# Sécurité du roaming Diameter : DRA, DEA et la frontière IPX

> Un Diameter Routing Agent (DRA) route le trafic Diameter par realm au sein d'un réseau et lie les sessions au bon PCRF/HSS ; un Diameter Edge Agent (DEA) se tient à la frontière de roaming IPX. Comme SS7, Diameter est dépourvu d'authentification au niveau message, si bien que le DEA applique les contrôles GSMA FS.19 — masquage de topologie, filtrage d'AVP et limitation de débit — contre la divulgation d'information, le suivi de localisation et la fraude.

- URL canonique: https://www.broadnet.me/fr/reference/diameter-roaming-security-dra-dea
- Langue: fr
- Dernière mise à jour: 2026-07-18
- Éditeur: BroadNet (https://www.broadnet.me)

Comment le routage Diameter et la sécurité d'interconnexion fonctionnent à la frontière du roaming : le Diameter Routing Agent (DRA) et le Diameter Edge Agent (DEA), le routage par realm, les classes de menaces FS.19 (divulgation d'information, suivi de localisation, fraude), le masquage de topologie et le filtrage d'AVP.

## Routage par realm et le DRA

Diameter route sur des realms, non sur des hôtes fixes. Un nœud qui achemine une requête consulte l'AVP Destination-Realm (et éventuellement Destination-Host) et transmet le message vers le pair qui dessert ce realm, à l'aide d'une table de routage par realm. Dans un grand réseau, le Diameter Routing Agent (DRA, TS 29.213) centralise cette fonction : il agrège le maillage de MME, PCEF, HSS et PCRF de sorte que chaque nœud s'appaire avec le DRA plutôt qu'avec tous les autres, et — point important pour la politique — il lie toutes les sessions Diameter d'un même abonné au même PCRF, afin que les décisions Gx, Rx et Sd relatives à cet utilisateur restent cohérentes. Le DRA est le chef d'orchestre du trafic interne du cœur Diameter.

## Le Diameter Edge Agent à la frontière de roaming

Le roaming implique que Diameter doit passer d'un opérateur à l'autre, et il le fait sur l'IPX plutôt que sur l'internet public. Le Diameter Edge Agent (DEA) est l'unique passerelle contrôlée qu'un réseau expose à cette frontière. Tout le trafic Diameter de roaming entrant et sortant — S6a pour le roaming LTE (GSMA IR.88), le roaming IMS adjacent à Cx/Sh (IR.65), S9 pour le roaming de politique — transite par le DEA. Concentrer l'interconnexion sur un unique nœud durci est ce qui rend la sécurité applicable : l'opérateur dispose d'exactement un seul endroit pour authentifier les pairs, masquer sa topologie interne et filtrer chaque AVP. C'est l'analogue Diameter du pare-feu de signalisation SS7 à la frontière SS7.

*Rôles des agents Diameter*

| Agent | Où | Rôle |
|---|---|---|
| DRA | Au sein du cœur de réseau de l'opérateur | Routage par realm + rattachement des sessions d'abonné à un seul PCRF/HSS |
| DEA | À la frontière IPX/itinérance | Passerelle d'interconnexion unique et contrôlée ; application de la sécurité |
| Agent de relais | Cœur | Route selon le realm sans modifier les AVP |
| Agent proxy | Cœur de réseau / périphérie | Route et peut modifier les AVP (application des politiques) |

## Pourquoi l'interconnexion Diameter est exploitable

Diameter a été conçu, comme SS7, pour un club d'opérateurs de confiance, et il ne porte aucune authentification cryptographique de l'origine des messages au niveau applicatif — un pair fait confiance à un Destination-Realm et à un Origin-Host qu'il ne peut vérifier. L'IPX est plus circonscrit que ne l'est devenue l'interconnexion SS7 ouverte, mais la même faiblesse structurelle s'applique : une partie disposant d'un accès Diameter à l'interconnexion peut envoyer des requêtes de type S6a ou Cx auxquelles un réseau peut répondre comme si elles provenaient d'un partenaire de roaming légitime. À mesure que LTE et VoLTE ont porté davantage de trafic, des chercheurs et la GSMA ont montré que le répertoire d'attaques SS7 — suivi de localisation, divulgation de données d'abonné, fraude, déni de service — réapparaissait sur Diameter.

