专利名称：建立多安全连接的安全通信方法、设备和计算机可读介质的制作方法
技术领域：
本发明一般涉及通信，并且特别涉及安全通信。
背景技术：
互联网协议安全(IPSec)协议规定了固有非安全网络上的安全通信，例如针对虚拟专用网(VPN)服务。利用IPSec的安全通信涉及利用IPSec消息协商安全参数，以及然后在位于接入系统的IPSec客户端与主机系统或安全网关之间建立IPSec安全关联(SA)。该过程通常由接入系统发起，并且需要预先知道主机系统或安全网关的地址以及客户端与主机或网关之间的预共享密钥或共有公共密钥证书。
安全参数协商典型地利用互联网密钥交换(IKE)协议来实施，并且包括两个阶段。第一阶段是创建用于IPSec SA协商的安全隧道的过程，并且被互联网安全关联和密钥管理协议(ISAKMP)SA所标识。第二阶段是认证报头(AH)或封装安全协议(ESP)SA协商过程，其取决于要支持的数据安全服务。IPSec AH规定了数据认证但却没有保护。而另一方面，ESP保护数据。
ISAKMP SA协商被用于对例如加密算法、用于签名的散列算法和认证方法的安全属性达成协议，并且用于Diffie-Hellman(DH)密钥交换。接入系统发起协商，一旦共有密钥已经在接入系统和主机或网关同时被导出并且检验了双方的身份时，就完成所述协商。
IKE第二阶段例如通过使用ISAKMP SA来协商保护实际数据业务的ESP SA而被实施。再次，位于接入系统的IPSec客户端发起、密钥被协定并且SA被创建，其中每个方向创建一个SA。每个SA由安全参数索引(SPI)唯一地标识。
源自接入系统或主机系统或关联于安全网关的系统的用户业务，由用指定SPI标识的SA来保护。如上所述，创建用于双向通信的两个SA。只要作为移动通信设备的接入系统的网络地址改变，并且切换到新的位置，这为该接入系统分配了不同的网络地址，IPSec Sa就必须被重新协商。
IPSec被设计为主要用于固定网络，并且因此并不是非常“移动友好的”。针对用于移动通信设备上的客户端的应用的IPSec的一些主要缺点包括延迟和资源负担。每次执行网络层切换时IPSec SA重新协商中涉及的延迟会导致大量的数据丢失，并且在实时服务的情况下可能造成更大的影响。另外，根据切换的频率，主机系统或安全网关为创建和重新协商SA所需要的开销和处理的量可能非常大，其可能占用或过载可用资源。
避免每次发生切换时必须重新协商SA的一种机制在于，使例如操作于移动通信设备上的IPSec客户端利用永久归属(home)地址作为SA的端点之一而不是获得的IP地址来创建SA。这确保每次执行切换时，即使获得新的地址，SA也不必被重新协商，因为客户端使用其永久身份来创建SA。该方法的主要缺点在于，业务现在经由移动设备的归属网络而被路由，并且然后被重新路由到该设备所在的接入网络。这不仅导致了至归属网络的增加的业务，而且还导致两个方向上的低效选路(不是最短路径)。根据所用的IPSec模式，这个技术由于多重隧道而导致大量的无线资源消耗。
发明内容
根据本发明实施例的用于减小信令延迟的机制，能够为漫游移动设备提供实时服务的安全通信。在一个可能的应用中，通过安全VPN连接到公司网络的安全远程接入可以被提供给漫游且移动的公司用户。
根据本发明的一个方面，提供了一种通信方法，该方法包括建立用于接入系统和中间系统之间的安全连接以及中间系统和远程系统之间的安全连接的各个互联网协议安全(IPSec)协议安全关联(SA)；以及，绑定IPSec SA以建立接入系统和远程系统之间的安全连接。
建立接入系统和远程系统之间的安全连接可以包括接收来自所述接入系统的通信信号，以及响应于该通信信号建立用于中间系统和远程系统之间的安全连接的IPSec SA。在一个实施例中，用于接入系统和中间系统之间的安全连接的IPSec SA，是在用于中间系统和远程系统之间的安全连接的IPSec SA已被建立之后而被建立的。
关联于所述接入系统的标识符可以被提供给所述远程系统，以建立用于中间系统和远程系统之间的安全连接的IPSec SA。
绑定IPSec SA的操作可以包括将标识各个IPSec SA中每一个的各个安全参数索引(SPI)存储在存储器中。
在所述接入系统和所述远程系统之间随后的通信期间，在中间系统和远程系统之间的安全连接上从所述远程系统接收的通信信号，优选地根据用于该安全连接的IPSec SA而被处理，以便从所述通信信号中恢复所发送的信息。所恢复的被发送信息然后可以根据用于接入系统和中间系统之间的安全连接的IPSec SA而被进一步处理，从而产生通信信号以传送给所述接入系统。
以类似的方式，在接入系统和中间系统之间的安全连接上从所述接入系统接收的通信信号，优选地根据用于该安全连接的IPSec SA而被处理，以恢复被发送信息，所恢复的被发送信息然后可以根据用于中间系统和远程系统之间的安全连接的IPSec SA而被进一步处理，从而产生通信信号以传送给所述远程系统。
在一个实施例中，用于接入系统和中间系统之间的新安全连接的IPSec SA，是响应于检测到接入系统操作条件的改变而被建立的。
建立用于中间系统和远程系统之间的安全连接的IPSec SA的操作可以包括建立用于中间系统和第二中间系统之间的安全连接以及第二中间系统和远程系统之间的安全连接的各个IPSec SA；以及，绑定用于中间系统和第二中间系统之间的安全连接以及第二中间系统和远程系统之间的安全连接的IPSec SA。
根据本发明的另一方面，还提供了一种用于建立接入系统和远程系统之间的安全连接的系统，该系统包括用于与所述接入系统和远程系统通信的收发信机和处理器。所述处理器被配置用于通过所述收发信机建立用于与所述接入系统和所述远程系统的安全连接的各个IPSec SA；以及，绑定所述IPSec SA以建立接入系统和远程系统之间的安全连接。
根据本发明的一个实施例，通信系统包括接入系统、远程系统和用于建立接入系统和远程系统之间的安全连接的中间系统。在另一实施例中，第二中间系统建立了所述中间系统和远程系统之间的安全连接。
在另一方面中，提供了一种存储数据结构的计算机可读介质，该数据结构包括用于中间系统和接入系统之间的安全连接的IPSec SA的标识符，以及用于中间系统和远程系统之间的安全连接的IPSec SA的标识符。所述IPSec SA在存储器中被绑定以由此建立接入系统和远程系统之间的安全连接。
本发明的又一方面提供了一种管理接入系统和远程系统之间的安全连接的方法，所述安全连接包括接入系统和中间系统之间的安全连接以及中间系统和远程系统之间的安全连接。所述方法包括检测所述接入系统操作条件的改变，以及响应于所述检测而建立接入系统和中间系统之间的新安全连接，由此接入系统和远程系统之间的安全连接包括接入系统和中间系统之间的新安全连接以及中间系统和远程系统之间的安全连接。
所述改变可以是所述接入系统的地址的改变，例如互联网协议(IP)地址。对地址改变的检测可以包括接收地址改变通知或确定从第一通信网络到第二通信网络的连接的切换即将发生。在一些实施例中，通过接收切换的触发或确定在接入系统和中间系统的安全连接上从所述接入系统接收的通信信号的特征，来确定即将发生的切换。
