中国联通WLAN务方案建议-20100608-A.doc

中国联通WLAN业务方案建议 一、中国联通WLAN网络结构 二、联通集团规范的设备与我司的对应关系 规范内的设备类型 主要功能 华为产品 备注 接入控制器 负责完成WLAN用户的接入认证功能的设备。可以利旧各城市现有IP城域网中具备DHCP+WEB认证功能的BAS设备 ME60 或MA5200G 固网设备中的BAS，移动网中的MSCG (Multi-service Control Gateway) “瘦”AP 与无线控制器配合，完成WLAN信号的覆盖。 WA系列AP 无线控制器 完成对自身以及AP设备的集中管理和控制。 WS6603或ME60（集成AC功能） 即通称的AC “胖”AP 独立控制型AP设备可以选择利用现有IP城域网中的BAS设备作为接入控制设备进行组网 WA601/ WA631/ WA651 漫游结算平台 用于省分之间Wlan漫游业务的结算 目前非华为产品 集团平台 省级Radius系统和Portal服务器 用于本省用户的签权和认证 Huawei AAA产品 省份平台 省级计费账务系统 用于本省用户的计费 目前非华为产品 省份平台 短信平台 用于用户动态密码下发 Huawei SMSC产品 省份平台 三、中国联通：在接入控制方面，AP或者接入控制器可以作为WLAN用户接入的控制点，和后台的认证服务器（省Radius用户认证服务器）相连，完成对WLAN用户的认证。当采用多种认证方式时，WLAN接入系统必须能够识别不同的认证方式，现阶段采用的认证方式主要有：DHCP+WEB认证、PPPoE认证和专用客户端认证接入控制器提供强制PORTAL功能，向WLAN用户终端推送WEB用户认证请求页面和中国联通门户网站。当用户认证通过后，用户业务数据通过接入控制器接入到Internet。当用户请求下线时，接入控制器能够接收用户请求，同时必须通知Radius停止计费，当接入控制器收到Radius的计费结束确认消息后，能够给用户发送下线通知。DHCP+WEB认证 用户打开IE，访问某个网站，发起HTTP请求。 BRAS截获用户的HTTP请求，由于用户没有认证过，就强制到Portal服务器。 Portal服务器向WLAN用户终端推送WEB认证页面。 用户在认证页面上填入用户名、密码等信息，提交到Portal服务器。 Portal服务器接收到用户信息，必须按照CHAP流程，向BRAS请求Challenge。 BRAS返回Challenge，包括Challenge ID和Challenge。 Portal将密码和Challenge ID及Challenge做MD5算法后的Challenge-Password，和用户名一起提交到BRAS ，发起认证。 BRAS将Challenge ID、Challenge、Challenge-Password和用户名一起送到RADIUS服务器，由RADIUS服务器进行认证。 RADIUS服务器根据用户信息判断用户是否合法，然后回应认证成功/失败报文到BRAS。（如果成功，携带协商参数，以及用户的相关业务属性给用户授权。） BRAS返回认证结果给Portal服务器。（以及相关业务属性。） Portal服务器根据认证结果，推送认证结果页面，如果成功，推送XXXX门户页面给用户。 Portal服务器回应BRAS收到认证结果报文。如果认证失败，则流程到此结束。 认证如果成功，BRAS发起计费开始请求给RADIUS服务器。 RADIUS服务器回应计费开始请求报文。用户上线完毕，开始上网。 在用户上网过程中，为了保护用户计费信息，每隔一段时间BRAS就向RADIUS服务器报一个实时计费信息，包括当前用户上网总时长，以及用户总流量信息。 RADIUS服务器回应实时计费确认报文。 当BRAS收到下线请求时，向RADIUS服务器发计费结束报文. RADIUS服务器回应BRAS的计费结束报文。 3.2.2 PPPoE认证专用客户端认证EAP-MD5为例： 流程描述如下： 用户和接入服务器之间建立好物理连接后，用户客户端向接入服务器发送一个EAPoL-Start报文（如果用户是动态分配地址的，可能是DHCP请求报文；如果用户是手工配置地址的，可能是ARP请求报文），开始802.1X接入的开始。 接入服务器向客户端发送EAP-Request/Identity报文，要求客户端将用户名送上来。 客户端回应一个EAP-Response/Identity给接入服务器的请求，其中包括用户名。 接入服务器以EAP Over RADIUS的报文格式向RADIUS认证服务器发送Access-Request报文，里面含有客户端发给接入服务器的EAP-Response/Identity报文，将用户名提交R