Introdução ao GPRS

As redes de Serviço Geral de Rádio de Pacotes (GPRS) se conectam a várias redes externas, incluindo as de parceiros de roaming, clientes corporativos, provedores de roaming de GPRS (GRX) e internet pública. As operadoras de rede GPRS enfrentam o desafio de proteger sua rede ao mesmo tempo em que fornecem e controlam o acesso de e para essas redes externas. A Juniper Networks oferece soluções para muitos dos problemas de segurança que assolam as operadoras de rede GPRS.

Na arquitetura GPRS, a causa fundamental das ameaças de segurança à rede de uma operadora é a falta de segurança inerente ao protocolo de tunelamento GPRS (GTP). GTP é o protocolo usado entre nós de suporte para GPRS (GSNs). O GTP é usado para estabelecer um túnel GTP para endpoints de usuários individuais (UEs) e entre um gateway de serviço (S-GW) e um gateway PDN (P-GW) em 4G. Um túnel GTP é um canal entre GSNs através dos quais dois hosts trocam dados. O SGSN (S-GW) recebe pacotes dos endpoints do usuário e os encapsula em um cabeçalho GTP antes de encaminhá-los para o GGSN através do túnel GTP. Quando o GGSN recebe os pacotes, ele os descapsula e os encaminha para o host externo.

A comunicação entre diferentes redes GPRS não é segura porque o GTP não fornece nenhuma autenticação, integridade de dados ou proteção de confidencialidade. Implementar a segurança de IP (IPsec) para conexões entre parceiros de roaming, definir limites de taxa de tráfego e usar uma inspeção stateful pode eliminar a maioria dos riscos de segurança do GTP. Os recursos de firewall GTP no Junos OS resolvem os principais problemas de segurança nas redes das operadoras móveis.

Os dispositivos de segurança da Juniper Networks mitigam uma grande variedade de ataques nos seguintes tipos de interfaces GPRS:

• Gn — A interface Gn é a conexão entre um SGSN (S-GW) e um GGSN dentro da mesma rede móvel de terra pública (PLMN).

  S5 - A interface S5 é a conexão entre um S-GW e P-GW dentro do PLMN em redes 4G.

• Gp — A interface do GP é a conexão entre duas PLMNs.

  A interface S8-S8 é a conexão de plano de portador entre casa e PLMNs visitadas em redes 4G.

• Gi — A interface Gi é a conexão entre um GGSN e as redes de Internet ou destino conectadas a um PLMN.

  SGi - A interface SGi é a conexão entre um P-GW e a Internet ou redes de destino conectadas a uma PLMN em redes 4G.

O termo interface tem significados diferentes no Junos OS e na tecnologia GPRS. No Junos OS, uma interface é uma porta para uma zona de segurança que permite que o tráfego entre e saia da zona. No GPRS, uma interface é uma conexão, ou um ponto de referência, entre dois componentes de uma infraestrutura GPRS, por exemplo, um SGSN (S-GW) e um GGSN (P-GW).

A partir do Junos OS Release 18.4R1, a inspeção de segurança de tráfego do protocolo de tunelamento GPRS (GTP) é suportada em endereços IPv6, juntamente com o suporte IPv4 existente. Com esse aprimoramento, um túnel GTP usando endereços IPv4 e IPv6 está estabelecido para endpoints de usuário (UEs) individuais entre um nó de suporte para GPRS (SGSN) em 3G ou um gateway de serviço (S-GW) e um nó de suporte para GPRS (GGSN) em 3G ou um gateway PDN (P-GW) no 4G. Com suporte para IPv6, o GATEWAY de camada de aplicativos GTP (ALG) inspeciona ou ignora as sessões IPv6 GTP de acordo com as configurações da política. Todas as funções alg no IPv4 são suportadas no IPv6. Você pode inspecionar a sinalização GTP ou as mensagens de dados transmitidas pelo IPv6 com base nas configurações da política.

Este tópico contém as seguintes seções:

• Interfaces gp e gn
• Gi Interface
• Modos operacionais
• Atualização de software gtp em serviço

Interfaces gp e gn

Você implementa um dispositivo de segurança na interface Gn para proteger ativos de rede de núcleo, como o SGSN (S-GW) e o GGSN (P-GW). Para proteger túneis GTP na interface Gn, você coloca o dispositivo de segurança entre SGSNs (S-GW) e GGSNs (P-GW) em um PLMN comum.

