防火墙培训胶片-GTP特性ppt课件

E1000E培训胶片GTP安全特性,网络安全产品族,Page2,汇报提纲,GPRS简介GTP防火墙的组网模型GTP协议介绍GTP交互流程GTP特性安全功能介绍GTP特性日志功能GTP特性统计功能,Page3,GPRS概述：GPRS(GeneralPacketRadioService)是通用分组无线业务的简称，它是一种基于分组交换传输数据的高效率方式。GPRS是在现有的GSM移动通信系统基础之上发展起来的一种移动分组数据业务。GPRS通过在GSM数字移动通信网络中引入分组交换功能实体，以支持采用分组方式进行的数据传输。GPRS系统可以看作是对原有的GSM电路交换系统进行的业务扩充，以满足用户利用移动终端接入Internet或其它分组数据网络的需求。GPRS应用领域：GPRS主要的应用领域可以是：E-mail电子邮件、WWW浏览、WAP业务、电子商务、信息查询、远程监控等。GPRS逻辑结构：GPRS的逻辑结构GPRS从逻辑上来说，可以在GSM网络结构中增添两个新的网络节点来实现。这两个节点是：GPRS业务支持节点(ServingGPRSsupportnode，SGSN)。GPRS网关支持节点(GatewayGPRSsupportnode，GGSN)。,GPRS简介,Page4,GPRS简介,GPRS的逻辑结构图,Page5,GPRS简介,GPRS的逻辑图,Page6,GPRS简介,SGSN节点概念：SGSN即GPRS服务支持节点，它是当前正在为MS提供业务的节点(即Gb接口由SGSN支持)。在激活GPRS业务时，SGSN负责与MS建立移动性和安全保密性的有关信息。在PDP信息被激活时，SGSN负责与GGSN建立路由的PDP信息。SGSN节点功能：为该SGSN区域内的分组数据包进行路由转发。对用户进行加密与鉴权。维护和管理每个用户的会话。移动性管理功能，对用户的当前位置进行实时更新。,Page7,GPRS简介,GGSN节点概念：GGSN节点，即GPRS网关支持节点，它的主要功能是将GPRS网络中的数据报文转发到另一个GPRS网络或分组数据网络。GGSN节点功能：GGSN节点为本服务区域的MS转发输入/输出的报文。对外部网络报文的PDP(PacketDataProtocol)地址进行分析后从GGSN节点转入GPRS网。GGSN节点的会话管理：GGSN可以通过Gc接口从HLR查询该移动用户当前的位置信息，提供数据包在GPRS网和外部数据网之间的路由和封装。在用户的接入过程中，根据用户的签约信息和接入的APN确定用户选择那个GGSN节点作为网关。GGSN节点完成MS同外部网的通信建立过程，将用户的分组数据发往正确的SGSN，GGSN存储已经激活(attached)GPRS业务的用户的路由信息，并能根据该信息将PDU(ProtocolDataUnits)通过隧道(tunnel)技术发送到MS的当前注册点,也就是SGSN。,Page8,GPRS简介,GPRS网络中主要有以下三种接口：Gn口：GN口就是指同一个PLMN网络中的不同GSN节点之间的接口。该接口承载GTP协议报文，终端和终端、终端和分组数据网络的所有报文（信令及业务报文）都必须经过GN接口。Gp口：Gp口就是不同PLMN网络间的GSN节点间的接口，该接口也承载GTP协议报文，在通信协议上与Gn接口相同，但是增加了边缘网关（BG，BorderGateway）和防火墙，通过BG来提供边缘网关路由协议，以完成归属于不同PLMN的GPRS支持节点之间的通信。Gp接口主要用来实现不同PLMN之间的数据漫游业务，Gp接口之间也运行GTP协议。Gi口：GGSN通过Gi口实现GPRS网和外部数据网（PDP）的互联。GGSN实际上是两个互联网网关，在Gi接口上没有新的技术，完全采用现在的IP技术，因此在Gi接口层面看GGSN，GGSN和一台普通的路由器没有本质区别。