IP分配方法、装置以及IP鉴权方法、装置、系统与流程

本发明涉及核心网技术领域，尤其涉及一种ip分配方法、装置以及ip鉴权方法、装置、系统

背景技术：

互联网协议地址(internetprotocol，ip)的鉴权是防止ip多媒体子系统(ipmultimediasubsystem，ims)固话盗打的防范措施之一。

通常，为了防止ims固化盗打，采用下述两种方式：第一，针对各个省份，采用在会话边界控制器(sessionbordercontroller，sbc)上配置本省份运营商的固话ip地址段，sbc限制该地址段以外的地址来注册；第二，通过归属签约用户服务器(homesubscriberserver，hss)建立颗粒度更小(例如，细化至地市)的“地市-ip段”名单，固定号码在每次主叫呼叫前，都需要携带号码、所属终端的ip向sbc发起鉴权，sbc会到hss中寻找该号码的归属城市，以及对应的ip地址段，检查当前该终端ip是否在其归属地市的对应地址段内，如果在，则认为该固定号码是合法的，并允许该固定号码进行呼叫，如果不在则认为该固定号码是不合法的，拒绝本次呼叫。

综上所述，上述两种方式中sbc终端ip进行鉴权的时候，范围比较宽，鉴权方式为静态的，容易被暴力破解。

技术实现要素：

本发明实施例提供了一种ip分配方法、装置以及ip鉴权方法、装置、系统，能够对ip进行动态更新，并将更新后的ip进行保存至sbc中，进而对终端进行精准鉴权，无法对终端ip进行暴力破解。

第一方面，本发明实施例提供了一种ip分配方法，方法包括：

判断终端的互联网协议地址ip是否需要更新；

在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给会话边界控制器sbc；

接收所述sbc基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给所述终端。

第二方面，本发明实施例提供了一种ip鉴权方法，方法包括：

接收终端的呼叫请求，所述呼叫请求携带用户号码以及终端ip；

根据所述用户号码，调取ip库中与该用户号码对应的ip；所述ip库中的ip为上述权利要求1-6中任意一项所述的待分配ip；

当所述ip与所述终端ip一致时，接受所述呼叫请求；

当所述ip与所述终端ip不一致时，拒绝所述呼叫请求。

第三方面，本发明实施例提供了一种ip分配装置，装置包括：

判断模块，用于判断终端的互联网协议地址ip是否需要更新；

发送模块，用于在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给会话边界控制器sbc；

分配模块，用于接收所述sbc反馈的基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给对应的终端。

第四方面，本发明实施例提供了一种ip鉴权装置，装置包括：

接收模块，用于接收终端的呼叫请求，所述呼叫请求携带用户号码以及终端ip；

调取模块，用于根据所述用户号码，调取ip库中与该用户号码对应的ip；所述ip库中的ip为上述权利要求1-6中任意一项所述的待分配ip；

ip判断模块，用于当所述ip与所述终端ip一致时，接受所述呼叫请求；当所述ip与所述终端ip不一致时，拒绝所述呼叫请求。

第五方面，本发明实施例提供了一种ip鉴权系统，系统包括宽带接入服务器bras以及sbc；

所述bras，用于判断终端的ip是否需要更新，在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给所述sbc；接收所述sbc反馈的基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给对应的终端；

所述sbc，用于基于接收到的所述待分配ip对应的用户号码生成确认信息，并将所述确认信息发送给所述bras。

第六方面，本发明实施例提供了一种ip分配设备，包括：至少一个处理器、至少一个存储器以及存储在存储器中的计算机程序指令，当计算机程序指令被处理器执行时实现如上述实施方式中第一方面和/或第二方面的方法。

第七方面，本发明实施例提供了一种计算机可读存储介质，其上存储有计算机程序指令，当计算机程序指令被处理器执行时实现如上述实施方式中第一方面和/或第二方面的方法。。

本发明实施例提供的ip分配方法、装置以及ip鉴权方法、装置、系统，在ip分配的时候，通过判断出终端的ip需要更新的时候，将待分配ip以及待分配ip对应的用户号码发送给sbc，并在接收到sbc基于待分配ip生成的确认信息后，将待分配ip分配给终端。在ip鉴权的是时候，sbc接收到终端的呼叫请求后，根据呼叫请求中携带的用户号码，调取ip库中的与该用户号码对应的ip，并将调取出来的ip与终端ip进行对比，当调取出来的ip与终端ip一致的时候，接收呼叫请求，若不一致则拒绝呼叫请求。本发明实施例能够对ip进行动态更新，并将更新后的ip进行保存至sbc中，进而对终端进行精准鉴权，无法对终端ip进行暴力破解。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对本发明实施例中所需要使用的附图作简单地介绍，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1示出了根据本发明一些实施例提供的一种ip分配方法的流程图；

