Hướng dẫn cấu hình Policy-Based GTP trên JunOS.

Hướng dẫn cấu hình Policy-Based GTP trên JunOS.

GPRS Tunneling Protocol (GTP) sử dụng các chính sách để xác định liệu lưu lượng sẽ được cho phép, từ chối hoặc tunnel. Thiết bị sẽ thực hiện việc lọc GTP theo chính sách bằng cách kiểm tra từng gói GTP dựa vào các chính sách quy định lưu lượng GTP, sau đó quyết định chuyển tiếp, drop, hoặc tunnel gói đó.

Hiểu về Policy-Based GTP

Theo mặc định, Public Land Mobile Network (PLMN) mà thiết bị Juniper Networks bảo vệ sẽ nằm trong Trust zone. Thiết bị sẽ bảo vệ PLMN trong Trust zone chống lại các PLMN khác trong các zone khác. Bạn có thể đặt tất cả PLMN bạn cần bảo vệ vào Untrust zone, hoặc tạo các user-defined zones cho từng PLMN. Một PLMN có thể nằm trong một hoặc nhiều security zones.

Bạn cần tạo chính sách (policy) để cho phép lưu lượng truyền giữa các zone và PLMN. Các chính sách này chứa các rule để permit (cho phép), deny (từ chối) hoặc tunnel lưu lượng GTP. Thiết bị sẽ lọc GTP theo policy bằng cách kiểm tra từng gói GTP với các rule, sau đó thực hiện forward, drop, hoặc tunnel tùy theo chính sách.

Khi bạn chọn dịch vụ GTP trong một policy, bạn đang kích hoạt khả năng permit, deny hoặc tunnel lưu lượng GTP. Tuy nhiên, điều này không đồng nghĩa với việc thiết bị sẽ kiểm tra (inspect) chi tiết nội dung GTP. Để kiểm tra lưu lượng GTP, bạn phải cấu hình đối tượng GTP inspection (còn gọi là GTP inspection object) và gán đối tượng đó vào policy.

Bạn chỉ có thể áp dụng một GTP inspection object cho mỗi policy, nhưng một GTP inspection object có thể dùng chung cho nhiều policies. Bằng cách này, bạn có thể permit hoặc deny việc thiết lập các GTP tunnels từ một số peer nhất định như Serving GPRS Support Node (SGSN).

Từ phiên bản Junos OS 19.4R1, để hỗ trợ IoT và các trường hợp roaming, khả năng scale GTP tunnels trên mỗi SPU đã được tăng cho các thiết bị SRX5000 (SRX5400, SRX5600, SRX5800) và SRX4600.

Bảng 1: Quy mô Tunnel GTP theo nền tảng phần cứng (SRX5000 & SRX4600)

Kể từ Junos OS 20.1R1, để hỗ trợ các trường hợp sử dụng Internet of Things (IoT) và tường lửa cho roaming, khả năng mở rộng tunnel GTP được tăng cường trên các dòng thiết bị sau:

Bảng 2: Quy mô Tunnel GTP theo nền tảng (SRX1500, SRX4100, SRX4200)

Bảng 3: Quy mô Tunnel GTP cho vSRX (tường lửa ảo)

Bạn có thể cấu hình các chính sách (policy) chỉ định “Any” làm vùng nguồn (source zone) hoặc vùng đích (destination zone) — từ đó bao gồm tất cả các host trong vùng đó. Ngoài ra, bạn cũng có thể cấu hình chính sách với nhiều địa chỉ nguồn và đích.

Trong chính sách, bạn có thể bật ghi nhật ký lưu lượng (traffic logging).

Ví dụ: Kích hoạt kiểm tra GTP trong các chính sách

Ví dụ này minh họa cách bật chức năng kiểm tra GTP (GTP Inspection) trong các chính sách bảo mật (security policies).

Yêu cầu

Trước khi bắt đầu, thiết bị cần được khởi động lại sau khi GTP được bật. Mặc định, GTP bị vô hiệu hóa trên thiết bị.

