CN100484134C - 下一代网络业务穿越网络地址转换设备/防火墙的方法 - Google Patents

Abstract

本发明公开了一种下一代网络NGN业务穿越网络地址转换NAT设备/防火墙的方法，该方法在防火墙/NAT设备内侧用户网络中增加穿越客户端，在骨干网上增加穿越服务器，穿越客户端与穿越服务器之间通过防火墙/NAT设备上所开放的端口建立通信连接，穿越服务器自骨干网的信令代理上获得通信双方至少包括IP地址和端口号的信息，然后将该信息传输给防火墙/NAT设备内侧用户网络中的穿越客户端，穿越客户端根据所收到的信息，模拟NGN终端在该终端的RTP发送端口和RTP接收端口上发送报文，打开防火墙/NAT设备上的会话连接，从而接通防火墙/NAT设备内侧用户网络上的NGN终端与媒体代理之间的RTP通道。

Description

下一代网络业务穿越网络地址转换设备/防火墙的方法

技术领域

本发明属于网络通信技术领域，尤其涉及下一代网络(NGN)业务穿越网络地址转换(NAT)设备或/和防火墙的方法，其中，NAT设备和/或防火墙在本发明中简写为NAT设备/防火墙。

背景技术

随着网际协议(IP)网络的蓬勃发展，迫切需要在IP网络上发展更多种类的宽带业务，为了适应这一需要提出了NGN。NGN是集话音、数据、传真和视频业务于一体的全新的、融合的网络，该网络采用分层开放式的网络框架，各层之间通过明确、标准的功能接口进行通信，通信所采用的协议通常包括：H.323、SIP、MGCP和H.248协议。

在NGN的实际应用中，由于网络中的地址数量有限，因此，通常在例如企业网的局域网出口部署NAT设备/防火墙，用以将局域网内的地址和端口号与外部网络的地址和端口号进行相互转换，从而解决网络地址数量有限所带来的问题。但这些NAT设备/防火墙通常不支持H.323、SIP、MGCP、H.248等协议，因此造成了NGN业务难于通过NAT设备/防火墙接入局域网，从而为在这些局域网上开展NGN业务带来困难。现有技术中，可采用两种方法解决该问题：一种方法是通过对NAT设备/防火墙进行升级，使其支持H.323、SIP、MGCP、H.248等协议，从而使得NGN业务得以通过升级之后的NAT设备/防火墙进入局域网；另一种方法则并不对现有的NAT设备/防火墙进行升级，而是采用代理技术实现NGN业务对NAT设备/防火墙的穿越。

参见图1，在采用代理技术实现NGN业务穿越NAT设备/防火墙时，在IP骨干网上设置一个代理，通过该代理实现对于H.323、SIP或者H.248等协议的信令和媒体流的代理功能。参见图1，该代理可以由信令代理和媒体代理组成，下面分别对信令代理和媒体代理的实现功能加以介绍：

信令代理完成NGN终端之间的信令代理功能，代理NGN中的软交换(SoftSwitch)设备完成呼叫控制功能，从防火墙/NAT设备内部的NGN终端来看，该信令代理相当于IP骨干网中的SoftSwitch设备，而对于IP骨干网中的SoftSwitch设备来说，该信令代理为防火墙/NAT设备内部的NGN终端代理完成终端发起和接收呼叫的功能；从SoftSwitch设备来看，该信令代理就相当于防火墙/NAT设备内部的NGN终端。

媒体代理完成语音、视频等媒体流的代理功能，在两个NGN终端之间完成媒体流中继功能，在两个NGN终端通过IP骨干网发送和接收媒体流时，首先将媒体流发送给媒体代理，然后由媒体代理将该媒体流发送给另一个NGN终端，对于图1中所示防火墙/NAT设备内部的NGN终端来说，该媒体代理相当于网络中的另一个NGN终端。

采用此种代理技术，虽然能够实现NGN业务穿越NAT设备/防火墙，但是仍然具有如下缺点：

(1)、采用该种代理技术实现NGN业务穿越NAT设备/防火墙，需要NGN终端设备中用于传输媒体流的实时传输协议(RTP)接收端口和RTP发送端口为同一端口，而当前所采用的NGN终端并不都满足这项要求；其中，该项代理技术要求NGN终端上的RTP接收端口和RTP发送端口为同一端口的原因在于：