图2示出了根据本发明一些实施例提供的一种ip鉴权方法的流程图；

图3示出了根据本发明一些实施例提供的一种ip分配装置的结构图；

图4示出了根据本发明一些实施例提供的一种ip鉴权装置的结构图；

图5示出了根据本发明一些实施例提供的一种ip鉴权系统的结构图；

图6示出了根据本发明一些实施例提供的一种ip鉴权系统的工作流程图；

图7示出了根据本发明一些实施例提供的另一种ip鉴权系统的工作流程图；

图8示出了根据本发明一些实施例提供的一种电子设备的结构图。

具体实施方式

下面将详细描述本发明的各个方面的特征和示例性实施例，为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细描述。应理解，此处所描述的具体实施例仅被配置为解释本发明，并不被配置为限定本发明。对于本领域技术人员来说，本发明可以在不需要这些具体细节中的一些细节的情况下实施。下面对实施例的描述仅仅是为了通过示出本发明的示例来提供对本发明更好的理解。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

目前，ip的鉴权是防止ims固话盗打的防范措施之一。

通常，为了防止ims固化盗打，采用下述两种方式：第一，针对各个省份，采用在sbc上配置本省份运营商的固话ip地址段，sbc限制该地址段以外的地址来注册；第二，通过hss建立颗粒度更小(例如，细化至地市)的“地市-ip段”名单，固定号码在每次主叫呼叫前，都需要携带号码、所属终端的ip向sbc发起鉴权，sbc会到hss中寻找该号码的归属城市，以及对应的ip地址段，检查当前该终端ip是否在其归属地市的对应地址段内，如果在，则认为该固定号码是合法的，并允许该固定号码进行呼叫，如果不在则认为该固定号码是不合法的，拒绝本次呼叫。

上述防止ims固话被盗打的方式存在两个问题，一是鉴权的地址段颗粒较大，最低也是到地市级别，如果盗打份子通过本市接入网络，那该技术对此无效；二是鉴权主要通过静态地址段，盗打份子通过多次尝试即可摸清鉴权ip地址段名单的大致范围，并可以通过模拟出一个网络地址突破该防范。基于此，本发明实施例提供的ip分配方法、装置以及ip鉴权方法、装置、系统，能够对ip进行动态更新，并将更新后的ip进行保存至sbc中，进而对终端进行精准鉴权，无法对终端ip进行暴力破解。

下面通过以ip分配方法的执行主体为bars，ip鉴权方法的执行主体为sbc对本发明实施例进行详细介绍。

参见图1所示，为本发明实施例提供的一种ip分配方法法人流程图，包括下述步骤s101-s103：

s101：判断终端的互联网协议地址ip是否需要更新。

在具体实施的时候，终端可以是ims固话终端，例如，家庭网关单元(homegatewayunit，hgu)、智能网关(intelligenthomegatewayunit，ihgu)，bars判断终端的ip地址更新可以通过下述两种方式：

其一，终端上线时，发送ip获取请求。

当bars接收到ip获取请求的时候，则证明终端需要更新ip，在这里，ip获取请求中携带有用户号码，

其二，通过预设的时间阈值，来判断终端当前的ip是否过期，例如，bars为终端设置“24小时”ip地址老化机制或者“48小时”ip地址老化机制，当终端当前的ip使用时间达到预设的时间阈值，则为终端分配ip，在判断终端当前ip是否过去的时候，还会获取终端的用户号码。

s102：在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给sbc。

在具体实施的时候，当bars判断终端需要更新ip的时候，会在ip地址池中为该终端匹配待分配ip，在匹配该终端的待分配ip时，是对应该终端的用户号码进行匹配的，也即，待分配ip都对应于用户号码关联，能够保证每一个终端分配到的ip是唯一的ip。

bars与sbc是实时通信的，得到该终端的待分配ip后，将待分配ip对应用户号码同时发送给sbc，bars与sbc进行通信的时候，是采用socket接口与消息队列的方式进行通信的，例如，将待分配ip与对应的用户号码以列表的形式通过socket接口发送给sbc。

此外，bars与sbc之间进行通信的时候，具有消息等待以及重发机制，例如，在bars将待分配ip以及对应的用户号码发送给sbc后，会等待sbc反馈的确认信息，bars会在预设时间段内，向sbc多次发送待分配ip以及对应的用户号码，若在预设时间段内未收到sbc的确认信息，则停止将待分配ip发送给终端，例如，1分钟内向sbc发送3次待分配ip以及对应的用户号码。在预设时间段内没有接收到sbc反馈的确认信息后，还会发起网络中断告警。

