用于移动通信网络中的安全网关的动态发现和重定向的装置和方法与流程

本公开涉及移动通信网络领域，具体地涉及用于安全网关的动态发现和重定向以管理网络间通信并确保安全和高效的话务路由的方法和装置。

背景技术：

1、移动网络的发展在5g独立(sa)网络的部署中达到高潮，这代表了自早期技术的重大飞跃。与依赖于现有4g lte基础设施的5g非独立(nsa)网络不同，5g sa网络以专用5g核心(5gc)运行，并充分利用5g技术的能力。这带来了诸如超低等待时间、高吞吐量和对大规模物联网(iot)应用的支持之类的增强。在该上下文中，安全边缘保护代理(sepp)在确保不同移动网络运营商之间的安全通信方面、特别是在多个公共陆地移动网络(plmn)交互的漫游场景中发挥着至关重要的作用。

2、安全边缘保护代理(sepp)是一种安全网关，其可以确保5g环境中的网络之间交换的信令消息的机密性、完整性和真实性。由于5g网络促成了各种公共陆地移动网络(plmn)之间的通信，因此可以在每个网络的边缘处部署sepp以保护网络间交换。这些交换可以经由plmn间接口n32来促成，该接口允许来自不同plmn的两个sepp安全地交互，从而保护敏感数据并保持网络完整性。sepp确保网络之间的通信被加密，从而防止未经授权的访问、篡改或数据泄露。

3、然而，管理5g中的sepp操作的当前标准(诸如由第三代合作伙伴计划(3gpp)定义的那些标准)在涉及动态地引导相同plmn内的多个sepp之间的话务时面临限制。在某些情况下，运营商可出于各种原因部署多个sepp，诸如负载平衡、故障转移机制或基于特定网络功能或漫游伙伴要求的路由。然而，现有标准并未提供用于基于这些需求动态地发现话务并将其路由到不同sepp的明确机制。选择sepp的过程目前受到域名系统(dns)查询的限制，该查询总是为给定plmn返回相同的sepp，这限制了动态话务管理所需的灵活性。

4、这种限制在5g sa网络中可能变得特别成问题，其中路由漫游话务的灵活性对于优化网络性能和确保合作伙伴之间的无缝通信可能是必不可少的。在其中多个sepp可被部署在单个plmn内的漫游场景中，无法动态地选择话务以及将话务重定向到不同sepp可能会阻碍网络适应变化的条件和话务需求的能力。这不仅会影响负载分配和故障转移能力，还会降低网络处置需要定向路由的复杂漫游用例的效率。

5、待解决的问题在于缺乏允许在plmn内和plmn之间动态重定向sepp话务的机制。虽然现有规范通过超文本传输协议(http)响应提供了一些重定向能力，但是这些对于需要基于特定操作要求来动态地发现和选择多个sepp的场景是不够的。目前对静态dns响应和受限重定向选项的依赖阻碍了运营商实现5g sa网络旨在提供的全部灵活性，从而需要一种更具适应性的sepp发现和重定向方法。

技术实现思路

1、该需求通过根据所附独立权利要求的方法和装置来解决。从属权利要求阐述了可能有利的实施例。

2、根据本公开的第一方面，提出了一种用于移动通信网络中的安全网关的动态发现和重定向的方法。该方法包括基于第一域名，发起第一移动通信网络中的第一安全网关与第二移动通信网络中的第二安全网关之间的通信。该方法进一步包括从第二安全网关接收重定向响应。该重定向响应指示要用于第二移动通信网络中的另一安全网关的基于dns的发现的第二域名。该方法进一步包括基于第二域名，将该通信从第一移动通信网络中的第一安全网关重定向到第二移动通信网络中的第三安全网关。所提出的方法可以动态地发现不同移动网络中的安全网关。通过发起网关之间的通信并使用重定向响应，系统可以允许话务的灵活路由。这可以确保优化的通信路径和负载平衡，从而有益于移动网络中的漫游场景。

3、根据一些实施例，经由移动通信网络间接口来接收重定向响应。这可以实现无缝的网络间通信，这在涉及不同plmn的漫游场景中特别有用。根据一些实施例，移动通信网络间接口是plmn间接口。一种公知的plmn间接口是n32接口，其在5g网络中专门用于sepp之间的安全通信。n32接口确保不同移动运营商之间交换的信令消息在漫游场景中受到保护。另一公知的plmn间接口是s8接口，其是4g lte架构的一部分，从而允许在漫游期间在受访plmn中的服务网关(sgw)和归属plmn中的分组数据网络网关(pgw)之间的用户面数据传输。这些接口可以促成由不同移动提供商操作的网络之间的安全和高效通信。使用plmn间接口可以促成不同移动运营商的安全网关之间的通信，可以增强漫游能力，并且可以确保话务可以在网络之间动态地重定向。这可以支持更灵活和弹性的网络架构。

