專利名稱：用于遠(yuǎn)程接入本地網(wǎng)絡(luò)的方法和裝置的制作方法
技術(shù)領(lǐng)域：
本發(fā)明大體上涉及一種用于從位于本地網(wǎng)絡(luò)之外的通信設(shè)備對(duì)本地網(wǎng)絡(luò)中的服 務(wù)和通信設(shè)備進(jìn)行遠(yuǎn)程接入的方法和裝置。
背景技術(shù)：
針對(duì)使用IP(因特網(wǎng)協(xié)議)的基于分組的多媒體通信，已經(jīng)開(kāi)發(fā)出大量不同類型 的通信終端，通常被簡(jiǎn)稱為“設(shè)備”。典型地，多媒體服務(wù)涉及媒體以不同的格式和組合在IP 網(wǎng)絡(luò)上傳輸。例如，IP使能的終端可以與另一個(gè)IP使能的終端交換媒體，例如視覺(jué)和/或 聽(tīng)覺(jué)信息，或者可以通過(guò)因特網(wǎng)從內(nèi)容服務(wù)器下載媒體。已經(jīng)開(kāi)發(fā)出被稱作IMS(IP多媒體子系統(tǒng))的網(wǎng)絡(luò)架構(gòu)，作為處理和控制基于IP 的多媒體服務(wù)和會(huì)話的平臺(tái)，通常被稱作IMS網(wǎng)絡(luò)或IMS核心。因此，IMS網(wǎng)絡(luò)可以用于建 立和控制與多個(gè)接入網(wǎng)絡(luò)相連的通信終端的多媒體會(huì)話，無(wú)需考慮所使用的接入技術(shù)。多媒體會(huì)話由IMS網(wǎng)絡(luò)中特定的會(huì)話控制節(jié)點(diǎn)來(lái)處理，例如節(jié)點(diǎn)P_CSCF(代理呼 叫會(huì)話控制功能元件)、S-CSCF(服務(wù)CSCF)和I-CSCF(詢問(wèn)CSCF)。此外，IMS網(wǎng)絡(luò)中的數(shù) 據(jù)庫(kù)節(jié)點(diǎn)HSS(歸屬用戶服務(wù)器)存儲(chǔ)用戶和認(rèn)證數(shù)據(jù)。IMS網(wǎng)絡(luò)還可以包括多個(gè)應(yīng)用服務(wù) 器，并且還可以與外部服務(wù)提供方相連。根據(jù)IMS平臺(tái)，一般使用被稱作“SIP”(會(huì)話發(fā)起協(xié)議)的協(xié)議來(lái)發(fā)起、管理和終 止多媒體會(huì)話。因此，IP終端或設(shè)備可使用標(biāo)準(zhǔn)SIP消息來(lái)建立會(huì)話，例如普通會(huì)話發(fā)起 消息“SIP邀請(qǐng)”和普通響應(yīng)消息“SIP 200 OK”?！皶?huì)話描述協(xié)議”可作為自包含正文而嵌 入SIP消息內(nèi)，以指定即將發(fā)生的多媒體會(huì)話所需要的不同的通信參數(shù)。該協(xié)議一般用于 交換會(huì)話建立過(guò)程中的必要信息，例如設(shè)備能力、媒體屬性、當(dāng)前使用的IP地址等等，并且 是本領(lǐng)域中公知的?；贗MS的服務(wù)也可被提供給本地網(wǎng)絡(luò)或?qū)倬W(wǎng)絡(luò)(例如住宅網(wǎng)絡(luò)或辦公室網(wǎng) 絡(luò)，有時(shí)稱作LAN(局域網(wǎng)))中的設(shè)備。在本說(shuō)明書中，一般術(shù)語(yǔ)“本地網(wǎng)絡(luò)”用于表示任 何的該網(wǎng)絡(luò)，而且術(shù)語(yǔ)“設(shè)備”用于表示能夠在本地網(wǎng)絡(luò)中進(jìn)行IP通信的任何終端。在該 本地網(wǎng)絡(luò)中，向網(wǎng)絡(luò)中進(jìn)行通信的每一個(gè)設(shè)備分配本地IP地址，盡管其不能在該網(wǎng)絡(luò)之外 的公共區(qū)域中路由消息和數(shù)據(jù)。本地網(wǎng)絡(luò)例如可以包括固定和無(wú)線電話、計(jì)算機(jī)、媒體播放器、服務(wù)器和電視機(jī)。 為了向這些設(shè)備提供IMS服務(wù)，定義了被稱為“歸屬IMS網(wǎng)關(guān)(HIGA) ”的多媒體網(wǎng)關(guān)，該網(wǎng) 關(guān)能夠模仿(emulate)從本地網(wǎng)絡(luò)向IMS網(wǎng)絡(luò)的IMS終端，為本地網(wǎng)絡(luò)中的任意設(shè)備接入 IMS服務(wù)。UPnP(通用即插即用)是具有標(biāo)準(zhǔn)化設(shè)備協(xié)議的架構(gòu)，用于本地網(wǎng)絡(luò)內(nèi)不同設(shè)備之 間的通信，這些設(shè)備可能使用不同的接入方法、操作系統(tǒng)、編程語(yǔ)言、格式標(biāo)準(zhǔn)以及通信協(xié)議。 特別地，UPnP支持被稱作“發(fā)現(xiàn)”或“配對(duì)”的過(guò)程，在該過(guò)程中，設(shè)備能夠加入本地網(wǎng)絡(luò)，獲 得本地IP地址，宣布其名稱和IP地址，并且與網(wǎng)絡(luò)中的其他設(shè)備交換能力和服務(wù)。在本說(shuō)明 書中，為了簡(jiǎn)便，把針對(duì)數(shù)據(jù)傳輸、通信、編碼、存儲(chǔ)和顯示的任何設(shè)備能力都稱作“能力”。
4
UPnP還定義了遠(yuǎn)程接入架構(gòu)RAA，使位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程“UPnP設(shè)備”能夠與 位于該網(wǎng)絡(luò)內(nèi)的設(shè)備通信。具體地，RAA規(guī)定了如何提供和配置實(shí)現(xiàn)遠(yuǎn)程接入連接所需的 參數(shù)， 該遠(yuǎn)程 接入連接是分別具有遠(yuǎn)程接入服務(wù)器RAS的實(shí)體與具有遠(yuǎn)程接入客戶端RAC 的實(shí)體之間的連接。在該領(lǐng)域中，用于RAS和RAC功能的控制點(diǎn)有時(shí)一般被稱作“UPnP RA 管理臺(tái)”。然而，UPnP RAA沒(méi)有提供確保遠(yuǎn)程接入連接安全的任何方案，而且也沒(méi)有規(guī)定如 何傳送安全連接所需的任何憑證(credential)或資格。例如，目前沒(méi)有用于在從外部接入 本地網(wǎng)絡(luò)時(shí)對(duì)遠(yuǎn)程設(shè)備進(jìn)行認(rèn)證或驗(yàn)證的方案。在圖1中，所示出的本地網(wǎng)絡(luò)100具有不同的本地設(shè)備，在該示例中包括無(wú)線電 話、固定電話、電視機(jī)、膝上計(jì)算機(jī)以及媒體服務(wù)器。網(wǎng)絡(luò)100還包括被稱作“住宅網(wǎng)關(guān)RGW” 的常規(guī)網(wǎng)關(guān)102，其連接至外部接入網(wǎng)絡(luò)104，向其他網(wǎng)絡(luò)和實(shí)體提供通信鏈路。RGff 102典 型地包括NAT (網(wǎng)絡(luò)地址轉(zhuǎn)換)功能元件和本地DHCP (動(dòng)態(tài)主機(jī)配置協(xié)議)服務(wù)器(沒(méi)有 示出)，被配置為向設(shè)備分配本地IP地址，如本領(lǐng)域中所公知。本地網(wǎng)絡(luò)100還包括向IMS網(wǎng)絡(luò)108提供連接的HIGA 106，在IMS網(wǎng)絡(luò)108中示 出了 HSS 110。HIGA 106具有面向網(wǎng)絡(luò)100中使用設(shè)備自適配協(xié)議的不同設(shè)備的適合接口， 如虛線所示。在實(shí)踐中，HIGA可以集成在RGW中，但在邏輯上，在本說(shuō)明書中將HIGA看作 單獨(dú)的功能單元。HIGA 106保持與IMS訂閱和用戶/服務(wù)簡(jiǎn)檔相關(guān)聯(lián)的IMS身份信息112，可用于 接入IMS網(wǎng)絡(luò)108。在IMS網(wǎng)絡(luò)108處，相應(yīng)的用戶信息114存儲(chǔ)在HSS節(jié)點(diǎn)110中。因 此，用戶可以通過(guò)HIGA 106從本地網(wǎng)絡(luò)100中的設(shè)備登陸到IMS網(wǎng)絡(luò)，然后所使用的設(shè)備 的本地IP地址能夠與用戶簡(jiǎn)檔相關(guān)聯(lián)。在W02006/045706 (Ericsson)中，描述了本地網(wǎng)絡(luò) 中的設(shè)備如何通過(guò)HIGA來(lái)獲得IMS服務(wù)。當(dāng)HIGA 106使用設(shè)備專用接口 /協(xié)議從網(wǎng)絡(luò)100中的設(shè)備接收到多媒體服務(wù)請(qǐng) 求時(shí)，HIGA 106為該設(shè)備將該服務(wù)請(qǐng)求轉(zhuǎn)換為有效IMS請(qǐng)求(例如SIP邀請(qǐng))，通過(guò)與IMS 網(wǎng)絡(luò)108進(jìn)行適當(dāng)?shù)腟IP消息通信而建立用于該設(shè)備的會(huì)話。