CN1671119A - 用于透明、安全地将wlan无线电接入网与gprs/gsm核心网络互连的方法和系统 - Google Patents

Abstract

提供了将WLAN无线电接入网络集成到GSM/GPRS核心网络的方法和系统，其中加入在两个网络间透明传输业务的网关。本发明另一方面是安全鉴权。该系统有两个网络单元：无线电链路管理器(RLM)和无线电接入控制器(RAC)，以及软件应用程序，即用于控制集成和鉴权功能的多链路客户程序(MLC)。MLC驻留在用户设备上。RAC提供协议栈和互通功能以允许MLC与归属位置寄存器(HLR)对话。RLM和MLC建立一条“隧道”，例如使用基于以太网的PPP(PPPOE)，并由RLM使用GPRS隧道化协议(GTP)在另一条隧道上将在上述隧道上接收到的所有数据分组转发给网关GPRS支持节点(GGSN)。

Description

用于透明、安全地将WLAN无线电接入网与GPRS/GSM核心网络互 连的方法和系统

技术领域

本发明涉及无线局域网(WLAN)与蜂窝网络的互通，以便为蜂窝网络提供分组数据业务的连接性，本发明特别地涉及基于GSM的蜂窝网络。本发明还涉及为没有提供安全性和保密性的网络单元添加安全性和保密性的技术。

背景技术

需要一种为GSM业务客户提供高速无线数据网络的解决方案。希望在不修改任一GSM业务的核心网络单元，尤其是已经部署用于支持GSM分组无线电业务(GPRS)的核心网络单元的情况下实现上述目的。由于不改动核心网络，所以相信能够降低向GSM网络添加高速无线数据网络的成本。

必须尽可能高效和低成本地添加高速无线业务从而与综合业务竞争。实现这一目的的第一步骤将是使用基于标准的网络单元，例如但并不限制于使用IEEE 802.11b网络协议的WLAN设备。然而，这些网络协议是较为初级的，仅仅为定义了七层协议栈的典型的开放系统互连(OSI)的前两层提供了规范：物理层以及媒体接入和控制(MAC)层。

图1图示用于无线WLAN的IEEE 802.11和互联网工程任务组(IETF)协议栈所应用的常规OSI模型。过去，为了在顶部或应用层上使此协议栈与GSM协议栈互连，必须提供应用网关。这种为GSM/GPRS业务提供与WLAN系统的配合操作的接口方法是很困难的，因为GSM/GPRS业务是基于完全不同的标准，并提供了在IETF和IEEE802.11b协议栈内没有的许多特征。例如，IETF系统并未提供支持GSM业务所需要的功能。IETF协议并未提供用于与GSM鉴权系统配合操作的安全鉴权系统，记帐功能的格式不同，客户IP地址的分配在网络协议栈的不同层上进行处理，漫游特征不兼容，而且IETF并未规定在GSM中详细规定的微移动性越区切换协议。实际上，当配合操作IETF和GSM系统时，典型的GSM业务将仅仅部署两个独立的系统，并事后合并帐目。这种解决方案是不理想的，因为GSM运营商很难管理两个完全不同的客户数据库，提供用于它们希望部署的每种其它业务的两个不同的服务器和客户机，并使用不同的网络管理系统来管理两种完全不同的网络系统。

因此，需要提供一组互通网络单元，用于在WLAN无线电接入网络上转换业务或者提供其它业务。此外，希望以几乎不需要或者不必修改GSM系统的方式提供一种用于互通单元的结构。

已经进行了多种努力来解决和改善使用了WLAN的高速数据业务的部署。若干销售商提供这样一种方法，该方法使用WLAN和传统互联网业务供应商(ISP)核心网络之间的互通单元。在这种方法中，将提供物理层和MAC层功能的WLAN接入点(AP)连接到经过修改的网际协议(IP)路由器。这些路由器通常支持路由选择层IETF标准，例如但不限制于路由选择网际协议(RIP)，它们通常使用基于IETF标准的鉴权和记帐系统，这些系统使用诸如但不限制于远程接入拨入用户业务(RADIUS)的协议。

在认识到这些问题之后，多个销售商(加利福尼亚州圣克来克市的思科公司、瑞典斯德哥尔摩的Service Factory公司和朗讯技术公司)已经试图提供互通单元以便处理上述的每种故障和许多其它问题。例如，多个销售商已经在接入点上添加了功能部件，从而添加更高的网络层功能，例如鉴权和安全性。这种方法并不理想，原因是现在并没有涉及这一领域的IETF标准。因此，使用专用化的接入点要求GSM/GPRS业务仅部署那些能够支持这些专用协议的AP。此外，一些已经在他们的WLAN客户硬件中内置了其它功能部件和功能的销售商已经限制了客户可用于连接到网络的网络接口卡的类型，因而导致了其它的不兼容性，如果用户无法选择使用个人定制的接口，则不是人们所希望的。

在认识到这些问题之后，一些销售商(芬兰的诺基亚、思科系统公司、瑞典的IP Unplugged和加利福尼亚州圣克来克市的PC Tel公司)已经把精力集中到通过添加所谓的计费网关来向记帐和供应系统提供后端解决方案。这些网关将来自标准IETF系统的记帐记录转换成GSM/GPRS业务所使用的专用系统。因为没有计费系统的标准，所以难以确保新的和未来的对现有业务的修改的透明性。

