Tài liệu thiết kế hệ thống truyền tải công nghệ số 7 trong NGN, Chương 11 doc

Ch ng 11: Các yêu cầu về bảo mật trong SIGTRAN Nếu các bản tin báo hiệu đ-ợc truyền trong các mạng nội bộ, các tiêu chuẩn về bảo mật có thể đ-ợc áp dụng nh- là tuỳ theo yêu cầu của ng-ời điều hành. Tuy nhiên đối với các bản tin báo hiệu đ-ợc truyền trên mạng Internet công cộng thì các tiêu chuẩn về bảo mật lại là bắt buộc. Hiện nay có một số cơ chế bảo mật đ-ợc sử dụng trong mạng IP. Để truyền thông tin báo hiệu qua mạng Internet, SIGTRAN khuyến nghị sử dụng IPSec (IP Security RFC 2401). IPSec cung cấp các dịch vụ bảo mật sau: - Nhận thực: để đảm bảo thông tin đ-ợc truyền đi/nhận đ-ợc từ một đối tác tin t-ởng và xác định. - Tính nguyên vẹn: để đảm bảo thông tin báo hiệu không bị sửa đổi trong quá trình truyền. - Tính bảo mật: để đảm bảo thông tin đ-ợc truyền thì đ-ợc mã hoá để tránh sự sử dụng không hợp pháp hay vi phạm luật bản quyền. - Độ khả dụng: để đảm bảo các điểm đầu cuối thông tin vẫn duy trì đ-ợc dịch vụ cho ng-ời sử dụng hợp pháp. 3.2 Giao thức truyền dẫn điều khiển luồng SCTP 3.2.1 Khái niệm SCTP SCTP Giao thức truyền dẫn điều khiển luồng: là một giao thức truyền tải báo hiệu mới đ-ợc IETF định nghĩa trong RFC 2960. SCTP đ-ợc thiết kế để truyền tải các bản tin báo hiệu PSTN qua mạng IP, nh-ng nó có khả năng phục vụ nhiều ứng dụng hơn. SCTP là một giao thức truyền tải tin cậy hoạt động bên trên một mạng gói không kết nối, chẳng hạn nh- IP. Nó cung cấp các dịch vụ sau cho ng-ời sử dụng: - Truyền dẫn không lặp không có lỗi và có xác nhận dữ liệu ng-ời dùng. - Phân mảnh dữ liệu để phù hợp với kích th-ớc của các MTU. - Phân phát có thứ tự các bản tin ng-ời sử dụng trong nhiều luồng, với sự lựa chọn cho phân phát đến có thứ tự các bản tin ng-ời sử dụng riêng biệt. - Lựa chọn ghép nhiều bản tin ng-ời sử dụng vào một gói tin SCTP đơn. - Khả năng chấp nhận lỗi mức mạng thông qua việc hỗ trợ multi-homing tại cả hai phía của liên kết. 3.2.2 Động lực thúc đẩy để phát triển SCTP 3.2.2.1 Nh-ợc điểm của các giao thức UDP và TCP Gần đây, việc trao đổi thông tin báo hiệu trong mạng IP th-ờng đ-ợc thực hiện bởi việc sử dụng TCP hay UDP. Cả hai giao thức này đều không đáp ứng đ-ợc đầy đủ các yêu cầu đối với giao thức truyền tải báo hiệu trong mạng viễn thông. UDP là giao thức truyền tải trên cơ sở bản tin và hỗ trợ các dịch vụ không kết nối. Điều này khiến nó phù hợp để truyền các bản tin báo hiệu nhạy trễ. Tuy nhiên, UDP chỉ cung cấp một dịch vụ truyền gói tin datagram không tin cậy. Các ph-ơng thức điều khiển lỗi, ví dụ nh- truyền thứ tự bản tin, phát hiện lặp bản tin và truyền lại bản tin bị mất, thì phải đ-ợc thực hiện bởi ứng dụng. Ng-ợc lại, giao thức TCP cho phép điều khiển lỗi và điều khiển luồng nh-ng lại có những nh-ợc điểm sau: - TCP là giao thức truyền tải theo kiểu luồng byte. Điều này có nghĩa là việc phân định giới hạn bản tin phải