diameter(vs radius)

AAA Protocol

- Authentication : 망, 시스템 접근을 허용하기 위해 사용자의 신원을 검증

- Authorization : 신원이 검증된 사용자에게 어떤 권한과 서비스를 허용할지를 설정

- Acoounting : 사용자의 자원 사용 정보

- PAP, CHAP, EAP, RADIUS, DIAMETER, TACACS

 

RADIUS의 단점
1. 보안 제한
- 기본적으로 UDP를 사용하며, 데이터 암호화에 있어 사용자 암호만 암호화, 나머지 데이터는 평문으로 전송
- 데이터의 기밀성과 무결성을 완벽히 보장하기 힘듬

2. 확장성 부족
- 새로운 요구사항을 추가하기 어려움
- 기존 사양은 제한된 특성을 지원하며, 확장을 위한 자유도가 낮다
- 대규모 네트워크에서의 성능 및 유연성이 부족

3. 오류 처리
- UDP를 사용하므로 패킷 손실 시 재전송 불가, 신뢰성 낮음
- 상태 저장 방식이 아니므로, 클라이언트-서버 세션 관리가 어려움

4. 복잡한 과금
- 복잡한 과금 시스템을 지원하지 않으며, 고급 과금 요구사항을 처리하기 힘듬

 

Diameter의 개선점
1. 보안 강화
- TCP 또는 SCTP를 사용해 데이터 전송의 신뢰성을 보장
- IPsec 또는 TLS와 같은 암호화 프로토콜을 통합하여 기밀성과 무결성 향상

2. 확장성 및 유연성
- 확장 가능하도록 설계되어 새롭게 정의된 명령 및 속성을 유연하게 추가할 수 있음
- 대규모 네트워크에서 효율적인 동작을 보장

3. 상태 유지
- 상태 저장 프로토콜
- 서버는 세션 상태를 관리할 수 있어 안정적인 연결과 세션 기반 인증이 가능

4. 향상된 과금 지원
- 복잡한 과금 요구사항(ex : 실시간 과금, 세션 기반 과금)을 지원하기 위한 강력한 기능 제공
- 다양한 메시징 옵션을 통해 더 세부적인 과금 정보를 전송할 수 있음

5. 더 많은 명령 및 코드 지원
- RADIUS보다 더 많은 명령 및 응답 코드(AVPs)를 제공
- 프로토콜 간의 상호운용성을 강화

Diameter 특성
- 자체 능력협상, Peer간 메시지 송수신 방법과 종료 방법을 규정
- 다른 Diameter 사이에 교환되는 모든 메시지에 대한 규칙을 규정
- 메시지에 사용되는 AVP들의 집합은 Diameter 응용 또는 Diameter 확장에 의해 결정
- SCTP를 사용, 포트 1812에서 운용
- 송신 포트는 상관 없지만 수신 포트는 반드시 1812
- 한 Diameter 안에 여러 개의 프로세스가 존재할 수 있으며, 송신 포트 번호로 프로세스를 구분

Diameter 형식
1. Header
- RADIUS PCC : Packet Compatibility Code, RADIUS와의 역 호환성을 유지하기 위해 사용
- Flags : 5bit, 현재는 사용되지 않으며 반드시 0으로 셋
- Version : Diameter 버전 1을 나타내기 위해 1로 셋
- Message Length : 헤더 필드를 포함한 DIameter 메시지의 길이, 2옥텟
- Identifier : 요구와 응답을 매칭시키기 위해 사용, 임의로 발생시킨 숫자에서 증가, 4옥텟
- AVPs : Diameter 메시지에 관련된 정보를 Encapsulation

2. AVPs
요구와 응답과 같은 메시지 형식은 물론 인증, 과금 및 권한 검증 정보, 보안 정보를 실어 나르는 데 사용
일부 AVP는 필요시 한번 이상 사용될 수 있음
String, Data, Address, Integer32, Integer64, Complex, TIme 형식이 존재
- AVP Code : 속성을 유일하게 식별
- AVP Length : AVP Code, AVP Length, AVP Flag, Reserved, Vendor ID Field(if exist), AVP 데이터를 포함하는 속성의 길이를 나타냄
- AVP Flags : 각 속성을 어떻게 다루어야 하는지 상대 Diameter 호스트에게 알려주는 역할
   - R : 사용되지 않음, 0으로 셋, 수신측에서 무시
   - P : Strong Security Extension에서 정의
   - M : 해당 AVP가  반드시 지원되어야 함을 나타냄
   - V : Vendor-Specific bit, AVP 헤더에 Vendor ID 선택 필드가 사용됨
   - T : Tag bit, AVP의 집합을 묶어서 사용하는 데 사용