# Безопасность роуминга DIAMETER: DRA, DEA и граница IPX

> Diameter Routing Agent (DRA) маршрутизирует DIAMETER по реалмам внутри сети и привязывает сессии к нужному PCRF/HSS; Diameter Edge Agent (DEA) стоит на границе роуминга IPX. Как и SS7, DIAMETER не имеет аутентификации на уровне сообщений, поэтому DEA обеспечивает средства контроля GSMA FS.19 — сокрытие топологии, фильтрацию AVP и ограничение частоты — против раскрытия информации, отслеживания местоположения и мошенничества.

- Канонический URL: https://www.broadnet.me/ru/reference/diameter-roaming-security-dra-dea
- Язык: ru
- Последнее обновление: 2026-07-18
- Издатель: BroadNet (https://www.broadnet.me)

Как работают маршрутизация DIAMETER и безопасность межсоединений на границе роуминга: Diameter Routing Agent (DRA) и Diameter Edge Agent (DEA), маршрутизация по реалмам, классы угроз FS.19 (раскрытие информации, отслеживание местоположения, мошенничество), сокрытие топологии и фильтрация AVP.

## Маршрутизация по реалмам и DRA

DIAMETER маршрутизирует по реалмам, а не по фиксированным хостам. Узел, пересылающий запрос, обращается к AVP Destination-Realm (и опционально Destination-Host) и передаёт сообщение в сторону пира, обслуживающего этот реалм, используя таблицу маршрутизации реалмов. В крупной сети Diameter Routing Agent (DRA, TS 29.213) централизует это: он агрегирует сетку MME, PCEF, HSS и PCRF, чтобы каждый узел пировал с DRA, а не со всеми, и — что важно для политики — привязывает все сессии DIAMETER одного абонента к одному PCRF, чтобы решения Gx, Rx и Sd для этого пользователя оставались согласованными. DRA — это внутренний диспетчер трафика ядра DIAMETER.

## Diameter Edge Agent на границе роуминга

Роуминг означает, что DIAMETER должен пересекать границу между операторами, и делает он это через IPX, а не через публичный интернет. Diameter Edge Agent (DEA) — это единственный контролируемый шлюз, который сеть предоставляет на этой границе. Весь входящий и исходящий роуминговый DIAMETER — S6a для роуминга LTE (GSMA IR.88), смежный с Cx/Sh роуминг IMS (IR.65), S9 для роуминга политики — проходит через DEA. Концентрация межсоединений в одном укреплённом узле — это то, что делает безопасность обеспечиваемой: у оператора есть ровно одно место, где аутентифицировать пиров, скрывать внутреннюю топологию и проверять каждый AVP. Это DIAMETER-аналог сигнального межсетевого экрана SS7 на границе SS7.

*Роли агентов DIAMETER*

| Агент | Где | Роль |
|---|---|---|
| DRA | Внутри опорной сети оператора | Маршрутизация по realm + привязка абонентских сессий к одному PCRF/HSS |
| DEA | На границе IPX/роуминга | Единый управляемый шлюз межсоединения; обеспечение безопасности |
| Агент-ретранслятор | Core | Маршрутизация по realm без изменения AVP |
| Прокси-агент | Ядро / граница сети | Маршрутизирует и может изменять AVP (применение политик) |

## Почему межсоединения DIAMETER уязвимы

DIAMETER, как и SS7, был спроектирован для доверенного клуба операторов и не несёт криптографической аутентификации происхождения сообщения на прикладном уровне — пир доверяет Destination-Realm и Origin-Host, которые он не может проверить. IPX более ограничен, чем стало открытое межсоединение SS7, но та же структурная слабость применима: сторона с доступом DIAMETER к межсоединению может отправлять запросы в стиле S6a или Cx, на которые сеть может ответить так, будто они пришли от легитимного роумингового партнёра. По мере того как LTE и VoLTE несли всё больше трафика, исследователи и GSMA показали, что сценарий атак SS7 — отслеживание местоположения, раскрытие данных абонента, мошенничество, отказ в обслуживании — вновь появляется поверх DIAMETER.

