数据网络网元发送的 diameter 消息确定数据网络网元指示处理的是哪个 PDU session。或者，为各个 diameter 会话维护一个 diameter 会话 ID , 数据网络网元可以在会话处理请求中携带 diameter会话 ID , SMF 同样可以根据接收到的 diameter会话 ID得知数据网 络网元请求处理的是哪个 PDU session。
本发明实施例提供的会话处理方法， 在 DN认证 UE或授权 UE时， SMF 向数据网络网元提供会话地址以及 UE的标识， 随后再根据该会话地址为 UE 建立会话。 当数据网络网元检测到需要处理 UE 的会话 （如： 该会话的流量 发生变化） 时， 数据网络网元可以根据接收到的会话地址或用户的标识关联 到 UE的会话， 向 S MF或 PCF发送请求触发对该会话的处理。
本发明实施例还提供一种会话处理方法， 以数据网元为 AAA为例， 介绍 AAA 对 PDU session的认证授权和授权取消， 如图 5所示， 所述方法包括以下步骤：
201、 UE发送 PDU session (会话） 建立请求到 AMF。
如果 UE发送的 PDU的类型为以太网类型，那么将要为 UE建立的 PDU session 的类型也是以太网类型， UE则将自己的以太网地址连同该请求一起发送到 AMF。
202、 AMF将 UE的 PDU session建立请求以及 UE的 SUPI和 PEI发送给 SMF。 这里的 PEI是 UE的持久设备标识 （ permanent equipment identifier ), 常见的格 式为 IMEI格式。具体地， AMF接收到 UE的 PDU session建立请求后，将 UE的 SUPI 和 PEI添加在 PDU session建立请求中， 再向 SMF转发该请求。
可选地， 203、 SMF判断需要 AAA认证 UE或 4受权 UE的 PDU session。
具体实现中， SMF 可以根据本地预存的策略 （例如， 访问该 DN 都需要 AAA 认证和授权） 判断是否需要 AAA认证 UE或授权 UE的 PDU session; 或， 以 UE发 送的 PDU session建立请求携带的相关指示为判断依据； 或者， SMF步骤 202和 203 之间， 从 UDM中读取 UE的签约信息， 根据签约信息中的读取相关策略判断是否需 要 AAA认证 UE或 4受权 UE的 PDU session。
204、 SMF为 UE分配会话地址。
需要说明的是， 如果将要为 UE建立的 PDU session的类型是以太网类型， 那么 SMF将步骤 203接收到的 UE的以太网地址作为 UE将使用的会话地址， 可以跳过 步骤 204直接执行步骤 205。
另外， 将要为 UE建立的 PDU session的类型不是以太网类型， 则需要执行步骤 204 , 具体地， 如果 PDU session类型为 IPv4 , SMF为 UE分配 IP地址作为 UE将使 用的会话地址； 如果 PDU session类型为 IPv6 , SMF为 UE分配 IP前缀作为 UE将 使用的会话地址； 如果 PDU session类型为非结构化， SMF为 UE分配隧道 IP地址 或隧道 IP前缀作为 UE将使用的会话地址。 其中， 隧道 IP地址或隧道 IP前缀是为 UPF分配的。
205、 SMF向 UE发送 EAP-identity request ( EAP身份请求；)。
206、 UE向 SMF发送 EAP-identity response ( EAP身份响应）， 其中携带 UE的 次要 ID。
207 ^ SMF通过 DER消息将 UE的 EAP-identity response、会话地址转发给 AAA。 其中， diameter协议的 DER消息即本发明实施例所述的数据网络访问请求， 携 带会话地址以及 UE的标识， UE的标识即本实施例所述的 UE的次要 ID。
需要说明的是， 步骤 205、 206是可选步骤。 如果执行了步骤 205、 206 , 那么 SMF在接收到 EAP-identity response消息后， 生成包括 EAP-identity response消息以 及会话地址的 diameter协议的 DER消息， 随后将该 DER消息转发给 AAA。 如果没 有执行步骤 205、 206 ,那么， UE可以在步骤 201 中发送的消息中携带 UE的次要 ID , 步骤 202 中 AMF向 SMF转发的消息也携带 UE 的次要 ID。 如此， SMF就获得了 UE 的次要 ID 和会话地址。 进一步， SMF 生成携带 UE 的次要 ID 和会话地址的 diameter协议的 DER消息， 并将生成的 diameter协议的 DER消息发送给 AAA。
可选地， SMF还可以从 UE的签约数据中获取到 UE的外部 ID、 SUPI和 PEI , 将 SUPI、 PEI或外部 ID也加入到 diameter协议的 DER消息中一起发送。 其中， 外 部 ID 由 SUPI映射得到， 当 3GPP网络不想对外暴露 SUPI时， 可以对外提供 SUPI 对应的外部 ID。
208、 AAA使用 EAP协议认证 UE。
需要说明的是， 该步骤可选， AAA也可以不对 UE进行认证。
209、 AAA向 SMF发送 diameter DEA消息， 包含认证结果和授权结果。
其中， 这里发送的 diameter DEA 消息即本发明实施例中数据网络网元向 SMF 发送的响应消息。
具体地， 认证结果为 EAP-success消息， 表明认证成功。 授权结果为授权信息， 代表将为 UE建立的 PDU session的权限。
需要说明的是， AAA向 SMF发送 diameter DEA消息也可以不包含授权信息， SMF可以从 PCF得到授权的策略 （即上述授权信息）。
210、 SMF将 PDU session的信息告知 PCF , 其中包含 PDU session的地址。 具体地， PDU session 的地址即上述会话地址， 可以是 UE在步骤 201 发送给 AMF的以太网地址， 也可以是 SMF在步骤 204为 UE分配的地址。
可选地， 还可以包含 UE的一个或多个 ID , 如： UE的次要 ID , UE的外部 ID 等。
211、 PCF将 PDU session的策略发送给 SMF。
212、 SMF将 PDU session的信息告知 UPF,其中包含 PDU session的地址和 PDU session的策略。
另外， UPF通过执行 PDU session的策略， 保证 PDU session不会超越授权的 范围。
213、 UPF向 SMF回复应答。
214、 SMF向 AMF发送 PDU session建立应答以及表明认证成功的 EAP-success ( EAP成功标识；)。
215、 AMF将接收到的 PDU session建立应答以及 EAP-success转发给 UE。
216、 UE获得 PDU session的地址。
如果 UE发送的 PDU是以太网类型， 那么 PDU session地址是 UE的以太网地 址。 在此不执行步骤 216 , 直接执行步骤 217。
如果 PDU类型不是以太网类型， 如： IP类型或非结构类型， PDU session地址 是由 SMF为 UE分配的， SMF通过另外的消息向 UE发送为 UE分配的地址， 如釆 用动态主机配置协议 （ dynamic host configuration protocol, DHCP ) 的消息发送。 另 外， 也可以在步骤 214-215中发送消息通知为 UE分配的地址。
217、 AAA检测到需要释放上述 PDU session。
需要说明的是， 这里释放 PDU session即删除该 PDU session。
具体地， 通过步骤 207获得的地址， DN 可以识别该 PDU session的流量， 当 DN检测到该 PDU session的流量异常， 则确定需要删除 UE的 PDU session。
具体的流量监测包括：该 PDU session的上行流量（即从 UE到 DN方向的流量） 可以通过 PDU的源地址或源隧道地址识别， 该的下行流量 （即从 DN到 UE方向的 流量） 可以通过 PDU的目的地址或目的隧道地址识别。 具体地， 如果 PDU类型为 IPv4 , 则上行 PDU的源 IP地址、 下行 PDU的目的 IP地址与步骤 207 中获得的 IP 地址 （即会话地址， 也是 PDU session的地址） 一致； 如果 PDU类型为 IPv6 , 则上 行 PDU的源 IP地址、 下行 PDU的目的 IP地址与步骤 207中获得的 IP前缀 （即会 话地址， 也是 PDU session的地址） 匹配； 如果 PDU类型为以太网， 则上行 PDU的 源以太网地址、 下行 PDU的目的以太网地址与步骤 207中获得的以太网地址 （即会 话地址， 也是 PDU session的地址） 一致； 如果 PDU类型为非结构化， 则上行 PDU 的源隧道地址、 下行 PDU的目的隧道地址与步骤 207 中获得的隧道 IP地址或隧道 IP前缀 （即会话地址， 也是 PDU session的地址） 匹配。
或者， 当 AAA检测到该 UE在 DN的签约被取消， 以 UE的次要 ID关联到一 个会话地址， AAA则确定需要释放这个 UE地址所对应的 PDU session。 需要说明的 是， 本实施例中的 "释放" 即 "删除"。
218、 AAA发送释放 PDU session的请求。
具体地， AAA可以使用 diameter协议的 ASR消息将该请求直接发送给 SMF(步 骤 218a )。 需要说明的是， 在此 AAA发送的消息中不携带 PDU session, 即不需要给 SMF提供 PDU session的地址来标识 PDU session。 因为 SMF和 AAA为每个 PDU session维护一个对应的 diameter会话， 而图中 207、 209、 218a、 220a这 4条 diameter 消息都在同一 diameter会话中。 AAA在 PDU session对应的 diameter会话中请求释 放或修改 PDU session, SMF可以得知请求操作的 PDU session为该会话对应的 PDU S6sskm。
或者， AAA使用 diameter协议的 STR消息或 diameter协议的 AAR消息， 将该 请求发送给 PCF (步骤 218M ), PCF向 SMF发送释放 PDU session的请求触发 SMF 释放 PDU session (步骤 218b2 )。 AAA发送的请求包含 PDU session的地址， 用于标 识 PDU session, 还可以包含 UE的一个或多个 ID用于辅助标识 PDU session。 另夕卜， 如果之前 AAA已经向 PCF发送过这些信息 (比如， 之前 AAA已经通过 PCF发送过 修改 PDU session的请求， 请求中包含这些信息）， 则不需要包含这些信息。
219、 SMF释放 PDU session。
具体地， SMF通知 UPF释放该 PDU session 占用的资源， 并停止转发该 PDU session的 PDU。 SMF通知（R)AN释放该 PDU session的资源， 通知经由 AMF转发。 随后，（R)AN释放该 PDU session占用的资源，并通知 UE。 （R)AN通知 SMF该 PDU session 占用的资源已被释放， 通知经过 AMF转发。 最后， SMF通知 AMF删除该 PDU session的上下文信息， SMF通知 PCF删除该 PDU session的策略上下文信息。
220、 AAA收到 PDU session释放请求的应答。
对应于上述步骤 218a, SMF利用 diameter协议的 ASA消息将 PDU session释放 请求的应答发送给 AAA (步骤 220a )。
