Диаметр кабеля ввг: Внешний диаметр кабеля ВВГ / Таблицы

Сетевая рабочая группа П.Калхун
Запрос комментариев: 3588 Airespace, Inc.
Категория: Стандарты Track J. Loughney
                                                                   Nokia
                                                              Э. Гуттман
                                                  Sun Microsystems, Inc.
                                                                 Г. Цорн
                                                     Cisco Systems, Inc.Дж. Аркко
                                                                Ericsson
                                                          Сентябрь 2003 г. 


                         Базовый протокол диаметра

Статус этой памятки

   Этот документ определяет протокол отслеживания стандартов Интернета для
   Интернет-сообщество и просит обсуждения и предложения по
   улучшения. Пожалуйста, обратитесь к текущему выпуску "Интернет
   Официальные стандарты протокола »(STD 1) для состояния стандартизации
   и статус этого протокола.Распространение памятки не ограничено.

Уведомление об авторских правах

   Авторские права (C) The Internet Society (2003). Все права защищены.

Аннотация

   Базовый протокол Diameter предназначен для аутентификации,
   Структура авторизации и учета (AAA) для таких приложений, как
   сетевой доступ или IP-мобильность. Диаметр также предназначен для работы в
   как локальная аутентификация, авторизация и учет, так и роуминг
   ситуации. Этот документ определяет формат сообщения, транспорт,
   отчеты об ошибках, бухгалтерский учет и службы безопасности, которые могут использовать все
   Применения диаметра.Базовое приложение Diameter должно быть
   поддерживается всеми реализациями Diameter. 

Условные обозначения, используемые в этом документе

   Ключевые слова «ДОЛЖНЫ», «НЕ ДОЛЖНЫ», «ОБЯЗАТЕЛЬНО», «ДОЛЖНЫ», «НЕ ДОЛЖНЫ»,
   «ДОЛЖЕН», «НЕ ДОЛЖЕН», «РЕКОМЕНДУЕТСЯ», «МОЖЕТ» и «ДОПОЛНИТЕЛЬНО» в этом
   документ следует интерпретировать, как описано в BCP 14, RFC 2119
   [КЛЮЧЕВОЕ СЛОВО].







Калхун и др. Стандарты Track [Страница 1] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


Содержание

   1.Введение................................................. 6
       1.1. Протокол диаметра ..................................... 9
              1.1.1. Описание комплекта документов .............. 10
       1.2. Подход к расширяемости ............................. 11
              1.2.1. Определение новых значений AVP ..................... 11
              1.2.2. Создание новых AVP ............................ 11
              1.2.3. Создание новых приложений для аутентификации .....11
              1.2.4. Создание новых бухгалтерских приложений . ........ 12
              1.2.5. Процедуры аутентификации приложения ........ 14
       1.3. Терминология ........................................... 14
   2. Обзор протокола ........................................... 18
       2.1. Транспорт ............................................. 20
              2.1.1. Рекомендации по SCTP .............................. 21
       2.2. Защита сообщений о диаметре ............................ 21
       2.3. Соответствие диаметру приложения ....................... 21
       2.4. Идентификаторы приложений ............................... 22
       2.5. Соединения и сеансы .............................. 22
       2.6. Таблица сверстников ............................................ 23
       2.7. Таблица маршрутизации на основе области ............................. 24
       2.8. Роль агентов диаметра ............................... 25
              2.8.1. Релейные агенты ................................. 26
              2.8.2. Прокси-агенты ...... ........................... 27
              2.8.3. Агенты перенаправления .............................. 28
              2.8.4. Бюро переводов ........................... 29
       2.9. Структура сквозной безопасности ......................... 30
       2.10. Авторизация по диаметру пути ........................... 30
   3. Диаметр заголовка .............................................. 32
       3.1. Коды команд ......................................... 35
       3.2. Код команды Спецификация ABNF ....................... 36
       3.3. Соглашения об именах команд Diameter .......................
   4. Диаметр AVP .............................................. .. 38
       4.1. Заголовок AVP ............................................ 39
              4.1.1. Дополнительные элементы заголовка ..................... 41
       4.2. Основные форматы данных AVP ................................ 41
       4.3. Производные форматы данных AVP.............................. 42
       4.4. Сгруппированные значения AVP . ................................... 49
              4.4.1. Пример AVP с сгруппированным типом данных ......... 50
       4.5. AVP для базового протокола диаметра ........................... 53
   5. Пары диаметра .............................................. 56
       5.1. Одноранговые соединения ...................................... 56
       5.2. Диаметр равноправного узла ............................... 56
       5.3. Обмен возможностями................................. 59
              5.3.1. Возможности-Обмен-Запрос ................ 60
              5.3.2. Возможности-Обмен-Ответ ................. 60
              5.3.3. Vendor-Id AVP ................................ 61
              5.3.4. Версия прошивки AVP ........................ 61



Калхун и др. Стандарты Track [Страница 2] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


