讓通訊更安全視頻通信防火墻下的應用

ｃｓｔｙｌｅ

一、綜述

隨著IP網絡建設的大發展。現在基于IP網絡環境下的視頻通信應用越來越普遍，不但一部分政府部門、大型企業采用基于IP的網絡傳輸環境構筑專用的視頻通信網，商業、企業更加傾向于將他們的視頻通信系統構建在基于IP的傳輸環境中，以降低建設成本，特別是使用成本。

目前符合國際標準的視頻通信應用模式。主要為遵循ITU組織H.323標準的系統。以及遵循ITEF組織SIP的系統。

經過幾年的實際應用考驗和不斷改進。基于H.323的應用模式的應用體系非常成熟。相關產品在穩定性，連接的安全、可靠性等方面可以完全滿足市場，特別是專業視頻，多媒體會議的要求。由于H.323標準體系非常完備和嚴格。從而確保了基于H.323的眾多產品所具有的良好互通互聯性，這一點為H.323協議的大范圍推廣奠定了技術基礎。基于SIP的視頻應用是隨著NGN的需求而日益得到市場的重視，特別是在3G背景環境下，越來越多的廠商相繼推出了基于SIP的視頻通信產品，以滿足個人用戶、移動用戶對視頻通信的需求。SIP提出的目的是在基于Internet環境中，實現多媒體通信的應用。它和HTTP、SMTP等ITEF的協議一樣。是一種基于“文本”的通信協議。結構簡單，便于擴充、擴展是SIP與H.323體系的明顯區別。

二、視頻通信在防火墻環境下的應用

和所有的網絡應用一樣，無論基于H.323標準還是基于SIP的，視頻通信系統都不可避免地受到所依托網絡環境的限制。這一點不但影響到視頻產品選型、系統結構方案，同時對網絡環境本身是否需要進一步改造都有著比較大的影響。在所有影響因素中，除了網絡環境傳輸條件本身外，如何有效解決“防火墻”對視頻系統的影響是所有用戶、建設方以及視頻廠商乃至網絡廠商所不得不面對的一個“難題”。

從協議中對握手的定義來看，無論是H.323還是SIP。這個過程和保證網絡安全的“防火墻”、NAT等機制是一對矛盾體。

對于目前經常使用的“防火墻”而言，為保證墻內內部網絡的安全性，其工作機制一般是屏蔽掉外部數據對受保護網絡中計算機的數據訪問。而只開放少許的指定地址和通信端口，以保證Internet服務器等設備正常工作。

NAT則通過地址轉換，一方面保護了內部網絡中各計算機以免被外部惡意數據的直接破壞；另一方面也可以保證內部局域網絡對有限公網地址的有效利用。

就目前企事業單位、國家機關的現有網絡狀況來看。標準的網絡安全防護措施一般是“防火墻”和NAT同時使用，而且在所保護網絡中開辟出一個DMZ區域供Internet和E-mail等服務器使用，而將所有辦公計算機放置于受保護的內網，位于外網的數據只能到達位于DMZ區域的設備，而不能直接訪問位于內網的設備，它們之間的數據傳輸則是通過位于DMZ區的各種服務器來實現。這樣位于外網的視頻設備A是不能直接和位于內網的設備B直接進行通信的。對于一般的數據應用而言。在這種網絡結構下，位于內網的計算機可以訪問外網的設備。但和常規的網絡應用不同，基于H.323或SIP的視音頻通信設備通信時，在握手的同時，發出呼叫申請的一端將自己本身的地址包括在有效的數據包中，設備B向A發出一個呼叫申請，A要根據數據包中的有效地址發出應答信息，而這個有效地址是一個內網的“私有”地址，該應答會被“防火墻”有效屏蔽。由于在指定的時間周期不能得到A端的應答信息。在B端會顯示呼叫被拒絕。即使通過開放端口的手段后，A端的應答信息可以到達B端，建立連接，對于有嚴格合法性、“同源性”檢查的H.323系統而言。視音頻數據可以從B發送到A。但A的視音頻信號難以到達B，這種現象在具體的視頻通信網絡建設過程中會經常看到。

