CN101375563B - 作为到接入网的移动终端设备的网关的移动站以及对移动站和移动终端设备进行网络登记的方法 - Google Patents

Abstract

作为到接入网的移动终端设备的网关的移动站以及用于对该移动站和移动终端设备进行网络登记的方法，移动站(MS-GW)作为一个或多个移动终端设备(ME)的网关被设立用于在所述一个或多个移动终端设备(ME)与接入网(ASN)之间建立连接，其中所述移动站(MS-GW)支持基于网络的移动性管理(PMIP)，以致移动站(MS-GW)在移动IP连接的范围内作为客户端而不是移动终端设备(ME)出现在与连接有接入网(ASN)的归属网或者中间网(V-CSN，HN1)的归属代理(HA)的通信中。

Description

作为到接入网的移动终端设备的网关的移动站以及对移动站和移动终端设备进行网络登记的方法

本发明涉及一种移动站(MS-GW)，其作为一个或多个移动终端设备(ME)的网关被设立用于在所述一个或多个移动终端设备(ME)与接入网(ASN)之间建立连接。本发明尤其是也涉及这种移动站：所述移动站以无线方式与接入网(ASN)进行通信，诸如在WiMAX网络中那样。

在US 2004/0114559 A1中公开了用于移动IP的代理间通信的协议。在使用移动IP时，移动节点可以在调解其归属网的归属代理和所拜访的网络的外地代理的情况下通过因特网进行通信。所拜访的网的基站被构造来在其位置上触发该移动节点的注册和撤销注册。

在EP 1 578 067 A1中公开了一种用于控制移动网络的控制设备和用于控制移动网络的方法。该控制设备被分配给移动路由器，该移动路由器具有至少一个到全局网络的基站的接口和至少一个到至少一个移动节点的接口。该移动路由器和与其相连接的移动节点构成了移动网络。该控制设备允许该移动路由器“多宿主(Multi-Homing)”并且由此切换到其接口中的另一接口，当通过当前使用的接口到该全局网络的路径被中断时，所述另一接口具有到该全局网络的路径。

T.Ernst、H-Y.Lach的“Network Mobility Support Terminology”(draft-ietf-nemo-terminology-04，NEMO Working GroupInternet-Draft，2005年10月24日)公开了移动网络的术语。

C.W.Ng、T.Tanaka的“Usage Scenario and Requirements forAAA in Network Mobility Support”(draft-ng-nemo-aaa-use-00.txt，Internet-Draft，2002年10月)公开了移动网中的AAA协议和AAA操作的使用可能性。

应该为如膝上型电脑、PDA等的移动终端设备设法获得例如到因特网的接入的网络遭受在移动性管理方面的特别要求。传统的因特网协议最初不是被设计用于移动使用。在交换数据或数据包的静止的计算机中，在连接的持续时间内，原则上可以分配固定的IP-地址。如果该计算机在不同的子网之间漫游，则不再能够根据传统的IP标准维持所述连接。也没有规定网络地址本身在持续的连接中变化，或导致该连接中断。

DHCP(动态主机配置协议)能够按照专用服务器实现IP地址和其它配置参数向网络中的终端设备或者站的动态分配。只要这种设备被链接到网络中，这种设备就通过DHCP协议自动被分配(还是空闲的)IP地址。如果在移动终端设备中安装DHCP，那么该移动终端设备仅需进入本地网络的区域，该本地网络支持通过DHCP协议进行的配置。在DHCP协议中，能够进行动态地址分配，即对于确定的时间自动分配空闲的IP地址。在该时间期满之后，必须或者由移动计算机重新提出询问，或者该IP地址可以以其它方式被分配。

利用DHCP可将移动终端设备无手动配置地链接到网络中。作为前提条件，仅仅必须DHCP服务器可供使用。移动终端设备可以以这种方式使用本地网络的业务。可是，如果移动终端设备或移动站给自己提供业务，则潜在的业务用户不能以合适的方式寻址所述设备，因为所述设备的IP地址在其所链接的每个网络中变化。

因此，尽管有DHCP，通过传统的因特网协议(IP)仍不能满足对移动性的要求。因此提出了特别的协议、即移动IP(MIP)，该协议考虑这些分开的要求。在移动IP中，移动终端设备或移动站获得即使停留在其他网络中也保留的IP地址。

