专利名称：接入控制方法、装置、接口及安全网关的制作方法
技术领域：
本发明涉及无线蜂窝通信技术领域，尤其涉及ー种接入控制方法、装置、接ロ及安全网关。
背景技术：
HNB (Home No·de-B,家庭基站)用来为处在家庭内的3G (第三代移动通信系统)手机提供3G的无线覆盖。它被连接到已经存在的住宅宽带服务。它包含了一个标准的NodeB(3G宏无线接入网络的一个元素)的功能和一个标准的RNC(Radio Network Controller,无线网络控制器)的无线资源管理功能。图 I 描述了 HNB 的系统结构。其中 3GPP(3rd Generation Partnership Project,第三代合作企业项目)用户设备和HNB之间的界面在UTRAN (Universal TerrestrialRadio Access Network,全球陆地无线接入网)中是回程且相容的空中接ロ。HNB通过一个SeGW (security gateway,安全网关)接入运营商的核心网，其中HNB和SeGW之间的宽带IP(Internet Protocol,英特网协议)回程可能是不安全的。在此回程中传播的信息要被HNB和SeGW之间建立的安全通道保护。SeGW代表运营商的核心网和HNB进行相互认证。HNB-GW(HNB Gateway)和SeGW是在运营商的核心网内逻辑上分离的实体，用于非CSG(Closed Subscriber Group)的 UE(User Equipment)的接入控制。H(e)MS 需要安全的通信。图2描述了 HeNB的系统结构。HeNB和HNB的区别就是它是连接3GPP用户设备和 EUTRAN(Evolved Universal Terrestrial Radio Access Network)的空中接 ロ。HeNB-Gff (Home eNodeB Gateway，HeNB 网关)为选择性部署。如果 HeNB-GW 被部署，则 SeGW与HeNB-GW可以结合在一起；如果它们未被结合在一起，则SeGW与HeNB-GW之间的接ロ可用NDS/IP进行保护。H(e)NB (Home (Evolved)NodeB,家庭(演进)基站)包括 HNB 和 HeNB,是 HNB 和HeNB的统称。针对H(e)NB的安全，3GPP TR 33. 820定义了 27种威胁。这27种威胁被归纳为7大类。他们分别是对H(e)NB资格证书的危害，对H(e)NB的物理攻击，对H(e)NB的构造的攻击，对H(e)NB的协议的攻击，对核心网的攻击(包括基于H(e)NB位置的攻击)，对用户的数据和身份隐私的攻击以及对无线资源和管理的攻击。在HNB的注册过程中，HNB会发送ー个HNB REGISTER REQUEST消息给HNB-GW，这个消息包含了 =HNB位置信息，HNB身份，HNB管理參数，可选的HNB管理模式，HNB自身的IP地址。HNB-GW可以使用HNBREGISTER REQUEST消息中的信息来检查HNB注册是否能被接受，这包括检查ー个HNB是否被允许在ー个给定的位置运行等。在实际应用中，如果ー个攻击者冒充ー个H(e)NB的身份注册到H(e) NB-GW,则ACL(Access Control List，接入控制列表)检查就能被通过。因为H(e)NB_GW中保存的着此UE能够接入的H(e)NB列表，而被冒充的H(e)NB身份就包含在此列表中，这样的话H(e)NB进行接入控制时会允许UE接入到这个冒充的H(e)NB上来。这意味着这个攻击者可以假冒另一个用户的H(e) NB井能够获取来自这个用户的ACL列表的呼叫。因此，只要攻击者可以发现对应H(e)NB的身份,这个攻击者可以潜在的偷听或者冒充任何属于这个ACL的用户。这种攻击场景在攻击者冒充ー个开放的(no CSG) H(e) NB的时候会变的非常严重，因为其可以接入到不计其数的附属的UE上。综上所述，现有技术存在如下技术问题目前的H(e)NB的安全规范TS33. 320中没有任何涉及此类威胁的解决方案的描述。冒充的H(e) NB可以使得UE通过H(e) NB-Gff的接入控制，而H(e)NB-GW目前的功能并不能防止此类威胁的发生
发明内容
本发明解决的技术问题是提供ー种接入控制方法、装置、接ロ及安全网关，解决H(e)NB系统身份冒充带来的安全威胁。为解决上述技术问题，本发明提供了ー种接入控制方法，安全网关向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；所述安全网关接收所述H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。进ー步地,所述接入请求消息中包含所述H (e) NB的身份和/或H (e) NB接入參数。进ー步地，所述安全网关发送的所述接入请求消息为RADIUS消息、或Diameter消息。进ー步地，所述安全网关通过与所述H(e)NB网关和/或所述网络侧接入控制相关网元之间建立的接ロ发送所述接入请求消息。进ー步地，所述网络侧接入控制相关网元，包括移动管理实体(MME)/服务网关(S-Gff)、GPRS服务支持节点(SGSN)、归属位置寄存器(HLR)/归属用户服务器(HSS)、动态主机配置协议(DHCP)服务器、RADIUS服务器、Diameter服务器、AAA服务器、和/或移动交换中心(MSC)/拜访位置寄存器(VLR)。