CN115915315A - 一种wapi无线网络快速漫游方法 - Google Patents

Abstract

一种WAPI无线网络快速漫游方法,当无线终端STA欲从当前连接的无线接入点第一AP漫游切换到第二AP时，在切换前首先STA与第二AP进行WAPI预认证，预认证结束如果双方均通过的情况下则立即提前进行密钥协商，包括单播密钥协商和组播密钥通告，完成前述过程后STA才断开同第一AP的无线连接、与第二AP建立无线关联，并在与第二AP关联后基于提前协商密钥的结果安装密钥、打开受控通信端口，完成漫游切换。本方法与一般WAPI预认证方法比较，能够进一步缩短WAPI终端在AP之间漫游切换的时间，为WAPI无线网络提供更好的无线漫游切换效果。

Description

一种WAPI无线网络快速漫游方法

技术领域

本发明涉及通信领域技术领域，尤其涉及一种WAPI无线网络快速漫游方法。

背景技术

WAPI是中国无线局域网国家标准GB15629.11中规定的WLAN安全标准和技术。WAPI通过采用数字证书来标识无线接入点(AP)和无线终端(STA)的身份，基于三元认证体系进行AP和STA的身份认证，确保了无线接入认证的安全性。

如图1示意了WAPI接入认证与密钥协商的过程，包括了证书鉴别、单播密钥协商、组播密钥通告三个过程。

AP与STA之间通过共同信任的WAPI证书鉴别器AS进行双向认证。在WAPI认证过程中，AP与STA还交换了密钥协商需要的一些信息，在WAPI认证成功后，AP和STA分别进行密钥种子计算，并基于密钥种子进行基密导出计算，双方产生一个相同的基密钥(BK)和基密钥标识(BKID)。AP完成BK和BKID计算后，向STA发送单播密钥协商分组，双方进入单播密钥协商过程，协商出单播通信密钥(UK)、组播密钥通告的加密密钥(MEK)。完成单播密钥协商后，进入组播通告过程，AP向STA通告组播密钥，AP产生的组播密钥通过MEK加密后发送给STA。

上述WAPI接入认证与密钥协商(包括单播密钥协商、组播密钥通告)过程，涉及到STA、AP之间的多次交互(如图1所示)，在认证过程中还涉及到与AS的交互，而且这个过程中还涉及到复杂的密码学计算，整个过程耗时较长，通常会在几百毫秒。如果STA当前连接着无线接入点第一AP，要漫游切换到另一无线接入点第二AP，STA 会断开与第一AP的无线连接，再关联第二AP然后进行上述WAPI接入认证和密码协商过程，这会影响终端应用的体验。

WAPI技术体系中有“一般WAPI预认证方法”，如图2所示，通过预认证技术来缩短STA在两个AP之间的漫游切换时间，具体作法是：STA在接入第一AP后，如果扫瞄到第二AP，则通过STA与第一 AP410之间的无线连接和第一AP410与第二AP420之间的有线网络实现与第二AP420的预认证；还可以与更多的其它AP进行预认证。预认证过程与前述接入过程中的认证过程类似，只是预认证过程由STA 发起。预认证完成后，STA并不立即切换到第二AP，而是在STA需要漫游切换时才断开与第一AP的连接，然后与第二AP建立无线关联，通过关联帧中携带BKID，第二AP接收到STA的关联帧中携带有BKID 并从预认证终端缓存列表中查询得到相同BKID时，则第二AP发起与 STA的密钥协商过程而进入密钥协商过程。这种方式较前述完成的过程有了不小的改进，但从实际测试来看，这个过程也需要100毫秒左右，对于工业场景WAPI无线网络中机器人控制等应用还不够理想。

发明内容

本发明的目的是为了解决现有技术中存在的缺点，而提出的一种 WAPI无线网络快速漫游方法。

为了实现上述目的，本发明采用了如下技术方案：

一种WAPI无线网络快速漫游方法,当STA欲从当前连接的无线接入点第一AP漫游切换到第二AP时，在切换前首先STA与第二AP进行WAPI预认证，预认证结束如果双方均认证通过则立即进行密钥协商，完成前述过程后STA才断开同第一AP的无线连接、与第二AP建立无线关联，并在关联过后基于提前协商密钥的结果安装密钥、打开受控通信端口，完成漫游切换。

