CN101064712A

CN101064712A - 一种基于Linux内核实现双通道穿越多级NAT和防火墙的系统及方法

Info

Publication number: CN101064712A
Application number: CNA2006100259948A
Authority: CN
Inventors: 顾青; 陆蓓婷; 靳胜勇; 蒋文创; 周卫红
Original assignee: WELLHOPE INFORMATION TECHNOLOGY Co Ltd
Current assignee: Shanghai Information Safety Infrastructure Research Center
Priority date: 2006-04-24
Filing date: 2006-04-24
Publication date: 2007-10-31
Anticipated expiration: 2026-04-24
Also published as: CN101064712B

Abstract

本发明公开了一种基于Linux内核实现双通道穿越多级NAT和防火墙的系统及方法，系统包括：信令处理模块、协议栈层、B2BUA层、MP交互模块、MP模块、传输层接口和公共组件。实现的方法包括：首先，由传输层接口对收到的网络数据进行协议解析，再由协议栈层解析报文，再由B2BUA层将解析的报文交给信令处理模块；接着，信令处理模块根据报文的内容进行修改，同时信令处理模块还通过公共组件和MP交互模块向MP模块发送命令，最后由MP模块将修改过的报文再发送到网络上。本发明无需修改FW/NAT，保护了私有网络的安全；通过双通道服务器的设计，实现了多级NAT穿越；采用可变的拓扑结构，一个信令服务器可负载多个媒体和数据服务器，方便实现了性能扩展。

Description

一种基于Linux内核实现双通道穿越多级NAT和防火墙的系统及方法

技术领域

本发明涉及计算机网络中基于SIP的软交换系统中信令、媒体、其它数据穿越私有网络的方法，尤其涉及一种基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，属于软交换技术领域。

背景技术

随着近年IP网宽带业务的蓬勃发展，基于分组的多媒体通信系统标准H.323、SIP、MGCP广泛运用于视频会议和IP电话以及其它数据业务中。其中是VoIP业务的应用也带来一个值得关注的问题：绝大部分企业部门从网络安全考虑配置了专用防火墙，但H.323、SIP、MGCP很难通过传统专用防火墙。原因在于，复杂的H.323、SIP、MGCP协议动态分配端口并产生和维护多个UDP数据流。

同时由于Internet快速膨胀，IPV4地址空间处于严重耗尽的境况。为解决这个问题，人们设计出了网址转换器(NAT)。然而NAT后的IP语音和视频设备仅有私有IP地址，这些地址在公众网上是不可路由的。

这样一来，多媒体通讯中的防火墙和NAT问题严重地制约了IP电话和视频会议的应用。解决这个问题也就成为多业务宽带IP网络至关重要的事情。

目前，该领域国内外相关的解决技术方案有如下几种：

1、取消FW/NAT(防火墙/网络地址转换)：网络拓扑中不使用防火墙以及/NAT设备。这是一种消极的解决方案，失去了原防火墙给私有网络的安全保证作用，失去了NAT设备带来的扩展私有网络的功能；

2、使用PSTN(固话网)网关：使用网关把局域网上的IP语音和视频转换为公共电路交换网上的PSTN语音和视频，并不在IP网上进行通信，从而避免防火墙问题和NAT问题。通过转换后，媒体数据只能用于PSTN网络，不仅需要硬件的配合，成本高，同时也失去了软交换的优势，是一种消极的解决方案；

3、隧道穿透方案：隧道穿透解决方案由两个组件构成，Server软件和Client软件。Client放在防火墙内的私有网，它同时具有网守功能和代理功能，私有网内的终端注册到Client上，它和防火墙外的Seryer创建一个信令和控制通道，可以把所有的注册和呼叫控制信令转发到Server，也把音视频数据转发到Server，在转发时它把内部终端发送的和外部发往终端的数据包的地址和端口号替换为自己的。Server放在防火墙外的公众空间，可以位于服务提供商网络或者位于企业网的DMZ区域，Server扮演网守代理的角色，从Client收到的所有注册和呼叫信令都被Server转发到中心网守。该方案虽然实现了在IP网络中信令和媒体数据穿过防火墙和NAT，但是由于媒体数据流量大，同时要求的实时性高，对质量要求也比较严格，在该方案中所有信令数据和媒体数据必须都穿过同一个Server，没有性能扩展，这样带来必然的性能的瓶颈，这样只能适用于专线专用的工程实施中，而且中间不能有多级NAT设备，不能多级穿越，即两个私网用户将无法连通。

