VoIP穿越NAT和防火墙的方法

IPsecVPN协议的NAT穿透与防火墙配置IPsec VPN协议的NAT穿透与防火墙配置在互联网时代，数据传输的安全性与稳定性成为了企业和个人用户所关注的重要问题。

虚拟私人网络（VPN）的出现有效地解决了这一问题，而IPsecVPN协议则在VPN中扮演着重要的角色。

然而，由于网络环境的复杂性，许多用户在使用IPsec VPN时遇到了NAT穿透和防火墙配置的问题。

本文将探讨这些问题，并提供适当的解决方案。

一、NAT穿透的概念及问题1. NAT穿透的概念NAT穿透指的是在网络中使用了网络地址转换（NAT）设备的情况下，如何实现对IPsec VPN的正常通信。

NAT设备通常会对传输的数据包进行源地址和目的地址的转换，以实现多个内部网络与外部网络的通信。

然而，这种地址转换对IPsec VPN的建立和传输过程产生了一定的影响。

2. NAT穿透的问题及解决方案在进行NAT穿透时，常见的问题包括：a) IPsec VPN的建立问题：由于NAT设备对数据包进行了地址转换，使得原始IP地址无法直接访问到VPN服务端。

为了解决此问题，可以使用NAT-T（NAT Traversal）技术，通过在IPsec数据包中封装额外的数据，以绕过NAT设备的限制。

b) IPsec数据包的加密问题：NAT穿透过程中，由于对数据包进行了地址转换，导致IPsec头部中的源地址和目的地址无法与实际通信双方相匹配。

为了解决此问题，可以使用NAT设备支持的IPsec Passthrough功能，将IPsec头部从转换中豁免，保证加密的完整性。

c) NAT设备与IPsec VPN设备的兼容性问题：不同厂商的NAT设备和IPsec VPN设备对NAT穿透的支持程度各不相同，可能存在兼容性问题。

解决此问题的方法是选择厂商间兼容性较好的设备，或者升级设备的固件以支持更高级的协议。

二、防火墙配置和IPsec VPN协议1. 防火墙的作用防火墙是网络安全的重要组成部分，通过规则配置来控制网络流量的进出，保护内部网络免受外部威胁。

NAT穿透技术穿透原理和方法详解NAT（Network Address Translation）是一种将私有网络中的IP地址转换为公网IP地址的技术。

它的主要作用是解决了IPv4地址资源不足的问题，同时也提供了一定程度的网络安全保护。

然而，NAT也带来了一些问题，其中最显著的就是它在一些情况下会阻碍对私有网络中主机的远程访问。

为了解决NAT对远程访问的限制，出现了NAT穿透技术。

NAT穿透技术允许位于私有网络中的主机与公网上的主机建立直接的连接，从而使得私有网络中的主机可以被公网上的主机访问到。

下面详细介绍NAT穿透技术的实现原理和具体方法。

一、NAT穿透的原理：私有网络中的主机首先与穿透服务器建立连接，并将本地IP和端口号发送给穿透服务器。

穿透服务器将这些信息记录下来并分配一个公网IP和端口号。

对于公网上的主机来说，私有网络中的主机就像一个虚拟的公网主机一样可直接访问。

同时，私有网络中的主机也可以主动发起连接到公网上的主机。

私有网络中的主机相当于是通过穿透服务器将自己的通信请求“穿透”了NAT 防火墙，直接到达公网上的主机。

二、NAT穿透的方法：1.端口映射：端口映射是最常见和简单的NAT穿透方法之一、私有网络中的主机将本地的端口号映射到公网IP的一些端口上，然后通过穿透服务器将请求转发到该端口上，从而实现私有网络中主机的远程访问。

2.中继服务器：中继服务器是一种在公网上与私有网络中的主机建立连续连接的方法。

私有网络中的主机首先连接到中继服务器，然后公网上的主机也连接到中继服务器，中继服务器将两端的请求进行转发，从而实现私有网络中的主机和公网上的主机直接通信。

3.UDP打洞：UDP打洞是一种通过UDP协议来穿透NAT防火墙的方法。

私有网络中的主机先向公网主机发送一个UDP数据包，公网主机也向私有网络的主机发送UDP数据包，通过这两个数据包的发送和接收，NAT防火墙会记录下私有网络中主机的IP和端口号，从而实现两者之间的直接通信。

SIP穿越NAT的几种方式多媒体会话信令协议是在准备建立媒体流传输的代理之间交换信息的协议，媒体流与信令流截然不同，它们所采用的网络通道也不一致。

由于协议自身设计上的原因，使得媒体流无法直接穿透网络地址转换/防火墙(NAT/Firewall)。

因为它们生存期的目标只是为了建立一个在信息中携带IP地址的分组流，这在遇到NAT/Firewall 时会带来许多问题。

而且这些协议的目标是通过建立P2P(Peer to Peer)媒体流以减小时延，而协议本身很多方面却与NAT存在兼容性问题，这也是穿透 NAT/Firewall的困难所在。

