CN103039038B - 用于有效地使用电信网络以及该电信网络和客户驻地设备之间的连接的方法和系统 - Google Patents

Abstract

本发明涉及一种用于电信网络的接入节点和CPE之间的有效连接的方法和电信网络，该方法包括：使用用于验证和授权的线路ID，建立电信网络的接入节点和CPE之间的物理通信信道；电信网络向CPE提供公共或私有网际协议地址，以供CPE用于与电信网络的接入节点通信，网际协议地址与物理通信信道的至少一个参数关联；电信网络初始地将第一功能性水平指派至公共或私有网际协议地址；在电信网络能够将物理通信信道的至少一个参数与有关合同的标识信息联合的情形中，电信网络将第二功能性水平指派至公共或私有网际协议地址；有关网络接入的标识信息与有关合同的标识信息的联合包括基于网络附属子系统（NASS）的验证；可选地通过令牌信息而使基于网络附属子系统（NASS）的验证安全。

Description

用于有效地使用电信网络以及该电信网络和客户驻地设备之 间的连接的方法和系统

背景技术

本发明涉及一种有效地使用电信网络（telecommunication network）以及该电信网络和客户驻地设备（customer premises equipment）之间的连接的方法和系统。

从美国专利7,127,049得知：一种增强经由数字用户线链路来激活客户调制解调器和中央局调制解调器之间的网络服务自动化的系统。在根据所述现有技术的系统中，中央局调制解调器将客户调制解调器耦合至用于提供网络服务的网络，该系统包括与中央局调制解调器耦合的轮询系统。

此外，2010年6月16日的第三代合作伙伴计划（3GPP）TS33.203中的基于IP服务的接入安全（版本10），公开了一种用于在电信网络的接入节点和用户设备（User Equipment）之间建立连接的方法。

所述已知系统具有若干缺点。例如，轮询系统限定了其中没有网络接入可用于客户调制解调器的某一时间段。此外，所述已知系统中继提供一种经会话指派的网际协议地址（session assigned Internet Protocol address），而所述经会话指派的网际协议地址不能被永久使用，因此有必要重新连接客户调制解调器和通信网络之间的连接（可能地通过另一网际协议地址），从而可能地必须进行一个断开步骤和/或新会话的发起和/或客户设备的重新启动操作。

此外，根据现有技术，为了建立网际协议边缘节点和诸如客户调制解调器或CPE（客户驻地设备）之类的用户设备之间的网际协议连接，总是有必要使用一种在不可信环境中使用或分配的作为验证信息的信息。例如，以一种用户指定的方式来预配置CPE单元，并且将所述CPE单元分配至多个客户或者客户主机，使得客户采用他从电信网络的运营商获得的证书来配置该CPE。所述预配置的信息本身是不安全或者不可信的，这是因为在根据现有技术建立网际协议会话之前所发生的步骤导致电信网络运营商必须在不可信环境中分配所述证书或预配置或其他（先前可信的）信息，或者将所述证书或预配置或其他（先前可信的）信息分配至不可信环境（例如，客户家）。

这些限制具有的影响是，使得客户调制解调器和电信网络之间的连接相对耗时。用户需要输入证书来接入网络。不存在任何即插即用解决方案来接入网络，以及接入提供给网络连接的服务。

此外，德国专利公开文本DE 10 2007 039 516 A1公开了一种以用户指定的方式来配置通信端口的方法，该方法包括提供默认概要（profile）的步骤，所述默认概要针对一个指定用户，该方法还包括将用户指定的默认概要指派至一个用户指定配置的概要的步骤，所述用户指定配置的概要被指派至一个指定用户。

发明内容

本发明的一个目的是提供一种用于借助于提供电信网络和客户驻地设备（CPE）之间的通信信道并且通过提供一种对该电信网络的控制，来有效地使用电信网络以及该电信网络和CPE之间的连接的系统和方法，使得

-对于用户来说，灵活地使用电信服务是可能的；

-不需要配置该CPE本身，仅需要最小的时间延迟来配置电信服务；

-提供了有效地且安全地执行针对电信网络的接入的验证过程的可能性；以及

-相比于根据现有技术的方法，实现了高安全水平或更高安全水平。

本发明的另一目的是提供一种系统，使得管理IP连接的授权是独立于IP连接本身而连接至若干电信服务。

本发明的目的通过一种经由接入节点来有效地使用电信网络以及该电信网络和客户驻地设备（CPE）之间的连接的方法和系统来实现，该方法包括如下步骤：

-建立该电信网络的接入节点和该CPE之间的物理通信信道，该物理通信信道被指派至与该接入节点有关的一个有关网络接入的标识信息（network access relatedidentification information）；

-该电信网络向该CPE提供了一个公共或私有网际协议地址，以供所述CPE用于与该电信网络的网际协议边缘节点通信，该网际协议地址与所述有关网络接入的标识信息相关联，以及实现了逻辑通信信道的网际协议会话（IP会话）或连接在该电信网络的网际协议边缘节点和该CPE之间被初始化；

-该电信网络初始地将一个第一功能性水平（functionality level）指派至该公共或私有网际协议地址（例如，以围墙花园（walled garden）形式）；

-在该电信网络能够将所述有关网络接入的标识信息与有关合同的标识信息（contract related identification information）联合的情形中，该电信网络将一个第二功能性水平指派至网际协议地址；

-所述有关网络接入的标识信息与所述有关合同的标识信息的所述联合，包括一个基于网络附属子系统（NASS）的验证。

此外，本发明的目的还通过一种有效地使用电信网络以及电信网络的接入节点和CPE之间的连接的方法和系统来实现，该方法包括如下步骤：

-建立该电信网络的接入节点和该CPE之间的物理通信信道，该物理通信信道被指派至一个有关网络接入的标识信息；

-该电信网络向该CPE提供一个公共或私有网际协议地址，以供该CPE用于与该电信网络的IP网络通信，该网际协议地址与所述有关网络接入的标识信息相关联；

-该电信网络将第一功能性水平初始地指派至所述公共或私有网际协议地址（例如，以“围墙花园”形式）；

-在电信网络能够将所述有关网络接入的标识信息与有关合同的标识信息联合的情形中，该电信网络将第二功能性水平指派至网际协议地址；

-所述有关网络接入的标识信息与所述有关合同的标识信息的所述联合，包括一个基于网络附属子系统（NASS）的验证。

根据本发明，优选地，通过使用至少一个验证信息来建立所述逻辑通信信道，所述至少一个验证信息是存在于所述电信网络内的一个可信的信息。

所述电信网络的接入节点和所述CPE之间的物理通信链路可以是任何有线通信链路。这样的有线通信链路，通常包括连接至所述CPE的一端以及连接至所述电信网络的接入节点的一端。根据本发明，接入节点被限定为端接接入网络（其是电信网络的一部分）和家庭网络的任何装置。所述CPE应被理解成如下的客户驻地设备，即如同具有路由器功能性的家庭网关，或者能够建立IP连接并诸如借助于被链接（或者插入）至转接点或建筑物入口接口而连接至物理通信链路的任何其他装置。接入节点和CPE之间的物理通信链路通常还称为“最后一英里”（接入网络的网络部件和客户驻地设备之间）。应理解，术语“电信网络的接入节点和CPE之间的物理通信链路”，不需要是CPE和接入节点之间的单独的有线通信链路，但是如果使用诸如基于GPON的光纤网络、电缆网络等之类的共享媒介，则也可借助于有源器件（例如，ONU/ONT或者电缆调制解调器）来实现。在本发明的背景中，术语“物理通信链路”还包括待被连接的两个点之间的“逻辑通信链路”。甚至，电信网络的接入节点和CPE之间的无线通信链路（诸如点对点无线电系统（或者定向无线电链路））的（部分）使用应被理解为如下意义的“物理通信链路”，即所述物理通信链路包括连接至CPE的一端和连接至电信网络的接入节点的一端。

