耿兆森 穆安容
中兴通讯股份有限公司
摘 要 介绍了移动ＩＰ技术在ＣＤＭＡ中的应用原理，讲述了移动ＩＰ和ＣＤＭＡ结合后给移动用户带来的便利，并简要论述了移动ＩＰ的安全实现方法。
关键词 移动ＩＰ 简单ＩＰ ＣＤＭＡ 无线ＩＰ
１ 背景
在ＣＤＭＡ Ｏｎｅ的网络中，一般通过ＩＷＦ为用户提供分组接入服务，它主要有以下一些缺点：移动台和ＩＷＦ之间采用的是电路交换方式，网络资源的利用率比较低；分等级服务实现比较困难；分组接入的速率比较低，而且费用也比较高。
针对这些缺点，作为ＣＤＭＡ Ｏｎｅ的后续版本，ｃｄｍａ２０００ １ｘ引入了真正意义上的分组接入方式。ｃｄｍａ２０００ １ｘ提供了简单ＩＰ和移动ＩＰ两种分组服务接入方式。
简单ＩＰ（Ｓｉｍｐｌｅ ＩＰ）方式：类似于传统的拨号接入，分组数据服务节点（ＰＤＳＮ，Ｐａｃｋｅｔ Ｄａｔａ Ｓｅｒｖｉｎｇ Ｎｏｄｅ）为移动台动态分配一个ＩＰ地址，该ＩＰ地址一直保持到该移动台移出该ＰＤＳＮ的服务范围，或者移动台终止简单ＩＰ的分组接入。当移动台跨ＰＤＳＮ间切换时，该移动台的所有通信将重新建立，通信中断。移动台在其归属地和拜访地都可以采用简单ＩＰ接入方式。
移动ＩＰ（Ｍｏｂｉｌｅ ＩＰ）方式：移动台使用的ＩＰ地址是其归属网络分配的，不管移动台漫游到哪里，它的归属ＩＰ地址均保持不变，这样移动台就可以用一个相对固定的ＩＰ地址和其他节点进行通信了。简单地说，移动ＩＰ提供了一种特殊的ＩＰ路由机制，使得移动台可以以一个永久的ＩＰ地址连接到任何链路上。
２ 移动ＩＰ网络的架构
针对移动ＩＰ业务的ＩＭＴ－２０００网络结构模型。实现移动ＩＰ业务主要涉及的功能实体有：移动台（ＭＳ）、分组数据服务节点（ＰＤＳＮ）、归属代理（ＨＡ）、鉴权、授权与计账服务器（ＡＡＡ）。就网络结构而言，简单ＩＰ仅比移动ＩＰ少一个ＨＡ。
移动台（Ｍｏｂｉｌｅ Ｓｔａｔｉｏｎ，ＭＳ）：移动用户的终端设备。移动台使用移动ＩＰ接入时，可以将接入因特网的位置从一条链路切换到另一条链路上，同时仍然保持所有正在进行的通信，并且只使用它的归属地址。
归属代理（Ｈｏｍｅ Ａｇｅｎｔ，ＨＡ）：它实际上是ＭＳ在归属网中的一个路由器，用于维护移动台的位置信息。当移动台离开注册网络后，需要向ＨＡ进行登记，ＨＡ在收到发往移动台的数据包时，通过ＨＡ与ＭＳ的转交地址之间的隧道将数据包送往ＭＳ，完成移动ＩＰ功能。
外地代理（Ｆｏｒｅｉｇｎ Ａｇｅｎｔ，ＦＡ）：移动台拜访网络的代理路由器。ｃｄｍａ２０００ １ｘ网络中ＰＤＳＮ承担着ＦＡ的功能，它为ｃｄｍａ２０００移动台提供访问Ｉｎｔｅｒｎｅｔ或Ｉｎｔｒａｎｅｔ的服务。ＰＤＳＮ除提供移动ＩＰ接入方式外，它还可以为移动台提供简单ＩＰ接入服务，同时ＰＤＳＮ也完成对用户的鉴权、授权和记账等功能。
