CN114980246A - 一种在ipx网络中实现5g核心漫游路由的方法 - Google Patents

一种在ipx网络中实现5g核心漫游路由的方法 Download PDF

Info

Publication number
CN114980246A
CN114980246A CN202210187912.9A CN202210187912A CN114980246A CN 114980246 A CN114980246 A CN 114980246A CN 202210187912 A CN202210187912 A CN 202210187912A CN 114980246 A CN114980246 A CN 114980246A
Authority
CN
China
Prior art keywords
tls
psepp
routing
routing agent
csepp
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202210187912.9A
Other languages
English (en)
Inventor
爱德华·姚
弗兰克·春
雷·拉姆
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xinyu Technology Co ltd
Original Assignee
Xinyu Technology Co ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xinyu Technology Co ltd filed Critical Xinyu Technology Co ltd
Publication of CN114980246A publication Critical patent/CN114980246A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W40/00—Communication routing or communication path finding
    • H04W40/24—Connectivity information management, e.g. connectivity discovery or connectivity update
    • H04W40/248—Connectivity information update
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/16—Implementing security features at a particular protocol layer
    • H04L63/166—Implementing security features at a particular protocol layer at the transport layer
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/18—Service support devices; Network management devices
    • H04W88/182—Network node acting on behalf of an other network entity, e.g. proxy
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W40/00—Communication routing or communication path finding
    • H04W40/02—Communication route or path selection, e.g. power-based or shortest path routing
    • H04W40/12—Communication route or path selection, e.g. power-based or shortest path routing based on transmission quality or channel quality
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/28—Data switching networks characterised by path configuration, e.g. LAN [Local Area Networks] or WAN [Wide Area Networks]
    • H04L12/46—Interconnection of networks
    • H04L12/4633—Interconnection of networks using encapsulation techniques, e.g. tunneling
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/04—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks
    • H04L63/0428—Network architectures or network communication protocols for network security for providing a confidential data exchange among entities communicating through data packet networks wherein the data content is protected, e.g. by encrypting or encapsulating the payload
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/02—Protocols based on web technology, e.g. hypertext transfer protocol [HTTP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/14—Session management
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L69/00—Network arrangements, protocols or services independent of the application payload and not provided for in the other groups of this subclass
    • H04L69/16—Implementation or adaptation of Internet protocol [IP], of transmission control protocol [TCP] or of user datagram protocol [UDP]
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/03—Protecting confidentiality, e.g. by encryption
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/06—Authentication
    • H04W12/069—Authentication using certificates or pre-shared keys
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
    • H04W12/08—Access security
    • H04W12/088—Access security using filters or firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W40/00—Communication routing or communication path finding
    • H04W40/02—Communication route or path selection, e.g. power-based or shortest path routing
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W8/00—Network data management
    • H04W8/02—Processing of mobility data, e.g. registration information at HLR [Home Location Register] or VLR [Visitor Location Register]; Transfer of mobility data, e.g. between HLR, VLR or external networks
    • H04W8/08—Mobility data transfer
    • H04W8/12—Mobility data transfer between location registers or mobility servers
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W76/00—Connection management
    • H04W76/10—Connection setup
    • H04W76/12—Setup of transport tunnels
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W80/00—Wireless network protocols or protocol adaptations to wireless operation
    • H04W80/06—Transport layer protocols, e.g. TCP [Transport Control Protocol] over wireless
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W84/00—Network topologies
    • H04W84/02—Hierarchically pre-organised networks, e.g. paging networks, cellular networks, WLAN [Wireless Local Area Network] or WLL [Wireless Local Loop]
    • H04W84/04—Large scale networks; Deep hierarchical networks
    • H04W84/042—Public Land Mobile systems, e.g. cellular systems
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04W—WIRELESS COMMUNICATION NETWORKS
    • H04W88/00—Devices specially adapted for wireless communication networks, e.g. terminals, base stations or access point devices
    • H04W88/14—Backbone network devices

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Security & Cryptography (AREA)
  • Databases & Information Systems (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Mobile Radio Communication Systems (AREA)

Abstract

本发明涉及一种在IPX网络中实现5G核心漫游路由的方法。一种用于在互联网协议交换(IPX)网络中实现传输层安全(TLS)路由代理以进行5G核心漫游的系统和方法。在TLS路由代理与消费者安全边缘保护代理(cSEPP)和生产者安全边缘保护代理(pSEPP)之间建立传输控制协议(TCP)连接。TLS路由代理从cSEPP接收HTTP/2CONNECT请求。TLS路由代理将后续TLS握手和HTTP/2应用消息透明地路由到生产者SEPP，使得端到端TLS安全被维护。TLS路由代理使得能实现消息防火墙以保护移动运营商的SEPP。TLS路由代理应用策略路由来跨越IPX网络智能地路由HTTP/2消息并且通过将TCP端点之间的长往返时间划分成更短分段来改进TCP性能。