有线通信链路的实例包括：经由一对铜线的数字用户线路通信链路，或者经由光纤链路的数字用户线路通信链路，或者经由电缆电视接入链路的数字用户线路通信链路。在使用经由一对铜线的数字用户线路通信链路的情形中，CPE例如借助于所谓的TAE（Telecommunikations Anschluss Einheit）、APL（Abschlusspunkt Linientechnik，接入点线路技术或转接点）被链接至电信网络，该对铜线在TAE/APL（在用户家庭中）到用作电信网络的接入节点的数字用户线路接入复用器（DSLAM）之间延伸。在使用经由光纤链路的数字用户线路通信链路的情形中，CPE例如借助于所谓的ONU（光网络单元）或ONT（光网络终端）被链接至电信网络，该光纤链路在ONU/ONT（在用户家庭中）到用作电信网络的接入节点的OLT（光线路终端）之间延伸。在使用经由电缆电视接入链路的数字用户线路通信链路中，CPE例如借助于所谓的CM（电缆调制解调器）被链接至所述电信网络，所述电缆电视接入链路在CM（在用户家庭中）到用作电信网络的接入节点的CMTS（电缆调制解调器终端系统）之间延伸。

根据本发明，在网际协议边缘节点和CPE之间建立逻辑通信信道。逻辑通信信道对应于网际协议会话或连接。在接入节点和CPE之间建立（在电信网络和CPE之间的）物理通信信道。根据本发明的所有实施方案，可能且优选地，网际协议边缘节点的功能性至少部分地集成到具有接入节点的功能性的网络节点中，或者反之（即，接入节点的功能性至少部分地集成到具有网际协议边缘节点的功能性的网络节点中）。

根据本发明，通过使用至少一个验证信息来建立网际协议边缘节点和CPE之间的逻辑通信信道（网际协议连接），所述至少一个验证信息是存在于所述电信网络内的可信的信息，尤其是在CPE物理连接至的接入节点或者接入节点端口上的可信的信息。这意味着，在本发明的背景下，为了建立完整功能的网际协议会话或连接（即，网际协议边缘节点和CPE之间的逻辑通信信道），证书或个性化预配置的CPE装置的分配是没有必要的。有必要的仅仅是，电信网络（即，控制单元或控制功能）知晓接入节点的指定端口（和线路ID）的存在，以及CPE（即，随机配置的CPE）物理连接至该接入节点的指定端口。基于这些技术状况，可能地，为CPE建立网际协议会话或连接。根据本发明，初始地，该网际协议连接或网际协议会话（即，逻辑通信信道）优选地仅基于第一功能性水平起作用。一旦与有关该合同的信息进行交换，则可启用第二功能性水平。

根据本发明的一个优选实施方案，所述至少一个验证信息独立于CPE，所述至少一个验证信息仅仅与接入节点或者电信网络的其他部分建立关系。

因而，有利地，可以减少用于将CPE装置分配给客户、用于预配置CPE装置或者处理所述至少一个验证信息（即，尤其是多个证书或单个证书信息）的后勤努力，所述将CPE装置分配给客户、用于预配置CPE装置或者处理所述至少一个验证信息（即，尤其是多个证书或单个证书信息）是作为网际协议会话或连接的先决条件（prerequisite）。

根据本发明的一个优选实施方案，有关网络接入的标识信息对应于端口ID和/或线路ID或者是所谓的端口ID和/或线路ID。有关网络接入的标识信息或者线路ID表示物理通信信道。所述物理通信信道有必要被定位为，即，从一个指定接入节点引至一个指定转接点（或者反之亦然），从而允许不仅可将其身份（有关网络接入的标识信息）指派至物理通信信道，而且可将其位置（例如，以邮政地址的形式，或者以指定公寓建筑物内侧的一指定公寓的形式）指派至物理通信信道。物理通信信道的位置，优选地主要与其远程端（即，CPE和接入节点之间的物理通信链路的客户驻地或开始点）有关。所谓的网络端口标识信息（下文中还称为端口ID），标识了连接至朝向CPE的物理连接的接入节点的端口。根据本发明，可以将线路ID（即，有关网络接入的标识信息）与接入节点的端口相关联，使得这两个标识符可在电信网络的技术协议中传输。

在CPE向接入节点初始请求以请求电信网络服务（即，用于建立数据传输连接）之后，接入节点通过线路ID和端口ID的信息元素来补充CPE的请求。这优选地经由DHCP协议（动态主机配置协议）来实现，优选地使用DHCP选项82或者PPPoE（以太网的点对点协议）来实现，优选地使用PPPoE中间代理来实现。

电信网络优选地包括一个所谓的网际协议边缘节点。该网际协议边缘节点操控网际协议地址向CPE的分配，以及与CPE可寻址的不同的网际协议地址相关联的不同功能性水平的分配。从而，网际协议边缘节点可被理解成一个具有与不同虚拟接口上的不同网际协议地址相关联的多个接入和许可规则的路由装置。给予CPE的网际协议地址具有缩减的功能性水平，例如仅被许可为一个有限接入范围的目标网际协议地址。具有增加的功能性水平的网际协议地址，例如，被许可为一个增强的接入范围的目标网际协议地址，带有到该互联网的默认路由。

根据本发明，存在可与给予CPE的网际协议地址相关联或者可指派至给予CPE的网际协议地址的若干不同的功能性水平。缩减的功能性水平，对于在电信网络的接入节点的任何端口和可通过这种接入节点操作的任何相关联的CPE之间的任何功能性物理通信信道都是可用的。根据本发明，所述缩减的功能性水平被用于提供与合同没有任何关系的基本的连接，使得在该连接后面的用户能够使用一组默认的功能性，例如可选择不同的接入模式和/或可以通过接入客户自助接口（customer self care interface）来选择由服务运营商所提供的不同服务。增强的功能性水平与任何以下的服务相关联，所述服务可尤其借助于基于网际协议的网络连接通过物理通信信道来递送和可接入。所述服务包括但不限于因特网接入服务、VoIP（网际协议语音）服务、VoD（视频点播）服务、电视（TV）服务等。根据本发明，可能且优选地存在多个增强的功能性水平，例如关于因特网接入服务的增强的功能性水平可与关于多播服务（诸如电视服务（IPTV）或VoD）的缩减的功能性水平同时提供。

根据本发明的一个实施方案，描述了基于网际协议的服务的初始化过程，这意味着，“第一功能性水平”指的是缩减的功能性水平，尤其是基本的连接水平，“第二功能性水平”指的是在对源自一个合同的有关合同的标识信息（即，例如授权信息）做出参考之后或者至少参考一个可能的合同（未来的合同）之后，与由服务供应商递送的某种服务相关联的增强的功能性水平。在本发明的背景下，该过程称为“联合”。根据该实施方案，所指的基本连接水平意义上的缩减的功能性水平的第一功能性水平，例如，仅允许接入网络的一个实体连接至客户自助接口或者连接至旨在配置网络接入的另一服务或功能性。在本发明的背景下，所述缩减的连接水平或者基本连接水平还称为“围墙花园”。

根据本发明的另一实施方案，描述了基于网际协议的服务配置中的改变，这意味着“第一功能性水平”指的是在改变服务配置之前的功能性水平，“第二功能性水平”指的是在改变服务配置之后的功能性水平。例如，在改变服务配置之前的功能性水平可仅仅包括VoIP或者实施先前由POTS系统所提供的服务的功能性，在改变服务配置之后的功能性水平可能包括VoIP功能性或者POTS功能性以及因特网接入功能性（或者，在改变服务配置之后的功能性水平可包括，VoIP功能性或者POTS功能性，以及因特网接入功能性和TV或VoD功能性）。根据另一实施例，在改变服务配置之前的功能性水平可包括VoIP功能性或者POTS功能性以及接入“围墙花园”，在改变服务配置之后的功能性水平可包括VoIP功能性或者POTS功能性以及因特网接入功能性。

根据本发明的一个优选实施方案，该电信网络包括一个网际协议边缘节点和一个控制功能，其中在通过联合过程将有关网络接入的标识信息与有关合同的标识信息建立关系之后，将实现第二功能性水平的有关合同的标识信息发送至控制功能。在该控制功能中，存储了一组授权信息。初始地，“第一功能性水平”意义上的该组授权信息是一组基本的并非源自一个合同的权利。在第二步骤中，“第二功能性水平”意义上的授权信息被改变。这优选地在如下时刻完成：

