Průměr (protokol) - Diameter (protocol)

Průměr je autentizace, autorizace a účetnictví protokol pro počítačové sítě. Vyvinul se z dřívějšího POLOMĚR protokol. Patří k aplikační vrstva protokoly v sada internetového protokolu.

Aplikace průměrů rozšířit základní protokol přidáním nových příkazů a / nebo atributů, jako jsou ty pro použití s Extensible Authentication Protocol (EAP).

Srovnání s RADIUS

Název je slovní hříčka odvozená z POLOMĚR protokol, který je předchůdcem (průměr je dvakrát větší než poloměr). Průměr není přímo zpětně kompatibilní ale poskytuje cestu k upgradu pro RADIUS. Hlavní funkce poskytované průměrem, ale chybí v RADIUS, jsou:

• Podpora pro SCTP
• Vyjednávání schopností
• Aplikační vrstva poděkování; Průměr definuje převzetí služeb při selhání metody a stavové automaty (RFC 3539 )
• Rozšiřitelnost; lze definovat nové příkazy
• Zarovnáno na 32bitových hranicích

Také: Stejně jako RADIUS je zamýšleno pracovat v místních i roamingových situacích AAA. Používá TCP nebo SCTP na rozdíl od RADIUS, který používá UDP. Na rozdíl od RADIUS neobsahuje žádné šifrování, ale může být chráněn zabezpečením na úrovni přenosu (IPSEC nebo TLS). Základní velikost identifikátoru AV je 32 bitů na rozdíl od RADIUS, který jako základní velikost AV identifikátoru používá 8 bitů. Stejně jako RADIUS podporuje bezstavové i stavové režimy. Stejně jako RADIUS podporuje potvrzení aplikační vrstvy a definuje převzetí služeb při selhání. pro mnoho různých rozhraní definovaných standardy 3GPP, přičemž každé rozhraní obvykle definuje nové příkazy a atributy.

Aplikace

A Průměr aplikace není softwarová aplikace ale je protokol na základě základního protokolu o průměru definovaného v RFC 6733 a RFC 7075 (Zastaralé: RFC 3588 ). Každá aplikace je definována identifikátorem aplikace a může přidávat nové příkazové kódy nebo nové povinné AVP (Pár atribut-hodnota ). Přidání nového volitelného AVP nevyžaduje novou aplikaci.

Příklady aplikací průměrů:

• Průměrná mobilní aplikace IPv4 (MobileIP, RFC 4004 )
• Průměrná síťová přístupová serverová aplikace (NASREQ, RFC 7155 ) (Zastaralé: RFC 4005 )
• Průměrná aplikace rozšiřitelného ověřovacího protokolu (RFC 4072 )
• Průměrná aplikace pro kontrolu kreditu (DCCA, RFC 8506 ]) (Zastaralé: RFC 4006 )
• Aplikace protokolu o zahájení relace průměru (RFC 4740 )
• Různé aplikace v 3GPP IP multimediální subsystém

Oba HSS a SLF komunikovat pomocí protokolu Průměr.

(Generic Bootstrapping Architecture): Funkce bootstrapping serveru

Dějiny

Protokol o průměru původně vyvinuli Pat R. Calhoun, Glen Zorn a Ping Pan v roce 1998, aby poskytli rámec pro autentizaci, autorizaci a účetnictví (AAA ), které by mohly překonat omezení RADIUS. RADIUS měl problémy se spolehlivostí, škálovatelností, zabezpečením a flexibilitou. RADIUS nemůže efektivně řešit vzdálený přístup, mobilitu IP a kontrolu zásad. Protokol Diameter definuje protokol zásad používaný klienty k provádění zásad, AAA a řízení prostředků. To umožňuje jednomu serveru zpracovávat zásady pro mnoho služeb.^[1]

Stejně jako RADIUS poskytuje Diameter funkčnost AAA, ale používá TCP a SCTP namísto UDP, proto delegovat detekci a řešení komunikačních problémů na tyto protokoly. Protokol o průměru je dále vylepšen vývojem 3. generace projektu partnerství (3GPP) IP multimediální subsystém (IMS). Rozhraní S6a, S6b, Gx, Gy, Sy, Rx, Cx, Dh, Dx, Rf, Ro, Sh a Zh jsou podporována aplikacemi Průměr.^[2] Díky použití rozšíření byl protokol navržen tak, aby byl rozšiřitelný o podporu zástupců, makléřů, silného zabezpečení, mobilních IP, serverů pro přístup k síti (NASREQ), účetnictví a správy zdrojů.

