远程接入本地网络的制作方法

远程接入本地网络的制作方法
【专利摘要】部署多个协议隧道（例如，IPsec隧道），以使连接到网络的接入终端能够接入与毫微微接入点相关联的本地网络。第一协议隧道建立在安全网关和毫微微接入点之间。第二协议隧道则使用两种方式中的任一种来建立。在某些实现中，第二协议隧道建立在接入终端和安全网关之间。在其它实现中，第二协议隧道建立在接入终端和毫微微接入点之间，从而该隧道的一部分通过第一隧道来路由。
【专利说明】远程接入本地网络
[0001]本申请是申请日为2009年11月16日、申请号为200980145620.1、发明名称为“远程接入本地网络”的中国专利申请的分案申请。
[0002]要求优先权
[0003]本申请要求享有下列共同拥有的申请的权益和优先权:2008年11月17日递交的美国临时专利申请N0.61/115，520，分配的代理案号为N0.090331P1 ;2009年I月16日递交的美国临时专利申请N0.61/145，424，分配的代理案号为N0.090331P1 ;2009年2月6日递交的美国临时专利申请N0.61/150, 624，分配的代理案号为N0.090331P2 ；以及2009年3月27日递交的美国临时专利申请N0.61/164，292，分配的代理案号为N0.090331P4 ;以引用方式将这些临时申请的公开内容并入本申请。
【技术领域】
[0004]本申请主要涉及无线通信，更具体且非排它地涉及提高通信性能。
【背景技术】
[0005]无线通信网络被广泛地应用，以便为多个用户提供各种类型的通信(例如，语音、数据、多媒体服务等)。随着对高速率和多媒体服务的需求迅速增长，实现具有增强性能的高效可靠的通信系统成为了一种挑战。
[0006]为了给传统移动电话网络补充接入点，可以使用小覆盖接入点(例如，安装在用户家庭中)来给移动接入终端提供更健壮的室内无线覆盖。这种小覆盖接入点可以称为毫微微接入点、接入点基站、家庭演进节点B(“HeNB”)、家庭节点B或者家庭毫微微。通常，这种小覆盖接入点经由DSL路由器或者有线调制解调器连接到因特网和移动运营商的网络。
[0007]在某些情况下，可以在与小覆盖接入点相同的位置部署一个或者多个本地服务。例如，用户可能拥有支持本地计算机、本地打印机、服务器和其它组件的家庭网络。在这种情况下，可能希望经由小覆盖接入点访问这些本地服务。例如，用户在家时可能希望使用他或她的手机接入到本地打印机。
[0008]通常，公共互联网上的节点可能无法发起与家庭网络中的设备的通信，因为家庭网络中的设备被家庭路由器中的防火墙和网络地址转换器(NAT)所保护。因此，需要提供有效而且实际的方法来远程接入本地网络。

【发明内容】

[0009]下面提供了本发明公开内容示范方面的概要。在本文的讨论中，任何提到术语“方面”的地方指的是本公开内容的一个或者多个方面。
[0010]本公开内容在某些方面涉及:使用多个协议隧道(例如，IPsec隧道)使连接到网络(例如，运营商网络、因特网等)的接入终端能够接入与毫微微接入点相关联的本地网络。第一协议隧道建立在安全网关和毫微微接入点之间。第二协议隧道使用两种方式中的任一种来建立。在某些实现中，第二协议隧道建立在接入终端和安全网关之间。在其它实现中，第二协议隧道建立在接入终端和毫微微接入点之间，从而，该隧道的一部分通过第一隧道来路由。
[0011]通过使用这些方案，即使接入终端没有在空中(over-the-air)与毫微微接入点连接，接入终端也可以到达与毫微微接入点处于同一域中的本地互联网协议(IP)网络或者服务器。
【专利附图】

【附图说明】
[0012]在详细说明书、权利要求以及附图中，将对本公开内容的各个示例方面进行描述，其中:
[0013]图1是通信系统的若干示范方面的简化框图，其中，接入终端经由终止于安全网关的协议隧道接入本地网络；
[0014]图2是某些操作的若干示范方面的流程图，其中，可以执行这些操作以经由终止于安全网关的协议隧道提供对本地网络的远程接入；
[0015]图3是某些操作的若干示范方面的流程图，其中，可以执行这些操作以发现安全网关；
[0016]图4是通信系统的若干示范方面的简化框图，其中，接入终端经由分层协议隧道(layered protocol tunnel)远程接入本地网络；
[0017]图5是某些操作的若干示范方面的流程图，其中，可以执行这些操作以经由分层协议隧道提供对本地网络的远程接入；
[0018]图6是可以在通信节点中运用的组件的若干示范方面的简化框图；
[0019]图7是无线通信系统的简化图；
[0020]图8是包含毫微微接入点的无线通信系统的简化图；
[0021]图9是示出了无线通信覆盖区域的简化图；
[0022]图10是通信组件的若干示范方面的简化框图；以及
[0023]图11-16是某些装置的若干示范方面的简化框图，如本文所教导的，这些装置用于有助于远程接入本地网络。
[0024]依照惯例，附图中的各个特征可能未按比例绘制。相应地，为了清楚起见，各个特征的尺寸可以任意扩大或缩小。此外，为了清楚起见，某些附图可能被简化。因此，附图可能并没有描绘出指定装置(例如，设备)或方法的所有组件。最后，在整个说明书及附图中，相似的参考数字可用于标明相似的特征。
【具体实施方式】
[0025]下面描述了本公开内容的各个方面。显然，本文的教导可以体现为许多不同的形式，而且本文公开的任何具体结构、功能或两者仅仅是作为代表。基于本文的教导，本领域技术人员应该理解，本文公开的某一个方面可以与任何其它方面独立地实现，而且这些方面中的两个或者多个可以以各种方式组合。例如，可以使用本文给出的许多方面来实现一种装置或实施一种方法。另外，可以使用本文给出的一个或者多个方面之外的或不同的其它结构、功能、或结构和功能来实现这种装置或实施这种方法。而且，一个方面可以包括权利要求的至少一个要素。[0026]图1示出了示范通信系统100的若干节点(例如，通信网络的一部分)。以举例说明为目的，在相互通信的一个或者多个接入终端、接入点以及网络节点的背景下，对本发明公开内容的各个方面进行描述。然而，需要理解的是，本文所教导的内容也适用于使用其它术语引用的其它类型装置或者其它类似装置。例如，在各种实现中，接入点可以称为或者实现为基站或者演进节点B，接入终端可以称为或者实现为用户设备或者移动设备，等等。
[0027]系统100中的接入点为一个或者多个无线终端(例如，接入终端102)提供一种或者多种服务(例如，网络连接)，该一个或者多个无线终端可以安装在系统100的覆盖区域内或者在该区域内漫游。举例来说，在不同的时间点，接入终端102会连接到接入点106 (例如，与本地网络相关联的毫微微接入点)或者其它接入点(例如，宏接入点，图1中未示出)。这些接入点中的每一个接入点都可以与一个或者多个网络节点通信，从而促进广域网络的连接。
[0028]这些网络节点可以采取各种形式，例如，一个或者多个无线和/或核心网实体。这样，在各种实现中，网络节点可以提供诸如以下功能中的至少一个:网络管理(例如，经由运营、管理、监管和供应实体)、呼叫控制、会话管理、移动性管理、网关功能、互联功能或者一些其它合适的网络功能。在图1的例子中，示范网络节点表示为:公共交换数据网(PSDN)108、运营商核心网云110、安全网关112 (例如，毫微微安全网关)以及鉴权服务器114 (例如，鉴权、授权和计费(AAA)实体；访问位置寄存器(VLR)或者归属位置寄存器(HLR))。
[0029]系统100中的节点可以使用各种方式来互相通信。根据其位置，接入终端102可以与IP网络110 (例如，到IP网络110的接入点，图中未示出)或者接入点106通信。在图1的例子中，接入终端102 (例如，经由无线或者有线连接)连接到由通信链路118所表示的IP网络110。接入点106可以连接到由通信链路122所表示的路由器120，路由器120可以连接到由通信链路126所表示的因特网124，安全网关112可以连接到由通信链路128所表示的因特网124，而且安全网关112可以连接到由通信链路130所表示的IP网络110。