4、STUN：STUN(Simple Traversal of UDP Through NATs，NAT的UDP简单穿越)是一种由IETF研制的UDP流协议穿透NAT的协议。STUN可以在不改变NAT的情况下，与任何现有NAT共存。在STUN服务器和客户端之间可以有任意多的NAT设备，可以支持穿越多级NAT设备，STUN技术仅针对NAT穿越有效，对防火墙穿越没有帮助，其缺点就在于不能解决防火墙问题。

5、ALG(Application Level Gateway，应用层网关)：应用层网关是被设计能识别指定IP协议(象H.323、SIP或MGCP)的设备。它不是简单地察看包头信息来决定数据包是否可以通过，而是更深层的分析数据包负载内的数据，也就是应用层的数据。H.323和SIP协议都在负载中放了重要的控制信息，例如语音和视频终端使用哪一个数据端口来接收别的终端的语音和视频数据。通过分析哪一个端口需要打开，防火墙动态地打开那些被应用的端口，而所有别的端口依然安全地保持关闭状态。如果一个NAT被应用来屏蔽内部IP地址，这时ALG就需要一个代理，一些防火墙生产厂商把代理结合到ALG上越过NAT。其缺点在于，需要升级改造防火墙和NAT设备，实现成本很高，同时由于信令的解析在应用层完成，在解析、更改的传输过程中容易出错，在分析数据报文端口时可能带来信令数据性能问题；

发明内容

本发明的目的在于针对现有技术的不足提出一种基于Linux内核实现双通道穿越多级NAT和防火墙的系统，至少包括信令处理模块、MP交互模块，通过裁减Linux内核，使信令处理在裁剪的Linux操作系统内核中实现协议解析，不需要到应用层，只在内核内部就可以实现快速有效的解析和映射，解决了可能存在的信令数据解析性能问题；使用一个信令Proxy可负载多个媒体和数据Proxy的负载设计，增强了负载功能，解决了媒体数据性能瓶颈问题，同时网络部署简单灵活，可扩展性强；并可以支持H.323和SIP两种协议。

本发明的又一目的是针对现有技术的不足而设计的一种基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，通过双通道Proxy(代理服务器)的设计，在终端向SP发出注册信息后，SP会为终端分配一个代理信令端口，然后用SP的地址替换原注册信息中的终端地址，将地址转换信息存入映射表，实现了多级NAT穿越。

本发明的目的是通过如下技术方案实现的，基于Linux内核实现双通道穿越多级NAT和防火墙的系统，包括传输层接口、系统管理控制层、系统内存数据、信令处理模块、MP(媒体代理)交互模块、MP模块及公共组件层；其中，信令处理层又包括：协议栈层、B2BUA层和信令处理模块；网络组件连接传输层接口，传输层连接信令处理层的SIP协议栈，SIP协议栈连接B2BUA层，B2BUA层连接信令处理模块，信令处理模块通过系统内存数据连接系统管理控制层；信令处理模块还通过公共组件连接到MP交互模块，MP交互模块再连接到网络组件传输层接口接收网络数据并解析协议，判断是否是SIP协议，如果是就送到协议栈层来解析报文，然后由B2BUA层将解析的报文交给信令处理模块；如果不是SIP协议，再判断是否是其它软交换协议，如果是其它软交换协议栈来解析报文，最后都交给信令处理模块，信令处理模块根据不同信令中不同的信息类型来作不同的修改，例如：注册信息/媒体协商信息/媒体通信信息；同时信令处理模块利用系统内存记录通知系统管理记录日志，然后信令处理模块调用公共组件给MP交互模块发送信息，MP交互模块再与MP协商，协商后MP的工作包括，根据SP的要求提供空闲的端口；根据SP的要求修改媒体流上的端口；根据SP的要求释放端口；根据SP的要求控制带宽；统计数据流量、持续时间等信息。所述MP交互模块可根据用户的数据量和负载的要求，连接多个MP模块。

