Enregistrement initial 5G : NAS, sécurité et signalisation AMF

L’enregistrement initial 5G établit l’enregistrement de l’UE et son contexte d’accès et de mobilité. L’AMF détermine l’identité de l’abonné, applique les procédures de sécurité requises et définit les accès et tranches autorisés. La réussite de l’enregistrement ne crée pas à elle seule un chemin de données Internet : PDU Session Establishment est une procédure distincte.

Distinguer RRC, NGAP et NAS dans la trace

Dans un exemple courant d’accès NR, l’UE établit ou utilise une connexion de signalisation RRC avec le gNB. RRC transporte la Registration Request NAS sur l’interface radio. Le gNB transmet le NAS-PDU à l’AMF dans un NGAP Initial UE Message, accompagné d’informations de localisation d’accès telles que le TAI et le NR-CGI. NAS fonctionne logiquement entre l’UE et l’AMF ; NGAP entre le gNB et l’AMF.

Le champ NAS 5GS registration type identifie l’enregistrement initial, la mise à jour d’enregistrement de mobilité, la mise à jour périodique ou l’enregistrement d’urgence dans les cas courants traités ici. L’identité mobile obligatoire et les informations présentes sous conditions remplissent des fonctions différentes. Un 5G-GUTI exploitable peut renvoyer à un contexte antérieur ; sinon, SUCI est couramment utilisé selon les règles de sélection d’identité. Requested NSSAI et UE Security Capability sont inclus selon les conditions NAS applicables, plutôt que de constituer une liste invariable pour toute demande.

Illustration de l’accès initial montrant Registration Request de l’UE vers le gNB et Initial UE Message vers l’AMF ; les valeurs du tableau de bord sont illustratives, pas des résultats mesurés. — Illustration de l’accès initial montrant Registration Request de l’UE vers le gNB et Initial UE Message vers l’AMF ;

Résoudre l’identité et réutiliser le contexte antérieur lorsqu’il est disponible

« Initial » décrit le type d’enregistrement, pas nécessairement la toute première utilisation de la 5G par un abonné. Par exemple, un UE éteint à Guangzhou puis redémarré à Beijing peut encore posséder un 5G-GUTI. Son GUAMI peut aider à identifier l’ancienne AMF. Lorsque cela s’applique, la nouvelle AMF invoque Namf_Communication_UEContextTransfer pour récupérer le contexte d’identité et de mobilité, y compris les informations de sécurité disponibles.

L’interaction avec l’ancienne AMF est conditionnelle. Si l’AMF a besoin d’une identité qu’elle ne peut obtenir autrement, NAS Identity Request et Identity Response peuvent fournir l’identité demandée, telle que SUCI. Ni un transfert de contexte ni Identity Request ne doivent apparaître dans chaque trace réussie. Vérifiez l’identité et le contexte déjà disponibles avant de déclarer qu’un message absent constitue une défaillance.

L’authentification et la sécurité NAS résolvent des problèmes différents

L’AMF sélectionne un AUSF au moyen de la découverte NRF ou d’autres mécanismes de sélection pris en charge, selon le cas. Pour 5G-AKA, l’AUSF et les fonctions d’authentification UDM du réseau nominal obtiennent les données nécessaires ; le réseau nominal peut résoudre SUCI en SUPI. L’AMF envoie RAND et AUTN dans Authentication Request, et l’UE retourne RES* dans Authentication Response après ses vérifications.

L’AMF dérive HRES* et le compare à HXRES*, tandis que l’AUSF vérifie RES* par rapport à XRES*. Il s’agit de vérifications distinctes du réseau de desserte et du réseau nominal. 5G-AKA est l’exemple présenté ici ; EAP-AKA’ est une autre méthode d’authentification primaire prise en charge. Le contexte existant valide et les règles de sécurité applicables influencent les procédures requises.

L’authentification établit la confiance dans les justificatifs de l’abonné. NAS Security Mode établit ou active la protection NAS applicable, en utilisant les capacités de sécurité de l’UE et la sélection d’algorithmes du réseau. Ce n’est pas la sécurité de l’interface radio. Ne déduisez pas que toute signalisation ultérieure est protégée simplement parce qu’Authentication Response apparaît : vérifiez le résultat de l’authentification et celui de Security Mode.

Illustration conceptuelle de l’authentification et de la sécurité NAS avec UE, AMF, AUSF et UDM ; la trace affichée n’est pas une séquence littérale de messages. — Illustration conceptuelle de l’authentification et de la sécurité NAS avec UE, AMF, AUSF et UDM ;

L’abonnement et la politique complètent le contexte d’accès

Lorsque nécessaire, l’AMF enregistre sa relation de desserte auprès de l’UDM et récupère Access and Mobility Subscription Data. Subscribed NSSAI, UE-AMBR, restrictions RAT, restrictions de zone et paramètres d’enregistrement périodique peuvent contribuer au contexte obtenu. Récupération, mise à jour et réutilisation dépendent du contexte existant et des conditions de la procédure ; une nouvelle récupération de chaque jeu de données n’est pas obligatoire à chaque enregistrement.