Popis protokolu

Tato sekce potřebuje expanzi. Můžete pomoci přidávat k tomu. (Červen 2008)

Základní protokol o průměru je definován RFC 6733 (Zastaralé: RFC 3588 a RFC 5719 ) a definuje minimální požadavky pro Protokol AAA. Aplikace průměrů může rozšířit základní protokol přidáním nových příkazů, atributů nebo obou. Zabezpečení průměru zajišťuje IPsec nebo TLS. IANA přidělil TCP a SCTP číslo portu 3868 na průměr, jak je uvedeno v oddíle 11.4 RFC 6733.

Formát paketu

Paket se skládá z hlavičky Diameter a proměnného počtu párů atributů a hodnot neboli AVP pro zapouzdření informací souvisejících se zprávou o průměru.

Verze

Toto pole označuje verzi protokolu základny průměru. Od roku 2014 je jedinou podporovanou hodnotou 1.^[3]

Délka zprávy

Pole Délka zprávy označuje délku zprávy o průměru v bajtech, včetně polí záhlaví a polstrovaných AVP.

Příkazové vlajky

„R"Bit (požadavek) - Pokud je nastaven, jedná se o požadavek. Pokud je vymazán, je odpovědí.

„P"(Proxiable) bit - Pokud je nastaven, zpráva MŮŽE být proxy, přenášena nebo přesměrována. Pokud je vymazána, MUSÍ být zpráva lokálně zpracována.

„E"(Chybový) bit - Pokud je nastaven, zpráva obsahuje chybu protokolu a zpráva nebude odpovídat CCF popsanému pro tento příkaz. Zprávy se sadou bitů" E "se běžně označují jako chybové zprávy. Tento bit NESMÍ NUTNO být nastaven ve zprávách s požadavkem.

„T"(Potenciálně znovu přenášená zpráva) bit - Tento příznak je nastaven po proceduře převzetí služeb při selhání propojení, aby se napomohlo odstranění duplicitních požadavků. Nastavuje se při opětovném odesílání požadavků, které ještě nebyly potvrzeny, jako indikace možného duplikátu kvůli selhání spojení.

Příkazy

Každému páru požadavků / odpovědí je přiřazen kód příkazu. Zda se jedná o požadavek nebo odpověď, je identifikováno bitem „R“ v poli Příznakové příznaky záhlaví.

Hodnoty 0-255 jsou vyhrazeny pro zpětnou kompatibilitu RADIUS. Hodnoty 256-16777213 jsou pro trvalé standardní příkazy přidělené IANA Hodnoty 16777214 a 16777215 (hex 0xFFFFFE a 0xFFFFFF) jsou vyhrazeny pro experimentální a testovací účely.

Příkazový kód se používá k určení akce, která má být provedena pro konkrétní zprávu. Některé běžné příkazy Průměr definované v protokolu (základna a aplikace) jsou:

ID aplikace

ID aplikace se používá k identifikaci, pro kterou aplikaci Průměr je zpráva použitelná. Aplikace může být ověřovací aplikace, účetní aplikace nebo aplikace specifická pro dodavatele.

Agenti průměru vyhovující určitému rozšíření Diameter zveřejňují svou podporu tím, že do příkazu Auth-Application-Id Attribute příkazu Capabilities-Exchange-Request (CER) a Capabilities-Exchange-Answer (CEA) uvedou konkrétní hodnotu.

Hodnota pole ID aplikace v záhlaví je stejná jako u všech příslušných AVP ID aplikace obsažených ve zprávě. Například hodnota Application-ID a atributu Auth-Application-Id v příkazu Credit-Control-Request (CCR) a Credit-Control-Answer (CCA) pro aplikaci Credit-Control o průměru je 4.^[4]

Identifikátor hop-by-hop

Identifikátor Hop-by-Hop je 32bitové celé číslo bez znaménka (v pořadí bajtů v síti), které se používá k porovnání požadavků s jejich odpověďmi, protože v odpovědi je použita stejná hodnota v požadavku.

Protokol Diameter vyžaduje, aby agenti předávání a proxy používali stav transakce, který se používá pro účely převzetí služeb při selhání. Stav transakce znamená, že při předání požadavku se uloží jeho identifikátor Hop-by-Hop; pole je nahrazeno lokálně jedinečným identifikátorem, který se po přijetí odpovídající odpovědi obnoví na původní hodnotu. Stav žádosti je uvolněn po obdržení odpovědi. Přijaté odpovědi, které se neshodují se známým identifikátorem Hop-by-Hop, agent Diameter ignoruje.