作为本发明的进一步技术方案：密钥协商包括单播密钥协商和组播密钥通告。

一种WAPI无线网络快速漫游方法的交互过程，包括如下步骤：

S1：STA首先与第二AP进行WAPI预认证，并在预认证成功后STA 与第二AP之间立刻进行密钥协商，这个过程中双方产生并缓存BK、 BKID、单播会话密钥，第二AP也向STA进行组播密钥通告；STA通过在预认证请求报文中设置标识FLAG的保留比特位即第七比特位B7为1，第二AP依据预认证报文中的标识FLAG B7位为1确定在完成 WAPI预备认证过程后需要立即发起与STA的密钥协商过程，并对此标识FLAG进行记录；如果STA所发送的预认证请求报文标识FLAG B7 位为0则与一般的WAPI预认证过程一样，从而具有了协议兼容性。

S2:STA与第二AP之间完成密钥协商后，ST立即断开与第一AP 的连接，然后立即向第二AP发送关联请求帧，其中关联请求帧中的 WAPI IE包括了BKID。

S3：第二AP收到STA的关联请求帧后，从WAPI IE中获取BKID 并基于BKID在缓存中查找对应的密钥协商结果，然后向STA回复关联应答帧，其中如果找到对应的密钥协商结果则在关联应答帧中则包含第一Vendor IE用于向STA表明本方法的快速漫游成功，并在发送关联应答帧后立即安装与STA通信的单播会话密钥、打开与STA的受控通信端口。

S4：STA收到关联应答帧后进行无线关联处理，并在关联应答帧中查找所述第一Vendor IE，如果找到所述第一Vendor IE则立即安装与第二AP通信的单播密钥、组播密钥，打开与第二AP的受控通信端口，完成漫游切换；漫游切换的交互过程结束后，如果STA是静态 IP地址，则通过与第二AP之间的无线链路发送自己的免费ARP，以触发AP所连接的有线网络中的交换机进行新的MAC出端口学习和更新。

作为本发明的进一步技术方案：STA与第二AP之间的交互基于 STA与第一AP之间的无线链路、第一AP与第二AP之间的有线网络。

本发明的有益效果为：

本发明：当无线终端STA欲从当前连接的无线接入点第一AP漫游切换到第二AP时，首先STA与第二AP进行WAPI预认证和密钥协商，然后STA断开与第一AP的连接并立即关联第二AP，关联成功后双方立即安装前述过程中协商的密钥并打开受控端口，完成漫游切换。本方法与一般WAPI预认证方法比较，能够进一步缩短WAPI终端在AP之间漫游切换时间，为WAPI无线网络提供更好的无线漫游切换效果。

附图说明

图1为WAPI无线网络接入过程示意图；

图2为基于一般WAPI预认证的漫游切换过程示意图；

图3为WAPI无线网络结构示意图；

图4为本发明提出的WAPI无线网络漫游切换过程示意图。

图中：410、第一AP；420、第二AP；300、交换机；100、服务器；200、AS；500、STA。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。下面将参考附图并结合实施例来详细说明本发明。

参照图1-4，一种WAPI无线网络快速漫游方法,当STA500欲从当前连接的无线接入点第一AP410漫游切换到第二AP420时，在切换前首先STA500与第二AP420进行WAPI预认证，预认证结束如果双方均认证通过则立即进行密钥协商，完成前述过程后STA500才断开同第一AP410的无线连接、与第二AP420建立无线关联，并在关联过后基于提前协商密钥的结果安装密钥、打开受控通信端口，完成漫游切换。

进一步的，密钥协商包括单播密钥协商和组播密钥通告。

一种WAPI无线网络快速漫游方法的交互过程，包括如下步骤：

S1：STA500首先与第二AP420进行WAPI预认证，并在预认证成功后STA500与第二AP420之间立刻进行密钥协商，这个过程中双方产生并缓存BK、BKID、单播会话密钥，第二AP420也向STA500进行组播密钥通告；STA500通过在预认证请求报文中设置标识FLAG的保留比特位即第七比特位B7为1，第二AP420依据预认证报文中的标识FLAG B7位为1确定在完成WAPI预备认证过程后需要立即发起与 STA的密钥协商过程，并对此标识FLAG进行记录；如果STA所发送的预认证请求报文标识FLAG B7位为0则与一般的WAPI预认证过程一样，从而具有了协议兼容性。

S2:STA500与第二AP420之间完成密钥协商后，ST500立即断开与第一AP410的连接，然后立即向第二AP420发送关联请求帧，其中关联请求帧中的WAPI IE包括了BKID。