Description

一种在IPX网络中实现5G核心漫游路由的方法
优先权要求
本非临时专利申请是于2021年2月26日提交的美国临时专利申请No.63/154,344的继续部分并要求其优先权。
技术领域
本发明通常涉及互联网协议(IP)和电信网络的领域，具体地涉及互联网络分组交换(IPX)中的5G核心漫游。更具体地，本发明涉及用于在IPX网络中路由移动信令业务以进行5G核心漫游的方法和系统。
背景技术
移动漫游是指归属公用陆地移动网络(HPLMN)运营商的移动订户在由受访公用陆地移动网络(VPLMN)服务的外部位置中使用移动服务的场景。
在3GPP TS23.501“3rd Generation Partnership Project；TechnicalSpecification Group Services and System Aspects；System Architecture for the5G System；Stage 2(第三代合作伙伴计划；技术规范组服务和系统方面；用于5G系统的系统架构；阶段2)”和TS23.502“3rd Generation Partnership Project；TechnicalSpecification Group Services and System Aspects；Procedures for the 5G System；Stage 2(第三代合作伙伴计划；技术规范组服务和系统方面；用于5G系统的过程；阶段2)”中指定了5G系统架构；在3GPP TS29.573“3rd Generation Partnership Project；Technical Specification Group Core Network and Terminals；5G System；PublicLand Mobile Network(PLMN)Interconnection；Stage 3(第三代合作伙伴计划；技术规范组核心网络和终端；5G系统；公用陆地移动网络(PLMN)互连；阶段3)”中指定了漫游运营商之间的5G信令消息。在3GPP TS33.501“3rd Generation Partnership Project；TechnicalSpecification Group Services and System Aspects；Security architecture andprocedures for 5G system(第三代合作伙伴计划；技术规范组服务和系统方面；用于5G系统的安全架构和过程)”中指定了5G安全设计。
为了向用户设备(UE)12提供漫游服务，归属公用陆地移动网络(HPLMN)14和受访公用陆地移动网络(VPLMN)16中的网络功能(NF)需要通过互联网协议交换(IPX)网络彼此通信。需要这种通信以使得订阅HPLMN 14的UE 12能够使用VPLMN 16中的5G服务。
图1描绘归属路由(HR)漫游架构的基于服务的表示，然而图2描绘本地突围(LBO)漫游架构的基于服务的表示。HR和LBO漫游架构在用户有效载荷的处理方面不同。在HR架构中，用户有效载荷被路由到HPLMN 14以到达互联网，然而在LBO架构中，用户有效载荷直接在VPLMN 16处突围到互联网。如图1和图2中描绘的，在HR和LBO漫游架构中，HPLMN 14和VPLMN 16的网络功能彼此通信以用于多个目的，包括认证、授权、计费、注册、会话管理、监管、用户有效载荷传输等。此类网络功能的示例是网络储存库功能(NRF)18、认证服务器功能(AUSF)20、统一数据管理(UDM)22、接入和移动性管理功能(AMF)24、会话管理功能(SMF)26、策略控制功能(PCF)28、网络切片选择功能(NSSF)30以及用户平面功能(UPF)32。5G中的信令消息基于IETF RFC7540中指定的HTTP/2协议。
继续参考图1和图2，在如3GPP TS29.573中规定的5G核心漫游中，VPLMN 16和HPLMN 14中的网络功能之间的所有信令消息都通过VPLMN安全边缘保护代理(vSEPP)34与HPLMN SEPP(hSEPP)36之间的N32接口来承载。vSEPP 34和hSEPP 36的关键方面是它们充当“应用防火墙”以提供与漫游伙伴进行通信必需的安全措施，诸如拓扑隐藏、消息真实性、完整性和机密性检查、信息元素的加密等。
vSEPP 34与hSEPP 36之间的N32接口由以下两个部分构成：(1)用于控制平面的N32-c和(2)用于转发平面的N32-f。N32-c控制平面被用于以下功能：(1)安全能力协商，(2)参数交换，(3)n32-f终止，以及(4)n32-f错误报告。N32-f平面承载网络功能之间的实际应用消息。本公开涉及N32-c消息和N32-f消息两者。
