ポリシーベースの GTP

デフォルトでは、モバイル デバイスが保護する PLMN(パブリック ジュニパーネットワークス ネットワーク)は Trust ゾーンにあります。デバイスは、Trust ゾーンの PLMN を他のゾーンの他の PLMN から保護します。Untrustゾーンの PLMN 保護に使用している PLMN はすべて、PLMN ごとにユーザー定義ゾーンを作成することもできます。PLMN は、1 つのプラットフォームまたはセキュリティ ゾーンを使用できます。

ゾーンと PLMN 間のトラフィック フローを可能にするポリシーを作成する必要があります。ポリシーには、トラフィックを許可、拒否、またはトンネルするルールが含まれている。このデバイスは、GTP トラフィックを調整するポリシーに対してすべての GTP パケットをチェックし、その後これらのポリシーに基づいてパケットを転送、ドロップ、トンネリングすることで、GPRS トンネリング プロトコル(GTP)ポリシー フィルタリングを実行します。

ポリシーで GTP サービスを選択すると、デバイスで GTP トラフィックの許可、拒否、トンネルが有効にできます。ただし、これではデバイスが GTP トラフィックを検査しません。デバイスで GTP トラフィックを検査するには 、GTPインスペクション オブジェクトとも呼ばれる GTP 設定をポリシーに適用する必要があります。

ポリシーごとに 1 つの GTP インスペクション オブジェクトのみ適用できますが、GTP インスペクション オブジェクトを複数のポリシーに適用できます。ポリシーを使用すると、サービング GPRS サポート ノード(SGSN)などの特定のピアからの GTP トンネルの確立を許可または拒否できます。

Junos OS リリース 19.4R1 から、IoT(Internet of Things)とローミング ファイアウォールの使用例に対応するために、次の SRX5000(SRX5400、SRX5600、SRX5800)、SRX4600 デバイスの SPU ごとの GTP トンネルの規模が増加しています。

Junos OS リリース 20.1R1から、IoT(Internet of Things)とローミング ファイアウォールの使用事例を有効にするために、次の SRX デバイスでは GTP トンネルの規模が拡張されます。

サポートvSRXのトンネル数は、使用可能なシステム メモリによって異なります。

「任意」を送信元または宛先ゾーンとして指定するポリシー(ゾーン内のすべてのホストを含む)を設定し、複数の送信元と宛先のアドレスを指定するポリシーを設定できます。

ポリシーでは、トラフィックのロギングを有効にできます。

この例では、ポリシーで GTP インスペクションを有効にする方法を示しています。

デバイスが GPRS トンネリング プロトコル(GTP)トラフィックのインスペクションを実行するには、GTP インスペクション オブジェクトを作成してからポリシーに適用する必要があります。次のコマンドを使用して、 : という名前の GTP インスペクション オブジェクトを作成 la-ny set security gprs gtp profile la-ny します。GTP インスペクション オブジェクトは柔軟性が高く、さまざまな GTP 設定を適用する複数のポリシーを設定できます。送信元と宛先のゾーン、アドレス、アクションなどによって、GTP トラフィックを異なる方法で制御するデバイスを設定できます。

GTP 機能を設定するには、GTP 設定のコンテキストを入力する必要があります。デバイスに設定を保存CLI、まず GTP 設定を終了してから コマンドを入力 commit する必要があります。

この例では、GTPインスペクション オブジェクトを作成する方法を示しています。

GPRS トンネリング プロトコル(GTP)は、サービス提供 GPRS サポート ノード(SGSN)とゲートウェイ GPRS サポート ノード(GGSN)との間で、個々のモバイル ステーション(MS)の GTP トンネルを確立します。GTP バージョン 2(GTPv2)は、リリース 11.4 Junos OSサポートされています。

GTPv2 は、第 3 世代パートナーシップ プロジェクト(3GPP)によって開発された第 4 世代(4G)無線ブロードバンド技術、LTE(長期進化)の一部です。3GPP は GPRS 規格を開発するための標準本体です。LTE は、モバイル 電話ネットワークの容量と速度を向上するように設計されています。GTPv2 は LTE ネットワーク用に設計されたプロトコルです。LTE ネットワークは、ネットワーク要素、LTE インターフェイス、プロトコルで構成されています。

GTPv0 と GTPv1 は、SGSN と GGSN を使用して実装されます。ただし GTPv2 では、従来の SGSN と GGSN が 3 つの論理ノード(サービス ゲートウェイ(SGW)、パケット データ ネットワーク ゲートウェイ(PGW)、モビリティ管理エンティティ(MME)に置き換えされます。

図 1 は 、パブリック ランド モバイル ネットワーク(PLMN)SRX シリーズ展開される LTE インターフェイスを示しています。

図 1:LTEインターフェイス

• S5:このインターフェイスは、SGWとPGWを接続します。SGWとPGWの間で、ユーザープレーントンネリングとトンネル管理機能を提供します。また、ユーザー機器のモビリティや、非配置のPGWへのSGW接続が原因で発生するSGWの再配置にも使用されます。S5 インターフェイスは、第 3 世代(3G)モバイル ネットワークの Gn インターフェイスに相当します。

• S8:このインターフェイスは、訪問した PLMN(VPLM)内の SGW と、ホーム PLMN(HPLMN)内の PGW を接続します。S8 は、S5 の PLMN 間の変種です。S8 インターフェイスは、3G モバイル ネットワークの Gp インターフェイスに相当します。

