基于多维异构网络的应急通信系统的用户接入管理方法

摘要

本发明提供了一种基于多维异构网络的应急通信系统的用户接入管理方法，可以实现两级用户接入管理机制，解决了现有的单一的接入管理方案不能够满足应急通信系统对用户管理的需求的问题，其包括：同一管理域内用户接入管理和不同管理域间用户接入管理。进一步，所述同一管理域内用户接入管理采用用户－网络接入服务器NAS－验证授权记账AAA服务器的三级管理接入模型。进一步，所述不同管理域间用户接入管理采用用户－NAS－本地LAAA服务器加代理PAAA服务器的四级模型，该PAAAA服务器连接各管理域内的AAA服务器。

说明书

技术领域

本发明涉及用户接入管理技术领域，尤其涉及一种基于多维异构网络的应 急通信系统的用户接入管理方法。

背景技术

目前，我国应急通信系统已初具一定规模和应急指挥能力，但尚处于初级 发展阶段，在通信组网方面没有建立科学规范的通信组网体制，网络效率较低， 在利用各分系统构成的整体应急通信系统时，没有从整体角度考虑系统的网络 拓扑、组网体制等问题，没有对系统中传输的各类业务信息做接入控制，导致 紧急情况下系统信息拥塞，网络效率低，无法满足电力应急通信的实际需要。

随着信息网络技术的飞速发展，许多新兴的技术手段逐渐成熟并在应急通 信领域展现出其特性，尤其是目前得到业界广泛研究的无线自组网。无线自组 网是移动通信网络和计算网络的有机结合，具有无基础设施支持、自动组网、 多跳协作转发等特点，网络抗毁性和灵活性较强，尤其适合偏远地区、紧急突 发和临时性通信等场合。根据需要，还可以将几种技术合并折衷，得到最佳组 网方案。比如可通过在应急现场构建结合自组网和蜂窝网络的混合式网络，提 高通信系统的容量、扩大覆盖范围和改善业务服务质量等。

而用户接入管理技术是无线自组织网络中的关键技术，因为无线自组织网 络的价值就在于为移动用户提供安全快速的多跳自组织网络环境，并保持通信 的连续性。

发明内容

有鉴于此，本发明提供了一种基于多维异构网络的应急通信系统的用户接 入管理方法，可以实现两级用户接入管理机制。

本发明提供了一种基于多维异构网络的应急通信系统的用户接入管理方 法，包括：同一管理域内用户接入管理和不同管理域间用户接入管理。

进一步，所述同一管理域内用户接入管理采用用户－网络接入服务器NAS －验证授权记账AAA服务器的三级管理接入模型。

进一步，所述不同管理域间用户接入管理采用用户－NAS－本地LAAA服务 器加代理PAAA服务器的四级模型，该PAAAA服务器连接各管理域内的AAA服务 器。

进一步，所述同一管理域内用户接入管理包括：用户首次接入网络时的接 入认证和已经接入网络的用户在同一管理域内不同的网络接入服务器覆盖范围 间移动时的切换认证。

进一步，所述已经接入网络的用户在同一管理域内不同的网络接入服务器 覆盖范围间移动时的切换认证包括：

用户在接入认证通过后，定期向NAS发送一个Keep-alive消息；

NAS收到一个新接入用户的Keep-alive消息后，就向该用户发送一个切 换认证提示消息，准备对该用户进行切换认证；

用户收到切换认证提示消息后，将接入认证时获得的“通行证”送交给NAS；

NAS根据接收的“通告证”进行切换认证，并将切换认证结果返回给用户。

进一步，所述NAS将切换认证结果发送给用户时，还发起用户的位置更新， 所述位置更新包括:NAS向上行节点直至汇聚节点发送有效路由通告，以及向 AAA服务器发送位置更新通知。

进一步，NAS收到一个新接入用户的Keep-alive消息后，还向上直至汇 聚点发送临时路由通告。

进一步，所述用户首次接入网络时的接入认证，包括：

用户向NAS发送认证请求；

NAS向AAA服务器转发认证请求；

AAA服务器进行接入认证，并且认证合法时进行位置登记；

NAS接收并向用户转发认证结果；

若认证结果为合法时，NAS还向上直至根NAS发送路由通告。

进一步，若NAS为根NAS，则在有NAS退出时，向AAA服务器发送WR退出 通告。

进一步，其中NAS可以为WR(无线路由器)。

本发明的有益效果：

本发明针对多维异构网络的应急通信系统，提出了同一管理域内用户接入 管理和不同管理域间用户接入管理的两级接入管理机制，解决现有的单一的接 入管理方案不能够满足应急通信系统对用户管理的需求的问题。

