基礎(chǔ)培訓(xùn)IMS用戶數(shù)據(jù)發(fā)放 ISSUE 3.30

1、修訂記錄課程編碼適用產(chǎn)品產(chǎn)品版本課程版本ISSUEZC023102HSS9820V900R0083.30開發(fā)/優(yōu)化者時(shí)間審核人開發(fā)類型（新開發(fā)/優(yōu)化）林永寧2009.9李忠新開發(fā)劉振海2010.3李忠優(yōu)化毛遠(yuǎn)宏2010.5張可鐫優(yōu)化0IMS 用戶數(shù)據(jù)發(fā)放參考資料HUAWEI HSS9820歸屬用戶服務(wù)器配置指南-(V900R008)2目錄IMS用戶簽約基本概念SPG 介紹PGW Web LMT介紹業(yè)務(wù)發(fā)放流程模板管理與開戶用戶狀態(tài)查詢3用戶管理用戶管理系統(tǒng)提供了用戶管理的功能，主要包括：鑒權(quán)數(shù)據(jù)管理功能 負(fù)責(zé)對(duì)HSS（Home Subscriber Server）歸屬IMS（IP Multim

2、edia Subsystem）用戶的鑒權(quán)數(shù)據(jù)進(jìn)行管理。用戶管理功能 負(fù)責(zé)對(duì)用戶標(biāo)識(shí)以及用戶標(biāo)識(shí)之間的關(guān)聯(lián)關(guān)系進(jìn)行關(guān)聯(lián)。用戶簽約數(shù)據(jù)管理功能 負(fù)責(zé)對(duì)HSS歸屬IMS用戶的簽約信息進(jìn)行管理，包括路由信息、簽約業(yè)務(wù)信息等。模板管理功能 負(fù)責(zé)對(duì)各種開戶模板進(jìn)行管理，包括對(duì)模板的增加、刪除、修改、查詢等模板開戶功能 負(fù)責(zé)使用系統(tǒng)中的各種開戶模板來為不同的用戶進(jìn)行開戶4用戶管理系統(tǒng)的功能結(jié)構(gòu)5用戶管理系統(tǒng)的功能結(jié)構(gòu)PGW是HSS的用戶和業(yè)務(wù)數(shù)據(jù)管理部分，主要實(shí)現(xiàn)如下功能：負(fù)責(zé)提供對(duì)HSS中的用戶數(shù)據(jù)管理功能。處理營(yíng)業(yè)廳接口消息，提供營(yíng)業(yè)廳/Portal消息的接入和轉(zhuǎn)發(fā)功能。提供營(yíng)業(yè)廳接口（MML/SOAP

3、），支持接入第三方開發(fā)的營(yíng)業(yè)廳程序，滿足運(yùn)營(yíng)商不同的運(yùn)營(yíng)管理。支持Web客戶端訪問接口。SPG主要完成以下功能接收來自BOSS/Portal的消息，轉(zhuǎn)換為符合PGW要求的SOAP格式，發(fā)送到PGW處理。接收PGW響應(yīng)發(fā)起命令實(shí)體的消息，轉(zhuǎn)換為符合發(fā)起命令實(shí)體要求的消息格式，分發(fā)到各實(shí)體處理。提供完善的用戶權(quán)限控制策略，保證HSS數(shù)據(jù)庫(kù)中的用戶數(shù)據(jù)的安全性。提供外部網(wǎng)元到HSS的流量控制策略，保證系統(tǒng)能夠正常運(yùn)行。6Portal客戶端和PGW客戶端Portal客戶端具有以下功能：HSS9820 提供了個(gè)人業(yè)務(wù)助理Portal 與HSS 之間的營(yíng)業(yè)廳消息接口，方便為用戶提供Web Portal 功

4、能。Web Portal 功能由SPG2800 提供。PGW客戶端(WebUI/Web客戶端)作為本地維護(hù)臺(tái)，主要實(shí)現(xiàn)如下功能：支持操作人員對(duì)于用戶數(shù)據(jù)的查詢和修改接口，以及操作人員的權(quán)限管理功能。支持多業(yè)務(wù)統(tǒng)一接入。支持文件上傳下載通道。維護(hù)人員可通過IE直接訪問PGW，不需要特殊安裝客戶端軟件支撐維護(hù)場(chǎng)景。7IMS用戶簽約數(shù)據(jù)結(jié)構(gòu)SIDIMPIIMPUIMPI Private User Identity 1 PublicUser Identity 1 PublicUser Identity 2 Public User Identity 3 Private User Identity 2 P

5、ublic User Identity 4 Public User Identity 5 Public User Identity 6 Service Profile 1 Service Profile 2 Service Profile 3 Service Profile 4 IMS Subscription 8SIDIMS subscriptionSubscription 即IMS用戶簽約，一個(gè)IMS用戶在歸屬網(wǎng)絡(luò)中開戶后，即可獲得一個(gè)唯一的用戶簽約。每個(gè)用戶簽約分配一個(gè)唯一的ID，即SUBID（Subscription ID）。SUBID 由127 字節(jié)以內(nèi)的字符串組成。SUBID 存儲(chǔ)

6、在HSS 中，并且只在一個(gè)HSS 中有效。9IMPI和IMPUIP multimedia private identity具有全球唯一性的身份標(biāo)識(shí)，用于歸屬網(wǎng)絡(luò)從網(wǎng)絡(luò)的角度唯一地標(biāo)識(shí)用戶的簽約關(guān)系。一個(gè)IMPI 對(duì)應(yīng)一個(gè)物理終端，類似GSM中的IMSI。用于注冊(cè)、鑒權(quán)、管理和計(jì)費(fèi)等。存儲(chǔ)在HSS、S-CSCF 和終端中。采用NAI 格式，有效格式為：用戶名“”域名。username。IP multimedia public identity用戶對(duì)外可尋址的標(biāo)識(shí)，命名全球唯一。 一或多個(gè)IMPU 與一個(gè)Service Profile 關(guān)聯(lián)。能夠以顯式或隱式的方式注冊(cè)，允許設(shè)置為共享。存儲(chǔ)在HSS

