APN プロファイルのサポート
機能の概要と変更履歴
- 要約データ
- マニュアルの変更履歴
機能説明
機能設定
IP 送信元違反に対するアップリンクパケットの検証
- IP 送信元違反に対するアップリンクパケットの検証の仕組み
- IP 送信元違反に対するアップリンクパケットの検証の有効化と無効化
  - DNN プロファイルでのアップリンクパケット送信元検証の確認
  - NF サービスのアップリンクパケット送信元の検証の確認
トラブルシューティング情報
- 設定エラー

APN プロファイルのサポート

機能の概要と変更履歴

要約データ

表 1. 要約データ
該当製品または機能エリア	cnSGW-C
該当プラットフォーム	SMI
機能のデフォルト設定	[Enabled]：設定が必要
関連資料	該当なし

マニュアルの変更履歴

表 2. マニュアルの変更履歴
改訂の詳細	リリース
IPv6 のサポートが導入されました。	2022.04.0
最初の導入。	2021.01.0

機能説明

この機能は、SGW（cnSGW-C）サービスのアクセスポイント名（APN）またはデータネットワーク名（DNN）プロファイルをサポートします。DNN は、Evolved Packet System（EPS）の APN に相当します。

オペレータポリシーとサブスクライバマップを使用して、cnSGW-C サービスの DNN プロファイルを決定できます。

機能設定

この機能の設定には、次の手順が含まれます。

DNN プロファイルを設定します。詳細については、DNN プロファイルの構成を参照してください。
ネットワーク要素プロファイルを設定します。詳細については、ネットワーク要素プロファイルの設定を参照してください。

DNN プロファイルの構成

この機能を設定するには、次の構成を使用します。

config 
   profile dnn dnn_name 
      upf-selection-policy upf_select_name 
        dnn dnn_name network-function-list network_function_list 
        end

注：

dnn dnn_name ：DNN プロファイル名を指定します。文字列で指定する必要があります。
upf-selection-policy upf_select_name ：UPF 選択ポリシー名を指定します。文字列で指定する必要があります。
network-function-list network_function_list ：選択した DNN プロファイルを送信するネットワーク機能のリストを指定します。文字列で指定する必要があります。

ネットワーク要素プロファイルの設定

ネットワーク要素プロファイルはピア IP（UPF）プロファイルを表し、次の設定があります。

ピアアドレスとポートの設定
ピアによってサポートされる DNN または APN。この設定は、UPF の選択に役立ちます。

UPF の選択では、優先順位とキャパシティパラメータを考慮します。

upf-group-profile は、そのプロファイルが属する UPF グループを示します。

この機能を設定するには、次の設定を使用します。

config 
   profile network-element upf upf_name 
     node-id  node_id_value 
     n4-peer-address ipv6 ipv6_address 
     n4-peer-address ipv4 ipv4_address 
     n4-peer-port port_number 
     dual-stack-transport { true | false }  
     dnn-list dnn_list 
     capacity capacity_value 
     priority priority_value 
     upf-group-profile upf_group_name 
     end

注：

network-element ：ピアネットワーク要素を指定します。
upf upf_name：UPF ピア名を指定します。
node-id node_id_value ：UPF ノードのノード ID を指定します。
n4-peer-address ipv4 ipv4_address ：IPv4 アドレスを指定します。
n4-peer-address ipv6 ipv6_address ：IPv6 アドレスを指定します。
n4-peer-port port_number ：N4 ピアポート番号を指定します。これは、0 〜 65535 の範囲の整数である必要があります。
dual-stack-transport { true | false } ：IPv6 または IPv4 アドレスを指定できるデュアルスタック機能を有効にします。この機能を有効にするには、true を指定します。
dnn-list dnn_list ：UPF ノードでサポートされている DNN リストを指定します。
capacity capacity_value ：他の UPF に対するキャパシティを指定します。これはロードバランシングに使用されます。これは、0 〜 65535 の範囲の整数である必要があります。デフォルト値は 10 です。
priority priority_value ：他の UPF に対する静的優先順位を指定します。これはロードバランシングに使用されます。これは、0 〜 65535 の範囲の整数である必要があります。デフォルト値は 1 です。
upf-group-profile upf_group_name ：UPF グループプロファイル名を指定します。文字列で指定する必要があります。

設定の変更による影響

次の表は、既存のコール、新しい PDN、または新しいサブスクライバに対する設定変更動作の影響を示します。


変更内容	cnSGW-C の既存コール	cnSGW-C の新しい PDN または新しいサブスクライバ
APN プロファイルを削除	影響なし	変更内容に基づいて以下に対して新しい設定が適用されました。サブスクライバポリシーオペレータポリシー DNN ポリシー DNN プロファイル
オペレータポリシーで APN プロファイル名を変更	影響なし	変更内容に基づいて以下に対して新しい設定が適用されました。サブスクライバポリシーオペレータポリシー DNN ポリシー DNN プロファイル