在传统IP的情况下，在此可能必需的是，使IP地址调节相对应地匹配于所参与的路由器。但是，终端设备上的IP配置和路由选择配置的持续匹配是不可实行的。相反，MIP协议(RFC 2002、RFC 2977、RFC3344、RFC3846、RFC3957、RFC3775、RFC3776、RFC4285)通过将两个IP地址分配给该MIP协议来支持移动终端设备的移动性，这两个IP地址即永久的归属地址(Home-Adresse)和临时的第二转交地址(Care-Of-Adresse)。转交地址是这样的IP地址：在该IP地址下当前(例如在由其所拜访的网中)可到达移动终端设备。将向可永久支配的归属地址提出的信息传授(Vermittlung)给移动终端设备通过归属代理和外地代理来实现。

只要移动终端设备不停留在最初的归属网中，归属代理(HomeAgent)就是该移动终端设备的代表。不断地将移动计算机的当前停留位置通知给该归属代理。该归属代理通常是移动终端设备的归属网(或者中间网(Zwischennetz))中的路由器的部件。当移动终端设备位于归属网之外时，归属代理提供功能，以便该移动终端设备可以登记。此后，该归属代理将向该移动终端设备所寻址的数据包转发到移动终端设备的当前网络中。

外地代理(Foreign Agent)位于移动终端设备在其中运动的那个网络中。该外地代理将到来的数据包转发给该移动终端设备或转发给移动计算机。在此，外地代理同样通常是路由器的部件并且在移动终端设备与其归属代理之间路由选择管理的移动数据包。外地代理对由归属代理所发送的、所隧穿的IP数据包进行解包并且将其数据转发给移动终端设备。

为了能将移动终端设备链接到网中，必须首先设法打听到：该移动终端设备是否位于其归属网或者外地网中。首先，移动终端设备必须设法打听到：哪个站在归属代理或外地代理的(必要时被拜访的)网中。这些信息通过代理发现(Agent Discovery)来确定。

通过注册，移动终端设备可将其当前的位置通知给其归属代理(HA)。为此，移动终端设备(在向归属代理的注册请求的范围内)给归属代理发送当前转交地址。归属代理(HA)以注册应答来应答。

所述注册通过事先执行的认证来得到保障。移动终端设备和归属代理此后例如具有共同的秘密密钥。认证的任务通过分配给移动终端设备的归属网(归属连接性服务网络(Home Connectivity ServingNetwork))中的归属代理的认证服务器来承担，该认证服务器也被称为AAA服务器(AAA：认证、授权和记账(Authentication、Authorization and Accounting))。如果归属代理位于所拜访的中间网(所拜访的连接性服务网(visited Connectivity ServingNetwork)，CSN)中，则在该网络中在一边(zur Seite)给该归属代理提供代理认证服务器。该归属代理和认证服务器或其代理可以是同一计算机上的模块。

移动数据网通常通过无线电连接来实现。接着，消息必须通过空中接口走完较长的距离并且因此对于潜在的攻击者是可容易到达的。因此，在移动的和无线的数据网中，安全方面是尤其重要的。移动终端设备作为所拜访的网络中的第一出发点(Anlaufpunkt)因此在大多数情况下具有接入网(接入服务网络(Access Serving Network)，ASN)，该接入网包括用于进行无线传输的基站。因此，除了用于通信的密钥与认证服务器和归属代理协调一致以外，用于无线电数据传输的其它密钥也是必要的。

除了公知的WLAN技术(无线局域网(Wireless Local AreaNetwork)标准IEEE 802.11)以外，作为对于移动终端设备的无线接入，在较近的过去已经公知了多个有希望的无线接入技术，这些无线接入技术在75Mb/s的高数据吞吐量的情况下也可达到较大的、直至30km或更大(视线)的作用距离：WiMAX(微波存取全球互通(Worldwide Interoperability for Microwave Access))。WLAN基于受限的发射功率在100m距离(直接的视线)处达到54Mb/s。因此利用WLAN可正好一次在楼宇之内实现热点，而在WiMAX中，整个城区可以被证实为域点(Metrospot)(大约800-1000m的半径)。对于WiMAX设置了宽度为100-200MHz的、在2.6GHz、3.5GHz和5.8GHz附近的三个频带。

WiMAX支持移动IP的两种变形方案，利用这些变形方案可实现宏移动性管理：(基于移动的IPv4或者v6的)代理-移动IP和客户端-移动IP。

在客户端-MIP(CMIP)中，移动终端设备或移动站具有移动IP功能。特别是，终端设备或者站被设置有自己的IP地址和其归属代理，并且相对应地拥有用于通信的密钥。于是，该终端设备或站具有所谓的基于终端设备的移动性管理。

