【YD通讯标准】 基于 Radius 上报用户溯源信息的技术要求

ICS33.040.40
中华人民共和国通信行业标准
YD/T2843-2015
基于Radius上报用户溯源信息的技术要求The technical specifications for tracing method based on Radius2015-04-30发布
2015-07-01实施
中华人民共和国工业和信息化部发布前
1范围·
规范性引用文件·
3术语、定义和缩略语
3.1术语和定义·
3.2缩略语·
概述·
5溯源信息上报流程·
场景分类·
5.2NAT44场景
5.3NAT444场景.
5.4DS-Lite场景-
6Radius属性格式·
6.1报文格式·
6.2AVP属性格式
6.3VSA属性格式
6.4VSA子属性格式
YD/T2843-2015
YD/T2843-2015
本标准按照GB/T1.1-2009给出的规则起草。注意：本文件的某些内容可能涉及专利，本文件的发布机构不承担识别这些专利的责任。本标准由中国通信标准化协会提出并归口。本标准起草单位：中国电信集团公司、华为技术有限公司、中兴通讯股份有限公司、中国联合网络通信集团有限公司。
本标准主要起草人：伍佑明、李阳春、朱永庆、邹洁、谭景华、黄灿灿、傅瑜、范亮、徐东。I
TiiKAoNiKAca
1范围
基于Radius上报用户溯源信息的技术要求YD/T2843-2015
本标准规定了运营级NAT设备用户地址映射关系创建过程和上报给AAA服务器的协议交互过程，也规定了了Radius上报用户溯源信息的属性格式等技术要求。本标准适用于宽带网络网关（BNG）和运营级NAT（CGN）集成部署且端口预分配场景下，通过Radius上报用户IPv4溯源信息的溯源情况。2规范性引用文件
下列文件对于本文件的应用是必不可少的。凡是注日期的引用文件，仅所注日期的版本适用于本文件。凡是不注日期的引用文件，其最新版本（包括所有的修改单）适用于本文件。IETFRFC1700
IETFRFC2865
3术语、定义和缩略语
3.1术语和定义
号码分配（AssignedNumbers）
远端用户拨入认证服务（Remoteauthenticationdialinuserservice（Radius)）下列术语和定义适用于本文件。3.1.1
实现IPv4地址到IPv4地址转换的技术。3.1.2
私网双栈NAT444
开启IPv6同时实现IPv4地址到IPv4地址转换的技术。3.1.3
轻型双栈DualStackLite（DS-Lite）开启IPv6隧道承载IPv4流量同时实现IPv4地址到IPv4地址转换的技术。3.1.4
运营级NATCarrierGradeNAT（CGN）运营级的IPv4到IPv4的地址转换。3.1.5
用户地址IPAddressforUser
BNG、AAA、DHCP等系统分配给用户的IPv4地址或IPv6地址。在运营级NAT应用中用户IPv4地址通常是私有IPv4地址。
外部地址ExteriorIPAddress
HiiKAoiKAca
YD/T2843-2015
用户私有IPv4地址经NAT设备转换后的IPv4地址。在运营级NAT应用中通常是公有IPv4地址。3.1.7
地址映射关系AddressMappingRelationshipNAT转换中绑定的用户私有地址或IPv6地址与（外部地址，端口块）之间的映射关系。3.1.8
地址映射关系表AddressMappingRelationshipTable由地址映射关系创建的映射表格。3.2缩略语
下列缩略语适用于本文件。
RADIUS
4概述
Authentication.Authorization,AccountingBroadband Network Access ServerBroadband Network Gateway
Carrier GradeNAT
Customer PremisesEquipment
Internet Protocol Version 4
Internet Protocol Version 6
Link Control Protocol
NerworkAddressTranslation
RemoteAuthenticationDial InUserService认证、授权、记账
宽带网络接入服务器
宽带网络网关
运营级NATbzxz.net
用户端设备
