一種基於Linux內核實現雙通道穿越多級NAT和防火牆的系統及方法
2023-06-14 03:24:46
專利名稱：一種基於Linux內核實現雙通道穿越多級NAT和防火牆的系統及方法
技術領域：
本發明涉及計算機網絡中基於SIP的軟交換系統中信令、媒體、其它數據穿越私有網絡的方法，尤其涉及一種基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，屬於軟交換技術領域。
背景技術：
隨著近年IP網寬帶業務的蓬勃發展，基於分組的多媒體通信系統標準H.323、SIP、MGCP廣泛運用於視頻會議和IP電話以及其它數據業務中。其中是VoIP業務的應用也帶來一個值得關注的問題絕大部分企業部門從網絡安全考慮配置了專用防火牆，但H.323、SIP、MGCP很難通過傳統專用防火牆。原因在於，複雜的H.323、SIP、MGCP協議動態分配埠並產生和維護多個UDP數據流。
同時由於Internet快速膨脹，IPV4地址空間處於嚴重耗盡的境況。為解決這個問題，人們設計出了網址轉換器(NAT)。然而NAT後的IP語音和視頻設備僅有私有IP位址，這些地址在公眾網上是不可路由的。
這樣一來，多媒體通訊中的防火牆和NAT問題嚴重地制約了IP電話和視頻會議的應用。解決這個問題也就成為多業務寬帶IP網絡至關重要的事情。
目前，該領域國內外相關的解決技術方案有如下幾種1、取消FW/NAT(防火牆/網絡地址轉換)網絡拓撲中不使用防火牆以及/NAT設備。這是一種消極的解決方案，失去了原防火牆給私有網絡的安全保證作用，失去了NAT設備帶來的擴展私有網絡的功能；2、使用PSTN(固話網)網關使用網關把區域網上的IP語音和視頻轉換為公共電路交換網上的PSTN語音和視頻，並不在IP網上進行通信，從而避免防火牆問題和NAT問題。通過轉換後，媒體數據只能用於PSTN網絡，不僅需要硬體的配合，成本高，同時也失去了軟交換的優勢，是一種消極的解決方案；3、隧道穿透方案隧道穿透解決方案由兩個組件構成，Server軟體和Client軟體。Client放在防火牆內的私有網，它同時具有網守功能和代理功能，私有網內的終端註冊到Client上，它和防火牆外的Seryer創建一個信令和控制通道，可以把所有的註冊和呼叫控制信令轉發到Server，也把音視頻數據轉發到Server，在轉發時它把內部終端發送的和外部發往終端的數據包的地址和埠號替換為自己的。Server放在防火牆外的公眾空間，可以位於服務提供商網絡或者位於企業網的DMZ區域，Server扮演網守代理的角色，從Client收到的所有註冊和呼叫信令都被Server轉發到中心網守。該方案雖然實現了在IP網絡中信令和媒體數據穿過防火牆和NAT，但是由於媒體數據流量大，同時要求的實時性高，對質量要求也比較嚴格，在該方案中所有信令數據和媒體數據必須都穿過同一個Server，沒有性能擴展，這樣帶來必然的性能的瓶頸，這樣只能適用於專線專用的工程實施中，而且中間不能有多級NAT設備，不能多級穿越，即兩個私網用戶將無法連通。
4、STUNSTUN(Simple Traversal of UDP Through NATs，NAT的UDP簡單穿越)是一種由IETF研製的UDP流協議穿透NAT的協議。STUN可以在不改變NAT的情況下，與任何現有NAT共存。在STUN伺服器和客戶端之間可以有任意多的NAT設備，可以支持穿越多級NAT設備，STUN技術僅針對NAT穿越有效，對防火牆穿越沒有幫助，其缺點就在於不能解決防火牆問題。