## Классы угроз FS.19

GSMA FS.19 (Diameter Interconnect Security) — это DIAMETER-аналог руководства SS7 FS.11. Он категоризирует риски межсоединений DIAMETER и определяет сообщения и AVP, которые пограничный агент должен проверять. Основные угрозы отражают SS7: раскрытие информации об абоненте и сети (сбор IMSI, идентичностей обслуживающих узлов и данных подписки), отслеживание местоположения (вывод местоположения абонента из сообщений мобильности и маршрутизации), перехват и мошенничество (манипуляция регистрацией или тарификацией) и отказ в обслуживании (дерегистрация или деинициализация абонентов). FS.19 сопоставляет каждой рекомендуемую фильтрацию на DEA.

*Угрозы межсоединений DIAMETER, согласованные с FS.19*

| Угроза | Пример по Diameter | Контроль DEA |
|---|---|---|
| Раскрытие информации | Незапрошенные запросы S6a для сбора IMSI / обслуживающего MME | Проверка источника + фильтрация по типу сообщения |
| Отслеживание местоположения | Запросы на мобильность/маршрутизацию, раскрывающие местоположение абонента | Фильтрация по категориям + проверка достоверности |
| Перехват / мошенничество | Подделка обновлений местоположения или тарификации | Привязка сессий, проверки согласованности состояния |
| Отказ в обслуживании | Поддельный Cancel-Location / снятие с регистрации | Проверка Origin-Realm, ограничение скорости |
| Раскрытие топологии | Origin-Host / Route-Record раскрывают внутренние FQDN | Сокрытие топологии на DEA |

## Средства контроля: сокрытие топологии, фильтрация AVP, ограничение частоты

Diameter Edge Agent обеспечивает FS.19 послойно, во многом как межсетевой экран SS7 обеспечивает FS.11. Сокрытие топологии переписывает или удаляет Origin-Host, Route-Record и другие AVP, которые иначе раскрыли бы внутренние FQDN и адреса MME, HSS и PCRF за границей, представляя наружу только пограничную идентичность. Фильтрация AVP проверяет, что каждое входящее сообщение несёт только те AVP, которые его команде легитимно нужны, и что значения, такие как Visited-PLMN-Id и Origin-Realm, согласуются с отправившим их пиром — отбрасывая сообщения, чьё заявленное происхождение не соответствует роуминговому соглашению. Ограничение частоты и проверки скорости отлавливают сбор данных и неправдоподобную мобильность, и всё логируется для обнаружения аномалий.

*Иллюстративная проверка на DEA входящего запроса S6a*

```text
on inbound Diameter message from IPX peer P (realm R):
  if Origin-Realm(msg) != R:              drop + alert   # spoofed origin
  if command not in ROAMING_ALLOWED(R):   drop + alert   # not per agreement
  if AVP set contains disallowed/mandatory-unknown AVPs: drop + alert
  if velocityImplausible(subscriber, Visited-PLMN-Id):  drop + alert
  strip/rewrite Origin-Host, Route-Record  # topology hiding
  rate-limit per peer; else: forward via DRA + log
```

## Один межсетевой экран для SS7, SIGTRAN и DIAMETER

Сети редко работают только на DIAMETER — они взаимодействуют с 2G/3G по SS7/MAP и транспортируют SS7 поверх IP через SIGTRAN, поэтому мобильность абонента может быть атакована на той плоскости, что слабее. FS.11 (SS7) и FS.19 (DIAMETER) намеренно согласованы, чтобы функция безопасности сигнализации могла применять единообразную политику на обеих: коррелировать попытку отслеживания местоположения независимо от того, приходит ли она как MAP AnyTimeInterrogation или запрос мобильности DIAMETER, и скрывать топологию на каждом межсоединении. Рассматривать SS7, SIGTRAN и DIAMETER как одну поверхность атаки сигнализации — а не как три отдельных межсетевых экрана — это практическая позиция для оператора, несущего унаследованный роуминг и роуминг LTE/VoLTE бок о бок.

