Upload
ngokien
View
236
Download
0
Embed Size (px)
Citation preview
Scuola Politecnica e delle Scienze di Base Corso di Laurea in Ingegneria Informatica Elaborato finale in Protocolli per reti mobili
Sicurezza e Qualità del Servizio nelle reti LTE
Anno Accademico 2015/2016 Candidato: Ciro Mingione matr. N46/001172
Alla mia famiglia che ha sempre creduto in me. Agli Amici, quelli veri. Alla mia forza di volontà che ha superato di gran lunga la mia immaginazione.
Indice
Indice .................................................................................................................................................. III Introduzione ......................................................................................................................................... 4 Capitolo 1: Architettura EPS ................................................................................................................ 6
1.1 User Equipment.......................................................................................................................... 7
1.2 Access Network ......................................................................................................................... 7 1.3 Core Network ............................................................................................................................. 8
Capitolo 2: Sicurezza ......................................................................................................................... 10 2.1 Servizi di sicurezza .................................................................................................................. 10
2.1.1 Introduzione ...................................................................................................................... 10 2.1.2 Domini di Sicurezza .......................................................................................................... 11
2.2 Network Access Security ......................................................................................................... 13 2.2.1 Access security in E-UTRAN ........................................................................................... 13
2.3 Network Domain Security ....................................................................................................... 16 2.4 User Domain Security .............................................................................................................. 18
Capitolo 3: Quality of Service ........................................................................................................... 19
3.1 QoS in E-UTRAN .................................................................................................................... 19 3.2 Parametri QoS di un EPS bearer .............................................................................................. 20
3.2.1 QoS Class Identifier (QCI) ............................................................................................... 20 3.2.2 Allocation and Retention Priority (ARP) .......................................................................... 21 3.2.3 GBR bearer e non-GBR bearer ......................................................................................... 21
3.2.4 APN-AMBR e UE-AMBR ............................................................................................... 22 Capitolo 4: Policy and Charging Control ........................................................................................... 24
4.1 Architettura PCC ...................................................................................................................... 24 4.2 Concetti basilari di PCC ........................................................................................................... 26
4.3 Decisioni PCC, le regole di PCC e QoS .................................................................................. 27 4.4 Service Data Flow Detection ................................................................................................... 28 4.5 Un caso di studio ...................................................................................................................... 29
Conclusioni ........................................................................................................................................ 31 Bibliografia ........................................................................................................................................ 32
4
Introduzione
In telecomunicazioni il termine LTE, sigla di Long Term Evolution indica la più recente
evoluzione degli standard di telefonia mobile cellulare. Nasce come nuova generazione per
i sistemi di accesso mobile a banda larga (Broadband Wireless Access) e, dal punto di vista
teorico, fa parte del segmento Pre-4G, collocandosi in una posizione intermedia fra le
tecnologie 3G e quelle di quarta generazione pura (4G (LTE Advanced)). Nonostante ciò,
per porre fine a confusioni varie dovute al marketing l'ITU (International
Telecommunication Union) ha recentemente deciso di applicare il termine 4G anche
all'LTE.
Long Term Evolution (LTE) è sviluppata per rispondere alle nuove e sempre più sfidanti
richieste del mercato delle telecomunicazioni. Infatti, lo sviluppo di nuovi servizi e la
diffusione di dispositivi mobili evoluti (smartphone, tablet etc.) ha rivoluzionato il concetto
stesso di cellulare. Non più terminale dedicato solo alle chiamate vocali, ma un dispositivo
in grado di fornire una vasta gamma di servizi aggiuntivi come ad esempio la connessione
ad internet.
Per soddisfare le continue richieste degli utenti sono indispensabili architetture e protocolli
di rete evoluti in grado di sfruttare al meglio le bande di frequenze disponibili per la
comunicazione. Per dare un’idea dei miglioramenti apportati da LTE nella tabella di Figura
1 sono messe a confronto le caratteristiche di alcuni standard che si sono susseguiti nel
5
corso degli anni.
In contrasto con i modelli a commutazione di circuito caratteristici delle reti precedenti, in
cui le comunicazioni dati a pacchetto venivano trattati da nodi dedicati, LTE è stata
progettata per supportare unicamente servizi a commutazione di pacchetto. Tutti i dati,
anche quelli voce, viaggiano su protocolli TCP/IP e le connessioni tra il terminale mobile e
le reti esterne sono di tipo IP. L’ unificazione di tutti i protocolli di rete è una delle maggiori
innovazioni introdotte da LTE che permette di ridurre costi e latenze.
LTE Fornisce agli utenti connessioni con diverse qualità di servizio (QoS). A ciascun flusso
informativo è associata una specifica classe di QoS e il flusso IP con la sua specifica classe
costituisce un bearer (concetto molto importante come vedremo in seguito).
La rete è in grado di gestire contemporaneamente più bearers di uno stesso utente: ad
esempio durante una comunicazione vocale (VoiP), un utente potrebbe accedere ad un sito
web, o scaricare un file. La rete è strutturata in modo da gestire efficacemente le diverse
QoS garantendo al tempo stesso sicurezza e privacy degli utenti e delle loro informazioni.