IP 送信元違反に対するアップリンクパケットの検証

表 3. 機能の履歴
機能名	リリース情報	説明
IP 送信元違反に対するアップリンクパケットの検証	2024.03.0	IP 送信元違反検出機能が有効な場合、cnSGW は、受信パケットの送信元 IP アドレスを有効なユーザー機器（UE）の IP アドレスと照合することで、不正なパケットを検証します。 cnSGW はセッション作成要求または応答から UE の IP アドレスを取得し、Sx セッション確立要求メッセージで UPF に送信するための IP 送信元違反情報要素（IE）を含めます。この IE は、無効な送信元 IP アドレスを持つパケットに対して UPF が動作するように設定されたアクション（IGNORE または DISCARD）を示しています。この機能により、権限のない関係者へのデータの漏洩を防止することで、ネットワークセキュリティとサブスクライバのプライバシーが強化されます。この機能は、合法的傍受要件に準拠することにより、サービスプロバイダーの法的および規制的問題のリスクをさらに軽減します。 CLI 導入：DNN プロファイルの ip source-violation [ ignore \| discard ] 。デフォルト設定：[Disabled]：有効にするには設定が必要。

デフォルトでは、アップリンクパケットの IP 送信元違反検出は無効になっています。無効なパケットに対して IGNORE または DISCARD アクションを設定して、この機能を有効化する必要があります。有効にすると、cnSGW はセッション作成要求または応答から UE IP アドレスを取得し、UPF に送信します。無効な送信元 IP アドレスを持つパケットに対して UPF が実行する必要があるアクションは、Sx セッション確立要求メッセージの IP 送信元違反 IE を使用して示されます。

ネットワークオペレータの特定の要件とポリシーに応じて、IP 送信元違反検出機能に対して次のオプションから選択できます。

[IGNORE]：ネットワークに厳しいセキュリティ要件がなく、無効な送信元 IP アドレスを無視して運用の柔軟性を維持する場合はこのオプションを選択します。統計を蓄積しながら無効なパケットを無視することで、トラフィックをすぐに廃棄することなく、無効な送信元 IP アドレスの発生をモニタリングおよび分析できます。送信元 IP アドレスが無効であってもパケットを転送することにより、無効なトラフィックの影響が最小限であるシナリオにおいて、ネットワークは一貫したユーザーエクスペリエンスを維持できます。
[DISCARD]：ネットワークに厳しいセキュリティ要件があり、無効な送信元 IP アドレスを持つパケットを廃棄して、IP スプーフィングなどの潜在的なセキュリティ脅威を防止する場合はこのオプションを選択します。無効な送信元 IP アドレスを持つパケットを破棄することで、有効なトラフィックのみが処理および転送され、ネットワークの整合性が維持されます。無効なパケットを破棄することで、ネットワークは、誤った送信元 IP アドレスを持つパケットの処理に起因する潜在的な誤ルーティングを回避できます。

（注）

この機能が無効になっている場合、IP 送信元違反 IE は Sx セッション確立要求メッセージに含まれません。

無効な送信元 IP アドレスを持つパケットに対しては、パケットが無視されたか破棄されたかに関わらず、対応する統計が蓄積されます。

この機能は、ip source-violation [ ignore | discard ] CLI コマンドを使用して設定できます。

UPF でのアップリンクパケットの IP 送信元違反の有効化の詳細については、UPF 設定および管理ガイドの「アップリンクパケットの IP 送信元違反の有効化」を参照してください。

IP 送信元違反に対するアップリンクパケットの検証の仕組み

IP 送信元違反情報要素（IE）のデータ構造により、cnSGW から UPF への無効な送信元 IP アドレスを持つパケットに対して実行されるアクションが指示されます。この IE は Sx Session Establishment Request メッセージの一部であり、IP 送信元違反検出機能が有効になっている場合に含まれます。

表 4. 無効な送信元 IP アドレスを持つアップリンクパケットの処理
無効になっている場合	有効になっている場合
IP 送信元違反 IE は、Sx Session Establishment Request メッセージに含まれません。	次のいずれかのオプションを設定します。 IGNORE 無効な送信元 IP アドレスを持つパケットが検証され、適用可能なポリシーに従ってネットワークを介して転送されます。 cnSGW に保持されている対応する統計は、無効な送信元 IP アドレスを検出したときに増分されます。無視されたパケットはネットワークトラフィックフローに存在し続け、有効なパケットとして処理されます。 DISCARD 無効な送信元 IP アドレスを持つパケットが特定され、ドロップされます。 cnSGW に保持されている対応する統計は、パケットを破棄するアクションに対して増分されます。破棄されたパケットは、ネットワークデバイスによってそれ以上処理されず、保存も、ログ記録も、転送もされません。

