專利名稱：接入網(wǎng)關(guān)、終端及建立數(shù)據(jù)連接的方法和系統(tǒng)的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及通信系統(tǒng)的網(wǎng)絡(luò)信息技術(shù)，尤其涉及一種在第三代移動通信網(wǎng)
絡(luò)系統(tǒng)演進(jìn)架構(gòu)(SAE， 3GPP System Architecture Evolution)中的接入網(wǎng)關(guān)、終 端，以及建立數(shù)據(jù)連接的方法及系統(tǒng)。
背景技術(shù)：
Intemet安全十辦i義力矣(IPSec， Internet Protocol Security)是網(wǎng)纟各工牙呈4壬務(wù)纟且 (IETF， Internet Engineering Task Force )制定的一 系列協(xié)i義，它為IP教:據(jù)包提 供了高質(zhì)量的、可互操作的、基于密碼學(xué)的安全性。特定的通信各方在IP層通過 加密與數(shù)據(jù)源認(rèn)證等方式，來保證數(shù)據(jù)包在網(wǎng)絡(luò)上傳輸時的私有性、完整性、 真實性和防重》文。IPSec通過認(rèn)證頭(AH， Authentication Header)和封裝安全載 荷(ESP， Encapsulating Security Payload)這兩個安全協(xié)i義來實現(xiàn)上述目標(biāo)。
網(wǎng)絡(luò)密鑰交換協(xié)議(IKE, Internet Key Exchange)是建立在由Internet安全 聯(lián)盟和密鑰管理協(xié)議(ISAKMP , Internet Security Association and Key Management Protocol)定義的框架上，它能夠為IPSec提供自動協(xié)商交換密鑰、 建立安全聯(lián)盟的服務(wù)，以筒化IPSec的使用和管理。IKE協(xié)議具有一套自保護(hù)機(jī) 制，可以在不安全的網(wǎng)絡(luò)上安全地分發(fā)密鑰、驗證身份、建立基于IPSec協(xié)議族 的安全聯(lián)盟。
在第三代移動通信系統(tǒng)架構(gòu)演進(jìn)(SAE, 3GPP System Architecture Evolution) 網(wǎng)絡(luò)中應(yīng)用IPsec的場景描述如下
如圖l所示，是3GPP演進(jìn)網(wǎng)絡(luò)(SAE)的非漫游架構(gòu)。圖中的ePDG實體是 互通無線局域網(wǎng)(I-WLAN, Interworking Wireless Local Area Network)中凈艮文 數(shù)據(jù)網(wǎng)關(guān)(PDG， Packet Data Gate)的升級實體。非可信的接入網(wǎng)絡(luò)通過ePDG 實體接入到演進(jìn)網(wǎng)絡(luò)的核心網(wǎng)，使用其數(shù)據(jù)服務(wù)。在終端和ePDG實體間需要建 立安全隧道(IPsec )。報文數(shù)據(jù)網(wǎng)關(guān)是SAE核心網(wǎng)中的報文數(shù)據(jù)網(wǎng)關(guān)(PDN SAE Gateway)，非可信的接入網(wǎng)絡(luò)接入到ePDG后，需要再通過PDN SAE Gateway訪問外部網(wǎng)絡(luò)服務(wù)，S2a/S2b/S2c接口都采用移動IP ( MIP )協(xié)議棧。
但是在3GPP演進(jìn)網(wǎng)絡(luò)(SAE)的非漫游架構(gòu)中，ePDG僅4又是終端的安全網(wǎng) 關(guān)，不再同時是報文數(shù)據(jù)網(wǎng)關(guān)。因此，ePDG給終端分配的IP地址，也就是普通 的用于IPsec安全隧道轉(zhuǎn)發(fā)的IP地址，業(yè)務(wù)地址應(yīng)由PDN SAE Gateway分配。
當(dāng)ePDG作為終端的代理移動IP注冊代理(PMA, Porxy Moblie Agent)時， 在ePDG和PDN SAE Gateway之間會建立移動IP隧道。這時，發(fā)送到終端的數(shù)據(jù) 包會通過移動IP隧道轉(zhuǎn)交到ePDG，在這種情況下，ePDG可以不再需要為終端分 配用于安全隧道的IP地址。因為這個地址本身就是為了保證下行數(shù)據(jù)報能被轉(zhuǎn)發(fā) 到安全網(wǎng)關(guān)上，而這一點現(xiàn)在已由移動IP隧道保證了。
圖2是非可信接入網(wǎng)通過ePDG實體接入到演進(jìn)網(wǎng)絡(luò)的核心網(wǎng)的第 一種數(shù)據(jù) 連接建立模式的流程示意圖，ePDG通過IKE消息攜帶給終端的是業(yè)務(wù)IP地址， 是屬于SAE核心網(wǎng)報文數(shù)據(jù)網(wǎng)關(guān)的，移動IP隧道的建立對終端不可見。ePDG代 理建立好移動IP隧道后，獲取終端的業(yè)務(wù)IP地址，并在IKE響應(yīng)消息中攜帶告訴 終端。
圖3是非可信接入網(wǎng)通過ePDG實體接入到演進(jìn)網(wǎng)絡(luò)的核心網(wǎng)的第二種數(shù)據(jù) 連接建立模式的流程示意圖，ePDG為終端分配屬于ePDG本地的IP地址，并攜帶 在IKE響應(yīng)消息中給終端。在SAE網(wǎng)絡(luò)中，此地址不是最終的業(yè)務(wù)IP地址，終端 還需要把它作為本地轉(zhuǎn)交地址(CoA, Care of Address),建立到SAE核心網(wǎng)報 文數(shù)據(jù)網(wǎng)關(guān)(PDN SAE Gateway)的移動IP隧道，由建立移動IP隧道過程，獲取 的IP地址，即移動IP的家鄉(xiāng)地址(HoA， Home Address )作為其業(yè)務(wù)IPi也址。
通過圖2以及圖3可以看到，終端收到IKE配置響應(yīng)消息中的IP地址含義與用 途是不同的，終端隨后觸發(fā)的信令流程也是不同的。