进ー步地，其中，所述H (e) NB接入參数，包括H (e) NB位置信息、和/或H (e) NB管理參数、和/或H(e) NB运作状态、和/或H(e) NB的IP地址；所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。本发明还提供了ー种接入控制方法，H(e)NB网关和/或网络侧接入控制相关网元对安全网关发送的接入请求消息进行认证，并向所述安全网关发送接入认证答复消息。进ー步地，所述接入认证答复消息中包含所述H(e)NB的身份、和/或所述H(e)NB接入參数。进ー步地,所述方法还包括所述H(e)NB网关和/或所述网络侧接入控制相关网元中保存H(e)NB的身份与H(e) NB接入參数的绑定信息；所述H(e)NB网关和/或所述网络侧接入控制相关网元根据所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份和/或H(e)NB接入參数进行认证。
进ー步地,所述方法还包括所述安全网关与所述H(e)NB网关和/或所述网络侧接入控制相关网元建有接ロ。进ー步地，所述H(e)NB网关和/或网络侧接入控制相关网元对所述接入请求消息进行认证，是指所述H(e)NB网关和/或网络侧接入控制相关网元根据保存的所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份、和/或H(e)NB接入參数进行认证；或者，所述H(e)NB网关和/或网络侧接入控制相关网元根据从其他存储有所述绑定信息的网络侧接入控制相关网元中获取到的所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份、和/或H(e)NB接入參数进行认证；或者，所述H(e)NB网关和/或网络侧接入控制相关网元将收到的所述接入请求消息转发给其他存储有所述绑定信息的网络侧接入控制相关网元，由所述其他网络侧接入控制相关网元进行认证并将认证结果报告给所述H(e)NB网关和/或网络侧接入控制相关网·
J Li ο进ー步地，所述网络侧接入控制相关网元，包括移动管理实体(MME)/服务网关(S-Gff)、GPRS服务支持节点(SGSN)、归属位置寄存器(HLR)/归属用户服务器(HSS)、动态主机配置协议(DHCP)服务器、RADIUS服务器、Diameter服务器、AAA服务器、和/或移动交换中心(MSC)/拜访位置寄存器(VLR)。进ー步地，所述H(e) NB接入參数，包括H(e)NB位置信息、和/或H(e)NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址；其中，所述H(e) NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。进ー步地,所述方法还包括通过NDS/IP和/或IPsec和/或TLS连接对所述安全网关与所述H (e) NB网关和/或所述网络侧接入控制相关网元之间的接ロ进行保护。本发明还提供了ー种接入控制装置，所述装置应用于H(e)NB网关和/或网络侧接入控制相关网元中，包括绑定信息存储单元，所述绑定信息存储单元用于，保存H(e)NB的身份与H(e)NB接入參数的绑定信息。进ー步地，所述H(e) NB接入參数，包括H(e)NB位置信息、和/或H(e)NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址；其中，所述H(e) NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。此外，本发明还提供了ー种接入控制装置，所述装置应用于H(e)NB网关和/或网络侧接入控制相关网元中，包括接入请求认证单元，所述接入请求认证单元用干，对接收到的安全网关发送的接入请求消息进行认证，向所述安全网关发送接入认证答复消息，并在所述接入认证答复消息中包含H(e)NB的身份、和/或所述H(e) NB接入參数。进ー步地，所述H(e) NB接入參数，包括H(e)NB位置信息、和/或H(e)NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址；其中，所述H(e) NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。本发明还提供了一种接入控制接ロ，包括在安全网关与H(e) NB网关和/或网络侧接入控制相关网元之间建立的接ロ；所述安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接ロ用于所述安全网关通过所述接ロ向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；和/或所述H(e)NB网关和/或所述网络侧接入控制相关网元通过所述接ロ向所述安全网关发送接入认证答复消息。进ー步地，还包括在所述H(e)NB网关与所述网络侧接入控制相关网元之间建立的接ロ ；所述H(e)NB网关与所述网络侧接入控制相关网元之间的接ロ用于·所述H(e)NB网关通过该接ロ从存储有H(e)NB的身份与H(e)NB接入參数的绑定信息的网络侧接入控制相关网元中获取所述绑定信息；或者，所述H(e)NB网关将收到的所述接入请求消息通过该接ロ转发给存储有所述绑定信息的网络侧接入控制相关网元，由所述网络侧接入控制相关网元对所述接入请求消息进行认证；所述其他网络侧接入控制相关网元根据存储的所述绑定信息对所述接入请求消息进行认证，并通过该接ロ将认证结果报告给所述H(e)NB网关。