以類似的方式，HIGA 106可 以通過(guò)使用與網(wǎng)絡(luò)100中的設(shè)備相關(guān)聯(lián)的IMS身份112，針對(duì)與該設(shè)備通信的入局請(qǐng)求而建 立IMS會(huì)話。在任一情況下，在RGW 102和接入網(wǎng)絡(luò)104上來(lái)自或去往該設(shè)備的會(huì)話期間， 路由任意的通信媒體，如雙向箭頭所示。圖1還示出了網(wǎng)絡(luò)100中的本地設(shè)備IOOa移動(dòng)到外部，成為遠(yuǎn)程設(shè)備100a，。然 后，遠(yuǎn)程設(shè)備100a，能夠通過(guò)IMS網(wǎng)絡(luò)108向HIGA 106發(fā)送SIP邀請(qǐng)消息，從而發(fā)起與網(wǎng) 絡(luò)100中的剩余設(shè)備之一的媒體通信。然后，遠(yuǎn)程設(shè)備100a’必須具有有效IMS身份，以從 網(wǎng)絡(luò)100外部接入IMS網(wǎng)絡(luò)。為了遠(yuǎn)程地接入網(wǎng)絡(luò)100中的本地設(shè)備，遠(yuǎn)程設(shè)備100a’必須在發(fā)現(xiàn)過(guò)程中以某 種方式獲知本地設(shè)備。遠(yuǎn)程設(shè)備可能已經(jīng)執(zhí)行了定期的發(fā)現(xiàn)過(guò)程不久(同時(shí)位于本地網(wǎng)絡(luò) 100內(nèi))，該發(fā)現(xiàn)過(guò)程典型地包括根據(jù)被稱作SSDP (簡(jiǎn)單會(huì)話發(fā)現(xiàn)協(xié)議)的協(xié)議交換特定的 發(fā)現(xiàn)消息。然而，如果不是這樣(例如當(dāng)遠(yuǎn)程設(shè)備實(shí)際上并不位于本地網(wǎng)絡(luò)內(nèi))，那么需要 遠(yuǎn)程地交換發(fā)現(xiàn)消息。圖2分別示出了本地網(wǎng)絡(luò)中的遠(yuǎn)程設(shè)備200和本地網(wǎng)關(guān)202的可能的邏輯結(jié)構(gòu)， 用于實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)中的本地設(shè)備(未示出)的遠(yuǎn)程接入。本地網(wǎng)關(guān)202可以是RGW和/或 HIGA。遠(yuǎn)程接入客戶端RAC 200a已被配置于遠(yuǎn)程設(shè)備200中，并且相應(yīng)的遠(yuǎn)程接入服務(wù)器RAS 202a已被配置于本地網(wǎng)關(guān)202中，該配置過(guò)程能夠在兩者處于本地網(wǎng)絡(luò)中時(shí)進(jìn)行，因 為RAC 200a和RAS 202a應(yīng)當(dāng)以匹配的簡(jiǎn)檔來(lái)配置。RAC 200a包括遠(yuǎn)程接入發(fā)現(xiàn)代理RADA 200b，而RAS 202a包括相應(yīng)的遠(yuǎn)程接入發(fā) 現(xiàn)代理RADA 202b，被配置為交換兩個(gè)實(shí)體200和202之間的發(fā)現(xiàn)消息。RAC 200a還包括 遠(yuǎn)程接入傳輸代理RATA 200c，而RAS 202a包括相應(yīng)的遠(yuǎn)程接入傳輸代理RATA 202c，被配 置為建立用于兩個(gè)實(shí)體200和202之間的媒體傳輸信道。實(shí)際上，RATA 200c和202c將作 為遠(yuǎn)程接入的相對(duì)端點(diǎn)。
然而，UPnP RAA規(guī)定，其中實(shí)現(xiàn)RAC和RAS的實(shí)體必須物理上存在于相同的本地網(wǎng) 絡(luò)中，以執(zhí)行必要的發(fā)現(xiàn)或配對(duì)過(guò)程，這自然是一個(gè)缺點(diǎn)。例如，位于因特網(wǎng)上某處的、能夠 實(shí)現(xiàn)UPnP遠(yuǎn)程接入的PC設(shè)備不能對(duì)位于因特網(wǎng)上其他地方的本地網(wǎng)絡(luò)中的設(shè)備進(jìn)行遠(yuǎn)程 接入，除非首先把PC設(shè)備在物理上帶入該本地網(wǎng)絡(luò)，以執(zhí)行所需的發(fā)現(xiàn)或配對(duì)過(guò)程。從實(shí) 際性和可用性的觀點(diǎn)來(lái)看，該要求很可能是一個(gè)問(wèn)題。此外，還存在如下問(wèn)題不能為該遠(yuǎn) 程接入提供信任模型(trust model)，例如面向本地網(wǎng)絡(luò)驗(yàn)證或證實(shí)遠(yuǎn)程設(shè)備，反之亦然。

發(fā)明內(nèi)容
本發(fā)明的目的是解決上述問(wèn)題。進(jìn)一步地，本發(fā)明的目的是提供一種無(wú)需要求本 地網(wǎng)絡(luò)中的物理存在而實(shí)現(xiàn)對(duì)本地網(wǎng)絡(luò)的安全的遠(yuǎn)程接入連接的方案。這些目的和其他目 的可以通過(guò)提供根據(jù)所附獨(dú)立權(quán)利要求的方法和設(shè)備來(lái)獲得。根據(jù)一個(gè)方面，提供了一種使位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程設(shè)備能夠遠(yuǎn)程接入本地網(wǎng) 絡(luò)的本地網(wǎng)關(guān)的方法。首先，在IMS核心中，針對(duì)遠(yuǎn)程接入來(lái)配置遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的 能力和憑證。然后，通過(guò)將每一個(gè)被授權(quán)用戶的IMS身份添加到基于IMS的接入控制列表 ACL，授權(quán)一個(gè)或更多個(gè)用戶遠(yuǎn)程接入本地網(wǎng)絡(luò)。當(dāng)通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收對(duì)本地網(wǎng) 關(guān)的接入請(qǐng)求時(shí)，如果遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)基于IMS的ACL中該用戶的IMS身 份執(zhí)行遠(yuǎn)程接入，則接受接入請(qǐng)求。在此情況下，則使用遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能 力和憑證，建立遠(yuǎn)程接入連接。根據(jù)另一方面，提供了一種IMS核心中的遠(yuǎn)程接入服務(wù)器，用于使位于本地網(wǎng)絡(luò) 之外的遠(yuǎn)程設(shè)備能夠遠(yuǎn)程接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)。該遠(yuǎn)程接入服務(wù)器包括用于針對(duì)遠(yuǎn) 程接入在IMS核心中配置遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的能力和憑證的裝置；以及用于通過(guò)將每一 個(gè)被授權(quán)用戶的IMS身份添加到基于IMS的ACL來(lái)授權(quán)一個(gè)或更多個(gè)用戶遠(yuǎn)程接入本地網(wǎng) 絡(luò)的裝置。該遠(yuǎn)程接入服務(wù)器還包括用于通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收對(duì)本地網(wǎng)關(guān)的接 入請(qǐng)求的裝置；用于在遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)基于IMS的ACL中該用戶的IMS身 份執(zhí)行遠(yuǎn)程接入的情況下接受接入請(qǐng)求的裝置；以及用于在接受的情況下使用遠(yuǎn)程設(shè)備和 本地網(wǎng)關(guān)的已配置的能力和憑證來(lái)建立遠(yuǎn)程接入連接的裝置。根據(jù)又一方面，提供了一種本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)中的設(shè)備，用于使位于本地網(wǎng)絡(luò) 之外的遠(yuǎn)程設(shè)備能夠遠(yuǎn)程接入本地網(wǎng)關(guān)。該設(shè)備包括用于針對(duì)遠(yuǎn)程接入在IMS核心中配 置本地網(wǎng)關(guān)的能力和憑證的裝置；用于通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收接入請(qǐng)求的裝置；用 于在遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)該用戶的IMS身份執(zhí)行遠(yuǎn)程接入的情況下接受接入 請(qǐng)求的裝置；以及用于在接受的情況下通過(guò)遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能力和憑證來(lái) 建立遠(yuǎn)程接入連接的裝置。