根据3GPP TS33.501和TS29.573，N32-f接口中的所有HTTP/2请求和响应消息都受到“PRINS”模型(N32互连安全协议)或传输层安全性(TLS)模型保护。本公开涉及图3中示意性地描绘的TLS模型。(注意：不是引用vSEPP 34和hSEPP 36，而是后续描述和附图引用消费者SEPP(cSEPP)42和生产者SEPP(pSEPP)44)。cSEPP 42是请求始发者，然而pSEPP 44是目的地服务器。如果请求源自VPLMN 16，则vSEPP 34变为cSEPP 42，然而hSEPP 36变为pSEPP44。另一方面，如果请求源自HPLMN 14，则hSEPP 36变为cSEPP 42，然而vSEPP 34变为pSEPP44。
继续参考图3，根据TLS模型，直接在连接到IPX提供商的cSEPP 42和pSEPP 44之间建立TLS会话。cSEPP 42连接到的IPX提供商被称为消费者IPX(cIPX)46，然而pSEPP 44连接到的IPX提供商被称为生产者IPX(pIPX)48。TLS会话提供cSEPP 42与pSEPP 44之间的端到端安全，使得IPX相对于在其之间交换的消息的内容不具有可见性，并且原始消息内容保持不变。
传统3G和4G漫游信令消息在IPX中经由2G/3G中的SS7信号点代码(STP)或4G漫游中的直径路由代理(DRA)来路由。3G STP检查SCCP(信令连接控制部分)Called-Party-Address(被叫方地址)，而4G DRA检查传入消息的直径目的地领域以确定“下一跳”路由，其可以是直连PLMN，或者经由第三方IPX(称为“IPX对等”)。由于N32-c和N32-f中的TLS业务的端到端加密，所以意在cSEPP 42与pSEPP 44之间直接建立TLS会话。通常，cSEPP 42将直接与pSEPP 44建立传输控制协议(TCP)连接，执行TLS握手，并且通过TCP连接经由TLS隧道发送HTTP/2信令消息。IPX不再具有“信令”代理来执行业务路由。
TLS会话通过TCP连接运行。在漫游情形下，cSEPP 42和pSEPP 44可能在地理上分开长距离——例如，HPLMN 14可以位于北美，然而VPLMN 16可以位于南非。TCP最初是为局域网通信而开发的并且其性能随着往返时间(RTT)增加而降级。性能降级由于包括下列的多个原因而发生：1)“慢启动”机制，2)因重传而增加的拥塞窗口以及3)需要每一分组的可靠传输的流协议。为了改进TCP的整体性能，能够沿着路径部署中间代理，从而将长“端到端”连接划分成多个短“逐跳”连接。这能够通过放置用于HTTP(没有TLS)通信的HTTP代理和用于HTTPS(基于TLS的HTTP)通信的HTTPS中间人(MITM)代理来实现。然而，HTTPS MITM代理要求必须在代理中安装证书，因此违反TLS的端到端安全模型。
因此，所需要的是一种用于在IPX中实现TLS路由代理以便在5G移动运营商网络中路由cSEPP 42与pSEPP 44之间的基于HTTP/2的N32业务的方法。图1中描绘的HR漫游架构和图2中描绘的LBO漫游架构都存在这种需要。
发明内容
本发明涉及用于在互联网络分组交换(IPX)网络中实现传输层安全(TLS)路由代理以进行5G核心漫游同时遵守5G安全要求的方法和系统。本发明涉及在HPLMN SEPP(hSEPP)与VPLMN SEPP(vSEPP)之间的N32-f接口中使用TLS模型。本发明适用于图1中描绘的归属路由(HR)漫游架构和图2中描绘的本地突围(LBO)漫游架构两者。
根据本发明的实施例，消费者SEPP(cSEPP)(请求始发者)将被配置成使用RFC7540中指定的HTTP/2‘CONNECT”方法来向‘转发代理’发送HTTP/2业务。TLS路由代理充当支持CONNECT方法的HTTP/2转发代理并且直接或经由另一TLS路由代理将HTTP/2请求路由到目的地服务器(pSEPP)。TLS路由代理还可以具有用于业务过滤的消息防火墙能力和用于确定最佳路由路径的策略路由引擎。
根据本发明的实施例，TLS路由代理可以包括以下组件：1)HTTP/2协议栈，2)HTTP/2服务器实现方式，3)HTTP/2客户端实现方式，4)动态TLS连接图，5)消息防火墙配置，6)策略路由引擎，以及7)支持用于供应、日志记录、告警、关键性能指标(KPI)监测等的北向接口的OA&M模块。
本发明的实施例涉及一种使得访问公用陆地移动网络(VPLMN)能够经由IPX网络向订阅归属公用陆地移动网络(HPLMN)的用户设备(UE)提供5G漫游服务的方法。TLS路由代理被托管在IPX网络上，该TLS路由代理被配置成与VPLMN的cSEPP和HPLMN的pSEPP进行通信。该方法从cSEPP向TLS路由代理发起传输控制协议(TCP)握手开始。TLS路由代理和cSEPP执行三次握手以与彼此建立TCP连接。
继TLS路由代理与cSEPP之间的第一次TCP握手之后，cSEPP被配置成向TLS路由代理发送超文本传输协议代理(HTTP)/2CONNECT请求。TLS路由代理被配置成基于HTTP/2CONNECT请求消息的伪报头来标识pSEPP。接下来，TLS路由代理向经标识的pSEPP发起三次TCP握手以与其建立TCP连接(直接或经由一个或多个中间TLS路由代理)。在涉及中间TLS路由代理的场景中，在每一对对等TLS路由代理之间建立TCP连接。