进ー步地，所述安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接ロ、和/或所述H(e) NB网关与所述网络侧接入控制相关网元之间的接ロ通过NDS/IP和/或IPsec和/或TLS连接进行保护。本发明还提供了ー种安全网关，所述安全网关包括接入请求发起単元，所述接入请求发起単元用于，向H(e) NB网关和/或网络侧接入控制相关网元发送接入请求消息，以及，接收所述H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。进ー步地，所述接入请求发起単元用于，通过所述安全网关与所述H(e)NB网关和/或所述网络侧接入控制相关网元之间建立的接ロ，发送所述接入请求消息。与现有技术相比，本发明完善了现有的H(e)NB的安全架构，提供了 H(e)NB_GW相关的高效的安全解决方案，解决了 H(e)NB系统中由于H(e)NB身份假冒带来的各种安全威胁，増加了 H(e)NB系统的安全性。
此处所说明的附图用来提供对本发明的进ー步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中图I是HNB的系统结构示意图；图2是HeNB的系统结构示意图；图3是包含HeNB Gff的EUTRAN的架构示意图；图4是本发明H(e)NB系统的接入控制方法的总体流程示意图；图5是本发明实施例一的方法流程示意图；图6是本发明实施例ニ的方法流程示意图7是本发明实施例ニ的方法流程不意图；图8是本发明实施例四的方法流程示意图；图9是本发明实施例五的方法流程示意图；图10是本发明实施例六的方法流程示意图；图11是本发明实施例七的方法流程示意图；图12是本发明实施例八的方法流程示意图。
具体实施例方式为解决现有技术中H(e)NB身份冒充安全威胁所导致的巨大安全漏洞和危害，本发明的主要目的在于，在UMTS (Universal Mobile Telephone System,全球无线电话系统)网络和EPS (Evolved Packet System,演进分组系统)网络的安全架构中，提供ー种与MME(Mobility Management Entity,移动管理实体)相关的HeNB(Home evolved Node-B,家庭演进基站)系统的安全机制。通过增强H(e)NB-GW的功能，或者通过与其他网络侧网元的交互来实现增强并达到能够防止冒充H(e)NB所带来的威胁的目的。 为解决H(e) NB身份冒充所带来的安全威胁及完善H(e) NB系统的安全架构，本实施方式的接入控制方法，安全网关进行如下处理安全网关向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；所述安全网关接收所述H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。本实施方式的接入控制方法，H(e)NB-Gff和/或网络侧接入控制相关网元进行如下处理 H(e)NB网关和/或网络侧接入控制相关网元对安全网关发送的接入请求消息进行认证，并向所述安全网关发送接入认证答复消息。结合图4所示，本实施方式的ー种H(e)NB系统的接入控制方法，采用如下技术方案步骤一、H(e)NB_GW和/或网络侧接入控制相关网元中存入H(e)NB的身份标识(Identity)与H(e)NB接入相关參数的绑定信息。步骤ニ、SeGW与H(e)NB_GW和/或网络侧接入控制相关网元之间建立接ロ。步骤三、SeGW发送接入请求消息给H(e) NB-GW和/或网络侧接入控制相关网元。步骤四、H(e)NB_GW和/或网络侧接入控制相关网元对此接入请求消息进行认证。步骤五、H(e)NB-GW和/或网络侧接入控制相关网元发送接入认证答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。其中，该接入认证答复消息中包含的H(e)NB的身份和/或H(e)NB接入相关參数，是用于指示哪个H(e) NB被允许通过SeGW接入以及转发相应接入相关參数给H(e) NB。其中，所述的网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。进ー步地，所述的H(e)NB接入相关參数包括了 H(e)NB位置信息和/或H(e)NB管理參数和/或H(e)NB运作状态和/或H(e)NB自己的IP地址。其中，H (e) NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。进ー步地，SeGW与H(e) NB-GW和/或网络侧接入控制相关网元之间的接ロ可以通过NDS/IP和/或IPsec和/或TLS (Transport Layer Security,传输层安全)的保护来实现。进ー步地，在步骤三中，SeGff发送给H(e)NB_GW的接入请求消息可为RADIUS (Remote Authentication Dial In User Service,远程用户拨号认证系统)消息或Diameter (RADIUS协议的升级版本)消息。