用户设备选择拜访公共陆地移动网络的方法、系统和设备的利记博彩app
【专利摘要】本发明公开了一种用户设备(UE)选择拜访公共陆地移动网络(VPLMN)的方法，认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN?ID发送给UE，UE根据所述VPLMN?ID选择VPLMN的核心网网元，并与所述核心网网元执行互联网密钥交换协议(IKEv2)隧道建立流程；本发明同时还公开了一种用户设备选择拜访公共陆地移动网络的系统和设备，通过本发明的方案，能够保证UE选择的VPLMN的核心网网元与第三代合作伙伴计划验证、授权和记账代理位于同一个VPLMN。
【专利说明】用户设备选择拜访公共陆地移动网络的方法、系统和设备
【技术领域】
[0001]本发明涉及拜访网络的选择技术，尤其涉及演进的分组系统(EPS，EV0lVedPaCketSystem)中的用户设备选择拜访公共陆地移动网络的方法、系统和设备。
【背景技术】
[0002]图1为EPS的系统架构示意图，如图1所示，在第三代合作伙伴计划(3GPP，3rdGeneration Partnership Project)的EPS中，非漫游场景的EPS网络架构，由演进的通用移动通信系统陆地无线接入网(E-UTRAN, Evolved Universal Terrestrial Radio AccessNetwork)、移动管理单兀(MME, Mobility ManagementEntity)、服务网关(S-GW, ServingGateway)、分组数据网络网关(P-GW 或者 FON GW, Packet Data Network Gateway)、归属用户服务器(HSS, HomeSubscriber Server)、策略和计费规则功能实体(PCRF, Policy andCharging RulesFunction)及运营商的IP业务网等其他支撑节点组成。PCRF是策略和计费控制(PCC, Policy and Charging Control)的核心,负责策略决策和计费规则的制定。PCRF提供了基于业务数据流的网络控制规则，这些网络控制包括业务数据流的检测、门控(Gating Control)、服务质量(QoS, Quality of Service)控制以及基于数据流的计费规则等。PCRF将其制定的策略和计费规则发送给策略和计费执行功能实体(PCEF，Policyand Charging Enforcement Function)执行，同时，PCRF还需要保证这些规则和用户的签约信息一致。PCRF制定策略和计费规则的依据包括:从应用功能实体(AF，ApplicationFunction)获取与业务相关的信息；从用户签约数据库(SPR, Subscription ProfileRepository)获取与用户策略计费控制签约信息；从PCEF获取与承载相关网络的信息。
[0003]EPS支持与非3GPP系统的互通。与非3GPP系统的互通通过S2a/S2b/S2c接口实现，P-GW作为3GPP与非3GPP系统间的锚点。如图1所示，在EPS的系统中，非3GPP系统被分为可信任非3GPP IP接入网和不可信任非3GPP IP接入网。可信任非3GPP IP接入网和不可信任非3GPP IP接入网通过EPS的验证、授权和记账(AAA, Authentication、Authorization>Accounting)服务器(Server)进行认证；可信任非3GPP IP接入网可直接通过S2a接口与P-GW连接；不可信任非3GPP IP接入网需经过演进的分组数据网关(eTOG，EvolvedPacket Data Gateway)与 P-GW 相连,通过 ePDG 才能接入 P-GW ；ePDG 与 P-GW 间的接口为S2b,并且用户设备(UE, User Equipment)和ePDG之间采用Internet协议安全性(IPSec,IP and Security)对信令和数据进行加密保护。S2c提供了 UE与P_GW之间的用户面相关的控制和移动性支持，其支持的移动性管理协议为支持双栈的移动IPv6 (DSMIPv6,Moblie IPv6 support for dualstack Hosts and Router)。
[0004]目前很多运营商都很关注固网移动融合(FMC,Fixed Mobile Convergence)技术，并针对3GPP和宽带论坛(BBF，Broadband Forum)互联互通技术进行了研究。
[0005]图2为UE通过BBF接入网(也称固定宽带接入网)接入3GPP核心网的策略互通场景下的家乡路由漫游架构示意图，图中BBF接入网被认为是不可信任的非3GPP接入网。UE通过BBF接入网接入移动核心网。目前，基于图2的架构，有两种业务的方式:一种是UE访问业务是需要路由回EPC的，路由方式为演进分组核心网路由(EPC-routed)，另一种是UE访问的业务不回EPC，直接从BBF接入网路由到业务网络，称为非无缝无线局域网卸载(NSffO, Non-Seamless WLAN Offload)。对于图2所示的架构，BBF接入网需要通过拜访公共陆地移动网络(VPLMN, Visited Public Land Mobile Network)与归属公共陆地移动网络(HPLMN)实现互通，包括认证、数据路由和策略控制等。
[0006]图3为UE通过BBF接入网接入3GPP核心网的策略融合场景下的家乡路由漫游架构示意图，与图2主要区别在于，BBF接入网和VPLMN属于同一个运营商，V-PCRF通过Gxd接口支持与IP Edge交互，H-PCRF需要通过V-PCRF与BBF接入网交互。
[0007]图4为UE通过DSMIPv6协议接入3GPP时的附着流程图，具体包括以下步骤:
[0008]步骤101，UE接入BBF接入网，执行基于3GPP (3GPP_based)的认证，在认证过程中，第三代合作伙伴计划验证、授权和记账代理(3GPPAAAProxy)向宽带论坛的验证、授权和记账服务器(BBF AAA)返回自身所在VPLMN的VPLMN ID ；
[0009]所述执行基于3GPP的认证为:BBF AAA通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成扩展认证协议(EAP, Extensible AuthenticationProtocol)认证,进一步的，3GPPAAA服务器还与HSS进行交互。