在建立cSEPP与TLS路由代理之间的第一TCP连接以及TLS路由代理与pSEPP之间的第二TCP连接之后，TLS路由代理经由TLS路由代理与cSEPP之间的第一TCP连接从cSEPP接收TLS握手消息(“Client Hello(客户端问候)”)。TLS路由代理然后将此消息发送到pSEPP。pSEPP用TLS路由代理向cSEPP发送的TLS握手响应消息(“Server Hello and Certificate(服务器问候和证书)”)响应。在cSEPP接收到对TLS握手消息的响应时，经由TLS路由代理在cSEPP与pSEPP之间建立TLS隧道，使得经由TLS路由代理在cSEPP与pSEPP之间建立N32-cTLS会话和N32-f TLS会话。
一旦TLS隧道被建立，cSEPP和pSEPP就能够经由TLS隧道彼此交换请求和响应应用消息。TLS路由代理对在cSEPP与pSEPP之间交换的消息的内容不具有可见性，从而在其之间提供端到端安全。以这种方式，TLS路由代理使得能实现具有端到端安全的cSEPP与pSEPP之间的通信，从而使得VPLMN能够向UE提供5G漫游服务。
在实施例中，TLS路由代理包括HTTP/2代理，其被配置成与cSEPP和pSEPP进行通信。在cSEPP与pSEPP之间交换的请求应用消息和响应应用消息可以是HTTP/2消息。
在实施例中，在向pSEPP发起TCP握手之前，TLS路由代理被配置成验证从cSEPP接收到的HTTP/2CONNECT请求被许可被路由到pSEPP。在成功的验证时，TLS路由代理被配置成确定cSEPP与pSEPP之间的路由路径。
在IPX网络中部署TLS路由代理向移动网络运营商(MNO)和IPX服务提供商提供以下好处而不会损害TLS中的端到端安全模型：1)改进cSEPP与pSEPP之间的长距离通信上的TCP性能；2)TLS路由代理能够充当消息防火墙以保护pSEPP免受不源自许可漫游伙伴的HTTP/2业务；3)简化MNO网络防火墙配置，使得它仅需要接受来自IPX TLS路由代理而不是来自所有漫游伙伴的SEPP的传入TCP连接；4)未直接连接到IPX提供商的MNO的IPX对等，其中TLS路由代理可以进一步支持智能策略路由以通过考虑每条链路的带宽、成本、时延、服务质量(QoS)和可靠性来最佳路由N32业务；以及5)通过检查通过TLS路由代理的数据分组流，IPX提供商可以对流经TLS路由代理的业务量具有可见性，这是用于业务报告、计费和商业智能目的的有用信息来源。
附图说明
为了更充分地理解本发明，应该参考结合附图进行的以下详细公开内容，在附图中：
图1是在基于服务的表示中归属路由场景中的5G漫游架构的框图。网络功能处支持的服务名称被示出。
图2是在基于服务的表示中示意性地描绘本地突围场景中的5G漫游架构的框图。网络功能处支持的服务名称被示出。
图3是在TLS模型(参考3GPP TS33.501和TS29.573)下示意性地描绘通过消费者SEPP(cSEPP)与生产者SEPP(pSEPP)之间的N32接口的通信的框图。N32接口由N32-c(控制平面)和N32-f(转发平面)组成，其中直接在cSEPP与pSEPP之间建立N32-c TLS会话和N32-fTLS会话两者。注意：cSEPP可以是受访网络而pSEPP是归属网络，或者cSEPP可以是归属网络而pSEPP是受访网络。
图4是使用具有TLS路由代理的TLS模型示意性地描绘消费者SEPP(cSEPP)与生产者SEPP(pSEPP)之间的N32接口通信的框图。N32-c TLS会话和N32-f TLS会话在cSEPP与pSEPP之间都是端到端的。然而，TCP连接在每个TLS路由代理处是逐跳的。
图5是示意性地描绘TLS会话建立的调用流、HTTP/2请求和响应消息对、以及横穿TLS路由代理的cSEPP与pSEPP之间的N32通信的TCP断开的顺序图。
图6是示意性地描绘MNO经由一个或多个IPX提供商的PLMN间连接的框图。
图7是示意性地描绘TLS路由代理的软件组件架构的框图。
具体实施方式
在优选实施例的以下详细描述中，对附图进行参考，附图形成详细描述的一部分，并且在附图内通过图示的方式来示出可以实践本发明的特定实施例。应当理解，在不脱离本发明的范围的情况下，可以利用其他实施例并且可以做出改变。
在图4中描绘的本发明的实施例中，消费者SEPP(cSEPP)42连接到消费者IPX(cIPX)46，然而pSEPP 44连接到生产者IPX(pIPX)48。图4描绘了TLS路由代理50被部署在cIPX 46和pIPX 48两者中，以及若适用的话在任何中间IPX(在cIPX 46与pIPX 48之间)中。术语“TLS路由代理”是指被配置成由计算机处理器执行的软件应用、用软件和/或固件编程的专用硬件、或专用和可编程电路系统的组合。因此，实施例可以包括在其上存储有指令的机器可读介质，这些指令可以用于对计算机(或其他电子设备)进行编程以执行过程。TLS路由代理50的软件组件架构被示意性地描绘在图7中并且在下面被更详细地公开。