在认识到这些问题之后，其它的销售商(得克萨斯州休斯顿市的Transat和加利福尼亚州的Interwave of Menlo Park)已经建立了使用WLAN设备与客户进行通信的独立GSM/GPRS系统，从而替换了存在于GSM/GPRS核心网络内的所有核心网络功能和性能。这种系统也是人们不希望的，因为GSM/GPRS业务必须依旧使用不同的管理和配置命令以及其它的硬件与软件来操作两种完全不同的网络，即使它向GSM运营商提供了更为人熟知的替代网络。

因此，需要一种WLAN无线电接入网络和GSM/GPRS核心网络之间的互通系统，它使GSM业务能够透明地在这个新的无线电接入网络上连到用户，同时向GSM客户提供客户期待的所有业务。此外，如果几乎不用修改或不进行修改就能够扩展这种互通网络，并从而支持其它的无线电接入网络(例如3G，802.11a)或高性能无线电局域网(HIPERLAN)，那么这将是非常有用的。这样一种系统将使得不需要修改WLAN单元，并将在尽可能最低的网络层上互连两个网络，并在尽可能低的网络层上提供其它的功能部件，从而能够最佳地使用已经部署的GSM标准。应当通过独立的网络单元来提供这些功能部件。这样，仅通过很少的工作就能够将功能添加给其它的无线电接入网络。

发明内容

根据本发明，提供了一种用于将WLAN无线电接入网络集成到GSM/GPRS核心网络内的方法和系统，其中添加用于在诸如WLAN和GSM的两种不同网络之间透明地传输业务的网关。本发明的另一方面是安全鉴权。根据本发明的系统具有两个网络单元，即无线电链路管理器(RLM)和无线电接入控制器(RAC)，以及软件应用程序，即多链路客户程序(MLC)，以便控制集成的功能。MLC驻留在用户设备上，所述用户设备例如但并不限制于笔记本电脑、PDA或蜂窝电话机。WLAN无线电接入网络(RAN)包括：客户无线电设备，其通常内置于客户计算设备内或者通过PCMCIA卡安装；以及接入点(AP)，该接入点将来自客户无线电设备的无线信号转换到有线网络协议上。根据本发明的方法，为了将这个RAN连接到GSM/GPRS核心网络，无线电链路管理器位于AP和核心网络(CN)之间，并提供用于来自客户计算设备上MLC软件的安全连接的端点。RLM将来自MLC的鉴权消息转发给RAC。RAC提供协议栈和互通功能从而允许MLC与归属位置寄存器(HLR)通话，所述归属位置寄存器(HLR)是在GSM核心网络内处理鉴权的标准网络单元。在鉴权客户之后，RLM和MLC使用以太网上的点对点协议(PPP)(PPPOE)建立一条“隧道(tunnel)”，RLM将在这条隧道上接收到的所有数据分组转发给网关GPRS支持节点(GGSN)，该节点是在GSM/GPRS网络内提供与互联网或其它分组数据网络的互连的标准网络单元。为了执行这种转发，RLM使用GPRS隧道化协议(GTP)建立一条从RLM到GGSN的隧道。可选择地，数据链路隧道可以从RLM到作为全球分组数据网络一部分的具有隧道化能力和地址分配能力的互联网网关。例如一般路由封装(GRE)协议、IP隧道化中的IP、第二层传输协议(L2TP)、移动IP和与全异网状网络有关的Metricom的Ricochet隧道化协议。也可以存在等效但当前无法预测的其它例子。

这两个网络可以无缝地协同工作，允许客户继续接收GSM中当前可用的所有网络业务，而与在特定时间上使用的无线电接入网络无关。

通过参考下面结合附图的详细描述，将更好地理解本发明。

附图说明

图1图示用于IEEE WLAN规范的网络栈和用于网际协议的由IETF规定的网络栈，并将其与OSI网络模型相互比较(现有技术)。

图2图示根据本发明的用于WLAN结构的ipLAN。

图3图示根据本发明的升级以支持GPRS和WLAN的GSM网络。

图4图示在本发明特定实施例中所必需的用户装置。

图5图示在用于WLAN的ipRAN各个单元和用于客户鉴权的GSM/GPRS核心网络之间传送的消息。

图6图示在无线电链路管理器和无线电接入控制器之间在RR协议中分组格式的优选实施例。

具体实施方式

本发明是一种用于将无线局域网无线电接入网络(WLAN RAN)连接到升级后具有GPRS能力的GSM蜂窝电话系统的方法和设备。为了提供GPRS能力，GSM网络必须添加服务GPRS支持节点(SGSN)304和网关GPRS支持节点(GGSN)326，如图3所示。