网际协议第四版
网际协议第六版
链路控制协议
网络地址转换
远程认证拨号用户服务
IP地址分配组织IANA及APNIC的公有IPv4地址已经分配完毕，运营商面临公有IPv4地址短缺的困境。为了保证业务可持续发展，运营商将根据不同的场景在IP城域网中部署NAT44、NAT444、DS-Lite等技术，城域网网络侧将部署CGN设备，用户侧将引入私有IPv4地址，在此背景下实现对用户的溯源将成为运营商面临的一个难题。在部署CGN的情况下，用户分配的IPv4地址是私有地址，经过NAT转换后，多个用户共用一个公有IPv4地址，NAT隐藏了用户的私网地址。为了实现对用户的跟踪溯源，BNG设备需要将用户的溯源信息告知AAA系统，结合AAA系统的用户信息查询到用户。基于Radius上报用户溯源信息的方法适用于BNG和CGN集成部署且端口预分配的情况，实际应用中有NAT44、NAT444、DS-Lite三种部署场景。Radius溯源场景组网如图1所示。在以上应用场景中，用户上线时，BNG设备创建用户地址映射关系，并通过计费开始报文将用户预分配的公网IP及公网起始端口、结束端口通过Radius属性上报给AAA服务器，AAA服务器维护地址映射关系表：用户下线时，BRAS设备通过计费结束报文，将分配该用户的公网IP及起始端口、结束端口通过Radius属性上报给AAA服务器，通知AAA服务器释放用户的地址溯源关系。溯源系统根据用户的公有地址和端口号，通过查询AAA系统的地址映射关系表确定用户。2
HiiKANiKAca
NAT444
DS-Lite
5潮源信息上报流程
5.1场景分类
IP:4单载
CPE/B4
IP4单栈
BNGCGN
BNGAFTR
图1RADIUS潮源场景组网示意
YD/T2843-2015
测谭服务器
潮源服务器
潮高服务器
通过Radius上报用户溯源信息的方式适用于BNG集成CGN的部署模式，包括仅部署CGN的NAT44场景、部署CGN和IPv6的NAT444场景、部署CGN和IPv6隧道的DS-Lite场景。5.2NAT44场景
NAT44场景下，BNG集成CGN与AAA服务器之间协议交互流程如图2所示。IPv4单栈
IPv4单栈
BNGICGN
用户下线（6）
图2NAT44场景用户溯源信息上报流程用户溯源信息的上报流程如下：第1步：用户建立LCP连接，发起认证流程。2
谢源服务器
第2步：BNG将用户名和密码发送给AAA进行认证，AAA维护用户信息表，包含用户名、域名等信息。
HiikAoNiKAca
YD/T2843-2015
第3步：BNG插卡设备为用户分配私有地址，为用户地址选择转换后的外部公网地址及端口块，创建用户地址映射关系表项。
第4步：BNG插卡设备在Accountingstart消息中向AAA服务器上报用户地址、用户类型、预留的外部公网地址和端口块等信息。Accountingstart消息中要求新增如下的Radius属性：User-Type：用户类型：
一NAT-IP-Address：NAT转换后的公网地址：一NAT-Start-Port：NAT转换后的起始端口：NAT-End-Port：NAT转换后的结束端口。第5步：AAA服务器获得用户地址、用户类型、外部地址、端口块等信息，生成该用户地址的地址映射关系表项。
第6步：用户下线，BNG插卡设备删除该用户的端口预留关系。第7步：BNG插卡设备在Accountingstop消息中向AAA服务器上报用户地址、用户类型、预留的外部地址、端口块等信息。
第8步：AAA服务器删除该用户的地址映射关系表项。用户溯源的流程如下：
第1步：溯源服务器根据时间段、公有地址和端口向AAA查询用户信息。第2步：AAA根据时间段、公有地址和端口，查询地址映射关系表，确定用户私有地址，由用户私有地址确定用户名，最终确定具体的用户。5.3NAT444场景
NAT444场景下，BNG集成CGN与AAA服务器之间协议交互流程如图3所示。AA
双栈CPE
BNG/CGN
用户下线（7）
图3NAT444场景用户溯源信息上报流程(6)
潮源服务器
NAT444场景下的用户计费信息上报有两种方式，一种方式是IPv4计费信息和IPv6计费信息采取两次上报方式，一种是IPv4计费信息和IPv6计费信息一次上报方式。计费信息采取两次上报方式时，用户IPv4溯源信息的上报流程和溯源流程与NAT44场景完全相同，IPv6的溯源信息采用Accounting4