5、ALG(Application Level Gateway，應用層網關)應用層網關是被設計能識別指定IP協議(象H.323、SIP或MGCP)的設備。它不是簡單地察看包頭信息來決定數據包是否可以通過，而是更深層的分析數據包負載內的數據，也就是應用層的數據。H.323和SIP協議都在負載中放了重要的控制信息，例如語音和視頻終端使用哪一個數據埠來接收別的終端的語音和視頻數據。通過分析哪一個埠需要打開，防火牆動態地打開那些被應用的埠，而所有別的埠依然安全地保持關閉狀態。如果一個NAT被應用來屏蔽內部IP位址，這時ALG就需要一個代理，一些防火牆生產廠商把代理結合到ALG上越過NAT。其缺點在於，需要升級改造防火牆和NAT設備，實現成本很高，同時由於信令的解析在應用層完成，在解析、更改的傳輸過程中容易出錯，在分析數據報文埠時可能帶來信令數據性能問題；發明內容本發明的目的在於針對現有技術的不足提出一種基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，至少包括信令處理模塊、MP交互模塊，通過裁減Linux內核，使信令處理在裁剪的Linux作業系統內核中實現協議解析，不需要到應用層，只在內核內部就可以實現快速有效的解析和映射，解決了可能存在的信令數據解析性能問題；使用一個信令Proxy可負載多個媒體和數據Proxy的負載設計，增強了負載功能，解決了媒體數據性能瓶頸問題，同時網絡部署簡單靈活，可擴展性強；並可以支持H.323和SIP兩種協議。
本發明的又一目的是針對現有技術的不足而設計的一種基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，通過雙通道Proxy(代理伺服器)的設計，在終端向SP發出註冊信息後，SP會為終端分配一個代理信令埠，然後用SP的地址替換原註冊信息中的終端地址，將地址轉換信息存入映射表，實現了多級NAT穿越。
本發明的目的是通過如下技術方案實現的，基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，包括傳輸層接口、系統管理控制層、系統內存數據、信令處理模塊、MP(媒體代理)交互模塊、MP模塊及公共組件層；其中，信令處理層又包括協議棧層、B2BUA層和信令處理模塊；網絡組件連接傳輸層接口，傳輸層連接信令處理層的SIP協議棧，SIP協議棧連接B2BUA層，B2BUA層連接信令處理模塊，信令處理模塊通過系統內存數據連接系統管理控制層；信令處理模塊還通過公共組件連接到MP交互模塊，MP交互模塊再連接到網絡組件傳輸層接口接收網絡數據並解析協議，判斷是否是SIP協議，如果是就送到協議棧層來解析報文，然後由B2BUA層將解析的報文交給信令處理模塊；如果不是SIP協議，再判斷是否是其它軟交換協議，如果是其它軟交換協議棧來解析報文，最後都交給信令處理模塊，信令處理模塊根據不同信令中不同的信息類型來作不同的修改，例如註冊信息/媒體協商信息/媒體通信信息；同時信令處理模塊利用系統內存記錄通知系統管理記錄日誌，然後信令處理模塊調用公共組件給MP交互模塊發送信息，MP交互模塊再與MP協商，協商後MP的工作包括，根據SP的要求提供空閒的埠；根據SP的要求修改媒體流上的埠；根據SP的要求釋放埠；根據SP的要求控制帶寬；統計數據流量、持續時間等信息。所述MP交互模塊可根據用戶的數據量和負載的要求，連接多個MP模塊。
本發明提出的基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，其優點在於無需修改FW/NAT，保護了私有網絡的安全；在裁減了的Linux內核上實現，信令的解析和映射，不經過外部的應用層，保證了信令傳輸的正確和快速；通過雙通道代理伺服器(Proxy)的設計，實現了多級NAT穿越；採用可變的拓撲結構，一個信令Proxy可負載多個媒體和數據Proxy，方便實現了性能擴展，並且可以根據用戶的數據量增減Proxy的個數，網絡部署靈活，簡單。
圖1為Linux伺服器的功能結構圖；圖2為多媒體通訊網關框架模型示意圖；圖3為信令處理模塊構架模型示意圖；圖4為MP交互模塊構架模型示意圖；圖5為MP模塊結構示意圖；圖6為適用網絡拓撲圖。
具體實施例方式
以下結合附圖詳細描述本發明的技術方案。
