[发明专利]一种安全连接建立的方法和装置

权利要求书

1.一种用于在客户端设备(40)和网络网关(30)之间建立安全连接的方法，所述方法由在客户驻地设备中设置的接入点(20)执行，所述方法包括以下步骤：

建立(S102)所述接入点和所述网络网关之间的第一安全连接；

定义所述接入点和所述网络网关之间的单独控制信道；

在所述单独控制信道上接收和发送(S104)针对所述接入点的软件定义网络“SDN”控制信令；以及

建立(S108)用作所述客户端设备和所述网络网关之间的虚拟私有网络隧道的第二安全连接，包括促进在所述客户端设备和所述网络网关之间的设备到网关成对主密钥“DG-PMK”的交换(S108f)。

2.根据权利要求1所述的方法，还包括：

基于所述SDN控制信令来选择性地允许或拒绝(S106)所述客户端设备的业务。

3.根据权利要求1至2中任一项所述的方法，其中，建立所述第二安全连接包括：

从所述客户端设备接收(S108a)接入请求；以及

向所述网络网关转发(S108b)所述接入请求。

4.一种用于在客户端设备(40)和网络网关(30)之间建立安全连接的方法，所述方法由所述网络网关执行，所述方法包括以下步骤：

建立(S202)客户驻地设备中设置的接入点和所述网络网关之间的第一安全连接；

定义所述接入点和所述网络网关之间的单独控制信道；

在所述单独控制信道上接收和发送(S104)针对所述接入点的软件定义网络“SDN”控制信令；以及

建立(S204)与所述接入点的第二安全连接，所述第二安全连接用作所述客户端设备和所述网络网关之间的虚拟私有网络隧道，包括经由所述接入点与所述客户端设备交换(S204a)设备到网关成对主密钥“DG-PMK”。

5.根据权利要求4所述的方法，其中，建立所述第二安全连接包括：

通过经由所述接入点向所述客户端设备发送EAP请求/身份消息，代表所述接入点来执行(S204b)针对所述客户端设备的接入认证。

6.根据权利要求5所述的方法，其中，执行所述接入认证包括：

代表所述接入点将EAP请求/响应消息封装和解封装(S204c)为RADIUS/Diameter接入请求和接入挑战消息，并就所述消息与认证服务器通信。

7.根据权利要求6所述的方法，其中，执行所述接入认证包括：

代表所述接入点从所述认证服务器接收(S204d)包括成对主密钥“PMK”在内的RADIUS/Diameter接入接受消息。

8.一种用于在客户端设备(40)和网络网关(30)之间建立安全连接的接入点(20)，所述接入点设置在客户驻地设备中并包括处理单元(21)，所述处理单元被配置为：

建立所述接入点和所述网络网关之间的第一安全连接；

定义所述接入点和所述网络网关之间的单独控制信道；

在所述单独控制信道上接收和发送(S104)针对所述接入点的软件定义网络“SDN”控制信令；以及

建立用作所述客户端设备和所述网络网关之间的虚拟私有网络隧道的第二安全连接，包括促进在所述客户端设备和所述网络网关之间的设备到网关成对主密钥“DG-PMK”的交换(S108f)。

9.一种网络网关(30)，用于在客户端设备(40)和所述网络网关之间建立安全连接，所述网络网关包括处理单元(31)，所述处理单元被配置为：

建立客户驻地设备中设置的接入点和所述网络网关之间的第一安全连接；

定义所述接入点和所述网络网关之间的单独控制信道；

在所述单独控制信道上接收和发送(S104)针对所述接入点的软件定义网络“SDN”控制信令；以及

建立与所述接入点的第二安全连接，所述第二安全连接用作所述客户端设备和所述网络网关之间的虚拟私有网络隧道，包括经由所述接入点与所述客户端设备交换(S204a)设备到网关成对主密钥“DG-PMK”。