Wybrane składniki bezpieczeństwa dla usług sieciowych

Transkrypt

1 IPSec Wybrane składniki bezpieczeństwa dla usług sieciowych Uwierzytelnianie możliwości weryfikacji tożsamości uczestników wymiany informacji, Integralność możliwości stwierdzenia, że odebrana informacja została nie została zmodyfikowana w czasie transmisji, Poufność możliwości zagwarantowania, że informacja może zostać odczytana wyłącznie przez zakładanego odbiorcę, Niezawodność możliwości zapewnienia ciągłości zakładanego poziomu obsługi. 1

2 Podstawowe rodzaje ataków Ataki pasywne celem poznania treści przekazu użytkowników (poufność), celem uzyskania informacji poufnych, wykorzystywanych przez mechanizmy bezpieczeństwa sieci. Ataki aktywne zakłócenia świadczonej usługi Denial of Service (DoS) (niezawodność), modyfikacji przesyłanych informacji (integralność), wykorzystania cudzej tożsamości (integralność, uwierzytelnianie), modyfikacji działania mechanizmów kontrolnych sieci (integralność, uwierzytelnianie), wspomagania ataków pasywnych. Model ISO-OSI Warstwy aplikacyjne aplikacji, prezentacji, sesji. Warstwa transportowa utworzenie kanału transmisji danych o określonych parametrach. Warstwa sieciowa przesłanie danych poprzez złożoną strukturę sieciową. Warstwa łącza danych transmisja informacji pomiędzy urządzeniami. Warstwa fizyczna fizyczne przeniesienie sygnału między urządzeniami. 2

3 Zasięg technik zabezpieczeń Warstwy wysokie: Szeroki zasięg ochrony w szczególności end-to-end. Malejąca uniwersalność rozwiązania w skrajnym przypadku pojedyncza implementacja określonej usługi. Warstwy niskie: Ograniczony obszar ochrony np. pojedyncze łącze między urządzeniami. Duża uniwersalność Funkcjonowanie przezroczyste dla warstw wyższych. Warstwa sieciowa - IPSec Zabezpieczenie komunikacji w warstwie sieciowej: Wobec popularności protokołów IP (IPv4 i IPv6) wydaje się dobrym kompromisem pomiędzy uniwersalnością zastosowania, a przezroczystością działania. Pozwala zapewnić ochronę end-to-end w powyższych sieciach. IP Security (IPSec) standaryzowany jest przez szereg dokumentów RFC (IETF). 3

4 Podstawowa funkcjonalność IPSec Ochrona poufności poprzez szyfrowanie informacji. Ochrona integralności poprzez zabezpieczenie informacji kryptograficzną sumą kontrolną (message authentication). Zabezpieczenie przed niektórymi typami ataków sieciowych, np. przed odtworzeniem ruchu (replay attacks). Zdolność do negocjacji algorytmów ochrony ruchu oraz kluczy wykorzystywanych w komunikacji między parami urządzeń. Metody wdrożenia mechanizmów IPSec w systemie sieciowym: Integracja w stosie protokołów IPv6, Bump In The Stack (BITS) jako dodatkowa warstwa pomiędzy warstwą łącza danych a sieciową. Bump In The Wire (BITW) jako dodatkowy punkt przetwarzania na ścieżce przekazywania pakietów. IPSec Wykorzystać można kombinację 2 protokołów różniących się funkcjonalnością: Authentication Header (AH) ochrona integralności pakietu, Encapsulated Security Payload (ESP) ochrona poufności i częściowa ochrona integralności pakietu. Wdrożenie może zostać przeprowadzone jednym z 2 trybów, zależnie od scenariusza zastosowania: Tryb transportowy ochrona komunikacji IP prowadzonej zgodnie ze standardowymi zasadami, stosowany najczęściej w scenariuszu end-to-end, Tryb tunelowy ochrona komunikacji IP poprzez tunelowanie, stosowany w scenariuszu infrastructure-to-infrastructure. 4

