WO2021185347A1 - 接入控制方法及通信设备 - Google Patents

接入控制方法及通信设备 Download PDF

Info

Publication number
WO2021185347A1
WO2021185347A1 PCT/CN2021/081741 CN2021081741W WO2021185347A1 WO 2021185347 A1 WO2021185347 A1 WO 2021185347A1 CN 2021081741 W CN2021081741 W CN 2021081741W WO 2021185347 A1 WO2021185347 A1 WO 2021185347A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
communication device
network
authentication server
server
Prior art date
Application number
PCT/CN2021/081741
Other languages
English (en)
French (fr)
Inventor
柯小婉
Original Assignee
维沃移动通信有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 维沃移动通信有限公司 filed Critical 维沃移动通信有限公司
Priority to KR1020227035733A priority Critical patent/KR20220154207A/ko
Priority to JP2022554249A priority patent/JP2023516782A/ja
Priority to EP21770556.5A priority patent/EP4124084A4/en
Priority to BR112022018580A priority patent/BR112022018580A2/pt
Publication of WO2021185347A1 publication Critical patent/WO2021185347A1/zh
Priority to US17/947,713 priority patent/US20230017260A1/en

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/22—Processing or transfer of terminal data, e.g. status or physical capabilities
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/04—Key management, e.g. using generic bootstrapping architecture [GBA]
    • H04W12/047—Key management, e.g. using generic bootstrapping architecture [GBA] without using a trusted network node as an anchor
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/02—Access restriction performed under specific conditions
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/08—Access restriction or access information delivery, e.g. discovery data delivery
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W48/00—Access restriction; Network selection; Access point selection
    • H04W48/16—Discovering, processing access restriction or access information
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/22—Processing or transfer of terminal data, e.g. status or physical capabilities
    • H04W8/24—Transfer of terminal data
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/10—Small scale networks; Flat hierarchical networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W60/00—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration
    • H04W60/04—Affiliation to network, e.g. registration; Terminating affiliation with the network, e.g. de-registration using triggered events

