We Cultivate_ Fun and Happiness!! ULC Systems Femto-AAA Solution 소개 2009
1. Femto-AAA 개요
Femto-AAA Solution(1/2) 개요 Femto-Wimax 서비스는분산형서비스홖경에서와이브로단말기로언제, 어디서나고속으로무선인터넷접속이가능한서비스로, 이동통신의 femtocell 과동일한서비스를제공한다. 분산형 WiMax 서비스망 PicoACR (Access Control Router) - 옥내 / 옥외망갂이동성관리및동기, 과금 / 통계정보생성, IP 라우팅및 QoS 관리, 접속제어및인증등의기능을제공하며, femto- AAA 혹은코어망 AAA 와연동하여, femto-ap 를통해접속한와이브로단말의권한검사및접속인증을수행함. Femto-AP (Access Point) - 와이브로접속, 무선자원관리및제어, IP 라우팅등의기능을제공함하며, pico-acr 과연동하여와이브로무선단말의접속인증및고속무선접속처리기능을수행함. Femto-AAA - 기업사용자정보및기업서비스 policy 정보를기반으로 pico-acr 을통해요청되는단말에대한인증 / 권한 / 과금처리기능을수행함. ( 필요한경우 RADIUS-DIAMETER 프로토콜변홖수행 ).
Femto-AAA Solution(2/2) S/W 구성 BASE 서브시스템 : DIAMETER 프로토콜기반인증요청을처리하는기능을제공하며, transport connection manager, peer manager, heath cheker, realm-based routing manager, job handler, callback manager, event handler, DB interface 모듈로구성됨 AP 서브시스템 : BASE 기능을이용하는인증 / 인가 / 과금기능을제공하며, 각응용별로 register manager, message manager, EAP-AKA/EAP-MD5/MAP-TLS, session manager, access account, service account, inter-operation interface 모듈로구성됨 TRANS 서브시스템 : RADIUS 프로토콜인증요청을 DIAMETER 프로토콜로변홖하여처리하는기능을제공하며, transport connection manager, job handler, event handler, protocol converter 모듈로구성됨 POLICY 서브시스템 : 기업사용자정보관리및서비스 policy 정보관리기능을제공하며, user manager, policy manager, inter-operation interface, DB interface 모듈로구성됨
ULC Systems Femto-AAA 특징 특징 표준 Protocol RFC 3588 (Diameter Base Protocol) RFC 4072 (Diameter EAP) 독립성 EAP, Accounting, CC, MIP 응용과 BASE 갂의독립된구조로구성 향후서비스응용추가가용이한구조 확장성 응용과 BASE 가분리된구조이므로추가응용에대한확장이용이함 특정응용만 (ex, EAP) 만별도의서버로구성가능 안정성 이중화지원 Primary/Secondary 구조 Database 이중화지원 Primary/Secondary 데이터베이스연결지원 국내 K 통신사업자의 WIBRO 서비스에적용하여안정적으로운영중 보안및 Customizing IPSec 을통한 Hop 보안지원 자체기술력으로개발하여추가응용또는서비스에대한완벽한 Customizing 지원
Diameter 표준 (1/2) Diameter Protocol 표준 IETF AAA Standards Diameter Base Protocol (RFC 3588) AAA Transport Profile (RFC 3539) Diameter Mobile IPv4 Application (RFC 4004) Diameter Network Access Server (NAS) Application (RFC 4005) Diameter Credit-Control (CC) Application (RFC 4006) Diameter Extensible Authentication Protocol (EAP) Application (RFC 4072) Diameter Session Initiation Protocol (SIP) Application (Draft-SIP-12 : Proposed Standard RFC) AKA Standards EAP for Authentication and Key Agreement (EAP-AKA)(RFC 4187) 3GPP TS 35.205 / 35.206 / 35.207/ 35.208 / 35.209 (MILENAGE Algorithm) 3GPP TS 33.909 / 33.102 / 33.105 / 33.234 (Security Aspects) 3GPP/3GPP2 IMT-2000(cdma 2000 and UMTS) suggestion TR45.6 / TR23.923 (MIP) TS29.229, TS29.329, TS32.225 (IMS)
