步骤 1

创建 GTP 检测策略映射：policy-map type inspect gtp policy_map_name

步骤 2

（可选）添加策略映射说明：description string

步骤 3

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] apn regex {regex_name | class class_name} - 根据指定的正则表达式或正则表达式类匹配接入点名称 (APN)。

   • match [not] message {v1 | v2} id {message_id | range message_id_1 message_id_2} - 匹配消息 ID，该值可介于 1 到 255 之间。可以指定单个 ID 或 ID 范围。必须指定该消息是否适用于 GTPv0/1 (v1 ) 或 GTPv2 (v2 )。

   • match [not] message length min bytes max bytes - 匹配 UDP 负载长度（GTP 报头加上消息其余部分）介于最小值和最大值（1 到 65536）之间的消息。

   • match [not] msisdn regex {regex_name | class class_name} - 根据指定的正则表达式或正则表达式类来匹配“创建 PDP 情景”请求、“创建会话”请求和“修改载体响应”消息中的移动站国际用户目录号 (MSISDN) 信息元素。正则表达式可根据前 x 位数识别特定的 MSISDN 或 MSISDN 范围。MSISDN 过滤仅支持 GTPv1 和 GTPv2。

   • match [not] selection-mode mode_value - 匹配创建 PDP 情景请求中的选择模式信息元素。选择模式指定消息中的无线接入点名称 (APN) 来源，可以是以下项目之一。选择模式过滤仅支持 GTPv1 和 GTPv2。

     • 0 - 已验证。由移动站点或网络提供 APN，并且已验证订用。

     • 1 - 移动站点。由移动站点提供 APN，并且已验证订用。

     • 2 - 网络。由网络提供 APN，并且已验证订用。

     • 3 - 保留，未使用。

   • match [not] version {version_id | range version_id_1 version_id_2} - 匹配 GTP 版本（版本范围是可以是 0 到 255）。可以指定单个版本或版本范围。

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop [log] - 丢弃匹配的所有数据包。添加 log 关键字，以同时发送一条系统日志消息。

   • rate-limit Message_rate - 限制消息的速率。此选项仅对 message id 可用。

   可以在策略映射中指定多个 match 命令。有关 match 命令顺序的信息，请参阅如何处理多个流量类。

步骤 4

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式：

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • anti-replay [window_size] - 通过为 GTP-U 消息指定滑动窗口来启用防重放。滑动窗口的大小取决于消息的数量，可以为 128、256、512 或 1024。如果未指定大小，您将获得默认值 512。当有效消息出现时，窗口会移动到新的序列号。序列号在 0 至 65535 范围内，在其达到最大值时回卷，并且它们对每个 PDP 情景都是唯一的。如果消息的序列号在窗口以内，则视为有效消息。防重放有助于防范会话劫持或 DoS 攻击，在黑客捕获 GTP 数据包并进行重放时，可能发生这些攻击。

   • permit errors - 允许无效 GTP 数据包或者那些无法解析并将被丢弃的数据包。

   • request-queue max_requests - 设置排队等待响应的最大 GTP 请求数。默认值为 200。达到限制后，如果有新请求到达，将会删除队列中等待时间最长的请求。错误提示、不支持的版本和 SGSN 情景确认消息不被视为请求，且不会进入请求队列中等待响应。

   • tunnel-limit max_tunnels - 设置允许的最大活动 GTP 隧道数。该值相当于 PDP 情景或终端数量。默认值为 500。达到此命令指定的隧道数后，新请求将被丢弃。

   • timeout {endpoint | pdp-context | request | signaling | t3-response | tunnel} time - 设置指定服务的空闲超时（采用“小时:分钟:秒”格式）。如果不想设置超时，请指定数字 0。为每个超时分别输入此命令。

     • endpoint - 删除 GTP 终端之前允许处于非活动状态的最长时间。

     • pdp-context - 删除 GTP 会话的 PDP 情景前允许处于非活动状态的最长时间。在 GTPv2 中，这属于承载情景。

     • request - 从请求队列中删除某个请求之前允许处于非活动状态的最长时间。对丢弃请求的任何后续响应也将被丢弃。

     • signaling - 删除 GTP 信令之前允许处于非活动状态的最长时间。

     • t3-response - 删除连接前等待响应的最长时间。

     • tunnel - 终止 GTP 隧道之前允许处于非活动状态的最长时间。

步骤 5

仍在参数配置模式下，配置 GTP-U 检查 IP 数据包和反欺骗。

步骤 6

如有需要，可以在仍处于参数配置模式下时配置 IMSI 前缀过滤：

步骤 7

如有需要，可以在仍处于参数配置模式下时启用位置日志记录。

步骤 8

如有需要，可以在仍处于参数配置模式下时配置 GSN 或 PGW 轮询：

hostname(config)# object-group network gsnpool32
hostname(config-network)# network-object 192.168.100.0 255.255.255.0
hostname(config)# object-group network sgsn32
hostname(config-network)# network-object host 192.168.50.100

hostname(config)# policy-map type inspect gtp gtp-policy
hostname(config-pmap)# parameters
hostname(config-pmap-p)# permit-response to-object-group sgsn32 
from-object-group gsnpool32