-在将线路ID（即，有关网络接入的标识信息）与有关合同的标识信息建立关系之后，例如，一个如持有源自一个合同（联合）的用于服务的授权信息的用户的实体；或者

-在通过改变现有的合同而改变与该用户有关的授权信息之后，或者由于其他原因（例如，由于滥用行为而停用服务）改变与该用户有关的授权信息之后。

在本发明的背景下，术语“有关合同的标识信息”与如下信息有关，所述信息即

-链接至用于服务（如互联网服务和/或VoD服务和/或电话（VoIP）服务和/或电视IP服务和/或其他互联网供应商服务（如e-mail或邮政服务））的一个授权信息，；

-或者，链接至一个源自预支付合同的授权信息，该预支付合同与用户通过服务供应商所具有的指定服务有关；

-或者，链接至一个源自与服务供应商的另一合同或准合同关系（诸如推广优惠价、优惠券等）的授权信息。

根据本发明，有关网络接入的标识信息与有关合同的标识信息的联合包括一个基于网络附属子系统（NASS）的验证。这意味着，执行了一个验证过程，使得通过验证有关网络接入的标识信息并且解析有关已被联合的合同的标识信息（如用户自身），可向请求接入至电信网络的用户提供这样的接入。

根据本发明的一个优选实施方案，基于网络附属子系统（NASS）的验证包括任何应用，如端口登录或者SMTP验证对话框，尤其是SIP（会话发起协议）注册。

根据本发明的另一优选实施方案，从指派线路ID和该实体持有授权信息开始，将第二功能性水平指派至公共或私有网际协议地址在100秒内生效，优选地在30秒内生效，更优选地在10秒内生效，仍更优选地在3秒内生效，最优选地在1秒内生效。

因而，有利地，几乎可以立即配置网络参数，使得可使用用户的服务设置的修改。

根据本发明，还优选地，在验证过程期间使用一个令牌信息或者一个链接至令牌信息的统一资源标识符（URI）。在向该CPE提供IP地址的过程期间，发布链接至令牌的URI或者该令牌信息自身。

从而，根据本发明，有利地，可以确保以安全的方式执行该验证过程。

根据本发明，优选地，通过限定由CPE以及其他过滤器（例如，层4）潜在可用的不同范围的网际协议地址，由网际协议边缘节点来实现不同功能性水平之间的区分。根据本发明，对于并非经由网际协议边缘节点路由的内容信息，优选地，网际协议边缘节点控制相关联的电信网络元素（诸如接入节点），从而允许或拒绝指定的CPE获取所述内容信息，如启用或禁用多播的传输，或者甚至允许或拒绝特定类型的以太网帧的传输。

根据本发明，优选地，经由DHCP（动态主机配置协议）或基于DHCP的协议或者PPPoE（以太网的点对点）来实现对相关联的电信网络元素（例如接入节点）的这样的控制。

根据本发明，优选地，网际协议边缘节点与电信网络的控制功能通信，从而获得授权信息。所述网际协议边缘节点使用所述授权信息来将指定的功能性水平关联至被提供给CPE的公共或私有网际协议地址。对所述授权信息的请求优选地基于作为有关网络接入的标识信息的线路ID。根据本发明，借助于集中验证、授权和记账（AAA）功能或相关联的AAA节点来实现控制功能。与所述控制功能相关联的验证和/或授权功能，例如借助于RADIUS（远程验证拨号用户服务（RADIUS））服务器节点或者借助于DIAMETER服务器节点（或者借助于实现RADIUS功能性的相应功能）来实现。该控制功能向网际协议边缘节点提供与该网际协议地址的功能性水平有关的信息。这意味着，存储器装置被指派至所述控制功能（或者控制节点包括所述存储器装置），使得所述有关网络接入的标识信息（例如，线路ID）关联至与指定的功能性水平有关的信息，所述指定的功能性水平与用户的某一合同关系相关联或者与某一用户的个人相关联。与该功能性水平有关的信息包括，例如，关于网际协议地址的潜在可寻址范围的信息，以及关于被允许和/或可用的带宽的信息。所述与功能性水平有关的信息可以所谓的策略的形式和/或专用单个信息的形式存储在与控制功能相关联的存储器装置中，且用于对控制功能从网际协议边缘节点接收的请求进行授权。

根据本发明，优选地，该控制功能能够迫使该网际协议边缘节点实施功能性水平中的改变，甚至对于具有工作IP地址的工作连接。例如，这可借助于授权请求的改变来实现。根据本发明，优选地，借助于控制功能和网际协议边缘节点之间的通信来实现所述功能性水平中的改变（与使用初始提供的网际协议地址的、CPE与电信网络的工作连接相关联）。例如，网际协议边缘节点借助于朝向控制功能的“记账停止”消息（在CPE和网际协议边缘之间已经存在网际协议连接的情形中）和随后的“记账开始”消息来确认一个限制或扩展功能性水平的命令。这优选地在不中断CPE的网际协议连接的情况下完成。

根据本发明，优选地，通过网际协议边缘节点或通过控制功能，实现初始提供用于CPE向电信网络的连接（即，CPE和接入节点之间）的网际协议地址。

根据本发明，还优选地，控制功能能够返回与工作网际协议连接（或者工作网际协议会话）有关的下列各条信息：

-对于每种通信链路的线路ID和端口ID；

-CPE可寻址的网际协议地址范围；

-与网际协议会话有关的网络参数；

-与CPE和接入节点之间的物理附接有关的网络参数，例如DSL用户线路的同步带宽。

替代地，根据本发明，可能且优选地，使用句柄引用（handle reference）或指针引用（pointer reference）来代替线路ID。在线路ID被联合至有关合同的标识信息的情形中，应用IDP（应用身份供应商）参考句柄引用或指针引用。这增强了在网络和服务运营商（持有针对IP服务的合同）是不同的法律实体（legal entity）时的数据隐私性。尤其在网络和服务运营商（持有用于IP服务的合同）是不同的法律实体的情形中，根据本发明优选地，与有关合同的标识信息相关联的引用句柄是所谓的不透明句柄，即加密信息或掩模信息，使得不易于从不透明句柄或加密信息或掩模信息导出线路ID的内容。

根据本发明，还优选地，控制功能能够建立IP连接，即使未提供任何线路ID用于验证（例如，在维护状况的情形中等）。在该情形中，一个特别的授权概要（即，配置和安装功能性水平）需要被提供至IP边缘，用于用户或技术人员与电信网路的运营商之间的基本通信。

本发明还涉及一种包括多个网络节点的电信网络，所述电信网络被提供用于经由一个接入节点来在所述电信网络和一个CPE之间进行有效连接，其中所述电信网络包括所述电信网络的所述接入节点和所述CPE之间的一个物理通信信道，所述物理通信链路关联至与所述接入节点有关的一个有关网络接入的标识信息，其中所述电信网络向所述CPE提供一个公共或私有网际协议地址，以供所述CPE用于与所述网际协议边缘节点通信，所述网际协议地址与所述有关网络接入的标识信息相关联，以及实现了逻辑通信信道的网际协议会话（IP会话）或连接在所述电信网络的所述网际协议边缘节点和所述CPE之间被初始化，其中所述电信网络初始地将第一功能性水平指派至所述公共或私有网际协议地址，以及其中在所述电信网络能够将有关网络接入的标识信息与有关合同的标识信息联合的情形中，所述电信网络将第二功能性水平指派至所述公共或私有网际协议地址，其中所述有关网络接入的标识信息与所述有关合同的标识信息的联合包括一个基于网络附属子系统（NASS）的验证，所述验证由电信网络的控制功能表示。

此外，本发明还涉及一种包括多个网络节点的电信网络，该电信网络被提供用于经由一个接入节点来在所述电线网络和CPE之间进行有效连接，其中所述电信网络包括该电信网络的接入节点和CPE之间的物理通信信道，物理通信链路关联至与接入节点有关的有关网络接入的标识信息，其中所述电信网络向CPE提供一个公共或私有网际协议地址，供该CPE与网际协议边缘节点通信，所述网际协议地址与所述有关网络接入的标识信息相关联，以及实现了逻辑通信信道的网际协议会话（IP会话）或连接在所述电信网络的网际协议边缘节点和CPE之间被初始化，其中所述电信网络初始地将第一功能性水平指派至该公共或私有网际协议地址，其中在所述电信网络能够将有关网络接入的标识信息与有关合同的标识信息联合的情形中，所述电信网络将第二功能性水平指派至该公共或私有网际协议地址，其中所述有关网络接入的标识信息与所述有关合同的标识信息的联合包括一个基于网络附属子系统（NASS）的验证。

