一种鉴权认证设备制造技术

本发明专利技术实施例提供一种鉴权认证设备，其中方法包括：接收接入侧的鉴权认证请求，确定用户设备接入的可信关系；当已有该用户设备的S6b接口会话存在时，向分组数据网关发送包含所述用户设备接入可信关系信息的消息，以便所述分组数据网关根据所述可信关系信息建立或更新S2c隧道数据安全通道。本发明专利技术实施例在用户设备通过S2c接口接入EPS网络时，当接收到接入侧的鉴权认证请求时，如果已有接入的用户设备的S6b接口会话存在，则发送包含用户设备接入可信关系信息的消息给分组数据网关，从而使分组数据网关能够获得用户设备通过S2c接口接入EPS网络时的可信关系，保障正确的建立或更新S2c隧道数据安全通道。

【技术实现步骤摘要】
一种鉴权认证设备
本专利技术实施例涉及通信
，并且更具体地，涉及数据安全通道的处理方法及设备。
技术介绍
随着移动宽带时代的到来，用户需要随时随地的使用宽带接入服务，这对移动通信网络提出了更高的要求，如更高的传输速率、更小的时延和更高的系统容量等。为了保持3GPP网络的优势，3GPP标准组织于2004年底启动了SAE(SystemArchitectureEvolution，系统架构演进)计划的研究和标准化工作，定义了一个新的移动通信网络框架，称为演进的分组系统EPS(EvolvedPacketSystem，演进的分组系统)。随着核心网融合统一的趋势，3GPP在EPS系统中的核心网EPC(EvolvedPacketCore，演进的分组系统的核心部分)中也提供了非3GPP接入网络接入的可能，如WLAN、Wimax等接入EPC。S2c接口采用DSMIPv6(MobileIPv6SupportforDualStackHosts，双栈主机的移动IPv6支持)协议，可用于可信非3GPP接入网络、非可信非3GPP接入网络、3GPP接入网络接入EPS网络。UE(UserEquipment，用户设备)从非3GPP接入网络通过S2c接口接入EPC时，UE与PDN-GW(PacketDataNetworkGateway，分组数据网关，也可简称为PGW)之间将建立SA(SecurityAssociation，安全联盟)保护DSMIPv6信令。当UE通过S2c接口接入EPC的时候，PDN-GW通过与AAA(AuthenticationAuthorizationAccounting，鉴权认证和计费)服务器之间S6b接口上传递鉴权和认证请求以及响应消息，从而使得PDN-GW完成对UE的鉴权和认证，从AAA服务器中获得移动性参数、签约数据等信息，当然，在漫游场景下PDN-GW与AAA服务器之间还要经过AAA代理。当UE从S2c接口由可信非3GPP接入网络接入EPC时，3GPP定义了在UE与PDN-GW之间建立DSMIPv6隧道之后，UE与PDN-GW之间建立安全联盟SA保护DSMIPv6信令，PDN-GW可以与UE之间发起建立子安全联盟ChildSA(ChildSecurityAssociation，子安全联盟)对数据面进行保护；但当UE从非可信非3GPP接入网络接入EPC的时候，UE与非3GPP接入网关ePDG(evolvedPDG，演进分组数据网关)之间会建立IPSec安全通道，通过IPSec安全通道对UE与PDN-GW之间的数据包进行安全保护。即，当UE从非3GPP网络以可信方式接入EPS的时候，S2c隧道上可以建立ChildSA对数据面的完整性和机密性进行保护；从非3GPP网络以非可信方式接入的时候，将由UE与ePDG之间的IPSec安全通道提供数据的完整性保护和机密性保护；而当UE通过S2c接口从3GPP接入网络接入EPC时，UE与PDN-GW之间将通过3GPP自身的鉴权加密机制提供数据安全保护。所以，UE通过S2c接口接入EPC的时候，PDN-GW需要区分接入场景是可信非3GPP接入网络接入、非可信非3GPP接入网络接入或3GPP接入网络接入，完成不同的数据安全通道的建立或更新过程。在UE从3GPP接入网络接入EPC的时候，可以先建立UE与PDN-GW之间的安全联盟SA，这是为了之后切换到非3GPP接入网络接入时，节约SA建立的时间。而UE从非3GPP接入网络切换到3GPP接入网络的时候，UE与PDN-GW之间的安全联盟SA也可以不立即释放，而是保留一段时间至SA超时自动释放。在这样的情况下，UE在可信非3GPP接入网络、非可信非3GPP接入网络以及3GPP接入网络之间切换并通过S2c接口接入EPC时，SA可能已经存在，但之前建立SA时PDN-GW获得的当时的接入网络的可信关系，即当时的接入网络是可信或非可信非3GPP接入还是3GPP接入的信息并不一定与现在的接入网络的可信关系一致，因此，需要根据切换后的接入场景建立或更新数据安全通道。如上所述，UE在可信非3GPP接入网络、3GPP接入网络以及非可信非3GPP接入网络之间切换通过S2c接口接入EPC的时候，PDN-GW需要区分接入场景，以完成不同方式的数据安全通道的建立或更新。但PDN-GW并不能够判断当前UE接入方式，也就无法正确的建立或更新数据安全通道。
技术实现思路
本专利技术实施例提供了一种隧道数据安全通道的处理方法和设备，能够保障正确的建立或更新S2c隧道数据安全通道。一方面，提供了一种隧道数据安全通道的处理方法，包括：接收接入侧的鉴权认证请求，确定用户设备接入的可信关系；当该用户设备的S6b接口会话存在时，向分组数据网关发送包含可信关系信息的消息，以便分组数据网关根据该可信关系信息建立或更新S2c隧道数据安全通道。另一方面，提供了一种隧道数据安全通道的处理方法，包括：接收用户设备的分组数据网连接建立请求，当所述用户设备的S6b接口会话存在或者与所述用户设备之间已有安全联盟时，发送认证请求消息到鉴权认证设备，接收所述鉴权认证设备发送的认证响应消息，所述认证响应消息中包括所述用户设备接入的可信关系信息，根据所述可信关系信息，建立或更新S2c隧道数据安全通道。另一方面，提供了一种鉴权认证设备，包括：接收单元，用于接收接入侧的鉴权认证请求；鉴权单元，用于对所述鉴权认证请求进行鉴权，确定用户设备接入的可信关系，当所述用户设备的S6b会话存在时，通知发送单元向分组数据网关发送包含所述可信关系信息的消息；发送单元，用于向所述分组数据网关发送消息，所述消息中包含所述可信关系信息。另一方面，提供了一种网关设备，包括：接收单元，用于接收用户设备的分组数据网连接建立请求，以及用于接收鉴权认证设备发送的认证响应消息，所述认证响应消息中包括该用户设备接入的可信关系信息；确认单元，用于当所述接收单元接收到所述分组数据网连接建立请求时，确认若存在所述用户设备的S6b会话或者与所述用户设备之间已有安全联盟，则通知发送单元向鉴权认证设备发送认证请求消息；发送单元，用于向所述鉴权认证设备发送所述认证请求消息；建立单元，用于根据所述可信关系信息，建立或更新S2c隧道数据安全通道。本专利技术实施例在UE从S2c接口接入EPC时，由鉴权认证设备发送包含用户设备接入的可信关系信息的消息，或在认证响应消息中包含用户设备接入的可信关系信息，网关设备根据消息中包含的可信关系信息，建立或更新数据安全通道，保障建立正确的数据安全通道。附图说明图1是3GPP规定的非漫游场景下采用S2c接口接入EPS网络的系统架构图。图2是根据本专利技术一个实施例的非3GPP接入网络采用S2c接口接入EPS网络的数据安全通道的处理方法。图3是本专利技术一个实施例的可信非3GPP接入网络采用S2c接口接入EPS网络的数据安全通道的处理方法的过程的示意流程图。图4是本专利技术一个实施例的非可信非3GPP接入网络采用S2c接口接入EPS网络的数据安全通道的处理方法的过程的示意流程图。图5是本专利技术一个实施例的非可信非3GPP接入网络采用S2c接口接入EPS网络的数据安全通道的处理方法的过程的示意流程图。图6是根据本专利技术另一个实施例的采用S2c接口本文档来自技高网...