在代理-MIP(PMIP)中，MIP客户端功能通过WiMAX接入网(WiMAX-ASN)而不是通过移动终端设备本身来实现。设置在接入网(ASN)中的功能被称为代理移动节点(PMN，Proxy Mobile Node)或者被称为PMIP-客户端。在这种配置中，这种终端设备也可找到对中间网和归属网的接入，以致移动IP正好不支持。PMIP-客户端代表实际客户端(即移动终端设备)地接管MIP信令。移动终端设备于是从所谓的基于网络的移动性管理获利，该移动性管理将PMIP-客户端提供给其。

移交移动站或者移动终端设备时的方法方式此处被称为移动性管理或宏移动性管理(宏-MM)，所述移动终端设备在两个接入网(ASN)或在两个网络提供商(NAP，网络接入提供商(Network AccessProvider))的网络之间切换。宏-MM在WiMAX中也被称为R3移动性或者ASN间移动性。

在这两种情况下，在移动终端设备或者CMIP-/PMIP-客户端的对立面上，归属网-CSN(HN)、也就是说用户的服务提供商同样必须支持移动IP，以便实现通信。这样，例如在认证之后的注册中，归属代理(HA)向移动站(MS)的认证服务器(AAA-MS)查询安全参数。必需这些参数，以便仅仅被授权的客户端可在归属代理(HA)处注册。

此外，按照移动IP给CMIP-客户端或者PMIP-客户端分配归属代理(HA)的地址。在此，归属代理(HA)可位于归属网(HN)中或者也可位于所拜访的中间网(CSN)中。这些基本功能必须被保留。

代理移动IP支持没有MIP能力的移动终端设备(ME)的移动性。在此，相对应的PMIP-客户端位于被定位在接入网(ASN)中的网关(GW)中，移动终端设备(ME)通过基站(BS)以无线方式与该接入网(ASN)进行通信。

但是如果现在移动终端设备应该分别被分配给其它网络运营商(NAP)(在漫游时的不同的订阅(Subskription))，则对运行接入网中的网关的那个网络运营商形成可观的花费，以便将所扩展的功能映射到接入网的网关中的PMIP-客户端中。那么也就是说，在那里也必须在接入网ASN中提供对于网络登记必要的AAA基础设施。

在WLAN网络的情况下，DSL网关经常在归属区域中并且不在网络提供商侧被采用。在这种网关之后，(从网络提供商看来)可到达移动终端设备。在这种情况下，仅仅能订阅所述一个网络提供商本身，该网络提供商已提供了所述网关。移动终端设备不拥有订阅。

在公共WLAN网络中，例如作为无线旅店网等等的热点相反彻底地被规定订阅其它网络提供商。前提条件仅仅是：热点提供商已经与第三网络提供商签署了合同并且因此建立了针对热点中的移动终端设备的连接。

虽然对于接入，当网关提供了认证器功能时，不仅针对网关而且针对终端设备都设置基于EAP的认证(EAP：扩展认证协议(Extensible Authentication Protocol)，RFC 3748)。但是，这里网关不具有用于确定移动终端设备的相应归属网的功能。

为此，网关亦即必须至少具有IP地址和与移动终端设备的归属网的相应负责的认证服务器共同的密钥。

此外，在WLAN的情形中，移动终端设备和网关本身都不具有移动性，这些移动终端设备和网关例如取决于旅店的地点。

因此存在以下要求：准予没有MIP能力的终端设备可靠地接入其相应的归属网并且同时保证其移动性，但是在此将用于转换与此相关的移动性管理的花费可以保持得少。

这些要求通过具有权利要求1的特征的移动站来满足，其中该移动站本身被用作网关。由移动终端设备和被用作网关的移动站构成的终端设备网在权利要求14中被说明。包括终端设备网、接入网、中间网和至少一个用于移动终端设备之一的归属网以及用于移动网关站的另一归属网的网络的系统在权利要求16中被说明。

此外，相对应的任务还通过具有按照权利要求18的特征的方法来解决。有利的改进方案分别由独立权利要求得到。

建议将能够实现基于网络的移动性管理的PMIP-客户端分配给移动站(MS-GW)，该移动站(MS-GW)被设立作为一个或多个移动终端设备(ME)的网关。与公知的代理移动IP的变形方案相比，PMIP-客户端功能因此从接入网(ASN)中的网关被移位到移动终端设备(ME)的区域中。