              5.3.5. Host-IP-Address AVP .......................... 62
              5.3.6. Поддерживаемый идентификатор поставщика AVP . .................... 62
              5.3.7. Название продукта AVP ............................. 62
       5.4. Отключение одноранговых соединений ........................ 62
              5.4.1. Disconnect-Peer-Request ...................... 63
              5.4.2. Disconnect-Peer-Answer ....................... 63
              5.4.3. Отключение-причина AVP ......................... 63
       5.5. Обнаружение сбоев транспорта ........................... 64
              5.5.1. Device-Watchdog-Request ...................... 64
              5.5.2. Ответ устройства-сторожевого пса ....................... 64
              5.5.3. Алгоритм отказа транспорта .................. 65
              5.5.4. Процедуры аварийного переключения и восстановления после сбоя ............. 65
       5.6. Конечный автомат узла .................................... 66
              5.6.1. Входящие соединения ......................... 68
              5.6.2. События ....................................... 69
              5. 6.3. Действия ...................................... 70
              5.6.4. Избирательный процесс ......................... 71
   6. Обработка сообщения Diameter .................................. 71
       6.1. Обзор маршрутизации запроса диаметра ..................... 71
              6.1.1. Отправка запроса ........................ 73
              6.1.2. Отправка запроса ............................ 73
              6.1.3. Прием запросов ........................... 73
              6.1.4. Обработка локальных запросов .................... 73
              6.1.5. Пересылка запросов ........................... 74
              6.1.6. Маршрутизация запросов .............................. 74
              6.1.7. Перенаправление запросов ......................... 74
              6.1.8. Ретрансляция и проксирование запросов ............... 75
       6.2. Обработка ответа Diameter ............................ 76
              6.2.1. Обработка полученных ответов .................. 77
              6. 2.2. Ретрансляция и проксирование ответов ................ 77
       6.3. Исходный хост AVP ....................................... 77
       6.4. Исходное царство AVP ...................................... 78
       6.5. AVP назначения-хоста .................................. 78
       6.6. Целевая область AVP ................................. 78
       6.7. Маршрутизация AVP .......................................... 78
              6.7.1. Маршрут-запись AVP ............................. 79
              6.7.2. Прокси-информация AVP ............................... 79
              6.7.3. Прокси-хост AVP ............................... 79
              6.7.4. Прокси-состояние AVP .............................. 79
       6.8. Auth-Application-Id AVP ............................... 79
       6.9. Acct-Application-Id AVP ............................... 79
       6.10. Внутренний идентификатор безопасности AVP ................................ 79
       6.11. AVP с идентификатором приложения, зависящим от поставщика . ................... 80
       6.12. Перенаправление хоста AVP ..................................... 80
       6.13. Перенаправление-использование хоста AVP ............................... 80
       6.14. Перенаправление-максимальное время кэширования AVP ........................... 81
       6.15. E2E-последовательность AVP ...................................... 82




Калхун и др. Стандарты Track [Страница 3] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   7.Обработка ошибок ............................................... 82
       7.1. Код результата AVP ....................................... 84
              7.1.1. Информационная ................................ 84
              7.1.2. Успех ...................................... 84
              7.1.3. Ошибки протокола .............................. 85
              7.1.4. Переходные отказы ........................... 86
              7.1.5. Постоянные отказы ...........................86
       7. 2. Бит ошибки ............................................. 88
       7.3. Сообщение об ошибке AVP ..................................... 89
       7.4. Отчеты об ошибках - хост AVP .............................. 89
       7.5. Failed-AVP AVP ........................................ 89
       7.6. AVP экспериментального результата ............................... 90
       7.7. AVP с кодом результата эксперимента .......................... 90
   8. Сеансы пользователей Diameter ....................................... 90
       8.1. Конечный автомат сеанса авторизации ................... 92
       8.2. Конечный автомат сеанса учета ...................... 96
       8.3. Повторная аутентификация, инициированная сервером .............................. 101
              8.3.1. Re-Auth-Request .............................. 102
              8.3.2. Повторная авторизация-ответ ............................... 102
       8.4. Завершение сеанса ................................... 103
              8. 4.1. Запрос-прекращение сеанса.................. 104
              8.4.2. Ответ о завершении сеанса ................... 105
       8.5. Прерывание сеанса .................................... 105
              8.5.1. Запрос на прерывание сеанса ........................ 106
              8.5.2. Ответ на прерывание сеанса ......................... 106
       8.6. Вывод о завершении сеанса по идентификатору исходного состояния .... 107
       8.7. AVP типа запроса аутентификации ................................. 108
       8.8. Идентификатор сеанса AVP ........................................ 108
       8.9. Авторизация-пожизненная AVP ............................ 109
       8.10. Auth-Grace-Period AVP ................................. 110
       8.11. Авторизация-состояние сеанса AVP ................................ 110
       8.12. AVP типа запроса повторной аутентификации .............................. 110
       8.13. AVP тайм-аута сеанса ................................... 111
       8. 14. Имя пользователя AVP ......................................... 111
       8.15. Причина прекращения AVP................................. 111
       8.16. AVP с идентификатором исходного состояния ................................... 112
       8.17. AVP с привязкой к сеансу ................................... 113
       8.18. Сеанс-сервер-отказоустойчивый AVP ........................... 113
       8.19. AVP с тайм-аутом нескольких раундов .............................. 114
       8.20. Класс AVP ............................................. 114
       8.21. Событие-временная метка AVP ................................... 115
   9. Бухгалтерский учет ................................................... 115
       9.1. Модель, ориентированная на сервер ................................. 115
       9.2. Сообщения протокола ..................................... 116
       9.3. Требования к заявочной документации ..................... 116
       9.4. Устойчивость к сбоям .................... .................. 116
       9.5. Бухгалтерские записи .................................... 117
       9.6. Корреляция бухгалтерских записей ..................... 118



Калхун и др.Стандарты Track [Страница 4] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


       9.7. Коды команд учета .............................. 119
              9.7.1. Бухгалтерия-Запрос ........................... 119
              9.7.2. Бухгалтерия-Ответ ............................ 120
       9.8. Бухгалтерские AVP ....................................... 121
              9.8.1. Учетная запись типа AVP ................... 121
              9.8.2. Acct-Interim-Interval AVP .................... 122
              9.8.3. Учетная запись-номер AVP ................. 123
              9.8.4. Acct-Session-Id AVP .......................... 123
              9.8.5. Acct-Multi-Session-Id AVP .................... 123
              9.8.6. Учет-идентификатор подсессии AVP ......... ....... 123
              9.8.7. AVP для учета в реальном времени ............. 123
   10. Таблица встречаемости AVP ......................................... 124
       10.1. Таблица AVP команд основного протокола ....................... 124
       10.2. Учетная таблица AVP .................................. 126
   11. Вопросы IANA ......................................... 127
       11.1. Заголовок AVP ............................................ 127
              11.1.1. Код AVP ..................................... 127
              11.1.2. Флаги AVP .................................... 128
       11.2. Заголовок диаметра ....................................... 128
              11.2.1. Коды команд ................................ 128
              11.2.2. Флаги команд ................................ 129
       11.3. Идентификаторы приложений ............................... 129
       11.4. Значения AVP ............................................ 129
              11.4.1. Значения AVP кода результата . ...................... 129
              11.4.2. Значения AVP типа бухгалтерской записи ............ 130
              11.4.3. Значения AVP причины прекращения................. 130
              11.4.4. Значения AVP Redirect-Host-Usage ............... 130
              11.4.5. Значения AVP сеанса-сервера-аварийного переключения ........... 130
              11.4.6. Значения AVP, привязанные к сеансу ................... 130
              11.4.7. Значения AVP причины отключения .................. 130
              11.4.8. Значения AVP типа запроса аутентификации ................. 130
              11.4.9. Значения AVP Auth-Session-State ................ 130
              11.4.10. Значения AVP типа Re-Auth-Request.............. 131
              11.4.11. Значения AVP, требуемые для учета в реальном времени ...... 131
       11.5. Номера портов TCP / SCTP диаметра ........................ 131
       11.6. Сфера обслуживания НАПТР .................................. 131
   12. Настраиваемые параметры, относящиеся к протоколу диаметра . ........... 131
   13. Соображения безопасности ...................................... 132
       13.1. Использование IPsec ........................................... 133
       13.2. Использование TLS ............................................. 134
       13.3. Рекомендации по одноранговой сети ........................... 134
   14. Список литературы ............................................... .... 136
       14.1. Нормативные ссылки .................................. 136
       14.2. Информационные ссылки ................................ 138
   15. Благодарности ............................................. 140
   Приложение A. Шаблон обслуживания по диаметру ........................... 141
   Приложение Б. Пример NAPTR ....................................... 142
   Приложение C. Обнаружение дубликатов ................................. 143