图4描绘了N32-c和N32-f传输控制协议(TCP)连接是在逐跳模型中以如下方式建立的：(1)在cSEPP 42与托管在cIPX 46上的TLS路由代理50之间；(2)在托管在cIPX 46上的TLS路由代理50与pIPX48之间；以及(3)在托管在pIPX 48上的TLS路由代理50与pSEPP 44之间。通过在cSEPP 42与pSEPP 44之间的地理位置中部署中间TLS路由代理节点50，长距离TCP连接(在cSEPP与pSEPP之间)用TLS路由代理节点50之间的更短距离TCP连接替换，因此，改进TCP性能。
TLS路由代理节点50使得能够在cSEPP 42与pSEPP 44之间端到端地建立TLS会话，其中TLS路由代理节点50仅作为用于TLS握手消息和HTTP/2应用消息的路由代理。因此，TLS路由代理节点50对消息内容不具有可见性。因此，cSEPP 42与pSEPP 44之间的端到端TLS安全被维护。
图5描绘用于使得能够经由一个或多个TLS路由代理50在cSEPP42与pSEPP 44之间通信的信令流程图。尽管图5和在下面提供的描述可以引用单个TLS路由代理50，但是本领域的普通技术人员将领会，该方法可以包括中间TLS路由代理节点50，如在前面段落中解释并在下面讨论的图6中描绘的。
图5描绘了连接cSEPP 42和pSEPP 44的方法从步骤102开始，在步骤102中cSEPP42和托管在IPX上的TLS路由代理50执行TCP握手，从而在其之间建立TCP连接。接下来，在步骤104中，cSEPP 42向TLS路由代理50发送HTTP/2CONNECT消息。在接收到CONNECT请求时，TLS路由代理50执行以下步骤：1)如在“:authority”伪报头中一样检查目的地服务器，2)通过检查HTTP/2消息是否能够被从始发者路由到目的地服务器来执行消息过滤，3)检查路由策略并且确定最佳路由路径。在成功完成这些步骤时，该方法进行到步骤106，其中TLS路由代理50执行与pSEPP 44的TCP握手(直接或间接经由下一跳中间TLS路由代理50)，从而在其之间建立TCP连接。然后，在到目的地服务器(或下一跳TLS路由代理50)的TCP连接成功时，TLS路由代理50向cSEPP 42发送“200OK”消息。此时，在cSEPP 42与TLS路由代理50之间并且在TLS路由代理50与pSEPP 44之间建立TCP连接(直接或经由中间TLS路由代理节点50)。
接下来，在接收到对CONNECT过程的“200OK”响应之后，cSEPP42经由TLS路由代理50与目的地服务器(pSEPP 44)建立TLS会话。在步骤110中，cSEPP 42向TLS路由代理50发送“Client Hello”TLS握手消息。在步骤112中，TLS路由代理50将“Client Hello”TLS握手消息透明地传递给pSEPP 44。在步骤114中，pSEPP 44向TLS路由代理50发送“Server Helloand Certificate”TLS握手消息。在步骤118中，cSEPP向TLS路由代理50发送“Client KeyExchange(客户端密钥交换)”TLS握手消息。在步骤120中，TLS路由代理50将此消息发送到pSEPP 44。此时，cSEPP 42与pSEPP 44之间的TLS握手已完成并且在其之间建立TLS隧道。
接下来，在TLS握手完成时，在步骤122中，cSEPP 42经由TLS隧道向pSEPP 44发送HTTP/2请求主体消息，所述TLS隧道遍历TLS路由代理50(和任何中间TLS路由代理节点50)。在步骤124中，TLS路由代理50将HTTP/2请求主体消息发送到pSEPP 44。在步骤126中，pSEPP44经由TLS隧道发送HTTP/2响应应用消息。TLS路由代理50接收到此消息，并且在步骤128中，将其发送到cSEPP 42。以这种方式，cSEPP 42与pSEPP 44之间的端到端安全被维护，因为整个TLS握手是在cSEPP 42与pSEPP 44之间。在cSEPP 42与pSEPP 44之间的通信完成时，cSEPP 42和TLS路由代理50被配置成在步骤130中关闭其之间的TCP连接。在步骤132中，TLS路由代理50和pSEPP 44也关闭它们的TCP连接。
图6示意性地描绘用于经由多个IPX网络互连多个移动网络运营商(MNO)的示例性架构。第一MNO 52经由主要路由连接到第一IPX网络54并且经由次要路由连接到第二IPX网络56。第一IPX网络54与第一MNO 52、第二MNO 58和第三MNO 62具有直接连接，同时第二IPX网络56与第三MNO 60和第四MNO 62具有直接连接。因此，如果第一IPX网络54需要将业务从第一MNO 52路由到第四MNO 62，则它能够通过经由TLS路由代理50a与TLS路由代理50c之间的对等通过第二IPX网络56路由来实现此目标。类似地，如果第二IPX56需要将业务从第一MNO 52路由到第二MNO 58，则它能够通过经由TLS路由代理50c与TLS路由代理50a之间的对等链路通过第一IPX网络54路由来实现这个。
图7是示意性地描绘TLS路由代理50的示例性软件组件架构的框图。根据此实施例，TLS路由代理50包括以下组件：(1)HTTP/2协议栈64，(2)HTTP/2服务器实现方式66，(3)HTTP/2客户端实现方式68，(4)动态TLS连接映射70，(5)消息防火墙配置72，(6)策略路由引擎74，以及(7)支持用于供应、日志记录、告警、关键性能指标(KPI)监测等的北向接口的OA&M模块76。