5 IPSec Tryb transportowy Zabezpieczenie ruchu IP pomiędzy stacjami końcowymi. Umożliwia zachowanie: integralności całego pakietu, za wyjątkiem pól zmiennych podczas transmisji, np. TTL, poufności pakietu, za wyjątkiem nagłówka. W założeniu przenoszony przezroczyście przez sieć IP, lecz: zmienia oznaczenie protokołu IP, problemy dot. mechanizmów translacji adresów, oraz mechanizmów bezpieczeństwa. IPSec Tryb tunelowy Zabezpieczenie ruchu w scenariuszu intrastructure-toinfrastructure. Umożliwia łączenie odrębnych sieci IP bez użycia routera. Odstępstwo od standardowych mechanizmów warstwy sieciowej IP. Umożliwia zachowanie poufności całego pakietu IP. Router IPSec Router IPSec 5

6 Protokół Authentication Header (AH) AH umożliwia : ochronę integralności przesyłanych pakietów IP, ochronę przed atakiem polecającym na odtworzeniu ruchu. Zastosowanie protokołu AH powoduje: Zmianę identyfikatora protokołu w pakiecie IP na 51. Dodanie dodatkowego nagłówka do struktury pakietu. Struktura nagłówka AH: Next header typ nagłówka następującego po nagłówku AH, Payload length długość nagłówka AH, Security Parameters Index (SPI) jednoznaczne określenie SA użytego do utworzenia nagłówka AH, Sequence numer numer kolejny pakietu zabezpieczonego z użyciem danego SA, Authentication data kryptograficzna suma kontrolna (zmienna długość). AH Struktura pakietu Suma kontrolna obejmuje cały chroniony pakiet, poza polami zmiennymi w toku standardowej transmisji przez sieć: ToS TTL Offset Flagi Suma kontrolna nagłówka IP Problemy z rozwiązaniami modyfikującymi pakiet podczas transmisji, np. : Network Address/Port Translation (NAT/PAT) 6

7 AH Struktura pakietu IPv4 i IPv6 Protokół Encapsulating Security Payload (ESP) ESP umożliwia: ochronę poufności części pól przesyłanych pakietów IP, ochronę integralności części pól przesyłanych pakietów IP, ochronę przed atakiem polecającym na odtworzeniu ruchu. Zastosowanie protokołu AH powoduje: Zmianę identyfikatora protokołu w pakiecie IP na 50. Dodanie dodatkowego nagłówka i pól końcowych do struktury pakietu. Struktura nagłówka ESP: Security Parameters Index (SPI) jednoznaczne określenie SA użytego do utworzenia nagłówka AH, Sequence numer numer kolejny pakietu zabezpieczonego z użyciem danego SA, Payload dane typu określonego przez pole Next Header (zmienna długość), Padding uzupełnienie danych do długości wymaganej przez algorytmy kryptograficzne (zmienna długość), Pad Length wielkość powyższego uzupełnienia, Next header typ nagłówka (treści, protokołu, ) zawartego w polu Payload, Authentication data kryptograficzna suma kontrolna (zmienna długość). 7

8 ESP Struktura pakietu IPv4 i IPv6 Security Policy Database (SPD) Zawiera reguły (Security Policies SPs) określające: które pakiety podlegają przetwarzaniu przez IPSec (oraz w jaki sposób), w jaki sposób traktowane są pozostałe. Składnia oraz funkcjonalność zróżnicowana w zależności od implementacji. Najpopularniejsza funkcjonalność: Klasyfikacja ruchu na podstawie adresów IP (źródłowego i docelowego), portów, sposobu przetwarzania ruchu przez urządzenie (odbiór, wysyłanie, przekazywanie) oraz protokołu IP. Możliwość: zabezpieczenia, zignorowania lub odrzucenia pakietu. Ogólne parametry zabezpieczenia: pożądane/wymagane, protokół (AH/ESP), Przykład: spdadd 3ffe:8010:7:1703::1 3ffe:8010:7:1703::100[123] / udp P out ipsec esp/transport//use; 8