对应上述步骤 218M和步骤 218b2 , SMF向 PCF发送 PDU session释放请求的 应答 （步骤 220b 1 ), PCF利用 diameter协议的 STA消息或 AAA消息向 AAA发送 PDU session释放请求的应答 (步骤 220b2 )。
上述步骤中 PDU session的地址是指：如果 PDU session类型为 IPv4 , PDU session 的地址 （即上述会话地址） 为 SMF为 UE分配的 IP地址； 如果 PDU session类型为 IPv6 , PDU session的地址为 SMF为 UE分配的 IP前缀； 如果 PDU session类型为非 结构化， PDU session的地址为 SMF为 UE分配的隧道 IP地址或隧道 IP前缀； 如果 PDU session类型为以太网， PDU session的地址为 UE的以太网地址。
本发明实施例中， SMF在步骤 202获得 UE的以太网地址， 或者在步骤 204为 UE分配 UE使用的或隧道使用的 IP地址 /前缀。 在步骤 207中， SMF将这些地址放 在认证 /授权请求的 diameter消息中发送给 AAA,使得 AAA可以识别该 PDU session 的 PDU并通过对该 PDU session的 PDU进行检测是判断该 PDU session的 P流量否 存在异常。 一旦检测到该 PDU session的 量存在异常 , AAA则通过 PCF来触发对 该 PDU session 的修改或释放。 使得 DN 可以根据监测到的异常情控制 PDU ses sion的删除和修改， 实现有效的访问控制。
本发明实施例还提供一种会话处理方法， 以数据网元为 AAA为例， 建立 PDU session 的授权流程和授权修改流程， 区别于上一实施例， 本实施例中建立 PDU session之前， AAA仅做了授权， 没有对 UR进行认证， 且没有使用 EAP协议； 另夕卜， 本实施例 AAA触发 PDU session修改， 而非触发 PDU session释放。 本实施例和实 施例一的 PDU session建立过程可以互换， 而不影响后面的触发 PDU session修改 / 释放流程。 如图 6所示， 所述方法包括以下步骤：
301、 UE向 AMF发送请求建立 PDU session的消息以及 UE的次要 ID。
需要说明的是， 如果 PDU session的类型是以太网， UE将自己的以太网地址连 同该请求一起发送到 AMF。
302、 AMF将 UE的 PDU session建立请求、 UE的 SUPI、 UE的 PEI 以及 UE 的次要 ID发送给 SMF。
当然， 如果 PDU session的类型是以太网， AMF会接收到 UE发送的以太网地 址， 在此也需要将 UE的以太网地址也一并发送给 SMF。
可选地， 303、 SMF确定需要 AAA认证 UE或 4受权 UE的 PDU session。
同样， SMF可以根据本地预存的策略 （例如， 访问该 DN都需要 AAA认证和 授权）判断是否需要 AAA认证 UE或授权 UE的 PDU session;或，以 UE发送的 PDU session建立请求携带的相关指示为判断依据； 或者， SMF步骤 302和 303之间， 从 UDM 中读取 UE 的签约信息， 根据签约信息中的读取相关策略判断是否需要 AAA 认证 UE或授权 UE的 PDU session。
304、 SMF为 UE分配会话地址。
需要说明的是， 如果将要为 UE建立的 PDU session的类型是以太网类型， 那么 SMF将步骤 303接收到的 UE的以太网地址作为 UE将使用的会话地址， 可以跳过 步骤 304直接执行步骤 305。
另外， 将要为 UE建立的 PDU session的类型不是以太网类型， 则需要执行步骤 304 , 具体地， 如果 PDU session类型为 IPv4 , SMF为 UE分配 IP地址作为 UE将使 用的会话地址； 如果 PDU session类型为 IPv6 , SMF为 UE分配 IP前缀作为 UE将 使用的会话地址； 如果 PDU session类型为非结构化， SMF为 UE分配隧道 IP地址 或隧道 IP前缀作为 UE将使用的会话地址。 其中， 隧道 IP地址或隧道 IP前缀是为 UPF分配的。
305、 SMF向 AAA发送 diameter协议的 AAR消息， 该消息携带授权请求、 会 话地址和 UE的次要 ID。
可选地， SMF还可以从 UE的签约数据中找到 UE的外部 ID , 将 UE的 SUPI、 PEI或外部 ID也一起增加到 diameter协议的 AAR消息中发送给 AAA。
306、 AAA向 SMF发送 diameter协议的 AAA消息， 包含 4受权结果。
其中， 授权结果可以是授权信息， 表明将为 UE建立的 PDU session的权限。
307、 SMF将 PDU session的信息告知 PCF, 其中包含 PDU session的地址 （即 上述会话地址）。
可选地， PDU session的信息还可以包含 UE的一个或多个 ID。
308、 PCF将 PDU session的策略发送给 SMF。
309、 SMF将 PDU session的信息告知 UPF,其中包含 PDU session的地址和 PDU session的处理规则。
需要说明的是，上述 PDU session的处理规则是 SMF根据接收到的 PDU session 的策略生成的， UPF通过执行 PDU session的处理规则保证 PDU session不会超越授 权的范围。
310、 UPF向 SMF回复响应。
311、 SMF向 AMF发送 PDU session建立应答。
312、 AMF向 UE转发 PDU session建立应答。
313、 UE获得 PDU session的地址。
如果 UE发送的 PDU是以太网类型， 那么 PDU session地址是 UE的以太网地 址。 如果 PDU类型不是以太网类型， 如： IP类型或非结构类型， PDU session的地 址是由 SMF为 UE分配的， SMF通过另外的消息向 UE发送为 UE分配的会话地址， 如釆用 DHCP协议的消息发送。 另外， 也可以在步骤 314-315中发送消息通知为 UE 分配的会话地址。
314、 AAA检测到需要修改上述 PDU session。
具体地， AAA根据 UE的 ID (在步骤 307获得） 检测到该 UE在 DN的签约被 修改， 或者是 DN检测到该 UE的信任度或信誉度发生变化， 也可能是 DN检测到该 PDU session的流量异常， 流量监控的具体方法参照上一实施例对步骤 217的相关解 释， 在此不做赘述。
315、 AAA发送修改 PDU session的请求。
具体实现中， AAA可以使用 diameter协议的 RAR消息向 SMF发送修改 PDU session的请求 （步骤 315a ); 需要说明的是， 在此 AAA发送的消息中不携带 PDU session, 即不需要给 SMF提供 PDU session的地址来标识 PDU session。 因为 SMF 和 AAA为每个 PDU session维护一个对应的 diameter会话， 而图中 305、 306、 315a、 317a这 4条 diameter消息都在同一 diameter会话中。 AAA在 PDU session对应的 diameter会话中请求释放或修改 PDU session , SMF可以得知请求操作的 PDU session 为该会话对应的 PDU session。
或者， AAA使用 diameter协议的 AAR消息向 PCF发送修改 PDU session的请 求（步骤 315bl ), PCF进一步触发 SMF修改 PDU session (步骤 315b2 )。 AAA发送 的请求包含 PDU session的地址, 用于标识 PDU session, 还可以包含 UE的一个或 多个 ID用于辅助标识 PDU session。 另外， 如果之前 AAA 已经向 PCF发送过这些 信息 （比如， 之前 AAA已经通过 PCF发送过修改 PDU session的请求， 请求中包含 这些信息）， 则不需要包含这些信息。
316、 SMF修改 PDU session。
具体地， SMF请求（R)AN修改 PDU session的配置，请求经过 AMF转发。接着， (R)AN通知 UE关于 PDU session的 改，（R)AN通知 SMF该 PDU session的配置已 修改， 通知经过 AMF转发。 随后， SMF请求 UPF修改 PDU session的配置， 并得 到响应。
317、 AAA收到 PDU session修改请求的应答。
相应于上述步骤 315a, SMF向 AAA发送，消息为 diameter协议的 RAA消息（步 骤 317a )。
或者， 相应于上述步骤 315M , PCF收到 SMF发送的 PDU session修改请求的 应答（步骤 317M ), PCF利用 diameter协议的 AAA消息将 PDU session修改请求的 应答发送给 AAA (步骤 317b2 )。
上述步骤中的地址是指： 如果 PDU session类型为 IPv4 , 地址为 SMF为 UE分 配的 IP地址； 如果 PDU session类型为 IPv6 , 地址为 SMF为 UE分配的 IP前缀； 如果 PDU session类型为非结构化， 地址为 SMF为 UE分配的隧道 IP地址或隧道 IP 前缀； 如果 PDU session类型为以太网， 地址为 UE的以太网地址。
与现有技术相比， SMF在步骤 302获得 UE的以太网地址， 或者在步骤 604为 UE分配会话使用的或隧道使用的 IP地址 /前缀。 在步骤 305中， SMF将这些地址放 在授权请求的 diameter消息中发送给 AAA ,使得 DN可以识别该 PDU session的 PDU 并检测是否存在异常或以此来评判 UE的信任度或信誉值，进而判断需要修改该 PDU session; 或者在 UE的签约条件发生变化时， AAA可以关联到该 PDU session, 确定 对该 PDU session进行修改。 进而， AAA通过 PCF来触发 PDU session的修改。
本发明实施例还提供一种会话处理方法，以数据网元为 AAA为例，介绍了 AAA 利用用 PDU session 的授权发放和授权修改或取消来实现在用户面的认证， 如图 7 所示， 所述方法包括以下步骤：
401、 UE向 AMF发送 PDU session建立请求以及 UE的次要 ID。
当然， 如果 PDU session的类型是以太网类型， UE将自己的以太网地址连同该 请求一起发送到 AMF。
402、 AMF将 UE的 PDU session建立请求以及 UE的 SUPI、 UE的 PEI以及 UE 的次要 ID一并发送给 SMF。
如果 PDU session的类型是以太网， UE的以太网地址也一并发送给 SMF。
可选地， 403、 SMF确定需要 AAA认证 UE或 4受权 UE的 PDU session。
具体实现中， SMF 可以根据本地预存的策略 （例如， 访问该 DN 都需要 AAA 认证和授权） 判断是否需要 AAA认证 UE或授权 UE的 PDU session; 或， 以 UE发 送的 PDU session建立请求携带的相关指示为判断依据； 或者， SMF步骤 402和 403 之间， 从 UDM中读取 UE的签约信息， 根据签约信息中的读取相关策略判断是否需 要 AAA认证 UE或 4受权 UE的 PDU session。
404、 SMF为 UE分配会话地址。
需要说明的是， 如果将要为 UE建立的 PDU session的类型是以太网类型， 那么 SMF将步骤 403接收到的 UE的以太网地址作为 UE将使用的会话地址， 即上述会 话地址， 那么可以跳过步骤 404直接执行步骤 405。
