防火墻H323協(xié)議處理流程及H32ALG應(yīng)用

1、H.323協(xié)議簡介H.323協(xié)議簇是ITU的一個(gè)標(biāo)準(zhǔn)協(xié)議棧,它是一個(gè)有機(jī)的整體,根據(jù)功能可以 將它分為4類協(xié)議，也就是說該協(xié)議從系統(tǒng)的總體框架（H.323 1視頻編解碼（H.263 音頻編解碼（G.723.1 系統(tǒng)控制（H.245 數(shù)據(jù)流的復(fù)用（H.225 ） 等各方面作了 I：匕較詳細(xì)的規(guī)定。H323系統(tǒng)中的信息流是視頻、音頻和控制消息的組合。系統(tǒng)控制的協(xié)議包括H.323、H245 和 H225.0 ,而 Q.931 和 RTP/RTCP 是 H225.0 的主要組成部分。 整個(gè)系統(tǒng)控制由H.245控制信道、H225.0呼叫信令信道和RAS （注冊、許可、 狀態(tài)）信道提供。H.225它主要處

2、理傳輸路徑問題,描述了如何操作網(wǎng)絡(luò)包上的視頻、音頻、數(shù)據(jù) 和控制信息使其提供H.323裝備會(huì)話服務(wù)。H.225主要有兩個(gè)部分：呼叫信令 和RAS （注冊、接入允許和狀態(tài)1 H.225詳細(xì)定義了 Q.931信令信息的使 用和支持。在IP網(wǎng)絡(luò)的TCP端口 1720需要?jiǎng)?chuàng)建一個(gè)可靠的TCP呼叫控制信道，該端口完成Q.931呼叫 控制信息的初始化，從而實(shí)現(xiàn)連接、維持和呼叫分離功能。H.245是H.323多媒體通信體系中的控制信令協(xié)議，其主要用于處于通信中的H.323終點(diǎn)或終端間的端到端H.245信息交換。H.245制定了一個(gè)控制信道分段和重 新裝配的協(xié)議層（CCSRL , Control Channe

3、l Segmentation and Reassembly Layer）尼可以在易出錯(cuò)環(huán)境下保證應(yīng)用的可靠性。H.245提供了一種功能交換 的功能，它支持兩端設(shè)備通過協(xié)商確定一組通用的功能集。二.防火墻H.323 ALG功能簡介當(dāng)內(nèi)部網(wǎng)絡(luò)的H.323終端穿越防火墻與公網(wǎng)上的H.323終端進(jìn)行通信時(shí)，由于 NAT功能只能將傳輸層的IP及端口進(jìn)行轉(zhuǎn)換，無法對H.323協(xié)議應(yīng)用層攜帶的 內(nèi)部數(shù)據(jù)進(jìn)行轉(zhuǎn)換，應(yīng)用層中內(nèi)部數(shù)據(jù)直接被轉(zhuǎn)發(fā)至公網(wǎng)，后續(xù)協(xié)議信息處理時(shí) 會(huì)出現(xiàn)問題；而H323 ALG則可以實(shí)現(xiàn)應(yīng)用層數(shù)據(jù)轉(zhuǎn)換脅議數(shù)據(jù)發(fā)至Internet 時(shí)，將其應(yīng)用層內(nèi)部信息轉(zhuǎn)換成公網(wǎng)信息，實(shí)現(xiàn)完全隱藏內(nèi)部終端達(dá)

4、到通信正常 的目的。協(xié)議屬于多通道協(xié)H.323另外,應(yīng)用防火墻一般只開放特定端口的數(shù)據(jù)進(jìn)入內(nèi) 部網(wǎng)絡(luò)，議,控制連接使用端口 1720 ,數(shù)據(jù)交換使用端口為臨時(shí)協(xié)商,無法事先預(yù)知, 若無ALG功能，協(xié)商出數(shù)據(jù)交換通道所用端口后，外部網(wǎng)絡(luò)終端嘗試對內(nèi)部終 端數(shù)據(jù)交換的端口進(jìn)行連接時(shí),防火墻會(huì)對其進(jìn)行阻斷,從而數(shù)據(jù)傳輸通道無法 建立；開啟H.323 ALG功能后,會(huì)在對應(yīng)用層轉(zhuǎn)換的IP地址及端口進(jìn)行轉(zhuǎn)換的 同時(shí)，將其信息進(jìn)行記錄，使其在外部網(wǎng)絡(luò)終端嘗試對內(nèi)部終端數(shù)據(jù)交換的端口 進(jìn)行連接時(shí)，防火墻進(jìn)行協(xié)議識(shí)別,對后續(xù)相關(guān)協(xié)議報(bào)文執(zhí)行放通策略,從而成 功建立傳輸通道。三H.323 ALG的典型應(yīng)用組網(wǎng).

