Diameter協(xié)議學(xué)習(xí)筆記一.doc

Diameter協(xié)議學(xué)習(xí)筆記一(協(xié)議介紹)一、摘要： Diameter協(xié)議主要為應(yīng)用程序提供認(rèn)證、鑒權(quán)、計(jì)費(fèi)框架，即AAA，并支持本地AAA和漫游場(chǎng)景下的AAA。二、介紹： AAA協(xié)議、例如TACACS、RADIUS起初是為了提供PPP及終端接入，隨著Internet及新的接入技術(shù)的發(fā)展，包括無(wú)線、DSL、移動(dòng)IP, 以太網(wǎng)路由、網(wǎng)絡(luò)訪問(wèn)服務(wù)器（NAS）在復(fù)雜和密集性方面有所增強(qiáng)，這對(duì)AAA協(xié)議提出了新的要求。例如，網(wǎng)絡(luò)訪問(wèn)對(duì)AAA 協(xié)議提出的要求總結(jié)有以下這些： Failover（故障轉(zhuǎn)移）RADIUS協(xié)議沒(méi)有定義failover機(jī)制，因此，failover的行為隨著程序的實(shí)現(xiàn)不同而各異，為了提供一個(gè)明確定義的failover行為，Diameter支持應(yīng)用層的應(yīng)答，并定義failover的西裝算法和偶聯(lián)狀態(tài)機(jī)。 傳輸層安全 RADIUS在定義了應(yīng)用層的認(rèn)證，但僅使用了響應(yīng)包，RADEXT定義了另外的認(rèn)證，但僅要求在EAP session中使用，且支持屬性隱藏。RFC3162為RADIUS定義了IPsec，但對(duì)其支持并沒(méi)有做要求，Diameter強(qiáng)制要求支持IPSec,TLS的支持可選擇。 可靠傳輸 RADIUS運(yùn)行在UDP上，且沒(méi)有定義重傳行為，所有，可靠性因?qū)崿F(xiàn)不同而各異。Diameter運(yùn)行在可靠的傳輸層（TCP, SCTP）上。 代理支持 RADIUS沒(méi)有明確地規(guī)定支持agent，包括Proxies, Redirects, Relays。Diameter明確地定義了代理的行為。 服務(wù)器發(fā)起消息 RADIUS中對(duì)于服務(wù)器發(fā)起消息的支持是可選的，這就使用一些如主動(dòng)斷鏈、或者重新認(rèn)證或重新鑒權(quán)等特性實(shí)現(xiàn)困難。服務(wù)器發(fā)起消息在Diameter中強(qiáng)制要求支持。 可審核性 RADIUS沒(méi)有定義數(shù)據(jù)對(duì)象安全機(jī)制，結(jié)果，不受信任的代理可能修改屬性或都包頭，并且不會(huì)被檢測(cè)出來(lái)，結(jié)合對(duì)能力協(xié)商機(jī)制的缺失，無(wú)法預(yù)期結(jié)果會(huì)發(fā)生什么。Diameter也沒(méi)有定義數(shù)據(jù)對(duì)象安全機(jī)制，但支持能力協(xié)商。 轉(zhuǎn)換支持 Diameter使用的通用協(xié)議數(shù)據(jù)單元(PDU)與RADIUS不同，但支持向前兼容RADIUS,所以兩種協(xié)議可以部署在同一網(wǎng)絡(luò)中。 能力協(xié)商 RADIUS不支持錯(cuò)誤消息、能力協(xié)商、及表示屬性強(qiáng)制/非強(qiáng)制的標(biāo)志位。因此RADIUS的客戶端和服務(wù)端不擔(dān)心對(duì)方的能力，它們可能不會(huì)成功地協(xié)商一個(gè)相互接受的服務(wù)，或者在一些情況下，需要知道哪些服務(wù)對(duì)端已經(jīng)實(shí)現(xiàn)，以上幾點(diǎn)Diameter均支持。 對(duì)端發(fā)現(xiàn)及配置 RADIUS要求人工配置服務(wù)端或客戶端的名稱或地址，相應(yīng)地增加了秘密的共享，帶來(lái)管理和安全上的負(fù)擔(dān)。通過(guò)DNS，Diameter可以動(dòng)態(tài)發(fā)現(xiàn)對(duì)端，并通過(guò)傳輸層安全來(lái)保證。 漫游支持 RADIUS不提供對(duì)proxyr的明確支持，缺少可審核性、傳輸層安全，使得在漫游場(chǎng)景下容易引發(fā)安全問(wèn)題，Diameter支持域內(nèi)漫游、消息路由、可審核性、傳輸層安全特性，可提供可安全和可靠的漫游。術(shù)語(yǔ)： AAA 認(rèn)證、鑒權(quán)、計(jì)費(fèi) Accounting（計(jì)費(fèi)） 為能力計(jì)劃制定、審計(jì)、賬單、費(fèi)用分配等目的而進(jìn)行資源使用的信息的收集動(dòng)作。 