专利名称：一种安全的无线城域网的用户终端切换方法
技术领域：
本发明涉及无线城域网技术领域，特别是一种安全的无线城域网的用户终端切换 方法。
背景技术：
IEEE 802. 16无线城域网作为未来无线接入技术的重要发展方向，备受各界广泛 关注。然而，安全问题一直制约着其进一步的推广与发展。IEEE 802. 16d中定义了基于 公开密钥加密算法(RSA)和数字证书的认证协议，可以实现基站对用户终端的认证。IEEE 802. 16d的主要缺点是只提供了基站对用户终端的单向认证，而没有提供用户终端对基 站的认证，假冒基站欺骗用户终端非常容易。此外，授权密钥(AK)和会话密钥(TEK)都是 由基站一方产生的，在这种单向认证的条件下，很难使得用户终端对会话密钥TEK的质量 产生信任。IEEE 802. 16e对IEEE 802. 16d进行了增强性的修改，引入了可扩展认证协议 (Extensible Authentication Protocol，简称ΕΑΡ)。但是，仍然只包含了基站对用户终端 的单向身份认证。申请号为200810027930.0的专利《一种无线城域网的安全接入方法》(简称 WMAN-SA)提供一种无线城域网的安全接入方法，在认证授权过程中，采用了用户终端和基 站的双向认证代替原有的单向认证，攻击者冒充合法基站骗取用户终端的信任成为不可 能，避免了中间人攻击的可能性。在密钥的协商过程中，密钥由用户终端和基站共同产生， 代替了由基站分配，保证了密钥的质量，增强了无线城域网的安全性。因此，改进的协议同 样可以满足原无线城域网的功能、性能要求，并且更安全。随着移动计算业务的不断发展，用户切换的需求日益增加。未来WMAN-SA大规模 部署应用时，用户终端在不同基站间的切换由接入网关进行管理。而WMAN-SA仅定义了身 份鉴别、密钥管理、数据加密、数据鉴别和重放保护等功能，并没有包含接入网关对用户切 换进行管理的具体方案。
发明内容
针对上述现有技术存在的问题，本发明提供一种安全的无线城域网的用户终端切 换方法，以解决在无线城域网中，能够实现用户终端从一个基站安全快速的切换到不同接 入网关下的另一个基站的技术问题。为了实现本发明的发明目的，采用的技术方案如下 一种安全的无线城域网的用户终端切换方法，所述方法包括
目标基站接收到用户终端发送的切换请求信息，目标基站向目标接入网关转发切换请 求信息；
目标接入网关向目标基站返回切换响应信息，目标基站向用户终端转发切换响应信
息；
目标接入网关向目标基站发送第一加入用户终端请求信息；
4目标基站接收到第一加入用户终端请求信息，为用户终端配置用于进行安全传输的第 一受控端口，设置第一受控端口为关闭状态并向目标接入网关返回第一加入用户终端响应 fn息；
目标接入网关通过目标基站完成与用户终端的会话密钥协商过程； 目标接入网关向目标基站发送第二加入用户终端请求信息；
目标基站接收到第二加入用户终端请求信息，设置第一受控端口为打开状态，向目标 接入网关返回第二加入用户终端响应信息。作为一种优选方案，所述方法还包括删除用户信息步骤，具体包括 当前接入网关向当前基站发送删除用户终端请求信息；
当前基站接收到删除用户终端请求信息，关闭与用户终端相关联的第二受控端口，删 除用户终端信息，并返回删除用户终端响应信息，所述第二受控端口为当前基站为用户终 端所配置的用于进行安全传输的端口。作为进一步的优选方案，在目标接入网关向目标基站发送第一加入用户终端请求 信息前，执行删除用户信息步骤。作为进一步的优选方案，在目标基站向目标接入网关返回第二加入用户终端响应 信息后，执行删除用户信息步骤。作为再进一步的优选方案，所述目标基站通过基站安全接入协议与目标接入网关 建立信任关系，当前基站通过基站安全接入协议与当前接入网关建立信任关系。作为进一步的优选方案，所述目标基站向目标接入网关转发用户终端切换请求信 息，由目标接入网关控制用户终端加入目标基站的具体方法包括
目标基站接收到用户终端发送的切换请求信息，目标基站向目标接入网关转发切换请 求信息，所述切换请求信息包括当前基站标识、当前接入网关标识及用户终端标识；
目标接入网关向目标基站返回切换响应信息，目标基站向用户终端转发切换响应信 息，所述切换响应信息包括当前基站标识、当前接入网关标识、用户终端标识及切换请求处 理结果；