[0030]通过使用这些通信链路，接入终端102可以与系统100中的各个节点通信。当接入终端102连接到IP网络时，接入终端102可以例如经由运营商核心网(例如，蜂窝网络的核心网)或某个其它网络来访问服务。这样，接入终端102可以与其它接入终端和其它网络通信。
[0031]当接入终端102连接到接入点106时，接入终端可以接入本地网络上的节点，其中，接入点106与一个或者多个本地节点(由本地节点134表示)一起位于该本地网络中。本地节点134可以代表与接入点106位于同一 IP子网络(例如，路由器120所服务的局域网)中的设备。在这种情况下，接入本地网络可以包括接入本地打印机、本地服务器、本地计算机、另一接入终端、设备(例如，安全摄像机，空调等)或者IP子网络中的某个其它实体。当接入终端102连接到接入点106时，接入终端102可以在不经过运营商核心网110的情况下接入本地网络。这样，当接入终端102在例如家庭网络或者某个其它本地网络中时，可以高效访问某些服务。
[0032]当接入终端102连接到某个其它接入点(例如，接入终端102在另一个网络中远程操作)时，接入终端102可能会因为路由器120上的防火墙而无法方便地接入本地网络。在随后的讨论中，描述了使接入终端能够远程接入本地网络的两种架构。
[0033]图1和图2描述了使用两个协议隧道的一种架构，其中每个协议隧道终止于安全网关112。第一协议隧道建立于安全网关112和接入点106之间。第二协议隧道建立于安全网关112和接入终端102之间。
[0034]图4和图5描述了使用两个协议隧道的另一种架构，其中每个协议隧道终止于接入点106。第一协议隧道建立于安全网关112和接入点106之间。第二协议隧道建立于接入点106和接入终端102之间，其中，第二协议隧道的一部分建立在第一协议隧道内。
[0035]在某些方面，这些架构可以利用IP端口来启用远程接入，其中该IP端口由建立于安全网关112和接入点106之间的协议隧道打开。在图1的架构中，安全网关112检查到经由隧道从接入终端102接收的分组，并且将这些分组穿过隧道转发到接入点106。在图4的架构中，安全网关简单地将隧道入站分组(tunneled inbound packet)从接入终端102穿过隧道路由到接入点106，反之亦然。
[0036]有利地，这些架构可以与传统的毫微微接入点实现之间有良好的协作关系。举例来说，支持本地IP接入的毫微微接入点可能已经支持为接入终端分配本地IP地址,并执行代理地址解析协议(ARP)功能。此外，毫微微接入点与其毫微微安全网关之间可能已经有了一个永久性的IPsec隧道，该隧道穿过毫微微接入点和毫微微安全网关之间的任何网络地址转换(NAT)。此外，可能不需要为远程接入终端的接入(例如，为鉴权、授权和安全IPsec隧道)提供额外的鉴权信息(例如，鉴权信息)。远程接入的鉴权信息可以使用接入终端与本地(例如，家庭)网络或运营商网络共享的现有鉴权信息中的一个来导出。
[0037]下列实施细节可以与所描述的架构一起使用。运营商可以提供远程IP接入作为基于签约的附加服务(add-on service)。在毫微微接入点处可以使用诸如DHCP/ARP能力来支持远程IP接入。可以将特定接入终端可以到达的毫微微接入点被配置为家庭鉴权服务器中接入终端(签约)简档(profile)的一部分。毫微微接入点可以用毫微微标识符或者域(realm，对于企业部署中的毫微微接入点群组有用)来标识。用户可以在接入终端处按需激活服务(例如，通过点击“我的家庭”)。
[0038]再次参考图1，现在将详细描述本架构的示范方面。安全网关112作为与接入终端102建立的协议隧道的虚拟专用网络(VPN)网关。在图1中，接入终端102和安全网关112之间的业务流(例如，经由链路118和130)由虚线136表示，业务流经由通过线对138表示的协议隧道(例如，IPsec隧道)来路由。此处，接入终端发送的分组的内部源地址和目的地址有本地网络地址(例如，由路由器120分配)，而外部的源地址和目的地址将分别是例如接入终端102的宏IP地址和安全网关112的IP地址。
[0039]安全网关112将从接入终端102接收到的任何分组经由在接入点106建立的协议隧道转发到接入点106。在图1中，安全网关112和毫微微接入点106之间的业务流(例如，经由链路128、126和120)由协议隧道(例如，IPsec隧道)中的虚线140表示，该协议隧道由线对142来表示。在该隧道中，接入终端发送的分组的内部源地址和目的地址也是上段讨论的本地网络地址，而外部源地址和目的地址将例如由隧道142来定义。
[0040]使用合适的算法来利用鉴权服务器114 (例如，家庭AAA)进行接入终端鉴权。例如，某些实现会使用IKEv2EAP-AKA或者IKEv2PSK(例如，重用接入终端现有的IP签约鉴权信息，例如，由运营商配置)。毫微微接入点可以提供DHCP服务功能，其中，安全网关112会请求本地IP作为IKEv2的一部分分配给接入终端。
[0041]安全网关112将选择的分组从接入点106转发到接入终端102(例如，根据转发策略或者目标地址)。经由接入终端102的宏IP地址，可到达安全网关112。通过使用上述方案，接入终端102可以使用任何可用的IP连接用于远程IP接入。
[0042]在某些实现中(例如，当接入终端102所处的远程网络不是接入点106的运营商网络时)，在将来自接入点106的分组路由到接入终端102时会发生地址冲突。为解决这个问题，将为隧道142定义单独的子安全联盟(CSA)。例如，第一 CSA可以用于对接入点106发来的、发往接入终端102的业务(例如，远程IP接入业务)进行路由。第二 CSA则可以用于对接入点106发来的、发往运营商核心网110的业务进行路由。根据从哪个CSA上接收到分组，安全网关112可以确定将从接入点106接收到的分组路由到哪里。在此处使用CSA可能较有利，因为无须定义另一个唯一的协议隧道，而且可以重用隧道142的鉴权信息。
[0043]下面将结合图2中的流程图详细描述系统100的示范操作。为方便起见，图2的操作(或者本文所讨论或教导的任何其它操作)可以被描述为由特定组件(例如，系统100的组件)执行。然而需要理解的是，这些操作可以由其它类型的组件执行，而且可以使用不同数目的组件执行。还需要理解的是，在特定实现中可能不会用到本文所描述的一个或多个操作。
[0044]如方框202所示，在某个时间点(例如，当使用接入点106时)，在安全网关112和接入点106之间建立了第一协议隧道。此处，安全网关112和接入点106分别执行相应的操作来建立协议隧道。这将包括例如交换消息来分配密钥，该密钥用于加密和解密在协议隧道142上传送的信息。此外，如上所述，可以为该协议隧道建立CSA。
[0045]如方框204所示，在某个时间点，接入终端102获得鉴权信息。例如，接入终端102首次配置时，接入终端102的无线运营商可以分配鉴权信息。
[0046]如方框206所示，在某个时间点，接入终端102可以识别本地网络上的接入点(例如，接入点106)。例如，当这些设备中的任一个被配置时，可以将接入终端102与家庭毫微微接入点关联起来。
[0047]如方框208所示，在某个时间点，接入终端102发现与接入点106相关联的安全网关。例如，接入终端102可能在接入点106的无线覆盖范围之外，但能够连接到某个其它网络(例如，无线运营商的宏网络)。在这种情况下，接入终端102会试图对与接入点106相关联的安全网关进行定位，这样接入终端102就可以接入其本地网络。如结合图3详细讨论的，这将包括如下的操作:接入终端102向一个或者多个安全网关发送消息，来寻找已与接入点106建立了隧道的安全网关。结合该消息，接入终端102将其鉴权信息发送给该安全网关。安全网关随后采取适当行动来对鉴权信息进行鉴权(例如，通过与鉴权服务器114进行通信)。例如，安全网关可以将接入终端102的签约信息发送给鉴权服务器114。鉴权服务器114维护着毫微微接入点的列表,可以作为接入终端102的一部分签约简档(subscriptionprofile)来访问该列表(S卩，接入终端的签约简档确定特定用户是否被授权使用特定的毫微微接入点)。根据鉴权期间接收到的标识符(例如，NAI)(例如，根据接入终端102发送给安全网关112的消息所获得的标识符)，鉴权服务器114返回一个或者多个毫微微标识符给安全网关，例如，识别允许接入终端102接入的毫微微接入点(假设接入终端102鉴权成功)。接收到的标识符还可以额外地包含(例如，隐含或者已经嵌入)接入终端要接入的毫微微接入点的标识(例如，作为部分NAI来包含)。如果返回了多个毫微微标识符，则安全网关对毫微微标识符进行选择(例如，根据到毫微微接入点的IPsec隧道的可用性，以及接入终端102所表明的任何优先偏好)。在安全网关已经建立了到接入点106的隧道(例如，接入终端102已经对安全网关112进行了查询)而且接入终端102的鉴权信息已经被鉴权的情况下，安全网关向接入终端发送响应，并且这些实体开始对协议隧道138进行设置。
