無(wú)線(xiàn)LAN移動(dòng)接入網(wǎng)
[摘要]：本文主要介紹OWLAN結構、主要系統單元及功能，重點(diǎn)是基于SIM的鑒權、計費和漫游機理，可作為面向全IP網(wǎng)絡(luò )的過(guò)渡方案。
[關(guān)鍵詞]：無(wú)線(xiàn)本地網(wǎng), 結構, 鑒權, 漫游
一、 前言
由于Internet下載流量往往超過(guò)蜂窩通信網(wǎng)的傳輸容量，移動(dòng)通信運行商正在尋找一種公眾無(wú)線(xiàn)接入方案，解決既可以提供以數據為主業(yè)務(wù)，也可以平滑接入Internet獲得數據業(yè)務(wù)。無(wú)線(xiàn)本地網(wǎng) (WLAN) 技術(shù)可提供比蜂窩通信網(wǎng)更寬的帶寬業(yè)務(wù)，運行商WLAN(OWLAN--Operator WLAN)系統利用GSM基礎設施和漫游協(xié)議，以WLAN接入技術(shù)結合GSM用戶(hù)管理和計費機理,使移動(dòng)用戶(hù)在不同運行商的接入網(wǎng)間漫游。
本文主要介紹OWLAN結構、主要系統單元及功能，重點(diǎn)是基于SIM的鑒權、計費和漫游機理。
二、OWLAN
OWLAN系統組合多種無(wú)線(xiàn)通信技術(shù)，它含有公眾LAN接入網(wǎng)和采用IP骨干蜂窩移動(dòng)通信網(wǎng),保留與現存GSM/GPRS核心網(wǎng)漫游和計費功能的兼容性，從終端到蜂窩通信網(wǎng)側采用GSM用戶(hù)認證信令，GSM SIM(Subscribe Identity Module)仍用于WLAM的用戶(hù)管理，無(wú)線(xiàn)LAN向全IP業(yè)務(wù)演進(jìn)的OWLAN系統可作為應用于移動(dòng)環(huán)境中全IP業(yè)務(wù)的基礎設施。
OWLAN系統結構如圖1示意，含有鑒權服務(wù)器(AS-Authentication Service)，接入控制器(AC - Access Controller),接入指針(AP-Access Point)和移動(dòng)終端（MT - Mobile Terminal）。OWLAN系統中AS、AC、AP和MT分別對應于GPRS系統中SGSN、GGSN、BTS和移動(dòng)終端，兩者之間主要差別是OWLAN控制信令和數據送至蜂窩核心網(wǎng)，接入控制器把用戶(hù)分組數據送到IP骨干網(wǎng)。由于，用戶(hù)IP流量并不通過(guò)蜂窩核心網(wǎng)再送至本地網(wǎng)，從而避開(kāi)GPRS因漫游而帶來(lái)的系統復雜問(wèn)題。
移動(dòng)終端用戶(hù)的鑒權過(guò)程是：每個(gè)WLAN終端聯(lián)系每個(gè)WLAN接入點(diǎn)，從接入控制器獲取一個(gè)IP地址，給接入控制器發(fā)出鑒權申請，啟動(dòng)網(wǎng)絡(luò )鑒權。接入控制器把鑒權申請送至鑒權服務(wù)器和本地位置寄存器（HLR），并驗證鑒權用戶(hù)的數據。
三、系統組成
圖2示意OWLAN系統組成及其接口。
3．1 鑒權服務(wù)器
鑒權服務(wù)器用貯存在SIM卡中國際移動(dòng)用戶(hù)身份 (IMSI) 碼來(lái)識別用戶(hù)，不斷地檢查是否有用戶(hù)已漫游登錄到WLAN業(yè)務(wù)上，以SS7信令把鑒權信息送至HLR，運行鑒權，確認和計費（AAA）的RADIUS (Remote Authentication Dial In User Service) 的鑒權協(xié)議，與接入控制器聯(lián)絡(luò )。當用戶(hù)拆線(xiàn)時(shí)，鑒權服務(wù)器從接入控制器中把接收計費數據打印出收據帳單。
3．2 接入控制器
