CN1758653B - 电信网络中设定路由的方法、电信网络及安全和隧道设备 - Google Patents

Abstract

本发明涉及一种通过信令协议经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法，其中使用安全和隧道设备，其位于端用户与端用户域中具有地址转换设备的防火墙之间的端到端连接中，并且其中使用会话边界控制器，其位于服务提供商域中的端到端连接中，在安全和隧道设备与会话边界控制器之间建立一个隧道，并且经由该隧道在安全和隧道设备与会话边界控制器之间的区域内的端用户与服务提供商域之间通过隧道协议进行双向数据交换，本发明还涉及一种用于执行该方法的电信网络和安全和隧道设备。

Description

电信网络中设定路由的方法、电信网络及安全和隧道设备

相关申请的交叉引用

本发明基于优先申请EP 04292353.2，在此引入其内容以供参考。

技术领域

本发明涉及一种通过信令协议经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法，其中使用安全和隧道设备，其位于端用户与端用户域中具有地址转换设备的防火墙之间的端到端连接中，并且其中使用会话边界控制器，其位于服务提供商域中的端到端连接中，在安全和隧道设备与会话边界控制器之间建立一个隧道，并且经由该隧道在安全和隧道设备与会话边界控制器之间的区域内的端用户与服务提供商域之间通过隧道协议进行双向数据交换，本发明还涉及一种用于执行用于通过会话初始协议(SIP)经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法的电信网络，并且本发明还涉及一种用于执行用于通过SIP协议经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法的电信网络中的安全和隧道设备。

背景技术

在电信网络中，为了建立、检查和终止基于例如可以实现诸如基于IP的语音(VoIP)之类的语音服务或者实现多媒体数据交换的用户数据报协议(UDP)的双向端到端连接，优选地使用所谓的会话初始化协议(SIP)，因为通过这种协议，还可以比较容易地获得诸如用于呼叫检查之类的附加服务以及各种现有电话系统之间的移动性和互用性。在这种情况下使用的SIP消息通常同样通过UDP数据包来传送。诸如“INVITE”之类的SIP协议的信令消息包括IP地址和关于UDP端口的信息，第一消息的接收者应当将例如“200OK”之类的答复发送到UDP端口。在所谓的SDP描述符(SDP为会话描述协议)中，SIP消息包含关于用户代理客户端(UAC)即主叫方和用户代理服务器(UAS)即被叫方的信息，包括诸如IP地址和UDP端口之类的用于媒体流的通过所谓的实时传输协议(RTP)来进行传输的参数。

对于位于在诸如具有地址转换设备的防火墙之类的常用设备之后的私有IP区域中的终端，SDP描述符中通常会引用私有IP地址，并且因此不能从私有IP区域的外部对这些终端进行编址，并且因此这些终端是不可访问的.由于通常使用的地址转换设备仅操作于OSI模型(OSI为开放系统互连)的第3层和/或第4层中的私有IP区域和公共IP区域之间的过渡区域，因此在此情况下仅转换在UDP协议或IP协议的头中引用的那些IP地址和端口.在SIP协议或UDP协议中引用的IP地址和端口包含在所谓的UDP有效载荷中并且未被地址转换设备转换，这使得在UAS和UAC之间交换了用于发送信号和RTP媒体流的私有IP地址和端口，利用这些私有IP地址和端口，可以从私有IP区域的外部对私有IP区域中的终端进行编址和访问.此外，某些UAC使用两个不同的端口来发送和接收SIP消息，引起的附加问题是即使在防火墙中由诸如“INVITE”之类的SIP消息产生一个针孔(pinhole)，换句话说产生一个用于发送和接收消息的开口，也不可能在SIP消息的VIA条目中所引用的端口处接收到诸如“200OK”之类的消息，这是由于在这种情况下该接收端口无论如何都与发送端口不同，在接收端口中没有已经开通的针孔，并且因此通过防火墙的入口受到阻挡.这种情况还发生在用不同的UDP端口来发送和接收RTP数据包的双向RTP媒体流中，因此此时也会出现上述问题.

