Начальная регистрация 5G: NAS, безопасность и сигнализация AMF

Поток сигнализации начальной регистрации в 5GC

Начальная регистрация 5G создаёт контекст идентификации, безопасности и доступа через gNB и AMF. Условная передача от прежней AMF, данные UDM и политика PCF объясняют отличия реальных трасс от эталонной схемы.

Бекке Телеком

Начальная регистрация 5G создаёт регистрационный контекст UE, а также контекст доступа и мобильности. AMF определяет абонента, применяет необходимые процедуры безопасности и устанавливает разрешённый доступ и срезы. Успешная регистрация сама по себе не создаёт тракт передачи данных в Интернет: PDU Session Establishment является отдельной процедурой.

Различайте RRC, NGAP и NAS в трассе

В обычном примере доступа NR UE устанавливает или использует сигнальное соединение RRC с gNB. RRC переносит NAS Registration Request по радиоинтерфейсу. gNB пересылает NAS-PDU в AMF в составе NGAP Initial UE Message вместе со сведениями о местоположении доступа, такими как TAI и NR-CGI. NAS логически работает между UE и AMF; NGAP — между gNB и AMF.

Поле NAS 5GS registration type обозначает начальную регистрацию, обновление регистрации по мобильности, периодическое обновление или экстренную регистрацию в обычных рассматриваемых здесь случаях. Обязательный мобильный идентификатор и условно присутствующие сведения служат разным целям. Пригодный 5G-GUTI может ссылаться на прежний контекст; в противном случае по правилам выбора идентификатора обычно используется SUCI. Requested NSSAI и UE Security Capability включаются согласно применимым условиям NAS, а не составляют неизменный список полей для каждого запроса.

Иллюстрация начального доступа с Registration Request от UE к gNB и Initial UE Message к AMF; значения на панели условные и не являются результатами измерений. — Иллюстрация начального доступа с Registration Request от UE к gNB и Initial UE Message к AMF;

Определите идентификатор и по возможности используйте прежний контекст

«Начальная» описывает тип регистрации, а не обязательно самое первое использование 5G абонентом. Например, UE, выключенное в Гуанчжоу и снова включённое в Пекине, может сохранять 5G-GUTI. Его GUAMI помогает определить прежнюю AMF. Когда применимо, новая AMF вызывает Namf_Communication_UEContextTransfer для получения контекста идентификации и мобильности, включая доступные сведения безопасности.

Взаимодействие с прежней AMF условно. Если AMF нужен идентификатор, который нельзя получить иначе, NAS Identity Request и Identity Response могут предоставить запрошенный идентификатор, например SUCI. Ни передача контекста, ни Identity Request не обязаны присутствовать в каждой успешной трассе. Прежде чем считать отсутствие сообщения неисправностью, проверьте уже доступные идентификатор и контекст.

Аутентификация и безопасность NAS решают разные задачи

AMF выбирает AUSF, используя обнаружение NRF или другие поддерживаемые способы выбора, когда это применимо. Для 5G-AKA AUSF и функции аутентификации UDM домашней сети получают необходимые данные; домашняя сеть может преобразовать SUCI в SUPI. AMF отправляет RAND и AUTN в Authentication Request, а UE после своих проверок возвращает RES* в Authentication Response.

AMF вычисляет HRES* и сравнивает его с HXRES*, тогда как AUSF проверяет RES* по XRES*. Это разные проверки обслуживающей и домашней сетей. Здесь показан пример 5G-AKA; EAP-AKA’ — другой поддерживаемый метод первичной аутентификации. Действительный существующий контекст и применимые правила безопасности влияют на необходимость конкретных процедур.

Аутентификация устанавливает доверие к учётным данным абонента. NAS Security Mode устанавливает или активирует применимую защиту NAS с учётом возможностей безопасности UE и выбора алгоритмов сетью. Это не то же самое, что защита радиоинтерфейса. Не делайте вывод о защите всей последующей сигнализации лишь по наличию Authentication Response: проверьте результат аутентификации и Security Mode.