Definitions

  • the present invention relates to the field of wireless communication technology, and in particular to an access control method and communication equipment.
  • the first indication information is used to request to obtain a certificate related to the first network or to indicate that the type of access is restricted service
  • an embodiment of the present invention provides an access control method applied to a fourth communication device, including:
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the first terminal routing strategy
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server,
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the address related information of the second authentication server is the address related information of the second authentication server
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • An obtaining module configured to obtain at least one of the first information, the first indication information, and the third information
  • the obtaining module is used to obtain the second information
  • the first data channel is used for interaction between the first communication device and the first server;
  • the first data channel is used to configure a certificate related to the first network to the first communication device.
  • the first data channel is used for interaction between the first communication device and the first server;
  • the first data channel is used to configure a certificate related to the first network to the first communication device.
  • an embodiment of the present invention provides a computer-readable storage medium on which a computer program is stored, and when the computer program is executed by the processor, the steps of the access control method provided in the first aspect are implemented, or , Implement the steps of the access control method provided by the second aspect, or implement the steps of the access control method provided by the third aspect, or implement the steps of the access control method provided by the fourth aspect, or implement the fifth aspect Provide the steps of the access control method.
  • FIG. 1 is a schematic diagram of the architecture of a wireless communication system provided by an embodiment of the present invention
  • Figure 15 is a structural diagram of another communication device provided by the present invention.
  • words such as “exemplary” or “for example” are used as examples, illustrations, or illustrations. Any embodiment or design solution described as “exemplary” or “for example” in the embodiments of the present invention should not be construed as being more preferable or advantageous than other embodiments or design solutions. To be precise, words such as “exemplary” or “for example” are used to present related concepts in a specific manner.
  • the information control method and communication device provided by the embodiments of the present invention can be applied to a wireless communication system.
  • the wireless communication system may be a 5G system, or an evolved Long Term Evolution (eLTE) system, or a subsequent evolved communication system.
  • eLTE evolved Long Term Evolution
  • the access control method and communication equipment provided by the embodiments of the present invention can be applied to the network system shown in FIG. 1.
  • the network system shown in FIG. Equipment such as factory equipment, etc.
  • the terminal can access the first network, such as SNPN (non-public network).
  • SNPN can be a 5G communication network, such as 5G radio access network (NG-RAN), access and mobility management functions (Access and Mobility Management Function (AMF), Session Management Function (SMF), User Plane Function (UPF), etc.
  • NG-RAN 5G radio access network
  • AMF Access and Mobility Management Function
  • SMF Session Management Function
  • UPF User Plane Function
  • the above-mentioned manufacturer equipment may be related equipment of the terminal manufacturer (vendor, also called provider), such as: vendor server, application function (AF) and authentication, authorization and accounting (Authentication, Authorization, Accounting, AAA) )server.
  • vendor server application function
  • AF application function
  • AAA authentication, authorization and accounting
  • the above-mentioned manufacturer's equipment can authenticate the terminal, or the SNPN can authenticate the terminal through the information of the manufacturer's equipment.
  • the network system shown in FIG. 1 is only an example of the application of the access control method and communication equipment provided by the embodiment of the present invention, which is not limited in the embodiment of the present invention.
  • the above-mentioned network system also Can include:
  • Unified data management Unified Data Management
  • NEF network exposure function
  • Config server configuration server
  • the SNPN cannot verify the UE, it can only allow all UEs that request access, such as establishing a user plane PDU session to the certificate configuration server. Since there is no authentication mechanism in the SNPN, the configuration server of the certificate must be relied on to trigger the authentication of the UE. After the authentication fails, the UE connection and PDU session resources are released.
  • TAC tracking area code
  • IMEI International Mobile Equipment Identity
  • PEI Permanent Equipment Identifier
  • Scenario 3 When the terminal of the first network has only one manufacturer, there is only one authentication server of the manufacturer. When a terminal without a certificate related to the first network accesses the first network, the first network cannot distinguish whether the terminal is for access to other restricted services (such as emergency services) or for configuration related to the first network. Only the certificate is connected to the terminal of the first network. For the latter, it is necessary to authenticate the terminal through the manufacturer's authentication server. Therefore, it is necessary to solve the problem of whether to authenticate the terminal through an external authentication server.
  • restricted services such as emergency services
  • An optional method is that when the UE accesses the first network, the first indication information is sent to request to obtain a certificate related to the first network or to indicate that the type of access is restricted service. According to the first indication information, the first network can determine whether to authenticate the terminal through an external authentication server (such as an authentication server of a terminal manufacturer).
  • an external authentication server such as an authentication server of a terminal manufacturer
  • the terminal UE of the first network (such as SNPN) leaves the factory, there is no certificate related to the first network, and there is no related information of the configuration server of the certificate.
  • An optional method is that the manufacturer of the UE configures the address related information or index information of the configuration server for the UE.
  • the configuration server corresponds to the first network in meaning, and the information of the first network needs to be additionally configured
  • Another optional method is that the UE accesses the first network, and after the authentication is passed, the first network provides the UE with address related information or index information of the configuration server. Since the UE is authenticated, the UE and the first network trust each other at this time. It is not difficult to understand that the address-related information of the configuration server provided at this time is credible.
  • Question 3 After the authentication server passes the authentication of the UE, it can prove the identity of the UE instead of a fake UE. However, how to confirm whether the UE is a legitimate UE of the first network and whether it is allowed to configure a certificate related to the first network for the UE still needs to be resolved.
  • the authentication of the UE by the authentication server means that the UE is a legitimate UE of the first network. That is, the authentication server but the authentication UE is the UE and the authentication UE is the legal UE of the first network
  • Another optional method is that after the authentication server passes the authentication of the UE, the first network confirms that the UE is a legitimate UE of the first network.
  • the UE requests the configuration server to configure the certificate related to the first network, and the configuration server also needs to confirm that the UE is a legitimate UE of the first network or confirm that the UE is allowed to be configured with the certificate related to the first network before performing the operation on the UE. Certificate configuration.
  • the first network includes SNPN.
  • a credential can also be referred to as security information, including parameters that can be used for authentication and/or encryption, such as a root key.
  • the root key can be used to derive CK, IK.
  • the certificate related to the first network may include a certificate for accessing the first network.
  • the certificate used to access the first network may include a certificate that can be directly authenticated by an authentication server of the first network, or a certificate that can be indirectly authenticated. Authentication by an authentication server outside the first network can be understood as indirect authentication. It is not difficult to understand that at this time, the configuration server may configure a certificate that can be directly authenticated by the first network or a certificate that can be directly authenticated by the first network for the UE.
  • the certificate related to the first network may include at least one of the following: a certificate directly related to the first network, a certificate used to access normal services of the first network, and a certificate that can be used by the first network
  • the certificate directly authenticated by the authentication server is the certificate for accessing the unrestricted service of the first network. It is not difficult to understand that at this time, the configuration server can configure a certificate that can be directly authenticated by the first network for the UE.
  • the certificate that is not related to the first network may include at least one of the following: a certificate that is not directly related to the first network.
  • the certificate that is not directly related to the first network may include a certificate that cannot be directly authenticated by the authentication server of the first network.
  • a certificate authenticated by an authentication server outside the first network can be understood as a certificate that is not related to or directly related to the first network.
  • the second certificate may include at least one of the following:
  • the terminal When the terminal requests to configure a certificate related to the first network, the certificate used to access the first network, the certificate used to access the first network,
  • the certificate configured by the first communication device manufacturer for the first communication device
  • the restricted service includes at least one of the following: only the control plane is allowed, the user plane is not allowed, only the first server (which may include the configuration server) is allowed, and only the certificate download application is allowed.
  • a certificate related to the first network is configured for the terminal through the control plane. Therefore, it is possible to restrict terminal access to the first network and only allow the control plane.
  • a certificate related to the first network is configured for the terminal through the user plane. Therefore, it is not difficult to understand that the restricted service may only allow the terminal to access the first server. Only allowing access to the first server includes: the data channel established by the terminal on the first network is only used to access the first server.
  • the first server includes a configuration server.
  • the first server can process a request to configure a certificate related to the first network for the terminal.
  • the configuration server can configure a certificate related to the first network for the communication device.
  • the first server may be a server belonging to the first network.
  • the first server when the first server configures a request for a certificate related to the first network for the terminal, it may request the second authentication server to verify the terminal.
  • the first server is an authentication intermediate server .
  • the initial authentication includes the authentication performed by the first network on the terminal when the terminal does not have a certificate related to the first network to access the first network. It is not difficult to understand that the initial certification is an indirect certification.
  • the certificate related to the first network and the first network related certificate may be used together, representing the same meaning.
  • the manufacturer-related information may be referred to as manufacturer information or manufacturer information for short.
  • the related information of the manufacturer includes: manufacturer identification information (such as Vendor ID, or TAC).
  • the address-related information of the server may include at least one of the following: IP address, MAC address, port number, fully qualified domain name (FQDN), uniform resource locator (Uniform Resource) Locator, URL), operating system identification carefully, application identification information.
  • IP address IP address
  • MAC address IP address
  • port number IP address
  • FQDN fully qualified domain name
  • URL uniform resource locator
  • operating system identification carefully, application identification information.
  • the data channel may include but is not limited to one of the following: PDU session, PDN connection, QoS flow, bearer, Internet Protocol Security (IPsec) channel, where the bearer may be Evolved Radio Access Bearer (E-RAB), Evolved Radio Access Bearer (RAB), Data Radio Bearer (DRB), signaling radio bearers, SRB) and so on.
  • E-RAB Evolved Radio Access Bearer
  • RAB Evolved Radio Access Bearer
  • DRB Data Radio Bearer
  • SRB signaling radio bearers
  • the communication network element may include at least one of the following: a core network network element and a radio access network network element.
  • the core network element may include, but is not limited to, at least one of the following: core network equipment, core network nodes, core network functions, core network elements, and mobility management entities (Mobility Management Entity, MME), Access Management Function (AMF), Session Management Function (SMF), User Plane Function (UPF), Serving GW (SGW), PDN Gateway ( PDN Gate Way, PDN Gateway), Policy Control Function (PCF), Policy and Charging Rules Function (PCRF), GPRS Service Support Node (Serving GPRS Support Node, SGSN), Gateway GPRS Support Node (Gateway GPRS Support Node, GGSN), Unified Data Management (UDM), Unified Data Repository (UDR), Home Subscriber Server (HSS), Application Function (Application Function) , AF), Centralized network configuration (CNC).
  • MME Mobility Management Entity
  • AMF Access Management Function
  • SMF Session Management Function
  • UPF User Plane Function
  • SGW Serving GW
  • PDN Gateway PDN Gate Way, PDN
  • a radio access network (Radio Access Network, RAN) network element may include but is not limited to at least one of the following: radio access network equipment, radio access network node, radio access network function, radio access Network unit, Third Generation Partnership Project (3GPP) radio access network, non-3GPP radio access network, Centralized Unit (CU), Distributed Unit (DU), base station, Evolved base station (evolved Node B, eNB), 5G base station (gNB), radio network controller (Radio Network Controller, RNC), base station (NodeB), non-3GPP Inter Working Function (N3IWF), Access control (Access Controller, AC) node, access point (Access Point, AP) device or wireless local area network (Wireless Local Area Networks, WLAN) node, N3IWF.
  • 3GPP Third Generation Partnership Project
  • the base station can be the base station (Base Transceiver Station, BTS) in the Global System for Mobile Communications (GSM) or Code Division Multiple Access (CDMA), or it can be the Broadband Code Division Multiple Access (BTS).
  • BTS Base Transceiver Station
  • GSM Global System for Mobile Communications
  • CDMA Code Division Multiple Access
  • BTS Broadband Code Division Multiple Access
  • NodeB in Wideband Code Division Multiple Access
  • WCDMA Wideband Code Division Multiple Access
  • gNB 5G base station
  • the method and communication device provided by the embodiment of the present invention can be applied to a wireless communication system.
  • the wireless communication system may be a fifth-generation mobile communication (Fifth-generation, 5G) system, or an evolved packet system (Evolved Packet System, EPS), or a subsequent evolved communication system.
  • the wireless communication network in the embodiment of the present invention may be a fifth-generation mobile communication network (Fifth-generation system, 5GS) or an LTE network.
  • an embodiment of the present invention provides an access control method, which is applied to a first communication device.
  • the first communication device includes but is not limited to one of the following: a terminal (UE), a first server, and a CN network element (such as AMF, Security Anchor Function (SEAF)), and the method includes:
  • Step 201 Send first information and/or first indication information to a first target end, where the first information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • the first target terminal may include: a communication device of a first network, for example, an AMF in the first network, and the first network may be SNPN.
  • the second certificate may include at least one of the following:
  • the terminal When the terminal requests to configure a certificate related to the first network, the certificate used to access the first network, the certificate used to access the first network,
  • the certificate configured by the first communication device manufacturer for the first communication device
  • a certificate that can be authenticated by the second authentication server is a certificate that can be authenticated by the second authentication server.
  • the second authentication server includes at least one of the following: an authentication server outside the first network, an authentication server of a service provider, an authentication server of a manufacturer of the first communication device, with a second certificate or capable of authentication The authentication server for the second certificate.
  • the service provider may be outside the first network.
  • the related information of the manufacturer includes: manufacturer identification information (such as Vendor ID, or TAC).
  • manufacturer identification information such as Vendor ID, or TAC.
  • the index information of the second authentication server may include at least one of the following: address-related information (such as IP, FQDN, or URL) of the second authentication server, and identification information of the terminal manufacturer to which the second authentication server belongs .
  • address-related information such as IP, FQDN, or URL
  • the first indication information used to request to obtain a certificate related to the first network may be a request to obtain a certificate related to the first network through the first indication information.
  • the certificate related to the first network may include at least one of the following: a certificate directly related to the first network, a certificate used to access normal services of the first network, and a certificate that can be used by the first network
  • the certificate directly authenticated by the authentication server is the certificate for accessing the unrestricted service of the first network. It is not difficult to understand that at this time, the first server may configure a certificate that can be directly authenticated by the first network for the UE.
  • the foregoing first information and/or first instruction information can be sent to the first target terminal through the foregoing, so that the first target terminal can execute the first information and/or first instruction information according to the first information and/or first instruction information.
  • One operation is specifically described in the embodiment of FIG. 3.
  • the first server is a server capable of configuring a certificate related to the first network for the first communication device.
  • the first condition includes at least one of the following:
  • the first communication device does not have a certificate related to the first network
  • the first communication device requests to access the first network
  • the first communication device requests access to the restricted service of the first network
  • the first communication device requests to obtain a certificate related to the first network
  • At least one item of the first information is acquired
  • the identity request sent by the first target is acquired, and the type of the identity request is the manufacturer-related type of the first communication device;
  • the first network supporting and/or requiring authentication of the first communication device may include at least one of the following:
  • the first communication device supported and/or required by the first network is authenticated between the first network and the second authentication server,
  • the first network supports and/or requires authentication of the first communication device based on the second certificate.
  • the first communication device may be a terminal that does not have a certificate related to the first network. It is not difficult to understand that when the terminal is connected to the first network before configuring the certificate related to the first network, the first network may require the terminal to be based on the second certificate (such as the certificate configured by the terminal manufacturer for the terminal for more security considerations). ) For authentication. Under this requirement, the terminal can provide relevant index information of the second authentication server to the first network to support authentication.
  • the acquired information that the first network supports and/or requires authentication of the first communication device may include at least one of the following:
  • the first network may require the terminal to be authenticated based on the second certificate for more security considerations. Under this requirement, the terminal can provide relevant index information of the second authentication server to the first network to support authentication.
  • the first communication device is pre-configured with the first information. It is not difficult to understand that when the first communication device leaves the factory, its manufacturer pre-configures the first information on the first communication device.
  • the certificate related to the first network is as described above, and will not be repeated here.
  • the first network may broadcast at least one of the following in the cell:
  • the first network supports the configuration of the certificate information related to the first network to the first communication device.
  • the information that the first network supports and/or requires authentication of the first communication device includes information that the first network supports and/or requires initial authentication.
  • the supported and/or required initial authentication includes: when the first communication device does not have a certificate related to the first network, the step of accessing the first network or the first communication device requesting to configure a certificate related to the first network Currently, authentication of the first communication device is still supported and/or required.
  • the initial authentication may be performed by the first authentication server and the first communication device through the first network.
  • the first network can still authenticate the first communication device through the first authentication server.
  • the first device only requests the index information of the second authentication server from the first network when the first network indicates that the initial authentication is required by the cell broadcast.
  • First request information and the first request information is used to request manufacturer information of the first communication device,
  • Second request information and the second request information is used to request index information of the second authentication server
  • Third request information, and the third request information is used to request address related information of the second authentication server.
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • the first indication information may be embodied as a reason for access (such as a reason for radio resource control (Radio Resource Control, RRC), or a non-access stratum (NAS) layer). Access reason), access request or access type.
  • RRC Radio Resource Control
  • NAS non-access stratum
  • the method before the step of sending the first information, the method further includes:
  • At least one of the following information sent by the first target terminal is received:
  • the first network supports the configuration of certificate information related to the first network to the first communication device.
  • the first target sends request information for the first information after receiving the first communication device access request and/or the first instruction.
  • the authentication information for the first communication device may be related information of the terminal manufacturer, index information of the second authentication server, and address information of the second authentication server.
  • the method further includes:
  • the second information is specifically as described in the embodiment of FIG. 5 for the second information.
  • the default slice information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the related information used for the establishment of the first data channel includes at least one of the following:
  • Data network name Data Network Name, DNN
  • slice information such as NSSAI
  • session and service continuity mode Session and Service Continuity Mode, SSC Mode
  • SSC Mode Session and Service Continuity Mode
  • data channel type such as PDU session type
  • the first data channel is a data channel in the first network and is used for downloading and the first network certificate data channel.
  • the first communication device may establish the first data channel.
  • Step 301 Obtain at least one of the first information, the first indication information, the legal device list, and the third information.
  • Step 302 Perform a first operation according to at least one of the first information, the first indication information, the legal device list, and the third information;
  • the first information includes at least one of the following: index information of the second authentication server, related information of the manufacturer of the first communication device, and address related information of the second authentication server;
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the third information provides relevant information of a legitimate second authentication server. It is not difficult to understand that the "address related information of the second authentication server" in the third information can be compared with the "address related information of the second authentication server" in the first information to confirm that " The address-related information of the second authentication server is "legal.”
  • At least one of the first information, the first indication information, and the third information may include: any one of the first information, the first indication information, and the third information, or the first information, A combination of any items in the first indication information and the third information.
  • the above-mentioned first information may refer to the first information in the embodiment shown in FIG. 2 and the above-mentioned first indication information may refer to the first indication information in the embodiment shown in FIG. 2, which will not be repeated here. .
  • the first information and/or the first indication information are acquired through an access request (such as a registration request message, or an attachment request message, etc.).
  • an access request such as a registration request message, or an attachment request message, etc.
  • the first server is a server capable of configuring a certificate related to the first network for the first communication device.
  • the determining the second authentication server includes determining the address related information of the second authentication server.
  • the step of determining the second authentication server may include, but is not limited to, at least one of the following: 1) According to the “index information of the second authentication server” in the first information and “the index information of the second authentication server” in the third information.
  • the mapping information between the index information of the second authentication server and the address-related information of the second authentication server" can determine the second authentication server. It is not difficult to understand that the determining the second authentication server may include selecting a second authentication server for the terminal that meets the index information of the second authentication server.
  • the second authentication server can be determined. It is not difficult to understand that the determining the second authentication server may include selecting a second authentication server for the terminal that meets the "address related information of the second authentication server" in the first information. By comparing the "address related information of the second authentication server” in the first message with the third message, it can be confirmed that the "address related information of the second authentication server" in the first message is legitimate. Information about the address of the authentication server.
  • the second authentication server According to the "address related information of the second authentication server" in the first indication information and/or the third information, the second authentication server can be determined. It is not difficult to understand that the determining the second authentication server may include: according to the first indication information, selecting a second authentication server corresponding to the "address related information of the second authentication server" in the third information.
  • the step of determining to request authentication of the first communication device from the second authentication server may include but is not limited to at least one of the following:
  • the "address related information of the second authentication server" in the first indication information and/or the third information it may be determined to request the second authentication server to authenticate the first communication device.
  • the first network can confirm whether the first communication device is a counterfeit device.
  • the second authentication server passes the authentication of the first communication device, it may further confirm whether the first communication device is a legal device of the first network and/or whether it is allowed to configure a certificate related to the first network according to the list of legal devices.
  • the first network can confirm whether the first communication device is a counterfeit device and whether it is a legitimate device of the first network.
  • the legal device may include a device (such as a terminal) that allows the configuration of a certificate related to the first network.
  • the legal device may include a device (the device such as a terminal) that does not have a certificate related to the first network and is allowed to configure a certificate related to the first network.
  • the list of legal terminals may be configured in a user management server (such as UDM, HSS, or UDR) of the first network.
  • the list of legal devices can be obtained from the user management server.
  • the legal device list includes at least one of the following: legal communication devices of the first network that have not yet been configured with a certificate related to the first network, and communication devices that are allowed to configure a certificate related to the first network.
  • the legal device list is a legal terminal list.
  • the list of legal terminals can be a group of terminal information.
  • the terminal information may include an identification of the terminal, such as IMEI, PEI, GPSI, MAC address or SUPI (in this case, SUPI is SUPI of a non-first network).
  • the first network can confirm that the terminal is a terminal (that is, a non-counterfeiting terminal), and through the list of legal terminals, the first network can confirm whether the terminal is a legal terminal. Whether it is allowed to configure the certificate related to the first network for it.
  • the first network can confirm that the terminal is a terminal and a legal terminal of the first network. That is, the authentication server directly authenticates the terminal that has passed the terminal non-counterfeiting and is a legitimate terminal of the first network, allowing the configuration of certificates related to the first network.
  • the above-mentioned first server may also be referred to as a configuration server or an authentication intermediate server.
  • the first communication device when the first communication device satisfies a second condition, confirm that the first communication device is a legal device of the first network;
  • the first communication device is authenticated by the second authentication server
  • the first communication device is a communication device in the legal device list.
  • the method further includes:
  • the aforementioned sending of the request information for the first information may be sent to the first communication device to request the first communication device to send the first information.
  • the access request of the first communication device and/or the first indication information is received from the first communication device.
  • the request information for the first information is sent to the first communication device.
  • First request information and the first request information is used to request manufacturer information of the first communication device,
  • Second request information and the second request information is used to request index information of the second authentication server
  • Third request information, and the third request information is used to request address related information of the second authentication server.
  • the method further includes:
  • the first server is a server capable of configuring a certificate related to the first network
  • the first data channel is a data channel in the first network
  • the first data channel is used for interaction between the first communication device and the first server;
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device.
  • the first information and/or the first indication information is obtained from a first communication device.
  • the third information is obtained from a third communication device.
  • index information of the second authentication server in the first information and the "index information of the second authentication server and the address related information of the second authentication server” in the third information Mapping information" can confirm the address related information of the second authentication server.
  • the first communication device is authenticated by the second authentication server and/or the second authentication is confirmed Information about the address of the server.
  • At least one of the first information, the first indication information, the legal device list, and the third information can be obtained; according to the first information, the first indication information, the legal device list, and the third information At least one item of, perform the first operation; this way, on the one hand, it can support the first network to select the second authentication server to authenticate the first communication device, so as to support when the terminal accesses the first network without a certificate related to the first network , To authenticate the terminal to avoid counterfeit and illegal terminal security attacks on the first network; on the other hand, it supports the configuration of the first communication device to support legitimate terminals to obtain certificates related to the first network to access the first network.
