# أمان تجوال DIAMETER: DRA وDEA وحدود IPX

> يوجّه وكيل توجيه DIAMETER (DRA) الحركةَ بالنطاقات داخل الشبكة ويربط الجلسات بالـ PCRF/HSS الصحيح؛ ويقع وكيل حافة DIAMETER (DEA) عند حدود تجوال IPX. وشأن SS7، يفتقر DIAMETER إلى مصادقة على مستوى الرسالة، فيُنفّذ DEA ضوابطَ GSMA FS.19 — إخفاء الطوبولوجيا، وترشيح AVP، وتحديد المعدل — ضد كشف المعلومات وتعقّب الموقع والاحتيال.

- الرابط الأساسي: https://www.broadnet.me/ar/reference/diameter-roaming-security-dra-dea
- اللغة: ar
- آخر تحديث: 2026-07-18
- الناشر: BroadNet (https://www.broadnet.me)

كيف يعمل توجيه DIAMETER وأمان الترابط عند حدود التجوال: وكيل توجيه DIAMETER (DRA) ووكيل حافة DIAMETER (DEA)، والتوجيه القائم على النطاقات، وفئات تهديد FS.19 (كشف المعلومات، وتعقّب الموقع، والاحتيال)، وإخفاء الطوبولوجيا، وترشيح AVP.

## التوجيه القائم على النطاقات وDRA

يوجّه DIAMETER على النطاقات (realms)، لا على مضيفين ثابتين. تستشير العقدةُ المُمرّرة لطلبٍ AVP نوع Destination-Realm (واختياريًّا Destination-Host) وتُمرّر الرسالة نحو الندّ الذي يخدم ذلك النطاق، مستخدمةً جدول توجيه النطاقات. وفي شبكة كبيرة يُمركز وكيل توجيه DIAMETER (DRA، TS 29.213) هذا: فيُجمّع شبكةَ MME وPCEF وHSS وPCRF بحيث يتناظر كل عقدة مع DRA بدلًا من الجميع، والأهمّ للسياسة — يربط جميع جلسات DIAMETER لمشترك واحد بالـ PCRF نفسه، فتبقى قرارات Gx وRx وSd لذلك المستخدم متّسقة. وDRA هو موجّه الحركة الداخلي لنواة DIAMETER.

## وكيل حافة DIAMETER عند حدود التجوال

يعني التجوال أن على DIAMETER العبورَ بين المشغّلين، ويفعل ذلك عبر IPX لا عبر الإنترنت العام. ووكيل حافة DIAMETER (DEA) هو البوّابة المُتحكَّم بها الوحيدة التي تعرضها الشبكة عند تلك الحدود. وتعبر عبر DEA كلُّ حركة DIAMETER التجوالية الواردة والصادرة — S6a لتجوال LTE (GSMA IR.88)، وتجوال IMS المجاور لـ Cx/Sh (IR.65)، وS9 لتجوال السياسة. وتركيز الترابط عند عقدة مُحصَّنة واحدة هو ما يجعل الأمان قابلًا للإنفاذ: فلدى المشغّل مكانٌ واحد بالضبط لمصادقة الأنداد، وإخفاء طوبولوجيته الداخلية، وفحص كل AVP. وهو نظير DIAMETER لجدار حماية إشارات SS7 عند حدود SS7.

*أدوار وكلاء DIAMETER*

| الوكيل | أين | الدور |
|---|---|---|
| DRA | داخل نواة المشغّل | التوجيه حسب النطاق (realm) + ربط جلسات المشترك بـ PCRF/HSS واحد |
| DEA | عند حدود IPX / التجوال | بوابة ربط بيني واحدة خاضعة للتحكم؛ إنفاذ الأمن |
| وكيل الترحيل | الأساسي | التوجيه حسب النطاق (realm) دون تعديل الـ AVPs |
| وكيل وسيط | النواة / الحافة | يوجّه وقد يعدّل الـ AVPs (إنفاذ السياسة) |

## لماذا يكون ترابط DIAMETER قابلًا للاستغلال

صُمّم DIAMETER، شأن SS7، لنادٍ موثوق من المشغّلين، ولا يحمل مصادقةً تعميةً لأصل الرسالة في طبقة التطبيق — إذ يثق الندّ بـ Destination-Realm وOrigin-Host لا يستطيع التحقّق منهما. وIPX أكثر احتواءً ممّا صار عليه ترابط SS7 المفتوح، لكن الضعف البنيوي نفسه ينطبق: فطرفٌ ذو بلوغ DIAMETER إلى الترابط يستطيع إرسال طلبات على نمط S6a أو Cx قد تُجيب عنها شبكةٌ وكأنها من شريك تجوال شرعي. ومع حمل LTE وVoLTE مزيدًا من الحركة، أظهر الباحثون وGSMA أن دليل هجمات SS7 — تعقّب الموقع، وكشف بيانات المشترك، والاحتيال، وحجب الخدمة — يعود للظهور فوق DIAMETER.