Концептуальная иллюстрация аутентификации и безопасности NAS с UE, AMF, AUSF и UDM; показанная трасса не является буквальной последовательностью сообщений. — Концептуальная иллюстрация аутентификации и безопасности NAS с UE, AMF, AUSF и UDM;

Подписка и политика дополняют контекст доступа

При необходимости AMF регистрирует свою обслуживающую связь в UDM и получает Access and Mobility Subscription Data. Subscribed NSSAI, UE-AMBR, ограничения RAT, территориальные ограничения и параметры периодической регистрации могут участвовать в формировании контекста. Получение, обновление и повторное использование зависят от существующего контекста и условий процедуры; заново получать каждый набор данных при каждой регистрации не обязательно.

Также могут быть получены SMF Selection Subscription Data, включая сведения DNN для применимых S-NSSAI. Получение этих данных само по себе не создаёт SM Context или PDU Session. При необходимости политики доступа и мобильности AMF может выбрать PCF и создать AM Policy Association. Полученная политика способна влиять на ограничения и другие решения по мобильности.

Авторизация срезов также должна соответствовать местоположению, подписке и возможностям обслуживающей AMF. Если начальная AMF не может обслуживать выбранные срезы, условная ветвь перераспределения AMF может передать регистрацию. Это отличается от обычного получения контекста прежней AMF, которое извлекает существующий контекст UE, а не корректирует текущий выбор обслуживающей AMF.

Доставьте Registration Accept и проверьте условия завершения

После необходимых проверок AMF отправляет NAS Registration Accept к UE. Если RAN требуется начальная настройка контекста UE, NGAP Initial Context Setup Request может переносить это сообщение; другим путём доставки в зависимости от контекста является Downlink NAS Transport. Поэтому Initial Context Setup не является безусловной оболочкой для каждого Registration Accept.

Registration Accept может предоставить новый 5G-GUTI, Allowed NSSAI, список TAI и T3512 согласно применимым правилам. UE отправляет Registration Complete, когда этого требуют условия завершения NAS, например для подтверждения назначенного 5G-GUTI. Не считайте его отсутствие отказом, не проверив содержимое Registration Accept и соответствующие правила NAS. RAN Initial Context Setup Response и NAS Registration Complete подтверждают разные процедуры.

Концептуальная иллюстрация подписки, политики и завершения с UDM, NRF, PCF и AMF; показатели на панели условные и не являются результатами измерений. — Концептуальная иллюстрация подписки, политики и завершения с UDM, NRF, PCF и AMF;

Диагностируйте регистрацию отдельно от передачи данных

Если Registration Request не достигает AMF, проверьте радиосигнализацию, выбор AMF на gNB и NGAP Initial UE Message.
Если идентификация или аутентификация завершается неудачей, проверьте мобильный идентификатор, доступный контекст прежней AMF, выбор AUSF и результат аутентификации. Отдельно проверьте NAS Security Mode.
Если безопасность успешно установлена, но Registration Accept не следует, проверьте необходимые операции UDM, авторизацию NSSAI, ограничения доступа, условную обработку политик и возможное перераспределение AMF.
Если регистрация успешна, но данные не передаются, проследите PDU Session Establishment к SMF и UPF. Ресурсы N3 и правила N4, такие как PDR, FAR, QER и URR, относятся к управлению сессией и пользовательской плоскостью, а не доказывают завершение регистрации.

Частые вопросы

Чем управляет T3512?

T3512 управляет периодическим обновлением регистрации, когда оно применимо. Его значение и возможную деактивацию нужно интерпретировать по правилам NAS; регистрация не означает универсального фиксированного интервала обновления.

Обязательна ли проверка EIR в трассе?

Нет. Проверка идентификатора оборудования зависит от процедуры и политики оператора. Одно лишь её отсутствие не доказывает отказ.

Почему N3IWF отсутствует в обычном потоке NR?

N3IWF поддерживает недоверенный доступ не-3GPP к ядру 5G. В рассматриваемом примере NR UE получает доступ через gNB, поэтому эта функция не входит в путь доступа.

Почему количество обнаружений NRF различается между трассами?

Кэшированные результаты обнаружения, конфигурация и способы маршрутизации сервисов, например через SCP, могут изменять видимый трафик обнаружения. Сопоставляйте выбранную сетевую функцию и сервисный запрос, а не требуйте нового обмена NRF перед каждой операцией.