为了理解本发明所代表的改进，先认识那些在现有技术中已知的单元是很有用的。在图3的左侧图示了GSM/GPRS内的标准网络单元。在GPRS升级之前，蜂窝系统支持从基站控制器(BSC)303路由选择到移动交换中心(MSC)327再到公用交换电话网(PSTN)329的话音呼叫。对于支持数据的GPRS来说，数据连接从BSC 303路由选择到SGSN 304，然后到GGSN 326，再到分组数据网络(PDN) 306。用于GPRS的空中信号路径在物理上与用于语音呼叫的路径相同。然而，GPRS在所有的连接上使用不同的协议。在常规操作中，用户设备301支持GPRS无线电空中链路313，并向基站发射机服务器(BTS)302发送分组。BTS 302使用帧中继或其它协议在直接连接14上将这些分组转发给BSC之一303。BTS 302和BSC 303还处理话音呼叫和这种业务所需要的所有其它的复杂性。然而，数据分组始终通过直接连接315选择路由发送给SGSN 304。SGSN 304然后通过网络连接317将数据分组选择路由发送给GGSN 326，通常是使用基于互联网协议的GTP。SGSN304还按照GPRS协议中的定义来调整和记录数据分组连接的服务质量(QoS)、分组数量和连接的持续时间。SGSN 304在直接连接316上将这个信息发送给计费网关功能305，从而允许根据服务质量(QoS)为用户计费。SGSN 304还在七号信令系统(SS7)类型的网络324上使用移动应用部分(MAP)协议将来自用户装置(UE)301内的用户识别模块(SIM)417(图4)的鉴权协议中继到归属位置寄存器(HLR)311。GGSN 326通常使用网际协议将网络319上的数据分组选择路由发送给公用数据网络(PDN)306，通常是互联网。

根据本发明，现在参考图3右侧，最终将从支持WLAN的UE 309发送的数据分组发送给PDN 306。在WLAN空中链路322上将数据分组从UE 309发送给WLAN接入点(AP)308。AP 308在桥接网络321上将所述分组转发给无线电链路管理器(RLM)307，所述桥接网络321通常是以太网，但也可以在DSL、光纤或其它合适的物理介质上。RLM307在通常使用基于网际协议的GTP(GTP/IP)的网络320上将数据分组转发给GGSN 326。GGSN 326然后在通常使用网际协议的网络连接319上将这些数据分组转发给分组数据网络306。在这里所描述的发明中，用于向WLAN提供互通功能的网络单元在RLM 307上仅根据需要将来自UE 301的协议的数据分组和控制分组划分到不同的网络单元。在通常使用基于网际协议的RLM到RAC(RR)协议的网络连接325上将鉴权分组选择路由到无线电接入控制器(RAC)310。RAC 310在使用MAP的SS7网络323上将鉴权分组转发给HLR 311。在通过多链路客户软件使用其SIM卡来支持WLAN 309的UE上运行鉴权协议。在GPRS或WLAN内，GGSN 326在直接连接318上将计费数据发送给计费网关功能305。计费网关功能记录由UE 309或301发送给PDN 306的数据分组的总连接时间和质量。

与BTS 302可以提供空中链路313上的QoS的GPRS情况不同，在WLAN的情况下，在空中链路322上没有QoS。在GPRS中，通过直接链路316从SGSN 304将这个信息记录和发送给计费网关功能305。在WLAN的情况下，不需要这种信息，因此可以忽略此信息。

对于具有GGSN 326和计费网关功能305的GSM的核心网络单元，WLAN连接现在模拟GPRS连接。RLM 307模拟SGSN 304到GGSN 326的连接。RAC 310模拟SGSN 304到HLR 311的连接，而WLAN不再需要SGSN 304到计费网关功能的连接，因为在WLAN空中链路上没有QoS能力。这样，可以以用户GPRS业务的相同进入方式，使为特定用户提供的WLAN业务进入HLR 311。也可以以完全模拟的方式在计费网关功能305内执行计费。因而，使用RLM 307和RAC 310所提供的互通功能，能够在不对核心网络进行修改或者不对用于在所述核心网络上管理和提供业务的任何程序进行修改的情况下，将WLAN RAN连接到GSM/GPRS核心网络。

参见图2，图示了实现本发明的硬件单元的具体实施例。对于网络领域的技术人员来说，其它的实施例可能是显而易见的，并不排除在本说明书之外。WLAN和核心GSM/GPRS网络之间的互通单元包括：MLC(多链路客户程序)，它是客户机硬件201上的软件；RLM(无线电链路管理器)206，它是用于鉴权和数据流的路由选择和控制点；以及RAC(无线电接入控制器)207，它是用于鉴权和提供业务的互通单元。

用户装置UE是带有WLAN无线电设备的计算设备，例如但不限制于个人数据助理(PDA)202、蜂窝电话机203或笔记本电脑204。嵌入计算设备202、203或204中的WLAN无线电设备所使用的空中链路218可以基于IEEE 802.11b规范，或者可以基于能够通过接入点(AP)204转换到桥接网络上的任意其它的空中链路。可使用的空中链路协议和无线电设备的其它例子是IEEE 802.11a或802.11g规范、HIPERLAN规范或将要确定的其它某种空中链路。在优选实施例中，唯一的要求是AP 204支持IEEE 802.1D桥接协议规范。可通过桥接器或集线器205在网络214上使用以太网物理层来运行所述协议，所述桥接器或集线器205在网络215上将分组转发给RLM 206。网络215还可以使用以太网，但可以使用通过双绞铜线对220连接的DSL(数字用户线)调制解调器219和远程DSLAM(数字用户线接入管理器)221来替换桥接器或集线器205，只要分组在网络215上的出现像在网络214上的出现一样，并且只要两个物理网络连接214和215之间符合IEEE 802.1D桥接协议规范，以便对于两者来说都是作为去往RLM的桥接网络出现。对于网络领域的技术人员来说，将AP 204连接到RLM 206的其它方法应当是显而易见的。而且，对于网络领域的技术人员来说，网络214上的AP 204的数量显然不是固定的，最多可以达到冗余和容量所需要使用的任意数目。