上述方法、遠(yuǎn)程接入服務(wù)器和本地網(wǎng)關(guān)設(shè)備可能有不同的實(shí)施例。例如，可以在 IMS核心中通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端與IMS核心中的遠(yuǎn)程接入服務(wù)器之間的IMS消息 收發(fā)來(lái)配置遠(yuǎn)程設(shè)備的能力和憑證。并且可以在IMS核心中通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端 與遠(yuǎn)程接入服務(wù)器之間的IMS消息收發(fā)來(lái)配置本地網(wǎng)關(guān)的能力和憑證。上述憑證可以包括 用于VPN隧道建立的證書。此外，上述能力包括本地網(wǎng)關(guān)中的RAS的RATA能力以及遠(yuǎn)程設(shè) 備中的RAC的RATA能力。
上述能力和憑證可以在遠(yuǎn)程設(shè)備位于本地網(wǎng)絡(luò)之外時(shí)配置。授權(quán)用戶能夠通過(guò)該 用戶的IMS身份從任意終端遠(yuǎn)程接入本地網(wǎng)絡(luò)?？梢栽诒镜鼐W(wǎng)關(guān)處或在IMS核心處的遠(yuǎn)程 接入服務(wù)器中維護(hù)基于IMS的ACL。如果遠(yuǎn)程設(shè)備用戶沒(méi)有被授權(quán)通過(guò)該用戶的IMS身份執(zhí)行遠(yuǎn)程接入，則可以確定 接入請(qǐng)求對(duì)于控制本地網(wǎng)絡(luò)的本地網(wǎng)絡(luò)所有者來(lái)說(shuō)是否能夠被接受，例如，向本地網(wǎng)絡(luò)所 有者詢問(wèn)是否能夠接受接入請(qǐng)求。還可以在本地網(wǎng)關(guān)中維護(hù)基于UPnP的ACL，該ACL包含被允許執(zhí)行遠(yuǎn)程接入的設(shè) 備的UUID。在該情況下，如果接入請(qǐng)求被接受，則可以把遠(yuǎn)程設(shè)備的UUID添加到基于UPnP 的 ACL。通過(guò)下文來(lái)詳細(xì)描述本發(fā)明的其他可能的特征和優(yōu)點(diǎn)。


通過(guò)參考附圖和通過(guò)優(yōu)選實(shí)施例，將更詳細(xì)地描述本發(fā)明。附圖中圖1是示出了根據(jù)現(xiàn)有技術(shù)當(dāng)遠(yuǎn)程設(shè)備從本地網(wǎng)絡(luò)之外的位置接入該網(wǎng)絡(luò)時(shí)的 本地網(wǎng)絡(luò)的示意圖。圖2是示出了根據(jù)現(xiàn)有技術(shù)的遠(yuǎn)程設(shè)備和住宅網(wǎng)關(guān)中的遠(yuǎn)程接入特征的框圖。圖3是示出了根據(jù)一個(gè)實(shí)施例的遠(yuǎn)程設(shè)備通過(guò)IMS核心接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān) 的框圖。圖4是示出了根據(jù)另一實(shí)施例用于實(shí)現(xiàn)本地網(wǎng)絡(luò)的安全遠(yuǎn)程接入的過(guò)程的流程 圖。圖5是示出了根據(jù)本發(fā)明另一實(shí)施例在IMS核心中針對(duì)遠(yuǎn)程接入服務(wù)來(lái)配置本地 網(wǎng)關(guān)和遠(yuǎn)程設(shè)備的能力和憑證的信令圖。圖6是示出了根據(jù)本發(fā)明又一實(shí)施例當(dāng)IMS核心中維護(hù)ACL時(shí)如何認(rèn)證用戶X以 便從遠(yuǎn)程設(shè)備接入本地網(wǎng)關(guān)的信令圖。圖7是示出了根據(jù)本發(fā)明又一實(shí)施當(dāng)本地網(wǎng)關(guān)中維護(hù)ACL時(shí)如何認(rèn)證用戶Y以便 從遠(yuǎn)程設(shè)備接入本地網(wǎng)關(guān)的信令圖。圖8是示出了根據(jù)本發(fā)明又一實(shí)施當(dāng)已經(jīng)認(rèn)證用戶時(shí)用于為遠(yuǎn)程設(shè)備建立對(duì)本 地網(wǎng)絡(luò)的遠(yuǎn)程接入的過(guò)程的信令圖。圖9是示出了根據(jù)本發(fā)明又一實(shí)施當(dāng)之前還沒(méi)有認(rèn)證用戶時(shí)用于為遠(yuǎn)程設(shè)備建 立對(duì)本地網(wǎng)絡(luò)的遠(yuǎn)程接入的過(guò)程的信令圖。
具體實(shí)施例方式本發(fā)明可以用于獲得從遠(yuǎn)程設(shè)備到本地網(wǎng)絡(luò)中的服務(wù)和/或設(shè)備的安全的遠(yuǎn)程接入，無(wú)需該遠(yuǎn)程設(shè)備在上述發(fā)現(xiàn)或配對(duì)過(guò)程中物理上位于該本地網(wǎng)絡(luò)中。在該方案中，可 通過(guò)在IMS核心中引入用于支持遠(yuǎn)程接入的認(rèn)證和憑證傳送的功能，通過(guò)IMS核心建立遠(yuǎn) 程接入。在下面的描述中，該功能由IMS核心中的RA(遠(yuǎn)程接入)服務(wù)器來(lái)示意性地表示。 此外，還分別在RAC和RAS中引入了用于支持基于IMS的遠(yuǎn)程接入的功能，在下面的描述中 分別稱作“遠(yuǎn)程接入支持模塊” RASUM。在本說(shuō)明書中，術(shù)語(yǔ)RA服務(wù)器和RASUM —般用于表示具有下文所述特征的功能單 元，但是本發(fā)明不限于這些單元的任何特定實(shí)現(xiàn)方式。此外，術(shù)語(yǔ)“本地網(wǎng)絡(luò)所有者”一般 用于表示控制本地網(wǎng)絡(luò)的管理者、管理員或其他人，至少某種意義上處理遠(yuǎn)程接入服務(wù)并 決定哪些用戶和設(shè)備被允許以本文所述的方式遠(yuǎn)程地接入網(wǎng)絡(luò)。
圖3中大體上示出了本發(fā)明的上述設(shè)置的示范實(shí)施例。在本示例中，遠(yuǎn)程設(shè)備300 能夠通過(guò)IMS核心304接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)302，以建立與該網(wǎng)絡(luò)中的本地設(shè)備(未示 出)的通信。遠(yuǎn)程設(shè)備300可以是移動(dòng)終端，而且本地網(wǎng)關(guān)302可以是HIGA，然而本發(fā)明 并不限于此。遠(yuǎn)程設(shè)備300和本地網(wǎng)關(guān)302分別包括RASUM單元300a和302a，RA服務(wù)器 304a駐留在IMS核心304中，并與其中的HSS節(jié)點(diǎn)304b相連。每一個(gè)RASUM單元300a、302a包括IMS客戶端300b、302b，適于與RA服務(wù)器304a 交換IMS消息(例如，使用SIP)，尤其用于配置IMS核心304中支持IMS的遠(yuǎn)程接入服務(wù)以 及建立遠(yuǎn)程接入通信。遠(yuǎn)程設(shè)備300中的RASUM單元300a還包括RA (遠(yuǎn)程接入)管理臺(tái) 300c，適于借助UPnP動(dòng)作(基本由UPnP RA架構(gòu)來(lái)定義)與RAC 300d交互。同樣，本地網(wǎng) 關(guān)302中的RASUM單元302a也包括RA管理臺(tái)302c，適于借助UPnP動(dòng)作與RAS 302d交互。簡(jiǎn)單說(shuō)來(lái)，以下述方式，遠(yuǎn)程設(shè)備能夠安全地獲得對(duì)本地網(wǎng)絡(luò)的基于IMS的遠(yuǎn)程 接入，而無(wú)需在物理上存在于該本地網(wǎng)絡(luò)中。首先，通過(guò)IMS客戶端302b和RA服務(wù)器304a 之間的IMS消息收發(fā)，以及IMS客戶端300b和RA服務(wù)器304a之間的IMS消息收發(fā)，在IMS 核心中分別配置用于遠(yuǎn)程接入的能力和憑證。在本說(shuō)明書中，術(shù)語(yǔ)“憑證”是指用于建立安 全連接所需的任何參數(shù)，例如下文詳細(xì)描述的用于VPN(虛擬專屬網(wǎng)絡(luò))隧道建立的證書。 其次，通過(guò)IMS客戶端302a和RA服務(wù)器304b之間的IMS消息收發(fā)，使用基于IMS安全性的 信任模型來(lái)認(rèn)證遠(yuǎn)程設(shè)備300對(duì)本地網(wǎng)絡(luò)的遠(yuǎn)程接入。然后，通過(guò)IMS客戶端300a和302a 之間經(jīng)由RA服務(wù)器304b的IMS消息收發(fā)，建立遠(yuǎn)程接入會(huì)話，數(shù)據(jù)在RAC 300d中的RATA 和RAS 302d中的RATA之間傳輸，如底部的雙向箭頭所示。