步骤 1

创建 SCTP 检测策略映射：policy-map type inspect sctp policy_map_name

步骤 2

（可选）添加策略映射说明：description string

步骤 3

基于 SCTP 数据分块中的 PPID 丢弃、按速率限制或记录流量。

1. 基于 PPID 标识流量。

   match [not] ppid ppid_1 [ppid_2]

   其中 ppid_1 是 PPID 编号 (0-4294967295) 或名称（有关可用的名称，请参阅 CLI 帮助）。可以添加第二个（更高级别）PPID - ppid_2 ，用于指定 PPID 的范围。使用 match not ppid 来标识不匹配 PPID 或范围的流量。

   您可以在以下网址查找当前的 SCTP PPID 列表：http://www.iana.org/assignments/sctp-parameters/sctp-parameters.xhtml#sctp-parameters-25。

2. 指定要对匹配的数据包执行的操作。

   • drop - 丢弃并记录匹配的所有数据包。

   • log - 发送系统日志消息。

   • rate-limit rate - 限制消息的速率。速率单位为千位/秒 (Kbps)。

3. 重复该步骤，直到标识要选择性处理的所有 PPID。

步骤 1

（可选）通过执行以下步骤创建 Diameter 检测类映射。

1. 创建类映射：class-map type inspect diameter [match-all | match-any] class_map_name

   其中 class_map_name 是类映射的名称。match-all 关键字为默认值，指定流量必须匹配所有条件，才能匹配类映射。match-any 关键字指定只要流量至少与一个 match 语句匹配，即为与类映射匹配。CLI 将进入类映射配置模式，可以在该模式下输入一个或多个 match 命令。

2. （可选）向类映射添加说明：description string

   其中，string 是对类映射的说明（最多可包含 200 个字符）。

3. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] application-id app_id [app_id_2] - 匹配应用标识符，其中 app_id 为 Diameter 应用名称或编号 (0-4294967295)。如果要匹配某个连续编号的应用范围，可以再添加一个 ID。您可以按应用名称或编号来定义范围，该范围将适用于第一个 ID 和第二个 ID 之间的所有编号。

     这些应用会注册到 IANA。以下是支持的核心应用，但您可以对其他应用进行过滤。有关应用名称的列表，请参阅 CLI 帮助。

     • 3gpp-rx-ts29214 (16777236)

     • 3gpp-s6a (16777251)

     • 3gpp-s9 (16777267)

     • common-message (0)。这是基础 Diameter 协议。

   • match [not] command-code code [code_2] - 匹配命令代码，其中 code 为 Diameter 命令代码名称或编号 (0-4294967295)。如果要匹配某个连续编号的命令代码范围，可以再添加一个代码。您可以按命令代码名称或编号来定义范围，该范围将适用于第一个代码和第二个代码之间的所有编号。

     例如，以下命令匹配“功能交换请求/应答”命令编码：

     
     match command-code cer-cea 
     
     

   • 匹配属性-值对 (AVP)。

     要仅按属性匹配 AVP，请使用以下命令：

     match [not] avp code [code_2] [ vendor-id id_number]

     要基于属性的值匹配 AVP，请使用以下命令：

     match [not] avp code [ vendor-id id_number] value

     其中：

     • code - 属性-值对的名称或编号 (1-4294967295)。对于第一个代码，您可以指定自定义 AVP 的名称或已在 RFC 或 3GPP 技术规范中注册且受该软件直接支持的某个 AVP 的名称。如果要匹配 AVP 的范围，请仅按编号指定第二个代码。如果要按值匹配 AVP，则无法指定第二个代码。有关 AVP 名称的列表，请参阅 CLI 帮助。

     • vendor-id id_number -（可选。）也要一并匹配的供应商的 ID 编号，范围为 0-4294967295。例如，3GPP 供应商 ID 为 10415，IETF 为 0。

     • value - AVP 的值部分。只有 AVP 的数据类型受支持，才能配置此项目。例如，可以为具有地址数据类型的 AVP 指定 IP 地址。下面是受支持的数据类型的值部分的特定语法：

