一種capwap報文的傳輸方法和設(shè)備的制作方法
【專利摘要】本發(fā)明公開了一種CAPWAP報文的傳輸方法和設(shè)備，該方法包括：AC設(shè)備向WTP設(shè)備發(fā)送第一DH報文，所述第一DH報文中攜帶第一密鑰協(xié)商信息，由所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K；所述AC設(shè)備接收來自所述WTP設(shè)備的第二DH報文，所述第二DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K；所述AC設(shè)備利用所述密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述WTP設(shè)備。本發(fā)明實(shí)施例中，能夠在提供CAPWAP隧道安全性的同時，減輕整個網(wǎng)絡(luò)的升級和維護(hù)的工作量。
【專利說明】—種CAPWAP報文的傳輸方法和設(shè)備
【技術(shù)領(lǐng)域】
[0001]本發(fā)明涉及通信【技術(shù)領(lǐng)域】，尤其是一種CAPWAP報文的傳輸方法和設(shè)備。
【背景技術(shù)】
[0002]WLAN (Wireless Local Area Networks,無線局域網(wǎng))提供了一種局域網(wǎng)的無線連接服務(wù)，能夠提供高速的無線數(shù)據(jù)接入，和傳統(tǒng)的有線接入方式相比，無線局域網(wǎng)讓網(wǎng)絡(luò)的使用更加自由，徹底擺脫了線纜和端口位置的束縛，而且無線局域網(wǎng)具有便于攜帶，易于移動的優(yōu)點(diǎn)，免去或減少了繁雜的網(wǎng)絡(luò)布線，只需要安放一個或多個WTP ( (WirelessTermination Points,無線終端點(diǎn))設(shè)備就可以建立覆蓋整個建筑或地區(qū)的局域網(wǎng)絡(luò)。其中，在無線局域網(wǎng)絡(luò)中，AC (Access Controller，無線控制器)設(shè)備用于對無線局域網(wǎng)中的WTP設(shè)備進(jìn)行控制和管理，且WTP設(shè)備可以為AP (Access Point，接入點(diǎn))設(shè)備。
[0003]AC 設(shè)備和 WTP 設(shè)備之間將使用 CAPWAP (Controlling and Provisioning ofWireless Access Point，無線接入點(diǎn)控制與供應(yīng))隧道，CAPWAP隧道是AC設(shè)備和WTP設(shè)備之間的通信控制協(xié)議，定義了 AC設(shè)備和WTP設(shè)備間如何通信，為實(shí)現(xiàn)AC設(shè)備和WTP設(shè)備之間的互通性提供了 一個通用的封裝和傳輸機(jī)制。
[0004]為保證CAPWAP 隧道的安全性，可以使用 DTLS (Datagram Transport LayerSecurity,數(shù)據(jù)傳輸層安全)協(xié)議保護(hù)CAPWAP隧道。DTLS協(xié)議是CAPWAP隧道使用的加密協(xié)議，該DTLS協(xié)議參考了 TCP (Transmission Control Protocol,傳輸控制協(xié)議)的TLS(Transport Layer Security,傳輸層安全)協(xié)議,通過在CAPWAP報文中添加DTLS控制字段，以對CAPWAP報文進(jìn)行加密控制。
[0005]但是，DTLS協(xié)議要求WTP設(shè)備在使用前，需要安裝證書，而在對整網(wǎng)的WTP設(shè)備部署證書時，會極大提高整個網(wǎng)絡(luò)的升級和維護(hù)的工作量，因此是否選擇DTLS協(xié)議，還需要綜合考慮整網(wǎng)的規(guī)模大小以及實(shí)際具體應(yīng)用場景。

【發(fā)明內(nèi)容】

[0006]本發(fā)明實(shí)施例提供一種CAPWAP報文的傳輸方法和設(shè)備，以避免對整網(wǎng)的WTP設(shè)備部署證書，從而減輕整個網(wǎng)絡(luò)的升級和維護(hù)的工作量。
[0007]為了達(dá)到上述目的，本發(fā)明實(shí)施例提供一種無線接入點(diǎn)控制與供應(yīng)CAPWAP報文的傳輸方法，該方法應(yīng)用于包括無線控制器AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，所述方法具體包括以下步驟:
[0008]所述AC設(shè)備向WTP設(shè)備發(fā)送第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，由所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0009]所述AC設(shè)備接收來自所述WTP設(shè)備的第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K ；
[0010]所述AC設(shè)備利用所述密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPffAP報文發(fā)送給所述WTP設(shè)備；和/或，所述AC設(shè)備接收來自所述WTP設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0011]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；由所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’ ；其中，V =gX mod p，Y’ =gY mod p，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；