V případě přesměrování agentů se v záhlaví udržuje identifikátor Hop-by-Hop, protože agent Diameter odpovídá odpovědí.

End-to-End identifikátor

Identifikátor typu end-to-end je nepodepsané celé číslo 32 bitů (v pořadí bajtů v síti), které se používá k detekci duplicitních zpráv spolu s kombinací AVP Origin-Host.

Při vytváření požadavku je identifikátor end-to-end nastaven na lokálně jedinečnou hodnotu. Identifikátor typu end-to-end se nemění agenty Diameter jakéhokoli druhu a v odpovědi se použije stejná hodnota v odpovídajícím požadavku.

Tato sekce potřebuje expanzi. Můžete pomoci přidávat k tomu. (Prosince 2009)

Páry atribut-hodnota (AVP)

Pro jednoduchost příznak AVP "PROTI„bit znamená Specifické pro dodavatele; "M„bit znamená Povinné; "P„bit znamená Chráněný.

„PROTI"bit, známý jako bit specifický pro dodavatele, označuje, zda je volitelný ID dodavatele pole je přítomno v záhlaví AVP. Po nastavení patří kód AVP do adresního prostoru konkrétního kódu dodavatele.

„M"bit, známý jako povinný bit, označuje, zda je vyžadována podpora AVP. Pokud je AVP s"M"bitová sada je přijata klientem, serverem, proxy nebo překladovým agentem Diameter a buď AVP nebo jeho hodnota není rozpoznána, zpráva musí být odmítnut. Průměrové relé a agenti přesměrování nesmět odmítnout zprávy s nerozpoznanými AVP.

„P"bit označuje potřebu šifrování pro zabezpečení typu end-to-end.

Státní stroje

Tato sekce potřebuje expanzi. Můžete pomoci přidávat k tomu. (Prosince 2009)

The RFC 3588 definuje základní stavový stroj pro udržování spojení mezi partnery a zpracování zpráv. Toto je součást základní funkce protokolu a všechny zásobníky by ji měly podporovat a jako takové abstraktní z operací souvisejících s připojením.

• 

  Peer State Machine Část 1

• 

  Peer State Machine Část 2

Navíc lze stavové stroje specifické pro aplikaci zavést buď později, nebo na vyšší abstrakční vrstvě. The RFC 3588 definuje autorizaci a stroj stavu účtování.

• 

  Stavové autorizační stroje průměru (klient)

• 

  Stavové automaty stavu průměru (server)

• 

  Stavové stroje pro účtování průměrů (klient)

• 

  Stavové stroje pro účtování průměrů (server)

Toky zpráv

Komunikace mezi dvěma vrstevníky o průměru začíná vytvořením dopravního spojení (TCP nebo SCTP ). Iniciátor poté odešle žádost o schopnosti-výměnu (CER) druhému kolegovi, který odpoví odpovědí na schopnost-výměnu (CEA). U peerů kompatibilních s RFC3588 může být volitelně sjednáno TLS (Transport Layer Security). U partnerů kompatibilních s RFC6733 může vyjednávání TLS volitelně proběhnout před CER / CEA.

Připojení je pak připraveno k výměně zpráv aplikace.

Pokud si po nějakou dobu nevyměníte žádné zprávy, může kterákoli strana odeslat požadavek Device-Watchdog (DWR) a druhý partner musí odpovědět odpovědí Device-Watchdog.

Kterákoli strana může ukončit komunikaci zasláním požadavku Disconnect-Peer-Request (DPR), na který musí druhý partner odpovědět pomocí Disconnect-Peer-Answer. Poté lze dopravní spojení odpojit.

RFC

Protokol o průměru je aktuálně definován v následujícím textu IETF RFC: Zastaralé RFC jsou označeny přeškrtnuto text.

Viz také

• Seznam ověřovacích protokolů
• Protokol identity hostitele (BOKY)

Reference

externí odkazy

• Úvod do průměru - získejte protokol AAA nové generace
• Stránka Cisco popisující rozdíly mezi RADIUS a PRŮMĚR
• Průměr: protokol AAA nové generace Článek o průměru od Håkana Ventury
• Seznam referenčních stránek prodejců bran průměrů, řadičů signalizace průměru a zásobníků průměrů