下面參考圖4中的流程圖以及偶爾參考圖3來(lái)描述用于實(shí)現(xiàn)從遠(yuǎn)程設(shè)備到本地網(wǎng) 絡(luò)的安全遠(yuǎn)程接入的過(guò)程。該過(guò)程提供了涉及網(wǎng)絡(luò)中的本地網(wǎng)關(guān)302(例如HIGA)、IMS核 心304中的RA服務(wù)器304a以及遠(yuǎn)程設(shè)備300的遠(yuǎn)程接入服務(wù)。通常，本地網(wǎng)絡(luò)由本地網(wǎng) 絡(luò)所有者來(lái)管理和控制，至少以下述方式來(lái)進(jìn)行。在第一步驟400，在IMS核心304中，針對(duì)遠(yuǎn)程接入服務(wù)來(lái)配置遠(yuǎn)程接入端點(diǎn)302、 300的能力和憑證。在該步驟中，本地網(wǎng)關(guān)302中的IMS客戶端302a與RA服務(wù)器304b交 換適合的IMS消息，以在IMS核心中確定RAS 302d的RATA能力。本地網(wǎng)關(guān)302的憑證由 IMS核心304中的RA服務(wù)器304b產(chǎn)生，還被傳送至網(wǎng)關(guān)302的RA端點(diǎn)(即RAS 302d中的 RATA)，這將在下文詳細(xì)描述。同樣，遠(yuǎn)程設(shè)備300中的IMS客戶端300a與RA服務(wù)器304b交換適合的IMS，以在 IMS核心中配置遠(yuǎn)程設(shè)備300的能力(即RAC 300d的相應(yīng)的RATA能力)以及設(shè)備300的憑證(被傳送至相對(duì)RA端點(diǎn)，即RAC 300d中的RATA)。上述遠(yuǎn)程設(shè)備300的遠(yuǎn)程接入配置 能夠在位于本地網(wǎng)絡(luò)之外時(shí)執(zhí)行，因此無(wú)需物理上位于本地網(wǎng)絡(luò)之中。例如，網(wǎng)關(guān)302和設(shè)備300的憑證可分別是與所支持的隧道建立方法相對(duì)應(yīng)的證 書，例如基于IPSec(因特網(wǎng)協(xié)議安全性)的VPN隧道。在該示例中，證書可被稱為“χ. 509 證書”，這是本領(lǐng)域中公知的。然而，本發(fā)明不限于任何特定的憑證或證書。 根據(jù)步驟400在IMS核心304中分別配置RAS 302d和RAC 300d的RATA能力實(shí)際 上對(duì)應(yīng)于上述發(fā)現(xiàn)過(guò)程，然而無(wú)需遠(yuǎn)程設(shè)備300物理上存在于本地網(wǎng)絡(luò)中。因此，步驟400 可被看作大體上表示配置操作，即在IMS核心304中彼此獨(dú)立地配置遠(yuǎn)程設(shè)備300和本地 網(wǎng)關(guān)302用于遠(yuǎn)程接入。下文將參考圖5來(lái)描述如何在實(shí)際中執(zhí)行步驟400的示例。在接下來(lái)的步驟402，按照本地網(wǎng)絡(luò)所有者的規(guī)定，針對(duì)本地網(wǎng)絡(luò)的遠(yuǎn)程接入認(rèn)證 一個(gè)或更多個(gè)特定用戶，包括遠(yuǎn)程設(shè)備300的用戶。針對(duì)特定用戶的遠(yuǎn)程接入認(rèn)證是基于 該用戶的IMS身份，其將會(huì)提供用于接入IMS核心中的服務(wù)所需的可信驗(yàn)證。IMS身份典型 地是SIPURI (通用資源標(biāo)識(shí)符),例如alice@oD.net。因此，本方案使用IMS身份來(lái)驗(yàn)證或 允許用戶對(duì)本地網(wǎng)絡(luò)進(jìn)行遠(yuǎn)程接入，而不考慮所使用的終端。如上文結(jié)合圖1所描述，遠(yuǎn)程 設(shè)備用戶必須使用有效的IMS身份來(lái)通過(guò)IMS核心接入本地網(wǎng)絡(luò)。然后，已認(rèn)證的用戶基 本上能夠通過(guò)他/她的IMS身份從任何終端遠(yuǎn)程地接入本地網(wǎng)絡(luò)，無(wú)需對(duì)實(shí)際使用的終端 進(jìn)行任何特殊認(rèn)證。在這個(gè)步驟中，當(dāng)本地網(wǎng)絡(luò)所有者明確指定允許用戶遠(yuǎn)程接入網(wǎng)絡(luò)時(shí)，建立有用 的信任模型，例如通過(guò)把用戶的IMS身份添加到本地網(wǎng)絡(luò)的ACL(接入控制列表)等。因 此，該信任模型基于如下概念在允許用戶的遠(yuǎn)程設(shè)備300接入本地網(wǎng)絡(luò)之前，已經(jīng)通過(guò)現(xiàn) 有的IMS安全機(jī)制對(duì)他/她進(jìn)行了認(rèn)證和授權(quán)。這些IMS安全機(jī)制通常被看作可靠的和可信的。ACL包含被允許遠(yuǎn)程接入的用戶的IMS身份，而且可以在RA服務(wù)器304a或本地網(wǎng) 關(guān)302中存儲(chǔ)和維護(hù)，例如在RA管理臺(tái)302c中存儲(chǔ)和維護(hù)。步驟402可被看作基本上表 示準(zhǔn)備操作，即為遠(yuǎn)程設(shè)備的用戶遠(yuǎn)程接入本地網(wǎng)絡(luò)做準(zhǔn)備。下文將參考圖6和圖7分別 描述在實(shí)際中如何針對(duì)特定用戶來(lái)執(zhí)行步驟402的兩個(gè)示例。另外，基于UPnP的ACL還可用于控制不同UPnP設(shè)備的遠(yuǎn)程接入(例如“白列表” 或“黑列表”，包含被允許或拒絕遠(yuǎn)程接入的每一個(gè)設(shè)備的UUID(通用唯一標(biāo)識(shí)符))。UUID 是用于UPnP設(shè)備的包含128比特的標(biāo)準(zhǔn)化標(biāo)識(shí)符，其與設(shè)備而不是用戶相關(guān)聯(lián)?；赨PnP 的ACL在本地網(wǎng)關(guān)的RAS中維護(hù)，而且在除了基于IMS的ACL之外還有其他用途，這將在下 文參考圖8和9中所示的某些實(shí)現(xiàn)示例來(lái)詳細(xì)描述。如果基于IMS的ACL和基于UPnP的 ACL都用于接入控制，則用戶和設(shè)備將會(huì)獨(dú)立地被授權(quán)，這將會(huì)顯著增強(qiáng)接入控制。實(shí)際中， 這些ACL在某種程度上將與UPNP和IMS中不同的方式實(shí)現(xiàn)。基于IMS的ACL基本上是形 成用于遠(yuǎn)程接入服務(wù)的過(guò)濾標(biāo)準(zhǔn)的數(shù)據(jù)集合?；赨PnP的ACL被稱作“RADA配置過(guò)濾器”， 可以是白列表或黑列表?；氐綀D4，在步驟404，在某一時(shí)刻通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收到接入請(qǐng)求。例 如，請(qǐng)求設(shè)備的用戶可能想從媒體服務(wù)器獲取數(shù)據(jù)，或向網(wǎng)絡(luò)中的媒體播放器(renderer) 或存儲(chǔ)器發(fā)送數(shù)據(jù)。在該步驟中，可以在IMS核心或本地網(wǎng)關(guān)處接收和處理接入請(qǐng)求，這取 決于基于IMS的ACL存儲(chǔ)和維護(hù)的位置，下文詳細(xì)描述。
然后，在隨后的步驟406中，根據(jù)上述步驟402來(lái)確定遠(yuǎn)程設(shè)備用戶是否已經(jīng)被授 權(quán)進(jìn)行遠(yuǎn)程接入。例如，可以根據(jù)在步驟402中建立的基于IMS的ACL來(lái)檢查接入請(qǐng)求是 否能夠被接受，即遠(yuǎn)程設(shè)備用戶的IMS身份是否存在于ACL中。如果在步驟406中確定遠(yuǎn)程設(shè)備用戶已被授權(quán)，則在步驟408中接受接入請(qǐng)求，然 后執(zhí)行涉及遠(yuǎn)程設(shè)備和本地網(wǎng)絡(luò)中的本地設(shè)備的遠(yuǎn)程通信會(huì)話。另一方面，如果步驟406 揭示遠(yuǎn)程設(shè)備用戶沒(méi)有被授權(quán)，則可以進(jìn)一步確定接入請(qǐng)求是否能夠被本地網(wǎng)絡(luò)所有者接 受，如步驟410所示。例如，可以詢問(wèn)本地網(wǎng)絡(luò)所有者是否能夠接受該設(shè)備的用戶進(jìn)行遠(yuǎn)程 接入。備選地，可以簡(jiǎn)單地拒絕該接入請(qǐng)求，如虛線步驟410a所示。步驟404_410/410a可被看作基本上表示運(yùn)行時(shí)操作，即建立遠(yuǎn)程設(shè)備對(duì)本地網(wǎng) 絡(luò)的遠(yuǎn)程接入。下文將參考圖8和圖9分別描述在實(shí)際中如何針對(duì)特定用戶來(lái)執(zhí)行步驟 404-410的兩個(gè)示例。 