这样的术语“移动站”和“移动终端设备”原则上也可以标识相同类型的计算机。可是，移动站此处具有要被设立为网关的特性。因此，移动站附加地具有超出移动终端设备的特征，如在逻辑方面例如具有在终端设备网中登记的终端设备的地址表，而在物理方面例如具有用于网络线缆连接的网卡和/或用于无线的无线电波的发射/接收装置。该终端设备网通过被用作网关的移动站(MS-GW)的基础设施来确定。该网关无论如何具有两个数据输入/输出端，以便能够在网络和/或各个对等体之间建立连接。

按照实施形式，移动终端设备与网关移动站(MS-GW)以无线方式或者以有线方式进行通信。例子是本地WLAN网络或者是以太网线缆网。

特别有利地，在WiMAX网络中采用本发明。于是，网关移动站在其输出侧(从移动终端设备看来)与接入网(ASN)的基站(BS)以无线方式进行通信。这里也可以设立网关(ASN-GW)。从该网关(ASN-GW)，该连接可以进一步通过中间网不仅行进到移动站(MS-GW)的归属网，而且行进到移动终端设备(ME)的归属网。尤其是，这些归属网可以是不同的，以致对于移动终端设备能任意订阅。

但是，移动站也可在服务器侧被用于WLAN网络中，而不是大作用距离的WiMAX网络。但是在WiMAX网络中，更明显地显现出本发明的优点：移动的交通工具可以同时运送网关移动站(MS-GW)。登上所述交通工具的交通参与者在此可以自由地利用其移动终端设备(ME)登记到其归属网(HN2)中，更确切地说，是通过网关移动站(MS-GW)进行登记。这种交通工具的例子是出租车、公交车、轨道交通工具、飞机、轮船等等。在房子盖得很密的情况下，当WiMAX的作用距离小于1km时，良好的网络覆盖是必要的。

因为网关移动站(MS-GW)可以贡献PMIP-功能，所以该终端设备不需要安装移动IP。也即，网关移动站(MS-GW)作为客户端出现在移动IP连接中，而不是作为移动终端设备出现在与连接有接入网(ASN)的中间网(CSN)的归属代理(HA)的通信中。

本质目的在于，在WiMAX体系架构的范围内，针对接入WiMAX网络而保证可靠支持移动终端设备(ME)，所述移动终端设备(ME)不是直接与WiMAX接入网进行通信，而是通过如WLAN IEEE 802.11或者WiMAX IEEE 802.16那样的无线技术或者通过如以太网IEEE 802.3那样的有线技术与有WiMAX能力的网关MS相连接。

在此，重要的组成部分是密钥管理。对于移动终端设备(ME)与其相应的归属代理(HA)的通信，设立了分开的密钥(PMIP-密钥)，移动站(MS-GW)利用该密钥(PMIP-密钥)来确保相对应的消息。此外，还设立分开的密钥(GW-AAA-密钥)，移动站(MS-GW)利用该密钥(GW-AAA-密钥)来确保与接入网(ASN)中的代理认证服务器(AAA-P)的消息交换。按照本发明的扩展方案，可设想到各种变形方案，如这些密钥(PMIP-密钥，GW-AAA-密钥)被产生或被寄存在被用作网关的移动站(MS-GW)中。

第一实施形式规定，由已经存在的(第二)密钥(CMIP-密钥)来导出所述(第一)密钥(PMIP-密钥)。例如，当被用作网关的移动站(MS-GW)为了自己的移动性而自己运行基于终端设备的移动性管理(CMIP)时，存在这种情况。第二密钥(CMIP-密钥)在相对其认证服务器(AAA-MS)注册移动站(MS-GW)时被产生，或在基于EAP的认证中被产生，或者被预配置。

这种第二密钥也可以作为密钥信息(MSK)由认证服务器传送，以便在WiMAX或者WLAN的情况中保护该空中接口免受第三方的攻击。于是，第一密钥(PMIP-密钥，GW-AAA-密钥)由该密钥信息导出。

另一实施形式规定，在移动站中将第一密钥(PMIP-密钥，GW-AAA-密钥)预配置为这种密钥。这里，预配置意味着，该第一密钥(PMIP-密钥，GW-AAA-密钥)在认证、地址分配、注册等的方法步骤之前已经存在于被用作网关的移动站(MS-GW)中。