附图说明

下面结合附图和实施例对本发明作进一步描述：

图1是天地空立体应急通信系统示意图。

图2是一体化异构应急通信网络的结构示意图。

图3是无线自组织网络两层网络结构。

图4是多个互联互通的子无线自组织网络结构。

图5是RADIUS系统的三级模型。

图6是分布域间管理AAA基本框架示意图。

图7是无线自组网的用户接入管理。

图8是基于Web的用户接入认证。

图9是基于keep-alive的切换认证流程。

图10－（a）是基于PAP认证。

图10－（b）是CHAP认证。

图11是基于PAP的接入认证。

图12是接入认证时的用户位置记录流程。

图13是切换认证时的用户位置信息更新过程。

图14是WR离开网络后，修改其接入的WH的用户信息的过程。

具体实施方式

1、“多维异构网络的应急通信系统”介绍。

应急通信具有突然性强、地域分布广阔、机动灵活、受自然或人为条件因 素影响大等特点，因此有必要采取多种通信方式配合共同发挥作用。基于此， 提出天地空立体应急通信骨干网建设主要采用卫星通信、短波通信、微波通信、 集群通信等通信手段，运用无线自组网技术和Wimax（Worldwide  Interoperability for Microwave Access，全球微波互联接入）技术的综合组 网体制。

立体应急通信体系决定了其组网体制的复杂性。“天地空”体系架构中， “天”对应的是卫星环境，“空”对应的是飞行器环境，“地”对应的是地面 环境。其结构图如图1示。

在物理网络结构上，异构应急通信网络是一种多层立体式通信网络，包括 地面和空中通信设施，是综合运用有线、无线、低空平台、高空卫星等技术手 段构建的一体化异构应急通信网络，其结构如图2所示。

在一体化异构应急通信网络中，地面通信设施主要包括1个中心控制单元 （Central Control unit,CCU）、多个簇头节点（Cluster-head Node,CN）和大 量的普通节点(Ordinary Nade,ON)。CCU类似于位置相对固定的应急指挥中心， 具有较强的通信、计算和存储能力，条件允许时可与外部网络相连。CN类似于 应急通信车，通信和计算能力较强，能源较充足且可移动。CN可为邻近的ON （类似于第一现场的各种通信终端设备）提供通信服务，可在CCU控制下互连 构成地面干线网。ON是便携式通信终端或无线传感节点，可视为无线自组网络 中的普通节点，可采用某种算法或协议自行协作组网，并可就近接入CN构成的 干线网。地面网络之上的空中网络可进一步扩大网络覆盖范围，为相距较远的 地面干线网和普通节点之间提供通信支持，并可与地面干线网互为备份。由低 空无人驾驶飞行器（Unmanned Aerial Vehicle,UAV）和高空卫星构成的空中通 信平台，不仅能实现大范围的通信覆盖和增强网络连接，还可完成现场监视、 信息收集、协调营救等任务，为后方指挥中心提供通信和指挥能力。

这种分层交叉立体式应急通信网络提供了一种生存性较强、灵活性较高且 易管理的通信服务平台。

“天地空”一体化这种特殊的应急通信系统是复杂的多维异构网络，由多 种网络融合入而成，这就要求网络的接入管理不仅能够对用户的接入进行控制， 还要对用户的位置移动等进行管理，但是现有的单一的接入管理方案不能够满 足应急通信系统对用户管理的需求，因此本发明提出了一种针对多维异构网络 的用户接入管理方案，即“域管理”“移动管理”等。

用户接入管理是在网络的应用层实现的，关于网络架构，实际上由无线IP 路由器（Wireless Router,WR）组成的实现组网和提供无线覆盖区域的骨干层 以及由WH（移动主机）组成的为用户提供通信接入的接入层两部分组成。如图 3所示：

基于用户接入管理将网络划分为多个互联互通的子无线网络，每一个子网 络可看成是一个管理域，整个网络的结构如图4所示：

基于以上划分结构，每个管理域是由若干个WH和若干个WR构成的一个IP 子网。WR和WH在管理域的移动，都被看作是子网中通信节点的移动。管理域 之间的关系就是IP网络间的关系。管理域之间可以直接互联，整个无线自组织 互联网中的用户接入管理采用两级用户接入管理机制，域内用户接入管理和域 间用户接入管理。