[0048]如方框210所示，结合对协议隧道138进行设置，获得了接入终端102在本地网络上的地址。例如，安全网关112可以向接入点106发送消息来代表接入终端102请求本地地址。作为一个例子，在用于远程IP接入的CSA中，安全网关112经由隧道142向接入点106发送DHCP请求或者路由器请求(router solicitation),以为接入终端102请求远程IP地址。接入点106随后向路由器120发送针对该本地地址的请求。一旦接入点106得到了本地地址，接入点106将该本地地址发送给安全网关112。安全网关112随后将本地地址转发给接入终端102 (例如，一旦建立了协议隧道138)。例如，可以经由IKE_AUTH消息将所分配的地址发送给接入终端102。
[0049]如方框212所示，安全网关112和接入终端102各自执行相应的操作以建立隧道协议138。这可以包括，例如，交换消息来分配用于对在协议隧道138上传送的信息进行加密和解密的密钥。
[0050]如方框214所示，一旦建立了协议隧道138，可以经由协议隧道138和142在接入终端102和接入点106之间路由分组。此处，安全网关112将其经由一个隧道接收到的分组路由到另一个隧道。这可以用多种方式完成。在某些情况下，在设置协议隧道的时候建立转发策略。这样，当经由指定隧道接收到分组时，根据策略来转发该分组。此处，根据例如封装分组的IPsec协议报头，安全网关112可以识别来自指定隧道的分组。在某些情况下，安全网关112检查该分组以获取该分组的源(例如，接入终端102)的标识符和/或目的端(例如，接入点106)的标识符。安全网关112随后根据这些提取的标识符信息来确定用于转发分组的合适隧道。
[0051]接入点106在隧道142和本地网络之间进行分组路由。例如，当在接入点106处经由隧道142接收到分组时，接入点106检查该分组以识别该分组在本地网络上的目的地。接入点106然后将分组转发到识别出的目的地。图1示出了用于接入点106和本地网络的本地节点134之间的分组流的示范数据路径144 (例如，经由路由器120)。
[0052]如上所述，为了远程接入与接入点关联的本地网络，接入终端需要发现该接入点正在使用的安全网关。此处，可以假设安全网关是公共可达的(例如，节点可以通过公共IP到达该安全网关)。图3描述了两种可用来发现安全网关的技术。一种技术涉及域名服务器(DNS)解析和多次重试(multiple retries)。另一种技术涉及基于例如签约信息的安全网关重定向。
[0053]如方框302所示，接入终端102将已经识别出在本地网络上接入终端102希望接入的接入点。例如，如上文结合方框206所述，接入终端102可以获得家庭网络中允许接入终端102接入的毫微微接入点的毫微微标识符。
[0054]如方框304所示，在使用DNS技术的实现中，接入终端102发送DNS查询(query)，该DNS查询中包含系统中一个或者多个安全网关的指定域名。在对该查询的响应中，接入终端102可以接收到一个或者多个安全网关地址的列表。使用这种技术，接入终端102可以按顺序尝试连接每个IP地址。此处，只有正确的安全网关会连接成功。如果找到了正确的安全网关，接入终端可以如下面所述缓存该安全网关的地址信息。实际上，为了负载均衡，DNS服务器返回的地址通常是以循环方式(round robin fashion)随机化的。因此,如果使用这种技术，单个安全网关不大可能经常受到“冲击”。
[0055]如方框306所示，接入终端102发起发现安全网关。在使用DNS技术的情况下，接入终端此时会使用从DNS查询获得的地址。无论是用什么技术，接入终端102都会发消息给选定的安全网关以确定该安全网关是否已经建立到接入点106的隧道。如方框308所示，选定的安全网关从接入终端102接收该消息。
[0056]如方框310所示，安全网关确定是否已经和接入点106建立了隧道。例如，根据从鉴权服务器114接收到的一个或者多个毫微微标识符(例如，如上所示)，安全网关确定是否已经有到相应毫微微接入点的预设IPsec隧道。
[0057]如方框312所示，根据方框310的确定，安全网关向接入终端102发送合适的响应。
[0058]如果隧道已经设置，则可以建立隧道138。此处，如果隧道142没有与远程IP接入相关联的CSA，安全网关112会请求接入点106创建另一个CSA。安全网关112随后用隧道142将新的CSA连接到接入终端102。如方框314所示，接入终端102随后会维护安全网关112的地址(例如，以及到接入点106的映射)，这样接入终端102以后可以避免搜寻该安全网关。
[0059]如果隧道还没有设置好，则安全网关向接入终端102发送合适的响应。例如，在某些实现中，安全网关会拒绝来自接入终端的请求(例如，经由使用IKEv2的合适错误码)。
[0060]可替代地，在使用重定向技术的实现中，安全网关可以将接入终端102重定向到正确的安全网关。此处，运营商可以维护数据库(例如，重定向数据库146)，该数据库将接入点标识符(例如，毫微微标识符)映射到安全网关地址。该数据库被设为对网络中的安全网关来说可接入。这样，该安全网关会确定与指定接入点相关联的正确安全网关的地址，然后在响应中将该地址信息发送给接入终端102。
[0061]当在安全网关处鉴权毫微微时，鉴权服务器114可以保存安全地址供以后使用。此处，网络中的不同鉴权服务器(例如，家庭AAA)可以具有某些方法以从网络中的其它鉴权服务器(例如，毫微微AAA)取得与毫微微标识符相关联的安全网关地址。例如，这些不同类型的鉴权服务器可以在同一实体中实现或者共享同一数据库。
[0062]如方框316所示，作为拒绝或者重定向响应的结果，接入终端102开始发现另一个安全网关。例如，在使用重定向技术的实现中，接入终端102接下来可以接入在响应中提供的地址所对应的安全网关。在使用DNS技术的实现中，接入终端102可以从地址列表中选择下一个地址，该地址列表是在方框304处获得的。
[0063]根据上述内容需要理解的是，不同的发现技术可以独立使用，或者可以将多个发现技术组合使用。例如，由于接入终端不需要知道安全网关是否能够重定向，因此DNS技术和重定向技术可以组合使用。此外，如果安全网关不对接入终端重定向，接入终端仍然可以自己尝试下一个安全网关IP地址。
[0064]参考图4,现在将详细描述系统400所示架构的示范方面。系统400包括的组件类似于图1中的组件。具体地，接入终端402、接入点406、安全网关412、通信链路418、422、426、428和430、路由器420以及因特网424都与图1中类似命名的组件相似。图4还示出了一个例子，其中接入点404可以连接到通信链路416所表示的PSDN408，而PSDN408可以连接到通信链路418所表示的运营商网络410。其它类型的网络连接也可以用于其它实现中(例如,如图1所述)。
[0065]如图1中的系统100，系统400使位置较远的接入终端402能够接入本地网络，其中接入点406位于该本地网络。而且,在典型场景中，接入点406是接入终端402的家庭毫微微接入点或者允许接入终端402接入的其它接入点。
[0066]在本架构中，接入点406充当与接入终端402建立的协议隧道的虚拟专用网络网关。在图4中，接入终端402和接入点406之间的业务流由虚线436表示，业务流经由通过线对438表示的协议隧道(例如，IPsec隧道)进行路由。此处，接入终端402发送的分组的内部源地址和目的地址将具有本地网络地址(例如，由路由器420通过充当接入终端402的代理ARP的接入点406来分配)，而外部源地址和目的地址将分别是例如接入终端402和接入点406的宏IP地址。