Калхун и др. Стандарты Track [Страница 5] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Приложение D.  Заявление об интеллектуальной собственности ..................... 145
   Адреса авторов ............................................... 146
   Полное заявление об авторских правах ......................................... 147

1.Введение

   Протоколы аутентификации, авторизации и учета (AAA), такие как
   TACACS [TACACS] и RADIUS [RADIUS] изначально были развернуты в
   обеспечивают коммутируемый PPP [PPP] и доступ к терминальному серверу. Через некоторое время,
   с ростом Интернета и введением нового доступа
   технологии, включая беспроводную связь, DSL, Mobile IP и Ethernet,
   маршрутизаторы и серверы доступа к сети (NAS) стали более сложными
   и плотность, что предъявляет новые требования к протоколам AAA.

   Требования к сетевому доступу для протоколов AAA кратко изложены в
   [AAAREQ].К ним относятся:

   Отказоустойчивый
      [RADIUS] не определяет механизмы переключения при отказе, и, как следствие,
      Поведение при отказе зависит от реализации. Чтобы
      обеспечивают четко определенное поведение при отказе, поддерживает Diameter
      подтверждения на уровне приложений и определяет аварийное переключение
      алгоритмы и связанный с ними конечный автомат.  Это описано в
      Раздел 5.5 и [AAATRANS].

   Безопасность на уровне передачи
      [RADIUS] определяет аутентификацию и целостность на уровне приложений.
      схема, которая требуется только для использования с ответными пакетами.В то время как
      [RADEXT] определяет дополнительную аутентификацию и целостность
      механизм, использование требуется только во время расширяемой аутентификации
      Сеансы протокола (EAP). Хотя скрытие атрибутов поддерживается,
      [RADIUS] не обеспечивает поддержку конфиденциальности каждого пакета.
      В бухгалтерском учете [RADACCT] предполагает, что защита от воспроизведения
      предоставляется внутренним сервером выставления счетов, а не внутри
      сам протокол.

      Хотя [RFC3162] определяет использование IPsec с RADIUS, поддержка
      IPsec не требуется.Поскольку в [IKE] происходит аутентификация
      только в рамках Фазы 1 до создания IPsec SA в
      Фаза 2, как правило, невозможно определить отдельное доверие или
      схемы авторизации для каждого приложения.  Это ограничивает
      полезность IPsec в междоменных приложениях AAA (например,
      роуминг), где может быть желательно определить отдельный
      иерархия сертификатов для использования в развертывании AAA. Чтобы
      обеспечить универсальную поддержку безопасности на уровне передачи и
      включение как внутри-, так и междоменного развертывания AAA, поддержка IPsec
      является обязательным в Diameter, а поддержка TLS необязательна.Безопасность
      обсуждается в разделе 13.



Калхун и др. Стандарты Track [Страница 6] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Надежный транспорт
      RADIUS работает через UDP и не определяет поведение повторной передачи;
      в результате надежность варьируется в зависимости от реализации. В виде
      описано в [ACCMGMT], это серьезная проблема в бухгалтерском учете, где
      потеря пакетов может привести непосредственно к потере дохода.Чтобы
      обеспечивают четко определенное транспортное поведение, диаметр превышает
      надежные транспортные механизмы (TCP, SCTP), как определено в
      [AAATRANS]. 

   Агентская поддержка
      [RADIUS] не предоставляет явной поддержки агентов,
      включая прокси, перенаправления и реле. Поскольку ожидаемый
      поведение не определено, оно варьируется в зависимости от реализации.
      Диаметр явно определяет поведение агента; это описано в
      Раздел 2.8.

   Сообщения, инициированные сервером
      Хотя сообщения, инициированные сервером RADIUS, определены в [DYNAUTH],
      поддержка не обязательна.Это затрудняет реализацию
      такие функции, как незапрошенное отключение или
      повторная аутентификация / повторная авторизация по запросу в разнородной
      развертывание. Поддержка сообщений, инициированных сервером, обязательна в
      Диаметр и описан в разделе 8.

   Возможность аудита
      RADIUS не определяет механизмы безопасности объектов данных, и как
      в результате ненадежные прокси могут изменять атрибуты или даже пакеты
      заголовки не обнаруживаются. В сочетании с отсутствием поддержки
      переговоры о возможностях, это очень затрудняет
      определить, что произошло в случае спора. В то время как
      реализация защиты объекта данных не является обязательной в пределах
      Диаметр, эти возможности поддерживаются и описаны в
      [AAACMS].