7、 和S-CSCF 中，在HSS中是固態(tài)數(shù)據(jù)，在S-CSCF中是動(dòng)態(tài)數(shù)據(jù)。一個(gè)終端中至少存儲(chǔ)了一個(gè)IMPU。格式：SIP URL ： SIP:metroTEL URL： TEL:+867552878080810IMPI 和 IMPU之間的關(guān)系 聯(lián)系1個(gè)IMPI能夠擁有1個(gè)或多個(gè)IMPU1個(gè)IMPU也能夠擁有1個(gè)或多個(gè)IMPI注冊(cè)成功后，簽約數(shù)據(jù)僅保存在1個(gè)S-CSCF內(nèi)11業(yè)務(wù)簽約信息Service Profile是由iFC 信息和用戶簽約媒體ID 信息組成的一個(gè)數(shù)據(jù)集合。初始過濾規(guī)則iFC（Initial Filter Criteria）用于指示SCSCF在注冊(cè)和會(huì)話過程中何時(shí)觸發(fā)相關(guān)AS。簽

8、約媒體ID用于檢查用戶建立會(huì)話時(shí)的媒體類型（只允許語音通話，還是語音視頻均可等），為可選配置。獨(dú)立于IRS，包含不同Service Profile 的IMPU 可能屬于同一個(gè)IRS。能夠被同一用戶簽約中的IMPU 共享。Service ProfilePublic Identification1 nCore Network Service Authorization0 1Initial Filter Criteria0 n12公共標(biāo)識(shí)公共標(biāo)識(shí)SIP URL 或 TEL URLBarring indicationTrue S-CSCF將會(huì)本禁止 這個(gè)用戶的所有IMS 會(huì)話，除了注冊(cè)和重注冊(cè) Fal

9、se 沒有限制13iFCiFC （Initial Filter Criteria）S-CSCF按用戶條件和業(yè)務(wù)需求匹配iFC。成功匹配一條iFC后，S-CSCF按iFC要求進(jìn)行業(yè)務(wù)觸發(fā)。如：呼叫發(fā)往某AS處理。簽約數(shù)據(jù)中的所有iFC會(huì)被設(shè)計(jì)成不同的優(yōu)先級(jí)。iFC1P=1iFC2P=2iFC3P=3ASASTrigger pointASTrigger pointASTrigger point14iFCInitial Filter CriteriaTrigger Point01Priority integerProfilepartindicator: enumeratedConditionType

10、CNF: Boolean Service Point TriggerConditionNegated: Boolean Group: list of integerApplication ServerServerName: SIP URLDeafaultHanding: enumeratedService Information Service information:string1n0115觸發(fā)點(diǎn) Service Point TriggerConditionNegated: booleanGroup: list of integerRegistrationType: list of enum

11、eratedRequest-URIRequestURI: stringSIP MethodMethod: stringSIP HeaderHeader: stringContent: stringSession CaseSessionCase: enumeratedSession DescriptionLine: stringContent: string16IMSICording scheme : E.212MCC（Mobile Country Code）MNC（Mobile Network Code）MSIN（Mobile Subscriber Identification Number）

12、460004777770001 MSISDNCording scheme : E.164CC（Country Code）+NDC（National Destination Code）+SN（Subscriber Number）8613907551234早期IMS用戶ID17目錄IMS用戶簽約基本概念SPG 介紹PGW Web LMT介紹業(yè)務(wù)發(fā)放流程模板管理與開戶用戶狀態(tài)查詢18SPG和HSS系統(tǒng)的關(guān)系HSSSPG2800Portal19目錄IMS用戶簽約基本概念SPG 介紹PGW Web LMT介紹業(yè)務(wù)發(fā)放流程模板管理與開戶用戶狀態(tài)查詢20Web LMT簡(jiǎn)介用戶通過Web瀏覽器管理和維護(hù)業(yè)務(wù)發(fā)

13、放網(wǎng)關(guān)PGW（Provisioning Gateway），無需另外安裝客戶端。在PGW的WebUI上通過MML命令為PGW提供近端維護(hù)方式。PGW Web LMT面向以下使用人員：設(shè)備維護(hù)人員網(wǎng)絡(luò)監(jiān)控人員Web LMT具有以下功能：MML：MML是一種人機(jī)交互語言，全稱是Man-Machine Language。執(zhí)行MML命令，對(duì)網(wǎng)元提供近端操作維護(hù)。文件管理：通過Web LMT進(jìn)行文件到PGW主機(jī)的上傳、下載和刪除操作。批處理：批量執(zhí)行MML命令，執(zhí)行一系列命令來完成某個(gè)獨(dú)立的功能或某項(xiàng)任務(wù)。21登錄Web LMT 步驟內(nèi)容說明1在瀏覽器地址欄中輸入PGW的IP地址，單擊“回車”或者單擊“轉(zhuǎn)

14、到”進(jìn)入PGW的Web LMT的登錄界面。2輸入“HLRSN”、“用戶名”、“密碼”、“驗(yàn)證碼”。HLRSN為可選參數(shù)，不輸入時(shí)，默認(rèn)為OMU上設(shè)置的系統(tǒng)HLR序列號(hào)。當(dāng)輸入時(shí)，HLRSN必須為通過ADD SYSHLRSN命令添加的系統(tǒng)HLR序列號(hào)。3單擊“登錄”。22PGW Web LMT界面介紹23目錄IMS用戶簽約基本概念SPG 介紹PGW Web LMT介紹業(yè)務(wù)發(fā)放流程模板管理與開戶用戶狀態(tài)查詢24用戶簽約發(fā)放目錄鑒權(quán)數(shù)據(jù)管理 IMS AKA 鑒權(quán)模式HTTP Digest模式Early 鑒權(quán)模式用戶管理 ISIM卡和HTTP Digest用戶管理Early IMS用戶管理 Early