进ー步地，在步骤三中，SeGW发送给H(e)NB-GW的接入请求消息中至少包含了H (e) NB的身份和/或H (e) NB接入相关參数，H (e) NB接入相关參数包括了 H(e) NB位置信息和/或H(e)NB管理參数和/或H(e)NB运作状态和/或H(e)NB自己的IP地址。其中H(e) NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。进ー步地,在步骤四中，H(e)NB-GW和/或网络侧接入控制相关网元对此接入请求消息进行认证包括了 H(e)NB-GW和/或网络侧接入控制相关网元对此接入请求消息进行认证；或者，H(e)NB-GW和/或网络侧接入控制相关网元从其他存储有H(e)NB的身份与H(e)NB接入相关參数的绑定信息的网络侧接入控制网元中获取该绑定信息并进行认证；或者，H(e)NB-GW和/或网络侧接入控制相关网元将此接入请求消息转发给其他存储有H(e)NB的身份与H(e)NB接入相关參数的绑定信息的网络侧接入控制网元，其他网络侧接入控制相关网元对此接入请求消息进行认证并报告H(e)NB-GW和/或网络侧接入控制相关网元。为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意組合。实施例一结合图5所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤501，H(e)NB-GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址的绑定信息。其中，网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e) NB周围的宏小区信息和/或地理坐标。步骤502，SeGff与H (e) NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec和/或TLS连接。步骤503，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关參数。
网络侧接入控制相关网元可以是MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e) NB周围的宏小区信息和/或地理坐标。步骤504，H(e)NB-Gff和/或网络侧接入控制相关网元对此接入请求消息进行认证，认证成功。该步骤中，是根据保存的绑定信息，对该接入请求消息中的H(e)NB的身份和/或H(e)NB接入相关參数进行验证,如果通过验证,则认证成功。步骤505，H(e)NB-GW和/或网络侧接入控制相关网元发送接入认证成功答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。
·
网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例ニ结合图6所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤601，H(e)NB-GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H (e) NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e) NB周围的宏小区信息和/或地理坐标。步骤602，SeGW与H (e) NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤603，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤604，H(e)NB-GW和/或网络侧接入控制相关网元对此接入请求消息进行认证，认证失败。步骤605，H(e) NB-GW和/或网络侧接入控制相关网元发送接入认证失败答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例三结合图7所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤701，H(e)NB_GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP 服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。步骤702，SeGW与H (e) NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤703，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤704，H(e)NB_GW和/或网络侧接入控制相关网元从其他存储有H(e)NB的身份与H(e)NB接入相关參数的绑定信息的网络侧接入控制网元中获取H(e)NB的身份与H(e)NB接入相关參数的绑定信息并进行认证，认证成功。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。
步骤705，H(e)NB-GW和/或网络侧接入控制相关网元发送接入认证成功答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例四结合图8所示，本实施例的H(e)NB系统的接入控制方案具体描述如下