Figura 1
6
Capitolo 1: Architettura EPS
LTE indica lo standard della nuova rete di accesso (E-UTRAN) evoluzione della rete di
acceso UTRAN delle reti 3G. Lo standard per la Core Network (CN) è descritto dal System
Architecture Evolution (SAE) ed è definito con lo scopo preciso di supportare i servizi
offerti dalla rete di accesso LTE. SAE e LTE sono quindi due aspetti della stessa evoluzione
verso le reti cosiddette di quarta generazione, che nel loro insieme costituiscono l’ Evolved
Packet System (EPS). La rete di accesso è costituita da un unico elemento, il cosiddetto
evolved Node B (eNB). In LTE tutti i dati anche quelli voce viaggiano su protocolli a
pacchetto e proprio per questo motivo la core network è una struttura unificata senza alcuna
distinzione tra dominio a pacchetto e dominio a circuito. Inoltre, tutti i nodi di rete sono
interconnessi tramite interfacce standardizzate in modo da consentire l’interoperabilità tra
hardware realizzato con tecnologie diverse. La Figura 2 illustra lo schema dell'architettura
di rete.
Figura 2
7
1.1 User Equipment
Il terminale LTE viene denominato User Equipment (UE). L’UE è costituto da due
componenti : il Mobile Equipment (ME) e la Universal Subscriber Identity Module
(USIM).
Il ME è il terminale vero e proprio che contiene l’hardware e il software che implementano
le funzionalità LTE .
Ogni Mobile Equipment è univocamente determinato a livello internazionale dal codice
IMEI (International Mobile Equipment Identity).
La USIM è un circuito integrato che identifica in maniera univoca attraverso il codice
1IMSI (International Mobile Subscriber Identity) l'utente e contiene al suo interno
informazioni relative all'utente della rete.
1.2 Access Network
La rete di accesso LTE (detta anche E-UTRAN) è costituita unicamente da eNB connessi
tra loro. Gli E-UTRAN Node B, conosciuti anche come Evolved Node B, (abbreviazione di
eNodeB o eNB) sono l’evoluzione dei Node B delle reti UTRAN.
La rete di accesso E-UTRAN gestisce tutte le operazioni relative alla trasmissione dei
segnali sul canale radio.
L’eNB Si occupa quindi di modulazione/demodulazione, misure di qualità sul canale radio,
controllo di potenza, ma anche di gestione della chiamata, controllo del carico di cella, e
gestione delle procedure di handover (sarebbe la procedura per la quale un terminale mobile
cambia il canale che sta utilizzando durante una comunicazione mantenendo attiva la
comunicazione stessa).
1 Si tratta di un numero univoco che viene associato a tutti gli utenti di telefonia mobile.
8
1.3 Core Network
La Core Network si occupa del trasferimento dei dati verso le reti a pacchetto esterne. I
principali nodi logici che la costituiscono sono:
• Home Subscriber Server (HSS):
Si tratta di un database che contiene le informazioni utili per gestire un
utente mobile. In particolare la corrispondenza tra le identità temporanee assegnata all’UE e
l’identità dell’utente stesso, il profilo di QoS sottoscritto, le reti 2PDN (Packet Data
Network) a cui si può connettere e l’identità della MME presso cui è registrato. L ‘HSS
include anche l ‘Authentication Center (AuC) che si occupa di generare le chiavi per la
cifratura dei dati e per la mutua autenticazione dell’utente e della rete.
• Serving Gateway (S-GW) : si tratta del nodo di interfaccia con la rete di accesso E-
UTRAN e con le altre reti 3GPP (i.e. UMTS/GPRS). Si occupa della gestione della mobilità
di un terminale mobile che si sposta da un eNodeB ad un altro.
• PDN Gateway (P-GW) : si occupa della allocazione degli indirizzi IP agli UE e della
gestione dei flussi informativi, sulla base delle specifiche di QoS e sulle informazioni
fornite dal PCRF. Inoltre, svolge la funzione di interfaccia con le reti a pacchetto esterne
(non 3GPP).
• Mobility Management Entity (MME) : è il principale nodo di controllo della core
network. Gestisce la segnalazione tra UE e CN e si occupa delle procedure di instaurazione
della connessione per un terminale che si connette per la prima volta alla rete. Inoltre tiene
traccia della posizione del terminale mobile e si occupa dell’assegnazione delle identità
2 L’EPS fornisce all’utente la connettività a una rete IP. In EPS questa rete IP è chiamata PDN.
9
temporanee ai singoli UE.
• Policy Control and Charging Rules Function (PCRF): il PCRF è il nodo responsabile
del controllo delle QoS. Gestisce l’assegnazione dei flussi dati alle diverse classi e decide
come il 3Policy and Charging Enforcement Function (PCEF) che risiede nel P-GW dovrà
gestire i flussi dati rispettando gli accordi sottoscritti con gli utenti.
3 PCEF applica le politiche decisionali del PCRF.
10
Capitolo 2: Sicurezza
Fornire sicurezza è uno degli aspetti chiave delle reti mobili. Una delle ragioni più evidenti
è che una comunicazione wireless può essere facilmente intercettata da chiunque entro un
certo range di distanza dal trasmettitore. C’è così il rischio che i dati trasferiti possono
essere intercettati o manipolati da terzi. Ci sono anche altre minacce, per esempio, un
‘aggressore’ può tracciare i movimenti di un utente tra le celle radio nella rete o scoprire
dove si trova esattamente. Questo può costituire una grossa minaccia alla privacy
dell’utente.