S3：第二AP420收到STA500的关联请求帧后，从WAPI IE中获取BKID并基于BKID在缓存中查找对应的密钥协商结果，然后向 STA500回复关联应答帧，其中如果找到对应的密钥协商结果则在关联应答帧中则包含第一Vendor IE用于向STA500表明本方法的快速漫游成功，并在发送关联应答帧后立即安装与STA500通信的单播会话密钥、打开与STA500的受控通信端口。

S4：STA收到关联应答帧后进行无线关联处理，并在关联应答帧中查找第一VendorIE，如果找到第一Vendor IE则立即安装与第二 AP420通信的单播密钥、组播密钥，打开与第二AP420的受控通信端口，完成漫游切换；漫游切换的交互过程结束后，如果STA500是静态IP地址，则通过与第二AP420之间的无线链路发送自己的免费ARP，以触发AP所连接的有线网络中的交换机300进行新的MAC出端口学习和更新。

进一步的，STA500与第二AP420之间的交互基于STA500与第一 AP410之间的无线链路、第一AP410与第二AP420之间的有线网络。

本发明一种WAPI无线网络快速漫游方法公开了一种无线接入点装置AP，所述AP能够实施以下WAPI网络慢游切换处理：

A.检查无线终端STA500的WAPI预认证报文的标识FLAG第七比特位B7是否为1；

B.与STA500进行WAPI预鉴别过程，且记录WAPI预鉴别请求报文的标识FLAG第七比特位B7是否为1；

C.在完成WAPI预认证且双方认证通过的情况下，如果B7为1则 AP在完成WAPI认证后立即向STA500发送单播密钥协商请求报文让双方进行WAPI单播密钥协商过程，完成单播密钥协商后进入组播密钥通告过程，并对协商结果进行记录；

D.当收到STA500的关联请求帧后，能够基于关联请求帧中包含的BKID查找缓存中记录的WAPI协商结果：如果未找到则发送常规关联应答帧，进入一般的WAPI接入处理流程；如果找到则发送包含所述第一Vendor IE的关联应答帧、安装与STA500通信的密钥、打开与STA500的受控通信端口，其中基于所述第一Vendor IE向STA500 表明本方法的快速漫游切换成功。

本发明一种WAPI无线网络快速漫游方法公开了一种无线终端装置STA500，所述STA500能够实施以下WAPI网络慢游切换处理：

A.确定欲切换的目标AP即第二AP420后，并不马上断开同当前所连接的AP即第一AP410断开无线连接，而是通过当前所连接第一 AP410向第二AP420发送WAPI预认证报文发起与第二AP420的WAPI 预认证过程，其中预认证报文的标识FLAG第七比特位B7设置为1表征进行本方法所述的WAPI无线网络漫游切换；

B.在完成与第二AP420的WAPI预认证且认证通过的情况下，与第二AP420继续进行单播密钥协商、组播密钥通告，并对协商结果进行记录；

C.在完成与第二AP420的密钥协商后，立即断开与第一AP410的无线连接，然后向第二AP420发送无线关联请求帧；

D.在收到第二AP420的无线关联应答帧后进行无线关联处理，然后检查关联应答帧是否包含所述第一Vendor IE：如果未包含，则进入常规WAPI协议交互过程；如果包含，则安装与第二AP420的通信密钥、打开与第二AP420的受控通信端口。

E.如果STA500配置为静态IP地址，则通过与第二AP420的无线连接发送自己的免费ARP触发网络中的交换机300立即更新到达 STA500之MAC地址的MAC转发表。

本发明一种WAPI无线网络快速漫游运行方法所提供的设备，第一AP410和第二AP420连接于交换机300，第一AP410和第二AP420 能够基于有线网络通信、可以与WAPI证书鉴别设备AS200进行通信实现证书鉴别服务，无线终端STA 500与第一AP410建立了无线连接600，这个无线终端也可以称作移动工作站，它可以是笔记本电脑、手机、平板、无线CPE等。STA500在移动过程中，当逐渐远离第一 AP410、靠近第二AP420时，STA500检查发现如果与第二AP420连接可以获得更好的通信效果而且效果差别显著时，STA500就将要从第一AP410漫游切换到第二AP420。