SMF Selection Subscription Data peut également être obtenu, notamment les informations liées au DNN pour les S-NSSAI applicables. Obtenir ces données ne crée pas en soi un SM Context ou une PDU Session. L’AMF peut sélectionner un PCF et établir une AM Policy Association lorsque la politique d’accès et de mobilité l’exige. La politique obtenue peut influencer les restrictions et d’autres décisions de mobilité.

L’autorisation des tranches doit aussi être cohérente avec la localisation, l’abonnement et les capacités de l’AMF de desserte. Si l’AMF initiale ne peut desservir les tranches sélectionnées, une branche conditionnelle de réallocation d’AMF peut transférer l’enregistrement. Cela diffère de la récupération ordinaire du contexte auprès de l’ancienne AMF, qui obtient un contexte UE existant plutôt que de corriger la sélection actuelle de l’AMF de desserte.

Transmettre Registration Accept et vérifier les conditions d’achèvement

Après les vérifications nécessaires, l’AMF envoie NAS Registration Accept vers l’UE. Lorsque le RAN nécessite une configuration initiale du contexte UE, NGAP Initial Context Setup Request peut le transporter ; Downlink NAS Transport est une autre voie de transmission selon le contexte. Initial Context Setup n’est donc pas une enveloppe inconditionnelle de tout Registration Accept.

Registration Accept peut fournir un nouveau 5G-GUTI, Allowed NSSAI, une liste TAI et T3512 selon les règles applicables. L’UE envoie Registration Complete lorsque les conditions d’achèvement NAS l’exigent, par exemple pour accuser réception d’un 5G-GUTI attribué. Ne considérez pas son absence comme un échec sans vérifier le contenu de Registration Accept et les règles NAS pertinentes. Une Initial Context Setup Response du RAN et un Registration Complete NAS acquittent des procédures différentes.

Illustration conceptuelle de l’abonnement, de la politique et de l’achèvement avec UDM, NRF, PCF et AMF ; les chiffres du tableau de bord sont illustratifs, pas des résultats mesurés. — Illustration conceptuelle de l’abonnement, de la politique et de l’achèvement avec UDM, NRF, PCF et AMF ;

Dépanner l’enregistrement séparément de la connectivité des données

Si Registration Request n’atteint pas l’AMF, examinez la signalisation radio, la sélection d’AMF par le gNB et le NGAP Initial UE Message.
Si l’identité ou l’authentification échoue, examinez l’identité mobile, le contexte disponible de l’ancienne AMF, la sélection AUSF et le résultat de l’authentification. Vérifiez NAS Security Mode séparément.
Si la sécurité aboutit mais qu’aucun Registration Accept ne suit, vérifiez les opérations UDM requises, l’autorisation NSSAI, les restrictions d’accès, le traitement conditionnel de la politique et toute réallocation d’AMF.
Si l’enregistrement réussit mais que les données échouent, suivez PDU Session Establishment vers le SMF et l’UPF. Les ressources N3 et les règles N4 telles que PDR, FAR, QER et URR relèvent de la gestion des sessions et du plan utilisateur ; elles ne prouvent pas l’achèvement de l’enregistrement.

Questions fréquentes

Que contrôle T3512 ?

T3512 régit la mise à jour périodique de l’enregistrement lorsqu’elle s’applique. Sa valeur et sa désactivation éventuelle doivent être interprétées selon les règles NAS ; l’enregistrement n’implique pas un intervalle de mise à jour fixe universel.

Une vérification EIR doit-elle apparaître ?

Non. La vérification de l’identité de l’équipement dépend de la procédure et de la politique de l’opérateur. Son absence seule ne prouve pas une défaillance.

Pourquoi N3IWF est-il absent d’un flux NR courant ?

N3IWF prend en charge l’accès non-3GPP non fiable au cœur 5G. Dans l’exemple NR présenté ici, l’UE accède via un gNB ; cette fonction ne fait donc pas partie du chemin d’accès.

Pourquoi le nombre de découvertes NRF varie-t-il entre les traces ?

Les résultats de découverte en cache, la configuration et les mécanismes de routage des services tels qu’un SCP peuvent modifier le trafic de découverte visible. Corrélez la fonction réseau sélectionnée et la demande de service au lieu d’exiger un nouvel échange NRF avant chaque opération.