sip之穿越nat-中國科技網(wǎng)，引領(lǐng)科技的中國互聯(lián)網(wǎng)絡(luò)！

1、SIP之穿越NAT,,Agenda,SIP穿越NAT NAT分類 問題之所在 各種解決方案,SIP穿越NAT – NAT分類,Full Cone NAT(完全圓錐型)Address Restricted Cone NAT(地址限制圓錐型 )Port Restricted Cone NAT(端口限制圓錐型) Symmetric NAT(對稱型),私網(wǎng),公網(wǎng),X,y,A,b,M,NAT,P,S,,SIP穿越

2、NAT – NAT分類,Full Cone NAT(完全圓錐型NAT ),私網(wǎng),公網(wǎng),,X,y,A,b,M,Full ConeNAT,P,S,,,,NAT會將客戶機地址{X:y}轉(zhuǎn)換成公網(wǎng)地址{A:b}并綁定任何包都可以通過地址{A:b}送到客戶主機的{X:y}地址上,SIP穿越NAT – NAT分類,Address Restricted Cone NAT(地址限制圓錐型 ),私網(wǎng),公網(wǎng),,X,y,A,b,M,Restricted

3、ConeNAT,S,,,,NAT會將客戶機地址{X:y}轉(zhuǎn)換成公網(wǎng)地址{A:b}并綁定只有來自主機{P}的包才能和主機{X:y}通信,P,q,P,r,X,X,SIP穿越NAT – NAT分類,Port Restricted Cone NAT(端口限制圓錐型 ),私網(wǎng),公網(wǎng),,X,y,A,b,M,n,Port Restricted ConeNAT,S,,,,NAT會將客戶機地址{X:y}轉(zhuǎn)換成公網(wǎng)地址{A:b}并綁定只有來自主機{

4、P,q}的包才能和主機{X:y}通信,P,q,P,r,X,X,,,SIP穿越NAT – NAT分類,Symmetric NAT(對稱型),私網(wǎng),公網(wǎng),,X,y,A,b,M,n,Port Restricted ConeNAT,S,,,,NAT會將客戶機地址{X:y}轉(zhuǎn)換成公網(wǎng)地址{A:b}并綁定為{X:y}|{A:b}{P:q} NAT只接受來自{P:q}的incoming packet，將它轉(zhuǎn)給{X:y} 每次客戶機請求一個不同的

5、公網(wǎng)地址和端口，NAT會新分配一個端口號{C,d},P,q,P,r,X,X,,,C,d,SIP穿越NAT – 問題之所在,SIP Proxy無法穿過NAT回送SIP信令,私網(wǎng),公網(wǎng),私網(wǎng),SIPProxy,SIP信令,Firewall/NAT,Firewall/NAT,X,X,因為SIP信令中的From和Contact頭域記錄的是私網(wǎng)地址和端口,NAT無法識別和轉(zhuǎn)換。,SIP穿越NAT – 問題之所在,如果是UDP Hole Pu

6、nching呢？ 什么是UDP Hole?,私網(wǎng),公網(wǎng),UDP包,Firewall/NAT,這個內(nèi)網(wǎng)的NAT上打了一個方向為211.136.91.58的“洞”，（這就是稱為UDP Hole Punching的技術(shù)）以后211.136.91.58就可以通過這個洞與內(nèi)網(wǎng)的192.168.1.223聯(lián)系了，但是其他的IP不能利用這個洞。,,SIP穿越NAT – 問題之所在,如果是UDP Hole Punching呢？ 在沒有活

7、動的時候，這個Hole會過期： NAT對于地址轉(zhuǎn)換關(guān)系是有一定生命期的，某個地址轉(zhuǎn)換后在一段時間內(nèi)沒有被使用將會被清除，當(dāng)這個業(yè)務(wù)流再次出現(xiàn)時，將會建立一個新的地址轉(zhuǎn)換關(guān)系。,SIP穿越NAT – 解決問題,幾種解決方案ALGMidComSTUNTURNSBC,Application Level Gateway Solution,ALG可以識別SIP信令，能夠適當(dāng)?shù)匦薷臄?shù)據(jù)包ALG可以是單獨的連接于外網(wǎng)和內(nèi)網(wǎng)之間的設(shè)

8、備，也可以是內(nèi)置于防火墻內(nèi)的插件當(dāng)FW/NAT發(fā)現(xiàn)外網(wǎng)呼叫信令為SIP時，將其轉(zhuǎn)發(fā)到ALG(應(yīng)用層網(wǎng)關(guān))，通過ALG建立起內(nèi)網(wǎng)偽地址終端與外網(wǎng)終端的通信連接需要對現(xiàn)有設(shè)備升級改造,SIP穿越NAT – ALG,IETF MIDCOM(Middlebox Communications) Solution,允許第三方(MIDCOM Agent )成為受FW/NAT信任的實體，然后代表FW/NAT做出決定，強迫其開放端口傳送媒體流或數(shù)據(jù)流