綜上所述，現(xiàn)有技術(shù)數(shù)據(jù)連接中，建立移動IP(MIP, Mobile IP)隧道時， 有兩種模式，主機(jī)發(fā)起移動IP模式(CMIP， Client Mobile IP)和代理移動IP模 式(PMIP， Porxy Mobile IP),兩者的差別在于前者由終端發(fā)起數(shù)據(jù)連接，后 者由代理網(wǎng)關(guān)發(fā)起數(shù)據(jù)連接。并且，Client才莫式(CMIP)中有一種Co-CoA方式， 終端需要一個本地IP地址作為轉(zhuǎn)交地址CoA，來向報文數(shù)據(jù)網(wǎng)關(guān)發(fā)起MIP的注 冊，而Network模式(PMIP )下，CoA地址是來自才艮文數(shù)據(jù)網(wǎng)關(guān)的業(yè)務(wù)IP地址， 不需要為每個終端分配一個本地IP地址。
在實現(xiàn)本發(fā)明的過程中，發(fā)明人發(fā)現(xiàn)現(xiàn)有技術(shù)存在如下缺點 非可信接入網(wǎng)接入到SAE網(wǎng)絡(luò)中，對于圖2所示的PMIP數(shù)據(jù)連接建立模式和 圖3所示的CMIP數(shù)據(jù)連接建立模式可以共存的SAE網(wǎng)絡(luò)，終端與接入網(wǎng)關(guān)之間無
法協(xié)商和判斷釆用哪種數(shù)據(jù)連接建立模式來完成到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。

發(fā)明內(nèi)容
本發(fā)明所要解決的技術(shù)問題在于，提供一種接入網(wǎng)關(guān)、終端、以及終端與 報文數(shù)據(jù)網(wǎng)關(guān)間建立數(shù)據(jù)連接的方法及系統(tǒng)，可協(xié)商或者判斷需要用哪種方式 (CMIP/PMIP)建立終端到報文數(shù)據(jù)網(wǎng)關(guān)之間的數(shù)據(jù)連接，而且終端與接入網(wǎng) 關(guān)能對用哪種數(shù)據(jù)連接方式做一個選擇，在終端和接入網(wǎng)關(guān)都明確選擇的結(jié)果 的情況下，建立到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。
本發(fā)明實施例提供了一種在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，包括
接收來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息；
向認(rèn)證服務(wù)器發(fā)起對終端的接入認(rèn)證過程，獲取用戶的簽約信息，并判決 數(shù)據(jù)連接的建立方式； '
將與所述數(shù)據(jù)連接的建立方式相應(yīng)的配置信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié) 議的接入認(rèn)證響應(yīng)消息的配置選項中返回給終端；
根據(jù)終端所采用與所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息中的地 址信息相應(yīng)的數(shù)據(jù)連接方式，完成終端到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。
相應(yīng)地，本發(fā)明實施例還提供了一種在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的系統(tǒng)， 包括
接入網(wǎng)關(guān)，根據(jù)來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息， 所述接入認(rèn)證請求消息的配置選項中攜帶有信元以指示期望的數(shù)據(jù)連接的建立 方式，建立與終端之間的IP安全隧道，并判決數(shù)據(jù)連接的建立方式，將與所述 數(shù)據(jù)連接的建立方式對應(yīng)的地址信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證 響應(yīng)消息的配置選項中返回給終端；
報文數(shù)據(jù)網(wǎng)關(guān)，用于通過接入網(wǎng)關(guān)向終端發(fā)送業(yè)務(wù)IP地址，建立起與終端 之間的數(shù)據(jù)連接。
本發(fā)明實施例還提供的一種終端，包括 ' 終端通信單元，用于向接入網(wǎng)關(guān)發(fā)送基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請 求消息，請求建立與接入網(wǎng)關(guān)的1P安全隧道連接，并接收所述來自接入網(wǎng)關(guān)的
基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息；
IP安全隧道連接單元，用于在通過認(rèn)證服務(wù)器的認(rèn)證授權(quán)后，建立與接入 網(wǎng)關(guān)之間的IP安全隧道連接；
數(shù)據(jù)轉(zhuǎn)發(fā)單元，接收到所述的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息 后，完成到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)轉(zhuǎn)發(fā)。
本發(fā)明實施例提供的在移動網(wǎng)絡(luò)中將非可信接入網(wǎng)絡(luò)接入所述移動網(wǎng)絡(luò)的 核心網(wǎng)的接入網(wǎng)關(guān)，包括
消息接收單元，用于接收來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請 求消息，所述認(rèn)證請求消息的配置選項中攜帶有信元以指示數(shù)據(jù)連接的建立方 式；
接入認(rèn)證單元，用于根據(jù)所述接入認(rèn)證請求消息向認(rèn)證服務(wù)器發(fā)起對終端 的接入認(rèn)證過程，獲取用戶的簽約信息；
數(shù)據(jù)連接單元，用于與終端協(xié)商并判決終端到報文數(shù)據(jù)網(wǎng)關(guān)之間的數(shù)據(jù)連 接的建立方式；
地址配置單元，用于將與所述數(shù)據(jù)連接的建立方式對應(yīng)的地址信息攜帶在 所述接入認(rèn)證響應(yīng)消息的配置選項中返回給終端。
實施本發(fā)明的實施例，有如下有益效果
