中興通訊股份有限公司
摘 要 介紹了移動IP技術(shù)在CDMA中的應(yīng)用原理,講述了移動IP和CDMA結(jié)合后給移動用戶帶來的便利,并簡要論述了移動IP的安全實(shí)現(xiàn)方法。
關(guān)鍵詞 移動IP 簡單IP CDMA 無線IP
1 背景
在CDMA One的網(wǎng)絡(luò)中,一般通過IWF為用戶提供分組接入服務(wù),它主要有以下一些缺點(diǎn):移動臺和IWF之間采用的是電路交換方式,網(wǎng)絡(luò)資源的利用率比較低;分等級服務(wù)實(shí)現(xiàn)比較困難;分組接入的速率比較低,而且費(fèi)用也比較高。
針對這些缺點(diǎn),作為CDMA One的后續(xù)版本,cdma2000 1x引入了真正意義上的分組接入方式。cdma2000 1x提供了簡單IP和移動IP兩種分組服務(wù)接入方式。
簡單IP(Simple IP)方式:類似于傳統(tǒng)的撥號接入,分組數(shù)據(jù)服務(wù)節(jié)點(diǎn)(PDSN,Packet Data Serving Node)為移動臺動態(tài)分配一個IP地址,該IP地址一直保持到該移動臺移出該PDSN的服務(wù)范圍,或者移動臺終止簡單IP的分組接入。當(dāng)移動臺跨PDSN間切換時,該移動臺的所有通信將重新建立,通信中斷。移動臺在其歸屬地和拜訪地都可以采用簡單IP接入方式。
移動IP(Mobile IP)方式:移動臺使用的IP地址是其歸屬網(wǎng)絡(luò)分配的,不管移動臺漫游到哪里,它的歸屬IP地址均保持不變,這樣移動臺就可以用一個相對固定的IP地址和其他節(jié)點(diǎn)進(jìn)行通信了。簡單地說,移動IP提供了一種特殊的IP路由機(jī)制,使得移動臺可以以一個永久的IP地址連接到任何鏈路上。
2 移動IP網(wǎng)絡(luò)的架構(gòu)
針對移動IP業(yè)務(wù)的IMT-2000網(wǎng)絡(luò)結(jié)構(gòu)模型。實(shí)現(xiàn)移動IP業(yè)務(wù)主要涉及的功能實(shí)體有:移動臺(MS)、分組數(shù)據(jù)服務(wù)節(jié)點(diǎn)(PDSN)、歸屬代理(HA)、鑒權(quán)、授權(quán)與計賬服務(wù)器(AAA)。就網(wǎng)絡(luò)結(jié)構(gòu)而言,簡單IP僅比移動IP少一個HA。
移動臺(Mobile Station,MS):移動用戶的終端設(shè)備。移動臺使用移動IP接入時,可以將接入因特網(wǎng)的位置從一條鏈路切換到另一條鏈路上,同時仍然保持所有正在進(jìn)行的通信,并且只使用它的歸屬地址。
歸屬代理(Home Agent,HA):它實(shí)際上是MS在歸屬網(wǎng)中的一個路由器,用于維護(hù)移動臺的位置信息。當(dāng)移動臺離開注冊網(wǎng)絡(luò)后,需要向HA進(jìn)行登記,HA在收到發(fā)往移動臺的數(shù)據(jù)包時,通過HA與MS的轉(zhuǎn)交地址之間的隧道將數(shù)據(jù)包送往MS,完成移動IP功能。
外地代理(Foreign Agent,FA):移動臺拜訪網(wǎng)絡(luò)的代理路由器。cdma2000 1x網(wǎng)絡(luò)中PDSN承擔(dān)著FA的功能,它為cdma2000移動臺提供訪問Internet或Intranet的服務(wù)。PDSN除提供移動IP接入方式外,它還可以為移動臺提供簡單IP接入服務(wù),同時PDSN也完成對用戶的鑒權(quán)、授權(quán)和記賬等功能。