另外， 将要为 UE建立的 PDU session的类型不是以太网类型， 则需要执行步骤 404 , 具体地， 如果 PDU session类型为 IPv4 , SMF为 UE分配 IP地址作为 UE将使 用的会话地址； 如果 PDU session类型为 IPv6 , SMF为 UE分配 IP前缀作为 UE将 使用的会话地址； 如果 PDU session类型为非结构化， SMF为 UE分配隧道 IP地址 或隧道 IP前缀作为 UE将使用的会话地址。 其中， 隧道 IP地址或隧道 IP前缀是为 UPF分配的。
405、 SMF向 AAA发送授权请求， 同时将会话地址和 UE的次要 ID也发送给 AAA。
可选地， SMF还可以向 AAA发送 UE的 SUPI、 UE的 PEI以及 UE的外部 ID 中的任意一个或多个。 其中， SMF可以从 UE的签约数据中找到 UE的外部 ID。 具 体实现中， S MF可以将要发送的消息通过 diameter协议的 A AR消息发送给 AAA。
可选地， 406、 AAA检查 UE是否有权限访问 DN。 若 UE无有权限访问 DN , 则返回授权失败。 若 UE有权限访问 DN , 流程继续进行。
407、 AAA向 SMF发送 diameter协议的 AAA消息， 包含 4受权结果。
其中，授权结果为授权信息，表明将为 UE建立的 PDU session的权限。可选地， 授权信息表明， 该 PDU session只允许访问 AAA , 进一步还可以可将 PDU session 的最大传输速率限定在一个较小值。
在一些实施例中， 可选地， 该 PDU session的权限为允许访问 AAA 以及 DNS 服务器和 /或 DHCP服务器。 其中， 允许该 PDU session访问 DHCP服务器， 使得 UE 可以通过 DHCP获得 IP地址。 允许该 PDU session访问 DNS服务器， 使得 UE可以 通过 DNS查询 AAA/AAA proxy的地址。
408、 SMF将 PDU session的信息告知 PCF, 其中包含 PDU session的地址 （即 上述会话地址）。
可选地， SMF还可以向 PCF发送 UE的一个或多个 ID。
409、 PCF将 PDU session的策略发送给 SMF。
可选地， PDU session的策略表明， 该 PDU session只允许访问 AAA , 进一步， 可表征了该 PDU session的最大传输速率的门限值，并且该门限值是个较小的传输速 率。
需要说明的是， 步骤 407 和步骤 409 这两个步骤中至少一个步骤表明该 PDU session只允许访问 AAA。
410、 SMF将 PDU session的信息告知 UPF , 其中包含 PDU session的地址和处 理规则。
需要说明的是，上述 PDU session的处理规则是 SMF根据接收到的 PDU session 的策略生成的， UPF通过执行 PDU session的处理规则保证 PDU session不会超越授 权的范围。具体地，处理规则可以表明该 PDU session只允许访问 AAA,并且该 PDU session的最大传输速率不能超过一个门限值。
411、 UPF向 SMF回复响应。
412、 SMF向 AMF发送 PDU session建立应答。
413、 AMF向 UE转发 PDU session建立应答。
414、 UE获得 PDU session的地址。
如果 UE发送的 PDU是以太网类型， 那么 PDU session的地址是 UE的以太网 地址。 如果 PDU类型不是以太网类型， 如： IP类型或非结构类型， PDU session地 址是由 SMF为 UE分配的， SMF通过另外的消息向 UE发送为 UE分配的地址， 如 釆用 DHCP协议的消息发送。 另外， 也可以在步骤 414-415之间发送消息通知为 UE 分配的地址。
415、 AAA利用建立好的 PDU session对 UE进行认证。
具体地， 认证消息通过 PDU传送。 若 PDU类型为 IP , 则可以使用任何基于 IP 协议的认证协议， 比如 SIP协议。 若 PDU类型为以太网， 则可以使用任何基于以太 网的认证协议 , 比如 PPPoE协议和 EAPoL协议。
416、 AAA才艮据认证结果判断需要 改或释放该 PDU session^
具体地， 如果认证成功， AAA判断需要修改 PDU session, 使得 PDU session可 以访问除 AAA 外的网元， 和 /或， 使得 UE 可以使用更大的传输速率通过该 PDU session访问除 AAA外的其他网元。如果认证成功， AAA判断需要释放 PDU session。
另外， 可以通过 PDU session的地址确定认证结果和 PDU session的对应关系。 示例的， 携带认证结果的 PDU 的源地址或源隧道地址即为该认证结果对应的 PDU session的地址。
417、才艮据上述步骤 416的结果， AAA发送修改 PDU session的请求或释放 PDU session的请求。
417a 、 该请求可发送给 SMF。 若为修改 PDU session的请求， 使用 diameter协 议的 RAR消息。 若为释放 PDU session的请求， 使用 diameter协议的 ASR消息。
417bl、 该请求也可发给 PCF; 若为修改 PDU session的请求， 使用 diameter协 议的 AAR消息； 若为释放 PDU session的请求， 使用 diameter协议的 AAR消息或 STR消息。 AAA发送的请求包含 PDU session的地址， 用于标识 PDU session, 还可 以包含 UE的一个或多个 ID用于辅助标识 PDU session。 另外， 如果之前 AAA已经 向 PCF发送过这些信息 (比如， 之前 AAA 已经通过 PCF发送过修改 PDU session 的请求， 请求中包含这些信息）， 则不需要包含这些信息。
417b2、 PCF进一步触发 SMF修改或释放 PDU session。
418、 SMF 改或释放 PDU session。
419、 AAA收到修改 PDU session的应答或释放 PDU session的应答。
对应 419a,该应答可以由 SMF发送给 AAA(步骤 419a )。若为修改 PDU session 的应答， 应答消息为 diameter协议的 RAA消息。 若为释放 PDU session的应答， 应 答消息为 diameter协议的 ASA消息。
对应 417bl , PCF接收 SMF的应答 （步骤 419bl ); 进一步， PCF向 AAA发送 应答（步骤 419b2 )。 若为修改 PDU session的应答， PCF发送的应答消息为 diameter 协议的 AAA消息（ diameter协议中的该消息名与标准中的 AAA网元同名 ）。 若为释 放 PDU session的应答， 应答消息为 diameter协议的 AAA消息或 STA消息。
本实施例中， SMF获得 UE的以太网地址， 或者为 UE分配 UE使用的或隧道使 用的 IP地址 /前缀。 SMF将这些地址放在授权请求的 diameter消息中发送给 AAA, 使得 DN可以识别该 PDU session的 PDU , 从而当在建立该 PDU session后再次对 UE认证时， 可以关联到认证结果对应的 PDU session, 进而在认证成功或失败时， AAA知道该触发哪个 PDU session的修改或释放。 另一方面， 本实施例利用 AAA触 发 PDU session的修改和释放， 实现了对多种认证协议的支持， 而不需要 3GPP网络 进行额外的改造。
本发明实施例还提供一种会话处理方法， 以数据网元为 AAA的代理网元 AAA proxy为例，介绍了利用 PDU session的授权发放和授权修改 /取消来实现在用户面的 认证流程， 如图 8所示， 所述方法包括以下步骤：
501、 UE向 AMF发送 PDU session建立请求以及 UE的次要 ID。
当然， 如果 PDU session的类型是以太网类型， UE将自己的以太网地址连同该 请求一起发送到 AMF。
502、 AMF将 UE的 PDU session建立请求以及 UE的 SUPI、 UE的 PEI以及 UE 的次要 ID一并发送给 SMF。
如果 PDU session的类型是以太网， UE的以太网地址也一并发送给 SMF。
可选地， 503、 SMF判断需要 AAA认证 UE或 4受权 UE的 PDU session。 具体实现中， SMF 可以根据本地预存的策略 （例如， 访问该 DN 都需要 AAA 认证和授权） 判断是否需要 AAA认证 UE或授权 UE的 PDU session; 或， 以 UE发 送的 PDU session建立请求携带的相关指示为判断依据； 或者， SMF步骤 502和 503 之间， 从 UDM中读取 UE的签约信息， 根据签约信息中的读取相关策略判断是否需 要 AAA认证 UE或 4受权 UE的 PDU session。
504、 SMF为 UE分配会话地址。
需要说明的是， 如果将要为 UE建立的 PDU session的类型是以太网类型， 那么 SMF将步骤 503接收到的 UE的以太网地址作为 UE将使用的会话地址， 即上述会 话地址， 那么可以跳过步骤 504直接执行步骤 505。
另外， 将要为 UE建立的 PDU session的类型不是以太网类型， 则需要执行步骤 504 , 具体地， 如果 PDU session类型为 IPv4 , SMF为 UE分配 IP地址作为 UE将使 用的会话地址； 如果 PDU session类型为 IPv6 , SMF为 UE分配 IP前缀作为 UE将 使用的会话地址； 如果 PDU session类型为非结构化， SMF为 UE分配隧道 IP地址 或隧道 IP前缀作为 UE将使用的会话地址。 其中， 隧道 IP地址或隧道 IP前缀是为 UPF分配的。
505、 SMF向 AAA proxy发送授权请求， 同时将会话地址和次要 ID也发送给 AAA proxy。
可选地， SMF还可以向 AAA proxy发送 UE的 SUPI、 UE的 PEI以及 UE的外 部 ID中的任意一个或多个。其中， SMF可以从 UE的签约数据中找到 UE的外部 ID。 具体实现中， SMF可以将要发送的消息通过 diameter协议的 AAR消息发送给 AAA proxy。
506、 AAA proxy向 AAA发送 4受权请求， 请求包含 UE的次要 ID。
507、 AAA检查 UE是否有权限访问 DN。 若有权限， 返回授权成功， 流程继续 进行。
需要说明的是， 步骤 506、 507是可选步骤。
508、 AAA proxy向 SMF发送 diameter协议的 AAA消息， 包含 4受权结果。 其中，授权结果为授权信息，表明将为 UE建立的 PDU session的权限。可选地， 授权信息表明， 该 PDU session 只允许访问 AAA proxy, 进一步还可以可将 PDU session的最大传输速率限定在一个较小值。
在一些实施例中， 可选地， 该 PDU session的权限为允许访问 AAA proxy以及 DNS服务器和 /或 DHCP服务器。 其中， 允许该 PDU session访问 DHCP服务器， 使 得 UE可以通过 DHCP获得 IP地址。 允许该 PDU session访问 DNS服务器， 使得 UE可以通过 DNS查询 AAA/AAA proxy的地址。
509、 SMF将 PDU session的信息告知 PCF , 其中包含 PDU session的地址。 可选地， SMF还可以向 PCF发送 UE的一个或多个 ID。
510、 PCF将 PDU session的策略发送给 SMF。