根据本发明，优选地，通过使用至少一个验证信息来建立所述逻辑通信信道，所述至少一个验证信息是存在于所述电信网络中的一个可信的信息。

本发明的其他主题包括：一种程序，该程序包括一种用于控制接入节点和/或控制功能从而执行本发明的方法的计算机可读程序代码；以及，一种计算机程序产品，包括所述程序。

附图说明

图1示意性示出了具有已被连接的CPE的电信网络的一个实施例。

图2示意性示出了接入节点和多个家庭网关之间的物理通信信道的更加详细的描绘的实施例。

图3示意性示出了与向CPE提供网际协议连接以及初始化通信服务有关的通信图。

图4示意性示出了与如下初始化过程有关的通信图，该初始化过程用于以如下一种方式初始化电信网络的多个接入节点中的一个接入节点，使得可经由该接入节点提供CPE到电信网络的通信接入，尤其是到电信网络的网际协议连接。

图5至图8示意性示出了与验证过程有关的通信图。

具体实施方式

着眼于具体的实施方案并且参考一些附图来描述本发明，但是本发明不限于此，而是仅由权利要求限制。所描述的附图仅仅是示意性的，并非限制性的。在附图中，出于阐释目的，一些元件的尺寸可被放大，且未必按比例绘制。

在提及单数名词时使用不定冠词或定冠词例如“一个”、“一”、“该”的情况下，除非特别另有声明，否则这包括该名词的复数。

此外，说明书和权利要求书中的术语第一、第二、第三等用于在类似元件之间进行区别，未必用于描述一个相继次序或时间次序。应理解，在适当情况下，如此使用的术语是可互换的，以及本文描述的本发明的实施方案能够以非本文阐释描述的顺序的其他顺序来操作。

在图1中，示意性地描绘了具有已被连接的客户的电信网络5的一个实施例。使用能够建立IP连接的所谓的CPE或专用CPE（诸如PC、机顶盒或任何其他装置10）来将客户连接至电信网络5。CPE10是诸如被安装在用户家中的路由装置。另一客户驻地设备（CPE）可呈现为连接至该CPE。

CPE10经由接入节点20连接至电信网络5。优选地，接入节点20是安装在客户建筑物中或者安装在小于几千米的距离处（优选地小于1000米，更优选地小于500米）的数字用户线路接入复用器（DSLAM），或者是用作电信网络的接入节点的OLT（光纤线路终端）。

接入节点20连接至电信网络5内的网际协议边缘节点30。网际协议边缘节点操控网际协议地址以及与不同网际协议地址相关联的CPE可接入的不同功能层的分配。该网际协议边缘节点可理解成一个路由装置，该路由装置具有关于不同虚拟接口上的不同网际协议地址的多个接入和许可规则。尤其地，网际协议边缘节点30控制OSI模型的层3和层4上的哪些地址和功能可被CPE10使用。

电信网络5还包括一个控制功能40。根据本发明，控制功能40借助于集中验证、授权和记账（AAA）功能或相关联的AAA节点来实现。与控制功能40相关联的验证和/或授权功能，例如借助于RADIUS（远程验证拨号用户服务（RADIUS））服务器节点或者借助于DIAMETER服务器节点（或者借助于实现RADIUS功能性的相应功能）来实现。根据本发明，可能且优选地，控制功能40替代网际协议边缘节点30来操控网际协议地址以及与不同网际协议地址相关联的CPE可接入的不同功能性水平的分配。

网际协议边缘节点30还控制针对控制功能40的会话记账（session-accounting）。另外，网际协议边缘节点30能够使用从接入节点20获得或接收的标识符信息或者证书信息，用于控制功能40的验证目的。为了验证目的，即，将线路ID用作一个验证信息。此外，网际协议边缘节点30传送来自接入节点20的端口ID。网际协议边缘节点30还控制针对一个或多个定义数据类的上行数据流和下行数据流的带宽（在网际协议水平上）。

根据本发明的一个优选实施方案，根据控制功能40所接收的（尤其是，作为对控制功能40的接入请求消息的回复，由网际协议边缘节点30所接收的）规则或者规则信息，网际协议边缘节点30管理或分派CPE10的网际协议地址（IP地址）。

电信网络5还包括一个操作支持系统60。该操作支持系统60尤其被用于管理接入网络的不同实体，即电信网络5的用于提供若干同等重要的用户接入该电信网络5的部分。此外，电信网络5包括网络身份供应商（下文还称为网络IDP）65。网络IDP65尤其用来处理对电信网络5的多个接入节点20中的一个或多个接入节点20的不同端口的验证和授权的管理。操作支持系统60被链接至接入节点20，从而能够初始化接入节点20。操作支持系统60提供与接入节点20的管理连接，优选地借助于网际协议（IP）连接。这例如通过使用管理地址诸如网际协议（IP）地址来完成，所述管理地址被专门保留用于管理或初始化指定接入节点20。

电信网络5还包括一个针对应用和/或IMS功能性的A&A功能（授权和验证功能）70。A&A功能70，尤其被用于将电信网络5内的用户和/或装置验证（即，验证实体的身份的过程，通常通过提供该实体持有指定数字身份（诸如标识符和相应的证书）的证据）和授权（即，一个具体的实体是否被授权来执行一个给定的动作）到一个应用和/或IMS。

此外，电信网络5包括一个应用身份供应商（下文还称为应用IDP）75。该应用IDP75尤其用于处理电信网络5的不同用户和/或装置。该应用IDP75和网络IDP65能够借助于联合接口（federation interface）将有关合同的标识信息（下文还称为用户身份或用户ID）与有关网络接入的标识信息联合，所述有关网络接入的标识信息即网络终端位置或者网络端口（例如，接入节点的端口）的身份。

电信网络5还包括一个应用功能或应用实体50（尤其是电信网络5的网际协议多媒体子系统（IMS）系统的一个应用，尤其是SIP代理（P-CSCF））。

根据本发明，该电信网络5优选地包括一个客户关系管理功能80或一个相应的单元。下文中，术语客户关系管理功能80，也被用于指这样的一个单元。客户关系管理功能80，被提供作为一种建立客户身份（用于处理新的客户）和相应合同的功能。客户关系管理功能80是客户、产品和合同数据的控制者（master）。客户关系管理功能80包括或者被指派至一个请求或指令管理组件（或者指令管理功能），如同处理不同请求（例如，与新的客户数据元素的生成或履行过程有关）并将相应的请求转发至电信网络5的其他部分的eTom模型（未明确示出）中示出的“指令处理”和“服务配置和激活”的意思。

根据本发明，还优选地，电信网络5还包括客户自助接口85或客户自助端口85。客户自助端口85提供了电信网络5的用户（或客户）配置网络接入的可能性。

根据本发明，出于配置和/或安装目的，配置装置11可连接至接入节点20。在正常操作使用电信网络5时，配置装置11未连接至（所有）接入节点20。

优选地，客户自助端口85支持根据应用IDP的用户验证，并且作为联合的先决条件，确定对应于在根据控制功能40的验证过程期间使用的网际协议地址的线路ID。优选地，可能地，还通过如下方式初始化用户ID和线路ID之间的联合过程：

-借助于将一个指令ID传送至该应用IDP，该指令ID与一个用户ID有关；和/或

-借助于将一个指令ID传送至该网络IDP，该指令ID与一个线路ID有关。

此外，优选地,提供从该应用IDP至该网络IDP的预备接口（provisioninterface），使得可借助于线路ID或借助于至该线路ID的句柄（优选地一个不透明句柄）来改变该线路ID可接入的服务（即，与例如指派给网络端口或者CPE10或者与接入节点20连接的任何其他装置的IP地址相关联的功能性水平）的更新。根据本发明，优选地，借助于客户自助端口，用户ID和线路ID之间的（完全或者部分）去联合（de-federation）（这导致，即去除了使用指定服务的权利，或者缩减了权利，或者缩减了可使用的带宽）也是可能的。在下文中，仅明确提及了联合的情形，但是根据本发明去联合的情形也是可能的。