为建立新的安全连接，接入系统和中间系统之间的安全参数可以被重新协商。根据可选实施例，接入系统和中间系统之间的安全连接首先通过协商要在端点地址之间使用的安全参数而被建立，其中该端点地址包括所述中间系统的地址和所述接入系统的地址，并且操作条件的改变包括接入系统的地址到新接入系统地址的改变。在此情况下，建立新的安全连接可能涉及将接入系统的端点地址更新为新的接入系统地址。
在提供第二中间系统的情况下，中间系统和远程系统之间的安全连接包括中间系统和第二中间系统之间的安全连接以及第二中间系统和远程系统之间的安全连接。所述方法因而可以包括更多的操作即，检测所述远程系统操作条件的改变和响应于该检测而建立第二中间系统和远程系统之间的新安全连接，由此中间系统和远程系统之间的安全连接包括中间系统和第二中间系统之间的安全连接以及第二中间系统和远程系统之间的新安全连接。
本发明的相关方面提供了一种用于管理接入系统和远程系统之间的安全连接的中间系统。所述安全连接包括接入系统和中间系统之间的安全连接以及中间系统和远程系统之间的安全连接，并且所述中间系统包括用于与所述接入系统和远程系统通信的收发信机和处理器。所述处理器被配置用于检测所述接入系统操作条件的改变，以及响应于检测到的接入系统操作条件的改变而通过所述收发信机建立接入系统和中间系统之间的新安全连接，由此接入系统和远程系统之间的安全连接包括接入系统和中间系统之间的新安全连接以及中间系统和远程系统之间的安全连接。
还提供了一种管理第一系统和第二系统之间的安全连接的方法，所述安全连接包括第一系统和中间系统之间的第一安全连接，以及中间系统和第二系统之间的第二安全连接。所述方法可以包括检测所述第一系统或第二系统的操作条件的改变；响应于检测到所述第一系统操作条件的改变而建立第一系统和中间系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括第一系统和中间系统之间的新安全连接以及所述第二安全连接；以及，响应于检测到所述第二系统操作条件的改变而建立中间系统和第二系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括所述第一安全连接以及中间系统和第二系统之间的新安全连接。
所述第一系统和所述第二系统的各自的不同操作条件的改变可以被检测。
本发明的另一方面提供了一种用于管理第一系统和第二系统之间的安全连接的中间系统。所述安全连接包括第一系统和中间系统之间的第一安全连接以及中间系统和第二系统之间的第二安全连接，并且所述中间系统包括用于与所述第一系统和所述第二系统通信的收发信机，以及被配置用于检测所述第一系统或第二系统的操作条件的改变的处理器。所述处理还被配置用于响应于检测到所述第一系统操作条件的改变而建立第一系统和中间系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括第一系统和中间系统之间的新安全连接以及所述第二安全连接；以及响应于检测到所述第二系统操作条件的改变而建立中间系统和第二系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括所述第一安全连接以及中间系统和第二系统之间的新安全连接。
在又一方面中，提供了一种管理第一系统和第二系统之间的安全连接的方法，所述安全连接包括第一系统和第一中间系统之间的第一安全连接、第一中间系统和第二中间系统之间的第二安全连接，以及第二中间系统和第二系统之间的第三安全连接。所述方法包括以下操作检测所述第一系统或第二系统的操作条件的改变；响应于检测到所述第一系统操作条件的改变而建立第一系统和第一中间系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括第一系统和第一中间系统之间的新安全连接、所述第二安全连接和所述第三安全连接；以及，响应于检测到所述第二系统操作条件的改变而建立第二中间系统和第二系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括所述第一安全连接、所述第二安全连接以及第二中间系统和第二系统之间的新安全连接。
在本发明的另一方面中，还提供了一种具有用于管理第一系统和第二系统之间的安全连接的第一和第二中间系统的通信系统。所述安全连接包括第一系统和第一中间系统之间的第一安全连接、第一中间系统和第二中间系统之间的第二安全连接，以及第二中间系统和第二系统之间的第三安全连接。所述第一和第二中间系统包括各自的收发信机和处理器。在所述第一中间系统中，收发信机与所述第一系统和第二中间系统通信，并且处理器被配置用于检测所述第一系统操作条件的改变以及响应于检测到所述第一系统操作条件的改变而建立第一系统和第一中间系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括第一系统和第一中间系统之间的新安全连接、所述第二安全连接和所述第三安全连接。在所述第二中间系统中，收发信机与所述第一中间系统和第二系统通信，并且处理器被配置用于检测所述第二系统操作条件的改变以及响应于检测到所述第二系统操作条件的改变而建立第二中间系统和第二系统之间的新安全连接，由此第一系统和第二系统之间的安全连接包括所述第一安全连接、所述第二安全连接以及第二中间系统和第二系统之间的新安全连接。
通过检查下面对本发明指定实施例的描述，本发明实施例的其他方面和特征对于本领域的技术人员而言将变得显而易见。
现在参考附图详细描述本发明实施例的例子，其中-图1是其中可以实现本发明实施例的通信系统的框图；-图2是根据本发明实施例的方法的流程图；-图3是说明根据本发明实施例的安全连接建立的消息流程图；-图4是根据本发明实施例的中间系统的框图；以及-图5是包括本发明另一实施例的通信系统的框图。
具体实施例方式
在移动通信系统上提供实时服务由于其稀缺的带宽、移动通信设备改变的网络地址、移动通信设备的较低的计算能力以及相对于有线通信系统一般较高的差错率而特别具有挑战性。由于位置更新和用户业务递送的信令延迟可能存在更多的困难。切换期间和之后的位置更新和数据递送延迟可能导致由移动通信设备发送的或来自移动通信设备的数据的大量丢失。高效机制必须被开发以减小延迟，并且由此改进总吞吐量从而支持实时服务，所述实时服务包括例如近年来市场迅速增长并且已产生很多利润的IP上的语音(VoIP)和多媒体内容。
建立和维持安全VPN服务和其他安全通信连接的传统方法并未被很好地设计为针对移动用户。每次执行网络层切换时，由于移动通信设备漫游，通常被用于提供安全VPN连接的IPSec SA必须被重新协商。这可能导致分组丢失、附加延迟以利用其建立IPSec SA的主机系统和安全网关(SG)上的过度加载。为减轻这些问题，本发明的实施例提供了一种中间系统，其在下面参考图5描述的示例性通信系统中称作锚定代理安全网关(APSG)，该中间系统充当接入系统与主机系统或SG之间的中介。
根据一个实施例，所述中间系统维持在它和远程系统之间建立的IPSec SA与在它和接入系统之间建立的IPSec SA之间的绑定，其中所述远程系统可以是主机系统或者包括或关联于SG的系统。因此，由于切换的安全协商在中间系统而不是远程系统被执行，这由于中间系统到接入系统更近而减小了远程系统上的加载和信令延迟。另外，数据可以在切换期间并且可选地在对即将发生的切换的检测之前在中间系统被缓存，以进一步减少数据丢失。
