首页 › deep-tech › 5G注册：终端入网的报到仪式

5G注册：终端入网的报到仪式

你刚办完手机卡，开机搜到了满格信号，下一秒微信、抖音就能用了。这"下一秒"里，你的手机其实完成了一场精心编排的报到仪式——注册流程（Registration Procedure）。它不只是"打个招呼告诉网络我在"，而是一场涉及身份核验、密钥协商、权限授予、切片分配的复杂信令芭蕾。

理解注册流程，是理解整个5G核心网的钥匙。因为切换、寻呼、PDU会话建立这些后续流程，全部建立在"注册成功"这个前提之上。本文用一张完整的信令时序图，把这条流程拆到底，让你真正明白"为什么这样设计"。

一、从酒店入住理解注册的本质

想象你去一家大型度假酒店入住。前台不会在你掏出身份证的瞬间就给你房卡，她会做几件事：

  1. 核验身份——刷身份证，确认你是你，且确实有预订（鉴权）；
  2. 签发临时身份——给你一张房卡和一个临时编号，之后你刷卡进泳池、餐厅都靠它，不再反复出示身份证（GUTI分配）；
  3. 约定权限——告诉你哪些区域可去、哪些VIP区不能进、早餐几点（策略下发）；
  4. 登记在册——把你的入住信息写进系统，方便后续找你（位置登记）。

5G的注册流程，本质上就是这套逻辑，只不过"前台"换成了核心网的AMF，"身份证"换成了SUPI，"房卡"换成了5G-GUTI。

为什么必须"报到"

一个手机想在5G网络里获得服务，网络必须先搞清楚三件事：

只有回答完这三个问题，网络才会给你分配临时身份、建立安全通道、授予服务权限。这就是注册的全部意义。

二、核心网的"前台团队"：注册涉及哪些网元

5G核心网采用服务化架构（SBA），注册流程会串起一批网元。我们先用一张图看清它们的分工。

flowchart TD
    UE[UE 用户设备] -->|N1 NAS信令| AMF
    RAN[(gNB 基站)] -.N2转发.-> AMF
    AMF[AMF 接入与移动性管理<br/>总调度/前台经理] --> AUSF
    AUSF[AUSF 鉴权服务<br/>生成鉴权向量] --> UDM
    UDM[UDM 统一数据管理<br/>存SUPI/签约数据<br/>内含SIDF解密SUCI]
    AMF -->|Nudm| UDM
    AMF -->|Npcf| PCF[PCF 策略控制<br/>下发接入与移动策略]
    AMF -.可选.-> SMF[SMF 会话管理<br/>注册可触发PDU会话建立]
    UDM --> UDR[(UDR 用户数据库)]
    PCF --> UDR
网元 在注册中的角色 类比
AMF 流程总调度，收发NAS信令、选鉴权、取签约、分配GUTI 前台经理
AUSF 生成并中转鉴权向量，是鉴权的"裁判席" 安保主管
UDM 存储SUPI和签约数据，内含SIDF负责SUCI→SUPI解密 人事档案室
PCF 下发接入与移动策略（如服务区限制、RFSP索引） 酒店礼宾规则
SMF 注册成功后可选地建立PDU会话 给你开通客房Wi-Fi

记住一个关键：AMF是注册流程的绝对中枢。所有信令都必须经过它，它负责"指挥"其他网元配合完成这场报到。

三、三层身份的设计哲学：SUPI、SUCI、5G-GUTI

在讲信令流程前，必须先理解5G最精妙的设计之一——三层身份体系。这是5G相对4G在隐私保护上的最大进步。

flowchart LR
    subgraph 永久层
        SUPI[SUPI 永久标识<br/>类似4G的IMSI<br/>存在USIM和UDM]
    end
    subgraph 加密层
        SUCI[SUCI 隐藏标识<br/>用网络公钥加密SUPI<br/>空口传输用]
    end
    subgraph 临时层
        GUTI[5G-GUTI 临时标识<br/>注册后由AMF分配<br/>后续信令用]
    end
    SUPI ==ECIES公钥加密==> SUCI
    SUCI ==SIDF在UDM解密==> SUPI
    GUTI -.AMF映射回SUPI.-> SUPI

为什么需要这么多身份？

这要从4G时代的一个顽疾说起——IMSI catcher（IMSI捕获器）攻击。

在4G里，IMSI是永久身份。初始接入时如果没有临时身份可用，手机就只能在空口明文发送IMSI。攻击者架一个伪基站，强制手机交出IMSI，就能批量收割用户身份、追踪行踪。这是个几十年的老问题。

