[发明专利]一种鉴权认证设备

说明书

本发明实施例提供一种鉴权认证设备，其中方法包括：接收接入侧的鉴权认证请求，确定用户设备接入的可信关系；当已有该用户设备的S6b接口会话存在时，向分组数据网关发送包含所述用户设备接入可信关系信息的消息，以便所述分组数据网关根据所述可信关系信息建立或更新S2c隧道数据安全通道。本发明实施例在用户设备通过S2c接口接入EPS网络时，当接收到接入侧的鉴权认证请求时，如果已有接入的用户设备的S6b接口会话存在，则发送包含用户设备接入可信关系信息的消息给分组数据网关，从而使分组数据网关能够获得用户设备通过S2c接口接入EPS网络时的可信关系，保障正确的建立或更新S2c隧道数据安全通道。

技术领域

本发明实施例涉及通信技术领域，并且更具体地，涉及数据安全通道的处理方法及设备。

背景技术

随着移动宽带时代的到来，用户需要随时随地的使用宽带接入服务，这对移动通信网络提出了更高的要求，如更高的传输速率、更小的时延和更高的系统容量等。为了保持3GPP网络的优势，3GPP标准组织于2004年底启动了SAE(System Architecture Evolution，系统架构演进)计划的研究和标准化工作，定义了一个新的移动通信网络框架，称为演进的分组系统EPS(Evolved Packet System，演进的分组系统)。随着核心网融合统一的趋势，3GPP在EPS系统中的核心网EPC(Evolved Packet Core，演进的分组系统的核心部分)中也提供了非3GPP接入网络接入的可能，如WLAN、 Wimax等接入EPC。

S2c接口采用DSMIPv6(Mobile IPv6Support for Dual Stack Hosts，双栈主机的移动IPv6支持)协议，可用于可信非3GPP接入网络、非可信非 3GPP接入网络、3GPP接入网络接入EPS网络。UE(User Equipment，用户设备)从非3GPP接入网络通过S2c接口接入EPC时，UE与PDN-GW(Packet Data Network Gateway，分组数据网关，也可简称为PGW)之间将建立SA(Security Association，安全联盟)保护DSMIPv6信令。当UE通过S2c接口接入EPC的时候，PDN-GW通过与AAA(Authentication Authorization Accounting，鉴权认证和计费)服务器之间S6b接口上传递鉴权和认证请求以及响应消息，从而使得PDN-GW完成对UE的鉴权和认证，从AAA服务器中获得移动性参数、签约数据等信息，当然，在漫游场景下PDN-GW与AAA服务器之间还要经过AAA 代理。

当UE从S2c接口由可信非3GPP接入网络接入EPC时，3GPP定义了在UE与 PDN-GW之间建立DSMIPv6隧道之后，UE与PDN-GW之间建立安全联盟SA保护 DSMIPv6信令，PDN-GW可以与UE之间发起建立子安全联盟Child SA(Child Security Association，子安全联盟)对数据面进行保护；但当UE从非可信非3GPP接入网络接入EPC的时候，UE与非3GPP接入网关ePDG(evolved PDG，演进分组数据网关)之间会建立IPSec安全通道，通过IPSec安全通道对UE与PDN-GW之间的数据包进行安全保护。即，当UE从非3GPP网络以可信方式接入EPS的时候，S2c隧道上可以建立Child SA对数据面的完整性和机密性进行保护；从非3GPP网络以非可信方式接入的时候，将由UE与ePDG之间的 IPSec安全通道提供数据的完整性保护和机密性保护；而当UE通过S2c接口从3GPP接入网络接入EPC时，UE与PDN-GW之间将通过3GPP自身的鉴权加密机制提供数据安全保护。所以，UE通过S2c接口接入EPC的时候，PDN-GW需要区分接入场景是可信非3GPP接入网络接入、非可信非3GPP接入网络接入或 3GPP接入网络接入，完成不同的数据安全通道的建立或更新过程。