可选地， PDU session的策略表明， 该 PDU session只允许访问 AAA , 进一步， 可表征了该 PDU session的最大传输速率的门限值，并且该门限值是个较小的传输速 率。 需要说明的是， 步骤 508 和步骤 510 这两个步骤中至少一个步骤表明该 PDU session只允许访问 AAA proxy。
51 SMF将 PDU session的信息告知 UPF,其中包含 PDU session的地址和 PDU session的处理规则。
需要说明的是，上述 PDU session的处理规则是 SMF根据接收到的 PDU session 的策略生成的， UPF通过执行 PDU session的处理规则保证 PDU session不会超越授 权的范围。具体地，处理规则可以表明该 PDU session只允许访问 AAA,并且该 PDU session的最大传输速率不能超过一个门限值。
512、 UPF向 SMF回复响应。
513、 SMF向 AMF发送 PDU session建立应答。
514、 AMF向 UE转发 PDU session建立应答。
515、 UE获得 PDU session的地址。
如果 UE发送的 PDU是以太网类型， 那么 PDU session的地址是 UE的以太网 地址。 如果 PDU类型不是以太网类型， 如： IP类型或非结构类型， PDU session的 地址是由 SMF为 UE分配的， SMF通过另外的消息向 UE发送为 UE分配的地址， 如釆用 DHCP协议的消息发送。 另外， 也可以在步骤 515-516之间发送消息通知为 UE分配的地址。
516、 AAA利用建立好的 PDU session对 UE进行认证。
具体地， 认证消息通过 PDU在 UE和 AAA proxy间传送， AAA proxy为 AAA 和 UE转发认证消息。
进一步， 若 PDU类型为 IP , 则可以使用任何基于 IP协议的认证协议， 比如 SIP 协议。 若 PDU类型为以太网， 则可以使用任何基于以太网的认证协议， 比如 PPPoE 协议和 EAPoL协议。
517、 AAA proxy才艮据认证结果判断需要 改或释放该 PDU session。
具体地， 如果认证成功， AAA判断需要修改 PDU session, 使得 PDU session可 以访问除 AAA 外的网元， 和 /或， 使得 UE 可以使用更大的传输速率通过该 PDU session 访问除 AAA proxy 外其他网元。 如果认证成功， AAA 判断需要释放 PDU S6sskm。
另外， 可以通过 PDU session的地址确定认证结果和 PDU session的对应关系。 具体地， 通过上行流量的 PDU的源地址或源隧道地址识别可以确定该认证对应上述 PDU session。 示例的， 携带认证结果的 PDU的源地址或源隧道地址即为该认证结果 对应的 PDU session的地址。 类似地， 通过下行流量的 PDU的目的地址或目的隧道 地址可以确定该认证对应上述 PDU session。 如果 PDU类型为 IPv4 , 则上行 PDU的 源 IP地址、 下行 PDU的目的 IP地址与步骤 505 中获得的 IP地址一致； 如果 PDU 类型为 IPv6 , 则上行 PDU的源 IP地址、 下行 PDU的目的 IP地址与步骤 507 中获 得的 IP前缀匹配；如果 PDU类型为以太网，则上行 PDU的源以太网地址、下行 PDU 的目的以太网地址与步骤 505中获得的以太网地址一致；如果 PDU类型为非结构化， 则上行 PDU的源隧道地址、 下行 PDU的目的隧道地址与步骤 505 中获得的隧道 IP 地址或隧道 IP前缀匹配。 518、根据步骤 517的结果， AAA proxy发送修改 PDU session的请求或释放 PDU session的请求。
518a 、 该请求可发送给 SMF。 若为修改 PDU session的请求， 使用 diameter协 议的 RAR消息。 若为释放 PDU session的请求， 使用 diameter协议的 ASR消息。
518bl、 该请求也可发给 PCF; 若为修改 PDU session的请求， 使用 diameter协 议的 AAR消息； 若为释放 PDU session的请求， 使用 diameter协议的 AAR消息或 STR消息。 AAA发送的请求包含 PDU session的地址， 用于标识 PDU session, 还可 以包含 UE的一个或多个 ID用于辅助标识 PDU session。 另外， 如果之前 AAA已经 向 PCF发送过这些信息（比如，之前 AAAproxy已经通过 PCF发送过修改 PDU session 的请求， 请求中包含这些信息）， 则不需要包含这些信息。
518b2、 PCF进一步触发 SMF修改或释放 PDU session。
519、 SMF 改或释放 PDU session。
520、 AAA proxy收到 改 PDU session的应答或释放 PDU session的应答。 对应 518a, 该应答可以由 SMF发送给 AAA proxy (步骤 520a )。 若为修改 PDU session的应答， 应答消息为 diameter协议的 RAA消息。 若为释放 PDU session的应 答， 应答消息为 diameter协议的 ASA消息。
对应 518bl , PCF接收 SMF的应答（步骤 520M ); 进一步， PCF向 AAA proxy 发送应答 （步骤 520b2 )。 若为修改 PDU session 的应答， PCF 发送的应答消息为 diameter协议的 AAA消息（ diameter协议中的该消息名与标准中的 AAA网元同名 ）。 若为释放 PDU session的应答， 应答消息为 diameter协议的 AAA消息或 STA消息。
需要说明的是， 本实施例中相比于上一实施例的不同在于： 增加了 AAA的代理 网元 AAA proxy , 上一实施例中 AAA执行的大部分步骤转移到 AAA proxy。 另外， 本实施例中的 AAA 可以是 IP 多媒体子系统（IP multimedia subsystem, IMS)中的 S-CSCF网元， AAA proxy可以是 IMS中的 P-CSCF网元。
与现有技术相比， SMF获得 UE的以太网地址， 或者为 UE分配 UE使用的或隧 道使用的 IP地址 /前缀。 SMF将这些地址放在授权请求的 diameter消息中发送给 AAA proxy,使得 AAA proxy可以 只另' J该 PDU session的 PDU ,从而当在建立该 PDU session 后再次对 UE认证时， 可以关联到认证结果对应的 PDU session, 进而在认证成功或 失败时， AAA proxy知道该触发哪个 PDU session的修改或释放。
本发明实施例还提供一种会话处理方法， 以数据网元为 AAA的代理网元 AAA proxy为例，介绍了利用 PDU session的授权发放和授权修改 /取消来实现在用户面的 认证流程， 如图 9所示， 所述方法包括以下步骤：
601、 UE向 AMF发送 PDU session建立请求以及 UE的次要 ID。
当然， 如果 PDU session的类型是以太网类型， UE将自己的以太网地址连同该 请求一起发送到 AMF。
602、 AMF将 UE的 PDU session建立请求以及 UE的 SUPI、 UE的 PEI以及 UE 的次要 ID一并发送给 SMF。
如果 PDU session的类型是以太网， UE的以太网地址也一并发送给 SMF。
可选地， 603、 SMF判断需要 AAA认证和 /或授权 UE的 PDU session。 SMF判断需要 AAA认证 UE或 4受权 UE的 PDU session。
具体实现中， SMF 可以根据本地预存的策略 （例如， 访问该 DN 都需要 AAA 认证和授权） 判断是否需要 AAA认证 UE或授权 UE的 PDU session; 或， 以 UE发 送的 PDU session建立请求携带的相关指示为判断依据； 或者， SMF步骤 602和 603 之间， 从 UDM中读取 UE的签约信息， 根据签约信息中的读取相关策略判断是否需 要 AAA认证 UE或 4受权 UE的 PDU session。
604、 SMF为 UE分配会话地址。
需要说明的是， 如果将要为 UE建立的 PDU session的类型是以太网类型， 那么 SMF将步骤 603接收到的 UE的以太网地址作为 UE将使用的会话地址， 即上述会 话地址， 可以跳过步骤 604直接执行步骤 605。
另外， 将要为 UE建立的 PDU session的类型不是以太网类型， 则需要执行步骤 604 , 具体地， 如果 PDU session类型为 IPv4 , SMF为 UE分配 IP地址作为 UE将使 用的会话地址； 如果 PDU session类型为 IPv6 , SMF为 UE分配 IP前缀作为 UE将 使用的会话地址； 如果 PDU session类型为非结构化， SMF为 UE分配隧道 IP地址 或隧道 IP前缀作为 UE将使用的会话地址。 其中， 隧道 IP地址或隧道 IP前缀是为 UPF分配的。
605、 SMF向 AAA或 AAA proxy发送授权请求， 同时将会话地址和次要 ID也 发送给 AAA或 AAA proxy。
可选地， SMF还可以向 AAA proxy或 AAA发送 UE的 SUPI、 UE的 PEI以及 UE 的外部 ID 中的任意一个或多个。 其中， SMF可以从 UE 的签约数据中找到 UE 的外部 ID。 具体实现中， SMF可以将要发送的消息通过 diameter协议的 AAR消息 发送给 AAA proxy或 AAA 。
606、 AAA/AAA proxy启动定时器。
607、 AAA/ AAA proxy向 SMF发送 diameter协议的 AAA消息或 DEA消息， 包 含授权结果。
其中，授权结果为授权信息，表明将为 UE建立的 PDU session的权限。可选地， 授权信息表明， 该 PDU session只允许访问 AAA或 AAA proxy, 进一步还可以可将 PDU session的最大传输速率限定在一个较小值。
在一些实施例中， 可选地， 该 PDU session的权限为允许访问 AAA proxy以及 DNS服务器和 /或 DHCP服务器。 其中， 允许该 PDU session访问 DHCP服务器， 使 得 UE可以通过 DHCP获得 IP地址。 允许该 PDU session访问 DNS服务器， 使得 UE可以通过 DNS查询 AAA/AAA proxy的地址。
需要说明的是， 步骤 606可以和步骤 607交换， 也就是说， AAA/AAA proxy向 SMF发送 diameter协议的 AAA消息或 DEA消息之后， 再启动定时器。
608、 SMF将 PDU session的信息告知 PCF , 其中包含 PDU session的地址。 可选地， SMF还可以向 PCF发送 UE的一个或多个 ID。
609、 PCF将 PDU session的策略发送给 SMF。
可选地， PDU session的策略表明， 该 PDU session只允许访问 AAA , 进一步， 可表征了该 PDU session的最大传输速率的门限值，并且该门限值是个较小的传输速 率。
需要说明的是， 步骤 607 和步骤 609 这两个步骤中至少一个步骤表明该 PDU session只允许访问 AAA或 AAA proxy。
610、 SMF将 PDU session的信息告知 UPF,其中包含 PDU session的地址和 PDU session的处理规则。
需要说明的是，上述 PDU session的处理规则是 SMF根据接收到的 PDU session 的策略生成的， UPF通过执行 PDU session的处理规则保证 PDU session不会超越授 权的范围。具体地，处理规则可以表明该 PDU session只允许访问 AAA或 AAA proxy , 并且该 PDU session的最大传输速率不能超过一个门限值。