Ci sono anche requisiti normativi relativi alla sicurezza e questi possono differire tra
nazioni e regioni. La normativa può, per esempio, essere relativa a situazioni eccezionali
dove le forze di polizia possono richiedere informazioni riguardo le attività di un terminale
così come intercettare il traffico di telecomunicazioni, ci troviamo così a parlare delle
cosidette ‘intercettazioni legali’.
2.1 Servizi di sicurezza
2.1.1 Introduzione
Prima che ad un utente venga concesso l’accesso alla rete, di solito deve eseguire
un’autenticazione. Durante l’autenticazione l’utente deve provare che è chi dichiara di
essere. Tipicamente è richiesta una mutual authentication (autenticazione mutua) dove la
rete convalida l’UE e l’UE convalida la rete. La convalida di solito viene effettuata
11
verificando che le entità in gioco sono a conoscenza di una chiave segreta. La rete verifica
anche che un abbonato abbia l’autorizzazione per accedere al servizio richiesto, questo
significa che l’utente deve avere i giusti privilegi (un abbonamento) per il tipo di servizio
richiesto. L’autorizzazione di solito viene effettuata in contemporanea con l’autenticazione.
Una volta che l’utente ha effettuato l’accesso c’è la necessità di proteggere il traffico tra l’
UE e la rete e tra le varie entità della rete. La Cifratura e/o la protezione dell’integrità
(Ciphering and/or integrity protection) sono usate per questo scopo. Con la cifratura (cioè
criptazione e decriptazione) assicuriamo che le informazioni trasmesse sono leggibili solo
per il destinatario desiderato. Per fare questo, il traffico è reso illegibile per eventuali
‘aggressori’ eccetto per chi ha le chiavi crittografiche corrette. La protezione dell’integrità
d’altra parte è un mezzo per capire se il traffico che ha ricevuto il destinatario non sia stato
modificato da un ‘aggressore’. Per criptare/decriptare e per eseguire la protezione
dell’integrità, il mittente e il destinatario hanno bisogno di chiavi crittografiche. Si può
essere tentati di usare la stessa chiave per tutto (autenticazione, cifrature etc.) ma questo
dovrebbe essere evitato perché nel caso in cui un ‘aggressore’ riesca a scoprire una chiave,
ad esempio quella per la criptazione, se abbiamo usato la stessa chiave per tutto, scoprirà
anche la chiave per l’autenticazione, la protezione dell’integrità etc. Per evitare questo le
chiavi devono essere distinte, questa proprietà viene chiamata key separation (separazione
delle chiavi).
Un’altra protezione che riguarda la privacy di un utente è effettuata evitando l’invio in
chiaro dell’ ID permanente dell’utente in modo tale che un ‘aggressore’ non possa rilevare
i movimente di un certo utente.
2.1.2 Domini di Sicurezza
Per descrivere le varie caratteristiche riguardanti la sicurezza di EPS è utile dividere
l’architettura della sicurezza in differenti domini di sicurezza. I domini sono così suddivisi :
12
1. Network access security
2. Network domain security
3. User domain security
4. Application domain security
5. Visibility and configurability of security.
Il primo gruppo è specifico per ogni tecnologia di accesso mentre gli altri sono comuni per
tutti gli accessi.
1. Network access security
Con network access security intendiamo le caratteristiche di sicurezza che forniscono
all’utente un accesso sicuro a EPS. Questo include la mutua autenticazione così come la
protezione del traffico che può essere fornita tramite protezione dell’integrità.
2. Network domain security
Le reti mobili contengono molte entità e punti di riferimento tra loro. La network domain
security si riferisce alle caratteristiche che permettono ai nodi di queste reti di scambiarsi
dati in maniera sicura.
3. User domain security
Si riferisce all’insieme delle caratteristiche di sicurezza che rendono sicuro l’accesso ai
terminali. Ad esempio si riferisce a quando l’utente deve immettere il codice PIN prima che
gli venga concesso l’accesso al terminale.
4. Application domain security
Con application domain security intendiamo le caratteristiche di sicurezza usate da
applicazioni come HTTP (per accesso web).
13
5. Visibility and configurability of security
Questo è l’insieme delle caratteristiche che permette all’utente di sapere se una caratteristica
di sicurezza è attiva o meno. Nella maggior parte dei casi le caratteristiche di sicurezza sono
trasparenti all’utente che è ignaro che sono attive. Per alcune di loro però l’utente dovrebbe
essere informato se sono attive o meno per esempio tramite un simbolo sul display del
terminale.
2.2 Network Access Security
2.2.1 Access security in E-UTRAN
Il meccanismo per l’autenticazione in E-UTRAN è chiamato EPS Authentication and
Key Agreement (EPS AKA). L’EPS AKA viene eseguito quando l’utente si attacca all’ EPS
tramite accesso E-UTRAN. Una volta che l’ MME conosce l’ IMSI dell’utente, può
richiedere una EPS authentication vector (AV) al HSS/AuC come mostrato nella Figura 3.