[0012]所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’;所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成所述密鑰K，具體包括:所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
[0013]所述AC設(shè)備向WTP設(shè)備發(fā)送第一 DH報文之前，所述方法進(jìn)一步包括:
[0014]所述AC設(shè)備向所述WTP設(shè)備發(fā)送第三DH報文，所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息；
[0015]所述AC設(shè)備接收來自所述WTP設(shè)備的第四DH報文，如果所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息，則所述AC設(shè)備執(zhí)行向所述WTP設(shè)備發(fā)送所述第一DH報文的步驟。
[0016]本發(fā)明實(shí)施例提供一種無線接入點(diǎn)控制與供應(yīng)CAPWAP報文的傳輸方法,該方法應(yīng)用于包括無線控制器AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，所述方法具體包括以下步驟:
[0017]所述WTP設(shè)備接收來自所述AC設(shè)備的第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，并利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0018]所述WTP設(shè)備向AC設(shè)備發(fā)送第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，由所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成密鑰K ；
[0019]所述WTP設(shè)備利用所述密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPffAP報文發(fā)送給所述AC設(shè)備；和/或，所述WTP設(shè)備接收來自所述AC設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0020]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)V ;所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K，具體包括:所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K ;其中，X’ =gX mod P，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；
[0021 ] 所述方法還包括:所述WTP設(shè)備利用大素數(shù)ρ、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y ’，其中，Y’ =gY mod P，且所述第二 DH報文中攜帶的所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’ ；由所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K0
[0022]所述WTP設(shè)備接收來自所述AC設(shè)備的第一 DH報文前，所述方法包括:
[0023]所述WTP設(shè)備接收來自所述AC設(shè)備的第三DH報文，如果所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息，則向所述AC設(shè)備發(fā)送第四DH報文，且所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息；由所述AC設(shè)備在獲知所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息時，執(zhí)行向所述WTP設(shè)備發(fā)送第一 DH報文的步驟。
[0024]本發(fā)明實(shí)施例提供一種無線控制器AC設(shè)備，應(yīng)用于包括所述AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，所述AC設(shè)備具體包括:
[0025]發(fā)送模塊，用于向WTP設(shè)備發(fā)送第一 DH報文，該第一 DH報文中攜帶第一密鑰協(xié)商信息，由所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0026]接收模塊，用于接收來自所述WTP設(shè)備的第二 DH報文，該第二 DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K ；
[0027]處理模塊，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述WTP設(shè)備；和/或，接收來自所述WTP設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0028]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；由所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’ ；其中，V =gX mod p，Y’ =gY mod p，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；
[0029]所述第二密鑰協(xié)商信息具體為隨機(jī)數(shù)Y’ ；所述接收模塊，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