## Les classes de menaces FS.19

GSMA FS.19 (Diameter Interconnect Security) est l'homologue Diameter des recommandations SS7 FS.11. Elle catégorise les risques sur le Diameter d'interconnexion et définit les messages et AVP qu'un edge agent doit filtrer. Les menaces principales reflètent celles de SS7 : divulgation d'informations d'abonné et de réseau (collecte d'IMSI, d'identités de nœuds de desserte et de données d'abonnement), suivi de localisation (déduction de la localisation d'un abonné à partir de messages de mobilité et de routage), interception et fraude (manipulation de l'enregistrement ou de la taxation) et déni de service (désenregistrement ou déprovisionnement d'abonnés). FS.19 associe à chacune un filtrage recommandé au niveau du DEA.

*Menaces d'interconnexion Diameter alignées sur FS.19*

| Menace | Exemple sur Diameter | Contrôle DEA |
|---|---|---|
| Divulgation d'informations | Requêtes S6a non sollicitées récoltant l'IMSI / le MME de desserte | Vérification de l'origine + filtrage des types de messages |
| Suivi de localisation | Requêtes de mobilité/routage révélant la localisation de l'abonné | Filtrage par catégorie + contrôles de plausibilité |
| Interception / fraude | Mises à jour de localisation ou de taxation falsifiées | Liaison de session, vérifications de cohérence d'état |
| Déni de service | Cancel-Location / désinscription falsifiés | Validation de l'Origin-Realm, limitation de débit |
| Exposition de la topologie | Origin-Host / Route-Record divulguant des FQDN internes | Masquage de topologie au niveau du DEA |

## Contrôles : masquage de topologie, filtrage d'AVP, limitation de débit

Un Diameter Edge Agent applique FS.19 par couches, tout comme un pare-feu SS7 applique FS.11. Le masquage de topologie réécrit ou supprime l'Origin-Host, le Route-Record et les autres AVP qui, sinon, divulgueraient les FQDN et adresses internes des MME, HSS et PCRF situés derrière la frontière, en ne présentant vers l'extérieur que l'identité de bordure. Le filtrage d'AVP valide que chaque message entrant ne porte que les AVP dont sa commande a légitimement besoin, et que des valeurs telles que le Visited-PLMN-Id et l'Origin-Realm sont cohérentes avec le pair qui les a envoyées — en rejetant les messages dont l'origine revendiquée ne correspond pas à l'accord de roaming. La limitation de débit et les contrôles de vélocité détectent la collecte de données et les mobilités invraisemblables, et tout est journalisé à des fins de détection d'anomalies.

*Filtrage illustratif par le DEA d'une requête S6a entrante*

```text
on inbound Diameter message from IPX peer P (realm R):
  if Origin-Realm(msg) != R:              drop + alert   # spoofed origin
  if command not in ROAMING_ALLOWED(R):   drop + alert   # not per agreement
  if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
  if velocityImplausible(subscriber, Visited-PLMN-Id):  drop + alert
  strip/rewrite Origin-Host, Route-Record  # topology hiding
  rate-limit per peer; else: forward via DRA + log
```

## Un seul pare-feu pour SS7, SIGTRAN et Diameter

Les réseaux n'exploitent que rarement Diameter seul — ils interfonctionnent avec la 2G/3G via SS7/MAP et transportent SS7 sur IP avec SIGTRAN, si bien que la mobilité d'un abonné peut être attaquée sur le plan le plus faible, quel qu'il soit. FS.11 (SS7) et FS.19 (Diameter) sont délibérément alignées afin qu'une fonction de sécurité de la signalisation puisse appliquer une politique cohérente sur les deux : corréler une tentative de suivi de localisation, qu'elle arrive sous la forme d'un MAP AnyTimeInterrogation ou d'une requête de mobilité Diameter, et masquer la topologie sur chaque interconnexion. Traiter SS7, SIGTRAN et Diameter comme une seule surface d'attaque de signalisation — plutôt que trois pare-feux distincts — est la position pragmatique d'un opérateur qui achemine côte à côte le roaming hérité et le roaming LTE/VoLTE.