本发明提出的基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，其优点在于无需修改FW/NAT，保护了私有网络的安全；在裁减了的Linux内核上实现，信令的解析和映射，不经过外部的应用层，保证了信令传输的正确和快速；通过双通道代理服务器(Proxy)的设计，实现了多级NAT穿越；采用可变的拓扑结构，一个信令Proxy可负载多个媒体和数据Proxy，方便实现了性能扩展，并且可以根据用户的数据量增减Proxy的个数，网络部署灵活，简单。

附图说明

图1为Linux服务器的功能结构图；

图2为多媒体通讯网关框架模型示意图；

图3为信令处理模块构架模型示意图；

图4为MP交互模块构架模型示意图；

图5为MP模块结构示意图；

图6为适用网络拓扑图。

具体实施方式

以下结合附图详细描述本发明的技术方案。

本方案的主要设计原理是：通过修改Linux的内核，实现H.323、SIP等包交换协议的解析，迅速为NAT和防火墙内的通信建立信令代理(SP，SignalingProxy)通道，同时一个信令代理可以负载多个媒体代理(MP，Media Proxy)通道或者多个业务数据通道(DP，Data Proxy)，SP负责信令数据穿越NAT/FW，同时协调MP和DP通道的负载均衡，并共同组成通道集群来使所有数据穿透NAT设备和防火墙；本发明对H.323、SIP及其他协议都是支持的。

本发明的方案通过以下步骤实现：首先解析报文是H.323、SIP协议或其他；然后SP里开端口，即SP每收到一个请求，就根据要求修改SDP的内容，将其媒体端口改为MP上的媒体代理端口，加入映射表中；最后打开报文，修改报文，在将它发送出去。本发明实际上作为一个中转服务器对收到的报文进行解析、处理和修改报文的内容，分配新的地址，并加入映射表，然后再将它发送出去。

信令代理(SP)是B2BUA(Back to Back User Agent，背对背用户代理)，它的具体功能包括：完成SIP信令的代理；根据要求修改SDP(SessionDescription Protocol，会话描述协议)；具备一定的防火墙功能；根据音频、视频等不同的数据，不同用户所需要的带宽不同计算需要的带宽；将所需带宽的通知MP，让MP预留带宽；获得统计消息，生成CDR话单。

MP和DP被动执行SP的命令，其主要功能是使媒体流和数据流能够穿越NAT/FW。MP和DP的具体功能包括：根据SP的要求提供空闲的端口；根据SP的要求修改媒体流上的端口；根据SP的要求释放端口；根据SP的要求控制带宽；统计数据流量、持续时间等信息。

SP的工作原理为：所有私网网关(路由器或防火墙)后面的终端设备，都将注册地址从SIP Proxy Server地址更改为SP的IP地址或者域名。

一方面，在终端向SP发出注册信息后，SP会为终端分配一个代理信令端口，然后用SP的地址替换原注册信息中的终端地址(Contact域)，并通过这个端口向SIP Proxy Server发送数据。这样无论是终端发向网络的信令消息，还是网络发向终端的信令消息都会经过SP，以便于其对这些信令进行特殊处理。

另一方面，当私网中的终端向SP设备发出注册消息时，安装在私网外层的私网网关就会给这个连接随机分配一个合法IP地址与端口号，形成一个“窗口”。SP收到注册消息后，只要能够设法保持这个“窗口”一直开放，然后把这个端口号与在设备上分配的代理端口号绑定，就相当于建立了一条终端设备到SIP Proxy Server之间透明的信令通道。保持这个“窗口”的方法，根据终端的不同也会有所区别。比如对于SIP终端，可以设置一个较小的注册有效期，这样终端设备就会不断的向SP发出注册消息。无论哪种方式，都要保证终端发送消息的时间间隔要小于“窗口”的开放时限。