Diameter 표준 (2/2) WiMAX Standards Mobile WiMAX NWG Stage 3 Release 1.0.0 WiMAX End-to-End Network Systems Architecture bootstrapping: A WiMAX applicability example Mobile IP Remote Authentication Dial In User Service (RADIUS) (RFC 2865) RADIUS Extensions (RFC 2869) draft-nakhjiri-radius-mip4-02 RADIUS Mobile IPv4 extensions draft-nakhjiri-pmip-key-02 EAP based Proxy Mobile IP key IP Mobility Support (RFC 2002) Mobile IPv4 Challenge/Response Extensions (RFC 3012) IP Mobility Support for IPv4 (RFC 3344) 3GPP2 X.S0011-002-D cdma2000 Wireless IP Network Standard: Simple IP and Mobile IP Access Services Cisco Mobile Wireless Home Agent Feature Guide Cryptography The TLS Protocol Version 1.0 (RFC 2246) HMAC: Keyed-Hashing for Message Authentication (RFC 2104) Test Cases for HMAC-MD5 and HMAC-SHA-1 (RFC 2202) The MD5 Message-Digest Algorithm (RFC 1321) US Secure Hash Algorithm 1 (SHA1) (RFC 3174) FIPS PUB 46 Data Encryption Standard FIPS PUB 197 ADVANCED ENCRYPTION STANDARD (AES) PKCS #1: RSA Cryptography Standard
2. WiMax AAA Solutions
WiMAX Service Network 구조 Network 구성도 Provisioning, Customer Care Subscriber Mng Pico-ACR Authentication Authorization Accounting AAA Subscriber Info DIRECT DB ACCESS Subscriber Key Info DIRECT DB ACCESS Key Mng ACR DIAMETER/ RADIUS Accounting, Billing ACR Post-Paid TCP DIAMETER Pre-Paid OCS Mediation Billing
WiMAX AAA Connection Structure AAA-ACR 간연결구조 AAA ACR EAP Accounting EAP Accounting DIAMETER Base Protocol TCP IP (IPSec) WIBRO/ WIMAX Network DIAMETER Base Protocol TCP IP (IPSec) DIAMETER Base Protocol Peer (ACR) 와전송계층연결후상위응용계층연결 Set-up Diameter AAA와 Peer (ACR) 사이에인증 /Accounting 메시지를상위응용계층으로송수싞해주는 Framework을제공 Application Diameter EAP : 가입자에대한망접속서비스를위한인증및권한검증기능을제공 Diameter Accounting : 단말 (PSS) 의망사용에대한정보를수집 Transport 지원프로토콜 : TCP / SCTP (Option) Security (IPSec) : Hop-by-Hop Security Support Supporting both IPv4/IPv6
Diameter AAA 주요기능 주요기능 시스템네트워크구조 : L4 이중화및다중화구조 /L4 Health Check/ Load Balancing/Failover-Failback Base 엔진구조 : L4 네트워크구성지원 / Peer 연결관리 / Realm-based Routing 접속인증 (EAP) : EAP-AKA, EAP-TLS, EAP-TTLS 인증및다양한인증 / 권한제어, AuC 연동, 다양한서비스상품지원 AuC 기능 : AAA 연동인증벡터처리, 키관리 어카운팅기능 (ACCT) : Accounting 메시지처리, 다양한서비스상품처리, 접속사용량수집및과금서버전송, 세션과연계된가입자동적접속정보, 위치정보수집외부연동기능 : 과금 (A- 서버 ), 가입자관리, 민원및통계 ( 실패로그 ) 운영관리 (OA&M) : 시스템서비스관리 제공서비스 상품내용관련상품 기본접속휴대인터넷접속에필요한기본접속서비스 Basic, Mania 부가접속기본접속서비스 + 부가가치를높인서비스고정 IP, 단말 Plus 선불한도접속 일시적이용서비스 시간정액제, 일정액제, 데이터량정액제 후불한도접속후불한도접속서비스후불요금제 Femto 서비스 Femto Cell 에대한접속서비스및분산형서비스기업용서비스 전체가입자에대해특정지역, 특정일, 특정시간, 특정일 / 특정시간할인적용
Diameter Base Protocol Base Stack 구조 Module Diameter Application Application 로딩 / 언로딩관리 Application 호출 Route Module 모듈로딩 / 언로딩관리 Callback 관리 MODULE_TABLE Local/Relay/Redirect/Proxy Routing 처리 Route Peer 송수싞메시지라우팅관리메시지중복검사및트랜잭션관리 Redirect Caching 관리 메시지중복검사관리 송 / 수싞메시지라우팅관리 트랜잭션관리 ROUTE_TABLE Peer State Machine 관리 Peer Watchdog State 관리 Peer Peer State Machine 관리 Peer Watchdog 관리 PEER_TABLE Peer Capability, Disconnect 관리 Watchdog State Machine 관리 Peer Capability 관리 Transport 전송계층연결설정관리 Peer 정보공유관리 Peer Disconnect 관리 PEER_CE_TABLE Content-Health check 연결설정관리 Init & Destroy 설정정보로딩및초기화관리 Destroy 관리 Transport 전송계층연결설정관리 Init & Destroy 관리 설정정보로딩, 초기화관리 Health- Check 연결설정관리 Destroy 관리 BASE_CONFIG