  • a network service is
  • FIG. 4 is another access control method provided by an embodiment of the present invention.
  • the method is applied to a third communication device.
  • the third communication device includes but is not limited to one of the following: AF, a second authentication server,
  • the related equipment of the manufacturer of the first communication equipment, as shown in Figure 4 includes the following steps:
  • Step 401 Determine the third information
  • Step 402 Send third information
  • the third information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the foregoing third information is the third information in the embodiment shown in FIG. 3, and details are not described herein.
  • mapping information between the index information of the second authentication server and the address-related information of the second authentication server may be used to confirm the address-related information of the second authentication server.
  • the foregoing sending of the third information may be sending the third information to the second communication device.
  • sending relevant information of the second authentication server includes:
  • the third condition includes at least one of the following:
  • the mutual authentication between the third communication device and the first network passes.
  • the third communication device is a communication device outside the first network.
  • the foregoing third communication device and the second authentication server may be mutually authenticated in advance.
  • the third communication device and the first network are mutually authenticated.
  • the third information is sent so that the second communication device can obtain the above-mentioned third information
  • Step 501 Obtain second information
  • Step 502 Perform a second operation according to the second information
  • the second information includes at least one of the following:
  • the first terminal routing strategy (such as URSP);
  • the default DNN information is set to empty
  • the default slice information is set to empty
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the acquiring of the second information may be acquiring the second information from a first network.
  • the second operation includes at least one of the following:
  • a first data channel is established, and the first data channel satisfies at least one of the following: the first data channel is used for interaction between the first communication device and the first server, and the first data channel is used for the first communication
  • the device requests a certificate related to the first network, and the first data channel is used to configure the first communication device with a certificate related to the first network;
  • the related information used for the establishment of the first data channel includes at least one of the following:
  • the first server According to the address related information of the first server, request the first server to configure the certificate related to the first network.
  • Figure 6 is another access control method provided by an embodiment of the present invention. The method is applied to a fifth communication device.
  • the fifth communication device includes but is not limited to one of the following: a communication device of the first network,
  • AMF as shown in Figure 6, includes the following steps:
  • Step 601 Send second information, where the second information includes at least one of the following:
  • the default slice information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • Performing related operations to determine the second information includes
  • the default DNN information is set to empty or not to set the default DNN information.
  • the default slice information is set to empty or no default (NSSAI) slice information is set.
  • the first network does not allow the terminal to access other services.
  • the default DNN is used for the application or access target of the terminal, when there is no DNN in the corresponding routing strategy, the default DNN is selected to establish a data channel to access the application or access target. Therefore, if the default DNN is not configured, the terminal is not allowed to initiate other services.
  • the default slice information is used when the application or access target of the terminal does not have slice information in the corresponding routing strategy, and the default slice information is selected to establish a data channel to access the application or access target. Therefore, if the default slice information is not configured, the terminal is not allowed to initiate other services.
  • the operation of determining a routing strategy for the first terminal includes at least one of the following:
  • the certificate download application is used to request the first server to configure a certificate related to the first network.
  • the certificate related to the first network may be configured through control plane signaling. It is not difficult to understand that at this time, the third indication information can be used to restrict the user plane and only the control plane.
  • the second information is sent to the terminal.
  • It can support the terminal to obtain the necessary configuration when accessing the first network without the certificate related to the first network, so as to support the legal terminal to obtain the certificate related to the first network to access the service of the first network.
  • the access control method in the embodiment of the present invention will be described below in conjunction with specific application scenarios.
  • Application scenario 1 of the embodiment of the present invention mainly describes the access control between the UE, SNPN and the second authentication server, as shown in FIG. 7, including the following steps:
  • Step 1 The AF sends the third information (related information of the second authentication server) to the first network.
  • the third information includes at least one of the following: mapping information between index information of the second authentication server and address information of the second authentication server, and address information of the second authentication server.
  • the index information of the second authentication server in the mapping information of the index information of the second authentication server and the address information of the second authentication server may be indexed to the address information of the second authentication server to which it is mapped.
  • the AF may be the AF of the terminal manufacturer.
  • the AF may send the information to the UDM of the first network through the NEF of the first network.
  • Step 2 The UE initiates a registration request to the AMF of the first network.
  • the registration request includes index information of the second authentication server. Or only provide terminal manufacturer information.
  • the index information of the second authentication server may include at least one of the following: address information (such as IP, FQDN, URL) of the second authentication server, and identification information of the terminal manufacturer to which the second authentication server belongs.
  • address information such as IP, FQDN, URL
  • Step 3 AMF sends an identity authentication request (identity request) to the UE, and the identity authentication type (identity type) is set to at least consistent with the following: terminal manufacturer (such as vendor ID) and other related types, the index of the second authentication server Information, address information of the second authentication server.
  • the UE includes the index information of the second authentication server in the identity authentication response (identity response), such as the identification information of the UE vendor.
  • Step 4 (optional): The AMF sends the index information of the second authentication server to the UDM to obtain the address information of the authentication server.
  • the UDM can confirm the address information of the second authentication server according to the mapping information between the index information of the second authentication server and the address information of the second authentication server, and the index information of the second authentication server.
  • the UDM sends the address information of the second authentication server to the AMF.
  • step 4 adopts a non-UE-related signaling process.
  • Step 5 The AMF performs a first operation, and the first operation includes at least one of the following:
  • the terminal is a legal terminal of the first network or whether it is allowed to configure a certificate related to the first network.
  • mapping information between the index information of the second authentication server and the address information of the second authentication server is obtained from the AF.
  • the index information of the second authentication server is obtained from the terminal.
  • the legal terminal condition may include at least one of the following: the terminal passes the authentication of the second authentication server, and the terminal is a terminal in the legal terminal list.
  • the legal terminal may be a terminal that allows configuration of a certificate related to the first network.
  • Step 6 When it is confirmed that the terminal is a legitimate terminal of the first network, the second information and the registration acceptance message are sent to the terminal.
  • Relevant information such as DNN, slice information, SSC, etc. used to establish PDU sessions for restricted services
  • the sending registration receiving message includes: address related information of the first server.
  • Step 7 The UE establishes a session with the SNPN.
  • Step 8 The SNPN credential (credential) configuration request and configuration response are transmitted between the UE and the configuration server.
  • the application scenario 2 of the embodiment of the present invention mainly describes the access control between the UE, the SNPN, the configuration server, and the second authentication server, as shown in FIG. 8, including the following steps:
  • Step 1 the configuration server obtains the third information (or referred to as related information of the second authentication server).
  • the related information of the second authentication server includes at least one of the following: mapping information between index information of the second authentication server and address information of the second authentication server, and address information of the second authentication server.
  • the index information of the second authentication server in the mapping information of the index information of the second authentication server and the address information of the second authentication server may be indexed to the address information of the second authentication server to which it is mapped.
  • Step 2 The UE initiates an access request to the AMF of the first network, and sends the index information of the second authentication server.
  • the index information of the second authentication server may include at least one of the following: address information (such as IP, FQDN, URL) of the second authentication server, and identification information of the terminal manufacturer to which the second authentication server belongs.
  • address information such as IP, FQDN, URL
  • Step 3 (optional): The AMF sends the index information of the second authentication server to the UDM to obtain the address information of the authentication server.
  • the UDM can confirm the address information of the second authentication server according to the mapping information between the index information of the second authentication server and the address information of the second authentication server, and the index information of the second authentication server.
  • the UDM sends the address information of the second authentication server to the AMF.
  • step 4 adopts a non-UE-related signaling process.
  • AMF After completing the authentication steps, AMF performs at least one of the following operations:
  • the legal terminal condition may include at least one of the following: the terminal passes the authentication of the second authentication server, and the terminal is a terminal in the legal terminal list.
  • the legal terminal may be a terminal that allows configuration of a certificate related to the first network.
  • Step 5 When it is confirmed that the terminal is a legitimate terminal of the first network, the second information and the registration acceptance message are sent to the terminal.
  • the second information is as described in the embodiment of FIG. 5.
  • the second information includes at least one of the following:
  • Relevant information such as DNN, slice information, SSC, etc. used to establish PDU sessions for restricted services
  • the sending registration receiving message includes: address related information of the first server.
  • the application scenario 3 of the embodiment of the present invention mainly describes the access control between the UE, the configuration server and the authentication server, as shown in FIG. 9, including the following steps:
  • Step 1 (optional): The configuration server obtains relevant information of the second authentication server.
  • the related information of the second authentication server includes at least one of the following: mapping information between index information of the second authentication server and address information of the second authentication server, and address information of the second authentication server.
  • the index information of the second authentication server in the mapping information of the index information of the second authentication server and the address information of the second authentication server may be indexed to the address information of the second authentication server to which it is mapped.
  • Step 2 The UE initiates a registration request to the AMF of the first network.
  • the AMF sends the second information and the registration acceptance message to the terminal.
  • the second information includes at least one of the following:
  • the sending registration receiving message includes: address related information of the first server (such as a configuration server).
  • Step 3 Establish a session between the UE and the first network PDU.
  • the PDU session is a restricted service PDU session.
  • the SMF sends the second information to the terminal.
  • Step 4 The UE initiates a configuration request to the configuration server.
  • the UE sends the index information of the second authentication server to the configuration server.
  • the index information of the second authentication server may include at least one of the following: address information (such as IP, FQDN, URL) of the authentication server, and identification information of the terminal manufacturer to which the authentication server belongs.
  • address information such as IP, FQDN, URL
  • Step 5 Configure the server to perform at least one of the following operations:
  • Step 6 When it is confirmed that the terminal is a legitimate terminal of the first network, a credential related to the first network is configured to the terminal.
  • the application scenario 4 of the embodiment of the present invention mainly describes the access control between the UE and the configuration server, as shown in FIG. 10, including the following steps:
  • the AMF sends the second information and the registration acceptance message to the terminal.
  • the second information is as described in the embodiment of FIG. 5.
  • the second information includes at least one of the following:
  • Relevant information such as DNN, slice information, SSC, etc. used to establish PDU sessions for restricted services
  • Step 2 Establish a session between the UE and the first network PDU.
  • the PDU session is a restricted service PDU session.
  • the SMF sends the second information to the terminal.
  • Step 4 Configure the server to authenticate the terminal.
  • the legal terminal condition may include at least one of the following: the terminal passes the authentication of the second authentication server, and the terminal is a terminal in the legal terminal list.
  • the legal terminal may be a terminal that allows configuration of a certificate related to the first network.
  • Step 5 When it is confirmed that the terminal is a legitimate terminal of the first network, the terminal is configured with a certificate related to the first network.
  • the UE When the UE first accesses the SNPN or accesses the configuration server of the SNPN, it provides relevant information identifying the UE vendor. After receiving the SNPN, it is used to select the second authentication server (such as AAA) of the UE vendor to authenticate the UE.
  • the second authentication server such as AAA
  • SNPN can define a new identity type to obtain the index information of the second authentication server such as the manufacturer of the UE.
  • the SNPN sends the configuration server address related information to the UE, which is used by the UE to initiate a configuration request through the user-oriented configuration server or the SNPN uses the control-oriented configuration server to request a certificate related to the first network for the UE.
  • the present invention on the one hand, it is possible to support authentication and configuration of the UE when accessing the SNPN when the UE has no SNPN certificate, so as to avoid security attacks from counterfeiting and illegal UE; on the other hand, it supports the configuration of the SNPN certificate for the UE.
  • the first sending module 1101 is configured to send first information and/or first indication information to a first target end, where the first information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • the sending the first information includes:
  • the first condition includes at least one of the following:
  • the first communication device has a second certificate
  • the first communication device does not have a certificate related to the first network
  • the first communication device requests to access the first network
  • the first communication device requests access to the restricted service of the first network
  • the first communication device requests to obtain a certificate related to the first network
  • At least one item of the first information is acquired
  • the request information for the first information includes at least one of the following:
  • the request information for the first information includes at least one of the following:
  • First request information and the first request information is used to request manufacturer information of the first communication device,
  • Second request information and the second request information is used to request index information of the second authentication server
  • Third request information, and the third request information is used to request address related information of the second authentication server.
  • the communication device before the step of sending the first information, the communication device further includes:
  • the second sending module is configured to send an access request and/or send first indication information to the first target end,
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • the receiving module is configured to receive at least one of the following information sent by the first target terminal:
  • the first network supports the configuration of certificate information related to the first network to the first communication device.
  • the communication device further includes:
  • the first terminal routing strategy
  • the default DNN information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the communication device 1100 can implement each process implemented by the first communication device in the method embodiment of the present invention and achieve the same beneficial effects. To avoid repetition, details are not described herein again.
  • an embodiment of the present invention provides another communication device.
  • the communication device is a second communication device.
  • the communication device 1200 includes:
  • the obtaining module 1201 is configured to obtain at least one of the first information, the first indication information, the legal device list, and the third information;
  • the execution module 1202 is configured to execute a first operation according to at least one of the first information, the first indication information, the legal device list, and the third information;
  • the first information includes at least one of the following: index information of the second authentication server, related information of the manufacturer of the first communication device, and address related information of the second authentication server;
  • the first indication information is used to request to obtain a certificate related to the first network or to indicate that the type of access is restricted service
  • the third information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the first operation includes at least one of the following:
  • the first server is a server capable of configuring a certificate related to the first network for the first communication device.
  • the index information of the second authentication server in the first information and the mapping information between the index information of the second authentication server and the address-related information of the second authentication server in the third information, determine the first Two authentication server;
  • the step of determining to request the second authentication server to authenticate the first communication device includes but is not limited to at least one of the following:
  • the first indication information and/or the information related to the address of the second authentication server in the third information it is determined to request the second authentication server to authenticate the first communication device.
  • the first communication device when the first communication device satisfies a second condition, confirm that the first communication device is a legal device of the first network;
  • the second condition includes at least one of the following:
  • the first communication device is authenticated by the second authentication server
  • the first communication device is a communication device in the legal device list.
  • the legal device list includes at least one of the following:
  • a legal communication device of the first network that has not yet configured a certificate related to the first network
  • a communication device that allows configuration of certificates related to the first network.
  • the communication device further includes:
  • the receiving module is configured to receive an access request and/or first indication information of the first communication device; wherein, the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service;
  • the request information for the first information includes at least one of the following:
  • Second request information and the second request information is used to request index information of the second authentication server
  • Third request information, and the third request information is used to request address related information of the second authentication server.
  • the communication device further includes:
  • the second sending module is configured to send second information when it is determined that the first communication device is a legal device of the first network, where the second information includes at least one of the following:
  • the first server is a server capable of configuring a certificate related to the first network
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server;
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the communication device 1200 can implement various processes implemented by the second communication device in the method embodiment of the present invention and achieve the same beneficial effects. To avoid repetition, details are not described herein again.
  • an embodiment of the present invention provides another communication device.
  • the communication device is a third communication device.
  • the communication device 1300 includes:
  • the determining module 1301 is used to determine the third information
  • the sending module 1302 is used to send third information
  • the third information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the sending the related information of the second authentication server includes:
  • the third condition includes at least one of the following:
  • the mutual authentication between the third communication device and the first network passes.
  • the communication device 1300 can implement each process implemented by the third communication device in the method embodiment of the present invention and achieve the same beneficial effects. To avoid repetition, details are not described herein again.
  • the execution module 1402 is configured to execute a second operation according to the second information
  • the second information includes at least one of the following:
  • the default slice information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the second operation includes at least one of the following:
  • a first data channel is established, and the first data channel satisfies at least one of the following: the first data channel is used for interaction between the first communication device and the first server, and the first data channel is used for first communication
  • the device requests a certificate related to the first network, and the first data channel is used to configure the first communication device with a certificate related to the first network;
  • the communication device 1400 can implement each process implemented by the fourth communication device in the method embodiment of the present invention and achieve the same beneficial effects. To avoid repetition, details are not described herein again.
  • an embodiment of the present invention provides another communication device.
  • the communication device is a fifth communication device.
  • the communication device 1500 includes:
  • the sending module 1501 is configured to send second information, where the second information includes at least one of the following:
  • the first terminal routing strategy
  • the default DNN information is set to empty
  • the default slice information is set to empty
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the fourth condition includes:
  • the terminal accesses the restricted service of the first network or receives the first indication information sent by the terminal;
  • the communication device 1500 can implement each process implemented by the third communication device in the method embodiment of the present invention and achieve the same beneficial effects. To avoid repetition, details are not described herein again.
  • the communication device 1600 includes a memory 1601, a processor 1602, and a computer program 16011 stored on the memory 1601 and running on the processor 1602.
  • the computer program 16011 is executed by the processor 1602 to implement the following steps:
  • the address related information of the second authentication server is the address related information of the second authentication server
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • the sending the first information includes:
  • the first condition includes at least one of the following:
  • the first communication device has a second certificate
  • the first communication device does not have a certificate related to the first network
  • the first communication device requests to access the first network
  • the first communication device requests access to the restricted service of the first network
  • the first communication device requests to obtain a certificate related to the first network
  • At least one item of the first information is acquired
  • the request information for the first information includes at least one of the following:
  • the request information for the first information includes at least one of the following:
  • First request information and the first request information is used to request manufacturer information of the first communication device,
  • Second request information and the second request information is used to request index information of the second authentication server
  • Third request information, and the third request information is used to request address related information of the second authentication server.
  • the first indication information is used to request to obtain a certificate related to the first network or indicate that the type of access is restricted service.
  • At least one of the following information sent by the first target terminal is received:
  • the first network supports the configuration of certificate information related to the first network to the first communication device.
  • Acquire second information where the second information includes at least one of the following:
  • the first terminal routing strategy
  • the default DNN information is set to empty
  • the default slice information is set to empty
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the computer program 16011 is executed by the processor 1602 to implement the following steps:
  • the first information includes at least one of the following: index information of the second authentication server, related information of the manufacturer of the first communication device, and address related information of the second authentication server;
  • the first indication information is used to request to obtain a certificate related to the first network or to indicate that the type of access is restricted service
  • the third information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the first operation includes at least one of the following:
  • the first server is a server capable of configuring a certificate related to the first network for the first communication device.
  • the step of determining the second authentication server includes but is not limited to at least one of the following:
  • the index information of the second authentication server in the first information and the mapping information between the index information of the second authentication server and the address-related information of the second authentication server in the third information, determine the first Two authentication server;
  • the mapping information between the index information of the second authentication server and the address related information of the second authentication server in the third information Determine the second authentication server
  • the step of determining to request the second authentication server to authenticate the first communication device includes but is not limited to at least one of the following:
  • the first indication information and/or the information related to the address of the second authentication server in the third information it is determined to request the second authentication server to authenticate the first communication device.
  • the first communication device when the first communication device satisfies a second condition, confirm that the first communication device is a legal device of the first network;
  • the second condition includes at least one of the following:
  • the first communication device is a communication device in the legal device list.
  • the legal device list includes at least one of the following:
  • a legal communication device of the first network that has not yet configured a certificate related to the first network
  • a communication device that allows configuration of certificates related to the first network.
  • the first indication information is used to request to obtain a certificate related to the first network or to indicate that the type of access is restricted service
  • the request information for the first information includes at least one of the following:
  • First request information and the first request information is used to request manufacturer information of the first communication device,
  • Second request information and the second request information is used to request index information of the second authentication server
  • the second information includes at least one of the following:
  • the first server is a server capable of configuring a certificate related to the first network
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server;
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device.
  • the computer program 16011 is executed by the processor 1602 to implement the following steps:
  • the third information includes at least one of the following:
  • the address related information of the second authentication server is the address related information of the second authentication server.
  • the sending the related information of the second authentication server includes:
  • the third condition includes at least one of the following:
  • the mutual authentication between the third communication device and the first network passes.
  • the computer program 16011 is executed by the processor 1602 to implement the following steps:
  • the second information includes at least one of the following:
  • the first terminal routing strategy
  • the default DNN information is set to empty
  • the default slice information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first terminal routing strategy is used to access the first server or the certificate download application
  • the first data channel is a data channel in the first network
  • the second indication information is used to indicate at least one of the following:
  • the first data channel is used for interaction between the first communication device and the first server,
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the second operation includes at least one of the following:
  • the second information includes at least one of the following:
  • the default DNN information is set to empty
  • the first server is a server capable of configuring a certificate related to the first network
  • the first data channel is a data channel in the first network
  • the first data channel is used by the first communication device to request a certificate related to the first network
  • the first data channel is used to configure a certificate related to the first network to the first communication device
  • the third indication information is used to indicate at least one of the following: only restricted services are allowed, only control planes are allowed, user planes are not allowed, only access to the first server is allowed, and only certificate download applications are allowed.
  • the fourth condition includes:
  • the terminal accesses the restricted service of the first network or receives the first indication information sent by the terminal;
  • the communication device 1600 can implement each process implemented by the communication device in the foregoing method embodiment, and in order to avoid repetition, details are not described herein again.
  • the embodiment of the present invention also provides a computer-readable storage medium, and a computer program is stored on the computer-readable storage medium.
  • a computer program is stored on the computer-readable storage medium.
  • the computer-readable storage medium such as read-only memory (Read-Only Memory, ROM), random access memory (Random Access Memory, RAM), magnetic disk, or optical disk, etc.
  • the technical solution of the present invention essentially or the part that contributes to the existing technology can be embodied in the form of a software product, and the computer software product is stored in a storage medium (such as ROM/RAM, magnetic disk, The optical disc) includes several instructions to make a terminal (which can be a mobile phone, a computer, a server, an air conditioner, or a network device, etc.) execute the method described in each embodiment of the present invention.
  • a terminal which can be a mobile phone, a computer, a server, an air conditioner, or a network device, etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Mobile Radio Communication Systems (AREA)
  • Telephonic Communication Services (AREA)