Figura 3
14
Basandosi sull’ IMSI, l’ HSS/AuC cerca la chiave K e un sequence number (SQN)
associato con quel particolare IMSI. Poi viene generata una chiave casuale RAND, questi
tre parametri (K,SQN e RAND) vengono messi in ingresso a una funzione crittografica che
genera il UMTS AV formato da cinque paramentri : un risultato atteso (XRES), un token di
autenticazione di rete (AUTN), due chiavi (CK e IK) e la RAND. L’ HSS/AuC genera poi
una nuova chiave (Kasme) basata su IMSI, SQN, CK, IK, RAND e SN-ID. SN-ID è
formato dal Mobile Country Code (MCC) e dal Mobile Network Code (MNC). MCC è
composto da 3 cifre decimali di cui la prima indica la regione geografica (ad esempio il 2
indica l’europa), MNC consiste di 2-3 cifre decimali. Sono usati in combinazione per
identificare univocamente un operatore di rete mobile. Una ragione per includere SN ID è
per fornire una migliore key separation tra le varie reti serventi, per assicurare che una
chiave derivata da una rete servente non possa essere usata in una diversa rete servente. La
Kasme assieme a XRES, AUTN e RAND costituisce l’ EPS AV che è inviato al MME. Il
CK e l’ IK non lasciano mai l’ HSS/AuC. Per poter distinguere i vari AV, AUTN contiene
un bit speciale chiamato ‘separation bit’ che indica se l’ AV deve essere usato per E-
UTRAN oppure UTRAN etc. Una ragione per cui usiamo questa Kasme è per fornire una
forte key separation verso sistemi UTRAN etc.
La mutua autenticazione in E-UTRAN è fatta usando i parametri RAND, AUTN e XRES.
MME mantiene Kasme e XRES ma spedisce RAND e AUTN al terminale come mostrato
nella Figura 4. AUTN è un parametro calcolato da HSS/AuC basandosi sulla chiave K e su
SQN. L’ USIM ora calcola la propria versione di AUTN usando la sua chiave K e SQN e
poi la confronta con l’AUTN ricevuta da MME. Se coincidono la USIM autentica la rete.
Poi calcola una risposta RES usando funzioni crittografiche con la chiave K e la RAND
come parametri di input. L’ USIM calcola poi anche CK e IK. Quando il terminale riceve
RES, CK e IK dall’ USIM esso invia RES a MME. Se RES è uguale a XRES, MME
autentica il terminale e questo completa la mutua autenticazione. L’ UE poi usa CK e IK
per calcolare Kasme e se tutto ha funzionato bene UE e MME hanno ora la stessa chiave
Kasme (Da notare che nessuna delle chiavi K, CK, IK o Kasme erano state inviate tra UE e
15
la rete).
Figura 4
Tutto quello che rimane da fare è calcolare le chiavi da utilizzare per proteggere il traffico.
La chiave KASME è usata da UE e MME per derivare le chiavi per la crittografia e la
protezione dell'integrità dei dati della segnalazione NAS (KNASenc e KNASint). L'MME,
inoltre, deriva anche una chiave che viene inviata all'eNodeB (KeNB), chiave che verrà
utilizzata dall'eNodeB per derivare la chiave per la crittografia e la protezione dell'integrità
dei dati del traffico user plane (KUPenc), così come le chiavi per la segnalazione RRC tra
UE ed eNodeB (KRRCenc e KRRCint). Si viene così a creare una gerarchia di chiavi (come
in Figura 5).
16
Figura 5
L’aspetto finale che dovrebbe essere menzionato è la protezione dell’identità. Per proteggere
l’ IMSI che viene trasmesso in chiaro, devono essere usate, quando possibile, identità
temporanee.
2.3 Network Domain Security
Per capire bene come funziona questo dominio facciamo un piccola premessa riguardo ad
IPsec. Il protocollo IP non protegge l’integrità dei dati e nemmeno la segretezza, quindi per
aumentare il livello di sicurezza viene usato IPsec, una security architecture per il protocollo
IP. Due nodi che vogliono stabilire una comunicazione sicura tramite IPsec devono
accordarsi su un insieme di algoritmi e di chiavi da usare a tal fine IPsec fa uso di protocolli
esistenti come IKE (Internet Key Exchange). La relazione tra mittente e destinatario che si
sono accordati su un insieme di algoritmi e chiavi da usare è detta Security Association
(SA). IPsec prevede due modalità di funzionamento : Transport mode e Tunnel mode. A noi
interessa principalmente la modalità tunnel perché è quella che viene usata nel network
domain security. La modalità tunnel è stata pensata per proteggere il traffico tra host che non
17
supportano IPsec. Una coppia di SA è stabilita tra due gateway ed il traffico è protetto lungo
il percorso tra i due gateway. Quando un gateway riceve un pacchetto destinato alla rete in
cui è presente il gateway corrispondente, esso inserisce un header IP aggiuntivo, utilizzato
per l’instradamento tra i due gateway, e poi l’header IPsec. Il pacchetto ricevuto è
incapsulato all’interno dell’header IPsec. In questo modo, quindi, anche l’header IP
originale può essere cifrato. Il gateway corrispondente riceve il pacchetto, de-incapsula e
decifra il pacchetto originale secondo la SA appropriata e lo invia all’host destinazione. Il
contenuto dell’header IPsec (trasmesso in chiaro) dipende dal protocollo usato per la
sicurezza dei dati. In particolare, IPsec prevede due protocolli Autentication Header (AH) e
Encapsulated Security Payload (ESP). Per lo stesso motivo di prima ci interessa solo ESP
che fornisce segretezza dei dati (che vengono cifrati) e, opzionalmente, integrità dei dati.