步骤801，H(e)NB-GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。步骤802，SeGff与H (e) NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤803，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤804，H(e)NB-Gff和/或网络侧接入控制相关网元从从其他存储有H(e)NB的身份与H(e)NB接入相关參数的绑定信息的网络侧接入控制网元中获取H(e)NB的身份与H (e) NB接入相关參数的绑定信息并进行认证,认证失败。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤805，H(e) NB-GW和/或网络侧接入控制相关网元发送接入认证失败答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。 网络侧接入控制相关网 元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例五结合图9所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤901，H(e)NB-GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。步骤902，SeGff与H (e) NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤903，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关參数包括了 H (e) NB位置信息和/或H (e) NB管理參数和/或H (e) NB运作状态和/或H (e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤904，H(e) NB-GW和/或网络侧接入控制相关网元将此接入请求消息转发给其他存储有H(e)NB的身份与H(e)NB接入相关參数的绑定信息的网络侧接入控制相关网元，由其他网络侧接入控制相关网元对此接入请求消息进行认证，并报告给H(e)NB-GW和/或网络侧接入控制相关网元，认证成功。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。步骤905，H(e) NB-GW和/或网络侧接入控制相关网元发送接入认证成功答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关參数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H (e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例六结合图10所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤1001，H(e)NB-GW和/或网络侧接入控制相关网元中存入H(e)NB的身份与H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP 服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。步骤1002，SeGW与H(e)NB-GW和/或网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤1003，SeGff发送接入RADIUS或Diameter请求消息给H(e)NB_GW和/或网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关参数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤1004，H(e) NB-Gff和/或网络侧接入控制相关网元将此接入请求消息转发给其他存储有H(e)NB的身份与H(e)NB接入相关参数的绑定信息的网络侧接入控制相关网元，由其他网络侧接入控制相关网元对此接入请求消息进行认证，并报告给H(e)NB-GW和/或网络侧接入控制相关网元，认证失败。 网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。步骤1005，H(e) NB-Gff和/或网络侧接入控制相关网元发送接入认证失败答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关参数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例七结合图11所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤1101，网络侧接入控制相关网元中存入H(e)NB的身份与H(e)NB位置信息和/或H(e)NB管理参数和/或H(e)NB运作状态和/或H(e)NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。步骤1102，SeGW与网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤1103, SeGff发送接入RADIUS或Diameter请求消息给网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关参数。