在不存在用于密钥分布的自动化机制的情况下，未用作网关的移动站与代理认证服务器(AAA-P)之间的安全关系迄今通常静态地被预配置。就此而言，尤其是所述的、动态传输的变形方案或由现存的或者所传输的密钥(MSK，CMIP-密钥等等)导出第一密钥(PMIP-密钥，GW-AAA-密钥)的变形方案是有利的实施形式，因为用于预配置的花费明显被减少。

由于总是两方进行通信，所以第一密钥(在PMIP-密钥的情况下)原则上必须不仅存在于移动站(MS-GW)中而且存在于认证服务器(AAA-MS)中。但是，在预配置的情况下也可能的是，当密钥(PMIP-密钥)对于MS是唯一的并且没有动态地被分配时，将密钥(PMIP-密钥)直接寄存在负责的移动IP归属代理(HA)中，而不是认证服务器(AAA-MS)。

在认证密钥(GW-AAA-密钥)的情况下，因为负责的代理认证服务器(AAA-P)按照本发明已经被安放在接入网(ASN)中，所以替换于代理认证服务器(AAA-P)，该密钥相对应地被寄存在外地代理(FA)处。

其它的实施形式规定，如下设立被简化的密钥管理：对于多个或者所有的在终端设备网(EN)中向移动站(MS-GW)登记的移动终端设备(ME)，在与归属代理(HA)进行通信时使用相同的第一密钥(PMIP-密钥，GW-AAA-密钥)。

为了能借助基于EAP的协议而相对ME的相应归属网(HN2)实现移动终端设备的认证，只要移动终端设备通过移动站(MS-GW)与WiMAX网络(ASN)相连接，用作认证器的移动站(MS-GW)就能够找出移动终端设备的相应归属网(HN2)的认证服务器(AAA-ME)。

为了改善通信必须给移动终端设备分配IP地址。针对移动终端设备(ME)分配IP地址被规定在本发明的范围内。这例如可以通过所谓的DHCP中继功能在被用作网关的移动站(MS-GW)中实现。

应注意到，视移动站所处的位置而定，归属代理(HA)可以被安放在所拜访的中间网(CSN)中或者被安放在归属网(HNl)中。归属网也可以是“CSN”(连接性服务网络(Connectivity ServingNetwork))类型的网络。

现在，按照实施例借助附图来详细阐述本发明。其中：

图1示出按照现有技术的、具有基于网络的移动性管理(PMIP)的网络结构或系统；

图2示出按照图1的具有PMIP的网络结构中的连接建立；

图3示出按照本发明的例子的、具有基于网络的移动性管理(PMIP)的网络的网络结构或系统；

图4示出按照本发明的实施例的、具有网关和ME的认证步骤的连接建立的片断。

图1示出了按照现有技术的、彼此进行通信的WiMAX网络或者WLAN网络的网络结构或系统的例子。所示系统中的通信遭受基于网络的移动性管理(PMIP)。

移动终端设备(ME)1通过无线的WiMAX接口或者WLAN接口2与接入网(ASN)4的基站(BS)3相连接。移动终端设备1是任意的移动终端设备，例如是膝上型电脑、PDA、移动电话或者其它移动终端设备。该移动终端设备1不履行网关功能，而是按照字面意义是终端设备。

接入网(ASN)4的基站(BS)3通过数据传输线5与接入网4的网关(ASN-GW)6相连接。在网关6的计算机中集成了其它功能，尤其是集成了外地代理(FA)6A、PMIP客户端6B、认证客户端(AAA客户端)6C和DHCP代理服务器6D。外地代理6A是路由器，其为移动终端设备1提供路由选择业务。向移动终端设备1提出的数据包由归属代理(HA)以隧穿方式进行传输并且由外地代理(FA)6A解包。

接入网4的网关6通过接口7与中间网(CSN)9的计算机8相连接。计算机8包括DHCP服务器8A、归属代理(HA)8B和代理认证服务器(AAA-P)8C。当移动终端设备1不在其最初的归属网12(HNl)中时，归属代理8B是该移动终端设备1的代表。归属代理8B不断地获知移动计算机1的当前停留地点。移动终端设备1的数据包首先被传输给归属代理(HA)并且从归属代理(HA)出发以隧穿方式被转发给外地代理(FA)6A。

相反，由移动终端设备1发出的数据包可以直接被发送给相应的通信伙伴。移动终端设备1的数据包在此包括作为发送方地址的归属地址。该归属地址具有与归属代理8B相同的地址前缀，即网络地址和子网地址。由其它通信伙伴向移动终端设备1的归属地址所发送的数据包由归属代理8B截取。归属代理8B将这些数据打包并向接入网区域中的移动终端设备1的转交地址以隧穿方式传输这些数据包。在该隧道的端点，这些数据包通过外地代理6A或者通过移动终端设备1本身来接收。