在終端與接入網(wǎng)關(guān)ePDG建立IPsec隧道的過程中協(xié)商數(shù)據(jù)連接的建立方 式，將與所選擇的數(shù)據(jù)連接建立模式相應(yīng)的地址信息攜帶在IKE接入認(rèn)證響應(yīng) 消息的配置選項中返回給終端，使得終端可以根據(jù)所述地址信息，與報文數(shù)據(jù) 網(wǎng)關(guān)建立數(shù)據(jù)連接。


圖1是現(xiàn)有技術(shù)的3GPP演進(jìn)網(wǎng)絡(luò)(SAE)的非漫游架構(gòu)示意圖2是現(xiàn)有技術(shù)的3GPP演進(jìn)網(wǎng)絡(luò)(SAE )中，非可信接入網(wǎng)通過接入網(wǎng)關(guān) 接入SAE核心網(wǎng)報文數(shù)據(jù)網(wǎng)關(guān)的第 一種數(shù)據(jù)連接建立模式的流程示意圖3是現(xiàn)有技術(shù)的3GPP演進(jìn)網(wǎng)絡(luò)(SAE )中，非可信接入網(wǎng)通過接入網(wǎng)關(guān) 接入SAE核心網(wǎng)報文數(shù)據(jù)網(wǎng)關(guān)的第二種數(shù)據(jù)連接建立才莫式的流程示-意圖4是本發(fā)明實施例提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的系統(tǒng)組成示意圖5是本發(fā)明實施例提供的終端的結(jié)構(gòu)示意圖6是本發(fā)明實施例提供的接入網(wǎng)關(guān)的結(jié)構(gòu)示意圖7是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法第一實施例的流程 示意圖8是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法第二實施例的流程 示意圖9是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法第三實施例的流程 示意圖。
具體實施例方式
本發(fā)明實施例提供了一種接入網(wǎng)關(guān)，以及終端與報文數(shù)據(jù)網(wǎng)關(guān)間建立數(shù)據(jù) 連接的方法及系統(tǒng)，可以在終端與接入網(wǎng)關(guān)ePDG建立IPsec隧道的過程中協(xié)商 數(shù)據(jù)連接的建立方式，將與所選擇的數(shù)據(jù)連接建立模式相應(yīng)的地址信息攜帶在 IKE接入認(rèn)證響應(yīng)消息的配置選項中返回給終端，使得終端可以根據(jù)所述地址信 息,與報文數(shù)據(jù)網(wǎng)關(guān)建立數(shù)據(jù)連接。 .
參見圖4,是本發(fā)明實施例提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的系統(tǒng)組成示 意圖。
所述系統(tǒng)具體包括
終端1,用于向接入網(wǎng)關(guān)2發(fā)送IKE接入認(rèn)證請求消息，所述IKE接入認(rèn) 證請求消息的配置選項中攜帶有信元以指示數(shù)據(jù)連接的建立方式，并在接收到 來自接入網(wǎng)關(guān)2的配置信息后，建立與報文數(shù)據(jù)網(wǎng)關(guān)3的數(shù)據(jù)連接；需要說明 的是，所述IKE消息也可以是攜帶配置選項的IKEv2消息。
接入網(wǎng)關(guān)2，根據(jù)所述IKE接入認(rèn)證請求消息，建立與終端之間的IPsec安 全隧道，并判決數(shù)據(jù)連接的建立方式，并將所述數(shù)據(jù)連接的建立方式攜帶在IKE 接入認(rèn)證響應(yīng)消息的配置選項中返回給終端；
報文數(shù)據(jù)網(wǎng)關(guān)3，用于通過接入網(wǎng)關(guān)2向終端1發(fā)送業(yè)務(wù)IP地址，建立起 與終端1之間的數(shù)據(jù)連接；
3人證服務(wù)器4，用于對所述終端1與接入網(wǎng)關(guān)2之間的IPse'c安全隧道進(jìn)行 認(rèn)證，為提供終端1的用戶簽約信息，并將與終端1要訪問的業(yè)務(wù)網(wǎng)絡(luò)相應(yīng)的 報文數(shù)據(jù)網(wǎng)關(guān)信息提供給終端1。在實現(xiàn)的時候，參見圖5，終端l具體包括
終端通信單元10,用于向接入網(wǎng)關(guān)2發(fā)送IKEv2接入認(rèn)ii請求消息，請求 建立與接入網(wǎng)關(guān)2之間的IPsec連接，并且接收來自接入網(wǎng)關(guān)2的配置信息；
需要說明的是，所述IKEv2接入認(rèn)證請求消息的配置選項中攜帶有信元以 指示數(shù)據(jù)連接的建立方式，并且，終端1還可以根據(jù)自己是否支持MIP協(xié)議棧， 決定是否在IKEv2接入認(rèn)證請求消息中填寫需要接入網(wǎng)關(guān)(ePDG)為終端獲取 報文數(shù)據(jù)網(wǎng)關(guān)3信息的請求消息，所述報文3數(shù)據(jù)網(wǎng)關(guān)信息為MIP家鄉(xiāng)網(wǎng)絡(luò)信 息，包括家鄉(xiāng)地址HA,以及家鄉(xiāng)網(wǎng)絡(luò)前綴等等信息；
IPsec連接單元11,用于在所述接入網(wǎng)關(guān)2接收到所述IKEv2接入認(rèn)證請求 消息，并得到認(rèn)證服務(wù)器4的授權(quán)后，建立終端1與接入網(wǎng)關(guān)2之間的IPsec安 全隧道連4妄；
需要說明的是，這里所指的授權(quán)，是指接入網(wǎng)關(guān)2需要向認(rèn)證服務(wù)器4發(fā) 送認(rèn)證請求消息，再得到認(rèn)證服務(wù)器4的授權(quán)響應(yīng)消息后，所述IPsec安全隧道 才能順利建立； '
.數(shù)據(jù)轉(zhuǎn)發(fā)單元12,在終端通信單元IO接收到所述的基于網(wǎng)絡(luò)密鑰交換協(xié)議 的接入認(rèn)證響應(yīng)消息后，完成到報文數(shù)據(jù)網(wǎng)關(guān)3的數(shù)據(jù)轉(zhuǎn)發(fā)。
具體地，數(shù)據(jù)轉(zhuǎn)發(fā)單元12還包括'.
