5G异网漫游可以最大限度地利用已建成的5G网络为更广泛的用户群体提供服务，对贯彻落实党中央关于加快我国5G新型基础设施建设，促进5G网络开放共享，减少5G网络重复建设，集约高效地实现5G网络覆盖和业务发展具有重要意义。5G异网漫游安全是5G异网漫游业务顺利开展的重要保障，本文首先介绍了5G异网漫游组网架构、漫游互通接口及安全防护边界代理SEPP安全功能，然后分析了5G异网漫游安全风险，最后从部署实施层面提出了相应的安全防护对策与建议。

　　1 5G核心网异网漫游架构

　　5G核心网漫游是指在独立组网（SA）方式下，在漫游区域内，归属网络方用户通过接入拜访网络方5G网络的方式使用5G业务。5G核心网漫游运营商双方的5G接入网、核心网独立建设和管理，用户独立管理。5G核心网漫游主要有两种组网方式，即归属地路由（HR，Home Routed）和漫游地路由（LBO，Local Breakout）。用户面业务流回到归属地UPF接入DN。用户面业务流通过漫游地UPF接入DN，不需要归属地网络协助处理。漫游地路由方式虽然具备用户数据传输路径短的优点，但是无法进行拜访地和归属地之间的计费对账，并且归属地无法了解漫出用户状况。

　　5G核心网异网漫游优选归属地路由方式，漫游用户的业务数据回到归属网络，用户业务由归属网络处理，向用户提供业务。拜访运营商和归属运营商在各自信令面网络边界部署SEPP，实现信令面数据转发等功能，媒体面通过UPF进行互通，实现用户面数据转发功能。漫游互通设备SEPP和UPF之间可以通过边界网关（BG）进行对接，拜访运营商和归属运营商可在网络边缘部署防火墙设备。

　　2 安全风险及安全防护策略

　　5G核心网异网漫游存在的安全问题主要包括漫游传输安全问题、跨网网元互访安全问题、互联互通接口安全问题、核心网络安全问题、信令面安全问题、用户面数据安全问题等。下面将对各种安全问题进行详细分析及阐述。

　　2.1漫游传输安全问题

　　归属网络与拜访网络间建立漫游连接时，若缺乏有效的端到端防护，攻击者可借此实施中间人攻击，通过伪造、篡改、窃取连接信令，实现获取运营商网间的敏感数据、盗用漫游用户身份使用业务、更改用户的漫游状态、破坏漫游业务连续性等。

　　针对漫游传输安全风险，应部署有效的安全传输措施。拜访网络方的SEPP与归属网络方的SEPP间需要采用TLS传输层加密，SEPP间直接建立端到端TLS连接进行信令转发，保证传输过程的完整性和机密性。

　　2.2跨网网元互访安全问题

　　5G采用基于服务化的SBA架构。在服务化架构中，用网络功能NF代替了原来的网元NE，使得每个网络功能可以对外呈现通用的服务化接口，这一机制促使5G网络功能可以以非常灵活的方式在网络中进行部署和管理，但这一机制也带来了新的安全问题。如果网络中存在非法的NF向特定NF请求敏感数据，或者利用合法的网络功能实体去获取原本不应当获取的数据，均会出现信息泄露，使得原有的安全机制无法对这种攻击方式进行有效防护。

　　针对跨网网元互访安全风险，建议部署必要的安全认证及网络隔离措施。

　　一是网内设备与网外设备之间连接时支持相互安全认证功能。

　　二是通过物理或逻辑隔离的方式，对5G异网漫游网络系统的管理、业务和存储等平面进行隔离。

　　三是信令面网络边界部署SEPP实现内外网隔离，并逻辑隔离不同的漫游伙伴。

　　四是部署网间互通防火墙，避免在不同安全域间跳转带来的安全风险。

　　2.3互联互通接口安全问题

　　5G核心网异网漫游互联互通接口信令面主要为N32接口，用户面主要为N9接口。N32接口实现不同运营商间信令路由转发，若N32接口未采用有效的访问控制机制，将面临接口异常访问或权限滥用等风险，攻击者可调用该接口发送非漫游信令占用接口或者非法请求漫游签约信息。N9接口主要传输用户面数据，也需要必要的安全措施，避免被攻击者利用对网络进行流量攻击。

