CN100403729C - Sip软交换系统中呼叫控制与媒体流穿越私网的方法 - Google Patents

Abstract

SIP软交换系统中呼叫控制与媒体流穿越私网的方法，通过包括公网，私网，连接在公网上的SIP代理服务器、重定向服务器和媒体流代理服务器，连接在私网上的各种用户终端以及连接公网私网的NAT/Firewall的软交换系统实现信令和媒体流控制，具体方法是：私网中的各种终端设备定期向重定向服务器注册，主叫方通过重定向服务器得到被叫方设备的公网地址和私网地址，主叫双方通过媒体流代理服务器建立起通信，这种方法适合于基于SIP协议的软交换系统，使凡是符合标准的SIP软交换外围设备都可以互联互通，兼容性好；信令和媒体流透明的穿越NAT/Firewall，可以穿越多层NAT/Firewall，可以穿越多种NAT/Firewall；而且不需要预占通道，可以节省用户、网络和软交换系统的大量资源。

Description

SIP软交换系统中呼叫控制与媒体流穿越私网的方法

技术领域

本发明涉及一种IP通信方法，特别是涉及一种在NAT/Firewall环境中的SIP软交换系统中呼叫控制与媒体流穿越私网的方法。

背景技术

随着互联网络技术的发展，基于IP网络协议的软交换技术也在飞速发展。软交换又称为呼叫代理、呼叫服务器或媒体网关控制器。软交换技术的基本概念是把呼叫控制功能从传输层(媒体网关)中分离出来，通过服务器上的软件实现基本呼叫控制功能，如呼叫选路、信令互通、管理控制(建立会话、拆除会话)等。和传统的程控交换机不同，传统程控交换机的呼叫控制是和业务结合在一起的，不同的业务需要的呼叫控制功能不同。在这一点上软交换是和传统的程控交换机不同，其呼叫控制是和业务无关的，软交换提供的呼叫控制功能是一种基本呼叫控制。由于把呼叫控制和数据传输分离开来，为控制、交换和软件可编程功能建立了分离的平面，使业务提供者可以方便地将传输业务与控制协议结合起来，实现基本业务和补充业务的转移。软交换技术将使语音网与数据网完美融合，集语音、数据、视频等所有形式的信息为一体，形成综合性网络，促进各项增值业务的快速发展。

软交换通常采用目前比较看好的信令控制协议——SIP(会议初始化协议)。SIP模式的优点是与互联网紧密结合，在风格上遵循互联网一贯的简练、开放、兼容和可扩展等原则，具有简单灵活、分布式控制等优点，适于开发新的、与互联网结合的语音应用，成为IP领域中运用最广泛的信令控制协议，使用SIP协议的终端称为SIP终端。在SIP中，还需要SDP协议来描述会话通告，其中包括媒体的地址端口等消息。

随着基于TCP/IP的互联网的普及，各种规模的局域网被大量组建应用，在这种局域网中，各个网络设备采用局域网的IP地址在局域网注册，连接组成相对独立和封闭的网络。这种局域网一般称为私有网络(简称私网)，相对应的，互联网称为公网。这些局域网中的网络设备使用私网地址。可以说，在当今的网络世界里，使用私网IP地址的网络设备的数量，要远远大于拥有合法互联网(公网)IP地址的设备数量。

为了能够让一个私网中的每一个终端都可以访问私网外部的资源，通常在私网和公网之间使用网络地址端口转换(NAT)来给请求访问外部网络的内部终端分配一个合法的公网IP地址和一个端口号，完成对外部网络访问的实现。一般来说，由于现在使用的IP协议的地址资源有限，一个私网能够申请到的公网地址的数量是远远低于私网中的终端数量的，所以NAT只是给主动请求访问公网资源的终端临时性的分配合法公网地址和端口。

为了网络的安全，私网和公网之间一般还安装有防火墙。NAT和防火墙通常同时使用，合称为NAT/Firewall，其组合有多种类型。在NAT与Firewall综合考虑分析的情况下，NAT与Firewall可以分成4类(在RFC3489中定义)：a.完全模式(Full cone)；b.限制模式(Restricted Cone)；c.端口限制模式(Port Restricted Cone)；d.对称模式(Symmetric)。

防火墙检查从外部网络进来的每一个数据包的目的地址和目的端口号，它经常这样设置：如果防火墙内的一台终端A向防火墙外的一台终端B主动发出请求要数据，防火墙会让终端B发回的数据包在目的地址、端口号都相同时通过；如果终端B发回的数据包目的地址相同，但是端口号不一样，防火墙也会抛弃这个数据包。根据NAT/Firewall类型的不同，对通信的影响也不尽相同，四种NAT/Firewall中对称模式是最严格的。