【技术保护点】
一种隧道数据安全通道的处理方法，其特征在于，包括，接收接入侧的鉴权认证请求，确定用户设备接入的可信关系；当所述用户设备的S6b接口会话存在时，向分组数据网关发送包含所述可信关系信息的消息，以便所述分组数据网关根据所述可信关系信息建立或更新S2c隧道数据安全通道；当所述可信关系信息指示所述用户设备接入为可信接入，则向分组数据网关发送包含所述可信关系信息的消息，以便所述分组数据网关根据所述可信关系建立或更新S2c隧道数据安全通道，包括：向分组数据网关发送包含所述可信关系信息的消息，以便所述分组数据网关接受所述用户设备发起的子安全联盟Child SA建立请求。

【技术特征摘要】
1.一种鉴权认证设备，其特征在于，包括：接收单元，用于接收接入侧的鉴权认证请求；鉴权单元，用于对所述鉴权认证请求进行鉴权，确定用户设备接入的可信关系，当所述用户设备的S6b会话存在时，通知发送单元向分组数据网关发送包含所述可信关系信息的消息；发送单元，用于向所述分组数据网关发送消息，所述消息中包含所述可信关系信息；当所述可信关系信息指示所述用户设备接入为可信接入，则所述发送单元用于向所述分组数据网关发送消息，所述消息中包含所述可信关系信息，包括：所述发送单元用于向分组数据网关发送包含所述可信关系信息的消息，以便所述分组数据网关接受所述用户设备发起的子安全联盟ChildSA建立请求。2.如权利要求1所述的鉴权认证设备，其特征在于，所述接入侧为可信非3GPP接入网络或非可信非3GPP接入网络或演进分组数据网关。3.如权利要求1或2任一所述的鉴权认证设备，其特征...

【专利技术属性】
技术研发人员：李欢，时书锋，
申请(专利权)人：华为技术有限公司，
类型：发明
国别省市：广东;44