在图4中详细图示了UE 201、202或203。UE 201具有一个设备外壳414，其中包含CPU(中央处理单元)402，它在一条连接或总线410上与非易失性存储器403通信，在非易失性存储器403中，各种程序以软件指令形式控制多个设备405、406、404和417，并通过由CPU逐条指令地解译来在UE内执行它们的功能。将多链路客户软件也存储在UE非易失性存储器403内。当给UE加电时，CPU 402可以通过连接或总线409将程序复制到随机存取存储器401，或者可以从非易失性存储器403直接运行程序。用户装置通常具有但并不必须具有输出设备404，例如在连接412上与CPU 402通信的屏幕或扬声器。这个输出设备404可以由驻留在非易失性存储器403或随机存取存储器401内的程序来控制。设备通常具有但并不必须具有输入设备405，例如在连接413上与CPU 402通信的键盘、鼠标或麦克风。这个输入设备405可以由驻留在非易失性存储器403或随机存取存储器401内的程序来控制。UE设备通常具有WLAN无线电设备406或等效设备，它在连接或总线411上连接到CPU 402和在连接408上连接到天线407，所述设备通常但并不必须在设备外壳414内。在优选实施例中，所述设备具有通过连接415连接到CPU 402的SIM读取器416，它能够接受SIM卡417，并向其发送和从其接收信息。

在特定实施例中，在连接或总线415上将这个SIM卡信息发送给CPU 402。SIM卡读取器416可嵌入在设备外壳414内，或者可以设置在设备外壳414外部。

可以使用一种合适的方法来在用户装置201、202或203上调用和运行称作MLC(多链路客户程序)的软件程序，例如但并不仅限于设备用户使用鼠标(输入设备405)点击屏幕(输出设备404)上的图标，或者在可选的实施例中，在用户装置上预先安装的程序可以识别出在连接411上从WLAN无线电设备406发送给CPU 402的信号，它通知MLC软件这一事实：WLAN无线电设备406可以将其自身连接到AP 204。

在一种可选的实施例中，如计算机设计和编程领域的技术人员所公知的，也可以按下一个按钮(输入设备405)或者使用其它某种方法。当被通知应当启动数据连接时，MLC尝试向作为核心GSM网络一部分的HLR 217鉴权其自身。在本发明的优选实施例中，当多链路客户软件使用基于以太网的点对点协议(PPPOE)来建立一条从UE 201、202或203到RLM 206的隧道时，网络214和215应当是通过桥接器或集线器205桥接的以太网。如果在网络214和215中将要使用另一种媒介，则可以使用不同的协议来封装在空中链路218上发送的数据分组，所述协议包括所需要的相同功能：定位RLM 206的能力，所述RLM提供可端接一条在MLC内开始的隧道的隧道服务器；以及在所述隧道上通过AP 204发送分组的能力。将用于从UE 201、202或203向RLM 206经隧道传送分组的另一协议方法的例子是第二层传输协议(L2TP)。其它的一些例子是一般路由封装(GRE)协议、用IP隧道化的IP(IPin IP tunneling)、移动IP和与全异网状网络有关的Metricom的Ricochet隧道化协议。还可能存在等效的但目前无法预测的其它例子。

在这个实施例中，UE 201、202或203上的MLC用作L2TP接入多链路客户程序，网络214和215是使用网际协议的可路由网络。在这个实施例中，一组路由器替换了桥接器或集线器205，并用于在AP 204和RLM 206之间传送分组。RLM用作L2TP网络服务器。使用RLM 206的IP地址来配置MLC。在一种可选择的实施例中，MLC使用标准的域名业务(DNS)查询来寻找RLM 206。这个查询提供所需要的功能；它发现RLM 206，并允许将分组从UE 201、202或203隧道化传送给RLM206。用于从UE 201、202、203向RLM 206隧道化传输分组的其它方法对于网络领域的技术人员来说将是显而易见的。该结构并不将用户仅限于每网络有一个或两个RLM 206，而是根据冗余和容量的需要，允许任意数量的RLM 206。

在使用IEEE 802.11协议的具体实施例中，APC 204用作桥接器，将空中链路218上的所有数据分组转发到桥接网络214上，并将来自桥接网络214的所有数据分组转发给正确的UE 201、202或203。用户装置201、202或203内的WLAN无线电设备406在连接408上向天线407发送分组，所述分组经空中链路218被AP 204接收。WLAN无线电设备406使用IEEE 802.11协议以便连接到AP 204之一。一旦WLAN无线电设备406连接到AP 204，它就在连接413上通知CPU 402，并通知驻留在非易失性存储器403或随机存取存储器(RAM)401内的设备驱动软件。设备驱动软件通过CPU 402和总线409或410使用标准信令将接入事件通知给MLC软件。然后，MLC向设备驱动器发送出PPPOE有效发现初始化(PADI)分组，使WLAN无线电设备406将其发送给AP 204。AP 204将会把此PADI分组转发给网络214。因为这个分组寻址到桥接网络上的广播以太网地址，因此该分组将被复制到网络215、214和空中链路218上。