• S4:このインターフェイスは、S4 SGSN と SGW を接続します。GPRS コア ネットワークと 3GPP アンカー機能との間で関連する制御およびモビリティー サポートを提供します。ダイレクト トンネリングが確立されていない場合は、ユーザー プレーン トンネリングも提供されます。S4 インターフェイスは、3G ネットワークと 4G ネットワーク間の相互運用性を提供する 3G モバイル ネットワークに同等のインターフェイスを備える必要があります。

GPRS トンネリング プロトコル バージョン 2(GTPv2)は、GTPv2 トラフィックを調整するセキュリティ ポリシーに対してすべての GTPv2 パケットをチェックするポリシー メカニズムを実装しています。セキュリティ ポリシーに基づき、パケットの転送、ドロップ、またはトンネリングが行います。

GTPv2 セキュリティ ポリシーにより、GTPv2 トラフィックの転送、拒否、トンネルが可能です。ただし、セキュリティ ポリシーでは、デバイスでの GTPv2 トラフィック インスペクションは有効ではありません。トラフィック インスペクションを有効にするには、GTPv2 インスペクション オブジェクトをセキュリティ ポリシーに適用する必要があります。GTPv2インスペクション オブジェクトは、GTPv2トラフィックを処理する一連の設定パラメータです。

セキュリティ ポリシーごとに適用できる GTPv2 インスペクション オブジェクトは 1 つのみです。ただし、インスペクション オブジェクトは複数のセキュリティ ポリシーに適用できます。

デフォルトでは、GTPv2 インスペクション オブジェクトはセキュリティ ポリシーに適用されません。インスペクション オブジェクトをセキュリティ ポリシーに明示的に適用する必要があります。

GTPv2セキュリティポリシーを使用すると、サービングゲートウェイ(SGW)などの特定のピアからのGTPv2トンネル確立を許可または拒否できます。複数の送信元と宛先のアドレス、アドレス グループ、またはゾーン全体を指定する GTPv2 セキュリティ ポリシーを設定できます。

この例では、ポリシーで GTPv2 インスペクションを有効にする方法を示しています。

GPRS トンネリング プロトコル(GTP)パスを再起動すると、2 台のデバイス間のすべての GTP トンネルが終了します。各 GTP ゲートウェイは、再起動番号に関連付けられている。GTP メッセージの復旧情報要素(IE)から再起動番号を取得できます。

再起動を検出するには、ローカルに保存された再起動番号と、新しく取得した再起動番号を比較します。ローカルに格納された再起動数は0以外の値であり、新しい再起動番号と一致しません。

設定ステートメントを使用 set security gprs gtp profile name restart-path (echo | create | all) して、GTP パスを再起動できます。

このコマンドを設定すると、デバイスがメッセージ内の Recovery IE から取得した変更された再起動番号を検知します。このオプションを使用して、Echo メッセージから新しい再起動番号を取得するオプション、セッション作成メッセージから再起動番号を取得するオプション、すべてのタイプの echo create all GTP メッセージから新しい再起動番号を取得するオプションを使用できます。

この例では、GTPv2 パスを再起動する方法を示しています。

GPRS トンネリング プロトコル バージョン 2(GTPv2)トンネルを使用すると、GPRS サポート ノード(GSN)間で GTPv2 トラフィックを伝送できます。

トラフィックの送信中、GTPv2 トンネルがたつるしている理由は多数です。たとえば、delete-pdp-request メッセージがネットワークで失われたり、GSN が適切にシャットダウンされない場合があります。このような場合、自動または手動で、ぶら下がり GTPv2 トンネルを削除できます。

ぶら下がり GTPv2 トンネルを自動的に削除するには、デバイスに GTPv2 トンネル タイムアウト値を設定する必要があります。デバイスは、タイムアウト値によって指定された期間にアイドル状態にあるトンネルを自動的に識別して削除します。デフォルトの GTPv2 トンネル タイムアウト値は 36 時間です。

設定ステートメントを使用 set security gprs gtp profile name timeout して、 デバイスでこの値を設定できます。タイムアウト範囲は、1~1000時間です。

ハンギングされている GTPv2 トンネルを手動で削除するには、 動作モード コマンド clear security gprs gtp tunnel を使用する必要があります。

この例では、GTPv2トンネルのタイムアウト値を設定する方法を示しています。

コンソールまたは syslog を使用して、GPRS トンネリング プロトコル バージョン 2(GTPv2)のトラフィック ログを表示できます。GTPv2パケットのステータスに基づいてログを記録するデバイスを設定できます。GTPv2 パケット ステータスは以下のとおりです。

• 転送 — 有効だったため、GTPv2 パケットが転送されました。

• 状態が無効 : GTPv2 パケットが問題の検出またはステートフル インスペクションにより破棄されました。接続性チェックでエラーが発生した場合、パケットはエラーとしてマークされます。

• 禁止 — メッセージ長、メッセージ タイプ、国際モバイル 加入者アイデンティティ(IMSI)プレフィックス チェックに失敗して、GTPv2 パケットがドロップされました。

• レート制限:宛先 GPRS サポート ノード(GSN)の最大レート制限を超えたため、GTPv2 パケットがドロップされました。

デフォルトでは、デバイスで GTPv2 ロギングが無効になっています。設定ステートメントを使用 set security gprs gtp profile name log して、 デバイスで GTPv2 ロギングを有効にできます。

この例では、デバイスで GTPv2 トラフィック ロギングを有効にする方法を示しています。