这个实施例中的第一AP410和第二AP420为本发明实施例所公布的无线接入点装置，STA500为本发明实施例所公布的无线终端装置。

基于这个实施例网络环境采用本方法：

如图4所示，其过程包括：

s11:STA500通过STA500与第一AP410之间的无线连接向第一 AP410发送WAPI预鉴别请求，其中预鉴别请求报文中的标识FLAG B7 设置为1，这表示WAPI预认证完成后立即进行密钥协商；STA500对预认证报文进行了消息签名。

s12:AP收到预鉴别报文后，进行签名验证，如果验证通过则从报文中解析获得预认证目标AP的MAC地址，然后通过有线网络将预认证报文发送给这个MAC的目标地址，实际上这个MAC地址是第二 AP420的无线MAC地址，通过这个过程WAPI预鉴别报文被发送到漫游切换的目标AP即第二AP420。

s20:AP收到预鉴别报文后，从报文中解析出请求预认证的 STA500的MAC地址，本实施例中这个MAC地址是STA500的无线接口的BSSID；然后以这个MAC地址为目标地址，通过有线网络向STA500 发送WAPI认证激活报文，从而触发第二AP420与STA500之间的WAPI 证书鉴别过程，其中第一AP410收到第二AP420的WAPI协议报文后，将基于目标MAC地址进行二层转发，即会将收到的以太报文转换为 802.11无线报文发送给STA500，以及第一AP410收到STA500的无线报文后转换为以太报文通过有线网络发送给第二AP420；这个过程中STA500与第二AP420之间的WAPI鉴别过程与一般的WAPI接入过程中的证书鉴别过程是一样的，其中也包括了到第二AP420与AS200 之间的证书鉴别请求与响应的过程即s21过程。

s30:STA500与第二AP420之间完成WAPI证书鉴别过程后，如果双方的证书均鉴别通过，第二AP420将根据预认证请求报文中的标识FLAG B7位设置为1之约定，第二AP420在完成WAPI鉴别后将向 STA500发送单播密钥协商认证请求，从而触发第二AP420与STA500之间的单播密钥协商，其协商过程与一般的WAPI接入过程中单播密钥协商过程一致。

s40：第二AP420与STA500之间完成单播密钥协商过程后，第二 AP420将向STA500发送组播密钥通告从而触发第二AP420与STA 500 之间的组播密钥通告过程，此过程与一般的WAPI接入过程中组播密钥通告过程一致。

到此，STA500与第二AP420之间的WAPI预鉴别过程和密钥协商过程完成，双方会记录此过程中协商出来的基密钥BK、基密钥标识 BKID、单播会话密钥，STA500还会记录组播密钥，但双方并不会立即安装单播密钥到芯片中，STA500也不会立即安装组播密钥到芯片中。

s51：STA500在s40过程即组播密钥通告过程中完成组播密钥响应报文的发送后，立即断开同第一AP410的无线连接，然后向漫游切换目标AP即第二AP420发送无线关联请求帧从而发起无线关联请求，其中无线关联请求帧中的WIE包括了前面所述过程中协商出来的 BKID。

s52：第二AP420收到STA500的无线关联请求帧后进行无线关联处理，接着从关联请求帧中的WIE解析获得BKID，通过此BKID从缓存记录中查找对应的密钥协商结果，然后根据密钥协商结果所关联记录的预认证标识FLAG的B7位：A.如果B7位为0，则进行常规的处理即进行s53步骤即向STA500发送关联响应帧，然后向STA500发送密钥协商请求帧；B.如果B7位为1，则进行s53步骤即向STA500发送关联响应帧，其中关联响应帧中包括了所述第一Vendor IE向 STA500表明本方法的快速漫游切换成功，然后立即进行s54步骤即安装与STA500通信所用的单播会话密钥，并打开同STA500通信的受控通信端口。

s55：STA500收到第二AP420发送的关联应答帧并进行无线关联处理，STA500与第二AP420之间完成无线关联的建立，然后在关联应答帧中查找是否包含所述第一VendorIE：A.如果没有包含，则表明第二AP420没有响应本方法的快速漫游切换或快速漫游切换未成功，进入WAPI接入的常规处理流程；B.如果有，则立即安装与第二 AP420通信的单播密钥、组播密钥，并打开同第二AP420的受控通信端口，至此本方法的快速漫游切换成功完成。

进一步地，假定STA500的IP地址为静态配置，那么STA500在完成s55步骤中打开与第二AP420的受控通信端口动作后，将通过无线连接向网络发送免费ARP通告，这个免费ARP报文将通过第二AP 420转发到如图3所示的有线网络中，交换机300将从P302端口收到这个免费ARP从而立即更新交换机300的MAC地址表，将到达STA 500的二层网络流量出口更新为P302，在STA500与第一AP410连接时出端口是P301。STA500借助免费ARP，触发交换机300快速地更新了MAC地址表。如果STA500采用DHCP动态获取IP地址，STA500 在完成无线漫游切换后会再次申请IP地址，可以借助STA500向网络发送的DHCP请求报文触发交换机300快速地更新MAC地址表。

