一种会聚式WLAN中由AC完成WPI时的STA漫游切换方法及其系统.pdf

本发明涉及一种会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，该方法包括步骤：1)站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；2)目的访问控制器AC向已关联访问控制器AC请求基密钥或单播会话密钥；3)已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；4)目的访问控制器AC通知目的无线终端点WTP加入站点STA；5)站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥；6)目的AC告知目的WTP打开受控端口。本发明能够实现在基于WAPI协议的会聚式WLAN中站点STA在不同控制器下不同无线终端点WTP之间快速安全的漫游切换。

1、  一种会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：该方法包括以下步骤：
1)站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；
2)目的访问控制器AC向已关联访问控制器AC请求单播会话密钥或基密钥；
3)已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；
4)目的访问控制器AC通知目的无线终端点WTP加入站点STA；
5)站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥；
6)目的访问控制器AC告知目的无线终端点WTP打开受控端口。

2、  根据权利要求1所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤1)的具体实现方式是：

1.  1)站点STA被动侦听目的无线终端点WTP的信标帧获得包括WAPI信息元素的目的无线终端点WTP的相关参数，该WAPI信息元素包括目的无线终端点WTP支持的WAI鉴别及密钥管理套件、密码套件；或者站点STA主动向目的无线终端点WTP发送探询请求帧，目的无线终端点WTP收到站点STA的探询请求帧后，向站点STA发送探询响应帧，站点STA收到探询响应帧即获得包括WAPI信息元素的目的无线终端点WTP的相关参数，该WAPI信息元素包括目的无线终端点WTP支持的WAI鉴别及密钥管理套件、密码套件；

1.  2)在本地MAC模式中，站点STA向目的无线终端点WTP发送链路验证请求帧，请求与目的无线终端点WTP之间的链路验证，目的无线终端点WTP根据站点STA的链路验证请求帧，向站点STA发送链路验证响应帧；在分离MAC模式中，站点STA向目的访问控制器AC发送链路验证请求帧，请求与目的访问控制器AC之间的链路验证，目的访问控制器AC根据站点STA的链路验证请求帧，向站点STA发送链路验证响应帧；

1.  3)链路验证成功后，站点STA向目的访问控制器AC发送重新关联请求帧，请求与目的访问控制器AC进行重新关联，站点STA在重新关联请求帧中包含当前已关联无线终端点WTP的标识、已关联访问控制器AC的标识以及WAPI信息元素确定站点STA选择的WAI鉴别及密钥管理套件、密码套件；其中，站点STA所选择的WAI鉴别及密钥管理套件、密码套件等最好和其与已关联访问控制器AC关联时所选择套件的相同；目的访问控制器AC解析站点STA的重新关联请求帧，向站点STA发送重新关联响应帧。

3、  根据权利要求2所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤2)的具体实现方式是：

2.  1)目的访问控制器AC利用与已关联访问控制器AC之间预先建立的安全通道向已关联访问控制器AC发送单播会话密钥或基密钥请求信息，其中包含站点STA删除信息；

2.  2)已关联访问控制器AC根据目的访问控制器AC的单播会话密钥或基密钥请求信息，已关联访问控制器AC利用与目的访问控制器AC之间的安全通道向目的访问控制器AC发送单播会话密钥或基密钥，其中向目的访问控制器AC发送的单播会话密钥或者完全等于站点STA和已关联访问控制器AC之间的单播会话密钥，或者由站点STA和已关联访问控制器AC之间的单播会话密钥利用扩展参数通过单向函数计算得到；向目的访问控制器AC发送的基密钥或者完全等于站点STA和已关联访问控制器AC之间的基密钥，或者由站点STA和已关联访问控制器AC之间的基密钥利用扩展参数通过单向函数计算得到；扩展参数是站点STA和目的访问控制器AC之间预先可知的参数。

4、  根据权利要求3所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤3)的具体实现方式是：

3.  1)已关联访问控制器AC根据目的访问控制器AC的单播会话密钥或基密钥请求信息中的站点STA删除信息，向已关联无线终端点WTP发送CAPWAP站点STA配置请求消息，消息中包含删除站点STA等消息元素；

3.  2)已关联无线终端点WTP向已关联访问控制器AC发送CAPWAP站点STA配置响应消息，其中包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码消息元素。