[0067]安全网关412和接入点406之间的业务流经由通过线对448所表示的协议隧道(例如，IPsec隧道)来提供。此处，可以看出隧道438承载(例如，封装或者分层)在隧道448之内。这样,从接入点402到达安全网关412的分组被插入隧道448中。相应地，本架构没有去除在前面段落中所描述的针对隧道438的外部报头，该外部报头包含外部源地址和目的地址。相反地，另一组外部源地址和目的地址被加入分组，而且例如将由隧道448来定义。这样，当分组到达接入点406时，将去掉分组中的两层隧道报头，以便得到具有与本地网络相关联的源和目的地址的分组。
[0068]反过来，从本地网络向接入终端402发送分组时，接入点406对分组进行封装用来经由隧道438进行传输，然后将封装后的分组再次进行封装用来经由隧道448进行传输。安全网关412随后将去掉隧道448的报头并将分组路由到接入终端402。在上述内容的基础上，下面将参考图5的流程图对系统400中操作相关的更多细节进行描述。
[0069]如方框502所示，在某个时间点，在安全网关412和接入点406之间建立第一协议隧道。安全网关412和接入点406分别执行相应的操作来建立协议隧道。这将包括例如:交换消息来分配密钥，该密钥用于加密和解密协议隧道448上传送的信息。
[0070]如方框504所示，在某个时间点，接入终端402和接入点交换鉴权信息(例如，用于IKEv2SA鉴权的共享鉴权信息)。有利地，隧道的鉴权信息不需要在接入终端402中预先配置。
[0071]例如，在接入终端通过接入点406通过空口连接时，鉴权信息可以在本地导出。此处，如果接入终端在通过空口连接到接入点406时能够经由接入点406接入本地网络，则接入终端402已经接入本地域中的任何IP主机。当接入终端位置较远时，这种能力可能因此被保留。
[0072]此处可以使用多种技术。例如，在第一种选择中，当接入终端402通过空口进行本地连接时，可以进行Diffie-Hellman密钥交换来生成预共享密钥(PSK)。在第二种选择中，当接入终端402通过空口进行本地连接时，可以进行鉴权的Diff ie-HelIman密钥交换来生成预共享密钥(PSK)。在这种情况下，在用户签约服务期间，可以将鉴权中所要用的秘密信息(例如，密码)提供给用户。在Diffie-Hellman交换期间，用户可以在接入终端402上输入该秘密信息。接入点406从而在PPP鉴权和授权期间从网络(例如，从AAA实体)获取该秘密信息。密钥也可以使用AAA交换来在网络处生成(其中，接入点将其Diffie-Hellman值发送给网络)。在Diffie-Hellman交换之后，接入终端402和接入点共享PSK。在第三种选择中，可以使用EAP-AKA (通过PPP)生成MSK，然后MSK将作为PSK来使用。在第四种选择中，可以使用GBA来生成接入终端402和接入点406之间的PSK。此处，接入点406起到了 NAF的作用，并且联系BSF进行自举(bootstrapping)。在自举过程的末尾,接入终端402和接入点406共享PSK。
[0073]在接入终端远程连接(例如，通过宏接入点或者毫微微接入点)时，也可以导出鉴权信息。例如，当接入终端处于宏覆盖时(例如，连接到宏接入点404)，在接入终端402和接入点406之间建立IKEv2SA期间可以导出鉴权信息。可以使用与上述选项相似的技术来导出共享密钥。对于第一种和第二种选择来说，可以在IKEv2INIT_SA的Diffie-Hellman交换期间生成PSK。对于第三种选择来说，在IKEv期间进行EAP-AKA。对于第四种选择来说，可以使用GBA，利用基于IKEv2的Ua (NAF-UE)标准化协议。
[0074]接入终端402可以通过不同方式来获取接入点406的IP地址。在某些实现中，当接入点406注册到网络时，可以在属于运营商的私有DNS中给接入点406分配正式域名(FQDN, fully qualified domain name)。在这种情况下,接入终端可以使用这一 FQDN来联系接入点406。在某些实现中，当接入终端402通过空口连接到接入点406时，接入终端402可以知道接入点406的IP地址。
[0075]再次参考图5，如方框506所示，接入终端发现接入点406，以用于接入希望的本地网络。这些操作与上述发现操作类似。
[0076]如方框508所示，结合建立第二协议隧道(隧道438)，得到了接入终端402在本地网络上的地址。如上所述，接入点406可以向路由器420发送针对本地地址的请求。在某些情况下，接入点406随后将本地地址发送给安全网关412，安全网关412转而将本地地址转发给接入终端402。
[0077]如方框510所示，接入点406和接入终端402各自进行相应的操作，以建立第二协议隧道。这将包括例如:交换消息来分配密钥，该密钥用于加密和解密协议隧道438上传送的信息。
[0078]如方框512所示，一旦建立了协议隧道438，可以经由协议隧道438和448在接入终端402和接入点406之间路由分组。对于从接入终端402接收到的隧道分组，安全网关412封装该分组以用于通过隧道448传输。对于从接入点406接收到的分组，安全网关412去掉用于隧道448的封装，然后将隧道分组发送给接入点406。如上所述，这可以使用转发策略或者某个其它合适技术来完成。
[0079]另外，如上所述，接入点406在隧道448、隧道438和本地网络之间路由分组。例如，当经由隧道在接入点406处接收到分组时，接入点406检查该分组以识别该分组在本地网络上的目的地。然后，接入点406将分组转发到已识别的目的地。图4示出了用于接入点406和本地网络的本地节点434之间的分组流的示范数据路径444 (例如，经由路由器420)。
[0080]图6示出了可以并入如下节点的若干示范组件:接入终端602、接入点604、安全网关606以及鉴权服务器642 (例如，分别对应于接入终端102或402、接入点106或406、安全网关112或412、以及鉴权服务器114)，来进行本文所教导的接入操作。所述组件也可以并入通信系统中的其它节点。例如，系统中的其它节点可以包括与针对接入终端602、接入点604以及安全网关606描述的那些组件相似的组件，以用于提供相似的功能。指定节点可以包含一个或者多个所述组件。例如，接入终端可以包含多个收发机组件，其使接入终端能够在多个频率上运行和/或通过不同技术进行通信。
[0081]如图6所示，接入终端602和接入点604分别包括用于和其它节点通信的收发机608和收发机610。收发机608包括用于发送信号(例如，发送给接入点)的收发机612和用于接收信号(例如，从接入点接收)的接收机614。类似地，收发机610包括用于发送信号的发射机616和接收信号的接收机618。
[0082]接入点604和网络节点606还分别包括网络接口 620和622，用于相互间通信或者与其它网络节点通信。例如，网络接口 620和622可以被配置为经由有线或者无线回程与一个或者多个网络节点通信。
[0083]接入终端602、接入点604和安全网关606还包括可与本文所教导的接入操作结合使用的其它组件。例如，接入终端602、接入点604、安全网关606和鉴权服务器114分别包含通信控制器624、626、628和644，用于管理与其它节点的通信(例如，处理和检查分组、获取鉴权信息、获取标识符、或者发送和接收分组、消息、请求、地址、鉴权信息、响应或查询)，以及用于提供如本文所教导的其它相关功能。此外，接入终端602、接入点604和安全网关606分别包括隧道控制器620、632和634，用于建立隧道以及用于提供如本文所教导的其它相关功能(例如，接受或者拒绝接入终端接入到隧道)。接入终端602包括移动控制器636，用于识别将要接入的接入点，以及用于提供如本文所教导的其它相关功能。接入终端602包括数据存储器638，用户维护安全网关地址，以及用于提供如本文所教导的其它相关功能。接入点604包括地址控制器640，用于获取本地地址，以及用于提供如本文所教导的其它相关功能。鉴权服务器642包括数据库646，用于存储签约信息，以及用于提供如本文所教导的其它相关功能。
