[发明专利]无线网状网络系统以及密钥分配的方法

说明书

技术领域

本发明涉及Mesh(无线网状)网络的应用领域，尤其涉及一种无线网状网络系统以及密钥分配的方法。

背景技术

现有技术中的一种Mesh网络的安全机制是采用预共享密钥或上层认证的方法来产生主密钥，该主密钥为下层密钥的派生提供顶层密钥。在每个MP(Mesh point，Mesh节点)和MKD(Mesh key distribution，Mesh密钥分发)之间建立密钥分发和密钥传输两级密钥层，MKD根据密钥分发级密钥进行计算会话主密钥，并通过密钥传输级密钥为各MP对分发会话主密钥。该安全机制中MP节点之间链路的安全关联的具体处理过程如下：

新加入的MP首先探测可用的已认证过的邻居MP，如果探测到，则和该邻居MP之间建立对等链路。在上述对等链路的建立过程中，认证服务器采用EAP(extend authentication protocol，扩展认证协议)-X认证方法对该新加入的MP的身份进行认证，在认证通过后，上述新加入的MP与认证服务器产生相同的MSK(主密钥)。认证服务器通过有线分发环境传递上述MSK到MKD，上述新加入的MP和MKD使用MSK作为密钥层次中的根密钥建立两级密钥层，并根据新认证节点MSK推导计算的对等主密钥PMK-MA(PairwiseMaster Key-Mesh Authenticator)作为这两个MP之间的链路的会话主密钥，已认证过的邻居MP向MKD请求获得该会话主密钥。

当上述新加入的MP欲与其他节点建立关联链路时，上述新加入的MP和MKD基于它们之间共享的密钥层计算这个关联链路的会话主密钥，MKD通过与MP建立的安全多跳链路传递PMK-MA到上述新加入的MP的对端MP。这样，两个对等节点拥有共享的PMK-MA作为会话主密钥，可以通过四步握手机制产生临时会话密钥，从而在两个对等节点之间建立关联链路。

上述新加入的MP按照上述处理过程，可以与其他任何一个对端MP建立关联链路，并可作为认证方(authenticator)为其它新加入的MP提供Mesh网络的认证服务。

在实现本发明过程中，发明人发现现有技术中至少存在如下问题：

一个MKD逻辑实体及通过其认证的MP构成MKD域，一个MKD域只能有一个MKD逻辑实体，当需部署多个MKD逻辑实体时，会导致多个MKD域，将造成了上述两个MP不能建立关联链路，从而无法进行通信。

发明内容

本发明的实施例提供了一种无线网状网络系统，用于解决部署多个MKD逻辑实体时，无法通信的问题。

本发明实施例提供了一种网状网络系统，包括AS、AC、MPP和MP，其中，所述MPP和所述MP组成mesh网络，所述AC通过3A协议与所述AS通信，所述AC管理所述MPP。

一种网状网络系统中MPP配置初始化，包括：

MPP上电后，通过动态配置或手动配置获得AC的IP地址；

所述MPP与所述AC通过传输层安全协议建立安全通道；

所述MPP与所述AC基于传输层安全协议的安全通道建立控制通道。

一种mesh网络中MP节点入网初始认证的流程，包括：

请求认证的MP节点作为supplicant按照EAP认证协议通过认证过的MP节点向MPP发起认证；或者请求认证的MP节点作为supplicant按照EAP认证协议向单跳的MPP发起认证；

所述MPP将收到的EAP数据帧通过与AC建立的CAPWAP数据通道透传给AC，由所述AC将所述EAP认证数据帧转给所述AS，向所述AS发送认证数据帧；

所述AC收到所述AS的EAP认证挑战EAP request，通过与MPP建立的CAPWAP数据通道透传给MPP，MPP将该EAP认证挑战转发给请求认证的MP节点；

请求认证的MP应答AS的认证挑战，向AS响应EAP response；

当请求认证的MP节点接收到AS下发的认证成功响应(即认证成功的数据帧)，请求认证的MP节点与AS产生该认证的主秘密信息MSK，并由AS将该主秘密信息MSK转发给AC；

初始入网的MP节点与AC基于认证的主秘密信息MSK，通过四次握手协议进行四次握手，协商建立临时会话密钥PTK-KD。

由上可以看出，本发明实施例mesh网络系统中该AC和该AC管理的MPP组成一个密钥分配域，为该mesh网络内的MP或MPP提供认证和密钥分配服务。因而可以支持mesh网络内的多个MPP提供通信和密钥分配。

附图说明