Accounting Record (計(jì)費(fèi)記錄) 記錄某個(gè)用戶在整個(gè)會(huì)話期間資源消費(fèi)的情況， Authentication(認(rèn)證) 校驗(yàn)一個(gè)實(shí)體一致性的動(dòng)作。 Authorization(鑒權(quán)) 決定一個(gè)請(qǐng)求實(shí)體是否允許訪問(wèn)某項(xiàng)資源。 AVP (屬性值對(duì))Diameter消息由一個(gè)報(bào)文頭后跟一個(gè)或多個(gè)Attribute-Value-Pairs(AVPs),一個(gè)AVP包含一個(gè)頭用于協(xié)議細(xì)節(jié)數(shù)據(jù)（例如路由信息）。 Broker (代理) 代理是一個(gè)用于AAA架構(gòu)中的商業(yè)術(shù)語(yǔ)，可以是relay, proxy,或者redirect agent。 Diameter Agent(Diameter 代理) 指一個(gè)提供relay、proxy、redirect或翻譯服務(wù)的diameter結(jié)點(diǎn)。 Diameter Client(Diameter 客戶端)為一個(gè)處于網(wǎng)絡(luò)邊緣的，提供訪問(wèn)控制的設(shè)備。如NAS。 Diameter Node（Diameter 節(jié)點(diǎn)） 為一個(gè)實(shí)現(xiàn)了diameter協(xié)議的主機(jī)進(jìn)程，其行為為客戶端、代理、服務(wù)端之一。 Diameter Peer (Diameter 對(duì)端) 為一個(gè)具有直連連接的diameter節(jié)點(diǎn)。 Diameter Security Exchange (diameter 安全交換) 為一個(gè)進(jìn)程，兩個(gè)diameter節(jié)點(diǎn)可以通過(guò)它建立端到端的安全。 Diameter Server(diameter 服務(wù)端) 用于處理指定域中認(rèn)證、鑒權(quán)、計(jì)費(fèi)請(qǐng)求。 End-to-End Security (端到端安全) TLS和IPSec提供逐跳的安全，當(dāng)relays或proxy很復(fù)雜時(shí)，逐跳的安全不能保證全部的diameter用戶會(huì)話，端到端安全為兩個(gè)diameter節(jié)點(diǎn)間的安全，或者Agent間的，這種安全保證了整個(gè)dimeter傳送路徑上的安全。 Home Realm（歸屬域） 為一個(gè)維護(hù)帳戶關(guān)系的管理域。 Interim accounting(臨時(shí)計(jì)費(fèi)) 一個(gè)臨時(shí)計(jì)費(fèi)消息提供一個(gè)用戶會(huì)話的使用快照，通常為一個(gè)用戶會(huì)話在設(shè)備重啟或者網(wǎng)絡(luò)問(wèn)題出現(xiàn)時(shí)提供部分的計(jì)費(fèi)。 Local Realm（本地域） 一個(gè)提供服務(wù)的管理域。 Multi-Sessin(多會(huì)話） 一個(gè)多會(huì)話表示多個(gè)會(huì)話的邏輯連接，多會(huì)話使用Acct-Multi-Session-Id來(lái)跟蹤。 Network Access Identifier（網(wǎng)絡(luò)接入標(biāo)識(shí)） 即NAI，用來(lái)在diameter協(xié)議中提取一個(gè)用戶的標(biāo)識(shí)及域。用于在認(rèn)證中識(shí)別用戶，域用來(lái)消息路由。 Proxy Agent or Proxy (代理) 除傳輸請(qǐng)求和響應(yīng)外，代理制定與資源有關(guān)的策略，通常用來(lái)完成NAS設(shè)備狀態(tài)的跟蹤，代理在收到一個(gè)服務(wù)端的響應(yīng)前不會(huì)對(duì)客戶端的請(qǐng)求進(jìn)行應(yīng)答。當(dāng)策略被違反時(shí)，它們可能會(huì)生成一個(gè)拒絕消息。因此，代理需要理解通過(guò)它們傳輸?shù)南⒌恼Z(yǔ)義，它們可能不支持所有的diameter應(yīng)用。 Realm(域) 在NAI中跟在符號(hào)之后的字符串，NAI的域要求為唯一的，且為DNS域的分段，用于判斷消息是否滿足本地處理的條件，或者被路由或重定向。 