圖5更加詳細(xì)地示出了用于在IMS核心中針對(duì)遠(yuǎn)程接入服務(wù)確定本地網(wǎng)關(guān)和遠(yuǎn)程 設(shè)備的能力和配置本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備的憑證的示例實(shí)施例，即基本上根據(jù)上述步驟400 來(lái)執(zhí)行。實(shí)際中，該過(guò)程針對(duì)本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備分別執(zhí)行。盡管這里僅對(duì)該過(guò)程描述一 次，然而該過(guò)程對(duì)于本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備中任一方都有效。本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備包括RATA 500和具有RA管理器502和IMS客戶端504的RASUM，如上文所述。本地網(wǎng)關(guān)可以是HIGA。在遠(yuǎn)程設(shè)備中，RATA 500駐留在RAC中；而在本地網(wǎng)關(guān)中，RATA500駐留在RAS中。 在本地網(wǎng)關(guān)中，RASUM可以是HIGA中的SIP用戶代理的模塊。IMS核心包括RA服務(wù)器506 和HSS節(jié)點(diǎn)508。在本示例中，IMS客戶端504和RA服務(wù)器506通過(guò)SIP而通信，然而本發(fā) 明一般不限于此。第一步驟5:1示出了本地網(wǎng)絡(luò)所有者提供某個(gè)適合的輸入以發(fā)起配置過(guò)程，向 IMS客戶端504產(chǎn)生觸發(fā)信號(hào)。在下一步驟5 2，IMS客戶端504在適合的SIP消息中向IMS 核心發(fā)送針對(duì)遠(yuǎn)程接入服務(wù)的請(qǐng)求，該請(qǐng)求由RA管理器502接收。因此，這是服務(wù)激活步 驟，并且優(yōu)選地用戶已經(jīng)與IMS運(yùn)營(yíng)方達(dá)成了服務(wù)協(xié)議。在下一步驟5:3，RA服務(wù)器506在另一適合的SIP消息中向IMS客戶端504發(fā)送 針對(duì)RATA 500的能力的請(qǐng)求。然后，RASUM能夠從SIP消息中提取該能力請(qǐng)求。在下一步 驟54，基本上從RATA 500獲取RATA能力。在該步驟中，在對(duì)前一步驟中接收的SIP消息 進(jìn)行解析后，RASUM功能元件面向RA管理器502有效地創(chuàng)建和發(fā)布請(qǐng)求，RA管理器502從 RATA 500獲取能力，然后將這些能力傳送回IMS客戶端504。例如，RATA能力可以包括“支 持基于證書的IPSec和IKE(因特網(wǎng)密鑰建立)”。在下一步驟5:5，IMS客戶端504響應(yīng)于上述步驟5:3中的能力請(qǐng)求，在另一個(gè)適 合的SIP消息中向RA服務(wù)器506發(fā)送RATA能力。然后，RA服務(wù)器506把RATA能力存儲(chǔ) 在HSS節(jié)點(diǎn)508中供以后使用，這里表示為在步驟5:6中針對(duì)本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備中的每 一個(gè)而更新遠(yuǎn)程接入服務(wù)數(shù)據(jù)。在隨后的步驟5:7，RA服務(wù)器506產(chǎn)生證書作為本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備中的每一個(gè) 的遠(yuǎn)程接入憑證。如果支持基于證書的IPSec，則在此步驟中可以產(chǎn)生χ. 509證書。該步驟 可以有效地通過(guò)第三方實(shí)體來(lái)執(zhí)行，例如認(rèn)可的證書授權(quán)方。在下一步驟5:8，RA服務(wù)器506將產(chǎn)生的證書作為遠(yuǎn)程接入憑證分別發(fā)送給本地 網(wǎng)關(guān)和遠(yuǎn)程設(shè)備中的IMS客戶端504。如上所述，χ. 509證書可作為憑證由RA服務(wù)器506產(chǎn)生，或備選地由第三方產(chǎn)生(未示出)。憑證在傳輸網(wǎng)絡(luò)上向IMS客戶端的分發(fā)可以基于推技術(shù)(pull-based)或基于拉技術(shù)(pull-based)?；谕萍夹g(shù)的憑證分發(fā)可以由來(lái)自 RA服務(wù)器506的消息HTTP POST來(lái)實(shí)現(xiàn)，而基于拉技術(shù)的憑證分發(fā)可以由來(lái)自遠(yuǎn)程設(shè)備或 本地網(wǎng)關(guān)、并由適合的SIP消息觸發(fā)的消息HTTP GET來(lái)實(shí)現(xiàn)。在接收到證書后，IMS客戶端504將其作為憑證通過(guò)RA管理器502傳送至RATA 500，如聯(lián)合步驟5:9所示。最后，RA管理器502由RASUM觸發(fā)，以便在RATA 500中創(chuàng)建新 的簡(jiǎn)檔，如最后的步驟5:10所示。該簡(jiǎn)檔可以指示遠(yuǎn)程接入端點(diǎn)(即RAS或RAC)支持基 于IPSec的VPN并具有必需的憑證(本示例中是證書)。分別位于本地網(wǎng)關(guān)和遠(yuǎn)程設(shè)備處 的RATA 500此時(shí)在技術(shù)上已經(jīng)準(zhǔn)備好建立遠(yuǎn)程接入連接。然而，遠(yuǎn)程設(shè)備用戶必需首先經(jīng) 過(guò)遠(yuǎn)程接入授權(quán)，如圖4中所示的步驟402所規(guī)定。不同的備選過(guò)程可用于本地網(wǎng)絡(luò)所有者如何才能夠創(chuàng)建包含用戶的IMS身份的 基于IMS的ACL等，以允許建立與本地網(wǎng)絡(luò)的遠(yuǎn)程接入連接。圖6a和6b示出了兩個(gè)備 選實(shí)施例，可分別被稱為“服務(wù)器端”過(guò)程和“網(wǎng)關(guān)端”過(guò)程。同樣能夠以不同的方式來(lái)規(guī) 定所允許的用戶的身份。根據(jù)當(dāng)前的IMS標(biāo)準(zhǔn)，基于所謂的“公有建議身份(P-asserted identity)，，唯一地標(biāo)示用戶，該“公有建議身份”可以是例如SIP URI和/或tel URI (即 電話號(hào)碼，例如070123456)的標(biāo)識(shí)符。圖6和7示出了對(duì)從位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程設(shè)備接入該網(wǎng)絡(luò)的用戶進(jìn)行認(rèn)證的 兩個(gè)備選實(shí)施例，即基本上根據(jù)上述步驟402來(lái)執(zhí)行。在圖6中，在IMS核心中維護(hù)用于本 地網(wǎng)絡(luò)的ACL，而在圖7中，在本地網(wǎng)關(guān)中維護(hù)ACL。如上所述，可以額外使用基于UPnP的 ACL來(lái)對(duì)用于遠(yuǎn)程接入本地網(wǎng)關(guān)的遠(yuǎn)程UPnP設(shè)備進(jìn)行認(rèn)證。在圖6中，本地網(wǎng)關(guān)包括RA用戶管理模塊600并且基于IMS的ACL在包括RA服 務(wù)器602和HSS節(jié)點(diǎn)604的IMS核心中維護(hù)。RA用戶管理模塊600可以在RASUM單元中實(shí) 現(xiàn)，而且ACL可以駐留在RA服務(wù)器602或HSS節(jié)點(diǎn)604中。此外，本地網(wǎng)絡(luò)的特定過(guò)濾準(zhǔn) 則可能之前已經(jīng)存儲(chǔ)在HSS節(jié)點(diǎn)604中，以用于圖5的配置過(guò)程期間的遠(yuǎn)程接入服務(wù)(例 如在步驟5:2之后)?！把?qǐng)”通常是由端用戶設(shè)備發(fā)起會(huì)話時(shí)使用的SIP消息。IMS網(wǎng)絡(luò) 中被稱作P-CSCF(代理呼叫會(huì)話控制功能元件)的會(huì)話控制節(jié)點(diǎn)可以根據(jù)被存儲(chǔ)用于遠(yuǎn)程 接入服務(wù)(如果有的話)的過(guò)濾準(zhǔn)則，針對(duì)任何接收的邀請(qǐng)消息應(yīng)用過(guò)濾功能。第一步驟6:1示出了本地網(wǎng)絡(luò)所有者在適合的⑶I (圖形用戶接口)處向RA用戶 管理模塊600輸入用戶X的電話URI或SIP URI，從而將用戶X添加到基于IMS的ACL中。 在本示例中，使用服務(wù)器端過(guò)程，并且本地網(wǎng)絡(luò)所有者可以向IMS核心提供用戶X的SIP URI或電話URI或其他身份。在下面的步驟6:2，向RA服務(wù)器602提交認(rèn)證用戶X的請(qǐng)求， 例如使用XCAP消息。