按照协议的规定，对于NGN的一个呼叫来说，呼叫双方所建立的用于传输媒体流的通道是单向的，也就是说，在NGN终端间传输媒体流时，需要建立两个RTP通道，一个为只用于发送媒体流的发送RTP通道，另一个为只用于接收媒体流的接收RTP通道，在NGN终端的RTP发送端口与RTP接收端口一致的情况下，在防火墙/NAT设备上与发送RTP通道和接收RTP通道相对应的发送和接收会话连接也是相同的，在此情况下，NGN终端在发送RTP通道上发送一个报文后，防火墙/NAT设备就会打开发送RTP通道的会话连接，于是，也就相当于同时打开了接收RTP通道的会话连接，这样，NGN终端间就可以利用接通的发送RTP通道和接收RTP通道传输媒体流，从而实现NGN业务穿越NAT设备/防火墙；但是，如果NGN终端的RTP发送端口与RTP接收端口不一致，那么在NAT设备/防火墙上的发送RTP通道和接收RTP通道的会话连接就会不同，在采用该现有代理技术的情况下，NGN终端在利用发送RTP通道发送报文时，相应地只能在防火墙/NAT设备上打开发送RTP通道的会话连接，而接收RTP通道的会话连接则仍处于关闭状态，这样，就不能利用接收RTP通道接收媒体流，从而无法完成NGN业务穿越NAT设备/防火墙；

(2)、根据防火墙/NAT设备所设置的限制，只有从相对于该防火墙/NAT设备的内部网络中所发送的报文才能打开防火墙/NAT设备上的会话连接，而对于一些例如实现查询业务的NGN终端来说，其被配置为只需接收报文而无需发送报文，因此，这些NGN终端无法通过发送报文打开防火墙/NAT设备上的会话连接，从而造成该现有代理技术无法应用，NGN业务也就因此无法穿越防火墙/NAT设备；

(3)、由于在采用该代理技术的过程中，设置于IP骨干网上的代理需要学习经过防火墙/NAT设备后的RTP流的IP地址和端口号，而恶意用户可能在该过程中对代理进行攻击，利用假冒的IP地址欺骗报文使得代理学习到错误的IP地址和端口号，因此，采用此种代理技术实现NGN业务穿越防火墙/NAT设备，容易受到IP地址欺骗的攻击，安全性能差。

发明内容

有鉴于此，本发明的主要目的在于提供一种NGN业务穿越防火墙/NAT设备的方法，该方法的应用可以使得RTP发送端口与RTP接收端口不一致的NGN终端能够实现NGN业务穿越防火墙/NAT设备，并且，本发明还能解决对于无发送报文能力的NGN终端实现NGN业务穿越防火墙/NAT设备的方法。

本发明为一种下一代网络NGN业务穿越网络地址转换NAT设备/防火墙的方法，其特征在于，在防火墙/NAT设备内侧用户网络中增加穿越客户端，在骨干网上增加穿越服务器，穿越客户端与穿越服务器之间通过防火墙/NAT设备上所开放的端口建立通信连接，该方法实现NGN业务穿越NAT设备/防火墙具体包括以下步骤：

A、穿越服务器自骨干网代理设备中的信令代理上获得至少包括通信双方网际协议IP地址、实时传输协议RTP发送端口号和RTP接收端口号的信息；

B、穿越服务器将步骤A中所获得的信息发送给穿越客户端设备；

C、穿越客户端根据所获得的信息，模拟防火墙/NAT设备内侧用户网络中的NGN终端，在该NGN终端的发送RTP端口上和接收RTP端口上发送报文至防火墙/NAT设备；

D、防火墙/NAT设备收到步骤C所述的报文后，分别打开发送RTP通道的会话连接和接收RTP通道的会话连接，同时，防火墙/NAT设备在对所收到的报文进行地址转换后，将这些报文发送到骨干网上的媒体代理；

E、媒体代理收到步骤D中所发送来的报文，从这些报文中获得进行地址转换后的地址信息，其中，该地址信息至少包括IP地址、RTP发送端口号和RTP接收端口号，通信双方利用媒体代理，在已经打开会话连接的发送RTP通道和接收RTP通道上传输NGN数据。

其中，步骤C包括：

穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将由信令代理所确定的发送RTP端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备；和穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将由信令代理所确定的接收RTP端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备。

其中，当步骤C中所述NGN终端的发送RTP端口和接收RTP端口为同一端口时，步骤C包括：

穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将所述的同一端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备。