5、  根据权利要求4所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤4)的具体实现方式是：

4.  1)访问控制器AC向目的无线终端点WTP发送CAPWAP站点STA配置请求消息，该请求消息中包含加入站点STA、GB15629.11加入站点STA、GB15629.11站点STA会话密钥消息元素；其中，GB15629.11站点STA会话密钥消息元素中的A被置为1用于告知目的无线终端点WTP关闭受控端口，仅转发来自对应站点STA的WAI协议数据；

4.  2)目的无线终端点WTP向访问控制器AC发送CAPWAP站点STA配置响应消息，该响应消息包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码消息元素。

6、  根据权利要求5所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤5)的具体实现方式是：

5.  1)当目的访问控制器AC请求的是基密钥时，目的访问控制器AC与站点STA基于所请求的基密钥进行WAI单播密钥协商；包括：目的无线终端点WTP对来自目的访问控制器AC的按照CAPWAP数据封装格式封装的WAI单播密钥协商数据进行拆封后转发给站点STA；对来自站点STA的WAI单播密钥协商数据按照CAPWAP数据封装格式进行封装后发送给目的访问控制器AC；当目的访问控制器AC请求的是单播会话密钥时，省略步骤5.1)进至步骤5.2)；

5.  2)目的访问控制器AC与站点STA进行WAI组播密钥通告；包括：目的无线终端点WTP对来自目的访问控制器AC的按照CAPWAP数据封装格式封装的WAI组播密钥通告数据进行拆封后转发给站点STA；对来自站点STA的WAI组播密钥通告数据按照CAPWAP数据封装格式进行封装后发送给目的访问控制器AC。

7、  根据权利要求6所述的会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换方法，其特征在于：所述步骤6)的具体实现方式是：

6.  1)目的访问控制器AC向目的无线终端点WTP发送CAPWAP站点STA配置请求消息，该请求消息中包含加入站点STA、GB15629.11加入站点STA、GB15629.11站点STA会话密钥消息元素；其中站点STA会话密钥中的C被置1，用于告知目的无线终端点WTP打开与站点STA对应的受控端口，转发来自该站点STA的所有数据，包括WAI协议数据和非WAI协议数据；

6.  2)目的无线终端点WTP向目的访问控制器AC发送CAPWAP站点STA配置响应消息，该响应消息其中包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码消息元素。

8、  一种会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换系统，其特征在于：所述系统包括目的访问控制器AC、已关联访问控制器AC、目的无线终端点WTP、已关联无线终端点WTP以及站点STA，所述站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；所述目的访问控制器AC向已关联访问控制器AC请求单播会话密钥或基密钥；所述已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；所述目的访问控制器AC通知目的无线终端点WTP加入站点STA；所述站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥。