本方案的主要設計原理是通過修改Linux的內核，實現H.323、SIP等包交換協議的解析，迅速為NAT和防火牆內的通信建立信令代理(SP，SignalingProxy)通道，同時一個信令代理可以負載多個媒體代理(MP，Media Proxy)通道或者多個業務數據通道(DP，Data Proxy)，SP負責信令數據穿越NAT/FW，同時協調MP和DP通道的負載均衡，並共同組成通道集群來使所有數據穿透NAT設備和防火牆；本發明對H.323、SIP及其他協議都是支持的。
本發明的方案通過以下步驟實現首先解析報文是H.323、SIP協議或其他；然後SP裡開埠，即SP每收到一個請求，就根據要求修改SDP的內容，將其媒體埠改為MP上的媒體代理埠，加入映射表中；最後打開報文，修改報文，在將它發送出去。本發明實際上作為一個中轉伺服器對收到的報文進行解析、處理和修改報文的內容，分配新的地址，並加入映射表，然後再將它發送出去。
信令代理(SP)是B2BUA(Back to Back User Agent，背對背用戶代理)，它的具體功能包括完成SIP信令的代理；根據要求修改SDP(SessionDescription Protocol，會話描述協議)；具備一定的防火牆功能；根據音頻、視頻等不同的數據，不同用戶所需要的帶寬不同計算需要的帶寬；將所需帶寬的通知MP，讓MP預留帶寬；獲得統計消息，生成CDR話單。
MP和DP被動執行SP的命令，其主要功能是使媒體流和數據流能夠穿越NAT/FW。MP和DP的具體功能包括根據SP的要求提供空閒的埠；根據SP的要求修改媒體流上的埠；根據SP的要求釋放埠；根據SP的要求控制帶寬；統計數據流量、持續時間等信息。
SP的工作原理為所有私網網關(路由器或防火牆)後面的終端設備，都將註冊地址從SIP Proxy Server地址更改為SP的IP位址或者域名。
一方面，在終端向SP發出註冊信息後，SP會為終端分配一個代理信令埠，然後用SP的地址替換原註冊信息中的終端地址(Contact域)，並通過這個埠向SIP Proxy Server發送數據。這樣無論是終端發向網絡的信令消息，還是網絡發向終端的信令消息都會經過SP，以便於其對這些信令進行特殊處理。
另一方面，當私網中的終端向SP設備發出註冊消息時，安裝在私網外層的私網網關就會給這個連接隨機分配一個合法IP位址與埠號，形成一個「窗口」。SP收到註冊消息後，只要能夠設法保持這個「窗口」一直開放，然後把這個埠號與在設備上分配的代理埠號綁定，就相當於建立了一條終端設備到SIP Proxy Server之間透明的信令通道。保持這個「窗口」的方法，根據終端的不同也會有所區別。比如對於SIP終端，可以設置一個較小的註冊有效期，這樣終端設備就會不斷的向SP發出註冊消息。無論哪種方式，都要保證終端發送消息的時間間隔要小於「窗口」的開放時限。
同時，SP每收到一個請求，就根據要求修改SDP(Session DescriptionProtocol，會話描述協議)的內容，將其媒體埠改為MP上的媒體代理埠，以保證媒體流能夠穿越NAT/FW。因為SP和MP是部署在公網上的，因此將某個會話的代理全權由某一個MP負責，則RTP(Real-time Transport Protocol，實時傳送協議)流只要經過該MP一次轉換即可。
如果主被叫終端是處於同一個私網網關設備之下，SP完全可以不為它們分配任何代理埠，而是讓它們在私網內部直接建立RTP流的連接。
MP的工作原理為由於SP修改了SDP中的埠信息，所以媒體流會被指向MP進行代理轉換，MP收到RTP流後修改埠再發送給對方。
當呼叫建立後，終端一旦開始發送RTP包，就會在私網設備上建立一個臨時的RTP窗口，只要媒體流不斷在發送(在沒有話音時終端也應該發送舒適噪聲的RTP包)，這個窗口就一直打開。
本發明基於Linux內核裁減，實現信令數據和媒體數據穿越NAT/FW，圖1為Linux伺服器的功能結構圖，主要包括網絡組件、系統管理控制層、信令處理層、MP交互模塊及公共組件層；其中，信令處理層又包括協議棧層、B2BUA和信令處理模塊。