其中，所述穿越客户端与穿越服务器之间通过防火墙/NAT设备上所开放的端口建立通信连接包括：

穿越客户端与穿越服务器之间采用相互认证、通信数据加密的方式建立所述通信连接。

其中，步骤E中所述媒体代理收到报文进一步包括：媒体代理依据穿越服务器预先发送的密钥和需要被加密的数据对接收到的报文进行验证，验证通过后执行所述从这些报文中获得地址信息的步骤。

其中，步骤B进一步包括：穿越服务器向穿越客户端发送密钥，并同时将该密钥发送给媒体代理，步骤C进一步包括在所述报文中添加所述密钥，步骤E中所述媒体代理收到报文进一步包括：媒体代理根据所得到的密钥对所述报文进行解密。

其中，所述RTP通道为RTP数据通道和/或RTP控制通道。

其中，所述增加穿越客户端为：将以软件模块实现的穿越客户端运行于所述防火墙/NAT设备内部的通信设备上。

其中，所述增加穿越客户端为：

将以独立设备实现的穿越客户端增加于防火墙/NAT设备内侧的用户网络中。

其中，所述增加穿越服务器为：

将以独立设备实现的穿越服务器增加在所述骨干网中。

其中，所述增加穿越服务器为：

将所述穿越服务器与骨干网上的信令代理和/或媒体代理集成在一起。

其中，所述增加穿越客户端和穿越服务器进一步包括：

增加多个所述穿越客户端和穿越服务器，各个穿越客户端之间以及各个穿越服务器之间相互备份。

可见，由于本发明新增加两个穿越部件用以协助现有技术的代理部件共同完成代理，从而可以实现NGN业务穿越防火墙/NAT设备，该种方法不要求NGN终端的RTP发送端口和RTP接收端口相一致，并且使得对于被配置为只需接收报文的NGN终端也可实现NGN业务穿越防火墙/NAT设备，并且，由于本发明能够提供认证和加密机制，以及本发明在传输报文时所具有难于被攻击者盗用信息的特点，本发明还具有安全性高的特点。

附图说明

图1为采用现有代理技术实现NGN业务穿越防火墙/NAT设备的组网示意图。

图2为采用本发明代理技术实现NGN业务穿越防火墙/NAT设备的组网示意图。

图3为本发明实现NGN业务穿越防火墙/NAT设备的流程图。

具体实施方式

本发明为一种NGN业务穿越NAT设备/防火墙的方法，该方法在现有代理技术的基础上，新增加两个用以进行代理的穿越部件，使用新增的穿越部件实现NGN业务穿越NAT设备/防火墙。

在NGN中，NGN终端之间采用RTP通道进行通信，该RTP通道分为两种类型，一种为RTP数据通道，用于传输NGN业务中的数据或媒体流，另一种为RTP控制通道(RTCP通道)，该RTCP通道用于对RTP数据通道进行监控，以保证RTP数据通道传输数据的质量；在NGN终端之间建立RTP数据通道的同时会建立相应的RTCP通道，RTCP通道同与之对应的RTP数据通道存在对应关系，根据该对应关系，可以利用RTP数据通道的IP地址和端口号确定相应的RTCP通道的IP地址和端口号。以下具体实施例只针对RTP数据通道进行描述，本发明所述的方法也同样适用于RTCP通道。

下面结合附图对本发明进行详细说明。

参见图2，在现有技术所述的代理技术基础之上，本发明在IP骨干网中再设置一个穿越服务器(Traverse Server)部件，在防火墙/NAT设备内部的网络中再设置一个穿越客户端(Traverse　Client)部件，Traverse Server与Traverse Client之间通过防火墙/NAT设备进行通信，其通信方式可以采用特定TCP端口通信或UDP端口通信，防火墙/NAT设备上开放Traverse Server与Traverse Client之间进行通信的端口，以使得两者的通信不会受到防火墙/NAT设备的影响。