9、。這些受信任的實體通過“MidCom”定義的新協(xié)議與FW/NAT進(jìn)行通信。協(xié)議的識別不由Middlebox完成，而是由外部的MIDCOM Agent完成需要對現(xiàn)有設(shè)備升級改造,SIP穿越NAT – MidCom,,STUN(Simple Traversalof UDP Through Network) Solution,私網(wǎng),公網(wǎng),,X,y,A,b,S,t,NAT,[A,b],SIP穿越NAT – STUN,希望在5060端口接收數(shù)

10、據(jù),從5060端口發(fā)送請求STUN服務(wù)器,NAT映射端口為12345,STUN回包告訴客戶端公網(wǎng)IP和12345端口,What’s my ip?,IETF RFC 3489定義了如何確定由NAT分配的公網(wǎng)地址和端口不需要改造現(xiàn)有NAT主要特色：能夠讓客戶端發(fā)現(xiàn)NAT的存在以及類型能夠讓客戶端發(fā)現(xiàn)NAT的綁定生命周期可以工作在多NAT串聯(lián)環(huán)境下非常簡單的協(xié)議，易于實現(xiàn)，負(fù)載低STUN服務(wù)器可以位于公網(wǎng)任何地方適用范圍：

11、不適用于Symmetric NAT對于Non- Symmetric NAT都適用如果雙方都位于同一個NAT之后，就不適用,SIP穿越NAT – STUN,STUN的優(yōu)點：無需現(xiàn)有NAT設(shè)備做任何改動 可在多個NAT串聯(lián)的網(wǎng)絡(luò)環(huán)境中使用 STUN的局限性：需要終端支持STUN CLIENT的功能 不適合支持TCP連接的穿越，所以不支持H.323不支持Symmetric NAT不支持對防火墻的穿越,SIP穿越NAT – S

12、TUN,SIP穿越NAT – STUN,,,SIP穿越NAT – STUN,,,成熟的STUN Server/Client方案: http://sourceforge.net/projects/stun/ 下載stund_0.94_Oct29.gz運行其中的WinStun.exe測試程序,即可獲知NAT類型以及分配的公網(wǎng)地址：,SIP穿越NAT – STUN,,TURN(Traveral Using Relay NAT

13、) Solution,私網(wǎng),公網(wǎng),,X,y,A,b,S,t,NAT,[O,p],O,p,M,n,,,,O,p,M,n,,SIP穿越NAT –TURN,通過Relay方式穿越NAT的方式：私網(wǎng)終端發(fā)出的報文都要經(jīng)過TURN Server進(jìn)行Relay轉(zhuǎn)發(fā),Give my ip,分配一個IP和端口：[O,p],IETF draft “draft-rosenberg-midcom-turn-06”TURN Server控制分配地址和端口

14、，能分配RTP/RTCP地址對(RTCP端口號為RTP端口號加1)作為私網(wǎng)終端用戶的接收地址，避免了STUN方式中出口NAT對RTP/RTCP地址端口號的任意分配，使得客戶端無法收到對端發(fā)來的RTCP報文(對端發(fā)RTCP報文時，目的端口號缺省按RTP端口號加 1發(fā)送)。,SIP穿越NAT –TURN,與STUN的類似之處：私網(wǎng)中的終端通過某種機制預(yù)先得到公網(wǎng)上的服務(wù)地址，然后在報文凈載中所要求的地址信息就直接填寫該公網(wǎng)地址。與ST

15、UN的區(qū)別：STUN得到的地址為出口NAT上外部地址；TURN得到的地址為TURN Server上的公網(wǎng)地址 TURN支持Symmetric NATTURN支持基于TCP的應(yīng)用，如H.323,SIP穿越NAT –TURN,TURN的優(yōu)點：無需現(xiàn)有NAT設(shè)備做任何改動 可在多個NAT串聯(lián)的網(wǎng)絡(luò)環(huán)境中使用 支持Symmetric NAT支持TCP連接的穿越TURN的局限性：需要終端支持TURN CLIENT的功能 所有報

16、文都必須經(jīng)過TURN Server轉(zhuǎn)發(fā)，增大了包的延遲和丟包的可能性,SIP穿越NAT –TURN,ICE(Interactive Connectivity Establishment) Solution,IETF draft “draft-ietf-mmusic-ice-03”綜合運用 STUN、TURN或RSIP(Realm Specific IP)協(xié)議，使之在最適合的情況下工作，以彌補單獨使用其中任何一種所帶來的固有缺陷 在

17、SIP client開發(fā)上顯著地增加了復(fù)雜性適用于各種類型的NAT需要每一個終端支持 traversal 方法資源：可以參考論文《基于ICE方式SIP信令穿透Symmetric NAT技術(shù)研究 》,SIP穿越NAT –ICE,,,SBC(Session Border Controller) Solution,SIP Proxy,RTP/RTCP Media,SIPSignaling,Firewall,Firewall,SIP