E1000E防火墙需要重点关注Gn、Gp、Gi三个接口。,Page9,汇报提纲,GPRS简介GTP防火墙的组网模型GTP协议介绍GTP交互流程GTP特性安全功能介绍GTP特性日志功能GTP特性统计功能,Page10,GTP防火墙的组网模型,GTP防火墙的应用接口在Gn口和Gp口上承载的都是GTP协议，所以在此两种口上可以使用GTP防火墙进行GTP安全特性检测。而Gi口本身就是一个Internet接口，没有GTP协议，只有标准的TCP/UDP/IP协议，因此不需要GTP防火墙。GTP防火墙组网模型：GTP防火墙在GPRS网络中的组网模型，如下图：,Page11,汇报提纲,GPRS简介GTP防火墙的组网模型GTP协议介绍GTP交互流程GTP特性安全功能介绍GTP特性日志功能GTP特性统计功能,Page12,GTP协议介绍,GTP协议概述：GTP协议是核心网设备SGSN/GGSN或GGSN/GGSN间Gn/Gp接口的一种隧道协议。该协议分为控制面和用户面两个部分，控制面用来协商、维护隧道以及交互相关信令，用户面用来传递网络中的分组数据包。GTP协议基于TCP/UDP之上的一个应用协议,目前华为的GPRS设备上GTP协议都是使用UDP协议承载。GTP协议有两个版本：GTPv0：四层端口号GTP-C/GTP-U都是3386。GTPv1：四层端口号GTP-C为2123，GTP-U为2152。,GTPGn/Gp接口,Page13,GTP协议介绍,GTP协议基本概念：PDP：PacketDataProtocol，外部网络和GPRS互通所使用的网络协议，例如IP/PPP等。PDPContext：PDP上下文，在MS、GSN中保存的与PDP相关的信息集合，通常将一个PDP上下文称作一个GTP隧道。GTP：用于计费的GTP协议，它在消息格式、支持的消息类型等方面与GTP不同。GTP头中的PT位用于区分GTP消息和GTP消息。GTP-C：GTP控制面，用于隧道(PDP)维护。GTP-U：GTP数据面，对用户数据加封装或解封装。,Page14,GTP协议介绍,协议版本：GTP有两个版本GTPv0和GTPv1,GTP有三个版本v0、v1、v2。TEID：TunnelEndpointIdentifier，GTPv1的概念，用于表示一条隧道(PDP)，分为数据面TEID(TEID(U)和控制面TEID(TEID(C)，由SGSN和GGSN自己分配。TID：GTPv0的概念，由IMSI+NSAPI构成，和TEID作用相同。NSAPI：NetworkServiceAccessPointIdentifier，和TEID(C)或IMSI一起用于标示同一用户激活的不同上下文，范围0,15。APN：AccessPointName，接入点名称，在GGSN中用于标识一个指定的外部网络和一种服务的ISP，在SGSN中可根据APN通过DNS域名解析得到与此APN对应的GGSN地址。,Page15,GTP协议介绍,GTPV0协议报文头字段解析：Version：GTP版本。PT：ProtocolType，若为1则指明是GTP消息，为0则指明是GTP消息。SNN：标示是否包含SNDCPN-PDUNumber。MessageType：指示GTP消息的类型。Length：GTP消息的长度，不含GTP头的长度。SequenceNumber：消息序列号。SNDCPN-PDUNumber：用于SGSN间路由区更新过程。TID：隧道标识。FlowLabel：定义GTP流，没有实际用处GTPV0消息头部为固定长度20字节。,Page16,GTP协议介绍,GTPV1协议报文头字段解析：固定域：Version：GTP版本PT：ProtocolType，若为1则指明是GTP消息，为0则指明是GTP消息。E：指示是否包含扩展头。S：指示是否包含SequenceNumber域。PN：指示是否包含N-PDUNumber域。MessageType：指示GTP消息的类型。