可選地，認(rèn)證請(qǐng)求可以從具有IMS客戶端的任何設(shè)備發(fā)送。響應(yīng)于該 請(qǐng)求，RA服務(wù)器602在步驟6 3處檢索并添加ACL中的用戶X的SIP URI，并更新HSS節(jié)點(diǎn) 604中的本地網(wǎng)關(guān)的服務(wù)數(shù)據(jù)(例如，包括上述過(guò)濾準(zhǔn)則)。在圖7所示的實(shí)施例中，所示的RA用戶管理模塊600和RA服務(wù)器602基本上與 圖6中的相同，只是基于IMS的ACL在本地網(wǎng)關(guān)中維護(hù)，例如在RA用戶管理模塊600中。因 此，認(rèn)證用戶Y的遠(yuǎn)程接入的過(guò)程與圖6所示的過(guò)程有些不同；在本示例中，使用網(wǎng)關(guān)端的 過(guò)程。在此場(chǎng)景中，本地網(wǎng)關(guān)通過(guò)檢查呼叫方的SIP URI (公有建議身份)執(zhí)行對(duì)來(lái)自呼叫 方的、包含遠(yuǎn)程接入連接請(qǐng)求的入局SIP邀請(qǐng)消息的過(guò)濾。在把用戶添加到ACL時(shí)，本地網(wǎng)關(guān)所有者可以指定該用戶的SIP URI或電話URI。如果指定了電話URI，則本地網(wǎng)絡(luò)必需知 曉用于執(zhí)行上述過(guò)濾操作的相應(yīng)的SIP URI。因此，如果提供電話URI，那么本地網(wǎng)絡(luò)需要 向IMS核心詢問(wèn)該用戶的相應(yīng)的SIP URI。在第一步驟7:1，將用戶Y的電話URI或SIP URI作為輸入而輸入RA用戶管理模 塊600中，該步驟與步驟6 1相同。然后，在接下來(lái)的步驟7:2，模塊600確定在步驟7 1 中輸入的是SIP URI還是電話URI。如果在步驟7:1處輸入了電話URI，則需要獲取相應(yīng)的 SIP URI以存儲(chǔ)在ACL中，因此在下一步驟7 3處，模塊600向RA服務(wù)器602發(fā)送請(qǐng)求以請(qǐng) 求與電話URI相對(duì)應(yīng)的SIP URI。在接下來(lái)的步驟7:4處，RA服務(wù)器602基于電話URI從 HSS 604獲取相應(yīng)的SIP URI。響應(yīng)于步驟7:2中的請(qǐng)求，RA服務(wù)器602在隨后的步驟7:5中發(fā)送用戶Y的SIP URI，即用戶Y的公有建議身份。在該步驟中，SIP URI可以在適合的SIP消息中發(fā)送。最 后，在最終步驟7:6，RA用戶管理模塊600將用戶Y的SIP URI添加到ACL中。然而，如果 在步驟7:2確定在步驟7:1輸入的是SIP URI，則可以直接將其存儲(chǔ)在ACL中，因此在此情 況下將會(huì)省略步驟7 3-7 5。在任一情況下，優(yōu)選地向本地網(wǎng)絡(luò)所有者顯示用戶友好的身份 而不是SIP URI。
由于本地網(wǎng)關(guān)現(xiàn)在執(zhí)行針對(duì)遠(yuǎn)程接入的任何入局請(qǐng)求的過(guò)濾，例如作為邀請(qǐng)消 息，這些遠(yuǎn)程接入請(qǐng)求應(yīng)當(dāng)優(yōu)選地包含公共建議身份，這對(duì)呼叫方設(shè)備和IMS核心提出了 要求。例如，呼叫方設(shè)備可能需要在SIP報(bào)頭中指示合適的安全級(jí)別，而且IMS核心不應(yīng)取 出(stripe out) SIP報(bào)頭中的公共建議身份，而是應(yīng)當(dāng)將其傳遞至本地網(wǎng)關(guān)中的SIP用戶 代理。作為遠(yuǎn)程接入連接發(fā)起方的呼叫方設(shè)備可將邀請(qǐng)消息中的隱私報(bào)頭字段設(shè)為“無(wú)”。 由此，公共建議身份將不會(huì)在向本地網(wǎng)關(guān)轉(zhuǎn)發(fā)消息時(shí)被P-CSCF移除。下面參考圖8來(lái)描述根據(jù)示范實(shí)施例用于建立遠(yuǎn)程設(shè)備對(duì)本地網(wǎng)絡(luò)的遠(yuǎn)程接入 的過(guò)程。該圖基本上示出了由圖4中的步驟404-410/410a表示的運(yùn)行時(shí)操作。假定先前已 經(jīng)在IMS核心中針對(duì)遠(yuǎn)程接入配置了網(wǎng)絡(luò)中的本地網(wǎng)絡(luò)以及遠(yuǎn)程設(shè)備的能力和憑證，例如 圖5中所描述。在該示例中，基于IMS的ACL包含被允許遠(yuǎn)程接入的用戶的IMS身份，而且 針對(duì)本地網(wǎng)關(guān)而被維護(hù)在IMS核心中，S卩服務(wù)器端過(guò)程已被用于上述用戶授權(quán)。此外，在該 示例中，遠(yuǎn)程設(shè)備的用戶已被授權(quán)進(jìn)行遠(yuǎn)程接入，因此已經(jīng)存在于ACL中。此外，基于UPnP 的ACL包含被允許遠(yuǎn)程接入的設(shè)備的UUID，而且也用于所示示例中的本地網(wǎng)關(guān)中，用于設(shè) 備的遠(yuǎn)程接入控制。本地網(wǎng)關(guān)包括RAS 800和包含RA管理臺(tái)802和IMS客戶端804的RASUM?；?UPnP的ACL維護(hù)在RAS 800中。IMS核心包括能夠接入HSS所存儲(chǔ)的信息的RA服務(wù)器806， 而且基于IMS的ACL可作為過(guò)濾準(zhǔn)則而維護(hù)在IMS核心中的RA服務(wù)器或HSS或其他適合 的節(jié)點(diǎn)中，這取決于具體實(shí)現(xiàn)。遠(yuǎn)程設(shè)備包括RAC 808和同樣的RASUM，該RASUM包含RA管 理臺(tái)810和IMS客戶端812。假定本地網(wǎng)絡(luò)所有者和設(shè)備用戶是基于IMS的RA服務(wù)的用 戶，從而具有基于IMS安全性的可信關(guān)系。在所示第一步驟8:1處，IMS核心從遠(yuǎn)程設(shè)備中的IMS客戶端812接收邀請(qǐng)消息， 該消息實(shí)際上是從設(shè)備用戶向本地網(wǎng)關(guān)的會(huì)話邀請(qǐng)。該邀請(qǐng)消息可以是SIP邀請(qǐng)并包括設(shè) 備用戶的IMS身份，例如SIP URI。此外，遠(yuǎn)程設(shè)備的UUID包含在SIP正文中。在接下來(lái)的步驟8:2中，檢查IMS核心中的ACL，以驗(yàn)證設(shè)備用戶被授權(quán)調(diào)用與本地網(wǎng)絡(luò)的遠(yuǎn)程接入連接，而且還檢查RAC 808具有與RAS 800的能力相匹配的能力。因此， 如果設(shè)備用戶存在于基于IMS的ACL中(例如作為圖6所示的過(guò)程的結(jié)果)并且能夠與RAS 800 通信，則RAC 808與RAS 800之間的遠(yuǎn)程接入連接是可能的并且能夠被允許。接下來(lái)， 在隨后的步驟8 3中，將步驟8 1中接收的邀請(qǐng)消息從RA服務(wù)器806發(fā)送至本地網(wǎng)關(guān)中的 IMS客戶端804。在下面的步驟8:4中，現(xiàn)在在本地網(wǎng)關(guān)處檢查設(shè)備身份UUID是否存在于RAS 800 的基于UPnP的ACL中。如果設(shè)備身份UUID不存在于基于UPnP的ACL中，則在步驟8:4a 中可通過(guò)來(lái)自RA管理臺(tái)802的觸發(fā)消息將設(shè)備身份UUID添加到基于UPnP的ACL中。然 后，相應(yīng)地配置RAS800的RADA，包括在步驟8:4b使用常規(guī)的UPnP遠(yuǎn)程接入的建立過(guò)程向 基于UPnP的ACL添加UUID。在步驟84c，RA管理臺(tái)802還向IMS客戶端804確認(rèn)遠(yuǎn)程設(shè) 備已經(jīng)被成功添加至基于UPnP的ACL。另一方面，如果在步驟8:4發(fā)現(xiàn)遠(yuǎn)程設(shè)備已經(jīng)存在 于基于UPnP的ACL中，則可以省略步驟8:4a-8:4c。在任一情況下，可通過(guò)打開(kāi)本地網(wǎng)關(guān)的NAT/防火墻中的“針孔(pin hole) ”來(lái)執(zhí) 行進(jìn)入(inbound)連接配置，以準(zhǔn)備遠(yuǎn)程接入會(huì)話。然后，在步驟8:5處，通過(guò)從IMS客戶 端804至IMS客戶端812的適合的OK消息(例如SIP 2000K,通過(guò)IMS核心來(lái)傳遞)，向呼 叫方設(shè)備用戶通知該本地網(wǎng)關(guān)已經(jīng)接受來(lái)自遠(yuǎn)程設(shè)備的遠(yuǎn)程接入。在步驟8:6中從IMS客戶端812至RAC 808的用于發(fā)起遠(yuǎn)程接入連接的適合的觸 發(fā)消息之后，在步驟8:7，最終在RAC 808和RAS 800之間建立連接。