Abstract

本发明提供一种接入控制方法及通信设备，该方法包括：向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，所述第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。

Description

接入控制方法及通信设备
相关申请的交叉引用
本申请主张在2020年3月20日在中国提交的中国专利申请号No.202010203175.8的优先权，其全部内容通过引用包含于此。
技术领域
本发明涉及无线通信技术领域，尤其涉及一种接入控制方法及通信设备。
背景技术
在一些通信场景中，存在通信设备没有网络的证书却接入网络的场景，例如：终端在出厂时，尚无独立组网的非公共网络(Standalone Non-Public Network，SNPN)的证书(credential)，从而无法通过SNPN的认证。在没有通过网络认证之前，目前无法获取通信设备的认证相关的信息。
发明内容
本发明实施例提供一种接入控制方法及通信设备，以解决无法获取通信设备的认证相关的信息的问题。
第一方面，本发明实施例提供一种接入控制方法，应用于第一通信设备，包括：
向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
第二认证服务器的索引信息，
所述第一通信设备的厂家的相关信息，
所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
第二方面，本发明实施例提供一种接入控制方法，应用于第二通信设备，包括：
获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；
根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；
其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
所述第三信息包括以下至少一项：
所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
第三方面，本发明实施例提供一种接入控制方法，应用于第三通信设备，包括：
确定第三信息；
发送第三信息；
其中，所述第三信息包括如下至少一项：
第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
第四方面，本发明实施例提供一种接入控制方法，应用于第四通信设备，包括：
获取第二信息；
根据所述第二信息，执行第二操作；
其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
第五方面，本发明实施例提供一种接入控制方法，应用于第五通信设备，包括：
发送第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
第六方面，本发明实施例提供一种通信设备，所述通信设备为第一通信设备，包括：
第一发送模块，用于向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
第二认证服务器的索引信息，
所述第一通信设备的厂家的相关信息，
所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
第七方面，本发明实施例提供一种通信设备，所述通信设备为第二通信设备，包括：
获取模块，用于获取第一信息、第一指示信息和第三信息中的至少一项；
执行模块，用于根据所述第一信息、第一指示信息和第三信息中的至少一项，执行第一操作；
其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
所述第三信息包括以下至少一项：
所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
第八方面，本发明实施例提供一种通信设备，所述通信设备为第三通信设备，包括：
发送模块，用于发送第三信息；
其中，所述第三信息包括如下至少一项：
第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
第九方面，本发明实施例提供一种通信设备，所述通信设备为第四通信设备，包括：
获取模块，用于获取第二信息；
执行模块，用于根据所述第二信息，执行第二操作；
其中，所述第二信息包括如下至少一项：
用于第一数据通道建立的相关信息；
第二指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互；
所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
第十方面，本发明实施例提供一种通信设备，所述通信设备为第五通信设备，包括：
发送模块，用于发送第二信息，其中，所述第二信息包括如下至少一项：
用于第一数据通道建立的相关信息；
第二指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互；
所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
第十一方面，本发明实施例提供一种通信设备，包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现第一方面提供的接入控制方法的步骤，或者，实现第二方面提供的接入控制方法的步骤，或者，实现第三方面提供的接入控制方法的步骤，或者，实现第四方面提供的接入控制方法的步骤，或者，实现第五方面提供的接入控制方法的步骤。
第十二方面，本发明实施例提供一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被所述处理器执行时实现第一方面提供的接入控制方法的步骤，或者，实现第二方面提供的接入控制方法的步骤，或者，实现第三方面提供的接入控制方法的步骤，或者，实现第四方面提供的接入控制方法的步骤，或者，实现第五方面提供的接入控制方法的步骤。
本发明实施例中，向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，所述第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。这样可以支持获取到通信设备的认证相关的信息，进一步可以支持在通信设备未获取网络相关的证书情况下时，对通信设备进行认证和配置。具体地，使第一网络能够选取第二认证服务器对第一通信设备进行认证，从而支持终端无与第一网络相关证书的情况下接入第一网络时，对终端进行认证，避免仿冒和不合法终端对第一网络的安全攻击；另一方面支持对第一通信设备进行配置，以支持合法的终端获取与第一网络相关的证书。
附图说明
通过阅读下文优选实施方式的详细描述，各种其他的优点和益处对于本领域普通技术人员将变得清楚明了。附图仅用于示出优选实施方式的目的，而并不认为是对本发明的限制。而且在整个附图中，用相同的参考符号表示相同的部件。在附图中：
图1为本发明实施例提供的一种无线通信系统的架构示意图；
图2为本发明实施例提供的一种接入控制方法的流程图；
图3为本发明实施例提供的另一种接入控制方法的流程图；
图4为本发明实施例提供的另一种接入控制方法的流程图；
图5为本发明实施例提供的另一种接入控制方法的流程图；
图6为本发明实施例提供的另一种接入控制方法的流程图；
图7为本发明实施例提供的一种接入控制方法的示意图；
图8为本发明实施例提供的另一种接入控制方法的示意图；
图9为本发明实施例提供的另一种接入控制方法的示意图；
图10为本发明实施例提供的另一种接入控制方法的示意图；
图11为本发明提供的一种通信设备的结构图；
图12为本发明提供的另一种通信设备的结构图；
图13为本发明提供的另一种通信设备的结构图；
图14为本发明提供的另一种通信设备的结构图；
图15为本发明提供的另一种通信设备的结构图；
图16为本发明提供的另一种通信设备的结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本申请的说明书和权利要求书中的术语“包括”以及它的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。此外，说明书以及权利要求中使用“和/或”表示所连接对象的至少其中之一，例如A和/或B，表示包含单独A，单独B，以及A和B都存在三种情况。
在本发明实施例中，“示例性的”或者“例如”等词用于表示作例子、例证 或说明。本发明实施例中被描述为“示例性的”或者“例如”的任何实施例或设计方案不应被解释为比其它实施例或设计方案更优选或更具优势。确切而言，使用“示例性的”或者“例如”等词旨在以具体方式呈现相关概念。
本申请的说明书和权利要求书中的术语“包括”以及它的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。此外，说明书以及权利要求中使用“和/或”表示所连接对象的至少其中之一，例如A和/或B，表示包含单独A，单独B，以及A和B都存在三种情况。
下面结合附图介绍本发明的实施例。本发明实施例提供的信息控制方法及通信设备可以应用于无线通信系统中。该无线通信系统可以为5G系统，或者演进型长期演进(Evolved Long Term Evolution，eLTE)系统，或者后续演进通信系统。
下面结合附图介绍本发明的实施例。本发明实施例提供的接入控制方法及通信设备可以应用于图1所示的网络系统，如图1所示的该网络系统包括：终端(UE)、第一网络和第一网络之外的设备，如厂家设备等。
其中，终端可以接入第一网络，如SNPN(非公共网络)，SNPN中可以是一种5G通信网络，比如包括5G无线接入网(NG-RAN)、接入和移动管理功能(Access and Mobility Management Function，AMF)、会话管理功能(Session Management Function，SMF)和用户平面功能(User Plane Function，UPF)等。
上述厂家设备可以是终端的厂家(vendor，也可称作提供商)的相关设备，例如：vendor服务器、应用功能(Application function，AF)和验证、授权和记账(Authentication、Authorization、Accounting，AAA)服务器。
上述厂家设备可以对终端进行认证，或者SNPN通过厂家设备的信息对终端进行认证。
需要说明的是，图1所示的网络系统中仅是本发明实施例提供的接入控制方法及通信设备可应用的一个举例说明，本发明实施例对此不作限定，例如：上述网络系统还可以包括：
统一数据管理(Unified Data Management，UDM)、网络开放功能(network exposure function，NEF)和配置服务器(Config server)。
另外，还可以应用于4G、6G等通信系统。
本发明实施例提供的接入控制方法还可以解决如下技术问题：
问题1，需要解决在UE没有与第一网络相关的证书接入第一网络时，如何选择认证服务器的问题。
场景1：第一网络(如SNPN)的终端UE出厂时，还没有SNPN的证书(如credential)，无法通过SNPN的认证。一种思路是UE先初始接入SNPN，SNPN为UE配置证书UE再根据新配置的证书接入SNPN。
在UE没有SNPN的证书初始接入SNPN的过程中，由于SNPN无法验证UE，就只能允许所有请求接入的UE，比如建立用户面PDU会话到证书的配置服务器等。由于无SNPN内的认证机制，要依赖证书的配置服务器再去触发对UE的认证。认证失败后，再释放UE连接，PDU会话资源等。
这样的无认证先分配资源的方式，一方面存在攻击的隐患，即SNPN的不合法的UE都发起初始接入，耗费光SNPN的资源；另一方面，仿冒UE可能会冒充合法UE接入。
因此，在UE没有SNPN的证书初始接入SNPN的过程中，也需要对UE进行认证。一种可行的方法是通过UE的出厂的厂家的认证服务器进行认证。UE的厂家在UE出厂时可以为UE配置能够让厂家的认证服务器可以认证的证书。SNPN和厂家的服务器间可以开放接口，实现UE接入SNPN后，通过UE与厂家的认证服务器的认证，实现UE与SNPN之间相互认证。由于SNPN的UE的厂家可能有多个，因此存在多个厂家的认证服务器。因此，需要解决在UE没有与第一网络相关的证书接入第一网络时，如何选择认证服务器的问题。
场景二：另外，国际移动设备识别码(International Mobile Equipment Identity，IMEI)或永久设备标识符(Permanent Equipment Identifier，PEI)中包含了跟踪区域码(Tracking area cod，TAC)信息可以用于标识厂家。但一个厂家的TAC只能覆盖几百个终端。用TAC标识厂家需要不断地同步给SNPN，造成维护的复杂度。因此，需要解决如何高效地选择厂家的认证服务 器的问题。
一种可选的方法是，由厂家相关设备与第一网络开放接口，向第一网络提供认证服务器的地址信息与认证服务器索引信息间的映射信息。当无第一网络相关证书的UE接入第一网络时，UE提供认证服务器的索引信息。由第一网络根据UE提供的认证服务器的索引信息与厂家提供的第一网络提供认证服务器的地址信息与认证服务器索引信息间的映射信息，确认认证服务器的地址，向所述认证服务器发起对UE的认证请求。所述认证服务器可以为UE的厂家的相关信息。
另一种可选的方法是，由厂家相关设备与第一网络间相互认证，获得可信的认证服务器的地址相关信息。当无第一网络相关证书的UE接入第一网络时，UE提供认证服务器的地址相关信息。由第一网络根据UE提供的认证服务器的地址相关信息与外部提供的认证服务器的地址相关信息，确认认证服务器的地址相关信息可信，向所述认证服务器发起对UE的认证请求
场景3：当第一网络的终端只有一个厂家时，只有一个厂家的认证服务器。当尚无与第一网络相关的证书的终端接入第一网络时，第一网络不能区分终端是为了其他受限服务接入(如紧急业务)的终端，还是为了配置与第一网络相关的证书才接入第一网络的终端。对后者，才需要通过厂家的认证服务器对终端进行认证。因此，需要解决是否通过外部认证服务器对终端进行认证的问题。
一种可选的方法是UE接入第一网络时，发送第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。根据所述第一指示信息，第一网络可以确定是否通过外部认证服务器(如终端厂家的认证服务器)对终端进行认证。
问题2：需要解决UE如何获取证书配置服务器的地址相关信息的问题。
第一网络(如SNPN)的终端UE出厂时，还没有与第一网络相关的证书，也没有所述证书的配置服务器的相关信息。
一种可选的方法是UE的厂家为UE配置所述配置服务器的地址相关信息或者索引信息。所述配置服务器与第一网络是意义对应的，还需要额外配置第一网络的信息
另一种可选的方法是UE接入第一网络，认证通过后，由第一网络向UE提供所述配置服务器的地址相关信息或者索引信息。由于UE认证通过，此时UE与第一网络间相互信任。不难理解，此时提供的配置服务器的地址相关信息是可信的。
问题3，认证服务器对UE认证通过后，可以证明UE的身份，而非仿冒的UE。但如何确认UE是否为第一网络的合法UE，是否允许为UE配置与第一网络相关的证书的问题还需要解决。
一种可选的方法是，认证服务器对UE认证通过表示UE是第一网络的合法UE。即认证服务器但认证UE是UE而且认证UE是第一网络的合法UE
另一种可选的方法是，认证服务器对UE认证通过后，由第一网络确认UE是第一网络的合法UE。
问题4，UE请求配置服务器为其配置与第一网络相关的证书，配置服务器也需要确认UE是第一网络的合法UE或者确认UE允许被配置与第一网络相关的证书，才会对UE进行证书配置。
一种可选的方法是UE与认证服务器间经过配置服务器，实现相互认证。可以通过开放配置服务器和认证服务器的接口，实现UE-配置服务器-认证服务器之间相互认证。由于SNPN的UE的厂家可能有多个，因此存在多个厂家的认证服务器。因此，需要解决在UE没有与第一网络相关的证书请求配置服务器为其配置与第一网络相关的证书时，如何选择认证服务器的问题。该问题类比问题1
另一种可选的方法是，配置服务器依赖第一网络对UE的合法认证，只要是UE通过SNPN能接入配置服务器，则认为UE合法。第一网络对UE的合法认证同问题3.
问题5，第一网络(如SNPN)的终端UE出厂时，还没有与第一网络相关的证书，也没有在第一网络下请求PDU会话建立的相关参数的配置，比如：NSSAI，SSC Mode，DNN等。需要解决UE发起第一PDU会话建立请求所需要的信息获取的问题，所述第一PDU会话用于请求配置与第一网络相关的证书。
一种可选的方法是，为配置服务器的地址配置终端路由选择策略。并且 只允许UE访问所述配置服务器。
本发明一种可选实施例中，第一网络包括SNPN。
本发明一种可选实施例中，证书(credential)可以也可以称为安全信息，包括可以用于认证和/或加密的参数等，如根密钥。所述根密钥可以用于导出CK，IK。
本发明一种可选实施例中，与第一网络相关的证书可以包括用于接入第一网络的证书。所述用于接入第一网络的证书可以包括能够被第一网络的认证服务器直接认证的证书，或间接认证的证书。通过第一网络之外的认证服务器认证可以理解为间接认证。不难理解，此时，配置服务器可以为UE配置能够被第一网络直接认证的证书或配置能够被第一网络直接认证的证书。
本发明一种可选实施例中，与第一网络相关的证书可以包括以下至少一项：与第一网络直接相关的证书，用于接入第一网络正常服务的证书，能够被第一网络的认证服务器直接认证的证书，接入第一网络非受限服务的证书。不难理解，此时，配置服务器可以为UE配置能够被第一网络直接认证的证书。
本发明另一种可选实施例中，与第一网络无关的证书可以包括以下至少一项：与第一网络非直接相关的证书。与第一网络非直接相关的证书可以包括不能够通过第一网络的认证服务器直接认证的证书。通过第一网络之外的认证服务器认证的证书可以理解为与第一网络无关或无直接相关的证书。
本发明一种可选实施例中，第二证书可以包括以下至少一项：
与第一网络无关的证书，
当终端不具有与第一网络相关的证书的情况下用于接入第一网络的证书，
当终端为请求配置与第一网络相关的证书的情况下用于接入第一网络的证书，
接入第一网络的受限服务的证书，
第一通信设备厂家为第一通信设备配置的证书，
能够被第二认证服务器认证的证书。
本发明一种可选实施例中，所述受限服务包括以下至少一项：仅允许控制面，不允许用户面，仅允许访问第一服务器(可以包括配置服务器)，仅 允许证书下载应用。一种实施方式中，通过控制面为终端配置与第一网络相关的证书。因此可以限制终端接入第一网络仅允许控制面。另一种实施方式中，通过用户面为终端配置与第一网络相关的证书。因此不难理解，所述受限服务可以仅终端允许访问第一服务器。仅允许访问第一服务器包括：终端在第一网络建立的数据通道仅用于访问第一服务器。
本发明一种可选实施例中，所述第一服务器包括配置服务器。所述第一服务器能够处理为终端配置与第一网络相关的证书的请求。所述配置服务器能够为通信设备配置与第一网络相关的证书。第一服务器可以是归属第一网络的服务器。
本发明一种可选实施例中，所述第一服务器为终端配置与第一网络相关的证书的请求时，可以向第二认证服务器请求验证终端，此处，第一服务器为认证的中间服务器。
本发明一种可选实施例中，初始认证包括当终端不具有与第一网络相关的证书接入第一网络的情况下，第一网络对终端进行的认证。不难理解，初始认证属于间接认证。
本发明一种可选实施例中，所述配置服务器也称为第一服务器。
本发明一种可选实施例中，与第一网络相关的证书，与第一网络相关证书第一网络相关证书可以混用，代表同一个意思。
本发明一种可选实施例中，厂家的相关信息可以简称为厂家信息或厂家的信息。所述厂家的相关信息包括：厂家标识信息(如Vendor ID，或TAC)。
本发明一种本发明实施例中，服务器的地址相关信息可以包括如下至少一项：IP地址，MAC地址，端口号，全限定域名(Fully Qualified Domain Name，FQDN)，统一资源定位符(Uniform Resource Locator，URL)，操作系统标识细心、应用标识信息。认证服务器的地址相关信息，或第一服务器的地址相关信息同所述服务器地址相关信息。
本发明一种本发明实施例中，除非特指说明(如第一网络的认证服务器)，所述认证服务器为第二认证服务器的简称。所述第二认证服务器包括终端厂家的认证服务器，
本发明实施例中，可选的，获取可以理解为生成、从配置获得、接收、 通过请求后接收、通过自学习获取、根据未收到的信息推导获取或者是根据接收的信息处理后获得，具体可根据实际需要确定，本发明实施例对此不作限定。比如当未收到设备发送的某个能力指示信息时可推导出该设备不支持该能力。
可选的，发送可以包含广播，系统消息中广播，响应请求后返回。
可选的，预配置的可以称为默认的。
在本发明一种可选实施例中，数据通道可以包括但不限于以下之一：PDU会话，PDN连接，QoS流，承载，互联网安全协议(Internet Protocol Security，IPsec)通道，其中，承载可以是演进的无线接入承载(Evolved Radio Access Bearer，E-RAB)、无线接入承载(Evolved Radio Access Bearer，RAB)、数据无线承载(Data Radio Bearer，DRB)、信令无线承载(signalling radio bearers，SRB)等。
本发明一种可选实施例中，通信设备可以包括以下至少一项：通信网元和终端。
本发明一种实施例中，通信网元可以包括以下至少一项：核心网网元和无线接入网网元。
本发明实施例中，核心网网元(CN网元)可以包含但不限于如下至少一项：核心网设备、核心网节点、核心网功能、核心网网元、移动管理实体(Mobility Management Entity，MME)、接入移动管理功能(Access Management Function，AMF)、会话管理功能(Session Management Function，SMF)、用户平面功能(User Plane Function，UPF)、服务网关(serving GW,SGW)、PDN网关(PDN Gate Way，PDN网关)、策略控制功能(Policy Control Function、PCF)、策略与计费规则功能单元(Policy and Charging Rules Function，PCRF)、GPRS服务支持节点(Serving GPRS Support Node，SGSN)、网关GPRS支持节点(Gateway GPRS Support Node，GGSN)、统一数据管理(Unified Data Management，UDM)，统一数据仓储(Unified Data Repository，UDR)、归属用户服务器(Home Subscriber Server，HSS)、应用功能(Application Function，AF)，集中式网络配置(Centralized network configuration，CNC)。
本发明实施例中，无线接入网(Radio Access Network，RAN)网元可以 包含但不限于至少以下之一：无线接入网设备、无线接入网节点、无线接入网功能、无线接入网单元、第三代合作伙伴计划(Third Generation Partnership Project，3GPP)无线接入网、非3GPP无线接入网、集中单元(Centralized Unit，CU)、分布式单元(Distributed Unit，DU)、基站、演进型基站(evolved Node B，eNB)、5G基站(gNB)、无线网络控制器(Radio Network Controller，RNC)、基站(NodeB)、非3GPP互操作功能(Non-3GPP Inter Working Function，N3IWF)、接入控制(Access Controller，AC)节点、接入点(Access Point，AP)设备或无线局域网(Wireless Local Area Networks，WLAN)节点、N3IWF。
基站，可以是全球移动通信系统(Global System for Mobile Communications，GSM)或码分多址(Code Division Multiple Access，CDMA)中的基站(Base Transceiver Station，BTS)，也可以是宽带码分多址(Wideband Code Division Multiple Access，WCDMA)中的基站(NodeB)，还可以是LTE中的演进型基站(evolutional Node B，eNB或e-NodeB)及5G基站(gNB)，本发明实施例并不限定。
本发明实施例中，UE即终端。终端可以包括支持终端功能的中继和/或支持中继功能的终端。终端也可以称作终端设备或者用户终端(User Equipment，UE)，终端可以是手机、平板电脑(Tablet Personal Computer)、膝上型电脑(Laptop Computer)、个人数字助理(Personal Digital Assistant，PDA)、移动上网装置(Mobile Internet Device，MID)、可穿戴式设备(Wearable Device)或车载设备等终端侧设备，需要说明的是，在本发明实施例中并不限定终端的具体类型。
本发明实施例提供的方法及通信设备可以应用于无线通信系统中。该无线通信系统可以为第五代移动通信(Fifth-generation，5G)系统，或者演进的分组系统(Evolved Packet System，EPS)，或者后续演进通信系统。本发明实施例无线通信网络可以为第五代移动通信网络(Fifth-generation system，5GS)或LTE网络。
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创 造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
请参考图2，本发明实施例提供了一种接入控制的方法，应用于第一通信设备。第一通信设备包括但不限于以下之一：终端(UE)、第一服务器、CN网元(如AMF，安全锚功能(Security Anchor Function，SEAF))，所述方法包括：
步骤201、向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
第二认证服务器的索引信息，
所述第一通信设备的厂家的相关信息，
所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
一种实施方式中，所述第一目标端可以包括：第一网络的通信设备，例如：第一网络中的AMF，该第一网络可以SNPN。
另一种实施方式中，所述第一目标端可以包括第一服务器(包括配置服务器，或认证的中间服务器)。
当第一通信设备是终端的情况下，第一目标端可以是第一网络的通信设备或第一服务器。
当第一通信设备是第一网络的CN设备(如AMF)的情况下，第一目标端可以是或第一服务器。
一种实施方式中，所述第一通信设备可以具有第二证书。一种实施方式中，第二认证服务器可以具有第二证书。
可选地，所述第二证书可以包括以下至少一项：
与第一网络无关的证书，
当终端不具有与第一网络相关的证书的情况下用于接入第一网络的证书，