Length：GTP消息的长度，不含GTP头的长度，但包含扩展头长度。TEID：隧道标识。可选域：SequenceNumber：消息序列号。N-PDUNumber：用于SGSN间路由区更新过程。NextExtensionHeaderType：下一个扩展头类型。,GTPV1头部长度为变长，其最小长度为8,Page17,汇报提纲,GPRS简介GTP防火墙的组网模型GTP协议介绍GTP交互流程GTP特性安全功能介绍GTP特性日志功能GTP特性统计功能,Page18,GTP交互流程,GTP控制平面主要包括以下4类GTP信令消息：路径管理消息。在GSN对之间发送,可在一个路径上从一个GSN发送到另一个GSN,以发现对方的GSN是否激活。隧道管理消息。用来产生、更新和去除隧道,是控制和管理消息。使MS和外部分组数据网之间能通过SGSN(ServingGPRSSupportNode)为T-PDU进行路由。位置管理消息。是可选的消息,用来支持当使用网络请求的PDP文本激活过程。移动管理消息。在GPRS连接过程中或跨SGSN的路由更新过程中,在SGSN之间发送的信令消息。信令消息包含许多信息元素,可根据不同要求对这些GTP信息元素在信息域中进行不同格式的编码。,Page19,GTP交互流程,路径管理：EchoRequest和EchoResponse。两个GTP实体通过EchoRequest和EchoResponse检查链路情况,GSN收到EchoRequest后用同一流水号回EchoResponse。EchoRequest中有GSN重启动的次数,接收方据此判断发送方重启动后,则将所有与发送方有关的业务去活。,Page20,GTP交互流程,会话管理:分组路由和转发功能和PDP上下文的状态有着紧密关系，只有在一个PDP地址所对应的位于SGSN和GGSN中的PDP上下文都处于激活状态时，才可能对相应的PDP进行路由和转发。在GPRS系统中，传输数据是围绕PDP上下文来开展的，对PDP上下文的激活、修改和去激活的过程就是会话管理。,Page21,GTP交互流程,MS发起的PDP上下文激活流程MS向SGSN发出激活PDP上下文请求消息（包含NSAPI，TI，PDP类型，APN，要求的QoS，PDP配置选项）。SGSN根据MS提供的激活类型、PDP地址、APN，通过APN选择标准来解析GGSN地址，从而检查该请求是否有效。SGSN如果收到GGSN的创建PDP上下文响应，则在该PDP上下文中插入NSAPI、GGSN地址、动态PDP地址，并根据商定的QoS选择无线优先权，此时就已建立起MS与GGSN之间的路由，可以进行分组数据传送。,Page22,GTP交互流程,网络发起PDP上下文激活GGSN接收到来自外部PDN的PDPPDU，则将这些PDPPDU存储起来，并向HLR发出发送GPRS路由信息消息（包含IMSI）。如果HLR判断可为该请求提供服务，则返回发送GPRS路由信息确认消息（包含IMSI、SGSN地址、移动台不可及原因）。如果HLR判断不能为该请求提供服务（如HLR不知道其IMSI时），则返回有错应答消息（包含IMSI、MAP错误原因）。GGSN向HLR所指定的SGSN发送PDU通知请求消息（包含IMSI，PDP类型，PDP地址）。SGSN向GGSN返回PDU通知响应消息（包含原因）。SGSN向MS发出请求PDP上下文激活消息（包含TI、PDP类型、PDP地址）。后续流程与MS发起的PDP上下文激活规程一样。,Page23,GTP交互流程,PDP上下文的修改SGSN向GGSN发出更新PDP上下文请求消息（包含TID和商定的QoS）。如果商定的QoS与所要修改的PDP上下文不符，则GGSN拒绝该更新PDP上下文请求。否则存储该商定的QoS并向SGSN返回更新PDP上下文响应消息（包含TID和商定的QoS）。SGSN向MS发出修改PDP上下文请求消息（包含TI和商定的QoS，无线优先权）。