连接处理方法及系统 【技术领域】
本发明涉及通信领域，具体而言，涉及一种连接处理方法及系统。背景技术 家 庭 基 站 (Home NodeB， 简 称 为 HNB) 用 来 为 处 在 家 庭 内 的 第 三 代 (3rd Generation，简称为 3G) 手机提供 3G 的无线覆盖。 它被连接到已经存在的住宅宽带服 务。 它包含了一个标准的 Node B(3G 宏无线接入网络的一个元素 ) 的功能和一个标准的 无线网络控制器 (Radio Network Controller，简称为 RNC) 的无线资源管理功能。
图 1 是根据相关技术的 HNB 系统结构的示意图，如图 1 所示，第三代合作 伙伴计划 (3rd Generation Partnership Project，简称为 3GPP) 用户设备和 HNB 之间的界 面 在 全 球 移 动 通 信 系 统 无 线 接 入 网 (Universal Mobile Telecommunication System Radio Access Network，简称为 UTRAN) 中是回程且相容的空中接口。 HNB 通过一个安全网关 (Security GateWay，简称为 SeGW) 接入运营商的核心网，其中 HNB 和 SeGW 之间的宽带 互联网协议 (Internet Protocol，简称为 IP) 回程可能是不安全的。 在此回程中传播的信息 要被 HNB 和 SeGW 之间建立的安全通道保护。 SeGW 代表运营商的核心网和 HNB 进行 相互认证。 家庭基站网关 (HNB Gateway，简称为 HNB GW) 和 SeGW 是在运营商的核心 网内逻辑上分离的实体，用于非非公开授权用户组 (Closed Subscriber Group，简称 CSG) 的用户设备 (User Equipment，简称为 UE) 的接入控制。 H(e)MS 需要安全的通信。
图 2 是 根 据 相 关 技 术 的 H(e)NB 系 统 结 构 的 示 意 图。 家 庭 ( 演 进 ) 基 站 (Home(Evolved)NodeB，简称为 H(e)NB) 和 HNB 的区别就是它是连接 3GPP 用户设备和 演进的陆地无线接入网 (Evolved UTRAN，简称为 E-UTRAN) 的空中接口。 H(e)NB 网 关 (Home eNodeB Gateway，简称为 H(e)NB GW) 为选择性部署。 如果 H(e)NB GW 被 部署，则 SeGW 与 H(e)NB GW 可以结合在一起 ；如果它们未被结合在一起，则 SeGW 与 H(e)NB GW 之间的接口可用 NDS/IP 进行保护。
H(e)NB 包括 HNB 和 H(e)NB，是 HNB 和 H(e)NB 的统称。
针对 H(e)NB 的安全，3GPP TR 33.820 定义了 27 种威胁。 这 27 种威胁被归纳 为 7 大类。 他们分别是 ：对 H(e)NB 资格证书的危害，对 H(e)NB 的物理攻击，对 H(e) NB 的构造的攻击，对 H(e)NB 的协议的攻击，对核心网的攻击 ( 包括基于 H(e)NB 位置 的攻击 )，对用户的数据和身份隐私的攻击以及对无线资源和管理的攻击。
图 3 是根据相关技术的包含 H(e)NB GW 的 EUTRAN 架构的示意图，如图 3 所 示，在此架构中， MME 和 / 或 S-GW 与 H(e)NB GW 之间有 S1 口来进行控制面和用户 面数据的传输， MME 和 / 或 S-GW 与 H(e)NB 之间有 S1 口来进行控制面和用户面数据 的传输， H(e)NBGW 与 H(e)NB 之间也有 S1 来进行控制面和用户面数据的传输。
图 3 中，现有安全规范对 MME 和 / 或 S-GW 与 eNB 之间的 S1 口进行了安全保 护。 与 eNB 不同， H(e)NB 处在一个更加容易受到攻击的环境，也更容易被攻击，但是 相关技术中，其与 MME 和 / 或 S-GW 之间的 S1 口并没有得到保护，从而不能保证 H(e)
NB 数据传输机制的可靠性与安全性。 发明内容 针对相关技术中 H(e)NB 与 MME 和 / 或 S-GW 之间的 S1 口并没有得到保护的 问题而提出本发明，为此，本发明的主要目的在于提供一种连接处理方法及系统，以解 决上述问题。
为了实现上述目的，根据本发明的一个方面，提供了一种连接处理方法。
根据本发明的连接处理方法包括 ：MME 和 / 或 S-GW 与 H(e)NB 之间建立安全 连接 ；MME 和 / 或 S-GW 与 H(e)NB 之间的连接通过安全连接进行保护。
进一步地， MME 和 / 或 S-GW 与 H(e)NB 建立安全连接包括 ：MME 和 / 或 S-GW 与安全网关 SeGW 建立安全连接 ；SeGW 与 H(e)NB 建立安全连接。
进一步地，MME 和 / 或 S-GW 与 SeGW 建立安全连接包括 ：MME 和 / 或 S-GW 与家庭 ( 演进 ) 基站网关 H(e)NB GW 建立安全连接 ；H(e)NB GW 与 SeGW 建立安全连 接。