5、協(xié)議連接過程及防火墳處理流程四一次基本的H323三次握手連接客戶端與服務(wù)器建立1. TCP2建立TCP連接之后f主叫終端通過H.225協(xié)議發(fā)送setup消息至被叫終端, 表示主叫方希望建立通話（FW開啟了 H323 ALG功能）1）內(nèi)網(wǎng)主叫終端抓包報(bào)文H323疑河L: 1112.13.99172.3O158.24O-1723O.15i氏245i c.cm$95* 、，2 Q JW.*：5tZ3l : Wd.?1 cocros fds fsccf，羊:叫用尹衛(wèi)松4 W： 1Lev； CS：!；M1 KM1“H323翳2 :00li.li.13.55:tcp 5egMt S

6、T?FSS313WF5 C.2X5U1T2.K lw.lW11.12射Pl32S .tL411,gg.伽:5=1*匕5 GiM5531Lw=06 C.2WU.n.lL9)V2.3M53.10tH.225.0 SEts2切刃 VLK.liS.lMP:TCP swwrt 才 a enbcd PXl3 SL1刑U.n.l2.0172.3：.：S3.1XPw:rosja、型比處山】S-2F A48.1)011.12.B.99K.K5.05: ilertino）外網(wǎng)被叫終端抓包報(bào)文2由上面2個(gè)報(bào)文可以明顯看出ALG對協(xié)議應(yīng)用層的數(shù)據(jù)進(jìn)行了處理。3. 被叫終端返回CallProceeding給主叫終端,表

7、示被叫終端正在處理。4. 被叫終端返回Alerting報(bào)文給主叫終端,表示被叫用戶已被振鈴。1）內(nèi)網(wǎng)主叫終端抓包報(bào)文J-i 7 AF cw - 7- i .J二F Qr二?x 詆:;?=.：=) JI UWY.T2 rTr .3=201 CEmfsR-aRB Ac som gpfx-u 07M7 &r vs,. hY0afma72CLS5Rycn2 3 AYKd: 趙 22)】-、J-lorv -、rm V:$mF 37E5R-Q E2rlwz“.:;-tocy: WT4Ss.Xvs rnwocoMcrnFTr:pO.JYSHi (彳二 32)ffl rcerdre?z 二亠三 safssfo

8、 j 十寓ILs<u “二Gi JJE?S -s石譽(yù)1KJ J*二八i(B E；2 f ? m h c 愧H-JIUITMfrfytQrrJ- -,s0gN $*!# 二rkrlsas*-2a.;- ixr: :； :u4 2 壯二二 “0 s Hc、m 二-J 3 s OJk slx)=M-2合二匕 Kc WKVJrrs cs- &” FXZ.CNC-:匕3 u- r . ZPI.E 二Z &G 吳電” pse- EUHEJ V pb 3 p 4 Qi . 氏：w; Z -i.tO Q 6 V 、i S 5 * 1漢 ；涪1、；衛(wèi).站鶴7 2-2.3 M 1護(hù)舵i U 1 X X匸H1O

9、百扌 龍?4 丫嘉一 K ：1?iLIC8 二 7 3 I 13C 】辻?1一3E MHw fT.f :kAX*at-l*_ 匚一C 0.XX.12.ir Min.分S T2*a. 221.0TTTCS： aecup(ttr林*oj,kJlUIWHU fmvuiu11 (ACK SQ-2J7 A4t-i vin-4；11 5 31M95 n 3X151,1W11.12.1L99彳d*c石 JimhmrtT fif：: 7q ?1* vt t inn Of i0 (TCP s?wr 護(hù),cfHJe: *0u*cn wtrr. O tyrr oprirrtf)nar9Hvu AB：t：5O oa：