đ-ợc thực hiện bởi ứng dụng và điểm kết thúc của bản tin cần phải đ-ợc báo cho TCP bằng cách sử dụng cơ chế đẩy để truyền bắt buộc các octet phụ thuộc. - Rất nhiều ứng dụng chỉ yêu cầu truyền có thứ tự một phần các bản tin báo hiệu, ví dụ nh- các bản tin thuộc về cùng một cuộc gọi hay cùng một phiên. Tuy nhiên TCP phân phát dữ liệu theo một thứ tự chặt chẽ. Điều này có thể dẫn đến hiện t-ợng nghẽn đầu dòng một cách không cần thiết và do đó làm tăng độ trễ của bản tin. - Một kết nối TCP đ-ợc xác định trực tiếp bằng một đôi địa chỉ truyền dẫn (địa chỉ IP và địa chỉ cổng). Điều này ngăn cản việc thực hiện hỗ trợ multi-homed host. - Một sự triển khai TCP tiêu biểu không cho phép điều khiển xác định ứng dụng các thông số giao thức. Tuy nhiên, một số ứng dụng báo hiệu xác định lại yêu cầu phải có điều này để t-ơng thích với giao thức. 3.2.2.2 Sự phát triển của SCTP Chính những hạn chế nh- đã mô tả ở trên của UDP và TCP là động thực thúc đẩy trực tiếp cho sự phát triển của SCTP. SCTP đã đ-ợc IETF thông qua nh- là một chuẩn khuyến nghị và đ-ợc miêu tả trong RFC 2960. SCTP tồn tại ở lớp ngang bằng với TCP và UDP, cung cấp các chức năng lớp truyền tải cho rất nhiều ứng dụng IP. Dịch vụ cơ bản cung cấp bởi SCTP là truyền dẫn tin cậy bản tin ng-ời dùng giữa những ng-ời sử dụng SCTP. SCTP là một giao thức h-ớng kết nối. Nó thiết lập một kết nối giữa hai điểm đầu cuối SCTP. Kết nối này đ-ợc gọi là liên kết SCTP (SCTP association). Tuy nhiên, khái niệm liên kết SCTP rộng hơn khái niệm kết nối TCP. Mỗi một điểm đầu cuối SCTP cung cấp một địa chỉ cổng SCTP và một danh sách điạ chỉ IP cho đầu cuối kia của liên kết. Do đó, mỗi liên kết đ-ợc xác định bằng hai địa chỉ cổng SCTP và hai danh sách địa chỉ IP. Trong một liên kết, điều khiển tắc nghẽn đ-ợc thực hiện theo cách t-ơng tự nh- cơ chế điều khiển tắc nghẽn của TCP. Việc truyền tải dữ liệu ng-ời sử dụng không lặp và không lỗi có xác nhận đ-ợc hỗ trợ bằng các thông báo đều đặn và việc truyền dẫn lại có lựa chọn. Điểm chung với TCP Là giao thức h-ớng kết nối (liên kết SCTP). Sử dụng dịch vụ mạng gói không tin cậy (IP). Cho phép truyền dẫn không lặp không lỗi có xác nhận dữ liệu ng-ời sử dụng t-ơng tự nh- có chế điều khiển luông và điều khiển lỗi trong TCP. Không bảo đảm trễ: - Dữ liệu có thể đ-ợc xếp hàng đợi trong bộ đệm truyền dẫn (đặc biệt là trong tr-ờng hợp nghẽn mạng) - Các gói tin IP bị mất đ-ợc truyền lại. Hỗ trợ datagram SCTP là giao thức truyền datagram Thực hiện phân mảnh và tạo gói đối với các datagram lớn. Có thể kết hợp nhiều gói tin datagram nhỏ vào trong một gói IP (bunding) 3.2.3 Mô hình chức năng của SCTP Các dịch vụ truyền tải SCTP có thể đ-ợc chia thành một số các chức năng nh- đ-ợc mô tả trong hình sau: Association Startup and teardown Sequenced dilivery within streams User data fragmentation Acknowledgement and Congestion Avoidance Chunk Bundling Packet Validation