当终端为请求配置与第一网络相关的证书的情况下用于接入第一网络的证书，
接入第一网络的受限服务的证书，
第一通信设备厂家为第一通信设备配置的证书，
能够被第二认证服务器认证的证书。
一种实施方式中，所述第二认证服务器包括至少以下之一：第一网络外的认证服务器、服务提供商的认证服务器，第一通信设备的厂家的认证服务器，具有第二证书或能够认证第二证书的认证服务器。
可选地，所述服务提供商可以在第一网络之外。
一种实施方式中，所述厂家为所述第二认证服务器所属的第一通信设备的厂家。
可选地，所述厂家的相关信息包括：厂家标识信息(如Vendor ID，或TAC)。
一种实施方式中，上述第二认证服务器的索引信息可以包含以下至少一项：第二认证服务器的地址相关信息(如IP，FQDN，或URL)，第二认证服务器归属的终端厂家的标识信息。
一种实施方式中，所述第一指示信息用于请求获取与第一网络相关的证书可以是，通过第一指示信息来请求获取与第一网络相关的证书。
本发明一种可选实施例中，与第一网络相关的证书可以包括以下至少一项：与第一网络直接相关的证书，用于接入第一网络正常服务的证书，能够被第一网络的认证服务器直接认证的证书，接入第一网络非受限服务的证书。不难理解，此时，第一服务器可以为UE配置能够被第一网络直接认证的证书。
本发明另一种可选实施例中，与第一网络无关的证书可以包括以下至少一项：与第一网络非直接相关的证书。与第一网络非直接相关的证书可以包括不能够通过第一网络的认证服务器直接认证的证书。通过第一网络之外的认证服务器认证的证书可以理解为与第一网络无关或无直接相关的证书。
本发明实施例中，通过上述可以实现向第一目标终端发送上述第一信息和/或第一指示信息，从而第一目标终端可以根据所述第一信息和/或第一指示信息，执行第一操作，具体如图3实施例所述。
示例性的，第一操作包括如下至少一项操作；
确定所述第二认证服务器；
确定向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向第一服务器请求对所述第一通信设备进行认证；
向所述第一服务器发送所述第一信息；
确认所述第一通信设备是否为第一网络的合法设备；
确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
确认是否允许所述第一网络接受所述第一通信设备的注册请求；
其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络相关的证书的服务器。
以实现第一网络对第一通信设备的接入控制的目的。
可选的，所述发送第一信息包括：
当满足第一条件时，发送第一信息；
其中，所述第一条件包括以下至少一项：
所述第一通信设备具有第二证书；
所述第一通信设备不具有与第一网络相关的证书；
所述第一通信设备请求接入第一网络；
所述第一通信设备请求接入第一网络的受限服务；
所述第一通信设备请求获取与第一网络相关的证书；
获取到所述第一信息中的至少一项；
获取到对所述第一信息的请求信息；
获取到第一网络支持受限服务的信息；
获取到第一网络支持和/或要求对受限服务进行认证的信息；
获取到第一网络支持和/或要求对所述第一通信设备的认证的信息；
获取到所述第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
一种实施方式中，获取第一目标端发送的身份请求且身份请求的类型为第一通信设备的厂家相关类型；
其中，所述第二证书如上所述，此处不再赘述。
一种实施方式中，第一网络支持和/或要求对第一通信设备认证可以包括以下至少一项：
第一网络支持和/或要求的第一通信设备经过第一网络与第二认证服务器间实现认证，
第一网络支持和/或要求基于第二证书对第一通信设备进行认证。
其中，所述第一通信设备可以为不具有与第一网络相关的证书的终端。不难理解，当终端配置与第一网络相关的证书之前接入第一网络的情况下，第一网络可以为了更安全的考虑，要求对终端基于第二证书(如终端厂家为终端配置的证书)进行认证。终端在此要求下，可以向第一网络提供第二认证服务器的相关索引信息，以支持认证。
一种实施方式中，获取到第一网络支持和/或要求对第一通信设备的认证的信息可以包括以下至少一项：
获取到第一网络支持和/或要求对通过第二认证服务器对第一通信设备的认证的信息，
获取到第一网络支持和/或要求对通过第二证书对第一通信设备的认证的信息。
其中，所述第一通信设备可以为不具有与第一网络相关的证书的终端。
不难理解，当终端配置与第一网络相关的证书之前接入第一网络的情况下，第一网络可以为了更安全的考虑，要求对终端基于第二证书进行认证。终端在此要求下，可以向第一网络提供第二认证服务器的相关索引信息，以支持认证。
一种实施方式中，第一通信设备预配置了第一信息。不难理解，在第一通信设备出厂时，其厂家在第一通信设备上预配置了第一信息。
具体地，与第一网络相关的证书如前文所述，此处不再赘述。
一种实施方式中，第一网络可以在小区广播至少以下一项：
第一网络支持受限服务的信息；
第一网络支持和/或要求对受限服务进行认证的信息；
第一网络支持和/或要求对所述第一通信设备的认证的信息；
第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
一种实施方式中，所述第一网络支持和/或要求对所述第一通信设备的认 证的信息包括第一网络支持和/或要求的初始认证的信息。所述支持和/或要求的初始认证包括：当第一通信设备不具有与第一网络相关的证书的情况下接入第一网络或第一通信设备请求配置与第一网络相关的证书的步骤前，依然支持和/或要求对第一通信设备进行认证。所述初始认证可以由第一认证服务器与第一通信设备，经过第一网络的执行。
不难理解，当第一通信设备不具有与第一网络相关的证书的情况下，第一网络依然可以通过第一认证服务器对第一通信设备进行认证。
在一种实施方式中，第一网络在小区广播指示要求初始认证时，第一设备才向第一网络请求第二认证服务器的索引信息。
可选的，所述对所述第一信息的请求信息包括以下至少一项：
对所述第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
一种实施方式中，所述获取第一目标端(如第一网络的AMF)发送的第一请求信息，且所述第一请求信息用于请求第一通信设备的厂家信息包括：获取第一目标端发送的身份请求且身份请求的类型为第一通信设备的厂家的相关类型(如终端厂家类型)。一种实施方式中，控制面信令发送第一信息和/或第一指示信息。一种实施方式中，通过非接入层接入请求(如注册请求消息，或附着请求消息等)发送第一信息和/或第一指示信息。
可选的，所述发送第一信息的步骤之前，所述方法还包括：
向所述第一目标端发送接入请求和/或发送第一指示信息，
其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
一种实施方式中，所述第一指示信息可以体现为一种接入的原因(如线资源控制(Radio Resource Control，RRC)原因，或非接入层(Non-access stratum， NAS)层的接入原因)，接入请求或接入的类型。
可选的，所述发送第一信息的步骤之前，所述方法还包括：
接收第一目标端发送的以下至少一项信息：
对所述第一信息的请求信息；
第一网络支持受限服务的信息；
第一网络支持和/或要求对受限服务进行认证的信息；
第一网络支持和/或要求对所述第一通信设备的认证的信息；
第一网络支持向所述第一通信设备配置与第一网络相关的证书的信息。
一种实施方式中，第一目标端接收到第一通信设备接入请求和/或第一指示后，发送的对第一信息的请求信息。
一种实施方式中，对所述第一通信设备的认证的信息可以是，终端厂家的相关信息、第二认证服务器的索引信息、第二认证服务器的地址信息。
可选的，所述方法还包括：
获取第二信息。第二信息具体如所述第二信息如图5实施例所述。
示例性地，所述第二信息包括如下至少一项：
第一终端路由选择策略(如URSP)；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
一种实施方式中，所述用于第一数据通道(所述数据通道比如PDU会话)建立的相关信息包括以下至少一项：
数据网络名称(Data Network Name，DNN)，切片信息(如NSSAI)，会话和服务连续模式(Session and Service Continuity Mode，SSC Mode)，SSC Mode，数据通道类型(如PDU会话类型)。
一种实施方式中，所述第一数据通道为第一网络中的数据通道且用于下载与第一网络证书数据通道。
一种实施方式中，第一通信设备接收到上述第二信息后，可以建立上述第一数据通道。
通过本发明实施例中，向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息如前文所述，此处不再赘述。这样一方面能够支持第一网络选取第二认证服务器对第一通信设备进行认证，从而支持终端无与第一网络相关证书的情况下接入第一网络时，对终端进行认证，避免仿冒和不合法终端对第一网络的安全攻击；另一方面支持对第一通信设备进行配置，以支持合法的终端获取与第一网络相关的证书，以接入第一网络的服务。
请参考图3，本发明实施例还提供一种接入控制方法，应用于第二通信设备，第二通信设备包括不限于以下之一：第一网络中的通信设备(如AMF、SEAF，或AF等)，第一服务器，第二认证服务器，所述方法包括：
步骤301、获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；
步骤302、根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；
其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类 型为受限服务；
所述第三信息包括以下至少一项：
所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
一种实施方式中，第三信息提供的是合法的第二认证服务器的相关信息。不难理解，可以通过第三信息中的“所述第二认证服务器的地址相关信息”对第一信息的“所述第二认证服务器的地址相关信息”进行对比，确认第一信息中的“所述第二认证服务器的地址相关信息”合法。
一种实施方式中，上述第一信息、第一指示信息和第三信息中的至少一项可以包括：第一信息、第一指示信息和第三信息中的任意一项，或者第一信息、第一指示信息和第三信息中的任意多项的组合。
一种实施方式中，上述第一信息可以参见图2所示的实施例中的第一信息，上述第一指示信息可以参见图2所示的实施例中的第一指示信息，此处不作赘述。
一种实施方式中，从第一通信设备获取所述第一信息和/或第一指示信息。一种实施方式汇总，从第三通信息设备所述第三信息。
一种实施方式中，通过接入请求(如注册请求消息，或附着请求消息等)获取第一信息和/或第一指示信息。
一种实施方式中，上述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息可以确认第二认证服务器的地址相关信息。
可选的，所述第一操作包括如下至少一项：
确定所述第二认证服务器；
确定向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向第一服务器请求对所述第一通信设备进行认证；
向所述第一服务器发送所述第一信息；
确认所述第一通信设备是否为第一网络的合法设备；
确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
确认是否允许所述第一网络接受所述第一通信设备的注册请求；
其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络相关的证书的服务器。
所述确定所述第二认证服务器包括确定所述第二认证服务器的地址相关信息。
进一步地，所述确定第二认证服务器的步骤可以包括但不限于如下至少一项：1)根据第一信息中的“所述第二认证服务器的索引信息”和第三信息中的“所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息”，可以确定第二认证服务器。不难理解，所述确定第二认证服务器可以包括为终端选择一个符合所述第二认证服务器的索引信息的第二认证服务器。
2)根据第一信息中的“所述第一通信设备的厂家的相关信息”和第三信息中的“所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息”，可以确定第二认证服务器。不难理解，所述确定第二认证服务器可以包括为终端选择“所述第一通信设备的厂家的相关信息”对应的第二认证服务器。
3)根据第一信息中的“所述第二认证服务器的地址相关信息”和/或第三信息中的“所述第二认证服务器的地址相关信息”，可以确定第二认证服务器。不难理解，所述确定第二认证服务器可以包括为终端选择一个符合第一信息中的“所述第二认证服务器的地址相关信息”的第二认证服务器。通过对比第一信息中的与第三信息中的“所述第二认证服务器的地址相关信息”，可以确认第一信息中的“所述第二认证服务器的地址相关信息”是合法的第二认证服务器的地址相关信息。
4)根据第一指示信息和/或第三信息中的“所述第二认证服务器的地址相关信息”，可以确定第二认证服务器。不难理解，所述确定第二认证服务器可以包括：根据第一指示信息，选择一个第三信息中的“所述第二认证服务器的地址相关信息”对应的第二认证服务器。
进一步地，所述确定向所述第二认证服务器请求对第一通信设备进行认证的步骤可以包括但不限于如下至少一项：
1)根据第一指示信息和/或第一信息，可以确定向所述第二认证服务器请求对第一通信设备进行认证；
2)根据第一指示信息和/或第三信息中的“所述第二认证服务器的地址相关信息”，可以确定向所述第二认证服务器请求对第一通信设备进行认证。
一种实施方式中，通过第二认证服务器的认证，第一网络可以确认第一通信设备是否仿冒设备。第二认证服务器对第一通信设备认证通过的情况下，可以进一步根据合法设备列表，确认第一通信设备是否是第一网络的合法设备和/或是否允许为其配置与第一网络相关证书。
另一种实施方式中，通过第二认证服务器的认证，第一网络可以确认第一通信设备是否为仿冒设备，且是否为第一网络的合法设备。一种实施方式中，所述合法设备可以包括允许配置与第一网络相关的证书的设备(所述设备如终端)。另一种实施方式中，所述合法设备可以包括不具有与第一网络相关的证书且允许配置与第一网络相关的证书的设备(所述设备如终端)。
一种实施方式中，所述合法终端列表可以配置在第一网络的用户管理服务器(如UDM，HSS，或UDR)中。可以从所述用户管理服务器获取合法设备列表。
所述合法设备列表包括如下至少一项：还未配置与第一网络相关的证书的第一网络的合法通信设备，允许配置与第一网络相关的证书的通信设备。
可选的，合法设备列表为合法终端列表。合法终端列表可以是一组终端的信息。一种实施方式中，所述终端的信息可以包括终端的标识，如IMEI，PEI，GPSI，MAC地址或SUPI(此时的SUPI为非第一网络的SUPI)。
可选地，所述合法终端列表可以包含以下至少一项：还未配置与第一网络相关的证书的第一网络的合法终端，允许配置与第一网络相关的证书的终端。
不难理解，一种实施方式中，通过第二认证服务器的认证，第一网络可以确认终端是终端(即非仿冒终端)，通过合法终端列表，第一网络可以确认终端是否是合法的终端，是否为允许为其配置与第一网络相关证书。
不难理解，另一种实施方式中，通过认证服务器的认证，第一网络可以确认终端是终端且是第一网络的合法终端。即认证服务器中直接认证通过终 端非仿冒的终端而且是第一网络的合法终端，允许配置与第一网络相关的证书。
上述第一服务器也可以称作配置服务器或者认证的中间服务器。
可选的，在所述第一通信设备满足第二条件时，确认所述第一通信设备为所述第一网络的合法设备；
其中，所述第二条件包括如下至少一项：
所述第一通信设备通过所述第二认证服务器的认证；
所述第一通信设备是合法设备列表中的通信设备。
合法设备列表如前文所述，此处不再赘述。
可选地，所述获取第一信息之前，所述方法还包括：
接收第一通信设备的接入请求和/或第一指示信息；其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
基于所述接入请求和/或第一指示信息，发送对第一信息的请求信息。
一种实施实施方式，上述发送对第一信息的请求信息可以是向第一通信设备发送，以请求第一通信设备发送第一信息。
一种实施方式中，从第一通信息设备接收第一通信设备的接入请求和/或第一指示信息。
一种实施方式中，向第一通信息设备发送对第一信息的请求信息。
可选的，所述对第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
一种实施方式中，所述发送第一请求信息，且所述第一请求信息用于请求第一通信设备的厂家信息包括：发送身份请求(identity request)且身份请求的类型为第一通信设备的厂家的相关类型，如终端厂家类型。
可选的，所述方法还包括：
在确定所述第一通信设备为第一网络的合法设备的情况下，发送第二信息，其中，所述第二信息包括如下至少一项：
用于第一数据通道建立的相关信息；
第二指示信息；
第一服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一数据通道为第一网络中的数据通道；
第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互；
所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
一种实施方式中，从第一通信设备获取所述第一信息和/或第一指示信息。
一种实施方式中，从第三通信息设备获取所述第三信息。
一种实施方式中，通过接入请求(如注册请求消息，或附着请求消息等)获取第一信息和/或第一指示信息。
一种实施方式中，根据第一信息中的“所述第二认证服务器的索引信息”和第三信息中的“所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息”，可以确认第二认证服务器的地址相关信息。
另一种实施方式中，根据第一指示信息和第三信息中的“第二认证服务器的地址相关信息”，可以确认通过第二认证服务器对第一通信设备进行认证和/或确认第二认证服务器的地址相关信息。
通过本实施例中，可以获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；这样一方面能够支持第一网络选取第二认证服务器对第一通信设备进行认证，从而支持终端无与第一网络相关证书的情况下接入第一网络时，对终端进行认证，避免仿冒和不合法终端对第一网络的安全攻击；另一方面支持对第一通信设备进行配置，以支持合法的终端获取与第一网络相关的证书，以接入第一网络的服务。
请参见图4，图4是本发明实施例提供的另一种接入控制方法，该方法 应用于第三通信设备，第三通信设备包括但不限于以下之一：AF、第二认证服务器、第一通信设备的厂家的相关设备，如图4所示，包括以下步骤：
步骤401、确定第三信息
步骤402、发送第三信息；
其中，所述第三信息包括如下至少一项：
第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
一种实施方式中，上述第三信息是图3所示的实施例中的第三信息，此处不作赘述。
一种实施方式中，所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，可以用于确认第二认证服务器的地址相关信息。
一种实施方式中，上述发送第三信息可以是向第二通信设备发送第三信息。
可选的，发送所述第二认证服务器的相关信息，包括：
满足第三条件的情况下，发送所述第二认证服务器的相关信息；
所述第三条件包括如下至少一项：
所述第三通信设备与所述第二认证服务器间相互认证通过；
所述第三通信设备与第一网络间相互认证通过。
可选地，所述第三通信息设备为第一网络之外的通信设备。
一种实施方式中，上述第三通信设备与所述第二认证服务器间可以是预先相互认证通过。
一种实施方式中，第三通信设备与第一网络间相互认证通过。
通过本实施例中，发送第三信息，使得第二通信设备获取到上述第三信息，
这样能够支持第一网络选取第二认证服务器对第一通信设备进行认证，从而支持终端无与第一网络相关证书的情况下接入第一网络时，对终端进行认证，避免仿冒和不合法终端对第一网络的安全攻击。
请参见图5，图5是本发明实施例提供的另一种接入控制方法，该方法应用于第四通信设备，第四通信设备包括但不限于终端，如图5所示，包括以下步骤：
步骤501、获取第二信息；
步骤502、根据所述第二信息，执行第二操作；
其中，所述第二信息包括如下至少一项：
第一终端路由选择策略(如URSP)；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
一种实施方式中，上述第二信息可以参见图5所示的实施例中的第二信息，此处不作赘述。
一种实施方式中，上述获取第二信息可以是从第一网络获取上述第二信息。
可选的，所述第二操作包括以下至少一项：
建立第一数据通道，且所述第一数据通道满足至少以下之一：所述第一 数据通道用于第一通信设备与第一服务器间的交互，所述第一数据通道用于第一通信设备请求与第一网络相关的证书，所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
向第一服务器请求配置与第一网络相关的证书；
向第二认证服务器请求配置与第一网络相关的证书；
拒绝应用层除了目标第一服务器和/或证书下载应用之外访问请求或数据发送请求；
仅允许目标为第一服务器和/或证书下载应用的访问请求或数据发送请求。
一种实施方式中，所述用于第一数据通道(所述数据通道比如PDU会话)建立的相关信息包括以下至少一项：
DNN，切片信息(如NSSAI)，SSC Mode，数据通道类型(如PDU会话类型)。
一种实施方式中，所述第一数据通道为第一网络中的数据通道且用于下载与第一网络证书数据通道。
一种实施方式中，根据用于第一数据通道建立的相关信息和/或第二指示信息请求建立第一数据通道。
根据第一服务器的地址相关信息，向第一服务器请求配置与第一网络相关的证书。
根据第二认证服务器的地址相关信息，向第二认证服务器请求配置与第一网络相关的证书。不难理解，第二认证服务器根据所述请求，首先对第四通信设备进行验证，验证通过后，再向第一服务器请求为第四通信设备配置与第一网络相关的证书。
通过本实施例中，获取第二信息，并根据所述第二信息，执行第二操作，能够支持终端无与第一网络相关证书的情况下接入第一网络时，获取必要配置，以支持合法的终端获取与第一网络相关的证书，以接入第一网络的服务。
请参见图6，图6是本发明实施例提供的另一种接入控制方法，该方法应用于第五通信设备，第五通信设备包括但不限于以下之一：第一网络的通信设备，如AMF，如图6所示，包括以下步骤：
步骤601、发送第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略(如URSP)；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
可选地，发送第二信息的步骤之前，执行确定第二信息相关操作。
执行确定第二信息的相关操作包括
-确定第一终端路由选择策略的操作。
-默认DNN信息设置为空或不设置默认DNN信息。
-默认切片信息设置为空或不设置默认(NSSAI)切片信息。
不难理解，除了第一服务器，第一网络不允许终端访问其他的业务。默认DNN用于终端的应用或访问目标没有对应的路由选择策略中的DNN时，选用默认的DNN建立数据通道来访问所述应用或访问目标。因此不配置默认DNN便是不允许终端发起其他的业务。默认切片信息用于终端的应用或访问目标没有对应的路由选择策略中的切片信息时，选用默认的切片信息建立数据通道来访问所述应用或访问目标。因此不配置默认切片信息便是不允许终 端发起其他的业务。
可选的，所述确定第一终端路由选择策略的操作包括以下至少一项：
将第一终端路由选择策略中的应用描述设置为第一服务器的地址相关信息(比如将应用描述中设置为的第一服务器的IP三元组或者是第一服务器的FQDN)，
将第一终端路由选择策略中的应用描述设置为证书下载应用信息(比如将应用描述中设置为的证书下载应用)，
将第一终端路由选择策略中的应用描述设置为受限服务的DNN。
所述证书下载应用用于请求第一服务器配置与第一网络相关的证书。
一种实施方式中，可以通过控制面信令配置与第一网络相关的证书。不难理解，此时，可以通过第三指示信息限制不允许用户面，仅允许控制面。
可选的，在满足第四条件的情况下，执行确定第二信息相关操作和/或发送第二信息；
其中，所述第四条件可以包括：
终端接入第一网络的受限服务或接收到终端发送的第一指示信息；
确认终端初始认证通过或确认所述终端通过所述第二认证服务器的认证；
确认所述第一通信设备是非仿冒设备；
确认所述终端为第一网络的合法设备或终端是合法设备列表中的通信设备；
确认终端允许被配置所述第一网络相关的证书。
可选地，向终端发送第二信息。
能够支持终端无与第一网络相关证书的情况下接入第一网络时，获取必要配置，以支持合法的终端获取与第一网络相关的证书，以接入第一网络的服务。下面结合具体应用场景对本发明实施例的接入控制方法进行说明。
本发明实施例的应用场景1：
本发明实施例的应用场景1主要描述UE、SNPN和第二认证服务器之间的接入控制，如图7所示，包括以下步骤：
步骤1：AF向第一网络发送第三信息(第二认证服务器的相关信息)。
第三信息包括以下至少一项：第二认证服务器的索引信息与第二认证服务器地址信息的映射信息，第二认证服务器地址信息。
所述第二认证服务器的索引信息与第二认证服务器地址信息的映射信息中的第二认证服务器的索引信息可以索引到其映射的第二认证服务器地址信息。
AF可以为终端厂家的AF。
AF可以通过第一网络的NEF向第一网络的UDM发送所述信息。
步骤2：UE向第一网络的AMF发起注册请求。
可选地，在所述注册请求中包含第二认证服务器的索引信息。或者只提供终端的厂家信息。
第二认证服务器的索引信息可以包含以下至少一项：第二认证服务器的地址信息(如IP，FQDN，URL)，第二认证服务器归属的终端厂家的标识信息。
步骤3(可选地)：AMF向UE发送身份认证请求(identity request)，且身份认证类型(identity type)设置为以下至少一致：终端厂家(如Vendor ID)等相关类型、第二认证服务器索引信息、第二认证服务器地址信息。
UE在身份认证响应(identity response)中包含第二认证服务器的索引信息，比如UE vendor的标识信息。
步骤4(可选地)：AMF向UDM发送所述第二认证服务器的索引信息，获取认证服务器的地址信息。
UDM根据第二认证服务器的索引信息与第二认证服务器地址信息的映射信息、第二认证服务器的索引信息，可以确认第二认证服务器的地址信息。
UDM向AMF发送第二认证服务器的地址信息。
一种实施方式中，步骤4采用的是非UE相关的信令过程。
步骤5：AMF执行第一操作，所述第一操作包括以下至少一项：
确定第二认证服务器的地址，
向第二认证服务器请求认证(Authentication/Security)终端，
确认终端是否为第一网络的合法终端或是否允许配置与第一网络相关的证书的终端。
一种实施方式中，从AF获取第二认证服务器的索引信息与第二认证服务器地址信息的映射信息。