## فئات تهديد FS.19

GSMA FS.19 (أمان ترابط DIAMETER) هو نظير DIAMETER لإرشادات FS.11 الخاصة بـ SS7. يُصنّف المخاطر على DIAMETER الترابطي ويُعرّف الرسائلَ وAVP التي ينبغي لوكيل الحافة فحصُها. وتعكس التهديدات الأساسية تهديدات SS7: كشف معلومات المشترك والشبكة (حصاد أرقام IMSI، وهويّات العقد الخادمة، وبيانات الاشتراك)، وتعقّب الموقع (استنباط موقع مشترك من رسائل التنقّل والتوجيه)، والاعتراض والاحتيال (التلاعب بالتسجيل أو الفوترة)، وحجب الخدمة (إلغاء تسجيل المشتركين أو إلغاء تزويدهم). ويُقرن FS.19 كلَّ تهديد بترشيح موصى به عند DEA.

*تهديدات ترابط DIAMETER المتوائمة مع FS.19*

| التهديد | مثال عبر Diameter | تحكم DEA |
|---|---|---|
| الإفصاح عن المعلومات | استعلامات S6a غير مطلوبة لجمع IMSI / MME المخدِّم | التحقق من المصدر + تصفية نوع الرسالة |
| تتبع الموقع | طلبات التنقل/التوجيه التي تكشف موقع المشترك | تصفية الفئات + فحوصات المعقولية |
| اعتراض / احتيال | تحديثات موقع أو فوترة مزوّرة | ربط الجلسة، وفحوصات اتساق الحالة |
| حجب الخدمة | Cancel-Location / إلغاء تسجيل مزوَّر | التحقق من Origin-Realm، وتحديد المعدل |
| كشف الطوبولوجيا | Origin-Host / Route-Record يسرّبان أسماء FQDN داخلية | إخفاء الطوبولوجيا في DEA |

## الضوابط: إخفاء الطوبولوجيا، وترشيح AVP، وتحديد المعدل

يُنفّذ وكيل حافة DIAMETER إرشاداتِ FS.19 على طبقات، كما يُنفّذ جدار حماية SS7 إرشاداتِ FS.11. يُعيد إخفاءُ الطوبولوجيا كتابةَ أو تجريدَ Origin-Host وRoute-Record وسائر AVP التي قد تُسرّب أسماءَ النطاقات وعناوينَ MME وHSS وPCRF الداخلية خلف الحدود، عارضًا هويةَ الحافة فقط للخارج. ويتحقّق ترشيحُ AVP من أن كل رسالة واردة تحمل فقط AVP التي يحتاجها أمرُها شرعًا، وأن قيمًا مثل Visited-PLMN-Id وOrigin-Realm متّسقة مع الندّ الذي أرسلها — مُسقطًا الرسائل التي لا يُطابق أصلُها المُدّعى اتفاقَ التجوال. ويلتقط تحديدُ المعدل وفحوصُ السرعة الحصادَ والتنقّل غير المعقول، وكل ذلك مُسجَّل لكشف الشذوذ.

*فحص توضيحي من DEA لطلب S6a وارد*

```text
on inbound Diameter message from IPX peer P (realm R):
  if Origin-Realm(msg) != R:              drop + alert   # spoofed origin
  if command not in ROAMING_ALLOWED(R):   drop + alert   # not per agreement
  if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
  if velocityImplausible(subscriber, Visited-PLMN-Id):  drop + alert
  strip/rewrite Origin-Host, Route-Record  # topology hiding
  rate-limit per peer; else: forward via DRA + log
```

## جدار حماية واحد لـ SS7 وSIGTRAN وDIAMETER

نادرًا ما تُشغّل الشبكات DIAMETER وحده — فهي تتوافق مع 2G/3G عبر SS7/MAP وتنقل SS7 فوق IP عبر SIGTRAN، فيمكن مهاجمة تنقّل مشترك على أي مستوى يكون الأضعف. وقد وُوئم FS.11 (SS7) وFS.19 (DIAMETER) عمدًا كي تستطيع وظيفةُ أمان إشارات تطبيقَ سياسة متّسقة عبرهما: أن تربط محاولةَ تعقّب موقع سواء وصلت بوصفها MAP AnyTimeInterrogation أو استعلامَ تنقّل في DIAMETER، وأن تُخفي الطوبولوجيا على كل ترابط. ومعاملة SS7 وSIGTRAN وDIAMETER بوصفها سطحَ هجوم إشارات واحدًا — بدلًا من ثلاثة جدران حماية منفصلة — هو الموقف العملي لمشغّل يحمل تجوال الشبكات القديمة وLTE/VoLTE جنبًا إلى جنب.