611、 UPF向 SMF回复响应。
612、 SMF向 AMF发送 PDU session建立应答。
613、 AMF向 UE转发 PDU session建立应答。
614、 UE获得 PDU session地址。
如果 UE发送的 PDU是以太网类型， 那么 PDU session地址是 UE的以太网地 址。 如果 PDU类型不是以太网类型， 如： IP类型或非结构类型， PDU session地址 是由 SMF为 UE分配的， SMF通过另外的消息向 UE发送为 UE分配的地址， 如釆 用 DHCP协议的消息发送。 另外， 也可以在步骤 614-615 之间发送消息通知为 UE 分配的地址。
615、定时器超时，而 AAA/ AAA proxy还未收到 UE发的该 PDU session的 PDU , 判断需要释放该 PDU session。
AAA/AAA proxy可以才艮据步骤 605获得的地址识别该 PDU session的 PDU , PDU 的源地址或源隧道地址识别可以确定 PDU是否对应上述 PDU session。 示例的， 如 果 PDU类型为 IPv4 , 则 PDU的源 IP地址、 与步骤 605 中获得的 IP地址一致； 如 果 PDU类型为 IPv6 , 则 PDU的源 IP地址与步骤 605 中获得的 IP前缀匹配； 如果 PDU类型为以太网， 则 PDU的源以太网地址与步骤 605中获得的以太网地址一致； 如果 PDU类型为非结构化， 则 PDU的源隧道地址与步骤 605中获得的隧道 IP地址 或隧道 IP前缀匹配。
616、 才艮据步骤 615的结果， AAA/AAA proxy发送释放 PDU session的请求。 616a、 AAA/AAA proxy可以将该请求发送给 SMF。 释放 PDU session的请求， 使用 diameter协议的 ASR消息。
616bl、 AAA/AAA proxy将该请求发给 PCF; 释放 PDU session的请求， 使用 diameter协议的 AAR消息或 STR消息。 AAAproxy/AAA发送的请求包含 PDU session 的地址，用于标识 PDU session,还可以包含 UE的一个或多个 ID用于辅助标识 PDU session0 另夕卜， 如果之前 AAAproxy/AAA 已经向 PCF发送过这些信息 （比如， 之前 AAAproxy/AAA已经通过 PCF发送过修改 PDU session的请求， 请求中包含这些信 息）， 则不需要包含这些信息。
616b2、 PCF进一步触发 SMF释放 PDU session。
617、 SMF释放 PDU session。
618、 AAA proxy/AAA收到释放 PDU session的应答。 对应 616a,该应答可以由 SMF发送给 AAA proxy(步骤 618a )。释放 PDU session 的应答消息为 diameter协议的 ASA消息。
对应 616bl , PCF接收 SMF的应答（步骤 618bl ); 进一步， PCF向 AAA proxy 发送应答（步骤 618b2 )。 释放 PDU session的应答消息为 diameter协议的 AAA消息 或 STA消息。
与现有技术相比， SMF可以获得 UE的以太网地址， 或者为 UE分配 UE使用的 或隧道使用的 IP地址 /前缀。 SMF将这些地址放在授权请求的 diameter消息中发送 给 AAA/AAA proxy, 使得 AAA/AAA proxy可以识别该 PDU session的 PDU ,从而在 超时未收到过该 PDU session的用于认证的 PDU时， AA/AAA proxy判断要释放该 PDU session0 进而 AAA/AAA proxy通过 PCF来触发 PDU session的释放。
上述主要从各个网元之间交互的角度对本申请实施例提供的方案进行了介绍。 可以理解的是， 各个网元， 例如 SMF、 数据网络网元为了实现上述功能， 其包含了 执行各个功能相应的硬件结构和 /或软件模块。 本领域技术人员应该很容易意识到， 结合本文中所公开的实施例描述的各示例的算法步骤， 本申请能够以硬件或硬件和 计算机软件的结合形式来实现。 某个功能究竟以硬件还是计算机软件驱动硬件的方 式来执行， 取决于技术方案的特定应用和设计约束条件。 专业技术人员可以对每个 特定的应用来使用不同方法来实现所描述的功能， 但是这种实现不应认为超出本申 请的范围。
本申请实施例可以根据上述方法示例对 SMF、 数据网络网元进行功能模块的划 分， 例如， 可以对应各个功能划分各个功能模块， 也可以将两个或两个以上的功能 集成在一个处理模块中。 上述集成的模块既可以釆用硬件的形式实现， 也可以釆用 软件功能模块的形式实现。 需要说明的是， 本申请实施例中对模块的划分是示意性 的， 仅仅为一种逻辑功能划分， 实际实现时可以有另外的划分方式。
在釆用对应各个功能划分各个功能模块的情况下， 图 10示出了上述实施例中涉 及的会话管理功能网元 SMF的一种可能的组成示意图， 如图 10所示， 该基站可以 包括： 接收单元 701、 确定单元 702、 发送单元 703以及建立单元 704。
其中，接收单元 701用于支持 SMF执行图 4所示的会话处理方法中的步骤 101。 确定单元 702 , 用于支持 SMF执行图 4所示的会话处理方法中的步骤 102。 发送单元 703 , 用于支持 SMF执行图 4所示的会话处理方法中的步骤 103。 发送单元 704 , 用于支持 SMF执行图 4所示的会话处理方法中的步骤 104。 需要说明的是， 上述方法实施例涉及的各步骤的所有相关内容均可以援引到对 应功能模块的功能描述， 在此不再赘述。
本申请实施例提供的 SMF, 用于执行上述发现信号的传输方法， 因此可以达到 与上述发现信号的传输方法相同的效果。
在釆用集成的单元的情况下， 图 11 示出了上述实施例中所涉及的 SMF的另一 种可能的组成示意图。 如图 1所示， 该 SMF包括： 处理模块 801和通信模块 802。
处理模块 801 用于对服务器的动作进行控制管理， 例如， 处理模块 801 用于支 持 SMF执行图 4 中的步骤 102、 105、 和 /或用于本文所描述的技术的其它过程。 通 信模块 802用于支持 SMF与其他网络实体的通信，例如与图 1示出的 UPF之间的通 信。 SMF还可以包括存储模块 803 , 用于存储服务器的程序代码和数据。 其中， 处理模块 801 可以是处理器或控制器。 其可以实现或执行结合本申请公 开内容所描述的各种示例性的逻辑方框， 模块和电路。 处理器也可以是实现计算功 能的组合， 例如包含一个或多个微处理器组合， DSP 和微处理器的组合等等。 通信 模块 802可以是收发器、 收发电路或通信接口等。 存储模块 803可以是存储器。
当处理模块 801 为处理器， 通信模块 802为通信接口， 存储模块 803为存储器 时， 本申请实施例所涉及的 SMF可以为图 2所示的会话管理功能网元。
在釆用对应各个功能划分各个功能模块的情况下， 图 12示出了上述和实施例中 涉及的数据网络网元的一种可能的组成示意图， 如图 12所示， 该数据网络网元可以 包括： 接收单元 901、 发送单元 902、 检测单元 903以及生成单元 904。 该数据网络 网元可以是图 1所示 DN中的网元。
其中， 接收单元 901 , 用于支持数据网络网元执行图 4所示的会话处理方法中的 步骤 103。
发送单元 902 , 用于支持数据网络网元执行图 4 所示的会话处理方法中的步骤 104 , 以及步骤 107 中 "利用所述生成单元生成的所述会话处理请求指示所述 SMF处理所述 UE的会话 " 的步骤
检测单元 903 , 用于支持数据网络网元执行图 4 所示的会话处理方法中的步骤
106。
生成单元 904 , 用于支持数据网络网元执行图 4 所示的会话处理方法中的步骤 107中 "生成会话处理请求" 的步骤。
需要说明的是， 上述方法实施例涉及的各步骤的所有相关内容均可以援引到对 应功能模块的功能描述， 在此不再赘述。
本申请实施例提供的数据网络网元， 用于执行上述发现信号的传输方法， 因此 可以达到与上述发现信号的传输方法相同的效果。
在釆用集成的单元的情况下， 图 13示出了上述实施例中所涉及的数据网络网元 的另一种可能的组成示意图。 如图 13 所示， 该数据网络网元包括： 处理模块 1001 和通信模块 1002。
处理模块 1001用于对数据网络网元的动作进行控制管理， 例如， 处理模块 1001 用于支持 SMF执行图 4 中的步骤 106、 107、 和 /或用于本文所描述的技术的其它过 程。。 通信模块 1002用于支持数据网络网元与其他网络实体的通信， 例如与 1 中示 出的 UPF之间的通信。 如图 13所示， 数据网络网元还可以包括存储模块 1003 , 用 于存储数据网络网元的程序代码和数据。
其中， 处理模块 1001可以是处理器或控制器。 其可以实现或执行结合本申请公 开内容所描述的各种示例性的逻辑方框， 模块和电路。 处理器也可以是实现计算功 能的组合， 例如包含一个或多个微处理器组合， DSP 和微处理器的组合等等。 通信 模块 1002可以是收发器、 收发电路或通信接口等。 存储模块 1003可以是存储器。
当处理模块 1001为处理器，通信模块 502为收发器，存储模块 503为存储器时， 本申请实施例所涉及的数据网络网元可以为图 3所示的数据网络网元。
通过以上的实施方式的描述， 所属领域的技术人员可以清楚地了解到， 为描述 的方便和筒洁， 仅以上述各功能模块的划分进行举例说明， 实际应用中， 可以根据 需要而将上述功能分配由不同的功能模块完成， 即将装置的内部结构划分成不同的 功能模块， 以完成以上描述的全部或者部分功能。 上述描述的系统， 装置和单元的 具体工作过程， 可以参考前述方法实施例中的对应过程， 在此不再赘述。
在本申请所提供的几个实施例中， 应该理解到， 所揭露的系统， 装置和方法， 可以通过其它的方式实现。 例如， 以上所描述的装置实施例仅仅是示意性的， 例如， 所述模块或单元的划分， 仅仅为一种逻辑功能划分， 实际实现时可以有另外的划分 方式， 例如多个单元或组件可以结合或者可以集成到另一个系统， 或一些特征可以 忽略， 或不执行。 另一点， 所显示或讨论的相互之间的耦合或直接耦合或通信连接 可以是通过一些接口， 装置或单元的间接耦合或通信连接， 可以是电性， 机械或其 它的形式。
所述作为分离部件说明的单元可以是或者也可以不是物理上分开的， 作为单元 显示的部件可以是或者也可以不是物理单元， 即可以位于一个地方， 或者也可以分 布到多个网络单元上。 可以根据实际的需要选择其中的部分或者全部单元来实现本 实施例方案的目的。
另外， 在本申请各个实施例中的各功能单元可以集成在一个处理单元中， 也可 以是各个单元单独物理存在， 也可以两个或两个以上单元集成在一个单元中。 上述 集成的单元既可以釆用硬件的形式实现， 也可以釆用软件功能单元的形式实现。
所述集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用 时， 可以存储在一个计算机可读取存储介质中。 基于这样的理解， 本申请的技术方 案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软 件产品的形式体现出来， 该计算机软件产品存储在一个存储介质中， 包括若千指令 用以使得一台计算机设备 （可以是个人计算机， 服务器， 或者网络设备等） 或处理 器执行 本申请各个实施例所述方法的全部或部分步骤。 而前述的存储介质包括： 快 闪存储器、 移动硬盘、 只读存储器、 随机存取存储器、 磁碟或者光盘等各种可以存 储程序代码的介质。
以上所述， 仅为本申请的具体实施方式， 但本申请的保护范围并不局限于此， 任何在本申请揭露的技术范围内的变化或替换， 都应涵盖在本申请的保护范围之内。 因此， 本申请的保护范围应以所述权利要求的保护范围为准。