另一种实施方式中，从终端获取第二认证服务器的索引信息。
进一步地，当满足合法终端条件时，可以确认终端是第一网络的合法终端。合法终端条件可以包括至少以下一项：终端通过第二认证服务器的认证，终端是合法终端列表中的终端。所述合法终端可以是允许配置与第一网络相关的证书的终端。
步骤6：当确认终端是第一网络的合法终端时，向终端发送第二信息和注册接受消息。
所述第二信息如图5实施例所述。示例性的，所述第二信息包括以下至少一项：
用于受限服务的PDU会话建立的相关信息(如DNN、切片信息、SSC等)，
第一服务器的地址相关信息。
一种实施方式中，在发送注册接收消息中包括：第一服务器的地址相关信息。
步骤7：UE与SNPN建立会话。
步骤8：UE与配置服务器之间传输SNPN证书(credential)配置请求和配置响应。
本发明实施例的应用场景2：
本发明实施例的应用场景2主要描述UE、SNPN、配置服务器和第二认证服务器之间的接入控制，如图8所示，包括以下步骤：
步骤1(可选地)：配置服务器获取第三信息(或称为第二认证服务器的相关信息)。
第二认证服务器的相关信息包括以下至少一项：第二认证服务器的索引信息与第二认证服务器地址信息的映射信息，第二认证服务器地址信息。
所述第二认证服务器的索引信息与第二认证服务器地址信息的映射信息中的第二认证服务器的索引信息可以索引到其映射的第二认证服务器地址信息。
步骤2：UE向第一网络的AMF发起接入请求，发送第二认证服务器的索引信息。
第二认证服务器的索引信息可以包含以下至少一项：第二认证服务器的地址信息(如IP，FQDN，URL)，第二认证服务器归属的终端厂家的标识信息。
步骤3(可选地)：AMF向UDM发送所述第二认证服务器的索引信息，获取认证服务器的地址信息。
UDM根据第二认证服务器的索引信息与第二认证服务器地址信息的映射信息、第二认证服务器的索引信息，可以确认第二认证服务器的地址信息。
UDM向AMF发送第二认证服务器的地址信息。
一种实施方式中，步骤4采用的是非UE相关的信令过程。
步骤4：AMF执行以下操作至少一项：
确定第二认证服务器的地址，
向第一网络的配置服务器请求认证终端，
向第一网络的配置服务器发送第二认证服务器的地址信息或第二认证服务器的索引信息。
配置服务器执行以下操作至少一项：
确定第二认证服务器的地址，
向第二认证服务器请求认证终端。
认证完成步骤后，AMF执行以下操作至少一项：
确认终端是否为第一网络的合法终端或是否允许配置与第一网络相关的证书的终端，
确认是否允许终端注册。
进一步地，当满足合法终端条件时，可以确认终端是第一网络的合法终端。合法终端条件可以包括至少以下一项：终端通过第二认证服务器的认证，终端是合法终端列表中的终端。所述合法终端可以是允许配置与第一网络相关的证书的终端。
步骤5：当确认终端是第一网络的合法终端时，向终端发送第二信息和注册接受消息。
所述第二信息如图5实施例所述。示例性的，所述第二信息包括以下至少一项：
用于受限服务的PDU会话建立的相关信息(如DNN、切片信息、SSC等)，
第一服务器的地址相关信息。
一种实施方式中，在发送注册接收消息中包括：第一服务器的地址相关信息。
步骤6：UE与SNPN建立会话。
步骤7：UE与配置服务器传输SNPN证书(credential)配置。
本发明实施例的应用场景3：
本发明实施例的应用场景3主要描述UE、配置服务器和认证服务器之间的接入控制，如图9所示，包括以下步骤：
步骤1(可选地)：配置服务器获取第二认证服务器的相关信息。
第二认证服务器的相关信息包括以下至少一项：第二认证服务器的索引信息与第二认证服务器地址信息的映射信息，第二认证服务器地址信息。
所述第二认证服务器的索引信息与第二认证服务器地址信息的映射信息中的第二认证服务器的索引信息可以索引到其映射的第二认证服务器地址信息。
步骤2：UE向第一网络的AMF发起注册请求。
AMF向终端发送第二信息和注册接受消息。
所述第二信息包括以下至少一项：
用于受限服务的PDU会话建立的相关信息(如DNN、切片信息、SSC等)，
第一服务器的地址相关信息。
一种实施方式中，在发送注册接收消息中包括：第一服务器(如配置服务器)的地址相关信息。
步骤3：UE与第一网络PDU会话建立。所述PDU会话为受限服务的PDU会话。
另一种可选的方式中，SMF向终端发送第二信息。
步骤4：UE向配置服务器发起配置请求。UE向配置服务器发送第二认证服务器的索引信息。
第二认证服务器的索引信息可以包含以下至少一项：认证服务器的地址信息(如IP，FQDN，URL)，认证服务器归属的终端厂家的标识信息。
步骤5：配置服务器执行以下操作至少一项：
确定第二认证服务器的地址，
向第二认证服务器请求认证终端。
认证完成步骤后，配置服务器执行以下操作至少一项：
确认终端是否为第一网络的合法终端或是否允许配置与第一网络相关的证书的终端，
进一步地，当满足合法终端条件时，可以确认终端是第一网络的合法终端。合法终端条件可以包括至少以下一项：终端通过第二认证服务器的认证，终端是合法终端列表中的终端。所述合法终端可以是允许配置与第一网络相关的证书的终端。
步骤6：当确认终端是第一网络的合法终端时，向终端配置与第一网络相关的证书(credential)。
本发明实施例的应用场景4
本发明实施例的应用场景4主要描述UE和配置服务器之间的接入控制，如图10所示，包括以下步骤：
步骤1：UE向第一网络的AMF发起注册请求。
AMF向终端发送第二信息和注册接受消息。
所述第二信息如图5实施例所述。示例性的，所述第二信息包括以下至少一项：
用于受限服务的PDU会话建立的相关信息(如DNN、切片信息、SSC等)，
第一服务器的地址相关信息。
一种实施方式中，在发送注册接收消息中包括：第一服务器(如配置服务器)的地址相关信息。
步骤2：UE与第一网络PDU会话建立。所述PDU会话为受限服务的PDU 会话。
另一种可选的方式中，SMF向终端发送第二信息。
步骤3：UE向配置服务器发起配置请求。
步骤4：配置服务器对终端进行认证。
认证完成步骤后，配置服务器执行以下操作至少一项：
确认终端是否为第一网络的合法终端或是否允许配置与第一网络相关的证书的终端；
进一步地，当满足合法终端条件时，可以确认终端是第一网络的合法终端。合法终端条件可以包括至少以下一项：终端通过第二认证服务器的认证，终端是合法终端列表中的终端。所述合法终端可以是允许配置与第一网络相关的证书的终端。
步骤5：当确认终端是第一网络的合法终端时，向终端配置与第一网络相关的证书。
本发明实施例中，可以实现如下：
UE刚出厂接入SNPN时或接入SNPN的配置服务器时，提供标识UE厂家(vendor)的相关信息，SNPN收到后用于选择UE厂家的第二认证服务器(如AAA)对UE进行认证。
SNPN可以定义的新的identity类型获取UE的厂家等第二认证服务器的索引信息。
SNPN向UE发送配置服务器的地址相关信息，用于UE通过用户面向配置服务器发起配置请求或者SNPN通过控制面向配置服务器为UE请求与第一网络相关的证书
通过本发明实施例，一方面可以支持UE无SNPN的证书时接入SNPN时，对UE进行认证和配置，避免仿冒和不合法UE的安全攻击；另一方面支持对UE进行SNPN的证书配置。
请参见图11，图11是本发明实施例提供的一种通信设备的结构图，所述通信设备为第一通信设备，如图11所示，通信设备1100包括：
第一发送模块1101，用于向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
第二认证服务器的索引信息，
所述第一通信设备的厂家的相关信息，
所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
可选的，所述发送第一信息包括：
当满足第一条件时，发送第一信息；
其中，所述第一条件包括以下至少一项：
所述第一通信设备具有第二证书；
所述第一通信设备不具有与第一网络相关的证书；
所述第一通信设备请求接入第一网络；
所述第一通信设备请求接入第一网络的受限服务；
所述第一通信设备请求获取与第一网络相关的证书；
获取到所述第一信息中的至少一项；
获取到对所述第一信息的请求信息；
获取到第一网络支持受限服务的信息；
获取到第一网络支持和/或要求对受限服务进行认证的信息；
获取到第一网络支持和/或要求对所述第一通信设备的认证的信息；
获取到所述第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
可选的，所述对所述第一信息的请求信息包括以下至少一项：
对所述第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
可选的，所述发送第一信息的步骤之前，所述通信设备还包括：
第二发送模块，用于向所述第一目标端发送接入请求和/或发送第一指示信息，
其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
可选的，所述通信设备还包括：
接收模块，用于接收第一目标端发送的以下至少一项信息：
对所述第一信息的请求信息；
第一网络支持受限服务的信息；
第一网络支持和/或要求对受限服务进行认证的信息；
所述第一网络支持和/或要求对所述第一通信设备的认证的信息；
所述第一网络支持向所述第一通信设备配置与第一网络相关的证书的信息。
可选的，所述通信设备还包括：
获取模块，用于获取第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
通信设备1100能够实现本发明方法实施例中第一通信设备实现的各个过程，以及达到相同的有益效果，为避免重复，这里不再赘述。
参见图12，本发明实施例提供了另一种通信设备，该通信设备为第二通信设备，如图12所示，通信设备1200包括：
获取模块1201，用于获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；
执行模块1202，用于根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；
其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
所述第三信息包括以下至少一项：
所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
可选的，所述第一操作包括如下至少一项：
确定所述第二认证服务器；
确定向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向第一服务器请求对所述第一通信设备进行认证；
向所述第一服务器发送所述第一信息；
确认所述第一通信设备是否为第一网络的合法设备；
确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
确认是否允许所述第一网络接受所述第一通信设备的注册请求；
其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络 相关的证书的服务器。
可选的，所述确定第二认证服务器的步骤包括但不限于如下至少一项：
根据第一信息中的所述第二认证服务器的索引信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
根据第一信息中的所述第一通信设备的厂家的相关信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
根据第一信息中的所述第二认证服务器的地址相关信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
根据第一指示信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
和/或，
所述确定向所述第二认证服务器请求对第一通信设备进行认证的步骤包括但不限于如下至少一项：
根据第一指示信息和/或第一信息，确定向所述第二认证服务器请求对第一通信设备进行认证；
根据第一指示信息和/或第三信息中的所述第二认证服务器的地址相关信息，确定向所述第二认证服务器请求对第一通信设备进行认证。
可选的，在所述第一通信设备满足第二条件时，确认所述第一通信设备为所述第一网络的合法设备；
其中，所述第二条件包括如下至少一项：
所述第一通信设备通过所述第二认证服务器的认证；
所述第一通信设备是合法设备列表中的通信设备。
可选的，所述合法设备列表包括如下至少一项：
还未配置与第一网络相关的证书的第一网络的合法通信设备；
允许配置与第一网络相关的证书的通信设备。
可选的，所述通信设备还包括：
接收模块，用于接收第一通信设备的接入请求和/或第一指示信息；其中， 所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
第一发送模块，用于基于所述接入请求和/或第一指示信息，发送对第一信息的请求信息。
可选的，所述对第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
可选的，所述通信设备还包括：
第二发送模块，用于在确定所述第一通信设备为第一网络的合法设备的情况下，发送第二信息，其中，所述第二信息包括如下至少一项：
用于第一数据通道建立的相关信息；
第二指示信息；
第一服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一数据通道为第一网络中的数据通道；
第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互；
所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
通信设备1200能够实现本发明方法实施例中第二通信设备实现的各个过程，以及达到相同的有益效果，为避免重复，这里不再赘述。
参见图13，本发明实施例提供了另一种通信设备，该通信设备为第三通信设备，如图13所示，通信设备1300包括：
确定模块1301，用于确定第三信息；
发送模块1302，用于发送第三信息；
其中，所述第三信息包括如下至少一项：
第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
可选的，所述发送所述第二认证服务器的相关信息，包括：
满足第三条件的情况下，发送所述第二认证服务器的相关信息；
所述第三条件包括如下至少一项：
所述第三通信设备与所述第二认证服务器间相互认证通过；
所述第三通信设备与第一网络间相互认证通过。
通信设备1300能够实现本发明方法实施例中第三通信设备实现的各个过程，以及达到相同的有益效果，为避免重复，这里不再赘述。
参见图14，本发明实施例提供了另一种通信设备，该通信设备为第四通信设备，如图14所示，通信设备1400包括：
获取模块1401，用于获取第二信息；
执行模块1402，用于根据所述第二信息，执行第二操作；
其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
可选的，所述第二操作包括以下至少一项：
建立第一数据通道，且所述第一数据通道满足至少以下之一：所述第一数据通道用于第一通信设备与第一服务器间的交互，所述第一数据通道用于第一通信设备请求与第一网络相关的证书，所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
向第一服务器请求配置与第一网络相关的证书；
向第二认证服务器请求配置与第一网络相关的证书；
拒绝应用层除了目标第一服务器和/或证书下载应用之外访问请求或数据发送请求；
仅允许目标为第一服务器和/或证书下载应用的访问请求或数据发送请求。
通信设备1400能够实现本发明方法实施例中第四通信设备实现的各个过程，以及达到相同的有益效果，为避免重复，这里不再赘述。
参见图15，本发明实施例提供了另一种通信设备，该通信设备为第五通信设备，如图15所示，通信设备1500包括：
发送模块1501，用于发送第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
可选的，在满足第四条件的情况下，执行确定第二信息相关操作和/或发送第二信息；
其中，所述第四条件包括：
终端接入第一网络的受限服务或接收到终端发送的第一指示信息；
确认终端初始认证通过或确认所述终端通过所述第二认证服务器的认证；
确认所述第一通信设备是非仿冒设备；
确认所述终端为第一网络的合法设备或终端是合法设备列表中的通信设备；
确认终端允许被配置所述第一网络相关的证书。
通信设备1500能够实现本发明方法实施例中第三通信设备实现的各个过程，以及达到相同的有益效果，为避免重复，这里不再赘述。
参见图16，图16是本发明实施例提供的通信设备的结构图之五。如图16所示，通信设备1600包括：存储器1601、处理器1602及存储在存储器1601上并可在处理器1602上运行的计算机程序16011。
其中，在通信设备1600表现为上述方法实施例中的第一通信设备时，计算机程序16011被处理器1602执行时实现如下步骤：
向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
第二认证服务器的索引信息，
所述第一通信设备的厂家的相关信息，
所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
可选的，所述发送第一信息包括：
当满足第一条件时，发送第一信息；
其中，所述第一条件包括以下至少一项：
所述第一通信设备具有第二证书；
所述第一通信设备不具有与第一网络相关的证书；
所述第一通信设备请求接入第一网络；
所述第一通信设备请求接入第一网络的受限服务；
所述第一通信设备请求获取与第一网络相关的证书；
获取到所述第一信息中的至少一项；
获取到对所述第一信息的请求信息；
获取到第一网络支持受限服务的信息；
获取到第一网络支持和/或要求对受限服务进行认证的信息；
获取到第一网络支持和/或要求对所述第一通信设备的认证的信息；
获取到所述第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
可选的，所述对所述第一信息的请求信息包括以下至少一项：
对所述第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
可选的，所述发送第一信息的步骤之前，计算机程序16011被处理器1602执行时还实现如下步骤：
向所述第一目标端发送接入请求和/或发送第一指示信息，
其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
可选的，所述发送第一信息的步骤之前，计算机程序16011被处理器1602执行时还实现如下步骤：
接收第一目标端发送的以下至少一项信息：
对所述第一信息的请求信息；
对所述第一信息的请求信息；
第一网络支持受限服务的信息；
第一网络支持和/或要求对受限服务进行认证的信息；
第一网络支持和/或要求对所述第一通信设备的认证的信息；
第一网络支持向所述第一通信设备配置与第一网络相关的证书的信息。
可选的，计算机程序16011被处理器1602执行时还实现如下步骤：
获取第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控 制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
其中，在通信设备1600表现为上述方法实施例中的第二通信设备时，计算机程序16011被处理器1602执行时实现如下步骤：
获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；
根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；
其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
所述第三信息包括以下至少一项：
所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
可选的，所述第一操作包括如下至少一项：
确定所述第二认证服务器；
确定向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向所述第二认证服务器请求对第一通信设备进行认证；
向第一服务器请求对所述第一通信设备进行认证；
向所述第一服务器发送所述第一信息；
确认所述第一通信设备是否为第一网络的合法设备；
确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
确认是否允许所述第一网络接受所述第一通信设备的注册请求；
其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络相关的证书的服务器。
可选的，所述确定第二认证服务器的步骤包括但不限于如下至少一项：
根据第一信息中的所述第二认证服务器的索引信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息 的映射信息，确定第二认证服务器；
根据第一信息中的所述第一通信设备的厂家的相关信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
根据第一信息中的所述第二认证服务器的地址相关信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
根据第一指示信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
和/或，
所述确定向所述第二认证服务器请求对第一通信设备进行认证的步骤包括但不限于如下至少一项：
根据第一指示信息和/或第一信息，确定向所述第二认证服务器请求对第一通信设备进行认证；
根据第一指示信息和/或第三信息中的所述第二认证服务器的地址相关信息，确定向所述第二认证服务器请求对第一通信设备进行认证。
可选的，在所述第一通信设备满足第二条件时，确认所述第一通信设备为所述第一网络的合法设备；
其中，所述第二条件包括如下至少一项：
所述第一通信设备通过所述第二认证服务器的认证；
所述第一通信设备是合法设备列表中的通信设备。
可选的，所述合法设备列表包括如下至少一项：
还未配置与第一网络相关的证书的第一网络的合法通信设备；
允许配置与第一网络相关的证书的通信设备。
可选的，所述获取第一信息之前，计算机程序16011被处理器1602执行时还实现如下步骤：
接收第一通信设备的接入请求和/或第一指示信息；其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
基于所述接入请求和/或第一指示信息，发送对第一信息的请求信息。
可选的，所述对第一信息的请求信息包括以下至少一项：
第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
可选的，计算机程序16011被处理器1602执行时还实现如下步骤：
在确定所述第一通信设备为第一网络的合法设备的情况下，发送第二信息，其中，所述第二信息包括如下至少一项：
用于第一数据通道建立的相关信息；
第二指示信息；
第一服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一数据通道为第一网络中的数据通道；
第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互；
所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
其中，在通信设备1600表现为上述方法实施例中的第三通信设备时，计算机程序16011被处理器1602执行时实现如下步骤：
确定第三信息；
发送第三信息；
其中，所述第三信息包括如下至少一项：
第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
所述第二认证服务器的地址相关信息。
可选的，所述发送所述第二认证服务器的相关信息，包括：
满足第三条件的情况下，发送所述第二认证服务器的相关信息；
所述第三条件包括如下至少一项：
所述第三通信设备与所述第二认证服务器间相互认证通过；
所述第三通信设备与第一网络间相互认证通过。
其中，在通信设备1600表现为上述方法实施例中的第四通信设备时，计算机程序16011被处理器1602执行时实现如下步骤：
获取第二信息；
根据所述第二信息，执行第二操作；
其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
可选的，所述第二操作包括以下至少一项：
建立第一数据通道，且所述第一数据通道满足至少以下之一：所述第一数据通道用于第一通信设备与第一服务器间的交互，所述第一数据通道用于第一通信设备请求与第一网络相关的证书，所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
向第一服务器请求配置与第一网络相关的证书；
向第二认证服务器请求配置与第一网络相关的证书；
拒绝应用层除了目标第一服务器和/或证书下载应用之外访问请求或数据发送请求；
仅允许目标为第一服务器和/或证书下载应用的访问请求或数据发送请求。
其中，在通信设备1600表现为上述方法实施例中的第五通信设备时，计算机程序16011被处理器1602执行时实现如下步骤：
发送第二信息，其中，所述第二信息包括如下至少一项：
第一终端路由选择策略；
默认DNN信息设置为空；
默认切片信息设置为空；
用于第一数据通道建立的相关信息；
第二指示信息；
第三指示信息；
第一服务器的地址相关信息；
第二认证服务器的地址相关信息；
其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
所述第一数据通道为第一网络中的数据通道；
所述第二指示信息用于指示以下至少一项：
所述第一数据通道用于第一通信设备与第一服务器间的交互，
所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
可选的，在满足第四条件的情况下，执行确定第二信息相关操作和/或发送第二信息；
其中，所述第四条件包括：
终端接入第一网络的受限服务或接收到终端发送的第一指示信息；
确认终端初始认证通过或确认所述终端通过所述第二认证服务器的认证；
确认所述第一通信设备是非仿冒设备；
确认所述终端为第一网络的合法设备或终端是合法设备列表中的通信设备；
确认终端允许被配置所述第一网络相关的证书。
通信设备1600能够实现上述方法实施例中通信设备实现的各个过程，为避免重复，这里不再赘述。
本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述任一接入控制方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，ROM)、随机存取存储器(Random Access Memory，RAM)、磁碟或者光盘等。
需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者网络设备等)执行本发明各个实施例所述的方法。
上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求 所保护的范围情况下，还可做出很多形式，均属于本发明的保护之内。