同时，SP每收到一个请求，就根据要求修改SDP(Session DescriptionProtocol，会话描述协议)的内容，将其媒体端口改为MP上的媒体代理端口，以保证媒体流能够穿越NAT/FW。因为SP和MP是部署在公网上的，因此将某个会话的代理全权由某一个MP负责，则RTP(Real-time Transport Protocol，实时传送协议)流只要经过该MP一次转换即可。

如果主被叫终端是处于同一个私网网关设备之下，SP完全可以不为它们分配任何代理端口，而是让它们在私网内部直接建立RTP流的连接。

MP的工作原理为：由于SP修改了SDP中的端口信息，所以媒体流会被指向MP进行代理转换，MP收到RTP流后修改端口再发送给对方。

当呼叫建立后，终端一旦开始发送RTP包，就会在私网设备上建立一个临时的RTP窗口，只要媒体流不断在发送(在没有话音时终端也应该发送舒适噪声的RTP包)，这个窗口就一直打开。

本发明基于Linux内核裁减，实现信令数据和媒体数据穿越NAT/FW，图1为Linux服务器的功能结构图，主要包括：网络组件、系统管理控制层、信令处理层、MP交互模块及公共组件层；其中，信令处理层又包括：协议栈层、B2BUA和信令处理模块。

网络组件(也叫Port层)主要提供系统在各个平台上的移植性。

信令处理层包括协议栈层、B2BUA、信令处理模块，其中协议栈层和B2BUA完成协议的解析，解析是H.323、SIP协议还是其他协议，信令处理模块是信令处理层的核心部分，分析、处理并修改报文。这三层具体的功能为：

协议栈层包括SIP协议栈层和H.323协议栈层；SIP协议栈层，主要负责接收与发送SIP消息，完成SIP消息的编码、解码和事务处理。H.323协议栈层，主要负责接收与发送H.323消息，完成H.323消息的编码、解码和事务处理。

B2BUA层主要实现SIP中的B2BUA(Back to Back User Agent)的通信模式。

信令处理模块主要完成SIP信令的分析、处理、控制，如根据具体情况修改SIP标题头及SDP的相关信息，决定消息转发等；

公共组件层主要提供一些公共的组件，包括XML组件、异常处理组件。XML组件主要负责完成XML的编、解码工作；异常处理组件主要负责完成SP发生异常情况时处理，如通知MP释放端口等；

MP交互模块主要负责跟媒体代理MP的交互，发送SP的指令信息及接收MP的响应信息；

管理控制层主要由远程管理、策略管理、日志管理构成。远程管理主要完成基于Web/Telnet/SSH的管理控制接口。策略管理主要完成系统初始化、内存分配与管理、重要数据信息及各种服务策略的配置管理及维护等。日志管理主要完成对SP的运行状态信息的记录，并对这些信息进行管理维护。

图2为多媒体通讯网关框架模型示意图；模块间的交互主要有两个流程，一个是启动流程，由系统管理模块作为主调度模块来检查License，以及启动各个模块，主模块检查License，如果不通过就报告错误，退出程序；如果检查License通过，将定义全局变量，读取配置信息，进行SIP协议站的初始化，B2BUA回调函数的注册，之后启动处理响应及异常的线程，启动XML解析的线程，启动套接字(Socket)发送和监听的线程，启动SIP协议站。

另一个是网络数据处理流程，网络组件收到网络数据，传输层接口解析协议，判断是否是SIP协议，如果是就由SIP协议站来解析报文，然后由B2BUA层将解析的报文交给信令处理模块；如果不是SIP协议，再判断是否是其它软交换协议，如果是其它软交换协议栈来解析报文，最后都交给信令处理模块，信令处理模块根据不同信令中不同的信息类型来作不同的修改，例如：注册信息/媒体协商信息/媒体通信信息；同时信令处理模块利用系统内存记录通知系统管理记录日志，然后信令处理模块调用公共模块给MP交互模块发送信息，MP交互模块再与MP协商，协商后MP的工作详见MP工作原理，比如根据SP的要求提供空闲的端口；根据SP的要求修改媒体流上的端口；根据SP的要求释放端口；根据SP的要求控制带宽；统计数据流量、持续时间等信息。

