# Segurança de roaming DIAMETER: DRA, DEA e a borda IPX

> Um Diameter Routing Agent (DRA) encaminha DIAMETER por realm dentro de uma rede e associa sessões ao PCRF/HSS certo; um Diameter Edge Agent (DEA) situa-se na borda de roaming IPX. Como o SS7, o DIAMETER carece de autenticação ao nível da mensagem, pelo que o DEA aplica os controlos da GSMA FS.19 — topology hiding, filtragem de AVP e rate-limiting — contra divulgação de informação, rastreio de localização e fraude.

- URL canônico: https://www.broadnet.me/pt/reference/diameter-roaming-security-dra-dea
- Idioma: pt
- Última atualização: 2026-07-18
- Editor: BroadNet (https://www.broadnet.me)

Como o encaminhamento e a segurança de interconexão DIAMETER funcionam na borda de roaming: o Diameter Routing Agent (DRA) e o Diameter Edge Agent (DEA), encaminhamento por realm, as classes de ameaça FS.19 (divulgação de informação, rastreio de localização, fraude), topology hiding e filtragem de AVP.

## Encaminhamento por realm e o DRA

O DIAMETER encaminha por realms, não por hosts fixos. Um nó que reencaminha um request consulta o AVP Destination-Realm (e opcionalmente Destination-Host) e passa a mensagem em direção ao par que serve esse realm, usando uma tabela de encaminhamento por realm. Numa rede grande, o Diameter Routing Agent (DRA, TS 29.213) centraliza isto: agrega a malha de MMEs, PCEFs, HSSs e PCRFs para que cada nó estabeleça peering com o DRA em vez de com todos, e — o que é importante para a política — associa todas as sessões DIAMETER de um subscritor ao mesmo PCRF, para que as decisões Gx, Rx e Sd desse utilizador se mantenham consistentes. O DRA é o diretor de tráfego interno do core DIAMETER.

## O Diameter Edge Agent na borda de roaming

O roaming significa que o DIAMETER tem de atravessar entre operadores, e fá-lo sobre o IPX em vez da Internet pública. O Diameter Edge Agent (DEA) é o único gateway controlado que uma rede expõe nessa borda. Todo o DIAMETER de roaming de entrada e de saída — S6a para roaming LTE (GSMA IR.88), roaming IMS adjacente a Cx/Sh (IR.65), S9 para roaming de política — transita pelo DEA. Concentrar a interconexão num único nó reforçado é o que torna a segurança aplicável: o operador tem exatamente um lugar para autenticar pares, ocultar a sua topologia interna, e filtrar cada AVP. É o análogo DIAMETER da firewall de sinalização SS7 na borda SS7.

*Papéis dos agentes DIAMETER*

| Agente | Onde | Função |
|---|---|---|
| DRA | Dentro do núcleo da rede da operadora | Encaminhamento por realm + vinculação das sessões do assinante a um único PCRF/HSS |
| DEA | Na fronteira IPX/roaming | Gateway de interconexão único controlado; aplicação de segurança |
| Agente de retransmissão | Core | Encaminhamento por realm sem alterar AVPs |
| Agente proxy | Núcleo / borda | Encaminha e pode modificar AVPs (aplicação de políticas) |

## Porque é que a interconexão DIAMETER é explorável

O DIAMETER foi, tal como o SS7, concebido para um clube de confiança de operadores, e não transporta autenticação criptográfica da origem da mensagem na camada de aplicação — um par confia num Destination-Realm e num Origin-Host que não consegue verificar. O IPX é mais contido do que a interconexão SS7 aberta se tornou, mas a mesma fraqueza estrutural aplica-se: uma parte com alcance DIAMETER na interconexão pode enviar requests do estilo S6a ou Cx que uma rede pode responder como se viessem de um parceiro de roaming legítimo. À medida que o LTE e o VoLTE transportaram mais tráfego, investigadores e a GSMA mostraram o guião de ataques SS7 — rastreio de localização, divulgação de dados de subscritor, fraude, negação de serviço — a reaparecer sobre DIAMETER.

## As classes de ameaça FS.19

A GSMA FS.19 (Diameter Interconnect Security) é o homólogo DIAMETER da orientação SS7 FS.11. Categoriza os riscos no DIAMETER de interconexão e define as mensagens e os AVPs que um edge agent deve filtrar. As ameaças principais espelham as do SS7: divulgação de informação de subscritor e de rede (recolha de IMSIs, identidades de nós servidores e dados de subscrição), rastreio de localização (deduzir a localização de um subscritor a partir de mensagens de mobilidade e encaminhamento), interceção e fraude (manipular registo ou tarifação), e negação de serviço (desregistar ou desaprovisionar subscritores). A FS.19 associa a cada uma a filtragem recomendada no DEA.

*Ameaças de interconexão DIAMETER alinhadas com a FS.19*

| Ameaça | Exemplo sobre Diameter | Controlo DEA |
|---|---|---|
| Divulgação de informações | Consultas S6a não solicitadas recolhendo IMSI / MME servidora | Verificação de origem + filtragem por tipo de mensagem |
| Rastreio de localização | Solicitações de mobilidade/encaminhamento que revelam a localização do assinante | Filtragem por categoria + verificação de plausibilidade |
| Interceção / fraude | Atualizações falsificadas de localização ou tarifação | Vinculação de sessão, verificações de consistência de estado |
| Negação de serviço | Cancel-Location / cancelamento de registo forjado | Validação do Origin-Realm, limitação de taxa |
| Exposição da topologia | Origin-Host / Route-Record a expor FQDNs internos | Topology hiding no DEA |

## Controlos: topology hiding, filtragem de AVP, rate-limiting

Um Diameter Edge Agent aplica a FS.19 em camadas, tal como uma firewall SS7 aplica a FS.11. O topology hiding reescreve ou remove o Origin-Host, o Route-Record e outros AVPs que de outra forma revelariam os FQDNs e endereços internos dos MMEs, HSSs e PCRFs por trás da borda, apresentando para o exterior apenas a identidade da borda. A filtragem de AVP valida que cada mensagem de entrada transporta apenas os AVPs de que o seu comando legitimamente precisa, e que valores como o Visited-PLMN-Id e o Origin-Realm são consistentes com o par que os enviou — descartando mensagens cuja origem alegada não corresponde ao acordo de roaming. O rate-limiting e as verificações de velocidade apanham a recolha e a mobilidade implausível, e tudo é registado para deteção de anomalias.