   Переходная поддержка
      В то время как Diameter не использует общий блок данных протокола (PDU)
      с RADIUS были приложены значительные усилия для обеспечения
      обратная совместимость с RADIUS, так что два протокола могут
      быть развернутыми в той же сети. Первоначально ожидается, что
      Диаметр будет развернут в новых сетевых устройствах, а также
      внутри шлюзов, обеспечивающих связь между устаревшими RADIUS
      устройств и агентов Diameter.Эта возможность, описанная в
      [NASREQ], позволяет добавлять поддержку Diameter в устаревшие сети,
      добавлением шлюза или сервера, говорящего как на RADIUS, так и на
      Диаметр.






Калхун и др. Стандарты Track [Страница 7] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Помимо выполнения вышеуказанных требований, Diameter также
   обеспечивает поддержку для следующего:

   Возможность переговоров
      RADIUS не поддерживает сообщения об ошибках, согласование возможностей или
      обязательный / необязательный флаг для атрибутов. С RADIUS
      клиенты и серверы не осведомлены о возможностях друг друга,
      они не смогут успешно вести переговоры о взаимных
      приемлемый сервис, а в некоторых случаях даже знать, что
      услуга реализована. Диаметр включает поддержку ошибок
      обработка (раздел 7), согласование возможностей (раздел 5.3) и
      обязательные / необязательные пары атрибут-значение (AVP) (Раздел
      4.1).

   Обнаружение и настройка пира
      Реализации RADIUS обычно требуют, чтобы имя или адрес
      серверов или клиентов можно настроить вручную, а также
      соответствующие общие секреты.Это приводит к большому
      административное бремя, и создает соблазн повторно использовать
      Общий секрет RADIUS, что может привести к серьезной безопасности
      уязвимости, если аутентификатор запроса не глобально и
      уникальный во времени, как требуется в [RADIUS]. Через DNS, Диаметр
      позволяет динамическое обнаружение пиров. Вывод динамической сессии
      ключи активируются через безопасность на уровне передачи. 

   Поддержка роуминга
      Рабочая группа ROAMOPS провела обзор реализации роуминга.
      [ROAMREV], подробные требования к роумингу [ROAMCRIT], определяют
      Идентификатор доступа к сети (NAI) [NAI] и задокументированные существующие
      реализации (и имитации) роуминга на основе RADIUS
      [PROXYCHAIN].Чтобы улучшить масштабируемость, [PROXYCHAIN]
      представил концепцию цепочки прокси через промежуточный
      сервер, облегчающий роуминг между провайдерами. Однако, поскольку
      RADIUS не предоставляет явной поддержки прокси и не имеет
      возможности проверки и безопасности на уровне передачи, RADIUS-
      роуминг уязвим для атак со стороны внешних сторон, так как
      а также подвержены мошенничеству со стороны роуминговых партнеров
      самих себя. В результате он не подходит для крупномасштабных
      развертывание в Интернете [PROXYCHAIN].Предоставляя явные
      поддержка междоменного роуминга и маршрутизации сообщений (разделы 2.7
      и 6) возможность аудита [AAACMS] и безопасность на уровне передачи. 
      (Раздел 13), Диаметр устраняет эти ограничения и
      обеспечивает безопасный и масштабируемый роуминг.

   За десятилетие, прошедшее с момента первого внедрения протоколов AAA,
   возможности устройств сервера доступа к сети (NAS) увеличились
   существенно. В результате диаметр значительно больше
   сложный протокол, чем RADIUS, по-прежнему возможно реализовать



Калхун и др.Стандарты Track [Страница 8] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   во встроенных устройствах, учитывая улучшение скорости процессора и
   широкая доступность встроенных IPsec и TLS
   реализации.

1.1. Протокол диаметра

   Базовый протокол Diameter предоставляет следующие возможности:

   - Доставка AVP (пары значений атрибутов)
   - Возможности переговоров
   - Уведомление об ошибке
   - Расширяемость за счет добавления новых команд и AVP (обязательно
      в [AAAREQ]).- Основные услуги, необходимые для приложений, такие как обработка
      пользовательские сеансы или учет

   Все данные, передаваемые протоколом, имеют форму AVP.  Некоторые из
   эти значения AVP используются самим протоколом Diameter, а
   другие предоставляют данные, связанные с конкретными приложениями, которые
   используйте Диаметр. AVP могут быть добавлены произвольно в сообщения Diameter,
   до тех пор, пока включены требуемые AVP и AVP, которые
   явно исключены, не включены. AVP используются базой
   Протокол Diameter для поддержки следующих необходимых функций:

   - Транспортировка информации аутентификации пользователя для целей
      включения сервера Diameter для аутентификации пользователя.- передача авторизационной информации для конкретной услуги,
      между клиентом и серверами, позволяя партнерам решать,
      запрос доступа пользователя должен быть удовлетворен.

   - Обмен информацией об использовании ресурсов, которая МОЖЕТ быть использована для
      бухгалтерские цели, планирование мощностей и т. д.

   - Ретрансляция, проксирование и перенаправление сообщений Diameter через
      иерархия серверов.

   Базовый протокол Diameter обеспечивает минимальные необходимые требования. 
   для протокола AAA, как того требует [AAAREQ].Базовый протокол может
   использоваться отдельно только для целей бухгалтерского учета или может использоваться
   с помощью приложения Diameter, например Mobile IPv4 [DIAMMIP], или
   доступ к сети [NASREQ]. Также возможно для базового протокола
   будет расширен для использования в новых приложениях путем добавления новых
   команды или AVP. В настоящее время в центре внимания Diameter
   приложения для доступа и учета. Поистине универсальный протокол AAA
   используется многими приложениями, может предоставлять функции, не предоставляемые
   Диаметр.Поэтому совершенно необходимо, чтобы дизайнеры новых
   приложения понимают свои требования перед использованием Diameter.



Калхун и др. Стандарты Track [Страница 9] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   См. Раздел 2.4 для получения дополнительной информации о приложениях Diameter.

   Любой узел может инициировать запрос. В этом смысле Diameter является равноправным
   одноранговый протокол.  В этом документе Diameter-клиент - это устройство на
   край сети, который выполняет контроль доступа, например
   Сервер доступа к сети (NAS) или внешний агент (FA).Диаметр
   клиент генерирует сообщения Diameter для запроса аутентификации,
   авторизация и бухгалтерские услуги для пользователя. Диаметр
   агент - это узел, который не аутентифицирует и / или не авторизует сообщения
   локально; агенты включают прокси, перенаправления и ретрансляторы. А
   Сервер Diameter выполняет аутентификацию и / или авторизацию
   пользователь. Узел Diameter МОЖЕТ действовать как агент для определенных запросов, пока
   выступая в качестве сервера для других.