Le specifiche tecniche per come proteggere il traffico control plane sono indicate con il
nome di Network Domain Security. I domini di sicurezza sono reti che sono gestite da un
singolo amministratore. Un esempio di dominio di sicurezza potrebbe essere la rete di un
singolo operatore di telecomunicazioni, ma è anche possibile che l’operatore divida la rete in
più domini di sicurezza. Ai bordi dei domini di sicurezza l’operatore di rete piazza i Security
Gateway (SEG) per proteggere il traffico control plane che entra ed esce dal dominio (come
in figura 6). Tutto il traffico tra entità di rete di un dominio di sicurezza è instradato tramite
un SEG prima di uscire dal dominio per andare verso un altro. Il traffico tra i SEG è protetto
usando IPSec, o più precisamente, usando IPSec Encapsulated Security Payload (ESP) nella
modalità tunnel. Il protocollo Internet Key Exchange (IKE) , sia IKEv1 che IKEv2, è usato
tra i SEG per impostare le associazioni di sicurezza IPSec.
IP header IP payload
Pacchetto IP originale
Outer IP header IPsec header IP header IP payload
Tunnel Mode
18
Figura 6
2.4 User Domain Security
La più comune caratteristica di sicurezza nel dominio utente riguarda l’accesso sicuro all’
USIM. L’accesso all’ USIM deve essere bloccato fino a che l’USIM non ha autenticato
l’utente. L’autenticazione in questo caso è basata su un codice segreto (il codice PIN) che è
memorizzato nell’ USIM. Quando l’utente inserisce il corretto codice PIN (Personal
Identification Number) nel terminale l’USIM permette l’accesso.
19
Capitolo 3: Quality of Service
Molti operatori hanno lo scopo di fornire molteplici servizi (Internet, chiamate, video)
attraverso reti a commutazione di pacchetto. Questi servizi richiederanno tutti vari Quality
of Service (QoS) come ad esempio la richiesta di un certo bit rate così come ritardi o perdita
dei pacchetti accettabili. In questo scenario è importante che EPS fornisca QoS che
assicurino all’utente un’esperienza positiva di ogni servizio offerto. Risolvere il problema
attraverso l’ over-provisioning (una tecnica che consiste nel fornire risorse di rete in
abbondanza) non è economico. Lo spettro radio disponibile è limitato, e il costo della
capacità di trasmissione includendo sia l’allocazione dello spettro che i collegamenti di
backhaul (porzione di rete gerarchica che comprende i collegamenti intermedi tra la rete
centrale e le piccole sottoreti ai margini della stessa rete gerarchica) a stazioni base
potenzialmente remote sono fattori importanti per un operatore.
Un aspetto importante è differenziare gli abbonati. L’operatore può fornire diversi
trattamenti del traffico IP dello stesso servizio in base al tipo di contratto che ha l’utente.
In conclusione è evidente che bisogna standardizzare meccanismi di QoS.
3.1 QoS in E-UTRAN
L’ EPS copre solo i requisiti di qualità per il traffico all’interno dell’ EPS che è tra UE e
PDN GW. Se il servizio si estende oltre, la QoS viene mantenuta da altri meccanismi come
il Service Level Agreements (SLA) che sono dei contratti attraverso i quali si definiscono le
20
metriche del servizio (come QoS) che devono essere rispettate da un fornitore di servizi nei
confronti del proprio cliente.
3.2 Parametri QoS di un EPS bearer
Ogni EPS bearer ha associati due parametri QoS : il QoS Class Identifier (QCI) e il
Allocation and Retention Priority (ARP). QCI determina quale trattamento user plane
dovrebbero ricevere dei pacchetti IP trasportati su un dato bearer, mentre ARP specifica il
trattamento control plane che un bearer dovrebbe ricevere. Alcuni EPS bearer hanno
associato anche un parametro per supportare l’allocazione di un bit rate garantito : il GBR
(guaranteed bit rate).
3.2.1 QoS Class Identifier (QCI)
Il QCI è un valore numerico che di per sé non rappresenta alcuna proprietà. E’ giusto un
riferimento a parametri specifici che definiscono quale trattamento di inoltro dei pacchetti
dovrebbe ricevere un bearer quando viene processato da un nodo. Spieghiamo brevemente
ciò che c’è scritto in Figura 7. Ogni QCI è associato con un livello di priorità, dove il livello
1 è il più alto livello di priorità. Il Packet Delay Budget può essere descritto come un limite
superiore di tempo in cui un pacchetto può essere in ritardo tra l’UE e il PCEF. Il Packet
Error Loss Rate può essere descritto come un limite superiore per il numero di pacchetti
persi.
21
Figura 7
3.2.2 Allocation and Retention Priority (ARP)
L’ ARP è usato per indicare una priorità per l’allocazione e memorizzazione dei bearer. E’
tipicamente usato dalla rete per decidere se l’istanziazione o la modifica di un bearer può
essere accettata, oppure deve essere rigettata a causa di risorse limitate. EPS supporta 15
valori di priorità per l’ ARP. Da notare che a bearer con alta priorità, quindi con ARP alta,
sono assegnati valori numerici bassi e viceversa. Una VoIP call per servizi di emergenza
avrà più probabilità di essere accettata rispetto a una VoIP regolare.
