Диаметр (протокол)

Diameter — это протокол аутентификации, авторизации и учета (AAA) для компьютерных сетей. Он произошел от более раннего протокола RADIUS . Он относится к протоколам прикладного уровня в наборе протоколов Интернета .

Приложения Diameter расширяют базовый протокол, добавляя новые команды и/или атрибуты, например, для использования с расширяемым протоколом аутентификации (EAP).

Название представляет собой игру слов, взятую из протокола RADIUS , который является предшественником (диаметр равен удвоенному радиусу). Diameter не имеет прямой обратной совместимости , но предоставляет путь обновления для RADIUS. Основные функции, предоставляемые Diameter, но отсутствующие в RADIUS, следующие:

• Поддержка SCTP
• Переговоры о возможностях
• Подтверждения уровня приложений ; Diameter определяет методы отказоустойчивости и конечные автоматы (RFC 3539)
• Расширяемость; можно определять новые команды
• Выровнено по границам 32 бита

Также: Как и RADIUS, он предназначен для работы как в локальных, так и в роуминговых ситуациях AAA. Он использует TCP или SCTP, в отличие от RADIUS, который использует UDP. В отличие от RADIUS, он не включает шифрование, но может быть защищен безопасностью на транспортном уровне (IPSEC или TLS). Базовый размер идентификатора AV составляет 32 бита, в отличие от RADIUS, который использует 8 бит в качестве базового размера идентификатора AV. Как и RADIUS, он поддерживает как режимы без сохранения состояния, так и режимы с сохранением состояния. Как и RADIUS, он поддерживает подтверждение на уровне приложений и определяет отказоустойчивость. Diameter используется для многих различных интерфейсов, определенных стандартами 3GPP, причем каждый интерфейс обычно определяет новые команды и атрибуты.

Приложение Diameter не является программным приложением , а представляет собой протокол, основанный на базовом протоколе Diameter, определенном в RFC 6733 (заменяет RFC 3588) и RFC 7075. Каждое приложение определяется идентификатором приложения и может добавлять новые коды команд и/или новые обязательные AVP ( пара атрибут-значение ). Добавление нового необязательного AVP не требует создания нового приложения.

Примеры применения диаметра:

• Приложение Diameter Mobile IPv4 (MobileIP, RFC 4004)
• Приложение сервера доступа к сети Diameter (NASREQ, RFC 7155) (устарело: RFC 4005)
• Приложение протокола аутентификации Diameter Extensible (RFC 4072)
• Приложение кредитного контроля диаметра (DCCA, RFC 8506]) (устарело: RFC 4006)
• Приложение протокола инициирования сеанса Diameter (RFC 4740)
• Различные приложения в подсистеме мультимедиа IP 3GPP

И HSS , и SLF взаимодействуют с использованием протокола Diameter.

(Универсальная архитектура самозагрузки): Функция сервера самозагрузки

Протокол Diameter был первоначально разработан Пэтом Р. Калхуном, Гленом Зорном и Пингом Паном в 1998 году для предоставления структуры для аутентификации, авторизации и учета ( AAA ), которая могла бы преодолеть ограничения RADIUS. У RADIUS были проблемы с надежностью, масштабируемостью, безопасностью и гибкостью. RADIUS не может эффективно работать с удаленным доступом, мобильностью IP и контролем политик. Протокол Diameter определяет протокол политик, используемый клиентами для выполнения политик, AAA и контроля ресурсов. Это позволяет одному серверу обрабатывать политики для многих служб. ^[1]

Как и RADIUS, Diameter обеспечивает функциональность AAA, но использует TCP и SCTP вместо UDP , поэтому делегирует обнаружение и обработку проблем связи этим протоколам. Протокол Diameter дополнительно улучшен за счет разработки подсистемы IP-мультимедиа (IMS) проекта партнерства третьего поколения (3GPP). Интерфейсы S6a, S6b, Gx, Gy, Sy, Rx, Cx, Dh, Dx, Rf, Ro, Sh и Zh поддерживаются приложениями Diameter. ^[2] Благодаря использованию расширений протокол был разработан с возможностью расширения для поддержки прокси-серверов, брокеров, надежной безопасности, мобильного IP, серверов сетевого доступа (NASREQ), учета и управления ресурсами.