Tổng quan

Trong ví dụ này, bạn sẽ cấu hình các cổng giao diện là ge-0/0/1 và ge-0/0/2, với địa chỉ IP tương ứng là 2.0.0.254/8 và 3.0.0.254/8. Tiếp theo, bạn cấu hình vùng bảo mật (security zone) và chỉ định địa chỉ nguồn và đích là 2.0.0.5/32 và 3.0.0.6/32. Sau đó, bạn bật dịch vụ GTP trong security policy để cho phép lưu lượng hai chiều (bidirectional) giữa hai mạng thuộc cùng một PLMN (Public Land Mobile Network).

Cấu hình

CLI Quick Configuration

Để cấu hình nhanh phần này của ví dụ, bạn có thể: sao chép các lệnh sau vào một tệp văn bản, loại bỏ dòng xuống hàng nếu có, chỉnh sửa các thông tin cần thiết sao cho phù hợp với cấu trúc mạng của bạn, sao chép và dán các lệnh này vào CLI ở cấp độ [edit], sau đó thực hiện lệnh commit trong chế độ cấu hình

Quy trình từng bước

Để cấu hình GTP inspection trong các chính sách (policies), thực hiện các bước sau:

• Tạo đối tượng kiểm tra GTP (GTP inspection object).

• Cấu hình giao diện

• Cấu hình security zones.

• Chỉ định địa chỉ.

• Bật dịch vụ GTP trong các chính sách bảo mật (security policies).

Kết quả

Từ chế độ cấu hình (configuration mode), xác nhận cấu hình của bạn bằng cách nhập lệnh: show security. Nếu kết quả hiển thị không đúng với cấu hình mong muốn, hãy lặp lại các bước cấu hình trong ví dụ này để sửa lại cấu hình cho đúng. Để ngắn gọn, phần kết quả từ lệnh show dưới đây chỉ bao gồm những cấu hình liên quan trực tiếp đến ví dụ này. Tất cả các cấu hình khác trên hệ thống sẽ được thay thế bằng dấu ba chấm (...).

Nếu bạn đã hoàn tất việc cấu hình thiết bị, hãy nhập lệnh commit từ chế độ cấu hình (configuration mode) để áp dụng cấu hình.

Xác minh

Xác nhận rằng cấu hình đang hoạt động đúng cách.

Xác minh kiểm tra GTP trong chính sách (Verifying GTP Inspection in Policies)

Mục đích (Purpose)

Xác minh rằng chức năng kiểm tra GTP (GTP inspection) đã được bật.

Thao tác (Action)

Từ chế độ vận hành (operational mode), nhập lệnh: show security

Tìm hiểu về GTP Inspection Object

Để thiết bị có thể thực hiện kiểm tra lưu lượng GPRS tunneling protocol (GTP), bạn phải tạo một GTP inspection object và sau đó áp dụng nó vào một chính sách (policy). Bạn có thể sử dụng lệnh sau để tạo một GTP inspection object tên là la-ny: set security gprs gtp profile la-ny. GTP inspection object cung cấp tính linh hoạt cao hơn vì nó cho phép bạn cấu hình nhiều chính sách với các thông số GTP khác nhau. Bạn có thể cấu hình thiết bị để kiểm soát lưu lượng GTP theo từng vùng nguồn/đích, địa chỉ IP, hành động, v.v...

Để cấu hình các tính năng GTP, bạn phải vào chế độ cấu hình GTP. Để lưu cấu hình trong CLI, bạn cần thoát khỏi chế độ cấu hình GTP trước, sau đó thực hiện lệnh commit.

Ví dụ: Tạo một đối tượng kiểm tra GTP

Ví dụ này minh họa cách tạo một đối tượng kiểm tra GTP.

Yêu cầu

Không cần cấu hình đặc biệt nào ngoài việc khởi tạo thiết bị trước khi cấu hình tính năng này.

Tổng quan

Trong ví dụ này, bạn sẽ tạo một đối tượng kiểm tra GTP có tên là LA-NY. Bạn sẽ giữ hầu hết các giá trị mặc định và bật tính năng xác thực số thứ tự (sequence number validation).

Cấu hình

Các bước thực hiện theo từng bước

Để cấu hình một đối tượng kiểm tra GTP:

• Tạo một đối tượng kiểm tra GTP.

