《防火墙培训胶片_GTP特性》由会员分享，可在线阅读，更多相关《防火墙培训胶片_GTP特性（55页珍藏版）》请在金锄头文库上搜索。
1、E1000E培训胶片 GTP安全特性,网络安全产品族,Page 2,汇报提纲,GPRS 简介 GTP防火墙的组网模型 GTP协议介绍 GTP交互流程 GTP特性安全功能介绍 GTP特性日志功能 GTP特性统计功能,Page 3,GPRS概述： GPRS(General Packet Radio Service)是通用分组无线业务的简称，它是一种基于分组交换传输数据的高效率方式。 GPRS是在现有的GSM移动通信系统基础之上发展起来的一种移动分组数据业务。GPRS通过在GSM数字移动通信网络中引入分组交换功能实体，以支持采用分组方式进行的数据传输。GPRS系统可以看作是对原有的GSM电路交换系统
2、进行的业务扩充，以满足用户利用移动终端接入Internet或其它分组数据网络的需求。 GPRS应用领域： GPRS主要的应用领域可以是：E-mail电子邮件、WWW浏览、WAP业务、电子商务、信息查询、远程监控等。 GPRS逻辑结构： GPRS的逻辑结构GPRS从逻辑上来说，可以在GSM网络结构中增添两个新的网络节点来实现。这两个节点是： GPRS业务支持节点(Serving GPRS support node，SGSN)。 GPRS网关支持节点(Gateway GPRS support node，GGSN)。,GPRS 简介,Page 4,GPRS 简介,GPRS的逻辑结构图,Page 5,
3、GPRS 简介,GPRS的逻辑图,Page 6,GPRS 简介,SGSN节点概念： SGSN即GPRS服务支持节点，它是当前正在为MS提供业务的节点(即Gb接口由SGSN支持)。在激活GPRS业务时，SGSN负责与MS建立移动性和安全保密性的有关信息。在PDP信息被激活时，SGSN负责与GGSN建立路由的PDP信息。 SGSN节点功能： 为该SGSN区域内的分组数据包进行路由转发。 对用户进行加密与鉴权。 维护和管理每个用户的会话。 移动性管理功能，对用户的当前位置进行实时更新。,Page 7,GPRS 简介,GGSN节点概念： GGSN节点，即GPRS网关支持节点，它的主要功能是将GPRS网
4、络中的数据报文转发到另一个GPRS网络或分组数据网络。 GGSN节点功能： GGSN节点为本服务区域的MS转发输入/输出的报文。 对外部网络报文的PDP(Packet Data Protocol)地址进行分析后从GGSN节点转入GPRS网。 GGSN节点的会话管理： GGSN可以通过Gc接口从HLR查询该移动用户当前的位置信息，提供数据包在GPRS网和外部数据网之间的路由和封装。在用户的接入过程中，根据用户的签约信息和接入的APN确定用户选择那个GGSN节点作为网关。 GGSN节点完成MS同外部网的通信建立过程，将用户的分组数据发往正确的SGSN， GGSN存储已经激活(attached)GP
5、RS业务的用户的路由信息，并能根据该信息将PDU(Protocol Data Units)通过隧道(tunnel)技术发送到MS的当前注册点,也就是SGSN。,Page 8,GPRS 简介,GPRS网络中主要有以下三种接口： Gn口：GN口就是指同一个PLMN网络中的不同GSN节点之间的接口。该接口承载GTP协议报文，终端和终端、终端和分组数据网络的所有报文（信令及业务报文）都必须经过GN接口。 Gp口：Gp口就是不同PLMN网络间的GSN节点间的接口，该接口也承载GTP协议报文，在通信协议上与Gn接口相同，但是增加了边缘网关（BG，Border Gateway）和防火墙，通过BG来提供边缘网