地址獲取模塊120,根據(jù)所述IKE接入認(rèn)證響應(yīng)消息中配置選項的信元，獲 取與數(shù)據(jù)連接建立方式相應(yīng)的地址信息；并且區(qū)分所述地址信息是本地IP地址 還是業(yè)務(wù)IP地址；
數(shù)據(jù)轉(zhuǎn)發(fā)模塊121，根據(jù)所述地址信息,進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。需要說明的是，若 地址獲取模塊120獲取到的地址信息是來自報文數(shù)據(jù)網(wǎng)關(guān)3業(yè)務(wù)IP地址時，則 終端1到報文數(shù)據(jù)網(wǎng)關(guān)3之間數(shù)據(jù)連接已經(jīng)建立，數(shù)據(jù)轉(zhuǎn)發(fā)模塊121將直接進(jìn) 行數(shù)據(jù)轉(zhuǎn)發(fā)，若所述地址信息為本地IP地址時，數(shù)據(jù)轉(zhuǎn)發(fā)單元12還包括
移動IP請求模塊122，將所述地址獲取模塊120所獲取到的建立安全隧道 的本地IP地址作為本地轉(zhuǎn)交地址，向報文數(shù)據(jù)網(wǎng)關(guān)發(fā)起移動IP注冊過程，并向 報文數(shù)據(jù)網(wǎng)關(guān)發(fā)送移動IP更新請求消息，請求分配業(yè)務(wù)IP地址。
參見圖6，為本發(fā)明實施例提供的接入網(wǎng)關(guān)2的組成示，意需要說明的是所述接入網(wǎng)關(guān)2在SAE網(wǎng)絡(luò)中，為ePDG,具體包括
消息接收單元20，用于接收來自終端通信單元10的IKE接入認(rèn)證請求消息， 所述IKE認(rèn)證請求消息的配置選項中攜帶有信元以指示期望的數(shù)據(jù)連接的建立
方式；
接入認(rèn)證單元21,用于根據(jù)所述IKE接入認(rèn)證請求消息，向認(rèn)證服務(wù)器發(fā) 起對終端的接入認(rèn)證過程，獲取用戶的簽約信息；
數(shù)據(jù)連接單元22, 用于與終端1協(xié)商并判決終端1到報文數(shù)據(jù)網(wǎng)關(guān)3之間 的數(shù)據(jù)連接的建立方式；
地址配置單元23,用于將與所述數(shù)據(jù)連接的建立方式對應(yīng)的地址信息攜帶 在IKE接入認(rèn)證響應(yīng)消息的配置選項中返回給終端1 。
具體地，數(shù)據(jù)連接單元22包括
CMIP連接模塊220,用于在接入網(wǎng)關(guān)2的消息接收單元20收到所述IKE 接入認(rèn)證請求消息后，根據(jù)自身的能力以及終端的請求，策略使用CMIP數(shù)據(jù) 連接建立模式；
PMIP連接模塊221,用于在接入網(wǎng)關(guān)2的消息接收單元20收到所述IKE 接入認(rèn)證請求消息后，根據(jù)自身的能力以及終端的請求，策略使用PMIP數(shù)據(jù)連 .接建立模式。 .
具體地，所述地址配置單元23包括
本地IP地址模塊230，用于在CMIP連接模塊220策略使用CMIP模式建 立數(shù)據(jù)連接時，為終端1分配本地IP地址，作為安全隧道的轉(zhuǎn)發(fā)的地址，并將 其攜帶在IKE接入認(rèn)證響應(yīng)消息的配置選項中返回給終端1;
業(yè)務(wù)IP地址模塊231,用于在CMIP連接模塊221策略使用PIMP模式建立 數(shù)據(jù)連接時，獲取報文數(shù)據(jù)網(wǎng)關(guān)3為終端分配的數(shù)據(jù)業(yè)務(wù)IP地址，并將其攜帶 在IKE接入認(rèn)證響應(yīng)消息的配置選項中返回給終端1 。
所述接入網(wǎng)關(guān)2還包括
用戶信息獲取單元24，用于從所述認(rèn)證服務(wù)器4中獲取終端1的用戶簽約 信息；
當(dāng)終端1在IKE接入認(rèn)證請求消息中填寫需要接入網(wǎng)關(guān)2 ( ePDG)為終端 1獲取報文數(shù)據(jù)網(wǎng)關(guān)3信息的請求消息時，網(wǎng)關(guān)信息獲取單元25，用于根據(jù)終 端l要訪問的業(yè)務(wù)網(wǎng)絡(luò)，獲取并選擇相應(yīng)的報文數(shù)據(jù)網(wǎng)關(guān)3的信息提供給終端1。
數(shù)據(jù)報文網(wǎng)關(guān)3在具體實現(xiàn)的時候，包括
移動IP隧道建立單30元，用于在CMIP數(shù)據(jù)連接才莫式下，接收來自終端1
的移動IP更新請求消息，建立移動IP隧道，并向終端1返回移動IP綁定響應(yīng)
消息；
業(yè)務(wù)IP分配單元31,用于在PMIP數(shù)據(jù)連接模式下，通過接入網(wǎng)關(guān)2為終 端1分配業(yè)務(wù)IP地址，以終端1到報文數(shù)據(jù)網(wǎng)關(guān)3的數(shù)據(jù)連接建立；或
在CMIP數(shù)據(jù)連接模式下，在接收到來自終端1發(fā)起MIP請求的移動IP更 新請求消息后，將所述業(yè)務(wù)IP地址攜帶在移動IP綁定響應(yīng)消息中，返回給終端 1,以完成終端1到報文數(shù)據(jù)網(wǎng)關(guān)3的數(shù)據(jù)連接建立。
認(rèn)證服務(wù)器4在具體實現(xiàn)的時候，包括
認(rèn)證單元40，用于接收IKE接入認(rèn)證消息，對所述終端1與接入網(wǎng)關(guān)2之 間的IPsec安全隧道進(jìn)朽-認(rèn)證；
用戶信息提供單元41,用于向接入網(wǎng)關(guān)2提供終端1的用戶簽約信息；
網(wǎng)關(guān)信息提供單元42,用于根據(jù)終端1要訪問的業(yè)務(wù)網(wǎng)絡(luò)，獲取并選擇相 應(yīng)的報文數(shù)據(jù)網(wǎng)關(guān)信息提供給終端1;