5G的对策是永不让SUPI明文上空口：

  1. SUPI（永久标识）：相当于IMSI，但永远只在USIM卡和核心网UDM里存在，绝不明文传输。
  2. SUCI（隐藏标识）：手机用运营商的公钥，通过ECIES（椭圆曲线集成加密方案）把SUPI加密成SUCI再发出去。即使被伪基站截获，没有运营商私钥也解不开。而且每次注册都生成新的SUCI，防止关联追踪。
  3. 5G-GUTI（临时标识）：注册成功后AMF分配，后续信令都用它，连SUCI都不用反复发。
标识 性质 生命周期 何时使用 隐私级别
SUPI 永久 永久 仅USIM/UDM内部 最高敏感
SUCI 加密一次性 每次注册新生成 初始注册（无GUTI时） 高（已加密保护）
5G-GUTI 临时 AMF周期性重分配 注册后日常信令 中（临时可见）

这套"永久身份深藏、首次接触加密、日常使用临时"的分层设计，是典型的纵深防御思想，彻底堵死了IMSI明文暴露的攻击面。

四、注册流程完整信令时序图

现在进入正题。下面是初始注册的完整信令时序，这是最复杂、最值得吃透的一种注册场景。

sequenceDiagram
    participant UE as UE
    participant RAN as gNB(RAN)
    participant AMF as AMF
    participant AUSF as AUSF
    participant UDM as UDM(SIDF)
    participant PCF as PCF

    Note over UE,RAN: 阶段0：随机接入(RRC建立) 略
    UE->>RAN: Registration Request(SUCI/5G-GUTI)<br/>含注册类型=初始注册
    RAN->>AMF: N2转发 NAS注册请求<br/>(按NSSAI/GUAMI选AMF)

    Note over AMF,UDM: 阶段1：鉴权(5G-AKA)
    AMF->>AUSF: 请求鉴权(Nudm选AUSF)
    AUSF->>UDM: 获取鉴权向量(含RAND/AUTN/XRES*)
    UDM-->>AUSF: 返回鉴权向量
    AUSF-->>AMF: 返回转化后向量
    AMF->>UE: Authentication Request(RAND/AUTN)
    UE->>UE: 验证网络合法性 + 计算RES*
    UE-->>AMF: Authentication Response(RES*)
    AMF->>AUSF: 比对RES*
    AUSF-->>AMF: 鉴权成功

    Note over AMF,UE: 阶段2：NAS安全模式
    AMF->>UE: Security Mode Command(安全算法)
    UE-->>AMF: Security Mode Complete
    Note right of AMF: NAS信令从此加密+完整性保护

    Note over AMF,UDM: 阶段3：取签约数据+位置登记
    AMF->>UDM: Nudm_SDM_Get(取签约)
    UDM-->>AMF: 返回签约(NSSAI/接入权限)
    AMF->>UDM: Nudm_UECM_Registration(登记当前AMF)

    Note over AMF,PCF: 阶段4：建立AM策略关联
    AMF->>PCF: 建立AM Policy Association
    PCF-->>AMF: 返回策略(服务区/RFSP)

    Note over UE,AMF: 阶段5：注册接受
    AMF->>UE: Registration Accept<br/>(分配5G-GUTI/Allowed NSSAI/TAI List)
    UE-->>AMF: Registration Complete

这条流程可以清晰分成五个阶段。下面逐段拆解"为什么这样设计"。

五、阶段详解：每一步的设计意图

阶段1：鉴权——双向认证的5G-AKA

4G时代的EPS-AKA有个隐患：手机能验证网络，但网络不验证手机收到的鉴权结果是否真的来自正确终端（容易受伪基站中继攻击）。5G-AKA的核心改进，是把手机的响应值改成了加星的XRES*。

鉴权的数学骨架是这样的。网络（UDM）生成随机数RAND和认证令牌AUTN，连同期望响应XRES*一起发给AMF；手机用USIM里预置的长期密钥K计算自己的RES*；网络比对两者是否一致。

$$ XRES^* = KDF(K, \text{RAND} | \text{SN-name} | \cdots) $$

这里的关键设计有三层：

  1. 长期密钥K永不离开USIM和UDM——所有运算都在两端本地完成，空口只传挑战和响应，K既不上天也不入网元。
  2. XRES*是"绑定了网络身份"的响应——把服务网络名（SN-name）揉进推导，让伪基站无法把响应"搬运"到别的网络冒用。
  3. 结果比对由AUSF做，再转告AMF——AUSF只告诉AMF一个布尔结果（成功/失败）和衍生的锚点密钥，AMF永远拿不到原始鉴权向量。这是服务化架构下的最小权限设计。