进一步地，MME 和 / 或 S-GW 与 H(e)NB GW 建立的安全连接包括以下至少之 一 ：IPsec 隧道、 TLS 隧道、 NDS/IP。
进一步地， H(e)NB GW 与 SeGW 建立的安全连接包括以下之一 ：NDS/IP、 H(e)NB GW 与 SeGW 的结合。
进一步地，当 MME 和 / 或 S-GW 与 SeGW 建立的安全连接不经过 H(e)NB GW 时，上述方法还包括 ：MME 和 / 或 S-GW 与 H(e)NBGW 建立安全连接 ；H(e)NB GW 与 SeGW 建立安全连接。
进一步地，MME 和 / 或 S-GW 与 SeGW 建立的不经过 H(e)NBGW 的安全连接 包括以下至少之一 ：IPsec 隧道、 TLS 隧道、 NDS/IP。
进一步地，在 SeGW 与 H(e)NB 建立安全连接之后，上述方法还包括 ：SeGW 与 H(e)NB 进行认证。
进一步地，安全连接包括以下至少之一 ：数据源认证、机密性保护、完整性保 护、防重放保护。
为了实现上述目的，根据本发明的另一个方面，提供了一种连接处理系统。
根据本发明的连接处理系统包括 MME 和 / 或 S-GW 与 H(e)NB，其中 MME 和 / 或 S-GW 包括 ：第一建立模块，用于与 H(e)NB 建立安全连接，第一连接处理模块，用 于通过安全连接对 MME 和 / 或 S-GW 与 H(e)NB 之间的连接进行保护 ；H(e)NB 包括第 二建立模块，用于与 MME 和 / 或 S-GW 建立安全连接，第二连接处理模块，用于通过安 全连接对 MME 和 / 或 S-GW 与 H(e)NB 之间的连接进行保护。
本发明通过 H(e)NB 与 MME 和 / 或 S-GW 建立安全连接，并使用该安全连接进 行数据传输，解决了相关技术中 H(e)NB 与 MME 和 / 或 S-GW 之间的 S1 口并没有得到 保护的问题，从而增加了 H(e)NB 系统数据传输机制的可靠性和安全性，解决了 H(e)NB 系统在安全方面的缺陷，提升了 H(e)NB 系统的安全性能。
附图说明 此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发 明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。 在附图中 ：
图 1 是根据相关技术的 HNB 系统结构的示意图 ；
图 2 是根据相关技术的 H(e)NB 系统结构的示意图 ；
图 3 是根据相关技术的包含 H(e)NB GW 的 EUTRAN 架构的示意图 ；
图 4 是根据本发明实施例的连接处理方法的流程图 ；
图 5 是根据本发明优选实施例的连接处理方法的流程图 ；
图 6 是根据本发明优选实施例一的连接处理方法的交互流程图 ；
图 7 是根据本发明优选实施例二的连接处理方法的交互流程图 ；
图 8 是根据本发明优选实施例三的连接处理方法的交互流程图 ；
图 9 是根据本发明优选实施例四的连接处理方法的交互流程图 ；
图 10 是根据本发明优选实施例五的连接处理方法的交互流程图 ；
图 11 是根据本发明优选实施例六的连接处理方法的交互流程图 ；
图 12 是根据本发明实施例的连接处理系统的结构框图。
具体实施方式
需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以 相互组合。 下面将参考附图并结合实施例来详细说明本发明。
本发明实施例提供了一种连接处理方法。 图 4 是根据本发明实施例的连接处理 方法的流程图，如图 4 所示，包括如下的至步骤 S404。
步骤 S402， MME 和 / 或 S-GW 与 H(e)NB 建立安全连接。
步骤 S404，MME 和 / 或 S-GW 与 H(e)NB 之间的连接通过安全连接进行保护。
相关技术中， H(e)NB 与 MME 和 / 或 S-GW 之间的 S1 口并没有得到保护，从 而不能保证 H(e)NB 数据传输机制的可靠性与安全性。 本发明实施例中，通过 H(e)NB 与 MME 和 / 或 S-GW 建立安全连接，并使用该安全连接进行连接处理，增加了 H(e)NB 系统数据传输机制的可靠性和安全性，解决了 H(e)NB 系统在安全方面的缺陷，提升了 H(e)NB 系统的安全性能。
优选地，MME 和 / 或 S-GW 与 H(e)NB 建立安全连接包括 ：MME 和 / 或 S-GW 与 SeGW 建立安全连接 ；SeGW 与 H(e)NB 建立安全连接。
优选地，MME 和 / 或 S-GW 与 SeGW 建立安全连接包括 ：MME 和 / 或 S-GW 与家庭 ( 演进 ) 基站网关 H(e)NB GW 建立安全连接 ；H(e)NB GW 与 SeGW 建立安全连 接。
优选地， MME 和 / 或 S-GW 与 H(e)NB GW 建立的安全连接包括以下至少之 一 ：IPsec 隧道、 TLS 隧道、 NDS/IP。
优选地， H(e)NB GW 与 SeGW 建立的安全连接包括以下之一 ：NDS/IP、 H(e) NB GW 与 SeGW 的结合。