網絡組件(也叫Port層)主要提供系統在各個平臺上的移植性。
信令處理層包括協議棧層、B2BUA、信令處理模塊，其中協議棧層和B2BUA完成協議的解析，解析是H.323、SIP協議還是其他協議，信令處理模塊是信令處理層的核心部分，分析、處理並修改報文。這三層具體的功能為協議棧層包括SIP協議棧層和H.323協議棧層；SIP協議棧層，主要負責接收與發送SIP消息，完成SIP消息的編碼、解碼和事務處理。H.323協議棧層，主要負責接收與發送H.323消息，完成H.323消息的編碼、解碼和事務處理。
B2BUA層主要實現SIP中的B2BUA(Back to Back User Agent)的通信模式。
信令處理模塊主要完成SIP信令的分析、處理、控制，如根據具體情況修改SIP標題頭及SDP的相關信息，決定消息轉發等；公共組件層主要提供一些公共的組件，包括XML組件、異常處理組件。XML組件主要負責完成XML的編、解碼工作；異常處理組件主要負責完成SP發生異常情況時處理，如通知MP釋放埠等；
MP交互模塊主要負責跟媒體代理MP的交互，發送SP的指令信息及接收MP的響應信息；管理控制層主要由遠程管理、策略管理、日誌管理構成。遠程管理主要完成基於Web/Telnet/SSH的管理控制接口。策略管理主要完成系統初始化、內存分配與管理、重要數據信息及各種服務策略的配置管理及維護等。日誌管理主要完成對SP的運行狀態信息的記錄，並對這些信息進行管理維護。
圖2為多媒體通訊網關框架模型示意圖；模塊間的交互主要有兩個流程，一個是啟動流程，由系統管理模塊作為主調度模塊來檢查License，以及啟動各個模塊，主模塊檢查License，如果不通過就報告錯誤，退出程序；如果檢查License通過，將定義全局變量，讀取配置信息，進行SIP協議站的初始化，B2BUA回調函數的註冊，之後啟動處理響應及異常的線程，啟動XML解析的線程，啟動套接字(Socket)發送和監聽的線程，啟動SIP協議站。
另一個是網絡數據處理流程，網絡組件收到網絡數據，傳輸層接口解析協議，判斷是否是SIP協議，如果是就由SIP協議站來解析報文，然後由B2BUA層將解析的報文交給信令處理模塊；如果不是SIP協議，再判斷是否是其它軟交換協議，如果是其它軟交換協議棧來解析報文，最後都交給信令處理模塊，信令處理模塊根據不同信令中不同的信息類型來作不同的修改，例如註冊信息/媒體協商信息/媒體通信信息；同時信令處理模塊利用系統內存記錄通知系統管理記錄日誌，然後信令處理模塊調用公共模塊給MP交互模塊發送信息，MP交互模塊再與MP協商，協商後MP的工作詳見MP工作原理，比如根據SP的要求提供空閒的埠；根據SP的要求修改媒體流上的埠；根據SP的要求釋放埠；根據SP的要求控制帶寬；統計數據流量、持續時間等信息。
信令處理模塊是SP的核心模塊，它主要負責各種SIP信令的分析、處理、控制，如修改SIP(包含SDP)信息、決定消息轉發等，圖3為信令處理模塊構架模型示意圖。信令處理模塊根據不同的消息可分成註冊信令處理模塊、呼叫信令處理模塊，其它信令處理模塊以及SDP解析模塊。
註冊信令處理模塊主要負責註冊消息的處理，保存該註冊用戶的SIPURI與在NAT上映射埠的對應關係到Runtime Context(運行上下文)的RegisterMap(註冊map)中，並修改REGISTER消息的路徑及Contact標題頭。
呼叫信令處理模塊主要負責呼叫消息的處理。通過調用SDP解析模塊對消息的SDP包進行解析，保存此次會話的標識CallID(會話標識)與SDP的相關信息的對應關係到Runtime Context的Session Map(會話map)中。同時，生成SP的指令信息放入到SP指令流隊列中，從MP響應流隊列中取出響應信息，根據CallID映射到Session Map中，修改SDP包。根據From標題頭查詢RegisterMap修改Via標題頭。