Quando você implementa um dispositivo de segurança na interface gp, você protege um PLMN de outro PLMN. Para proteger túneis GTP na interface gp, você coloca as SGSNs (S-GW) e GGSNs (P-GW) de um PLMN atrás do dispositivo de segurança para que todo o tráfego, de entrada e saída, passe pelo firewall.

A Figura 1 ilustra a colocação de dispositivos da Série SRX da Juniper Networks usados para proteger PLMNs nas interfaces Gp e Gn.

Figura 1: Interfaces Gp e Gn

Gi Interface

Ao implementar um dispositivo de segurança na interface Gi, você pode controlar simultaneamente o tráfego para várias redes, proteger uma PLMN contra a Internet e redes externas e proteger os usuários móveis da Internet e de outras redes. O Junos OS oferece um grande número de roteadores virtuais, possibilitando que você use um roteador virtual por rede do cliente e, assim, permita a separação do tráfego para cada rede do cliente.

O dispositivo de segurança pode encaminhar pacotes com segurança para a Internet ou redes de destino usando o Protocolo de Tunelamento de Camada 2 (L2TP) para túneis de rede virtual privada (VPN) IPsec.

Os dispositivos da Série SRX não oferecem suporte total a L2TP.

A Figura 2 ilustra a implementação de um dispositivo de segurança para proteger um PLMN na interface Gi.

Figura 2: Interface Gi

O gateway de camada de aplicativos GTP (ALG) mantém o status dos túneis e permite a atualização de pacotes de solicitação de túnel apenas para os túneis existentes. Quando o equipamento do usuário se move para um novo local e se conecta a outro SGSN, as novas informações de SGSN devem ser atualizadas no túnel original. Como poucas mensagens GTP-C são bidirecionais, e as mensagens podem ser enviadas pelo SGSN ou pelo GGSN, a distribuição correta de sessão não é garantida. Ou seja, o GTP ALG deixa de criar uma sessão se o primeiro pacote se originar de uma direção desconhecida. Nesse caso, o primeiro pacote e os outros pacotes pendentes são descartados.

Para evitar que os pacotes GTP-C sejam descartados, uma nova sessão de fluxo é criada e o tráfego GTP-C pode ser aprovado mesmo se a direção GGSN ou SGSN não for determinada. Mais tarde, o IP GGSN é determinado usando a SPU correta para criar a sessão de fluxo; caso contrário, a sessão é migrada para a SPU designada.

A partir do Junos OS Release 18.4R1, o túnel GTP-C é aprimorado para oferecer suporte à distribuição de sessão baseada em túnel para acelerar o processo de configuração do túnel e equilibrar as sessões entre as SPUs. A sessão baseada em túnel garante que as mensagens do túnel GTP-C atinjam o túnel de controle e terminem a inspeção stateful. Se a distribuição GTP-C estiver habilitada, os túneis GTP-C e as sessões de túnel GTP-C serão distribuídos pelo identificador de endpoint do túnel SGSN (TEID) do túnel. Use o set security forwarding-process application-services enable-gtpu-distribution comando para habilitar a distribuição de sessão baseada em túnel onde o tráfego GTP-C de diferentes túneis está espalhado por diferentes SPUs. Este comando é obrigatório. Se ele estiver ausente da configuração, o GTP ALG deixará de funcionar e não inspecionará os pacotes GTP.

Começando no Junos OS Versão 15.1X49-D40 e Junos OS Versão 17.3R1, a arquitetura do ponto central é aprimorada. As melhorias são as seguintes:

• Evite problemas de queda de pacotes GTP-C durante a entrega do SGSN.

• Suporte à limitação da taxa de mensagem GTP-C para proteger a GGSN contra inundações de mensagens GTP-C.

• Distribua o tráfego GTP-C e GTP-U tratado por um par GGSN e SGSN em todas as SPUs comutação para distribuição de sessão baseada em túnel na qual o tráfego GTP-C e GTP-U de diferentes túneis é espalhado por diferentes SPUs. Use o enable-gtpu-distribution comando para habilitar a distribuição de sessão GTP-C ou GTP-U.

• Gerenciamento de túneis GTP
• GSN
• Gerenciamento de objetos de caminho