15、 AKA用戶管理NASS Bundled用戶管理簽約數(shù)據(jù)管理漫游權(quán)限、計(jì)費(fèi)等管理25目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置26IMS AKA鑒權(quán)UMTS（Universal Mobile Telecommunications System）鑒權(quán)機(jī)制稱為UMTS AKA（Authentication and Key Agreement），IMS鑒權(quán)機(jī)制

16、的概念和原理與UMTS AKA相同，稱為IMS AKA。IMS AKA實(shí)現(xiàn)UE（User Equipment）和IMS網(wǎng)絡(luò)之間的相互認(rèn)證，保證IMS網(wǎng)絡(luò)的保密性和數(shù)據(jù)完整性。IMS鑒權(quán)參數(shù)包括鑒權(quán)向量五元組和產(chǎn)生鑒權(quán)向量五元組的一些相關(guān)參數(shù)27鑒權(quán)流程IMS AKAHSS9820P/S/I-CSCFIMS-SIM cardRegister req (Tom)Register reg (Response)Authentication Vector (5)401(RAND and AUTN)200 OK移動(dòng)電話必需有支持IMS AKA 的IMS-SIM卡HSS9820產(chǎn)生鑒權(quán)向量 (RAND、AU

17、TN、IK and CK)S-CSCF通過401消息來鑒定用戶MAR (Auth Type: IMS AKA)2829IMS AKA鑒權(quán)鑒權(quán)向量五元組包括：RAND（Random Number）XRES（Expected User Response）CK（Cipher Key）IK（Integrity Key）AUTN（Authentication Token）30IMS AKA鑒權(quán)產(chǎn)生鑒權(quán)向量五元組的相關(guān)參數(shù)包括：SQN（Sequence Number）AMF（Authentication Management Field）AK（Anonymity Key）MAC（Message Authe

18、ntication Code）31IMS AKA鑒權(quán)配置步驟配置信息的相關(guān)說明:K4:用于加密KI的密鑰OP:AMF:為計(jì)算MAC的一個(gè)參數(shù) KI:為鑒權(quán)信息的加密密鑰32配置步驟鑒權(quán)數(shù)據(jù)管理ADD HK4: ADD HOP:ADD HAMF:ADD HKI :33鑒權(quán)參數(shù)鑒權(quán)數(shù)據(jù)說明KIKI即鑒權(quán)密鑰，為用戶鑒權(quán)而設(shè)。IMPI為KI的索引，一個(gè)IMPI唯一地對(duì)應(yīng)于一個(gè)KI值，但一個(gè)KI值可能被多個(gè)IMPI使用。OPOP即運(yùn)營(yíng)商可變算法配置域，是鑒權(quán)計(jì)算的一個(gè)輸入?yún)?shù)，OP值以KI為密鑰進(jìn)行加密計(jì)算可以得出OPC。一個(gè)運(yùn)營(yíng)商的所有用戶可以使用相同的OP，以區(qū)別于其他運(yùn)營(yíng)商的用戶。AMFAMF即

19、鑒權(quán)管理域，可以和SQN、RAND、KI一起計(jì)算MAC值。AMF作用為：指示生成某一個(gè)鑒權(quán)向量所使用的算法和密鑰。 變換SQN驗(yàn)證參數(shù)。 設(shè)置IK和CK的有效時(shí)間的閾值。 K4K4即密碼密鑰，是鑒權(quán)密鑰KI的密鑰，用于對(duì)KI進(jìn)行加密和解密。根據(jù)K4索引號(hào)取值不同，有以下兩種情況：若K4索引號(hào)取值為0，系統(tǒng)不對(duì)KI進(jìn)行加密，此時(shí)數(shù)據(jù)庫(kù)中的KI值即為原始KI值。 若K4索引號(hào)取值不為0，系統(tǒng)使用該K4索引號(hào)對(duì)應(yīng)的K4值對(duì)KI進(jìn)行加密和解密。 OPCOPC是對(duì)OP值以KI為密鑰進(jìn)行加密計(jì)算得到的Result，可以用于加密函數(shù)的計(jì)算。34命令35 K4用于配置一個(gè)K4值. K4 值用于加密KIADD

20、HK4: K4SNO=1, K4VALUE=”1234567890ABCDEF”;16位16進(jìn)制數(shù)鑒權(quán)數(shù)據(jù)管理 配置K436OP（Operator Variant Algorithm Configuration Field） 鑒權(quán)數(shù)據(jù)管理配置OPOP是鑒權(quán)計(jì)算的一個(gè)輸入?yún)?shù) 保存于Auc 和 ISIM卡內(nèi)一個(gè)運(yùn)營(yíng)商的所有用戶可以使用相同的OP，以區(qū)別于其他運(yùn)營(yíng)商的用戶 。ADD HOPADD HOP: OPSNO=1, OPVALUE=”1234567890ABCDEF” 32位16進(jìn)制數(shù)37鑒權(quán)數(shù)據(jù)管理配置AMFAMF (Authentication management field )AM

21、F作用為：指示生成某一個(gè)鑒權(quán)向量所使用的算法和密鑰。 變換SQN驗(yàn)證參數(shù)。 設(shè)置IK和CK的有效時(shí)間的閾值。ADD HAMFADD HAMF: AMFSNO=1, AMFVALUE=”1234”; 4位16進(jìn)制數(shù)38鑒權(quán)數(shù)據(jù)管理配置KIKIKI即鑒權(quán)密鑰，為用戶鑒權(quán)而設(shè)。保存于Auc 和 ISIM卡內(nèi)ADD HKI :IMPI=+8675528780808,KI=497b2317da8719be497b2317da8719be, K4SNO=0, OPSNO=0, AMFSNO=1, OPC=4f50434f50434f50434f50434f504334;IMPI定義AKA鑒權(quán)數(shù)據(jù)索引IMP

22、I的值K是定義鑒權(quán)數(shù)據(jù)KI的值。OPC是對(duì)OP值以KI為密鑰進(jìn)行加密計(jì)算得到的Result39目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置40HTTP Digest鑒權(quán)說明對(duì)于固網(wǎng)SIP終端，由于沒有SIM/USIM（UMTS Subscriber Identity Module）/ISIM卡，不支持IMS AKA鑒權(quán)機(jī)制和Early IMS鑒權(quán)機(jī)制。為了