Claims (34)

  1. 一种接入控制方法，应用于第一通信设备，包括：
    向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
    第二认证服务器的索引信息，
    所述第一通信设备的厂家的相关信息，
    所述第二认证服务器的地址相关信息；
    所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
  2. 如权利要求1所述的方法，其中，所述发送第一信息包括：
    当满足第一条件时，发送第一信息；
    其中，所述第一条件包括以下至少一项：
    所述第一通信设备具有第二证书；
    所述第一通信设备不具有与第一网络相关的证书；
    所述第一通信设备请求接入第一网络；
    所述第一通信设备请求接入第一网络的受限服务；
    所述第一通信设备请求获取与第一网络相关的证书；
    获取到所述第一信息中的至少一项；
    获取到对所述第一信息的请求信息；
    获取到第一网络支持受限服务的信息；
    获取到第一网络支持和/或要求对受限服务进行认证的信息；
    获取到第一网络支持和/或要求对所述第一通信设备的认证的信息；
    获取到所述第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
  3. 如权利要求2所述的方法，其中，所述对所述第一信息的请求信息包括以下至少一项：
    对所述第一信息的请求信息包括以下至少一项：
    第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家 信息，
    第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
    第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
  4. 如权利要求1所述的方法，其中，所述发送第一信息的步骤之前，所述方法还包括：
    向所述第一目标端发送接入请求和/或发送第一指示信息，
    其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
  5. 如权利要求1所述的方法，其中，所述发送第一信息的步骤之前，所述方法还包括：
    接收第一目标端发送的以下至少一项信息：
    对所述第一信息的请求信息；
    第一网络支持受限服务的信息；
    第一网络支持和/或要求对受限服务进行认证的信息；
    第一网络支持和/或要求对所述第一通信设备的认证的信息；
    第一网络支持向所述第一通信设备配置与第一网络相关的证书的信息。
  6. 如权利要求1所述的方法，还包括：
    获取第二信息，其中，所述第二信息包括如下至少一项：
    第一终端路由选择策略；
    默认DNN信息设置为空；
    默认切片信息设置为空；
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第三指示信息；
    第一服务器的地址相关信息；
    第二认证服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
    所述第一数据通道为第一网络中的数据通道；
    所述第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互，
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
    所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
  7. 一种接入控制方法，应用于第二通信设备，包括：
    获取第一信息、第一指示信息、合法设备列表和第三信息中的至少一项；
    根据所述第一信息、第一指示信息、合法设备列表和第三信息中的至少一项，执行第一操作；
    其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
    所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
    所述第三信息包括以下至少一项：
    所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
    所述第二认证服务器的地址相关信息。
  8. 如权利要求7所述的方法，其中，所述第一操作包括如下至少一项：
    确定所述第二认证服务器；
    确定向所述第二认证服务器请求对第一通信设备进行认证；
    向所述第二认证服务器请求对第一通信设备进行认证；
    向所述第二认证服务器请求对第一通信设备进行认证；
    向第一服务器请求对所述第一通信设备进行认证；
    向所述第一服务器发送所述第一信息；
    确认所述第一通信设备是否为第一网络的合法设备；
    确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
    确认是否允许所述第一网络接受所述第一通信设备的注册请求；
    其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络相关的证书的服务器。
  9. 如权利要求8所述的方法，其中，所述确定第二认证服务器的步骤包括但不限于如下至少一项：
    根据第一信息中的所述第二认证服务器的索引信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
    根据第一信息中的所述第一通信设备的厂家的相关信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
    根据第一信息中的所述第二认证服务器的地址相关信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
    根据第一指示信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
    和/或，
    所述确定向所述第二认证服务器请求对第一通信设备进行认证的步骤包括但不限于如下至少一项：
    根据第一指示信息和/或第一信息，确定向所述第二认证服务器请求对第一通信设备进行认证；
    根据第一指示信息和/或第三信息中的所述第二认证服务器的地址相关信息，确定向所述第二认证服务器请求对第一通信设备进行认证。
  10. 如权利要求8所述的方法，其中，在所述第一通信设备满足第二条件时，确认所述第一通信设备为所述第一网络的合法设备；
    其中，所述第二条件包括如下至少一项：
    所述第一通信设备通过所述第二认证服务器的认证；
    所述第一通信设备是合法设备列表中的通信设备。
  11. 如权利要求10所述的方法，其中，所述合法设备列表包括如下至少一项：
    还未配置与第一网络相关的证书的第一网络的合法通信设备；
    允许配置与第一网络相关的证书的通信设备。
  12. 如权利要求7所述的方法，其中，所述获取第一信息之前，所述方法还包括：
    接收第一通信设备的接入请求和/或第一指示信息；其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务；
    基于所述接入请求和/或第一指示信息，发送对第一信息的请求信息。
  13. 如权利要求12所述的方法，其中，所述对第一信息的请求信息包括以下至少一项：
    第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
    第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
    第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
  14. 如权利要求7所述的方法，还包括：
    在确定所述第一通信设备为第一网络的合法设备的情况下，发送第二信息，其中，所述第二信息包括如下至少一项：
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第一服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一数据通道为第一网络中的数据通道；
    第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互；
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
  15. 一种接入控制方法，应用于第三通信设备，包括：
    确定第三信息；
    发送第三信息；
    其中，所述第三信息包括如下至少一项：
    第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
    所述第二认证服务器的地址相关信息。
  16. 如权利要求15所述的方法，其中，所述发送所述第二认证服务器的相关信息，包括：
    满足第三条件的情况下，发送所述第二认证服务器的相关信息；
    所述第三条件包括如下至少一项：
    所述第三通信设备与所述第二认证服务器间相互认证通过；
    所述第三通信设备与第一网络间相互认证通过。
  17. 一种接入控制方法，应用于第四通信设备，包括：
    获取第二信息；
    根据所述第二信息，执行第二操作；
    其中，所述第二信息包括如下至少一项：
    第一终端路由选择策略；
    默认DNN信息设置为空；
    默认切片信息设置为空；
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第三指示信息；
    第一服务器的地址相关信息；
    第二认证服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
    所述第一数据通道为第一网络中的数据通道；
    所述第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互，
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
    所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
  18. 如权利要求17所述的方法，其中，所述第二操作包括以下至少一项：
    建立第一数据通道，且所述第一数据通道满足至少以下之一：所述第一数据通道用于第一通信设备与第一服务器间的交互，所述第一数据通道用于第一通信设备请求与第一网络相关的证书，所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
    向第一服务器请求配置与第一网络相关的证书；
    向第二认证服务器请求配置与第一网络相关的证书；
    拒绝应用层除了目标第一服务器和/或证书下载应用之外访问请求或数据发送请求；
    仅允许目标为第一服务器和/或证书下载应用的访问请求或数据发送请求。
  19. 一种接入控制方法，应用于第五通信设备，包括：
    发送第二信息，其中，所述第二信息包括如下至少一项：
    第一终端路由选择策略；
    默认DNN信息设置为空；
    默认切片信息设置为空；
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第三指示信息；
    第一服务器的地址相关信息；
    第二认证服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一终端路由选择策略用于访问第一服务器或证书下载应用；
    所述第一数据通道为第一网络中的数据通道；
    所述第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互，
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书，
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书；
    所述第三指示信息用于指示以下至少一项：仅允许受限服务，仅允许控制面，不允许用户面，仅允许访问第一服务器，仅允许证书下载应用。
  20. 如权利要求19所述的方法，其中，在满足第四条件的情况下，执行确定第二信息相关操作和/或发送第二信息；
    其中，所述第四条件包括：
    终端接入第一网络的受限服务或接收到终端发送的第一指示信息；
    确认终端初始认证通过或确认所述终端通过所述第二认证服务器的认证；
    确认所述第一通信设备是非仿冒设备；
    确认所述终端为第一网络的合法设备或终端是合法设备列表中的通信设备；
    确认终端允许被配置所述第一网络相关的证书。
  21. 一种通信设备，所述通信设备为第一通信设备，包括：
    第一发送模块，用于向第一目标端发送第一信息和/或第一指示信息，其中，所述第一信息包括如下至少一项：
    第二认证服务器的索引信息，
    所述第一通信设备的厂家的相关信息，
    所述第二认证服务器的地址相关信息；
    所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
  22. 如权利要求21所述的终端，其中，所述发送第一信息包括：当满足第一条件时，发送第一信息；
    其中，所述第一条件包括以下至少一项：
    所述第一通信设备具有第二证书；
    所述第一通信设备不具有与第一网络相关的证书；
    所述第一通信设备请求接入第一网络；
    所述第一通信设备请求接入第一网络的受限服务；
    所述第一通信设备请求获取与第一网络相关的证书；
    获取到所述第一信息中的至少一项；
    获取到对所述第一信息的请求信息；
    获取到第一网络支持受限服务的信息；
    获取到第一网络支持和/或要求对受限服务进行认证的信息；
    获取到第一网络支持和/或要求对所述第一通信设备的认证的信息；
    获取到所述第一网络支持向所述第一通信设备配置与所述第一网络相关的证书的信息。
  23. 如权利要求22所述的终端，其中，所述对所述第一信息的请求信息包括以下至少一项：
    对所述第一信息的请求信息包括以下至少一项：
    第一请求信息，且所述第一请求信息用于请求所述第一通信设备的厂家信息，
    第二请求信息，且所述第二请求信息用于请求所述第二认证服务器的索引信息，
    第三请求信息，且所述第三请求信息用于请求所述第二认证服务器的地址相关信息。
  24. 如权利要求21所述的终端，其中，所述发送第一信息的步骤之前，所述通信设备还包括：
    第二发送模块，用于向所述第一目标端发送接入请求和/或发送第一指示信息，
    其中，所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类型为受限服务。
  25. 一种通信设备，所述通信设备为第二通信设备，包括：
    获取模块，用于获取第一信息、第一指示信息和第三信息中的至少一项；
    执行模块，用于根据所述第一信息、第一指示信息和第三信息中的至少一项，执行第一操作；
    其中，所述第一信息包括如下至少一项：第二认证服务器的索引信息，第一通信设备的厂家的相关信息，所述第二认证服务器的地址相关信息；
    所述第一指示信息用于请求获取与第一网络相关的证书或指示接入的类 型为受限服务；
    所述第三信息包括以下至少一项：
    所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
    所述第二认证服务器的地址相关信息。
  26. 如权利要求25所述的通信设备，其中，所述第一操作包括如下至少一项：
    确定所述第二认证服务器；
    确定向所述第二认证服务器请求对第一通信设备进行认证；
    向所述第二认证服务器请求对第一通信设备进行认证；
    向所述第二认证服务器请求对第一通信设备进行认证；
    向第一服务器请求对所述第一通信设备进行认证；
    向所述第一服务器发送所述第一信息；
    确认所述第一通信设备是否为第一网络的合法设备；
    确认是否允许为所述第一通信设备配置所述与第一网络相关的证书；
    确认是否允许所述第一网络接受所述第一通信设备的注册请求；
    其中，所述第一服务器为能够为所述第一通信设备配置与所述第一网络相关的证书的服务器。
  27. 如权利要求26所述的通信设备，其中，所述确定第二认证服务器的步骤包括但不限于如下至少一项：
    根据第一信息中的所述第二认证服务器的索引信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
    根据第一信息中的所述第一通信设备的厂家的相关信息，以及所述第三信息中的所述第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息，确定第二认证服务器；
    根据第一信息中的所述第二认证服务器的地址相关信息和/或所述第三信息中的所述第二认证服务器的地址相关信息，确定第二认证服务器；
    根据第一指示信息和/或所述第三信息中的所述第二认证服务器的地址 相关信息，确定第二认证服务器；
    和/或，
    所述确定向所述第二认证服务器请求对第一通信设备进行认证的步骤包括但不限于如下至少一项：
    根据第一指示信息和/或第一信息，确定向所述第二认证服务器请求对第一通信设备进行认证；
    根据第一指示信息和/或第三信息中的所述第二认证服务器的地址相关信息，确定向所述第二认证服务器请求对第一通信设备进行认证。
  28. 如权利要求26所述的通信设备，其中，在所述第一通信设备满足第二条件时，确认所述第一通信设备为所述第一网络的合法设备；
    其中，所述第二条件包括如下至少一项：
    所述第一通信设备通过所述第二认证服务器的认证；
    所述第一通信设备是合法设备列表中的通信设备。
  29. 一种通信设备，所述通信设备为第三通信设备，包括：
    发送模块，用于发送第三信息；
    其中，所述第三信息包括如下至少一项：
    第二认证服务器的索引信息与所述第二认证服务器的地址相关信息的映射信息；
    所述第二认证服务器的地址相关信息。
  30. 如权利要求29所述的通信设备，其中，所述发送所述第二认证服务器的相关信息，包括：
    满足第三条件的情况下，发送所述第二认证服务器的相关信息；
    所述第三条件包括如下至少一项：
    所述第三通信设备与所述第二认证服务器间相互认证通过；
    所述第三通信设备与第一网络间相互认证通过。
  31. 一种通信设备，所述通信设备为第四通信设备，包括：
    获取模块，用于获取第二信息；
    执行模块，用于根据所述第二信息，执行第二操作；
    其中，所述第二信息包括如下至少一项：
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第一服务器的地址相关信息；
    第二认证服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一数据通道为第一网络中的数据通道；
    所述第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互；
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
  32. 一种通信设备，所述通信设备为第五通信设备，包括：
    发送模块，用于发送第二信息，其中，所述第二信息包括如下至少一项：
    用于第一数据通道建立的相关信息；
    第二指示信息；
    第一服务器的地址相关信息；
    第二认证服务器的地址相关信息；
    其中，所述第一服务器为能够配置与第一网络相关的证书的服务器；
    所述第一数据通道为第一网络中的数据通道；
    所述第二指示信息用于指示以下至少一项：
    所述第一数据通道用于第一通信设备与第一服务器间的交互；
    所述第一数据通道用于第一通信设备请求与第一网络相关的证书；
    所述第一数据通道用于向第一通信设备配置与第一网络相关的证书。
  33. 一种通信设备，包括处理器、存储器及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述计算机程序被所述处理器执行时实现如权利要求1至6中任一项所述的接入控制方法的步骤，或者，实现如权利要求7至14中任一项所述的接入控制方法的步骤，或者，实现如权利要求15至16中任一项所述的接入控制方法的步骤，或者，实现如权利要求17至18中任一项所述的接入控制方法的步骤，或者，实现如权利要求19至20中任一项所述的接入控制方法的步骤。
  34. 一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至6中任一项所述的接入控制方法的步骤，或者，实现如权利要求7至14中任一项所述的接入控制方法的步骤，或者，实现如权利要求15至16中任一项所述的接入控制方法的步骤，或者，实现如权利要求17至18中任一项所述的接入控制方法的步骤，或者，实现如权利要求19至20中任一项所述的接入控制方法的步骤。
PCT/CN2021/081741 2020-03-20 2021-03-19 接入控制方法及通信设备 WO2021185347A1 (zh)