信令处理模块是SP的核心模块，它主要负责各种SIP信令的分析、处理、控制，如修改SIP(包含SDP)信息、决定消息转发等，图3为信令处理模块构架模型示意图。信令处理模块根据不同的消息可分成：注册信令处理模块、呼叫信令处理模块，其它信令处理模块以及SDP解析模块。

注册信令处理模块主要负责注册消息的处理，保存该注册用户的SIPURI与在NAT上映射端口的对应关系到Runtime Context(运行上下文)的RegisterMap(注册map)中，并修改REGISTER消息的路径及Contact标题头。

呼叫信令处理模块主要负责呼叫消息的处理。通过调用SDP解析模块对消息的SDP包进行解析，保存此次会话的标识CallID(会话标识)与SDP的相关信息的对应关系到Runtime Context的Session Map(会话map)中。同时，生成SP的指令信息放入到SP指令流队列中，从MP响应流队列中取出响应信息，根据CallID映射到Session Map中，修改SDP包。根据From标题头查询RegisterMap修改Via标题头。

其它信息处理模块主要负责除了注册、呼叫外的所有信令的处理。如MESSAGE-200，SUBSCRIBE-200-NOTIFY-200等。通过查Register Map得到在NAT的映射端口，修改Via标题头。

SDP解析模块主要负责SDP包的编、解码工作。

图4为MP交互模块构架模型示意图；MP交互模块是SP与MP交互控制的渠道，它主要负责发送SP的指令信息，接收MP的响应信息。MP交互模块通过套接字(Socket)来通讯，分成发送模块和监听模块。信令处理模块与XML解析模块中通过两个队列来交互，信令处理模块产生的对MP的控制指令信息，首先放到SP指令流队列中，在XML解析模块中利用多线程去处理，同时把MP的响应信息经过解析处理后放到MP响应流队列中，由Socket发送模块发送给MP模块；同理在XML解析模块与MP交互模块中也有这样的一对队列，用于将MP的回复信息传送给SP。

图5为MP模块结构示意图。MP是一个三层的结构，底层是操作系统和网络层，中间层是对MP主要功能的实现，在最上层是对整个MP的运行控制。

系统的几个功能模块通过相互的协作来完成对SP的媒体代理请求的处理和响应工作。

通信模块(Communicate)负责通过Socket将SP的调用请求接收上来，同时转化成内部的针对接口的调用，通知主模块(Main)，由Main模块根据配置和管理的逻辑信息来决定具体操作策略。然后将执行的结果通过Communicate模块返回给SP。当通讯模块检测到与SP的连接断开后，应该主动通知Main模块，然后Main模块根据具体的配置策略，决定是否关闭媒体代理。

注册管理模块在对资源的管理上，采取在初始化时对资源(端口)统一进行分配和绑定，之后对端口采取成对预留给SP，对于预留的端口，若在一定时间内没有被使用，则注册管理模块将对端口进行自动的回收。

网络服务质量模块(QoS)：其管理主要分为两大部分，一个是带宽控制，另一个是业务优先级的管理。提供具有QoS保证的端到端实时业务。

图6为适用网络拓扑图，图中G2均为本发明的基于Linux内核实现双通道穿越多级NAT和防火墙的系统，位置在内网与核心网络之间，实际上作为一个中转服务器对收到的报文进行解析、处理和修改报文的内容，分配新的地址，并加入映射表，然后再将它发送出去。

最后所应说明的是，以上实施例仅用以说明本发明的技术方案而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方案进行修改或者等同替换，而不脱离本发明技术方案的精神和范围，其均应涵盖在本发明的权利要求范围当中。