23、支持固網(wǎng)終端接入IMS網(wǎng)絡(luò)，對(duì)其采用HTTP（Hypertext Transfer Protocol）Digest鑒權(quán)機(jī)制。HTTP Digest鑒權(quán)是基于HTTP協(xié)議的鑒權(quán)機(jī)制，其鑒權(quán)參數(shù)為用戶名User name和密碼Password。對(duì)于采用HTTP Digest鑒權(quán)的固網(wǎng)終端，用戶依靠User name和Password通過鑒權(quán)接入網(wǎng)絡(luò)。HTTP Digest華為公司擴(kuò)展的對(duì)無SIM/USIM /ISIM卡終端進(jìn)行鑒權(quán)的一種鑒權(quán)方式。41鑒權(quán)流程HTTP DigestHSS9820P/S/I-CSCFIMS phoneRegister req (Tom)Register reg (Di

24、gest )MAA (HA1)401(RAND)200 OK1、UE 發(fā)起注冊(cè)請(qǐng)求nitiates the register procedure.2、HSS 通過MAA消息發(fā)送HA1 給S-CSCF3、S-CSCF 通過401發(fā)送RAND 給MS4、MS進(jìn)行HTTP digest計(jì)算后，發(fā)送第二次注冊(cè)請(qǐng)求并帶有響應(yīng)response5、S-CSCF對(duì)比UE 和 HSS 的DigestMAR (Auth Type: HTTP)HA1=HTTP Digest (Digest-Realm, User Name, Password) 42HTTP Digest鑒權(quán)流程ClientP-CSCFI-CSCF

25、HSSS-CSCFRegisterUARUAAS-CSCFselectionRegisterMARCalculate HA1MAAUnauthorizedUnauthorizedUnauthorizedRegisterRegister(Digest)UARUAARegisterAuthenticationSAAOKOKOK(RAND)(HA1)Register(RAND)(RAND)(Digest)(Digest)SAR(RAND+HA1)=Digest43配置步驟鑒權(quán)數(shù)據(jù)管理ADD HHDAINF:44鑒權(quán)數(shù)據(jù)管理鑒權(quán)信息配置ADD HHDAINF: IMPI=+8675528780808,

26、 USERNAME=+8675528780808, PWD=100;IMPI: 用戶的URL地址USERNAME: 用戶名 PWD: 用戶密碼（少于16個(gè)字符）45目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置46SIP Digest鑒權(quán)及配置SIP Digest鑒權(quán)說明:對(duì)于SIP軟終端這類沒有SIM/USIM/ISIM卡，只有UserName和Passw

27、ord的用戶，在IMS網(wǎng)絡(luò)中采用SIP Digest方式進(jìn)行鑒權(quán)認(rèn)證。SIP Digest處理流程與HTTP Digest只有很細(xì)小的差別(SIP Digest是HTTP Digest的升級(jí)版本)，兩者都是基于MD5算法進(jìn)行鑒權(quán)。簽約SIP Digest比HTTP Digest多了一個(gè)REALM參數(shù)，計(jì)算鑒權(quán)數(shù)據(jù)時(shí)SIP Digest鑒權(quán)參數(shù)都是從HSS中讀取的，HTTP Digest中的Realm是S-CSCF通過MAR消息送過來的。SIP Digest與對(duì)HTTP Digest的兼容，如果用戶簽約了SIP Digest鑒權(quán)方式，則認(rèn)為該用戶也支持HTTP Digest鑒權(quán)方式。用戶不能同時(shí)

28、簽約SIP Digest鑒權(quán)和HTTP Digest鑒權(quán)。SIP Digest鑒權(quán)配置:ADD HHDAINF: IMPI=user1, HUSERNAME=tom, PWD=123456“, REALM=;47目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置48Early IMS鑒權(quán)IMS建網(wǎng)初期，會(huì)存在一些UE不能支持IMS AKA鑒權(quán)機(jī)制。比如沒有ISI

29、M卡的PS（Packet Switched）域用戶。為了讓不支持IMS AKA鑒權(quán)機(jī)制的PS域用戶能夠接入IMS網(wǎng)絡(luò)，保障IMS網(wǎng)絡(luò)對(duì)現(xiàn)有PS網(wǎng)絡(luò)的兼容性，同時(shí)確保IMS網(wǎng)絡(luò)的安全性，IMS網(wǎng)絡(luò)引入Early IMS鑒權(quán)機(jī)制，作為IMS建網(wǎng)初期的一種用戶鑒權(quán)機(jī)制。49Early IMS鑒權(quán)Early IMS鑒權(quán)過程如下：GGSN（Gateway GPRS Support Node）接收到UE的PDP（Packet Data Protocol）上下文激活請(qǐng)求。GGSN給UE分配一個(gè)IP地址。GGSN通過Gi接口將IP地址、IMSI（International Mobile Subscriber

30、Identity）和MSISDN（Mobile Station International ISDN Number）傳送給HSS。HSS通過其存儲(chǔ)的IMSI/MSISDN與IMPI的關(guān)聯(lián)關(guān)系，檢索出相應(yīng)的IMPI。HSS建立IP地址與IMPI的綁定。S-CSCF（Serving CSCF）接收到支持Early IMS鑒權(quán)機(jī)制的UE注冊(cè)或其它SIP（Session Initiation Protocol）請(qǐng)求。S-CSCF比較SIP頭域里帶有的IP地址與HSS中存儲(chǔ)的相應(yīng)IP地址是否相同，從而完成驗(yàn)證。50Early IMS鑒權(quán)配置Early IMS鑒權(quán)的配置ADD HIMSI: IMSI=46

31、0001234567, ISDN=8613900001234;ADD HASSOC: IMPI=user1, IMSI=460001234567;SET HEIA: IMPI=user1, EIAFLAG=TRUE;51目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置52NASS Bundled鑒權(quán)NASS Bundled 鑒權(quán)是對(duì)早期固網(wǎng)用戶接入IMS 網(wǎng)絡(luò)