ＡＡＡ服务器（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ，Ａｕｔｈｏｒｉｚａｔｉｏｎ，Ａｃｃｏｕｎｔｉｎｇ Ｓｅｒｖｅｒ，ＡＡＡ服务器）：即鉴权、授权与记账服务器。ＡＡＡ服务器对分组数据呼叫用户进行鉴权，判决用户的合法性以及哪类业务对用户是开放的，ＡＡＡ服务器还完成分组数据呼叫记账功能。
３ 工作原理
３.１ 引入移动ＩＰ的原因
（１） 许多应用的配置数据库都是以ＩＰ地址为基础的（而不是以主机名），如果主机的ＩＰ地址改变，那么这些应用就会中断。
（２） 路由问题。在ＩＰ网络中，路由器的路由表达通常是基于网路前缀来实现的，当一个用户漫游到外地时，如果它还继续使用它归属网络的ＩＰ地址，则就会出现漫游用户的ＩＰ地址和拜访网络的路由器路由条目不一致的情况。在路由器上增加移动用户的主机路由信息是解决这个用户的路由问题的权宜之计，但在出现大规模的移动用户的网络中支持主机路由是极其不明智的。
（３） 移动台作为被叫的问题。移动台采用简单ＩＰ接入时，每次ＰＤＳＮ或ＡＡＡ服务器为ＭＳ分配的ＩＰ地址都是变化的，每当ＭＳ发生ＰＤＳＮ间的切换时，ＭＳ的所有通信必须重新建立，这就很难把移动台作为被叫设备。
３.２ 基本思想
移动ＩＰ的基本思想就是数据转发，当ＭＳ要发送数据给ＣＮ时，该分组报文首先被发送到ＰＤＳＮ／ＦＡ那里，如果ＦＡ判断出是发往ＨＡ对应的归属网络，ＦＡ会在报文的外层封装一个隧道报头，隧道报头的信源地址是ＦＡ，信属地址是ＨＡ，隧道报文通过沿途的各个路由器到达ＨＡ，ＨＡ解封装掉外层的隧道报头后，把里层的ＩＰ报文发送给ＣＮ，这样ＭＳ发出的ＩＰ报文就可以被转发到ＣＮ了。ＣＮ发送报文给ＭＳ的处理过程刚好相反。
所描述的数据转发过程中，ＭＳ申请了反向隧道（ＦＡ→ＨＡ）的服务，如果没有反向隧道的话，则ＦＡ在转发ＭＳ发出的报文时会把报文直接发到Ｉｎｔｅｒｎｅｔ上，而不采用隧道的封装。不管有没有反向隧道的服务，ＨＡ都必须把归属网上所有发往ＭＳ的报文通过ＦＡ转发给ＭＳ。
移动ＩＰ技术中有一个重要的地址，即转交地址（Ｃａｒｅ－ｏｆ Ａｄｄｒｅｓｓ，简称ＣｏＡ）。当移动台不在归属网络时，转交地址则通往移动台的隧道终点。转交地址分为外地代理转交地址（ＦＡ－ＣｏＡ）和配置转交地址（Ｃｏ－ｌｏｃａｔｅｄ Cａｒｅ－ｏｆ Ａｄｄｒｅｓｓ，Ｃｏ－ＣｏＡ）两类。
３.３ 移动ＩＰ的建立过程
ＩＭＴ－２０００系统的移动ＩＰ和基于普通以太网的移动ＩＰ在实现原理上基本一致，但在某些细节上还存在一些差别，这是由ＩＭＴ－２０００系统的特性所决定的。