目前在讨论的对于上述问题的解决方案的有例如UDP对NAT的简单穿越(STUN)(NAT为网络地址翻译器)或使用中继NAT的穿越(TURN)之类的所谓的辅助协议(helper protocol)，借助于这些协议，在私有IP地址和公共IP地址和端口之间建立连接，并且还要在防火墙中开通针孔，实现双向RTP媒体流。但是这些解决方案需要在公共IP区域中安装例如服务器之类的额外的硬件，并且此外例如SIP电话之类的终端必须配备用于评估和使用地址转换的特殊能力。此外，因为整个信号发送和媒体业务必须经由一个单独的服务器来进行，所以基于TURN协议的方案很难升级。此外，这些方法仅部分地支持例如完全锥形NAT、受限锥形NAT、端口受限锥形NAT、对称NAT等不同种类的地址转换。

解决该问题的另一个方法是基于来自应用层的SIP信息使用由诸如MIDCOM、MEGACO/H.248或UpnP之类的控制协议控制的具有地址转换设备的防火墙。但是，这一方面需要对具有地址转换设备的防火墙的多样性进行升级或替换，并且另一方面需要安装中心控制单元或分散的控制单元。

最后，全行业的协议还可以采纳将私有区域中具有地址转换设备的防火墙完全替换为具有SIP识别能力的设备，从而使该设备能够实现对用于发送和接收消息的不同UDP端口的利用。

所有上述方法都只能部分地解决所提及的问题，或者这些方法成本很高且非常复杂。

发明内容

本发明的目的是产生改善上述情况的方法。

根据本发明，该目的由用于通过信令协议经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法来达到，其中使用安全和隧道设备，其位于端用户与端用户域中具有地址转换设备的防火墙之间的端到端连接中，并且其中使用会话边界控制器，其位于服务提供商域中的端到端连接中，在安全和隧道设备与会话边界控制器之间建立一个隧道，并且经由该隧道在安全和隧道设备与会话边界控制器之间的区域内的端用户与服务提供商域之间通过隧道协议进行双向数据交换，本发明还涉及一种用于执行用于通过会话初始协议(SIP)经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法的电信网络，其中包括安全和隧道设备，其位于端用户与端用户域中具有地址转换设备的防火墙之间的端到端连接中，其中包括会话边界控制器，其位于服务提供商域中的端到端连接中，其中安全和隧道设备具有用于在该安全和隧道设备与会话边界控制器之间建立隧道的装置，并且其中安全和隧道设备以及会话边界控制器具有用于经由该隧道在安全和隧道设备与会话边界控制器之间的区域内的端用户与服务供应商域之间通过隧道协议进行双向数据交换的装置，本发明还涉及一种用于执行用于通过SIP协议经由所插入的具有地址转换设备的防火墙来为端用户与服务提供商域之间的双向端到端连接设定路由的方法的电信网络中的安全和隧道设备，其中安全和隧道设备具有用于在该安全和隧道设备与位于服务提供商域中的端到端连接中的会话边界控制器之间建立隧道的装置，并且安全和隧道设备具有用于经由该隧道在安全和隧道设备与会话边界控制器之间的区域内的端用户与服务供应商域之间通过隧道协议进行双向数据交换的装置.

本发明的基本思想是在与所插入的具有地址转换设备的防火墙的双向端到端连接中，为了发送语音数据或多媒体数据，在端用户域和服务提供商域之间经由隧道同时发送例如通过SIP协议用于信令的数据包和包含例如RTP格式的媒体内容的数据包。服务提供商一侧的隧道终点形成会话边界控制器(SBC)，包括SIP代理服务器(例如背对背用户代理)和媒体交换单元的功能，并且端用户一侧的隧道终点形成建立隧道并优选地由服务提供商提供和检查的安全和隧道设备。然后，在安全和隧道设备中检测由例如SIP电话之类的UAC发往SBC的数据包，并且在将其封装到隧道协议中之后经由隧道发送到各自的负责的SBC。安全和隧道设备的IP地址和端口的另一种转换在具有地址转换设备的防火墙中进行。在将数据包封装到隧道协议中之前，也可以在安全和隧道设备中对其进行有选择的加密。作为查询答复的数据将要发送到的UAC的私有IP地址和私有端口与安全和隧道设备的IP地址和端口之间的联系存储在会话边界控制器(SBC)中。通过这种方式，可以得到关于信令和媒体数据中的UAC的私有信息，例如UAC的私有IP地址。将要从服务提供商域发送到端用户域中的UAC的作为查询答复的数据发送到适当的SBC，在其中有选择地对这些数据进行加密，然后将其封装到隧道协议中，并且然后将其发送到端用户域中的适当的安全和隧道设备的IP地址和端口。这样就可以由具有作为查询答复的数据要发送到的UAC的私有IP地址和私有端口的隧道的IP地址和端口的组合来保证UAC地址的唯一性，即通过将数据包嵌入包含UAC的私有IP地址和私有端口作为接收机地址的隧道包中来保证UAC地址的唯一性。