*Filtragem ilustrativa pelo DEA de um request S6a de entrada*

```text
on inbound Diameter message from IPX peer P (realm R):
  if Origin-Realm(msg) != R:              drop + alert   # spoofed origin
  if command not in ROAMING_ALLOWED(R):   drop + alert   # not per agreement
  if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
  if velocityImplausible(subscriber, Visited-PLMN-Id):  drop + alert
  strip/rewrite Origin-Host, Route-Record  # topology hiding
  rate-limit per peer; else: forward via DRA + log
```

## Uma firewall para SS7, SIGTRAN e DIAMETER

As redes raramente correm apenas DIAMETER — interoperam com 2G/3G sobre SS7/MAP e transportam SS7 sobre IP com SIGTRAN, pelo que a mobilidade de um subscritor pode ser atacada no plano que estiver mais fraco. A FS.11 (SS7) e a FS.19 (DIAMETER) estão deliberadamente alinhadas para que uma função de segurança de sinalização possa aplicar política consistente em ambos: correlacionar uma tentativa de rastreio de localização quer ela chegue como um MAP AnyTimeInterrogation quer como um request de mobilidade DIAMETER, e ocultar a topologia em cada interconexão. Tratar SS7, SIGTRAN e DIAMETER como uma única superfície de ataque de sinalização — em vez de três firewalls separadas — é a postura prática para um operador que transporta roaming legado e LTE/VoLTE lado a lado.

## Perguntas frequentes

### O que é um Diameter Routing Agent (DRA)?

Um DRA é um nó que encaminha DIAMETER com base no Destination-Realm dentro do core de um operador, para que cada MME, PCEF, HSS e PCRF estabeleça peering com o DRA em vez de com todos. Também associa todas as sessões DIAMETER de um subscritor ao mesmo PCRF/HSS, mantendo as decisões de política e subscrição consistentes ao longo de Gx, Rx e Sd.

### O que é um Diameter Edge Agent (DEA)?

Um DEA é o único gateway DIAMETER controlado que uma rede expõe na borda de roaming IPX. Todo o DIAMETER de roaming de entrada e de saída — S6a, interfaces IMS e de política — transita por ele, pelo que o operador tem um lugar para autenticar pares, ocultar a topologia interna e filtrar AVPs. É o equivalente DIAMETER da firewall de sinalização SS7.

### O DIAMETER é mais seguro do que o SS7?

Não fundamentalmente. O DIAMETER faz roaming sobre o IPX mais contido em vez da interconexão SS7 aberta, mas ainda carece de autenticação da origem da mensagem na camada de aplicação, pelo que as classes de ataque SS7 — rastreio de localização, divulgação de dados de subscritor, fraude, negação de serviço — reaparecem sobre DIAMETER. A GSMA FS.19 existe precisamente porque os riscos transitam.

### O que é a GSMA FS.19?

A FS.19 é a orientação Diameter Interconnect Security da GSMA, o homólogo DIAMETER da FS.11 para SS7. Categoriza as ameaças de interconexão — divulgação de informação, rastreio de localização, interceção/fraude, negação de serviço — e define as mensagens e os AVPs que um Diameter Edge Agent deve filtrar, juntamente com topology hiding e rate-limiting.

### O que é o topology hiding no DIAMETER?

O topology hiding é um controlo do DEA que reescreve ou remove AVPs como o Origin-Host e o Route-Record, que de outra forma revelariam os FQDNs e endereços internos dos MMEs, HSSs e PCRFs por trás da borda. Apenas a identidade da borda é apresentada para o exterior, para que um parceiro de roaming não possa mapear a rede interna.

### Como funciona o encaminhamento por realm no DIAMETER?

Um nó DIAMETER lê o AVP Destination-Realm (e opcionalmente Destination-Host) e reencaminha o request em direção ao par que serve esse realm, usando uma tabela de encaminhamento por realm e, opcionalmente, descoberta de pares baseada em DNS. O encaminhamento por realm é o que permite a uma rede visitada alcançar um HSS de origem durante o roaming sem pré-configurar o seu endereço.

## Fontes

- [GSMA FS.19 — Diameter Interconnect Security](https://www.gsma.com/security/resources/fs-19-diameter-interconnect-security/)
- [3GPP TS 29.213 — Policy and charging control signalling flows and DRA](https://www.3gpp.org/dynareport/29213.htm)

## Relacionados

- [Protocolo base DIAMETER (RFC 6733)](https://www.broadnet.me/pt/reference/diameter-base-protocol)
- [DIAMETER S6a/S6d para o HSS](https://www.broadnet.me/pt/reference/diameter-s6a-s6d-hss)
- [Firewall SS7 (operadores)](https://www.broadnet.me/pt/operators/ss7-firewall)
- [Gateway SMSC (operadores)](https://www.broadnet.me/pt/operators/smsc-gateway)
- [Segurança de sinalização SS7](https://www.broadnet.me/pt/answers/ss7-signaling-security)
- [Visão geral do SIGTRAN](https://www.broadnet.me/pt/reference/sigtran-overview)