[发明专利]一种接入网鉴权服务器通知发起接入鉴权的方法

说明书

技术领域：

本发明涉及CDMA2000-EVDO(数据优化演进)移动通讯系统中的数据通信，具体涉及在这种移动通讯系统中AN-AAA(接入网鉴权服务器)的通知发起接入鉴权。

背景技术：

CDMA2000-EVDO移动通讯系统中的AN-AAA作为接入网络侧的鉴权网元，主要用于对EVDO终端进行接入认证。

无线接入网认证是确认将要接入EVDO无线网(AN)的EVDO终端合法性的机制。接入认证由AN侧和AN-AAA配合完成，使用CHAP(PPP挑战握手认证协议)认证，认证成功后，AN-AAA向AN返回MNID(移动节点标识符)，用于确定A8/A9、A10/A11接口消息中的MNID。一旦用户通过AN-AAA鉴权，则会在AN侧保留自己的身份信息。在一般情况下，下次用户起呼不用再进行AN-AAA鉴权，直接根据AN侧保留的身份信息建立连接。

AN和AN-AAA之间是通过标准的A12接口进行通讯的，通过A12消息的交互完成鉴权认证，其具体过程包括以下步骤：

(1)AN侧收到EVDO终端的呼叫请求，如果确定是新用户或需要鉴权的用户，就需要对其进行接入鉴权，也就是立即发起认证请求，构造A12接口的接入请求消息，通过RADIUS协议栈发送给AN-AAA进行认证。

(2)对A12接口接入请求消息的重发机制的管理。如果在一段时间内没有收到AN-AAA的鉴权响应则重发接入请求消息。

(3)AN侧接收到AN-AAA的认证结果，如果鉴权成功则返回有效的MNID，否则拒绝终端建立连接。

在整个鉴权过程中，AN-AAA一直处于被动等待接收AN侧发起认证请求的状态，只能对鉴权请求做出适当的应答，而用户一旦鉴权成功就会在AN侧保留自己的身份信息，除非用户触发了重鉴权等操作，下一次用户接入就不需要进行AN-AAA鉴权。这种鉴权过程在实际应用中可能导致以下几点问题：

(1)用户一旦取消服务，虽然在AN-AAA中的用户信息被删除，但AN侧仍然保留该用户的“有效”的身份信息，一定时间内用户仍然可以作为“合法”用户来访问AN并获取服务。

(2)当用户与服务相关的等级信息(如QoS等级等)发生变更时，虽然AN-AAA已经更新了用户信息，但AN侧并不能及时从AN-AAA得到通知，确定用户需要重新鉴权。

(3)用户在AN侧存储的身份信息不能够保持更新。出现这个问题的原因不是AN侧不能更新用户的身份信息，而是目前AN侧缺乏一种机制来触发用户信息的更新操作。

分析出现上面出现的问题，其根源是AN-AAA服务器虽然能够确定用户的合法性，但只是被动的鉴权，而没有将用户的信息变动及时通知AN侧，因而需要同时维护AN-AAA和AN侧的用户信息，并保证其一致性，这无疑将增加管理难度，另一方面也说明EVDO移动通讯系统在鉴权处理上存在漏洞。

针对这个问题，目前的解决方法主要集中在AN侧，通过强制用户进行重新鉴权，定时来更新身份信息，并确定用户的合法性。但这种方法并没有彻底解决问题，因为在定时器超时前仍然会存在上面的问题。另外，还加了AN侧系统的复杂性和维护难度，将本该由AN-AAA对用户进行合法性检测的管理功能放在AN侧来实现。

发明内容：

本发明要解决的技术问题是，针对现有技术的缺陷，提出一种方法，让AN-AAA能够将所管理用户的变更信息主动通知AN侧，以便AN侧发起相关操作更新用户信息。

本发明的方法包括以下步骤：

步骤1、AN-AAA从用户放号开始，就维护该用户的变更信息记录，其中包含用户属性变更、用户存活信息，作为向AN侧发送归属用户鉴权通知的依据；

步骤2、当变更信息记录发生变更时，AN-AAA主动向AN侧发送通知消息，告知应对指定用户或用户组群进行处理；

步骤3、AN侧收到通知消息后，根据其要求进行操作。

上述方案中，AN-AA可以将维护信息发生变化的用户暂时按照易于检索、发送和处理的方式缓存，当达到规定数目时，一齐发送给其归属AN。

AN-AAA可以在出现以下情况之一时，主动向AN侧发送用户鉴权通知：

3.1AN-AAA维护用户的单项或多项可扩展属性信息(比如用户QoS等级)发生变更；

3.2AN-AAA维护用户的存在时间大于需要重新鉴权的预置时间；

3.3发生删除AN-AAA维护用户的时候；

3.4发生用户信息部分丢失，用户进行非法操作、用户信息不完整等异常情况的时候。