在从属权利要求和下面的说明中给出本发明的进一步的配置。

附图说明

下面借助于附图对本发明进行进一步的解释。

图1通过示例的方式示出了可以实现本发明的网络环境。

具体实施方式

图1中示出的根据本发明的电信网络包括端用户域DE和服务提供商域DD.端用户域DE包括诸如在此作为示例示出的电话TP和计算机PC之类的终端，路由器或交换机RS，根据本发明的安全和隧道设备STG，以及具有地址转换设备的防火墙FW/NAP，该具有地址转换设备的防火墙FW/NAP不仅具有用于转换IP地址的装置，还具有用于转换端口的装置.服务提供商域依次包括路由器R和会话边界控制器SBC，该会话边界控制器SBC依次包括媒体单元ME和信令单元SE.在端用户域DE中，电话TP和计算机PC视情况连接到路由器或交换机RS，该路由器或交换机RS依次连接到安全和隧道设备STG.再从安全和隧道设备STG连接到具有地址转换设备的防火墙FW/NAPT.端用户域DE一方面经由具有地址转换设备的防火墙FW/NAPT与路由器R之间的标准连接SV连接到服务提供商域DD，并且另一方面经由在具有地址转换设备的防火墙FW/NAPT与信令单元SE和媒体单元ME之间的隧道连接TV连接到服务提供商域DD.路由器R和会话边界控制器SBC可以进一步连接到网元，例如服务器、网关或图1中未画出的服务提供商域DD内外的用户装置.

根据本发明的安全和隧道设备STG具有用于接收和发送数据的装置和诸如随机存取存储器(RAM)之类的存储数据的装置。安全和隧道设备STG还额外地具有用于检查数据包的接收者地址的装置和用于通过封装数据包来建立隧道连接的装置，例如将IP数据包或MAC数据包(MAC为媒体访问控制)封装为例如IP隧道包之类的隧道包。

在又一实施例中，安全和隧道设备STG具有用于通过保持激活(keep-alive)机制来使安全和隧道设备STG通过具有地址转换设备的防火墙FW/NAPT到会话边界控制器SBC之间的连接保持开通的装置。

在又一实施例中，安全和隧道设备STG具有用于在通过隧道协议将数据封装为隧道包并经由隧道TV将其发送到会话边界控制器SBC之前对数据进行加密的装置以及/或者用于对这些隧道包的有效载荷进行加密的装置。

在又一实施例中，安全和隧道设备STG具有用于检查包含在由会话边界控制器SBC发送并由安全和隧道设备STG接收的数据中的关于会话边界控制器SBC的信息的装置。

在根据本发明的方法中，在例如基于UDP的双向端到端连接的构架中例如通过SIP协议发送用于信令的数据包并且发送包含例如RTP格式的媒体内容的数据包。将发自用作例如SIP电话之类的UAC的终端PC或TP之一的数据包发往会话边界控制器SBC。数据包经由路由器或交换机RS从终端TP和PC到达安全和隧道设备STG。为此，必须确保将安全和隧道设备STG安装于端用户域中的网络位置，经由安全和隧道设备STG发送全部与例如语音或多媒体相关的全部相关数据业务。这种网络位置是例如SOHO路由器(SOHO为小办公室/在家办公)的LAN端口(LAN为局域网)，或者在ADSL调制解调器(ADSL为非对称数字用户线)与SOHU路由器之间，其中对于最后的位置，安全和隧道设备STG必须理解所谓的点到点协议(PPP)，并且其必须额外地确保SOHO路由器允许适当的数据包通过。为了便于观察，图1中既未示出SOHO路由器也未示出ADSL调制解调器。在安全和隧道设备STG中检测发往会话边界控制器SBC的数据包，然后通过隧道协议将诸如IP数据包或MAC数据包之类的适当的数据包封装为诸如IP隧道包之类的隧道包，并且在安全和隧道设备STG与会话边界控制器SBC之间建立隧道TV。

在一个有利的实施例中，在将数据包封装为隧道包之前，例如通过IPsec协议在安全和隧道设备STG中对数据包进行加密并且/或者对隧道包的有效载荷进行加密。由于会话边界控制器SBC和安全和隧道设备STG在同一个服务提供商的控制之下，因此可以在较低安全水平下由低成本解决方案来完成加密，在本示例中这可以通过由具有缩减的密钥的IPsec协议进行加密来实现。通过所谓的智能卡，可以将私有密钥和/或公共密钥预配置在安全和隧道设备STG和/或会话边界控制器SBC中，或者私有密钥和/或公共密钥可以由服务提供商来分发。