9 Security Association (SA) Security Association (SA) jest zbiorem parametrów niezbędnych do ochrony (zabezpieczenie i odczytu/weryfikacji) określonej transmisji. SA są: jednokierunkowe, osobne dla protokołów ESP i AH. Zawierają: identyfikację punktów pomiędzy którymi odbywa się komunikacja (adresy/porty), informację o używanym algorytmie kryptograficznym, klucze i inne parametry niezbędne do jego działania, aktualny stan mechanizmów ochrony. Mogą być tworzone: ręcznie należy zdefiniować komplet powyższych parametrów, automatycznie z użyciem mechanizmów IKE. Przetwarzanie ruchu wychodzącego Sprawdzenie bazy polityk SPD celem określenia czy pakiet ma być przetwarzany przez IPSec. Jeśli tak, określenie z użyciem jakich protokołów. Odnalezienie lub utworzenie odpowiedniej SA. Zabezpieczenie pakietu zgodnie z wymaganiami określonymi przez SP i SA. Kluczowym elementem jest dołączenie identyfikatora Security Parameter Index (SPI). Wraz z adresem docelowym oraz rodzajem protokołu (AH/ESP) jednoznacznie identyfikuje użyte SA. 9

10 Przetwarzanie ruchu przychodzącego Ruch przychodzący ruch adresowany do danego węzła. Jeśli pakiet zawiera nagłówek IPSec. Ustalane jest SA wg którego należy przetwarzać pakiet (na podstawie protokołu oraz SPI). Jeśli właściwe SA nie istnieje pakiet jest odrzucany. Pakiet jest przetwarzany zgodnie z odnalezionym SA. Sprawdzana jest baza SPD celem określenia, czy dany pakiet może być przyjęty. Jeśli pakiet nie zawiera nagłówka IPSec. Sprawdzana jest baza SPD celem określenia, czy dany pakiet może być przyjęty. 10

11 Internet Key Exchange (IKE) Bazuje na Internet Security Association and Key Management Protocol (ISAKMP). ISAKMP definiuje 2 fazy: Faza 1 (Phase 1) wybór mechanizmów kryptograficznych, uwierzytelnienie stron oraz utworzenie 2-kierunkowego, bezpiecznego kanału łączności na potrzeby fazy 2 (realizowane dzięki utworzeniu 2-kierunkowej ISAKMP SA). Faza 2 (Phase 2) utworzenie SA dla potrzeb ochrony ruchu użytkownika. Tryb (mode) wymiana wiadomości realizująca określoną funkcję. Tryby dostępne w fazie 1: Main mode realizacja zdań fazy 1 przy jednoczesnej ochronie tożsamości stron przez zewnętrznym obserwatorem. Wymaga wymiany 6 wiadomości. Aggressive mode jak wyżej, lecz bez ochrony tożsamości. Wymaga wymiany tylko 3 wiadomości. Tryby dostępne w fazie 2: Quick mode pozwala ustalić SA dla potrzeb ochrony ruchu użytkownika. Wykorzystuje bezpieczny kanał łączności utworzony dzięki ISAKMP SA. Main Mode (Pre-shared Key) Initiator (I) przedstawia listę proponowanych SA. Responder (R) wybiera jedną z proponowanych SA lub przerywa proces. Wymiana DH (Diffie-Hellman Key Exchange) pozwala na ustalenie wspólnego klucza tajnego z użyciem kryptografii asymetrycznej. Nonce losowa wartość używana w dalszych operacjach. Wprowadza zabezpieczenie przed odtworzeniem przechwyconego wcześniej procesu Main Mode. Powyższy klucz umożliwia zabezpieczenie (poufność i integralność): Wymiany identyfikatorów (ID) stron, procesu uwierzytelniania skrót (hash) ze: - wspólnego hasła, - kluczowych elementów całego powyższego procesu. INITIATOR Proponowane SA DH Key Exchange Nonce i ID i Hash RESPONDER Wybrane SA DH Key Exchange Nonce r ID r Hash Encrypted 11