[0084]为方便起见，图6中所示接入终端602和接入点604包括可在本文所述的各个例子中使用的组件。实际上，一个或者多个所示组件可以在不同例子中以不同方式实现。举例来说，相比图4的实现，在图1的实现中，隧道控制器630、632和634可以拥有不同功能和/或以不同方式工作(例如，以不同方式建立隧道)。
[0085]此外，在某些实现中，图6中的组件可以在一个或者多个处理器(例如，处理器使用和/或包含数据存储器)中实现。例如，方框624、630、636和638的功能可以由接入终端的一个或者多个处理器实现，方框620、626、632和640的功能可以由接入点中的一个或者多个处理器实现，方框622、628和624的功能可以由网络节点中的一个或者多个处理器实现。
[0086]如上所述，在某些方面，本文的教导可以用于包括宏规模覆盖(例如，诸如3G网络的大面积蜂窝网络，通常称为宏蜂窝网络或者广域网络)和小规模覆盖(例如，基于住宅的或者基于楼宇的网络环境)在内的网络中。当接入终端在网络中移动时，接入终端在某处会由提供宏覆盖的接入点进行服务，而在另一处由提供小规模覆盖的接入点进行服务。在某些方面，小覆盖接入点可用于提供递增式容量增长、楼内覆盖等不同服务(例如，为了更好的用户体验)。
[0087]在本文的描述中，在相对较大区域内提供覆盖的节点可称为宏接入点，而在相对较小区域(例如，住宅)内提供覆盖的节点可称为毫微微接入点。需要理解的是，本文的教导也适用于与其它类型覆盖区域相关联的节点。例如，微微接入点提供的覆盖(例如，在商业建筑内的覆盖)区域小于宏区域而大于毫微微区域。在各种应用中，可以使用其它术语来指代宏接入点、毫微微接入点或其它接入点类型的节点。例如，宏接入点可以被配置为或者称为接入节点、基站、接入点、演进节点B、宏小区等。此外，毫微微接入点可以被配置为或者称为家庭节点B、家庭演进节点B、接入点基站、毫微微小区等。在某些实现中，节点可以与一个或者多个小区或者扇区相关(例如，分割为小区或者扇区)。与宏接入点、毫微微接入点或者微微接入点相关的小区或者扇区可以分别称为宏小区、毫微微小区或者微微小区。
[0088]图7示出了无线通信系统700，其被配置为支持多个用户，并且可以在其中实现本文所教导的内容。系统700为诸如宏小区702A到702G的多个小区702提供通信，其中每个小区由相应的接入点704 (例如，接入点704A到704G)服务。如图7所示，随着时间的推移，接入终端706 (例如，接入终端706A到706L)可能分布于整个系统中的不同地点。例如，取决于接入终端706是否激活以及是否处于软切换状态，每个接入终端706都可以在特定时刻在前向链路(FL)和/或反向链路(RL)上与一个或者多个接入点704通信。无线通信系统700可以在广大的地理区域内提供服务。例如，宏小区702A-702G可以覆盖附近的几个街区或者在乡村环境中的几英里。
[0089]图8示出了示例性通信系统800，其中在网络环境内部署了一个或者多个毫微微接入点。具体地，系统800包括多个毫微微接入点810(例如，毫微微接入点810A和810B)，它们安装在相对较小范围的网络环境内(例如，在一个或者多个用户住宅830中)。经由DSL路由器、有线调制解调器、无线链路或者其它连接装置(未示出)，将每个毫微微接入点810耦合到广域网络840 (例如，因特网)和移动运营商核心网850。正如下面将要讨论的，每个毫微微接入点810可以被配置为服务于相关联的接入终端820 (例如，接入终端820A)，可选地，还可以服务于其它(例如，混合的或者外来的)接入终端820 (例如，接入终端820B)。换句话说，接入毫微微接入点810可能受到限制，从而给定的接入终端820可能由一组指定的(例如，家庭)毫微微接入点810服务，而不能由任何非指定的毫微微接入点810 (例如，邻居的毫微微接入点810)服务。
[0090]图9示出了覆盖图900的实例，其中定义了若干跟踪区域902 (或者路由区域、位置区域)，每个跟踪区域包括若干宏覆盖区域904。在这里，与跟踪区域902A、902B和902C相关的覆盖区域由粗线描绘，而宏覆盖区域904由较大的六边形表示。跟踪区域902还包括毫微微覆盖区域906。在这个实例中，每个毫微微覆盖区域906 (例如，毫微微覆盖区域906C)被描绘为在一个或者多个宏覆盖区域904 (例如，宏覆盖区域904B)之内。但是需要理解的是，一些或者全部毫微微覆盖区域906可能不在宏覆盖区域904之内。实际上，可以在给定的跟踪区域902或者宏覆盖区域904内定义大量毫微微覆盖区域906。此外，可以在给定的跟踪区域902或者宏覆盖区域904内定义一个或者多个微微覆盖区域(未示出)。
[0091]再次参照图8，毫微微接入点810的所有者可以签约移动服务，例如3G移动服务等，该移动服务通过移动运营商核心网850提供。此外，接入终端820能够在宏环境和较小范围(例如，住宅)的网络环境内工作。换句话说，根据接入终端820的当前位置，接入终端820可以由与移动运营商核心网络850相关联的宏小区接入点860服务，或者由一组毫微微接入点810中的任意一个(例如，位于相应用户住宅830内的毫微微接入点8IOA和8IOB)月艮务。例如，当用户不在家时，他由标准宏接入点(例如，接入点860)服务，而当用户在家时，他由毫微微接入点(例如，接入点810A)服务。这里需要理解的是，毫微微接入点810可以与传统接入终端820向后兼容。
[0092]毫微微接入点810可以部署在单个频率上，或者作为另一种选择，可以部署在多个频率上。根据具体配置，该单个频率或者该多个频率中的一个或更多频率可能与宏接入点(例如，接入点860)使用的一个或更多频率重叠。
[0093]在某些方面，接入终端820可配置为只要是能连接到优选毫微微接入点(例如，接入终端820的家庭毫微微接入点)就连接到该优选毫微微接入点。例如，每当接入终端820A位于用户的住宅830中时，可以希望接入终端820A只与家庭毫微微接入点8IOA或8IOB通?目。
[0094]在某些方面，如果接入终端820在宏蜂窝网络850内工作，但是没有驻留在其最优选网络内(例如，如在优选漫游列表中定义的)，接入终端820可以使用“更优系统重选”(BSR)过程继续搜寻最优选网络(例如，优选毫微微接入点810)，“更优系统重选”可以包括:定期扫描可用系统以确定更优系统当前是否可用，随后捕获该优选系统。接入终端820可以将搜寻限制于特定的频带和信道。例如，可以定义一个或者多个毫微微信道，从而区域内的所有毫微微接入点(或者所有受限的毫微微接入点)在这些毫微微信道上工作。可以定期地重复搜寻最优选系统。当发现优选毫微微接入点810时，接入终端820当在毫微微接入点810的覆盖区域内时选择毫微微接入点810并注册到该毫微微接入点810以便使用。
[0095]接入毫微微接入点在某些方面是受限制的。例如，给定的毫微微接入点只可以向特定接入终端提供特定服务。在具有所谓的限制性(或封闭式)接入的部署中，给定的接入终端只可以由宏小区移动网络和规定的一组毫微微接入点(例如，位于相应用户住宅830内的毫微微接入点810)服务。在一些实现中，可以限制接入点不得为至少一个接入点提供下列至少其一:信令、数据访问、注册、寻呼或者服务。
[0096]在一些方面，受限毫微微节`点(其也可以称为封闭的用户组家庭节点B (ClosedSubscriber Group Home NodeB))是向规定的受限接入终端集提供服务的节点。该接入终端集可以按照需要临时地或永久地扩展。在一些方面，可以将封闭的用户组(“CSG”)规定为接入点集(例如，毫微微接入点)，该接入点集中的接入点共享公共的接入终端接入控制列表。
[0097]因此，给定毫微微接入点和给定接入终端之间可能存在多种关系。例如，从接入终端的角度来说，开放式毫微微接入点指的是具有非受限接入的毫微微接入点(例如，该毫微微接入点允许接入到任何接入终端)。受限毫微微接入点指的是以某种方式受到限制的毫微微接入点(例如，在关联和/或注册方面受到限制)。家庭毫微微接入点指的是接入终端被授权接入和工作所在的毫微微接入点(例如，为规定的一组一个或多个接入终端提供永久性接入)。访客(或者混合)毫微微接入点指的是接入终端被临时授权接入或工作所在的毫微微接入点。外来毫微微接入点指的是除发生紧急情况(例如，呼叫911)之外未授权接入终端接入或工作所在的毫微微接入点。