鉴权成功后，会推导出一串密钥层级（这部分Round 7网络安全会专门展开），注册流程从此进入加密通道。

阶段2：NAS安全模式——开启加密通道

鉴权建立的是"信任"，安全模式建立的是"管道"。AMF下发Security Mode Command，告知UE本次NAS信令使用什么加密算法和完整性算法。UE回Security Mode Complete确认。

为什么鉴权之后、业务信令之前要单独搞一步安全模式？ 因为后续的所有NAS消息——取签约、下发GUTI、接受注册——都可能包含敏感信息，必须先加密再谈正事。这条原则叫"先安全，后服务"。

一个常被忽略的细节：NAS完整性保护是强制开启的，连空信令的完整性都要校验。这是5G相对4G的加强——4G的空口完整性保护只针对有限的信令，5G要求全量完整性，防止信令被篡改注入。

阶段3：取签约数据 + 位置登记

安全通道建好，AMF才能放心地向UDM要这个用户的"档案"：

这一步解释了为什么注册必须做完：如果手机只完成鉴权就发业务，网络根本不知道它签约了哪些切片、能不能用某项业务，也没法在别人呼叫它时找到它。注册的"登记在册"，是可达性管理（寻呼）和切片接入的前提。

阶段4：AM策略关联

AMF选择PCF，建立AM Policy Association，拿到接入与移动相关的策略——比如允许的服务区（Service Area Restriction）、无线频率优先级（RFSP）等。这套策略会约束后续这个手机的移动行为。

阶段5：注册接受与GUTI分配

最后AMF下发Registration Accept，里面装着几个关键交付物：

UE回Registration Complete确认收到。至此，报到仪式圆满结束，手机正式成为网络的"在册员工"。

六、注册类型与触发场景

注册不止"初始注册"一种。理解不同注册类型，能帮你读懂现网信令里那些看似相同的流程其实各有所图。

注册类型 触发场景 是否做鉴权
初始注册 开机首次接入，或从无服务恢复 是，完整5G-AKA
移动性注册更新 进入新的注册区（超出TAI List） 可复用上下文
周期性注册更新 定时器超时（保活心跳） 通常可复用
紧急注册 紧急呼叫，无USIM/无签约也可 放宽

一个设计要点：移动性注册和周期性注册往往复用已有安全上下文，不必每次都跑完整鉴权。这是性能与安全的权衡——频繁鉴权消耗算力，但完全不验又留隐患。所以协议设计了"上下文复用"机制，在保证安全的前提下尽量轻量化。

七、切片：注册流程里的"分诊台"

5G网络切片的接入，正是从注册流程开始的。手机在注册请求里会携带请求的NSSAI（Requested NSSAI，即它想用的切片）。RAN据此选AMF，AMF在取完签约后，把Allowed NSSAI（真正允许的切片）通过Registration Accept下发给手机。

flowchart TD
    A[UE请求NSSAI<br/>我想要uRLLC切片] --> B[RAN按切片选AMF]
    B --> C[AMF向UDM核对签约]
    C --> D{签约是否允许?}
    D -->|是| E[下发Allowed NSSAI<br/>含uRLLC]
    D -->|否| F[下发Allowed NSSAI<br/>剔除uRLLC,仅默认切片]

这意味着注册决定了你能不能进某个切片，而不是建PDU会话时才决定。这也是为什么初始注册失败时，常见原因之一就是切片协商不成功。这个"分诊"逻辑解释了RAN为什么要支持按NSSAI路由——AMF可以按切片能力划分，让URLLC业务和eMBB业务落到不同的AMF池。

八、4G附着 vs 5G注册：演进了什么

把4G的Attach和5G的Registration放一起，能看到清晰的演进脉络：

维度 4G Attach（附着） 5G Registration（注册）
永久身份保护 IMSI可能明文上空口 SUPI加密为SUCI，杜绝IMSI捕获
网元交互 点对点接口（Diameter/GTP-C） 服务化接口（SBI/HTTP）
默认承载 Attach必须建默认承载 注册不建会话，PDU会话独立
切片 无 注册阶段协商Allowed NSSAI
完整性保护 仅部分信令 全量NAS信令强制完整性