中间网9的计算机8通过另一接口10与移动终端设备1的归属网12的认证服务器(AAA服务器)11相连接。

当归属代理(HA)如其在图1中所示出的那样处于所拜访的网络中时，图2示出了该移动终端设备(ME)的网络登记的示例性流程。

在基站(BS)的移动终端设备(ME)之间建立无线电连接之后，首先进行接入认证。认证、授权和记帐借助认证服务器来进行。在移动终端设备(ME)与归属网(HN)的认证服务器(AAA服务器)之间交换认证消息。按照消息交换获得归属代理(HA)的地址和认证密钥。

归属网(HN)中的认证服务器(AAA服务器)持有参与者的分布数据(Profildaten)。认证服务器首先获得包含移动终端设备(ME)的参与者身份的认证询问。在成功的接入认证之后，认证服务器接着产生MSK密钥(在图2中，MSK：主会话密钥(Master Session Key))，用于保护移动终端设备MS与接入网ASN的基站之间的数据传输距离。MSK密钥由归属网(HN)的认证服务器通过中间网(CSN)向接入网(ASN)传输。

在基于网络的移动性管理(PMIP)的情况下，移动终端设备(ME)不支持移动IP。例如不能在移动终端设备中激活或者安装相对应的MIP软件。

网关6为移动终端设备(ME)提供认证器和PMIP客户端，并且因此接管其移动IP通信。

在认证服务器的应答消息中，负责的DHCP服务器的地址、针对与认证服务器的通信而被导出的密钥(AAA-密钥)和负责的归属代理(HA)的地址被传送给PMIP客户端6B。在另一步骤中，按照这些数据配置DHCP代理6D。

在代理移动IP中，移动终端设备(ME)只识别两个由DHCP服务器所分配的IP地址之一。只有由DHCP服务器所分配的转交地址对于所述移动终端设备是已知的，归属地址对于该移动终端设备本身不是已知的，而只对于PMIP客户端、外地代理以及归属代理是已知的。在基于终端设备的移动性管理(CMIP)的情况下，移动终端设备1会知道其两个IP地址，这两个IP地址即归属地址以及转交地址。

在成功进行认证和授权之后，移动终端设备MS发送所谓的DHCP发现(DHCP Discovery)消息。现在，利用IP地址分配在移动终端设备(ME)、DHCP代理与DHCP服务器之间进行对话。

在IP地址分配之后，进行MIP注册，其中将移动终端设备的当前位置通知给归属代理。为了进行其注册，代表该移动终端设备的PMIP客户端给包含当前的转交地址的归属代理(HA)发送注册请求(Registration Request)。该归属代理接受该转交地址并且以注册应答(Registration Reply)进行应答。

由于原则上每个计算机都可以向归属代理寄送注册请求，所以可以用简单的方式给归属代理预演：计算机或移动终端设备已运动到另一网络中。为了防止这一点，不仅移动终端设备而且归属代理都具有共同的秘密密钥(PMIP-密钥)，即具有PMIP密钥或移动性密钥，其与认证密钥(AAA-密钥)不同。

注册请求由接入网之内的PMIP客户端通过外地代理(FA)被传输给归属代理(HA)。归属代理(HA)能够由所属的认证服务器(AAA服务器)被分配给针对参加者的密钥并且会将其连同MIP注册应答一起通过该归属代理(HA)传输给PMIP客户端。

因此，在基于网络的移动性管理(PMIP)中，可以经过PMIP客户端6B和归属代理(HA)通过认证服务器(AAA)来产生共同的移动性密钥(PMIP-密钥)。

图3示出了按照本发明的、彼此通信的WiMAX网络的网络结构或系统的例子。所示系统中的通信在此也遭受基于网络的移动性管理(PMIP)。

在该例子中，WiMAX接口位于被用作网关16的移动站与接入网4的基站3之间。该接入网具有与图1中所示的基础设施类似的基础设施，可是没有PMIP客户端16A。相反，PMIP客户端16A位于移动站的网关16中。

此外，接入网中的认证客户端6C(AAA客户端-MS)被限制到移动站或网关16上。对于被包含在通过网关16开拓的终端设备网17(EN)中的移动终端设备19A-19D(MEl-MEn)，认证客户端16C被设置在网关16中。移动终端设备19A-19D在其一方面经过WLAN接口或者以太网接口18与网关16进行通信。

