Principi fondamentali della segnalazione Diameter

Diameter è il protocollo di segnalazione di autenticazione, autorizzazione e contabilizzazione (AAA) utilizzato dalle reti 4G / LTE e IMS, laddove le reti precedenti utilizzavano SS7 / MAP. Definito dall'IETF nella RFC 6733 (che ha sostituito la RFC 3588 originale), è l'evoluzione di RADIUS: il nome è un gioco di parole ingegneristico, "doubles the RADIUS" (due volte RADIUS).

A differenza di SS7, Diameter è un protocollo peer-to-peer nativo IP che opera su un trasporto affidabile (TCP o SCTP) e impone la sicurezza a livello di trasporto (TLS o IPsec). Ogni nodo è un peer Diameter identificato da un'identità Diameter e raggruppato in un realm; i peer si scoprono e si connettono tra loro anziché instradare tramite codici a virgola fissa.

I messaggi arrivano in coppie richiesta/risposta distinte da un'applicazione. Il protocollo di base gestisce i meccanismi – scambio di capacità (CER/CEA), keepalive (DWR/DWA) e disconnessione (DPR/DPA) – mentre ogni interfaccia 3GPP (S6a, Gx, Gy, Cx) è un'applicazione Diameter sovrapposta. Comprendere il protocollo di base è il prerequisito per ogni interfaccia successiva.

Un messaggio Diameter è costituito da un'intestazione e da un elenco di coppie attributo-valore (AVPs). L' AVP è l'unità fondamentale di dati: ciascuna contiene un codice AVP, flag (incluso il bit 'M' obbligatorio), una lunghezza e un valore, e AVPs possono essere raggruppate per annidare dati strutturati. AVPs specifiche del fornitore (3GPP è il fornitore 10415) estendono il set standard per l'uso mobile.

L'intestazione contiene un codice di comando che identifica l'operazione e un ID applicazione che ne definisce l'ambito. Una richiesta e la sua risposta condividono lo stesso codice di comando e gli stessi identificatori hop-by-hop e end-to-end, ed è così che un nodo correla una risposta alla richiesta inviata e rileva i duplicati.

AVPs Result-Code riportano l'esito in classi che rispecchiano l'intento HTTP: 2xxx successo, 3xxx errori di protocollo, 4xxx errori temporanei, 5xxx errori permanenti. Pertanto, un integratore legge prima la classe e poi il codice specifico. Definire correttamente gli AVPs obbligatori e il loro esatto raggruppamento è ciò che distingue un'interfaccia interoperabile da una che viene silenziosamente rifiutata dal partner dell'operatore.

S6a è l'interfaccia Diameter tra l'MME (Mobility Management Entity) e l' HSS (Home Subscriber Server) in una rete LTE; S6d è l'equivalente verso l'SGSN. È l'analogo LTE dell'interfaccia SS7 / MAP verso l'HLR, e l' HSS è il successore evoluto dell'HLR, compatibile con IMS.

Gli scambi principali riguardano l'autenticazione dell'abbonato e la gestione della posizione. L'MME richiede i vettori di autenticazione con Authentication-Information-Request/Answer (AIR/AIA), registra la posizione dell'abbonato con Update-Location-Request/Answer (ULR/ULA) e riceve il profilo di abbonamento, mentre l' HSS può inviare modifiche o forzare una disconnessione con i messaggi Insert-Location e Cancel-Location. Questi processi sono specificati nella norma 3GPP TS 29.272.

Poiché S6a trasporta informazioni di autenticazione e l'identità dell'abbonato, rappresenta un obiettivo di alto valore ai confini della rete: l'equivalente Diameter degli abusi SS7 che hanno portato alla creazione dei firewall di segnalazione. Ecco perché il traffico Diameter in roaming viene filtrato e controllato ai margini della rete, come spiegato nella lezione sulla sicurezza del roaming.

Il controllo delle policy e della tariffazione (PCC) è la parte in cui Diameter definisce le attività consentite alla sessione di un abbonato. L'interfaccia Gx collega la PCEF (Policy and Charging Enforcement Function, nel gateway PDN) alla PCRF (Policy and Charging Rules Function), che installa le regole PCC che regolano la larghezza di banda (QoS), il gating e il trattamento per singola applicazione tramite gli scambi Credit-Control-Request/Answer (CCR/CCA).

Gy è l'interfaccia di addebito online tra il PCEF e l'OCS (Online Charging System). Utilizza l'applicazione Diameter Credit-Control (RFC 4006) per riservare, assegnare e addebitare la quota in tempo reale: questo è il meccanismo alla base dei dati prepagati, in cui una sessione viene interrotta o la velocità viene ridotta nel momento in cui il credito disponibile si esaurisce.

La ricarica offline utilizza l'interfaccia RF verso il CGF/CDF, generando registrazioni di ricarica per l'elaborazione successiva anziché per il controllo in tempo reale. La distinzione – Gy riserva il credito prima dell'utilizzo, RF registra l'utilizzo a posteriori – rappresenta la linea di demarcazione pratica tra la gestione prepagata e quella postpagata.

In IMS, l'interfaccia Cx di Diameter collega le funzioni di controllo della sessione di chiamata I-CSCF e S-CSCF HSS, gestendo la registrazione dell'utente, l'autenticazione (autenticazione multimediale tramite MAR/MAA) e l'assegnazione del server (SAR/SAA). Questo permette IMS di autenticare un abbonato e individuare il nodo di servizio per VoLTE e altri servizi IMS, integrando la segnalazione SIP che controlla la sessione stessa.

Ai margini della rete, il Diameter Routing Agent (DRA) fornisce il routing centrale in modo che i nodi non debbano mantenere una rete peer completa, e il Diameter Edge Agent (DEA) è l'elemento di confine che termina e filtra il traffico Diameter in roaming in entrata. Il DEA è il luogo in cui vengono applicati l'occultamento della topologia, la limitazione della velocità e il filtraggio dei messaggi.

Il problema di sicurezza rispecchia SS7: l'assunto originale di "fidarsi di ogni peer" non funziona su un'interconnessione aperta, quindi le linee guida GSMA (il profilo di sicurezza per l'interconnessione Diameter FS.19) definiscono un filtraggio basato su categorie, ovvero quali messaggi possono legittimamente provenire da un partner in roaming e quali solo dall'interno della rete domestica. Un edge Diameter che non esegue questo controllo è esposto agli stessi abusi di tracciamento della posizione e di intercettazione che i firewall di segnalazione sono stati progettati per bloccare.