Path Management SCTP User Adaptaion Hình 3.6 Các chức năng của SCTP 3.2.3.1 Thiết lập và huỷ bỏ một liên kết Một liên kết đ-ợc khởi tạo bằng một yêu cầu từ ng-ời sử dụng SCTP. Cơ chế Cookie đ-ợc sử dụng trong quá trình khởi tạo để bảo vệ liên kết khỏi các nguy cơ về bảo mật. Cơ chế Cookie sử dụng một thủ tục bắt tay bốn b-ớc, hai b-ớc cuối cho phép mang dữ liệu ng-ời sử dụng để thiết lập nhanh. SCTP cho phép đóng (shutdown) một liên kết đang kích hoạt một cách an toàn theo yêu cầu của ng-ời sử dụng. SCTP cũng cho phép huỷ bỏ (abort) một liên kết theo yêu cầu của ng-ời sử dụng hay là kết quả của điều kiện lỗi xác định đ-ợc trong lớp SCTP. SCTP không hỗ trợ trạng thái half-open nh- TCP. ở trạng thái này một phía của kết nối có thể tiếp tục gửi dữ liệu trong khi phía kia đã đ-ợc đóng. ở liên kết SCTP, khi một đầu cuối thực hiện shutdown, liên kết của đầu cuối đó sẽ không tiếp nhận dữ liệu mới từ ng-ời sử dụng của nó nữa và chỉ phân phát dữ liệu trong hàng đợi tại thời điểm đóng kết nối. 3.2.3.2 Phân phát tuần tự trong luồng Khái niệm "luồng" (stream) đ-ợc sử dụng trong SCTP cho một chuỗi các bản tin ng-ời sử dụng mà có thể đ-ợc phân phát tới giao thức lớp cao hơn theo thứ tự phù hợp với các bản tin khác trong luồng. Điều này trái ng-ợc với sử dụng khái niệm này trong TCP, khi mà nó đ-ợc dùng để chỉ một chuỗi các byte. Ng-ời sử dụng SCTP có thể xác định tại thời gian thiết lập liên kết số các luồng có thể đ-ợc hỗ trợ bởi liên kết. Số l-ợng này đ-ợc thoả thuận với đầu cuối xa. Bản tin ng-ời sử dụng đ-ợc kết hợp với số luồng. SCTP tự nó gán một số thứ tự luồng cho mỗi bản tin đ-ợc truyền tới nó từ ng-ời sử dụng SCTP. ở phía nhận, SCTP đảm bảo rằng các bản tin đ-ợc phân phát tới ng-ời sử dụng SCTP theo thứ tự trong luồng định tr-ớc. Tuy nhiên, trong khi một luồng có thể bị nghẽn và chờ bản tin ng-ời sử dụng theo thứ tự tiếp theo thì việc phân phát bản tin ở các luồng khác vẫn đ-ợc tiếp tục. SCTP cung cấp một cơ chế cho chuyển tiếp dịch vụ phân phát tuần tự. Bản tin ng-ời sử dụng đ-ợc gửi bằng cơ chế này đ-ợc phân phát tới ng-ời sử dụng SCTP ngay sau khi chúng đ-ợc nhận. 3.2.3.3 Phân mảnh dữ liệu ng-ời sử dụng Khi cần thiết, SCTP phân mảnh các bản tin ng-ời sử dụng để đảm bảo rằng các gói tin SCTP đ-ợc truyền đến lớp thấp hơn phù hợp với đ-ờng MTU. ở phía thu, các mảnh đ-ợc kết hợp lại thành bản tin hoàn chỉnh tr-ớc khi đ-ợc chuyển đến ng-ời sử dụng SCTP. 3.2.3.4 Công nhận và tránh tắc nghẽn SCTP gán một Số thứ tự truyền dẫn (TSN) cho mỗi mảnh dữ liệu ng-ời sử dụng hay bản tin không bị phân mảnh. TSN độc lập với số thứ tự luồng đ-ợc gán cho luồng. Phía thu công nhận tất cả các TSN đ-ợc nhận, ngay cả khi có các khoảng trống trong luồng. Theo cách này, việc phân phát tin cậy đ-ợc giữ về mặt chức năng tách biệt khỏi việc phân phát luồng có tuần tự. Chức năng công nhận và tránh tắc nghẽn chịu trách nhiệm truyền lại gói tin khi