所有希望接受连接的RLM 206将使用寻址到UE 201、202或203的单播PPPOE有效发现提供(PADO)响应分组来响应所述PADI分组。该PADO分组将被UE 202、202或203接收并转发给MLC。MLC已经向WLAN无线电设备406的设备驱动器登记，以便接收所有这些类型的分组的复本。PADO分组包含RLM 206的IEEE MAC地址。以这种方式，MLC能够发现RLM 206的地址。现在，MLC在桥接网络214和215以及空中链路218上使用这个地址以在其自身和它所选择的RLM 206之间建立一条PPPOE隧道。MLC使用通过PPPOE协议封装的PPP，从而使用PADO分组的源地址来协商一条与RLM 206的PPP连接。

根据本发明，MLC和RLM 206使用可扩展的鉴权协议，例如PPP或802.1X，以将鉴权SIM卡417所需要的信息传送给HLR 208，并向MLC鉴权RLM 206。一旦完成鉴权，则由HLR 208向RLM 208并且由SIM卡417向MLC提供唯一密钥形式的信息，以使它们在两个设备之间建立一条安全连接。使用仅为RLM 206和MLC所知的唯一密钥来加密每个分组。然后，MLC用作UE 201、202或203的防火墙，并丢弃除了使用唯一密钥正确加密的分组之外的所有分组。RLM 206也用作防火墙，丢弃除了来自UE 202、202或203使用唯一密钥正确加密的那些分组之外的所有分组。这使UE 201、202或203除了通过RLM 206之外无法寻址AP 204、另一个用户装置201、202或203、桥接器205或GSM系统的任何其它核心网络单元，所述RLM 206封装分组并将分组通过核心网络转发给GGSN 212，所述GGSN 212仅将分组转发给PDN210互联网，由此还保护了所有的核心网络单元免受UE 201、202或203的任何攻击。此外，因为MLC丢弃了来自RLM 206的PPPOE隧道以外的所有分组，任何其它的UE 201、202或203或诸如集线器或桥接器205的任何设备都无法输入将被UE接收的分组，因而确保它不会受到连接到核心网络连接212、桥接网络214和215或空中链路218的任何设备的任何攻击，为UE 201、202或203提供安全的公共分组转发，并使客户不用忧虑UE 201、202或203的攻击或滥用。

参见图5的分组流动图，在WLAN RAN和核心GSM/GPRS网络内的各种网络单元之间传送消息，以便向HLR 523鉴权UE 520上的客户SIM卡。这些消息授权客户可以使用WLAN并开始计费，并包括用于建立从UE 520到RLM 521和从RLM 521到GGSN 524的端到端隧道的建立消息，在所述隧道中接收和发送数据业务。如上所述，UE 520使用PPPOE发现分组来发现RLM 521，并用这种协议封装PPP分组以便在UE 520和RLM 521之间进行传输。图5图示在分离的网络单元：UE 520、RLM 521、RAC 522、HLR 523和GGSN 524之间的分组通信。时间从上向下递增。使用一个独立的编号来标记每个分组或消息，其中一条带箭头的直线从始发分组的网络单元开始并在接收分组的网络单元上结束。

图5还图示分组的排序。在时间上越早发送的分组越靠近该图的顶部。仅为了说明性的目的，图5还图示了在UE 520和RLM 521之间所使用的选定协议的名称。在一个具体实施例中，这些设备使用PPP向前和向后发送分组，并协商鉴权和所需要的其它网络配置以使UE520成为连接到GGSN 524的分组数据网络内的充分参与的网络单元。

在UE 520和RLM 521之间，可以使用多个PPP的子协议。这些协议包括链路控制协议(LCP)、争用鉴权协议(CHAP)和IP控制协议(IPCP)。也可以使用诸如802.1X的其它协议。为了说明，使用该图中左下侧的标记将每种协议的分组或消息组合在一起。

在一种具体实施例中，UE 520上的MLC使用PPP通过向RLM 521发送PPP LCP配置选项分组501来协商LCP配置选项类型0x20和LCP配置选项类型0x21，所述LCP配置选项类型0x20长度为18并包含国际移动用户标识符(IMSI)，所述LCP配置选项类型0x21具有18字节的目前长度，一个16字节的随机数，该随机数在每种情况下尽可能无法预测地改变。

另一种提供这种信息的方法是使用销售商专用LCP配置方法和字段。RLM 521接收LCP选项，并记录目前的值(用于争用的随机数)以便随后使用。然后，如表2所示它在RAC至RLM(RR)协议的连接请求分组502中将IMSI转发给RAC 522。如具体实施例内的图6和表1所示，RR协议具有8比特的版本号，之后是8比特的消息编号，之后是用16比特长度表示的随后消息有效负荷的字节长度，之后是RLM521分配的UE 520的32比特标识符，它包含20比特的RLM 521唯一标识和12比特的RLM 521分配的用于UE 520的唯一标识，接着是消息有效负荷本身。