这就可以看出，NAT/Firewall在带来节省IP地址空间、私网安全等好处的同时，破坏了互联网最基本的“端到端的透明性”的设计理念，增加了网络的复杂性，阻碍了业务的创新。由于对于私网中的任何一个终端，其访问外部网络时的IP地址和端口号是仅仅在这个终端主动发起请求时才给与分配的，这就出现了NATNAT/Firewall影响软交换的问题。

NAT/Firewall对信令指令的影响：现在假设我们具有一个如图1所示的基于SIP协议的软交换网络，在这个网络中，终端Tel A与终端Tel B在私网内，只有私网IP地址，若终端A向终端B发起呼叫请求，则会产生一个如图1第一行所示的INVITE sip：999@172.0.0.3SIP/2.0(SDP of 10.0.0.2：5004)请求包，这个请求包在经过SIP代理服务器发往10.0.0.7端口5060上，因为终端B在私网中，显然由于NAT/Firewall的影响，这个请求包时到达不了终端B的，通话无法建立。

NAT与Firewall对信令通信的影响：如图1消息顺序图所示，在这个简单的语音呼叫业务过程中，所有打叉的地方都是NAT阻碍通信的地方。如在对应的3：INVITEsip：999@10.0.0.7：5060 SIP/2.0(SDP of 10.0.0.2：5004)，SIP Proxy会把这SIP的INVITE包发到10.0.0.7地址的5060端口上，但实际按照最严格的NAT(上面讨论的Symmetric模式的NAT)，这个包是无法到达话机B的，通话当然也无法建立，因为话机B在NAT后，网络无法正确的直接路由的。其他的几个有叉的地方也有类似的问题。

NAT与Firewall对媒体流通信的影响：如图1消息顺序图所示，RTP使用UDP协议，一般没有固定的端口。当A呼叫B时，INVITE包里的SDP就描述了话机A为通话所准备的地址与端口如10.0.0.2：5004，这样在通话正常建立起来后，话机B的媒体流RTP包的目的地址，就应该是10.0.0.2：5004，但有NAT的影响，这个包是无法到达A的。同样的道理，B在给A发回SIP包200 OK(SDP of 10.0.0..7：5005)时也告诉A了准备好的地址与端口，A在通话建立后，向10.0.0..7：5005发的包一样遭到NAT的影响，无法到达目的地址。

为解决NAT对网络通信的影响，目前已经有了不少的方法，比较常用的有以下几种：

1.DMZ Proxy。通过把SIP代理放在DMZ区域来解决防火墙和NAT穿越问题。缺点是对于多层NAT无法穿越。

2.应用层网关。应用层网关(Application layer gateways)被设计成能识别指定IP协议(如SIP协议)的防火墙，也被叫做ALG Firewall。它不是简单地察看数据包包头消息来决定数据包是否可以通过，而是更深层的分析数据包负载内的数据，也就是应用层的数据。缺点是需要修改或升级防火墙。

3.隧道穿透。隧道穿透解决方案由两个组件构成，Server软件和Client。Server放在公网，Client放在私网内，他们之间建立了常连接的通道。缺点是需要建立TCP的常连接，占用网络资源多。

4.STUN。终端先向Stun服务器发消息，Stun服务器检测出终端所在的Nat的对外IP和Port，并告知终端，终端收到后向外发请求时，就用Stun告诉它的对外地址来构造SIP和SDP消息。缺点是无法穿越对称模式(Symmetric)的NAT。

5.B2BUA。终端先向Register Server发注册包，返回来的200 OK会告诉话机在防火墙后，话机用TCP连接与B2BUA建立通道，以后话机的通话都通过B2BUA代理。但是这种方式不符合SIP标准。

以上几种方案都能够解决NAT/Firewall问题，但也有各自的缺点，有的要修改NAT和防火墙，牺牲网络的安全；有的需要更改SIP协议，升级SIP终端，牺牲系统的通用性；有的只能对特定的NAT/Firewall有效，对于稍微严格一点的NAT/Firewall就无能为力了；有的只能穿越一道NAT/Firewall，如果面对多层子网，就无法实现双向通信。

发明内容

本发明的目的是提供一种能够克服上述各种方法的缺点，既有较强穿越能力，而又使用标准SIP协议、又无需更换设备的的软交换系统的呼叫控制和媒体流通信的方法。

本发明的SIP软交换系统中呼叫控制与媒体流穿越私网的方法，通过包括公网，私网，连接在公网上的SIP代理服务器、重定向服务器和媒体流代理服务器，连接在私网上的各种SIP用户终端以及连接公网私网的NAT/Firewall的软交换系统实现信令和媒体流控制，所述方法的具体步骤是：