12 U1 Diffie-Hellman Exchange Wybiera: Liczbę pierwszą: p = 23 Podstawę: g = 5 Klucz prywatny: X a = 6 Oblicza: Klucz publiczny Y a = g Xa mod p Y a = 5 6 mod 23 = mod 23 Y a = 8 Wysyła: p = 23, g = 5, Y a = 8 Otrzymuje:p = 23, g = 5, Y a = 8 Wybiera: Klucz prywatny: X b = 15 Znane Oblicza: publicznie: Klucz publiczny: p, g, Y a, Y b Y b = g Xb mod p Y b = 5 8 mod 23 Y a = 19 Otrzymuje:Y b = 16 Wysyła:Y b = 16 Oblicza: Wspólny klucz: K AB = g XaXb mod p = Y b Xa mod p K AB = 19 6 mod 23 = 2 K AB = 8 b mod 23 = 19 a mod 23 U2 Oblicza: Wspólny klucz: K AB = g XaXb mod p = Y a Xb mod p K AB = 8 15 mod 23 = 2 Main Mode (Certyfikaty) Proces przebiega podobnie jak w przypadku uwierzytelniania wspólnym hasłem. Na końcu wymiany DH dodawane jest żądanie certyfikatu I. Obie strony przedstawiają swoje certyfikaty podczas chronionej części wymiany wiadomości. Zamiast funkcji skrótu stosowany jest podpis cyfrowy. INITIATOR Proponowane SA DH Key Exchange Nonce i ID i Certyfikat i Podpis i Żądanie certyfikatu RESPONDER Wybrane SA DH Key Exchange Nonce r Żądanie certyfikatu ID r Certyfikat r Podpis r Encrypted 12

13 Aggresive Mode (Pre-shared key) Umożliwia realizację fazy 1 z użyciem tylko 3 wiadomości. Nie chroni tożsamości stron przed zewnętrznym obserwatorem. Initiator wysyła propozycje SA oraz od razu rozpoczyna wymianę DH. Responder, jedną wiadomością: wybiera SA, kończy wymianę DH, podaje swoją tożsamość, uwierzytelnia się podając skrót (hash) z hasła oraz ważnych elementów w dotychczasowej wymianie wiadomości. Initiator podaje swoją tożsamość i uwierzytelnia się podając skrót (hash) jak wyżej. INITIATOR Proponowane SA DH Key Exchange Nonce i ID i Hash RESPONDER Wybrane SA ID r DH Key Exchange Nonce r Hash Quick Mode Umożliwia realizację fazy 2 tworzenia nowych SA służących obsłudze ruchu użytkownika. ustalenie parametrów SA, utworzenie kluczy. Realizowany z użyciem kanału komunikacyjnego zabezpieczonego z użyciem ISAKMP SA. Tożsamość stron jest najczęściej dziedziczona z ISAKMP SA. Klucze są standardowo generowane z użyciem materiału uzyskanego z fazy 1, a różnicowane z użyciem wartości Nonce. Alternatywnie (Perfect Forward Secrecy PFS) przeprowadzana jest nowa wymiana DH. INITIATOR Proponowane SA [DH Key Exchange] [ID ci, ID cr ] Nonce i Hash Hash RESPONDER Wybrane SA [DH Key Exchange] [ID ci, ID cr ] Nonce r Hash Encrypted 13

14 IP Network Address Translation Wewnętrzny: Zewnętrzny: : :7224 NAT-Traversal (NAT-T) AH nie jest możliwe do zastosowania z rozwiązaniami NAT/PAT Zabezpiecza nagłówek pakietu przed modyfikacją. ESP nie obejmuje nagłówka pakietu, ale nie ma możliwości identyfikacji połączeń : Numery portów nie są dostępne i/lub są chronione przed modyfikacją, Identyfikatory SPI są różne dla obu kierunków transmisji. Rozwiązanie NAT-Traversal przenosi komunikację IPSec (ESP) z użyciem pakietów UDP (port 4500). Detekcja obsługi NAT-T oraz obecności urządzeń NAT/PAT jest częścią ISAKMP Phase 1. 14

15 Diameter Architektura warstwowa 802.1x Metody uwierzytelniania Protokoły uwierzytelniania RADIUS 802.1x UDP IP Ethernet / WiFi /... Ethernet /... Suplikant Klient RADIUS Serwer RADIUS 802.1x 15