[0030]所述發(fā)送模塊，還用于向所述WTP設(shè)備發(fā)送第三DH報文，所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息；
[0031 ] 所述接收模塊，還用于接收來自所述WTP設(shè)備的第四DH報文，如果所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息，則由所述發(fā)送模塊執(zhí)行向所述WTP設(shè)備發(fā)送所述第一 DH報文的過程。
[0032]本發(fā)明實(shí)施例提供一種無線終端點(diǎn)WTP設(shè)備，應(yīng)用于包括無線控制器AC設(shè)備和WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，所述WTP設(shè)備具體包括:
[0033]接收模塊，用于接收來自所述AC設(shè)備的第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，并利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0034]發(fā)送模塊，用于向AC設(shè)備發(fā)送第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，由所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成密鑰K ；
[0035]處理模塊，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述AC設(shè)備；和/或，接收來自所述AC設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0036]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；所述接收模塊，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)X’和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K;其中，X’ =gXmod ρ，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；以及，利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’，Y’=gY mod ρ ;所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’；由所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
[0037]所述接收模塊，還用于接收來自所述AC設(shè)備的第三DH報文；
[0038]所述發(fā)送模塊，還用于當(dāng)?shù)谌鼶H報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息時，向AC設(shè)備發(fā)送第四DH報文，且第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息；由AC設(shè)備在獲知第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息時，執(zhí)行向WTP設(shè)備發(fā)送第一 DH報文的過程。
[0039]與現(xiàn)有技術(shù)相比，本發(fā)明實(shí)施例至少具有以下優(yōu)點(diǎn):本發(fā)明實(shí)施例中，AC設(shè)備通過第一 DH報文將第一密鑰協(xié)商信息通知給WTP設(shè)備，由WTP設(shè)備利用第一密鑰協(xié)商信息生成密鑰K ;此外，WTP設(shè)備通過第二 DH報文將第二密鑰協(xié)商信息通知給AC設(shè)備，由AC設(shè)備利用第二密鑰協(xié)商信息生成密鑰K ;進(jìn)一步的，AC設(shè)備和WTP設(shè)備之間通過該密鑰K對CAPffAP報文進(jìn)行加密處理和解密處理；上述方式能夠在提供CAPWAP隧道安全性的同時，避免對整網(wǎng)的WTP設(shè)備部署證書，減輕整個網(wǎng)絡(luò)的升級和維護(hù)的工作量，從而彌補(bǔ)CAPWAP協(xié)議定義的DTLS安全機(jī)制帶來的維護(hù)、部署工作量大的問題，也避免了不開啟DTLS安全機(jī)制帶來的CAPWAP隧道安全問題。
【專利附圖】

【附圖說明】
[0040]圖1是本發(fā)明實(shí)施例提供的一種CAPWAP報文的傳輸方法流程圖；
[0041]圖2是本發(fā)明實(shí)施例中提出的第一 DH報文的格式示意圖；
[0042]圖3是本發(fā)明實(shí)施例中提出的第二 DH報文的格式示意圖；
[0043]圖4是本發(fā)明實(shí)施例提供的一種CAPWAP報文的傳輸方法流程圖；
[0044]圖5是本發(fā)明實(shí)施例中提出的Discovery Response報文的格式示意圖；
[0045]圖6是本發(fā)明實(shí)施例中提出的Join Request報文的格式示意圖；
[0046]圖7是本發(fā)明實(shí)施例提供的一種AC設(shè)備的結(jié)構(gòu)示意圖；
[0047]圖8是本發(fā)明實(shí)施例提供的一種WTP設(shè)備的結(jié)構(gòu)示意圖。
【具體實(shí)施方式】
[0048]本發(fā)明實(shí)施例提供一種CAPWAP報文的傳輸方法，該方法應(yīng)用于包括AC設(shè)備和WTP設(shè)備的WLAN網(wǎng)絡(luò)中，且AC設(shè)備和WTP設(shè)備之間基于DH (即Diffie_Hellman，Diffie-Hellman是一種密鑰交換方法，目的是在AC設(shè)備和WTP設(shè)備之間安全的交換一對密鑰，且無需在網(wǎng)絡(luò)上傳輸該密鑰)對CAPWAP報文進(jìn)行安全保護(hù)，如圖1所示，該方法包括以下步驟:
[0049]步驟101 ,AC設(shè)備向WTP設(shè)備發(fā)送第一 DH報文，該第一 DH報文中攜帶第一密鑰協(xié)商信息。該第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g (14〈？)、隨機(jī)數(shù)乂’3’=8乂 mod p，且X為AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)。
[0050]步驟102，WTP設(shè)備在收到來自AC設(shè)備的第一 DH報文之后，利用該第一 DH報文中攜帶的第一密鑰協(xié)商信息生成密鑰K。
[0051]本發(fā)明實(shí)施例中，WTP設(shè)備利用第一密鑰協(xié)商信息生成密鑰K，具體包括但不限于:WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，該密鑰K的具體生成過程在此不再贅述。
[0052]步驟103，WTP設(shè)備向AC設(shè)備發(fā)送第二 DH報文，該第二 DH報文中攜帶第二密鑰協(xié)商信息。該第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’;隨機(jī)數(shù)Y’是WTP設(shè)備利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成的，且Y’ =gY mod P。[0053]步驟104，AC設(shè)備在收到來自WTP設(shè)備的第二 DH報文之后，利用該第二 DH報文中攜帶的第二密鑰協(xié)商信息生成密鑰K。
[0054]其中，AC設(shè)備生成的密鑰K與WTP設(shè)備生成的密鑰K相同。
[0055]本發(fā)明實(shí)施例中，AC設(shè)備利用第二密鑰協(xié)商信息生成密鑰K，具體包括但不限于:AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成密鑰K，該密鑰K的具體生成過程在此不再贅述。
[0056]本發(fā)明實(shí)施例中，通過對CAPWAP控制報文進(jìn)行擴(kuò)展，以使用CAPWAP控制報文中的CAPffAP報文頭區(qū)分相應(yīng)報文為第一 DH報文或第二 DH報文。
[0057]AC設(shè)備向WTP設(shè)備發(fā)送第一 DH報文時，如圖2所示，通過將Message Type (報文類型)設(shè)置為513，以標(biāo)識該報文為第一 DH報文(即DHl )，該第一 DH報文中攜帶大素數(shù)P、證書g、隨機(jī)數(shù)X’、challenge text (質(zhì)詢文本)。WTP設(shè)備在收到第一 DH報文后,利用大素數(shù)P、證書g、隨機(jī)數(shù)V和隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’。
[0058]WTP設(shè)備向AC設(shè)備發(fā)送第二 DH報文時，如圖3所示，通過將Message Type設(shè)置為514，以標(biāo)識該報文為第二 DH報文(即DH2)，該第二 DH報文中攜帶隨機(jī)數(shù)Y’和加密后的challenge text。AC設(shè)備在收到第二 DH報文后,利用大素數(shù)ρ、證書g、隨機(jī)數(shù)Y’和隨機(jī)數(shù)X生成密鑰K,并對第二 DH報文中攜帶的challenge text校驗,如果校驗成功,則說明生成的密鑰K有效。
[0059]步驟105，AC設(shè)備利用密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPffAP報文發(fā)送給WTP設(shè)備，由WTP設(shè)備接收來自AC設(shè)備的經(jīng)過密鑰K加密處理后的CAPffAP報文，并利用密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理；和/或，WTP設(shè)備利用密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給AC設(shè)備，由AC設(shè)備接收來自WTP設(shè)備的經(jīng)過密鑰K加密處理后的CAPWAP報文，并利用密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0060]其中，該CAPWAP報文具體可以為CAPWAP控制報文和CAPWAP數(shù)據(jù)報文。AC設(shè)備和WTP設(shè)備在生成密鑰K之后，將密鑰K轉(zhuǎn)換為加密算法/解密算法所需要的密鑰長度，并選擇相應(yīng)的加密算法和解密算法，從而對后續(xù)的CAPWAP控制報文和CAPWAP數(shù)據(jù)報進(jìn)行加密處理和解密處理。
[0061]本發(fā)明實(shí)施例中，AC設(shè)備和WTP設(shè)備還需要協(xié)商是否支持DH密鑰協(xié)商；如果AC設(shè)備和WTP設(shè)備均支持DH密鑰協(xié)商，則采用本發(fā)明實(shí)施例的技術(shù)方案，執(zhí)行上述步驟以對CAPffAP隧道進(jìn)行安全保護(hù)；如果AC設(shè)備和/或WTP設(shè)備不支持DH密鑰協(xié)商，則不采用本發(fā)明實(shí)施例的技術(shù)方案。