消息	ID
		连接请求	0x01
鉴权拒绝	0x02
		连接接受	0x04
连接完成	0x03
		鉴权请求	0x12
鉴权响应	0x13

表1

在表1中列出了用于RAC和RLM之间的每个消息的RR协议内的消息编号。在表2中描述了用于RAC和RLM之间RR协议的连接请求分组502的有效负荷。

字段_名称	字节大小	值	描述
				Auth_Type	1	0x1	指定IMSI
IMSI_Len	1	0x07至	IMSI的字

		0x10	节长度
				IMSI	IMSI_Len	IMSI	用于移动用户的唯一标识符
Old_RAC	8	唯一RAC标识符	用于越区切换信息检索

表2

在根据本发明的典型方法中，RAC 522将连接请求转发给HLR523，全部使用SS7网络上的MAP协议进行通信。例如如果客户未支付他的帐单或者客户的蜂窝运营商与该网络的运营商之间没有漫游协议，则HLR 523可以使用连接拒绝516a来拒绝此请求；HLR 523也可以通过发送鉴权请求分组516和签字响应(SRES)来要求SIM卡鉴权其自身，所述鉴权请求分组516包括使用A8类型的GSM鉴权协议和一个或多个RAND(即一个64比特的随机数)通过仅为HLR和SIM卡所知的秘密参数生成的一个密钥，所述签字响应(SRES)可以使用A5类型的鉴权协议来鉴权，它证明HLR知道与SIM卡共享的秘密，并用于向运营商网络提供SIM卡的鉴权。RAC 521使用RR协议的鉴权请求分组503在RAC和RLM之间转发鉴权请求分组516内的信息，其有效负荷如表3所示，通常使用网际协议。

字段_名称	字节大小	值	描述
				RAND_Len	1	1至16	RAND字段的字节长度
RAND	RAND_Len	随机数	HLR生成的当前数
				SRES_Len	1	1至4	SRES字段的字节长度
SRES	SRES_Len	使用RAND和Kc的A3 GSM算法的签字响应	由HLR生成
				Kc_Len	1	1至8	Kc字段的字节长度

Kc

Kc_Len

使用A5GSM算法和RAND生成的密钥

由HLR生成

表3

可选地，RAC 521也可以使用RR协议的鉴权拒绝分组503a将连接拒绝分组516a内的信息转发给RLM 521，如表4和表5所示，通常使用网际协议。

字段_名称	字节大小	值	描述
				Reject_Code	1	拒绝原因	如表5所示

表4

拒绝原因	代码
		HLR内未知的IMSI	0x02
非法的用户标识符	0x03
		不允许GPRS业务	0x07
不能确定用户身分	0x09
		暗中分离的	0x0A

表5

表5图示拒绝连接请求的原因和放置在连接拒绝分组的Reject_Code字段内的字段值。如果RLM接收到鉴权请求503，它将PPP LCP接受消息504转发给UE 520，该消息允许PPP客户机继续其状态机和响应鉴权请求。如果RLM 521接收到鉴权拒绝消息503a，则它将PPP LCP拒绝消息504a转发给UE 520，随后结束该PPP协商。

在向UE 520发送PPP LCP消息504之后，在本优选实施例中，RLM521上的PPP状态机通过使用LCP配置选项类型3和用于CHAP的鉴权协议值0xc223发送一个争用分组505从而初始化一个CHAP对话。对于算法字段，我们使用基于SIM鉴权的值0x88来指定我们的算法，如下所述。在CHAP交换过程中，从RLM 521发送给UE 520的分组505内的争用字段数据包含两个16字节的随机数、这两个随机数与当前值组合的签名形式的MAC_RAND、两个Kc、IMSI和使用shah-1算法——一种散列算法的两个SRES。也可以使用其它的散列算法，例如MD-5。可根据发送给RLM 521的消息503内的每个RAND由UE 520上的MLC生成Kc，通过将每个RAND发送给SIM卡417和作为GSM算法A8生成的响应来获取Kc，在CHAP争用消息505内将其转发给UE 520。然后，使用所生成的这些密钥Kc，UE 520可以验证消息505内的信息是否被正确地签名；如果验证成功，则向UE 520证明RLM 521能够与HLR 523对话，并知道Kc，从而验证RLM 521是一个用于客户运营商的合法互通单元。UE 520内的MLC使用CHAP响应消息506进行响应，所述消息包括MAC_SRES，它是使用shah-1算法的在消息503内发送给RLM521的两个SRES、两个Kc、当前值和IMSI的签名形式。UE 520根据在消息505内发送给它的RAND生成每个SRES，在从SIM卡417生成Kc的同时，将其从鉴权请求分组503的RAND字段内的值中转发。当RLM 521接收到MAC_SRES时，它验证MAC_SRES得到了UE 520正确地签名，并由此证明UE 520具有正确的SIM卡417，然后向RLM 521鉴权用户的UE 520，或者通过通知MAC_SRES未被正确地签名来证明自己无法鉴权UE 520。然后，RLM 521使用鉴权响应分组507将这个鉴权事实转发给RAC 522，其有效负荷如表6所示。