       • Diameter Identity、Diameter URI、Octet String - 使用正则表达式或正则表达式类对象匹配这些数据类型。

         { regex regex_name | class regex_class}

       • Address - 指定要匹配的 IPv4 或 IPv6 地址。例如，10.100.10.10 或 2001:DB8::0DB8:800:200C:417A。

       • Time - 指定开始和结束日期及时间。两者均为必填项目。时间采用 24 小时格式。

         date year month day time hh:mm:ss date year month day time hh:mm:ss

         例如：

         
         date 2015 feb 5 time 12:00:00 date 2015 mar 9 time 12:00:00
         
         

       • Numeric - 指定编号的范围：

         range number_1 number_2

         有效的编号范围取决于数据类型：

         • Integer32：-2147483647 到 2147483647

         • Integer64：-9223372036854775807 到 9223372036854775807

         • Unsigned32：0 到 4294967295

         • Unsigned64：0 到 18446744073709551615

         • Float32：小数点表示方式，精度为 8 位数

         • Float64：小数点表示方式，精度为 16 位数

4. 输入 exit 退出类映射配置模式。

步骤 2

创建 Diameter 检测策略映射：policy-map type inspect diameter policy_map_name

步骤 3

（可选）添加策略映射说明：description string

步骤 4

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一种方法指定要对其执行操作的流量：

   • 如果您已创建 Diameter 类映射，请输入以下命令对其进行指定：class class_map_name

   • 使用为 Diameter 类映射而介绍的 match 命令之一，直接在策略映射中指定流量。

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop - 丢弃匹配的所有数据包。

   • drop-connection - 丢弃数据包并关闭连接。

   • log - 发送系统日志消息。

   可以在策略映射中指定多个 class 或 match 命令。有关 class 和 match 命令顺序的信息，请参阅如何处理多个流量类。

   示例:

   
   hostname(config)# policy-map type inspect diameter diameter-map
   hostname(config-pmap)# class diameter-class-map
   hostname(config-pmap-c)# drop
   hostname(config-pmap-c)# match command-code cer-cea
   hostname(config-pmap-c)# log
   
   

步骤 5

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式。

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项。

   • unsupported {application-id |command-code |avp} action log 针对不受支持的 Diameter 元素启用日志记录。这些选项指定该软件不直接支持的应用 ID、命令代码和 AVP。默认设置为允许这些元素而不对它们进行日志记录。您可以输入该命令三次以对所有元素启用日志记录。

   • strict-diameter {state | session} - 启用符合 RFC 6733 要求的严格 Diameter 协议。默认情况下，检测可确保 Diameter 框架符合 RFC。您可以添加 state 机器验证或 session 相关的消息验证，或通过输入该命令两次来添加两种验证。

   示例:

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)# unsupported application-id action log
   hostname(config-pmap-p)# unsupported command-code action log
   hostname(config-pmap-p)# unsupported avp action log
   hostname(config-pmap-p)# strict-diameter state
   hostname(config-pmap-p)# strict-diameter session
   
   

创建自定义 Diameter AVP。

步骤 1

创建 M3UA 检测策略映射： policy-map type inspect m3ua policy_map_name

步骤 2

（可选）添加策略映射说明：description string

步骤 3

要对匹配的流量应用操作，请执行以下步骤。

1. 使用以下其中一个 match 命令指定要对其执行操作的流量。如果使用 match not 命令，将会对不匹配 match not 命令中的条件的所有流量应用操作。

   • match [not] message class class_id [id message_id] - 匹配 M3UA 消息类和类型。下表列出了可能的值。有关这些消息的详细信息，请参阅 M3UA RFC 和文档。

     M3UA 消息类	消息 ID 类型
     0（管理消息）	0-1
     1（传输消息）	1
     2（SS7 信令网络管理消息）	1-6
     3（ASP 状态维护消息）	1-6
     4（ASP 流量维护消息）	1-4
     9（路由密钥管理消息）	1-4

   • match [not] opc code - 匹配数据消息中的始发点代码，即流量源。点代码为 zone-region-sp 格式，其中每个元素可能的值取决于 SS7 变量：

     • ITU - 点代码为 14 位，格式为 3-8-3。值范围为 [0-7]-[0-255]-[0-7]。

     • ANSI - 点代码为 24 位，格式为 8-8-8。值范围为 [0-255]-[0-255]-[0-255]。

     • Japan - 点代码为 16 位，格式为 5-4-7。值范围为 [0-31]-[0-15]-[0-127]。

     • China - 点代码为 24 位，格式为 8-8-8。值范围为 [0-255]-[0-255]-[0-255]。

   • match [not] dpc code - 匹配数据消息中的目的点代码。点代码为 zone-region-sp 格式，如同所述的 match opc 相关内容。