其它信息處理模塊主要負責除了註冊、呼叫外的所有信令的處理。如MESSAGE-200，SUBSCRIBE-200-NOTIFY-200等。通過查Register Map得到在NAT的映射埠，修改Via標題頭。
SDP解析模塊主要負責SDP包的編、解碼工作。
圖4為MP交互模塊構架模型示意圖；MP交互模塊是SP與MP交互控制的渠道，它主要負責發送SP的指令信息，接收MP的響應信息。MP交互模塊通過套接字(Socket)來通訊，分成發送模塊和監聽模塊。信令處理模塊與XML解析模塊中通過兩個隊列來交互，信令處理模塊產生的對MP的控制指令信息，首先放到SP指令流隊列中，在XML解析模塊中利用多線程去處理，同時把MP的響應信息經過解析處理後放到MP響應流隊列中，由Socket發送模塊發送給MP模塊；同理在XML解析模塊與MP交互模塊中也有這樣的一對隊列，用於將MP的回覆信息傳送給SP。
圖5為MP模塊結構示意圖。MP是一個三層的結構，底層是作業系統和網絡層，中間層是對MP主要功能的實現，在最上層是對整個MP的運行控制。
系統的幾個功能模塊通過相互的協作來完成對SP的媒體代理請求的處理和響應工作。
通信模塊(Communicate)負責通過Socket將SP的調用請求接收上來，同時轉化成內部的針對接口的調用，通知主模塊(Main)，由Main模塊根據配置和管理的邏輯信息來決定具體操作策略。然後將執行的結果通過Communicate模塊返回給SP。當通訊模塊檢測到與SP的連接斷開後，應該主動通知Main模塊，然後Main模塊根據具體的配置策略，決定是否關閉媒體代理。
註冊管理模塊在對資源的管理上，採取在初始化時對資源(埠)統一進行分配和綁定，之後對埠採取成對預留給SP，對於預留的埠，若在一定時間內沒有被使用，則註冊管理模塊將對埠進行自動的回收。
網絡服務質量模塊(QoS)其管理主要分為兩大部分，一個是帶寬控制，另一個是業務優先級的管理。提供具有QoS保證的端到端實時業務。
圖6為適用網絡拓撲圖，圖中G2均為本發明的基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，位置在內網與核心網絡之間，實際上作為一個中轉伺服器對收到的報文進行解析、處理和修改報文的內容，分配新的地址，並加入映射表，然後再將它發送出去。
最後所應說明的是，以上實施例僅用以說明本發明的技術方案而非限制，儘管參照較佳實施例對本發明進行了詳細說明，本領域的普通技術人員應當理解，可以對本發明的技術方案進行修改或者等同替換，而不脫離本發明技術方案的精神和範圍，其均應涵蓋在本發明的權利要求範圍當中。
權利要求
1.一種基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，其特徵在於，至少包括系統管理模塊、系統內存數據、信令處理模塊、協議棧層、B2BUA層、MP交互模塊、MP模塊、傳輸層接口、公共組件和網絡組件；網絡組件與傳輸層接口連接，將收到的網絡數據報文送到傳輸層接口進行解析，傳輸層接口連接協議棧層，協議棧層判斷報文的類型並解析，協議棧層連接B2BUA層，B2BUA層連接信令處理模塊，解析好的協議由B2BUA層傳送到信令處理模塊，信令處理模塊完成信令的分析、處理和控制，信令處理模塊連接公共組件和系統內存，信令處理模塊通過公共組件發命令給MP交互模塊，MP交互模塊根據負載和用戶的數據量，通過網絡組件連接一個或多個MP模塊；另外，系統內存連接系統管理模塊，信令處理模塊通過系統內存通知系統管理模塊記錄日誌。
2.根據權利要求1所述的基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，其特徵在於，所述的協議棧層至少包括，SIP協議棧和H.323協議棧，所述判斷報文類型，至少包括，首先判斷是否為SIP協議報文，如果是，則送到SIP協議棧解析報文，如果不是，再判斷是否為H.323協議報文，如果是，則送到H.323協議棧解析報文；如果不是，則報錯退出。