接入控制器作為無(wú)線(xiàn)接入網(wǎng)和IP核心網(wǎng)間的網(wǎng)關(guān)，安排移動(dòng)終端的IP地址，提供已鑒權移動(dòng)終端的IP地址表，監視輸入/出IP分組地址，排除非鑒權移動(dòng)終端的數據。
3．3 無(wú)線(xiàn)LAN接入點(diǎn)
無(wú)線(xiàn)LAN接入點(diǎn)在移動(dòng)終端和固定LAN間提供無(wú)線(xiàn)Ethernet鏈路，作為共享的無(wú)線(xiàn)接口。
3．4 移動(dòng)終端
移動(dòng)終端以預先定義含有漫游的網(wǎng)絡(luò )特征來(lái)檢測漫游移動(dòng)終端，具有SIM和SIM鑒權軟件的終端以WLAN無(wú)線(xiàn)接入能力獲得OWLAN業(yè)務(wù)。移動(dòng)終端既可采用具有集成SIM閱讀器的WLAN卡，又可采用外部擴展WLAN卡。
四、鑒權，付費和接入運行
圖3示意OWLAN控制平面結構。OWLAN控制平面結構中的移動(dòng)終端含漫游控制模塊，它給用戶(hù)提供漫游業(yè)務(wù)控制接口并與SIM卡聯(lián)絡(luò )。圖中特有的接入鑒權記賬協(xié)議（NAAP—Network Access Authentication and Accounting Protocol）含GSM 鑒權消息，它采用用戶(hù)數據報協(xié)議（UDP－User Data gram Protocol）來(lái)重傳連接。
接入控制的關(guān)鍵是接入管理器，它控制IP路由并匯集計費統計數據。RADIUS協(xié)議攜帶SIM的鑒權參數，利用RADIUS協(xié)議發(fā)送計費數據。
鑒權服務(wù)器中重要模塊是鑒權控制器，它處理RADIUS協(xié)議中鑒權消息并與GSM聯(lián)絡(luò )，能把計費數據直接送到各種付費系統的FTP接口。計費網(wǎng)關(guān)接收和存貯來(lái)自接入網(wǎng)的計費信息，用GTP付費協(xié)議與GPRS計費網(wǎng)關(guān)接口。
下面介紹OWLAN系統的鑒權，付費和接入安全等過(guò)程：
4．1 鑒權
OWLAN系統的鑒權是基于SIM機理，接入控制器作為移動(dòng)終端與鑒權服務(wù)器間接口賦予移動(dòng)終端用戶(hù)個(gè)人身份號碼（PIN－Personal Identity Number），SIM卡和用戶(hù)身份號碼都用PIN碼來(lái)加密?；赟IM的OWLAN系統鑒權如圖4示意：
1． 移動(dòng)終端發(fā)出其所歸屬接入控制器響應的NAAP消息；
2． 接收到接入控制器的IP地址后，移動(dòng)終端向接入控制器發(fā)出鑒權申請，接入控制器的IMSI被封裝在網(wǎng)絡(luò )接入標識符（NAI－Network Access Identifier ）內；
3． 接入控制器和RADIUS把鑒權申請送至鑒權服務(wù)器；
4． 鑒權服務(wù)器從本地位置寄存器中提取GSM有關(guān)字節；
5． 6. 鑒權服務(wù)器給移動(dòng)終端發(fā)出RAND，并在RAND上計算鑒別移動(dòng)終端的消息鑒權碼；
7． 移動(dòng)終端計算消息鑒權碼并與從網(wǎng)絡(luò )接收來(lái)的碼進(jìn)行比較。假如兩者不一致，中斷并懷疑為欺詐性業(yè)務(wù)，拒絕其鑒權申請。使攻擊者不可能從IMSI中提取RAND和簽字響應SRES (Signed Response)，也不可能從存貯在SIM卡中提取安全鑰；
8． 移動(dòng)終端利用SIM卡中的算法計算SRES和消息鑒權碼；
9． 移動(dòng)終端把計算結果送至接入控制器；
10. 接入控制器把響應送入鑒權服務(wù)器；
11. 鑒權服務(wù)器用SRES計算消息鑒權碼再驗證響應；
12. 鑒權服務(wù)器把鑒權結果碼送至接入服務(wù)器；