Nếu bạn đã hoàn tất việc cấu hình thiết bị, hãy thực hiện lệnh commit để áp dụng cấu hình.

Xác minh cấu hình

Xác nhận rằng cấu hình đang hoạt động đúng cách.

Xác minh đối tượng kiểm tra GTP

Mục đích

Xác minh rằng đối tượng kiểm tra GTP đã được bật.

Thao tác

Từ chế độ vận hành, nhập lệnh: show security gprs

Tìm hiểu về GTPv2

GPRS Tunneling Protocol (GTP) thiết lập một đường hầm GTP giữa Serving GPRS Support Node (SGSN) và Gateway GPRS Support Node (GGSN) cho từng thiết bị di động (Mobile Station – MS). GTP phiên bản 2 (GTPv2) được hỗ trợ bắt đầu từ hệ điều hành Junos OS phiên bản 11.4.

GTPv2 là một phần của công nghệ Long Term Evolution (LTE) – công nghệ mạng không dây băng rộng thế hệ thứ tư (4G) được phát triển bởi tổ chức 3GPP (Third-Generation Partnership Project), là cơ quan tiêu chuẩn hóa phát triển các chuẩn GPRS. LTE được thiết kế nhằm tăng dung lượng và tốc độ cho các mạng điện thoại di động. GTPv2 là một giao thức dành riêng cho các mạng LTE. Một mạng LTE bao gồm các phần tử mạng, các giao diện LTE, và các giao thức đi kèm.

Các phiên bản GTP trước đây (GTPv0 và GTPv1) được triển khai sử dụng các SGSN và GGSN. Tuy nhiên, với GTPv2, các thành phần truyền thống này được thay thế bằng ba nút logic: Serving Gateway (SGW), Packet Data Network Gateway (PGW), Mobility Management Entity (MME)

Hình 1 minh họa các giao diện LTE nơi các thiết bị tường lửa dòng SRX Series được triển khai trong mạng di động công cộng (PLMN – Public Land Mobile Network).

Hình 1: Các giao diện LTE

• S5 — Giao diện này kết nối giữa SGW (Serving Gateway) và PGW (Packet Data Network Gateway). Nó cung cấp khả năng truyền tải mặt phẳng người dùng (user plane tunneling) và quản lý đường hầm (tunnel management) giữa SGW và PGW. Giao diện này cũng được sử dụng khi SGW di chuyển do thiết bị người dùng thay đổi vị trí (mobility) hoặc khi SGW kết nối tới một PGW không nằm cùng vị trí (non-collocated PGW). Giao diện S5 tương đương với giao diện Gn trong mạng di động thế hệ thứ ba (3G).
• S8 — Giao diện này kết nối giữa SGW thuộc mạng PLMN đang truy cập (VPLMN) và PGW thuộc mạng PLMN tại nhà (HPLMN). S8 là phiên bản liên mạng (inter-PLMN) của S5. Giao diện S8 tương đương với giao diện Gp trong mạng di động 3G.
• S4 — Giao diện này kết nối giữa S4 SGSN và SGW. Nó cung cấp các chức năng điều khiển liên quan và hỗ trợ di động giữa mạng lõi GPRS và chức năng neo 3GPP (3GPP Anchor Function). Ngoài ra, nó cũng cung cấp đường hầm mặt phẳng người dùng nếu tunnel trực tiếp không được thiết lập. Giao diện S4 không có giao diện tương đương trong mạng di động 3G, vì nó đảm nhiệm vai trò tương thích giữa mạng 3G và mạng 4G (LTE).

Tìm hiểu về GTPv2 dựa trên chính sách (Policy-Based GTPv2)

Giao thức đường hầm GPRS phiên bản 2 (GTPv2) triển khai một cơ chế chính sách nhằm kiểm tra từng gói tin GTPv2 dựa trên các chính sách bảo mật quy định lưu lượng GTPv2. Dựa vào chính sách bảo mật, gói tin sẽ được cho phép (forward), chặn (drop), hoặc đưa vào đường hầm (tunnel).