Claims

权 利 要 求 书
1、 一种会话处理方法， 其特征在于， 包括：
会话管理功能网元 SMF接收来自用户设备 UE的会话建立请求，确定所述 UE的会话将使用的会话地址；
所述 SMF 向数据网络网元发送数据网络访问请求； 所述数据网络访问请 求包括所述会话地址以及所述 UE的标识；
所述 SMF 接收所述数据网络网元发送的响应消息， 所述响应消息指示允 许所述 UE访问数据网络；
所述 SMF建立所述 UE的会话。
2、 根据权利要求 1所述的方法， 其特征在于， 所述 SMF建立所述 UE的 会话之后， 所述方法还包括：
所述 SMF 接收由所述数据网络网元触发的会话处理请求， 根据所述会话 处理请求处理所述 UE的会话。
3、 根据权利要求 1所述的方法， 其特征在于， 所述确定 UE的会话将使用 的会话地址具体包括：
所述 SMF解析所述会话建立请求，获得所述会话建立请求中的所述 UE的 以太网地址作为所述会话地址； 或，
所述 SMF为所述 UE分配 IP地址作为所述会话地址； 或，
所述 SMF为所述 UE分配 IP前缀作为所述会话地址； 或，
所述 SMF为用户面功能网元 UPF分配隧道 IP地址作为所述会话地址；或， 所述 SMF为 UPF分配隧道 IP前缀作为所述会话地址。
4、 根据权利要求 1 -3 任一项所述的方法， 其特征在于， 所述数据网络访 问请求为认证请求， 所述响应消息为认证响应消息， 所述认证响应消息携带认 证成功标识。
5、 根据权利要求 1 -3 任一项所述的方法， 其特征在于， 所述数据网络访 问请求为认证请求， 所述响应消息为认证响应消息； 所述认证请求携带授权请 求标识， 所述认证响应消息携带认证成功标识以及授权成功标识。
6、 根据权利要求 1 -3 任一项所述的方法， 其特征在于， 所述数据网络访 问请求为授权请求， 所述响应消息为授权响应消息； 所述授权响应消息携带授 权成功标识。
7、 根据权利要求 2-6任一项所述的方法， 其特征在于， 所述 SMF接收由 所述数据网络网元触发的会话处理请求具体包括：
接收所述数据网络网元发送的第一会话处理请求；
或， 接收策略控制功能网元发送的第三会话处理请求， 所述第三会话处理 请求是所述策略控制功能网元接收所述数据网络网元发送的第二会话处理请 求后向所述 SMF发送的。
8、 根据权利要求 2-7 任一项所述的方法， 其特征在于， 所述根据所述会 话处理请求处理所述 UE的会话包括：
删除所述 UE的会话或修改所述 UE的会话。
9、 一种会话处理方法， 其特征在于， 包括：
数据网络网元接收会话管理功能网元 SMF 发送的数据网络访问请求； 所 述数据网络访问请求包括用户设备 UE的标识以及所述 UE将使用的会话地址； 所述数据网络网元向所述 SMF 发送响应消息， 所述响应消息指示允许所 述 UE访问数据网络， 以便所述 SMF建立所述 UE的会话；
所述数据网络网元根据所述会话地址或所述 UE的标识检测到需要处理所 述 UE的会话， 生成会话处理请求， 利用所述会话处理请求指示所述 SMF处理 所述 UE的会话。
10、 根据权利要求 9所述的方法， 其特征在于， 所述数据网络访问请求为 认证请求， 所述响应消息为认证响应消息， 所述认证响应消息携带认证成功标 识。
1 1、 根据权利要求 9所述的方法， 其特征在于， 所述数据网络访问请求为 认证请求， 所述响应消息为认证响应消息； 所述认证请求携带授权请求标识， 所述认证响应消息携带认证成功标识以及授权成功标识。
12、 根据权利要求 9所述的方法， 其特征在于， 所述数据网络访问请求为 授权请求， 所述响应消息为授权响应消息； 所述授权响应消息携带授权成功标 识。
13、 根据权利要求 9- 12 任一项所述的方法， 其特征在于， 所述数据网络 网元根据所述会话地址或所述 UE 的标识检测到需要处理所述 UE 的会话具体 包括：
监测到所述 UE为异常接入状态， 则确定需要处理所述 UE 的标识对应的 会话； 所述异常接入状态至少包括： 所述 UE为非法 UE、 所述 UE的签约情况 发生变化以及所述 UE的信任度发生变化中的任意一种；
或， 监测到所述会话地址对应的流量发生变化， 则确定需要处理所述会话 地址对应的会话。
14、 根据权利要求 9- 12 任一项所述的方法， 其特征在于， 所述数据网络 网元检测到需要处理所述 UE的会话之前， 所述方法还包括：
通过所述 UE的会话接收所述 UE发送的认证请求， 对所述 UE进行认证。
15、 根据权利要求 14 所述的方法， 其特征在于， 所述数据网络网元根据 所述 UE的标识检测到需要处理所述 UE的会话具体包括：
若对所述 UE 进行认证的认证结果为认证成功， 则确定需要修改所述 UE 的标识对应的会话， 提高所述 UE 利用所述 UE 的会话进行数据传输时的最大 传输速率和 /或使得所述 UE可以利用所述 UE的会话访问除所述数据网络网元 外的其他网元。
16、 根据权利要求 14 所述的方法， 其特征在于， 所述数据网络网元根据 所述 UE的标识检测到需要处理所述 UE的会话具体包括：
若对所述 UE 进行认证的认证结果为认证失败， 则确定需要删除所述 UE 的标识对应的会话。
17、 根据权利要求 9- 12 任一项所述的方法， 其特征在于， 所述数据网络 网元根据所述 UE的标识检测到需要处理所述 UE的会话具体包括： 所述数据网络网元在接收所述数据网络访问请求之后的第一时间窗内未 接收到所述 UE通过所述 UE的会话发送的数据包，则确定需要删除所述 UE的 标识对应的会话；
或， 所述数据网络网元在向所述 SMF 发送所述响应消息之后的第二时间 窗内未接收到所述 UE通过所述 UE 的会话发送的数据包， 则确定需要删除所 述 UE的标识对应的会话。
18、 根据权利要求 9- 17 任一项所述的方法， 其特征在于， 所述数据网络 网元生成会话处理请求， 利用所述会话处理请求指示所述 SMF处理所述 UE的 会话具体包括：
向所述 SMF发送第一会话处理请求指示所述 SMF处理所述 UE的会话。
19、 根据权利要求 9- 17 任一项所述的方法， 其特征在于， 所述数据网络 网元生成会话处理请求， 利用所述会话处理请求指示所述 SMF处理所述 UE的 会话具体包括：
向策略控制功能网元 PCF 发送第二会话处理请求指示所述 PCF 向所述 SMF发送第二会话处理请求以触发所述 SMF处理所述 UE的会话。
20、 根据权利要求 19 所述的方法， 其特征在于， 所述第二会话处理请求 携带所述会话地址。
21、 根据权利要求 19所述的方法， 其特征在于， 所述数据网络网元向 PCF 发送第二会话处理请求之前， 所述方法还包括：
所述数据网络网元向所述 PCF发送所述会话地址。
22、 一种会话管理功能网元 SMF , 其特征在于， 包括：
接收单元， 用于接收来自用户设备 UE的会话建立请求；
确定单元， 用于确定所述 UE的会话将使用的会话地址；
发送单元， 用于向数据网络网元发送数据网络访问请求； 所述数据网络访 问请求包括所述会话地址以及所述 UE的标识；
所述接收单元还用于， 接收所述数据网络网元发送的响应消息， 所述响应 消息指示允许所述 UE访问数据网络；
建立单元， 用于建立所述 UE的会话。
23、 根据权利要求 22所述的 SMF , 其特征在于， 还包括处理单元， 所述接收单元还用于， 在所述建立单元建立所述 UE的会话之后， 接收由 所述数据网络网元触发的会话处理请求；
所述处理单元用于， 根据所述会话处理请求处理所述 UE的会话。
24、 根据权利要求 22所述的 SMF , 其特征在于，
所述确定单元具体用于， 解析所述会话建立请求， 获得所述会话建立请求 中的所述 UE的以太网地址作为所述会话地址； 或，
为所述 UE分配 IP地址作为所述会话地址； 或，
为所述 UE分配 IP前缀作为所述会话地址； 或，
为用户面功能网元 UPF分配隧道 IP地址作为所述会话地址； 或， 为 UPF分配隧道 IP前缀作为所述会话地址。
25、 根据权利要求 22-24任一项所述的 SMF , 其特征在于， 所述数据网络 访问请求为认证请求， 所述响应消息为认证响应消息， 所述认证响应消息携带 认证成功标识。
26、 根据权利要求 22-24任一项所述的 SMF , 其特征在于， 所述数据网络 访问请求为认证请求， 所述响应消息为认证响应消息； 所述认证请求携带授权 请求标识， 所述认证响应消息携带认证成功标识以及授权成功标识。
27、 根据权利要求 22-24任一项所述的 SMF , 其特征在于， 所述数据网络 访问请求为授权请求， 所述响应消息为授权响应消息； 所述授权响应消息携带 4受权成功标识。
28、 根据权利要求 23-27任一项所述的 SMF , 其特征在于， 所述接收单元 具体用于， 接收所述数据网络网元发送的第一会话处理请求；
或， 接收策略控制功能网元发送的第三会话处理请求， 所述第三会话处理 请求是所述策略控制功能网元接收所述数据网络网元发送的第二会话处理请 求后向所述 SMF发送的。
29、 根据权利要求 23-28任一项所述的 SMF , 其特征在于， 所述处理单元 具体用于， 删除所述 UE的会话或修改所述 UE的会话。
30、 一种数据网络网元， 其特征在于， 包括：
接收单元， 用于接收会话管理功能网元 SMF 发送的数据网络访问请求； 所述数据网络访问请求包括用户设备 UE 的标识以及所述 UE将使用的会话地 址；