Real-time Accounting(實(shí)時(shí)計(jì)費(fèi)) 它包含在一個(gè)限定的時(shí)間窗內(nèi)處理資源使用的信息，時(shí)間限制通常用來(lái)限制風(fēng)險(xiǎn)。 Relay Agent or Relay(中繼代理或轉(zhuǎn)播) 轉(zhuǎn)播請(qǐng)求和響應(yīng)基于路由相關(guān)的AVPs和路由表，中繼不會(huì)制定策略，他們不會(huì)檢查或更改非路由AVPs,因此，中繼從不產(chǎn)生消息，不需要理解消息的語(yǔ)義或者非路由AVPs,可能會(huì)處理八種diameter應(yīng)用或消息類型，因此，中繼依據(jù)路由和域來(lái)做決定，并且不保存NAS資源使用的狀態(tài)或會(huì)話。 Redirect Agent(重定向代理) 與其在客戶端和服務(wù)端間傳遞消息，重定向代理涉及客戶端和服務(wù)端，并允許它們直接通信，所以重定向代理不出現(xiàn)在傳輸路徑中，它們從不修改客戶端和服務(wù)端傳輸?shù)娜魏蜛VPs,也不產(chǎn)生消息，可以處理任何消息類型，盡管它們可能僅配置為重定向特定類型的消息，與Proxy代理相比，重定向代理不保存會(huì)話或NAS資源相關(guān)的狀態(tài)。 Security Association(安全偶聯(lián)) 一個(gè)安全的偶聯(lián)是指兩個(gè)端點(diǎn)之間的diameter會(huì)話，此會(huì)話允許端點(diǎn)完整且可信地通信，包括中繼和/或Proxy。 Session（會(huì)話） 會(huì)話是指一個(gè)事件相關(guān)的活動(dòng)。每個(gè)應(yīng)用應(yīng)該為會(huì)話的開(kāi)始和結(jié)束提供指導(dǎo)，所有具有相同會(huì)話標(biāo)識(shí)的diameter包被認(rèn)為同一個(gè)會(huì)話的一部分。 Sub-session(子會(huì)話) 一個(gè)子會(huì)話表示一個(gè)明確的服務(wù)（例如Qos）,這些服務(wù)可能同時(shí)或連續(xù)發(fā)生（例如同時(shí)產(chǎn)生的語(yǔ)音和同一會(huì)話中傳輸?shù)臄?shù)據(jù)）。此類會(huì)話由Accounting-Sub-Session-Id來(lái)跟蹤。 Transaction state(傳輸狀態(tài)) Diameter協(xié)議要求代理來(lái)維護(hù)傳輸狀態(tài)，用于failover。傳輸狀態(tài)暗指一個(gè)請(qǐng)求，逐跳標(biāo)識(shí)被保存，且原來(lái)存儲(chǔ)對(duì)應(yīng)應(yīng)答接收時(shí)的初始值字段被本地唯一標(biāo)識(shí)符替代，當(dāng)拒絕一個(gè)應(yīng)答時(shí)請(qǐng)求的狀態(tài)被釋放。 Translation Agent(傳輸代理) 是指為一個(gè)具有狀態(tài)的dimaeter節(jié)點(diǎn)，用于在diameter和其它的AAA協(xié)議（如RADIUS）間進(jìn)行翻譯。 Translation Connection(傳輸連接) 一個(gè)傳輸連接是指直接存在于兩個(gè)diameter對(duì)端間的TCP或SCTP連接，或者說(shuō)端到端連接。 Upstream(上行） 用來(lái)標(biāo)識(shí)一個(gè)特定的diameter消息從接入設(shè)備到歸屬服務(wù)器的傳送方向。 User(用戶) 產(chǎn)生請(qǐng)求或使用某些資源的實(shí)體，支持diameter客戶端產(chǎn)生一個(gè)請(qǐng)求。 鏈接和會(huì)話的區(qū)別： 鏈接為傳輸層概念，會(huì)話為應(yīng)用層的概念，通過(guò)AVP Session-Id來(lái)標(biāo)識(shí)，兩者之前沒(méi)有聯(lián)系。如下圖： +-+ +-+ +-+ | Client | | Relay | | Server | +-+ +-+ +-+ peer connection A peer connection B User session x Figure 1: Diameter connections and sessions 對(duì)端表 用于消息傳遞和路由表全使用，包括以下信息：1. Host標(biāo)識(shí)：包括Origin-Host AVP，在CER/CEA消息中使用。2. StatusT:對(duì)端實(shí)體的狀態(tài)。