在以太网中，移动台通过ＩＣＭＰ路由发现协议（ＩＣＭＰ Ｒｏｕｔｅｒ Ｄｉｓｃｏｖｅｒｙ Ｐｒｏｔｏｃｏｌ，ＩＲＤＰ）检查其是否在自己的归属网络中，协议利用路由广播和路由请求消息发现路由器的服务子网。如果移动台发现自己在归属网络中，那么它就不需要为接收数据包做特殊的事情；如果移动台收到的ＩＲＤＰ广播包是由外地代理发送来的，那么移动台将采用移动ＩＰ技术通过ＦＡ向ＨＡ注册。普通以太网中的移动台在归属网络中并不需要启动移动ＩＰ，只有漫游到外地时才需要启动移动ＩＰ，在这一点上，ｃｄｍａ２０００ １ｘ网络中的移动ＩＰ与普通以太网中的移动ＩＰ是不一样的。简单地说，就是移动台在无线接入时首先需要决定是采用简单ＩＰ接入方式，还是移动ＩＰ接入方式，不能等到ＩＲＤＰ以后再决定。
（１） ＭＳ为了获得分组数据服务，而向无线服务网中的ＢＳ发送一个ＩＳ－２０００ Ｏｒｉｇｉｎａｔｉｏｎ Ｍｅｓｓａｇｅ，该消息中附带一个分组数据服务选项。如果正常的语音服务认证通过的话（主要是验证移动台的合法性），ＢＳ将为ＭＳ分配空中信道，此后ＲＮ（指ＰＣＦ）和ＰＤＳＮ之间建立ＲＰ连接。
（２） ＭＳ和ＰＤＳＮ之间建立ＰＰＰ连接，此时在ＰＰＰ的ＩＰＣＰ阶段不会协商ＭＳ的ＩＰ地址（如果在ＩＰＣＰ阶段协商ＩＰ地址，那么说明移动台申请的是简单ＩＰ接入方式，这就是为什么移动台一开始接入时就要选择好接入方式的原因）。
（３）由于ＭＳ采用的是移动ＩＰ接入方式，ＰＤＳＮ／ＦＡ主动向ＭＳ发布外地代理布告，因此ＭＳ通过该布告可以获知ＦＡ－ＣｏＡ和ＦＡＣ（Ｆｏｒｅｉｇｎ Ａ?鄄ｇｅｎｔ Ｃｈａｌｌｅｎｇｅ），每次ＭＳ进行移动ＩＰ注册时必须把刚才为其发布的ＦＡＣ带回来（ＦＡＣ是1个最少为２５３字节的随机字符串）。ＰＤＳＮ在收到ＭＳ发出的代理请求报文时，也会发布外地代理布告消息。
（４） ＭＳ向ＰＤＳＮ发送ＭＩＰ－ＲＲＱ（Ｍｏｂｉｌｅ ＩＰ Ｒｅｇｉｓｔｒａｔｉｏｎ Ｒｅｑｕｅｓｔ），在ＭＩＰ－ＲＲＱ中包含有在外地代理布告中发布的ＦＡＣ和ＦＡ－ＣｏＡ。另外，如果ＭＳ希望归属网络为它动态分配一个ＩＰ地址，则可以把自己的ＩＰ地址设成０.０.０.０，否则就把自己静态指定的ＩＰ地址设置到ＭＩＰ－ＲＲＱ中。每次移动ＩＰ注册都带有一个移动ＩＰ生存时间，即在生存时间内移动台必须为刚才注册的移动ＩＰ进行注册刷新，否则ＨＡ就会认为移动台已经失去联系并终止对移动台维护的移动ＩＰ绑定。如果移动ＩＰ的注册请求中的生存时间为“０”，则表示移动台要注销移动ＩＰ。
（５） ＰＤＳＮ自身是无法识别ＭＳ的合法性的。作为ＡＡＡ服务器的客户端，ＰＤＳＮ向本地的ＡＡＡ服务器发出认证请求，拜访ＡＡＡ服务器，如果发现该ＭＳ是外地用户，它将通过ＲＡＤＩＵＳ协议让归属ＡＡＡ服务器完成最终的认证工作。拜访ＡＡＡ服务器和归属ＡＡＡ服务器之间进行通信时可能还需要沿途的中间ＡＡＡ服务器的参与。
（６） 归属ＡＡＡ服务器把认证结果传回给拜访ＡＡＡ服务器，拜访ＡＡＡ服务器再把报文传给ＰＤＳＮ，这样就完成了对ＭＳ的认证工作。