Một chính sách bảo mật GTPv2 cho phép bạn quyết định việc cho phép, từ chối, hoặc tunnel lưu lượng GTPv2. Tuy nhiên, chính sách bảo mật này không tự động bật tính năng kiểm tra lưu lượng GTPv2 trên thiết bị. Để bật kiểm tra lưu lượng, bạn phải gán một đối tượng kiểm tra GTPv2 (GTPv2 inspection object) vào một chính sách bảo mật. Một đối tượng kiểm tra GTPv2 là tập hợp các tham số cấu hình để xử lý lưu lượng GTPv2.

Bạn chỉ có thể gán một đối tượng kiểm tra GTPv2 cho mỗi chính sách bảo mật, tuy nhiên một đối tượng kiểm tra có thể được áp dụng cho nhiều chính sách bảo mật khác nhau.

Theo mặc định, đối tượng kiểm tra GTPv2 không được gán vào bất kỳ chính sách bảo mật nào. Bạn cần chỉ định rõ ràng đối tượng kiểm tra này khi cấu hình chính sách.

Thông qua chính sách bảo mật GTPv2, bạn có thể cho phép hoặc từ chối việc thiết lập tunnel GTPv2 từ các đối tác nhất định, chẳng hạn như Serving Gateway (SGW).
Bạn cũng có thể cấu hình các chính sách bảo mật GTPv2 với nhiều địa chỉ nguồn và đích, nhóm địa chỉ, hoặc toàn bộ vùng bảo mật (zone).

Ví dụ: Bật kiểm tra GTPv2 trong chính sách bảo mật

Ví dụ này minh họa cách bật tính năng kiểm tra GTPv2 (GTPv2 inspection) trong các chính sách bảo mật.

Yêu cầu

Trước khi bắt đầu, thiết bị phải được khởi động lại sau khi bật GTPv2. Theo mặc định, GTPv2 bị vô hiệu hóa trên thiết bị.

Tổng quan

Trong ví dụ này, bạn sẽ cấu hình các giao diện là ge-0/0/1 và ge-0/0/2, gán cho chúng địa chỉ lần lượt là 4.0.0.254/8 và 5.0.0.254/8. Sau đó, bạn cấu hình các vùng bảo mật (security zones) và chỉ định địa chỉ toàn cục (global addresses) tương ứng là 4.0.0.5/32 và 5.0.0.6/32. Bạn sẽ bật kiểm tra GTPv2 trong các chính sách bảo mật để cho phép lưu lượng hai chiều giữa hai mạng nằm trong cùng một mạng di động công cộng (PLMN – Public Land Mobile Network).

Cấu hình

Cấu hình nhanh qua CLI

Để cấu hình nhanh ví dụ này, hãy sao chép các lệnh sau, dán vào một tệp văn bản, loại bỏ các ngắt dòng, thay đổi các thông tin cần thiết sao cho phù hợp với cấu trúc mạng của bạn, sau đó sao chép và dán toàn bộ vào CLI ở cấp cấu hình [edit], rồi nhập lệnh commit để áp dụng cấu hình.

Quy trình từng bước

Để cấu hình kiểm tra GTPv2 trong các chính sách:

• Tạo đối tượng kiểm tra GTPv2.

•  Cấu hình interfaces.

•  Cấu hình security zones.

• Chỉ định địa chỉ.

• Bật kiểm tra GTPv2 trong các chính sách bảo mật.

Kết quả

Từ chế độ cấu hình, xác nhận cấu hình của bạn bằng cách nhập lệnh show security policies. Nếu kết quả không hiển thị cấu hình như mong muốn, hãy thực hiện lại các bước cấu hình trong ví dụ này để chỉnh sửa.

Nếu bạn đã hoàn tất việc cấu hình thiết bị, hãy nhập lệnh commit từ chế độ cấu hình.

Xác minh

Xác nhận rằng cấu hình đang hoạt động đúng.

Xác minh kiểm tra GTPv2 trong chính sách bảo mật

Mục đích

Xác minh rằng tính năng kiểm tra GTPv2 đã được bật.