AAA服務(wù)器(Authentication,Authorization,Accounting Server,AAA服務(wù)器):即鑒權(quán)、授權(quán)與記賬服務(wù)器。AAA服務(wù)器對分組數(shù)據(jù)呼叫用戶進(jìn)行鑒權(quán),判決用戶的合法性以及哪類業(yè)務(wù)對用戶是開放的,AAA服務(wù)器還完成分組數(shù)據(jù)呼叫記賬功能。
3 工作原理
3.1 引入移動IP的原因
(1) 許多應(yīng)用的配置數(shù)據(jù)庫都是以IP地址為基礎(chǔ)的(而不是以主機(jī)名),如果主機(jī)的IP地址改變,那么這些應(yīng)用就會中斷。
(2) 路由問題。在IP網(wǎng)絡(luò)中,路由器的路由表達(dá)通常是基于網(wǎng)路前綴來實(shí)現(xiàn)的,當(dāng)一個用戶漫游到外地時,如果它還繼續(xù)使用它歸屬網(wǎng)絡(luò)的IP地址,則就會出現(xiàn)漫游用戶的IP地址和拜訪網(wǎng)絡(luò)的路由器路由條目不一致的情況。在路由器上增加移動用戶的主機(jī)路由信息是解決這個用戶的路由問題的權(quán)宜之計,但在出現(xiàn)大規(guī)模的移動用戶的網(wǎng)絡(luò)中支持主機(jī)路由是極其不明智的。
(3) 移動臺作為被叫的問題。移動臺采用簡單IP接入時,每次PDSN或AAA服務(wù)器為MS分配的IP地址都是變化的,每當(dāng)MS發(fā)生PDSN間的切換時,MS的所有通信必須重新建立,這就很難把移動臺作為被叫設(shè)備。
3.2 基本思想
移動IP的基本思想就是數(shù)據(jù)轉(zhuǎn)發(fā),當(dāng)MS要發(fā)送數(shù)據(jù)給CN時,該分組報文首先被發(fā)送到PDSN/FA那里,如果FA判斷出是發(fā)往HA對應(yīng)的歸屬網(wǎng)絡(luò),FA?xí)趫笪牡耐鈱臃庋b一個隧道報頭,隧道報頭的信源地址是FA,信屬地址是HA,隧道報文通過沿途的各個路由器到達(dá)HA,HA解封裝掉外層的隧道報頭后,把里層的IP報文發(fā)送給CN,這樣MS發(fā)出的IP報文就可以被轉(zhuǎn)發(fā)到CN了。CN發(fā)送報文給MS的處理過程剛好相反。
所描述的數(shù)據(jù)轉(zhuǎn)發(fā)過程中,MS申請了反向隧道(FA→HA)的服務(wù),如果沒有反向隧道的話,則FA在轉(zhuǎn)發(fā)MS發(fā)出的報文時會把報文直接發(fā)到Internet上,而不采用隧道的封裝。不管有沒有反向隧道的服務(wù),HA都必須把歸屬網(wǎng)上所有發(fā)往MS的報文通過FA轉(zhuǎn)發(fā)給MS。
移動IP技術(shù)中有一個重要的地址,即轉(zhuǎn)交地址(Care-of Address,簡稱CoA)。當(dāng)移動臺不在歸屬網(wǎng)絡(luò)時,轉(zhuǎn)交地址則通往移動臺的隧道終點(diǎn)。轉(zhuǎn)交地址分為外地代理轉(zhuǎn)交地址(FA-CoA)和配置轉(zhuǎn)交地址(Co-located Care-of Address,Co-CoA)兩類。
3.3 移動IP的建立過程
。桑停裕玻埃埃跋到y(tǒng)的移動IP和基于普通以太網(wǎng)的移動IP在實(shí)現(xiàn)原理上基本一致,但在某些細(xì)節(jié)上還存在一些差別,這是由IMT-2000系統(tǒng)的特性所決定的。