字段_名称	字节大小	值	描述
				Auth_Response	1	0x00或0x01	分别表示成功或失败

表6

然后，RAC 522使用表示它理解鉴权事实的连接接受消息508来响应RLM 521。假设鉴权成功，则RLM 521在GTP控制协议上向GGSN524发送一个PDP环境激活消息509，以便向GGSN通知：应当为UE 520建立一条GTP隧道，以允许UE 520连接到该分组数据网络。然后，RLM521向UE 520发送CHAP成功消息510以证明鉴权正确完成，如果鉴权失败则发送CHAP失败消息510a。然后，RLM 521向RAC 522发送连接完成消息511以便它可以完成它的状态机并存储为了将来用于越区切换的UE 520连接的参数。当GGSN 524完成激活GTP隧道时，它向RLM 521发送PDP环境响应消息512，RLM 521随后在消息513中向UE 520发送IP分配信息，其中包括UE 520向PDN 306发送IP分组所必需的信息。RLM 521将GTP隧道成功创建的通知转发给RAC 522，从而允许RAC 522更新它的状态机，并存储将来将用于越区切换的UE520的隧道的参数。

表7描述连接接受分组的有效负荷。

字段_名称	字节大小	值	描述
				RAC	8	RAC ID	服务RAC的唯一指示
Auth_Response	1	0x00或0x01	分别表示成功或失败

表7

表8是连接完成分组511的有效负荷描述。

字段_名称	字节大小	值	描述
				Auth_Response	1	0x00或0x01	分别表示成功或失败

表8

现在，UE 520已经通过此程序被GSM/GPRS核心网络成功地鉴权，并具有为其建立的一对隧道，前者在UE 520上的MLC和RLM 512之间并使用PPPOE，后者在RLM 521和GGSN 524之间并使用GTP。PPPOE隧道使用了缺省加密，该缺省加密是基于AES并利用了基于Kc、当前值以及IMSI的唯一共享密钥，这保证了UE 520发送的分组不能被任何网络上任何人骗取，这些分组是私有的，并且不能被从UE 520到RLM521的路径上的任何其它人骗取。RLM 521获取在成功解码的PPPOE隧道上从UE 520接收到的IP分组，并将它们放入到GGSN 524的GTP隧道。GGSN 524获取这些分组并将它们发送给PDN 306。由GGSN 524接收寻址到UE 520的数据分组，GGSN用于连接到互联网的分组数据网络，所述数据分组通知到分配给UE 520的IP地址的公共路径。GGSN524将这些分组放入GTP隧道，并将它们发送给RLM 521。RLM 521提取这些分组，予以加密并在PPPOE隧道上将其转发给UE 520。UE 520上的MLC提取在PPPOE隧道上接收到的分组，在成功解密之后，将它们传送给UE 520上的其它处理，从而提供到UE 520的分组数据网络连接，通常是互联网连接。以这种方式，通过未对仅具有WLAN无线电设备416和SIM卡读取器416和SIM卡417的UE 520进行修改的运营商的核心GSM/GPRS网络，本发明的优选实施例提供了到分组数据网络的安全鉴权的接入。

已经参考具体实施例描述了本发明。对于本领域的技术人员来说，其它的实施例将是显而易见的。因此，本发明并非限制性，其范围由所附的权利要求书来限定。

Claims (13)

1.一种使用支持GSM协议的核心网络来在无线局域网无线电接入网络(WLAN RAN)中鉴权WLAN无线电用户设备的方法，该方法包括以下步骤：

将无线电接入控制器(RAC)、无线电链路管理器(RLM)和WLAN接入点(WLAN AP)连接到所述核心网络的归属位置寄存器(HLR)；

建立WLAN无线电用户设备与WLAN AP和RLM的通信；

向HLR鉴权具有多链路客户程序(MLC)能力的用户设备；之后

通过连接从MLC到RLM的第一数据链路隧道将所述用户设备连接到核心网络系统。

2.根据权利要求1的方法，其中所述鉴权步骤还包括：之后连接从RLM到用于全局分组数据网络的GGSN分组网关的第二数据链路隧道。

3.根据权利要求1的方法，其中所述鉴权步骤还包括：之后连接从RLM到具有隧道化能力和地址分配能力的作为全局分组数据网络一部分的互联网网关的第二数据链路隧道。

4.根据权利要求3的方法，其中互联网网关使用第二层传输协议。

5.一种用于将无线局域网无线电接入网络(WLAN RAN)互连到支持GPRS分组协议的GSM核心网络的方法，该方法包括以下步骤：

将无线电接入控制器(RAC)、无线电链路管理器(RLM)和WLAN接入点(WLAN AP)连接到GPRS网关服务节点(GGSN)和所述核心网络的归属位置寄存器(HLR)；