域内用户的接入控制管理包括两种认证过程：

1.用户首次接入网络时的接入认证；

2.已经接入网络的用户在不同的WR覆盖范围间移动时的切换认证。

管理域的网络规模相对较小，因此域内的用户接入控制管理可以采用相对 简单而且易于实现的集中式管理，即将所有用户的接入控制管理信息都放在 AAA（Authentication、Authorization、Accounting，验证、授权和记账）服 务器上，用户的每一次接入认证过程都需要经过AAA服务器。

管理域内用户接入管理采用类似IP网络中基于Radius（Remote  Authentication Dial In User Service）协议的三级模型，即用户——NAS— —Radius Server，如图5示。

在一个管理域中仅有一个Radius服务器（考虑到网络的健壮性，也可以有 几个备份RADIUS服务器），此Radius服务器可以用有线或无线的方式接入网络， 它管理该管理域中所有用户的信息。所有WR都作为NAS与Radius服务器交互 用户的接入信息，从而完成用户的集中式接入控制管理。用户在认证通过后通 过WR接入网络。

对于首次接入网络的用户来说，这种集中式的管理模式对它的通信过程没 有影响。因为首次接入网络的用户只有在接入请求通过服务器的认可后才能建 立通信，所以在等待服务器的接入认证应答时所耗费的时间不会带来任何不良 的后果。但是如果一个已经建立起通信的用户在网络内移动，从一个WR的无线 覆盖范围移动到另一个WR的无线覆盖范围时，新接入的WR必须对这个用户进 行验证，以决定是否为这个用户建立新的路由。如果认证时间过长，可能破坏 用户通信的持续性。另外，用户不能自行感知到接入位置的改变，所以接入到 一个新的WR时主动向该WR发起类似接入请求的切换请求，所以用户是被动地 完成切换过程。

结合集中式的域内用户接入控制管理方式，域内用户（即WH）的位置信息 也可以集中记录在AAA服务器上，这样域内用户位置管理也成为一种集中管理 模式。

域内用户的每次移动都会引起一次位置更新和记录过程，因此需要尽量减 少每次位置更新时的更新信息量和更新范围，以降低位置管理的开销和时延。

域间用户的接入控制管理是在位置管理过程中完成的，因此对于域间用户 的管理，需要重视的是研究其位置管理。

当一个用户漫游到一个管理域内的时候，为了确认其身份，这个管理域中 的RADIUS服务器需要向别的管理域中的RADIUS服务器请求查询信息，因此域 间的用户接入管理实际上采用的是分布式的管理模式。

在域间管理情况下，可以将域内管理的RADIUS系统的三级模型扩展为四级 模型，即在域内三级模型的基础上再加一级代理AAA服务器（Proxy AAA sever， PAAA），该代理服务器连接各个域内的AAA服务器，间接完成域间AAA过程。由 于三级模型的工作体制已经在前面阐述，本处则仅阐述四级模型的最顶层一级 的工作体制。各个管理域之间应事先达成互信协议，允许其他管理域的用户在 当地漫游。跨域的AAA基本框架如图6所示：

接入点上一般部署有网络接入服务器（Network Access Server，NAS），NAS 由AAA客户端和具有接入控制的增强点（Enhanced Point，EP）构成。当用户 漫游到外地域（也称拜访域、本地域）时，外地域中的接入点在为用户提供服 务前，需要验证用户的身份和权限。为获取服务，用户向接入点上的NAS提供 可以被认证的证书。NAS将证书交由本地AAA服务器（LocalAAAserver，LAAA） 进行认证，但是，在一般情况下，证书应由用户的家乡域（也称归属域）颁发， 只能被家乡AAA服务器（Home AAA server，HAAA）认证。但是一般情况下，外 地域和家乡域之间不存在足够的信任关系，LAAA和HAAA不能够直接交互证书 和认证结果，完成对用户的认证和授权；因此需要依靠一个LAAA和HAAA都信 任的第三方充当代理AAA服务器（Proxy AAA server，PAAA），间接完成域间 AAA过程。

通过这种4级接入管理模式，可以方便而系统地解决电力应急通信系统域 间用户的接入管理，由于4级接入管理模式的前3级和域内用户接入管理的3 级模型采用的是同一套体制，因此在部署时还可以重复使用，从而也能达到降 低成本，简化系统模型，简化部署流程，缩减部署时间的作用。