执行联合过程需要用户ID和线路10或者任何其他有关合同的信息。根据该联合过程的第一替代方案，通过客户自助端口进行明确的用户验证（即，确定用户ID）。当通过客户自助端口进行这样一个用户验证时，通过使用网络资源来联系客户自助端口，即通过使用接入节点20的网络端口，线路ID也是可用的。根据该联合过程的第二替代方案，经由位置搜索来确定线路ID。另一搜索还提供用户ID（例如，在询问了客户其用户名或者指派给用户ID的诸如特别秘密的任何其他已知信息之后）或者任何其他有关合同的信息。该联合过程的第一替代方案和第二替代方案都导致可将用户ID或任何其他有关合同的信息与线路ID联合。该联合过程以及与用户ID或者任何其他有关合同的信息相关联的服务有关的每一随后改变，导致应用IDP75向网络IDP65的请求。因而，该应用IDP75优选地使用与用户ID或任何其他有关合同的信息联合的线路ID或相应的句柄。结果，网络IDP65进行对控制功能40中所存储的（或者与控制功能40相关联的）数据的更新，即：

-对与线路ID有关的持久性数据库中所存储的许可的更新；

-对会话数据库中所存储的与现有网际协议连接有关的许可的更新，例如借助于对网际协议边缘节点30的授权改变请求。

作为联合过程的结果，线路ID与用户ID或任何其他有关合同的信息被联合，网络IDP65和控制功能40包括针对每一个线路ID的与所许可的网络服务有关的授权信息（例如，可寻址的网际协议地址范围和可用带宽，包括接入多播复制点的可能性）。CPE10与网际协议边缘节点30的可能存在的网际协议连接被重新参数化。根据本发明，优选地，有利地可借助于1:1的关系以及借助于1:n的关系将用户ID或任何其他有关合同的信息与线路ID联合。这意味着，同一个用户可具有多个不同线路ID上的网络服务接入。

在图2中，示意性示出了接入节点20和多个家庭网关10之间的物理通信信道的更加详细描绘的一个实施例。如从图2的描绘可以看到的，接入节点20（优选地）被连接至例如位于不同的家庭中的多个不同的家庭网关10。在图2的左手侧上，示意性描绘了多个单独的房屋。在这些房屋的每一个中定位有一个家庭网关10，家庭网关10提供了对电信网络5的单独接入。在图2的右手侧上，示意性描绘了具有多个不同公寓的公寓建筑物，每一公寓具有一个提供对电信网络5的单独接入的家庭网关10。不同的线路从接入节点20延伸至（房屋的或公寓建筑物的）家庭网关10。

根据本发明，电信网络5优选地被设置为所谓的NGN（下一代网络）。一般，NGN电信网络5包括四个不同的平面或网络层，即指派用于接入的第一网络平面1（接入平面1）、指派用于数据的传输的第二网络平面2（传输平面2）、指派用于控制的第三网络平面3（控制平面3），以及指派用于应用的第四网络平面4（应用平面4）。

在图3中，借助于CPE10、接入节点20、网际协议边缘节点30和控制功能40之间交换的多个不同的消息，示意性阐释了有关提供到CPE10的网际协议连接和初始化通信服务的通信图。

在初始化提供到CPE10的网际协议连接的第一步骤中，CPE10请求向接入节点20提供网际协议地址。这由第一消息101表示。

在第二步骤中，接入节点20向该请求增加其他的信息，以提供网际协议地址。带有所增加的信息的请求被传送至网际协议边缘节点30。对于有线物理通信信道的情形，所增加的其他信息尤其包括线路ID和端口ID信息（根据本发明，这构成了可信的信息，因为电信网络5以一种可信的方式知晓该信息（线路ID和端口ID））。除了有关网络接入的标识信息（或线路ID）以外，可通过接入节点增加尤其是关于网络参数的其他信息，例如上行和下行20的物理连接速度。这由第二消息102表示。

在第三步骤中，网际协议边缘节点30尤其基于线路ID向控制功能40发送一个授权请求。这由第三消息103表示。

在第四步骤中，控制功能40检索或确定与请求103中的线路ID有关的授权信息。该授权信息尤其包括关于如下方面的信息：

-CPE10以及其他过滤器（例如，层4）应当可用的网际协议地址的范围，包括对多播的可接入性；以及

-关于经允许或经授权的带宽（例如，关于上传带宽和/或关于下载带宽）的带宽信息。

经检索或经确定的授权信息被控制功能40返回至网际协议边缘节点30，它由第四消息104表示。在网际协议边缘节点完成指派给CPE的网际协议地址的预备的情形中，第四消息104未包括关于指派给CPE10的网际协议地址的指示。替代地，在网际协议边缘节点未完成指派给CPE10的网际协议地址的预备的情形中，由控制功能提供对待被CPE使用的网际协议地址的预备，第四消息104包括关于指派给CPE10的网际协议地址的指示。

在第五步骤中，网际协议边缘节点根据由控制功能40所接收的信息提供对于网际协议业务路由的实现。尤其是，网际协议边缘节点根据第四消息104的信息，来设置可接入CPE以及其他过滤器（例如，层4）的网际协议地址的范围以及对应的可用带宽。此外，借助于第五消息105，网际协议边缘节点30向CPE10提供网际协议地址（所述网际协议地址待被指派给CPE10或待被CPE10使用）。根据本发明优选地，第五消息105还包括附加的网络信息，诸如默认网关和/或DNS地址（域名系统DNS的地址）。

在第四消息104中包含的设置信息指示关于多播复制参数设置的修改（通常在接入节点20处完成）是必要的情形中，网际协议边缘节点30借助于第六消息106将所述信息提供给接入节点。

在第七步骤中，网际协议边缘节点30向控制功能40发送第七消息107。第七消息107包括与网际协议地址有关的记账开始请求，以开始在控制功能40处的会话。

在第八步骤中，控制功能40开始与网际协议地址有关的会话，并且存储指派给CPE的网际协议地址、可由CPE以及其他过滤器（例如，层4）接入的网际协议地址的范围或者其相关的授权信息、线路ID和端口ID，以及描述接入节点端口能力的网络参数。

结果，在CPE10和电信网络之间建立网际协议连接：CPE10配有网际协议地址，即IP地址（动态或静态），且所有强制性信息存在于CPE10处，从而寻址随机网际协议地址（如果所购买的服务或功能性水平允许），并且将主机名解析成网际协议地址。

根据本发明，有利地，可使用不包括针对个人的证书信息（即，直接链接到指定用户或合同的信息）的CPE装置。

在图4中，示出了一个有关初始化过程的通信图，该初始化过程以如下一种方式有效地初始化电信网络5的多个接入节点20中的一个接入节点20，使得可经由接入节点20提供一个CPE10（优选地，多个CPE10，例如10个或100个或1000个或10000个CPE10）到电信网络5的通信接入以及尤其地到电信网络5的网际协议连接。该通信图描绘出在接入节点20、控制功能40、操作支持系统60和网络IDP65之间交换的多个不同的消息。

在初始设置电信网络以实现与连接至接入节点20的多个CPE10中的一个的网际协议连接的初始化的情形中，借助于管理通信信道将接入节点20连接至（在第十一步骤中）操作支持系统60。例如借助于使用管理地址（诸如网际协议管理地址）来实现管理通信信道。对于接入节点20（被所述管理通信信道初始化）能够提供的每一物理通信信道（可能地至CPE10或另一装置），接入节点20能够将下列各个信息传送至操作支持系统60：线路ID、端口ID、物理通信信道的状态，以及其他的网络参数（诸如可能的最大物理带宽）。这由第十一消息111表示。基于由接入节点20所接收的关于指定物理通信信道的信息，操作支持系统60能够从接入节点的一个端口获得端口ID，或者将端口ID配置到接入节点的一个端口，将线路ID配置到由端口ID表示的端口，配置可用带宽的物理限制以及其他参数。此外，操作支持系统60能够存储与线路ID有关的位置信息（与物理通信信道有关）。在没有线路ID可用的情形中，操作支持系统60可提供一种配置，使得线路ID等同于端口ID。除了实现该配置使得在没有线路ID可提供的情形中将端口ID和线路ID设置为等同，还可能的是不指定线路ID。在该情形中，如果控制功能40接收到关于没有指定的线路ID或具有未知的线路ID的物理通信信道（或者网络端口）的请求，则控制功能不拒绝所述请求，而是例如根据一种配置和安装功能性水平或者故障策略，以一种受限制的方式批准网络接入，即仅允许维护功能性（即，相对于先前提到的提供基本连接的功能性水平（与合同没有关系且与能够使用客户自助能力没有关系）的一个大大缩减的功能性水平）——称为“第一功能性水平”。