1)私网中的各种终端设备定期向各自的代理服务器发送注册包，这个注册包中包含终端的私网地址；

2)代理服务器从终端设备发来的注册包的来源得到终端的公网地址，从注册包中得到终端的私网地址，连同代理服务器的公网地址，一并发往重定向服务器；

3)重定向服务器按代理服务器地址、终端公网地址、终端私网地址顺序存放这些地址；

4)主叫方代理服务器在收到主叫设备的请求后，先向媒体流代理服务器申请媒体流转发资源，媒体流代理服务器会告知主叫方代理服务器一对可用端口，主叫方代理服务器修改请求中的SDP内容为申请到的端口对中的一个，然后向重定向服务器转发该请求；

5)重定向服务器收到主叫方代理服务器的呼叫请求后，将被叫方的代理服务器地址返回；

6)主叫方代理服务器收到该返回消息后，向被叫方代理服务器发送请求；

7)被叫方代理服务器收到主叫方代理服务器的呼叫请求后，向重定向服务器发送请求，重定向服务器收到该请求后，向被叫方代理服务器返回被叫设备的公网地址和私网地址；

8)被叫方代理服务器收到重定向服务器的返回消息后，向被叫方设备的公网地址发送由被叫方设备私网地址构成的呼叫请求，被叫方设备收到后向主叫方设备发回应答包；

9)主叫方代理服务器在收到应答消息后，修改应答消息里的SDP内容为步骤4)中申请的可用端口对中的另一个端口；

10)媒体流代理通过收到的主被叫设备的第一个媒体流数据包来确定主、被叫双方用于媒体流通信的公网地址，建立起通信，并在之后转发媒体流。

本发明中的软交换系统的媒体流数据包采用RTP实时传输协议。

本发明所用的媒体流数据包采用UDP数据报格式。

本发明通过在软交换呼叫控制和媒体流控制方面的改进，使凡是符合标准的SIP软交换外围设备都可以互联互通，兼容性好；信令和媒体流透明的穿越NAT/Firewall，可以穿越多层NAT/Firewall，可以穿越多种NAT/Firewall；而且不需要预占通道，可以节省用户、网络和软交换系统的大量资源。

附图说明

图1是软交换过程中信令指令和媒体流发送过程的消息顺序图；

图2是本发明SIP软交换系统中呼叫控制与媒体流穿越私网方法的网络示意图。

具体实施方式

在具体应用中，根据通信过程中主、被叫所处的网络，可以分为：公网呼叫公网，公网呼叫私网，私网呼叫公网，私网呼叫私网四种情况。其中私网呼叫私网是受NAT/Firewall制约最严重的情况。在这里我们就以私网呼叫私网的情况为例进行说明。以下描述过程中所发的数据包都是以数据报格式(UDP)发送的。

如图2所示，IP电话和IP PBX(交换机)分别放在两个NAT/Firewall后的私网内，IP电话的代理是SIP代理1，IP PBX的代理是SIP代理2。

在IP PBX上电配置完毕后会向SIP代理2发送注册包，这个注册包是SIP协议中定义的Register包，并且在此之后每5分钟向SIP代理2发送一次注册包，为减少对终端和软交换系统资源的占用，也为了减少对网络资源的占用，这些注册包是以UDP形式发送的。SIP代理2收到IP PBX的注册包后，从UDP包的来源得到IP PBX用于信令通信地址的公网地址(这个地址是经过NAT转换后产生的)；另外，SIP代理2也从UDP包里封装的SIP包里获取了IPPBX用于信令通信地址的私网地址；加上SIP代理2自己的地址，SIP代理2把这三个地址依照SIP代理2地址，IP PBX公网地址，IP PBX私网地址的顺序放入注册包并发往重定向服务器。

重定向服务器收到SIP代理2的注册包后，取出上述三个地址，并建立一个数据结构，把这三个地址按SIP代理2地址，IP PBX公网地址，IP PBX私网地址的顺序放入这个数据结构。这个过程是实时自动执行的，不需要用户或管理员的干预，这样就可以快速准确的更新各外围设备的路由消息。

同样的道理，IP电话也同样向SIP代理1注册。

媒体流代理服务器在启动后，建立Socket连接，绑定200个端口，为描述方便，这里给这些端口编号为从1号端口，2号端口，一直到200号端口。每两个端口为一组，每组端口负责一对通话的转发。如1号端口和2号端口为一组，1号端口负责从主叫接收媒体流数据包，然后传给2号端口，由2号端口向被叫转发该媒体流数据包；2号端口负责从被叫接收媒体流数据包，然后传给1号端口，由1号端口向主叫转发该媒体流数据包。通路3，4号端口为一组，负责另外一对通话。