图1是其中可实现本发明实施例的通信系统的框图。图1中的通信系统包括接入系统10、中间系统12和连接到通信网络16的远程系统14。尽管许多接入系统10、中间系统12和远程系统14可以连接到通信网络12，然而图1中仅示出了每个类型系统的一个例子以避免拥挤。因此应当认识到，图1的系统以及其他图的内容仅旨在进行说明，并且本发明决不限于附图中明确示出且在这里描述的特定示例性实施例。
接入系统10、中间系统12和远程系统14是或至少包括通信设备，所述通信设备之间可以通过通信网络16建立连接。在一个实施例中，接入系统10是无线移动通信设备，而远程系统14是公司网络，该公司网络包括网关，通过该网关远程接入该公司网络的资源。如下面详细描述的那样，中间系统12提供了通过其接入系统10可以接入远程系统14的另一网关。应当认识到，接入系统10不必限于仅通过中间系统12接入远程系统14。也可以提供替换的接入机制。例如，接入系统10的用户可以选择直接与远程系统14建立通信而不是利用中间系统12。
尽管在图1中被示为单一部件，然而网络16可以包括不止一种类型的通信网络。例如，如果接入系统10适于在移动通信网络内操作并且远程系统14可通过互联网接入，网络16同时代表移动通信网络和有线通信网络。在此情况下，中间系统12优选地同时连接到移动通信网络和有线通信网络。本发明的实施例还可以结合其他类型的网络和互连而被实现。
因此，连接实际上可以是在其上交换通信信号的任意类型的连接。如本领域的技术人员认识到的，连接可以包括有线连接、无线连接或其特定组合。在接入系统10、中间系统12和远程系统14之间可用的特定类型的通信连接可以取决于通信网络16的类型及其中使用的协议、由服务提供商使用通信网络16提供的服务、位于接入系统10、中间系统12和远程系统14的终端用户设备的类型，以及可能地其他因素。
在传统安全通信方案中，利用接入系统10和远程系统14之间的IPSec的安全VPN连接，是利用接入系统10的地址作为端点而被建立的。然而，如果接入系统10的地址改变，则IPSec SA必须在接入系统10和远程系统14之间被重新协商，这消耗了远程系统14的资源。通信网络16中固有的延迟还导致该重新协商过程中的时延，该时延又会导致数据丢失和服务中断。
因此希望减小在远程系统14对安全连接重新协商的资源需求以及IPSec SA协商过程中涉及的延迟。
本发明的实施例有效地将端到端连接分为两个连接，包括接入系统10和中间系统12之间的连接11以及中间系统12和远程系统14之间的连接13。对于基于IPSec的安全连接，IPSec协商过程因而被分为两个IPSec部分。第一部分是在接入系统10和中间系统12之间，并且第二部分是在中间系统12和远程系统14之间。当接入系统10的地址改变时，IPSec重新协商仅对于接入系统10和中间系统12之间的连接而被执行。中间系统12优选地被置于相比远程系统14更靠近接入系统10的物理位置，以由此减小关联于IPSec重新协商的延迟，因为重新协商过程中涉及的消息不必传播如此远，即，仅到中间系统12而不是一直到远程系统14。当接入系统10的地址改变时的重新协商处理，也由此从远程系统14被卸载到中间系统12。
图2是根据本发明实施例的方法的流程图。图2的通信方法包括在20建立接入系统和中间系统之间以及中间系统和远程系统之间的安全连接；以及，在22绑定所述连接以建立接入系统和远程系统之间的安全连接。接入系统、中间系统和远程系统的例子在图1中的10、12、14被示出并且已在上面描述。
在一个实施例中，在20的操作包括建立用于接入系统和中间系统之间的安全连接以及中间系统和远程系统之间的安全连接的各个IPSec SA。所述SA然后在22被绑定以建立接入系统和远程系统之间的安全端到端连接。如本领域的技术人员认识到的，SA典型地提供了针对通信方之间一个方向上数据传输的数据安全性。因此应当理解，这里对建立用于安全连接的SA的参考旨在包括建立分别用于单向或双向安全通信的单个SA或多个SA。
在20的连接建立可以由接入系统例如通过向中间系统发送通信信号而被发起。如果IPSec被用于提供安全连接，则来自接入系统的通信信号由此启动经由中间系统到远程系统的IKE过程。中间系统的地址可以在尝试进行远程接入之前的某个时刻被提供给接入系统，例如当远程接入服务被提供给接入系统时，如果接入系统是移动通信设备则通过移动通信网络中基于位置的服务而被通告，或者当接入系统执行或尝试直接与远程系统进行IKE过程时由远程系统所提供。其他中间系统地址分配方案对于本领域的技术人员也是显而易见的。
根据本发明的一个实施例，中间系统首先响应于来自接入系统的通信信号而建立用于中间系统和远程系统之间的安全连接的IPSec SA。用于接入系统和中间系统之间的安全连接的IPSec SA然后在已经建立用于中间系统和远程系统之间的安全连接的IPSec SA之后而被建立。
如果安全连接的目的是使接入系统获得至远程系统资源的接入，如在到远程系统的安全VPN连接的情况下，则仅当中间系统到远程系统的连接被成功建立的情况下建立接入系统到中间系统的连接才是优选的。然而，本发明决不限于连接建立的任意特定顺序。例如，中间系统可以在已经建立到远程系统的连接之前执行与接入系统建立连接的操作。
当建立用于中间系统和远程系统之间的安全连接的IPSec SA时，中间系统可以使用接入系统的标识符和其他证书，但以中间系统的地址作为端点。这样，中间系统可以有效地模仿接入系统而发起到远程系统的IKE过程。一旦用于中间系统到远程系统的连接的SA被协商，SA协商过程就优选地在中间系统和接入系统之间被发起，其中中间系统和接入系统使用其自己各自的证书。
图3是说明根据本发明实施例的安全连接建立的消息流程图。接入系统、中间系统和远程系统分别在30、32、34示出。由于本领域的技术人员熟悉IPSec SA过程，因此下面仅简要描述图3的消息流程图。
ISAKMP SA建立阶段期间的信令在36被示出。中间系统将ISAKMP数据、标记为IDAS的接入系统30标识符、Diffie-Hellman half-key以及nonce，传送给远程系统34。远程系统34以ISAKMP SA响应、Diffie-Hellman half-key、标记为IDRS的远程系统标识符、散列HashRS以及cookie CookieAS作为响应。ISAKMP SA阶段的信令是随着散列HashAS和cookie对Cookie-pair从中间系统32到远程系统34传输而完成的。ISAKMP SA在中间系统32和远程系统34检验散列HashRS和HashAS以及彼此的身份时成功地被建立。在36的消息流程不同于传统的ISAKMP消息流程，这是因为中间系统32使用接入系统30的证书而不是它自己的证书。
用于IPSec SA建立的第二阶段的信令在38示出，并且其以与在36的ISAKMP SA信令大致类似的方式进行，其中使用在中间系统32和远程系统34之间被交换的信息来建立例如用于从中间系统32到远程系统34传送数据的IPSec SA[IS，RS]40，即ESP SA。如将变得显而易见的，42表示用于另一方向上的数据传输的IPSec SA [RS，IS]。
针对中间系统32和接入系统30之间的安全连接以类似的方式在44和46建立IPSec SA，其中中间系统32和接入系统30使用其自己各自的证书。