[0010]步骤102，BBF接入网中的IP Edge为UE分配本地IP地址；
[0011]步骤103:UE选择位于VPLMN的ePDG，并与ePDG执行互联网密钥交换协议(IKEv2，Internet Key Exchange)隧道建立流程；
[0012]在IKEv2隧道建立过程中，所述ePDG通过3GPP AAA Proxy与3GPP AAA服务器进行交互，完成EAP认证；
[0013]所述UE选择位于VPLMN的ePDG为:UE可以采用静态配置或动态选择ePDG，在动态选择ePDG时，UE使用自身已知的VPLMN ID作为运营商标识构造全质量域名(FQDN，FullQuality Domain Name),执行域名系统(DNS, Domain Name System)查找,获得 VPLMN 中的ePDG的IP地址；
[0014]本步骤，在EAP认证过程中，所述3GPPAAA服务器还与HSS交互。
[0015]步骤104，ePDG向UE发送最后一条IKEv2消息，其中携带为UE分配的IP地址，所述为UE分配的IP地址标识为IP Address3，作为UE的转交地址(CoA)；
[0016]步骤105，UE和ePDG之间建立Internet协议安全性(IPSec)隧道；
[0017]步骤106，受步骤103触发，ePDG发起网关控制会话建立流程；
[0018]具体的，ePDG通过V-PCRF向H-PCRF发送网关控制会话建立消息，携带UE的IP地址、用户标识、PDN标识等信息；H-PCRF返回确认消息。
[0019]步骤107，UE执行Bootstraping过程，其中，UE获取所要接入I3DN的P-GW的IP地址，通过所述P-GW与3GPP AAA服务器进行通信完成EAP认证，并且所述P-GW为UE分配一个IPv6地址或前缀作为UE的家乡地址(HoA)；
[0020]本步骤，在EAP认证过程中，所述3GPPAAA服务器还与HSS交互；
[0021]所述UE获取所要接入I3DN的P-GW的IP地址为:所述UE根据接入点名称(APN，Access Point Name)进行域名系统(DNS, Domain Name System)查找，获得所要接入PDN的P-Gff的IP地址。
[0022]所述UE和所述P-GW之间交互DSMIPv6消息；[0023]为了保护UE和P-GW之间的DSMIPv6消息，UE使用IKEv2建立安全联盟，并采用ΕΑΡ进行认证。
[0024]步骤108，UE向P-GW发送DSMIPv6绑定更新消息，P_GW建立绑定上下文；
[0025]所述绑定更新消息中携带CoA和HoA ;所述绑定消息中，生命期参数不为零。
[0026]步骤109，P-GW中的PCEF向H-PCRF发送IP连接访问网络(IP-CAN，IP-Connectivity Access Network)会话建立指不消息；H_PCRF根据IP-CAN会话建立指不消息中的用户标识、UE的IP地址、NSW0-APN进行QoS授权，向P-GW中的PCEF返回确认消息；
[0027]步骤110，P-GW向UE返回绑定确认消息；
[0028]步骤111，Η-PCRF通过VPLMN的V-PCRF向BPCF发送PCRF发起的网关控制会话建立触发消息，BPCF通过V-PCRF返回确认消息，并向Η-PCRF发起建立网关控制会话流程；
[0029]步骤112，BPCF向IP Edge提供策略。
[0030]在上述接入认证过程中，UE在动态选择ePDG时，UE使用自身已知的VPLMN ID作为运营商标识构造FQDN执行DNS查找，获得VPLMN中的ePDG的IP地址；然而，并不能保证UE自身已知的VPLMN ID与3GPP AAA Proxy所在VPLMN的VPLMN ID—致，即不能保证UE选择的ePDG与3GPP AAAProxy位于同一个VPLMN,进而不能保证EPC-routed选择的V-PCRF与NSW0选择的V-PCRF是同一个。
【发明内容】
[0031]有鉴于此，本发明的主要目的在于提供一种用户设备选择拜访公共陆地移动网络的方法、系统和设备，保证UE通过DSMIPv6协议接入3GPP时，UE选择的ePDG与3GPP AAAProxy位于同一个VPLMN。
[0032]为达到上述目的，本发明的技术方案是这样实现的:
[0033]本发明提供的一种UE选择VPLMN的方法，该方法包括:
[0034]认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE’UE根据所述VPLMN ID选择VPLMN的核心网网元，并与所述核心网网元执行IKEv2隧道建立流程。
[0035]上述方案中，所述认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE为:
[0036]所述认证服务器为宽带论坛的验证、授权和记账服务器(BBF AAA)，在UE执行接入认证时，所述BBF AAA接收第三代合作伙伴计划验证、授权和记账代理(3GPP AAA Proxy)发送的VPLMN ID或根据通信对端地址获取3GPPAAA Proxy所在VPLMN的VPLMN ID，将所述VPLMN ID 发送给 UE。
[0037]上述方案中，所述认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE为:
[0038]所述认证服务器为HSS和/或3GPP AAA服务器，在UE执行接入认证时，所述HSS和/或3GPP AAA服务器保存3GPP AAA Proxy发送的VPLMN ID，在IKEv2隧道建立的过程中，所述HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID。[0039]上述方案中，所述VPLMN的核心网网元为ePDG或P_GW。
[0040]上述方案中，所述UE根据所述VPLMN ID选择VPLMN的核心网网元为:UE使用认证服务器发送的VPLMN ID作为运营商标识构造全质量域名(FQDN)，执行域名系统(DNS)查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