3.2.3 GBR bearer e non-GBR bearer
Un GBR bearer ha associato, oltre ai parametri QCI e ARP, anche il GBR e il Maximum Bit
Rate (MBR). Un non-GBR bearer non ha associati parametri di bit rate. Un bearer con GBR
ha una certa quantità di larghezza di banda riservata , indipendentemente se poi la usa o
meno. Il bearer GBR di solito non dovrebbe mai avere pacchetti persi a causa di congestione
della rete. Questo è assicurato dal fatto che i bearer GBR sono soggetti a un controllo di
ammissione appena vengono settati. Il MBR limita il bit rate che un GBR bearer dovrebbe
22
garantire. Ogni traffico che eccede il valore di MBR viene scartato. Un non-GBR bearer non
ha una larghezza di banda riservata e così non c’è garanzia sulla quantità di traffico che può
trasportare, esso può perciò avere dei pacchetti persi in caso di congestione della rete. Anche
se i non-GBR bearer non hanno un MBR associato, l'operatore può sorvegliare la larghezza
di banda usata utilizzando l'Aggregate Maximum Bit Rate (AMBR). Una domanda da porsi
è : ”Come faccio a sapere quale tipo di bearer devo usare ?”.
La risposta di un ingegnere ad una domanda tende ad essere sempre la seguente : “Dipende”.
Ed effettivamente è la risposta giusta !!! ma deve essere completata. La scelta dipende
essenzialmente dal servizio che voglio trasportare su quel bearer. Tipicamente i GBR bearer
sono usati per servizi dove è meglio bloccare un servizio piuttosto che degradare le
prestazioni di servizi già ammessi, a causa di scarsità di risorse. Ad esempio i servizi di
streaming hanno bisogno di una larghezza di banda costante e quindi per assicurare un
servizio decente c’è bisogno di un GBR bearer, se non ci sono risorse disponibili è meglio
bloccare il servizio. Altri servizi che non usano una larghezza di banda fissata come l’e-mail
tipicamente usano i non-GBR bearer.
3.2.4 APN-AMBR e UE-AMBR
Oltre ai parametri di bit rate associati ai GBR bearer, EPS definisce dei parametri AMBR
associati ai non-GBR bearer. Tali parametri non si riferiscono ad ogni bearer, ma piuttosto
definiscono un bit rate totale che un abbonato può consumare per un aggregato di non-GBR
bearer. Sono definiti due varianti di AMBR: APN-AMBR e UE-AMBR. Utilizzando un
AMBR per aggregati di non-GBR bearer è più facile stimare il bit rate totale che gli
abbonati useranno. L'APN-AMBR definisce il bit rate totale che è consentito utilizzare da
tutti i non-GBR bearer associati ad uno specifico APN. Limita il traffico non-GBR totale per
un APN, indipendentemente dal numero di connessioni PDN e dai non-GBR bearer aperti
per quell'APN. Ad esempio, se un operatore fornisce un APN per l'accesso ad internet, può
limitare la banda totale per quell'APN e quindi prevenire che l'UE aumenti la sua larghezza
di banda aprendo nuove connessioni PDN verso lo stesso APN. In altre parole, se un utente
23
dispone di più connessioni PDN per la stessa APN, queste condivideranno la stessa APN-
AMBR.
L'UE-AMBR definisce il bit rate totale che può essere consumato da tutti i non-GBR bearer
di un UE. Il profilo dell'abbonamento contiene l'UE-AMBR sottoscritto. Il valore
effettivamente applicato dalla rete è impostato come il minimo del valore sottoscritto e la
somma degli APN-AMBR di tutti gli APN attivi (ossia gli APN per i quali l'UE ha
connessioni PDN attive), l'UE-AMBR viene applicata dall'eNodeB. L'UE-AMBR e l'APN-
AMBR sono indipendenti e quindi l'operatore può scegliere di applicare uno solo dei due o
entrambi.
24
Capitolo 4: Policy and Charging Control
Un importante componente nelle reti LTE è il PCC (Policy and Charging Control) che
permette di controllare che le sessioni di servizio siano fornite delle appropriate larghezze di
banda e QoS. Fornisce anche un mezzo per il controllo delle tariffazioni. Il controllo
dinamico su QoS e la tariffazione aiuterà gli operatori a monetizzare i loro investimenti in
LTE, fornendo ai clienti una varietà di QoS e opzioni di tariffazione quando si sceglie un
servizio.
4.1 Architettura PCC
L’architettura di rete di riferimento per PCC in EPS è mostrata in Figura 8.
25
Figura 8
L’ Application Function (AF) estrae informazioni di sessione e le invia al PCRF
tramite Rx.
Il Subscription Profile Repository (SPR) contiene informazioni riguardo gli
abbonamenti/contratti come ad esempio le politiche di controllo e i dati specifici
dell’utente.
L’ Online Charging System (OCS) è un Sistema per la gestione del credito. Il PCEF
interagisce con l’ OCS per controllare e riportare lo stato del credito.
L’ Offline Charging System (OFCS) è usato per tariffazione offline. Riceve richieste
di tariffazione dal PCEF e genera i Charging Data Records (CDRs) che possono
essere trasferiti al sistema di fatturazione.
Il Policy and Charging Rules Function (PCRF) è la funzione di controllo delle
politiche di PCC. Riceve informazioni di sessione attraverso Rx così come
informazioni dalla rete di accesso tramite Gx e può anche ricevere informazioni sugli
26
abbonamenti da SPR. Il PCRF prende le informazioni disponibili e decide le
politiche di controllo. Le decisioni sono poi fornite al PCEF.