Thao tác

Từ chế độ vận hành (operational mode), nhập lệnh: show security policies

Tìm hiểu về Khởi động lại đường dẫn GTP (GTP Path Restart)

Việc khởi động lại đường dẫn GPRS Tunneling Protocol (GTP) sẽ chấm dứt tất cả các đường hầm GTP giữa hai thiết bị. Mỗi cổng GTP (GTP gateway) được liên kết với một số khởi động lại (restart number). Bạn có thể lấy số khởi động lại này từ phần tử thông tin phục hồi (Recovery information element – IE) trong một thông điệp GTP.

Bạn có thể phát hiện việc khởi động lại bằng cách so sánh số khởi động lại được lưu trữ cục bộ với số khởi động lại mới nhận được. Số khởi động lại cục bộ là một giá trị khác 0 và không trùng với số mới.

Bạn có thể sử dụng câu lệnh cấu hình sau để khởi động lại đường dẫn GTP: set security gprs gtp profile <tên-profile> restart-path (echo | create | all)

Sau khi cấu hình lệnh này, thiết bị sẽ phát hiện số khởi động lại thay đổi dựa trên phần tử Recovery IE trong các thông điệp.
Bạn có thể chọn: echo: lấy số khởi động lại mới từ các thông điệp echo, create: lấy số khởi động lại từ các thông điệp create-session, all: lấy số khởi động lại từ tất cả các loại thông điệp GTP.

Ví dụ: Khởi động lại đường dẫn GTPv2

Ví dụ này hướng dẫn cách khởi động lại một đường dẫn GTPv2.

Yêu cầu

Không cần cấu hình đặc biệt nào ngoài việc khởi tạo thiết bị trước khi cấu hình tính năng này.

Tổng quan

Để đơn giản, ví dụ này sử dụng GTPv2.

Trong ví dụ này, bạn sẽ khởi động lại đường dẫn GTPv2 cho đối tượng kiểm tra GTPv2 có tên là gtp2. Bạn sẽ lấy số khởi động lại mới từ phần tử thông tin phục hồi (Recovery information element - IE) trong một thông điệp echo.

Cấu hình

Quy trình từng bước

Để khởi động lại đường dẫn GTPv2:

• Xác định profile GTPv2.

• Khởi động lại path

Nếu bạn đã hoàn tất cấu hình thiết bị, hãy thực hiện lệnh commit để áp dụng cấu hình.

Xác minh

Để xác nhận cấu hình đang hoạt động đúng, hãy nhập lệnh: show security gprs

Mục đích

Xác minh cấu hình.

Thao tác

Nhập lệnh kiểm tra.

Tìm hiểu về việc dọn dẹp đường hầm GTPv2 (GTPv2 Tunnel Cleanup)

Đường hầm GPRS Tunneling Protocol phiên bản 2 (GTPv2) cho phép truyền tải lưu lượng GTPv2 giữa các nút hỗ trợ GPRS (GSNs).

Trong quá trình truyền tải, các đường hầm GTPv2 có thể bị treo (hang) vì nhiều lý do. Ví dụ, các thông điệp delete-pdp-request có thể bị mất trên mạng, hoặc một GSN có thể không tắt đúng cách. Trong trường hợp đó, bạn có thể loại bỏ các đường hầm GTPv2 bị treo theo hai cách: tự động hoặc thủ công.

Loại bỏ đường hầm GTPv2 bị treo tự động. Bạn cần thiết lập giá trị thời gian chờ (timeout) cho đường hầm GTPv2 trên thiết bị. Thiết bị sẽ tự động nhận diện và xóa bỏ các đường hầm không hoạt động (idle) trong khoảng thời gian được chỉ định bởi giá trị timeout này. Giá trị timeout mặc định cho đường hầm GTPv2 là 36 giờ.

Bạn có thể sử dụng câu lệnh cấu hình sau để thiết lập giá trị này trên thiết bị: set security gprs gtp profile <tên-profile> timeout <giá-trị>. Giá trị timeout có thể đặt trong khoảng từ 1 đến 1000 giờ.

Loại bỏ đường hầm GTPv2 bị treo thủ công. Bạn cần sử dụng lệnh trong chế độ vận hành (operational mode): clear security gprs gtp tunnel

Ví dụ: Cài đặt giá trị thời gian chờ (timeout) cho các đường hầm GTPv2

Ví dụ này hướng dẫn cách thiết lập giá trị timeout cho các đường hầm GTPv2.