3. Static or Dynamic:指對(duì)端是靜態(tài)配置的還是動(dòng)態(tài)發(fā)現(xiàn)。4. Expiration time:指使用動(dòng)態(tài)發(fā)現(xiàn)機(jī)制時(shí)刷新超時(shí)的時(shí)長(zhǎng)。5. TLS Enablee: 與對(duì)端通信時(shí)是否使用TLS。 基于域名的路由表1. 域名：用于查找路由表時(shí)使用的主鍵。2. 應(yīng)用程序標(biāo)識(shí)：使用一個(gè)Vendor id和一個(gè)applicaiont id標(biāo)識(shí)，其為路由表的第二主鍵。3. Local Action:決定消息如何處理,有以下幾個(gè)選項(xiàng)： LOCAL:本地處理，不需要路由到下一個(gè)服務(wù)器。 RELAY:路由到下一跳，注意不修改任何非路由的AVP。 PROXY:路由到下一跳，注意可能會(huì)在消息中添加新的AVP。 REDIRECT:具有一個(gè)源diameter服務(wù)器的標(biāo)識(shí)，且將消息返回給發(fā)送者。4. 服務(wù)器標(biāo)識(shí)：必須出現(xiàn)在對(duì)端表中，當(dāng)Local Action為RELAY或PROXY時(shí)，此字段標(biāo)識(shí)消息被路由到的地址，當(dāng)為REDIRECT時(shí),表示消息應(yīng)該重定向到的一個(gè)或多個(gè)服務(wù)器。5. Static or Dynamic:路由信息是靜態(tài)配置還是動(dòng)態(tài)發(fā)現(xiàn)。6. Expirationtime:與對(duì)端表中的含義相同。另外，路由表必須包含一條默認(rèn)路由。Diameter消息應(yīng)用層的路由1.創(chuàng)建和發(fā)送Request消息：1)產(chǎn)生一個(gè)Request消息時(shí)，必須遵守下列規(guī)則：設(shè)置頭部的Command code；設(shè)置頭部的R位；設(shè)置頭部的End-to-End為本地的唯一值；Origin-Host和Origin-Realm AVPs必須攜帶,用來(lái)標(biāo)識(shí)消息的源地址；Destination-Host和Destination-Realm AVPs需根據(jù)以下規(guī)則設(shè)置；a)不能被Proxy的消息一定不能帶Destination-Realm and Destination-Host AVPs；b)如果消息是發(fā)往某個(gè)realm而不是具體的host，則只攜帶Destination-Realm AVP；c)如果消息是發(fā)往某個(gè)具體的host，則需要同時(shí)攜帶Destination-Realm and Destination-Host AVPs；如果消息有可能被轉(zhuǎn)發(fā)，則消息中還必須攜帶下列AVP之一：an Acct-Application-Id AVP, an Auth-Application-Id AVP or a Vendor-Specific-Application-Id AVP；2)當(dāng)發(fā)送一個(gè)Request消息時(shí)，無(wú)論是源主機(jī)發(fā)送還是Agent轉(zhuǎn)發(fā)，都需要執(zhí)行下列操作：a)設(shè)置頭部的Hop-by-Hop為本地的唯一值；b)將該消息放入Pending Request消息隊(duì)列；2.收到Request消息：1)當(dāng)一個(gè)Diameter節(jié)點(diǎn)收到一個(gè)Request消息后，有如下四種可能的處理方式：a)如果滿足如下條件，則本地處理：Destination-Host AVP包含了本地host的標(biāo)識(shí),或者Destination-Host AVP不存在, Destination-Realm AVP經(jīng)過(guò)在路由表中查詢被配置為本地處理,或者Destination-Host和Destination-Realm都不存在；b)如果Destination-Host AVP存在于本地的Peer table中，則執(zhí)行Request Forwarding：c)如果沒(méi)有本地處理也沒(méi)有進(jìn)行Request forwarding，則根據(jù)Destination-Realm AVP和Auth-Application-Id或Acct-Application-Id或Vendor-Specific-Application-Id查找Realm