   • match [not] service-indicator number - 匹配服务指示符编号：0-15。下面是可用的服务指示符。有关这些服务指示符的详细信息，请参阅 M3UA RFC 和文档。

     • 0 - 信令网络管理消息

     • 1 - 信令网络测试和维护消息

     • 2 - 信令网络测试和维护特殊消息

     • 3 - SCCP

     • 4 - 电话用户部分

     • 5 - ISDN 用户部分

     • 6 - 数据用户部分（呼叫和电路相关消息）

     • 7 - 数据用户部分（设备注册和取消消息）

     • 8 - 预留用于 MTP 测试用户部分

     • 9 - 宽带 ISDN 用户部分

     • 10 - 卫星 ISDN 用户设备

     • 11 - 预留

     • 12 - AAL 第 2 类信令

     • 13 - 承载独立呼叫控制

     • 14 - 网关控制协议

     • 15 - 预留

2. 通过输入下列命令之一，指定要对匹配的流量执行的操作：

   • drop [log] - 丢弃匹配的所有数据包。或者，发送系统日志消息。

   • rate-limit Message_rate - 限制消息的速率。此选项仅适用于 match message class 。

   可以在策略映射中指定多个 match 命令。有关 match 命令顺序的信息，请参阅如何处理多个流量类。

步骤 4

要配置影响检测引擎的参数，请执行以下步骤：

1. 进入参数配置模式：

   
   hostname(config-pmap)# parameters
   hostname(config-pmap-p)#
   
   

2. 设置一个或多个参数。可以设置以下选项；使用命令的 no 形式可禁用该选项：

   • message-tag-validation {dupu | error | notify} - 确保已检查和验证指定消息类型的某些字段的内容。验证失败的消息将被丢弃。验证因消息类型而异。

     • 目标用户部分不可用 (DUPU) - User/Cause 字段必须存在，并且其中必须仅包含有效的原因和用户代码。

     • 错误 - 所有必填字段必须都存在，并且仅包含允许的值。每个错误消息都必须包含该错误代码的必填字段。

     • 通知 - 状态类型和状态信息字段必须仅包含允许的值。

   • ss7 variant {ITU | ANSI | JAPAN | CHINA} - 标识网络中使用的 SS7 的变量。此选项决定点编码的有效格式。配置该选项并部署 M3UA 策略后，无法再对其更改，除非首先删除该策略。默认变量为 ITU。

   • strict-asp-state - 执行应用服务器进程 (ASP) 状态验证。系统将维护 M3UA 会话的 ASP 状态，并基于验证结果允许或丢弃 ASP 消息。如果未启用严格 ASP 状态验证，系统将转发所有 ASP 消息而不进行检测。如果要进行状态故障转移或在集群内操作，需要执行严格 ASP 状态检查。但是，严格 ASP 状态检查只能在覆盖模式下运行，如果在 Loadsharing 或广播模式下运行则不起作用（根据 RFC 4666）。该检测假设每个终端有一个且只有一个 ASP。

   • timeout endpoint time - 设置空闲超时，以便删除 M3UA 终端的统计信息；该值的格式为 hh:mm:ss。若不设置超时，请指定 0。默认值为 30 分钟 (00:30:00)。

   • timeout session time - 如果启用严格 ASP 状态验证，则设置空闲超时，以便删除 M3UA 会话，该值的格式为 hh:mm:ss。若不设置超时，请指定 0。默认值为 30 分钟 (00:30:00)。禁用此超时可防止系统删除过时的会话。

步骤 1

如有必要，可创建 L3/L4 类映射来标识要应用检测的流量。

class-map name
   match parameter

hostname(config)# class-map mobile_class_map
hostname(config-cmap)# match access-list mobile

步骤 2

添加或编辑策略映射，设置要对类映射流量采取的操作：policy-map name

hostname(config)# policy-map global_policy

步骤 3

标识正在用于检测的第 3/4 层类映射：class name

hostname(config-pmap)# class inspection_default

步骤 4

启用检测。

hostname(config-class)# inspect gtp
hostname(config-class)# inspect sctp
hostname(config-class)# inspect diameter
hostname(config-class)# inspect m3ua

hostname(config-class)# no inspect gtp
hostname(config-class)# inspect gtp gtp-map

步骤 5

如果是编辑现有服务策略（例如，称为 global_policy 的默认全局策略），执行到这一步即可。否则，应在一个或多个接口上激活策略映射。

hostname(config)# service-policy global_policy global

步骤 1

配置 RADIUS 计费检测策略映射。

步骤 2

配置 RADIUS 计费检测服务策略。