而NAT仍是解决当前公用IP地址紧缺和网络安全问题的最有力手段，所以解决NAT穿越成为首要问题。

以SIP通信为例，呼叫建立和媒体通信的建立是依赖SIP消息首部和SDP消息所描述的地址和端口信息进行的，呼叫双方分别在内网和外网上，内网是通过NAT设备连接到外网，由于NAT设备工作在IP和TCP/UDP层，所以它不对SDP 等应用层数据进行NAT变换，因此会造成寻址失败，从而导致呼叫无法正常建立。

另外，VOIP设备的主要通信协议（如SIP和H.323）要求终端之间使用IP地址和端口号来建立端到端的数据侦听外来的呼叫，而防火墙却通常被配置阻止任何不请自到的数据分组通过。

需要网络管理者打开防火墙上的一个端口来接收呼叫建立数据分组，例如5060端口（SIP的通信端口），但IP语音和视频通信协议还要求打开许多别的端口接收呼叫控制信息来建立语音和视频通信，这些端口号事先并不知道，是动态分配的，也就是说网络管理者为了允许语音和视频通信将不得不打开防火墙上所有的端口，防火墙就失去了存在的意义。

所以当前的问题还有需要解决监听端口的问题。

如下图SIP呼叫不成功示意图分析：1 d:211.83.100.100:23766 s:192.168.1.166:10102 d:211.83.100.100:23766 s:211.83.100.166:99933.d:211.83.100.166:9993 s:211.83.100.100:237664.d:192.168.1.166:1010 s:211.83.100.100:237665.d:211.83.100.110:23788 s:211.83.100.100:20206.d:211.83.100.100:3399 s:211.83.100.110:237887.d:211.83.100.166:9993 s:211.83.100.100:237668.d:192.168.1.166:1010 s:211.83.100.100:237669.d:211.83.100.100:3399 s:211.83.100.110:2378810.d:211.83.100.166:9993 s:211.83.100.100:2376611.d:192.168.1.166:1010 s:211.83.100.100:2376612.d:211.83.100.110:23788 s:192.168.1.166:1010d:211.83.100.110:23788 s:211.83.100.166:999313.d:192.168.1.166 s:211.83.100.110:23788 A对B invite 时在SDP中带上了RTP协商的端口和私网IP，B回复200OK时告知RTP时的端口和私网地址，B 收到A的RTP包后回复，因为RTP包记录是私网地址，所以RTP包被丢弃。

基于ICE方式SIP信令穿透Symmetric NAT技术研究曾立吴平高万林武文娟摘要基于IP的语音、数据、视频等业务在NGN网络中所面临的一个实际困难就是如何有效地穿透各种NAT/FW的问题。

对此，会话初始化协议SIP以往的解决方法有ALGs，STUN，TURN等方式。

本文探讨了一种新的媒体会话信令穿透NAT/FW的解决方案—交互式连通建立方式(ICE)。

它通过综合利用现有协议，以一种更有效的方式来组织会话建立过程，使之在不增加任何延迟同时比STUN等单一协议更具有健壮性、灵活性。

本文详细介绍了ICE算法，并设计一个实例针对SIP信令协议穿透Symmetric NAT流程进行了描述，最后总结了ICE的优势及应用前景。

关键词ICE；Symmetric NA T；STUN；TURN；SIP1 问题背景多媒体会话信令协议是在准备建立媒体流传输的代理之间交换信息的协议，例如SIP、RTSP、H.323等。

媒体流与信令流截然不同，它们所采用的网络通道也不一致。

由于协议自身设计上的原因，使得媒体流无法直接穿透网络地址转换/防火墙(NAT/FW)。

因为它们生存期的勘曛皇俏 私 ⒁桓鲈谛畔⒅行 鳬P地址的分组流，这在遇到NA T/FW 时会带来许多问题。

而且这些协议的目标是通过建立P2P(Peer to Peer)媒体流以减小时延，而协议本身很多方面却与NA T存在兼容性问题，这也是穿透NA T/FW的困难所在。

而NA T仍是解决当前公用IP地址紧缺和网络安全问题的最有力手段，它主要有四种类型：完全圆锥型NAT(Full Cone NAT)，地址限制圆锥型NA T (Address Restricted Cone NAT)，端口限制圆锥型NAT (Port Restricted Cone NAT)，对称型NA T (Symmetric NA T)。