在以太網(wǎng)中,移動臺通過ICMP路由發(fā)現(xiàn)協(xié)議(ICMP Router Discovery Protocol,IRDP)檢查其是否在自己的歸屬網(wǎng)絡(luò)中,協(xié)議利用路由廣播和路由請求消息發(fā)現(xiàn)路由器的服務(wù)子網(wǎng)。如果移動臺發(fā)現(xiàn)自己在歸屬網(wǎng)絡(luò)中,那么它就不需要為接收數(shù)據(jù)包做特殊的事情;如果移動臺收到的IRDP廣播包是由外地代理發(fā)送來的,那么移動臺將采用移動IP技術(shù)通過FA向HA注冊。普通以太網(wǎng)中的移動臺在歸屬網(wǎng)絡(luò)中并不需要啟動移動IP,只有漫游到外地時才需要啟動移動IP,在這一點(diǎn)上,cdma2000 1x網(wǎng)絡(luò)中的移動IP與普通以太網(wǎng)中的移動IP是不一樣的。簡單地說,就是移動臺在無線接入時首先需要決定是采用簡單IP接入方式,還是移動IP接入方式,不能等到IRDP以后再決定。
。ǎ保 MS為了獲得分組數(shù)據(jù)服務(wù),而向無線服務(wù)網(wǎng)中的BS發(fā)送一個IS-2000 Origination Message,該消息中附帶一個分組數(shù)據(jù)服務(wù)選項(xiàng)。如果正常的語音服務(wù)認(rèn)證通過的話(主要是驗(yàn)證移動臺的合法性),BS將為MS分配空中信道,此后RN(指PCF)和PDSN之間建立RP連接。
。ǎ玻 MS和PDSN之間建立PPP連接,此時在PPP的IPCP階段不會協(xié)商MS的IP地址(如果在IPCP階段協(xié)商IP地址,那么說明移動臺申請的是簡單IP接入方式,這就是為什么移動臺一開始接入時就要選擇好接入方式的原因)。
。ǎ常┯捎冢停硬捎玫氖且苿樱桑薪尤敕绞,PDSN/FA主動向MS發(fā)布外地代理布告,因此MS通過該布告可以獲知FA-CoA和FAC(Foreign A?鄄gent Challenge),每次MS進(jìn)行移動IP注冊時必須把剛才為其發(fā)布的FAC帶回來(FAC是1個最少為253字節(jié)的隨機(jī)字符串)。PDSN在收到MS發(fā)出的代理請求報文時,也會發(fā)布外地代理布告消息。
。ǎ矗 MS向PDSN發(fā)送MIP-RRQ(Mobile IP Registration Request),在MIP-RRQ中包含有在外地代理布告中發(fā)布的FAC和FA-CoA。另外,如果MS希望歸屬網(wǎng)絡(luò)為它動態(tài)分配一個IP地址,則可以把自己的IP地址設(shè)成0.0.0.0,否則就把自己靜態(tài)指定的IP地址設(shè)置到MIP-RRQ中。每次移動IP注冊都帶有一個移動IP生存時間,即在生存時間內(nèi)移動臺必須為剛才注冊的移動IP進(jìn)行注冊刷新,否則HA就會認(rèn)為移動臺已經(jīng)失去聯(lián)系并終止對移動臺維護(hù)的移動IP綁定。如果移動IP的注冊請求中的生存時間為“0”,則表示移動臺要注銷移動IP。
。ǎ担 PDSN自身是無法識別MS的合法性的。作為AAA服務(wù)器的客戶端,PDSN向本地的AAA服務(wù)器發(fā)出認(rèn)證請求,拜訪AAA服務(wù)器,如果發(fā)現(xiàn)該MS是外地用戶,它將通過RADIUS協(xié)議讓歸屬AAA服務(wù)器完成最終的認(rèn)證工作。拜訪AAA服務(wù)器和歸屬AAA服務(wù)器之間進(jìn)行通信時可能還需要沿途的中間AAA服務(wù)器的參與。
。ǎ叮 歸屬AAA服務(wù)器把認(rèn)證結(jié)果傳回給拜訪AAA服務(wù)器,拜訪AAA服務(wù)器再把報文傳給PDSN,這樣就完成了對MS的認(rèn)證工作。