初始化接入节点20的过程意味着操作支持系统60检测（或发现）接入节点20的每一网络端口（或者物理通信信道）的技术状态以及逻辑状态，或者意味着操作支持系统60检测（或发现）接入节点20的至少大部分网络端口（或者物理通信信道）的技术状态以及逻辑状态。由于可自动进行接入节点20的初始化过程，所以该过程还称为自动发现接入节点20或者自动发现接入节点20的网络端口。

根据本发明，优选地，操作支持系统60知晓关于网络端口（或者物理通信信道）的技术状态的至少下列可能性：

-网络端口是可用的（“OK”），即，未检测到与物理通信信道或网络端口相关联的错误；

-网络端口是不可用的（“不OK”），即，检测到与物理通信信道或网络端口相关联的错误；

-网络端口忙（“同步（Sync）”），即，在接入节点20的网络端口和例如CPE10之间建立了连接。

根据本发明，优选地，操作支持系统60知晓关于网络端口（或者物理通信信道）的逻辑状态的至少下列可能性：

-已预备了网络端口（“已预备（Provisioned）”），即，在操作支持系统60处存在关于端口ID、位置和线路ID的信息；

-未预备网络端口（“未预备（unprovisioned）”），即，在操作支持系统60处存在关于端口ID的信息，但不存在关于线路ID的信息（根据本发明的一个实施方案但是并非必要的，这导致将线路ID设置为等同于端口ID）。

在第十二步骤中，操作支持系统60将线路ID信息、位置信息以及关于经初始化的接入节点20的不同网络端口的技术状态和逻辑状态的信息传送至网络IDP65。这由第十二消息112表示。

在第十三步骤中，消息被发送至控制功能40，请求在控制功能40的存储器单元中生成一个（新的）网络端口条目，或者消息被指派给控制功能40。新的网络端口条目表示借助于接入节点20的初始化过程，由电信网络5新发现的网络端口，或者新集成到电信网络5的管理中的网络端口。第十三步骤由第十三消息113表示。第十三消息113优选地由网络IDP65发送。在可选的第十四步骤中，控制功能40确认网络端口条目的生成。这由第十四消息114表示。

结果，接入节点20被配置或初始化为使用新发现的网络端口，即允许接入节点20和CPE10之间的新的物理通信信道。操作支持系统60知晓接入节点20的网络端口的技术状态和逻辑状态，以及线路ID、端口ID、位置和其他网络参数。网络IDP65知晓新初始化和配置的接入节点20处的所有网络端口的技术状态和逻辑状态，以及线路ID和与该线路ID有关的位置；此外，网络IDP65已检测到哪一个网络端口潜在地可联合（即，可被联合），以及哪一个网络端口已被联合。控制功能40知晓网络IDP65的所有线路ID（和网络端口），以及针对CPE10和其他过滤器（例如，层4）可寻址的网络协议范围的相应授权信息，和可能带宽。根据本发明，总可提供一个IP连接。在仅一个端口ID可用的情形中，这样的IP连接仅可用于（电信网络的）内部用途。在额外的一个线路ID可用的情形中，根据默认策略（第一功能性水平），还可用从CPE10链接至接入节点20的IP连接，提供对于“围墙花园”的接入。

在图5至图8中，示意性描绘了有关验证过程的通信图。关于图5的描述，提及了第一至第十一步骤和相应的第一至第十一消息或处理（processing）123a至123k，这些只针对图5的描述。关于图6的描述，提及了第一至第十一步骤和相应的第一至第十一消息或处理124a至124k，这些仅针对图6的描述。关于图7的描述，提及了第一至第十一步骤和相应的第一至第十一消息或处理125a至125k，这些仅针对图7的描述。关于图8的描述，提及了第一至第十三步骤和相应的第一至第十三消息或处理126a至126m，这些仅针对图8的描述。在图5中，描绘了验证过程的第一替代实施方案。在图6和图7中描绘了验证过程的第二替代实施方案。在图8中描绘了验证过程的第三替代实施方案。

在图5中，借助于CPE10、应用50、A&A功能70、控制功能40和应用IDP75之间交换的多个不同的消息，示意性阐释了与验证过程的第一实施方案有关的通信图。可通过家庭用户服务器（HSS）组件来部分地或完全地实现A&A功能70以及应用IDP75。在本发明的验证过程的第一实施方案的情形中，借助于SIP代理50来实现应用50。在下文中，SIP REGISTER意味着如下的顺序，以CPE对电信网络5的网际协议多媒体子系统（IMS）的初始请求开始，以SIP会话结束。根据第一实施方案的验证是基于NASS的，即，该验证使用电信网络5的网络附属子系统来用于验证一个应用会话，尤其是一个SIP（会话发起协议）连接。根据关于验证过程的第一实施方案，可能的是，可自动检索或确定与CPE10的POTS端口相关联的电话号码（即，CPE10的提供老POTS（普通老式电话系统）系统的功能性的端口或接口或功能性）。CPE10传送SIP-REGISTER请求，包括例如SIP-From-Header，并且，例如对于第一POTS端口使用本地部分地址<local part1>，对于第二POTS端口使用本地部分地址<local part2>等。在电信网络5中，优选地在应用IDP75中，存储了与用户ID有关的、针对每一本地部分地址的服务概要。例如，以表格的形式提供所述服务概要，所述表格将<local part1>地址与一个指定电话号码诸如+49600112345678（可选地，还可以是多个这样的电话号码）建立关系，将<local part2>地址与另一指定电话号码诸如+49600123456789（可选地，还可以是多个这样的电话号码）建立关系。根据本发明，优选的是，SIP代理（P-CSCF）50存在于电信网络5的网际协议多媒体子系统（IMS）中，SIP代理50能够通过与A&A功能70和控制功能40的通信来确定用户ID连同VoIP概要。通过使用（提供）线路ID（有关网络接入的标识信息），A&A功能70能够确定或检索与线路ID相关联的用户或用户ID，之后，A&A功能70能够请求或从应用IDP75检索哪个电话号码被配置到服务概要的与用户ID有关的本地部分。然后，SIP代理50可使SIP REGISTER过程与从电信网络5的其他实体所获得的数据通信。更具体地，下文在图5中描述和描绘了该过程。在第一步骤中，涉及第一消息123a，该第一消息123a优选地包括网际协议地址和<local part1>@<fqdn>信息（针对其第一POTS端口），CPE10在网际协议多媒体子系统50的SIP代理处请求一个SIP REGISTER。在第二步骤中，涉及第二消息123b，该第二消息123b优选地包括网际协议地址和<local part1>@<fqdn>信息，SIP代理50从A&A功能70提取SIP用户名的本地部分，请求用户ID、电话号码以及授权（与网际协议地址有关）。在第三步骤中，涉及第三消息123c，A&A功能70从控制功能40请求相应的线路ID或对线路ID（与网际协议地址有关）的（不透明的）句柄。在第四步骤中，涉及一个处理123d，控制功能40确定与IP连接有关的线路ID（或对线路ID的句柄）。在第五步骤中，涉及第五消息123e，控制功能40将线路ID或对线路ID的句柄传送至A&A功能70。在第六步骤中，涉及第六消息123f，A&A功能70从应用IDP75请求用户ID，以及在用户ID概要处所存储的针对<local part1>的电话号码，以及与用户ID有关的授权。在第七步骤中，涉及一个处理123g，应用IDP75确定所请求的信息，在第八步骤中，涉及第八消息123h，应用IDP将所请求的信息返回至A&A功能70。在第九步骤中，涉及第九消息123i，A&A功能70将所请求的信息（即，用户ID、线路ID、电话号码和与网际协议地址有关的授权信息）返回至网际协议多媒体子系统（IMS）的SIP代理50。在第十步骤中，涉及处理123j，SIP代理50核对授权信息，准备SIP REGISTER（在授权是肯定的情形中）和确认请求的CPE10。在第十一步骤中，涉及第十一消息123k，SIP代理50继续进行（在授权是肯定的情形中）请求的CPE10的SIP REGISTER，其中所确定的与POTS端口有关的POTS电话号码由本地部分信息标识。