一种会聚式WLAN中由AC完成WPI时的STA漫游切换方法及其系统
技术领域
本发明涉及一种会聚式WLAN中由AC完成WPI时的STA漫游切换方法及其系统。
背景技术
目前基于WAPI(WLAN Authentication and Privacy Infrastructure)协议的WLAN(Wireless Local Area Network)中站点STA(Station)漫游切换方法均是在自治式WLAN体系架构下提出的，无法直接适用于基于WAPI的会聚式WLAN体系架构。在会聚式WLAN体系架构中，由访问控制器AC(Access Controller)、无线交换机或者无线路由器等访问控制设备集中管理WLAN的鉴别和策略执行功能，这些设备还可以提供集中的桥接、转发、加解密用户数据等功能。
发明内容
为了解决背景技术中存在的由于目前基于WAPI的WLAN中站点STA漫游切换方法仅适用于自治式架构的缺陷，本发明提供了一种会聚式WLAN体系架构下当由访问控制器AC实现无线局域网保密基础设施WPI(WLAN PrivacyInfrastructure)时站点STA在不同AC下无线终端点WTP(Wireless Terminal Point)之间的漫游切换方法及其系统。这里访问控制器AC也可由无线交换机或者无线路由器等设备代替。
本发明的技术解决方案是：本发明提供了一种会聚式WLAN中由访问控制器AC完成WPI时站点STA在不同访问控制器AC下无线终端点WTP之间的漫游切换方法，其特殊之处在于该方法包括以下步骤：
1)站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；
2)目的访问控制器AC向已关联访问控制器AC请求单播会话密钥或基密钥；
3)已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；
4)目的访问控制器AC通知目的无线终端点WTP加入站点STA；
5)站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥；
6)目的访问控制器AC告知目的无线终端点WTP打开受控端口。
上述步骤1)的具体实现方式是：
1.1)站点STA被动侦听目的无线终端点WTP的信标帧获得包括WAPI信息元素的目的无线终端点WTP的相关参数，该WAPI信息元素包括目的无线终端点WTP支持的无线局域网鉴别基础设施WAI(WLAN Authentication Infrastructure)鉴别及密钥管理套件、密码套件；或者站点STA主动向目的无线终端点WTP发送探询请求帧，目的无线终端点WTP收到站点STA的探询请求帧后，向站点STA发送探询响应帧，站点STA收到探询响应帧即获得包括WAPI信息元素的目的无线终端点WTP的相关参数，该WAPI信息元素包括目的无线终端点WTP支持的WAI鉴别及密钥管理套件、密码套件；
1.2)在本地媒体访问控制MAC(Medium Access Control)模式中，站点STA向目的无线终端点WTP发送链路验证请求帧，请求与目的无线终端点WTP之间的链路验证，目的无线终端点WTP根据站点STA的链路验证请求帧，向站点STA发送链路验证响应帧；在分离MAC模式中，站点STA向目的访问控制器AC发送链路验证请求帧，请求与目的访问控制器AC之间的链路验证，目的访问控制器AC根据站点STA的链路验证请求帧，向站点STA发送链路验证响应帧；
1.3)链路验证成功后，站点STA向目的访问控制器AC发送重新关联请求帧，请求与目的访问控制器AC进行重新关联，站点STA在重新关联请求帧中包含当前已关联无线终端点WTP的标识、已关联访问控制器AC的标识以及WAPI信息元素确定站点STA选择的WAI鉴别及密钥管理套件、密码套件；其中，站点STA所选择的WAI鉴别及密钥管理套件、密码套件等最好和其与已关联访问控制器AC关联时所选择套件的相同；目的访问控制器AC解析站点STA的重新关联请求帧，向站点STA发送重新关联响应帧。
上述步骤2)的具体实现方式是：
2.1)目的访问控制器AC利用与已关联访问控制器AC之间预先建立的安全通道向已关联访问控制器AC发送单播会话密钥或基密钥请求信息，其中包含站点STA删除信息；
2.2)已关联访问控制器AC根据目的访问控制器AC的单播会话密钥或基密钥请求信息，已关联访问控制器AC利用与目的访问控制器AC之间的安全通道向目的访问控制器AC发送单播会话密钥或基密钥，其中向目的访问控制器AC发送的单播会话密钥或者完全等于站点STA和已关联访问控制器AC之间的单播会话密钥，或者由站点STA和已关联访问控制器AC之间的单播会话密钥利用扩展参数通过单向函数计算得到；向目的访问控制器AC发送的基密钥或者完全等于站点STA和已关联的访问控制器AC之间的基密钥，或者由站点STA和已关联的访问控制器AC之间的基密钥利用扩展参数通过单向函数计算得到；扩展参数是站点STA和目的访问控制器AC之间预先可知的参数。
上述步骤3)的具体实现方式是：
3.1)已关联访问控制器AC根据目的访问控制器AC的单播会话密钥或基密钥请求信息中的站点STA删除信息，向已关联无线终端点WTP发送无线终端点控制与配置协议CAPWAP(Control And Provisioning of Wireless Access Pointsprotocol)站点STA配置请求(Station Configuration Request)消息，消息中包含删除站点STA(Delete Station)等消息元素；