。ǎ罚 如果通過對MS的認(rèn)證,并且PDSN/FA和HA之間在此之前沒有建立安全關(guān)聯(lián),那么在歸屬AAA服務(wù)器的參與下,在FA和HA之間將建立一條安全的關(guān)聯(lián),該安全關(guān)聯(lián)將被用于以后移動IP隧道報文的認(rèn)證。
。ǎ福 若通過對MS移動IP的認(rèn)證,PDSN將對MS發(fā)出的MIP-RRQ做一定的修改后轉(zhuǎn)發(fā)給HA。
。ǎ梗 HA在完成對MS的認(rèn)證后,將向FA回應(yīng)一個MIP-RRP(Mobile IP Registration Reply),在MIP-RRP中包含認(rèn)證結(jié)果以及給MS分配的IP地址等信息。隨后,HA再主動向本地網(wǎng)絡(luò)發(fā)布一條免費(fèi)的ARP報文,在該代理ARP報文中,IP地址是MS的IP地址,而MAC地址卻是HA的地址,歸屬網(wǎng)絡(luò)的其他節(jié)點(diǎn)在接收到該欺騙信息后,將把發(fā)往MS的IP報文發(fā)給HA,通過這種方式,HA吸引到了發(fā)往MS的報文。
。ǎ保埃 PDSN/FA通過空中鏈路將MIP-RRP傳送給MS。在MIP-RRP中,PDSN還為MS分配了一個新的FAC。
自此,MS和通信對端(CN)就可以進(jìn)行通信了。
3.4 路由技術(shù)
移動IP提供的路由機(jī)制可以使移動臺以永久的IP地址連接到任何鏈路上,而不需要改變路由沿途的各個路由器。整個路由鏈路上起最重要作用的是FA和HA,隧道技術(shù)是移動IP路由的關(guān)鍵。在移動IP中,隧道的封裝類型有3種,分別是IP-in-IP封裝、最小封裝和通用路由封裝(GRE),其中IP-in-IP封裝應(yīng)用得最廣泛。
(1) 單播數(shù)據(jù)報文的路由
不管MS使用FA-CoA,還是使用Co-CoA,它都必須把為其提供接入服務(wù)的PDSN作為自己的缺省路由器,也就是說,MS發(fā)出的所有報文都必須由PDSN路由出去。如果MS使用的是FA-CoA,則隧道的封裝和解封裝就由FA完成;如果使用的是Co-CoA,則隧道的封裝和解封裝就由移動臺來完成,此時的FA僅提供路由功能,僅為隧道報文提供轉(zhuǎn)發(fā)。
FA在收到發(fā)往MS或者MS發(fā)出的報文時,首先檢查本地接入的移動臺登記的訪問列表項(xiàng),如果報文合法,FA將提供路由,否則將丟棄報文。
。龋潦褂么恚粒遥泻兔赓M(fèi)ARP等方法攔截所有發(fā)往移動臺的報文。如果MS漫游到了外地,并且MS在HA進(jìn)行了移動IP注冊,那么HA將負(fù)責(zé)把攔截到的發(fā)往MS報文隧道封裝并發(fā)送到轉(zhuǎn)交地址,由轉(zhuǎn)交地址對應(yīng)的節(jié)點(diǎn)解封裝后轉(zhuǎn)給MS。
(2) 廣播數(shù)據(jù)報文的路由
如果MS希望收到歸屬網(wǎng)絡(luò)發(fā)出的廣播報文,那么MS在進(jìn)行移動IP注冊時會設(shè)置移動IP注冊報文中的‘B’位,否則HA不會為MS轉(zhuǎn)發(fā)廣播報文。
MS使用FA-CoA?xí)r和使用Co-CoA?xí)r,HA的處理方法是不一樣的。如果MS使用Co-CoA,那么HA直接把廣播報文封裝成目標(biāo)地址為Co-CoA的隧道報文中。如果MS使用FA-CoA,那么HA首先把廣播報文封裝成單播報文,該單播報文的信宿地址是MS的歸屬地址,然后再按移動IP的要求把單播報文封裝成隧道包,該隧道包的信宿地址是FA。FA在收到該隧道報文并解隧道封裝后,發(fā)現(xiàn)是MS的單播包,則會把報文發(fā)送給MS,MS去掉外層的單播報頭后就可得到原始的廣播報文了。
