当前位置：文档之家 › H.323穿越NAT和防火墙的几种方法

H.323穿越NAT和防火墙的几种方法

  • 格式：doc
  • 大小：106.00 KB
  • 文档页数：4

H.323穿越NAT和防火墙的几种方法

■ 中国电信集团北京研究院 支金龙

如今，能够通过视频会议与千里之外的亲友或同事进行面对面交流，对于拥有公网IP地址的用户而言已非什么难得的体验。

不过，从当前视频交互中最常用的协议——H.323协议看来，它需要动态分配端口并产生和维护多个UDP数据流，而传统的防火墙拒绝任何外部主动发起的通信请求，因此H.323很难穿透传统防火墙。其次，对于设置了网址转换器（NAT）的用户，由于其内部的视频终端只有私有IP地址，而这些地址在公网上是不可路由的。因此，H.323更难以直接穿透NAT。

那么，如果你的公网IP地址有限，或从网络安全方面考虑，你的网络中特别配置了防火墙，那你的视频会议又将如何召开呢？

解决之道还要归于如何使H.323协议穿透NAT或防火墙。对此，当前有效的办法基本有三种，即增加代理（Proxy）、升级防火墙和增加具有H.323 ALG功能的多媒体业务网关。

增加代理（Proxy）

增加代理是指在终端与防火墙之间增加一个特殊类型的网关，使终端的呼叫过程看起来像被分成两个部分：私网终端到代理和代理到公网终端。代理通过这个呼叫过程进行中转可以解决NAT问题。H.323代理一般结合标准的网守功能和RTP/RTCP多媒体流的代理功能。其典型应用是在防火墙后放一个H.323代理，代理需要分配一个公有IP地址，而防火墙被配置允许代理和外部进行多媒体通信。此时私网内部发出的H.323流都在代理设备处终结，经代理处理后从固定的公网端口发出。

升级防火墙

升级防火墙是指将传统防火墙升级为具有H.323 ALG功能的防火墙。ALG(Application Level Gateway)是应用层网关，是NAT或防火墙上的附加功能，它能识别应用层中的信令，然后通知NAT或防火墙在适当时间建立适当的映射，并按照映射后的地址修改消息中的相应参数，ALG还需要通知NAT或防火墙及时取消这些映射。

针对不同的应用层协议，需要不同的ALG。H.323 ALG通过对每一个经过NAT或防火墙的H.323信令包进行分析，找出那些传送传输层地址的信令，通知NAT或防火墙将该传输层地址映射成公网地址，并将信令流中的传输层地址替换为相应的公网地址后，再将信令流向外转发。这样接收方端点将得到发送方端点的公网IP地址和端口号，接收方端点可以按这个地址发起正确的TCP连接。

增加具有H.323 ALG功能的多媒体网关

增加具有H.323 ALG功能的多媒体网关与升级防火墙的方法类似，只不过其不用升级防火墙，而只需在原有普通防火墙的基础上增加具有H.323 ALG功能的多媒体业务网关设备。

多媒体业务网关可以在不增加任何其他附加设备的前提下，实现跨NAT的点到点与点到多点视、音频通信。支持公网与私网之间，甚至私网与私网之间无障碍的视、音频通信，并保证多媒体设备的标准化。此外，通过多媒体业务网关将大量私网终端业务收敛到同一个公网地址上，不仅可以有效节省公网IP地址，也有利于实现更有力的视频业务管理。

就目前看来，以上三种方法各具优势，但都非完善的解决之道。当前许多厂家还利用自己的私有协议来完成终端设备对防火墙和NAT的穿越，但此种方式却常常受到不同厂商设备间兼容性的影响。事实上，只有当终端与MCU（多媒体控制单元）来自同一厂商时，才可以利用厂商提供的专有协议方式实现公网到私网的互通。