16 Odmiany i metody EAP PAP CHAP EAP EAP MD5 TLS TTLS PEAP MS-CHAPv2 EAP 802.1X PPP Odmiany EAP EAP podstawowa wersja protokołu. Metody uwierzytelniania takie jak MD5 MS_CHAPv2 itp. wymieniają wiadomości bezpośrednio, korzystając z platformy komunikacyjnej udostępnionej przez protokół EAP. Lightweight EAP (LEAP) opracowana przez Cisco wersja EAP z wzajemnym uwierzytelnianiem przez funkcje skrótów z długimi kluczami; EAP-TLS/EAP-TTLS na platformie komunikacyjnej udostępnianej przez protokół EAP, zestawiany jest szyfrowany tunel TLS pomiędzy suplikantem i NAS. Metody uwierzytelniania wymieniają dane korzystając z tego tunelu. PEAP (Protected EAP) podobnie jak w TTLS, ale w zestawionym tunelu TLS uruchamiana jest kolejna warstwa protokołu EAP i to z jej pomocą komunikują się metody uwierzytelniania. 16

17 Odmiany protokołu EAP EAP-OPEN EAP-FAST LEAP Ease of use EAP-MD5 PEAP EAP-TTLS EAP-TLS Security Metody EAP MD5 nazwa użytkownika i hasło szyfrowane funkcją skrótu MD5; nadaje się głównie do środowisk przewodowych - w warunkach sieci WLAN jest zbyt podatny na podsłuch i łamanie haseł offline oraz ataki typu man-in-the-middle. TLS metoda oparta na certyfikatach klientów i tunelowaniu TLS/SSL; daje wystarczający poziom bezpieczeństwa w sieciach WLAN i jest powszechnie wspierana przez producentów urządzeń MS-CHAPv2 technologia opracowana przez Microsoft zbliżona w ogólnych zarysach do MD5, lecz stosująca inną funkcję skrótu - MD4. PAP uwierzytelnianie z użyciem stałych haseł przesyłanych otwartym tekstem, OTP (One-time Password) uwierzytelnianie z użyciem haseł jednorazowych, 17

18 Metody EAP GTC (Generic Token Card) uwierzytelnianie z użyciem kart chipowych, SIM (Subscriber Identity Module)/AKA (UMTS Authentication and Key Agreement) uwierzytelnianie z użyciem kart SIM i architektury uwierzytelniania właściwej dla sieci telefonii komórkowej. SecurID nie wymaga udostępniania danych uwierzytelniających suplikantowi. SRP (Secure Remote Password) nie wymaga przechowywania hasła na serwerze uwierzytelniającym. Uwierzytelnianie Uwierzytelnianie z wykorzystaniem protokołu IEEE 802.1x pozwala na kontrolę dostępu do portów przełącznika Ethernet. Klient podłączający się do portu może początkowo wymieniać dane wyłącznie z PAE (z użyciem portu U). Po przeprowadzeniu poprawnego uwierzytelnienia, klient może uzyskać dostęp do sieci (przez port C). Uwierzytelnianie może dotyczyć urządzenia lub jego aktualnego użytkownika. Problemy: do pojedynczego portu podłączonych może być kilka urządzeń. 18

19 Uwierzytelnienie urządzeń Elementy infrastruktury również wymagają uwierzytelniania. Ochrona przed atakiem typu Man in the Middle. Uwierzytelnianie nienadzorowanych elementów systemu stawia odmienne wyzwania: konieczność ręcznego wprowadzania informacji uwierzytelniającej, konieczność ochrony powyższej informacji. Standard IEEE 802.1AR wykorzystuje mechanizmy kryptografii asymetrycznej. fabrycznie nadany i chroniony kryptograficznie identyfikator - IdevID. możliwość wprowadzenia własnych identyfikatorów przez administratora - LdevID. Protokół Diameter Protokół służący obsłudze AAA (Authentication, Authorization, Accounting), mający zastąpić popularny obecnie protokół RADIUS (Remote Authentication Dial In User Service). Diameter został opracowany w związku z szeregiem nowych potrzeb w stosunku do protokołu AAA, związanych np. z: Koniecznością obsługi użytkowników mobilnych Rozwojem sieci 4G i rozwiązań IMS Trendem w kierunku integracji systemów sieciowych w szczególności systemów dostępowych. Protokół RADIUS, wziąwszy pod uwagę wiele wprowadzonych rozszerzeń, jest w stanie zrealizować większość obecnych wymagań, lecz mało efektywnie. Słabym elementem protokołu RADIUS jest w szczególności obsługa błędów i niezawodność. 19