前三种NAT，映射与目的地址无关，只要源地址相同，映射就相同，而对称型NAT的映射则同时关联源地址和目的地址，所以穿透问题最为复杂。

网络防火墙的网络地址转换（NAT）配置指南随着互联网的普及和发展，网络防火墙在保护企业网络安全方面扮演着至关重要的角色。

而网络地址转换（NAT）作为一种网络安全机制，被广泛应用于网络防火墙的配置中。

本文旨在为读者提供一个网络地址转换配置指南，帮助企业理解和实施该机制。

引言在介绍NAT的配置指南之前，我们先要明确NAT的基本概念及其在网络安全中的作用。

NAT是一种将一个IP地址转换为另一个IP地址的技术，它主要用于在私有网络与公共网络之间进行通信。

通过将私有IP地址转换为公共IP地址，可以提高网络的安全性，同时实现更高效的资源利用。

一、了解NAT的基本原理在配置NAT之前，我们应该先了解NAT的基本原理。

NAT主要包括源NAT和目标NAT。

源NAT用于将内部网络的私有IP地址转换为公共IP地址，以在公共网络上进行通信。

目标NAT则是将公共IP地址转换为内部网络的私有IP地址，以使公共网络上的数据包能够正确传递到内部网络中的特定主机。

二、配置源NAT源NAT的配置是非常关键的，它需要在企业防火墙设备上进行。

以下是配置源NAT的步骤：1. 确定需要进行源NAT的内部网络。

根据企业的实际情况，确定哪些内部网络需要进行源NAT转换以与公共网络通信。

2. 为每个需要进行源NAT的内部网络选择一个公共IP地址池。

这个公共IP地址池可以是由企业自己拥有的IP地址，也可以是从ISP 提供的IP地址中选择。

确保公共IP地址池能够满足企业的需求，并且不会与其他网络冲突。

3. 配置源NAT规则。

在防火墙设备上，设置源NAT规则，将内部网络的私有IP地址映射到相应的公共IP地址。

这样当内部网络发起外部通信时，数据包将会被源NAT转换，并以公共IP地址为源地址进行传输。

三、配置目标NAT与源NAT类似，配置目标NAT也需要在企业防火墙设备上进行。

以下是配置目标NAT的步骤：1. 确定需要进行目标NAT的公共网络。

根据企业的需求，确定哪些网络需要进行目标NAT转换以与内部网络通信。

p2p⽹络中的NAT穿透技术----常见NAT穿越解决⽅案常见NA丁穿越解决⽅案NAT技术在缓解IPv4地址紧缺问题、构建防⽕墙、保证⽹络安全等⽅⾯都发挥了重要作⽤。

然⽽，NAT设备的⼴⼀泛存在却给Internet上的主机，特别是处于不同内⽹中的主机进⾏P2P通信带来了障碍，限制了P2P的应⽤。

NAT阻碍主机进⾏P2P通信的主要原因是NAT不允许公⽹主机主动访问内⽹主机，这使得Internet上具有公⽹IP地址的主机不能主动访问NAT之后的主机，⽽位于不同NAT之后的主机之间更是⽆法相互识别因⽽不能直接交换信息。

因此，要在⽬前的⽹络环境中进⾏有效的P2P 通信，就必须研究相应的⽅案来穿越NAT 。

针对⽹络中的NAT穿越问题，⽬前业界主要有如下解决⽅案:ALG⽅式、MII3COM⽅式、STUN⽅式、TURN⽅式、ICE⽅式、Full Proxy⽅式等。

1..应⽤层⽹关(ALG)⽅式应⽤层⽹关(ALG , Application Layer Gateway )是指能识别指定协议(如H.323和SIP等)的设备。

在⽹络中增加了ALG设备可以很好地配合NAT完成应⽤协议消息中的地址字段翻译。

NAT和NAPT只能对IP报⽂的头部地址和TCPILIDP头部的端⼝信息进⾏转换，对于报⽂的数据部分可能包含IP地址或端⼝信息的特殊协议(如H.323, SIP. MGCP等)，则⽆法实现有效的转换，⽽许多应⽤中需要对数据包负载中的数据进⾏分析转换。

例如⼀个FTP服务器处于内⽹中，只有内⽹IP地址，该服务器在和公⽹主机建⽴会话的过程中，需要将⾃⼰的IP地址发送给对⽅，⽽这个地址信息放在IP报⽂的数据部分，现有的NAT设备是⽆法对它进⾏地址转换的，当公⽹主机接收到这个私有地址并使⽤它时，是不可能建⽴连接的。