需要說明的是，報文數(shù)據(jù)網(wǎng)關(guān)信息可以是認(rèn)證服務(wù)器4中的網(wǎng)關(guān)信息提供 單元42或者接入網(wǎng)關(guān)2中的網(wǎng)關(guān)信息獲取單元25，或者兩者協(xié)同，根據(jù)終端1 要訪問的業(yè)務(wù)網(wǎng)絡(luò)獲取并選擇后發(fā)送給終端1。
參見圖7，是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法第一實施例的 流程示意圖。
在終端和報文數(shù)據(jù)網(wǎng)關(guān)建立IP連接前，終端需要向接入網(wǎng)關(guān)發(fā)送 IKE—SA—INIT初始化消息，初始化安全聯(lián)盟，并且終端向接入網(wǎng)關(guān)發(fā)起IKEv2 iUi請求消息；
在步驟S100,接入網(wǎng)關(guān)接收來自終端的IKE接入認(rèn)證請求消息；終端根據(jù) 自己的能力，在所述的IKE接入認(rèn)證請求消息的配置選項中，還攜帶有信元以 指示數(shù)據(jù)連接的建立方式；
在步驟S101,接入網(wǎng)關(guān)向認(rèn)證服務(wù)器發(fā)起對終端的接入認(rèn)證過程，獲取用 戶的簽約信息；
在步驟S102,接入網(wǎng)關(guān)根據(jù)自己的能力以及終端的請求，判決終端到報文 數(shù)據(jù)網(wǎng)關(guān)之間的數(shù)據(jù)連接的建立方式； -
在步驟S103,接入網(wǎng)關(guān)將與所述數(shù)據(jù)連接的建立方式相應(yīng)的地址信息，攜 帶在IKE接入認(rèn)證響應(yīng)消息的配置選項中返回給終端；
在步驟S104,終端接收到所述的IKE接入認(rèn)證響應(yīng)消息后，才艮據(jù)所述配置 選項中的信元，區(qū)分所獲取的地址信息是接入網(wǎng)關(guān)分配的安全隧道IP地址配置 信息還是報文數(shù)據(jù)網(wǎng)關(guān)分配的業(yè)務(wù)IP地址信息，并采用與接入網(wǎng)關(guān)協(xié)商好的數(shù) 據(jù)連接模式建立數(shù)據(jù)連接；
在涉驟S105,終端完成到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。
參見圖8,是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法第二實施例的 流程示意圖。
在本實施例中，終端有MIP協(xié)議棧，支持CMIP接入模式，同時ePDG也支持 PMIP功能，終端通過非可信接入網(wǎng)接入SAE核心網(wǎng)，需要建立IPsec隧道到ePDG, 同時需要SAE報文數(shù)據(jù)網(wǎng)關(guān)(PDN SAE Gateway)為它分配業(yè)務(wù)IP地址，建立終 端到PDN SAE Gateway的IP連接。
在步驟S200，終端向接入網(wǎng)關(guān)ePDG發(fā)送IKE—SA—INIT初始化消息，與ePDG 之間安全聯(lián)盟初始化。
在步驟S201，終端發(fā)送給ePDG的IKE接入認(rèn)證請求消息，并在其中的配 置選項(Configuration Payload)中，還攜帶有信元以指示期望的數(shù)據(jù)連接的建 立方式，根據(jù)需要，還可以包括獲取HA地址，家鄉(xiāng)網(wǎng)絡(luò)前綴等請求的信元；
在步驟S202，在通過認(rèn)證服務(wù)器的認(rèn)證授權(quán)后，終端與接入網(wǎng)關(guān)2之間的 IPsec隧道建立，ePDG可以從認(rèn)證服務(wù)器中獲取終端的用戶信息。如果需要，認(rèn) 證服務(wù)器可以才艮據(jù)終端所要訪問的業(yè)務(wù)獲取報文數(shù)據(jù)網(wǎng)關(guān)(PDN Gateway )信息， 提供給ePDG; ePDG所提供的報文數(shù)據(jù)網(wǎng)關(guān)信息可以是一個網(wǎng)關(guān)，也可以是多個 網(wǎng)關(guān)的信息列表，當(dāng)多個的時候，可以按照排列的順序表示這些網(wǎng)關(guān)間的優(yōu)先 級；
在步驟S203， ePDG處理終端的配置請求，根據(jù)終端所要訪問的業(yè)務(wù)，或者 先前使用的業(yè)務(wù)網(wǎng)關(guān)，選擇合適的報文數(shù)據(jù)網(wǎng)關(guān)(PDN SAE Gateway),之后， 因為ePDG支持PMA功能，則決策要使用PMIP模式，并作為終端的PMA,代理 終端發(fā)送移動IP綁定更新消息(Proxy Binding Update)給報文數(shù)據(jù)網(wǎng)關(guān)，請求 PDN Gateway分配業(yè)務(wù)IP地址；
在步驟S204,報文數(shù)據(jù)網(wǎng)關(guān)(PDNGatew5y)收到所述移動IP更新-清求后， 處理移動IP隧道建立，給終端分配業(yè)務(wù)IP地址，并把所述業(yè)務(wù)IP地址填寫在移動 IP綁定響應(yīng)消息(Proxy Binding Ack)中，發(fā)送給ePDG;
在步驟S205, ePDG獲取才艮文數(shù)據(jù)網(wǎng)關(guān)所分配給終端的業(yè)務(wù)IP地址，如果有 業(yè)務(wù)網(wǎng)絡(luò)的網(wǎng)絡(luò)前綴，ePDG把這些信息一并填寫在IKE響應(yīng)消息的配置選項中， 響應(yīng)給終端，終端判斷IP地址是業(yè)務(wù)IP地址，于是不再啟動CMIP功能；
至此，終端在非可信接入網(wǎng)訪問SAE數(shù)據(jù)業(yè)務(wù)的IPsec隧道、移動IP隧道建 立完成，可以進(jìn)行數(shù)據(jù)包的轉(zhuǎn)發(fā)。
參見圖9,是本發(fā)明提供的在移動網(wǎng)絡(luò)中建立IP連接的方法第三實施例的 流程示意圖。
