Interception légale sur le plan utilisateur multi-accès Junos
L’interception légale est un processus permettant d’obtenir des données de réseau de communication relatives à une personne ou à une organisation cible, comme autorisé par une ordonnance judiciaire ou administrative.
Junos Multi-Access User Plane est conforme aux normes 4G et 5G pour les interceptions légales. Vous pouvez légalement intercepter jusqu’à deux pour cent du nombre maximal d’abonnés pris en charge par la plateforme.
L’interception légale sur le plan utilisateur multi-accès Junos prend en charge le basculement GRES (Graceful Moteur de Routage Switchover). À l’heure actuelle, il ne prend pas en charge l’ISSU unifié.
Interception légale sur les réseaux 4G
Le plan utilisateur multi-accès Junos prend en charge l’interception légale conforme à la 4G uniquement sur le plan utilisateur de passerelle d’évolution de l’architecture système (SAEGW-U).
La figure 1 montre les entités impliquées dans l’interception légale sur les réseaux 4G et les interfaces entre elles.
4G
Le processus d’interception légale sur les réseaux 4G est le suivant :
-
La fonction administrative (ADMF) assure la gestion globale du système d’interception légale. Il envoie des signaux contenant des informations de ciblage au plan de contrôle via l’interface X1. L’ADMF informe également le plan de contrôle du trafic des abonnés à dupliquer et à envoyer à l’organisme chargé de l’application de la loi.
-
Le plan de contrôle (SAEGW-C) déclenche le plan utilisateur sur l’interface Sx pour commencer à dupliquer le trafic d’abonné. Il envoie également l’adresse de la fonction de médiation et de livraison (MDF) à laquelle les données doivent être transmises.
-
Le plan utilisateur multi-accès Junos (SAEGW-U) envoie le trafic dupliqué à la fonction d’interconnexion d’interception légale X3 scindée (SX3LIF) via l’interface X3u. Le SX3LIF le transmet ensuite au MDF via l’interface X3.
-
Le MDF tire les informations relatives à l’interception des en-têtes de LI_X3 envoyés avec le trafic dupliqué. Il transmet ensuite le trafic intercepté aux forces de l’ordre via l’interface HI3.
Interception légale sur les réseaux 5G
Le plan utilisateur multi-accès Junos prend en charge l’interception légale conforme à la 5G uniquement sur la fonction de plan utilisateur (UPF) ou le contenu du point d’interception de communication (CC-POI).
La figure 2 montre les entités impliquées dans l’interception légale sur les réseaux 5G et les interfaces entre elles.
5G
Le processus d’interception légale est le suivant :
-
La fonction administrative (ADMF) assure la gestion globale du système d’interception légale. Il envoie des signaux contenant des informations de ciblage au plan de contrôle via l’interface LI_X1. Il informe également le plan de contrôle du trafic des abonnés à dupliquer et à envoyer à l’organisme chargé de l’application de la loi.
-
Le plan de contrôle (SMF) déclenche le plan utilisateur sur l’interface LI_T3 pour commencer à dupliquer le trafic des abonnés. Il envoie également l’adresse de la fonction de médiation et de livraison (MDF) à laquelle les données doivent être transmises.
-
Le plan UPF (Multi-Access User Plan) de Junos envoie le trafic dupliqué au MDF via l’interface LI_X3.
-
Le MDF tire les informations relatives à l’interception des en-têtes de LI_X3 envoyés avec le trafic dupliqué. Il transmet ensuite le trafic intercepté aux forces de l’ordre via l’interface HI3.
Exigences relatives à l’interception légale
Pour configurer l’interception légale pour les réseaux 4G, vous devez :
-
Configurez une adresse de bouclage sur le plan utilisateur multi-accès Junos. Cette adresse est utilisée comme adresse source pour le trafic intercepté légalement.
[edit interfaces lo0 unit 0 family inet] user@host# set address loopback-address
Pour configurer l’interception légale pour les réseaux 5G, vous devez :
-
Définissez l’adresse de bouclage sur 127.0.0.1/32 sur le plan utilisateur multi-accès Junos. Cette adresse est utilisée comme adresse source pour le trafic intercepté légalement.
[edit interfaces lo0 unit 0 family inet] user@host# set address 127.0.0.1/32
-
Configurez le serveur HTTPS sur le plan utilisateur multi-accès Junos à l’aide de l’API REST sous la
[edit system services rest https-5g]hiérarchie.[edit system services rest https-5g] user@host# set port port-number user@host# set addresses ip-address user@host# set server-certificate local-certificate-identifier user@host# set mutual-authentication certificate-authority certificate-authority-profile-name
Pour plus d’informations sur l’API REST, consultez Configuration de l’API REST.