## Questions fréquentes

### Qu'est-ce qu'un Diameter Routing Agent (DRA) ?

Un DRA est un nœud qui route le trafic Diameter sur le Destination-Realm au sein du cœur d'un opérateur, de sorte que chaque MME, PCEF, HSS et PCRF s'appaire avec le DRA plutôt qu'avec tous les autres. Il lie également toutes les sessions Diameter d'un abonné au même PCRF/HSS, maintenant la cohérence des décisions de politique et d'abonnement sur Gx, Rx et Sd.

### Qu'est-ce qu'un Diameter Edge Agent (DEA) ?

Un DEA est l'unique passerelle Diameter contrôlée qu'un réseau expose à la frontière de roaming IPX. Tout le trafic Diameter de roaming entrant et sortant — interfaces S6a, IMS et de politique — y transite, de sorte que l'opérateur dispose d'un seul endroit pour authentifier les pairs, masquer la topologie interne et filtrer les AVP. C'est l'équivalent Diameter du pare-feu de signalisation SS7.

### Diameter est-il plus sûr que SS7 ?

Pas fondamentalement. Diameter effectue le roaming sur l'IPX, plus circonscrit, plutôt que sur l'interconnexion SS7 ouverte, mais il demeure dépourvu d'authentification de l'origine des messages au niveau applicatif, si bien que les classes d'attaques SS7 — suivi de localisation, divulgation de données d'abonné, fraude, déni de service — réapparaissent sur Diameter. GSMA FS.19 existe précisément parce que les risques se reportent.

### Qu'est-ce que GSMA FS.19 ?

FS.19 est la recommandation GSMA Diameter Interconnect Security, l'homologue Diameter de FS.11 pour SS7. Elle catégorise les menaces d'interconnexion — divulgation d'information, suivi de localisation, interception/fraude, déni de service — et définit les messages et AVP qu'un Diameter Edge Agent doit filtrer, ainsi que le masquage de topologie et la limitation de débit.

### Qu'est-ce que le masquage de topologie dans Diameter ?

Le masquage de topologie est un contrôle du DEA qui réécrit ou supprime des AVP tels qu'Origin-Host et Route-Record, qui, sinon, divulgueraient les FQDN et adresses internes des MME, HSS et PCRF situés derrière la frontière. Seule l'identité de bordure est présentée vers l'extérieur, de sorte qu'un partenaire de roaming ne peut cartographier le réseau interne.

### Comment fonctionne le routage par realm dans Diameter ?

Un nœud Diameter lit l'AVP Destination-Realm (et éventuellement Destination-Host) et achemine la requête vers le pair qui dessert ce realm, à l'aide d'une table de routage par realm et, en option, d'une découverte de pairs fondée sur le DNS. Le routage par realm est ce qui permet à un réseau visité de joindre un HSS nominal pendant le roaming sans préconfigurer son adresse.

## Sources

- [GSMA FS.19 — Diameter Interconnect Security](https://www.gsma.com/security/resources/fs-19-diameter-interconnect-security/)
- [3GPP TS 29.213 — Policy and charging control signalling flows and DRA](https://www.3gpp.org/dynareport/29213.htm)

## Voir aussi

- [Protocole de base Diameter (RFC 6733)](https://www.broadnet.me/fr/reference/diameter-base-protocol)
- [Diameter S6a/S6d vers le HSS](https://www.broadnet.me/fr/reference/diameter-s6a-s6d-hss)
- [Pare-feu SS7 (opérateurs)](https://www.broadnet.me/fr/operators/ss7-firewall)
- [Passerelle SMSC (opérateurs)](https://www.broadnet.me/fr/operators/smsc-gateway)
- [Sécurité de la signalisation SS7](https://www.broadnet.me/fr/answers/ss7-signaling-security)
- [Présentation de SIGTRAN](https://www.broadnet.me/fr/reference/sigtran-overview)