6、关路由协议，以完成归属于不同PLMN的GPRS支持节点之间的通信。Gp接口主要用来实现不同PLMN之间的数据漫游业务，Gp接口之间也运行GTP协议。 Gi口：GGSN通过Gi口实现GPRS网和外部数据网（PDP）的互联。GGSN实际上是两个互联网网关，在Gi接口上没有新的技术，完全采用现在的IP技术，因此在Gi接口层面看GGSN，GGSN和一台普通的路由器没有本质区别。 E1000E防火墙需要重点关注Gn、Gp、Gi三个接口。,Page 9,汇报提纲,GPRS 简介 GTP防火墙的组网模型 GTP协议介绍 GTP交互流程 GTP特性安全功能介绍 GTP特性日志功能 GTP特性统计功能,Page
7、 10,GTP防火墙的组网模型,GTP防火墙的应用接口 在Gn口和Gp口上承载的都是GTP协议，所以在此两种口上可以使用GTP防火墙进行GTP安全特性检测。而Gi口本身就是一个Internet接口，没有GTP协议，只有标准的TCP/UDP/IP协议，因此不需要GTP防火墙。 GTP防火墙组网模型： GTP防火墙在GPRS网络中的组网模型，如下图：,Page 11,汇报提纲,GPRS 简介 GTP防火墙的组网模型 GTP协议介绍 GTP交互流程 GTP特性安全功能介绍 GTP特性日志功能 GTP特性统计功能,Page 12,GTP协议介绍,GTP协议概述： GTP协议是核心网设备SGSN/GGS
8、N或GGSN/GGSN间Gn/Gp接口的一种隧道协议。该协议分为控制面和用户面两个部分，控制面用来协商、维护隧道以及交互相关信令，用户面用来传递网络中的分组数据包。 GTP协议基于TCP/UDP之上的一个应用协议,目前华为的GPRS设备上GTP协议都是使用UDP协议承载。 GTP协议有两个版本： GTPv0：四层端口号GTP-C/GTP-U都是3386。 GTPv1：四层端口号GTP-C为2123，GTP-U为2152。,GTPGn/Gp接口,Page 13,GTP协议介绍,GTP协议基本概念： PDP：Packet Data Protocol，外部网络和GPRS互通所使用的网络协议，例如IP
9、/PPP等。 PDP Context：PDP上下文，在MS、GSN中保存的与PDP相关的信息集合，通常将一个PDP上下文称作一个GTP隧道。 GTP：用于计费的GTP协议，它在消息格式、支持的消息类型等方面与GTP不同。GTP头中的PT位用于区分GTP消息和GTP消息。 GTP-C：GTP控制面，用于隧道(PDP)维护。 GTP-U：GTP数据面，对用户数据加封装或解封装。,Page 14,GTP协议介绍,协议版本：GTP有两个版本GTPv0和GTPv1,GTP有三个版本v0、v1、v2。 TEID：Tunnel Endpoint Identifier，GTPv1的概念，用于表示一条隧道(PD
10、P)，分为数据面TEID(TEID(U)和控制面TEID(TEID(C)，由SGSN和GGSN自己分配。 TID： GTPv0的概念，由IMSI+NSAPI构成，和TEID作用相同。 NSAPI：Network Service Access Point Identifier，和TEID(C)或IMSI一起用于标示同一用户激活的不同上下文，范围0,15。 APN：Access Point Name，接入点名称，在GGSN中用于标识一个指定的外部网络和一种服务的ISP，在SGSN中可根据APN通过DNS域名解析得到与此APN对应的GGSN地址。,Page 15,GTP协议介绍,GTPV0协议报文头
11、字段解析： Version：GTP版本。 PT：Protocol Type，若为1则指明是GTP消息，为0则指明是GTP消息。 SNN：标示是否包含SNDCP N-PDU Number。 Message Type：指示GTP消息的类型。 Length：GTP消息的长度，不含GTP头的长度。 Sequence Number ：消息序列号。 SNDCP N-PDU Number：用于SGSN间路由区更新过程。 TID：隧道标识。 Flow Label：定义GTP流，没有实际用处 GTPV0消息头部为固定长度20字节。,Page 16,GTP协议介绍,GTPV1协议报文头字段解析： 固定域： Ver