20 Protokół Diameter Wymagania względem protokołów AAA będące przyczyną powstania protokołu Diameter: Failover zdolność do wykrycia niedostępności elementu architektury AAA i użycia elementu zastępczego, Transmission-level security zabezpieczenie komunikacji realizowanej z użyciem protokołu AAA, Reliable transport zastosowanie do celów komunikacji AAA protokołu wykorzystującego mechanizmy niezawodnego dostarczania danych (np. retransmisje, ochrona przed powtórzeniami), Agent suport konieczność zastosowania architektury elementów bardziej złożonej niż podstawowa klient-serwer, Server-initiated messages potrzeba wprowadzenia możliwości inicjowania przez serwer działań związanych z procesem AAA, Capability negotiation potrzeba rozszerzalności przy jednoczesnym zachowaniu kompatybilności elementów architektury, Peer discovery and configuration potrzeba zmniejszenia nakładów pracy związanych z ręczną konfigurację elementów architektury AAA. Diameter podstawowa architektura Protokół Diameter składa się z: Protokołu bazowego (Base Protocol) definiuje podstawową funkcjonalność protokołu, umożliwia rozliczanie (Accounting), Aplikacji definiują funkcjonalność niezbędną do realizacji innych funkcji (np. uwierzytelniania) przy użyciu protokołu Diameter. W chwili obecnej najpopularniejsze zdefiniowane aplikacje to np.: Network Access Server Application Extensible Authentication Protocol Application Credit-Control Application Aplikacje 3GPP IMS 20

21 Diameter podstawowa architektura Protokół Diameter nosi cechy protokołu peer-to-peer każdy z elementów może zainicjować komunikację. W odróżnieniu od protokołu RADIUS, gdzie możliwość tę posiadał wyłącznie klient. Rodzaje węzłów (nodes) protokołu Diameter: Relay agent umożliwia przekazywanie wiadomości protokołu wg zadanych kryteriów. Proxy agent podobnie jak Relay agent, lecz posiada możliwość modyfikowania przekazywanych wiadomości. Redirect agent zwraca informację do jakiego węzła należy przekazać określoną wiadomość protokołu. Translation agent umożliwia translację i wymianę wiadomości pomiędzy protokołem Diameter i innym protokołem AAA. Diameter Relay / Proxy Agent 21

22 Diameter Redirect Agent Diameter Translation Agent 22

23 Format wiadomości protokołu Diameter Version: wersja protokołu Diameter. Message Length: długość wiadomości (z nagłówkiem). Command Flags: określają pożądany sposób przetwarzania wiadomość przez protokół Diameter. R = The message is a request (1) or an answer (0). P = The message is proxiable (1) and may be proxied, relayed or redirected, or it must be processed locally (0). E = The message is an error message (1) or a regular message (0). T = The message is potentially being re-transmitted (1) or being sent for the first time (0). Command-Code: określa konkretne przeznaczenie wiadomości. Application-ID: określa aplikację Diameter, dla której przeznaczona jest wiadomość. Hop by Hop ID: Unikalny identyfikator pozwalający powiązać żądanie z odpowiedzią. Używany podczas routingu wiadomości. End to End ID: unikalny w okresie kilku minut identyfikator wiadomości. Używany w celu uniknięcia powtórzeń. Diamater Command Codes Nazwa Skrót Wartość pola Abort-Session-Request ASR 274 Abort-Session-Answer ASA 274 Accounting-Request ACR 271 Accounting-Answer ACA 271 Capabilities-Exchanging-Request CER 257 Capabilities-Exchanging-Answer CEA 257 Device-Watchdog-Request DWR 280 Device-Watchdog-Answer DWA 280 Disconnect-Peer-Request DPR 282 Disconnect-Peer-Answer DPA 282 Re-Auth-Request RAR 258 Re-Auth-Answer RAA 258 Session-Termination-Request STR 275 Session-Termination-Answer STA 275 Określają ogólne przeznaczenie wiadomości, lecz konkretne znaczenie nadają jej dane zawarte w elementach Attribute-Value Pairs (AVP). Pierwszych 255 wartości zarezerwowanych jest dla zgodności z protokołem RADIUS. 23