32、時(shí)進(jìn)行認(rèn)證的一種機(jī)制。在NASS Bundled 鑒權(quán)中，鑒權(quán)數(shù)據(jù)為L(zhǎng)ine IDNASS Bundled 鑒權(quán)流程如下：1. 用戶終端發(fā)起IMS 注冊(cè)請(qǐng)求，其IP 地址通過REGISTER 消息送到P-CSCF。2. P-CSCF 與CLF 交互獲得用戶終端的位置信息。3. P-CSCF 將用戶終端位置信息記錄在REGISTER 消息的“P-Access-Network-Info”頭域中發(fā)往I-CSCF。4. I-CSCF 從HSS 中查詢到S-CSCF 的地址，將注冊(cè)請(qǐng)求發(fā)送到S-CSCF。5. S-CSCF 收到REGISTER 請(qǐng)求，保存“P-Access-Network-Info”頭

33、域中攜帶的終端位置信息。6. S-CSCF 通過MAR 消息向HSS 請(qǐng)求NASS Bundled 鑒權(quán)信息，即事先配置的固網(wǎng)終端位置信息。7. HSS 收到要求進(jìn)行NASS Bundled 鑒權(quán)的MAR 請(qǐng)求后，查詢出IMPI 對(duì)應(yīng)的所有固網(wǎng)終端位置信息，并通過MAA 下發(fā)給S-CSCF。8. S-CSCF 通過比較從HSS 獲得的固網(wǎng)終端位置信息以及由P-CSCF 獲得的固網(wǎng)終端位置信息，來驗(yàn)證用戶身份的合法性。如兩者相同，則鑒權(quán)成功，否則拒絕REGISTER 請(qǐng)求。53NASS Bundled鑒權(quán)配置NASS Bundled鑒權(quán)配置說明 /*增加IMPI 的NASS Bundled 鑒權(quán)

34、信息*/ ADD HNBAINF: IMPI=user3, LINEIDIDX=1, LINEID=rack01subrack00;54目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置55Early AKA鑒權(quán)Early AKA 鑒權(quán)是在HSS 與HLR 共存的局面下，為支持PS/CS 域用戶接入IMS 網(wǎng)絡(luò)時(shí)進(jìn)行認(rèn)證的一種機(jī)制。Early AKA 鑒權(quán)流程如

35、下：1. UE 發(fā)起注冊(cè)請(qǐng)求。2. P-CSCF 接收到注冊(cè)請(qǐng)求并向I-CSCF 發(fā)送。3. I-CSCF 從HSS 中查詢到S-CSCF 的地址，將注冊(cè)請(qǐng)求發(fā)送到S-CSCF。4. S-CSCF 接收到注冊(cè)請(qǐng)求，向HSS 發(fā)送MAR 消息。5. HSS 根據(jù)MAR 消息中攜帶的Authentication-Scheme AVP 判斷用戶的鑒權(quán)模式是Early AKA 鑒權(quán)，則根據(jù)IMPI 查找關(guān)聯(lián)的IMSI，并向HLR 發(fā)送MAP 消息MAP_SAI_REQ 請(qǐng)求鑒權(quán)向量。6. HLR 通過MAP 消息MAP_SAI_RSP 向HSS 返回鑒權(quán)向量。7. HSS 將獲得的鑒權(quán)向量通過MAA

36、消息返回給S-CSCF。56Early AKA鑒權(quán)（續(xù)）8. S-CSCF 按照先入先出的原則從鑒權(quán)向量集中選擇一個(gè)鑒權(quán)向量向I-CSCF 發(fā)送鑒權(quán)請(qǐng)求。9. I-CSCF 將鑒權(quán)請(qǐng)求轉(zhuǎn)發(fā)給P-CSCF。10. P-CSCF 接收到鑒權(quán)請(qǐng)求，從中取出IK 和CK 并保存，將鑒權(quán)請(qǐng)求繼續(xù)向UE 發(fā)送。11. UE 接收到鑒權(quán)請(qǐng)求，獲取AUTN 以對(duì)IMS 網(wǎng)進(jìn)行鑒權(quán)認(rèn)證。12. 對(duì)網(wǎng)絡(luò)的鑒權(quán)通過后，UE 使用RAND 計(jì)算出鑒權(quán)響應(yīng)RES，并通過注冊(cè)消息發(fā)往P-CSCF。13. P-CSCF 接收到鑒權(quán)響應(yīng)并向I-CSCF 發(fā)送，I-CSCF 從HSS 中查詢到S-CSCF 的地址，將鑒權(quán)響應(yīng)向

37、S-CSCF 發(fā)送。14. S-CSCF 接收到鑒權(quán)響應(yīng)，將期望收到的鑒權(quán)響應(yīng)XRES 和實(shí)際收到的鑒權(quán)響應(yīng)RES進(jìn)行比較。如果兩者匹配，則UE 通過網(wǎng)絡(luò)鑒權(quán)。15. S-CSCF 經(jīng)過I-CSCF，P-CSCF 向UE 發(fā)送鑒權(quán)成功響應(yīng)消息。57Early AKA鑒權(quán)配置Early AKA 鑒權(quán)流程如下： /*增加IMSI*/ ADD HIMSI: IMSI=216011234567890, ISDN=361200123456789; /*建立IMPI 與IMSI 的關(guān)聯(lián)關(guān)系*/ ADD HASSOC: IMPI=user5, IMSI=216011234567890; /*設(shè)置IMPI 支

38、持Early AKA 鑒權(quán)*/ SET HEAA: IMPI=user5, EAAFLAG=TRUE;58目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置59Trust Access鑒權(quán)配置及配置Trust Access鑒權(quán)說明:對(duì)于固網(wǎng)PVS用戶，其接入IMS網(wǎng)絡(luò)的安全性由前端保證，沒有任何鑒權(quán)數(shù)據(jù)在HSS保存。為了支持PVS用戶接入IMS網(wǎng)絡(luò)，對(duì)其采用Tr