MS如果接受该修改请求，则返回接受消息。否则发起PDP上下文去激活规程来去激活该PDP上下文。,Page24,GTP交互流程,MS发起的PDP上下文的去激活MS向SGSN发出去激活PDP上下文请求消息（包含TID）。SGSN向GGSN发出删除PDP上下文请求消息（包含TID），GGSN删除PDP上下文，释放动态PDP地址，并向SGSN返回响应消息。3.SGSN向MS返回去激活PDP上下文接受消息（包含TID）。,Page25,GTP交互流程,SGSN发起的PDP上下文的去激活SGSN向GGSN发出删除PDP上下文请求消息（包含TID），GGSN删除该PDP上下文，释放动态PDP地址，并向SGSN返回响应消息；SGSN向MS发出去激活PDP上下文请求消息（包含TI），MS删除PDP上下文，并向SGSN返回去激活PDP上下文接受消息。,Page26,GTP交互流程,GGSN发起的PDP上下文的去激活流程GGSN向SGSN发出删除PDP上下文请求消息（包含TID）；SGSN向MS发出去激活PDP上下文请求消息（包含TID），MS删除PDP上下文，并向SGSN返回去激活PDP上下文接受消息；SGSN向GGSN返回删除PDP上下文响应消息（包含TID），GGSN释放动态PDP地址和相应的PDP上下文。,Page27,GTP交互流程,GTP协议的传输平面功能：GTP是GRPS骨干网中GSN节点之间传递消息的传输承载协议。在GSN之间封装的T-PDU采用隧道传输。GTP将T-PDU封装成G-PDU在GPRS网中进行隧道传,G-PDU由GTP消息头和T-PDU封装而成,隧道由GTP头中的TID指示,路径由路径协议定义,几个隧道可复用一个路径。TID是在信令平台的CreatePDPContext消息建立过程中建立的。,Page28,汇报提纲,GPRS简介GTP防火墙的组网模型GTP协议介绍GTP交互流程GTP特性安全功能介绍GTP特性日志功能GTP特性统计功能,Page29,GTP特性安全功能介绍,GTP协议检测接入控制与信任度检测GTP状态检测GTP隧道流量控制,Page30,GTP特性安全功能介绍,Page31,GTP特性安全功能介绍,Page32,GTP特性安全功能介绍,Page33,GTP协议检测,GTP报文长度过滤：防火墙配置允许通过的GTP协议报文消息体的最小长度和最大长度，来限制通过防火墙的GTP协议报文消息体长度。消息体长度是以字节为单位的净荷长度，即分组中处理GTP头的必选部分外剩余部分的长度（即除去前面的8个字节）。通过解析GTP消息头中的长度字段，得到GTP协议报文的消息体长度。,命令配置：,Page34,GTP协议检测,GTP消息类型过滤：GTP消息类型的过滤是GTP安全处理最重要的部分。防火墙可以通过命令行的方式，指定相应版本的消息或某类型的消息运行通过还是拒绝通过，防火墙针对每个消息进行检测。缺省通过。具体的需求包括：指定消息类型GTP协议有两个版本v0和v1，两个版本里都有很多的消息类型，防火墙指定相应版本的消息或某类型的消息运行通过还是拒绝通过。用户面和控制面消息的端口检测gtp-c和gtp-u有各自的消息类型，在gtp-c端口不能有gtp-u的消息，在gtp-u的端口不能有gtp-c的消息。验证每个消息的头部合法性针对每个消息类型，进行头部合法性验证。验证可选头部是否与GTP-C矛盾，如S位在GTP-C中必须有,验证TEID与GTP消息类型是否矛盾。,Page35,GTP协议检测,参数说明:filter：表示过滤消息，也就是说不允许指定的消息通过undo：表示取消过滤操作，允许消息通过。all:表示所有的消息，包括unknown消息。unkown：表示识别不出的消息。gtp：表示GTP所有的消息。v0：表示GTP消息的版本为GTPv0。v1：表示GTP消息的版本为GTPv1。