结果，已经执行SIP-REGISTER过程，该过程涉及CPE10的基于NASS的验证，其中电话号码与存储在应用IDP75中的用户ID的<local part1>的概要相关联，在线路ID和用户ID的联合之后，存储在应用IDP75中的用户ID与线路ID有关。在不要求在CPE10内存储任何个人证书而是具有将单独的电话号码指派至CPE的不同POTS端口的可能性的情况下，执行SIPREGISTER。所述基于NASS的验证的进程还可相对于其他应用而被运用。在这种情形中，可使用有关其他概要的信息如<local part1>来从应用IDP75检索信息，从而避免指定的服务信息存储在CPE内。

在图6和图7中，借助于在如下装置之间交换多个的不同消息，示意性阐释了与验证过程的第二实施方案有关的通信图：

-在图6中，CPE10、接入节点20、网际协议边缘节点30和控制功能40；以及

-在图7中，CPE10、应用50、A&A功能70、控制功能40和应用IDP75。

根据第二实施方案的验证也是基于NASS的。根据关于验证过程的第二实施方案，控制功能40能够向网际协议边缘节点30提供（关于有效接入请求的）令牌信息或者到令牌信息的链接（统一资源标识符（URI））。可选地，可能地，根据验证过程的第二实施方案，令牌服务器向控制功能40提供令牌信息和/或到令牌信息的链接。可借助于例如DHCP协议和/或PPPoE协议将令牌信息和/或令牌信息的链接（统一资源标识符（URI））传送至CPE10。在CPE10接收到至令牌信息的链接（统一资源标识符（URI））的情形中，CPE10能够在令牌服务器处请求或检索该令牌信息。非常优选地，CPE10可将该令牌信息存储在安全位置处。更详细地，下文在图6中描述和描绘根据第二实施方案的验证过程的第一部分。

在第一步骤中，涉及第一消息124a，CPE10从接入节点20请求网际协议地址。在第二步骤中，涉及第二消息124b，对IP地址的请求从接入节点20转移至网际协议边缘节点30，所述第二消息124b优选地包括其他信息例如线路ID、端口ID和其他的网络参数。在第三步骤中，涉及第三消息124c，网际协议边缘节点30在控制功能40（传送线路ID和端口ID）处请求一个授权（针对网际协议地址）。在第四步骤中，涉及一个处理124d，控制功能40确定与线路ID有关的授权信息（关于可寻址的IP范围、经授权的带宽（针对上行链路和下行链路））等。此外，控制功能40生成或检索一个令牌信息。在第五步骤中，涉及第五消息124e，控制功能40向网际协议边缘节点30传送网际协议地址、授权和令牌信息（或者到令牌信息的统一资源标识符（URI））。在第六步骤中，涉及一个处理124f，网际协议边缘节点30使对于CPE10的IP连接参数化，即，应当可接入CPE10的网际协议地址的范围，包括对于多播的可接入性，以及关于允许的或授权的带宽（例如，关于上传带宽和/或关于下载带宽）的带宽信息。如有必要，例如，在需要改变接入节点20处的多播配置概要的情形中，网际协议边缘节点30在第七步骤中向接入节点20传送配置信息，该步骤涉及第七消息124g。在第八步骤中，涉及第八消息124h，网际协议边缘节点30向CPE10传送用于开始IP连接的所有有关信息，包括令牌信息或到令牌信息的统一资源标识符（URI），所述网络信息例如为默认网关、DNS地址。在第九步骤中，涉及一个处理124i，CPE10（可选地，通过使用统一资源标识符（URI）来检索该令牌）存储令牌信息。在第十步骤中，涉及第十消息124j，网际协议边缘节点30向控制功能40发送一个记账开始请求（带有线路ID、端口ID、网际协议地址、网络参数和令牌信息）。在第十一步骤中，涉及一个处理124k，控制功能通过所述网络参数和所述令牌信息来生成会话。

下文在图7中描述和描绘了根据第二实施方案的验证过程的第二部分。在第十二步骤中，涉及第十二消息125a，该第十二消息125a优选地包括网际协议地址和<localpart1#token>@<fqdn>信息（对于其第一POTS端口），CPE10在网际协议多媒体子系统（IMS）的SIP代理50处请求一个SIP REGISTER。在第十三步骤中，涉及第十三消息125b，该第十三消息125b优选地包括网际协议地址和<local part1#token>信息，SIP代理50从A&A功能70请求用户ID、电话号码以及授权（与网际协议地址有关）。在第十四步骤中，涉及第十四消息125c，A&A功能70从控制功能40请求相应的线路ID或对该线路ID（与网际协议地址有关）的（不透明）句柄以及令牌信息。在第十五步骤中，涉及一个处理125d，控制功能40确定与该IP连接有关的线路ID（或者附加地生成针对线路ID的句柄）以及令牌信息（或者检索该令牌信息或到该令牌信息的链接）。在第五步骤中，涉及第十六消息125e，控制功能40向A&A功能70传送令牌信息（或者到该令牌信息的链接的信息）和线路ID（或者对于该线路ID的句柄）。在第十七步骤中，涉及第十七消息125f，在来自控制功能40的相应的（例如，相同的）令牌信息和由SIP代理50提供的<local part1#token>信息作为一个肯定验证的先决条件的情形中，A&A功能70从应用IDP75请求用户ID，以及存储在用户ID概要处的针对<local part1>的电话号码，以及与用户ID有关的授权。在第十八步骤中，涉及一个处理125g，该应用IDP75确定所请求的信息，在第十九步骤中，涉及第十九消息125h，应用IDP75将所请求的信息返回至A&A功能70。在第二十步骤中，涉及第二十消息125i，A&A功能70将所请求的信息返回至电信网络5的网际协议多媒体子系统（IMS）的SIP代理50。在第二十一步骤中，涉及一个处理125j，SIP代理50核对该授权信息，准备SIP注册（在授权是肯定的情形中），并且确认请求CPE10。在第二十二步骤中，涉及第二十二消息125k，SIP代理50继续进行（在授权是肯定的情形中）请求的CPE10的SIP REGISTER，从而传送所确定的由本地部分信息标识的与POTS端口有关的POTS电话号码。

结果，CPE10具有与接入电信网络5的经授权的服务有关的所有必要信息。在将CPE10与电信网络5网络连接之前未在CPE10中存储证书信息的情况下，IP连接是可能的。网际协议边缘节点30包括必要的配置信息，例如，网际协议边缘节点30和CPE之间的IP连接的可寻址IP范围。接入节点20直接或间接地从网际协议边缘节点30接收有关的多播配置信息。控制功能40包括一个会话实例，该会话实例包括由CPE使用的IP地址、可寻址的IP范围、端口ID、线路ID、网络参数以及令牌信息（或者到该令牌信息的链接）。已经执行SIP-REGISTER过程，该过程涉及CPE10的基于NASS的验证，其中电话号码与存储在应用IDP75中的用户ID的<local part1>的概要相关联，在线路ID和用户ID联合之后，存储在应用IDP75中的用户ID与线路ID有关。在不要求在CPE10内存储任何个人证书而是具有将单独的电话号码指派至CPE的不同POTS端口的可能性的情况下，执行SIP REGISTER。以一种安全的方式执行验证，即通过令牌信息而使得安全：仅CPE（家庭网关）可继续进行SIP REGISTER，而不是可能存在于本地网络中的另一客户端来继续进行SIP REGISTER。所述通过令牌而使得安全的基于NASS的验证的过程还可相对于其他应用而被运用。在这种情形中，有关其他概要的信息如<local part1>可被用于从应用IDP75检索信息，以避免服务特定的信息存储在CPE内。

