好的，我们继续对TS 23.015的深度拆解。
这是系列文章的第五篇，我们将解读一个在4G和5G时代至关重要的限制类别：2.5A节 Barring of EPS Bearer context establishment (EPS承载上下文建立限制) 和 2.5B节 Barring of PDU Session establishment (PDU会话建立限制)。这两节是运营商在现代分组域网络中控制用户数据接入权限的核心武器。
深度解析 3GPP TS 23.015：2.5A & 2.5B节 4G/5G数据接入限制
本文技术原理深度参考了3GPP TS 23.015 V18.1.0 (2024-06) Release 18规范中，关于“2.5A Barring of EPS Bearer context establishment”和“2.5B Barring of PDU Session establishment”的核心章节。本文旨在为读者详细剖析，在4G EPS和5G 5GS这两种现代移动网络架构下，运营商是如何通过HSS/UDM与MME/SMF的精密协同，在用户发起数据连接请求的第一时间，就实施精准的“网络准入”控制的。
引言：当“上网”的权利被远程“开关”
在我们的故事中，用户美美的“成长守护卡”被父亲设置了“禁止国际漫游时使用数据业务”的ODB规则。我们在概览中已经知道，这条规则使得她在东京机场无法使用地图App。现在，我们要深入到信令层面，去探索这个“禁止”的动作，在4G和5G网络中究竟是如何被精确执行的。
对于用户而言，“上网”就是一个简单的动作。但在网络后台，这个动作对应着一个复杂的技术流程：在4G中，它被称为**“EPS承载上下文建立（EPS Bearer context establishment）”；在5G中，它演进为“PDU会话建立（PDU Session establishment）”**。这两个流程，都是用户手机向网络申请一条专用的“数据管道”的过程。
而ODB的作用，就是在管道建立之初，像一个严格的“管道管理员”，检查用户的“施工许可”。如果没有许可，或者施工地点不符合规定，管理员就会立即叫停，拒绝建立这条管道。TS 23.015的2.5A和2.5B节，正是这位“管道管理员”的工作手册。
1. 2.5A Barring of EPS Bearer context establishment (4G数据接入限制)
本节详细描述了在4G EPS核心网中，如何对用户发起的数据连接请求（在3GPP术语中是“Attach”或“PDN Connectivity Request”）进行限制。
1.1 2.5A.1 策略的部署：Application or Change of Barring in the HSS
If barring of Packet Oriented Services is applied to a subscription … by administrative action in the HSS, the HSS shall update the subscription information accordingly, and transfer the updated subscription information to the MME using one or more Insert Subscriber Data operations… Figure 2.5A.1/1: Transfer of updated subscription information to MME
- 核心流程解读:
- 策略设定于HSS: 运营商在**HSS (Home Subscriber Server)**中，为美美的签约数据配置了分组业务（Packet Oriented Services）的ODB规则。这些规则非常丰富，例如：
- 完全禁止所有数据业务。
- 禁止在漫游时，连接到归属地（HPLMN）的APN。
- 禁止在漫游时，连接到拜访地（VPLMN）的APN。
- 策略下发给MME: 当美美在4G网络中开机附着（Attach）时，或者当运营商在后台为已经在线的美美修改ODB规则时，HSS会通过Diameter S6a接口，使用
Insert Subscriber Data (ISD)或Update Location Answer (ULA)等消息，将这些ODB规则作为签约数据的一部分，主动“推送”或“同步”给当前为美美服务的MME (Mobility Management Entity)。
- 策略设定于HSS: 运营商在**HSS (Home Subscriber Server)**中，为美美的签约数据配置了分组业务（Packet Oriented Services）的ODB规则。这些规则非常丰富，例如：
- 图示解读 (Figure 2.5A.1/1): 这张图展示了当后台（
MS在这里应理解为管理系统）对HSS中的ODB策略进行修改后，HSS立即向MME发送Insert Subscriber data信令，完成策略的动态更新。 - 场景演绎: 在美美出发去日本之前，她的父亲就办理了这项业务。运营商在HSS中为美美的IMSI添加了“禁止在漫游时访问所有APN”的ODB规则。当美美的飞机还在国内时，她正常使用4G网络，她所在的国内MME已经从HSS同步并缓存了这份包含ODB规则的签约数据。
1.2 2.5A.2 限制的触发：Invocation of Barring
这一节是ODB在4G数据业务中的核心执行逻辑。