最值得注意的设计转向是：4G的Attach把"注册"和"建承载"绑在一起（必须建默认承载），5G彻底解耦——注册只管注册，PDU会话单独建立。这让流程更清晰，也让"注册但不建数据连接"（比如只想被寻呼到）成为可能。

九、实战连接：工程师在哪里会用到这些

理论的终点是现网调试。这几个场景，理解注册流程能直接帮你定位问题：

1. 注册失败排查（信令分析仪/抓包） 看Registration Reject的拒绝原因码（Cause Value）。常见几种： - #22 (Congestion)：核心网或切片拥塞； - #7, #11 (Illegal UE/ME)：鉴权失败或终端被列入黑名单——回头查5G-AKA流程，看是RAND/AUTN不匹配还是PEI（终端永久标识）被禁； - #62 (No suitable cells)：服务区限制策略（PCF下发）挡住了，不是无线问题。

2. 鉴权失败的根因 如果反复Authentication Reject，重点查USIM长期密钥K是否与UDM一致、USIM的公钥版本是否匹配（SUCI解不开会直接卡在SIDF）。换卡或重置安全上下文是常用手段。

3. 切片接入异常 手机请求了URLLC切片但业务不通，先看Registration Accept里的Allowed NSSAI有没有这个切片——没有的话，问题出在签约或AMF选择，而不是会话建立。

4. 反复触发初始注册 如果手机周期性回到初始注册而非移动性更新，可能是5G-GUTI始终没被AMF正确分配或保存，导致每次都"重新报到"。检查Registration Accept是否带了GUTI、UE是否存储成功。

十、常见调试陷阱

常见问题

Q1：注册流程和PDU会话建立是什么关系？为什么5G要把它们分开？ A：注册解决"网络认不认识你、允不允许你存在"，PDU会话建立解决"给你一条到数据网的数据通路"。5G把它们解耦，是因为两者生命周期不同——你可以注册了一直不被寻呼（省电），也可以在已注册状态下随时建/拆多个会话。分开后流程更内聚，调度更灵活。

Q2：初始注册时，手机到底发SUCI还是5G-GUTI？ A：优先用5G-GUTI（如果上次注册留下且有效）；没有有效GUTI时，才用SUCI（加密的SUPI）。这正是隐私设计——能用临时身份就绝不暴露永久身份，连加密版的都尽量少发。紧急注册是个例外，会直接用特定标识。

Q3：为什么注册一定要做完鉴权才发业务？不能先给服务再补鉴权吗？ A：因为注册不仅要"服务你"，更要"验证你"和"登记你"。跳过鉴权发业务，等于让未授权用户占用资源、甚至冒充他人；跳过位置登记，网络在需要时根本找不到你。鉴权是信任的根基，必须先立。

Q4：5G-GUTI和SUPI是如何对应起来的？ A：AMF内部维护一张映射表，把分配的5G-GUTI（含AMF标识+5G-TMSI）和鉴权后拿到的SUPI绑定。后续手机用GUTI发信令，AMF查表还原出SUPI和上下文。GUTI周期性重分配，让这个映射"定期换锁"。

Q5：漫游时注册流程有何不同？ A：核心区别在鉴权向量要回归属网络（HPLMN）的UDM/AUSF生成，访问网络（VPLMN）的AMF只是中转。SUCI也始终用归属网络公钥加密，SIDF在归属UDM解密。此外漫游涉及SEPP（安全边缘保护代理）做信令的端到端保护，这是4G没有的安全网关机制。

参考来源

  1. 5G | ShareTechnote — 5G Core Authentication — 经典的5G-AKA鉴权流程图解，含认证向量传递细节
  2. 5G | ShareTechnote — 5G UEID — SUPI/SUCI/5G-GUTI三种标识的权威图解说明
  3. 核心网-5GC注册流程 — ikokomi.de — 中文版的5GC注册信令流程分阶段详解
  4. 5G Authentication — Devopedia — 5G认证机制、密钥层级与GUTI/SUCI使用顺序的综合解释
  5. Introduction to 5G AKA — free5GC — 基于开源5GC实现的5G-AKA协议深度解析

本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。

[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。

51学通信知识星球海报-扫码加入

📎 本分类最新文章