10、?4：r:M Sa:M)v 0e： 10:la) :nx(rf*t ewcoI yc 丄(h.xj.jmxw：. ox. xi(u.iz.x.w)、Trjftjnssfo* ccmroi rrci. sx 23iwxcli U72W. m *: d:i icri n7 icr(41 ty!K)：*)TTWcT.、c8、5： ；. Largtn： 42Q Q.1H-4 m.O Ci“ fi-；5ar.*crna:ian-hlSAe-妙a伙71*坷3訕耳4Uritr alartir(ratcolTifA*li . D.0.0.刀蜀.0.7 C*3 7-K5Tlnatfl；nfotVW-TOl.0.

11、 . . x: rh.cmxflrMOtda：Z* ir3$d b站3UU14 “bM30dI” . ； P5.!0ul%.：| | Z-y m：m .:32 “3C,g5KiicUroIVwd/iwuu “WC ；- u JJ :tccH - .c;rth |XL 1 5r；-l .- * -.:- 4 rMneKscjjI uu -乃軫仏g3：.為 100m. ： J5.0 at; aicrt*.aS 1J.3!W：. . .4r2.2O.L5B.241repCt.Pt -* rmJ jNE lf.9Q!U& 12 .TbC9ZTM fdr MJJoxtol： IKE1 oaJ/ Ack*

12、4 5r-iL9J jd (OG:24；ac:ii:a；50), ns:； 19:0c:29.3JO.; ：C.O; H FZk 穴乂少 rc: b?. . ISft.iQUHi-;XQ. . I.1 Jr： 0-1.9-C, 0穴 hrr. * 3. s.r , t”： I：KF 幺cneru(IV byxw)： nKUJ)XTvvlor: i. Luivll: UTW.2J5.OCSe Wily Mi”S h52-W-pAiress ice txjy： ccrnca c*raZfCTXOliWrffYy： SO, 3.22SJ2 (wrHir 21m h2UJJc;(皿(0)Hip： ir

13、00 012. 30-153.1(M)pg 112】n Ci5f na：iIrtovendor* vuiiix H,221 w*試acttrer: vkreSG vm *i mid: 3.CterminalQrc: ui$e）打開邏輯通道階段（能力交換.主從確定階段省略）2 ）內(nèi)網(wǎng)主叫終端抓包報(bào)aliidenrlfleQl1d： hl! Zf HfrS AIM ；lHnnf4d：3U&0 i7h 知丄 d y2.3J.L58.K5JC.DB.MCl.aO.15fl.24L173.30.15S.10：l.j.l59.e4Lccd-xJx kQhkW M

14、R KQ-2?r A.-5 箕 i:r- -2uS: i ?r-nT- cedrM.fa -JnhHTcVF :g： S?q-2?T-44.eg。T= TCP 處呻 T l 緒冷KUJ】0C712伽心:刀.30.LSS.10&173.30.1SS.24LrSH&nsT EtefOfiC H.可.m i 幺:Qc：7t (X.：.；c：61.7b：. DS： *yiX a6.6e：4j ：);24：C35；:!：:rtcfnct rrotxM g；R 4. S-：:：l?2.iO.：5&.l：0. Cst: D2血2轉(zhuǎn)241 歸2冷冷? - C 5ik 5t 卞 l； .tfJ .5Jh (41

15、40),4-5. AU； ?k, i汕；二？ .2 5feiss4!tkd 口 -wne i.U?加：:穴心.旳)汽丄). ”1. w%kr: ? Liftfi: 11.7 MMMB s “J Z?Jnf$iy:nry: mman (?):.eaprctooiljdrilfkr: o.c.b.zjm.o.j (uerUofi ?) kWAjtf陀熾 9212 5.MX413ll.K.13.592：2.30.1$ 10：K- - - $ *J q ；tv ;mrt ：F a rtasseib d fp.1Cra tds 133XS：U ba) Se:=25； mZS meu劉

