5G初始註冊：NAS、安全與AMF信令

5G初始註冊建立UE的註冊及接入與移動性上下文。AMF確認使用者身分、執行必要的安全程序，並決定允許的接入與切片。僅註冊成功並不會建立網際網路資料路徑：PDU Session Establishment是另一個獨立程序。

在追蹤中區分RRC、NGAP與NAS

以一般NR接入為例，UE會與gNB建立或使用RRC信令連線。RRC透過無線介面攜帶NAS Registration Request。gNB將NAS-PDU置於NGAP Initial UE Message中，連同TAI、NR-CGI等接入位置資訊轉發至AMF。NAS在邏輯上運行於UE與AMF之間；NGAP則運行於gNB與AMF之間。

NAS的5GS registration type在本文討論的一般情況下，用於識別初始註冊、移動性註冊更新、週期性註冊更新或緊急註冊。必選的行動身分識別資訊與按條件出現的資訊具有不同用途。可用的5G-GUTI能指向先前的上下文；否則，通常會依身分選擇規則使用SUCI。Requested NSSAI與UE Security Capability依適用的NAS條件攜帶，並非每個請求都包含的固定欄位清單。

初始接入示意圖顯示UE至gNB的Registration Request，以及送往AMF的Initial UE Message；儀表板數值僅供示意，並非實測結果。 — 初始接入示意圖顯示UE至gNB的Registration Request，以及送往AMF的Initial UE Message；

解析身分並在可用時重用先前的上下文

「初始」描述的是註冊類型，不一定表示使用者第一次使用5G。例如，UE在廣州關機、到北京重新開機後，仍可能保留5G-GUTI。其中的GUAMI有助於辨識先前的AMF。在適用情況下，新AMF會呼叫Namf_Communication_UEContextTransfer，取得身分與移動性上下文，包括可用的安全資訊。

與舊AMF的交互是有條件的。若AMF需要無法以其他方式取得的身分，NAS Identity Request與Identity Response可以提供所請求的身分，例如SUCI。並非每段成功追蹤都必須出現上下文轉移或Identity Request。在把缺少訊息判定為故障前，應先檢查已可用的身分與上下文。

認證與NAS安全解決不同問題

AMF會依適用情況，利用NRF發現或其他受支援的選擇機制選出AUSF。在5G-AKA中，AUSF與歸屬網路的UDM認證功能取得所需認證資料；歸屬網路能將SUCI解析為SUPI。AMF在Authentication Request中發送RAND與AUTN，UE完成自身檢查後在Authentication Response中返回RES*。

AMF推導HRES*並與HXRES*比較，AUSF則將RES*與XRES*核對。這是服務網路與歸屬網路各自進行的不同檢查。本文以5G-AKA為例；EAP-AKA’也是受支援的主認證方法。有效的既有上下文及適用安全規則會影響必須執行哪些程序。

認證建立對使用者憑證的信任。NAS Security Mode利用UE安全能力與網路演算法選擇，建立或啟用適用的NAS保護。這與無線介面安全並不相同。不能僅因出現Authentication Response，就推斷之後所有信令均受到保護；應確認認證結果及Security Mode結果。

包含UE、AMF、AUSF與UDM的認證及NAS安全概念圖；畫面中的追蹤並非逐條對應的真實訊息順序。 — 包含UE、AMF、AUSF與UDM的認證及NAS安全概念圖；

簽約與策略補全接入上下文

需要時，AMF向UDM登記其服務關係，並取得Access and Mobility Subscription Data。Subscribed NSSAI、UE-AMBR、RAT限制、區域限制及週期性註冊參數都可能參與形成最終上下文。資料的取得、更新與重用取決於既有上下文及程序條件；並非每次註冊都必須重新取得每一組資料。

也可能取得SMF Selection Subscription Data，包括適用S-NSSAI對應的DNN相關資訊。取得這些資料本身不會建立SM Context或PDU Session。當接入與移動性策略需要時，AMF可以選擇PCF並建立AM Policy Association。得到的策略可能影響限制及其他移動性決策。

切片授權也必須與位置、簽約及服務AMF的能力一致。若初始AMF無法服務選定的切片，有條件的AMF重分配分支可轉移註冊。這不同於一般的舊AMF上下文取得；後者是取回既有UE上下文，而不是修正目前的服務AMF選擇。

送達Registration Accept並檢查完成條件

完成必要檢查後，AMF向UE發送NAS Registration Accept。若RAN需要初始UE上下文建立，可由NGAP Initial Context Setup Request攜帶；依上下文不同，Downlink NAS Transport也是另一種傳遞路徑。因此，Initial Context Setup並不是每個Registration Accept都無條件使用的載體。

Registration Accept可依適用規則提供新的5G-GUTI、Allowed NSSAI、TAI清單與T3512。UE在NAS完成條件要求時發送Registration Complete，例如確認已分配的5G-GUTI。在檢查Registration Accept內容與相關NAS規則之前，不要將其缺失視為失敗。RAN Initial Context Setup Response與NAS Registration Complete確認的是不同程序。

包含UDM、NRF、PCF與AMF的簽約、策略及完成階段概念圖；畫面中的儀表板數字僅供示意，並非實測結果。 — 包含UDM、NRF、PCF與AMF的簽約、策略及完成階段概念圖；

分開排查註冊與資料連線問題

若Registration Request未送達AMF，應檢查無線信令、gNB的AMF選擇與NGAP Initial UE Message。
若身分識別或認證失敗，檢查行動身分識別資訊、可用的舊AMF上下文、AUSF選擇及認證結果。另行確認NAS Security Mode。
若安全處理成功，之後卻沒有Registration Accept，應檢查必要的UDM操作、NSSAI授權、接入限制、有條件的策略處理，以及是否存在AMF重分配。
若註冊成功但資料不通，應沿PDU Session Establishment追查SMF與UPF。N3資源及PDR、FAR、QER、URR等N4規則屬於會話與使用者平面處理，不能作為註冊完成的證據。

常見問題

T3512控制什麼？

T3512在適用時控制週期性註冊更新。其數值及可能的停用狀態必須依NAS規則解讀；註冊不代表存在統一固定的更新間隔。

一定要出現EIR檢查嗎？

不一定。設備身分檢查取決於程序與電信業者策略。僅缺少該檢查不能證明存在故障。

為什麼一般NR流程沒有N3IWF？

N3IWF支援以非可信非3GPP方式接入5G核心網。本文的NR案例中，UE經由gNB接入，因此該功能不屬於接入路徑。

為什麼不同追蹤中的NRF發現次數不同？

已快取的發現結果、設定及SCP等服務路由機制，都可能改變可見的發現流量。應將選定的網路功能與服務請求相互關聯，而不是要求每次操作前都出現新的NRF交互。