HTTP/2协议栈64是根据RFC7540的HTTP/2协议的实现方式。此实现方式支持用于代理TLS连接的CONNECT方法。HTTP/2客户端68和HTTP/2服务器66是HTTP/2连接的客户端和服务器实现方式。TLS连接映射70存储TLS连接的列表，每个列表由朝向cSEPP 42的TCP连接和朝向pSEPP 44的对应TCP连接的信息构成。此图能够用于在HTTP/2服务器66和HTTP/2客户端68连接之间路由TLS和HTTP/2应用消息。
消息防火墙72能够用于保护pSEPP 44免受不想要的入站HTTP/2连接。它包含被许可连接到pSEPP 44的cSEPP 42的白名单。对未包括在白名单中的始发和目的地节点的任何HTTP/2CONNECT尝试都被拒绝。
策略路由引擎74用于为cSEPP 42和pSEPP 44的特定对确定最佳路由。一些MNO不直接连接到IPX，因此，可能需要经由第三方IPX网络路由业务(称为IPX对等)。策略路由引擎74基于诸如每条链路的带宽、成本、时延、可靠性和QoS的多个因素来确定最佳路由。
OA&M模块76支持用于连接到IPX的操作和支持系统(OSS)的北向接口。它被用于配置供应、日志记录、告警和关键性能指标(KPI)监测等。
硬件和软件基础设施示例
可以在各种平台上体现本发明。下文提供可以被利用来使得能实现本发明的信息技术的先行基础。
本发明的实施例可以用硬件、固件、软件或其任何组合加以实现。本发明的实施例还可以被实现为存储在机器可读介质上的指令，这些指令可以由一个或多个处理器读取和执行。机器可读介质可以包括用于以可由机器(例如，计算设备)读取的形式存储或传送信息的任何机制。例如，机器可读介质可以包括只读存储器(ROM)；随机存取存储器(RAM)；磁盘存储介质；光学存储介质；闪速存储器设备；电、光学、声或其他形式的传播信号(例如，载波、红外信号、数字信号等)等。此外，可以在本文中将固件、软件、例程、指令描述为执行某些动作。然而，应该领会，此类描述仅仅是为了方便，并且此类动作实际上由计算设备、处理器、控制器或其他设备执行固件、软件、例程、指令等产生。
机器可读介质可以是例如但不限于电子、磁、光学、电磁、红外或半导体系统、装置或设备，或前述各项的任何合适的组合。计算机可读存储介质的更特定示例(非详尽列表)将包括下列的：具有一条或多条电线的电连接、便携式计算机软盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或闪速存储器)、光纤、便携式紧致盘只读存储器(CD-ROM)、光学存储设备、磁存储设备，或前述各项的任何合适的组合。在本文档的场境中，计算机可读存储介质可以是能够包含或者存储程序以供由指令执行系统、装置或设备使用或者连同指令执行系统、装置或设备一起使用的任何非暂时性有形介质。存储和服务可以在驻地或远程，诸如通过在品牌MICROSOFT AZURE、AMAZON WEBSERVICSE、RACKSPACE和KAMATERA下运营的供应商在“云”中。
机器可读信号介质可以包括传播数据信号，其中机器可读程序代码被体现在其中，例如在基带中或作为载波的一部分。这样的传播信号可以采取各种形式中的任一种，包括但不限于电磁、光学或其任何合适的组合。机器可读信号介质可以是不为计算机可读存储介质并且能够传递、传播或输送程序以供由指令执行系统、装置或设备使用或者连同指令执行系统、装置或设备一起使用的任何机器可读介质。然而，如以上指示的，由于电路法定标的物限制，作为软件产品的本发明的权利要求是体现在诸如计算机硬盘驱动器、闪速RAM、光盘等的非暂时性软件介质中的那些。
硬件设备关于通用计算可以是不可知论的或者可以是电信特定的。一些设备提供商包括在品牌HUAWEI、CISCO SYSTEMS、NOKIA和QUALCOMM下的那些。
在机器可读介质上体现的程序代码可以使用任何适当的介质来传送，所述介质包括但不限于无线、有线线路、光纤电缆、射频等，或前述各项的任何合适的组合。用于执行本发明的各方面的操作的机器可读程序代码可以用一种或多种编程语言的任何组合编写，所述编程语言包括诸如Java、C#、C++、Visual Basic等的面向对象编程语言以及诸如“C”编程语言或类似的编程语言的常规过程编程语言。可以使用像ERLANG(或开放电信平台，OTP)一样的附加语言或诸如PYTHON、LUA和PERL的脚本语言。
在下面参考根据本发明的实施例的方法、装置(系统)和计算机程序产品的流程图图示和/或框图来描述本发明的各方面。应理解，流程图图示和/或框图的每个框以及流程图图示和/或框图中的各框的组合能够通过机器可读程序指令来实现。
高效地获得了以上阐述的优点以及根据前面的公开内容显而易见的优点。由于可以在不脱离本发明的范围的情况下在以上构造方面做出某些改变，所以包含在前面的公开内容中或在附图中示出的所有题材都应被解释为说明性的，而不在限制性意义上进行解释。