在一些实施例中，采用上述步骤s101中两种方式判断终端ip是否需要进行更新的时候，可以是采用终端上线时，发送ip获取请求的方式，bars则可以立刻通知sbc，该终端需要更新ip，也即，bars是对单个终端进行ip更新的，采用通过预设的时间阈值，来判断终端当前的ip是否过期的方式来判断终端是否需要更新，可以是bars持续收集当前ip分配时间片内已经到期的终端集合，然后为每一个终端分配ip，也即，bars是对批量终端进行ip匹配的。

在一些实施例中，bars是对批量终端进行ip匹配的时候，在为终端匹配待分配ip时，待匹配ip与终端的用户号码是一一对应的，因此，bars会统计终端的数量后，并获取ip地址池中的ip数量，当ip数量不满足终端的数量时，停止更新终端ip。

在一些实施例中，bars还可以实时获取ip地址池中的ip数量，当ip地址池中的ip数量减少到预设数量阈值时，发起ip不足告警。也可以是记录ip的消耗数量，当消耗的ip数量达到ip地址池中的预设百分比的时候，例如，当消耗的ip数量达到ip地址池中的85％，发起ip不足告警，进而通知系统管理员向ip地址池中添加ip地址段。

s103：接收所述sbc基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给所述终端。

在具体实施的时候，确认信息可以是sbc通知bars已成功将待分配ip以及对应的用户号码进行保存，能够像终端待分配分配ip的指示信息。sbc在接收到bars发送的待分配ip以及对应的用户号码会将待分配ip以及与待分配ip对应的用户号码对应保存至sbc的ip库中，以使当终端发起呼叫请求时对终端进行鉴权。sbc将待分配ip以及与待分配ip对应的用户号码保存成功后，会基于待分配ip以及与待分配ip对应的用户号码生成确认信息，已通知用户号码对应的终端的待分配ip已经保存，能够将待分配ip分配给终端。

参见图2所示，为本发明实施例提供的一种ip鉴权方法的流程图，包括下述步骤s201-s202：

s201：接收终端的呼叫请求，所述呼叫请求携带用户号码以及终端ip。

s202：根据所述用户号码，调取ip库中与该用户号码对应的ip；所述ip库中的ip为上述ip分配方法对应实施例所述的待分配ip。

s203：当所述ip与所述终端ip一致时，接受所述呼叫请求；当所述ip与所述终端ip不一致时，拒绝所述呼叫请求。

在具体实施的时候，呼叫请求是指终端请求向另外终端发起呼叫的请求，终端发起呼叫请求的时候，会将该终端的用户号码以及终端ip发送给sbc，sbc在接收到呼叫请求后，会识别呼叫请求中的用户号码以及终端ip，根据用户号码，在ip库中调取与用户号码对应的ip，在这里，ip库中的ip为ip分配方法对应的实施例中待分配ip，即bars将待分配ip发送给sbc时，sbc会将待分配ip保存至ip库中。将调取到的与用户号码对应的ip与终端ip进行比对，当调取到的与用户号码对应的ip与终端ip一致的时候，则接受终端的呼叫请求，若不一致，则拒绝终端的呼叫请求，在这种情况下，鉴权级别达到了ip完全一致的情况下，无论盗打分子是从本地市接入网络发起呼叫，还是通过模拟本地号码段中某个地址发起呼叫，均不能通过鉴权。

本发明实施例提供的ip分配方法、以及ip鉴权方法，通过bars与sbc之间实时通信，bars将待分配ip发送给sbc进行保存，本发明实施例提供的ip分配方法、装置以及ip鉴权方法、装置、系统，在ip分配的时候，通过判断出终端的ip需要更新的时候，将待分配ip以及待分配ip对应的用户号码发送给sbc，并在接收到sbc基于待分配ip生成的确认信息后，将待分配ip分配给终端。在ip鉴权的是时候，sbc接收到终端的呼叫请求后，根据呼叫请求中携带的用户号码，调取ip库中的与该用户号码对应的ip，并将调取出来的ip与终端ip进行对比，当调取出来的ip与终端ip一致的时候，接收呼叫请求，若不一致则拒绝呼叫请求。本发明实施例能够对ip进行动态更新，并将更新后的ip进行保存至sbc中，进而对终端进行精准鉴权，无法对终端ip进行暴力破解。