3.2)已关联无线终端点WTP向已关联访问控制器AC发送CAPWAP站点STA配置响应(Station Configuration Response)消息，其中包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码(Result Code)消息元素。
上述步骤4)的具体实现方式是：
4.1)访问控制器AC向目的无线终端点WTP发送CAPWAP站点STA配置请求(Station Configuration Request)消息，该请求消息中包含加入站点STA(AddStation)、GB15629.11加入站点STA(GB15629.11 Add Station)、GB15629.11站点STA会话密钥(GB15629.11 Station Session Key)消息元素；其中，GB15629.11站点STA会话密钥消息元素中的A被置为1用于告知目的无线终端点WTP关闭受控端口，仅转发来自对应站点STA的WAI协议数据；
4.2)目的无线终端点WTP向访问控制器AC发送CAPWAP站点STA配置响应(Station Configuration Response)消息，该响应消息包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码(Result Code)消息元素。
上述步骤5)的具体实现方式是：
5.1)当目的访问控制器AC请求的是基密钥时，目的访问控制器AC与站点STA基于所请求的基密钥进行WAI单播密钥协商；包括：目的无线终端点WTP对来自目的访问控制器AC的按照CAPWAP数据封装格式封装的WAI单播密钥协商数据进行拆封后转发给站点STA；对来自站点STA的WAI单播密钥协商数据按照CAPWAP数据封装格式进行封装后发送给目的访问控制器AC；当目的访问控制器AC请求的是单播会话密钥时，省略步骤5.1)进至步骤5.2)；
5.2)目的访问控制器AC与站点STA进行WAI组播密钥通告；包括：目的无线终端点WTP对来自目的访问控制器AC的按照CAPWAP数据封装格式封装的WAI组播密钥通告数据进行拆封后转发给站点STA；对来自站点STA的WAI组播密钥通告数据按照CAPWAP数据封装格式进行封装后发送给目的访问控制器AC。
上述步骤6)的具体实现方式是：
6.1)目的访问控制器AC向目的无线终端点WTP发送CAPWAP站点STA配置请求(Station Configuration Request)消息，该请求消息中包含加入站点STA(AddStation)、GB15629.11加入站点STA(GB15629.11 Add Station)、GB15629.11站点STA会话密钥(GB15629.11 Station Session Key)消息元素；其中站点STA会话密钥中的C被置1，用于告知目的无线终端点WTP打开与站点STA对应的受控端口，转发来自该站点STA的所有数据，该数据包括WAI协议数据和非WAI协议数据；
6.2)目的无线终端点WTP向目的访问控制器AC发送CAPWAP站点STA配置响应(Station Configuration Response)消息，该响应消息其中包含用于标识对CAPWAP站点STA配置请求消息的处理结果的结果码(Result Code)消息元素。
一种会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换系统，其特殊之处在于：所述系统包括目的访问控制器AC、已关联访问控制器AC、目的无线终端点WTP、已关联无线终端点WTP以及站点STA，所述站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；目的访问控制器AC向已关联访问控制器AC请求单播会话密钥或基密钥；所已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；目的访问控制器AC通知目的无线终端点WTP加入站点STA；站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥；
本发明提供了一种基于WAPI协议的会聚式WLAN体系架构下当由AC完成WPI时的站点STA漫游切换方法及其系统，通过将STA与AC之间经WAI协商产生的BK或USK进行缓存，在STA漫游切换过程中利用该缓存的BK或USK生成 STA与目的WTP之间的会话密钥，基于CAPWAP控制消息实现AC与WTP之间的站点STA加入、站点STA删除、密钥同步操作，该方法能够快速安全地实现STA在不同AC下的WTP之间的漫游切换。
附图说明
图1为本发明所提供站点漫游切换示意图。
图2为本发明所提供站点漫游切换方法流程图。
具体实施方式
参见图1，本发明是通过将STA与AC之间经WAI(WLAN AuthenticationInfrastructure)协商产生的基密钥BK(Base Key)或单播会话密钥USK(UnicastSession Key)缓存，在STA漫游切换过程中利用该缓存的BK或USK生成STA与目的WTP之间的会话密钥，并基于CAPWAP控制消息实现AC与WTP之间的STA加入、STA删除、密钥同步操作，提出的一种基于WAPI的会聚式WLAN体系架构下在不同AC下的WTP之间STA快速安全的漫游切换方法及其系统。
参见图2，本发明所提供的STA在不同AC下的WTP之间漫游切换的方法，根据本发明的优选实施例，该方法包括以下步骤：
1)STA通过目的WTP与目的AC进行重新关联连接；