[0062]基于此，AC設(shè)備向WTP設(shè)備發(fā)送第一 DH報文之前，如果AC設(shè)備支持DH密鑰協(xié)商，則AC設(shè)備還需要向WTP設(shè)備發(fā)送第三DH報文，該第三DH報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息；WTP設(shè)備在收到來自AC設(shè)備的第三DH報文后，如果第三DH報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息，且WTP設(shè)備支持DH密鑰協(xié)商，則向AC設(shè)備發(fā)送第四DH報文，且第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息；AC設(shè)備在收到來自WTP設(shè)備的第四DH報文后，如果第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息，則AC設(shè)備執(zhí)行向WTP設(shè)備發(fā)送第一 DH報文的步驟。[0063]CAPWAP隧道建立過程包括:WTP設(shè)備向網(wǎng)絡(luò)中廣播Discovery Request (發(fā)現(xiàn)請求)報文，以尋找網(wǎng)絡(luò)中存在的AC設(shè)備。接收到Discover Request報文的AC設(shè)備向WTP設(shè)備返回Discovery Response (發(fā)現(xiàn)響應(yīng))報文。WTP設(shè)備接收到AC設(shè)備發(fā)送的DiscoverResponse報文之后，向AC設(shè)備發(fā)送Join Request (加入請求)報文。AC設(shè)備向WTP設(shè)備發(fā)送Join Response (加入響應(yīng))報文。之后，AC設(shè)備與WTP設(shè)備之間建立CAPWAP隧道。
[0064]如圖4所示，在將協(xié)商密鑰K的過程應(yīng)用于CAPWAP隧道的建立過程時，則本發(fā)明實(shí)施例提出的CAPWAP報文的傳輸方法包括以下步驟:
[0065]步驟401, WTP設(shè)備向網(wǎng)絡(luò)中廣播Discovery Request報文。
[0066]步驟402,AC設(shè)備在收到Discovery Request報文之后，向WTP設(shè)備發(fā)送DiscoveryResponse 報文，該 Discovery Response 報文為第三 DH 報文，且該 Discovery Response 報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息。
[0067]如圖5所示,本發(fā)明實(shí)施例中,AC設(shè)備通過在Discovery Response報文的vendor(供應(yīng)商)字段中增加是否支持DH密鑰協(xié)商的TLV (Type Length Value類型長度值)，以表示AC設(shè)備支持DH密鑰協(xié)商。
[0068]步驟403, WTP設(shè)備在收到Discover Response報文之后，向AC設(shè)備發(fā)送JoinRequest報文，該Join Request報文為第四DH報文,且該Join Request報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息。
[0069]如圖6所示,本發(fā)明實(shí)施例中，AC設(shè)備通過在Join Request報文的vendor字段中增加是否支持DH密鑰協(xié)商的TLV，表示W(wǎng)TP設(shè)備支持DH密鑰協(xié)商。
[0070]步驟404，AC設(shè)備在收到WTP設(shè)備的Join Request報文后，如果WTP設(shè)備支持DH密鑰協(xié)商，則啟動DH協(xié)商過程，并向WTP設(shè)備發(fā)送第一 DH報文。其中，該第一 DH報文中攜
帶第一密鑰協(xié)商信息。
[0071]步驟405，WTP設(shè)備在收到來自AC設(shè)備的第一 DH報文之后，向AC設(shè)備發(fā)送第二 DH報文。其中，該第二 DH報文中攜帶第二密鑰協(xié)商信息。
[0072]步驟406, AC設(shè)備向WTP設(shè)備發(fā)送Join Response報文。其中，該Join Response報文可以為經(jīng)過密鑰K加密處理后的Join Response報文。
[0073]當(dāng)然，在具體實(shí)現(xiàn)中，并不局限于將協(xié)商密鑰K的過程應(yīng)用于CAPWAP隧道的建立過程，也可以在CAPWAP隧道的建立過程結(jié)束之后，進(jìn)行協(xié)商密鑰K的過程；基于此，第三DH報文還可以為其它類型的報文(即不是Discovery Response報文)，只要是AC設(shè)備在相應(yīng)過程中向WTP設(shè)備發(fā)送的攜帶AC設(shè)備支持DH密鑰協(xié)商的信息的報文即可；同理，第四DH報文還可以為其它類型的報文(即不是Join Request報文)，只要是WTP設(shè)備在相應(yīng)過程中向AC設(shè)備發(fā)送的攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息的報文即可。
[0074]綜上所述，AC設(shè)備通過第一 DH報文將第一密鑰協(xié)商信息通知給WTP設(shè)備，由WTP設(shè)備利用第一密鑰協(xié)商信息生成密鑰K;此外，WTP設(shè)備通過第二 DH報文將第二密鑰協(xié)商信息通知給AC設(shè)備，由AC設(shè)備利用第二密鑰協(xié)商信息生成密鑰K ；AC設(shè)備和WTP設(shè)備之間通過該密鑰K對CAPWAP報文進(jìn)行加密處理和解密處理；上述方式能夠在提供CAPWAP隧道安全性的同時，避免對整網(wǎng)的WTP設(shè)備部署證書，減輕整個網(wǎng)絡(luò)的升級和維護(hù)的工作量，從而彌補(bǔ)CAPWAP協(xié)議定義的DTLS安全機(jī)制帶來的維護(hù)、部署工作量大的問題，也避免了不開啟DTLS安全機(jī)制帶來的CAPWAP隧道安全問題。[0075]基于與上述方法同樣的發(fā)明構(gòu)思，本發(fā)明實(shí)施例中還提供了一種無線控制器AC設(shè)備，應(yīng)用于包括所述AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，如圖7所示，所述AC設(shè)備具體包括:
[0076]發(fā)送模塊11,用于向WTP設(shè)備發(fā)送第一 DH報文,該第一 DH報文中攜帶第一密鑰協(xié)商信息，由WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0077]接收模塊12，用于接收來自WTP設(shè)備的第二 DH報文，該第二 DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K ；
[0078]處理模塊13，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述WTP設(shè)備；和/或，接收來自所述WTP設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0079]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；由所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’ ；其中，V =gX mod p，Y’ =gY mod p，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；
[0080]所述第二密鑰協(xié)商信息具體為隨機(jī)數(shù)Y’ ；所述接收模塊12，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
[0081 ] 所述發(fā)送模塊11，還用于向所述WTP設(shè)備發(fā)送第三DH報文，所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息；
[0082]所述接收模塊12，還用于接收來自所述WTP設(shè)備的第四DH報文，如果所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息，則由所述發(fā)送模塊11執(zhí)行向所述WTP設(shè)備發(fā)送所述第一 DH報文的過程。
[0083]其中，本發(fā)明裝置的各個模塊可以集成于一體，也可以分離部署。上述模塊可以合并為一個模塊，也可以進(jìn)一步拆分成多個子模塊。
[0084]基于與上述方法同樣的發(fā)明構(gòu)思，本發(fā)明實(shí)施例中還提供了一種無線終端點(diǎn)WTP設(shè)備，應(yīng)用于包括無線控制器AC設(shè)備和WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，如圖8所示，所述WTP設(shè)備具體包括:
[0085]接收模塊21，用于接收來自所述AC設(shè)備的第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，并利用所述第一密鑰協(xié)商信息生成密鑰K ；
[0086]發(fā)送模塊22，用于向AC設(shè)備發(fā)送第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，由AC設(shè)備利用所述第二密鑰協(xié)商信息生成密鑰K ；
[0087]處理模塊23，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述AC設(shè)備；和/或，接收來自所述AC設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
[0088]所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；所述接收模塊21，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)X’和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K;其中，X’=gXmod ρ，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；以及，利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’，Y’=gY mod ρ ;所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’；由所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
[0089]所述接收模塊21，還用于接收來自所述AC設(shè)備的第三DH報文；
[0090]所述發(fā)送模塊22，還用于當(dāng)?shù)谌鼶H報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息時，向AC設(shè)備發(fā)送第四DH報文，且第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息；由AC設(shè)備在獲知第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息時，執(zhí)行向WTP設(shè)備發(fā)送第一 DH報文的過程。
[0091]其中，本發(fā)明裝置的各個模塊可以集成于一體，也可以分離部署。上述模塊可以合并為一個模塊，也可以進(jìn)一步拆分成多個子模塊。
[0092]通過以上的實(shí)施方式的描述，本領(lǐng)域的技術(shù)人員可以清楚地了解到本發(fā)明可借助軟件加必需的通用硬件平臺的方式來實(shí)現(xiàn)，當(dāng)然也可以通過硬件，但很多情況下前者是更佳的實(shí)施方式?；谶@樣的理解，本發(fā)明的技術(shù)方案本質(zhì)上或者說對現(xiàn)有技術(shù)做出貢獻(xiàn)的部分可以以軟件產(chǎn)品的形式體現(xiàn)出來，該計算機(jī)軟件產(chǎn)品存儲在一個存儲介質(zhì)中，包括若干指令用以使得一臺計算機(jī)設(shè)備(可以是個人計算機(jī)，服務(wù)器，或者網(wǎng)絡(luò)設(shè)備等)執(zhí)行本發(fā)明各個實(shí)施例所述的方法。