HiiKAoNiKAca
Intrim-Update消息发送。计费信息采取一次上报方式的流程如下：第1步到第3步与NAT44的场景相同。第4步：BNG插卡设备为CPE分配IPv6地址或前缀。YD/T2843-2015
第5步：BNG插卡设备在Accountingstart消息中向AAA服务器上报用户IPv4地址、IPv6地址、用户类型、预留的外部公网地址和端口块等信息。Accountingstart消息中要求新增Radius属性。第6步：AAA服务器获得用户IPv4地址、IPv6地址、用户类型、外部地址、端口块等信息，生成该用户地址的地址映射关系表项。第7步：用户下线，BNG插卡设备删除该用户的端口预留关系。第8步：BNG插卡设备在Accountingstop消息中向AAA服务器上报用户IPv4地址、IPv6地址、用户类型、预留的外部地址、端口块等信息。第9步：AAA服务器删除该用户的地址映射关系表项。用户溯源的流程与NAT44的场景相同。5.4DS-Lite场景
DS-Lite场景下，BRAS集成CGN与AAA服务器之间协议交互流程如图4所示。AAA
CPE/B4
BNGAFTR
用户卡线（6）
图4DS-Lite场景用户溯源信息上报流程用户溯源信息的上报流程如下：第1步：用户建立LCP连接，发起认证流程。5）
潮源服务器
第2步：BNG将用户名和密码发送给AAA进行认证，AAA维护用户信息表，包含用户名、域名信息。
第3步：BNG插卡设备为CPE分配IPv6地址或前缀，为用户选择转换后的外部公网地址及端口范围，创建用户地址映射关系表项。第4步：BNG插卡设备在Accountingstart消息中向AAA服务器上报用户IPv6地址、用户类型、预留的外部公网地址和端口块等信息。Accountingstart消息中要求新增Radius属性。第5步：AAA服务器获取用户IPv6地址、用户类型、外部地址、端口块等信息，生成该用户地址的地址映射关系表项。
HiiKAoNiKAca
YD/T2843-2015
第6步：用户下线，BNG插卡设备删除该用户的端口预留关系。第7步：BNG插卡设备在Accountingstop消息中向AAA服务器上报用户IPv6地址、用户类型、预留的外部地址、端口块等信息。第8步：AAA服务器删除该用户的地址映射关系表项。用户溯源的流程如下：
第1步：溯源服务器根据时间段、公有地址和端口向AAA查询用户信息。第2步：AAA根据时间段、公有地址和端口，查询地址映射关系表，确定用户IPv6地址，由用户IPv6地址确定用户名，直接确定具体的用户。6Radius属性格式
6.1报文格式
Radius上报用户溯源信息采用AccountingRequest报文，报文格式如图5所示，各个域的数据是从左向右传送。
01234567890123456789012345678901Code
1Identifier1
Authenticator
IAttributes
Length
图5Radius上报溯源信息报文格式+
Code：4表示用户溯源信息通过AccountingRequest报文传送。用户上线时通过AccountingStart报文传送，用户下线时通过AccountingStop报文传送。Attributes：除了包含用户地址等属性外，还必须包含1个AVP属性和1个VSA属性。AVP属性指定AccountingRequest的类型，VSA属性携带用户溯源信息。其他域的规定应符合IETFRFC2865的要求。6.2AVP属性格式
溯源信息上报中必须包含1个AVP属性，属性的格式如图6所示，各个域的数据是从左向右传送。0
01234567890123456789012345678901+中.+
ITypeLength
+-++-+.+++-+++-+-+-+-+-+-+-+-++-+-+-+-+-+-+.+++-+++-+-+-++1Value
图6AVP属性格式
Type：40表示属性类型为Acct-Status-Type，表示这个属性是用来标识计费请求类型的。Length：6表示属性的总字段长度，包含Type、Length和Value。Value：用来标识计费请求的类型，1表示计费开始包AccountingStart，2表示计费结束包AccountingStop。3表示计费更新包AccountingInterim-Update，计费更新包在本标准中没有涉及。6
HiiKAoNiKAca