24 Attribute-Value pairs Informacje przekazywane są z wykorzystaniem elementów Attribute- Value Pair (AVP) AVP code i AVP Vendor-ID jednoznacznie identyfikują typ wiadomości. Flags określają żądany sposób przetwarzania AVP: - V = oznacza obecność pola Vendor ID, - M = powoduje, że odbiorca musi wygenerować wiadomość o błędzie, jeśli nie jest w stanie przetworzyć danego AVP, - P = sygnalizuje żądanie ochrony poufności w trybie end-to-end. AVP wykorzystywane są zarówno do wymiany wiadomości niezbędnych do działania samego protokołu Diameter, jak i powiązanych aplikacji. Połączenia i sesje Sesja (Diameter Session) logiczne powiązanie pomiędzy dwoma węzłami umożliwiające przeprowadzenie sekwencji działań służących realizacji określonego zdania. Jednoznacznie identyfikowana unikalnym Session-Id wykorzystywanym w AVP. Połączenie (Diameter Peer Connection) połączenie komunikacyjne pomiędzy dwoma węzłami Diameter. 24

25 Peer Discovery Węzeł Diameter może rozgłaszać informacje o: swojej obecności i adresie, obsługiwanym realm, obsługiwanych aplikacjach, udostępnianych mechanizmach zabezpieczeń. Zdefiniowano 2 metody: Service Location Protocol (SRVLOC) przeznaczona dla sieci lokalnych, DNS poprzez rejestrację rekordów SRV (_diameter._tcp.realm, _diameter._sctp.realm) Węzeł przechowuje informacje innych węzłach w: Peer table adresy, parametry oraz stan wykrytych węzłów Diameter, Realm routing table informacje pozwalające na właściwe kierowanie wiadomości. Realm, AppId, Action, Next-hop Peer, isstatic, ExpireTime - Realm: Primary key, matched with Destination-Realm Avp - AppId: Secondary key, matched with AppId in message header - Action: For each matching entry, possible actions are: LOCAL, RELAY, PROXY, REDIRECT - isstatic: Indication of static or dynamic route - ExpireTime: Time before dynamic route are no longer valid Obsługa błędów Dwie podstawowe grupy błędów: Błędy protokołu (protocol errors) błędy związane z podstawowym działaniem bazowego protokołu Diameter, najczęściej związane z przenoszeniem wiadomości. Błędy aplikacji (application errors) błędy odnoszące się do działania aplikacji wykorzystujących protokół Diameter. Wartości AVP związane z obsługą błędów: Return-Code AVP informacja o wyniku przetwarzania otrzymanej przez węzeł wiadomości, Error-Reporting-Host AVP identyfikacja węzła który wygenerował Return-Code AVP, Failed-AVP informacja na temat grupy AVP, która spowodowała wystąpienie błędu. Error-Message AVP słowny opis błędu. Monitorowanie stanu połączeń okresowa wymiana wiadomości Device- Watchdog-Request / Answer. 25

26 Failover-Failback Procedure Failover: Attempt to re-route pending request to an alternate peer in case of transport failure T bit is set for re-routed requests Failback: Switch back to the original next hop when connection is re-established Client 2. Request T-bit set 1. Request Relay2 Request Queue Relay1 5. Answer 3. Request T-bit set 4. Answer 2. Request Server Request Queue 4. Answer Request Queue 3. Answer RADIUS i Diameter Diameter RADIUS Connection-Oriented Protocols Connectionless Protocol Transportation Protocol (TCP and SCTP) (UDP) Security Hop-to-Hop, End-to-End Hop-to-Hop Agent Support Relay, Proxy, Redirect, Translation Implicit support, which means the agent behaviors might be implemented in a RADIUS server Capabilities Negotiation Negotiate supported applications and security level Static configuration and dynamic Peer Discovery lookup Supported. For example, reauthentication message, session Server Initiated Message termination, etc. Maximum Attribute Data Size 16,777,215 octets Support both vendor-specific Vendor-specific Support messages and attributes Don't support Static configuration Don't support 255 octets Support vendor-specific attributes only 26