尽管图3示出了IPSec SA建立的特定例子，然而应当理解，本发明决不限于此。例如，本发明的实施例可以结合这样的安全连接而被实现该安全连接提供单向数据安全而不是图3所示的Sa所提供的双向安全。
再次参考图2，用于在22绑定接入系统和中间系统之间以及中间系统和远程系统之间的安全连接的一种可能机制在于，将所述连接的标识符存储在例如存储器的查找表中。由于IPSec SA典型地使用SPI而被标识，因此所述中间系统可以存储标识了用于安全连接的IPSec SA的各个SPI。
在一个实施例中，所述中间系统在查找表中用接入系统的标识符和可能地远程系统的标识符来创建条目或记录，其中针对所述接入系统与所述远程系统建立连接。系统标识符可以包括例如IP地址和MAC地址，如果有可能获得MAC地址的话。说明性地是关联于IPSec SA的SPI的安全连接标识符，优选地被存储在同一条目中。其他标识符和地址也可以或作为代替而被用在查找表条目或其他类型的记录中，用于绑定安全连接。
例如当从接入系统接收到请求至远程系统的连接的通信信号时，或者在已经建立与远程系统和接入系统的安全连接中的一个或二者之后，可以创建表条目。因此，SPI可以被添加到之前创建的表条目中的数据字段中，或者当该条目被创建时被填充。
在已经建立和绑定所述安全连接之后，从远程系统接收的通信信号由中间系统根据用于远程系统和中间系统之间的安全连接的IPSec SA来处理，说明性地例如是图3中的IPSec SA[RS，IS]，从而恢复所发送的信息。通信信号处理可以包括例如解密和数字签名检查。所恢复的被发送信息然后根据用于接入系统和中间系统之间的安全连接的IPSec SA而被进一步处理，例如图3所示的IPSec SA [IS，AS]，从而产生用于向接入系统传送的通信信号。这个进一步处理可以包括例如加密和数字签名的操作。
类似地，包含被发送信息的、来自接入系统并去往远程系统的通信信号，由中间系统根据用于接入系统和中间系统之间的安全连接的IPSec SA来处理，例如图3所示的IPSec SA [AS，IS]，从而恢复所发送的接入系统信息。所恢复的接入系统信息根据用于中间系统和远程系统之间的安全连接的IPSec SA而被进一步处理，例如图3所示的IPSec SA[IS，RS]，从而产生用于向远程系统传送的通信信号。
中间系统由此恢复了由接入系统和远程系统发送的信息。合适的安全措施因而优选地在中间系统被实现，以防止在接入系统和远程系统之间传输期间对所恢复信息的任何未授权接入。
根据本发明的另一方面，图2的方法包括在24检测接入系统操作条件的改变，以及响应于所检测的改变在26与接入系统建立新连接。接入系统和远程系统之间的安全端到端连接此后包括接入系统和中间系统之间的新安全连接以及中间系统和远程系统之间之前存在的安全连接。
在24的检测可以包括检测接入系统地址的改变，例如IP地址。如上面所描述的，当接入系统是或包括移动通信设备并且在使用不同地址组的相邻通信网络或子网间切换通信时，较经常发生接入系统地址改变。
接入系统可以被配置用于通过发送地址改变通知来更新中间系统。中间系统也可以或替代地通过监控从接入系统接收的通信信号中的“来源”地址或类似信息来检测地址改变。在另一实施例中，中间系统确定接入系统地址改变即将发生。可以例如基于即将发生的切换触发、针对移动通信设备作出这种类型的确定，其中所述切换触发是通过低层协议利用所测量的信号功率、信噪比、差错率或从接入系统接收的通信信号的其他特征来被生成。
在切换或接入系统地址改变之后，安全连接绑定，即上述实施例中在中间系统被维持的表，被更新以反映新的接入系统地址。去往接入系统并且被缓存或在远程系统和中间系统之间传送的任何通信信号(说明性地是分组)因而可以例如通过使用IPSec SA而被转发到该新地址，其中所述IPSec SA是利用之前的接入系统地址并将信号隧道传送到该新地址而被创建的。在检测到即将发生的地址改变的情况下，中间系统可以开始缓存信号用于之后在新接入系统地址可用时传送给接入系统。
在26的操作可以包括例如利用接入系统的新IP地址通过IKE协商来建立用于接入系统和中间系统之间的新安全连接的新IPSec SA。一旦创建了新的SA，该新的SA就例如通过更新存储在中间系统的存储器中的表而被绑定到用于中间系统和远程系统之间的现有安全连接的SA。这个重新协商也可以在检测到即将发生的切换时被启动。
应当认识到，在26的操作可以包括完整的IPSec SA建立过程、部分的SA重新协商过程，或者可能地现有IPSec SA对中间系统和接入系统之间新连接的重新分配。
前面的描述主要涉及根据本发明实施例的方法。图4是根据本发明实施例的中间系统的框图。示例性中间系统60包括连接到存储器58、收发信机50和也连接到收发信机50的检测器52的IPSec客户端54。
收发信机50可以是例如调制解调器，通过该调制解调器可以建立与接入系统和远程系统的通信。收发信机50的特定结构和操作取决于它支持的一种或多种类型的通信。还设想，收发信机50可以包括用于分别与接入系统和远程系统通信的不止一种类型的收发信机，其中所述接入系统和远程系统被配置用于利用不同类型的通信网络、介质和协议来操作。
存储器58可以类似地包括一个或多个存储器设备，所述存储器设备可以是相同或不同的类型。在优选实施例中，存储器58是例如随机存取存储器(RAM)的固态存储设备，尽管其他类型的存储设备也可以或作为替代而被提供。
安全连接建立和通信信号处理由IPSec客户端54处理，该IPSec客户端54可以如所示地被实现在处理器56中，或者更特别地被实现在由处理器56执行的软件中。IPSec客户端54结合位于接入系统和远程系统的其他IPSec客户端来操作，以建立安全连接并处理在那些连接上接收的或要发送的通信信号。
处理器56可以是专用处理器或通用处理器，其还执行例如操作系统软件或软件应用的其他软件，并且可能地执行中间系统的其他功能或操作。在图4所示的实施例中，处理器56还提供了检测器52。
检测器52包括用于检测接入系统操作条件改变的一个或多个模块或部件。如上所述，中间系统可以检测例如接入系统地址和所接收信号强度的接入系统操作条件的改变。因此，检测器52可以包括一种模块，该模块用于接收来自接入系统的地址改变通知，或者用于解析或接收从接入系统接收的通信信号中的发送方地址或类似信息，以由此检测接入系统地址改变。信号强度可以例如在数字信号处理器(DSP)中被确定。因此，检测器52可以包括多种类型的检测器或结合它们来操作。
本发明决不限于图4的示例性实施例，其中，处理器56执行软件来提供安全连接建立和检测功能。在其他实施例中，中间系统可以包括支持这些功能的分离的硬件部件。这里对由处理器、检测器和IPSec客户端实施的功能的参考因而应当被相应地解释。
中间系统60的操作将从上面的方法描述中变得显而易见。用于与接入系统和远程系统的安全连接的各个IPSec SA由IPSec客户端54通过收发信机50来建立，并且被相互绑定以建立接入系统和远程系统之间的安全连接。SA可以通过将每个SA的SPI或其他标识符存储在存储器58中而被绑定。当SA已被绑定时，要在接入系统和远程系统之间传送的包括信息的通信信号基本上如上所述地被处理。