在本實施例中，終端支持CMIP功能，終端通過非可信接入網(wǎng)接入SAE核心 網(wǎng)時，需要建立IPsec隧道到ePDG，建立到報文數(shù)據(jù)網(wǎng)關(guān)的IP連接。
在步驟S300,終端向接入網(wǎng)關(guān)ePDG發(fā)送IKE—SA—INIT初始化消息，與ePDG 之間安全聯(lián)盟初始化。
在步驟S301，終端發(fā)送給ePDG的IKE接入認(rèn)證請求消息，并在其中的配 置選項(Configuration Payload)中，還攜帶有信元以指示期望的數(shù)據(jù)連接的建 立方式，根據(jù)需要，還可以包括獲取HA地址，家鄉(xiāng)網(wǎng)絡(luò)前綴的請求的信元；
在步驟S302,在通過認(rèn)證服務(wù)器的認(rèn)證4受4又后，終端與接入網(wǎng)關(guān)2之間的 IPsec隧道建立，ePDG可以從認(rèn)證服務(wù)器中獲取終端的用戶簽約信息，如果需要， 認(rèn)證服務(wù)器可以根據(jù)終端所要訪問的業(yè)務(wù)獲取報文數(shù)據(jù)網(wǎng)關(guān)(PDN Gateway )信 息，提供給ePDG;
在步驟S303， ePDG處理終端的配置請求，ePDG才艮據(jù)終端要訪問的業(yè)務(wù)， 策略決定使用CMIP模式，為終端分配一個本地IP地址，用于IPsec隧道的報文轉(zhuǎn) 發(fā)，同時為終端獲取報文阿關(guān)信息(網(wǎng)關(guān)IP地址，即HA地址) 一并填寫在IKE 響應(yīng)消息的配置選項中給終端；
ePDG所提供的報文數(shù)據(jù)網(wǎng)關(guān)信息可以是一個網(wǎng)關(guān)，也可以是多個網(wǎng)關(guān)的信 息列表，當(dāng)多個的時候，可以按照排列的順序表示這些網(wǎng)關(guān)間的優(yōu)先級。
至此，終端在非可信接入網(wǎng)訪問SAE數(shù)據(jù)業(yè)務(wù)的IPsec隧道建立；
在步驟S304，終端根據(jù)ePDG所給出的網(wǎng)關(guān)信息(網(wǎng)關(guān)IP地址)，發(fā)送移動 IP綁定更新消息(Binding Update )給此報文數(shù)據(jù)網(wǎng)關(guān)，并請求分配業(yè)務(wù)IP地址。
在步驟S305, PDNSAEGateway收到請求后，處理移動IP隧道建立，給終端 分配業(yè)務(wù)IP地址，并4巴所述業(yè)務(wù)IP地址填寫在移動IP綁定響應(yīng)消息(Binding Ack )
至此，終端到報文數(shù)據(jù)網(wǎng)關(guān)(PDN Gateway )的移動IP隧道建立完成，可以 進(jìn)行數(shù)據(jù)包的轉(zhuǎn)發(fā)。
本發(fā)明實施例提供的SAE網(wǎng)絡(luò)架構(gòu)中的終端，可以在發(fā)送IKE接入認(rèn)證請 求消息時，攜帶期望建立數(shù)據(jù)連接的模式，以獲取相應(yīng)的惡配置信息，而接入 網(wǎng)關(guān)ePDG，可以在返回給終端的IKE接入認(rèn)證響應(yīng)消息的配置選項中明確為終 端配置IP地址信息，是安全隧道IP地址還是業(yè)務(wù)IP地址，以及數(shù)據(jù)連接的模 式，而本發(fā)明實施例提供的終端與報文數(shù)據(jù)網(wǎng)關(guān)建立IP連接的方法以及系統(tǒng)， 通過終端和接入網(wǎng)關(guān)之間的IPsec隧道建立過程中為終端配置IP地址信息，明 確IP地址是安全隧道IP地址，還是業(yè)務(wù)IP地址，/人而使得終端可以獲取所述 配置信息，完成到報文數(shù)據(jù)網(wǎng)關(guān)的IP連接。
以上所揭露的僅為本發(fā)明一種較佳實施例而已，當(dāng)然不能以此來限定本發(fā) 明之權(quán)利范圍，因此依本發(fā)明權(quán)利要求所作的等同變化，仍屬本發(fā)明所涵蓋的 范圍。
權(quán)利要求
1、一種在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，其特征在于，包括接收來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息；向認(rèn)證服務(wù)器發(fā)起對終端的接入認(rèn)證過程，獲取用戶的簽約信息，并判決數(shù)據(jù)連接的建立方式；將與所述數(shù)據(jù)連接的建立方式相應(yīng)的地址信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息的配置選項中返回給終端；根據(jù)終端所采用與所述接入認(rèn)證響應(yīng)消息中的地址信息相應(yīng)的數(shù)據(jù)連接方式，完成終端到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。
2、 如權(quán)利要求1所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，其特征在于， 在所述的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息的配置選項中，攜帶有信 元以指示數(shù)據(jù)連接的建立方式。
3、 如權(quán)利要求1所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，其特征在于， 所述將與所述數(shù)據(jù)連接的建立方式相應(yīng)的地址信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié) 議的接入認(rèn)證響應(yīng)消息的配置選項中返回給終端的步驟包括接入網(wǎng)關(guān)收到所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息后，策略使 用主機(jī)發(fā)起移動IP的數(shù)據(jù)連接建立模式；接入網(wǎng)關(guān)為終端分配一本地IP地址，作為其安全隧道的地址，將其攜帶在 基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息的配置選項中返回給終端。