[0041 ] 上述方案中，该方法还包括:在UE执行接入认证时，HSS和/或3GPPAAA服务器保存3GPPAAAProxy发送的VPLMN ID,在IKEv2隧道建立的过程中，HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID—致，在不一致时，所述HSS和/或3GPPAAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID。
[0042]本发明提供的一种UE选择VPLMN的系统，该系统包括:认证服务器、UE、VPLMN的核心网网元；其中，
[0043]所述认证服务器，用于将UE执行接入认证时所选择的VPLMN的VPLMNID发送给UE ；
[0044]所述UE，用于根据所述认证服务器发送的VPLMN的VPLMN ID,选择VPLMN的核心网网元，与所述核心网网元执行IKEv2隧道建立的流程；
[0045]所述VPLMN的核心网网元，用于完成IKEv2隧道建立的流程。
[0046]上述方案中，所述认证服务器为BBF AAA，用于在UE执行接入认证时，接收3GPPAAA Proxy发送的VPLMN ID或根据通信对端地址获取3GPP AAAProxy所在VPLMN的VPLMNID,将所述VPLMN ID发送给UE ；
[0047]该系统还包括:3GPP AAA Proxy,用于在UE执行接入认证时，发送VPLMNID给BBFAAA。
[0048]上述方案中，该系统还包括:HSS和/或3GPPAAA服务器，用于在UE执行接入认证时，保存VPLMN ID,在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID。
[0049]上述方案中，所述认证服务器为HSS和/或3GPPAAA服务器，用于在UE执行接入认证时，保存3GPP AAA Proxy发送的VPLMN ID，在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID ；
[0050]该系统还包括:3GPP AAA Proxy,用于在UE执行接入认证时，向HSS和/或3GPPAAA服务器发送VPLMN ID。
[0051]上述方案中，所述VPLMN的核心网网元为ePDG或P-GW。
[0052]上述方案中，所述UE包括:网元选择模块、隧道建立模块；其中，
[0053]所述网元选择模块，用于根据所述认证服务器发送的VPLMN的VPLMNID，选择VPLMN 的 ePDG 或 P-GW ；
[0054]所述隧道建立模块，用于与网元选择模块选择的ePDG或P-GW执行IKEv2隧道建立的流程。
[0055]上述方案中，所述网元选择模块，具体用于使用认证服务器发送的VPLMNID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
[0056]上述方案中，所述认证服务器，具体包括:ID获取模块、验证模块、应答模块；其中，
[0057]所述ID获取模块，用于在UE执行接入认证时，保存3GPPAAAProxy发送的VPLMNID ；
[0058]所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMNID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，通知应答模块向UE返回拒绝消息；
[0059]应答模块，用于向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和ID获取模块保存的VPLMN ID。
[0060]本发明提供的一种UE，所述UE包括:网元选择模块、隧道建立模块；其中，
[0061]所述网元选择模块，用于根据所述认证服务器发送的VPLMN的VPLMNID，选择VPLMN 的 ePDG 或 P-GW ；
[0062]所述隧道建立模块，用于与网元选择模块选择的ePDG或P-GW执行IKEv2隧道建立的流程。
[0063]本发明提供的一种认证服务器，所述认证服务器包括:ID获取模块、验证模块、应答模块；其中，
[0064]所述ID获取模块，用于在UE执行接入认证时，保存3GPPAAAProxy发送的VPLMNID ；
[0065]所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMNID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，通知应答模块向UE返回拒绝消息；
[0066]应答模块,用于向UE返回拒绝消息。
[0067]本发明提供了一种用户设备选择拜访公共陆地移动网络的方法、系统和设备，认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE，UE根据所述VPLMNID选择VPLMN的核心网网元，并与所述核心网网元完成IKEv2隧道建立流程；如此，能够保证UE通过DSMIPv6协议接入3GPP时，UE选择的ePDG与3GPP AAA Proxy位于同一个VPLMN。
【专利附图】
【附图说明】
[0068]图1为现有技术中EPS的系统架构示意图；
[0069]图2为现有技术中UE通过BBF接入网接入3GPP核心网的策略互通场景下的家乡路由漫游架构示意图；
[0070]图3为现有技术中UE通过BBF接入网接入3GPP核心网的策略融合场景下的家乡路由漫游架构示意图；
[0071]图4为现有技术中UE通过DSMIPv6协议接入3GPP时的附着流程图；
[0072]图5为本发明实现UE选择VPLMN的方法的流程示意图；
[0073]图6为本发明实现UE选择VPLMN的系统的结构示意图；
[0074]图7为本发明实施例一实现UE选择VPLMN的方法的流程示意图；[0075]图8为本发明实施例二实现UE选择VPLMN的方法的流程示意图；
[0076]图9为本发明实施例三中UE通过BBF接入网接入3GPP核心网的策略互通场景下的家乡路由漫游架构不意图；
[0077]图10为本发明实施例三中UE通过BBF接入网接入3GPP核心网的策略融合场景下的家乡路由漫游架构示意图；
[0078]图11为本发明实施例三实现UE选择VPLMN的方法的流程示意图。
【具体实施方式】
[0079]本发明的基本思想是:认证服务器将UE执行接入认证时所选择的VPLMN的VPLMNID发送给UE’ UE根据所述VPLMN ID选择VPLMN的核心网网元，并与所述核心网网元执行IKEv2隧道建立流程。
[0080]下面通过附图及具体实施例对本发明做进一步的详细说明。