（７） 如果通过对ＭＳ的认证，并且ＰＤＳＮ／ＦＡ和ＨＡ之间在此之前没有建立安全关联，那么在归属ＡＡＡ服务器的参与下，在ＦＡ和ＨＡ之间将建立一条安全的关联，该安全关联将被用于以后移动ＩＰ隧道报文的认证。
（８） 若通过对ＭＳ移动ＩＰ的认证，ＰＤＳＮ将对ＭＳ发出的ＭＩＰ－ＲＲＱ做一定的修改后转发给ＨＡ。
（９） ＨＡ在完成对ＭＳ的认证后，将向ＦＡ回应一个ＭＩＰ－ＲＲＰ（Ｍｏｂｉｌｅ ＩＰ Ｒｅｇｉｓｔｒａｔｉｏｎ Ｒｅｐｌｙ），在ＭＩＰ－ＲＲＰ中包含认证结果以及给ＭＳ分配的ＩＰ地址等信息。随后，ＨＡ再主动向本地网络发布一条免费的ＡＲＰ报文，在该代理ＡＲＰ报文中，ＩＰ地址是ＭＳ的ＩＰ地址，而ＭＡＣ地址却是ＨＡ的地址，归属网络的其他节点在接收到该欺骗信息后，将把发往ＭＳ的ＩＰ报文发给ＨＡ，通过这种方式，ＨＡ吸引到了发往ＭＳ的报文。
（１０） ＰＤＳＮ／ＦＡ通过空中链路将ＭＩＰ－ＲＲＰ传送给ＭＳ。在ＭＩＰ－ＲＲＰ中，ＰＤＳＮ还为ＭＳ分配了一个新的ＦＡＣ。
自此，ＭＳ和通信对端（ＣＮ）就可以进行通信了。
３.４ 路由技术
移动ＩＰ提供的路由机制可以使移动台以永久的ＩＰ地址连接到任何链路上，而不需要改变路由沿途的各个路由器。整个路由链路上起最重要作用的是ＦＡ和ＨＡ，隧道技术是移动ＩＰ路由的关键。在移动ＩＰ中，隧道的封装类型有３种，分别是ＩＰ－ｉｎ－ＩＰ封装、最小封装和通用路由封装（ＧＲＥ），其中ＩＰ－ｉｎ－ＩＰ封装应用得最广泛。
（１） 单播数据报文的路由
不管ＭＳ使用ＦＡ－ＣｏＡ，还是使用Ｃｏ－ＣｏＡ，它都必须把为其提供接入服务的ＰＤＳＮ作为自己的缺省路由器，也就是说，ＭＳ发出的所有报文都必须由ＰＤＳＮ路由出去。如果ＭＳ使用的是ＦＡ－ＣｏＡ，则隧道的封装和解封装就由ＦＡ完成；如果使用的是Ｃｏ－ＣｏＡ，则隧道的封装和解封装就由移动台来完成，此时的ＦＡ仅提供路由功能，仅为隧道报文提供转发。
ＦＡ在收到发往ＭＳ或者ＭＳ发出的报文时，首先检查本地接入的移动台登记的访问列表项，如果报文合法，ＦＡ将提供路由，否则将丢弃报文。
ＨＡ使用代理ＡＲＰ和免费ＡＲＰ等方法拦截所有发往移动台的报文。如果ＭＳ漫游到了外地，并且ＭＳ在ＨＡ进行了移动ＩＰ注册，那么ＨＡ将负责把拦截到的发往ＭＳ报文隧道封装并发送到转交地址，由转交地址对应的节点解封装后转给ＭＳ。
（２） 广播数据报文的路由
如果ＭＳ希望收到归属网络发出的广播报文，那么ＭＳ在进行移动ＩＰ注册时会设置移动ＩＰ注册报文中的‘Ｂ’位，否则ＨＡ不会为ＭＳ转发广播报文。
ＭＳ使用ＦＡ－ＣｏＡ时和使用Ｃｏ－ＣｏＡ时，ＨＡ的处理方法是不一样的。如果ＭＳ使用Ｃｏ－ＣｏＡ，那么ＨＡ直接把广播报文封装成目标地址为Ｃｏ－ＣｏＡ的隧道报文中。如果ＭＳ使用ＦＡ－ＣｏＡ，那么ＨＡ首先把广播报文封装成单播报文，该单播报文的信宿地址是ＭＳ的归属地址，然后再按移动ＩＰ的要求把单播报文封装成隧道包，该隧道包的信宿地址是ＦＡ。ＦＡ在收到该隧道报文并解隧道封装后，发现是ＭＳ的单播包，则会把报文发送给ＭＳ，ＭＳ去掉外层的单播报头后就可得到原始的广播报文了。