Diameter EAP Application(1/3) EAP 주요기능 인증기능 WiMAX 망접속서비스를위한단말 (PSS) 인증기능제공 IEEE 802.1x 기반 ID/Password, 스마트카드 (USIM,UICC 등 ) 를포함한다양한 ID 체계수용 Authentication Type: EAP-AKA, EAP-TLS, EAP-TTLS(MS Chap v2) 권한검증기능 서비스권한및사용량권한검증수행 - 미가입사용자에대한권한검증실패처리기능 - 분실단말및 Binding 단말에대한권한검증실패처리기능 - 기타선 / 후불 Quota 만료에대한권한검증실패처리기능 Pico-ACR Authentication Authorization AAA Subscriber Info ACR Subscriber Key Info
Diameter EAP Application(2/3) EAP 주요기능 EAP-TLS 지원 인증서버와사용자서로의인증서를통해서인증하는양방향인증방식 (RFC2716) 사용자별 Dynamic WEP Key 지원 인증서 MAC 기반인증지원 인증서 Chaining 기능지원 EAP-TTLS 지원 암호화채널을사용하는양방향인증방식 사용자별 Dynamic WEP Key 지원 클라이언트인증방식으로는 MS-CHAPv2 지원 Password 암호화기능지원 (SHA-1 or AES128) EAP-AKA 지원 인증백터이용 : 상호인증 (RAND/AUTN/XRES), 메시지암호화, 무결성 (CK/IK) 서버에서생성한 RAND/AUTN 값을단말로전송하여망에대한인증을수행 단말에서 RES 값을생성하여서버로전송하여가입자에대한인증 Pseudonym ID 기는지원 기타 ACR 간이동기능지원 무선구간 (PSS-RAS) 메시지의무결성과기밀성을위한동적세션키생성
Diameter EAP Application(3/3) EAP-AKA authentication Generate SQN SQN AAA ACR Generate RAND RAND RAND AUTN SQN AMF RAND f5 SQN AK AMF MAC K AK Å f1 f2 f3 f4 f5 K SQN MAC XRES CK IK AK AUTN AUTN := SQN := SQN Å AK AMF MAC Identity EAP-Request/AKA-Identity f1 f2 f3 f4 (AT_ANY_ID_REQ) SHA1 MK EAP-Response/AKA-Identity (AT_IDENTITY) Verify AUTN XMAC RES CK IK Identity XMAC = MAC? SHA1 PRF K_encr(128bit), K_aut(128bit), MSK(512bit), EMSK(512bit) Verify Verify RES=XRES RES=XRES EAP-Request/AKA-Challenge (AT_RAND, AT_AUTN, AT_MAC) EAP-Request/AKA-Challenge (AT_RES, AT_MAC) MK PRF K_encr(128bit), K_aut(128bit), MSK(512bit), EMSK(512bit)
Diameter Accounting Application(1/2) Accounting 주요기능 과금기능 ACR/ACA (Accounting Request/Answer) 망접속사용량 data 수집기능 (START/INTERIM/STOP, EVENT) PSS의망접속에대한동적세션정보수집 PSS의위치정보수집 Accounting 지원 Types: Postpaid / Prepaid (Time/Date/Packet) 연동기능 수집된과금 data Mediation 으로전송 세션정보및위치정보타시스템 (LBS, etc ) 으로전송 (Optional) Pico-ACR Accounting AAA ACR Mediation Billing
Diameter Accounting Application(2/2) Prepaid Accounting 처리 과금기능 AAA 의 CC Client 로 OCS 와연동하여선불서비스지원 Supported Prepaid Type - Time/Date/Packet EAP 인증성공후응답메시지 (DEA) 을통하여 ACR 로통보 (Time-left/Packet-left/Date) ACR 에서차감수행 차감정보는 Accounting 메시지를통하여 AAA 서버 (Accounting) 로전달 Pico-ACR Accounting AAA ACR OCS Billing
OA&M(1/2) Main UI Configuration Menu bar, sub tree panel, server/process panel, real-time graph panel, real-time fault/event panel