[0081]本发明实现一种UE选择VPLMN的方法，如图5所示，该方法包括以下几个步骤:
[0082]步骤201:认证服务器将UE执行接入认证时所选择的VPLMN的VPLMNID发送给UE ；
[0083]具体的，所述认证服务器为BBF AAA，在UE执行接入认证时，所述BBFAAA接收3GPPAAA Proxy发送的VPLMN ID或根据通信对端地址获取3GPPAAA Proxy所在VPLMN的VPLMNID,将所述VPLMN ID发送给UE ；
[0084]或者，所述认证服务器为HSS和/或3GPP AAA服务器，在UE执行接入认证时，所述HSS和/或3GPP AAA服务器保存3GPP AAA Proxy发送的VPLMNID，在IKEv2隧道建立的EAP认证过程中，所述HSS和/或3GPPAAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID。
[0085]步骤202:UE根据所述VPLMN ID选择VPLMN的核心网网元，并与所述核心网网元完成IKEv2隧道建立流程；
[0086]所述VPLMN的核心网网元一般是ePDG或P-GW ；
[0087]所述UE根据所述VPLMN ID选择VPLMN的核心网网元，具体为:UE使用认证服务器发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN 中 ePDG 或 P-GW 的 IP 地址；
[0088]本步骤还包括:在所述认证服务器为BBF AAA时，所述HSS和/或3GPPAAA服务器保存3GPP AAA Proxy发送的VPLMN ID,在IKEv2隧道建立的过程中，所述HSS和/或3GPPAAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMNID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID，在一致时，继续建立IKEv2隧道，直到IKEv2隧道建立完成。
[0089]在所述VPLMN的核心网网元为ePDG时，上述方法还包括:在UE与ePDG完成IKEv2隧道建立之后，UE和ePDG之间建立IPSec隧道；
[0090]进一步的，上述方法还包括:所述ePDG发起网关控制会话建立流程；UE执行Bootstraping过程,之后向P-GW发送DSMIPv6绑定更新消息，P-Gff建立绑定上下文；P_GW中的PCEF向Η-PCRF发送IP-CAN会话建立指示消息；H_PCRF根据IP-CAN会话建立指示消息中的用户标识、UE的IP地址、NSWO-APN进行QoS授权，向P-GW中的PCEF返回确认消息；P-GW向UE返回绑定确认消息；H-PCRF通过VPLMN的V-PCRF向BPCF发送PCRF发起的网关控制会话触发消息，BPCF通过V-PCRF返回确认消息，并向Η-PCRF发起建立网关控制会话流程；BPCF向IP Edge提供QoS策略。
[0091]为了实现上述方法，本发明还提供一种UE选择VPLMN的系统，如图6所示，该系统包括:认证服务器61、UE 62、VPLMN的核心网网元63 ;其中，
[0092]所述认证服务器61，用于将UE 62执行接入认证时所选择的VPLMN的VPLMN ID发送给UE 62 ；
[0093]所述UE 62，用于根据所述认证服务器61发送的VPLMN的VPLMN ID，选择VPLMN的核心网网元63，与所述核心网网元63执行IKEv2隧道建立的流程；
[0094]所述VPLMN的核心网网元63，用于完成IKEv2隧道建立的流程。
[0095]所述认证服务器61为BBF AAA，用于在UE 62执行接入认证时，接收3GPPAAAProxy 64发送的VPLMN ID或根据通信对端地址获取3GPP AAA Proxy 64所在VPLMN的VPLMN ID，将所述 VPLMN ID 发送给 UE 62;
[0096]该系统还包括:3GPP AAA Proxy 64，用于在UE 62执行接入认证时，发送VPLMN ID给 BBFAAA ；
[0097]该系统还包括:HSS和/或3GPP AAA服务器，用于在UE 62执行接入认证时，保存3GPPAAAProxy 64发送的VPLMN ID，在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE 62选择的核心网网元63所在VPLMN的VPLMN ID 一致，在不一致时，向UE 62返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID ；
[0098]或者，所述认证服务器61为HSS和/或3GPPAAA服务器，用于在UE 62执行接入认证时，保存3GPPAAA Proxy 64发送的VPLMN ID，在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE 62选择的核心网网元63所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE 62返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID ；
[0099]该系统还包括:3GPP AAA Proxy 64，用于在UE 62执行接入认证时，向HSS和/或3GPP AAA服务器发送VPLMN ID。
[0100]所述VPLMN的核心网网元63 —般是ePDG或P-GW ；
[0101]所述UE 62具体包括:网元选择模块621、隧道建立模块622 ;其中，
[0102]所述网元选择模块621，用于根据所述认证服务器61发送的VPLMN的VPLMN ID,选择 VPLMN 的 ePDG 或 P-GW ；
[0103]所述隧道建立模块622，用于与网元选择模块621选择的ePDG或P_GW执行IKEv2隧道建立的流程；
[0104]所述网元选择模块621，具体用于使用认证服务器61发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
[0105]所述认证服务器61为HSS和/或3GPPAAA服务器时，具体包括:ID获取模块、验证模块、应答模块；其中，[0106]所述ID获取模块，用于在UE 62执行接入认证时，保存3GPPAAAProxy发送的VPLMN ID ；
