CN1645861A - 一种软交换网络穿越防火墙的方法 - Google Patents

Abstract

本发明公开了一种软交换网络穿透防火墙的方法，涉及网络通信领域中软交换网络穿越防火墙的方法，具体地说，涉及一种媒体代理服务器和软交换控制器。本发明通过增加媒体代理服务器1，使终端间通讯的媒体数据经由媒体代理服务器1来转发，与软交换控制器2相互协调、控制，完成会话。在呼叫建立过程中，软交换控制器2和媒体代理服务器1都能够自动采集终端通过防火墙地址转换后的IP地址，并能够将随后的数据包按转换后的地址发送。本发明解决了软交换穿透防火墙的问题，并且整个过程都采用标准软交换协议，对终端和防火墙都没有特殊要求。

Description

一种软交换网络穿越防火墙的方法

技术领域

本发明涉及网络通信领域中一种软交换网络穿越防火墙的方法，具体地说，涉及一种媒体代理服务器和软交换控制器。

背景技术

网络地址转换(Network Address Translation，简称NAT)是用于将一个地址域如公司内部网映射到另一个地址域如因特网的标准方法，它允许一个专用网中的主机使用私网地址连接到公共域中的主机，而无需拥有公网地址，它能缓解现在32位长的IPv4(指以IP第四版为基础的网络)地址资源枯竭的状况。另一方面，为提高网络安全性，多数企业在出口处部署的防火墙(Firewall，简称FW)，大多数应用是将地址转换功能与防火墙集成在一个设备上的，保证私网内的安全，提供安全策略，阻止外部的攻击。一般其安全策略是允许内部用户主动访问外部，外部用户的主动连接则不被允许。这可能使双方在通讯时，私网内部用户只能作为主叫，不能做被叫，除非防火墙开放对所有内部用户的访问，这样又丧失了其作为内部资源的屏蔽保护这一基本作用。

下一代网络(Next Generation Network，简称NGN)的体系架构中，软交换(SoftSwitch)则是一个融合话音、数据、传真和视频业务的决定性解决方案。在IPv6(新一代的IP规范)技术广泛应用之前，软交换系统仍需解决软交换控制设备与终端设备之间的NAT穿越和防火墙穿透问题。尽管专网内的设备发出的数据包进行了私网到公网的地址转换，而这个转换关系一般是通过对IP包头的地址修改完成，上层的软交换控制设备和终端并不知道，因为IP分组网承载的语音视频等协议，其媒体流呼叫地址是由信令协议动态协商后确定的。未经转换的私网地址，不能在公网上路由，从而无法建立通讯。因此现有通过此类不支持软交换协议的防火墙设备接入公网的企业用户和宽带用户很难实际开展业务。

发明内容

本发明的目的是提供一种软交换穿越防火墙的方法，即在不修改防火墙和终端设备的情况下，能够使软交换与终端设备顺利地建立起呼叫。

本发明的目的是这样实现的：

在软交换网络局端引入新的功能实体，该实体称为媒体代理服务器(MediaProxy，简称MP)1，通过将两个终端的呼叫连接到媒体代理服务器1上，由媒体代理服务器1转发媒体流来实现穿越防火墙功能。通过增加媒体代理服务器1，由软交换控制器2控制其工作，使终端之间的呼叫变为终端与媒体代理服务器1之间的呼叫，而媒体代理服务器1协调终端之间的信息交流。在呼叫建立过程中，软交换控制器2和媒体代理服务器1都能够自动采集终端通过NAT转换后的IP地址，并能够将随后的数据包按转换后的地址发送。本发明解决了软交换穿透防火墙的问题，并且整个过程都采用标准软交换协议，对终端和防火墙都没有特殊要求。

下面对媒体代理服务器1和软交换控制器2的工作原理、网络组成以及实现的具体步骤依次进行叙述。

所述的媒体代理服务器(1)是专用于语音、视频、传真数据流的转发设备，根据会话关联的数据通道，为通讯双方的媒体流分别作接收和发送的替换，即收到主叫发出的媒体流即时转予被叫，收到被叫的数据也即时转给主叫方，实时收发并与会话同步，会话结束时，该通道内的转发动作也停止，关联的通道也随之拆除，从而实现复杂软交换网络环境中终端的媒体互通。

媒体代理服务器(1)功能实现，可以是运行工作站操作系统之上的媒体代理程序。媒体代理服务器1主要由三个逻辑模块：媒体控制模块、通道管理模块和数据转发模块组成。媒体控制模块与软交换控制器2中的呼叫控制交互，决定会话媒体是否经过中转代理，以及对具体载荷的解析，实现媒体走向的控制。通道管理模块则负责会话所需媒体通道的分配、监控、释放，并在会话完成时作流量统计。数据转发模块则按指定源通道和目的通道，实时高效的转发通讯双方发出的媒体数据包。由此三个模块完成会话的媒体转发工作。具体工作效率则可根据媒体代理服务器1的硬件平台性能、接入带宽，以及同时处理的呼叫数和代理的媒体类型估算出，完全可以达到设计要求并满足实际需求。