在中间系统的安全连接重新建立操作也已在上面进行了描述。响应于检测器52所检测到的接入系统操作条件的改变，接入系统和中间系统之间的新安全连接由IPSec客户端54通过收发信机50来建立。接入系统和远程系统之间的安全连接此后包括接入系统和中间系统之间的新安全连接以及中间系统和远程系统之间的现有安全连接。
尽管附图中未明确示出，然而应当认识到，接入系统和远程系统可以基本上类似于中间系统60，这是因为每个都包括用于与中间系统建立安全连接的某种收发信机和IPSec客户端。在接入系统，期望在说明性地是移动通信设备的单个电子设备中实现这些部件。然而如本领域的技术人员将认识到的，经常使用分离的互连计算机系统以提供远程接入功能和其他资源。例如，在一种通常的安排中，公司网络内的安全网关提供了对所有网络资源的远程接入功能。
图5是包括本发明另一实施例的通信系统的框图。图5的通信系统包括公司网络82、可通过互联网78和安全网关(SG)80与公司网络82建立安全连接的锚定代理安全网关(APSG)76，以及多个移动通信网络70、72、74，在所述移动通信网络内配置移动通信设备以进行操作，所述移动通信设备中的一个在84示出。
在图5的系统中，移动通信设备84代表接入系统，APSG76代表中间系统，并且公司网络82代表远程系统。公司网络82还提供了远程系统的实例，在该远程系统中，远程系统资源和对该资源的远程接入是由分离的部件来支持的，这是因为SG80提供对公司网络82的资源的远程接入。
移动通信网络70、72、74旨在代表不同的网络地址空间。尽管在图5中为了进行说明而被分离地示出，然而网络70、72、74可以是同一通信网络的一部分。移动通信设备84因而当操作于网络70、72、74中时被分配以不同的地址。
当移动通信设备在任一网络70、72、74中操作时，安全连接可以通过APSG76在移动通信设备84和公司网络82之间被建立。如果移动通信设备84的用户希望安全地与公司网络82通信，以例如接入被存储在公司网络82的IP服务，而设备84正操作于网络70内，则经由APSG76到SG80的IKE过程被启动。
连接建立因而可以基本上如上所述地进行。在一个实施例中，APSG76使用移动通信设备84的证书和它自己的地址作为端点来模仿移动通信设备84发起到SG80的IKE过程。一旦SA1[APSG，SG]已被协商，则APSG76就使用它自己的证书、利用移动通信设备84发起相同的过程，其中该移动通信设备在本例中操作于网络70内，并且在要建立双向安全的情况下请求移动通信设备84执行相同的操作。APSG76然后绑定所创建的SA到移动通信设备84，其在图5中标记为SA1[MN1，APSG]，和SA1[APSG，SG]。当安全连接被发起而所述设备正操作于其他网络72、74内时，类似的过程可以被用于建立移动通信设备84和公司网络82之间的安全连接。
下表提供了位于APSG76的查找表的说明性例子，其中用于两个移动通信设备中每一个与公司网络82之间的安全连接的SA根据本发明一个实施例而被绑定。尽管仅一个移动通信设备84在图5中被示出，然而本领域的技术人员将理解，APSG76可以被配置为利用多个移动通信设备操作。
上面的查找表利用标识了IPSec SA的SPI来绑定或关联安全连接。在中间系统的存储器中的数据结构，由此可以包括用于中间系统和接入系统之间的安全连接的IPSec SA的SPI，和用于中间系统和远程系统之间的安全连接的IPSec SA的SPI。例如，该表中的SPI[MN1，APSG]和SPI_1[APSG，SG]标识了图5中的SA1[MN1，APSG]和SA1[APSG，SG]。IPSec SA在存储器中被绑定，以由此建立移动通信设备和公司网络82之间的安全连接。
这个示例性查找表还包括移动通信设备的标识符，优选地是当移动通信设备漫游时不会改变的归属标识符，以及该移动通信设备的当前IP地址。当发生切换时，APSG检测移动通信设备的新地址并相应地更新所述查找表。如果新SA也利用该新IP地址而被建立，则所述表类似地用新SPI被更新。
如上所述，SA提供了一个方向上的数据传输的安全性。因此，多个记录可以被存储在用于双向安全连接的查找表中，以绑定用于每个数据传输方向的SA。在另一实施例中，查找表中的单个记录针对两个方向绑定所创建的SA。在此情况下，每个表条目可以包括四个SPI而不是两个。如果标识符可以用来标识用于安全连接的不止一组参数或者相同的参数被用于双向安全，则双向安全连接绑定可以利用具有如上面的查找表中所示的通用结构的单个记录来完成。
根据本发明的另一方面，通过在APSG76和SG80之间多路复用安全连接来优化通信系统资源的使用，其中所述多路复用是在IPSec中由所谓的隧道化来实现的。例如，几个隧道可以被建立，其中每个隧道由“服务等级”来区分，并且到隧道的接入是基于移动通信设备所具有的服务计划或优先级来被控制的。
接入系统可以还建立共享接入系统和中间系统之间的同一安全连接的、到远程系统的多个安全连接。如果期望到多个远程系统的安全VPN连接，则中间系统到远程系统的连接可以基本上同时被建立，并且被绑定到单个接入系统到中间系统的连接，其中该接入系统到中间系统的连接在接入系统的地址改变时被维持。这个机制可能是有用的，例如，如果某人是多个公司的所有者并且希望在到每个公司的连接之间具有独立性。
在此情况下，接入系统可以与中间系统具有一个IPSec连接，说明性地是上面参考图5使用的标记中的[MN1<->APSG]，以及多个IPSec连接[APSG<->SG1]、[APSG<->SG2]等。接入系统现在必须维持具有多个虚连接的仅一个IPSec连接。接入系统在切换或会导致地址改变的其他条件的情况下不必重新协商用于不同公司的每个SA。
对于共享连接的实施例，关于用于在不同远程系统中接入不同服务的安全级别(相容性)的某种协定可能是优选的。在一个实施例中，在共享单个接入系统到中间系统连接的所有中间系统到远程系统连接之中的最高安全级别被用于接入系统到中间系统的连接。例如，如果AES被用在APSG和第一安全网关SG1之间，并且DES被用在APSG和第二安全网关SG2之间，则AES可以因而被选定用于到该APSG的共享的接入系统连接。其他安全级别选择机制也是可能的。
应当认识到，远程系统不必是公司系统或安全网关。IPSec网关也可以被实现用于例如家庭计算机系统或网络。因此，多个同时的连接可以包括例如共享同一接入系统到中间系统连接的、至用户的家庭系统的安全连接和至用户的办公室系统的安全连接。当接入系统移动并且改变其身份时，仅该接入系统和中间系统之间的连接被重新协商或更新。
已描述的内容仅说明了本发明原理的应用。其他安排和方法可以由本领域的技术人员在不脱离本发明范围的情况下实现。
因此，更一般地，第一系统与第二系统之间的、包括第一系统和中间系统之间的第一安全连接以及中间系统和第二系统之间的第二安全连接的安全连接，可以根据上述技术来被管理。响应于检测到第一系统或第二系统的操作条件的改变，中间系统与第一和第二系统之一之间的新安全连接可以在维持其他安全连接的同时被建立。
还设想，安全连接可以包括多个中间系统之间的各个安全连接。例如，第一系统和第二系统之间的安全连接，可以通过优选地邻近于第一系统的第一中间系统和优选地邻近于第二系统的第二中间系统而被建立。在此情况下，第一和第二系统中每一个都具有到第一或第二中间系统的安全连接，其中该安全连接例如在分配新的地址时如上所述地被重新协商或更新。因此，即使是当第一和第二系统中的一个或二者的操作条件改变时，第一和第二中间系统之间的连接也可以保持完好。在接入系统和远程系统的情况下，中间系统和远程系统之间的安全连接可以包括中间系统和第二中间系统之间的安全连接以及第二中间系统和远程系统之间的安全连接，其中第二中间系统和远程系统之间的安全连接基本上如上所述地被管理。