在又一有利的实施例中，在安全和隧道设备STG中检测例如接收到的数据包的发送者IP地址之类的关于与会话边界控制器SBC有关的隧道的终点信息，以保护端用户域免受来自公用网的攻击，但是这需要预先假定识别和阻止IP地址的产生的接入网基础设施。

并非发往会话边界控制器SBC的数据包透明地通过安全和隧道设备STG，并通过标准连接SV经由具有地址转换设备的防火墙FW/NAPT和公共通信网络到达服务提供商域DD中的路由器R.将隧道数据从安全和隧道设备STG发送到具有地址转换设备的防火墙FW/NAPT，并在该处进行安全和隧道设备STG的IP地址和端口的转换，之后在隧道包经由隧道TV通过服务提供商域DD中的公共通信网络到达并在该处由会话边界控制器SBC接收.在会话边界控制器SBC中，信令数据到达信令单元SE中，例如到达SIP代理服务器中，并且媒体数据到达媒体单元ME中，例如到达媒体代理服务器中.如果到来的数据是加密的，就需要在会话边界控制器中额外地对其进行解密.作为查询答复的数据将要发送到的UAC的私有IP地址和私有端口与安全和隧道设备STG的IP地址和端口之间的联系存储在会话边界控制器SBC中，因此可以得到关于信令数据和媒体数据中的UAC的私有信息，例如UAC的私有IP地址.

将数据从信令单元SE或媒体单元ME转发到服务提供商域DD内外的适当的目的地地址。将数据包从这些目的地地址发送到适当的会话边界控制器SBC，作为对来自UAC的消息的答复。同时，信令数据到达信令单元SE中，并且媒体数据到达媒体装置ME中。在会话边界控制器SBC中，通过隧道协议将适当的数据包封装为隧道包并经由隧道TV将其发送到安全和隧道设备STG，并且这些隧道包首先到达具有地址转换设备的防火墙FW/NAPT。

在一个有利的实施例中，例如在通过IPsec协议将数据包封装为隧道包之前在会话边界控制器中对其进行加密并且/或者对隧道包的有效载荷进行加密。由于作为查询答复的数据将要发送到的UAC的私有IP地址和私有端口与安全和隧道设备STG的IP地址和端口之间的联系在会话边界控制器SBC中是已知的，因此UAC接收者地址的唯一性得到了保证，即例如嵌入隧道包中的数据包包含UAC的私有IP地址和私有端口作为接收者地址。

通常，在会话边界控制器SBC中实现一种机制，其中通过重复发送消息到安全和隧道设备STG的IP地址和端口，使通过防火墙的连接保持开通。如果在会话边界控制器SBC中不能实现这种机制，则可以在安全和隧道设备中有选择地实现所谓的保持激活(keep-alive)机制，以便使通过防火墙的连接保持开通。此时在具有地址转换设备的防火墙FW/NAPT中，执行对安全和隧道设备STG的IP地址和端口的重新转换，并将数据转发到安全和隧道设备STG的IP地址和端口。在安全和隧道设备STG中，将隧道包再次解封，并且如有必要还要对其进行解密，并且将包含在隧道包中的数据包发送到包含在数据包中的UAC的私有IP地址和私有端口。

Claims (14)

1.一种用于通过信令协议经由所插入的具有地址转换设备的防火墙(FW/NAPT)来对端用户(TP，PC)与服务提供商域(DD)之间的双向端到端连接设定路由的方法，其特征在于：

使用安全和隧道设备(STG)，其位于端用户域(DE)中具有地址转换设备的防火墙(FW/NAPT)与端用户(TP，PC)之间的端到端连接中，并且使用会话边界控制器(SBC)，其位于服务提供商域(DD)中的端到端连接中，在所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间建立一个隧道(TV)，并且在所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间的区域内经由所述隧道(TV)通过隧道协议进行端用户(TP，PC)与服务提供商域(DD)之间的双向数据交换；以及

所述端用户(TP，PC)的终端的私有IP地址和私有端口与所述安全和隧道设备(STG)的IP地址和端口之间的联系存储在所述会话边界控制器(SBC)中。

2.根据权利要求1所述的方法，其中在通过隧道协议将数据封装为隧道包并经由所述隧道(TV)将其发送到所述会话边界控制器(SBC)之前，通过所述安全和隧道设备(STG)来对这些数据进行加密并且/或者其中通过所述安全和隧道设备(STG)来对这些隧道包的有效载荷进行加密。