[0093]本領(lǐng)域技術(shù)人員可以理解附圖只是一個優(yōu)選實(shí)施例的示意圖，附圖中的模塊或流程并不一定是實(shí)施本發(fā)明所必須的。
[0094]本領(lǐng)域技術(shù)人員可以理解實(shí)施例中的裝置中的模塊可以按照實(shí)施例描述進(jìn)行分布于實(shí)施例的裝置中，也可以進(jìn)行相應(yīng)變化位于不同于本實(shí)施例的一個或多個裝置中。上述實(shí)施例的模塊可以合并為一個模塊，也可以進(jìn)一步拆分成多個子模塊。
[0095]上述本發(fā)明實(shí)施例序號僅僅為了描述，不代表實(shí)施例的優(yōu)劣。
[0096]以上公開的僅為本發(fā)明的幾個具體實(shí)施例，但是，本發(fā)明并非局限于此，任何本領(lǐng)域的技術(shù)人員能思之的變化都應(yīng)落入本發(fā)明的保護(hù)范圍。
【權(quán)利要求】
1. 一種無線接入點(diǎn)控制與供應(yīng)CAPWAP報文的傳輸方法，該方法應(yīng)用于包括無線控制器AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，其特征在于，所述方法具體包括以下步驟: 所述AC設(shè)備向WTP設(shè)備發(fā)送第一DH報文，所述第一DH報文中攜帶第一密鑰協(xié)商信息，由所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K ； 所述AC設(shè)備接收來自所述WTP設(shè)備的第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K ； 所述AC設(shè)備利用所述密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述WTP設(shè)備；和/或，所述AC設(shè)備接收來自所述WTP設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
2.如權(quán)利要求1所述的方法，其特征在于， 所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’；由所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’ ；其中，V =gX mod p，Y’ =gY mod p，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)； 所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’;所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成所述密鑰K，具體包括:所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
3.如權(quán)利要求1所述的方法，其特征在于，所述AC設(shè)備向WTP設(shè)備發(fā)送第一DH報文之前，所述方法進(jìn)一步包括: 所述AC設(shè)備向所述WTP設(shè)備發(fā)送第三DH報文，所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息； 所述AC設(shè)備接收來自所述WTP設(shè)備的第四DH報文，如果所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息，則所述AC設(shè)備執(zhí)行向所述WTP設(shè)備發(fā)送所述第一 DH報文的步驟。
4.一種無線接入點(diǎn)控制與供應(yīng)CAPWAP報文的傳輸方法，該方法應(yīng)用于包括無線控制器AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，其特征在于，所述方法具體包括以下步驟: 所述WTP設(shè)備接收來自所述AC設(shè)備的第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，并利用所述第一密鑰協(xié)商信息生成密鑰K ； 所述WTP設(shè)備向AC設(shè)備發(fā)送第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，由所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成密鑰K ； 所述WTP設(shè)備利用所述密鑰K對CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述AC設(shè)備；和/或，所述WTP設(shè)備接收來自所述AC設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
5.如權(quán)利要求4所述的方法，其特征在于， 所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)V ;所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成密鑰K，具體包括:所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K ;其中，X’ =gX mod P，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)； 所述方法還包括:所述WTP設(shè)備利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’，其中，Y’=gY mod P，且所述第二 DH報文中攜帶的所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’；由所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