16、K 6.J15U6H.12.13.99FZ.3aiS8.10：Kri * V-li e.22：ir172.5：.15f.lC11.12.13.K1 6.2226S7K 6.H6肌21 G.ir-B?22 6.m“)?j e.nows11.12.13.IG172. )：. M. noU.12.U.W11.12.13. W i；2. izm.icoirj.lO.lB.IO：l-2.-0.D510： 血 K8.18ILK.15.99H.245H.?*52 K?H.23:”5 “pw&C9譏護(hù)VC 伍2 iaj 為TKA)TCP nwncrl ;* a r wjeib d FDj tcraina*sp

17、jbib4T rertinaeib tfJ FP.1 ccdrofijz hJ3hc?tca1* ACK So:-2I? Art-1 cl &氛 icc-0 Cftifia-uDiD1lic5KA：k siersl3ieaieriirMlofUli Etnerne? II, Src: 10:0c:?9:e3:2:3a fifeDcsBreSzXzla, esc: Han)dMM：Gt：SO (00:ZX：K：48:Gt:50) * xnsrnex protocol, yi: 11.12.12.S5 (11.12.3.?), osi. 2.3-：.153.1TrsnsHssiai Cart-ol

18、 Prorocol, Src Port： oht護(hù)壯(*U2；. 3Jt Fcrt: i pxt; Olrttt.C (4141)XrrinffHon per?: ro (1121)(5irn inoex. 1Squfnc* mrtef: 0 (relari . sequm:e ruixr)光如28 bjtsS丄 L 崢：Orf)： (svv)l 處M $i2： 240i hksLr: 0x740: vilidsTian rsabei、filers: (60( Ln: G27 Jill.k.LLK40excgi“5譏 1 WM C *，、 S M 3 、 、端口來建立連接。由以上報(bào)文可以看出后

19、續(xù)數(shù)據(jù)傳輸被叫方將使用1503端口進(jìn)行連接來進(jìn)1503進(jìn)行數(shù)據(jù)傳輸（主叫方將使用多個(gè)端口與被叫方的7.通道建立之后，行視頻、音頻數(shù)據(jù)的傳輸）I IIIIIMIHI 111 M:二兒.打丄.：丄刃 （/算謁時(shí)：15 C.flWCOM t 91H1： C.422J：斗2.男.以.1 l )l.P.U. IllCMti XI %Md ST iMl4 ACt-1 巾仇側(cè).XK)沁 Att苦. r-2 陰I：Vz- riWA2l9 PM琢如料U 3G ZYW s餡 inc-K5 ikc-os cum MflfiCvf IF- rr :Ki： eiEcur 0r-w , docc .:TT, 5rt!1

20、Z Jll：U 九仁 tO Cr .2 .: : QI irw. wrtor： j. iwft： 2、 =加cHV “wz:Nd 、z n rvriP- ：e理HT 0* 1KifZ146 123沁I v-fc V 丄，O. *715： K.6S7D2153 D.6$9lCMLT?. J0.15B. KOL.細(xì)但2S1?2.30lU-. 1：.：(：m.25:paxcq-a1ChimaA：tH.WqlChww :十MMWfM1WMWMM 3M3R100TiCPMJbov? inters$eq-l 4cl-l vi“42 的 Sn4I :ijtx2v tr)i. s- i? r.r.fi wi:

21、r? i( n 阿.、，n :?,r at pn 絢grsrb,fFrvo】 Frowcol $rt 襯=：f (1121). bt 代rktgx Se|： 311. !:x, ”c： /I.2二-.m m.：9:；c:Ci 二,:譏：rf. qx .L_B5;4.;4a4；4. :n：orrw：.1M,1). Cst: 17?.P：.113.241 (”.X.ls.241：i -nrTVc F，frl Prft-ft-nl. A:Tft打 十(XU1X *： 5. S九：，l桿:HI C? .Vc/g：3 . (25 3,八亡:(21 力: ML lb 21 3xH3C1 ay】0); ns