3.根據權利要求1所述的基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，其特徵在於，所述的信令處理模塊至少包括註冊信令處理模塊、呼叫信令處理模塊、其他信令解析模塊和SDP解析模塊；註冊信令處理模塊主要負責註冊消息的處理；呼叫信令處理模塊主要負責呼叫消息的處理，通過調用SDP解析模塊對消息的SDP包進行解析，保存會話標識與SDP的相關信息，同時，修改SDP包；其它信息處理模塊主要負責除了註冊、呼叫外的所有信令的處理。如根據具體情況修改SIP標題頭及SDP的相關信息，決定消息轉發等。
4.根據權利要求1所述的基於Linux內核實現雙通道穿越多級NAT和防火牆的系統，其特徵在於，所述的MP交互模塊包括，Socket發送模塊和Socket監聽模塊，通過這兩個模塊和MP模塊及公共組件通訊。
5.一種基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，其特徵在於，Linux內核中至少包括，系統管理模塊、系統內存數據、信令處理模塊、協議棧層、B2BUA層、MP交互模塊、MP模塊、傳輸層接口、公共組件和網絡組件，至少還包括如下步驟步驟一，啟動所述Linux內核中的各模塊；步驟二，由傳輸層接口對收到的網絡數據進行協議解析，判斷報文的類型，然後由協議棧層解析報文，再由B2BUA層將解析的報文交給信令處理模塊；步驟三，信令處理模塊根據報文的內容進行修改，同時信令處理模塊還通過公共組件和MP交互模塊向MP模塊發送命令，MP模塊根據命令開埠，步驟四，最後由MP模塊將修改過的報文再發送到網絡上。
6.根據權利要求5所述的基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，其特徵在於，協議棧層至少包括，SIP協議棧和H.323協議棧，所述判斷報文類型，至少包括，首先判斷是否為SIP協議報文，如果是，則送到SIP協議棧解析報文，如果不是，再判斷是否為H.323協議報文，如果是，則送到H.323協議棧解析報文；如果不是，則報錯退出。
7.根據權利要求5或6所述的基於Linux內核實現的雙通道穿越多級NAT和防火牆的方法，其特徵在於，所述步驟一中啟動Linux內核中的各模塊，至少包括如下步驟，首先，系統管理模塊檢查許可，如果不通過，則報告錯誤，並退出程序；如果通過，則定義全局變量，讀取配置文件，然後進行SIP協議棧的初始化，和B2BUA回調函數的註冊，接著，啟動一系列的線程，包括，啟動處理響應及異常的線程，啟動XML解析的線程，啟動Socket發送與監聽的線程，啟動SIP協議棧，最後執行權利要求1中所述的步驟二。
全文摘要
本發明公開了一種基於Linux內核實現雙通道穿越多級NAT和防火牆的系統及方法，系統包括信令處理模塊、協議棧層、B2BUA層、MP交互模塊、MP模塊、傳輸層接口和公共組件。實現的方法包括首先，由傳輸層接口對收到的網絡數據進行協議解析，再由協議棧層解析報文，再由B2BUA層將解析的報文交給信令處理模塊；接著，信令處理模塊根據報文的內容進行修改，同時信令處理模塊還通過公共組件和MP交互模塊向MP模塊發送命令，最後由MP模塊將修改過的報文再發送到網絡上。本發明無需修改FW/NAT，保護了私有網絡的安全；通過雙通道伺服器的設計，實現了多級NAT穿越；採用可變的拓撲結構，一個信令伺服器可負載多個媒體和數據伺服器，方便實現了性能擴展。
文檔編號H04L12/56GK101064712SQ20061002599
公開日2007年10月31日 申請日期2006年4月24日 優先權日2006年4月24日
發明者顧青, 陸蓓婷, 靳勝勇, 蔣文創, 周衛紅 申請人:維豪信息技術有限公司