所述的软交换控制器(2)是基于软件的分布式交换和控制平台；呼叫控制功能从传统网关中分离出来，开放业务、控制、接入和交换间的协议，从而真正实现多网络运营商，并可以方便地引入多种业务；针对防火墙的穿越，增加与媒体代理服务器(1)的交互模块，对私网中成功完成信令互通、会话建立后，实现对双方送出的媒体数据的流向控制。

软交换控制器(2)可以为基本呼叫的建立、维持和释放提供控制功能，包括呼叫处理、连接控制、智能呼叫触发检出和资源控制等。其开放性的网络体系结构，具备的呼叫控制、传输控制、媒体控制、业务应用、维护管理等丰富的协议支持，与作为业务提供、开发和管理的核心—应用服务器共同构建下一代网络的核心。

为实现与媒体代理服务器的交互，在呼叫控制功能中，软交换控制器2应被告知呼叫双方终端的在网络中的位置，并能在H.248、MGCP、SIP媒体控制协议的SDP(即会话描述协议)中修改媒体发送和接收地址，同时与媒体代理服务器1中的媒体控制模块交互，进而达到控制会话媒体走向这一关键目的。

其网络组成，由图1可知，本网络系统由私网A、IP骨干网B、PSTN公共电话交换网C组成，通过分组网交换设备8、中继网关9连通；所述的私网A由防火墙设备3、局域网交换机4、IP话机5、IAD综合接入设备6、普通话机7组成。

在IP骨干网B中，设置有媒体代理服务器1和软交换控制器2；媒体代理服务器1、软交换控制器2、分组网交换设备8相互连通。

媒体代理服务器1与软交换控制器2能够直接通讯。软交换控制器2控制媒体代理服务器1工作，协调呼叫建立过程，它使多媒体终端之间的通讯转变为由媒体代理服务器1来代理。媒体代理服务器1一般部署在公网上，如服务提供商网络或者企业网的DMZ(非军事化区，既受私网保护，又可提供公网服务)区域，具有独立的、可路由的IP地址，通过百兆或千兆以太网适配器，提供对呼叫媒体的中转。软交换控制器2，或是网守或类似功能的设备，提供对呼叫信令的接续。软交换网络8与传统的PSTN公共电话交换网C之间连接有中继网关9，实现基于IP骨干网B的多媒体终端与公共电话交换网C的互通。私网A1和私网A2出口有带防火墙功能的路由或交换设备，保护内部接入的各类标准协议的多媒体终端。

本发明具体有下列步骤：

①通讯终端通过注册或状态报告连接软交换服务器2，软交换控制器2进而可以确定其位置；

②通过软交换控制器2，终端完成呼叫信令的建立，同时媒体代理服务器1准备好媒体数据通道，开始媒体流的收发中转；

③媒体代理服务器1保证呼叫中所需的数据通道，持续转发媒体直至该次会话结束；

④收到呼叫结束通知后，媒体代理服务器(1)关闭会话相关数据通道，释放资源，提供会话统计信息。

下面针对上述步骤，对发明技术方案内容进行详细阐述。

首先，多媒体终端进行注册，建立一个从多媒体终端到控制器的通道。由于防火墙的NAT处理单元对私网地址和公网地址的会话表有一定的生命期，当一定时间内没有数据包收发时，防火墙就会把此唯一的对应关系撤销。所以需要软交换控制器1定时刷新这个通道，刷新的方式是软交换控制器和终端之间保持定期发送数据，如一些与呼叫无关的查询消息。这条信令通道将提供对多媒体终端的语音、视频、文件、数据媒体传输通道的控制。

同时，防火墙内设备发送的数据包在穿越了一个或多个防火墙设备后，协议包内包含的地址是一个不可路由的私网地址，所以发送应答包时不能以这个地址回应，而是以它到达控制器所经过的最后一个防火墙设备的地址来回应。通过到达的数据包中含有的如用户标识或电子邮件注册信息，此时控制器维护好一张地址映射表，所有完成注册验证的终端，通过该对应表得以唯一区别并定位。这样对于软交换系统来说，可以认为就是该表所示地址的终端完成了注册，已准备好可以发起和接受呼叫，终端本身已不必关心在呼叫建立的路径上经过了多少个防火墙设备。