為有效解決在有安全機制的網絡環境中的視頻應用，網絡設備商已做了大量工作，相繼推出了一些支持H.323，SIP的防火墻產品，而視頻通信廠商則對標準H.323／SIP產品和系統體系加以擴充，推出了可以在NAY／防火墻環境中使用的視頻產品。

下面就幾種目前常見的解決方案進行簡單介紹：

(1)開放網絡／VPN

這種方法是直接將視頻設備放置在DMZ區或直接放置在外網，這種辦法不需要對現有網絡進行大的改造，但這是以基本喪失對視頻產品進行網絡安全保護為代價的，同時由于和內網之間原有的“隔絕”沒有消除。難以實現到桌面的視頻應用。這種辦法比較適合在全網有較好的安全保障的專網使用。或在VPN內部使用。

(2)選用支持NAT的視頻產品

由于H.323產品在呼叫信息的有效數據包中包含了本地的地址信息，在經過NAT轉換后，被邀請端設備難以給予有效應答，因而部分H.323產品通過在呼叫過程中，將有效的NAT映射地址取代本地私有地址來完成呼叫應答，解決了地址解析問題。如VTEL公司的VISTA系列產品，不但可以支持NAT的地址解析，還可以指定NAT端口，便于網絡設置。這種方案對單一NAT機制比較有效，如ADSL等PPPOE網絡環境下，可以不附加其他網絡或H.323設備，就可以解決問題。

(3)代理服務器

H.323代理服務器是為解決防火墻／NAT環境下，實現H.323通信的一種“非標準”H.323設備。在標準的H.323系統中沒有它的嚴格意義的定位。和Internet代理服務器一樣，它同樣被置于網絡的DMZ區，在實際呼叫過程中所有的內外網的呼叫都通過它來“中繼”。即代理服務器將一個呼叫轉換成為由它發起的兩個呼叫來完成，從而繞過了防火墻的限制。

使用代理服務器不需要防火墻／NAT設備以及H323設備的特殊支持，實現比較容易，但由于代理服務器本身能力的限制。對呼叫數量以及數據交互量的規模都有一定的影響，同時，使用H.323代理服務器對視頻網絡建設成本的影響，也是需要根據實際情況考慮的一個問題。如當本地只有一臺視頻終端時，使用代理服務器不是一個經濟的解決方案。

相對于H.323代理服務器，SIP的靈活性使得SIP代理服務器解決方案更為簡單靈活，通過位于公網的一個代理，注冊服務器，可以較為簡單和便宜地解決這個問題。目前Microsoft的MSN就是一個比較好的應用實例。

(4)使用應用層網關(ALG)

應用層網關也就是具有協議分析功能的防火墻產品，通過這些防火墻在判斷數據是否可以通過時，不是簡單地對IP數據包的包頭進行分析，而是要對數據包中的具體數據進行相應的協議分析，并對視音頻通信過程中所需求的數據通道進行動態打開，關閉，以保證視音頻通信的正常進行。

現在許多網絡設備商推出了采用ALG支持H.323和SIP的產品，可以在新建視音頻網絡時或進行網絡改造時考慮。

(5)視頻網關

為在標準H.323框架下解決防火墻／NAT對視頻通信的影響，出現了一種“變形”的MCU。該產品一般由兩個獨立的網絡接口分別和內網、外網連接，位于內外網的H.323設備分別和對應的端口進行連接，而視音頻數據的交換則通過MCU本身來實現。采用該類產品在構造視音頻通信網時。不需對網絡結構進行改造，實現方法比較直接、簡單。如VTEL公司的Codian MCU是這種產品的一個代表，采用雙工作端口模式，不需要對內外網的規模進行預先定義，也不會對MCU總的處理能力有所影響，有較好的實際應用效果。

以上是目前經常使用的解決防火墻／NAT環境下實現視音頻通信的方法，這些方法之間不是相互獨立的。在一個實際的應用中可根據各個通信點的網絡狀態、使用情況以及建設成本等多方面因素進行綜合考慮。

三、結束語

防火墻／NAT是視音頻通信網絡建設使用中必須面對的一個問題。相對于H.323而言，SIP的解決方案更加靈活，隨著H.323和SIP之間可能的融合，我們也許會在不遠的將來看到更加靈活和經濟的解決方案。