   Протокол Diameter также поддерживает сообщения, инициированные сервером, такие как
   как запрос на прерывание обслуживания определенного пользователя.1.1.1. Описание комплекта документов

   В настоящее время спецификация диаметра состоит из базовой
   спецификация (этот документ), Транспортный профиль [AAATRANS] и
   приложения: мобильный IPv4 [DIAMMIP] и NASREQ [NASREQ].

   В документе транспортного профиля [AAATRANS] обсуждается транспортный уровень.
   проблемы, которые возникают с протоколами AAA, и рекомендации о том, как
   преодолеть эти проблемы. Этот документ также определяет диаметр
   алгоритм аварийного переключения и конечный автомат.

   Приложение Mobile IPv4 [DIAMMIP] определяет приложение Diameter
   что позволяет Diameter-серверу выполнять функции AAA для мобильных устройств.
   Услуги IPv4 для мобильного узла.Приложение NASREQ [NASREQ] определяет приложение Diameter, которое
   позволяет использовать сервер Diameter в коммутируемом соединении PPP / SLIP и
   Среда доступа к серверу терминалов. Рассмотрены
   серверы, которым необходимо выполнить преобразование протокола между Diameter и
   РАДИУС.

   Таким образом, этот документ определяет спецификацию базового протокола для
   AAA, который включает поддержку бухгалтерского учета. Мобильный IPv4 и
   Документы NASREQ описывают приложения, которые используют эту базу
   спецификация для аутентификации, авторизации и учета.Калхун и др. Стандарты Track [Страница 10] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


1.2. Подход к расширяемости

   Протокол Diameter предназначен для расширения за счет использования нескольких
   механизмы, в том числе:

      - Определение новых значений AVP
      - Создание новых AVP
      - Создание новых приложений аутентификации / авторизации
      - Создание новых бухгалтерских приложений
      - Процедуры аутентификации приложений

   Повторное использование существующих значений AVP, AVP и приложений Diameter.
   настоятельно рекомендуется.Повторное использование упрощает стандартизацию и
   реализация и позволяет избежать потенциальных проблем совместимости. это
   ожидается, что коды команд будут повторно использованы; новые коды команд могут быть только
   созданный консенсусом IETF (см. раздел 11.2.1).

1.2.1. Определение новых значений AVP

   Новые приложения должны пытаться повторно использовать AVP, определенные в существующих
   приложений, когда это возможно, в отличие от создания новых AVP. За
   AVP типа Enumerated, приложению может потребоваться новое значение для
   передать некоторую информацию о конкретной услуге.Чтобы выделить новое значение AVP, ДОЛЖЕН быть отправлен запрос в IANA.
   [IANA] вместе с объяснением нового значения AVP. IANA
   особенности диаметра обсуждаются в разделе 11.

1.2.2. Создание новых AVP

   Когда нельзя использовать существующую AVP, следует создать новую AVP. В
   новая определяемая AVP ДОЛЖНА использовать один из типов данных, перечисленных в
   Раздел 4.2.

   В случае необходимости логической группировки AVP, и
   в данной команде возможно несколько "групп", рекомендуется
   использовать сгруппированный AVP (см. раздел 4.4).

   Чтобы создать новую AVP, ДОЛЖЕН быть отправлен запрос в IANA с
   спецификация для AVP. Запрос ДОЛЖЕН включать команды
   это будет использовать AVP.

1.2.3. Создание новых приложений для аутентификации

   Каждой спецификации приложения Diameter ДОЛЖЕН быть назначен IANA.
   Идентификатор приложения (см. Раздел 2.4) или конкретный поставщик
   Идентификатор приложения.




Калхун и др. Стандарты Track [Страница 11] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Если новый сценарий использования Diameter окажется неспособным вписаться в
   существующее приложение, не требующее серьезных изменений в
   спецификации, может быть желательно создать новый диаметр
   применение.Основные изменения в приложении:

   - Добавление в команду новых AVP, у которых установлен бит "M".

   - Требование команды, которая имеет другое количество циклических обращений к
      удовлетворить запрос (например, в приложении foo есть команда,
      требуется одно путешествие туда и обратно, но на новой панели приложения есть команда
      для завершения требуется два обхода).

   - Добавление поддержки метода аутентификации, требующего определения
      новых AVP для использования с приложением. С нового EAP
      метод аутентификации может поддерживаться в Diameter без
      требуя новых AVP, добавление методов EAP не требует
      создание нового приложения для аутентификации.Создание нового приложения следует рассматривать как крайнюю меру. An
   реализация МОЖЕТ добавлять произвольные необязательные AVP к любой команде
   определены в приложении, включая AVP для конкретных поставщиков без
   необходимо определить новое приложение. См. Раздел 11.1.1.
   для подробностей.

   Чтобы оправдать присвоение нового идентификатора приложения,
   Приложения Diameter ДОЛЖНЫ определять один код команды или добавлять новые.
   обязательные AVP для ABNF.

   Ожидаемые AVP ДОЛЖНЫ быть определены в грамматике ABNF [ABNF] (см.
   Раздел 3.2). Если в приложении Diameter есть учет
   требований, он ДОЛЖЕН также указывать AVP, которые должны присутствовать в
   сообщения учета диаметра (см. раздел 9.3). Однако просто
   поскольку требуется новый идентификатор приложения аутентификации, не
   подразумевают, что требуется новый идентификатор бухгалтерского приложения.

   Когда возможно, новое приложение Diameter ДОЛЖНО повторно использовать существующие
   Диаметр AVP, чтобы избежать определения нескольких AVP, которые несут
   аналогичная информация.