增加应⽤层⽹关ALG 之后，就可以进⼀步分析数据包负载内的数据，即应⽤层的数据。

所以，当⽹络中使⽤了NAT设备来屏蔽内部IP地址时，应⽤层⽹关ALG就可以同时实⾏对业务流对NAT的穿越了。

一次语音流量穿越飞塔Gate不通的解决过程V 1.0北京超圣信华科技有限公司2016年4月11日问题：一次语音穿越Gate不通的解决过程版本：V1.0日期：2016年4月11日作者：宋泽春摘要：一次语音穿越Gate不通的解决过程关键字：SIP、SDP、SDF、RTP文档记录文档说明本文档描述了一次语音流量穿越飞塔Gate不通的解决过程的说明。

目录文档记录 (3)文档说明 (3)第1章需求 (5)第2章SIP浅析 (5)第3章拓扑结构 (5)第4章配置部分 (6)4.1配置火墙地址 (6)4.2开启负载均衡功能及VOIP高级特性 (6)4.3配置虚拟服务器 (7)4.4配置真实服务器 (7)4.5监控检查 (8)4.6配置虚拟IP (9)4.7策略配置 (10)第5章分割点 (12)第6章遇到的问题 (12)6.1负载均衡回切慢问题 (12)6.2语音无法建立问题 (14)6.3语音IPPBX无法回切问题 (17)第1章需求内部安装两台IPPBX，外部IP分机呼入，通过Fortiner 200D可实现负载均衡功能。

当主设备故障后，呼叫会切换到备用设备。

需求：默认语音网关访问飞塔VIP流量分发到IPPBX A上当IPPBX A异常，语音网关访问飞塔的VIP的流量分发到IPPBX B上当IPPBX A恢复后，语音网关访问飞塔VIP的流量继续分发到IPPBX A上第2章 SIP浅析简单的说SIP有信令流（5060）和媒体流（两个人的通话）两部分组成，信令流主要用作从语音网关到IPPBX管理系统的注册，媒体流用来传输建立好通道的语音流量。

第3章拓扑结构拓扑结构如下：第4章配置部分欲完成上述需求，飞塔防火墙需要启用负载均衡功能。

即，两个IPPBX管理系统作为两台服务器看待，语音网关作为访问者看待，飞塔防火墙通过其负载均衡模块将两台IPPBX管理系统向语音网关发布。

4.1 配置火墙地址确定当前配置为：WAN口IP为192.168.120.44；LAN口IP为192.168.100.99确定内部IPPBX配置（OM50）IPPBX-A：SIP端口5060，RTP端口10010~10266；配置IP分机220，注册密码123321 IPPBX-B：SIP端口5060，RTP端口11010~11266；配置IP分机220，注册密码123321 NAT_IP：需要配置NAT_IP为192.168.120.44，以保证IPPBX信令携带的IP地址是防火墙的WAN口IP，从而可以建立正确的语音流。

多媒体通讯中防火墙和NAT问题的解决随着近年IP网宽带业务的蓬勃发展，基于分组的多媒体通信系统标准H.323广泛运用于视频会议和IP电话中。

V oIP业务的应用也带来一个值得关注的问题：绝大部分企业部门从网络安全考虑配置了专用防火墙，但H.323很难通过传统专用防火墙。

原因在于，复杂的H.323协议动态分配端口并产生和维护多个UDP数据流。

同时由于Internet快速膨胀，IPv4地址空间处于严重耗尽的境况。

为解决这个问题，人们设计出了网址转换器(NA T)。

然而NA T后的IP语音和视频设备仅有私有IP地址，这些地址在公众网上是不可路由的。

这样一来，多媒体通讯中的防火墙和NA T问题严重地制约了IP电话和视频会议的应用。

解决这个问题也就成为多业务宽带IP网络至关重要的事情。

在这里，我们先简要回顾一下防火墙和NA T设备是如何保护网络安全的和为什么实时多媒体通讯协议是对安全问题的一个挑战。

一．网络防火墙和ＮＡＴ如何工作防火墙为了网络的安全性，公司一般都安装防火墙，它是一个放于私有网的设备，用来保护网络资源免受外部的恶意破坏。

防火墙检查从外部进来的每个数据包的IP地址和目的端口号，它经常如此设置：假如防火墙内的一台计算机A向防火墙外的一台计算机B主动发出请求要数据，防火墙会让外部计算机B的数据包通过，而且当且仅当数据包的目的地址和端口号与防火墙内发起请求的计算机A的地址和端口号相同；假如计算机B发来的数据包仅仅目的地址是防火墙内发起请求的计算机A的地址，而端口号不是计算机A发出请求的那个端口号，防火墙也将会丢弃那个外来的数据包。

防火墙总是被配置过滤掉所有不请自到的网络通信，有一个例外是在防火墙内提供Web Server供外部访问。

在这种情况下，公司会配置防火墙答应目的地址是Web Server的IP地址且目的端口号为80的数据包通过，这就使得公司外部可以主动向公司的Web Server发起请求得到一些公司放在Server上的数据。