合集下载

H3C+NAT+配置方法

H3C+NAT+配置方法

H3C+NAT+配置⽅法

4.3 NAT的配置

NAT配置包括：

配置地址池

配置Easy IP

配置静态地址转换

配置多对多地址转换

配置NAPT

配置内部服务器

配置地址转换应⽤层⽹关

配置内部主机通过域名区分并访问其对应的内部服务器

配置地址转换有效时间

配置最⼤连接数限制

配置报⽂匹配⽅式

配置地址转换表项的⽼化刷新速度4.3.1 配置地址池

地址池是⼀些连续的IP地址集合，当内部数据包通过地址转换到达外部⽹络时，将会选择地址池中的某个地址作为转换后的源地址。

表4-1 配置地址池

说明：NAT地址池中的地址不应包含公⽹主机已使⽤的地址，否则会造成地址冲突。

如果防⽕墙仅提供Easy IP功能，则不需要配置NAT地址池，直接使⽤接⼝地

址作为转换后的IP地址。

当某个地址池已经和某个访问控制列表关联进⾏地址转换，是不允许删除这个

地址池的。

地址池长度（地址池中包含的所有地址个数）不能超过255个地址。4.3.2 配置地址转换

将访问控制列表和地址池关联（或接⼝地址）后，即可实现地址转换。这种关联指定了“具有某些特征的IP报⽂”才可以使⽤“这样的地址池中的地址（或接⼝地址）”。当内部⽹络有数据包要发往外部⽹络时，⾸先根据访问列表判定是否是允许的数据包，然后根据转换关联找到与之对应的地址池（或接⼝地址）进⾏转换。不同形式的地址转换，配置⽅法稍有不同。1. Easy IP

如果地址转换命令不带address-group 参数，即仅使⽤nat outbound acl-number 命令，则实现了easy-ip 的特性。地址转换时，直接使⽤接⼝的IP 地址作为转换后的地址，利⽤访问控制列表控制哪些地址可以进⾏地址转换。 表4-2 配置Easy IP

2. 使⽤指定loopback 接⼝进⾏地址转换

表4-3 使⽤指定loopback 接⼝进⾏地址转换

匹配访问控制列表的数据报⽂的源地址将转换为指定的loopback 接⼝的IP 地址。 3. 配置静态地址转换表(1)

gb561防火墙和ips知识要点

gb561防火墙和ips知识要点

防火墙分册：

安全：免除了不可接受的损害风险的状态。

网络安全属于信息安全的分类。

安全的英文名称 security。

安全三维模型 检测 防御 制止。

防御：通过一些机制和技术措施方面的努力来降低受到窃取和破坏的风险。

制止：通过规范、制度、法律、纪律非授权行为。

检测：通过分析日志，跟踪审计，主动扫描等手段来检测攻击行为和系统漏洞。

安全防御:周边防御和深度防御。

安全策略的要点 1资产 2风险 3 保护4工具5优先权。

安全策略定义了那些是允许的，那些是不允许的。

网络环境里面的安全是一种能够识别和消除不安全因素的能力。安全已解决保护系统资产的五项需求：1机密性 2完整性 2可用性 4可控性 5可审计性。

Ssl s-http shh tcp/ip以上 skip在tcp/ip以下

信息安全要素 iso 13335-1列举的安全要素

1 资产 2威胁 3 脆弱性 4 影响 5风险 6防护措施 7残留风险 8约束

PDR模型 protection 保护 detection 检测 response 响应

Syslog基于udp协议 端口514

PDR的保护具体包括 安全规则的制定，系统安全的配置，安全措施的采用

检测具体包括异常临视 模式发现

响应具体包括 报告 记录 反应 恢复。

信息安全的策略建立模型主要由 1 先进的技术 2相关的法律和法规 3严格的管理审计制度。

网络安全的研究内容 1 信息对抗 2工业网安全互联网与电信安全 3 密码学 4信息隐藏与教学水印 5 内容安全 6 软件安全。

密码学的核心 密码分析学 密码编码学。民用的加密算法有 DES IDEA RSA

当前所处的网络环境

1 网络规模迅猛发展 2 网民规模继续高速增加 3 上网设备多样化，手机上网普及 4网络应用更加多样化，形成网络生活形态。 5 现代的，先进的复杂技术的局域网、广域网、intranet、extranet 网络发展迅速。