Barring of EPS Bearer context establishment is invoked in the MME. If the MME receives from an UE connected over E-UTRAN an attach or PDN connectivity request which is prohibited by Operator Determined Barring, the MME shall return a negative response to the request with an appropriate error indication to the UE… Figure 2.5A.2/1: Operator Determined Barring of EPS Bearer Context Establishment in the MME
-
核心流程解读:
- “invoked in the MME” (在MME中被调用/触发): 4G数据接入限制的“执法者”是MME。
- 拦截时机: 当MME收到来自UE的**
Attach Request（其中包含了一个建立默认承载的请求）或独立的PDN Connectivity Request**时。 - MME的决策逻辑: MME在收到请求后，会进行一系列复杂的检查：
- 完全禁止: 如果ODB规则是“完全禁止所有分组业务”，MME会直接拒绝
Attach Request。 - 漫游场景判断: 对于更复杂的漫游限制，MME需要判断两个关键信息：
"whether or not the subscriber is located in the HPLMN": 用户当前是否处于漫游状态？MME通过检查自己所在的PLMN ID与用户IMSI中的PLMN ID是否一致来判断。"the PDN-GW being accessed is located in HPLMN/VPLMN": 用户请求的APN，将要连接到的PDN-GW，是位于归属地（HPLMN，即Home Routed漫游）还是拜访地（VPLMN，即Local Breakout漫游）？MME通过DNS查询或本地配置来获取这个信息。
- 规则匹配与执行: MME将上述判断结果与从HSS获取的ODB规则进行匹配。
- 场景匹配: 美美在日本（漫游状态），她请求连接
internetAPN，这个APN解析到的PDN-GW位于她的归属地（Home Routed）。这个场景正好命中了她父亲设置的“禁止在漫游时使用数据业务”的ODB规则。 - 执行拦截: MME做出拒绝的决策，向美美的手机返回一个
Attach Reject或PDN Connectivity Reject消息，其中携带了特定的ESM（EPS Session Management）原因值，如#31, "request rejected, unspecified"，或者更明确的原因值（如果协议支持），并在NAS层面的原因值中可能指示“Operator Determined Barring”。
- 场景匹配: 美美在日本（漫游状态），她请求连接
- 完全禁止: 如果ODB规则是“完全禁止所有分组业务”，MME会直接拒绝
-
图示解读 (Figure 2.5A.2/1): 图中，
UE向MME发起Attach Request或PDN Connectivity request。MME在内部进行决策（检查ODB规则），然后直接向UE返回Reject消息。这个过程完全在MME内部完成，无需与HSS实时交互，体现了MME作为控制面核心的高效性。
2. 2.5B Barring of PDU Session establishment (5G数据接入限制)
本节将ODB的实现，平滑地演进到了5G服务化架构（SBA）中。其核心逻辑与4G一脉相承，但承载于全新的网元和接口之上。
2.1 2.5B.1 策略的部署：Application or Change of Barring in the UDM
If barring of Packet Oriented Services is applied to a subscription … by administrative action in the UDM, the UDM shall update the subscription information accordingly, and transfer the updated subscription information to the AMF/SMF using Nudm_SDM Notification operation… Figure 2.5B.1/1: Transfer of updated subscription information to AMF/SMF
- 核心流程解读:
- 策略设定于UDM: 运营商在**UDM (Unified Data Management)**中，为美美的SUPI配置分组业务的ODB规则。
- 策略推送给AMF/SMF: 在5G中，签约数据的“消费者”主要是AMF（负责注册和移动性）和SMF（负责会话管理）。当UDM中的ODB数据发生变更时，它会通过服务化接口，向已经订阅了美美数据变更的AMF和SMF，主动发送**
Nudm_SDM_Notification（签约数据管理-通知）**。
- 图示解读 (Figure 2.5B.1/1): 该图展示了
UDM如何通过Nudm_SDM Notification，将更新后的ODB策略，实时地推送给AMF或SMF，完美体现了5G SBA的“订阅/通知”模型。
2.2 2.5B.2 限制的触发：Invocation of Barring
Barring of PDU Session establishment is invoked in the SMF. … the SMF shall return a negative response to the request with an appropriate error indication to the UE over the 5G radio path. … The AMF may also determine a request for PDU Session establishment shall be barred … and indicate the SMF to reject the request. Figure 2.5B.2/1: Operator Determined Barring of PDU Session Establishment in the SMF