本发明的实施例还可以利用除IPSec以外的安全协议和技术来被实现。
另外，尽管主要就方法和系统进行了描述，然而也设想本发明的其他实现，例如存储于计算机可读介质上的指令。
权利要求
1.一种通信方法，其包括建立用于接入系统和中间系统之间的安全连接以及所述中间系统和远程系统之间的安全连接的各个互联网协议安全协议安全关联；以及绑定所述互联网协议安全协议安全关联，以建立所述接入系统和所述远程系统之间的安全连接。
2.根据权利要求1的方法，其中，所述建立包括接收来自所述接入系统的通信信号；以及响应于所述通信信号而建立用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联。
3.根据权利要求2的方法，其还包括在已经建立用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联之后，建立用于所述接入系统和所述中间系统之间的安全连接的互联网协议安全协议安全关联。
4.根据权利要求1到3中任一个的方法，其中，所述建立用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联包括向所述远程系统提供关联于所述接入系统的标识符。
5.根据权利要求1到3中任一个的方法，其中，所述绑定包括将标识了各个互联网协议安全协议安全关联中每一个的各个安全参数索引存储在存储器中。
6.根据权利要求1的方法，其还包括在所述中间系统和所述远程系统之间的安全连接上从所述远程系统接收通信信号，其中所接收的通信信号包括被发送信息；根据用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联来处理所接收的通信信号，以恢复所述被发送信息；以及根据用于所述接入系统和所述中间系统之间的安全连接的互联网协议安全协议安全关联来处理所恢复的被发送信息，从而产生通信信号以在所述接入系统和所述中间系统之间的安全连接上传送给所述接入系统。
7.根据权利要求1的方法，其还包括在所述接入系统和所述中间系统之间的安全连接上从所述接入系统接收通信信号，其中所接收的通信信号包括被发送信息；根据用于所述接入系统和所述中间系统之间的安全连接的互联网协议安全协议安全关联来处理所接收的通信信号，以恢复所述被发送信息；以及根据用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联来处理所恢复的被发送信息，从而产生通信信号以在所述中间系统和所述远程系统之间的安全连接上传送给所述远程系统。
8.根据权利要求1到3、6和7中任一个的方法，其还包括检测所述接入系统操作条件的改变；以及响应于所述检测，建立用于所述接入系统和所述中间系统之间的新安全连接的互联网协议安全协议安全关联。
9.根据权利要求1到3中任一个的方法，其中，所述建立用于所述中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联包括建立用于所述中间系统和第二中间系统之间的安全连接以及所述第二中间系统和所述远程系统之间的安全连接的各个互联网协议安全协议安全关联；以及，绑定用于所述中间系统和所述第二中间系统之间的安全连接以及所述第二中间系统和所述远程系统之间的安全连接的互联网协议安全协议安全关联。
10.根据权利要求1到3、6和7中任一个的方法，其还包括建立用于所述中间系统和所述远程系统或另一远程系统之间的另一安全连接的互联网协议安全协议安全关联；以及将用于所述接入系统和所述中间系统之间的安全连接的互联网协议安全协议安全关联绑定到用于所述另一安全连接的互联网协议安全协议安全关联。
11.一种存储指令的计算机可读介质，其中，所述指令当被执行时实现根据权利要求1到3、6和7中任一个的方法。
12.一种用于建立接入系统和远程系统之间的安全连接的系统，所述系统包括收发信机，其用于与所述接入系统和所述远程系统通信；以及处理器，其被配置用于通过所述收发信机建立用于与所述接入系统和所述远程系统的安全连接的各个互联网协议安全协议安全关联；以及绑定所述互联网协议安全协议安全关联以建立所述接入系统和所述远程系统之间的安全连接。
13.根据权利要求12的系统，其中，所述处理器还被配置用于通过所述收发信机接收来自所述接入系统的通信信号；以及响应于所述通信信号，建立用于与所述远程系统的安全连接的互联网协议安全协议安全关联。
14.根据权利要求13的系统，其中，所述处理器还被配置用于在已经建立用于与所述远程系统的安全连接的互联网协议安全协议安全关联之后，建立用于与所述接入系统的安全连接的互联网协议安全协议安全关联。
15.根据权利要求12到14中任一个的系统，其中，所述处理器还被配置用于使用关联于所述接入系统的标识符来建立用于与所述远程系统的安全连接的互联网协议安全协议安全关联。
16.根据权利要求12到14中任一个的系统，其还包括存储器，其中，所述处理器通过将标识了所述互联网协议安全协议安全关联中每一个的各个安全参数索引存储在所述存储器中，来绑定所述互联网协议安全协议安全关联。
17.根据权利要求12的系统，其中，所述处理器还被配置用于根据用于与所述远程系统的安全连接的互联网协议安全协议安全关联来处理通过所述收发信机从所述远程系统接收的远程系统通信信号，从而恢复所述远程系统通信信号中的远程系统发送信息；根据用于与所述接入系统的安全连接的互联网协议安全协议安全关联来处理所恢复的远程系统发送信息，从而产生通信信号以通过所述收发信机传送给所述接入系统；根据用于与所述接入系统的安全连接的互联网协议安全协议安全关联来处理通过所述收发信机从所述接入系统接收的接入系统通信信号，从而恢复所述接入系统通信信号中的接入系统发送信息；以及根据用于与所述远程系统的安全连接的互联网协议安全协议安全关联来处理所恢复的接入系统发送信息，从而产生通信信号以通过所述收发信机传送给所述远程系统。
18.根据权利要求12到14和17中任一个的系统，其中，所述处理器还被配置用于检测所述接入系统操作条件的改变；以及响应于检测到的所述接入系统操作条件的改变而建立用于与所述接入系统的新安全连接的互联网协议安全协议安全关联。
19.根据权利要求12到14和17中任一个的系统，其中，所述处理器包括互联网协议安全客户端，用于利用所述接入系统和所述远程系统的各个互联网协议安全客户端来建立互联网协议安全协议安全关联。
20.根据权利要求12到14和17中任一个的系统，其中，所述处理器还被配置用于通过所述收发信机建立用于所述中间系统和所述远程系统或另一远程系统之间的另一安全连接的互联网协议安全协议安全关联；以及将用于所述接入系统和所述中间系统之间的安全连接的互联网协议安全协议安全关联绑定到用于所述另一安全连接的互联网协议安全协议安全关联。
21.一种通信系统，其包括接入系统；远程系统；以及中间系统，包括根据权利要求12到14和17中任一个的系统，用于建立所述接入系统和所述远程系统之间的安全连接。