ensp上防火墙上配置nat

ensp上防火墙上配置nat

ensp上防⽕墙上配置nat

博⽂⼤纲：

⼀、华为防⽕墙NAT的六个分类；

⼆、解决NAT转换时的环路及⽆效ARP；

三、server-map表的作⽤；

四、NAT对报⽂的处理流程；

五、各种常⽤NAT的配置⽅法；

⼀、华为防⽕墙NAT的六个分类

华为防⽕墙的NAT分类：

NAT No-PAT：类似于Cisco的动态转换，只转换源IP地址，不转换端⼝，属于多对多转换，不能节约公⽹IP地址，使⽤情况较少。

NAPT（Network Address and Port Translation，⽹络地址和端⼝转换）：类似于Cisco的PAT转换，NAPT即转换报⽂的

源地址，⼜转换源端⼝。转换后的地址不能是外⽹接⼝IP地址，属于多对多或多对⼀转换，可以节约公⽹IP地址，使⽤场景较多。

出接⼝地址（Easy-IP）：因其转换⽅式⾮常简单，所以也被称为Easy-IP、和NAPT⼀样，即转换源IP地址，⼜转换源端

⼝。区别是出接⼝地址⽅式转换后的地址只能是NAT设备外⽹接⼝所配置的IP地址，属于多对⼀转换，可以节约IP地址。

NAT Server：静态⼀对⼀发布，主要⽤于内部服务器需要对Internet提供服务时使⽤，。

Smart NAT（智能转换）：通过预留⼀个公⽹地址进⾏NAPT转换，⽽其他的公⽹地址⽤来进⾏NAT No-PAT转换，该⽅式不太常⽤。

三元组NAT：与源IP地址、源端⼝和协议类型有关的⼀种转换，将源IP地址和源端⼝转换为固定公⽹IP地址和端⼝，能解

决⼀些特殊应⽤在普遍NAT中⽆法实现的问题。主要应⽤于外部⽤户访问局域⽹的⼀些P2P应⽤。

⼆、解决NAT转换时的环路及⽆效ARP

在特定的NAT转换时，可能会产⽣环路及⽆效ARP，关于其如何产⽣，⼤概就是，在有些NAT的转换⽅式中，是为了解决内⽹连接

Internet，⽽映射出了⼀个公有IP，那么，若此时有⼈通过internet来访问这个映射出来的公有IP，就会产⽣这两种情况。若要详细说起来，

基于NGN的NAT穿越技术研究

基于NGN的NAT穿越技术研究

NAT穿越技术研究

摘 要：音视频通信应用的快速发展和IPv4地址资源不足的矛盾提出了NAT穿越问题。针对NGN中两种典型的呼叫控制协议体系——H.323和SIP，系统地论述了私网/公网、公网/私网、私网/公网/私网各种情况下信令和RTP媒体流的NAT穿越技术，讨论了适于企业网应用的STUN技术和解决方案。

关键词：NAT穿越；NGN；实时传送协议；会话启动协议

中图分类号：TN915.14 文献标识码：A

Research on NAT Traversal

Asbtract: As a result of inconsistency between the rapid development of real-time audio/video communication

applications in NGN and the shortage of IPv4 address, the NAT traversal problem has been raised. The paper

dissertates systematically the NAT traversal methods of signaling and RTP media stream in topologies such as

private network/public network、public network/private network and private network/public network/private

network based on the typical calling control protocol systems in NGN, SIP and H.323, discusses the STUN

technology and solution fitted for enterprise network.