Routing Table，執(zhí)行Request Routing；d)返回錯(cuò)誤DIAMETER_UNABLE_TO_DELIVER；注意：這里區(qū)分了Request forwarding和Request Routing；本文其它地方提到的“轉(zhuǎn)發(fā)”都是泛指消息非本地處理的情況；2)Request消息在被Relay或者Proxy的時(shí)候，Relay Agent和Proxy Agent需要做如下工作：a)在轉(zhuǎn)發(fā)出去的Request消息中插入Route-Record AVP，里面包含發(fā)送該Request消息的主機(jī)標(biāo)識(shí)；b)保存和該Request消息相關(guān)的：Protocol，IP Address，Port，Hop-by-Hop標(biāo)識(shí)；保存這些信息是為了收到與該Reqeuest消息對(duì)應(yīng)的Answer消息后能夠?qū)nswer消息正確的轉(zhuǎn)發(fā)出去；3.創(chuàng)建Answer消息：當(dāng)一個(gè)Request消息被本地處理后，必須按照如下規(guī)則創(chuàng)建并發(fā)送Answer消息：從Request消息中拷貝Hop-by-Hop填入Answer消息；將本地主機(jī)標(biāo)識(shí)作為Origin-Host AVP；Destination-Host和Destination-Realm AVPs不允許出現(xiàn)在Answer消息中；加上Result-Code AVP指示成功與否.如果Reqeust消息中包含了Session-Id，那么Answer消息中也應(yīng)該包含該值；在Request消息中的任何Proxy-Info AVPs都應(yīng)原封不動(dòng)的拷貝到Answer消息中；P位需要和Request消息中保持一致；End-to-End需要和Request消息中保持一致；4.收到Answer消息：當(dāng)收到一個(gè)Answer消息時(shí)需要如下操作：檢查其Hop-by-Hop，從Pending Request隊(duì)列中找到與其一致的Reqeust消息，然后將Reqeust消息從Pending Request隊(duì)列中刪除；如果是Agent收到Answer消息，Agent需要將Hop-by-Hop替換為先前保存的Reqeust中的Hop-by-Hop，然后再將Answer消息轉(zhuǎn)發(fā)出去；下圖是Diameter節(jié)點(diǎn)經(jīng)由Relay Agent發(fā)送一個(gè)Request消息給并收到Answer消息的示意圖，該圖主要為了說(shuō)明Hop-by-Hop和End-to-End兩個(gè)標(biāo)識(shí)的作用：Diameter基礎(chǔ)協(xié)議摘要Diameter是新一代AAA協(xié)議，可以承載與TCP或者SCTP協(xié)議之上，被廣泛應(yīng)用于IMS，LTE網(wǎng)絡(luò)中。RFC3588定義了Diameter的基礎(chǔ)協(xié)議，各種應(yīng)用可以在此基礎(chǔ)上對(duì)其進(jìn)行擴(kuò)展(主要是定義新的Application ID，Command和AVP)；基礎(chǔ)協(xié)議中包括一個(gè)基本的Accounting功能，如果需要Authentication或者Authorization通常需要進(jìn)行對(duì)基礎(chǔ)協(xié)議擴(kuò)展。1.基本概念：Connection:是傳輸層的概念，負(fù)責(zé)在兩端直接傳輸Diameter消息；Session:是應(yīng)用層的概念，可以用Session-id這AVP來(lái)標(biāo)識(shí)；下圖展示了Connection與Session的區(qū)別；+-+-+-+| Client | Relay | Server |+-+-+-+peer connection Apeer connection BUser session xDestination Host：用于標(biāo)識(shí)一臺(tái)運(yùn)行Diameter應(yīng)用的主機(jī)，命名方式類似DNS格式，但并不是域名，只是一個(gè)標(biāo)識(shí)符而已，一臺(tái)運(yùn)行Diameter應(yīng)用的主機(jī)可以支持一個(gè)或者多個(gè)Diameter應(yīng)用；Destination Realm：用于標(biāo)識(shí)一組運(yùn)行Diameter應(yīng)用的主機(jī)，可以將多臺(tái)Host劃歸為一個(gè)Realm中；Peer