通过线路7与接入网相连接的中间网9的体系架构基本上与在图1中所示的网络结构覆盖相同的区域，而在本发明的例子中，必须区分移动站的归属网12或网关16与移动终端设备19A-D的归属网13。归属网12包括分配给网关16的认证服务器14(AAA-MS)，而归属网13总是包括认证服务器15(AAA-ME)。

图4示出了根据本发明的可能的变形方案的网络登记过程的片断。仅仅示出了涉及认证的部分。认证被划分为两个阶段。在第一步，网关或移动站(MS-GW)16相对认证服务器(AAA-MS)借助认证器(ASN-GW)8(包括认证客户端6C(AAA-MS)在内)和借助代理认证服务器(AAA代理)8C进行认证。在此，为了执行认证应用了传统的EAP方法(EAP：扩展认证协议，按照IEEE 802.16)。

在第二步，移动终端设备(ME1-MEn)之一同样按照EAP协议相对其认证服务器(AAA-ME)借助此处作为认证器起作用的移动站(MS-GW)进行认证。

在该例子中，认证器(ASN-GW)在成功认证之后从认证服务器(AAA-MS)获得密钥MSK(主会话密钥)。不仅认证器8(ASN-GW)而且被用作网关16的移动站(MS-GW)由此导出密钥AK。利用该密钥AK，在移动站16与WiMAX基站(BS)之间执行所确保的、按照IEEE802.16/16e的无线连接。

对于移动站的网关16中的PMIP客户端，在该步骤结束时存在合适的移动性密钥(PMIP-密钥)，利用该移动性密钥可确保到归属代理(HA)的通信。在本例子中，在认证服务器(AAA-MS)和移动站(MS-GW)的一侧上，由现存的密钥材料导出移动性密钥(PMIP-密钥)。这些密钥信息在两侧上都是可支配的，因为这些密钥信息可以在EAP认证的范围中被交换。

在第二步，被用作网关的移动站与在WiMAX提供商(NAP)的网络中或在中间网9中的代理认证服务器交换EAP消息。按照本发明，该代理认证服务器现在具有特别的特性，即解析分别负责移动终端设备的认证服务器(AAA-ME)的地址并且与其交换相对应的消息。但是也不排除，认证服务器(AAA-MS)和(AAA-ME)是相同的。

Claims (24)

1.移动站，其作为一个或多个移动终端设备(ME)的网关被设立用于在所述一个或多个移动终端设备(ME)与接入网(ASN)之间建立连接，其中所述移动站支持基于网络的移动性管理，以致所述移动站在移动IP连接的范围内作为客户端而不是移动终端设备(ME)出现在与连接有接入网(ASN)的中间网或归属网的归属代理(HA)的通信中，其中所述移动站被设立用于通过无线连接与接入网络(ASN)的基站(BS)进行通信，其中所述移动站包括代理移动IP客户端和认证客户端。

2.根据权利要求1所述的移动站，其中，所述无线连接符合WiMAX标准IEEE 802.16。

3.根据权利要求1或2所述的移动站，其被设立用于通过无线连接与所述一个或多个移动终端设备(ME)进行通信。

4.根据权利要求3所述的移动站，其中，该移动站与所述一个或多个移动终端设备(ME)进行通信所通过的所述无线连接符合WLAN标准IEEE 802.11。

5.根据权利要求1或2所述的移动站，其被设立用于通过有线连接与所述一个或多个移动终端设备(ME)进行通信。

6.根据权利要求5所述的移动站，其中，所述有线连接符合以太网标准IEEE 802.3。

7.根据权利要求1或2所述的移动站，

-该移动站具有第一密钥，用于在基于网络的移动性管理的范围内确保和认证用于移动终端设备(ME)在移动站与中间网或者归属网中的归属代理(HA)之间的网络登记的通信，和/或

-该移动站具有其它的第一密钥，用于确保和认证用于移动终端设备(ME)在移动站与接入网(ASN)中的代理认证服务器之间的网络登记的通信。

8.根据权利要求1或2所述的移动站，除了作为移动IP连接的客户端来针对移动终端设备(ME)实现基于网络的移动性管理的特性之外，该移动站还被设立用于作为移动IP连接的客户端为了自己的移动性而实现基于终端设备的移动性管理。