Il Policy and Charging Enforcement Function (PCEF) applica le decisioni prese dal
PCRF.
4.2 Concetti basilari di PCC
Policy control è un termine molto generico e in una rete ci sono varie politiche (policy) che
dovrebbero essere implementate, per esempio, politiche relative alla sicurezza, mobilità etc.
Comunque nel caso di PCC, le politiche di controllo si riferiscono a due funzioni :
Gating Control è la capacità di bloccare o lasciar passare pacchetti IP appartenenti a
flussi IP di un certo servizio. Il PCRF prende decisioni di gating (come ad esempio
lo start/stop di un servizio) le quali poi vengono applicate dal PCEF.
QoS Control permette al PCRF di fornire, i QoS autorizzati, per i flussi IP al PCEF.
I QoS autorizzati possono essere le classi QoS e il bit rate autorizzato. PCEF applica
le decisioni di controllo QoS settando i bearer appropriati.
Charging control (controllo della tariffazione) comprende i mezzi sia per la tariffazione
online che offline. Il PCRF prende la decisione su quale tra la tariffazione online e offline
dovrebbe essere applicata per un certo servizio, e il PCEF applica la decisione raccogliendo
dati di tariffazione e interagendo con i sistemi di tariffazione. Con la tariffazione online, si
possono influenzare in tempo reale, i servizi che si stanno usando e perciò è richiesta una
diretta interazione tra i meccanismi di tariffazione e i meccanismi di controllo delle risorse
di rete utilizzate. La gestione del credito online permette a un operatore di controllare
27
l’accesso ai servizi in base allo stato del credito e quindi negarli in caso di credito esaurito o
non sufficiente. L’OCS (Online Charging System) può autorizzare l’accesso a singoli servizi
o a un gruppo di servizi concedendo credito per flussi IP autorizzati. L’OCS può, per
esempio, concedere credito sotto forma di tempo e/o volume del traffico. Se a un utente è
negato l’accesso a un certo servizio, per esempio, in caso di conto pre-pagato vuoto, poi
l’OCS può negare le richieste di credito e inoltre incaricare il PCEF a reindirizzare la
richiesta di servizio a una specifica destinazione che permetta all’utente di ricaricare
l’abbonamento. PCC comprende anche servizi basati sulla tariffazione offline. Con la
tariffazione offline, le informazioni sulla tariffazione sono raccolte dalla rete per poi essere
processate e fatturate. Perciò la tariffazione offline non può influenzare, in tempo reale, i
servizi che si stanno usando. Dal momento che la fatturazione è fatta dopo che un servizio è
stato completato, per esempio, tramite fatturazione mensile, questa funzionalità non fornisce
alcun controllo agli accessi. Le tariffazioni online e offline possono essere usate
contemporaneamente.
4.3 Decisioni PCC, le regole di PCC e QoS
Il PCRF è l’entità centrale nelle attività di decisioni del PCC. Il PCRF presenta le decisioni
sotto forma di ‘regole PCC’. Il PCRF fornisce anche un sottoinsieme di informazioni
chiamate ‘regole QoS’. Una ‘regola PCC’ contiene un insieme di informazioni che vengono
usate dal PCEF e dai sistemi di tariffazione.Prima di tutto contiene informazioni (nel
cosiddetto Service Data Flow (SDF) template)4 che permettono al PCEF di identificare i
pacchetti IP che appartengono a una certa sessione. I filtri in un SDF template contengono
una descrizione del flusso IP e di solito contengono gli indirizzi IP di mittente e destinatario,
i protocolli usati e il porto di mittente e destinatario. Le regole PCC contengono anche
informazioni relative alla QoS. Le informazioni relative alla QoS per un SDF includono il
4 SDF sta per service data flow ed è un insieme di flussi di pacchetti corrispondenti a un SDF template. Un SDF
template è un insieme di filtri SDF in una regola PCC. Ogni EPS bearer comprende uno o più SDF ognuno dei quali
trasporta pacchetti per un particolare servizio.
28
QCI, MBR, GBR e l’ ARP. Tuttavia essi hanno scopi diversi rispetto a quelli che avevano
con gli EPS bearer. Più precisamente, i vari QCI, MBR, GBR e l’ARP nelle regole PCC
vengono applicati al flusso IP descritto dal SDF template invece che all’ EPS bearer come
descritto nel capitolo precedente. L’associazione tra regole PCC/QoS e un bearer è chiamata
bearer binding.
4.4 Service Data Flow Detection
Una volta che la sessione è stata impostata, il PCEF usa i filtri dei pacchetti delle regole
PCC e QoS per classificare i pacchetti IP agli SDF autorizzati. Questo processo è chiamato
SDF detection. Ogni filtro SDF è associato con un valore di precedenza. Il PCEF confronta i
pacchetti in arrivo con i filtri disponibili delle regole PCC/QoS installate in ordine di
precedenza. Se poi dopo il confronto pacchetto-filtro c’è un riscontro allora il pacchetto può
essere inviato alla sua destinazione altrimenti viene scartato (vedi Figura 9).
Figura 9
29
Figura 10
4.5 Un caso di studio
Per avere una panoramica delle dinamiche PCC presentiamo ora un caso di studio (Figura 11).