39、ust Access鑒權(quán)機(jī)制。PVS通過MAR消息向HSS獲取鑒權(quán)數(shù)據(jù)，HSS下發(fā)MAA消息的處理需要根據(jù)PVS上的不同用戶進(jìn)行區(qū)分處理：如果PVS上的是一般用戶（僅指在HSS上配置HDA鑒權(quán)后開戶的用戶），則HSS保持R5C01版本的處理流程不變； 如果PVS上的是沒有鑒權(quán)信息的用戶（即PVS上配置的可信用戶，在HSS上為這種可信用戶指定TAA無鑒權(quán)方式），則HSS會(huì)根據(jù)該用戶是否支持TAA無鑒權(quán)方式進(jìn)行處理：支持TAA鑒權(quán)：返回MAA消息，通知PVS該用戶是無鑒權(quán)用戶。 不支持TAA鑒權(quán)：返回鑒權(quán)失敗 Trust Access鑒權(quán)配置說明:SET HTAA: IMPI=user8, TAA

40、FLAG=TRUE;60目錄1 鑒權(quán)數(shù)據(jù)管理 1. IMS AKA2. HTTP Digest3. SIP Digest鑒權(quán)及配置4. Early IMS鑒權(quán)及配置5. NASS Bundled鑒權(quán)及配置6. Early AKA鑒權(quán)及配置7. Trust Access鑒權(quán)及配置8. Cave AKA鑒權(quán)及配置61Cave AKA鑒權(quán)說明終端發(fā)起注冊(cè)時(shí)，S-CSCF發(fā)現(xiàn)終端沒有進(jìn)行鑒權(quán)，則S-CSCF會(huì)向HSS請(qǐng)求該終端對(duì)應(yīng)的鑒權(quán)數(shù)據(jù)；HSS根據(jù)S-CSCF的請(qǐng)求，生成n(n=5)組鑒權(quán)向量(RAND、XRES、CK、IK、AUTN),并將生成的鑒權(quán)向量通過MAA消息返回給S-CSCF。 S-C

41、SCF保留RAND和XRES,并將RAND、CK、IK、AUTN發(fā)送給P-CSCF，P-CSCF保留IK和CK,并將RAND和AUTN發(fā)送給終端，AUTN包含三部分(MAC、AMF、SQN)。 終端根據(jù)AUTN和保存在ISIM卡上的K計(jì)算出XMAC,并與MAC進(jìn)行比較，如果不相同，則終端對(duì)網(wǎng)絡(luò)鑒權(quán)失??；如果相同則終端對(duì)網(wǎng)絡(luò)鑒權(quán)通過。對(duì)網(wǎng)絡(luò)鑒權(quán)通過后，如果SQN在可接受的范圍內(nèi)，終端會(huì)計(jì)算出RES并返回給S-CSCF,如果S-CSCF判斷RES和XRES相同，則對(duì)終端的鑒權(quán)成功；如果SQN不在可接受的范圍內(nèi)，則發(fā)起重同步過程，向HSS重新請(qǐng)求鑒權(quán)向量，HSS更新保存的SQN后生成新的鑒權(quán)向量返回

42、給S-CSCF，S-CSCF與終端之間重新進(jìn)行鑒權(quán)。62Cave AKA鑒權(quán)說明（續(xù)）63Cave AKA鑒權(quán)配置使用ADD HIMSI添加IMSI號(hào)碼，該命令中，IMSI對(duì)應(yīng)的IMPI必須通過IMSI導(dǎo)出，即IMPI = IMSI形式。ADD HIMSI: IMPI=123455555555555, IMSI=123455555555555;使用SET HCAA設(shè)定IMPI支持CAVE AKA鑒權(quán)SET HCAA: IMPI=123455555555555, CAVEAKAFLG=TRUE, UIMID=12365411;UIMID即為C網(wǎng)編號(hào)計(jì)劃中的ESN號(hào)碼。使用ADD HSUB添加用戶

43、ADD HSUB: SUBID=123455555555555, IMPI=123455555555555, IMPU=sip:123455555555555;使用SET HVNTPLID簽約IMPU對(duì)應(yīng)的漫游地址SET HVNTPLID: IMPU=sip:123455555555555, VNTPLID=100;64目錄2 用戶管理 1. 基本概念2. IMS用戶管理3. Early IMS用戶管理4. PSI用戶管理65IMS用戶標(biāo)識(shí)的關(guān)聯(lián)關(guān)系66Early IMS用戶標(biāo)識(shí)的關(guān)聯(lián)關(guān)系67PSI用戶標(biāo)識(shí)PSI(Public Service Identity)用于標(biāo)識(shí)由AS（Applicat

44、ion Server）提供的業(yè)務(wù)，在HSS中，將此類業(yè)務(wù)當(dāng)作用戶進(jìn)行處理，稱為PSI用戶。PSI用戶有兩種標(biāo)識(shí)：私有業(yè)務(wù)標(biāo)識(shí)PISI（Private Service Identity）和公有業(yè)務(wù)標(biāo)識(shí)PUSI（Public Service Identity）。HSS內(nèi)部保存的PUSI分為“通配PUSI”（Wildcarded PSI，簡(jiǎn)稱WPUSI）和“非通配PUSI”（Distinct PUSI，簡(jiǎn)稱DPUSI）兩類。一個(gè)通配PUSI代表著一組PUSI。例如，用戶呼叫sip:chatlist_abc的PUSI，HSS可以將呼叫路由到一個(gè)通配PUSI: sip:chatlist_!*!。68目錄

45、2 用戶管理 1. 基本概念2. IMS用戶管理3. Early IMS用戶管理4. PSI用戶管理69添加一個(gè)新的IMS用戶簽約對(duì)于IMS用戶，開戶之前IMPI必須已經(jīng)增加IMS AKA鑒權(quán)信息或HTTP Digest鑒權(quán)信息。 一般IMS用戶開戶:命令A(yù)DD HSUB 用于增加一個(gè)IMS subscription，并且可以同時(shí)為這個(gè)SUBID增加IMPI和IMPU。ADD HSUB: SUBID= 100 , IMPI= +8675528780808 , IMPU= sip:+8675528780808 ;Subscription ID 100+8675528780808sip:+8675