13. 假如鑒權結果是正確的，接入控制器給鑒權服務(wù)器發(fā)出指示，建立新會(huì )話(huà)；
14，15. 接入控制器安置分組數據路由并發(fā)出應答信號。 鑒權中斷有下述原因：HLR中不含有IMSI，接入操作器不支持IMSI的漫游，鑒權服務(wù)器沒(méi)有接收到來(lái)自HLR關(guān)聯(lián)字節，移動(dòng)終端停留在非鑒權狀態(tài)，接入控制器不安置終端IP流量的路由等。
4．2 計費和付費
接入控制器監控數據流量并周期地給鑒權服務(wù)器發(fā)送流量統計信息，計費流量統計方法有下述機理：
1. 基于連接開(kāi)始和終止時(shí)間；
2. 基于傳送數據流量；
3. 基于平直速率。
鑒權服務(wù)器把計費數據轉換成標準的GPRS計費數據格式（CDR－Charging Data Record）,鑒權服務(wù)器確證接收到與鑒權終端有關(guān)的計費數據，確保通信聯(lián)絡(luò )沒(méi)有確證前不會(huì )產(chǎn)生計費記錄。在接入控制器和鑒權服務(wù)器間傳送數據采用IP安全（IP Security -- IPSEC）協(xié)議加密。
4．3 漫游至外來(lái)WLAN網(wǎng)絡(luò )
不同于Internet業(yè)務(wù)運行，OWLAN系統用同一設施和機制來(lái)支持不同接入網(wǎng)間和運行網(wǎng)間的漫游。圖5 示意在OWLAN系統中的漫游機理，其工作流程如下：
圖5. WLAN漫游至外來(lái)操作商網(wǎng)
1. 漫游移動(dòng)終端連結相關(guān)外來(lái)運行商的WLAN，并把鑒權申請發(fā)給接入控制器，接入控制器再把鑒權申請送至鑒權服務(wù)器；
2. 鑒權服務(wù)器驗證IMSI，利用GSM SS7網(wǎng)給HLR發(fā)出鑒權查詢(xún).；
3. 對應的HLR以用戶(hù)和鑒權關(guān)聯(lián)字節進(jìn)行計算鑒權，直至漫游移動(dòng)終端拆線(xiàn)，鑒權服務(wù)器才給付費系統發(fā)出計費記錄；
4. 計算IMSI碼用于漫游移動(dòng)終端的CDR，付費系統把WLAN CDR發(fā)至漫游移動(dòng)終端本地付費系統并給出帳單。
4.4 用戶(hù)遠程安全接入
OWLAN系統利用無(wú)線(xiàn)LAN接入網(wǎng)中移動(dòng)用戶(hù)建立終端與終端，終端與對應網(wǎng)間的加密連接來(lái)保證商務(wù)關(guān)鍵信息的安全性。
五、系統升級性和魯棒性
運行網(wǎng)絡(luò )必須提供足夠冗余特性來(lái)提高OWLAN系統容錯能力和恢復網(wǎng)絡(luò )運行的魯棒性。一個(gè)最小化 OWLAN系統至少應有兩個(gè)鑒權服務(wù)器，采用圖6的RADIUS代理可提高系統容錯能力。
圖6接入控制器連接兩個(gè)RADIUS代理，其中一個(gè)為主,另一個(gè)為副。假如鑒權服務(wù)器沒(méi)有應答接入控制器的消息,副RADIUS代理把消息送至副鑒權服務(wù)器。在發(fā)生差錯情況下, 冗余IP路由和RADIUS代理確保鑒權服務(wù)器之間的無(wú)隙縫交換。在主接入控制失誤或超負荷時(shí),可加副接入控制器來(lái)改進(jìn)系統魯棒性。
本文介紹一個(gè)把無(wú)線(xiàn)LAN接入與GSM / GPRS漫游綜合在一起的OWLAN系統。OWLAN系統把蜂窩移動(dòng)鑒權與本地IP接入組合起來(lái)，與公眾WLAN接入組合開(kāi)發(fā)GSM鑒權，基于SIM用戶(hù)管理和付費機理，允許移動(dòng)終端使用相同SIM和用戶(hù)標志來(lái)接入WLAN，可作為面向全IP網(wǎng)絡(luò )的過(guò)渡方案。（金曉軍 高級工程師，北京交通大學(xué)現代通信研究所實(shí)驗室主任 摘自《中國移動(dòng)通信》）