优选地，当 MME 和 / 或 S-GW 与 SeGW 建立的安全连接不经过 H(e)NB GW 时，上述方法还包括 ：MME 和 / 或 S-GW 与 H(e)NB GW 建立安全连接 ；H(e)NB GW与 SeGW 建立安全连接。
优选地，MME 和 / 或 S-GW 与 SeGW 建立的不经过 H(e)NB GW 的安全连接包 括以下至少之一 ：IPsec 隧道、 TLS 隧道、 NDS/IP。
优选地，在 SeGW 与 H(e)NB 建立安全连接之后，上述方法还包括 ：SeGW 与 H(e)NB 进行认证。
优选地，安全连接包括以下至少之一 ：数据源认证、机密性保护、完整性保 护、防重放保护。
优选地，H(e)NB 与 MME 和 / 或 S-GW 之间的连接处理通过上述两个和 / 或一 个安全连接来进行安全保护。
下面将结合实例对本发明实施例的实现过程进行详细描述。
图 5 是根据本发明优选实施例的连接处理方法的流程图，如图 5 所示，包括如下 的步骤 S502 至步骤 S514。
步骤 S502，MME 和 / 或 S-GW 与 HeNB GW 之间建立 IPsec 隧道和 / 或 TLS 隧 道。
步骤 S504，HeNB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/IP 或 H(e)NB GW 与 SeGW 结合。 步骤 S506， MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接可由 MME 和 / 或 S-GW 与 H(e)NB GW 之间的安全连接和 H(e)NB GW 与 SeGW 之间的安全 连接组成，或为另外一条 IPsec 隧道和 / 或 TLS 隧道。
步骤 S508， HeNB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S510，判断 HeNB 与 MME 和 / 或 S-GW 之间的数据传输是否通过两个安 全连接来进行安全保护，如果是，则进行步骤 S512，否则进行步骤 S514。
步骤 S512， HeNB 与 MME 和 / 或 S-GW 之间的数据传输分开保护，即，通过 两个安全连接来进行安全保护。
步骤 S514，HeNB 与 MME 和 / 或 S-GW 之间的数据传输经同一安全连接保护， 即，通过一个安全连接来进行安全保护。
需要说明的是，步骤 S512 和步骤 S514 中的安全保护可以为数据源认证和 / 或机 密性保护和 / 或完整性保护和 / 或防重放保护，并可以用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接均可为 IPsec 隧道和 / 或 TLS 隧道。
图 6 是根据本发明优选实施例一的连接处理方法的交互流程图，如图 6 所示，包 括如下的步骤 S602 至步骤 S612。
步骤 S602，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S604，H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S606， MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接为另 外一条 IPsec 隧道和 / 或 TLS 隧道，此安全连接不经过 H(e)NB GW。
步骤 S608， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S610，H(e)NB 与 MME 和 / 或 S-GW 之间的控制面数据传输通过经由 H(e)
NB GW 的安全连接进行保护。
步骤 S612， H(e)NB 与 MME 和 / 或 S-GW 之间的用户面数据传输通过不经过 H(e)NB GW 的安全连接进行保护。
需要说明的是，步骤 S610 和步骤 S612 中的安全保护可为数据源认证和 / 或机密 性保护和 / 或完整性保护和 / 或防重放保护。 用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接可为 IPsec 隧道和 / 或 TLS 隧道。
图 7 是根据本发明优选实施例二的连接处理方法的交互流程图，如图 7 所示，包 括如下的步骤 S702 至步骤 S712。
步骤 S702，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S704，H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S706， MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接为另 外一条 IPsec 隧道和 / 或 TLS 隧道，此安全连接不经过 H(e)NB GW。
步骤 S708， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。 步骤 S710，H(e)NB 与 MME 和 / 或 S-GW 之间的控制面数据传输通过经由 H(e) NB GW 的安全连接进行保护。