下面主要对基于WH—WR—RADIUS Server的三级管理模型的用户接入管理 方案进行说明。

RADIUS协议只规范了WR和RADIUS Server之间的信息交互，但是对WH 和WR之间的交互操作未做任何限制。为此本发明制定了WH和WR之间的通 信协议。另外，目前的RADIUS协议只提供AAA管理，但为了适应无线自组织 网络的节点移动性，对RADIUS协议进行了扩展，以实现用户的隐式切换认证 和用户的位置管理。

WR是控制用户接入的网关，对用户提交的认证请求进行代理认证操作， RADIUS Server是对整个网络中所有WR进行认证管理和位置管理的Server， 因此为使认证信息和位置通告信息在网络中传递的“路径”最短，可将RADIUS  Server与网络中路由的集中位置——根WR相连，可以通过有线或无线方式相 连。无线自组织网络中的用户接入管理结构图7所示。

将用户接入管理技术分解为两个部分来研究：WH与WR之间的交互，WR与 RADIUS Server之间的交互。

1、主机的接入管理方案。

当一台移动主机（也可称用户）想接入无线自组织网络时，必须通过WR提 交身份认证请求，以确定这台主机上所用的账号是否有使用网络资源的权限。 WH采用HTTPS协议与WR交互认证信息，WR上嵌入一个Web Server （Apache），WH使用通用的浏览器软件作为认证客户软件，WH无须安装专用软 件，这大大增强了系统的普适性。WR通过RADIUS协议与RADIUS Server交 互用户送来的认证信息，所以WR上也必须有一个RADIUS Client模块处理 Web Server接收到的用户认证信息，以适当的数据形式与RADIUS Server通 信。因此，基于Web的用户认证的交互过程如图8所示。

WH向接入WR提交接入认证请求信息，WR代WH将用户信息发送到 RADIUS Server进行验证，WR转发RADIUS Server的认证结果给WH。如果是 合法用户，该接入WR及其上行WR直至根WR为该WH的通信建立路由。

2、主机移动情况下的接入管理方案。

WH在使用网络的过程中，会常常移动，从一个WR的通信覆盖范围进入另 一个WR的通信覆盖范围，即WH发生了“越区切换”。切换认证的基本思想是： 确认用户是否经过了认证，而不是重新对用户的身份进行认证。

①移动主机“越区”认证

本发明应用了基于IP地址的Keep-alive切换认证技术。基于 Keep-alive的切换认证过程是：

1.WH在接入认证通过后，定期向WR发送一个Keep-alive消息；

2.WR收到一个新接入WH的Keep-alive消息后，就向该WH发送一个 切换认证提示消息，准备对WH进行切换认证；

3.WH收到切换认证提示消息后，将接入认证时获得的“通行证”送交给 WR，可能包含加密过程；

4.WR将切换认证结果返回给WH，并结合路由技术进行用户的位置更新过 程。

图9是基于Keep-alive的切换认证流程。

接入认证时，WH和WR间的信息交互如图10。

WH不能自动感知接入位置的改变，必须要WR根据Keep-alive信息的接 收情况来判断，并由WR通知WH。那么整个网络中对WH进行位置管理时，不 能由WH主动报告其当前位置，只能由网络中的每个WR向RADIUS Server报 告其接入WH的信息，然后宏观掌握WH在网络中位置信息。这样，WR中 RADIUS Client与RADIUS Server的交互不仅包括认证信息的交互，还包括位 置管理信息的交互。

在RADIUS协议中PAP实现简单，采用基于PAP认证协议的接入认证交互 流程。基于PAP认证协议的接入认证交互流程如图11。

其中，RADIUS Client与RADIUS Server的通信按照RADIUS协议进行， KAS把用户提交的账号名和账号密码送给RADIUS Client，RADIUS Client将 这些信息以及自身的一些配置信息（如WR的IP地址，RADIUS Server的IP 地址等）封装成RADIUS数据包，发送给RADIUS Server。RADIUS Client收到 RADIUS Server的认证应答后，把有用的信息从RADIUS数据包中提取出来， 交给KAS。

WH通过接入认证后，该WH就作为一个合法用户使用无线网络。这时候在 RADIUS Server的数据库中记录用户的绝对位置信息：该用户使用账号、该用 户所在WH的IP地址、该用户接入的WR的IP地址。WR沿树的上行方向逐 级发送路由通告报文来记录用户的相对位置——WH的IP地址和通告该WH 路由的WR的IP地址（即到达该WH的下一跳WR的IP地址），这些信息都 记录在WR的主机表中。这个路由通告一直上传到根WR。