12、sion：GTP版本 PT：Protocol Type，若为1则指明是GTP消息，为0则指明是GTP消息。 E：指示是否包含扩展头。 S：指示是否包含Sequence Number域。 PN：指示是否包含N-PDU Number域。 Message Type：指示GTP消息的类型。 Length：GTP消息的长度，不含GTP头的长度，但包含扩展头长度。 TEID：隧道标识。 可选域： Sequence Number ：消息序列号。 N-PDU Number：用于SGSN间路由区更新过程。 Next Extension Header Type：下一个扩展头类型。,GTPV1头部长度为变长，其最小
13、长度为8,Page 17,汇报提纲,GPRS 简介 GTP防火墙的组网模型 GTP协议介绍 GTP交互流程 GTP特性安全功能介绍 GTP特性日志功能 GTP特性统计功能,Page 18,GTP交互流程,GTP控制平面主要包括以下4类GTP信令消息： 路径管理消息。在GSN对之间发送,可在一个路径上从一个GSN发送到另一个GSN, 以发现对方的GSN是否激活。 隧道管理消息。用来产生、更新和去除隧道,是控制和管理消息。使MS和外部分组 数据网之间能通过SGSN(Serving GPRS Support Node)为T-PDU进行路由。 位置管理消息。是可选的消息,用来支持当使用网络请求的PDP
14、文本激活过程。 移动管理消息。在GPRS连接过程中或跨SGSN的路由更新过程中,在SGSN之间发送的信令消息。信令消息包含许多信息元素,可根据不同要求对这些GTP信息元素在信息域中进行不同格式的编码。,Page 19,GTP交互流程,路径管理： Echo Request和Echo Response。两个GTP实体通过Echo Request和Echo Response检查链路情况,GSN收到Echo Request后用同一流水号回Echo Response。 Echo Request中有GSN重启动的次数,接收方据此判断发送方重启动后,则将所有与发送方有关的业务去活。,Page 20,GTP交
15、互流程,会话管理: 分组路由和转发功能和PDP上下文的状态有着紧密关系，只有在一个PDP地址所对应的 位于SGSN和GGSN中的PDP上下文都处于激活状态时，才可能对相应的PDP进行路由和转发。 在GPRS系统中，传输数据是围绕PDP上下文来开展的，对PDP上下文的激活、修改和去 激活的过程就是会话管理。,Page 21,GTP交互流程,MS发起的PDP上下文激活流程 MS向SGSN发出激活PDP上下文请求消息（包含NSAPI，TI，PDP类型，APN ，要求的QoS，PDP配置选项）。 SGSN根据MS提供的激活类型、PDP地址、APN，通过APN选择标准来解析GGSN地址，从而检查该请求是
16、否有效。 SGSN如果收到GGSN的创建PDP上下文响应，则在该PDP上下文中插入NSAPI、GGSN地址、动态PDP地址，并根据商定的QoS选择无线优先权，此时就已建立起MS与GGSN之间的路由，可以进行分组数据传送。,Page 22,GTP交互流程,网络发起PDP上下文激活 GGSN接收到来自外部PDN的PDP PDU，则将这些PDP PDU存储起来，并向HLR发出发送GPRS路由信息消息（包含IMSI）。 如果HLR判断可为该请求提供服务，则返回发送GPRS路由信息确认消息（包含IMSI、SGSN地址、移动台不可及原因）。如果HLR判断不能为该请求提供服务（如HLR不知道其IMSI时），则返回有错应答消息（包含IMSI、MAP错误原因）。 GGSN向HLR所指定的SGSN发送PDU通知请求消息（包含IMSI，PDP类型，PDP地址）。SGSN向GGSN返回PDU通知响应消息（包含原因）。 SGSN向MS发出请求PDP上下文激活消息（包含TI、PDP类型、PDP地址）。 后续流程与MS发起的PDP上下文激活规程一样。,Page 23,GTP