Yêu cầu

Không cần cấu hình đặc biệt nào ngoài việc khởi tạo thiết bị trước khi cấu hình tính năng này.

Tổng quan

Trong ví dụ này, bạn sẽ đặt giá trị thời gian chờ cho đường hầm là 40 giờ đối với đối tượng kiểm tra GTPv2 có tên gtp2.

Cấu hình

Để cấu hình giá trị timeout cho đường hầm GTPv2:

• Xác định profile GTPv2.

• Chỉ định giá trị thời gian chờ.

• Nếu bạn đã hoàn tất cấu hình thiết bị, hãy nhập lệnh commit để áp dụng cấu hình.

Xác minh

Xác nhận rằng cấu hình đang hoạt động đúng.

Xác minh giá trị thời gian chờ (timeout) đường hầm GTPv2

Mục đích

Xác minh giá trị thời gian chờ của đường hầm GTPv2.

Thao tác

Từ chế độ vận hành (operational mode), nhập lệnh: show security gprs

Tìm hiểu về ghi nhật ký lưu lượng GTPv2 (GTPv2 Traffic Logging)

Bạn có thể sử dụng console hoặc syslog để xem các bản ghi lưu lượng giao thức GPRS tunneling protocol phiên bản 2 (GTPv2). Bạn có thể cấu hình thiết bị để ghi lại các gói GTPv2 dựa trên trạng thái của chúng. Trạng thái của gói GTPv2 có thể là một trong các trạng thái sau:

• Forwarded (Chuyển tiếp) — Gói GTPv2 được chuyển tiếp vì hợp lệ.
• State-invalid (Trạng thái không hợp lệ) — Gói GTPv2 bị loại vì không qua được kiểm tra trạng thái (stateful inspection) hoặc kiểm tra tính hợp lý (sanity check). Trong trường hợp kiểm tra sanity thất bại, gói được đánh dấu là sanity.
• Prohibited (Cấm) — Gói GTPv2 bị loại vì không đạt kiểm tra độ dài thông điệp, loại thông điệp, hoặc tiền tố IMSI (International Mobile Subscriber Identity).
• Rate-limited (Giới hạn tốc độ) — Gói GTPv2 bị loại vì vượt quá giới hạn tốc độ tối đa của nút hỗ trợ GPRS (GSN) đích.

Mặc định, tính năng ghi nhật ký GTPv2 trên thiết bị bị tắt. Bạn có thể sử dụng câu lệnh cấu hình sau để bật ghi nhật ký GTPv2 trên thiết bị: set security gprs gtp profile <tên-profile> log.

Ví dụ: Bật ghi nhật ký lưu lượng GTPv2

Ví dụ này hướng dẫn cách bật ghi nhật ký lưu lượng GTPv2 trên thiết bị.

Yêu cầu

Không cần cấu hình đặc biệt nào ngoài việc khởi tạo thiết bị trước khi cấu hình tính năng này.

Tổng quan

Trong ví dụ này, bạn sẽ bật ghi nhật ký lưu lượng GTPv2 cho các gói GTPv2 được chuyển tiếp (forwarded).

Cấu hình

Quy trình từng bước

Để bật ghi nhật ký lưu lượng GTPv2 cho các gói GTPv2 được chuyển tiếp:

• Xác định profile GTPv2.

• Bật ghi nhật ký cho các gói GTPv2 được chuyển tiếp.

• Nếu bạn đã hoàn tất cấu hình thiết bị, hãy nhập lệnh commit để áp dụng cấu hình.

Xác minh

Để xác nhận cấu hình đang hoạt động đúng, hãy nhập lệnh: show security gprs.

Chúc các bạn thực hiện thành công. Hi vọng bài viết này sẽ giúp ích cho các bạn trong công việc. Nếu bạn có vấn đề gì thắc mắc đừng ngần ngại liên hệ với chúng tôi theo thông tin dưới đây để được hỗ trợ thêm.

Hẹn gặp lại các bạn trong các bài viết tiếp theo!