[0107]所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMNID是否与UE 62选择的核心网网元63所在VPLMN的VPLMN ID—致，在不一致时，通知应答模块向UE 62返回拒绝消息；
[0108]应答模块，用于向UE 62返回拒绝消息，所述拒绝消息携带拒绝原因值和ID获取模块保存的VPLMN ID。
[0109]基于上述系统，本发明还提供一种UE，如图6所示，所述UE 62包括:网元选择模块621、隧道建立模块622 ;其中，
[0110]所述网元选择模块621，用于根据所述认证服务器61发送的VPLMN的VPLMN ID,选择 VPLMN 的 ePDG 或 P-GW ；
[0111]所述隧道建立模块622，用于与网元选择模块621选择的ePDG或P-GW执行IKEv2隧道建立的流程；
[0112]所述网元选择模块621，具体用于使用认证服务器61发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
[0113]基于上述系统，本发明还提供一种认证服务器，所述认证服务器为HSS和/或3GPPAAA服务器，包括:ID获取模块、验证模块、应答模块；其中，
[0114]所述ID获取模块，用于在UE执行接入认证时，保存3GPPAAAProxy发送的VPLMNID ；
[0115]所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMNID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，通知应答模块向UE返回拒绝消息；
[0116]应答模块，用于向UE返回拒绝消息，所述拒绝消息中携带拒绝原因值和/或ID获取模块保存的VPLMN ID。
[0117]下面结合具体实施例详细说明本发明的方法的实现过程和原理。
[0118]实施例一
[0119]本实施例基于图2或图3的架构图，本实施例实现UE选择VPLMN的方法，如图7所示，包括以下步骤:
[0120]步骤301，UE接入BBF接入网，执行基于3GPP的认证，在认证过程中，3GPP AAAProxy向BBF AAA返回自身所在VPLMN的VPLMN ID或BBF AAA根据通信对端地址获取3GPPAAA Proxy 所在 VPLMN 的 VPLMN ID,所述 BBFAAA 将所述 VPLMN ID 发送给 UE ；
[0121]所述执行基于3GPP的认证为:BBF AAA通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成EAP认证，进一步的，3GPPAAA服务器还与HSS进行交互。
[0122]BBF AAA 进一步将 VPLMN ID 通知给 IP Edge ；
[0123]进一步的，所述3GPPAAAProxy将VPLMN ID上报给3GPPAAA服务器或者3GPP AAA服务器根据通信对端地址获取3GPP AAA Proxy所在VPLMN的VPLMN ID，3GPP AAA服务器保存所述VPLMN ID，和/或3GPP AAA服务器将所述VPLMN ID发送至HSS，HSS保存所述VPLMN ID。[0124]步骤302，BBF接入网中的IP Edge为UE分配本地IP地址；
[0125]步骤303:UE根据BBF AAA发送的VPLMN ID选择VPLMN的eTOG，并与所述ePDG执行IKEv2隧道建立的流程；
[0126]在IKEv2隧道建立的过程中，所述ePDG通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成EAP认证；
[0127]所述UE根据BBF AAA发送的VPLMN ID选择VPLMN的ePDG为:UE使用BBF AAA发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得VPLMN中的ePDG的IP地址；
[0128]本步骤，在EAP认证过程中，所述3GPPAAA服务器还与HSS交互；
[0129]本步骤还包括:在IKEv2隧道建立的过程中，所述HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的ePDG所在VPLMN的VPLMN ID—致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息中携带拒绝原因值，在一致时，继续建立IKEv2隧道，直到IKEv2隧道建立完成；
[0130]具体的，UE向 ePDG 发送 IKE 认证请求(IKE_AUTH Request)，ePDG 向 3GPP AAAProxy 发送认证授权请求消息(AAR, Authentication and AuthorizationRequest), 3GPPAAA proxy向3GPP AAA服务器发送AAR消息，AAR消息中携带3GPP AAA Proxy所在VPLMN的VPLMN ID，3GPP AAA服务器在收到3GPP AAA Proxy发送的AAR消息后，将AAR消息中携带的VPLMN ID和3GPPAAA服务器在UE接入认证时保存的VPLMN ID或进一步向HSS请求获得在用户接入认证时保存的VPLMN ID进行比较，在不一致时，在向3GPP AAAproxy返回的认证授权应答(AAA, Authentication and Authorization Answer)消息中返回拒绝消息，所述拒绝消息可以携带拒绝原因值，即VPLMN选择不一致，并且所述拒绝消息还可以携带UE接入认证时选择的VPLMN ID, 3GPPAAA Proxy向ePDG转发所述AAA消息，ePDG向UE发送IKE认证应答(IKE_AUTH Answer)消息，IKE认证应答消息中携带拒绝指示以及拒绝原因值，还可以在IKE认证应答消息中携带UE接入认证时选择的VPLMN ID，其中原因值和VPLMN ID可以同时下发，也可以任选一个下发。
[0131]步骤304-步骤312与步骤104-步骤112 —致。
[0132]另外的实施例中，BBF AAA在步骤301中不向UE发送VPLMN ID，而是只在步骤303中，HSS和/或3GPP AAA服务器返回的拒绝消息中还携带自身保存的VPLMN ID，触发UE重新进行ePDG选择，再执行步骤303-步骤312。
[0133]实施例二
