sip alg穿透nat的实现.docxVIP

SIP ALG穿透NAT的实现沈 军1，周淑华2，张思发1 时间:2008年05月05日 字 体: 大中小关键词:信令媒体流地址映射端口号内网　　摘　要： 为解决SIP应用穿透NAT的问题，剖析了NAT的工作原理，并针对SIP协议信令过程的特点，提出了采用ALG设备解决NAT的穿透问题，具体设计了ALG的结构和相关实现算法，并给出了详细的实现方案。　　关键词： 会话发起协议(SIP) 网络地址转换(NAT) 会话描述协议(SDP) 信令　　会话发起协议SIP[1](Session Initiation Protocol)是由IETF组织于1999年提出的在Internet网络环境中实现实时通信应用的一种信令协议。SIP引发了现代通信体系结构的变革，然而它却在视频能力、会议控制方面没有一个完善的标准；同时，由于大量企业和驻地网都采用了私有编址[2]，并通过网络地址转换NAT(Network Address Translation)来控制与公共网络的通信，而SIP数据包需通过信令消息中的IP地址和端口号来实现目的地寻址，且它的媒体流端口是动态分配的，这就为在NAT上配置固定的包过滤策略带来了困难。因此，SIP穿透NAT是绝大多数VoIP运营商亟待解决的问题。　　当前，几种主要的NAT穿透技术有SIP ALG、Full Proxy、MidCom、VPN、隧道穿透、STUN等。其中，SIP ALG方式是在传统的NAT上进行扩展，使之具备感知SIP呼叫控制协议的能力，从而对基于SIP呼叫的地址实现穿透。它是一种比较简单的方案，最突出的特点是ALG和具体的SIP系统无关，对于一个SIP系统不需要做任何修改，只要在响应的NAT上加载SIP ALG，就能完成私网到公网甚至私网中的两个用户之间的SIP连接。1 SIP应用穿透NAT面临的问题1.1 NAT的工作原理　　NAT[3]被置于两网间的边界。NAT技术使得一个私有网络可以通过Internet注册IP连接到外部世界。位于内网和外网中的NAT路由器在发送数据包之前，负责把内部IP翻译成外部合法地址。当从外网来的含公网地址信息的数据包到达NAT时，NAT使用预设好的规则(其组元包含源地址、源端口、目的地址、目的端口、协议)来修改数据包，然后再转发给内网接收点。NAT的基本工作原理如图1所示，NAT设备实际上是在维护一个状态表，该表用于把非法的IP地址映射到合法的IP地址上。1.2 技术难点　　与传统NAT支持HTTP等数据的穿透不同，SIP应用中的语音和视频数据需通过信令消息中的IP地址和端口号来实现目的地寻址，因此信令消息在地址穿透中不仅需要对TCP/UCP层的端口信息以及IP层的源地址和目的地址进行变换，还需对IP包载荷中的相关地址信息进行变换。同时，对于SIP应用来说，是在控制信息中动态地协商媒体流端口，信令协议中的IP地址也是私有的，因此要准确把握相关的地址和端口信息，并进行正确的转换。这是本文需要解决的首要技术难点。　　其次，SIP ALG实现对NAT的穿透会因呼叫方处在内网和外网而不同，因此对进出NAT的SIP消息在解析时要判断是内网之间的呼叫请求(内部消息)、外网呼叫请求内网(对内消息)，还是内网呼叫请求外网(对外消息)，以便对该消息进行正确处理。这也是本文需要解决的技术难点。2 SIP ALG的设计思想　　由于媒体流端口是在呼叫双方SIP信令建立连接后动态协商的，因此对SIP消息穿透NAT设备要综合考虑这两个方面因素。2.1 SIP信令的穿透原理　　SIP信令穿透NAT与HTTP穿透类似，NAT设备只要打开固定的端口，就能保证SIP信令穿透NAT并与外界建立连接。　　本文基于SIP终端设备的特殊性来考虑信令穿透NAT。SIP终端设备会周期性地发送Register消息[1]到注册服务器上，由于不断有信令消息经过NAT设备，致使NAT设备对通过的消息流始终保持一个确定的端口；同时，当Register消息经过ALG，ALG就会记录信令穿透NAT时经NAT转换后的IP地址和端口等信息，并将此信息与NAT后面的终端用户ID(如890010098)等信息进行绑定。这样，当一个信令到来，ALG将通过NAT上正确的地址和端口发送给被叫方。2.2 媒体流的穿透原理　　当信令穿透NAT后，NAT后面的SIP终端就可以收到来自外网的呼叫请求。这时呼叫方的Invite消息和响应方的200(OK)消息中都携带了用于描述与会话相关的信息及与流媒体相关参数的SDP(Session Description Protocol)消息体[4]。当该消息通过ALG时，ALG将通过与该媒体流相关的呼叫——会话层消息中的用户ID(如890010098)识别出NAT上的IP地址和端口并进行相应的转换，这样当呼叫方收到200