Этот раздел нуждается в расширении . Вы можете помочь, дополнив его. ( Июнь 2008 )

Базовый протокол Diameter определен в RFC 6733 (устаревшие: RFC 3588 и RFC 5719) и определяет минимальные требования для протокола AAA . Приложения Diameter могут расширять базовый протокол, добавляя новые команды, атрибуты или и то, и другое. Безопасность Diameter обеспечивается IPsec или TLS . IANA назначила номер порта TCP и SCTP 3868 для Diameter, как указано в разделе 11.4 RFC 6733.

Пакет состоит из заголовка Diameter и переменного числа пар атрибут-значение (AVP) для инкапсуляции информации, относящейся к сообщению Diameter.

Это поле указывает версию протокола Diameter Base. По состоянию на 2014 год поддерживается только значение 1. ^[3]

Поле «Длина сообщения» указывает длину сообщения Diameter в байтах, включая поля заголовка и дополненные AVP.

Бит " R " (Запрос) – Если установлен, сообщение является запросом. Если очищен, сообщение является ответом.

Бит " P " (Proxiable) – если установлен, сообщение МОЖЕТ быть проксировано, ретранслировано или перенаправлено. Если очищен, сообщение ДОЛЖНО быть локально обработано.

Бит " E " (Ошибка) – если установлен, сообщение содержит ошибку протокола, и сообщение не будет соответствовать CCF, описанному для этой команды. Сообщения с установленным битом "E" обычно называются сообщениями об ошибках. Этот бит НЕ ДОЛЖЕН быть установлен в сообщениях-запросах.

Бит " T " (возможно повторно переданное сообщение) – этот флаг устанавливается после процедуры переключения канала связи, чтобы помочь удалить дублирующиеся запросы. Он устанавливается при повторной отправке запросов, которые еще не подтверждены, как указание на возможный дубликат из-за сбоя канала связи.

Каждой паре запрос/ответ команды присваивается код команды. Является ли это запросом или ответом, определяется битом 'R' в поле флагов команды заголовка.

Значения 0-255 зарезервированы для обратной совместимости RADIUS. Значения 256-16777213 предназначены для постоянных стандартных команд, выделенных IANA . Значения 16777214 и 16777215 (шестнадцатеричные 0xFFFFFE и 0xFFFFFF) зарезервированы для экспериментальных и тестовых целей.

Код команды используется для определения действия, которое должно быть выполнено для конкретного сообщения. Некоторые общие команды Diameter, определенные в протоколе (базовые и прикладные):

Application-ID используется для идентификации того, к какому приложению Diameter применимо сообщение. Приложение может быть приложением аутентификации, приложением учета или приложением, специфичным для поставщика.

Агенты Diameter, соответствующие определенному расширению Diameter, объявляют о его поддержке, включая определенное значение в атрибут Auth-Application-ID команд Capabilities-Exchange-Request (CER) и Capabilities-Exchange-Answer (CEA).

Значение поля Application-ID в заголовке совпадает с любыми соответствующими AVP Application-ID, содержащимися в сообщении. Например, значение Application-ID и атрибута Auth-Application-ID в команде Credit-Control-Request (CCR) и Credit-Control-Answer (CCA) для приложения Diameter Credit-Control равно 4. ^[4]

Идентификатор Hop-by-Hop представляет собой беззнаковое 32-битное целочисленное поле (в сетевом порядке байтов), которое используется для сопоставления запросов с их ответами, поскольку в ответе используется то же значение, что и в запросе.

Протокол Diameter требует, чтобы ретранслирующие и проксирующие агенты поддерживали состояние транзакции, которое используется для целей отказоустойчивости. Состояние транзакции подразумевает, что при пересылке запроса его идентификатор Hop-by-Hop сохраняется; поле заменяется локально уникальным идентификатором, который восстанавливается до своего исходного значения при получении соответствующего ответа. Состояние запроса сбрасывается после получения ответа. Полученные ответы, не соответствующие известному идентификатору Hop-by-Hop, игнорируются агентом Diameter.