Table：用于消息路由的數(shù)據(jù)配置，Peer table中的主機(jī)都是能和本地主機(jī)之間通信的(也就是說(shuō)中間無(wú)需經(jīng)過(guò)消息轉(zhuǎn)發(fā))，格式如下表：Host identityStatusTStatic or DynamicExpiration R-OR-Opendynamically10Realm-Based Routing Table:用于消息路由的數(shù)據(jù)配置，格式如下表：Realm NameApplication IdentifierLocal ActionServer IdentifierStatic or DynamicExpiration timeexample16777250RELAYstatically0example16777272RELAYdynamically102.Diameter Agents：Relay Agents：對(duì)消息進(jìn)行轉(zhuǎn)發(fā)，只增加或者刪除路由信息，而不會(huì)修改任何應(yīng)用層信息；在CER/CEA進(jìn)行能力交互時(shí)，需要返回自己支持的Application ID為Relay Application Identifier；使用Relay Agents的好處是簡(jiǎn)化網(wǎng)絡(luò)的復(fù)雜性，不需要對(duì)所有Diameter節(jié)點(diǎn)都進(jìn)行復(fù)雜的配置，比如只需配置節(jié)點(diǎn)讓Diameter消息轉(zhuǎn)發(fā)到Relay Agents，然后在Relay Agents上進(jìn)行比較全面的路由配置即可。Proxy Agents：Proxy Agents也負(fù)責(zé)轉(zhuǎn)發(fā)消息，與Relay Agent不同的是，它需要理解應(yīng)用層的信息，進(jìn)而維護(hù)Transaction的狀態(tài)；在CER/CEA進(jìn)行能力交互時(shí)，需要返回自己支持的所有Application ID；Redirect Agents：收到Diameter消息后不進(jìn)行轉(zhuǎn)發(fā)，而是回復(fù)一個(gè)應(yīng)答消息給發(fā)送者，應(yīng)答消息中包含一個(gè)或者多個(gè)地址，告訴發(fā)送者應(yīng)該將消息發(fā)往這些地址；Translation Agents：完成Radius和Diameter協(xié)議之間的轉(zhuǎn)換；3.消息格式：MAC headerIPheaderSCTP|TCPheaderDiameter headerData :1)Diameter header:0001020304050607080910111213141516171819202122232425262728293031VersionMessage lengthFlagsCodeRPETrrrrApplication IDHop by Hop IDEnd to End IDAVP :Version:Diameter的版本號(hào)，目前為1；Message length：包含頭部在內(nèi)的消息長(zhǎng)度，也就是頭部+所有AVP的長(zhǎng)度之和；Flags:R(equest):如果置位表示這是一個(gè)Request消息；P(roxiable)：如果被置位說(shuō)明該消息可以被轉(zhuǎn)發(fā)，否則必須本地處理；E(rror)：如果置位，說(shuō)明產(chǎn)生了一個(gè)協(xié)議錯(cuò)誤，只能出現(xiàn)在Answer消息中；T:如果被置位，說(shuō)明該消息有可能是一個(gè)被重傳的消息；r:保留位；Code:消息命令碼，用來(lái)標(biāo)識(shí)各種Diameter消息，由IANA負(fù)責(zé)統(tǒng)一分配；Application ID:用來(lái)表示不同的Diameter應(yīng)用，由IANA負(fù)責(zé)統(tǒng)一分配；Hop by Hop ID：用來(lái)匹配Request和Answer消息，在一個(gè)指定的Connection上的任何時(shí)間都必須是唯一的；該值在Diameter消息轉(zhuǎn)發(fā)時(shí)會(huì)被Agent修改；End to End ID：用來(lái)識(shí)別重復(fù)消息；該值在本地的一段時(shí)間內(nèi)必須是唯一的，傳輸過(guò)程中一直保持不變；目標(biāo)主機(jī)會(huì)根據(jù)該值和Or