[0098]从受限毫微微接入点的角度来说，家庭接入终端指的是被授权接入该受限毫微微接入点的接入终端，其中该受限毫微微接入点安装于该接入终端的所有者的住宅内(通常该家庭接入终端具有对该毫微微接入点的永久性接入)。访客接入终端指的是临时接入该受限毫微微接入点的接入终端(例如，根据时间期限、使用时间、字节、连接计数或者某些其它规则来进行限制)。外来接入终端指的是除发生例如911呼叫的紧急情况之外不被允许接入该受限毫微微接入点的接入终端(例如，不具有用来在受限毫微微接入点上进行注册的鉴权信息或许可)。
[0099]为便于说明，文中公开内容在毫微微节点的环境下描述了各种功能。然而，应当理解，微微接入点可以为更大的覆盖区域提供相同或相似的功能。例如，微微接入点可以是受限的，可以针对指定接入终端规定家庭微微接入点等。
[0100]本文所教导的内容可用于同时支持多个无线接入终端的通信的无线多址通信系统中。这里，每个终端经由前向和反向链路上的传输与一个或者多个接入点通信。前向链路(或者下行链路)指的是从接入点到终端的通信链路，而反向链路(或者上行链路)指的是从终端到接入点的通信链路。该通信链路可以经由单输入单输出系统、多输入多输出(MMO)系统或者其它类型的系统来建立。
[0101]MIMO系统使用多个(Nt个)发射天线和多个(Nk个)接收天线进行数据传输。由Nt个发射天线和Nk个接收天线组成的MMO信道可以分解为Ns个独立信道，这些独立信道也称为空间信道，其中Ns < min{NT, Nj。Ns个独立信道中的每一个都对应于一个维度。如果利用多个发射和接收天线创建的额外维度，则MIMO系统可以提供改善的性能(例如，更大的吞吐量和/或更高的可靠性)。
[0102]MMO系统可以支持时分双工(TDD)和频分双工(FDD)。在TDD系统中，前向和反向链路传输工作在相同的频率区间，使得互逆原理允许根据反向链路信道估计前向链路信道。当接入点上有多个天线可用时，这使得接入点能够提取前向链路上的发射波束成形增
Mo
[0103]图10示出了示范MMO系统1000中的无线设备1010 (例如，接入点)和无线设备1050 (例如，接入终端)。在设备1010处，将多个数据流的业务数据从数据源1012提供到发射(TX)数据处理器1014。每个数据流随后将在各自的发射天线上进行发射。
[0104]TX数据处理器1014根据为每个数据流选择的特定编码方案，对每个数据流的业务数据进行格式化、编码和交织以提供已编码数据。每个数据流的已编码数据可以通过OFDM技术与导频数据进行复用。导频数据通常是以已知方式进行处理的已知数据模式，并且可以在接收机系统处用于进行信道响应估计。随后根据为每个数据流选择的特定调制方案(例如，BPSK、QPSK、M-PSK或者M-QAM)，将每个数据流的经过复用的导频和已编码数据进行调制(即，符号映射)，以提供调制符号。每个数据流的数据速率、编码和调制可以由处理器1030执行的指令确定。数据存储器1032可以存储程序代码、数据以及处理器1030或设备1010的其它组件使用的其它信息。
[0105]随后将所有数据流的调制符号提供给TX MIMO处理器1020，该处理器进一步处理调制符号(例如，针对OFDM)。TX MIMO处理器1020随后将Nt个调制符号流提供给Nt个收发机(XCVR) 1022A到1022T。在某些方面，TX MIMO处理器1020将波束成形权重运用于数据流的符号以及发射该符号的天线。
[0106]每个收发机1022接收并处理各自的符号流以提供一个或者多个模拟信号，并且进一步调节(例如，放大、滤波和上变频)模拟信号，从而提供适合在MMO信道上传输的调制信号。随后，分别从Nt个天线1024A到1024T发射来自收发机1022A到1022T的Nt个已调制信号。[0107]在设备1050处，发射出的调制信号被Nk个天线1052A到1052R接收，并且从每个天线1052接收到的信号被提供给各自的收发机(XCVR) 1054A到1054R。每个收发机1054调节(例如，滤波、放大和下变频)各自的接收信号，数字化调节后的信号以提供采样，并且进一步处理采样以提供对应的“接收”符号流。
[0108]根据特定的接收机处理技术，接收(RX)数据处理器1060随后接收并处理来自Nk个收发机1054的Nk个接收符号流，以提供Nt个“检测”符号流。RX数据处理器1060随后解调、解交织并解码每个检测到的符号流，从而恢复数据流的业务数据。RX数据处理器1060的处理与设备1010上的TX MIMO处理器1020和TX数据处理器1014所进行的处理互逆。
[0109]处理器1070定期地确定要用哪个预编码矩阵(下文将讨论)。处理器1070构造反向链路消息，其包括矩阵索引部分和秩值部分。数据存储器1072可以存储程序代码、数据以及处理器1070或设备1050的其它组件用到的其它信息。
[0110]反向链路消息可以包括关于通信链路和/或所接收数据流的各种信息。反向链路消息随后由TX数据处理器1038处理、由调制器1080调制、由收发机1054A到1054R调节，然后发射回设备1010，其中TX数据处理器1038还从数据源1036接收多个数据流的业务数据。
[0111]在设备1010处，来自设备1050的已调制信号由天线1024接收、由收发机1022调节、由解调器(DEM0D)1040解调、并且由RX数据处理器1042处理，以提取设备1050发射的反向链路消息。处理器1030随后确定用哪个预编码矩阵来确定波束成形权重，随后处理所提取的消息。
[0112]图10还示出通信组件可以包括执行如本文所教导的接入控制操作的一个或者多个组件。例如，接入控制组件1090可以与处理器1030和/或设备1010的其它组件协作，从而如本文所教导的向另一设备(例如设备1050)发送信号或者从另一设备接收信号。类似地，接入控制组件1092可以与处理器1070和/或设备1050的其它组件协作，从而向另一设备(例如设备1010)发送信号或者从另一设备接收信号。需要理解的是，对于每个设备1010和1050来说，两个或者多个所述组件的功能可以由单个组件提供。例如，单个处理组件可以提供接入控制组件1090和处理器1030的功能，单个处理组件可以提供接入控制组件1092和处理器1070的功能。在某些实现中，处理器1030和存储器1032可以为设备1010共同提供与接入相关的功能以及如本文所教导的其它功能，而处理器1070和存储器1072可以为设备1050共同提供与接入相关的功能以及如本文所教导的其它功能。
[0113]本文所教导的内容可用于各种通信系统和/或系统组件。在某些方面，本文所教导的内容可用于多址系统，该多址系统能够通过共享可用系统资源(例如，通过规定一个或者多个带宽、发射功率、编码、交织等)支持与多个用户的通信。例如，本文所教导的内容适用于下列技术的任意一个或者其组合:码分多址(CDMA)系统、多载波CDMA (MCCDMA)、宽带CDMA (W-CDMA)、高速分组接入(HSPA、HSPA+ )系统、时分多址(TDMA)系统、频分多址(FDMA)系统、单载波FDMA (SC-FDMA)系统、正交频分多址(OFDMA)系统，或者其它多址技术。使用本文所教导内容的无线通信系统可设计为实现一种或者多种标准，例如，IS-95、cdma2000、IS-856、W-CDMA, TDSCDMA以及其它标准。CDMA网络可以实现诸如通用陆地无线接入(UTRA)、cdma2000等的无线电技术或者某些其它技术。UTRA包括W-CDMA和低码率(LCR)。cdma2000技术覆盖了 IS-2000、IS-95和IS-856标准。TDMA网络可以实现诸如全球移动通信系统(GSM)的无线电技术。OFDMA网络可以实现诸如演进UTRA (E-UTRA)、IEEE802.11、IEEE802.16、IEEE802.20、Flash-OFDM? 等无线电技术。UTRA、E-UTRA 和 GSM 是通用移动电信系统(UMTS)的一部分。本文所教导的内容可实现在3GPP长期演进(LTE)系统、超移动宽带(UMB)系统以及其它类型的系统中。LTE是使用E-UTRA的UMTS版本。在名为“第三代合作伙伴计划”(3GPP)组织的文件中描述了 UTRA、E-UTRA, GSM、UMTS和LTE，而在名为“第三代合作伙伴计划2”(3GPP2)组织的文件中描述了 cdma2000。尽管使用3GPP术语来描述本发明公开内容的某些方面，需要理解的是，本文所教导的内容适用于3GPP (例如，版本99、版本5、版本6、版本7)技术以及3GPP2 (例如，IxRTT、IxEV-DO版本O、版本A、版本B)技术和其它技术。