22、fC. fil ：c k-1a)=P5t0SXiTtlWl (刃 爐 5 偏K2rdO frrl itjIokhMQlMAJ牛廠3,上4：h. Hi r 2Hftu Tc: ctq:r： (LJ respznse: erazezkri-nf A：i O CfUC4kr4fC0AC 殊。* lli；rWL 27-e/rsac2ke ctf iAaircjj ; lDL*Af*e34d:*oo2) 1X；lJVUlM*ei： ZiRiLU2f :dg:;*p2se* cu，y y,1 -c”CTf:*.nzcxlu:?s;n=tvs:3L:o,b,3.Ell3*2*u:0vl；tM1 beyKw

23、kadlurcMEffmxcrzSEXnnjqHoll12l益 lm5r =? =11岑.15848 Lib 一益2 岑 15818 IF 3Q匕 a 18 =u2l$c-dcowvncs5 壬八條V oon.A (M V M98 cidcowv5,a is?ilc5voFrRS 夫郭.XI氏巒Ack-1三彳25 r$Hzc 3CYL 安6 AX551.O 廠$21Xxj 從卡亂A7M .0-64219 ug pyxa se ACTMi.*19 L2 已 京土 xc 5eY第 afh.7 aEti-dxswv、S?K$XX】S6X08 RrLi6 汶4106 L?45 65U85J015匕呂U

24、L2 二99亠IBI9BC5IVOMOCSW【Aod salsAdc&K MK5329 Lg4 6gl6“a =2:6 色總 lrFUs 土 A KQV 3 s X*M3K8 C2UJO1KWO 二-P 二 RKP2&r 二 m AdS*E Adc4.iM 二 d5 ciw-fm?!KS fsh k*.冷 o-l ndh .叫 E26LW-2S5 s、，F(xiàn)a JnccPQ M*.6.1 4?l“ Tc-二=bylsa. /k 卩 M byies uuwzefrnthrret n.胃二 o:OG$;ld CLf?ca2他：3M HanKhwJS 釜 WOE:ac:aMX5wH323 i tcpf

25、fif湘PH-耳關(guān)sffisT ()rhfmMmn;vv -v irj/v s% - *.J 4lw *f dMC* rrt-ZMx二.- e9 V ?- 5- -m ： S-8.5.S KT om :- Kf W5 SI? -ai _ Mvtw、lrHrH vzwspuw 弓 -3- 芟F I I I I ! I II ! ! II 11 i HI i I 44 I m l * fcAy?二、 !:!三! dnw b-二.*-上 wna.亠351 2.;.ss6*E一呂s11 =匕富 Qzrto V MA*aK.t=3nrrJ KFg- %匸譽(yù) 0 -30 3M0總sf lmxsa 二-:,

26、3$ HP i ” OF yr【ACK二壬空 5wm6M6ri 二、匚 S3M 二、豈J!-Sr - Li ttp rrcIOtd w二 】n AM.t$ j SIxbrsa of 軍rK Qorfocrtrfi F l:A：fi,】：F ooo9.20rL y # U.F;SFS S3A Msoon MC】LPX$ B.s.uirsrcs8=8;-03vtnoEcr snfol N2fxo PifT qf二公xcs;.rg - xpswrM 1.5 2 EiwbluJ TCP SBITK 二 GR). wss-X.SHTnn舌 3 Lswh 二TL二09 VT&.&.s snlifBSRR匕

27、 xnnwrd sUEF=lwlr.a:lJ=grfluaa)d-ACCOKCTKLU.-X p3*JT3si i 在防火墻中的幾種應(yīng)用場景五.H323 ; 1.內(nèi)部終端向外網(wǎng)終端發(fā)起會(huì)話，防火墻做SNAT字段信息destCallSignalAdresssetup消息中被叫方只關(guān)注應(yīng)用 層中由于h323通話，符合）（主叫方IP （檢查目的IP是否為自己，確認(rèn)其是想要和自己通信）與傳 輸層的源IP不IP ,當(dāng)發(fā)起方為內(nèi)部終端時(shí)，目的IP即為被叫終端的以上條件后 才會(huì)進(jìn)行后續(xù)協(xié)議協(xié)商;TrustUntrust到轉(zhuǎn)換;Netmeeting軟件數(shù)據(jù)傳輸通道 都是由主叫方發(fā)起,不存在需ALG都對其通訊無