1.2.4. Создание новых бухгалтерских приложений

   Есть службы, для которых требуется только учет диаметра.Такие
   сервисам необходимо определить AVP, передаваемые в Accounting-Request.
   (ACR) / Account-Answer (ACA), но не нужно определять
   новые коды команд. Реализация МОЖЕТ добавлять произвольные необязательные
   AVP (AVP с не установленным битом "M") для любой команды, определенной в





Калхун и др. Стандарты Track [Страница 12] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   приложение, включая AVP, зависящие от поставщика, без необходимости
   определить новое бухгалтерское приложение.См. Раздел 11.1.1.
   для подробностей.

   Идентификаторы приложений по-прежнему требуются для возможности использования Diameter
   обмен. Спецификация каждого приложения учета диаметра ДОЛЖНА
   иметь присвоенный IANA идентификатор приложения (см. раздел 2.4) или
   Идентификатор приложения, зависящий от поставщика.

   Каждая реализация Diameter ДОЛЖНА поддерживать учет. Базовый
   бухгалтерской поддержки достаточно для обработки любого приложения, которое использует
   команды ACR / ACA, определенные в этом документе, если нет новых
   добавлены обязательные AVP.Обязательный AVP определяется как тот, который
   имеет установленный бит "M" при отправке в команде учета,
   независимо от того, является ли это обязательным или необязательным в рамках ABNF для
   бухгалтерское приложение.

   Создание нового бухгалтерского приложения следует рассматривать как
   в крайнем случае и НЕ ДОЛЖНЫ использоваться, если не введена новая команда или дополнительная
   механизмы (например, определяемый приложением конечный автомат) определены
   внутри приложения, либо в ABNF добавляются новые обязательные AVP.

   В команде учета установка бита "M" означает, что
   внутренний сервер (например,g., биллинговый сервер) или сам учетный сервер
   ДОЛЖЕН понимать AVP, чтобы рассчитать правильный счет. Если
   AVP не имеет отношения к процессу биллинга, когда AVP включен
   в команде учета НЕ ДОЛЖЕН иметь установленный бит "M", даже
   если бит «M» установлен, когда тот же AVP используется в другом диаметре
   команды (т.е. команды аутентификации / авторизации).

   Реализация базового учета DIAMETER ДОЛЖНА быть конфигурируемой для
   рекламировать поддерживаемые бухгалтерские приложения, чтобы предотвратить
   бухгалтерский сервер от приема бухгалтерских запросов для не выставляемых счетов
   Сервисы.Сочетание домашнего домена и бухгалтерии
   идентификатор приложения может использоваться для направления запроса на
   соответствующий учетный сервер.

   Когда это возможно, новое приложение учета диаметра ДОЛЖНО попытаться
   повторно использовать существующие AVP, чтобы избежать определения нескольких AVP, которые
   несут аналогичную информацию.

   Если базовый учет используется без обязательных AVP, новый
   команды или дополнительные механизмы (например, состояние, определяемое приложением
   машина), то в базовом протоколе определен стандартный учет
   идентификатор приложения (раздел 2.4) ДОЛЖЕН использоваться в командах ACR / ACA.






Калхун и др. Стандарты Track [Страница 13] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


1.2.5. Процедуры аутентификации приложений

   По возможности приложения СЛЕДУЕТ разрабатывать так, чтобы новые
   методы аутентификации МОГУТ быть добавлены без изменения
   применение. Это МОЖЕТ потребовать, чтобы новые значения AVP были присвоены
   представляют новое преобразование аутентификации или любую другую схему, которая
   дает аналогичные результаты.По возможности, фреймворки аутентификации,
   СЛЕДУЕТ использовать такие как Extensible Authentication Protocol [EAP].

1.3. Терминология

   AAA
      Аутентификация, авторизация и учет.

   Бухгалтерский учет
      Акт сбора информации об использовании ресурсов для
      цель планирования мощности, аудита, выставления счетов или стоимости
      распределение.

   Бухгалтерский учет
      Учетная запись представляет собой сводку ресурса
      потребление пользователя за весь сеанс. Бухгалтерские серверы
      создание бухгалтерской записи может сделать это путем обработки промежуточных
      учетные события или учетные события с нескольких устройств
      обслуживает того же пользователя.Аутентификация
      Акт проверки личности сущности (субъекта).

   Авторизация
      Акт определения того, будет ли запрашивающая организация (субъект)
      получить доступ к ресурсу (объекту).

   AVP
      Протокол Diameter состоит из заголовка, за которым следует один или несколько
      Пары атрибут-значение (AVP). AVP включает заголовок и
      используется для инкапсуляции специфичных для протокола данных (например, маршрутизации
      информации), а также аутентификации, авторизации или
      бухгалтерская информация.Маклер
      Брокер - это деловой термин, обычно используемый в инфраструктурах AAA.
      Брокер - это агент ретрансляции, прокси или перенаправления, и МОЖЕТ быть
      обслуживаются роуминг-консорциумами. В зависимости от бизнес-модели
      брокер может выбрать развертывание агентов ретрансляции или прокси
      агенты.





Калхун и др. Стандарты Track [Страница 14] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Агент диаметра
      Агент Diameter - это узел Diameter, который предоставляет либо ретранслятор, либо
      прокси, перенаправление или услуги перевода.Диаметр клиента
      Диаметр клиента - это устройство на границе сети, которое
      выполняет контроль доступа. Примером Diameter-клиента является
      Сервер доступа к сети (NAS) или внешний агент (FA).

   Диаметр узла
      Узел Diameter - это хост-процесс, который реализует Diameter.
      протокол и действует как клиент, агент или сервер.

   Диаметр Peer
      Одноранговый узел Diameter - это узел диаметра, к которому данный узел диаметра
      имеет прямое транспортное сообщение.

   Биржа безопасности Diameter
      Обмен безопасностью Diameter - это процесс, посредством которого два
      Узлы Diameter обеспечивают сквозную безопасность.Диаметр сервера
      Диаметр сервера - это тот, который обрабатывает аутентификацию,
      запросы авторизации и учета для конкретной области. По
      по самой своей природе Diameter-сервер ДОЛЖЕН поддерживать Diameter.
      приложения в дополнение к базовому протоколу.

   Вниз по течению
      Нисходящий поток используется для определения направления конкретного
      Диаметр сообщения от домашнего сервера к устройству доступа.