建立該連接可以包括 基于RAS 800中存儲(chǔ)的用于遠(yuǎn)程設(shè)備的憑證(例如根據(jù)圖5中的步驟5:7-5:9所傳遞的憑 證)，在RAC 808和RAS 800之間設(shè)立VPN隧道。VPN隧道可以由RAC 808根據(jù)遠(yuǎn)程接入的 UPnP規(guī)范來(lái)發(fā)起。下面參考圖9來(lái)描述用于建立遠(yuǎn)程設(shè)備對(duì)本地網(wǎng)絡(luò)的遠(yuǎn)程接入的另一示范過(guò) 程。所涉及的遠(yuǎn)程設(shè)備、IMS核心和本地網(wǎng)關(guān)基本上與圖8中所示的相同，而且功能單元 800-812在圖9中重復(fù)使用。此外，假定遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的能力和憑證已經(jīng)在IMS核心 中針對(duì)遠(yuǎn)程接入而被配置。在本示例中，本地網(wǎng)關(guān)的基于IMS的ACL同樣維護(hù)在IMS核心 中，但是遠(yuǎn)程設(shè)備的用戶之前還沒(méi)有被授權(quán)進(jìn)行遠(yuǎn)程接入，因此他/她的IMS身份并不存在 于ACL中。此外，在本示例中，基于UPnP的ACL也在RAS 800中維護(hù)，而且遠(yuǎn)程設(shè)備的UUID 也不存在于基于UPnP的ACL中。首先，在步驟9:1，IMS核心從遠(yuǎn)程設(shè)備接收邀請(qǐng)消息作為面向本地網(wǎng)關(guān)的會(huì)話邀 請(qǐng)，該邀請(qǐng)消息包括用戶的IMS身份和設(shè)備的UUID (即等效于上述步驟8:1)。在接下來(lái)的 步驟9:2，在IMS核心檢查本地網(wǎng)關(guān)的基于IMS的ACL，以查看設(shè)備用戶是否能夠被驗(yàn)證/ 允許進(jìn)行遠(yuǎn)程接入。還可以檢查遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)具有針對(duì)遠(yuǎn)程接入的相匹配的能力， 艮口，是否已經(jīng)根據(jù)圖5中的過(guò)程對(duì)遠(yuǎn)程設(shè)備和網(wǎng)關(guān)的RATA能力和憑證進(jìn)行配置。 然而，在本示例中沒(méi)有在ACL中找到用戶的IMS身份，因此在隨后的步驟9 3中從 RA服務(wù)器806向本地網(wǎng)關(guān)中的IMS客戶端804發(fā)送邀請(qǐng)消息，指示設(shè)備用戶還未根據(jù)基于 IMS的ACL而被驗(yàn)證。這可以通過(guò)向邀請(qǐng)消息添加相應(yīng)的密碼等來(lái)指示，例如在SIP正文 或SDP(會(huì)話描述協(xié)議)正文中添加。然而，遠(yuǎn)程設(shè)備通過(guò)具有匹配的能力，在技術(shù)上可以 與本地網(wǎng)關(guān)建立連接。 在下一步驟9:4，由于設(shè)備用戶還未能得以驗(yàn)證，本地網(wǎng)絡(luò)所有者被通知未驗(yàn)證的用戶已經(jīng)做出針對(duì)遠(yuǎn)程接入會(huì)話的邀請(qǐng)，并且通過(guò)適合的GUI向所有者詢問(wèn)是否能夠接受該設(shè)備用戶進(jìn)行遠(yuǎn)程接入。在本示例中，如下一步驟9:5所示，網(wǎng)絡(luò)所有者接受該用戶進(jìn)行 遠(yuǎn)程接入。在隨后的步驟9:6，IMS客戶端804觸發(fā)RA管理臺(tái)802將遠(yuǎn)程設(shè)備的UUID添加 到RAS 800中的基于UPnP的ACL，并且在步驟9 7中使用常規(guī)UPnP遠(yuǎn)程接入設(shè)立過(guò)程來(lái)相 應(yīng)地配置RAS 800的RADA。在步驟9:8，RA管理臺(tái)802還向IMS客戶端804確認(rèn)遠(yuǎn)程設(shè)備 已經(jīng)被成功添加到基于UPnP的ACL。現(xiàn)在，可通過(guò)打開(kāi)本地網(wǎng)關(guān)的NAT/防火墻“針孔”來(lái) 執(zhí)行進(jìn)入連接配置，以準(zhǔn)備遠(yuǎn)程接入會(huì)話。然后，在步驟9:9通過(guò)適合的OK消息(例如SIP 200 0K)從IMS客戶端804向 IMS客戶端812發(fā)送通知，指示本地網(wǎng)關(guān)接受了來(lái)自遠(yuǎn)程設(shè)備的遠(yuǎn)程接入，其中該通知首先 由RA服務(wù)器806接收。在接收到該通知后，在下一步驟9 10，RA服務(wù)器806通過(guò)添加用哦 過(guò)戶的IMS身份來(lái)更新基于IMS的ACL。在步驟9:11，RA服務(wù)器806還向IMS客戶端812 發(fā)送OK消息。在步驟9:12，IMS客戶端812還向RAC 808發(fā)送連接觸發(fā)消息，以發(fā)起遠(yuǎn)程 接入連接。最后，在步驟9:13建立該連接，例如根據(jù)RAS 800中存儲(chǔ)的針對(duì)遠(yuǎn)程設(shè)備的憑 證在RAC 808和RAS 800之間設(shè)立VPN隧道(如先前在圖8中描述的例子)。使用本發(fā)明，信任模型的上述問(wèn)題能夠以如下方式得以解決通過(guò)基于IMS的ACL 中的授權(quán)用戶的IMS身份來(lái)實(shí)現(xiàn)針對(duì)該授權(quán)用戶的安全的遠(yuǎn)程接入連接，無(wú)需考慮所使用 的設(shè)備。如上文所述，當(dāng)前用于遠(yuǎn)程接入的設(shè)備也可在基于UPnP的ACL中被授權(quán)。還解決 了在傳遞憑證的同時(shí)確保與UPnP RADA的兼容的問(wèn)題。還可通過(guò)分別對(duì)RAC和RAS中的 UPnP RADA與UPnP RATA以及管理臺(tái)之間的所有交互進(jìn)行模仿(mimick)來(lái)實(shí)現(xiàn)兼容。通過(guò)再次使用用于可信建立的IMS認(rèn)證/授權(quán)，上述方案還使IMS系統(tǒng)能夠用于 傳遞憑證(例如證書)。上述方案還能夠用于避免RAC和RAS為了針對(duì)UPnP RA而定義的 發(fā)現(xiàn)或配對(duì)過(guò)程而必須位于相同的物理本地網(wǎng)絡(luò)中的要求，從而使UPnP遠(yuǎn)程接入架構(gòu)更 加具有吸引力且更加有用。盡管參考特定的示范實(shí)施例描述了本發(fā)明，然而該描述不應(yīng)被看作限制本發(fā)明的 范圍。本發(fā)明大體上由所附獨(dú)立權(quán)利要求來(lái)限定。
權(quán)利要求
一種使位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程設(shè)備(300)能夠遠(yuǎn)程接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)(302)的方法，包括如下步驟在IMS核心(304)中，針對(duì)遠(yuǎn)程接入來(lái)配置遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的能力和憑證；通過(guò)將每一個(gè)被授權(quán)用戶的IMS身份添加到基于IMS的ACL，授權(quán)一個(gè)或更多個(gè)用戶遠(yuǎn)程接入本地網(wǎng)絡(luò)；通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收對(duì)本地網(wǎng)關(guān)的接入請(qǐng)求；如果遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)所述基于IMS的ACL中該用戶的IMS身份執(zhí)行遠(yuǎn)程接入，則接受所述接入請(qǐng)求；以及如果接受，則使用遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能力和憑證建立遠(yuǎn)程接入連接。
2.如權(quán)利要求1所述的方法，其中，通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端(300b)與IMS核心 中的遠(yuǎn)程接入服務(wù)器(304a)之間的IMS消息收發(fā)來(lái)配置遠(yuǎn)程設(shè)備的所述能力和憑證，并且 通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端(302b)與遠(yuǎn)程接入服務(wù)器(304a)之間的IMS消息收發(fā)來(lái)配 置本地網(wǎng)關(guān)的所述能力和憑證。
3.如權(quán)利要求1或2所述的方法，其中，所述憑證包括用于VPN隧道建立的證書。
4.如權(quán)利要求1至3中任意一項(xiàng)所述的方法，其中，所述能力包括本地網(wǎng)關(guān)中的RAS的 RATA能力以及遠(yuǎn)程設(shè)備中的RAC的RATA能力。