（３） 组播数据报的路由
ＭＳ若想获取组播服务，必须加入组播组。加入组播组的方法有两种，一种是通过拜访网络的ＦＡ提供，另一种是通过归属网络的ＨＡ提供。
如果ＰＤＳＮ支持组播，那么ＭＳ可以加入ＰＤＳＮ提供的组播组来获取组播服务。如果ＭＳ使用配置转交地址，那么ＩＧＭＰ报文的信源地址就必须是该配置转交地址，否则就使用ＭＳ的归属地址。
如果ＨＡ支持组播，那么ＭＳ可以通过双向隧道加入到ＨＡ提供的组播组中。此时ＨＡ对组播报文的处理和广播报文一样。
４ 移动ＩＰ的特殊性
由于商用的ＣＤＭＡ系统中为分组接入的用户分配的ＩＰ地址大都是动态分配的，绝大部分用户不能静态地指定自己的归属ＩＰ地址，因此移动台将无法采用移动ＩＰ技术中常用的两种移动检测机制：基于生存时间域的算法和基于网络前缀的算法。移动台在分组接入前需要先指定好自己的分组接入方式，即使是在归属地，移动台一样可以使用移动ＩＰ接入，它无法实现智能的选择。
无线通信中最宝贵的资源是无线频谱资源，无线频谱资源的扩充有时不是通过投资就能得到的。为节约空中资源，ＰＤＳＮ在发布代理广播报文时不会像以太网中那样定时地广播，它只有在收到移动台的代理请求后才发送，或者在移动台刚刚接入时发送。
移动台在归属地也有可能使用移动ＩＰ，如果在这种情况下，ＰＤＳＮ／ＦＡ还像平常一样把所有的分组报文通过隧道封装发送给ＨＡ就显得有点浪费了，因此ＰＤＳＮ／ＦＡ通常在转发隧道报文前需要判断移动台是否是本地接入用户。
５ 安全问题
移动ＩＰ的安全威胁主要有拒绝服务攻击、假冒攻击以及未被授权的访问。移动ＩＰ主要通过对报文的认证和加密来保证报文的安全、可靠的传输，常用的加密算法有ＤＥＳ、３ＤＥＳ等，认证方法有ＭＤ５、ＨＭＡＣ－ＭＤ５等，用于认证、加密的密钥有预共享密钥、数字签名和共享密钥等。
移动ＩＰ报文的安全主要是通过各种安全认证扩展来保证的，常见的扩展有ＭＮ－ＨＡ、ＭＮ－ＡＡＡ、ＦＡ－ＨＡ、ＭＮ－ＦＡ等之间的安全关联，这些扩展的出现次序也是固定的，不能随意更改，否则将影响对报文的认证。
６ 结束语
无线网络技术和ＩＰ技术的融合是一个必然的发展趋势，ｃｄｍａ２０００也不例外。就目前而言，移动用户使用最多的还是简单ＩＰ的接入方式，例如通过简单ＩＰ实现网页浏览、收发Ｅ－Ｍａｉｌ等，这类用户的位置相对固定，即使由ＰＤＳＮ间的切换而导致通信中断也无关紧要。移动ＩＰ的最大优势在于移动用户在ＰＤＳＮ间切换时，网络通信不会中断，通过移动ＩＰ接入方式，移动用户可以方便地获得定位业务、实时被叫、移动ＩＣＱ、移动电子商务等服务。由于简单ＩＰ技术本身的局限性，随着新业务的推广，移动ＩＰ技术在ＣＤＭＡ的分组接入中的比重将越来越大。
----《电信技术》
|