Claims (20)

1.一种使得访问公用陆地移动网络(VPLMN)能够经由互联网协议交换(IPX)网络向订阅归属公用陆地移动网络(HPLMN)的用户设备(UE)提供5G漫游服务的方法，所述方法包括：
提供被托管在所述IPX网络上的传输层安全(TLS)路由代理，所述TLS路由代理被配置成与所述VPLMN的消费者安全边缘保护代理(cSEPP)和所述HPLMN的生产者安全边缘保护代理(pSEPP)通信；
在所述TLS路由代理与所述cSEPP之间执行第一次传输控制协议(TCP)握手，以在所述cSEPP与所述TLS路由代理之间建立第一TCP连接；
在所述TLS路由代理与所述pSEPP之间执行第二次TCP握手，以在所述TLS路由代理与所述pSEPP之间建立第二TCP连接，
由所述TLS路由代理，经由所述第一TCP连接来从所述cSEPP接收TLS握手消息，并且经由所述第二TCP连接将所述TLS握手消息发送到所述pSEPP；
由所述TLS路由代理，经由所述第二TCP连接来从所述pSEPP接收对所述TLS握手消息的响应，并且经由所述第一TCP连接将对所述TLS握手消息的所述响应发送到所述cSEPP；
在由所述cSEPP接收到对所述TLS握手消息的所述响应时，经由所述TLS路由代理，在所述cSEPP与所述pSEPP之间建立TLS隧道；
由所述TLS路由代理，通过所述TLS隧道从所述cSEPP接收请求应用消息，并且通过所述TLS隧道将所述请求应用消息发送到所述pSEPP；
由所述TLS路由代理，通过所述TLS隧道从所述pSEPP接收响应应用消息，并且通过所述TLS隧道将所述响应应用消息发送到所述cSEPP，从而使得能实现具有端到端安全的在所述cSEPP与所述pSEPP之间的通信，使得所述VPLMN向所述UE提供所述5G漫游服务。
2.根据权利要求1所述的方法，其中，所述TLS路由代理包括超文本传输协议代理(HTTP)/2代理。
3.根据权利要求2所述的方法，其中，所述HTTP/2代理与所述cSEPP和所述pSEPP通信。
4.根据权利要求1所述的方法，其中，所述请求应用消息和所述响应应用消息是超文本传输协议代理(HTTP)/2消息。
5.根据权利要求1所述的方法，其中，继在所述TLS路由代理与所述cSEPP之间的所述第一次TCP握手之后，所述cSEPP被配置成向所述TLS路由代理发送超文本传输协议代理(HTTP)/2CONNECT请求。
6.根据权利要求5所述的方法，其中，所述TLS路由代理被配置成基于所述HTTP/2CONNECT请求的伪报头来标识所述pSEPP。
7.根据权利要求6所述的方法，其中，在所述TLS路由代理与所述pSEPP之间的所述第二次TCP握手之前，所述TLS路由代理被配置成验证所述HTTP/2CONNECT请求被许可以被路由到所述pSEPP。
8.根据权利要求1所述的方法，其中，所述TLS路由代理被配置成确定在所述cSEPP与所述pSEPP之间的路由路径。
9.根据权利要求1所述的方法，其中，经由所述TLS路由代理，在所述cSEPP与所述pSEPP之间建立N32-c TLS会话和N32-f TLS会话。
10.根据权利要求1所述的方法，其中，所述第一次TCP握手和/或所述第二次TCP握手是三次握手。
11.根据权利要求1所述的方法，其中，所述TLS握手消息是TLS“Client Hello”消息，并且其中，对所述TLS握手消息的所述响应是TLS“Server Hello and Certificate”消息。
12.根据权利要求1所述的方法，其中，
经由一个或多个中间TLS路由代理，在所述TLS路由代理与所述pSEPP之间建立所述第二TCP连接，其中，
在所述TLS路由代理与所述一个或多个中间TLS路由代理之间建立第一中间TCP连接，并且
在所述一个或多个TLS路由代理与所述pSEPP之间建立第二中间TCP连接，
由此所述第一中间TCP连接和所述第二中间TCP连接共同地建立所述第二TCP连接。
13.根据权利要求1所述的方法，其中，所述TLS路由代理对在所述cSEPP与所述pSEPP之间交换的消息的内容不具有可见性，从而在其之间提供所述端到端安全。
14.一种使得能实现5G漫游服务的方法，所述方法包括：
提供被托管在第一互联网协议交换(IPX)网络上的第一传输层安全(TLS)路由代理，所述第一TLS路由代理被配置成与第一移动网络的消费者安全边缘保护代理(cSEPP)通信；
提供被托管在第二IPX网络上的第二TLS路由代理，所述第二TLS路由代理被配置成与第二移动网络的生产者安全边缘保护代理(pSEPP)通信；
在所述第一TLS路由代理与所述cSEPP之间建立第一传输控制协议(TCP)连接；
在所述第一TLS路由代理与所述第二TLS路由代理之间建立第二TCP连接；
在所述第二TLS路由代理与所述pSEPP之间建立第三TCP连接，
经由所述第一TCP连接，从所述cSEPP接收TLS握手消息；
经由所述第二TCP连接和所述第三TCP连接，将所述TLS握手消息发送到所述pSEPP；
经由所述第三TCP连接，从所述pSEPP接收对所述TLS握手消息的响应；
经由所述第二TCP连接和所述第一TCP连接，将对所述TLS握手消息的所述响应发送到所述cSEPP；
在由所述cSEPP接收到对所述TLS握手消息的所述响应时，经由所述第一TLS路由代理和所述第二TLS路由代理，在所述cSEPP与所述pSEPP之间建立TLS隧道，其中，所述pSEPP和所述cSEPP被配置成经由所述TLS隧道彼此通信；
由所述第一TLS路由代理，通过所述TLS隧道从所述cSEPP接收请求应用消息，并且由所述第一TLS路由代理，经由所述第二TLS路由代理通过所述TLS隧道将所述请求应用消息发送到所述pSEPP；以及
由所述第二TLS路由代理，通过所述TLS隧道从所述pSEPP接收响应应用消息，并且由所述第二TLS路由代理，经由所述第一TLS路由代理通过所述TLS隧道将所述响应应用消息发送到所述cSEPP，从而使得能实现具有端到端安全的在所述cSEPP与所述pSEPP之间的通信。
15.根据权利要求14所述的方法，其中，所述第一TLS路由代理包括超文本传输协议代理(HTTP)/2代理。
16.根据权利要求14所述的方法，其中，所述请求应用消息和所述响应应用消息是HTTP/2消息。
17.根据权利要求14所述的方法，其中，所述第一TLS路由代理或所述第二TLS路由代理被配置成基于由所述cSEPP发送的所述HTTP/2CONNECT请求的伪报头来标识所述pSEPP。
18.根据权利要求17所述的方法，其中，
在所述第二TLS路由代理与所述pSEPP之间建立所述第二TCP连接之前，所述第二TLS路由代理被配置成验证所述HTTP/2CONNECT请求被许可以被路由到所述pSEPP。
19.根据权利要求14所述的方法，其中，
在所述第一TLS路由代理与所述第二TLS路由代理之间的所述第二TCP连接是经由一个或多个中间TLS路由代理而建立的。
20.根据权利要求15所述的方法，其中，
所述第一TLS路由代理和所述第二TLS路由代理对在所述cSEPP与所述pSEPP之间交换的消息的内容不具有可见性，从而在其之间提供所述端到端安全。
CN202210187912.9A 2021-02-26 2022-02-28 一种在ipx网络中实现5g核心漫游路由的方法 Pending CN114980246A (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US202163154344P 2021-02-26 2021-02-26
US63/154,344 2021-02-26