9.根据权利要求7所述的移动站，除了作为移动IP连接的客户端来针对移动终端设备(ME)实现基于网络的移动性管理的特性之外，该移动站还被设立用于作为移动IP连接的客户端为了自己的移动性而实现基于终端设备的移动性管理。

10.根据权利要求9所述的移动站，其中，所述移动站的所述第一密钥和所述其它的第一密钥中的至少一个从第二密钥导出，该第二密钥用于在基于终端设备的移动性管理的范围内确保所述移动站与中间网或者归属网中的归属代理(HA)以及接入网(ASN)中的外地代理(FA)之间的通信。

11.根据权利要求10所述的移动站，其中，所述第二密钥和/或在所述第一密钥和所述其它的第一密钥中的至少一个在所述移动站中被预配置。

12.根据权利要求7所述的移动站，其中，用于基于网络的移动性管理的所述第一密钥从在所述移动站相对第一认证服务器进行认证时由第一认证服务器分配的密钥信息导出，其中第一认证服务器处于移动站的第一归属网(HN1)中。

13.根据权利要求1或2所述的移动站，其中，对于所有与其相连接的移动终端设备(ME)，在与归属代理(HA)或代理认证服务器进行通信时，使用相同的第一密钥。

14.网络，其由进行无线或者有线通信的移动终端设备(ME)和根据上述权利要求之一所述的移动站构成，其中，所述移动站被设立为移动终端设备(ME)的网关。

15.根据权利要求14所述的网络，其中，所述移动终端设备(ME)分别订阅第二归属网(HN2)，其中，所述第二归属网(HN2)中的至少一个不同于移动站的归属网(HN1)。

16.网络系统，其包括：

-根据权利要求14或15之一所述的网络，

-接入网(ASN)，其借助基站(BS)与被用作网关的移动站以无线方式进行通信并且具有外地代理(FA)、认证客户端和代理认证服务器，

-与接入网相连接的第一归属网(HN1)，所述第一归属网(HN1)具有用于移动站的认证服务器，

-归属代理(HA)，所述归属代理(HA)被安放在第一归属网(HN1)中或者被安放在建立归属网(HN1)与接入网(ASN)之间的连接的中间网中，

-至少一个第二归属网(HN2)，其具有用于至少一个移动终端设备(ME)的认证服务器以及具有归属网或者中间网中的归属代理(HA)。

17.根据权利要求16所述的网络系统，其中，所述接入网(ASN)是WiMAX网。

18.用于对被用作网关的移动站和至少一个与该移动站进行无线或有线通信的移动终端设备(ME)进行可靠地网络登记的方法，其中所述移动站被设立用于通过无线连接与接入网络(ASN)的基站(BS)进行通信并且所述移动站包括代理移动IP客户端和认证客户端，该方法包括：

-借助在接入网(ASN)中作为认证器的所述认证客户端，移动站相对移动站的第一归属网(HN1)的第一认证服务器进行认证；

-接着，借助在接入网(ASN)中作为认证器的被登记的移动站和借助接入网(ASN)中的代理认证服务器，至少一个移动终端设备(ME)相对移动终端设备(ME)的第二归属网(HN2)中的第二认证服务器进行认证。

19.根据权利要求18所述的方法，其中，所述第一归属网(HN1)和所述第二归属网(HN2)是不同的。

20.根据权利要求18或19所述的方法，其中，按照根据标准IEEE 802.16的EAP协议，移动站相对第一认证服务器进行认证。

21.根据权利要求18或19所述的方法，其中，在认证期间，在移动站与第一认证服务器之间协商共同的密钥信息，并且其中，由所述密钥信息导出在移动站中的和在第一认证服务器中的第一密钥。

22.根据权利要求18或19所述的方法，其中，在认证期间，在移动站与第一认证服务器之间协商共同的密钥信息，并且其中，由所述密钥信息导出在移动站中的和在接入网(ASN)的代理认证服务器中的第一密钥。

23.根据权利要求18或19所述的方法，其中，为了使在一个或多个移动终端设备的网络登记范围内的信令安全，预配置在移动站中和

(a)在第一认证服务器中或者在归属代理(HA)中或

(b)在接入网(ASN)的代理认证服务器中或者在外地代理(FA)中的至少一个第一密钥。

24.根据权利要求18或19所述的方法，其中，移动站由第二密钥导出至少一个第一密钥，该移动站作为移动IP连接的客户端将该第二密钥用于在基于终端设备的移动性管理的范围内作为终端设备的自己的通信。

Images