步骤 S712， H(e)NB 与 MME 和 / 或 S-GW 之间的控制面数据和用户面数据传 输通过不经过 H(e)NB GW 的安全连接进行保护。
需要说明的是，步骤 S710 和步骤 S712 中的安全保护可为数据源认证和 / 或机密 性保护和 / 或完整性保护和 / 或防重放保护。 用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接可为 IPsec 隧道和 / 或 TLS 隧道。
图 8 是根据本发明优选实施例三的连接处理方法的交互流程图，如图 8 所示，包 括如下的步骤 S802 至步骤 S812。
步骤 S802，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S804，H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S806， MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接为另 外一条 IPsec 隧道和 / 或 TLS 隧道，此安全连接不经过 H(e)NB GW。
步骤 S808， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S810， H(e)NB 与 MME 和 / 或 S-GW 之间的控制面数据和用户面数据传 输通过经由 H(e)NB GW 的安全连接进行保护。
步骤 S812， H(e)NB 与 MME 和 / 或 S-GW 之间的用户面数据传输通过不经过 H(e)NB GW 的安全连接进行保护。
需要说明的是，步骤 S810 和步骤 S812 中的安全保护可为数据源认证和 / 或机密 性保护和 / 或完整性保护和 / 或防重放保护。 用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接可为 IPsec 隧道和 / 或 TLS 隧道。
图 9 是根据本发明优选实施例四的连接处理方法的交互流程图，如图 9 所示，包
括如下的步骤 S902 至步骤 S912。
步骤 S902，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S904，H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S906， MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接为另 外一条 IPsec 隧道和 / 或 TLS 隧道，此安全连接不经过 H(e)NB GW。
步骤 S908， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S910， H(e)NB 与 MME 和 / 或 S-GW 之间的控制面和用户面数据传输通 过经由 H(e)NB GW 的安全连接进行保护。
步骤 S912， H(e)NB 与 MME 和 / 或 S-GW 之间的控制面和用户面数据传输通 过不经过 H(e)NB GW 的安全连接进行保护。
需要说明的是，步骤 S910 和步骤 S912 中的安全保护可为数据源认证和 / 或机密 性保护和 / 或完整性保护和 / 或防重放保护。 用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接可为 IPsec 隧道和 / 或 TLS 隧道。 图 10 是根据本发明优选实施例五的连接处理方法的交互流程图，如图 10 所示， 包括如下的步骤 S1002 至步骤 S1010。
步骤 S1002，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S1004， H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/ IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S1006，MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接可由 MME 和 / 或 S-GW 与 H(e)NB GW 之间的安全连接和 H(e)NB GW 与 SeGW 之间的安全 连接组成。
步骤 S 1008， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S1010，H(e)NB 与 MME 和 / 或 S-GW 之间的用户面和 / 或控制面数据传 输通过逐跳的安全连接来进行安全保护。
需要说明的是，步骤 S1010 中的安全保护可为数据源认证和 / 或机密性保护和 / 或完整性保护和 / 或防重放保护。 用于保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据 传输的安全连接均可为 IPsec 隧道和 / 或 TLS 隧道。