网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤1104，网络侧接入控制相关网元对此接入请求消息进行认证，认证成功。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。步骤1105，网络侧接入控制相关网元发送接入认证成功答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关参数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。实施例八结合图12所示，本实施例的H(e)NB系统的接入控制方案具体描述如下步骤1201，网络侧接入控制相关网元中存入H(e)NB的身份与H(e)NB位置信息和/或H(e)NB管理参数和/或H(e)NB运作状态和/或H(e)NB自己的IP地址的绑定信息。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB位置信息包括了H (e) NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H (e)NB周围的宏小区信息和/或地理坐标。
步骤1202，SeGW与网络侧接入控制相关网元之间建立NDS/IP和/或IPsec连接。步骤1203，SeGff发送接入RADIUS或Diameter请求消息给网络侧接入控制相关网元，此接入请求消息中至少包含了 H(e)NB的身份和/或H(e)NB接入相关参数。 网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。步骤1204，网络侧接入控制相关网元对此接入请求消息进行认证，认证失败。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。步骤1205，网络侧接入控制相关网元发送接入认证失败答复消息给SeGW，此消息包含了 H(e)NB的身份和/或H(e)NB接入相关参数。网络侧接入控制相关网元可为MME/S-GW和/或SGSN和/或HLR/HSS和/或DHCP服务器(Dynamic Host Configuration Protocol,动态主机配置协议)和/或RADIUS服务器和/或Diameter服务器和/或AAA服务器和/或MSC/VLR。H(e)NB接入相关参数包括了 H(e) NB位置信息和/或H(e) NB管理参数和/或H(e) NB运作状态和/或H(e) NB自己的IP地址。其中H(e)NB位置信息包括了 H(e)NB的宽带接入设备的公共IP地址和/或IP地址和/或接入线路位置标识和/或H(e)NB周围的宏小区信息和/或地理坐标。此外，本发明实施例中还提供了一种接入控制装置，应用于H (e) NB网关和/或网络侧接入控制相关网元中，该装置包括一绑定信息存储单元，所述绑定信息存储单元用于，保存H (e) NB的身份与H (e) NB接入参数的绑定信息。进一步地，所述的H(e)NB接入参数，包括H(e)NB位置信息、和/或H(e)NB管理参数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址；其中，所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。此外，本发明实施例中还提供了另一种接入控制装置，应用于H (e) NB网关和/或网络侧接入控制相关网元中，该装置包括一接入请求认证单元，所述的接入请求认证单元用于，对接收到的安全网关发送的接入请求消息进行认证，向安全网关发送接入认证答复消息，并在接入认证答复消息中包含H(e)NB的身份、和/或所述H (e) NB接入参数。进一步地，所述H (e) NB接入参数，包括H(e)NB位置信息、和/或H(e)NB管理参数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址；其中，所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。此外，本发明实施例中还提供了一种接入控制接口，包括在安全网关与H (e) NB网关和/或网络侧接入控制相关网元之间建立的接口；该安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接口用于安全网关通过所述接口向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；和/或H (e) NB网关和/或所述网络侧接入控制相关网元通过所述接口向所述安全网关发送接入认证答复消息。进一步地，所述的接入控制接口还包括在所述H(e)NB网关与所述网络侧接入控制相关网元之间建立的接口；该H(e)NB网关与所述网络侧接入控制相关网元之间的接口用于H (e) NB网关通过该接口从存储有H (e) NB的身份与H (e) NB接入参数的绑定信息的网络侧接入控制相关网元中获取所述绑定信息；或者，H (e) NB网关将收到的所述接入请求消息通过该接口转发给存储有所述绑定信息的网络侧接入控制相关网元，由所述网络侧接入控制相关网元对所述接入请求消息进 行认证；所述其他网络侧接入控制相关网元根据存储的所述绑定信息对所述接入请求消息进行认证，并通过该接口将认证结果报告给所述H(e)NB网关。