(3) 組播數(shù)據(jù)報的路由
。停尤粝氆@取組播服務(wù),必須加入組播組。加入組播組的方法有兩種,一種是通過拜訪網(wǎng)絡(luò)的FA提供,另一種是通過歸屬網(wǎng)絡(luò)的HA提供。
如果PDSN支持組播,那么MS可以加入PDSN提供的組播組來獲取組播服務(wù)。如果MS使用配置轉(zhuǎn)交地址,那么IGMP報文的信源地址就必須是該配置轉(zhuǎn)交地址,否則就使用MS的歸屬地址。
如果HA支持組播,那么MS可以通過雙向隧道加入到HA提供的組播組中。此時HA對組播報文的處理和廣播報文一樣。
4 移動IP的特殊性
由于商用的CDMA系統(tǒng)中為分組接入的用戶分配的IP地址大都是動態(tài)分配的,絕大部分用戶不能靜態(tài)地指定自己的歸屬IP地址,因此移動臺將無法采用移動IP技術(shù)中常用的兩種移動檢測機(jī)制:基于生存時間域的算法和基于網(wǎng)絡(luò)前綴的算法。移動臺在分組接入前需要先指定好自己的分組接入方式,即使是在歸屬地,移動臺一樣可以使用移動IP接入,它無法實(shí)現(xiàn)智能的選擇。
無線通信中最寶貴的資源是無線頻譜資源,無線頻譜資源的擴(kuò)充有時不是通過投資就能得到的。為節(jié)約空中資源,PDSN在發(fā)布代理廣播報文時不會像以太網(wǎng)中那樣定時地廣播,它只有在收到移動臺的代理請求后才發(fā)送,或者在移動臺剛剛接入時發(fā)送。
移動臺在歸屬地也有可能使用移動IP,如果在這種情況下,PDSN/FA還像平常一樣把所有的分組報文通過隧道封裝發(fā)送給HA就顯得有點(diǎn)浪費(fèi)了,因此PDSN/FA通常在轉(zhuǎn)發(fā)隧道報文前需要判斷移動臺是否是本地接入用戶。
5 安全問題
移動IP的安全威脅主要有拒絕服務(wù)攻擊、假冒攻擊以及未被授權(quán)的訪問。移動IP主要通過對報文的認(rèn)證和加密來保證報文的安全、可靠的傳輸,常用的加密算法有DES、3DES等,認(rèn)證方法有MD5、HMAC-MD5等,用于認(rèn)證、加密的密鑰有預(yù)共享密鑰、數(shù)字簽名和共享密鑰等。
移動IP報文的安全主要是通過各種安全認(rèn)證擴(kuò)展來保證的,常見的擴(kuò)展有MN-HA、MN-AAA、FA-HA、MN-FA等之間的安全關(guān)聯(lián),這些擴(kuò)展的出現(xiàn)次序也是固定的,不能隨意更改,否則將影響對報文的認(rèn)證。
6 結(jié)束語
無線網(wǎng)絡(luò)技術(shù)和IP技術(shù)的融合是一個必然的發(fā)展趨勢,cdma2000也不例外。就目前而言,移動用戶使用最多的還是簡單IP的接入方式,例如通過簡單IP實(shí)現(xiàn)網(wǎng)頁瀏覽、收發(fā)E-Mail等,這類用戶的位置相對固定,即使由PDSN間的切換而導(dǎo)致通信中斷也無關(guān)緊要。移動IP的最大優(yōu)勢在于移動用戶在PDSN間切換時,網(wǎng)絡(luò)通信不會中斷,通過移動IP接入方式,移動用戶可以方便地獲得定位業(yè)務(wù)、實(shí)時被叫、移動ICQ、移動電子商務(wù)等服務(wù)。由于簡單IP技術(shù)本身的局限性,隨著新業(yè)務(wù)的推廣,移動IP技術(shù)在CDMA的分組接入中的比重將越來越大。
----《電信技術(shù)》