发送单元， 用于向所述 SMF 发送响应消息， 所述响应消息指示允许所述 UE访问数据网络， 以便所述 SMF建立所述 UE的会话；
检测单元， 用于根据所述会话地址或所述 UE的标识检测到需要处理所述 UE的会话；
生成单元， 用于当所述检测单元检测到需要处理所述 UE的会话， 则生成 会话处理请求；
所述发送单元， 还用于利用所述生成单元生成的所述会话处理请求指示所 述 SMF处理所述 UE的会话。
3 1、 根据权利要求 30 所述的数据网络网元， 其特征在于， 所述数据网络 访问请求为认证请求， 所述响应消息为认证响应消息， 所述认证响应消息携带 认证成功标识。
32、 根据权利要求 30 所述的数据网络网元， 其特征在于， 所述数据网络 访问请求为认证请求， 所述响应消息为认证响应消息； 所述认证请求携带授权 请求标识， 所述认证响应消息携带认证成功标识以及授权成功标识。
33、 根据权利要求 30 所述的数据网络网元， 其特征在于， 所述数据网络 访问请求为授权请求， 所述响应消息为授权响应消息； 所述授权响应消息携带 4受权成功标识。
34、 根据权利要求 30-33任一项所述的数据网络网元， 其特征在于， 所述 检测单元具体用于， 监测到所述 UE为异常接入状态， 则确定需要处理所述 UE 的标识对应的会话； 所述异常接入状态至少包括： 所述 UE 为非法 UE、 所述 UE的签约情况发生变化以及所述 UE的信任度发生变化中的任意一种；
或， 监测到所述会话地址对应的流量发生变化， 则确定需要处理所述会话 地址对应的会话。
35、 根据权利要求 30-33任一项所述的数据网络网元， 其特征在于， 所述 接收单元还用于， 在所述检测单元检测到需要处理所述 UE 的会话之前， 通过 所述 UE的会话接收所述 UE发送的认证请求， 对所述 UE进行认证。
36、 根据权利要求 35 所述的数据网络网元， 其特征在于， 所述检测单元 具体用于， 若对所述 UE进行认证的认证结果为认证成功， 则确定需要修改所 述 UE的标识对应的会话，提高所述 UE利用所述 UE的会话进行数据传输时的 最大传输速率和 /或使得所述 UE可以利用所述 UE的会话访问除所述数据网络 网元夕卜的其他网元。
37、 根据权利要求 35 所述的数据网络网元， 其特征在于， 所述检测单元 具体用于， 若对所述 UE进行认证的认证结果为认证失败， 则确定需要删除所 述 UE的标识对应的会话。
38、 根据权利要求 30-33任一项所述的数据网络网元， 其特征在于， 所述 检测单元具体用于， 在接收所述数据网络访问请求之后的第一时间窗内所述接 收单元未接收到所述 UE通过所述 UE 的会话发送的数据包， 则确定需要删除 所述 UE的标识对应的会话；
或， 在向所述 SMF 发送所述响应消息之后的第二时间窗内所述接收单元 未接收到所述 UE通过所述 UE的会话发送的数据包， 则确定需要删除所述 UE 的标识对应的会话。
39、 根据权利要求 30-38任一项所述的数据网络网元， 其特征在于， 所述 发送单元具体用于， 向所述 SMF发送第一会话处理请求指示所述 SMF处理所 述 UE的会话
40、 根据权利要求 30-38任一项所述的数据网络网元， 其特征在于， 所述 发送单元具体用于， 向策略控制功能网元 PCF发送第二会话处理请求指示所述 PCF向所述 SMF发送第二会话处理请求以触发所述 SMF处理所述 UE的会话。
41、 根据权利要求 40 所述的数据网络网元， 其特征在于， 所述第二会话 处理请求携带所述会话地址。
42、 根据权利要求 40 所述的数据网络网元， 其特征在于， 所述发送单元 还用于， 在向 PCF发送第二会话处理请求之前， 向所述 PCF发送所述会话地 址。
PCT/SG2017/050367 2017-07-20 2017-07-20 一种会话处理方法及设备 WO2019017836A1 (zh)

Priority Applications (7)

Application Number Priority Date Filing Date Title
BR112020001139-8A BR112020001139A2 (pt) 2017-07-20 2017-07-20 Método de processamento de sessão, elemento de rede de função de gerenciamento de sessão smf, elemento de rede da rede de dados e elemento de rede degerenciamento de sessão
CN201780082837.7A CN110199513B (zh) 2017-07-20 2017-07-20 一种会话处理方法及设备
PCT/SG2017/050367 WO2019017836A1 (zh) 2017-07-20 2017-07-20 一种会话处理方法及设备
EP23188049.3A EP4325988A1 (en) 2017-07-20 2017-07-20 Session processing method and device
JP2020502608A JP6926317B2 (ja) 2017-07-20 2017-07-20 セッション処理方法およびデバイス
EP17918431.2A EP3565371A4 (en) 2017-07-20 2017-07-20 SESSION PROCESSING METHOD AND DEVICE
US16/659,334 US11425202B2 (en) 2017-07-20 2019-10-21 Session processing method and device

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/SG2017/050367 WO2019017836A1 (zh) 2017-07-20 2017-07-20 一种会话处理方法及设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US16/659,334 Continuation US11425202B2 (en) 2017-07-20 2019-10-21 Session processing method and device

Publications (1)

Publication Number Publication Date
WO2019017836A1 true WO2019017836A1 (zh) 2019-01-24

Family

ID=65015280

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/SG2017/050367 WO2019017836A1 (zh) 2017-07-20 2017-07-20 一种会话处理方法及设备

Country Status (6)

Country Link
US (1) US11425202B2 (zh)
EP (2) EP4325988A1 (zh)
JP (1) JP6926317B2 (zh)
CN (1) CN110199513B (zh)
BR (1) BR112020001139A2 (zh)
WO (1) WO2019017836A1 (zh)

Cited By (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111836319A (zh) * 2019-08-23 2020-10-27 维沃移动通信有限公司 域名地址获取的方法和设备
CN113115468A (zh) * 2021-02-26 2021-07-13 深圳艾灵网络有限公司 5g本地网络的控制方法及装置、服务器、系统和存储介质
CN114040514A (zh) * 2021-12-08 2022-02-11 中国联合网络通信集团有限公司 一种通信方法及设备
JP2022530238A (ja) * 2019-04-29 2022-06-28 テレフオンアクチーボラゲット エルエム エリクソン（パブル） ユーザプレーン完全性保護
CN115150829A (zh) * 2022-09-02 2022-10-04 北京首信科技股份有限公司 一种网络访问权限管理方法及装置
EP4044637A4 (en) * 2019-10-29 2022-12-07 China Mobile Communication Co., Ltd. Research Institute METHOD AND APPARATUS FOR ASSIGNING USER DEVICE IDENTIFIERS AND COMPUTER READABLE STORAGE MEDIA
WO2023016397A1 (zh) * 2021-08-10 2023-02-16 维沃移动通信有限公司 计算会话释放方法、设备及可读存储介质
WO2023174150A1 (zh) * 2022-03-17 2023-09-21 华为技术有限公司 一种接入控制方法及装置
WO2024017181A1 (zh) * 2022-07-22 2024-01-25 维沃移动通信有限公司 设备授权方法、装置及网络侧设备