为了便于描述，在这里可以使用空间相对术语，如“在……之上”、“在……上方”、“在……上表面”、“上面的”等，用来描述如在图中所示的一个器件或特征与其他器件或特征的空间位置关系。应当理解的是，空间相对术语旨在包含除了器件在图中所描述的方位之外的在使用或操作中的不同方位。例如，如果附图中的器件被倒置，则描述为“在其他器件或构造上方”或“在其他器件或构造之上”的器件之后将被定位为“在其他器件或构造下方”或“在其他器件或构造之下”。因而，示例性术语“在……上方”可以包括“在……上方”和“在……下方”两种方位。该器件也可以其他不同方式定位(转90 度或处于其他方位)，并且对这里所使用的空间相对描述作出相应解释。

需要注意的是，这里所使用的术语仅是为了描述具体实施方式，而非意图限制根据本申请的示例性实施方式。如在这里所使用的，除非上下文另外明确指出，否则单数形式也意图包括复数形式，此外，还应当理解的是，当在本说明书中使用术语“包含”和/或“包括”时，其指明存在特征、步骤、操作、器件、组件和/或它们的组合。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施方式例如能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (4)

1.一种WAPI无线网络快速漫游方法,其特征在于：当STA(500)欲从当前连接的无线接入点第一AP(410)漫游切换到第二AP(420)时，在切换前首先STA(500)与第二AP(420)进行WAPI预认证，预认证结束如果双方均认证通过则立即进行密钥协商，完成前述过程后STA(500)才断开同第一AP(410)的无线连接、与第二AP(420)建立无线关联，并在关联过后基于提前协商密钥的结果安装密钥、打开受控通信端口，完成漫游切换。

2.根据权利要求1所述的一种WAPI无线网络快速漫游方法，其特征在于，密钥协商包括单播密钥协商和组播密钥通告。

3.根据权利要求1所述的一种WAPI无线网络快速漫游方法的交互过程，包括如下步骤：

S1：STA(500)首先与第二AP(420)进行WAPI预认证，并在预认证成功后STA(500)与第二AP(420)之间立刻进行密钥协商，这个过程中双方产生并缓存BK、BKID、单播会话密钥，第二AP(420)也向STA(500)进行组播密钥通告；STA(500)通过在预认证请求报文中设置标识FLAG的保留比特位即第七比特位B7为1，第二AP(420)依据预认证报文中的标识FLAG B7位为1确定在完成WAPI预备认证过程后需要立即发起与STA的密钥协商过程，并对此标识FLAG进行记录；如果STA所发送的预认证请求报文标识FLAG B7位为0则与一般的WAPI预认证过程一样，从而具有了协议兼容性。

S2:STA(500)与第二AP(420)之间完成密钥协商后，ST(500)立即断开与第一AP(410)的连接，然后立即向第二AP(420)发送关联请求帧，其中关联请求帧中的WAPI IE包括了BKID。

S3：第二AP(420)收到STA(500)的关联请求帧后，从WAPI IE中获取BKID并基于BKID在缓存中查找对应的密钥协商结果，然后向STA(500)回复关联应答帧，其中如果找到对应的密钥协商结果则在关联应答帧中则包含第一Vendor IE用于向STA(500)表明本方法的快速漫游成功，并在发送关联应答帧后立即安装与STA(500)通信的单播会话密钥、打开与STA(500)的受控通信端口。

S4：STA收到关联应答帧后进行无线关联处理，并在关联应答帧中查找所述第一VendorIE，如果找到所述第一Vendor IE则立即安装与第二AP(420)通信的单播密钥、组播密钥，打开与第二AP(420)的受控通信端口，完成漫游切换；漫游切换的交互过程结束后，如果STA(500)是静态IP地址，则通过与第二AP(420)之间的无线链路发送自己的免费ARP，以触发AP所连接的有线网络中的交换机(300)进行新的MAC出端口学习和更新。

4.根据权利要求3所述的一种WAPI无线网络快速漫游方法的交互过程，STA(500)与第二AP(420)之间的交互基于STA(500)与第一AP(410)之间的无线链路、第一AP(410)与第二AP(420)之间的有线网络。

Images