EAP-SIM 全鉴权认证接入流程说明:
1) WLAN UE 和 WLAN AN建立关联之后,UE向WLAN AN发送EAPoL-
Start,发起鉴权请求。
2) WLAN AN发送 EAP-Request/Identity消息到WLAN UE。
3) WLAN UE回复EAP-Response/Identity消息,向网络发送其用户身份
标识信息,身份标识可以为伪随机NAI或永久NAI。
4) WLAN AN将EAP报文使用RADIUS Access-Request消息封装,并将
Identity放在RADIUS的User-Name属性中,发送给3GPP AAA Server。
5) 3GPP AAA Server收到包含用户身份的EAP-Response/Identity报文。
6) 3GPP AAA Server识别出用户准备使用的认证方法为EAP-SIM。如果
UE送上的Identity为伪随机NAI,3GPP AAA Server检查本地没有该伪随机
NAI与IMSI的映射关系,则使用EAP Request/SIM-Start消息再次请求永久
NAI(6、7、8、9步仅用于WLAN UE漫游到新的拜访地而使用其他AAA分配
的伪随机NAI接入认证的场景)。EAP报文封装在RADIUS Access-Challenge
消息中,发送给WLAN AN。
7) WLAN AN转发EAP-Request/SIM-Start消息到WLAN UE。
8) WLAN UE使用EAP-Response/SIM-Start消息携带永久NAI进行响应
9) WLAN AN转发EAP-Response/SIM-Start消息携带永久NAI到3GPP
AAA Server,EAP报文封装在RADIUS Access-Request消息中。
10) 3GPP AAA Server检查本地是否缓存可用的鉴权向量,如果没有则
向HLR发送MAP_SEND_AUTH_INFO请求,请求获取n组鉴权向量(n可配置,
取值范围1~5,缺省建议5组,具体要求参见本试点方案6.3.1节AAA鉴权功能
内容)。
11) HLR响应3GPP AAA Server鉴权请求,下发n组鉴权三元组。
12) 3GPP AAA Server检查本地是否存在用户的签约信息。如果没有,
则AAA向HLR发起MAP_UPDATE_GPRS_LOC或MAP-RESTORE-DATA获取用
户签约信息,具体消息的使用请参照3.2节HLR签约消息下发要求。
13) HLR 向 3GPP AAA Server 发 起 插 入 用 户 数 据
MAP_INSERT_SUBS_DATA请求,向3GPP AAA Server插入数据。
14) 3GPP AAA Server响应HLR插入用户数据消息,完成用户签约信息
获取。
15) HLR向3GPP AAA Server回复MAP_UPDATE_GPRS_LOC或MAP-
RESTORE-DATA完成HLR的交互流程。具体消息的使用必须与步骤12)中使
用的消息匹配,且必须符合3.2节HLR签约消息下发要求。
16) 3GPP AAA Server检查用户签约通过后,根据算法生成TEKs、MSK
和EMSK(参见IETF RFC4186),将N组(N可配置,取值为2或3,默认
N=2 ) RAND 串 起 来 后 生 成 一 个 N*RAND 。 为 支 持 标 识 保 密 功 能 , AAA
Server还要生成伪随机NAI和快速重鉴权NAI,用于后续的全鉴权和快速重鉴
权过程。
17) 3GPP AAA Server 在 EAP-Request/SIM-Challenge 消 息 中 发 送
RAND,一个消息鉴权码(MAC)和2个用户标识(伪随机NAI和快速重鉴权
NAI)给WLAN AN,EAP报文封装在RADIUS Access-Challenge消息中。