46、52878080870增加一個(gè)新IMPI（可選 ）命令A(yù)DD HIMPI用于對(duì)存在的SUBID增加一個(gè)新IMPIADD HIMPI: SUBID=“100, IMPI=+8675528780810;Subscription ID+8675528780808+867552878081071多IMPU的IMS用戶開戶多IMPU的IMS用戶開戶指多個(gè)IMPU被一個(gè)IMPI共享增加一個(gè)新IMS用戶：ADD HSUB: SUBID= 100 , IMPI= +8675528780808 , IMPU= sip:+8675528780808 ;為IMPI增加一個(gè)新的tel URLADD HIMPU: IM

47、PI=+8675528780808, IMPU=tel:+8675528780808;Subscription ID+8675528780808sip:+8675528780808tel:+867552878080872隱式注冊(cè)IMS用戶開戶隱式注冊(cè)集IRS: Implicit Register Set只要一個(gè)IMPU完成注冊(cè)，屬于相同的IRS的所有IMPU會(huì)完成注冊(cè)HSS IRS(sip:+8675528780808& tel:+8675528780808)Register (sip:+)CSCF注冊(cè)狀態(tài)：Registered SIP:+Registered Tel:+73隱式注冊(cè)IMS用戶

48、開戶（續(xù)）這個(gè)命令用于添加一個(gè)IRS，從IRS中增加或者刪除IMPUSET HIRS: IRSID=1, IMPULIST=sip:+8675528780808&tel:+8675528780808;IRSID : Implicitly registered set IDSubscription ID+8675528780808+8675528780810sip:+8675528780808tel:+867552878080874目錄2 用戶管理 1. 基本概念2. IMS用戶管理3. Early IMS用戶管理4. PSI用戶管理75配置步驟Early用戶管理包括：增加IMSI增加MSISD

49、N設(shè)置Early IMS鑒權(quán)模式增加一個(gè)IMS Subscription 76Early IMS用戶開戶步驟Early IMS用戶開戶步驟ADD HIMSI: IMPI=user1, IMSI=460001234567, ISDN=8613900001234;/*設(shè)置Early IMS鑒權(quán)模式*/SET HEIA: IMPI=user1, EIAFLAG=TRUE;/*增加一個(gè)IMS Subscription*/ADD HSUB: SUBID=sub1, IMPI=user1, IMPU=sip:impu1;77目錄2 用戶管理 1. 基本概念2. IMS用戶管理3. Early IMS用戶管

50、理4. PSI用戶管理78PSI用戶開戶第三方注冊(cè)PSI用戶開戶ADD HPSI: PISI=user, PUSI=sip:a, PUSITYPE = DPUSI;ADD HIFC: PUSI=sip:a, PRIORITY =4, PARTIND =REGISTERED, SERVER =sip:server1, DEFHND = SESSION_CONTINUED; SET HAS: PUSI=sip:a, AS =sip:server1;79目錄3簽約數(shù)據(jù)管理1. 基本概念2. 用戶簽約數(shù)據(jù)配置80基本概念用戶簽約數(shù)據(jù)管理的基本概念主要從以下八個(gè)方面進(jìn)行介紹：計(jì)費(fèi)閉鎖注冊(cè)權(quán)限漫游權(quán)限游牧

51、權(quán)限簽約媒體IDIFC能力集81基本概念閉鎖每個(gè)IMPU都有一個(gè)閉鎖標(biāo)志，用于指示該IMPU是否被閉鎖，即是否被禁止使用IMS業(yè)務(wù)。當(dāng)IMPU被閉鎖，且該IMPU不屬于任何隱式注冊(cè)集，或者該IMPU屬于某隱式注冊(cè)集，但該隱式注冊(cè)集中的其它IMPU都被閉鎖，該IMPU不能注冊(cè)。注冊(cè)權(quán)限注冊(cè)權(quán)限表示IMPU是否允許注冊(cè)。隱式注冊(cè)集中所有IMPU的注冊(cè)權(quán)限都相同。漫游權(quán)限漫游權(quán)限表示IMPU在哪些拜訪網(wǎng)絡(luò)中允許漫游。隱式注冊(cè)集中所有IMPU的漫游權(quán)限都相同。游牧權(quán)限游牧權(quán)限用于表示固網(wǎng)用戶在哪些網(wǎng)絡(luò)中允許漫游。82基本概念能力集當(dāng)一個(gè)用戶發(fā)起SIP注冊(cè)請(qǐng)求時(shí)，I-CSCF（Interrogating

52、 CSCF）需要為該用戶分配一個(gè)S-CSCF，即選擇合適的S-CSCF。I-CSCF通過能力集選擇S-CSCF，能力集包含必選/可選能力和S-CSCF名稱兩部分。必選/可選能力I-CSCF能夠從HSS接收用戶所需的S-CSCF的必選能力和可選能力列表，根據(jù)S-CSCF所具有的能力選擇S-CSCF。首先，I-CSCF選擇具有用戶所需的所有必選能力和可選能力的S-CSCF。如果沒有，I-CSCF將使用最大匹配原則，先匹配必選能力，后匹配可選能力。如果有多個(gè)S-CSCF具有用戶所需的所有必選能力，I-CSCF將根據(jù)可選能力選擇S-CSCF。S-CSCF名稱I-CSCF能夠根據(jù)業(yè)務(wù)簽約信息選擇S-CS

53、CF。對(duì)此，需要給用戶指派特定的S-CSCF，即S-CSCF名稱，并將S-CSCF名稱作為業(yè)務(wù)簽約信息的一部分。例如，可以把一個(gè)公司、集團(tuán)的所有用戶包含在同一個(gè)S-CSCF中以提供VPN（Virtual Private Network）業(yè)務(wù)。83基本概念簽約媒體ID簽約媒體ID標(biāo)識(shí)允許用戶請(qǐng)求的一組會(huì)話描述參數(shù)，作為業(yè)務(wù)簽約信息的一部分存儲(chǔ)在HSS中，當(dāng)用戶注冊(cè)或者未注冊(cè)用戶收到終止初始請(qǐng)求時(shí)下載到S-CSCF中，S-CSCF根據(jù)運(yùn)營(yíng)商配置將簽約媒體ID翻譯成簽約媒體組。IFCIFC即初始過濾規(guī)則，表示一個(gè)用戶對(duì)一個(gè)應(yīng)用的簽約情況，作為業(yè)務(wù)簽約信息的一部分存儲(chǔ)在HSS中，當(dāng)用戶注冊(cè)或者未注冊(cè)用