22.根据权利要求21的通信系统，其还包括用于建立所述中间系统和所述远程系统之间的安全连接的第二中间系统。
23.一种存储数据结构的计算机可读介质，所述数据结构包括用于中间系统和接入系统之间的安全连接的互联网协议安全协议安全关联的标识符；以及用于所述中间系统和远程系统之间的安全连接的互联网协议安全协议安全关联的标识符，其中，所述互联网协议安全协议安全关联在存储器中被绑定，以由此建立所述接入系统和所述远程系统之间的安全连接。
24.根据权利要求23的计算机可读介质，其中，所述数据结构还包括所述接入系统的标识符和所述接入系统的互联网协议地址中的至少一个。
25.一种管理接入系统和远程系统之间的安全连接的方法，所述安全连接包括所述接入系统和中间系统之间的安全连接以及所述中间系统和所述远程系统之间的安全连接，所述方法包括检测所述接入系统操作条件的改变；以及响应于所述检测，建立所述接入系统和所述中间系统之间的新安全连接，由此所述接入系统和所述远程系统之间的安全连接包括所述接入系统和所述中间系统之间的新安全连接以及所述中间系统和所述远程系统之间的安全连接。
26.根据权利要求25的方法，其中，所述检测包括检测所述接入系统的地址的改变。
27.根据权利要求26的方法，其中，所述接入系统的地址包括互联网协议地址。
28.根据权利要求26的方法，其中，所述检测所述接入系统的地址的改变包括接收地址改变通知。
29.根据权利要求25的方法，其中，所述接入系统和所述中间系统之间的安全连接包括经由第一通信网络的连接，并且其中，所述检测包括确定从所述第一通信网络到第二通信网络的连接的切换即将发生。
30.根据权利要求29的方法，其中，所述确定切换即将发生包括下列操作中的至少一个接收针对所述切换的触发；以及确定在所述接入系统和所述中间系统之间的安全连接上从所述接入系统接收的通信信号的特征。
31.根据权利要求25到30中任一个的方法，其中，所述建立新安全连接包括协商所述接入系统和所述中间系统之间的安全参数。
32.根据权利要求25到28中任一个的方法，其中，所述接入系统和所述中间系统之间的安全连接是通过协商要在端点地址之间使用的安全参数来被建立的，所述端点地址包括所述中间系统的地址和所述接入系统的地址，其中，所述操作条件的改变包括所述接入系统的地址至新接入系统地址的改变，并且其中，所述建立新安全连接包括更新所述接入系统的端点地址为所述新接入系统地址。
33.根据权利要求25到30中任一个的方法，其中，所述接入系统和所述中间系统之间的安全连接以及所述中间系统和所述远程系统之间的安全连接，具有各自的互联网协议安全协议安全关联。
34.根据权利要求25到30中任一个的方法，其中，所述中间系统和所述远程系统之间的安全连接包括所述中间系统和第二中间系统之间的安全连接，以及所述第二中间系统和所述远程系统之间的安全连接，所述方法还包括检测所述远程系统操作条件的改变；以及响应于所述检测，建立所述第二中间系统和所述远程系统之间的新安全连接，由此所述中间系统和所述远程系统之间的安全连接包括所述中间系统和所述第二中间系统之间的安全连接以及所述第二中间系统和所述远程系统之间的新安全连接。
35.根据权利要求25到30中任一个的方法，其中，所述接入系统和所述远程系统之间的安全连接包括所述接入系统和包括所述远程系统的至少一个远程系统之间的多个安全连接中的一个，其中所述多个安全连接包括所述接入系统和所述中间系统之间的安全连接以及所述中间系统和所述至少一个远程系统之间的各个安全连接。
36.一种存储指令的计算机可读介质，其中，所述指令当被执行时实现根据权利要求25到30中任一个的方法。
37.一种用于管理接入系统和远程系统之间的安全连接的中间系统，所述安全连接包括所述接入系统和所述中间系统之间的安全连接以及所述中间系统和所述远程系统之间的安全连接，所述中间系统包括收发信机，其用于与所述接入系统和所述远程系统通信；以及处理器，其被配置用于检测所述接入系统操作条件的改变，以及响应于检测到的所述接入系统操作条件的改变而通过所述收发信机建立所述接入系统和所述中间系统之间的新安全连接，由此所述接入系统和所述远程系统之间的安全连接包括所述接入系统和所述中间系统之间的新安全连接以及所述中间系统和所述远程系统之间的安全连接。
38.根据权利要求37的系统，其中，所述接入系统操作条件的改变包括所述接入系统的地址的改变。
39.根据权利要求38的系统，其中，所述接入系统的地址包括互联网协议地址。
40.根据权利要求38的系统，其中，所述处理器被配置用于基于通过所述收发信机接收的地址改变通知来检测所述接入系统的地址的改变。
41.根据权利要求37的系统，其中，所述接入系统和所述中间系统之间的安全连接包括经由第一通信网络的连接，并且其中，所述处理器被配置用于基于对从所述第一通信网络到第二通信网络的连接的切换即将发生的确定来检测所述接入系统操作条件的改变。
42.根据权利要求41的系统，其中，所述对切换即将发生的确定是基于下列内容中的至少一个而作出的针对所述切换的触发，以及通过所述收发信机从所述接入系统接收的通信信号的特征。
43.根据权利要求37到42中任一个的系统，其中，所述处理器被配置用于通过协商用于与所述接入系统的新安全连接的安全参数来建立新安全连接。
44.根据权利要求37到42中任一个的系统，其中，所述接入系统和所述中间系统之间的安全连接是通过协商要在端点地址之间使用的安全参数来被建立的，所述端点地址包括所述中间系统的地址和所述接入系统的地址，其中，所述操作条件的改变包括所述接入系统的地址至新接入系统地址的改变，并且其中，所述处理器被配置用于通过更新所述接入系统的端点地址为所述新接入系统地址来建立新的安全连接。
45.根据权利要求44的系统，其还包括用于存储所述端点地址和所述安全参数的标识符的存储器，其中，所述处理器被配置用于通过在所述存储器中存储所述新接入系统地址来更新所述接入系统的端点地址。
46.根据权利要求37到42中任一个的系统，其中，所述接入系统和所述中间系统之间的安全连接以及所述中间系统和所述远程系统之间的安全连接，具有各自的互联网协议安全协议安全关联，并且其中，所述处理器包括互联网协议安全客户端，用于利用所述接入系统的互联网协议安全客户端建立新的安全连接。
47.根据权利要求37到42中任一个的系统，其中，所述接入系统和所述远程系统之间的安全连接包括所述接入系统和包括所述远程系统的至少一个远程系统之间的多个安全连接中的一个，所述多个安全连接包括所述接入系统和所述中间系统之间的安全连接以及所述中间系统和所述至少一个远程系统之间的各个安全连接。
48.一种通信系统，其包括接入系统；远程系统；中间系统，包括根据权利要求37到42中任一个的系统，用于通过建立所述接入系统和所述中间系统之间以及所述中间系统和所述远程系统之间的各个安全连接来建立所述接入系统和所述远程系统之间的安全连接；以及第二中间系统，包括根据权利要求37到42中任一个的系统，用于通过建立所述中间系统和所述第二中间系统之间以及所述第二中间系统和所述远程系统之间的各个安全连接来建立所述中间系统和所述远程系统之间的安全连接。