4、 如權(quán)利要求1所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，其特征在于， 將與所述數(shù)據(jù)連接的建立方式相應(yīng)的地址信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié)議的 接入認(rèn)證響應(yīng)消息的配置選項中返回給終端的步驟包括接入網(wǎng)關(guān)收到所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的認(rèn)證請求消息后，策略使用代 理移動IP的數(shù)據(jù)連接建立模式；接入網(wǎng)關(guān)代理終端發(fā)起到作為家鄉(xiāng)移動IP代理的4艮文數(shù)據(jù)網(wǎng)關(guān)的移動IP地 址注冊，并獲取報文數(shù)據(jù)網(wǎng)關(guān)為終端分配的數(shù)據(jù)業(yè)務(wù)IP地址，將其攜帶在基于 網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息的配置選項中返回給終端。
5、 如權(quán)利要求1至4中任一項所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法， 其特征在于，在終端接收到所述的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息 的步驟之后，還包括根據(jù)所述接入認(rèn)證響應(yīng)消息中配置選項的信元，獲取與數(shù)據(jù)連接建立方式 相應(yīng)的地址信息。
6、 如權(quán)利要求5所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，其特征在于， 當(dāng)所述地址信息是本地IP地址，則發(fā)起到報文數(shù)據(jù)網(wǎng)關(guān)的移動IP連接請求； 當(dāng)所述地址信息是建立到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接的業(yè)務(wù)IP地址信息時，完成到4艮文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。
7、 如權(quán)利要求6所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，所述發(fā)起到報 文數(shù)據(jù)網(wǎng)關(guān)的移動IP連接請求的步驟后包括終端將所述本地IP地址作為本地轉(zhuǎn)交地址，向才艮文凄t據(jù)網(wǎng)關(guān)發(fā)起移動IP注 冊過程，并獲取業(yè)務(wù)IP地址，完成到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接的建立。
8、 一種終端，其特征在于，所述終端包括終端通信單元，用于向接入網(wǎng)關(guān)發(fā)送基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請 求艱息，請求建立與接入網(wǎng)關(guān)的IP安全隧道連接，并接收所述來自接入網(wǎng)關(guān)的 基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消息；IP安全隧道連接單元，用于在通過認(rèn)證服務(wù)器的認(rèn)證授權(quán)后，建立與接入 網(wǎng)關(guān)之間的IP安全隧道連接；數(shù)據(jù)轉(zhuǎn)發(fā)單元，用于在接收到所述的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響 應(yīng)消息后，完成到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)轉(zhuǎn)發(fā)。
9、 如權(quán)利要求8所述的終端；其特征在于，所述數(shù)據(jù)轉(zhuǎn)發(fā)單元包括 地址獲取模塊，根據(jù)所述接入認(rèn)證響應(yīng)消息中配置選項的信元，獲取與數(shù)據(jù)連接建立方式相應(yīng)的地址信息；數(shù)據(jù)轉(zhuǎn)發(fā)一莫塊，根據(jù)所述地址信息，進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。
10、 如權(quán)利要求9中任一項所述的終端，其特征在于，所述數(shù)據(jù)轉(zhuǎn)發(fā)單元 還包括移動IP請求^t塊，當(dāng)所述地址信息為本地IP地址時，將所述建立安全隧道 的本地IP地址作為本地轉(zhuǎn)交地址，向^J艮文數(shù)據(jù)網(wǎng)關(guān)發(fā)起移動IP注冊過程，并向 報文數(shù)據(jù)網(wǎng)關(guān)發(fā)送移動IP更新請求消息，請求并獲取業(yè)務(wù)IP地址；所述數(shù)據(jù)轉(zhuǎn) 發(fā)模塊根據(jù)獲取的業(yè)務(wù)IP地址，進(jìn)行數(shù)據(jù)轉(zhuǎn)發(fā)。