进一步地，安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接口、和/或H(e)NB网关与网络侧接入控制相关网元之间的接口通过NDS/IP和/或IPsec和/或TLS连接进行保护。此外，本发明实施例中还提供了一种安全网关，该安全网关包括接入请求发起单元，所述的接入请求发起单元用于，向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息，以及，接收H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证
答复消息。进一步地，所述的接入请求发起单元用于，通过安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间建立的接口，发送所述接入请求消息。以上仅为本发明的优选实施案例而已，并不用于限制本发明，本发明还可有其他多种实施例，在不背离本发明精神及其实质的情况下，熟悉本领域的技术人员可根据本发明做出各种相应的改变和变形，但这些相应的改变和变形都应属于本发明所附的权利要求的保护范围。显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。
权利要求
1.ー种接入控制方法，其特征在干， 安全网关向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息； 所述安全网关接收所述H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。
2.如权利要求I所述的方法，其特征在干， 所述接入请求消息中包含所述H(e)NB的身份和/或H(e)NB接入參数。
3.如权利要求I所述的方法，其特征在干， 所述安全网关发送的所述接入请求消息为=RADIUS消息、或Diameter消息。
4.如权利要求1、2或3所述的方法，其特征在干， 所述安全网关通过与所述H(e)NB网关和/或所述网络侧接入控制相关网元之间建立的接ロ发送所述接入请求消息。
5.如权利要求I所述的方法，其特征在干， 所述网络侧接入控制相关网元，包括移动管理实体(MME)/服务网关(S-GW)、GPRS服务支持节点(SGSN)、归属位置寄存器(HLR)/归属用户服务器(HSS)、动态主机配置协议(DHCP)服务器、RADIUS服务器、Diameter服务器、AAA服务器、和/或移动交换中心(MSC)/拜访位置寄存器(VLR)。
6.如权利要求2所述的方法，其特征在干， 其中，所述H (e) NB接入參数，包括H (e) NB位置信息、和/或H (e) NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址； 所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e)NB周围的宏小区信息和/或地理坐标。
7.ー种接入控制方法，其特征在干， H(e)NB网关和/或网络侧接入控制相关网元对安全网关发送的接入请求消息进行认证，并向所述安全网关发送接入认证答复消息。
8.如权利要求7所述的方法，其特征在干， 所述接入认证答复消息中包含所述H(e)NB的身份、和/或所述H(e)NB接入參数。
9.如权利要求7所述的方法，其特征在于，所述方法还包括 所述H (e) NB网关和/或所述网络侧接入控制相关网元中保存H (e) NB的身份与H (e) NB接入參数的绑定信息； 所述H(e)NB网关和/或所述网络侧接入控制相关网元根据所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份和/或H(e)NB接入參数进行认证。
10.如权利要求7、8或9所述的方法，其特征在于，所述方法还包括 所述安全网关与所述H(e)NB网关和/或所述网络侧接入控制相关网元建有接ロ。
11.如权利要求9所述的方法，其特征在干， 所述H(e)NB网关和/或网络侧接入控制相关网元对所述接入请求消息进行认证，是指 所述H(e)NB网关和/或网络侧接入控制相关网元根据保存的所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份、和/或H(e)NB接入參数进行认证； 或者，所述H(e)NB网关和/或网络侧接入控制相关网元根据从其他存储有所述绑定信息的网络侧接入控制相关网元中获取到的所述绑定信息，对所述接入请求消息中包含的H(e)NB的身份、和/或H(e)NB接入參数进行认证； 或者，所述H(e)NB网关和/或网络侧接入控制相关网元将收到的所述接入请求消息转发给其他存储有所述绑定信息的网络侧接入控制相关网元，由所述其他网络侧接入控制相关网元进行认证并将认证结果报告给所述H(e)NB网关和/或网络侧接入控制相关网元。
12.如权利要求7所述的方法，其特征在干， 所述网络侧接入控制相关网元，包括移动管理实体(MME)/服务网关(S-GW)、GPRS服务支持节点(SGSN)、归属位置寄存器(HLR)/归属用户服务器(HSS)、动态主机配置协议(DHCP)服务器、RADIUS服务器、Diameter服务器、AAA服务器、和/或移动交换中心(MSC)/拜访位置寄存器(VLR)。