   Комплексная безопасность
      TLS и IPsec обеспечивают поэтапную безопасность или безопасность через
      транспортное сообщение.Когда задействованы реле или прокси, это
      пошаговая безопасность не защищает всего пользователя Diameter
      сеанс. Сквозная безопасность - это безопасность между двумя диаметрами.
      узлы, возможно, обменивающиеся данными через агентов Diameter. Этот
      безопасность защищает весь канал связи Diameter от
      от исходного узла Diameter до конечного узла Diameter.

   Домашнее царство
      Домашняя область - это административный домен, с которым пользователь
      поддерживает отношения с аккаунтом.Домашний Сервер
      См. Diameter-сервер.





Калхун и др. Стандарты Track [Страница 15] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Промежуточный учет
      Промежуточное бухгалтерское сообщение предоставляет моментальный снимок использования во время
      сеанс пользователя. Обычно это делается для того, чтобы
      для частичного учета сеанса пользователя в случае устройства
      перезагрузка или другая проблема с сетью препятствуют получению
      итоговое сообщение сеанса или запись сеанса.Местное царство
      Локальная область - это административный домен, предоставляющий услуги
      пользователь. Административный домен МОЖЕТ действовать как локальная область для
      для одних пользователей, в то время как для других - это дом.

   Многосессионный
      Мультисессия представляет собой логическое соединение нескольких сессий.
      Мультисессии отслеживаются с помощью Acct-Multi-Session-Id. An
      Примером мультисессии может быть пакет Multi-link PPP. Каждый
      нога пакета будет сеансом, в то время как весь пакет будет
      быть мультисессионным.Идентификатор доступа к сети
      Идентификатор доступа к сети, или NAI [NAI], используется в
      Протокол Diameter для извлечения личности пользователя и его области. В
      identity используется для идентификации пользователя во время аутентификации и / или
      авторизация, а область используется для маршрутизации сообщений
      целей.

   Прокси-агент или прокси
      Помимо пересылки запросов и ответов, прокси-серверы делают
      политические решения, относящиеся к использованию и предоставлению ресурсов.
      Обычно это достигается путем отслеживания состояния NAS.
      устройств.Хотя прокси обычно не отвечают клиенту
      Запросы до получения ответа от сервера, они могут
      создавать сообщения об отклонении в случаях нарушения политик.
      В результате прокси должны понимать семантику
      сообщения, проходящие через них, и могут не поддерживать весь диаметр
      Приложения.

   Царство
      Строка в NAI, которая следует сразу за символом «@».
      Имена областей NAI должны быть уникальными и совмещены
      администрирование пространства имен DNS.Диаметр использует
      область, также называемая областью, для определения
      могут ли сообщения быть удовлетворены локально, или они должны быть
      перенаправлено или перенаправлено. В RADIUS имена областей не обязательно
      совмещены с пространством имен DNS, но могут быть независимыми от него.






Калхун и др. Стандарты Track [Страница 16] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Бухгалтерский учет в реальном времени
      Бухгалтерский учет в реальном времени предполагает обработку информации о
      использование ресурсов в течение определенного временного окна.Временные ограничения
      обычно вводятся для ограничения финансового риска.

   Агент ретрансляции или реле
      Пересылает запросы и ответы на основе маршрутизации
      AVP и записи таблицы маршрутизации областей. Поскольку реле не делают
      решениях политики, они не проверяют и не изменяют немаршрутизирующие AVP.
      В результате реле никогда не отправляют сообщения, не нужно
      понимать семантику сообщений или AVP без маршрутизации, и
      способный обрабатывать любое приложение или тип сообщения Diameter.Поскольку реле принимают решения на основе информации в AVP маршрутизации
      и таблицы переадресации областей, которые они не сохраняют на ресурсе NAS
      использования или текущих сеансов.

   Агент перенаправления
      Вместо того, чтобы пересылать запросы и ответы между клиентами и
      серверы, агенты перенаправления направляют клиентов на серверы и разрешают им
      общаться напрямую. Поскольку агенты перенаправления не сидят в
      путь пересылки, они не изменяют никаких AVP, проходящих между
      клиент и сервер.Агенты перенаправления не отправляют сообщения и
      способны обрабатывать сообщения любого типа, хотя они могут быть
      настроен только для перенаправления сообщений определенных типов, а
      действуют как ретрансляторы или прокси-агенты для других типов. Как и с прокси
      агенты, агенты перенаправления не сохраняют состояние относительно сессий
      или ресурсы NAS.

   Отношения в роуминге
      Отношения в роуминге включают отношения между компаниями и
      Интернет-провайдеры, отношения между одноранговыми Интернет-провайдерами в роуминг-консорциуме,
      и отношения между интернет-провайдером и роуминг-консорциумом.Ассоциация безопасности
      Ассоциация безопасности - это связь между двумя конечными точками в
      сеанс Diameter, который позволяет конечным точкам связываться с
      целостность и конфиденциальность даже при наличии реле
      и / или прокси.

   Сессия
      Сеанс - это связанная последовательность событий, посвященных
      конкретная деятельность. Каждое приложение ДОЛЖНО содержать рекомендации
      относительно того, когда сеанс начинается и заканчивается. Пакеты всех диаметров с
      один и тот же идентификатор сеанса считается частью одного и того же
      сеанс.Калхун и др. Стандарты Track [Страница 17] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Состояние сеанса
      Агент с отслеживанием состояния - это агент, который поддерживает информацию о состоянии сеанса,
      отслеживая все авторизованные активные сеансы. Каждый
      авторизованный сеанс привязан к определенной службе, и ее состояние
      считается активным либо до тех пор, пока не будет сообщено об ином, либо
      истечение срока.

   Подсессия
      Подсессия представляет собой отдельную услугу (например,g., QoS или данные
      характеристики), предоставленные данному сеансу. Эти услуги могут
      происходить одновременно (например, одновременная передача голоса и данных
      во время одного сеанса) или поочередно. Эти изменения в сессиях
      отслеживаются с помощью Account-Sub-Session-Id.