此时如IP电话作为主叫来呼叫被叫IP PBX，在SIP代理1收到IP电话的呼叫请求后，向媒体流代理服务器申请媒体流转发资源，媒体流代理服务器会告诉SIP代理1，说1号端口和2号端口可用。SIP代理1修改请求包中的SDP内容，使SDP的内容为1号端口，然后向重定向服务器转发该请求。

重定向服务器收到SIP代理1的请求后，将被叫方的SIP代理2地址返回。SIP代理1收到返回消息后，向SIP代理2发送呼叫请求。

SIP代理2收到SIP代理1的呼叫请求后，向重定向服务器发送请求。重定向服务器收到该请求后，向SIP代理2返回被叫的IP PBX的公网地址，私网地址。SIP代理2收到重定向服务器的返回消息后，向被叫的IP PBX的公网地址发送由被叫方设备私网地址构造的呼叫请求。

IP PBX返回给IP电话的应答消息经过的路径为：IP PBX--->SIP代理2--->SIP代理1--->IP电话。当应答消息通过SIP代理1时，SIP代理1修改该应答消息里的SDP内容，使SDP的内容为2号端口。至此，主、被叫双方的媒体流通信都被定位到媒体流代理，也就是说，IP电话发的媒体流数据包直接发到1号端口，2号端口从1号端口取得该媒体流数据包，从2号端口向IP PBX发送。但主、被叫双方并不知道这些，他们只当媒体流代理服务器是通话的另一方。

通话开始，IP电话和IP PBX都向媒体流代理服务器发媒体流数据包，这个包是以UDP形式发送的。媒体流代理服务器利用收到的IP电话和IP PBX的第一个媒体流数据包来确定主、被叫双方用于媒体流通信的公网地址，并在之后开始转发媒体流。

经过这些步骤，IP电话和IP PBX之间的信令互通，媒体流也互通了。同理，其余三种情况下都可以实现信令与媒体流的互通。

采用以上方法的本发明，通过在软交换呼叫控制和媒体流控制方面的改进，使各SIP软交换外围设备只要符合RFC3261协议标准，就可以互联互通，兼容性好；信令和媒体流透明的穿越NAT/Firewall，而用户根本不知道NAT/Firewall的存在；可以穿越多层NAT/Firewall；也可以穿越RFC3489定义的四种NAT/Firewall；而且无需用TCP连接预占通道，可以节省用户、网络和软交换系统的大量资源。

Claims (3)

1.SIP软交换系统中呼叫控制与媒体流穿越私网的方法，通过包括公网，私网，连接在公网上的SIP代理服务器、重定向服务器和媒体流代理服务器，连接在私网上的各种用户终端以及连接公网私网的NAT/Firewall的软交换系统实现信令和媒体流控制，其特征在于该方法的具体步骤是：

1)私网中的各种终端设备定期向各自的代理服务器发送注册包，这个注册包中包含终端的私网地址；

2)代理服务器从终端设备发来的注册包的来源得到终端的公网地址，从注册包中得到终端的私网地址，连同代理服务器的公网地址，一并发往重定向服务器；

3)重定向服务器按代理服务器地址、终端公网地址、终端私网地址顺序存放这些地址；

4)主叫方代理服务器在收到主叫设备的请求后，先向媒体流代理服务器申请媒体流转发资源，媒体流代理服务器会告知主叫方代理服务器一对可用端口，主叫方代理服务器修改请求中的SDP内容为申请到的端口对中的一个，然后向重定向服务器转发该请求；

5)重定向服务器收到主叫方代理服务器的呼叫请求后，将被叫方的代理服务器地址返回；

6)主叫方代理服务器收到该返回消息后，向被叫方代理服务器发送请求；

7)被叫方代理服务器收到主叫方代理服务器的呼叫请求后，向重定向服务器发送请求，重定向服务器收到该请求后，向被叫方代理服务器返回被叫设备的公网地址和私网地址；

8)被叫方代理服务器收到重定向服务器的返回消息后，向被叫方设备的公网地址发送由被叫方设备私网地址构成的呼叫请求，被叫方设备收到后向主叫方设备发回应答包；

9)主叫方代理服务器在收到应答消息后，修改应答消息里的SDP内容为步骤4)中申请的可用端口对中的另一个端口；

10)媒体流代理服务器通过收到的主被叫设备的第一个媒体流数据包来确定主、被叫双方用于媒体流通信的公网地址，建立起通信，并在之后转发媒体流。

2.根据权利要求1所述的SIP软交换系统中呼叫控制与媒体流穿越私网的方法，其中所述的媒体流数据包采用RTP实时传输协议。

3.根据权利要求2所述的SIP软交换系统中呼叫控制与媒体流穿越私网的方法，其中所述的媒体流数据包采用UDP数据报格式。

Images