[0114]本文所教导的内容可以并入多种装置(例如，节点)(例如，在其中实现或者由其执行)。在某些方面，根据本文所教导的内容实现的节点(例如，无线节点)可以包括接入点或者接入终端。
[0115]例如，接入终端可以包括、实现为或者称为用户设备、用户站、用户单元、移动站、移动电话、移动节点、远程站、远程终端、用户终端、用户代理、用户装置或某些其它技术。在某些实现中，接入终端可以包括:蜂窝电话、无绳电话、会话发起协议(SIP)电话、无线本地环路(WLL)站、个人数字助理(PDA)、有无线连接能力的手持设备、或者连接到无线调制解调器的某些其它合适处理设备。相应地，本文所教导的一个或者多个方面可以并入电话(例如，蜂窝电话或者智能电话)、计算机(例如，膝上型计算机)、便携式通信设备、便携式计算设备(例如，个人数字助理)、娱乐设备(例如，音乐设备、视频设备或者卫星无线电)、全球定位系统设备、或者用于经由无线介质通信的任何其它合适设备。
[0116]接入点可以包括、实现为或者称为节点B、演进节点B、无线网络控制器(RNC)、基站(BS )、无线基站(RBS )、基站控制器(BSC)、收发机基站(BTS )、收发机功能(TF)、无线收发机、无线路由器、基本服务集(BSS)、扩展服务集(ESS)、宏小区、宏节点、家庭eNB(HeNB)、毫微微小区、毫微微节点、微微节点、或者某些其它类似术语。
[0117]在某些方面，节点(例如，接入点)可以包括通信系统的接入节点。这样的接入节点可以经由到网络(例如，诸如因特网或蜂窝网络的广域网)的有线或者无线通信链路来为该网络或者向该网络提供例如连通性。因此，接入节点可以使另一节点(例如，接入终端)能够接入网络或某个其它功能。此外，应当认识到这一个或两个节点可以是便携的或者在某些情况中是相对不便携的。
[0118]此外，需要理解的是，无线节点可以通过非无线的方式(例如，经由有线连接)发送和/或接收信息。这样，如本文所述的接收机和发射机可以包括合适的通信接口组件(例如，电子或者光接口组件)，以便经由非无线介质进行通信。
[0119]无线节点可以经由基于或者支持任何合适无线通信技术的无线通信链路来进行通信。例如，在某些方面，无线节点可以与网络相关。在某些方面，该网络可以包括局域网或者广域网。无线设备可以支持或者使用本文所述各种无线通信技术、协议或者标准(例如，CDMA、TDMA、OFDM、OFDMA、WiMAX、W1-Fi等)中的一种或者多种。类似地，无线节点可以支持或者使用各种相应的调制或复用方案中的一种或者多种。无线节点因而可以包括合适的组件(例如，空中接口)，从而使用上述或者其它无线通信技术来建立一个或者多个无线通信链路，并且经由这些链路进行通信。例如，无线节点可以包含具有相关联的发射机和接收机组件的无线收发机，该无线收发机可以包含促进在无线介质中通信的多种组件(例如，信号发生器和信号处理器)。
[0120]在某些方面，本文所描述的功能(例如，针对一个或者多个附图)可以对应于权利要求中类似地描述为“用于……的装置”的功能。参考图11-14，装置1100、1200、1300和1400被表示为一系列相互关联的功能模块。这里，第一隧道建立模块1102、第二隧道建立模块1104、子安全联盟建立模块1118、隧道接入请求接收模块1120、已建立隧道确定模块1122以及接入终端重定向模块1124可以至少在某些方面对应于例如本文所描述的隧道控制器。分组确定模块1106、已接收分组转发模块1108、地址请求发送模块1110、地址接收模块1112、地址发送模块1114、鉴权信息接收模块1116可以至少在某些方面对应于例如本文所描述的通信控制器。接入点识别模块1202可以至少在某些方面对应于例如本文所描述的移动控制器。安全网关消息发送模块1204、消息响应接收模块1206、DNS查询发送模块1208、安全网关地址接收模块1210可以至少在某些方面对应于例如本文所描述的移动控制器。安全网关地址维护模块1212可以至少在某些方面对应于例如本文所描述的数据存储器。隧道建立模块1214可以至少在某些方面对应于例如本文所描述的隧道控制器。安全网关隧道建立模块1302、子安全联盟建立模块1316、接入终端隧道建立模块1318可以至少在某些方面对应于例如本文所描述的隧道控制器。本地网络地址获取模块1304可以至少在某些方面对应于例如本文所描述的地址控制器。地址消息发送模块1306、分组传送模块1308、地址请求接收模块1310、分组检查模块1312、分组转发模块1314可以至少在某些方面对应于例如本文所描述的通信控制器。第一隧道建立模块1402和第二隧道建立模块1406可以至少在某些方面对应于例如本文所描述的隧道控制器。鉴权信息获取模块1404、分组接收模块1412、分组检查模块1414和分组转发模块1416可以至少在某些方面对应于例如本文所描述的通信控制器。本地网络地址获取模块1408和地址发送模块1410可以至少在某些方面对应于例如本文所描述的地址控制器。接入点识别模块1502可以至少在某些方面对应于例如本文所描述的移动控制器。消息发送模块1504可以至少在某些方面对应于例如本文所描述的通信控制器。接入点识别模块1602可以至少在某些方面对应于例如本文所描述的通信控制器。标识符存储模块1604可以至少在某些方面对应于例如本文所描述的数据库。签约信息使用模块1606可以至少在某些方面对应于例如本文所描述的数据库。
[0121]图11-14中的模块的功能可以使用与本文所教导的内容一致的多种方式来实现。在某些方面，这些模块的功能可以实现为一个或者多个电子组件。在某些方面，这些模块的功能可以实现为一个或者多个包含处理器组件的处理系统。在某些方面，这些模块的功能可以使用例如一个或者多个集成电路(例如，ASIC)的至少一部分来实现。根据本文的描述，集成电路可以包含处理器、软件、其它相关组件或者其某些组合。这些模块的功能还可以用本文所教导的某种其它方式实现。在某些方面，图11-14中任意虚线框中的一个或者多个是可选的。
[0122]需要理解的是，使用“第一”、“第二”等名称对任何要素的引用通常并不对这些要素的数量或者顺序产生限制。相反地，本文使用这些名称，是对两个或两个以上要素或要素的实例进行区分的简便方法。因而，当提到第一要素和第二要素的时候，并不意味着这里只用到了两个要素，也不意味着第一要素以某种形式处在第二要素的前面。另外，除非另有说明，一组要素可以包括一个要素或者多个要素。此外，说明书或者权利要求中用到的“A、B或者C中的至少一个”这样的表述形式的意思是:“这些要素中的A或者B或者C或者任意
组合”。
[0123]本领域技术人员应当理解，信息和信号可以使用多种不同的技术和方法来表示。例如，在贯穿上面的描述中提及的数据、指令、命令、信息、信号、比特、符号和码片可以用电压、电流、电磁波、磁场或粒子、光场或粒子或者其任意组合来表示。
[0124]本领域技术人员还应当明白，结合本文公开的各个方面所描述的各种示例性逻辑方框、模块、处理器、装置、电路和算法步骤均可以实现为电子硬件(例如，数字实现、模拟实现、或者两者的组合，其可以使用源代码或者其它技术来设计)、包含指令的各种形式的程序或者设计代码(为方便起见，在本文中其可称为“软件”或者“软件模块”)、或者两者的组合。为了清楚地表示硬件和软件之间的可互换性,上面对各种示例性的部件、方框、模块、电路和步骤均围绕其功能进行了总体描述。至于这种功能是实现为硬件还是实现为软件，取决于特定的应用和对整个系统所施加的设计约束条件。熟练的技术人员可以针对每个特定应用，以变通的方式实现所描述的功能，但是，这种实现决策不应解释为背离了本发明公开内容的保护范围。