图 11 是根据本发明优选实施例六的连接处理方法的交互流程图，如图 11 所示， 包括如下的步骤 S1102 至步骤 S1112。
步骤 S1102，MME 和 / 或 S-GW 与 H(e)NB GW 之间建立 IPsec 隧道和 / 或 TLS 隧道。
步骤 S1104， H(e)NB GW 与 SeGW 之间建立安全连接，此安全连接可为 NDS/ IP 或 H(e)NB GW 与 SeGW 结合。
步骤 S1106，MME 和 / 或 S-GW 与 SeGW 之间建立安全连接，此安全连接可由 MME 和 / 或 S-GW 与 H(e)NB GW 之间的安全连接和 H(e)NB GW 与 SeGW 之间的安全 连接组成。
步骤 S1108， H(e)NB 与 SeGW 之间进行相互认证并建立安全连接。
步骤 S1110，H(e)NB 与 MME 和 / 或 S-GW 之间的控制面数据传输通过逐跳的 安全连接来进行安全保护。
步骤 S1112，此安全保护可为数据源认证和 / 或机密性保护和 / 或完整性保护和 / 或防重放保护。
H(e)NB 与 MME 和 / 或 S-GW 之间的用户面数据传输通过逐跳的安全连接来进 行安全保护。 此安全保护可为数据源认证和 / 或机密性保护和 / 或防重放保护。 用于 保护 H(e)NB 与 MME 和 / 或 S-GW 之间的数据传输的安全连接均可为 IPsec 隧道和 / 或 TLS 隧道。
需要说明的是，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令 的计算机系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可 以以不同于此处的顺序执行所示出或描述的步骤。
本发明实施例提供了一种连接处理系统，该连接处理系统可以用于实现上述连 接处理方法。 图 12 是根据本发明实施例的连接处理系统的结构框图，如图 12 所示，包 括 MME 和 / 或 S-GW 122 与 H(e)NB 124，其中 MME 和 / 或 S-GW 122 包括第一建立模 块 1222 和第一连接处理模块 1224，H(e)NB 124 包括第二建立模块 1242 和第二连接处理 模块 1244。 下面对其进行详细描述。
第一建立模块 1222，用于与 H(e)NB 124 建立安全连接，第一连接处理模块 1224，连接至第一建立模块 1222，用于通过第一建立模块 1222 建立的安全连接对 MME 和 / 或 S-GW 122 与 H(e)NB 124 之间的连接进行保护。
第二建立模块 1242，用于与 MME 和 / 或 S-GW 122 建立安全连接，第二连接处 理模块 1244，连接至第二建立模块 1242，用于通过第二建立模块 1242 建立的安全连接对 MME 和 / 或 S-GW 122 与 H(e)NB 124 之间的连接进行保护。
具体地，第二建立模块 1242，用于与 MME 和 / 或 S-GW 122 中的第一建立模块 1222 建立安全连接，第二连接处理模块 1244，连接至第二建立模块 1242，用于通过第二 建立模块 1242 建立的安全连接对 MME 和 / 或 S-GW 122 中的第一连接处理模块 1224 与 第二连接处理模块 1244 之间的连接进行保护。
需要说明的是，装置实施例中描述的连接处理系统对应于上述的方法实施例， 其具体的实现过程在方法实施例中已经进行过详细说明，在此不再赘述。
综上所述，根据本发明的上述实施例，提供了一种连接处理方法及系统。 通过 H(e)NB 与 MME 和 / 或 S-GW 建立安全连接，并使用该安全连接进行连接处理，解决了 相关技术中 H(e)NB 与 MME 和 / 或 S-GW 之间的 S1 口并没有得到保护的问题，从而增 加了 H(e)NB 系统数据传输机制的可靠性和安全性，解决了 H(e)NB 系统在安全方面的缺 陷，提升了 H(e)NB 系统的安全性能。
显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通 用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所 组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将 它们存储在存储装置中由计算装置来执行，或者将它们分别制作成各个集成电路模块， 或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。 这样，本发明不限制于任何特定的硬件和软件结合。
以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的 技术人员来说，本发明可以有各种更改和变化。 凡在本发明的精神和原则之内，所作的 任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。