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111211912B (zh) * 2018-04-28 2020-11-10 华为技术有限公司 计费的方法和装置
CN112640370B (zh) * 2018-08-13 2023-05-09 交互数字专利控股公司 用于多播分组的层2转发的方法和装置
CN113079505B (zh) * 2019-12-18 2023-03-21 中移雄安信息通信科技有限公司 用户认证方法、核心网侧设备及计算机可读存储介质
CN113382375B (zh) * 2020-03-09 2022-10-25 华为技术有限公司 通信方法、装置及系统
US20230224272A1 (en) * 2020-05-13 2023-07-13 Telefonaktiebolaget Lm Ericsson (Publ) Reuse of ip addresses
CN111970333A (zh) * 2020-07-29 2020-11-20 深圳市钱海网络技术有限公司 一种基于同一客户端实现两个会话共存的方法及装置
CN112153641B (zh) * 2020-09-09 2022-09-13 上海微波技术研究所（中国电子科技集团公司第五十研究所） 基于边缘upf的二次认证增强与端到端加密方法及系统
CN112671647B (zh) * 2020-11-26 2022-07-12 新华三技术有限公司 一种建立路径检测会话的方法以及设备
CN113114650B (zh) * 2021-04-02 2024-04-23 腾讯科技（深圳）有限公司 网络攻击的解决方法、装置、设备及介质
WO2023152844A1 (ja) * 2022-02-09 2023-08-17 日本電信電話株式会社 移動網制御装置、外部ネットワーク制御装置、移動網制御方法、外部ネットワーク制御方法、移動網制御プログラム及び外部ネットワーク制御プログラム
CN114980066B (zh) * 2022-05-11 2024-03-01 维沃移动通信有限公司 语音通话方法、装置及电子设备
CN115842697B (zh) * 2023-02-01 2023-05-23 阿里巴巴（中国）有限公司 专网的访问控制方法、虚拟现实设备的控制方法及设备

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106302638A (zh) * 2016-07-27 2017-01-04 华为技术有限公司 一种数据管理方法、转发设备及系统

Family Cites Families (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6154465A (en) 1998-10-06 2000-11-28 Vertical Networks, Inc. Systems and methods for multiple mode voice and data communications using intelligenty bridged TDM and packet buses and methods for performing telephony and data functions using the same
US20090059818A1 (en) 1998-04-03 2009-03-05 Pickett Scott K Systems and methods for providing configurable caller id iformation
US7415026B2 (en) 2002-02-04 2008-08-19 Qualcomm Incorporated Method and apparatus for session release in a communication system
CN1232079C (zh) 2002-09-30 2005-12-14 华为技术有限公司 无线局域网与移动通信系统互通时的用户主动下线处理方法
JP3987539B2 (ja) 2005-02-02 2007-10-10 株式会社エヌ・ティ・ティ・ドコモ セッション情報管理方法およびセッション情報管理装置
CN101202710A (zh) * 2006-12-11 2008-06-18 华为技术有限公司 消息发送报告处理方法、系统及用于消息互通实体、终端
CN102883376B (zh) * 2011-07-11 2015-09-30 华为终端有限公司 一种集中控制业务用户建立优先级会话的方法、服务器及系统
WO2014173252A1 (zh) 2013-07-26 2014-10-30 中兴通讯股份有限公司 会话管理方法、应用功能实体、策略服务器和协议转换器
EP3180944B1 (en) * 2014-08-11 2018-10-24 Telefonaktiebolaget LM Ericsson (publ) Access controlling of abnormal terminal devices
US9882894B2 (en) * 2015-12-15 2018-01-30 Verizon Patent And Licensing Inc. Secure authentication service
CN108702723B (zh) * 2016-11-27 2021-10-08 Lg 电子株式会社 无线通信系统中的注销方法及其装置
CN110235423B (zh) * 2017-01-27 2022-10-21 瑞典爱立信有限公司 对用户设备的辅认证
US10841084B2 (en) * 2017-02-03 2020-11-17 Qualcomm Incorporated Session management authorization token
US10448239B2 (en) * 2017-02-06 2019-10-15 Qualcomm Incorporated Mechanism to enable optimized user plane anchoring for minimization of user plane relocation due to user equipment mobility

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106302638A (zh) * 2016-07-27 2017-01-04 华为技术有限公司 一种数据管理方法、转发设备及系统

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
ANONYMUS: "procedures for the 5G system; stage 2 (resease 15)", 3GPP TS 23.502 V0.5.0, 14 July 2017 (2017-07-14), XP055570882, Retrieved from the Internet <URL:http://www.3gpp.org/ftp//Specs/archive/23_series/23.502/> *
HUAWEI; HISILICON: "TS 23.501: Align PDU session establishment with AF influence on traffic routing and update to DN authorization of PDU session establishment", 3GPP DRAFT, no. S2-174435, 25 June 2017 (2017-06-25), XP051303286 *
QUALCOMM INCORPORATED: "TS 23.501: Completion of PDU session establishment authentication and alignment to SA3", 3GPP DRAFT, no. S2-175042, 29 June 2017 (2017-06-29), XP051303740 *
QUALCOMM INCORPORATED: "TS 23.501: Completion of PDU session establishment authentication and alignment to SA3", TS 23.501, no. S2-173113, 19 May 2017 (2017-05-19), XP051281619 *
SAMSUNG; NEC; ETRI: "23.502: CN-initiated PDU Session Deactivation", 3GPP DRAFT, no. S2-174821, 3 July 2017 (2017-07-03), XP051309880 *
See also references of EP3565371A4 *

Cited By (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2022530238A (ja) * 2019-04-29 2022-06-28 テレフオンアクチーボラゲット エルエム エリクソン（パブル） ユーザプレーン完全性保護
CN111836319A (zh) * 2019-08-23 2020-10-27 维沃移动通信有限公司 域名地址获取的方法和设备
CN111836319B (zh) * 2019-08-23 2023-04-07 维沃移动通信有限公司 域名地址获取的方法和设备
EP4044637A4 (en) * 2019-10-29 2022-12-07 China Mobile Communication Co., Ltd. Research Institute METHOD AND APPARATUS FOR ASSIGNING USER DEVICE IDENTIFIERS AND COMPUTER READABLE STORAGE MEDIA
CN113115468A (zh) * 2021-02-26 2021-07-13 深圳艾灵网络有限公司 5g本地网络的控制方法及装置、服务器、系统和存储介质
WO2023016397A1 (zh) * 2021-08-10 2023-02-16 维沃移动通信有限公司 计算会话释放方法、设备及可读存储介质
CN114040514A (zh) * 2021-12-08 2022-02-11 中国联合网络通信集团有限公司 一种通信方法及设备
CN114040514B (zh) * 2021-12-08 2024-01-12 中国联合网络通信集团有限公司 一种通信方法及设备
WO2023174150A1 (zh) * 2022-03-17 2023-09-21 华为技术有限公司 一种接入控制方法及装置
WO2024017181A1 (zh) * 2022-07-22 2024-01-25 维沃移动通信有限公司 设备授权方法、装置及网络侧设备
CN115150829A (zh) * 2022-09-02 2022-10-04 北京首信科技股份有限公司 一种网络访问权限管理方法及装置
CN115150829B (zh) * 2022-09-02 2022-11-08 北京首信科技股份有限公司 一种网络访问权限管理方法及装置

Also Published As

Publication number Publication date
EP3565371A4 (en) 2020-03-25
BR112020001139A2 (pt) 2020-09-08
US20200053165A1 (en) 2020-02-13
JP2020527315A (ja) 2020-09-03
CN110199513A (zh) 2019-09-03
CN110199513B (zh) 2022-07-19
JP6926317B2 (ja) 2021-08-25
EP4325988A1 (en) 2024-02-21
US11425202B2 (en) 2022-08-23
EP3565371A1 (en) 2019-11-06

Similar Documents

Publication Publication Date Title
US11425202B2 (en) Session processing method and device
US9112909B2 (en) User and device authentication in broadband networks
US7809003B2 (en) Method for the routing and control of packet data traffic in a communication system
JP5069320B2 (ja) Ｕｉｃｃなしコールのサポート
JP4376711B2 (ja) アクセス管理方法及びその装置
WO2019017840A1 (zh) 网络验证方法、相关设备及系统
US20100048161A1 (en) Method, system and apparatuses thereof for realizing emergency communication service
JP2018517352A (ja) ネットワークアクセストークンを使用したダウンリンクトラフィックのための効率的なポリシー実施−制御プレーン手法
KR102390380B1 (ko) 비인증 사용자에 대한 3gpp 진화된 패킷 코어로의 wlan 액세스를 통한 긴급 서비스의 지원
US20180198786A1 (en) Associating layer 2 and layer 3 sessions for access control
JP2015537471A (ja) ホットスポットネットワークにおける未知のデバイスに対する制限付き証明書登録
WO2013056619A1 (zh) 一种身份联合的方法、IdP、SP及系统
WO2013013481A1 (zh) 接入认证方法、设备、服务器及系统
US9137661B2 (en) Authentication method and apparatus for user equipment and LIPA network entities
KR101628534B1 (ko) 가상 802.1x 기반 네트워크 접근 제어 장치 및 네트워크 접근 제어 방법
WO2014047923A1 (zh) 接入网络的方法和装置
JP2011054182A (ja) ディジタルバトンを使用するシステムおよび方法、メッセージを認証するためのファイアウォール、装置、および、コンピュータ読み取り可能な媒体
US20180343559A1 (en) Method and device for obtaining user equipment identifier, and method and device for sending user equipment identifier
US10721603B1 (en) Managing network connectivity using network activity requests
JP2006345302A (ja) ゲートウェイ装置およびプログラム
US20230336535A1 (en) Method, device, and system for authentication and authorization with edge data network
WO2021185347A1 (zh) 接入控制方法及通信设备
TWI448128B (zh) 用於雙堆疊操作互通授權的方法及裝置
CN117676576A (zh) 一种非3gpp设备的接入系统及方法

Legal Events

Date Code Title Description
ENP Entry into the national phase

Ref document number: 2017918431

Country of ref document: EP

Effective date: 20190722

ENP Entry into the national phase

Ref document number: 2020502608

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112020001139

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 112020001139

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20200117