Publications (1)

Publication Number Publication Date
CN114980246A true CN114980246A (zh) 2022-08-30

Family

ID=80787238

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210187912.9A Pending CN114980246A (zh) 2021-02-26 2022-02-28 一种在ipx网络中实现5g核心漫游路由的方法

Country Status (5)

Country Link
US (1) US11463939B2 (zh)
EP (1) EP4050968A1 (zh)
JP (1) JP2022132195A (zh)
KR (1) KR20220122555A (zh)
CN (1) CN114980246A (zh)

Families Citing this family (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
EP4374553A1 (en) * 2021-07-21 2024-05-29 Telefonaktiebolaget LM Ericsson (publ) Distributed network edge security architecture
GB2624216A (en) * 2022-11-10 2024-05-15 Nokia Solutions & Networks Oy V-EASDF and IPUPS
WO2024147696A1 (en) * 2023-01-07 2024-07-11 Samsung Electronics Co., Ltd. Device and method for managing information in a wireless communication

Family Cites Families (9)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11038967B2 (en) * 2017-01-26 2021-06-15 Verizon Patent And Licensing Inc. Enabling hypertext transfer protocol (HTTP) connect in association with a toll-free data service
KR102395384B1 (ko) 2017-03-20 2022-05-10 삼성전자 주식회사 셀룰러망의 효율적 pdu 세션 활성화 및 비활성화 방안
WO2018221942A1 (ko) 2017-05-29 2018-12-06 엘지전자 주식회사 상향링크 서비스 품질을 관리하는 방법 및 상기 방법을 수행하는 기지국
US10616200B2 (en) * 2017-08-01 2020-04-07 Oracle International Corporation Methods, systems, and computer readable media for mobility management entity (MME) authentication for outbound roaming subscribers using diameter edge agent (DEA)
US20210219137A1 (en) * 2018-09-24 2021-07-15 Nokia Technologies Oy Security management between edge proxy and internetwork exchange node in a communication system
US10834571B1 (en) * 2019-08-02 2020-11-10 Syniverse Technologies, Llc Steering of roaming for 5G core roaming in an internet packet exchange network
US11076281B1 (en) * 2020-01-31 2021-07-27 Syniverse Technologies, Llc 5G core roaming network function proxy in an IPX network
US11553342B2 (en) * 2020-07-14 2023-01-10 Oracle International Corporation Methods, systems, and computer readable media for mitigating 5G roaming security attacks using security edge protection proxy (SEPP)
US12063312B2 (en) * 2020-11-16 2024-08-13 Nokia Technologies Oy Security procedure for cryptographic signature verification based on a trust relationship between edge nodes connecting home and visited networks

Also Published As

Publication number Publication date
KR20220122555A (ko) 2022-09-02
EP4050968A1 (en) 2022-08-31
US20220279422A1 (en) 2022-09-01
JP2022132195A (ja) 2022-09-07
US11463939B2 (en) 2022-10-04

Similar Documents

Publication Publication Date Title
US11832172B2 (en) Methods, systems, and computer readable media for mitigating spoofing attacks on security edge protection proxy (SEPP) inter-public land mobile network (inter-PLMN) forwarding interface
US11463939B2 (en) Method of implementing 5G core roaming routing in an IPX network
EP2910036B1 (en) Offloaded security as a service
JP2023548370A (ja) 受信メッセージレート制限のための方法、システム、およびコンピュータ読み取り可能な媒体
JP3613453B2 (ja) 移動ポイント・ツー・ポイント・プロトコル
EP2144416B1 (en) Mobile network managing apparatus and mobile information managing apparatus for controlling access requests
US11076281B1 (en) 5G core roaming network function proxy in an IPX network
US8498223B2 (en) Systems and methods for providing emergency service trust in packet data networks
US11395211B2 (en) Systems and methods for restricting network traffic based on geographic information
CN111819874B (zh) 避免基于5g服务的架构中plmn间路由和tls问题的方法和解决方案
US20210219137A1 (en) Security management between edge proxy and internetwork exchange node in a communication system
US11184356B1 (en) System and method for seamless user equipment authentication
FI124279B (fi) Suojattu datanlähetys viestintäjärjestelmässä
CN118140468A (zh) 用于限制在通信网络中进行的跳数的方法、系统和计算机可读介质
CN117321976A (zh) 用于使用网络切片信息来选择软件定义广域网（sd-wan）链路的方法、系统和计算机可读介质
US8004972B2 (en) Quality of service in communication systems
US20240334184A1 (en) Distributed Network Edge Security Architecture
GB2606613A (en) System and method of intelligent edge routing
US11533358B1 (en) Roaming hub for secure interconnect in roaming scenarios
US20230261997A1 (en) Policy provisioning to a mobile communication system
KR20240153815A (ko) 세션 제어 장치 및 데이터 처리 장치와, 그 장치에서 수행되는 서로 다른 plmn 간 서비스 방법
WO2023186875A1 (en) Configuring traffic steering
Aghayeva IMPLEMENTATION OF THE DIAMETER PROTOCOL IN THE MOBILE 4TH GENERATION (4G) RADIOTELEPHONE NETWORK
Chaouchi et al. Signalling analysis in integrated 4G networks
Gasmi Aymen Traffic management in IP-based wireless networks

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
WD01 Invention patent application deemed withdrawn after publication

Application publication date: 20220830

WD01 Invention patent application deemed withdrawn after publication