13.如权利要求7、8或9所述的方法，其特征在于， 所述H(e)NB接入參数，包括H(e)NB位置信息、和/或H(e)NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址； 其中，所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e) NB周围的宏小区信息和/或地理坐标。
14.如权利要求10所述的方法，其特征在于，所述方法还包括 通过NDS/IP和/或IPsec和/或TLS连接对所述安全网关与所述H (e) NB网关和/或所述网络侧接入控制相关网元之间的接ロ进行保护。
15.ー种接入控制装置，其特征在于，所述装置应用于H(e)NB网关和/或网络侧接入控制相关网元中，包括绑定信息存储单元， 所述绑定信息存储单元用于，保存H(e)NB的身份与H(e)NB接入參数的绑定信息。
16.如权利要求15所述的装置，其特征在干， 所述H(e) NB接入參数，包括H(e) NB位置信息、和/或H(e) NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址； 其中，所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e) NB周围的宏小区信息和/或地理坐标。
17.ー种接入控制装置，其特征在于，所述装置应用于H(e)NB网关和/或网络侧接入控制相关网元中，包括接入请求认证单元， 所述接入请求认证单元用干，对接收到的安全网关发送的接入请求消息进行认证，向所述安全网关发送接入认证答复消息，并在所述接入认证答复消息中包含H(e)NB的身份、和/或所述H (e) NB接入參数。
18.如权利要求17所述的装置，其特征在干， 所述H(e)NB接入參数，包括H(e)NB位置信息、和/或H(e)NB管理參数、和/或H(e)NB运作状态、和/或H(e)NB的IP地址； 其中，所述H(e)NB位置信息包括H(e)NB的宽带接入设备的公共IP地址、和/或IP地址、和/或接入线路位置标识、和/或H(e) NB周围的宏小区信息和/或地理坐标。
19.一种接入控制接ロ，其特征在于，包括在安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间建立的接ロ； 所述安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接ロ用于所述安全网关通过所述接ロ向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；和/或 所述H(e)NB网关和/或所述网络侧接入控制相关网元通过所述接ロ向所述安全网关发送接入认证答复消息。
20.如权利要求19所述的接ロ，其特征在于，还包括在所述H(e)NB网关与所述网络侧接入控制相关网元之间建立的接ロ； 所述H(e)NB网关与所述网络侧接入控制相关网元之间的接ロ用于 所述H(e)NB网关通过该接ロ从存储有H(e)NB的身份与H(e)NB接入參数的绑定信息的网络侧接入控制相关网元中获取所述绑定信息； 或者，所述H(e)NB网关将收到的所述接入请求消息通过该接ロ转发给存储有所述绑定信息的网络侧接入控制相关网元，由所述网络侧接入控制相关网元对所述接入请求消息进行认证；所述其他网络侧接入控制相关网元根据存储的所述绑定信息对所述接入请求消息进行认证，并通过该接ロ将认证结果报告给所述H(e)NB网关。
21.如权利要求19或20所述的接ロ，其特征在于， 所述安全网关与H(e)NB网关和/或网络侧接入控制相关网元之间的接ロ、和/或所述H(e)NB网关与所述网络侧接入控制相关网元之间的接ロ通过NDS/IP和/或IPsec和/或TLS连接进行保护。
22.—种安全网关，其特征在于，所述安全网关包括接入请求发起単元， 所述接入请求发起単元用于，向H(e) NB网关和/或网络侧接入控制相关网元发送接入请求消息，以及，接收所述H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。
23.如权利要求22所述的安全网关，其特征在干， 所述接入请求发起単元用于，通过所述安全网关与所述H(e)NB网关和/或所述网络侧接入控制相关网元之间建立的接ロ，发送所述接入请求消息。
全文摘要
本发明公开了一种接入控制方法、装置、接口及安全网关，安全网关向H(e)NB网关和/或网络侧接入控制相关网元发送接入请求消息；H(e)NB网关和/或网络侧接入控制相关网元对安全网关发送的接入请求消息进行认证，并向安全网关发送接入认证答复消息；安全网关接收H(e)NB网关和/或网络侧接入控制相关网元发送的接入认证答复消息。与现有技术相比，本发明完善了现有的H(e)NB系统的安全架构，提供了H(e)NB-GW相关的高效的安全解决方案，解决了H(e)NB系统中由于H(e)NB身份假冒带来的各种安全威胁，增加了H(e)NB系统的安全性。
文档编号H04W92/24GK102843678SQ201110168248
公开日2012年12月26日 申请日期2011年6月21日 优先权日2011年6月21日
发明者朱李 申请人:中兴通讯股份有限公司