下一步，当通讯双方都保证信令通道以后，双方即可准备通讯了。其中一方作为主叫向软交换控制器发起呼叫，控制器解析目标地址，向另一方发起呼叫。对方应答后，软交换控制器将两方都连接到媒体代理服务器，并通知它呼叫已经建立，控制它打开通道，准备数据收发的缓冲区，同时让它启动一个单独的处理单元，以完成这个会话的所有的媒体流连接工作。软交换协议如SIP、H.248或Megaco、MGCP、H323协议中都有对终端能力集的描述，它决定媒体流的协商和建立过程。具体媒体流收发地址和端口的分配，以及载荷的分析修改工作则由软交换控制器来完成。例如，话音、视频等数据流传输相关协议为RTP实时传输协议及RTCP控制协议，控制分配RTP和RTCP地址对作为呼叫发起端的接受地址，避免了出口NAT对RTP/RTCP地址端口号的任意分配，使得一方无法收到对方发过来的RTCP报文(对端发RTCP报文时，目的端口号缺省按RTP端口号加1发送)。通讯其间媒体流中DTMF信号也会经由媒体代理服务器送出作进一步处理。

此时，完成接续的通讯双方终端，在媒体流不断经由媒体代理服务器1转发下，得以正常通讯，直到最后拆线。媒体代理服务器1的处理单元必须关联双方，并监控媒体流的状态，向控制器报告。媒体流连接中出现问题，或媒体磋商过程与实际的工作不一致，必须向控制器反馈，以便停止会话。

最后当会话结束时，软交换控制器2通知媒体代理服务器1，收到指示后，媒体代理服务器1停止收发双方终端媒体流，关闭会话使用的所有数据通道，释放会话相关的资源和连接，同时报告会话统计信息。

针对网络中通讯双方的终端所有可能处于的位置，本发明技术方案也作了缜密的考虑。当通讯双方的终端处在公网或同一私网内，或位于一个综合接入设备(简称IAD)上的不同端口，软交换控制器2在其注册时已明确知道这一点，因而在连接媒体流时可以控制其不经媒体代理服务器1，即做转发策略上的变通，降低媒体代理的负载，减小网络带宽使用，提高通讯质量。这一优化，特别在那些以终端之间通讯为主的私网内，有着显著的作用。

实际组网中，软交换控制器2有时也部署在私网A上，这种方案常常应用于拥有较多私网资源，对安全性要求较高的情况。当软交换控制器2位于私网A时，则需要一个应用层网关或类似功能的设备与之配合。作为软交换控制器2的受信设备，它代理公网到私网的穿越，保证与处于公网的媒体代理之间的交互，共同完成此种情况下多媒体终端间的通讯。

以上步骤描述了各种复杂网络情况下本技术方案所提出的通讯方式。

目前，多家设备提供商已有下一代网络中多媒体业务的防火墙穿越方案或应用，本发明方案是在综合考虑了组网灵活性，应用可扩展性，对现有设备改造、资源管理、网络安全等因素后提出的，应用在具有较多分支机构的企业内部、企业与企业之间，具有很好的效果。

本发明具有以下优点和积极效果：

1、支持标准软交换协议，不对终端设备提出额外要求，防火墙内的终端既可作为主叫也可以作被叫。

2、可以通过多级防火墙设备，方案不破坏其原有构建的安全性，私网内资源信息被很好的屏蔽。

3、系统部署非常灵活。核心的代理媒体这一模块，使用多种控制策略，兼顾各种网络环境。作为一个逻辑部件，它可以和软交换控制器集成在一个物理设备上，也可以分开在不同设备上。部署该系统后也不影响原网络中的业务，能够支持《软交换设备总体技术规范》中规定的音频、视频、传真等应用。

4、负载均衡的集群模式保证大业务量时的通信质量。例如在本地或者异地设置多个媒体代理服务器，能最大限度的减少因服务器性能和带宽造成的时延或丢包问题，因而该方案完全适合大型电信运营商的高性能支撑系统。

5、跨平台的设计和实现，可以运行于主流的Linux、Unix或Win32操作系统之上，用户根据不同的安全级别或使用要求选择不同的系统平台。

附图说明

图1-本发明实施方案示意图。

其中：

1-媒体代理服务器；

2-软交换控制器；

3-防火墙设备；

4-局域网交换机；

5-IP话机；

6-IAD综合接入设备；

7-普通话机；

8-分组网交换设备；

9-中继网关；

A-私网：A1-第一私网，A2-第二私网；

B-IP骨干网；

C-PSTN公共电话交换网；

a-信令数据通道；

b-媒体数据通道；

c-控制数据通道，用以完成媒体代理服务器与软交换控制器之间的控制交互。

具体实施方式

*通过标准软交换协议或SIP、H.248或Megaco、MGCP来完成媒体流转发到媒体代理服务器1，软交换控制器2支持符合软交换SIP、H.248或Megaco、MGCP标准的多媒体终端，媒体类型上支持但不限于语音、视频、传真数据流。