49.一种管理第一系统和第二系统之间的安全连接的方法，所述安全连接包括所述第一系统和中间系统之间的第一安全连接，以及所述中间系统和所述第二系统之间的第二安全连接，所述方法包括检测所述第一系统或所述第二系统的操作条件的改变；响应于检测到的所述第一系统操作条件的改变来建立所述第一系统和所述中间系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一系统和所述中间系统之间的新安全连接以及所述第二安全连接；以及响应于检测到的所述第二系统操作条件的改变，建立所述中间系统和所述第二系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一安全连接以及所述中间系统和所述第二系统之间的新安全连接。
50.根据权利要求49的方法，其中，所述检测包括检测所述第一系统和所述第二系统各自的不同操作条件的改变。
51.根据权利要求49的方法，其中，所述第一系统和所述第二系统中的至少一个包括移动通信设备，并且其中，所述检测包括检测所述移动通信设备的互联网协议地址的改变。
52.根据权利要求49到51中任一个的方法，其还包括建立用于所述第一安全连接和所述第二安全连接的各个互联网协议安全协议安全关联；以及绑定所述互联网协议安全协议安全关联，以建立所述第一系统和所述第二系统之间的安全连接。
53.根据权利要求52的方法，其中，所述各个互联网协议安全协议安全关联与端点地址相关联，用于所述第一安全连接的互联网协议安全协议安全关联的端点地址包括所述中间系统的地址和所述第一系统的地址，以及，用于所述第二安全连接的互联网协议安全协议安全关联的端点地址包括所述中间系统的地址和所述第二系统的地址，其中，所述操作条件的改变包括所述第一系统或所述第二系统的地址至新地址的改变，其中，所述建立所述第一系统和所述中间系统之间的新安全连接包括更新所述第一系统的端点地址为用于所述第一安全连接的互联网协议安全协议安全关联的新地址，并且其中，所述建立所述中间系统和所述第二系统之间的新安全连接包括更新所述第二系统的端点地址为用于所述第二安全连接的互联网协议安全协议安全关联的新地址。
54.一种存储指令的计算机可读介质，其中，所述指令当被执行时实现根据权利要求49到51中任一个的方法。
55.一种用于管理第一系统和第二系统之间的安全连接的中间系统，所述安全连接包括所述第一系统和所述中间系统之间的第一安全连接，以及所述中间系统和所述第二系统之间的第二安全连接，所述中间系统包括收发信机，其用于与所述第一系统和所述第二系统通信；以及处理器，其被配置用于检测所述第一系统或所述第二系统的操作条件的改变，其中，所述处理器还被配置用于响应于检测到的所述第一系统操作条件的改变来建立所述第一系统和所述中间系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一系统和所述中间系统之间的新安全连接以及所述第二安全连接；以及响应于检测到的所述第二系统操作条件的改变来建立所述中间系统和所述第二系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一安全连接以及所述中间系统和所述第二系统之间的新安全连接。
56.根据权利要求55的系统，其中，所述处理器被配置用于检测所述第一系统和所述第二系统各自的不同操作条件的改变。
57.根据权利要求55的系统，其中，所述第一系统和所述第二系统中的至少一个包括移动通信设备，并且其中，所述处理器被配置用于检测所述移动通信设备的互联网协议地址的改变。
58.根据权利要求55到57中任一个的系统，其中，所述处理器还被配置用于建立用于所述第一安全连接和所述第二安全连接的各个互联网协议安全协议安全关联，所述各个互联网协议安全协议安全关联与端点地址相关联，用于所述第一安全连接的互联网协议安全协议安全关联的端点地址包括所述中间系统的地址和所述第一系统的地址，以及，用于所述第二安全连接的互联网协议安全协议安全关联的端点地址包括所述中间系统的地址和所述第二系统的地址；绑定所述互联网协议安全协议安全关联以建立所述第一系统和所述第二系统之间的安全连接；通过检测所述第一系统或所述第二系统的地址至新地址的改变来检测操作条件的改变；通过更新所述第一系统的端点地址为用于所述第一安全连接的互联网协议安全协议安全关联的新地址来建立所述第一系统和所述中间系统之间的新安全连接；以及通过更新所述第二系统的端点地址为用于所述第二安全连接的互联网协议安全协议安全关联的新地址来建立所述中间系统和所述第二系统之间的新安全连接。
59.一种管理第一系统和第二系统之间的安全连接的方法，所述安全连接包括所述第一系统和第一中间系统之间的第一安全连接、所述第一中间系统和第二中间系统之间的第二安全连接，以及所述第二中间系统和所述第二系统之间的第三安全连接，所述方法包括检测所述第一系统或所述第二系统的操作条件的改变；响应于检测到的所述第一系统操作条件的改变，建立所述第一系统和所述第一中间系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一系统和所述第一中间系统之间的新安全连接、所述第二安全连接以及所述第三安全连接；以及响应于检测到的所述第二系统操作条件的改变来建立所述第二中间系统和所述第二系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一安全连接、所述第三安全连接以及所述第二中间系统和所述第二系统之间的新安全连接。
60.一种通信系统，其包括用于管理第一系统和第二系统之间的安全连接的第一和第二中间系统，所述安全连接包括所述第一系统和所述第一中间系统之间的第一安全连接、所述第一中间系统和所述第二中间系统之间的第二安全连接以及所述第二中间系统和所述第二系统之间的第三安全连接，所述第一中间系统包括收发信机，其用于与所述第一系统和所述第二中间系统通信；以及处理器，其被配置用于检测所述第一系统操作条件的改变；以及响应于检测到的所述第一系统操作条件的改变来建立所述第一系统和所述第一中间系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一系统和所述第一中间系统之间的新安全连接、所述第二安全连接以及所述第三安全连接，以及所述第二中间系统包括收发信机，其用于与所述第一中间系统和所述第二系统通信；以及处理器，其被配置用于检测所述第二系统操作条件的改变；以及响应于检测到的所述第二系统操作条件的改变来建立所述第二中间系统和所述第二系统之间的新安全连接，由此所述第一系统和所述第二系统之间的安全连接包括所述第一安全连接、所述第二安全连接以及所述第二中间系统和所述第二系统之间的新安全连接。
全文摘要
提供了用于安全通信的方法和系统。安全的端到端连接被建立为分离的多个安全连接，其说明性地是在第一系统与中间系统之间以及在第二系统与中间系统之间。多个安全连接可以例如通过绑定用于多个连接的互联网协议安全协议安全关联而被绑定，以建立端到端连接。在通常要求重建整个安全连接的操作条件改变的情况下，仅重建构成端到端连接的多个安全连接中的一个。这种端到端连接的分离可以减小通常与重建安全连接相关联的处理资源需求和延迟。
文档编号H04L29/08GK101027888SQ200580032107
公开日2007年8月29日 申请日期2005年7月22日 优先权日2004年7月26日
发明者V·裘伊, A·罗比森, F·加里亚杜尔 申请人:阿尔卡特朗讯公司