## الأسئلة الشائعة

### ما هو وكيل توجيه DIAMETER (DRA)؟

DRA هو عقدة توجّه DIAMETER على Destination-Realm داخل نواة المشغّل، فيتناظر كل MME وPCEF وHSS وPCRF مع DRA بدلًا من الجميع. ويربط أيضًا جميع جلسات DIAMETER لمشترك بالـ PCRF/HSS نفسه، مُبقيًا قرارات السياسة والاشتراك متّسقة عبر Gx وRx وSd.

### ما هو وكيل حافة DIAMETER (DEA)؟

DEA هو بوّابة DIAMETER المُتحكَّم بها الوحيدة التي تعرضها الشبكة عند حدود تجوال IPX. وتعبر عبره كلُّ حركة DIAMETER التجوالية الواردة والصادرة — S6a، وواجهات IMS والسياسة — فلدى المشغّل مكانٌ واحد لمصادقة الأنداد وإخفاء الطوبولوجيا الداخلية وترشيح AVP. وهو نظير DIAMETER لجدار حماية إشارات SS7.

### هل DIAMETER أكثر أمانًا من SS7؟

ليس جوهريًّا. يتجوّل DIAMETER فوق IPX الأكثر احتواءً بدلًا من ترابط SS7 المفتوح، لكنه لا يزال يفتقر إلى مصادقة أصل الرسالة في طبقة التطبيق، فتعود فئات هجمات SS7 — تعقّب الموقع، وكشف بيانات المشترك، والاحتيال، وحجب الخدمة — للظهور فوق DIAMETER. ووُجد GSMA FS.19 تحديدًا لأن المخاطر تنتقل.

### ما هو GSMA FS.19؟

FS.19 هو إرشادات GSMA لأمان ترابط DIAMETER، نظير FS.11 الخاص بـ SS7. يُصنّف تهديدات الترابط — كشف المعلومات، وتعقّب الموقع، والاعتراض/الاحتيال، وحجب الخدمة — ويُعرّف الرسائلَ وAVP التي ينبغي لوكيل حافة DIAMETER فحصُها، إضافةً إلى إخفاء الطوبولوجيا وتحديد المعدل.

### ما هو إخفاء الطوبولوجيا في DIAMETER؟

إخفاء الطوبولوجيا ضابطٌ في DEA يُعيد كتابةَ أو تجريدَ AVP مثل Origin-Host وRoute-Record، التي قد تُسرّب أسماءَ النطاقات وعناوينَ MME وHSS وPCRF الداخلية خلف الحدود. ولا تُعرَض للخارج إلا هويةُ الحافة، فلا يستطيع شريكُ تجوال رسمَ خريطة الشبكة الداخلية.

### كيف يعمل التوجيه القائم على النطاقات في DIAMETER؟

تقرأ عقدةُ DIAMETER AVP نوع Destination-Realm (واختياريًّا Destination-Host) وتُمرّر الطلبَ نحو الندّ الذي يخدم ذلك النطاق، مستخدمةً جدولَ توجيه نطاقات، واختياريًّا اكتشافَ أنداد قائمًا على DNS. وتوجيهُ النطاقات هو ما يتيح لشبكة مُزارة بلوغَ HSS أصلي أثناء التجوال دون تهيئة عنوانه مسبقًا.

## المصادر

- [GSMA FS.19 — Diameter Interconnect Security](https://www.gsma.com/security/resources/fs-19-diameter-interconnect-security/)
- [3GPP TS 29.213 — Policy and charging control signalling flows and DRA](https://www.3gpp.org/dynareport/29213.htm)

## ذو صلة

- [بروتوكول DIAMETER الأساسي (RFC 6733)](https://www.broadnet.me/ar/reference/diameter-base-protocol)
- [DIAMETER S6a/S6d نحو HSS](https://www.broadnet.me/ar/reference/diameter-s6a-s6d-hss)
- [جدار حماية SS7 (للمشغّلين)](https://www.broadnet.me/ar/operators/ss7-firewall)
- [بوابة SMSC (للمشغّلين)](https://www.broadnet.me/ar/operators/smsc-gateway)
- [أمان إشارات SS7](https://www.broadnet.me/ar/answers/ss7-signaling-security)
- [نظرة عامة على SIGTRAN](https://www.broadnet.me/ar/reference/sigtran-overview)