## Частые вопросы

### Что такое Diameter Routing Agent (DRA)?

DRA — это узел, маршрутизирующий DIAMETER по Destination-Realm внутри ядра оператора, так что каждый MME, PCEF, HSS и PCRF пирует с DRA, а не со всеми. Он также привязывает все сессии DIAMETER абонента к одному PCRF/HSS, сохраняя решения политики и подписки согласованными на Gx, Rx и Sd.

### Что такое Diameter Edge Agent (DEA)?

DEA — это единственный контролируемый шлюз DIAMETER, который сеть предоставляет на границе роуминга IPX. Весь входящий и исходящий роуминговый DIAMETER — интерфейсы S6a, IMS и политики — проходит через него, поэтому у оператора есть одно место, где аутентифицировать пиров, скрывать внутреннюю топологию и фильтровать AVP. Это DIAMETER-эквивалент сигнального межсетевого экрана SS7.

### Безопаснее ли DIAMETER, чем SS7?

Не принципиально. DIAMETER роумит через более ограниченный IPX, а не через открытое межсоединение SS7, но у него по-прежнему нет аутентификации происхождения сообщения на прикладном уровне, поэтому классы атак SS7 — отслеживание местоположения, раскрытие данных абонента, мошенничество, отказ в обслуживании — вновь появляются поверх DIAMETER. GSMA FS.19 существует именно потому, что риски переносятся.

### Что такое GSMA FS.19?

FS.19 — это руководство GSMA по безопасности межсоединений DIAMETER, DIAMETER-аналог FS.11 для SS7. Оно категоризирует угрозы межсоединений — раскрытие информации, отслеживание местоположения, перехват/мошенничество, отказ в обслуживании — и определяет сообщения и AVP, которые должен проверять Diameter Edge Agent, вместе с сокрытием топологии и ограничением частоты.

### Что такое сокрытие топологии в DIAMETER?

Сокрытие топологии — это средство контроля DEA, которое переписывает или удаляет AVP, такие как Origin-Host и Route-Record, которые иначе раскрыли бы внутренние FQDN и адреса MME, HSS и PCRF за границей. Наружу представляется только пограничная идентичность, поэтому роуминговый партнёр не может составить карту внутренней сети.

### Как работает маршрутизация по реалмам в DIAMETER?

Узел DIAMETER читает AVP Destination-Realm (и опционально Destination-Host) и пересылает запрос в сторону пира, обслуживающего этот реалм, используя таблицу маршрутизации реалмов и, опционально, обнаружение пиров на основе DNS. Маршрутизация по реалмам — это то, что позволяет гостевой сети достичь домашнего HSS во время роуминга без предварительной настройки его адреса.

## Источники

- [GSMA FS.19 — Diameter Interconnect Security](https://www.gsma.com/security/resources/fs-19-diameter-interconnect-security/)
- [3GPP TS 29.213 — Policy and charging control signalling flows and DRA](https://www.3gpp.org/dynareport/29213.htm)

## См. также

- [Базовый протокол DIAMETER (RFC 6733)](https://www.broadnet.me/ru/reference/diameter-base-protocol)
- [DIAMETER S6a/S6d к HSS](https://www.broadnet.me/ru/reference/diameter-s6a-s6d-hss)
- [Межсетевой экран SS7 (операторам)](https://www.broadnet.me/ru/operators/ss7-firewall)
- [Шлюз SMSC (операторам)](https://www.broadnet.me/ru/operators/smsc-gateway)
- [Безопасность сигнализации SS7](https://www.broadnet.me/ru/answers/ss7-signaling-security)
- [Обзор SIGTRAN](https://www.broadnet.me/ru/reference/sigtran-overview)