借助WH的接入认证过程，RADIUS Server就可以得到该WH的绝对位置 信息，因此位置登记不需要额外的信息交互。

图12是接入认证时的用户位置登记。

用户在网络位置改变表现为两种形式：离开某个WR或接入某个WR。

用户接入网络后，WH会定时向接入的WR发送Keep-alive报文。WR如 果在Keep-alive超时时限内不能接收到WH发送的Keep-alive报文，WR则 认为该WH已经离开了这个WR的接入范围，它会向RADIUS Server发送用户 Keep-alive超时的通告。RADIUS Server根据这个通告改变用户位置信息中的 UserState，将状态设置为‘Y’，Delayseconds开始计时。用户离开了一个WR， 可能会移动到另外一个WR下，这个新接入的WR会接收到该用户送来的 Keep-alive报文，这就是我们常说的“用户切换”。但是，这个用户也可能彻 底离开整个网络，网络中的任何WR都不能再收到这个用户（注意：是用户， 而非特指这台移动主机）发来的Keep-alive报文，即用户的“隐式退出”。只 能在用户位置信息的超时时限内，根据网络内是否有WR接收到这个用户发来 的Keep-alive报文，来判断这两种情况。

②移动主机的位置管理

接入WR也会沿树的上行方向发送路由通告来改变用户的相对位置。用户 的相对位置更新过程分为两种情况：

1）WR认证一个合法的WH进入到它的接入范围内后，该WR将会沿树的 上行方向发送加入路由通告为该WH建立新的路由信息，但其路由通告只到达 汇聚点WR。当一个WR收到关于某WH的路由通告与自己路由表中记录的该 WH路由不一致时，该WR就是该WH移动接入时的汇聚点。汇聚点WR收到关 于其下行某个移动WH的路由通告后，就根据自己路由表中的信息，沿该WH的 原接入WR所在分支的下行方向逐级发送路由通告报文来删除该WH路由。

2）WR如果认定某个WH已经离开了自己的接入范围，该WR会沿树的上 行方向逐级发送删除该WH路由的路由通告报文。如果关于该WH的加入路由 通告先于其删除路由通告到达汇聚点，那么该删除路由通告最多会到达汇聚点， 否则该删除路由通告将会一直到达根WR。

切换认证时的用户位置信息更新过程如图13。

（3）管理域路由器移动情况下的接入管理方案

前面都是WH在网络中移动而带来的路由更新和位置信息更新，但是无线 自组织网络中除了WH能移动之外，WR也是可以移动的，只不过WR移动的频 率和速度远小于WH，当WR移动时同样也会造成它所接入的WH的路由更新和 位置更新。如果WR只是简单地在无线自组织网络中移动，引起网络拓扑的变 化。当网络拓扑稳定后，自然会有一些WR发现了新的WH接入，而另一些WR 发现有WH离开，也就是网络的通信范围变化之后，WR重新划分了一下自己的 “势力范围”。这时，就类似于前面讨论到的WH移动带来的绝对位置和相对位 置的更新。如果某个WR离开了网络拓扑，而且在相当长的时间内也不会重新 加入，这时情况就比较复杂了。WR离开网络拓扑之后，原本在它接入范围内的 那些WH有很多可能会处于整个网络的通信范围之外，不能再向网络中的任一 WR发送Keep-alive了。而且，因为这个WR离开网络了，所以不会为这些WH 向RADIUSServer发送“Keep-alive超时通告”了，这些WH的位置信息就“僵 死”了。但是这些僵死的信息是过时的，不能反映当前网络的情况，因此必须 要想办法在WR离开网络后，及时地修改用户信息表，删除这些僵死的信息。 首先，谁知道WR离开了网络拓扑？整个网络中只有根WR掌握整个网络中WR 形成的树形拓扑的情况，所以只有根WR能够及时地感知到有WR离开网络。 然后，根WR上的路由模块把这个消息通过KAS告诉本机的RADIUSClient， 它会向RADIUS Server发送“WR离开通告”。RADIUS Server收到这个通告后， 可以认为离开网络的那个WR为它所接入的所有WH都发送了“Keep-alive超 时通告”，RADIUS Server对这些用户的位置信息所做的操作也就与收到了 “Keep-alive超时通告”后所做的操作相同。WR离开网络后，修改其接入的WH 的用户信息的过程如图14。

最后说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管 参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解， 可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的 宗旨和范围，其均应涵盖在本发明的权利要求范围当中。