在本发明中，Traverse Server可以是独立设备，与信令代理和媒体代理采用某种协议进行通信，或者，Traverse Server也可与信令代理或媒体代理实现在一起；Traverse Client可以作为一个软件模块，运行在PC机或者工作站上，也可以作为一个独立设备提供；为了提高可靠性，在实际组网中可以部署多个Traverse Server和Traverse Client，各个Traverse Server之间以及各个Traverse Client之间互相备份，以提高组网的可靠性，在采取上述备份时，信令代理配置选取相互备份的Traverse Server中的一个作为主用，其余的Traverse Server作为备用，当主用Traverse Server出现故障时，选取另一个备用Traverse Server作为主用；在各个相互备份的Traverse Client中，通过配置确定一个主用Traverse Client，其余的Traverse Client作为备用，一个备用Traverse Client对主用Traverse Client的工作状态进行监视，当发现主用Traverse Client出现故障时，该备用Traverse Client向主用TraverseServer发起连接，用以充当主用Traverse Client。

采用图2所示的组网方式，本发明可以通过图3所示步骤实现NGN业务穿越NAT设备/防火墙：

步骤301：IP骨干网上的信令代理利用信令代理功能获得防火墙/NAT设备内侧和外侧的通讯双方NGN终端的IP地址、NGN终端协商出的RTP端口号，并且，信令代理为媒体代理动态分配本次呼叫在媒体代理上进行传输时的IP地址和端口号，然后Traverse Server从信令代理得到上述信令代理已经获得的信息，该信息至少包括IP地址、发送RTP端口号和接收RTP端口号；其中，在该步骤中，信令代理能够根据所获得的IP地址、端口号以及协议号，利用信令代理功能确定双方的发送和接收RTP的连接；

步骤302：Traverse Server将步骤301所获得的通信双方的IP地址、端口号发送给企业网上的Traverse Client；

步骤303：Traverse Client根据所得到的通信双方的IP地址、端口号以及协议号，模拟企业网内部的NGN终端，在发送RTP端口上和接收RTP端口上分别向防火墙/NAT设备发送报文，防火墙/NAT设备收到这两个报文后，分别打开与这两个报文相对应的发送RTP通道的会话连接和接收RTP通道的会话连接，然后，防火墙/NAT设备对这两个报文中企业网的IP地址和端口号与外部网络的地址和端口号进行相互转换，将这两个报文发送到媒体代理；其中，本步骤中Traverse Client模拟企业网上的NGN终端在发送RTP端口上和接收RTP端口上发送报文的具体实现方法为：

Traverse Client将企业网中的NGN终端的IP地址填入所发送的用户数据报协议(UDP)报文的源IP地址项中，将Traverse Server传输来的该NGN终端的发送RTP端口或接收RTP端口填入所分别发送的UDP报文的源端口号中，这样，Traverse Client所发送的UDP报文在发送过程中，其源IP地址就为企业网NGN终端的IP地址，其源端口号就为信令代理所确定的企业网NGN终端的发送RTP端口或接收RTP端口，以此方式实现了所述的模拟NGN终端发送报文过程；其中，本步骤所发送的报文的目的地址和端口号是信令代理为这次呼叫所分配的媒体代理上的一个IP地址和端口号，该IP地址和端口号由Traverse Server在步骤302中传输给Traverse Client；

其中，在本发明的其它实施例中，NGN终端的发送RTP端口和接收RTP端口可以为同一端口，在此种情况下，Traverse Client只需按照上述方法构造一个UDP报文发送到防火墙/NAT设备即可，该UDP报文的源IP地址为防火墙/NAT设备内侧的NGN终端的IP地址，其源端口号就为NGN终端上所述的同一端口；

步骤304：媒体代理收到步骤303所发送的两个报文后，从这两个报文中得到在经过NAT设备/防火墙进行地址转换之后的企业网中的终端IP地址和RTP接收和发送端口号；媒体代理得到该IP地址和端口号之后，就可以使得企业网中的NGN终端与另一NGN终端通过发送RTP通道和接收RTP通道传输媒体流，从而实现NGN业务穿越防火墙/NAT设备。

在本发明中，出于安全性的考虑，Traverse Server与Traverse Client在建立连接时可以采用高安全性的认证方式，在数据传输时采用数据加密的方式，其中，认证方式可以采用现有技术中的MD5或者SHA-1认证方式，数据加密可以采用DES或3DES算法；其中，MD5和SHA-1是IP网络中通用的认证方式，用于需要通信双方互相认证，DES和3DES是通用加密算法，用于IP网络中对称方式加密。另外，同样出于安全性的考虑，在TraverseClient向媒体代理发送数据报文时，也可采用认证加密方式，在本发明实施例中的具体实现方法为：