Priority Applications (5)

Application Number Priority Date Filing Date Title
KR1020227035733A KR20220154207A (ko) 2020-03-20 2021-03-19 접속 제어 방법 및 통신기기
JP2022554249A JP2023516782A (ja) 2020-03-20 2021-03-19 アクセス制御方法及び通信機器
EP21770556.5A EP4124084A4 (en) 2020-03-20 2021-03-19 ACCESS CONTROL METHOD AND COMMUNICATION DEVICE
BR112022018580A BR112022018580A2 (pt) 2020-03-20 2021-03-19 Método de controle de acesso e dispositivo de comunicações
US17/947,713 US20230017260A1 (en) 2020-03-20 2022-09-19 Access control method and communications device

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN202010203175.8 2020-03-20
CN202010203175.8A CN113498055B (zh) 2020-03-20 2020-03-20 接入控制方法及通信设备

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/947,713 Continuation US20230017260A1 (en) 2020-03-20 2022-09-19 Access control method and communications device

Publications (1)

Publication Number Publication Date
WO2021185347A1 true WO2021185347A1 (zh) 2021-09-23

Family

ID=77770505

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2021/081741 WO2021185347A1 (zh) 2020-03-20 2021-03-19 接入控制方法及通信设备

Country Status (7)

Country Link
US (1) US20230017260A1 (zh)
EP (1) EP4124084A4 (zh)
JP (1) JP2023516782A (zh)
KR (1) KR20220154207A (zh)
CN (1) CN113498055B (zh)
BR (1) BR112022018580A2 (zh)
WO (1) WO2021185347A1 (zh)

Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050154895A1 (en) * 2002-04-26 2005-07-14 Junbiao Zhang Transitive authentication authorization accounting in the interworking between access networks
US20070248050A1 (en) * 2006-04-25 2007-10-25 Motorola, Inc. Method and system for propagating mutual authentication data in wireless communication networks
CN101946455A (zh) * 2008-02-21 2011-01-12 上海贝尔股份有限公司 用于异构网络的一次通过认证机制和系统
CN102215487A (zh) * 2010-04-09 2011-10-12 国际商业机器公司 通过公共无线网络安全地接入专用网络的方法和系统
CN104769909A (zh) * 2012-08-30 2015-07-08 艾诺威网络有限公司 网间认证
CN106465120A (zh) * 2014-04-15 2017-02-22 瑞典爱立信有限公司 用于对网路进行集成的方法和节点

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004235890A (ja) * 2003-01-29 2004-08-19 Canon Inc 認証方法
US8743778B2 (en) * 2006-09-06 2014-06-03 Devicescape Software, Inc. Systems and methods for obtaining network credentials
JP2009031848A (ja) * 2007-07-24 2009-02-12 Fujitsu Ltd 認証転送装置
JP2009223389A (ja) * 2008-03-13 2009-10-01 Ricoh Co Ltd 接続制御装置、接続制御方法及び接続制御プログラム
EP2680628A1 (en) * 2012-06-27 2014-01-01 Rogers Communications Inc. System and method for remote provisioning of embedded universal integrated circuit cards.
WO2014052750A2 (en) * 2012-09-27 2014-04-03 Interdigital Patent Holdings, Inc. End-to-end architecture, api framework, discovery, and access in a virtualized network
KR20160114437A (ko) * 2015-03-24 2016-10-05 아주대학교산학협력단 Mac 어드레스를 이용하여 인증을 수행하기 위한 시스템 및 그 방법
KR102633995B1 (ko) * 2016-08-22 2024-02-06 삼성전자 주식회사 무선 통신 시스템에서, 단말과 써드 파티 서버 간의 인증 요청 방법 및, 이를 위한 단말 및 네트워크 슬라이스 인스턴스 관리 장치
KR102589503B1 (ko) * 2017-01-02 2023-10-16 삼성전자 주식회사 데이터 사용량을 공유 받는 공유 대상 장치를 설정하는 방법과, 이를 위한 전자 장치
CN110401951B (zh) * 2018-04-25 2022-10-18 华为技术有限公司 认证无线局域网中终端的方法、装置和系统
US10558794B2 (en) * 2018-05-09 2020-02-11 Cody Myers Indexable authentication system and method

Patent Citations (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050154895A1 (en) * 2002-04-26 2005-07-14 Junbiao Zhang Transitive authentication authorization accounting in the interworking between access networks
US20070248050A1 (en) * 2006-04-25 2007-10-25 Motorola, Inc. Method and system for propagating mutual authentication data in wireless communication networks
CN101946455A (zh) * 2008-02-21 2011-01-12 上海贝尔股份有限公司 用于异构网络的一次通过认证机制和系统
CN102215487A (zh) * 2010-04-09 2011-10-12 国际商业机器公司 通过公共无线网络安全地接入专用网络的方法和系统
CN104769909A (zh) * 2012-08-30 2015-07-08 艾诺威网络有限公司 网间认证
CN106465120A (zh) * 2014-04-15 2017-02-22 瑞典爱立信有限公司 用于对网路进行集成的方法和节点

Also Published As

Publication number Publication date
CN113498055B (zh) 2022-08-26
EP4124084A1 (en) 2023-01-25
CN113498055A (zh) 2021-10-12
EP4124084A4 (en) 2023-09-27
US20230017260A1 (en) 2023-01-19
KR20220154207A (ko) 2022-11-21
BR112022018580A2 (pt) 2022-11-08
JP2023516782A (ja) 2023-04-20

Similar Documents

Publication Publication Date Title
US11533401B2 (en) Charging policy information for a packet data unit session in a wireless network
US20230300257A1 (en) Policy information to policy control and confirmation to session management
US10660016B2 (en) Location based coexistence rules for network slices in a telecommunication network
EP3627793B1 (en) Session processing method and device
US9571482B2 (en) Secure on-line sign-up and provisioning for Wi-Fi hotspots using a device management protocol
WO2020221956A1 (en) Service authorization for indirect communication in a communication system
JP5934364B2 (ja) Ｓｏａｐ−ｘｍｌ技術を使用したｗｉ−ｆｉホットスポットのための安全なオンラインサインアップ及び提供のためのモバイルデバイス及び方法
BR112020000932A2 (pt) método de gerenciamento de segurança de rede, e aparelho
US20210377054A1 (en) Systems and methods for managing public key infrastructure certificates for components of a network
US11496894B2 (en) Method and apparatus for extensible authentication protocol
WO2021094349A1 (en) Multi-step service authorization for indirect communication in a communication system
WO2010069202A1 (zh) 认证协商方法及系统、安全网关、家庭无线接入点
CN114339688A (zh) 用于ue与边缘数据网络的认证的装置和方法
CN115777193A (zh) 用于边缘使能器服务器装载的边缘安全程序
WO2022247812A1 (zh) 一种鉴权方法、通信装置和系统
WO2023046457A1 (en) Restricting onboard traffic
WO2009082910A1 (fr) Procédé et dispositif de configuration de réseau pour un terminal d'utilisateur
US9137661B2 (en) Authentication method and apparatus for user equipment and LIPA network entities
TW202234940A (zh) 與第三層無線傳輸／接收單元到網路相關認證及授權
US20230396602A1 (en) Service authorization method and system, and communication apparatus
WO2021185347A1 (zh) 接入控制方法及通信设备
US20140093080A1 (en) Method and system to differentiate and assigning ip addresses to wireless femto cells h(e)nb (home (evolved) nodeb) and lgw (local gateway) by using ikev2 (internet key exchange version 2 protocol) procedure
WO2017129101A1 (zh) 路由控制方法、装置及系统
WO2020208294A1 (en) Establishing secure communication paths to multipath connection server with initial connection over public network
CN115989689A (zh) 用于边缘数据网络的用户装备认证和授权规程

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21770556

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022554249

Country of ref document: JP

Kind code of ref document: A

REG Reference to national code

Ref country code: BR

Ref legal event code: B01A

Ref document number: 112022018580

Country of ref document: BR

ENP Entry into the national phase

Ref document number: 20227035733

Country of ref document: KR

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2021770556

Country of ref document: EP

ENP Entry into the national phase

Ref document number: 2021770556

Country of ref document: EP

Effective date: 20221020

NENP Non-entry into the national phase

Ref country code: DE

ENP Entry into the national phase

Ref document number: 112022018580

Country of ref document: BR

Kind code of ref document: A2

Effective date: 20220916