5.如權(quán)利要求1至4中任意一項(xiàng)所述的方法，其中，所述能力和憑證在遠(yuǎn)程設(shè)備位于本 地網(wǎng)絡(luò)之外時(shí)配置。
6.如權(quán)利要求1至5中任意一項(xiàng)所述的方法，其中，授權(quán)用戶能夠通過(guò)該用戶的IMS身 份從任意終端遠(yuǎn)程接入本地網(wǎng)絡(luò)。
7.如權(quán)利要求1至6中任意一項(xiàng)所述的方法，其中，在IMS核心處的遠(yuǎn)程接入服務(wù)器 (304a)中維護(hù)基于IMS的ACL。
8.如權(quán)利要求1至6中任意一項(xiàng)所述的方法，其中，在本地網(wǎng)關(guān)處維護(hù)基于IMS的ACL。
9.如權(quán)利要求1至8中任意一項(xiàng)所述的方法，其中，如果遠(yuǎn)程設(shè)備用戶沒(méi)有被授權(quán)通過(guò) 該用戶的IMS身份執(zhí)行遠(yuǎn)程接入，則確定所述接入請(qǐng)求對(duì)于控制本地網(wǎng)絡(luò)的本地網(wǎng)絡(luò)所有 者來(lái)說(shuō)是否能夠被接受。
10.如權(quán)利要求9所述的方法，其中，向本地網(wǎng)絡(luò)所有者詢問(wèn)是否能夠接受接入請(qǐng)求。
11.如權(quán)利要求1至10中任意一項(xiàng)所述的方法，其中，在本地網(wǎng)關(guān)中維護(hù)基于UPnP的 ACL,該基于UPnP的ACL包含被允許執(zhí)行遠(yuǎn)程接入的設(shè)備的UUID。
12.如權(quán)利要求11所述的方法，其中，如果所述接入請(qǐng)求被接受，則把所述遠(yuǎn)程設(shè)備的 UUID添加到基于UPnP的ACL。
13.一種IMS核心(304)中的遠(yuǎn)程接入服務(wù)器(304a)，用于使位于本地網(wǎng)絡(luò)之外的遠(yuǎn) 程設(shè)備(300)能夠遠(yuǎn)程接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)(302)，所述遠(yuǎn)程接入服務(wù)器包括用于針對(duì)遠(yuǎn)程接入在IMS核心中配置遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的能力和憑證的裝置；用于通過(guò)將每一個(gè)被授權(quán)用戶的IMS身份添加到基于IMS的ACL來(lái)授權(quán)一個(gè)或更多個(gè) 用戶遠(yuǎn)程接入本地網(wǎng)絡(luò)的裝置；用于通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收對(duì)本地網(wǎng)關(guān)的接入請(qǐng)求的裝置；用于在遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)所述基于IMS的ACL中該用戶的IMS身份執(zhí)行 遠(yuǎn)程接入的情況下接受所述接入請(qǐng)求的裝置；以及用于在接受的情況下使用遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能力和憑證來(lái)建立遠(yuǎn)程接 入連接的裝置。
14.如權(quán)利要求14所述的遠(yuǎn)程接入服務(wù)器，適于通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端(300b) 與IMS核心中的遠(yuǎn)程接入服務(wù)器(304a)之間的IMS消息收發(fā)來(lái)配置遠(yuǎn)程設(shè)備的所述能力 和憑證，以及通過(guò)遠(yuǎn)程設(shè)備中的IMS客戶端(302b)與遠(yuǎn)程接入服務(wù)器(304a)之間的IMS 消息收發(fā)來(lái)配置本地網(wǎng)關(guān)的所述能力和憑證。
15.如權(quán)利要求13或14所述的遠(yuǎn)程接入服務(wù)器，其中，所述憑證包括用于VPN隧道建 立的證書。
16.如權(quán)利要求13至15中任意一項(xiàng)所述的遠(yuǎn)程接入服務(wù)器，其中，所述能力包括本地 網(wǎng)關(guān)中的RAS (302d)的RATA能力以及遠(yuǎn)程設(shè)備中的RAC (300d)的RATA能力。
17.如權(quán)利要求13至16中任意一項(xiàng)所述的遠(yuǎn)程接入服務(wù)器，適于在遠(yuǎn)程設(shè)備位于本地 網(wǎng)絡(luò)之外時(shí)配置所述能力和憑證。
18.如權(quán)利要求13至17中任意一項(xiàng)所述的遠(yuǎn)程接入服務(wù)器，其中，授權(quán)用戶能夠通過(guò) 該用戶的IMS身份從任意終端遠(yuǎn)程接入本地網(wǎng)絡(luò)。
19.如權(quán)利要求13至18中任意一項(xiàng)所述的遠(yuǎn)程接入服務(wù)器，其中，在IMS核心處的遠(yuǎn) 程接入服務(wù)器(304a)中維護(hù)基于IMS的ACL。
20.如權(quán)利要求13至18中任意一項(xiàng)所述的遠(yuǎn)程接入服務(wù)器，其中，在本地網(wǎng)關(guān)處維護(hù) 基于IMS的ACL。
21.—種本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)(302)中的設(shè)備，用于使位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程設(shè)備 (300)能夠遠(yuǎn)程接入本地網(wǎng)關(guān)，所述設(shè)備包括用于針對(duì)遠(yuǎn)程接入在IMS核心(304)中配置本地網(wǎng)關(guān)的能力和憑證的裝置；用于通過(guò)IMS核心從遠(yuǎn)程設(shè)備接收接入請(qǐng)求的裝置；用于在遠(yuǎn)程設(shè)備的用戶已經(jīng)被授權(quán)通過(guò)該用戶的IMS身份執(zhí)行遠(yuǎn)程接入的情況下接 受所述接入請(qǐng)求的裝置；以及用于在接受的情況下通過(guò)遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能力和憑證來(lái)建立遠(yuǎn)程接 入連接的裝置。
22.如權(quán)利要求21所述的設(shè)備，適于在遠(yuǎn)程設(shè)備用戶沒(méi)有被授權(quán)通過(guò)該用戶的IMS身 份執(zhí)行遠(yuǎn)程接入的情況下確定所述接入請(qǐng)求對(duì)于控制本地網(wǎng)絡(luò)的本地網(wǎng)絡(luò)所有者來(lái)說(shuō)是 否能夠被接受。
23.如權(quán)利要求22所述的設(shè)備，適于向本地網(wǎng)絡(luò)所有者詢問(wèn)是否能夠接受接入請(qǐng)求。
24.如權(quán)利要求21至23中任意一項(xiàng)所述的設(shè)備，其中，在本地網(wǎng)關(guān)中維護(hù)基于UPnP的 ACL,該基于UPnP的ACL包含被允許執(zhí)行遠(yuǎn)程接入的設(shè)備的UUID。
25.如權(quán)利要求24所述的設(shè)備，適于在所述接入請(qǐng)求被接受的情況下把所述遠(yuǎn)程設(shè)備 的UUID添加到基于UPnP的ACL。
全文摘要
一種使位于本地網(wǎng)絡(luò)之外的遠(yuǎn)程設(shè)備(300)能夠遠(yuǎn)程接入本地網(wǎng)絡(luò)的本地網(wǎng)關(guān)(302)的方法和設(shè)備。在IMS核心(304)中，針對(duì)遠(yuǎn)程接入來(lái)配置遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的能力和憑證。通過(guò)將每一個(gè)被授權(quán)用戶的IMS身份添加到基于IMS的ACL(接入控制列表)，授權(quán)一個(gè)或更多個(gè)用戶遠(yuǎn)程接入本地網(wǎng)絡(luò)。如果遠(yuǎn)程設(shè)備用戶的IMS身份已經(jīng)存在于基于IMS的ACL中，則接受遠(yuǎn)程設(shè)備對(duì)本地網(wǎng)關(guān)的接入請(qǐng)求。然后，通過(guò)遠(yuǎn)程設(shè)備和本地網(wǎng)關(guān)的已配置的能力和憑證，建立遠(yuǎn)程接入連接。
文檔編號(hào)H04L29/06GK101971570SQ200880128031
公開(kāi)日2011年2月9日 申請(qǐng)日期2008年6月18日 優(yōu)先權(quán)日2008年3月14日
發(fā)明者阿約德?tīng)枴み_(dá)莫拉, 馬丁·吉爾德斯 申請(qǐng)人:艾利森電話股份有限公司