54、戶作被叫時(shí)下載到S-CSCF中，S-CSCF根據(jù)過濾規(guī)則向應(yīng)用服務(wù)器轉(zhuǎn)發(fā)SIP（Session Initiation Protocol）請(qǐng)求。用戶請(qǐng)求調(diào)用的每個(gè)應(yīng)用或業(yè)務(wù)，都對(duì)應(yīng)一組IFC數(shù)據(jù)。每組IFC數(shù)據(jù)包括優(yōu)先級(jí)、業(yè)務(wù)相關(guān)性、AS（Application Server）地址、默認(rèn)處理方式、業(yè)務(wù)信息和觸發(fā)點(diǎn)。84目錄3簽約數(shù)據(jù)管理1. 基本概念2. 用戶簽約數(shù)據(jù)配置85設(shè)置計(jì)費(fèi)信息這個(gè)命令用于為一個(gè)指定的IMPI或PISI設(shè)置計(jì)費(fèi)地址： SET HCHARGID: IMPI=+8675528780808, CHARGTPLID=1;The PCCFID is defined by comm

55、and ADD HCHGTPLADD HCHGTPL: TPLID=1, PECF=“”, SECF=“”;86設(shè)置閉鎖狀態(tài)設(shè)置閉鎖狀態(tài)SET HBAR命令用于設(shè)置指定IMPU或PUSI的閉鎖標(biāo)志狀態(tài)。PUSI的閉鎖狀態(tài)對(duì)PUSI的流程處理暫無任何影響。需要注意以下兩種情況：當(dāng)IMPU被閉鎖,且不屬于任何隱式注冊(cè)集，或?qū)儆陔[式注冊(cè)集，但該隱式注冊(cè)集中的其它IMPU也都被閉鎖時(shí)，該用戶不能注冊(cè)。當(dāng)該IMPU為某IRS的Default IMPU時(shí)，不能將該IMPU設(shè)置為閉鎖狀態(tài)。配置實(shí)例SET HBAR: IMPU=sip:impu1, BAR=TRUE; 87設(shè)置注冊(cè)權(quán)限這個(gè)命令用于設(shè)置一個(gè)IM

56、PU是否具有注冊(cè)權(quán)限SET HREGAUTH: IMPU=“sip:+8675528780808, REGAUTH=TRUE;SET HREGAUTH: IMPU=“tel:+8675528780808, REGAUTH=TRUE;SET HREGAUTH: IMPU=“tel:+8675528780808, REGAUTH=TRUESET HREGAUTH: IMPU=“tel:+8675528780810, REGAUTH=FALSEP-CSCFRegister HSSI-CSCF+8675528780810+867552878080888設(shè)置漫游權(quán)限根據(jù)IMPU在HSS內(nèi)定義用戶的漫游權(quán)

57、限選擇是否檢查漫游權(quán)限為IMPU分配拜訪模板定義拜訪模板89設(shè)置漫游權(quán)限(續(xù))SET HVNCFLAG 用于是否對(duì)一個(gè)特定的IMPU進(jìn)行漫游權(quán)限檢查SET HVNCFLAG: IMPU=“sip:+8675528780808, VNCFLAG=TURE;SET HVNCFLAG: IMPU=tel:+8675528780808 , VNCFLAG=TURE;VNCFLAGTUREFALSE90設(shè)置漫游權(quán)限(續(xù))這個(gè)命令是用于為一個(gè)IMPU設(shè)置漫游模板IDSET HVNTPLID: IMPU=“sip:+8675528780808, VNTPLID=0;SET HVNTPLID: IMPU=“t

58、el:+8675528780808, VNTPLID=0;ADD HVNTPLADDR: VNTPLID=0, VN=“”, VNTYPE=PERMISSIONP-CSCF: P-CSCF: P-CSCFRegister ()Register HSSI-CSCFRegister ()91設(shè)置漫游權(quán)限(續(xù)) 命令A(yù)DD HVNTPLADDR 和 ADD HVNTPL是用于在HSS數(shù)據(jù)庫(kù)內(nèi)為特定的拜訪網(wǎng)絡(luò)設(shè)置一個(gè) 拜訪網(wǎng)絡(luò)地址 ADD HVNTPL: TPLID=0, MATCHTYPE=FRONT, VN=“”, TYPE=PERMISSION; ADD HVNTPLADDR: VNTPLID=

59、0, VN=“p-cscf_”, VNTYPE=PERMISSION;Template ID1visited network address 1visited network address 2p-cscf_.visited network address 254p-cscf_92設(shè)置IMPU的游牧權(quán)限設(shè)置IMPU的游牧權(quán)限SET HNATPLID命令用于設(shè)置指定IMPU的游牧模板ID。漫游模板可以在Portal 客戶端上使用SET HNATPLID 命令或在Portal 上使用“Set NASS AccessTemplate ID”操作來為IMPU 設(shè)置一個(gè)游牧模板ID。游牧模板ID 用于標(biāo)

60、識(shí)一個(gè)游牧模板的信息。配置實(shí)例SET HNATPLID: IMPU=“sip:impu1, NATPLID=1;93設(shè)置簽約媒體ID命令SET HMEDIAID 用于設(shè)置與指定IMPU或PUSI相關(guān)聯(lián)的SMPID。SET HMEDIAID :IMPU=”sip:+8675528780808 , MEDIAID =3;說明：簽約媒體ID是在S-CSCF上由命令A(yù)DD SMPF配置的。HSSMedia ID=3SDP(steam)Reject S-CSCFMedia ID=3Media type listData codec listImage codec listAudio codec list