6.如權(quán)利要求4所述的方法，其特征在于，所述WTP設(shè)備接收來自所述AC設(shè)備的第一DH報文之前，所述方法進(jìn)一步包括: 所述WTP設(shè)備接收來自所述AC設(shè)備的第三DH報文，如果所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息，則向所述AC設(shè)備發(fā)送第四DH報文，且所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息；由所述AC設(shè)備在獲知所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息時，執(zhí)行向所述WTP設(shè)備發(fā)送第一 DH報文的步驟。
7.一種無線控制器AC設(shè)備，應(yīng)用于包括所述AC設(shè)備和無線終端點(diǎn)WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，其特征在于，所述AC設(shè)備具體包括: 發(fā)送模塊，用于向WTP設(shè)備發(fā)送第一 DH報文，該第一 DH報文中攜帶第一密鑰協(xié)商信息，由所述WTP設(shè)備利用所述第一密鑰協(xié)商信息生成 密鑰K ； 接收模塊，用于接收來自所述WTP設(shè)備的第二 DH報文，該第二 DH報文中攜帶第二密鑰協(xié)商信息，并利用所述第二密鑰協(xié)商信息生成所述密鑰K ； 處理模塊，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述WTP設(shè)備；和/或，接收來自所述WTP設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
8.如權(quán)利要求7所述的AC設(shè)備，其特征在于， 所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’；由所述WTP設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)V和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K，并利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’ ；其中，V =gX mod p，Y’ =gY mod p，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)； 所述第二密鑰協(xié)商信息具體為隨機(jī)數(shù)Y’ ；所述接收模塊，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
9.如權(quán)利要求7所述的AC設(shè)備，其特征在于， 所述發(fā)送模塊，還用于向所述WTP設(shè)備發(fā)送第三DH報文，所述第三DH報文中攜帶所述AC設(shè)備支持DH密鑰協(xié)商的信息； 所述接收模塊，還用于接收來自所述WTP設(shè)備的第四DH報文，如果所述第四DH報文中攜帶所述WTP設(shè)備支持DH密鑰協(xié)商的信息，則由所述發(fā)送模塊執(zhí)行向所述WTP設(shè)備發(fā)送所述第一 DH報文的過程。
10.一種無線終端點(diǎn)WTP設(shè)備，應(yīng)用于包括無線控制器AC設(shè)備和WTP設(shè)備的無線局域網(wǎng)WLAN網(wǎng)絡(luò)中，其特征在于，所述WTP設(shè)備具體包括: 接收模塊，用于接收來自所述AC設(shè)備的第一 DH報文，所述第一 DH報文中攜帶第一密鑰協(xié)商信息，并利用所述第一密鑰協(xié)商信息生成密鑰K ； 發(fā)送模塊，用于向AC設(shè)備發(fā)送第二 DH報文，所述第二 DH報文中攜帶第二密鑰協(xié)商信息，由所述AC設(shè)備利用所述第二密鑰協(xié)商信息生成密鑰K ；處理模塊，用于利用所述密鑰K對無線接入點(diǎn)控制與供應(yīng)CAPWAP報文進(jìn)行加密處理，并將加密處理后的CAPWAP報文發(fā)送給所述AC設(shè)備；和/或，接收來自所述AC設(shè)備的經(jīng)過所述密鑰K加密處理后的CAPWAP報文，并利用所述密鑰K對加密處理后的CAPWAP報文進(jìn)行解密處理。
11.如權(quán)利要求10所述的WTP設(shè)備，其特征在于， 所述第一密鑰協(xié)商信息具體為:大素數(shù)P、證書g、隨機(jī)數(shù)X’ ；所述接收模塊，具體用于利用大素數(shù)P、證書g、隨機(jī)數(shù)X’和本地隨機(jī)生成的隨機(jī)數(shù)Y生成密鑰K;其中，X’ =gX modP，且X為所述AC設(shè)備本地隨機(jī)生成的隨機(jī)數(shù)；以及，利用大素數(shù)P、證書g和隨機(jī)數(shù)Y生成隨機(jī)數(shù)Y’，Y’=gY mod ρ ;所述第二密鑰協(xié)商信息具體為:隨機(jī)數(shù)Y’；由所述AC設(shè)備利用大素數(shù)P、證書g、隨機(jī)數(shù)Y’和本地隨機(jī)生成的隨機(jī)數(shù)X生成所述密鑰K。
12.如權(quán)利要求10所述的WTP設(shè)備，其特征在于， 所述接收模塊，還用于接收來自所述AC設(shè)備的第三DH報文； 所述發(fā)送模塊，還用于當(dāng)?shù)谌鼶H報文中攜帶AC設(shè)備支持DH密鑰協(xié)商的信息時，向AC設(shè)備發(fā)送第四DH報文，且第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息；由AC設(shè)備在獲知第四DH報文中攜帶WTP設(shè)備支持DH密鑰協(xié)商的信息時，執(zhí)行向WTP設(shè)備發(fā)送第一DH報文 的過程。
【文檔編號】H04W12/06GK103532720SQ201310501592
【公開日】2014年1月22日 申請日期:2013年10月22日 優(yōu)先權(quán)日:2013年10月22日
【發(fā)明者】劉岸淘 申請人:杭州華三通信技術(shù)有限公司