3.根据权利要求1所述的方法，其中在通过隧道协议将数据封装为隧道包并经由所述隧道(TV)将其发送到安全和隧道设备(STG)之前，通过所述会话边界控制器(SBC)来对这些数据进行加密并且/或者其中通过所述会话边界控制器(SBC)来对这些隧道包的有效载荷进行加密。

4.根据权利要求1所述的方法，其中通过所述安全和隧道设备(STG)来检查由所述会话边界控制器(SBC)发送并由所述安全和隧道设备(STG)接收的数据中包含的关于所述会话边界控制器(SBC)的信息。

5.根据权利要求1所述的方法，其中所述安全和隧道设备(STG)通过保持激活机制来使所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间的通过具有地址转换设备的防火墙(FW/NAPT)的连接保持开通。

6.一种用于执行用于通过会话初始协议经由所插入的具有地址转换设备的防火墙(FW/NAPT)来对端用户(TP，PC)与服务提供商域(DD)之间的双向端到端连接设定路由的方法的电信网络，其特征在于包括安全和隧道设备(STG)，其位于端用户域(DE)中具有地址转换设备的防火墙(FW/NAPT)与端用户(TP，PC)之间的端到端连接中，以及包括会话边界控制器(SBC)，其位于服务提供商域(DD)中的端到端连接中，其中所述安全和隧道设备(STG)具有用于在所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间建立隧道(TV)的装置，所述会话边界控制器(SBC)存储有所述端用户(TP，PC)的终端的私有IP地址和私有端口与安全和隧道设备(STG)的IP地址和端口之间的联系，并且其中所述安全和隧道设备(STG)和所述会话边界控制器(SBC)具有用于在所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间的区域内经由所述隧道(TV)通过隧道协议进行端用户(TP，PC)与服务供应商域(DD)之间的双向数据交换的装置。

7.根据权利要求6所述的电信网络，其中所述安全和隧道设备(STG)具有用于在通过隧道协议将数据封装为隧道包并经由所述隧道(TV)将其发送到所述会话边界控制器(SBC)之前对这些数据进行加密并且/或者对这些隧道包的有效载荷进行加密的装置。

8.根据权利要求6所述的电信网络，其中所述会话边界控制器(SBC)具有用于在通过隧道协议将数据封装为隧道包并经由所述隧道(TV)将其发送到所述安全和隧道设备(STG)之前对这些数据进行加密并且/或者对这些隧道包的有效载荷进行加密的装置。

9.根据权利要求6所述的电信网络，其中所述安全和隧道设备(STG)具有用于检查由所述会话边界控制器(SBC)发送并由所述安全和隧道设备(STG)接收的数据中包含的关于所述会话边界控制器(SBC)的信息的装置。

10.根据权利要求6所述的电信网络，其中安全和隧道设备(STG)具有用于通过保持激活机制使所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间通过具有地址转换设备的防火墙(FW/NAPT)的连接保持开通的装置。

11.一种用于执行用于通过会话初始协议经由所插入的具有地址转换设备的防火墙(FW/NAPT)来对端用户(TP，PC)与服务提供商域(DD)之间的双向端到端连接设定路由的方法的电信网络中的安全和隧道设备(STG)，其特征在于所述安全和隧道设备(STG)具有用于在所述安全和隧道设备(STG)与位于服务提供商域(DD)中的端到端连接中的所述会话边界控制器(SBC)之间建立隧道(TV)的装置，其中所述端用户(TP，PC)的终端的私有IP地址和私有端口与安全和隧道设备(STG)的IP地址和端口之间的联系存储在所述会话边界控制器(SBC)中，并且所述安全和隧道设备(STG)具有用于在所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间的区域内经由所述隧道(TV)通过隧道协议进行端用户(TP，PC)与服务供应商域(DD)之间的双向数据交换的装置。

12.根据权利要求11所述的安全和隧道设备(STG)，其中所述安全和隧道设备(STG)具有用于通过保持激活机制使所述安全和隧道设备(STG)与所述会话边界控制器(SBC)之间通过防火墙的连接保持开通的装置。

13.根据权利要求11所述的安全和隧道设备(STG)，其中所述安全和隧道设备(STG)具有用于在通过隧道协议将数据封装为隧道包并经由所述隧道将其发送到所述会话边界控制器(SBC)之前对这些数据进行加密并且/或者对这些隧道包的有效载荷进行加密的装置。

14.根据权利要求11所述的安全和隧道设备(STG)，其中所述安全和隧道设备(STG)具有用于检查由所述会话边界控制器(SBC)发送并由所述安全和隧道设备(STG)接收的数据中包含的关于所述会话边界控制器(SBC)的信息的装置。