,Page36,GTP协议检测,消息IE过滤：IE（InformationElement）信息元素。GTP消息体内可以包含很多个不同的IE。对必选IE的验证可以避免很多缺陷报文攻击。GTP协议消息中的IE有三种存在类型：必选项：GTP消息体无论出现在什么情况下，该IE都是必须存在的。有条件的：GTP消息体在某些条件下，该IE是必须存在的，其他情况变成可选的。可选项：该IE可以存在也可以不存在，是可选择的。防火墙提供对必选IE的过滤。防火墙缺省不使能该功能。用户可以通过命令使能该功能。,Page37,GTP协议检测,参数说明:ie-confirm：表示使能IE检测。undo：表示取消表示使能IE检测。,Page38,GTP协议检测,消息扩展头检测：GTPv0消息头固定，GTPv1消息头是变长的，可以添加扩展头，容易引起攻击，需要针对GTPv1扩展头进行检测。对扩展头的检测包括：1）过滤扩展头单元类型，只让带有被定义扩展头（可通过命令行配置）的GTP消息通过；2）过滤非法扩展头，过滤掉长度定义非法、有重复扩展头单元的GTP消息通过；3）支持检测支持扩展头巨大的消息，扩展头的长度可由命令行配置；4）过滤无结尾的扩展头。命令格式：E1000E-gtp-xxexheader-givenchecktypeE1000E-gtp-xxexheader-repeatedfilterenable说明:该命令GTP报文包含指定类型的扩展头。对包含重复扩展头报文是否使能过滤,Page39,接入控制与信任度检测,APN及选择模式过滤：APN接入点名字，在网络请求的PDP上下文激活过程中GGSN发送接入点名，以标示希望连接MS的分组数据网的接入点。接入点名是来自MS或SGSN的信息，当使用相同的PDP类型时，GGSN用此区分不同的外部分组数据网络的接入。一个接入点名字由两个元素构成：一个网络ID，用来标示外部网络的名字，比如：“”。一个操作者ID，唯一的标示PLMN的操作者，比如：“mnc123.mcc456”。APN对应一种选择模式，表示APN的由来，有三种可能的选择模式：MobileStationMS提供APN，未签约检验。Network网络提供APN，未签约检验。Verified-MS或网络提供APN，已签约检验。,Page40,接入控制与信任度检测,IMSI前缀过滤：IMSI国际移动用户标示是MS的签约用户标示。由三部分元素构成：MCC（MobileCountryCode），MNC（MobileNetworkcode）和MSIN（MobileSubscriberIdentificationNumber）。MCC和MNC购成了IMSI的前缀，标示移动用户的本地网或PLMN。RAI前缀RAI路由区标示IE。RAI结构中也有MCC和MNC，用来标示SGSN的属性。MSISDN过滤MSISDN移动MS的国际PSTN/ISDN编号。可以配置过滤包含指定的MSISDN号的GTP消息。防火墙支持APN过滤、IMSI前缀过滤、IMSI前缀-APN过滤、RAI前缀过滤、MSISDN过滤以及几种过滤的组合。,Page41,接入控制与信任度检测,APN、IMSI前缀过滤、RAI前缀和MSISDN过滤的配置：防火墙可以同时配置很多条APN过滤、IMSI前缀过滤、APN与IMSI前缀、RAI前缀过滤、MSIDSN过滤以及组合过滤的规则。为了方便配置和管理。采用类似配置ACL规则的方法，若干条“rule”语句共同构成一种判断标准。GTP协议报文匹配rule的时候，按序号从小到大排列，匹配成功则返回，不再向后匹配。用户可以通过序号，删除rule；也可以通过指定序号的方式添加或插入rule。所有匹配成功的报文会根据匹配的规则进行相应的动作；没有匹配成功的报文，缺省通过。,Page42,接入控制与信任度检测,参数说明:rule-num：过滤的规则序号，如果不指定防火墙会自动生成。msisdn-name：MSISDN名字，1-15个字符。