IP 送信元違反に対するアップリンクパケットの検証の有効化と無効化

DNN プロファイルで IP 送信元違反の検出機能を有効または無効にすることができます。CLI コマンドを使用すると、ネットワーク内で無効な送信元 IP アドレスを持つパケットを処理する方法を構成できます。

手順

ステップ 1

プロファイル DNN モードにログインし、DNN プロファイル名を入力します。

例:

[sgw] smf(config)# profile dnn <profile name>

ステップ 2

ip source-violation コマンドを入力して、IP 送信元違反の検出を設定します。

例:

[sgw] smf(config)# profile dnn <profile name> ip source-violation

ステップ 3

ip source-violation コマンドの iignore または discard オプションを選択します。

例:

[sgw] smf(config-dnn-intershat)# ip source-violation [ ignore | discard ]

DNN プロファイルで IP 送信元違反を無効にするには、no ip source-violation CLI コマンドを使用します。

Ignore オプションを入力すると、UPF はパケットの IP 送信元違反をチェックしません。discard オプションを入力すると、UPF はエラーのあるパケットを破棄します。

次のタスク

この機能が構成されているかどうかを確認するには、次のいずれかのオプションを使用します。

DNN プロファイルでのアップリンクパケット送信元検証の確認
NF サービスのアップリンクパケット送信元の検証の確認

DNN プロファイルでのアップリンクパケット送信元検証の確認

DNN プロファイルの手順を使用して、設定されたアクションで IP 送信元違反が無効か有効かを確認します。

手順

DNN プロファイルに show running-config profile dnn dnn_name を入力します。

例:

show running-config profile dnn intershat

次に、discard オプションを設定した show running-config profile dnn dnn_name CLI コマンドの出力例を示します。

show running-config profile dnn intershat
 profile dnn intershat
 dns primary ipv4 209.165.200.229
 dns primary ipv6 66:66:1::aa
 session type IPV4 allowed [ IPV6 IPV4V6 ]
 upf apn intershat
 ip source-violation discard     
exit

NF サービスのアップリンクパケット送信元の検証の確認

次の手順を使用して、IMSI、MEI、電話番号、および特定のサブスクライバの IP 送信元違反機能の構成などのサブスクライバの詳細を確認します。

手順

show subscriber nf-service sgw imsi imsi_value を入力します。

例:

show subscriber nf-service sgw imsi ABX

次に、ignore オプションを構成した show subscriber nf-service sgw imsi imsi_value CLI コマンドの出力例を示します。

show subscriber nf-service sgw imsi ABX
subscriber-details 
{ 
  "subResponses": [ 
    { 
      "status": true, 
      "genericInfo": { 
        "imsi": "imsi-204163553638360", 
        "mei": "imeisv-3590730650683317", 
        "msisdn": "msisdn-31638577770", 
        "accessType": "EUTRAN", 
        "plmnId": { 
          "mcc": "310", 
          "mnc": "260" 
        }, 
        "sgwProfileName": "cn-sgw", 
        "unAuthenticatedImsi": "No" 
      }, 
      "s11cInterfaceInfo": { 
        "sgwTeid": "[0x1265a5a7] 308651431", 
        "sgwIPv4Address": "10.210.81.0", 
        "mmeTeid": "[0xa61f5cc] 174192076", 
        "mmeIPv4Address": "172.57.38.19" 
      }, 
      "pdnInfoList": { 
        "totalPdn": 1, 
        "pdnInfo": [ 
          { 
            "pdnId": "PDN-1", 
            "apn": "smartsites.t-mobile", 
            "attachType": "Initial Attach", 
…
…
            "plmnType": "ROAMER", 
            "s5ePeerType": "ROAMER", 
            "collocatedSub": "NonCollocated" 
            "ipSrcViolation": "ignore" 
          } 
        ] 
      } 
    } 
  ] 
}

トラブルシューティング情報

ここでは、この機能のトラブルシューティング情報について説明します。

設定エラー

ここでは、APN プロファイルの設定中に cnSGW-C から報告される可能性のあるエラーについて説明します。

show config-error | tab
ERROR COMPONENT   ERROR DESCRIPTION
----------------------------------------------------------------------------------------------------------
SGWProfile        Subscriber policy name : sub_policy in profile sgw1 is not configured
SubscriberPolicy  Operator policy : op_policy1 under subscriber policy sub_policy2 is not configured
OperatorPolicy    Dnn policy name : dnn_policy1 in operator policy op_policy2 is not configured
DnnPolicy         Dnn profile name : dnn_profile1 in dnn policy dnn_policy2 is not configured
DnnProfile        UPF selection policy name : upf_sel_policy1 in dnn profile dnn_profile2 is not configured

UCC 5G cnSGWc 構成および管理ガイド、リリース 2025.01

偏向のない言語

翻訳について

Book Title

UCC 5G cnSGWc 構成および管理ガイド、リリース 2025.01

Chapter Title