   Состояние транзакции
      Протокол Diameter требует, чтобы агенты поддерживали транзакцию.
      состояние, которое используется для аварийного переключения. Состояние транзакции
      означает, что при пересылке запроса идентификатор перехода
      сохраняется; поле заменяется локальным уникальным идентификатором,
      который возвращается к исходному значению, когда соответствующий
      ответ получен.Состояние запроса освобождается после получения
      ответа. Агент без состояния - это агент, который только поддерживает
      состояние транзакции.

   Агент перевода
      Агент трансляции - это узел Diameter с отслеживанием состояния, который выполняет
      трансляция протокола между Diameter и другим протоколом AAA,
      например, РАДИУС.

   Транспортное соединение
      Транспортное соединение - это существующее соединение TCP или SCTP.
      непосредственно между двумя партнерами Diameter, также известными как Peer-
      одноранговое соединение.Upstream
      Восходящий поток используется для определения направления конкретного
      Сообщение Diameter от устройства доступа к домашнему серверу.

   Пользователь
      Сущность, запрашивающая или использующая некоторый ресурс, в поддержку которого
      клиент Diameter сгенерировал запрос.

2. Обзор протокола

   Базовый протокол Diameter может использоваться сам по себе для учета
   приложений, но для использования при аутентификации и авторизации это
   всегда расширяется для конкретного приложения. Два диаметра
   приложения определены сопутствующими документами: NASREQ [NASREQ],



Калхун и др.Стандарты Track [Страница 18] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   Мобильный IPv4 [DIAMMIP]. Эти приложения представлены в этом
   документ, но указанный в другом месте. Дополнительные диаметры приложений
   МОЖЕТ быть определено в будущем (см. Раздел 11.3).

   Клиенты Diameter ДОЛЖНЫ поддерживать базовый протокол, который включает
   бухгалтерский учет. Кроме того, они ДОЛЖНЫ полностью поддерживать каждый диаметр.
   приложение, необходимое для реализации клиентского сервиса, e.г.,
   NASREQ и / или мобильный IPv4. Клиент Diameter, не поддерживающий
   как NASREQ, так и Mobile IPv4 ДОЛЖНЫ называться «Диаметр X»
   Клиент ", где X - это приложение, которое он поддерживает, а не
   «Диаметр клиента».

   Серверы Diameter ДОЛЖНЫ поддерживать базовый протокол, который включает
   бухгалтерский учет. Кроме того, они ДОЛЖНЫ полностью поддерживать каждый диаметр.
   приложение, необходимое для реализации намеченной службы, например,
   NASREQ и / или мобильный IPv4. Диаметр сервера, который не поддерживает
   как NASREQ, так и Mobile IPv4 ДОЛЖНЫ называться «Диаметр X»
   Сервер ", где X - это приложение, которое он поддерживает, а не
   «Сервер диаметра».Ретрансляторы диаметра и агенты перенаправления по определению являются протоколом.
   прозрачный и ДОЛЖЕН прозрачно поддерживать основание диаметра
   протокол, который включает учет и все приложения Diameter.

   Прокси-серверы Diameter ДОЛЖНЫ поддерживать базовый протокол, который включает
   бухгалтерский учет. Кроме того, они ДОЛЖНЫ полностью поддерживать каждый диаметр.
   приложение, необходимое для реализации прокси-сервисов, например,
   NASREQ и / или мобильный IPv4. Прокси-сервер Diameter, не поддерживающий
   также как NASREQ, так и Mobile IPv4 ДОЛЖНЫ называться «Диаметр X»
   Прокси », где X - это приложение, которое он поддерживает, а не
   «Прокси-сервер диаметра».Базовый протокол Diameter занимается возможностями
   переговоры, как отправляются сообщения и как могут в конечном итоге быть узлы
   заброшенный. Базовый протокол также определяет определенные правила, которые применяются
   ко всем обменам сообщениями между узлами Diameter.

   Обмен данными между одноранговыми узлами Diameter начинается с того, что один узел отправляет
   сообщение другому Diameter-партнеру. Набор AVP, входящих в
   сообщение определяется конкретным приложением Diameter. Один AVP
   который включен для ссылки на сеанс пользователя, - это идентификатор сеанса.Первоначальный запрос на аутентификацию и / или авторизацию пользователя
   будет включать Session-Id. Затем Session-Id используется во всех
   последующие сообщения для идентификации сеанса пользователя (см. Раздел 8 для
   больше информации). Сообщающая сторона может принять запрос,
   или отклонить его, вернув ответное сообщение с кодом результата AVP




Калхун и др. Стандарты Track [Страница 19] 

RFC 3588 Протокол на основе диаметра Сентябрь 2003 г.


   установлен, чтобы указать, что произошла ошибка.Специфическое поведение
   Сервер или клиент Diameter, получающие запрос, зависят от Diameter.
   приложение занято.

   Состояние сеанса (связанное с Session-Id) ДОЛЖНО быть освобождено после
   получение Session-Termination-Request, Session-Termination-
   Ответ, истечение авторизованного времени обслуживания в Session-Timeout
   AVP и согласно правилам, установленным в конкретном диаметре
   применение.

2.1. Транспорт

   Транспортный профиль определен в [AAATRANS].

   Базовый протокол Diameter работает на порту 3868 как TCP [TCP], так и
   Транспортные протоколы SCTP [SCTP].Клиенты Diameter ДОЛЖНЫ поддерживать TCP или SCTP, а агенты и
   серверы ДОЛЖНЫ поддерживать оба. Будущие версии этой спецификации МОГУТ
   обязать клиентов поддерживать протокол SCTP.

   Узел Diameter МОЖЕТ инициировать соединения с исходного порта,
   чем тот, на котором он объявляет, что принимает входящие соединения, и
   ДОЛЖЕН быть готов к приему соединений на порт 3868.
   Экземпляр Diameter однорангового конечного автомата НЕ ДОЛЖЕН использовать более
   одно транспортное соединение для связи с данным партнером, если только
   на одноранговом узле существует несколько экземпляров, и в этом случае отдельный
   подключение на процесс разрешено.Когда нет транспортного соединения с одноранговым узлом, попытка
   подключение ДОЛЖНО производиться периодически. Это поведение обрабатывается через
   таймер Tc, рекомендуемое значение которого составляет 30 секунд. Есть
   некоторые исключения из