Claims

1、一种基于Linux内核实现双通道穿越多级NAT和防火墙的系统，其特征在于，至少包括：系统管理模块、系统内存数据、信令处理模块、协议栈层、B2BUA层、MP交互模块、MP模块、传输层接口、公共组件和网络组件；

网络组件与传输层接口连接，将收到的网络数据报文送到传输层接口进行解析，传输层接口连接协议栈层，协议栈层判断报文的类型并解析，协议栈层连接B2BUA层，B2BUA层连接信令处理模块，解析好的协议由B2BUA层传送到信令处理模块，信令处理模块完成信令的分析、处理和控制，信令处理模块连接公共组件和系统内存，信令处理模块通过公共组件发命令给MP交互模块，MP交互模块根据负载和用户的数据量，通过网络组件连接一个或多个MP模块；另外，系统内存连接系统管理模块，信令处理模块通过系统内存通知系统管理模块记录日志。

2、根据权利要求1所述的基于Linux内核实现双通道穿越多级NAT和防火墙的系统，其特征在于，所述的协议栈层至少包括，SIP协议栈和H.323协议栈，所述判断报文类型，至少包括，首先判断是否为SIP协议报文，如果是，则送到SIP协议栈解析报文，如果不是，再判断是否为H.323协议报文，如果是，则送到H.323协议栈解析报文；如果不是，则报错退出。

3、根据权利要求1所述的基于Linux内核实现双通道穿越多级NAT和防火墙的系统，其特征在于，所述的信令处理模块至少包括：注册信令处理模块、呼叫信令处理模块、其他信令解析模块和SDP解析模块；注册信令处理模块主要负责注册消息的处理；呼叫信令处理模块主要负责呼叫消息的处理，通过调用SDP解析模块对消息的SDP包进行解析，保存会话标识与SDP的相关信息，同时，修改SDP包；其它信息处理模块主要负责除了注册、呼叫外的所有信令的处理。如根据具体情况修改SIP标题头及SDP的相关信息，决定消息转发等。

4、根据权利要求1所述的基于Linux内核实现双通道穿越多级NAT和防火墙的系统，其特征在于，所述的MP交互模块包括，Socket发送模块和Socket监听模块，通过这两个模块和MP模块及公共组件通讯。

5、一种基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，其特征在于，Linux内核中至少包括，系统管理模块、系统内存数据、信令处理模块、协议栈层、B2BUA层、MP交互模块、MP模块、传输层接口、公共组件和网络组件，

至少还包括如下步骤：

步骤一，启动所述Linux内核中的各模块；

步骤二，由传输层接口对收到的网络数据进行协议解析，判断报文的类型，然后由协议栈层解析报文，再由B2BUA层将解析的报文交给信令处理模块；

步骤三，信令处理模块根据报文的内容进行修改，同时信令处理模块还通过公共组件和MP交互模块向MP模块发送命令，MP模块根据命令开端口，

步骤四，最后由MP模块将修改过的报文再发送到网络上。

6、根据权利要求5所述的基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，其特征在于，协议栈层至少包括，SIP协议栈和H.323协议栈，所述判断报文类型，至少包括，首先判断是否为SIP协议报文，如果是，则送到SIP协议栈解析报文，如果不是，再判断是否为H.323协议报文，如果是，则送到H.323协议栈解析报文；如果不是，则报错退出。

7、根据权利要求5或6所述的基于Linux内核实现的双通道穿越多级NAT和防火墙的方法，其特征在于，所述步骤一中启动Linux内核中的各模块，至少包括如下步骤，首先，系统管理模块检查许可，如果不通过，则报告错误，并退出程序；如果通过，则定义全局变量，读取配置文件，然后进行SIP协议栈的初始化，和B2BUA回调函数的注册，接着，启动一系列的线程，包括，启动处理响应及异常的线程，启动XML解析的线程，启动Socket发送与监听的线程，启动SIP协议栈，最后执行权利要求1中所述的步骤二。