　　针对漫游互联互通接口安全风险，建议部署必要的访问控制措施。

　　一是漫游互联互通N32接口采用访问控制机制，通过异常调用限制和权限控制，避免接口异常访问或权限滥用等风险。

　　二是SEPP开启协议控制功能，选择允许/不允许哪些协议的报文进入5GC网络，以保证5GC网络的安全。

　　三是SEPP、UPF、BG开启ACL过滤功能，可拦截配置的网络地址和端口。

　　2.4核心网安全问题

　　5G异网漫游时，归属网络方的用户在漫游服务区域内接入拜访网络方的5G网络，由拜访网络核心网为漫游用户提供5G服务。漫游用户在漫游共享5G区域内进行注册、移动、业务更新时，都涉及大量信令交互。若信令交互过程中缺乏有效的安全认证、频率控制等安全机制，攻击者通过伪造虚假漫游请求消息、漫游设备频繁上下线等方式，对拜访网络核心网开展DDoS攻击，将恶意消耗核心网网络资源，破坏漫游业务甚至影响拜访网络自身网络服务的正常运行。

　　针对核心网安全风险，建议对漫游注册、去注册、加密、认证等信令传输实施速率限制功能，避免产生信令风暴，造成合法信令交互延迟甚至无法交互，影响漫游服务正常运行。

　　2.5信令安全问题

　　5G核心网异网漫游网间信令主要面临敏感信息泄露、信令欺诈等安全风险。运营商的部署通常是敏感的，不愿意暴露给其他人。由于网间信令中携带全局唯一域名FQDN信息、号段、IP地址等重要的网络信息，若未采用加密、混淆等方式进行信息转换、修改或替换，网络内部拓扑等敏感信息将可能暴露给对方运营商。因此，跨运营商的消息传输还需要考虑对拓扑等信息更加严密地隐藏。攻击者可利用安全漏洞，通过伪造虚假漫游信令攻击拜访网络，造成漫游服务异常中断。

　　针对5G核心网异网漫游网间信令安全风险，建议部署如下安全措施。

　　一是拜访网络与归属网络应部署安全边缘保护代理SEPP等信令保护机制，以提供异网漫游信令面数据互通安全保护验证。

　　二是信令面网络边界部署SEPP实现拓扑隐藏，避免全局唯一域名FQDN信息、号段、IP地址等重要的网络信息暴露。

　　三是对漫游握手等重要过程提供信令验证机制，可丢弃格式错误或信息不匹配的信令消息。

　　四是提供信令反欺诈机制，基于SEPP局向归属的PLMN，与业务信令中携带的FQDN、PLMN ID等联合检查是否一致。

　　2.6 用户面数据安全问题

　　在5G核心网异网漫游中，N9接口传输的用户面数据基本为GTP-U数据。由于GTP本身存在安全漏洞问题，而GTP安全问题会随着5G网间流量的增长而增加，因此需要增加额外的安全措施，以保障在N9接口上传输的用户面消息的安全，保护其网络免受无效的PLMN间N9流量的影响。

　　对于5G核心网异网漫游用户面数据的安全问题，建议在网络边界部署支持用户面安全网关功能的UPF，保护PLMN间用户面消息，在漫游地网络的UPF与归属地网络的UPF之间的N9接口实施GTP-U安全。用户面安全网关功能具体安全措施包括：用户面安全网关必须仅转发属于有效PDU会话的F-TEID的GTP-U数据包，并丢弃其他数据包；用户面安全网关必须丢弃错误的GTP-U消息。

　　3　结语

　　通过异网漫游方式，能够最大限度保证网络的应用范围和服务质量，更好地贯彻落实新型基础设施建设要求，对网络开放共享进行有效推动，降低重复性建设问题，实现集约高效化的网络覆盖及业务发展模式。鉴于此，需要进一步加大对异网漫游安全问题的重视程度，通过对网络架构及常见安全风险的研究，确定合理预防管控方案，以便将风险影响控制在最小，实现安全化、理想化的异网漫游运行模式，进而更好地为广大用户服务。

　　参考文献

　　[1]王高欢．5G核心网中To B UPF的部署策略[J]．数字通信世界，2022（9）：50-52．

　　[2]刘立海，奚敏，丁建文．铁路5G专网核心网设备云平台建设方案研究[J]．中国铁路，2022（9）：69-75．

　　[3]王蕴实，张曼君，徐雷，等．5G核心网异网漫游安全风险及安全防护策略[J]．通信世界，2022（17）：39-41．

　　[4]马泽芳，马瑞涛，李晨仪．5G异网漫游部署方案研究[J]．邮电设计技术，2021（9）：966-971．