基于同一发明构想，本发明实施例还提供一种ip分配装置，其中ip分配装置的详细实施例与上述ip分配方法的实施例对应一致，详细内容可见ip分配方法的实施例，在此不再陈述。

参见图3所示，本发明实施例还提供了一种ip分配装置，该装置包括：判断模块301，发送模块302，分配模块303：

判断模块，用于判断终端的互联网协议地址ip是否需要更新；

发送模块，用于在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给会话边界控制器sbc；

分配模块，用于接收所述sbc反馈的基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给对应的终端。

在一些实施例中，所述判断模块301，用于使用下述方式判断终端的ip是否需要更新包括：

接收所述终端发起的ip获取请求。

在一些实施例中，所述判断模块301，用于使用下述方式判断终端的ip是否需要更新还包括：

根据预设的时间阈值，判断所述终端当前ip的分配时间是否到期。

在一些实施例中，所述发送模块302，还用于当所述终端的ip需要更新时，获取ip地址池中的ip数量；若所述ip数量不满足所述终端的数量时，停止更新所述终端的ip。

在一些实施例中，所述装置还包括检测模块304，所述检测模块304用于检测ip地址池中的ip数量，当所述ip地址池中的ip数量减少到预设数量阈值时，发起ip不足告警。

在一些实施例中，所述发送模块303还用于在预设时间段内，多次将所述待分配ip以及与所述待分配ip对应的用户号码发送给所述sbc；当在所述预设时间段内未收到所述sbc发送的确认消息时，停止将所述待分配ip发送给所述终端，并发起网络中断告警。

基于同一发明构想，本发明实施例还提供一种ip鉴权装置，其中ip鉴权装置的详细实施例与上述ip鉴权方法的实施例对应一致，详细内容可见ip鉴权方法的实施例，在此不再陈述。

参见图4所述，本发明实施例还提供一种ip鉴权装置，该装置包括：

接收模块401，用于接收终端的呼叫请求，所述呼叫请求携带用户号码以及终端ip；

调取模块402，用于根据所述用户号码，调取ip库中与该用户号码对应的ip；

ip判断模块403，用于当所述ip与所述终端ip一致时，接受所述呼叫请求；当所述ip与所述终端ip不一致时，拒绝所述呼叫请求。

参见图5所示，本发明实施例还提供一种ip鉴权系统，所述系统包括bras501以及sbc502；

所述bras501，用于判断终端的ip是否需要更新，在所述终端的ip需要更新的情况下，将待分配ip以及与所述待分配ip对应的用户号码发送给所述sbc502；接收所述sbc502反馈的基于所述待分配ip以及所述用户号码生成的确认信息，并基于所述确认信息将所述待分配ip分配给对应的终端；

所述sbc502，用于基于接收到的所述待分配ip对应的用户号码生成确认信息，并将所述确认信息发送给所述bras501。

在一些实施例中，所述sbc502还用于采用下述方式对终端ip进行鉴权：

接收所述终端的呼叫请求，所述呼叫请求携带用户号码以及终端ip；

根据所述用户号码，调取ip库中与该用户号码对应的ip；

当所述ip与所述终端ip一致时，接收所述呼叫请求；

当所述ip与所述终端ip不一致时，拒绝所述呼叫请求。

在具体实施的时候，bars501判断终端是否需要更新ip时分为两种情况，其一，终端上线时，发送ip获取请求，其二，通过预设的时间阈值，来判断终端当前的ip是否过期，针对这两种情况，下面将详细阐述ip鉴权系统的实施例。