28、影響；但是沒有開ALG的阻斷 問題；基于以上兩點(diǎn)，在此W場景下，是否開啟進(jìn)行轉(zhuǎn)換而將 IPsourceCallSignalAdress字段的私網(wǎng)消息中啟ALG功能時(shí)，不會(huì)對setup其 地址暴露在公網(wǎng)中；DNAT ；外網(wǎng)終端向內(nèi)部終端發(fā)起會(huì)話，防火墻做2.消息 中字段信息setup功能，H323的當(dāng)主叫方在外部網(wǎng)絡(luò)時(shí),若沒有開啟 ALG 被叫方在，地址NAT前的IP （沒有轉(zhuǎn)換為私網(wǎng)地址）仍為防火墻目的 destCallSignalAdress消息來結(jié)束通訊會(huì)直接返回releaseComplete收到該消 息后發(fā)現(xiàn)其不是想和自己進(jìn)行通訊,功能才能正常通訊。ALG請求;故在此種 應(yīng)用環(huán)境下,必須

29、開啟補(bǔ)充（轉(zhuǎn)）：H.323之童話故事篇說了這么多的呼叫流程，大家是不是有些頭暈眼花，沒有關(guān)系,看了下面的小故 事，相信大家對于H.323 次呼叫過程就有了比較全面的了解。請看：在H.323的王國里有許多成員（各種H.323節(jié)點(diǎn)），為了確保這個(gè)王國的正常運(yùn) 轉(zhuǎn)，頌布了許多法令（H.323協(xié)議簇具中主要有RAS、Q.931. H.245、TCP/IP、 RTP/RTCP. UDP）,無論是國王、還是臣民,大家都嚴(yán)格遵守這些法規(guī)。 在這里將介紹H.323王國最重要的兩個(gè)角色國王（GK ）、臣民（GW ）是如何遵 照法規(guī)（RAS、Q.931、H.245 ）通信的。其中國王與臣民之間的通信遵守RAS 協(xié)

30、議，臣民與臣民間的通信遵守Q.931、H.245協(xié)議。首先，臣民（GW ）應(yīng)向國王注冊。個(gè)臣民（GW ）誕生后,會(huì)使用RAS協(xié)議去尋找自己的國王（GK ）,他高聲問 到：誰是我的國王請回答我r,這時(shí)可能會(huì)有一個(gè)或者多個(gè)國王來響應(yīng)：你是 我的臣民（GW ）,到我這里來汪冊吧，這是我的地址。”,當(dāng)然國王也可以拒絕 臣民（GW ）的請求：你不是我的臣民（GW ）,別來煩我。如果臣民（GW）幸運(yùn)地得到了多個(gè)國王的青睞，他可以選擇一個(gè)國王并向他注 冊。注冊成功后，臣民（GW ）就可以享受國王提供的各種服務(wù)（如接入控制、 帶寬管理、地址翻譯等功能這時(shí),當(dāng)臣民（GW ）與另一臣民（GW ）通信時(shí)， 不需要知

31、道對方的地址，只需告訴國王想要和誰通信,國王會(huì)把對方的地址找來 給他。對于那些沒有找到國王的臣民（GW ）來說就有點(diǎn)慘了 ,因?yàn)闆]有國王的幫助， 他只能與自己相當(dāng)熟悉的臣民（GW ）通信（即知道對方的地址1臣民（GW）向國王注冊可以有一個(gè)生命期，過了這個(gè)有效期，臣民（GW ）還 要再向國王注冊。.下面看看H.323的國王與臣民是如何幫助PSTN王國的臣民通過IP網(wǎng)相互通信 的（即IP電話是如何實(shí)現(xiàn)的個(gè)PSTN王國的臣民C想通過IP網(wǎng)送給他遠(yuǎn)方的朋友D 份特別的禮物，他 跑去找與自己相熟的H.323王國的臣民A（GW）,并把朋友的電話告訴他，請 他幫助通過IP網(wǎng)找這個(gè)朋友（即一個(gè)PSTN用戶撥打IP電話，呼入GW 臣民A （ G