5.2.4 初始附着与切换附着 5.2.5 静态IP地址与动态IP地址 5.2.6 NAS安全性

爱卫生

5.2.4 初始附着与切换附着

EPC网络在设计之初就考虑了对多种接入技术的支持，由此而需要考虑用户在E-UTRAN和其他Non-3GPP接入技术（如Wi-Fi、WiMAX）之间的移动性。这个附着过程除了用于UE开机的初始附着之外，还负责UE从Non-3GPP切换3GPP系统时的附着。

当UE注册在Non-3GPP系统时，虽然UE通过S-W/P-GW连接到EPC的业务，但是UE的EMM状态和ECM状态都没有表现出UE的活动性，MME还没有实施对UE的移动性管理工作。此时UE的EMM状态为EMM-DEREGISTERED。

对于同属3GPP系统的E-UTRAN、UTRAN和GERAN接入来说，3GPP规范为其定义了可以互通的接口和协议，在执行系统间的切换时，只要借助这些开放接口，就可以顺利地实现无缝切换。

而对于不属于同一个系统的两个接入技术的网络来说，比如E-UTRAN和WiMAX，各自遵循的各自的协议规范，它们各自的协议也不属于同一个体系，在没有两个系统的标准组织协同工作共同制定一套互通标准的情况下，通过某个特定接口执行无缝的切换是很困难的。另外，3GPP的移动性控制节点和Non-3GPP系统的移动性控制节点之间，获取UE上下文也较难实现，MME只能重新为UE建立必要的上下文，这与执行附着过程的差别也不大。因由以上原因，UE在从Non-3GPP系统切换到3GPP系统时，需要执行的是一个附着过程。

初始附着与切换附着之间的区别在于以下几个方面。

1）UE在初始附着时，MME可为其重新选择P-GW；但UE执行切换附着时，因它在Non-3GPP中正执行业务，已经分配了P-GW，所以接入到E-UTRAN后需要保证相关的业务仍然使用与切换之前一样的P-GW，这样才能保证业务连续性。

2）UE在做初始附着时，MME不应使用签约数据中记录的P-GW为UE建立PDN连接。

3）如果UE执行的是切换附着，则网络只为其建立一个PDN连接，避免在附着过程中建立多个PDN连接而可能引起的同步及时延问题。

4）若UE支持到Non-3GPP系统的切换，则UE在执行到E-UTRAN的初始附着过程中，应将附着使用的APN以及P-GW地址发送给HSS，用于后续与Non-3GPP系统间的切换。

5）在切换附着时，P-GW收到建立默认承载请求消息后，不马上将用户平面隧道从Non-3GPP切换到3GPP，而是在空中接口的无线承载建立、核心网中承载更新之后再切换用户平面隧道。

5.2.5 静态IP地址与动态IP地址

在网络附着过程中，可根据情况对UE使用静态IP地址和动态IP地址。

静态IP地址由网络提供，从签约数据获得，这个IP地址可被运营商修改。

这里的静态IP地址概念与UMTS略有不同，在UMTS中，静态IP地址在用户签约时分配给用户，写入到USIM卡中，如果UE希望在建立PDP上下文时使用静态IP地址，就在PDP上下文激活时将这个地址发送给SGSN，SGSN使用UE提供的IP地址为UE建立连接并提供服务。

在SAE中，由于不希望引入UE提供IP地址的方式，对于网络运营商控制IP地址的灵活使用没有好处，因此修改额静态IP地址的概念。静态IP地址可指运营商为UE分配的固定IP地址，也可以指UE的签约数据中所记录的运营商静态分配的P-GW，UE再从这个静态分配的P-GW获得IP地址。

静态IP地址的分配有以下两个途径。

1）在HSS中保存UE的静态IP地址，在UE附着过程时，HSS将包含UE的IP地址的签约数据发送给MME；MME在默认承载建立过程中通过消息将这个IP地址传递给P-GW；P-GW再将这个IP地址分配给UE。

2）UE的签约数据中包含一个静态的P-GW标识，这个标识可以是一个FQDN或一个IP地址。UE在附着网络时，DNS Server总是对这个P-GW标识解析出同一个P-GW，由固定的P-GW为UE分配IP地址。

动态IP地址是指UE在附着到网络的过程中，由P-GW自身、或通过DHCP等外部机制为UE分配一个IP地址。前面已经提到，P-GW可在默认承载建立过程中为UE分配IP地址；UE也可在默认承载建立之后，通过已建立的默认承载向DHCP服务器请求分配IP地址。

5.2.6 NAS安全性

SAE中引入NAS安全性的原因是eNB部署在远离机房的地方，eNB与MME之间的S1接口不够安全，因此对NAS信令也需要进行安全方面的保护。

NAS安全关联最初在附着过程执行AKA算法之后建立，运行“NAS安全模式命令”；之后至少在空闲状态时发生NAS算法改变或eNB间切换，涉及MME改变而引起的NAS算法改变时执行。

如果UE在执行网络附着时还保存有以前附着时保存的基本安全密钥（Kasme），有可能在附着过程中不执行AKA过程和NAS的安全过程。

一般认为，UE在发出“附着请求”消息时不能对这条消息进行安全保护（这也就是为什么争论在“附着请求”消息中不能携带APN的原因），但如果在UE中保存了有效的NAS安全上下文，就可以对“附着请求”消息进行完整性保护，对消息中的某些参数进行加密发送。

但如果此时UE和MME的安全山下文发生失步，即UE和MME使用的完整性保护算法不同，MME就不能对进行了完整性保护加密的“附着请求”消息解开完整性保护的密码。这里使用了鉴定（Identification）过程，MME通过分析UE的GUTI，向保存有UE安全信息的原MME发送“鉴定请求”消息，其中包含完整的“附着请求”消息，要求原MME使用原有的安全性参数对该消息的完整性进行检查。如果完整性检查不通过，UE中原有的安全上下文就不能使用。

“跟踪区更新”消息中的完整性检查也采用相同的方法。

cool_pine

在上文初始附着和切换附着的区别中有一点"UE在做初始附着时，MME不应使用签约数据中记录的P-GW为UE建立PDN连接。"
不好理解，照理初始附着时 MME应该可以使用签约数据中记录的P-GW为UE建立PDN连接。