Pour plus d’informations sur l’autorité de certification et l’infrastructure à clés publiques, voir PKI dans Junos OS.
-
(Facultatif) Configurez la limite de connexion pour l’API REST. Nous recommandons cette configuration pour améliorer les performances de l’interception légale.
[edit system services rest control] user@host# set connection-limit limit
Considérations de sécurité relatives à l’interception légale
En raison de leur nature, les données légalement interceptées doivent être transmises de manière sécurisée. Les normes 3GPP exigent que le trafic d’interception légal sur les réseaux 5G soit envoyé à la fonction de médiation et de livraison (MDF) à l’aide du protocole TLS (couche transport security).
Le plan utilisateur multi-accès Junos ne prend pas en charge TLS, mais peut envoyer du trafic d’interception légal au MDF via des tunnels IPsec. Lorsque vous utilisez IPsec sur le plan utilisateur multi-accès Junos, assurez-vous que vous :
-
Configurez les interfaces de multiservices virtuels et l’ensemble de services de type saut suivant.
Utilisez les commandes suivantes pour configurer les interfaces multiservices virtuelles :
[edit interfaces] user@host# set interface-name unit logical-unit-number family inet user@host# set interface-name unit logical-unit-number service-domain inside user@host# set interface-name unit logical-unit-number family inet user@host# set interface-name unit logical-unit-number service-domain outside
Utilisez les commandes suivantes pour configurer un jeu de services de type next-hop :
[edit services] user@host# set service-set service-set-name [edit services service-set service-set-name] user@host# set next-hop-service inside-service-interface interface-name.unit-number outside-service-interface interface-name.unit-number
L’interface de service interne doit être une unité logique d’interface de service configurée avec
service-domain insideL’interface de service externe doit être une unité logique d’interface de service configurée avecservice-domain outside. -
Configurez l’Internet Key Exchange (IKE).
[edit security ike] user@host# set proposal proposal-name [edit security ike proposal proposal-name] user@host# set authentication-method pre-shared-keys user@host# set dh-group dh-group-number user@host# set authentication-algorithm algorithm user@host# set encryption-algorithm algorithm [edit security ike] user@host# set policy policy-name [edit security ike policy policy-name] user@host# set proposals proposal-name user@host# set pre-shared-key ascii-text key [edit security ike] user@host# set gateway gateway-name [edit security ike gateway gateway-name] user@host# set ike-policy policy-name user@host# set address ip-address user@host# set external-interface interface-name user@host# set local-address address
Pour plus d’informations sur IKE, voir Internet Key Exchange (IKE) pour VPN IPsec.
-
Utilisez le mode tunnel IPsec.
Note:Pour utiliser IPsec, une carte de services MX-SPC3 doit être installée sur votre appareil.
[edit security ipsec] user@host# set proposal proposal-name [edit security ipsec proposal proposal-name] user@host# set protocol (ah | esp) user@host# set authentication-algorithm algorithm user@host# set encryption-algorithm algorithm [edit security ipsec] user@host# set policy policy-name [edit security ipsec policy policy-name] user@host# set proposals proposal-name [edit security ipsec] user@host# set vpn vpn-name [edit security ipsec vpn vpn-name] user@host# set bind-interface interface-name user@host# set ike gateway gateway-name user@host# set ike ipsec-policy policy-name user@host# set establish-tunnels immediately
Pour plus d’informations sur la configuration des tunnels IPsec, reportez-vous à la section Présentation de la configuration du VPN IPsec.
Si IPsec ne peut pas être utilisé, nous vous recommandons d’utiliser un périphérique CC-PAG (Content of Communication Point of Aggregation), qui chiffre les données à l’aide de TLS avant de les envoyer au MDF.
Vous pouvez toujours intercepter légalement le trafic sur les réseaux 5G sans configurer IPsec. Toutefois, nous vous recommandons d’utiliser IPsec pour vous conformer aux normes 3GPP.
L’interface LI_T3 entre la SMF et l’UPF prend en charge le chiffrement TLS. Vous pouvez l’activer en configurant un certificat de serveur et une authentification mutuelle sur le serveur HTTPS local sous la [edit system services rest https-5g] hiérarchie.