4、根据一些实施例，发起第一安全网关与第二安全网关之间的通信包括：基于第二移动通信网络的网络id，构造针对第二移动通信网络中的目标安全网关的第一域名。基于网络id构造域名可以提供用于标识和寻址第二移动通信网络中的安全网关的清晰且有条理的方法。这可以帮助将话务准确地路由到正确的网关，从而提高通信效率。作为另一示例，可以基于预定义的命名约定来生成域名，该命名约定纳入了附加因素，诸如网关的位置、被访问的服务的类型或特定的安全要求。另一种方法可以涉及基于可用安全网关的负载平衡或性能度量来动态地构造域名，从而确保最佳话务路由。此外，可以通过利用分层命名方案来创建域名，其中域的不同组件反映网络架构的各个级别，诸如运营商的名称、地理区域或因服务而异的标识符。

5、根据一些实施例，发起第一安全网关与第二安全网关之间的通信包括使用第一域名来执行dns查询以获得第二移动通信网络中的安全网关的列表。使用dns查询可以允许动态地发现第二网络中的可用安全网关。这可以实现更高效和实时地标识用于通信的潜在网关，从而增加网络管理的灵活性和弹性。

6、作为另一示例，可以使用其中安全网关被预先注册的中央注册表或数据库，并且发起方网关可以直接查询该注册表以获得相关信息。

7、替换地，安全网关之间的通信可以利用动态服务发现协议(诸如服务位置协议(slp)或通用即插即用(upnp))来发现可用网关。附加地，网关之间的对等通信可以实现直接网关通告，其中每个安全网关周期性地向其他网络节点广播其可用性，而不需要dns查找。

8、根据一些实施例，该方法进一步包括从列表中选择安全网关，并且发起第一安全网关与第二移动通信网络中的所选的第二安全网关之间的通信。从列表中选择安全网关可以基于若干准则来进行。一个常见的准则可以是负载平衡，其中选择具有最小话务或最佳容量的网关以防止任何单个网关过载。另一准则可以是地理邻近度，即选择物理上最接近用户或话务源的网关以最小化等待时间。安全策略也可能影响选择，即优先化满足某些加密或数据保护标准的网关。附加地，选择可以基于网络性能度量，诸如响应时间、带宽可用性或分组丢失率，以确保最佳服务质量。网关可用性和冗余也可能发挥作用，其中系统偏好具有高正常运行时间或在网络中断时提供故障转移支持的网关。此类准则可以确保选择最合适的安全网关以保持最佳性能和安全性。从列表中选择特定网关可以确保话务可被最佳地路由通过最合适的网关(潜在地基于诸如负载或地理位置之类的因素)。这可以有助于改善网络性能和资源管理。

9、根据一些实施例，发起第一安全网关与第三安全网关之间的通信包括使用第二域名来执行第二dns查询以动态地发现新的目标安全网关。通过执行第二dns查询，该方法可以通过允许在发现新网关时实时调整通信路径来进一步增强动态发现。这种灵活性可以确保优化的网络路由。作为另一示例，可以使用其中安全网关被预先注册的中央注册表或数据库，并且发起方网关可以直接查询该注册表以获得相关信息。替换地，安全网关之间的通信可以利用动态服务发现协议(诸如slp或upnp)来发现可用网关。

10、根据一些实施例，该方法进一步包括基于第二dns查询的结果来将通信重定向到新的目标安全网关。类似于第一dns查询如何提供初始列表，第二dns查询可以返回第二移动通信网络中的目标安全网关的第二列表。该第二列表将包含适于处置重定向通信的可用安全网关。该列表可包括满足特定准则(诸如位置、容量或服务类型)的多个网关。基于该第二列表，系统随后可以为重定向通信动态地选择最合适的目标安全网关，从而确保通信通过网络中的最佳可用网关被高效地路由。基于第二dns查询来重定向通信可以允许该方法动态地调整通信流，从而确保话务被引导通过最高效或可用的安全网关。这可以提高网络中的可靠性和扩展性两者。

11、根据一些实施例，dns查询包括相应的dns命名机构指针(naptr)查询。使用naptr查询作为dns过程的一部分可以实现更复杂和灵活的服务发现，从而允许网络不仅解析网关的地址，还解析所提供的服务。这可以增强系统适应变化的网络需求的能力。作为另一示例，srv(服务)查询可用于通过标识提供所需服务的服务器的主机名和端口号来定位网络内的特定服务。附加地，可以采用a(地址)查询或aaaa(ipv6地址)查询来将域名直接解析为其对应的ipv4或ipv6地址，从而绕过服务发现。cname(规范名称)查询还可用于将别名映射到规范域名，从而促成灵活的重定向。

12、根据一些实施例，安全网关包括相应的sepp。使用sepp作为安全网关可以确保不同移动网络之间的通信是安全的，尤其是在漫游场景中。sepp可以保护网络之间的信令消息的完整性，从而提供关键的安全层。在移动和通信网络中使用了若干种其他类型的安全网关。一个示例是在基于ip的网络中使用的、特别是用于保护不同网段之间或用户与网络之间的ipsec隧道的安全网关(seg)。另一示例是边界网关功能(bgf)，其可以在电信网络中用于管理和保护服务提供商网络的边界处的话务。附加地，在4g lte网络中，diameter边缘代理(dea)充当安全网关，以控制和保护网络之间的diameter信令话务。这些网关(如sepp)负责保护网络间通信、确保隐私以及管理不同网络域或运营商之间的访问。