*软交换控制器2可以位于公网，也可以位于私网；软交换控制器2与媒体代理之间相互协调、控制整个会话，并可根据终端具体位置作策略上的优化，共同完成各种复杂网络环境下多媒体终端的通讯。

*结合具体协议的呼叫流程

1、主叫和被叫的终端连上私网后即可开始发出注册请求，消息分别经由信令数据通道穿过所在私网的防火墙，抵达软交换控制器2。软交换控制器2控制终端定时使用该通道，保证该信令控制通道能够在整个会话期间得以维持。到达软交换控制器2的数据包中记录有最后经过的防火墙公网侧地址，验证通过后有为其分配的用户号码，这些使通讯双方的终端拥有可路由的公网地址以及可定位的号码。

2、主叫发起呼叫时，软交换控制器2查找到被叫，一方面通知媒体代理服务器1控制分配两个通道，分别关联好主叫被叫并准备接收双方发出的媒体流，另一方面，协商彼此能力集成功后，将媒体代理服务器1所分配的通道地址，封装于相关描述协议中发给对方。

3、通过控制数据通道，媒体代理服务器1和软交换控制器2相互协调，作用于整个呼叫过程。过程涉及建立和控制媒体通道，分配RTP/RTCP端口地址对等。媒体代理服务器1经由媒体数据通道不断进行媒体流的转发，直至会话结束。

4、软交换控制器2发现一方挂机时，通知对方，同时关闭媒体代理服务器1上与该会话关联的媒体通道。至此，一个穿越私网A的呼叫成功完成。

以上说明了一个典型的软交换网络中，使用本实施方案，通过媒体代理服务器1的中转功能，顺利地实现了两个处于不同私网A的终端通讯。

Claims (3)

1、一种软交换网络穿越防火墙的方法，包括网络系统，该网络系统由私网(A)、IP骨干网(B)、PSTN公共电话交换网(C)组成，通过分组网交换设备(8)、中继网关(9)连通；所述的私网(A)由防火墙设备(3)、局域网交换机(4)、IP话机(5)、综合接入IAD设备(6)、普通话机(7)组成；

其特征在于：在IP骨干网(B)中，设置有媒体代理服务器(1)和软交换控制器(2)；媒体代理服务器(1)、软交换控制器(2)、分组网交换设备(8)相互连通；通过将两个终端的呼叫连接到媒体代理服务器(1)上，由媒体代理服务器(1)转发媒体流来实现穿越防火墙功能；

所述的媒体代理服务器(1)是专用于语音、视频、传真数据流的转发设备，根据会话关联的数据通道，为通讯双方的媒体流分别作接收和发送的替换，即收到主叫发出的媒体流即时转予被叫，收到被叫的数据也即时转给主叫方，实时收发并与会话同步，会话结束时，该通道内的转发动作也停止，关联的通道也随之拆除，从而实现复杂软交换网络环境中终端的媒体互通。

所述的软交换控制器(2)是基于软件的分布式交换和控制平台；呼叫控制功能从传统网关中分离出来，开放业务、控制、接入和交换间的协议，从而真正实现多网络运营商，并可以方便地引入多种业务；针对防火墙的穿越，增加与媒体代理服务器(1)的交互模块，对私网中成功完成信令互通、会话建立后，实现对双方送出的媒体数据的流向控制。

具体有下列步骤：

①通讯终端通过注册或状态报告连接软交换服务器(2)，软交换控制器(2)进而可以确定其位置；

②通过软交换控制器(2)，终端完成呼叫信令的建立，同时媒体代理服务器(1)准备好媒体数据通道，开始媒体流的收发中转；

③媒体代理服务器(1)保证呼叫中所需的数据通道，持续转发媒体直至该次会话结束；

④收到呼叫结束通知后，媒体代理服务器(1)关闭会话相关数据通道，释放资源，提供会话统计信息。

2、根据权利要求1所述的一种软交换穿越防火墙的方法，其特征在于：通过标准软交换协议或SIP、H.248或Megaco、MGCP来完成媒体流转发到媒体代理服务器(1)，软交换控制器2支持符合软交换SIP、H.248或Megaco、MGCP标准的多媒体终端，媒体类型上支持但不限于语音、视频、传真数据流。

3、根据权利要求1所述一种软交换穿越防火墙的方法，其特征在于：软交换控制器(2)可以位于公网，也可以位于私网；软交换控制器(2)与媒体代理服务器(1)之间相互协调、控制整个会话，并可根据终端具体位置作策略上的优化，共同完成各种复杂网络环境下多媒体终端的通讯。

Images