在Traverse Server向Traverse Client发送IP地址、端口号以及协议号时，同时携带一个密钥和需要被加密的数据，Traverse Server同时将该密钥以及需要被加密的数据告诉给媒体代理，Traverse Client在向媒体代理发送数据时对发送报文的数据部分利用该密钥进行加密，而媒体代理则根据得到的密钥对接收到的报文的数据部分进行解密，从而可以对数据部分进行验证；采用此种方式，可以更好地防止可能出现的IP地址欺骗情况。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (12)

1、一种下一代网络NGN业务穿越网络地址转换NAT设备/防火墙的方法，其特征在于，在防火墙/NAT设备内侧用户网络中增加穿越客户端，在骨干网上增加穿越服务器，穿越客户端与穿越服务器之间通过防火墙/NAT设备上所开放的端口建立通信连接，该方法实现NGN业务穿越NAT设备/防火墙具体包括以下步骤：

A、穿越服务器自骨干网代理设备中的信令代理上获得至少包括通信双方网际协议IP地址、实时传输协议RTP发送端口号和RTP接收端口号的信息；

B、穿越服务器将步骤A中所获得的信息发送给穿越客户端设备；

C、穿越客户端根据所获得的信息，模拟防火墙/NAT设备内侧用户网络中的NGN终端，在该NGN终端的发送RTP端口上和接收RTP端口上发送报文至防火墙/NAT设备；

D、防火墙/NAT设备收到步骤C所述的报文后，分别打开发送RTP通道的会话连接和接收RTP通道的会话连接，同时，防火墙/NAT设备在对所收到的报文进行地址转换后，将这些报文发送到骨干网上的媒体代理；

E、媒体代理收到步骤D中所发送来的报文，从这些报文中获得进行地址转换后的地址信息，其中，该地址信息至少包括IP地址、RTP发送端口号和RTP接收端口号，通信双方利用媒体代理，在已经打开会话连接的发送RTP通道和接收RTP通道上传输NGN数据。

2、根据权利要求1所述的方法，其特征在于，步骤C包括：

穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将由信令代理所确定的发送RTP端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备；和穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将由信令代理所确定的接收RTP端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备。

3、根据权利要求1所述的方法，其特征在于当步骤C中所述NGN终端的发送RTP端口和接收RTP端口为同一端口时，步骤C包括：

穿越客户端将所述NGN终端的IP地址作为所述报文的源IP地址，将所述的同一端口作为所述报文的源端口地址，穿越客户端将该报文发送给所述防火墙/NAT设备。

4、根据权利要求1所述的方法，其特征在于所述穿越客户端与穿越服务器之间通过防火墙/NAT设备上所开放的端口建立通信连接包括：

穿越客户端与穿越服务器之间采用相互认证、通信数据加密的方式建立所述通信连接。

5、根据权利要求1所述的方法，其特征在于步骤E中所述媒体代理收到报文进一步包括：媒体代理依据穿越服务器预先发送的密钥和需要被加密的数据对接收到的报文进行验证，验证通过后执行所述从这些报文中获得地址信息的步骤。

6、根据权利要求1所述的方法，其特征在于，步骤B进一步包括：穿越服务器向穿越客户端发送密钥，并同时将该密钥发送给媒体代理，步骤C进一步包括在所述报文中添加所述密钥，步骤E中所述媒体代理收到报文进一步包括：媒体代理根据所得到的密钥对所述报文进行解密。

7、根据权利要求1所述的方法，其特征在于所述RTP通道为RTP数据通道和/或RTP控制通道。

8、根据权利要求1所述的方法，其特征在于所述增加穿越客户端为：

将以软件模块实现的穿越客户端运行于所述防火墙/NAT设备内部的通信设备上。

9、根据权利要求1所述的方法，其特征在于所述增加穿越客户端为：

将以独立设备实现的穿越客户端增加于防火墙/NAT设备内侧的用户网络中。

10、根据权利要求1所述的方法，其特征在于所述增加穿越服务器为：

将以独立设备实现的穿越服务器增加在所述骨干网中。

11、根据权利要求1所述的方法，其特征在于所述增加穿越服务器为：

将所述穿越服务器与骨干网上的信令代理和/或媒体代理集成在一起。

12、根据权利要求1所述的方法，其特征在于所述增加穿越客户端和穿越服务器进一步包括：

增加多个所述穿越客户端和穿越服务器，各个穿越客户端之间以及各个穿越服务器之间相互备份。

Images