目标接入网关向目标基站发送第一加入用户终端请求信息，所述第一加入用户终端请 求信息包括目标基站标识、用户终端标识及受控端口状态标志，受控端口状态标志设置为 不允许转发非管理类型消息，所述受控端口状态标志用于标识是否允许转发非管理类型消 息；
目标基站接收到第一加入用户终端请求信息，为用户终端配置用于进行安全传输的第 一受控端口，设置第一受控端口为关闭状态，并向目标接入网关返回第一加入用户终端响 应信息，所述第一加入用户终端响应信息包括目标基站标识、用户终端标识及用户终端加 入结果；
目标接入网关通过目标基站完成与用户终端的会话密钥协商过程，获取会话密钥； 目标接入网关向目标基站发送第二加入用户终端请求信息，所述第二加入用户终端请 求信息包括目标基站标识、用户终端标识、受控端口状态标志，受控端口状态标志设置为允 许转发非管理类型消息；
目标基站接收到第二加入用户终端请求信息，设置第一受控端口为打开状态，并向目 标接入网关返回第二加入用户终端响应信息，所述第二加入用户终端响应信息包括目标基站标识、用户终端标识及用户终端加入结果。作为进一步的优选方案，所述当前基站删除用户终端信息的具体方法包括
当前接入网关向当前基站发送删除用户终端请求信息，所述删除用户终端请求信息包 括当前基站标识及用户终端标识；
当前基站接收到删除用户终端请求信息，根据用户终端标识关闭与用户终端相关联的 第二受控端口及删除用户终端信息，并返回删除用户终端响应信息，所述第二受控端口为 当前基站为用户终端所配置的用于进行安全传输的端口，所述删除用户终端响应信息包括 当前基站标识、用户终端标识及删除结果。作为再进一步的优选方案，所述目标基站标识为目标基站的唯一性标识，如MAC 地址，当前基站标识为当前基站的唯一性标识，如MAC地址，用户终端标识为用户终端的唯 一性标识，如MAC地址。本发明实现了在无线城域网中，用户终端能够从一个基站安全快速的切换到不同 接入网关下的另一个基站。
图1为本发明的网络拓扑图，用户终端从当前基站切换到目标基站； 图2为本发明的消息流程图3为本发明实施例的流程图。
具体实施例方式下面结合附图和具体实施例对本发明做进一步详细的说明。本发明的解决方案是系统包括当前接入网关、当前基站、目标接入网关、目标基 站和用户终端。由接入网关、用户终端和认证服务器完成基于WMAN-SA协议的接入，基站只 负责消息的转发，基站由接入网关进行管理。当用户终端从当前基站切换到目标基站，当前 接入网关通知当前基站删除该用户终端，目标接入网关通知目标基站加入该用户终端并关 闭对应的受控端口，用户终端与目标接入网关进行会话密钥协商，目标接入网关通知目标 基站打开该用户终端对应的受控端口，完成切换。如图3所示为本发明实施例的流程图。步骤SlOl :目标基站接收到用户终端发送的切换请求信息，目标基站向目标基站 的目标接入网关转发切换请求信息，所述切换请求信息包括当前接入网关标识、当前基站 标识及用户终端标识，所述当前基站为在发送漫游消息时已成功接入的基站，当前接入网 关为当前基站连接的接入网关，执行步骤S102 ；
步骤S102 目标接入网关向目标基站返回切换响应信息，目标基站向用户终端转发切 换响应信息，所述切换响应信息包括当前接入网关标识、当前基站标识、用户终端标识及切 换请求处理结果，执行步骤S103 ；
步骤S103 当前接入网关向当前基站发送删除用户终端请求信息，所述删除用户终端 请求信息包括当前基站标识及用户终端标识，执行步骤S104 ；
步骤S104 当前基站接收到删除用户终端请求信息，根据用户终端标识关闭与用户终 端相关联的第二受控端口及删除用户终端信息，并返回删除用户终端响应信息，所述第二受控端口为当前基站为用户终端所配置的用于进行安全传输的端口，所述删除用户终端响 应信息包括当前基站标识、用户终端标识及删除结果，执行步骤S105 ；
步骤S105 目标接入网关向目标基站发送第一加入用户终端请求信息，所述第一加入 用户终端请求信息包括目标基站标识、用户终端标识及受控端口状态标志，受控端口状态 标志设置为不允许转发非管理类型消息，所述受控端口状态标志用于标识是否允许转发非 管理类型消息，执行步骤S106 ；
步骤S106 目标基站接收到第一加入用户终端请求信息，为用户终端配置用于进行安 全传输的第一受控端口，设置第一受控端口为关闭状态，并向目标接入网关返回第一加入 用户终端响应信息，所述第一加入用户终端响应信息包括目标基站标识、用户终端标识及 用户终端加入结果，执行步骤S107 ；