13、根据一些实施例，第一移动通信网络和第二移动通信网络包括相应的5g独立(sa)网络。将所提出的方法应用于5g sa网络可以增强下一代移动网络的性能和灵活性，从而能够更好地处置高级移动架构中的安全性和通信。这可以导致改进的网络切片和安全性。受益于本公开的技术人员将理解，本公开的各实施例不仅可以适用于5g sa网络，还可以适用于采用安全网关的其他通信网络。通过利用域名和重定向响应，本公开的各实施例可以适于管理跨各种网络架构的安全通信，从而实现在需要在不同运营商或区域之间安全且高效地路由话务的网络中的网关的动态发现和重定向。这种灵活性确保了本公开的各实施例可以优化下一代和旧式移动网络两者中的通信路径和负载平衡，从而增强整体网络性能和安全性。

14、根据一些实施例，域名包括相应的全限定域名(fqdn)。使用fqdn来寻址安全网关可以确保通信过程的清晰度和精确性，从而允许网络容易地解析以及与正确的端点通信。这可以改进可靠性并减少路由中的错误。作为另一示例，可以使用部分限定域名(pqdn)，其中仅指定域的一部分，并且可以基于本地网络上下文来推断缺失的部分。附加地，可以利用相对域名，其可以相对于预定义的域进行解读(通常在相同的网络或组织内)。在特定的封闭网络环境中，也可以应用定制域名命名方案，其中域名被不同地构造以满足特定的安全性或操作要求。

15、根据一些实施例，重定向响应包括超文本传输协议(http)重定向响应。http重定向响应可以允许该方法利用广泛使用的协议来引导通信，从而确保兼容性和易于集成到现有网络基础设施中。这可以简化过程并增强扩展性。作为另一示例，sip(会话发起协议)重定向响应可用于涉及语音、视频或消息收发服务的网络中，从而允许将通信会话重定向到替换端点。在基于ip的网络中，也可以使用基于dns的重定向响应，其中dns响应通过提供替换ip地址或域名来重定向话务。附加地，应用层重定向协议(诸如diameter或gtp(gprs隧道协议))可以在电信网络中采用以处置各节点之间的信令或数据话务的重定向。

16、根据本公开的另一方面，提出了一种用于移动通信网络中的安全网关的动态发现和重定向的装置。该装置包括处理电路系统，该处理电路系统被配置成：基于第一域名，发起第一移动通信网络中的第一安全网关与第二移动通信网络中的第二安全网关之间的通信；从第二安全网关接收重定向响应，该重定向响应指示要用于第二移动通信网络中的另一安全网关的基于dns的发现的第二域名；以及基于第二域名，将该通信从第一移动通信网络中的第一安全网关重定向到第二移动通信网络中的第三安全网关。所提出的装置可以允许安全网关之间的通信路径的动态发现和重定向，从而促成跨移动网络的无缝通信。这可导致用于管理网络间话务的灵活且高效的系统，从而改进安全性和性能两者。

17、根据本公开的另一方面，提出了一种用于移动通信网络中的安全网关的动态发现和重定向的方法。该方法包括：基于第一域名，发起第一移动通信网络中的第一安全网关与第二移动通信网络中的第二安全网关之间的通信；以及从第二安全网关向第一安全网关传送重定向响应，该重定向响应指示要用于第二移动通信网络中的另一安全网关的基于dns的发现的第二域名。该方法是从第二安全网关的角度出发，该第二安全网关主动传送重定向响应，从而允许第一网关相应地重定向话务。该方法可以使第二网关能够影响话务路由，从而提供对网络路径的更多控制并改进话务分配。

18、根据本公开的另一方面，提出了一种用于移动通信网络中的安全网关的动态发现和重定向的装置。该装置包括处理电路系统，该处理电路系统被配置成：基于第一域名，发起第一移动通信网络中的第一安全网关与第二移动通信网络中的第二安全网关之间的通信；以及从第二安全网关向第一安全网关传送重定向响应，该重定向响应指示第二域名。该装置可以使第二安全网关能够在重定向过程中起主动作用，从而通过将第一安全网关朝向最佳可用通信路径进行引导来优化网络资源利用。这可以改进负载平衡和网络管理。

19、本公开的各实施例提出了用于移动通信网络中的安全网关的动态发现和重定向的方法和装置，其聚焦于优化网络间话务。所提出的概念涉及基于域名发起安全网关之间的通信，并利用dns查询来动态地发现可用的安全网关。所提出的概念支持无缝重定向到更合适的网关，从而允许灵活的路由和负载平衡，在漫游场景中特别有益。使用安全边缘保护代理(sepp)、dns naptr查询和fqdn进行寻址可以确保安全性和效率。重定向响应、http协议和plmn间接口可以使所提出的概念能够动态地调整通信路径，从而改进5g独立网络中的性能和弹性。