参见图6所示，针对终端上线时，发送ip获取请求，ip鉴权系统的工作流程如下：

s601：终端上线时，发送ip获取请求。

s602：bars为终端匹配待分配ip，并将用户号码以及与该用户号码对应的待分配ip发送给sbc。

s603：sbc接收到用户号码以及待分配ip后，会将用户号码以及待分配ip对应保存，并基于用户号码以及对应的待分配ip生成确认信息。

s604：bars将待分配ip发送给终端。

s605：终端向cbs发起呼叫请求，呼叫请求中，携带用户号码以及终端ip。

s606：sbc根据呼叫请求中携带的用户号码，调取ip库中与该用户号码对应的ip；将ip与终端ip进行比对，若一致，接收所述呼叫请求。

参见图7所示，针对通过预设的时间阈值，来判断终端当前的ip是否过期，ip鉴权系统的工作流程如下：

s701：bars持续收集当前ip分配时间段内ip已经到期的终端集合，并为每个终端分配待分配ip。

s702：将每个用户号码以及与每个用户号码对应的待分配ip发送给sbc。

s703：sbc接收到用户号码以及待分配ip后，会将用户号码以及待分配ip对应保存，并基于用户号码以及对应的待分配ip生成确认信息。

s704：bars将待分配ip发送给终端。

s705：终端向cbs发起呼叫请求，呼叫请求中，携带用户号码以及终端ip。

s706：sbc根据呼叫请求中携带的用户号码，调取ip库中与该用户号码对应的ip；将ip与终端ip进行比对，若一致，接收所述呼叫请求。

另外，结合图1描述的本发明实施例的ip分配方法或结合图2描述的本发明实施例的ip鉴权方法可以由电子设备来实现。图8示出了本发明实施例提供的电子设备的硬件结构示意图。

电子设备可以包括处理器801以及存储有计算机程序指令的存储器802。

具体地，上述处理器801可以包括中央处理器(cpu)，或者特定集成电路(applicationspecificintegratedcircuit，asic)，或者可以被配置成实施本发明实施例的一个或多个集成电路。

存储器802可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器802可包括硬盘驱动器(harddiskdrive，hdd)、软盘驱动器、闪存、光盘、磁光盘、磁带或通用串行总线(universalserialbus，usb)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器802可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器802可在数据处理装置的内部或外部。在特定实施例中，存储器802是非易失性固态存储器。在特定实施例中，存储器802包括只读存储器(rom)。在合适的情况下，该rom可以是掩模编程的rom、可编程rom(prom)、可擦除prom(eprom)、电可擦除prom(eeprom)、电可改写rom(earom)或闪存或者两个或更多个以上这些的组合。

处理器801通过读取并执行存储器802中存储的计算机程序指令，以实现上述实施例中的任意一种ip分配方法或ip鉴权方法。

在一个示例中，电子设备还可包括通信接口803和总线810。其中，如图8所示，处理器801、存储器802、通信接口803通过总线810连接并完成相互间的通信。

通信接口803，主要用于实现本发明实施例中各模块、装置、单元和/或设备之间的通信。

总线810包括硬件、软件或两者，将电子设备的部件彼此耦接在一起。举例来说而非限制，总线可包括加速图形端口(agp)或其他图形总线、增强工业标准架构(eisa)总线、前端总线(fsb)、超传输(ht)互连、工业标准架构(isa)总线、无限带宽互连、低引脚数(lpc)总线、存储器总线、微信道架构(mca)总线、外围组件互连(pci)总线、pci-express(pci-x)总线、串行高级技术附件(sata)总线、视频电子标准协会局部(vlb)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线810可包括一个或多个总线。尽管本发明实施例描述和示出了特定的总线，但本发明考虑任何合适的总线或互连。

另外，结合上述实施例中的种ip分配方法或ip鉴权方法，本发明实施例可提供一种计算机可读存储介质来实现。该计算机可读存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现上述实施例中的任意一种种ip分配方法或ip鉴权方法。

需要明确的是，本发明并不局限于上文所描述并在图中示出的特定配置和处理。为了简明起见，这里省略了对已知方法的详细描述。在上述实施例中，描述和示出了若干具体的步骤作为示例。但是，本发明的方法过程并不限于所描述和示出的具体步骤，本领域的技术人员可以在领会本发明的精神后，作出各种改变、修改和添加，或者改变步骤之间的顺序。

以上所述的结构框图中所示的功能块可以实现为硬件、软件、固件或者它们的组合。当以硬件方式实现时，其可以例如是电子电路、专用集成电路(asic)、适当的固件、插件、功能卡等等。当以软件方式实现时，本发明的元素是被用于执行所需任务的程序或者代码段。程序或者代码段可以存储在机器可读介质中，或者通过载波中携带的数据信号在传输介质或者通信链路上传送。“机器可读介质”可以包括能够存储或传输信息的任何介质。机器可读介质的例子包括电子电路、半导体存储器设备、rom、闪存、可擦除rom(erom)、软盘、cd-rom、光盘、硬盘、光纤介质、射频(rf)链路，等等。代码段可以经由诸如因特网、内联网等的计算机网络被下载。

还需要说明的是，本发明中提及的示例性实施例，基于一系列的步骤或者装置描述一些方法或系统。但是，本发明不局限于上述步骤的顺序，也就是说，可以按照实施例中提及的顺序执行步骤，也可以不同于实施例中的顺序，或者若干步骤同时执行。

以上所述，仅为本发明的具体实施方式，所属领域的技术人员可以清楚地了解到，为了描述的方便和简洁，上述描述的系统、模块和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。应理解，本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。