步骤S107 目标接入网关通过目标基站完成与用户终端的会话密钥协商过程，执行步 骤 S108;
步骤S108 目标接入网关向目标基站发送第二加入用户终端请求信息，所述第二加入 用户终端请求信息包括目标基站标识、用户终端标识、受控端口状态标志，受控端口状态标 志设置为允许转发非管理类型消息，执行步骤S109 ；
步骤S109 目标基站接收到第二加入用户终端请求信息，设置第一受控端口为打开状 态，并向目标接入网关返回第二加入用户终端响应信息，所述第二加入用户终端响应信息 包括目标基站标识、用户终端标识及用户终端加入结果。受控端口关闭后，仅能转发管理类型(如WMAN-SA)消息，如果受控端口开启，则能 转发管理类型消息和非管理类型(如音频、视频等业务)消息。步骤S103 S104可以在步骤S105 S109前执行，为硬切换，也可以在步骤 S105 S109后执行，为软切换。如图1所示，本发明实施例针对的是用户终端在不同网关管理下的多个基站之间 切换的场景，因此所述目标基站通过基站安全接入协议与目标接入网关建立信任关系，当 前基站通过基站安全接入协议与当前接入网关建立信任关系，目标接入网关与当前接入网 关与认证服务器连接，通过认证服务器进行认证。上述的基站安全接入协议可以参考申请号为CN200910039197. 9的中国专利《一
种移动通信系统的基站的安全接入方法》。而用户终端与基站之间的终端安全协议可以参考申请号为200810027930. 0的专 利《一种无线城域网的安全接入方法》(简称WMAN-SA)或者采用IEEE 802. 16d的标准协议。由于基站与接入网关之间已通过基站安全接入协议建立信任关系，而用户终端与 当前基站的接入已经采用了终端安全协议接入，因此用户终端在此之间进行切换是安全可 靠而无需重复认证的，从而实现快速安全的切换。如图2所示为本发明的消息流程图。1.用户终端向目标基站发送切换请求消息，消息包括用户终端标识、当前基站 标识、当前接入网关标识；
2.目标基站收到切换请求消息后，转发消息给目标接入网关；
3.目标接入网关向目标基站发送切换响应消息，消息包括用户终端标识、当前基站 标识、当前接入网关标识、切换请求处理结果(成功或失败)；4.目标基站收到切换响应消息后，转发给用户终端；
5.当前接入网关向当前基站发送删除用户终端请求消息，消息内容包括当前基站标 识、用户终端标识；
6.当前基站收到删除用户终端请求消息后，根据用户终端标识关闭受控端口，删除用 户终端的相关信息、发送删除用户终端响应消息，消息内容包括当前基站标识、用户终端 标识、用户终端删除结果(成功或失败)；
7.目标接入网关向目标基站发送第一加入用户终端请求消息，消息内容包括目标基 站标识、用户终端标识、受控端口状态标志(该受控端口状态标志为关闭，表示仅能转发管 理类型消息)；
8.目标基站收到第一加入用户终端请求消息后，发送第一加入用户终端响应消息，消 息内容包括目标基站标识、用户终端标识、用户终端加入结果(成功或失败)；
9.用户终端和目标接入网关进行会话密钥协商，获取会话密钥，目标基站在用户终端 和目标接入网关间进行消息转发；
10.目标接入网关向目标基站发送第二加入用户终端请求消息，消息内容包括目标 基站标识、用户终端标识、受控端口状态标志(该受控端口状态标志为打开，表示可转发管 理类型消息和非管理类型消息)；
11.目标基站收到第二加入用户终端请求消息后，打开用户终端对应的受控端口，发 送第二加入用户终端响应消息，消息内容包括目标基站标识、用户终端标识、用户终端加 入结果(成功或失败)。步骤5 6可以在步骤7 11前执行，也可以在步骤7 11后执行。以上所述仅是本发明的优选实施方式，应当指出，对于本领域的普通技术人员来 说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为 本发明的保护范围。
权利要求
1.一种安全的无线城域网的用户终端切换方法，其特征在于，所述方法包括 目标基站接收到用户终端发送的切换请求信息，目标基站向目标接入网关转发切换请求信息；目标接入网关向目标基站返回切换响应信息，目标基站向用户终端转发切换响应信息；目标接入网关向目标基站发送第一加入用户终端请求信息；目标基站接收到第一加入用户终端请求信息，为用户终端配置用于进行安全传输的第 一受控端口，设置第一受控端口为关闭状态并向目标接入网关返回第一加入用户终端响应 fn息；目标接入网关通过目标基站完成与用户终端的会话密钥协商过程； 目标接入网关向目标基站发送第二加入用户终端请求信息；目标基站接收到第二加入用户终端请求信息，设置第一受控端口为打开状态，向目标 接入网关返回第二加入用户终端响应信息。