1.1)STA被动侦听目的WTP的信标帧获得包括WAPI信息元素的目的WTP的相关参数，该WAPI信息元素包括目的WTP支持的WAI鉴别及密钥管理套件、密码套件等；或者STA主动向目的WTP发送探询请求帧，目的WTP收到STA的探询请求帧后，向STA发送探询响应帧，STA收到探询响应帧即获得包括WAPI信息元素的目的WTP的相关参数，该WAPI信息元素包括目的WTP支持的WAI鉴别及密钥管理套件、密码套件等；
1.2)在本地MAC模式下，STA向目的WTP发送链路验证请求帧，请求与目的WTP之间的链路验证，目的WTP根据STA的链路验证请求帧，向STA发送链路验证响应帧；在分离MAC模式下，STA向目的AC发送链路验证请求帧，请求与目的AC之间的链路验证，目的AC根据STA的链路验证请求帧，向STA发送链路验证响应帧；
1.3)链路验证成功后，STA向目的AC发送重新关联请求帧，请求与目的AC进行重新关联，STA在重新关联请求帧中包含当前已关联WTP的标识、已关联AC的标识，以及WAPI信息元素以确定STA选择的WAI鉴别及密钥管理套件、密码套件等，其中，STA所选择的WAI鉴别及密钥管理套件、密码套件等最好和其初次与AC关联时所选择的套件相同；目的AC解析STA的重新关联请求帧，向STA发送重新关联响应帧。
2)目的AC向已关联AC请求USK或EUSK(Extended USK，扩展单播会话密钥)或BK或EBK(Extended BK，扩展基密钥)；
2.1)利用与已关联AC之间预先建立的安全通道，目的AC向已关联AC发送USK或EUSK或BK或EBK请求信息，其中包含STA删除信息。
2.2)根据目的AC的USK或EUSK或BK或EBK请求信息，已关联AC利用与目的AC之间的安全通道向目的AC发送USK或EUSK或BK或EBK；其中，EUSK＝F(USK，扩展参数)，EBK＝F(BK，扩展参数)，扩展参数是STA和目的AC预先可知的参数，如双方的MAC地址等，F为单向函数。
3)已关联AC通知已关联WTP删除STA；
3.1)已关联AC根据目的AC的USK或EUSK或BK或EBK请求信息中的STA删除信息，向已关联WTP发送CAPWAP Station Configuration Request消息，消息中包含Delete Station等消息元素；
3.2)已关联WTP向已关联AC发送CAPWAP Station Configuration Response消息，其中包含用于标识对CAPWAP Station Configuration Request消息的处理结果的Result Code消息元素。
4)目的AC通知目的WTP加入STA；
4.1)目的AC向目的WTP发送CAPWAP Station Configuration Request消息，消息中包含Add Station、GB15629.11 Add Station、GB15629.11 Station SessionKey等消息元素；其中，GB15629.11 Station Session Key消息元素中的A被置为1用于告知目的WTP关闭受控端口，仅转发来自对应STA的WAI协议数据；
4.2)目的WTP向目的AC发送CAPWAP Station Configuration Response消息，其中包含用于标识对CAPWAP Station Configuration Request消息的处理结果的Result Code消息元素。
5)STA与目的AC基于所请求的USK或EUSK或BK或EBK协商会话密钥；
5.1)当目的AC向已关联AC请求的是BK或EBK时，目的AC与STA基于所请求的BK或EBK的WAI进行单播密钥协商；包括：目的WTP对来自目的AC的按照CAPWAP数据封装格式封装的WAI单播密钥协商数据进行拆封后转发给STA；对来自STA的WAI单播密钥协商数据按照CAPWAP数据封装格式进行封装后发送给目的AC；当目的AC向已关联AC请求的是USK或EUSK时，此步骤5.1)省略进至步骤5.2)；
5.2)目的AC与STA进行WAI组播密钥通告；包括：目的WTP对来自目的AC的按照CAPWAP数据封装格式封装的WAI组播密钥通告数据进行拆封后转发给STA；对来自STA的WAI组播密钥通告数据按照CAPWAP数据封装格式进行封装后发送给目的AC。
6)目的AC告知目的WTP打开受控端口；
6.1)目的AC向目的WTP发送CAPWAP Station Configuration Request消息，消息中包含Add Station、GB15629.11 Add Station、GB15629.11 Station SessionKey等消息元素；其中，GB15629.11 Station Session Key消息元素中的C被置为1用于告知目的WTP打开与STA对应的受控端口，转发来自该STA的所有数据，包括WAI协议数据和非WAI协议数据；
6.2)目的WTP向目的AC发送CAPWAP Station Configuration Response消息，其中包含用于标识对CAPWAP Station Configuration Request消息的处理结果的Result Code消息元素。
本发明还提供一种会聚式WLAN中由访问控制器AC完成WPI时的站点STA漫游切换系统，该系统包括目的访问控制器AC、已关联访问控制器AC、目的无线终端点WTP、已关联无线终端点WTP以及站点STA，所述站点STA通过目的无线终端点WTP与目的访问控制器AC进行重新关联连接；目的访问控制器AC向已关联访问控制器AC请求单播会话密钥或基密钥；所已关联访问控制器AC通知已关联无线终端点WTP删除站点STA；目的访问控制器AC通知目的无线终端点WTP加入站点STA；站点STA与目的访问控制器AC基于所请求的单播会话密钥或基密钥协商会话密钥。