Vediamo cosa accade :
Figura 11
30
1) L’abbonato dà l’avvio a un servizio e invia un application signalling che viene
intercettato dall’ AF.
2) Sulla base delle informazioni contenute nell’application signalling, l’ AF invia al PCRF
informazioni di servizio tramite l’interfaccia Rx. Queste informazioni tipicamente
includono informazioni sulla QoS (tipo di servizio, requisiti di bit rate) così come
parametri di traffico (ad esempio l’ IP 5-tuple cioè IP mittente e destinatario, porto
mittente e destinatario, protocollo utilizzato) che permettono l’identificazione dei flussi
IP corrispondenti a questa sessione di servizio.
3) Il PCRF può richiedere informazioni riguardo all’abbonamento al SPR.
4) Il PCRF prende le informazioni di sessione, le policy definite dall’operatore, le
informazioni dell’abbonato e altri dati in considerazione quando costruisce le policy. Le
decisioni delle policy sono formulate come regole PCC.
5) Le regole PCC sono inviate dal PCRF al PCEF. Il PCEF applicherà le policy in accordo
alle regole PCC ricevute. Tutto il traffico user plane per un dato abbonato e la
connessione IP passa attraverso l’entità di rete dove è localizzato il PCEF. Nel caso di
EPS, il PCEF è localizzato nel PDN GW.
6) Se la regola PCC specifica che dovrebbe essere utilizzata una tariffazione online, il
PCEF contatta l’OCS per richiedere credito secondo il metodo di misurazione
specificato nella normativa PCC. Se invece venisse utilizzata una tariffazione offline il
PDN GW (PCEF) non eseguirà il controllo all’accesso basato sul credito e di
conseguenza non ci saranno interazioni con il sistema di tariffazione.
7) Il PDN GW (PCEF) esegue un bearer binding per assicurare che il traffico per questo
servizio riceva l’appropriato QoS. Questo può essere fatto creando un nuovo bearer o
modificandone uno esistente che rispetti le regole PCC formulate.
8) I dati per la sessione di servizio sono poi inviati attraverso la rete e il PCEF esegue una
SDF detection per individuare il flusso IP per questo servizio. Questo flusso IP viene
incluso nel bearer creato/modificato nel punto 7 e quindi trasportato attraverso di esso
(per capire la struttura che trasporta il messaggio guardare Figure 9 e 10).
31
Conclusioni
E’ chiaro che il lavoro di SAE e lo sviluppo di EPC è un risultato importante
raggiunto da 3GPP e i suoi partner, coinvolgendo l’intera comunità del settore della
telefonia mobile. Questo è dovuto al fatto che SAE ha avuto una veduta molto più
ampia rispetto alle precedenti release di 3GPP, estendendo le funzionalità
dell’architettura packet core di 3GPP includendo l’interoperabilità con tecnologie di
accesso standardizzate al di fuori di 3GPP. Questa a sua volta ha creato entusiasmo
e notevole interesse da parte di un vasto numero di aziende che vanno dagli
operatori di telecomunicazioni mobili fino a istituti di ricerca. L’inclusione
dell’interoperabilità nell’architettura 3GPP è naturalmente un passo in avanti
importante che apre la strada a implementazioni di LTE e EPC che possono essere
condivise da una comunità di operatori più ampia. Una tecnologia globale significa
anche ottime possibilità di roaming in cui gli utenti possono utilizzare i servizi in un
gran numero di paesi utilizzando il proprio dispositivo. Infine diamo uno sguardo al
futuro, in particolare alle olimpiadi del 2020 in Giappone dove l’operatore
telefonico leader, NTT DoCoMo, è convinto di poter diffondere una connessione 5G
che si appoggia su LTE-Advanced nonostante gli standard per la quinta generazione
delle connessioni mobili non sono stati ancora ben definiti. I miglioramenti
principali che questa rete 5G dovrebbe apportare, secondo l’azienda, riguardano :
aumento della velocità, abbassamento della latenza della connessione, copertura
delle zone in maniera adeguata.
32
Bibliografia
[1] University_of_Alberta(Canada),
http://www.ece.engineering.ualberta.ca/en/Graduate/~/media/ece/Graduate/Docume
nts/GradDocs/Intro_to__Evolved_packet_core_network.pdf..
[2] Magnus Olsson, Shabnam Sultana, Stefan Rommer, Lars Frid, Catherine Mulligan,
SAE and the Evolved Packet Core: Driving the Mobile Broadband Revolution,
Academic Press, 2009, 444.
[3] Ing. Elena Guzzon, Long Term Evolution.
[4] Wikipedia, https://it.wikipedia.org/wiki/LTE_(telefonia)..
[5] TecnoAndroid, http://www.tecnoandroid.it/connessione-5g-in-giappone-per-le-
olimpiadi-202/..
[6] Alessandro Betti, Stefano Di Mino, Ivano Guardini, La Core Network Mobile a
Pacchetto: dal 3G al 4G, Notiziario Tecnico Telecom Italia.
[7] José-Javier Pastor Balbás, Stefan Rommer and John Stenfelt, Policy and Charging
Control in the Evolved Packet System.
[8] Stefano Avallone, Protocolli per reti mobile, McGraw-Hill Education.
[9] Christopher Cox, An Introduction to LTE: LTE, LTE-Advanced, SAE, VoLTE and
4G Mobile Communications.