建立WLAN无线电用户设备与WLAN AP的通信；

向HLR鉴权具有多链路客户程序(MLC)能力的用户设备；之后

通过连接从MLC到RLM的第一数据链路隧道将所述用户设备连接到核心网络系统。

6.根据权利要求5的方法，其中所述鉴权步骤还包括：之后连接从RLM到用于全局分组数据网络的GGSN分组网关的第二数据链路隧道。

7.根据权利要求5的方法，其中所述鉴权步骤还包括：之后连接从RLM到具有隧道化能力和地址分配能力的作为全局分组数据网络一部分的互联网网关的第二数据链路隧道。

8.根据权利要求7的方法，其中互联网网关使用第二层传输协议。

9.一种通过无线局域网无线电接入网络(WLAN RAN)使用户设备和GSM核心网络相互鉴权的方法，所述GSM核心网络支持GPRS分组协议，所述方法包括以下步骤：

初始化来自用户设备的无线连接请求；

从用户设备通过无线链路向无线电链路管理器发送标识号(IMSI)和与用户有关的最新随机数(当前值)；之后

使用IMSI和当前值构成一个常规连接请求；之后

将该常规连接请求传送给归属位置寄存器；

在归属位置寄存器上使用1)用户设备的共享密钥、2)IMSI和3)当前值来生成常规鉴权请求，所述常规鉴权请求包括作为一个单元的常规数字签名；之后

将常规鉴权请求传送给无线电链路管理器；之后

在无线电链路管理器上使用当前值和常规鉴权请求的所有单元构成所述常规鉴权请求的第一安全数字签名；之后

将第一安全数字签名和已经删除了所述常规数字签名的修改后的常规鉴权请求传送给用户设备；

根据修改后的常规鉴权请求，使用共享密钥、IMSI和当前值，在用户设备上构造常规数字签名的候选复本；

在用户设备上使用1)第一安全数字签名、2)候选复本、和3)修改后的常规鉴权请求来验证候选复本和修改后的常规鉴权请求，从而向用户设备鉴权无线电链路管理器；之后

根据验证后的常规数字签名复本，使用共享密钥、IMSI、当前值和验证后的已修改常规鉴权请求，在用户设备上构造第二安全数字签名；之后

向无线电链路管理器报告第二安全数字签名，以便向无线电链路管理器验证用户设备的鉴权。

10.根据权利要求1的方法，其中所述鉴权步骤包括：

初始化来自用户设备的无线连接请求；

从用户设备通过无线链路向无线电链路管理器发送标识号(IMSI)和与用户有关的最新随机数(当前值)；之后

构成一个常规连接请求；之后

使用IMSI和当前值将该常规连接请求传送给归属位置寄存器；

在归属位置寄存器上使用1)用户设备的共享密钥、2)IMSI和3)当前值生成常规鉴权请求，所述常规鉴权请求包括作为一个单元的常规数字签名；之后

将常规鉴权请求传送给无线电链路管理器；之后

在无线电链路管理器上使用当前值和常规鉴权请求的所有单元构成所述常规鉴权请求的第一安全数字签名；之后

将第一安全数字签名和已经删除了所述常规数字签名的修改后的常规鉴权请求传送给用户设备；

根据修改后的常规鉴权请求，使用共享密钥、IMSI和当前值，在用户设备上构造常规数字签名的候选复本；

在用户设备上使用1)第一安全数字签名、2)候选复本、和3)修改后的常规鉴权请求来验证候选复本和修改后的常规鉴权请求，从而向用户设备鉴权无线电链路管理器；之后

在用户设备上根据验证后的常规数字签名复本，使用共享密钥和验证后的已修改常规鉴权请求来构造第二安全数字签名；之后

向无线电链路管理器报告第二安全数字签名，以便向无线电链路管理器验证用户设备的鉴权。

11.根据权利要求1的方法，还包括步骤：使用在用户设备和HLR之间共享的共享密钥来建立所述第一数据链路隧道作为安全数据链路隧道。

12.一种用于使无线局域网无线电接入网络(WLAN RAN)与支持GPRS分组协议的GSM核心网络互连的系统，该系统包括：

无线电接入控制器(RAC)；

无线电链路管理器(RLM)；

WLAN接入点(WLAN AP)；

GPRS网关服务节点(GGSN)；

所述核心网络的归属位置寄存器(HLR)；

至少一个用于与WLAN AP通信的WLAN无线电用户设备；

用于向HLR鉴权用户设备的装置，所述用户设备具有多链路客户程序(MLC)能力；和

用于使用从MLC到RLM的第一数据链路隧道和从RLM到用于全局分组数据网络的GGSN分组网关的第二数据链路隧道将用户设备连接到核心网络系统的装置。

13.一种用于使无线局域网无线电接入网络(WLAN RAN)与GSM核心网络互连的系统，该系统包括：

无线电接入控制器(RAC)；

无线电链路管理器(RLM)；

WLAN接入点(WLAN AP)；

互联网网关节点；

所述核心网络的归属位置寄存器(HLR)；

至少一个用于与WLAN AP通信的WLAN无线电用户设备；

用于向HLR鉴权用户设备的装置，所述用户设备具有多链路客户程序(MLC)能力；和

用于使用从MLC到RLM的第一数据链路隧道和从RLM到用于全局分组数据网络的互联网网关节点的第二数据链路隧道将用户设备连接到核心网络系统的装置。

Images