[0134]本实施例基于图2或3的架构图，本实施例实现UE选择VPLMN的方法，如图8所示，包括以下步骤:
[0135]步骤401，UE接入BBF接入网，执行基于3GPP的认证，在认证过程中，3GPPAAAProxy向BBFAAA返回自身所在VPLMN的VPLMN ID或BBF AAA根据通信对端地址获取 3GPP AAA Proxy 所在 VPLMN 的 VPLMN ID,所述 BBFAAA 将所述 VPLMN ID 发送给 UE ；
[0136]所述执行基于3GPP的认证为:BBF AAA通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成EAP认证，进一步的，3GPPAAA服务器还与HSS进行交互。
[0137]BBF AAA 进一步将 VPLMN ID 通知给 IP Edge ；
[0138]进一步的，所述3GPPAAAProxy将VPLMN ID上报给3GPPAAA服务器或者3GPP AAA服务器根据通信对端地址获取3GPP AAA Proxy所在VPLMN的VPLMN ID，3GPPAAA服务器保存所述VPLMN ID，和/或3GPPAAA服务器将所述VPLMN ID发送至HSS，HSS保存所述VPLMNID。
[0139]步骤402，BBF接入网中的IP Edge为UE分配本地IP地址；
[0140]步骤403，UE根据BBF AAA发送的VPLMN ID选择VPLMN的eTOG，并与所述ePDG执行IKEv2隧道建立的流程；
[0141]在IKEv2隧道建立的过程中，所述ePDG通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成ΕΑΡ认证；
[0142]所述UE根据BBF ΑΑΑ发送的VPLMN ID选择VPLMN的ePDG为:UE使用BBF AAA发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得VPLMN中的ePDG的IP地址；
[0143]本步骤，在ΕΑΡ认证过程中，所述3GPPAAA服务器还与HSS交互；
[0144]本步骤还包括:在ΙΚΕν2隧道建立的过程中，所述HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的ePDG所在VPLMN的VPLMN ID—致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，在一致时，继续建立IKEv2隧道，直到IKEv2隧道建立完成；
[0145]具体的，UE向ePDG发送IKE认证请求，ePDG向3GPPAAAProxy发送AAR消息，3GPPAAA proxy向3GPP AAA服务器发送AAR消息，AAR消息中携带3GPP AAA Proxy所在VPLMN的VPLMN ID，3GPP AAA服务器在收到3GPP AAA Proxy发送的AAR消息后，将AAR消息中携带的VPLMN ID和3GPP AM服务器在UE接入认证时保存的VPLMN ID或进一步向HSS请求获得在用户接入认证时保存的VPLMN ID进行比较，在不一致时，在向3GPP AAAproxy返回的AAA消息中返回拒绝消息，所述拒绝消息可以携带拒绝原因值，即VPLMN选择不一致，并且所述拒绝消息还可以携带UE接入认证时选择的VPLMN ID，3GPP AAA Proxy向ePDG转发所述AAA消息，ePDG向UE发送IKE认证应答消息，IKE认证应答消息中携带拒绝指示以及拒绝原因值，还可以在IKE认证应答消息中携带UE接入认证时选择的VPLMN ID，其中原因值和VPLMN ID可以同时下发，也可以任选一个下发。
[0146]步骤404，受步骤403触发，ePDG发起网关控制会话建立流程；
[0147]具体的，ePDG通过V-PCRF向Η-PCRF发送网关控制会话建立消息，携带UE的IP地址、用户标识、PDN标识等信息；H-PCRF返回确认消息。
[0148]步骤405，ePDG选择P_GW后向所选择的P_GW发送DSMIPv6绑定更新消息，P-GW建立绑定上下文；
[0149]所述绑定更新消息中携带CoA和HoA ;所述绑定消息中，生命期参数不为零。
[0150]步骤406，P-GW向3GPP AAA服务器发送更新P_GW IP地址消息，将P-GW的IP地址发送给3GPPAAA服务器；
[0151 ] 所述3GPP AAA服务器进一步与HSS交互，将P_GW的地址保存到HSS中。
[0152]步骤407，P-GW中的PCEF向Η-PCRF发送IP-CAN会话建立指示消息；H_PCRF根据IP-CAN会话建立指示消息中的用户标识、UE的IP地址、NSW0-APN进行QoS授权，向P-GW中的PCEF返回确认消息；
[0153]步骤408，P-GW向ePDG返回绑定确认消息，携带为UE分配的IP地址；[0154]步骤409，绑定更新成功，UE和ePDG之间建立IPSec隧道；
[0155]步骤410，ePDG向UE发送最后一条IKEv2消息，携带UE的IP地址；
[0156]步骤411，受到步骤404的触发，V-PCRF发起网关控制会话建立流程；
[0157]具体的，图2所示的架构中H-PCRF通过VPLMN的V-PCRF向BPCF发送PCRF发起的网关控制会话建立触发消息，提供UE的本地IP地址；BPCF收到所述触发消息，向V-PCRF发送网关控制会话建立消息，V-PCRF返回确认消息，并向H-PCRF发起建立网关控制会话流程;
[0158]图3所示的架构中，H-PCRF通过VPLMN的V-PCRF向IP Edge发送PCRF发起的网关控制会话建立触发消息，提供UE的本地IP地址；IP Edge收到所述触发消息，向V-PCRF发送网关控制会话建立消息，V-PCRF返回确认消息，并向H-PCRF发起建立网关控制会话流程。
[0159]步骤412，BPCF或IP Edge向H-PCRF返回确认消息。
[0160]另外的实施例中，BBF AAA在步骤401中不向UE发送VPLMN ID，而是只在步骤403中，HSS和/或3GPP AAA服务器返回的拒绝消息中还携带自身保存的VPLMN ID，触发UE重新进行ePDG选择，再执行步骤403-步骤412。
[0161]实施例三
[0162]本实施例基于图9或10的架构图，本实施例实现UE选择VPLMN的方法，如图11所示，包括以下步骤:
[0163]步骤501，UE接入BBF接入网，执行基于3GPP的认证，在认证过程中，3GPP AAAProxy向BBF AAA返回自身所在VPLMN的VPLMN ID或BBF AAA根据通信对端地址获取3GPPAAA Proxy 所在 VPLMN 的 VPLMN ID,所述 BBFAAA 将所述 VPLMN ID 发送给 UE ；
[0164]所述执行基于3GPP的认证为:BBF AAA通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成EAP认证，进一步的，3GPP AAA服务器还与HSS进行交互。
[0165]BBF AAA 进一步将 VPLMN ID 通知给 IP Edge ；
[0166]进一步的，所述3GPP AAA Proxy将VPLMN ID上报给3GPP AAA服务器或者3GPPAAA服务器根据通信对端地址获取3GPP AAA Proxy所在VPLMN的VPLMN ID，3GPP AAA服务器保存所述VPLMN ID，和/或3GPP AAA服务器将所述VPLMN ID发送至HSS，HSS保存所述VPLMN ID。
[0167]步骤502，BBF接入网中的IP Edge为UE分配本地IP地址；
[0168]步骤503，UE执行Bootstraping流程，其中，UE根据BBF AAA发送的VPLMN ID选择VPLMN的P-GW，并与所述P-GW执行IKEv2隧道建立的流程；
[0169]在IKEv2隧道建立的过程中，所述P-GW通过3GPP AAA Proxy与3GPPAAA服务器进行交互，完成EAP认证；
[0170]所述UE根据BBF AAA发送的VPLMN ID选择VPLMN的P-GW为:UE使用BBF AAA发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得VPLMN中的P-GW的IP地址；
[0171 ] 本步骤，在EAP认证过程中，所述3GPPAAA服务器还与HSS交互；
[0172] 本步骤还包括:在IKEv2隧道建立的过程中，所述HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的P-GW所在VPLMN的VPLMN ID—致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，在一致时，继续建立IKEv2隧道，直到IKEv2隧道建立完成；
[0173]具体的，UE向P-GW发送IKE认证请求，P-GW向3GPPAAAProxy发送AAR消息，3GPPAAA proxy向3GPP AAA服务器发送AAR消息，AAR消息中携带3GPP AAA Proxy所在网络的VPLMN ID，3GPP AAA服务器在收到3GPP AAA Proxy发送的后，将消息中携带的VPLMN ID和3GPP AAA服务器在UE接入认证时保存的VPLMN ID或进一步向HSS请求获得在UE接入认证时保存的VPLMN ID进行比较，在不一致时，在向3GPPAAAproxy返回的AAA消息中返回拒绝消息，所述拒绝消息可以携带拒绝原因值，即VPLMN选择不一致，并且所述拒绝消息还可以携带UE接入认证时选择的VPLMN ID, 3GPPAAA Proxy向P-GW转发所述AAA消息，P-GW向UE发送IKE认证应答(IKE_AUTH Answer)，消息中携带拒绝指示以及拒绝原因值，还可以在IKE认证应答消息中携带UE接入认证时选择的VPLMN ID，其中原因值和VPLMNID可以同时下发，也可以任选一个下发。
[0174]步骤504，UE向P_GW发送DSMIPv6绑定更新消息，P_GW建立绑定上下文；
[0175]所述绑定更新消息中携带CoA和HoA ;所述绑定消息中，生命期参数不为零。
[0176]步骤505，P-GW中的PCEF向Η-PCRF发送IP-CAN会话建立指示消息；H_PCRF根据IP-CAN会话建立指示消息中的用户标识、UE的IP地址、NSW0-APN进行QoS授权，向P-GW中的PCEF返回确认消息；
[0177]步骤506，P-GW向UE返回绑定确认消息；
[0178]步骤507，受到步骤504的触发，V-PCRF发起网关控制会话建立流程；
[0179]具体的，图9所示的架构中，Η-PCRF通过VPLMN的V-PCRF向BPCF发送PCRF发起的网关控制会话建立触发消息，提供UE的本地IP地址；BPCF收到所述触发消息，向V-PCRF发送网关控制会话建立消息，V-PCRF返回确认消息，并向Η-PCRF发起建立网关控制会话流程;
[0180]图10所示的架构中，Η-PCRF通过VPLMN的V-PCRF向IP Edge发送PCRF发起的网关控制会话建立触发消息，提供UE的本地IP地址；IP Edge收到所述触发消息，向V-PCRF发送网关控制会话建立消息，V-PCRF返回确认消息，并向Η-PCRF发起建立网关控制会话流程。
[0181]步骤508，BPCF或IP Edge向H-PCRF返回确认消息。
[0182]另外的实施例中，BBF AAA在步骤501中不向UE发送VPLMN ID，而是只在步骤503中，HSS和/或3GPP AAA服务器返回的拒绝消息中还携带自身保存的VPLMN ID，触发UE重新进行P-GW选择，再执行步骤503-步骤508。
[0183]以上所述，仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。
【权利要求】
1.一种用户设备(UE)选择拜访公共陆地移动网络(VPLMN)的方法，其特征在于，该方法包括:认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE，UE根据所述VPLMN ID选择VPLMN的核心网网元，并与所述核心网网元执行互联网密钥交换协议(IKEv2)隧道建立流程。
2.根据权利要求1所述的方法，其特征在于，所述认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE为:所述认证服务器为宽带论坛的验证、授权和记账服务器(BBF AAA)，在UE执行接入认证时，所述BBF AAA接收第三代合作伙伴计划验证、授权和记账代理(3GPP AAA Proxy)发送的VPLMN ID或根据通信对端地址获取3GPPAAA Proxy所在VPLMN的VPLMN ID,将所述VPLMN ID 发送给 UE。