không nhận đ-ợc sự công nhận đúng lúc. Việc truyền lại gói tin đ-ợc điều chỉnh bằng các thủ tục tránh tắc nghẽn t-ơng tự nh- trong TCP. 3.2.3.5 Chunk bunding Gói tin SCTP khi đ-ợc phát tới lớp thấp hơn bao gồm một tiêu đề chung theo sau bởi một hay nhiều chunk. Mỗi chunk có thể chứa dữ liệu ng-ời sử dụng hay thông tin điều khiển SCTP. Ng-ời sử dụng SCTP có thể lựa chọn để yêu cầu kết hợp một hay nhiều gói tin vào một gói tin SCTP. Chức năng này đ-ợc gọi là bundling và chịu trách nhiệm tập hợp thành gói tin SCTP hoàn chỉnh và phân tách tại phía thu. Trong thời gian tắc nghẽn, SCTP có thể vẫn thực hiện chức năng bundling ngay cả khi ng-ời sử dụng yêu cầu SCTP không thực hiện việc đó. Sự từ chối bundling của ng-ời sử dụng chỉ ảnh h-ởng tới sự thực thi SCTP ở khía cạnh là nó có thể gây ra một thời gian trễ nhỏ tr-ớc khi truyền dẫn (để thực hiện bunding). 3.2.3.6 Xác nhận tính hợp lệ gói Trong tiêu đề chung của SCTP có một tr-ờng bắt buộc gọi là tr-ờng Thẻ kiểm tra và một tr-ờng kiểm tra tổng 32 bit. Giá trị Thẻ kiểm tra đ-ợc chọn bởi mỗi đầu cuối của liên kết khi thiết lập. Các gói đ-ợc nhận mà không có giá trị Thẻ kiểm tra mong muốn thì bị huỷ bỏ. Đó đ-ợc coi nh- là một sự bảo vệ chống lại các nguy cơ tấn công và lạc gói từ liên kết SCTP tr-ớc. Tr-ờng kiểm tra tổng 32 bit đ-ợc tạo bởi nơi gửi mỗi gói tin SCTP để cung cấp thêm khả năng bảo vệ chống lại sự sai lệch dữ liệu trong mạng. Nơi nhận SCTP sẽ huỷ bỏ gói tin có tr-ờng kiểm tra tổng không hợp lệ. 3.2.3.7 Quản lý tuyến Chức năng quản lý tuyến lựa chọn địa chỉ truyền dẫn đích cho mỗi gói tin SCTP đầu ra dựa trên các chỉ dẫn của ng-ời sử dụng SCTP và trạng thái khả dụng hiện tại của tập các địa chỉ hợp lệ. Chức năng quản lý tuyến quản lý trạng thái khả dụng thông qua các nhịp khi l-u l-ợng gói tin khác không đủ để cung cấp thông tin này và thông báo cho ng-ời sử dụng SCTP khi sự khả dụng của địa chỉ truyền dẫn đầu xa thay đổi. Chức năng quản lý tuyến cũng chịu trách nhiệm thông báo tập các địa chỉ truyền tải nội bộ hợp lệ cho đầu xa trong quá trình thiết lập liên kết, đồng thời thông báo các địa chỉ truyền tải từ đầu xa ng-ợc trở lại ng-ời sử dụng SCTP. Khi thiết lập một liên kết, tuyến cơ bản đ-ợc xác định cho mỗi đầu cuối SCTP và nó đ-ợc sử dụng cho việc truyền bình th-ờng các gói tin SCTP. ở phía thu, chức năng quản lý tuyến chịu trách nhiệm xác nhận sự tồn tại của một liên kết SCTP hợp lệ mà gói tin SCTP thuộc về tr-ớc khi chuyển tiếp nó cho các b-ớc xử lý tiếp theo. Chức năng quản lý tuyến và kiểm tra tính hợp lệ của gói tin đ-ợc thực hiện tại cùng một thời điểm. . thiết lập liên kết số các luồng có thể đ-ợc hỗ trợ bởi liên kết. Số l-ợng này đ-ợc thoả thuận với đầu cuối xa. Bản tin ng-ời sử dụng đ-ợc kết hợp với số. đối với giao thức truyền tải báo hiệu trong mạng viễn thông. UDP là giao thức truyền tải trên cơ sở bản tin và hỗ trợ các dịch vụ không kết nối. Điều này