[0125]结合本文公开的各个方面所描述的各种示例性逻辑方框、模块和电路，可以在集成电路(1C)、接入终端或接入点内实现或者由集成电路(1C)、接入终端或接入点执行。IC可以包括:通用处理器、数字信号处理器(DSP)、专用集成电路(ASIC)、现场可编程门阵列(FPGA)或其它可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件部件、电子部件、光学部件、机械部件、或者其任意组合，其被设计为执行本文所述功能并且可以执行处于IC内、处于IC外、或者两者的代码或者指令。通用处理器可以是微处理器，或者，该处理器也可以是任何常规的处理器、控制器、微控制器或者状态机。处理器也可能实现为计算设备的组合，例如，DSP和微处理器的组合、多个微处理器、一个或多个微处理器与DSP内核的结合，或者任何其它此种结构。
[0126]可以理解的是，任何所公开过程中的步骤的任何特定顺序或层次仅是典型方式的示例。可以理解的是，根据设计偏好，各过程中步骤的特定顺序或层次可以重新调整，同时保持在本发明公开内容的范围之内。相应的方法权利要求以示范性顺序给出了各步骤的要素，但并不意味着仅限于所示的特定顺序或者层次。
[0127]在一个或多个示例性实施例中，本发明所述功能可以用硬件、软件、固件或其任意组合来实现。如果用软件来实现，可以将这些功能存储在计算机可读介质中或者作为计算机可读介质上的一个或多个指令或代码进行传输。计算机可读介质包括计算机存储介质和通信介质，其中通信介质包括便于从一个地方向另一个地方传送计算机程序的任何介质。存储介质可以是计算机能够存取的任何可用介质。通过示例的方式而非限制的方式，这种计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其它光盘存储、磁盘存储或其它磁存储设备、或者能够用于携带或存储期望的指令或数据结构形式的程序代码并能够由计算机进行存取的任何其它介质。此外，任何连接可以适当地称作为计算机可读介质。例如，如果软件是使用同轴电缆、光纤电缆、双绞线、数字用户线(DSL)或者诸如红外线、无线电和微波之类的无线技术从网站、服务器或其它远程源传输的，那么同轴电缆、光纤电缆、双绞线、DSL或者诸如红外线、无线电和微波之类的无线技术包括在介质的定义中。如本发明所使用的，磁盘和光盘包括压缩盘(CD)、激光盘、光学盘、数字多功能盘(DVD)、软盘和蓝光盘，其中磁盘通常磁性再现数据，而光盘则用激光来光学地再现数据。上面的组合也应当包括在计算机可读介质的范围之内。应当认识到，计算机可读介质可以实现在任何适当的计算机程序广品中。
[0128]上文提供了对本发明公开方面的描述，使得本领域技术人员能够实现或者使用本发明公开的内容。对于本领域技术人员来说，对这些方面的各种修改都是显而易见的，并且本发明定义的总体原理也可以在不脱离公开内容的范围的基础上适用于其它方面。因此，本发明公开内容并不限于本文给出的各个方面，而是应与本发明公开的原理和新颖性特征的最广范围相一致。
【权利要求】
1.一种通信方法，包括: 识别本地网络上将被接入终端接入的接入点； 从所述接入终端向安全网关发送消息，以确定所述安全网关是否已经建立到所述接入点的协议隧道； 从所述安全网关接收对所述消息的响应，其中，所述响应表明所述安全网关是否已经建立到所述接入点的协议隧道。
2.根据权利要求1所述的方法，其中，如果所述响应表明所述安全网关尚未建立到所述接入点的协议隧道，则所述方法还包括: 从所述接入终端向另一个安全网关发送另一个消息，以确定所述另一个安全网关是否已经建立到所述接入点的协议隧道。
3.根据权利要求2所述的方法，还包括: 发送域名系统查询，以确定至少一个安全网关地址； 在对所述查询的响应中接收多个安全网关地址，其中，所述安全网关地址被用来将所述消息发送给所述安全网关以及将所述另一个消息发送给所述另一个网关。
4.根据权利要求1所述的方法，其中，所述响应包括重定向到另一个安全网关。
5.根据权利要求1所述的方法，还包括: 如果所述响应表明所述安全网关已经建立到所述接入点的协议隧道，则维护所述安全网关的地址以用于将来远程接入所述本地网络。
6.根据权利要求1所述的方法，还包括: 在所述接入终端和所述安全网关之间建立另一个协议隧道，以便如果所述响应表明所述安全网关已经建立到所述接入点的协议隧道，则使所述接入终端能够远程接入所述本地网络。
7.根据权利要求6所述的方法，其中，所述协议隧道和所述另一个协议隧道包括IPsec隧道。
8.根据权利要求1所述的方法，其中，所述接入点包括毫微微接入点。
9.一种用于通信的装置，包括: 移动控制器，用于识别本地网络上将被接入终端接入的接入点； 通信控制器，用于从所述接入终端向安全网关发送消息，以确定所述安全网关是否已经建立到所述接入点的协议隧道，并且还用于从所述安全网关接收对所述消息的响应，其中，所述响应表明所述安全网关是否已经建立到所述接入点的协议隧道。
10.根据权利要求9所述的装置，其中，所述通信控制器还用于: 发送域名系统查询，以确定至少一个安全网关地址； 在对所述查询的响应中接收多个安全网关地址，其中，所述安全网关地址被用来将所述消息发送给所述安全网关。
11.根据权利要求9所述的装置，其中，所述响应包括重定向到另一个安全网关。
12.根据权利要求9所述的装置，还包括隧道控制器，用于在所述接入终端和所述安全网关之间建立另一个协议隧道，以便如果所述响应表明所述安全网关已经建立到所述接入点的协议隧道，则使所述接入终端能够远程接入所述本地网络。
13.一种用于通信的装置，包括:用于识别本地网络上将被接入终端接入的接入点的模块； 用于从所述接入终端向安全网关发送消息以确定所述安全网关是否已经建立到所述接入点的协议隧道的模块； 用于从所述安全网关接收对所述消息的响应的模块，其中，所述响应表明所述安全网关是否已经建立到所述接入点的协议隧道。
14.根据权利要求13所述的装置，还包括: 用于发送域名系统查询以确定至少一个安全网关地址的模块； 用于在对所述查询的响应中接收多个安全网关地址的模块，其中，所述安全网关地址被用来将所述消息发送给所述安全网关。
15.根据权利要求13所述的装置，其中，所述响应包括重定向到另一个安全网关。
16.根据权利要求13所述的装置，还包括: 用于在所述接入终端和所述安全网关之间建立另一个协议隧道，以便如果所述响应表明所述安全网关已经建立到所述接入点的协议隧道，则使所述接入终端能够远程接入所述本地网络的模块。
17.—种通信方法，包括: 识别接入终端将要接入的毫微微接入点； 从所述接入终端向安全网关发送消息，以使所述接入终端能够接入所述毫微微接入点，其中，所述消息包括所述`毫微微接入点的标识符。
18.根据权利要求17所述的方法，其中，所述毫微微标识符被嵌入在另一个标识符中，其中所述接入终端将所述另一个标识符用于与所述安全网关的鉴权。
19.一种用于通信的装置，包括: 移动控制器，用于识别接入终端将要接入的毫微微接入点； 通信控制器，用于从所述接入终端向安全网关发送消息，以使所述接入终端能够接入所述毫微微接入点，其中，所述消息包括所述毫微微接入点的标识符。
20.根据权利要求19所述的装置，其中，所述毫微微标识符被嵌入在另一个标识符中，其中所述接入终端将所述另一个标识符用于与所述安全网关的鉴权。
21.一种用于通信的装置，包括: 用于识别接入终端将要接入的毫微微接入点的模块； 用于从所述接入终端向安全网关发送消息以使所述接入终端能够接入所述毫微微接入点的模块，其中，所述消息包括所述毫微微接入点的标识符。
22.根据权利要求21所述的装置，其中，所述毫微微标识符被嵌入在另一个标识符中，其中所述接入终端将所述另一个标识符用于与所述安全网关的鉴权。
【文档编号】H04W92/02GK103491646SQ201310356229
【公开日】2014年1月1日 申请日期:2009年11月16日 优先权日:2008年11月17日
【发明者】P·丁娜功西素帕普, A·帕拉尼恭德尔, R·S·贾亚拉姆, L·R·东代蒂, 王俊 申请人:高通股份有限公司