摘要：随着蜂窝物联卡在物联网中的广泛应用，物联网终端的安全性也日趋严重，个人手机用户和恶意软件渗透至专有终端，从而产生恶意使用、恶意访问、窃取隐私、系统破坏等方式对用户造成重大损害，已经成为损害用户权益、导致运营商服务满意度下降的重要因素。本研究创新性的提出为物联网专网用户新增阻断签约，实现非法终端的业务隔离。

关键词：DNN 纠错 恶意软件

中图分类号：          文献标识码：          文章编号：

随着移动物联网的快速发展，移动蜂窝物联网技术利用其大连接、广覆盖、低成本的特性已经深入的渗透至各行各业。近年来，随着蜂窝物联卡在物联网中的广泛应用，物联网终端的安全性也日趋严重，个人手机用户和恶意软件也会通过公共网络渗透至专有终端，从而产生恶意使用、恶意访问、窃取隐私、系统破坏等方式对用户造成重大损害，已经成为损害用户权益、导致运营商服务满意度下降的重要因素。

本研究通过分析APN/DNN纠错实现原理，创新性的提出为物联网专网用户新增阻断APN/DNN签约，当非法终端使用错误APN/DNN或空APN/DNN接入网络时，依托MME/AMF的APN/DNN纠错功能使用阻断APN/DNN为其建立会话，结合SAEGW/UPF的业务控制策略，对阻断APN/DNN产生的数据包就行丢弃，实现非法终端的业务隔离。本方案可覆盖物联网领域各种用于内网数据传输的特种终端，利用已有的HSS/UDM、MME/AMF和SAEGW/UPF设备功能，不用新增安全管控系统就能实现客户的安全生产管理要求。

一、APN/DNN纠错原理

在实际的网络运营中，可能由于用户设置错误等因素导致用户携带的信息与签约数据不符，进而导致签约数据匹配失败，用户请求被拒绝，终端客户感受受到影响。为减少此种问题的发生，MME/AMF引入了请求信息纠正特性。请求信息纠正特性可以在签约数据匹配失败后，对用户请求信息进行纠正，选出用户实际可用的APN/DNN，并进行签约数据再匹配。

二、签约管理功能

HSS/UDM用来管理物联网卡的签约数据。物联网卡需同时签约两个APN/DNN，分别定义为APN.STOP和APN.SERVER，优先级分别定义为P.STOP和P.SERVER，设置P.STOP>P.SERVER。此时，当非法终端使用错误APN/DNN或空APN/DNN尝试接入网络时，会被重定向APN.STOP继续后续流程。

三、APN/DNN纠错功能

APN/DNN纠错功能由MME/AMF实现。在本方案中，MME/AMF收到终端请求的APN/DNN，记为APN.REQ，当APN.REQ=APN.SERVER时，MME/AMF使用APN.REQ为终端选择SAEGW/UPF建立PDN连接，实现终端到企业专网服务器的业务疏通；当非法终端上报的APN.REQ≠APN.SERVER时，触发MME/AMF的APN/DNN纠错功能，MME/AMF根据签约APN/DNN的优先级高低，重定向至APN/DNN.STOP为终端选择SAEGW/UPF建立PDN连接，通过SAEGW/UPF上对该PDN连接进行业务封堵实现非法终端的业务隔离。

四、业务阻断功能

在本方案中，SAEGW/UPF根据MME/AMF的APN/DNN纠错结果为终端创建对应的PDN连接，对于APN/DNN.SERVER的PDN连接，SAEGW/UPF采取PASS策略，放通终端到企业服务器业务路由，允许终端正常使用业务；对于APN.STOP的PDN连接，SAEGW/UPF采取Discard策略，对数据报文进行丢弃，从而实现非法终端的业务隔离，保证企业服务器业务安全。

五、整体业务流程

本方案实现非法终端阻断全流程如下：

（1） HSS/UDM为物联网卡签约业务APN/DNN（APN.SERVER）和阻断APN/DNN（APN.STOP），并设置阻断APN/DNN优先级高于业务APN/DNN；

（2）非法终端发起业务请求，携带错误APN/DNN（APN.REQ=APN.ERR）或未携带APN/DNN（APN.REQ=NULL）；

（3） MME/AMF判断非法终端请求APN/DNN与物联网卡签约APN/DNN不一致，根据签约APN/DNN优先级进行纠错，将请求APN/DNN重定向至APN.STOP；

（4） MME/AMF使用APN.STOP为非法终端选择SAEGW/UPF，创建PDN连接；

（5）SAEGW/UPF匹配业务控制策略Discard，APN.STOP的业务报文进行丢弃，实现非法终端的业务阻断。

六、主要技术创新点

1、本方案依赖APN/DNN纠错功能，为物联网卡同时签约两个APN/DNN，精准设置阻断APN/DNN和业务APN/DNN的优先级，当非法终端通过错误APN/DNN或空APN/DNN试图访问企业服务器时，MME/AMF将其重定向至阻断APN/DNN，结合SAEGW/UPF的业务控制策略对非法终端数据报文进行丢弃。

2、本方案依托现网MME/AMF、SAEGW/UPF、HSS/UDM等成熟设备功能实现，无需新增安全管控设备，部署成本低。

3、本方案具有较高的时效性，对非法终端的封堵贯穿整个企业APN/DNN的全生命期，从开卡阶段即实现安全防护功能，后续无需其他操作即可实现非法终端隔离。

参考文献

[1]程浩辉.终端与网络APN适配性对用户感知影响的研究与对策[J]. 网络安全和信息化，2021（04）：155-158.

[2]刘陶.新形势下物联网终端安全态势研究[J]. 信息通信技术与政策，2023（04）：86-89.

[3]李蓓蓓，浦洁.借用APN纠错原理，实现定向流量计费[J].电子技术与软件工程，2014（12）：50.

作者简介：

刘弘毅（1989—11），男，汉族，河北石家庄，中级工程师，硕士研究生，研究方向：移动通信、5G、物联网

杜思思（1992—8），女，汉族，河北邯郸，中级工程师，硕士研究生，研究方向：移动通信、分组核心网