2.根据权利要求1所述的切换方法，其特征在于，所述方法还包括删除用户信息步骤， 具体包括当前接入网关向当前基站发送删除用户终端请求信息；当前基站接收到删除用户终端请求信息，关闭与用户终端相关联的第二受控端口，删 除用户终端信息，并返回删除用户终端响应信息，所述第二受控端口为当前基站为用户终 端所配置的用于进行安全传输的端口。
3.根据权利要求2所述的切换方法，其特征在于，在目标接入网关向目标基站发送第 一加入用户终端请求信息前，执行删除用户信息步骤。
4.根据权利要求2所述的切换方法，其特征在于，在目标基站向目标接入网关返回第 二加入用户终端响应信息后，执行删除用户信息步骤。
5.根据权利要求1 4任一项所述的切换方法，其特征在于，所述目标基站通过基站安 全接入协议与目标接入网关建立信任关系，当前基站通过基站安全接入协议与当前接入网 关建立信任关系。
6.根据权利要求1 4任一项所述的切换方法，其特征在于，所述目标基站向目标接入 网关转发用户终端切换请求信息，由目标接入网关控制用户终端加入目标基站的具体方法 包括目标基站接收到用户终端发送的切换请求信息，目标基站向目标接入网关转发切换请 求信息，所述切换请求信息包括当前基站标识、当前接入网关标识及用户终端标识；目标接入网关向目标基站返回切换响应信息，目标基站向用户终端转发切换响应信 息，所述切换响应信息包括当前基站标识、当前接入网关标识、用户终端标识及切换请求处理结果；目标接入网关向目标基站发送第一加入用户终端请求信息，所述第一加入用户终端请 求信息包括目标基站标识、用户终端标识及受控端口状态标志，受控端口状态标志设置为 不允许转发非管理类型消息，所述受控端口状态标志用于标识是否允许转发非管理类型消 息；目标基站接收到第一加入用户终端请求信息，为用户终端配置用于进行安全传输的第一受控端口，设置第一受控端口为关闭状态，并向目标接入网关返回第一加入用户终端响 应信息，所述第一加入用户终端响应信息包括目标基站标识、用户终端标识及用户终端加 入结果；目标接入网关通过目标基站完成与用户终端的会话密钥协商过程，获取会话密钥；目标接入网关向目标基站发送第二加入用户终端请求信息，所述第二加入用户终端请 求信息包括目标基站标识、用户终端标识、受控端口状态标志，受控端口状态标志设置为允 许转发非管理类型消息；目标基站接收到第二加入用户终端请求信息，设置第一受控端口为打开状态，并向目 标接入网关返回第二加入用户终端响应信息，所述第二加入用户终端响应信息包括目标基 站标识、用户终端标识及用户终端加入结果。
7.根据权利要求2所述的切换方法，其特征在于，所述当前基站删除用户终端信息的 具体方法包括当前接入网关向当前基站发送删除用户终端请求信息，所述删除用户终端请求信息包 括当前基站标识及用户终端标识；当前基站接收到删除用户终端请求信息，根据用户终端标识关闭与用户终端相关联的 第二受控端口及删除用户终端信息，并返回删除用户终端响应信息，所述第二受控端口为 当前基站为用户终端所配置的用于进行安全传输的端口，所述删除用户终端响应信息包括 当前基站标识、用户终端标识及删除结果。
8.根据权利要求6-7任一项所述的切换方法，其特征在于，所述目标基站标识为目标 基站的唯一性标识，如MAC地址，当前基站标识为当前基站的唯一性标识，如MAC地址，用户 终端标识为用户终端的唯一性标识，如MAC地址。
全文摘要
本发明涉及无线城域网技术领域，特别是一种安全的无线城域网的用户终端切换方法，目标基站向目标接入网关转发切换请求信息；目标基站接收到第一加入用户终端请求信息，为用户终端配置第一受控端口，设置第一受控端口为关闭状态；目标接入网关通过目标基站完成与用户终端的会话密钥协商过程;目标接入网关获取会话密钥并向目标基站发送第二加入用户终端请求信息；目标基站设置第一受控端口为打开状态。本发明实现了在无线城域网中，用户终端能够从一个基站安全快速的切换到不同接入网关下的另一个基站。
文档编号H04W84/10GK102065429SQ201010608898
公开日2011年5月18日 申请日期2010年12月28日 优先权日2010年12月28日
发明者张永强, 林凡, 王胜男 申请人:广州杰赛科技股份有限公司