6.3VSA属性格式
YD/T2843-2015
溯源信息上报中必须包含1个VSA属性，属性的格式如图7所示，各个域的数据是从左向右传送。0
01234567890123456789012345678901+-+-+-+-+-+.+-+-+-+-+-+-+-+-+-+++
1Type1Length
Vendor-d
+-++.+.+.+.+-+-+-+.++-+-+-+-+-+-+-+.+.+.+.+-+-+-+++
Vendor-d
图7VSA属性格式
Type：26表示属性类型为Vendor-Specific。该属性允许厂商支持他们的扩展属性，这些属性不是为了通用的用途。
Length：大于6，表示VSA属性的总字段长度，包含Type、Length、Value、Vendor-Id和String。Vendor-Id：标识设备商，为4个字节。高位字节是0，低位的三个字节是厂商的SMI网络管理私有企业代码，被定义在IETFRFC1700“AssignedNumbers”字段中。String：表示扩展属性域，必须包含本标准中定义的4个扩展VSA子属性。6.4VSA子属性格式
在VSA的String域新增用户类型、NAT公网地址、NAT开始端口和NAT结束端口共4个子属性，4个子属性顺序排列，用于传送用户溯源信息。用户类型子属性：USER-TYPE
01234567890123456789012345678901Type
1Length
++++++++★++
User-Type
-+-+-+-++
User-Type
图8用户类型子属性格式
如图8所示，
type：120表示子属性是USER-TYPE，用于AAA系统根据用户类型和地址信息形成地址关系映射表。length：6表示子属性的总长度，包含Type、Length和User-Type。User-Type：表示用户类型。在实际部署中User-Type的值为1、3或5，User-Type为其他的值虽然是合法的，但本标准定义的子属性中不会出现。0
公网IPv4用户：
1——私网IPv4用户；
公网双栈用户；
私网双栈用户；
DS-Lite用户：
一纯IPv6用户；
-NAT64用户。
NAT公网地址私有子属性：NAT-IP-ADDRESSYD/T2843-2015
如图9所示，
012345678901234567890123456789014+-+-+-
+-+-+-+
+Length
IP-Address
IP-Address
图9NAT公网地址子属性格式
Type：121表示子属性是NAT-IP-ADDRESS，该属性用于向AAA系统上报用户作NAT转换的公网地址。
Length：6表示子属性的总长度，包含Type、Length和NAT-IP-ADDRESS。IP-Address：分配给用户的NAT公网地址。NAT起始端口私有子属性：NAT-START-PORT0
01234567890123456789012345678901+++++++++++++++++++++
ILength
+-++-+-+-+-+-*
Nat-Start-Port
+-+-+-+-+-+-+-+-+-+-+-+-+-++Nat-Start-Port
图10NAT起始端口子属性格式
如图10所示，
Type：122表示子属性是NAT-START-PORT，该属性用于向AAA系统上报用户作NAT转换的公网起始端口。
Length：6表示子属性的总长度，包含Type、Length和Nat-Start-Port。Nat-Start-Port：分配给用户做NAT转换的公网起始端口。NAT结束端口私有子属性：NAT-END-PORT0
01234567890123456789012345678901+-+-++
ILength
Nat-End-Port
+-+-+-+-+-+-+-+-+-+-+-+-+-++Nat-End-Port
图11NAT结束端口子属性格式
如图11所示，
TyPe：123表示子属性是NAT-END-PORT，该属性用于向AAA系统上报用户作NAT转换的公网结束端口。
Length：6表示子属性的总长度，包含Type、Length和Nat-End-Port。Nat-Start-Port：分配给用户做NAT转换的公网结束端口。8
小提示：此标准内容仅展示完整标准里的部分截取内容，若需要完整标准请到上方自行免费下载完整标准文档。