Principes fondamentaux de la signalisation Diameter

Diameter est le protocole de signalisation d'authentification, d'autorisation et de comptabilisation (AAA) utilisé par les réseaux 4G / LTE et IMS , en remplacement SS7 / MAP . Défini par l'IETF dans RFC 6733 (qui a remplacé la RFC 3588), il succède à RADIUS ; son nom est un jeu de mots technique, « deux fois RADIUS .

Contrairement à SS7 , Diameter est un protocole IP natif, de type pair à pair, qui s'exécute sur un transport fiable (TCP ou SCTP ) et exige une sécurité au niveau transport ( TLS ou IPsec). Chaque nœud est un pair Diameter , identifié par une identité Diameter et regroupé dans un domaine. Les pairs se découvrent et se connectent entre eux, sans utiliser de routage par octets fixes.

Les messages arrivent par paires requête/réponse, identifiées par une application. Le protocole de base gère les mécanismes de communication : échange de capacités (CER/CEA), maintien de la connexion (DWR/DWA) et déconnexion (DPR/DPA). Chaque interface 3GPP ( S6a , Gx , Gy , Cx ) est une application Diameter superposée. La compréhension du protocole de base est indispensable pour toute interface ultérieure.

Un message Diameter est composé d'un en-tête et d'une liste de paires attribut-valeur ( AVPs ). L' AVP est l'unité de données fondamentale : chaque AVP contient un code AVP , des indicateurs (dont le bit « M » obligatoire), une longueur et une valeur. AVPs peuvent être regroupées pour structurer les données. AVPs spécifiques au fournisseur (3GPP utilise le fournisseur 10415) étendent la norme pour une utilisation mobile.

L'en-tête contient un code de commande qui nomme l'opération et un identifiant d'application qui en définit le périmètre. Une requête et sa réponse partagent le même code de commande ainsi que les mêmes identifiants de bout en bout et de saut, ce qui permet à un nœud de faire correspondre une réponse à la requête qu'il a envoyée et de détecter les doublons.

AVPs Result-Code indiquent le résultat dans des classes reflétant l'intention HTTP : succès (2xxx), erreurs de protocole (3xxx), échecs transitoires (4xxx) et échecs permanents (5xxx). Un intégrateur lit donc d'abord la classe, puis le code spécifique. La bonne configuration AVPs obligatoires et leur regroupement précis font toute la différence entre une interface fonctionnelle et une interface rejetée silencieusement par le partenaire de l'opérateur.

S6a est l'interface Diameter entre le MME (Mobility Management Entity) et le HSS (Home Subscriber Server) dans un cœur LTE ; S6d est l'équivalent pour le SGSN. Il s'agit de l'analogue LTE de l'interface SS7 / MAP vers le HLR, et le HSS est le successeur évolué du HLR, compatible IMS .

Les échanges principaux concernent l'authentification de l'abonné et la gestion de sa localisation. Le MME demande les vecteurs d'authentification via les messages AIR/AIA (Authentication-Information-Request/Answer), enregistre la localisation de l'abonné via les messages ULR/ULA (Update-Location-Request/Answer) et reçoit le profil d'abonnement. Le HSS peut ensuite transmettre les modifications ou forcer une déconnexion via les messages Insert-Location et Cancel-Location. Ces mécanismes sont spécifiés dans la norme 3GPP TS 29.272.

Le protocole S6a transportant des informations d'authentification et l'identité de l'abonné, constitue une cible de choix aux frontières du réseau — l'équivalent, pour le protocole Diameter , des abus liés au SS7 qui ont conduit à la mise en place de pare-feu de signalisation. C'est pourquoi le trafic Diameter en itinérance est filtré et contrôlé en périphérie, comme expliqué dans la leçon sur la sécurité de l'itinérance.

Le contrôle des politiques et de la facturation (PCC) permet à Diameter de définir les actions autorisées lors d'une session d'abonné. L'interface Gx connecte la fonction PCEF (fonction d'application des politiques et de la facturation, dans la passerelle PDN) à la fonction PCRF (fonction de règles de politiques et de facturation), qui installe les règles PCC régissant la bande passante ( QoS ), le filtrage et le traitement par application via des échanges CCR/CCA (Credit Control Request/Answer).

Gy est l'interface de facturation en ligne entre le PCEF et l'OCS (Online Charging System). Elle utilise l'application Diameter Credit-Control (RFC 4006) pour réserver, accorder et débiter le quota en temps réel — le même mécanisme que pour les données prépayées, où une session est interrompue ou réduite dès que le quota est épuisé.

La facturation hors ligne utilise l'interface RF vers le CGF/CDF, générant des enregistrements de facturation pour un traitement ultérieur plutôt que pour un contrôle en temps réel. Cette distinction — Gy réserve le crédit avant la facturation, tandis que RF enregistre la consommation après — constitue la principale différence pratique entre la facturation prépayée et la facturation postpayée.

Dans IMS , l'interface Cx de Diameter connecte les fonctions de contrôle de session d'appel I-CSCF et S-CSCF au HSS , gérant l'enregistrement de l'utilisateur, l'authentification (authentification multimédia via MAR/MAA) et l'attribution du serveur (SAR/SAA). C'est ce qui permet IMS d'authentifier un abonné et de localiser le nœud serveur pour VoLTE et les autres services IMS , complétant ainsi la signalisation SIP qui contrôle la session elle-même.

En périphérie du réseau, l'agent de routage Diameter ( DRA ) assure le routage centralisé, évitant ainsi aux nœuds de maintenir une topologie maillée complète. L'agent de périphérie Diameter ( DEA ) constitue l'élément de frontière qui termine et filtre le trafic Diameter entrant en itinérance. C'est au niveau du DEA que sont appliqués le masquage de la topologie, la limitation du débit et le filtrage des messages.

Le problème de sécurité est similaire à celui SS7 : le principe initial de confiance mutuelle entre pairs est mis à mal sur une interconnexion ouverte. C’est pourquoi les recommandations GSMA (profil de sécurité d’interconnexion Diameter FS.19) définissent un filtrage par catégorie, permettant de distinguer les messages légitimement autorisés à provenir d’un partenaire d’itinérance de ceux provenant uniquement du réseau d’origine. Un périphérique Diameter qui ignore ce filtrage s’expose aux mêmes abus de géolocalisation et d’interception que les pare-feu de signalisation sont censés empêcher.