OA&M(2/2) 주요기능 구분기능세부내용 운영자정합기능서비스관리통계관리서버관리기타 운영자인증및권한관리운영자관리서비스구성관리 Process 관리장애관리세션관리인증원부관리운영자지원기능서비스운영관련통계형상및장애관리 Help 기능 CLI OA&M 사용자의인증및권한관리 운영자조회 / 추가 / 삭제 인증서버구성관리 (Base, Module, Peer, Route) 응용서비스구성관리 (EAP, Accounting) Agent Process 구성관리 AAA 프로세스제어및상태관리 연동프로세스제어및상태관리 (Agent Process) 장애이력조회 / 경보 세션조회관리 인증원부조회및추가 Fail-back 을위한 DPR/DWR 발행 비정상세션에대한 RAR( 재인증 )/ASR( 세션종료 ) 발행 Protocol Error 통계 (Base) 인증성공 / 실패통계및경보 시스템형상관리및상태관리 시스템장애감지및복구 과부하제어기능 시험기능 기능에대한도움말기능 Command Line Interface 기능
3. Femto-AAA 서비스
Femto-AAA 서비스 (1/2) Femto Cell 내부사용자 Femto 서비스내부가입자는다음과같은서비스흐름에따라 WiMax 서비스를사용하며, 옥내 / 기업내부등분산형인증서비스를사용함. I. 내부사용자가 Femto Cell 접속을시도함. II. Pico ACR 을경유하여 Femto-AAA 에접 속인증을요청함. III. 인증을요청한단말정보및사용자정보 를기반으로가입자인증을수행함. IV. 접속인증을허가함. V. Femto Cell 내의내부망서버의서비스를 사용함.
Femto-AAA 서비스 (1/2) 방문사용자 방문사용자는다음과같은서비스흐름에따라 Femto-WiMax 서비스를사용함. I. 방문자가 WiMax 서비스사용을시도함. II. Pico ACR 을경유하여 Femto-AAA 에접속인증을요청함. III. 인증을요청한단말정보및사용자정보를기반으로가입자인증을수행함. IV. 인증정보가없으므로코어망의사업자 AAA로인증요청을 relay함. V. 사업자 AAA에서접속인증을허가함. VI. 방문자는와이브로서비스를통한외부인터넷을사용할수있으나, 방문자가내부망접속을시도하는경우, (iii) 과정에서내부망사용권한을부여받지못하였으므로, 내부망접근이거부됨.
4. System Configuration
Dual Configuration DUAL AAA SERVER AAA 서버와 DBMS 를동일서버에구성 ACR 에서 Primary AAA Fail 시 Secondary AAA 로절체하여재연결후메시지전송 AAA server operation : Active-Active or Active-Standby DB REPLICATION DB Replication 을통한이중화지원 - 가입자 DB, Key DB, 세션 DB AAA #1 ACTIVE (Primary) Pico-ACR Authentication Authorization Accounting MMDB Replication ACR L2 AAA #2 ACTIVE (Secondary) MMDB
Dual and Multi Configuration MULTI CONFIGURATION AAA 서버와 DBMS를별도의서버로구성 L4 Switch : SLB, Health-check에의한 Failover-Failback VIP (Virtual IP) : ACR에서 Authentication/Accounting 메시지요청 AAA 서버및 DB 서버는 All active 구조 DB SERVER DB Replication 을통한이중화지원 가입자 DB, Key DB 와세션 DB 를별도의서버로구성 AAA #1 가입자 DB #1 MMDB Pico-ACR AAA #2 L2 MMDB Replication ACR Authentication Authorization Accounting L4 가입자 DB #2 KEY DB #1 세션 DB #1 MMDB Replication AAA #N MMDB KEY DB #2 Replication MMDB 세션 DB #2 MMDB
System Specification AAA Server Specification 구분 Spec. Remark H/W CPU Memory 1GHz * 2Ea 이상 최소 2GB 이상 Diameter AAA server - Base/EAP/Accounting - DB Server - OA&M O/S UNIX/Linux AIX, Solaris, Linux S/W DB MMDB (Altibase 3 or 4) RDBMS Compiler Over GCC 2.95.3 GCC Compiler Subscriber profile / Session DB / OA&M data 관리 OpenSSL over OpenSSL-0.9.7b EAP-TLS, EAP-TTLS authentication encryption Parser XML Parser Library XML Parser Diameter message Parsing Utility AAA S/W Configuration S/W Remark Diameter AAA Diameter Base Protocol Diameter EAP Application Diameter Accounting Application Diameter protocol stack Subscriber authentication and authorization Accounting OA&M Diameter OA&M OA&M module handling DB Subscriber Profile DB Session DB Subscriber DB which authentication refers Storing authentication session