11、 一種移動網(wǎng)絡(luò)中的接入網(wǎng)關(guān)，用于將非可信接入網(wǎng)絡(luò)接入所述移動網(wǎng) 絡(luò)的核心網(wǎng)，其特征在于，包括消息接收單元，用于接收來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請 求消息，所述認(rèn)證請求消息的配置選項中攜帶有信元以指示數(shù)據(jù)連接的建立方式;接入認(rèn)證單元，用于根據(jù)所述接入認(rèn)證請求消息向認(rèn)證服務(wù)器發(fā)起對終端的接入認(rèn)證過程，獲取用戶的簽約信息；數(shù)據(jù)連接單元，用于與終端協(xié)商并判決終端到報文數(shù)據(jù)網(wǎng)關(guān)之間的數(shù)據(jù)連 接的建立方式；地址配置單元，用于將與所述數(shù)據(jù)連接的建立方式對應(yīng)的地址信息攜帶在 所述接入認(rèn)證響應(yīng)消息的配置選項中返回癥合終端。
12、 如權(quán)利要求11所述的接入網(wǎng)關(guān)，其特征在于，所述數(shù)據(jù)連接單元包括 主機(jī)發(fā)起移動IP連接模塊，用于在接入網(wǎng)關(guān)收到所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息后，策略使用主機(jī)發(fā)起移動IP數(shù)據(jù)連接建立模式；代理移動IP連接模塊，用于在接入網(wǎng)關(guān)收到所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的 接入認(rèn)證請求消息后，策略使用代理移動IP數(shù)據(jù)連接建立才莫式。
13、 如權(quán)利要求11所述的接入網(wǎng)關(guān)，其特征在于，所述地址配置單元包括 本地IP地址模塊，用于在策略使用主機(jī)發(fā)起移動IP模式建立數(shù)據(jù)連接時，為終端分配本地IP地址，作為安全隧道的轉(zhuǎn)發(fā)的IP地址；業(yè)務(wù)IP地址模塊，用于在策略使用代理移動IP模式建立數(shù)據(jù)連接時，獲取 報文數(shù)據(jù)網(wǎng)關(guān)為終端分配的數(shù)據(jù)業(yè)務(wù)IP地址。
14、 如權(quán)利要求11至13中任一項所述的接入網(wǎng)關(guān)，其特征在于，所述接 入網(wǎng)關(guān)為第三代移動通信系統(tǒng)架構(gòu)網(wǎng)絡(luò)中的演進(jìn)的報文數(shù)據(jù)安全網(wǎng)關(guān)。
15、 一種在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的系統(tǒng)，其特征在于，包括接入網(wǎng)關(guān)，根據(jù)來自終端的基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息， 所述接入認(rèn)證請求消息的配置選項中攜帶有信元以指示數(shù)據(jù)連接的建立方式， 建立與終端之間的IP安全隧道，并判決數(shù)據(jù)連接的建立方式，將與所述數(shù)據(jù)連 接的建立方式對應(yīng)的地址信息攜帶在基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證響應(yīng)消 息的配置選項中返回給終端；報文數(shù)據(jù)網(wǎng)關(guān)，用于通過接入網(wǎng)關(guān)向終端發(fā)送業(yè)務(wù)IP地址，建立起與終端 之間的數(shù)據(jù)連接。
16、 如權(quán)利要求15所述的在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的系統(tǒng)，其特征在于， 所述系統(tǒng)還包括認(rèn)證服務(wù)器，用于根據(jù)所述基于網(wǎng)絡(luò)密鑰交換協(xié)議的接入認(rèn)證請求消息， 對終端的接入進(jìn)行認(rèn)證，為終端提供用戶簽約信息。
17、 如權(quán)利要求15或16所述的在移動網(wǎng)絡(luò)中建立終端與報文數(shù)據(jù)網(wǎng)關(guān)之 間數(shù)據(jù)連接的系統(tǒng)，其特征在于，所述報文數(shù)據(jù)網(wǎng)關(guān)包括移動IP隧道建立單元，用于在主機(jī)發(fā)起移動IP數(shù)據(jù)連接模式下，接收來自 終端的移動IP更新請求消息，向終端返回移動IP綁定響應(yīng)消息；業(yè)務(wù)IP分配單元，用于在代理移動IPtt據(jù)連接才莫式下，為終端分配業(yè)務(wù)IP 地址；或用于在主機(jī)發(fā)起移動IP數(shù)據(jù)連接模式下，在接收到來自終端的移動IP更新 請求消息后，將所述業(yè)務(wù)，P地址攜帶在移動IP綁定響應(yīng)消息中，返回給終端。
全文摘要
本發(fā)明公開了一種在移動網(wǎng)絡(luò)中建立數(shù)據(jù)連接的方法，包括接收來自終端的IKE接入認(rèn)證請求消息；向認(rèn)證服務(wù)器發(fā)起對終端的接入認(rèn)證過程，獲取用戶的簽約信息，并判決數(shù)據(jù)連接的建立方式；將與所述數(shù)據(jù)連接的建立方式相應(yīng)的地址信息攜帶在IKE接入認(rèn)證響應(yīng)消息中返回給終端；根據(jù)終端所采用與所述接入認(rèn)證響應(yīng)消息中的地址信息相應(yīng)的數(shù)據(jù)連接方式，完成終端到報文數(shù)據(jù)網(wǎng)關(guān)的數(shù)據(jù)連接。本發(fā)明還公開了一種接入網(wǎng)關(guān)、終端，以及建立數(shù)據(jù)連接的系統(tǒng)。采用本發(fā)明，可以在終端與接入網(wǎng)關(guān)建立IPsec隧道的同時，協(xié)商并選擇終端與報文數(shù)據(jù)網(wǎng)關(guān)之間的數(shù)據(jù)連接建立模式。
文檔編號H04L12/66GK101351019SQ20071002926
公開日2009年1月21日 申請日期2007年7月20日 優(yōu)先權(quán)日2007年7月20日
發(fā)明者王珊珊, 穎 胡 申請人:華為技術(shù)有限公司