mccmnc：IMSI或RAI前缀数值，占用5-6个字符长度。apn-name：接入点名字字符串，支持“*”通配符，最长64个字符。any：所有的IMSI前缀或APN。ms：MS提供APN，未签约检验。net：网络提供APN，未签约检验。ver：MS或网络提供APN，已签约检验。,Page43,接入控制与信任度检测,重定向位置管理类消息检查GGSN提供位置查询功能的SGSN有一个特点，就是一般只会为本地的GGSN服务，利用这个特点可以使用源IP地址+GTP位置管理消息类型进行更严格的消息过滤来实现保护。RELOCATION也只会发生在相临的SGSN间，可以进行严格的源IP地址+RELOCATION消息过滤来防止攻击。源地址检测对于GTP位置管理类消息，可以分析其源地址，与保存的本地GGSN地址比较是否一致，不一致则丢弃，可以防止攻击者使用SGSN攻击HLR。对于RELOCATION消息，可以分析其源地址，与保存的相邻SGSN地址比较，查看是否属于相邻SGSN，不属于则丢弃，可以防止PDP攻击和对RNC的攻击。,Page44,接入控制与信任度检测,ggsn-ip/sgsn-ip指定ggsn或sgsn的IP地址，最多可以配置20个。,Page45,GTP隧道流量控制,流量限制功能控制面速率限制：控制GTP控制面的流量速度，以保护防火墙内的GSN节点不受到Dos过量数据包攻击。扩展头通告消息速率限制：支持通过限制SupportedExtensionHeadersNotification消息的通过速度来防止路径拥塞攻击。计算报文的速率是否超过了防火墙设定的阈值，如果超过可以认为是一种异常或者攻击行为，此时将对经过的GTP报文进行速度限制.直到其速率降到合理的范围，才解除限制措施。隧道限制功能可以设置防火墙支持的最大隧道数，减轻GSN的负担。防火墙在收到SGSN发向GGSN的创建PDP上下文请求报文，或者是原SGSN向新SGSN发送SGSN上文请求报文时，检测防火墙的隧道数是否已经达到阈值，来决定是否允许该报文通过。,Page46,GTP隧道流量控制,rate-num：GTP隧道包速率数值，单位：包/秒，缺省为0，表示不限制。tunnel-num：防火墙支持的最多GTP隧道数，缺省为0，表示不限制。,Page47,GTP状态检测,消息交互状态检测：GTP协议采用一问一答的形式进行消息交互。GSN节点向另一个GSN节点发送请求消息的时候，另一个GSN节点就必须向这个发送请求的节点发送响应消息。状态检测是建立在当前消息的上一个消息基础上的，上一个消息改变了通道当前状态，如果本消息符合通道处理上一个消息后的状态，则运行通过，否则丢弃。因此，在交互过程中，GTP通信具有动态的状态变化。防火墙针对GTP报文的交互过程，检测GTP消息的状态，以进行状态切换的合法性检测。GTP报文通过查询防火墙上的pdp上下文来进行状态转换，当需要的隧道报文在防火墙上查不到pdp上下文时则丢弃该GTP报文。命令格式：在系统视图下：undofirewallgtpstate-checkenable说明：该命令用于控制防火墙进行状态检测。缺省不检测。,Page48,GTP状态检测,SEQUENCE确认GTP协议是基于UDP协议的，而UDP协议是不可靠的连接协议。所以GTP协议在GTP头增加了一个扩展的序号字段，序号是逐个报文递增的，这样用来维护消息传送的可靠性。防火墙的处理是从建立隧道开始的GTP报文开始，记录序号，后续来一个报文，都与之对比，如果不是差1的话，会丢弃报文；否则更新纪录序号加1，等待检测下一个GTP报文。这样检测起来很简单，但是如果检测出一个报文序号不对将其丢弃，那后面的所有报文都被丢弃。所以采用窗口过滤的原理，将前后报文序列号在一定范围内就让报文通过，否则丢弃。命令格式：在GTP策略视图下。undoseq-numberenable说明：该命令用于控制防火墙对GTP隧道