-
核心流程解读:
- “invoked in the SMF” (在SMF中被调用/触发): 5G数据接入限制的主要“执法者”是SMF (Session Management Function)，因为它才是负责处理
PDU Session Connectivity Request的核心网元。 - AMF的辅助作用: AMF作为UE接入的第一站，它也存储了部分ODB数据（特别是与注册相关的）。对于“完全禁止分组业务”这类情况，AMF可以在收到UE的
Registration Request时，就直接拒绝注册（For subscribers completely barred..., the AMF may reject the registration requests.）。对于其他情况，AMF会将请求转发给SMF，并可能在转发的消息中，附带上相关的ODB策略，以“提醒”SMF进行检查。 - SMF的决策逻辑: SMF的决策过程与MME类似，它需要判断用户是否漫游、请求的DNN要连接的UPF/PSA（5G的用户面网关）位于HPLMN还是VPLMN，然后与从UDM获取的ODB规则进行匹配。
- 执行拦截: 如果SMF判断违规，它会拒绝PDU会话的建立。这个拒绝的信令会通过AMF，最终传递回UE。
- “invoked in the SMF” (在SMF中被调用/触发): 5G数据接入限制的主要“执法者”是SMF (Session Management Function)，因为它才是负责处理
-
图示解读 (Figure 2.5B.2/1): 图中，
UE发起的PDU Connectivity request，经过无线网络和AMF，最终到达SMF。SMF执行ODB检查后，返回Reject。这个流程清晰地展示了5G中SMF在会话建立过程中的核心决策地位。
FAQ环节
Q1：4G的“EPS承载”和5G的“PDU会话”有什么关系？它们在被限制时，对用户来说有什么区别？ A1：PDU会话可以看作是EPS承载在5G中的演进和超集。一个PDN连接（由默认承载和可选的专用承载构成）在5G中演进为了一个PDU会话（由一个或多个QoS Flow构成）。对用户来说，被限制的体验是相似的：都无法建立数据连接，无法上网。但底层的拒绝信令和原因值有所不同。5G的拒绝原因值定义得更丰富，可能能为终端提供更精确的失败原因。
Q2：为什么在5G中，AMF和SMF都可能参与ODB的决策？ A2：这是5G核心网功能解耦的结果。
- AMF负责接入和移动性管理。对于那些与“接入”本身相关的、最基础的限制，如“完全禁止数据业务”，AMF作为接入的第一道关卡，可以直接进行拦截，效率最高。
- SMF负责会话管理。对于那些与具体“会话”属性相关的复杂限制，如“禁止访问特定DNN”、“禁止漫游时Home Routed”，这些判断需要SMF掌握会话的完整信息（如DNN、切片、UPF位置等）才能做出。 AMF和SMF的这种协同，就像是“门卫”和“房间管理员”的关系：门卫（AMF）可以拒绝被列入黑名单的人进入大楼，而房间管理员（SMF）则负责决定进入大楼的人，可以进入哪个具体的房间。
Q3：规范中提到的“bar a subscriber from requesting Packet Oriented Services from access points that are within the HPLMN whilst the subscriber is roaming in a VPLMN”这条规则，具体是什么应用场景？ A3：这是一个非常典型的漫游成本控制场景。这条规则的含义是：“当我的用户在国外（VPLMN）漫游时，我禁止他使用那些需要把数据流量路由回国内（HPLMN）来处理的APN/DNN。” 这种Home Routed的数据漫游，会占用昂贵的国际运营商间链路，成本很高。因此，运营商可能会通过这条ODB规则，强制用户在漫游时，只能使用数据流量在本地（VPLMN）“ breakout”的APN/DNN（即Local Breakout），从而降低自己的网间结算成本。
Q4：如果我的套餐没有签约VoLTE/VoNR，但我的手机支持，我能用VoLTE/VoNR吗？这也是一种ODB吗？
A4：这不是典型的ODB，但其实现机制与ODB非常相似，都属于签约数据控制。在你的HSS/UDM签约数据中，有一个参数叫"Homogeneous Support of IMS Voice over PS Sessions"或类似的IMS语音支持指示。如果你的套餐没有开通VoLTE/VoNR，这个参数会被设置为“不支持”。当你的手机在Attach时，MME/AMF会收到这个参数，并在响应消息中告知手机：“本网络（或你的签约）不支持IMS语音”。手机收到这个指示后，即使它本身有VoLTE能力，也不会尝试进行IMS注册，而会回落到传统的CS域进行语音通话。
Q5：这些数据接入限制，对物联网（IoT）设备有何特殊意义？ A5：意义重大。对于海量的IoT设备，ODB是实现安全管控和成本控制的关键工具。运营商可以为IoT设备配置非常精细的ODB策略：
- 白名单接入: 使用2.9节的“Barring of Access to All Except Some Specific DNNs/APNs”，可以限制一个水表终端，只能访问用于上报水表数据的特定DNN，禁止它访问任何其他互联网地址，从而防止它被黑客利用发起DDoS攻击。
- 流量类型限制: 可以限制一个设备只能使用低功耗、窄带宽的CIoT特性进行通信，禁止它建立高速的普通数据承载，以节省成本和网络资源。
- 漫游控制: 可以为全球部署的物流追踪器，精细地配置允许漫游的国家和运营商列表。 可以说，没有ODB，大规模、安全的商用物联网是难以想象的。