3.根据权利要求1所述的方法，其特征在于，所述认证服务器将UE执行接入认证时所选择的VPLMN的VPLMN ID发送给UE为:所述认证服务器为归属用户服务器(HSS)和/或3GPP AAA服务器，在UE执行接入认证时，所述HSS和/或3GPP AAA服务器保存3GPP AAA Proxy发送的VPLMN ID，在IKEv2隧道建立的过程中，所述HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID。
4.根据权利要求1所述的方法，其特征在于，所述VPLMN的核心网网元为演进的分组数据网关(eTOG)或分组数据网络网关(P-GW)。
5.根据权利要求4所述的方法，其特征在于，所述UE根据所述VPLMNID选择VPLMN的核心网网元为:UE使用认证服务器发送的VPLMN ID作为运营商标识构造全质量域名(FQDN)，执行域名系统(DNS)查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
6.根据权利要求2所述的方法，其特征在于，该方法还包括:在UE执行接入认证时，HSS和/或3GPP AAA服务器保存3GPP AAA Proxy发送的VPLMNID，在IKEv2隧道建立的过程中，HSS和/或3GPP AAA服务器验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID。
7.一种UE选择VPLMN的系统，其特征在于，该系统包括:认证服务器、UE、VPLMN的核心网网元；其中，所述认证服务器，用于将UE执行接入认证时所选择的VPLMN的VPLMNID发送给UE ；所述UE，用于根据所述认证服务器发送的VPLMN的VPLMN ID,选择VPLMN的核心网网元，与所述核心网网元执行IKEv2隧道建立的流程；所述VPLMN的核心网网元，用于完成IKEv2隧道建立的流程。
8.根据权利要求7所述的系统，其特征在于，所述认证服务器为BBFAAA，用于在UE执行接入认证时，接收3GPP AAA Proxy发送的VPLMN ID或根据通信对端地址获取3GPP AAAProxy 所在 VPLMN 的 VPLMN ID,将所述 VPLMN ID 发送给 UE ；该系统还包括:3GPPAAA Proxy，用于在UE执行接入认证时，发送VPLMNID给BBF AAA。
9.根据权利要求8所述的系统，其特征在于，该系统还包括:HSS和/或3GPPAAA服务器，用于在UE执行接入认证时，保存VPLMN ID，在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和/或自身保存的VPLMN ID。
10.根据权利要求7所述的系统，其特征在于，所述认证服务器为HSS和/或3GPPAAA服务器，用于在UE执行接入认证时，保存3GPP AAAProxy发送的VPLMN ID,在IKEv2隧道建立的过程中，验证自身保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMNID 一致，在不一致时，所述HSS和/或3GPP AAA服务器向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和自身保存的VPLMN ID ； 该系统还包括:3GPP AAA Proxy，用于在UE执行接入认证时，向HSS和/或3GPP AAA服务器发送VPLMN ID。
11.根据权利要求7所述的系统，其特征在于，所述VPLMN的核心网网元为ePDG或P-GW0
12.根据权利要求11所述的系统，其特征在于，所述UE包括:网元选择模块、隧道建立模块；其中， 所述网元选择模块，用于根据所述认证服务器发送的VPLMN的VPLMNID，选择VPLMN的ePDG 或 P-GW ； 所述隧道建立模块，用于 与网元选择模块选择的ePDG或P-GW执行IKEv2隧道建立的流程。
13.根据权利要求12所述的系统，其特征在于，所述网元选择模块，具体用于使用认证服务器发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN中ePDG或P-GW的IP地址。
14.根据权利要求10所述的系统，其特征在于，所述认证服务器，具体包括:ID获取模块、验证模块、应答模块；其中， 所述ID获取模块，用于在UE执行接入认证时，保存3GPPAAAProxy发送的VPLMN ID ； 所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，通知应答模块向UE返回拒绝消息； 应答模块，用于向UE返回拒绝消息，所述拒绝消息携带拒绝原因值和ID获取模块保存的 VPLMN ID。
15.一种UE，其特征在于，所述UE包括:网元选择模块、隧道建立模块；其中， 所述网元选择模块，用于根据所述认证服务器发送的VPLMN的VPLMNID，选择VPLMN的ePDG 或 P-GW ； 所述隧道建立模块，用于与网元选择模块选择的ePDG或P-GW执行IKEv2隧道建立的流程。
16.根据权利要求15所述的UE，其特征在于，所述网元选择模块，具体用于使用认证服务器发送的VPLMN ID作为运营商标识构造FQDN，执行DNS查找，获得所述VPLMN ID对应的VPLMN 中 ePDG 或 P-GW 的 IP 地址。
17.—种认证服务器，其特征在于，所述认证服务器包括:ID获取模块、验证模块、应答模块；其中，
所述ID获取模块，用于在UE执行接入认证时，保存3GPPAAA Proxy发送的VPLMN ID ；所述验证模块，用于在IKEv2隧道建立的过程中，验证ID获取模块保存的VPLMN ID是否与UE选择的核心网网元所在VPLMN的VPLMN ID 一致，在不一致时，通知应答模块向UE返回拒绝消息； 应答模块，用于向UE返回拒绝消息。
18.根据权利要求17所述的认证服务器，其特征在于，所述认证服务器为HSS和/或3GPP AAA服务器。
19.根据权利要求17所述的认证服务器，其特征在于，所述拒绝消息中携带拒绝原因值和/或ID获取模块保存的VPLMN ID。
【文档编号】H04W48/18GK103702327SQ201210365839
【公开日】2014年4月2日 申请日期:2012年9月27日 优先权日:2012年9月27日
【发明者】周晓云 申请人:中兴通讯股份有限公司