В случае перенаправления агентов идентификатор Hop-by-Hop сохраняется в заголовке, поскольку агент Diameter отвечает ответным сообщением.

Сквозной идентификатор — это беззнаковое 32-битное целочисленное поле (в сетевом порядке байтов), которое используется для обнаружения дубликатов сообщений вместе с комбинацией Origin-Host AVP.

При создании запроса End-to-End Identifier устанавливается на локально уникальное значение. End-to-End Identifier не изменяется агентами Diameter любого типа, и то же значение в соответствующем запросе используется в ответе.

Этот раздел нуждается в расширении . Вы можете помочь, дополнив его. ( Декабрь 2009 )

Для простоты бит флага AVP « V » означает «Определяется поставщиком» ; бит « M » означает «Обязательно» ; бит « P » означает «Защищено ».

Бит " V ", известный как бит Vendor-Specific, указывает, присутствует ли необязательное поле Vendor-ID в заголовке AVP. Если он установлен, код AVP принадлежит к определенному адресному пространству кода поставщика.

Бит " M ", известный как обязательный бит, указывает, требуется ли поддержка AVP. Если AVP с установленным битом " M " получен Diameter-клиентом, сервером, прокси-сервером или агентом трансляции, и либо AVP, либо его значение не распознаны, сообщение должно быть отклонено. Diameter Relay и агенты перенаправления не должны отклонять сообщения с нераспознанными AVP.

Бит « P » указывает на необходимость шифрования для обеспечения сквозной безопасности.

Этот раздел нуждается в расширении . Вы можете помочь, дополнив его. ( Декабрь 2009 )

RFC 3588 определяет базовую машину состояний для поддержания соединений между одноранговыми узлами и обработки сообщений. Это часть базовой функциональности протокола, и все стеки должны ее поддерживать и, таким образом, абстрагироваться от операций, связанных с подключением.

• 
  Машина состояний одноранговых сетей, часть 1
• 
  Машина состояний одноранговых сетей, часть 2

Кроме того, машины состояний, специфичные для приложений, могут быть введены либо позже, либо на более высоком уровне абстракции. RFC 3588 определяет машину состояний авторизации и учета.

• 
  Машины состояний авторизации Diameter (клиент)
• 
  Машины состояний авторизации Diameter (сервер)
• 
  Конечные автоматы учета диаметра (клиент)
• 
  Конечные автоматы учета диаметра (сервер)

Связь между двумя узлами Diameter начинается с установления транспортного соединения ( TCP или SCTP ). Затем инициатор отправляет Capabilities-Exchange-Request (CER) другому узлу, который отвечает Capabilities-Exchange-Answer (CEA). Для узлов, соответствующих RFC3588, TLS (Transport Layer Security) может быть согласован по желанию. Для узлов, соответствующих RFC6733, согласование TLS может быть выполнено по желанию до CER/CEA.

После этого соединение готово к обмену сообщениями приложений.

Если в течение некоторого времени не было обмена сообщениями, любая из сторон может отправить Device-Watchdog-Request (DWR), а другая сторона должна ответить Device-Watchdog-Answer.

Любая из сторон может прекратить связь, отправив Disconnect-Peer-Request (DPR), на который другой узел должен ответить Disconnect-Peer-Answer. После этого транспортное соединение может быть отключено.

В настоящее время протокол Diameter определен в следующих документах RFC IETF : Устаревшие документы RFC обозначены зачеркнутым текстом.

• Список протоколов аутентификации
• Протокол идентификации хоста (HIP)

• Введение в Diameter — получите протокол AAA следующего поколения
• Страница Cisco, описывающая различия между RADIUS и DIAMETER
• Диаметр: протокол AAA следующего поколения Статья о диаметре Хокана Вентуры
• Справочная страница со списком поставщиков шлюзов Diameter, контроллеров сигнализации Diameter и стеков Diameter