根据验证过程的第二实施方案的方法还可被修改成将本地部分信息和令牌信息传输到SIP寄存器的不同头字段中，或者修改成另一通信方法。

根据验证过程的第二实施方案的方法还可扩展至（CPE10的）家庭网络中的其他终端装置。在家庭网络内的另一装置向CPE10发送DHCP请求并且该CPE10已知另一装置的MAC地址的情形中，可以为该另一装置请求另一令牌信息。在这种情形中，CPE10（朝向电信网络5）的请求需要包括先前由控制功能40所接收的令牌信息，以及控制功能40（或令牌服务器）可核对是否允许CPE10接收（针对家庭网络中的另一装置的）另一令牌信息。在执行完这些步骤之后，家庭网络中的另一装置（非CPE10）还可借助于令牌信息使得SIP REQUEST安全。所述通过令牌而使得基于NASS的验证安全的过程还可相对于其他应用而被运用。在这种情形中，有关其他概要的信息如<local part1>可被用于从应用IDP75检索信息，以避免服务特定的信息存储在CPE内。

在图8中，借助于CPE10、应用50、A&A功能70、控制功能40和应用IDP75之间交换的多个不同的消息，示意性示出了与该验证过程的第三实施方案有关的通信图。根据第三实施方案的验证也是基于NASS的。根据关于验证过程的第三实施方案，可能地，将所述会话保持在A&A功能70处。当使用一个应用如浏览器的CPE10未被应用50知晓（或授权）时，CPE10向应用50传送一个请求（例如，经由浏览器程序）。更详细地，下文在图8中描述和描绘了该过程。在第一步骤中，涉及第一消息126a，CPE10在应用50处请求一个服务（例如，待被连接）。在第二步骤，涉及第二消息126b，该请求连同事务标识信息（下文还称为事务ID）被转移至A&A功能70。这对应于单点登录服务（例如，基于SAML（安全声明标记语言））。在第三步骤中，涉及第三消息126c，A&A功能70从控制功能40请求相应的线路ID或者对该线路ID（与网际协议地址有关）的（不透明）句柄。在第四步骤中，涉及一个处理126d，控制功能40确定与IP连接有关的线路ID（或者针对线路ID的句柄）。在第五步骤中，涉及第五消息126e，控制功能40向A&A功能70传送线路ID或对该线路ID的句柄。在第六步骤中，涉及第六消息126f，A&A功能70从应用IDP75请求用户ID以及与该线路ID有关的授权。在第七步骤中，涉及一个处理126g，应用IDP75确定所请求的信息，在第八步骤中，涉及第八消息126h，应用IDP将所请求的信息返回至A&A功能70。在第九步骤中，涉及一个处理126i，A&A功能70开始一个与用户ID有关的单点登录会话（SSO会话）。在第十步骤中，涉及第十消息126j，A&A功能70借助于包括用户ID和与用户ID有关的授权或参考信息的重定向消息，将所请求的信息返回至应用50，该应用可检索所请求的信息。在第十一步骤中，涉及一个处理126k，应用50开始一个会话。在第十二步骤中，涉及第十二消息126l，应用50可选地向A&A功能70传送会话的开始。在第十三步骤中，涉及第十三消息126m，应用50向CPE10传送一个消息，根据所述消息批准所请求的授权。

结果，CPE10或CPE上的应用被授权使用所请求的来自应用50的服务。A&A功能70可选地开始一个SSO会话。应用50开始一个会话，A&A功能70可选地知晓该会话。可选地关于SSO会话以及应用50中的会话，用于验证CPE10的网际协议地址被A&A功能70建立关系。还可以可选地通过一个令牌使所述基于NASS的验证的过程安全。

Claims (10)

1.一种经由一个接入节点(20)来有效地建立和/或配置一个电信网络(5)和一个客户驻地设备(10)之间的连接的方法，该方法包括如下步骤：

-建立所述电信网络(5)的接入节点(20)和所述客户驻地设备(10)之间的一个物理通信信道，所述物理通信信道被关联至与所述接入节点(20)有关的一个有关网络接入的标识信息；

-所述电信网络(5)向所述客户驻地设备(10)提供一个公共或私有网际协议地址，以供所述客户驻地设备(10)用于与所述电信网络(5)的网际协议边缘节点(30)通信，所述网际协议地址与所述有关网络接入的标识信息相关联，以及实现了逻辑通信信道的网际协议会话或连接在所述电信网络(5)的网际协议边缘节点(30)和所述客户驻地设备(10)之间被初始化，其中所述网际协议边缘节点(30)是一个路由装置，该路由装置具有关于不同虚拟接口上的不同网际协议地址的多个接入和许可规则；

-所述电信网络(5)初始地将一个第一功能性水平指派至所述公共或私有网际协议地址；

-在所述电信网络(5)能够将所述有关网络接入的标识信息与一个有关合同的标识信息联合的情形中，所述电信网络(5)将一个第二功能性水平指派至所述公共或私有网际协议地址；

-所述有关网络接入的标识信息与所述有关合同的标识信息的所述联合，包括一个基于网络附属子系统的验证。

2.根据权利要求1所述的方法，其中通过使用至少一个验证信息来建立所述逻辑通信信道，所述至少一个验证信息是存在于所述电信网络内的一个可信的信息。

3.根据权利要求1或2所述的方法，其中所述基于网络附属子系统的验证包括一个会话发起协议注册。

4.根据权利要求1或2所述的方法，其中所述有关网络接入的标识信息是一个端口ID信息和/或一个线路ID信息，和/或其中所述有关合同的标识信息是一个用户身份或用户ID。

5.根据权利要求1或2所述的方法，其中所述电信网络(5)包括一个网际协议边缘节点(30)和一个控制功能(40)，在将所述有关网络接入的标识信息与所述有关合同的标识信息建立关系之后，将实现所述第二功能性水平的所述有关合同的标识信息发送至所述控制功能(40)。

6.根据权利要求1或2所述的方法，其中在所述验证过程期间，使用一个令牌或者一个链接到令牌的统一资源标识符。

7.根据权利要求1或2所述的方法，其中根据所述第一功能性水平或所述第二功能性水平，所述网际协议边缘节点(30)经由所述电信网络(5)的所述接入节点(20)控制所述客户驻地设备(10)和所述网际协议边缘节点(30)之间的通信，其中借助于从控制功能(40)接收到的信息，改变与所述有关网络接入的标识信息相关联的功能性水平。

8.一种电信网络(5)系统，包括多个网络节点，所述电信网络(5)被提供用于经由一个接入节点(20)来有效地建立和/或配置所述电信网络(5)和一个客户驻地设备(10)之间的连接，其中所述电信网络(5)包括所述电信网络(5)的所述接入节点(20)和所述客户驻地设备(10)之间的一个物理通信信道，所述物理通信信道被关联至与所述接入节点(20)有关的一个有关网络接入的标识信息，其中所述电信网络(5)向所述客户驻地设备(10)提供一个公共或私有网际协议地址，以供所述客户驻地设备(10)用于与网际协议边缘节点(30)通信，所述网际协议地址与所述有关网络接入的标识信息相关联，以及实现了逻辑通信信道的一个网际协议会话或连接在所述电信网络(5)的所述网际协议边缘节点(30)和所述客户驻地设备(10)之间被初始化，其中所述电信网络(5)初始地将一个第一功能性水平指派至所述公共或私有网际协议地址，其中在所述电信网络(5)能够将所述有关网络接入的标识信息与一个有关合同的标识信息联合的情形中，所述电信网络(5)将一个第二功能性水平指派至所述公共或私有网际协议地址，其中所述有关网络接入的标识信息与所述有关合同的标识信息的所述联合包括一个基于网络附属子系统的验证，其中所述网际协议边缘节点(30)是一个路由装置，该路由装置具有关于不同虚拟接口上的不同网际协议地址的多个接入和许可规则。

9.根据权利要求8所述的电信网络(5)系统，其中通过使用至少一个验证信息来建立所述逻辑通信信道，所述至少一个验证信息是存在于所述电信网络内的一个可信的信息。

10.根据权利要求8或9所述的电信网络(5)系统，其中所述电信网络(5)包括一个网际协议边缘节点(30)和一个控制功能(40)，其中在将所述有关网络接入的标识信息与所述有关合同的标识信息建立关系之后，将实现所述第二功能性水平的所述有关合同的标识信息发送至所述控制功能(40)。