您当前的位置是:  首页 > 资讯 > 国内 >
 首页 > 资讯 > 国内 >

毅航互联SBC防火墙适配方案

2022-10-19 15:02:01   作者:   来源:CTI论坛   评论:0  点击:


  一  前言
  企业为了确保网络安全,普遍部署各种防火墙,作为边缘和隔离设备,将企业的信任和非信任网络(一般外网非信任,内网为信任)分隔开来,避免直接访问。同时,防火墙兼具NAT功能,隐藏内网并代理内网对外网的访问。
  由于防火墙的存在,部署SBC变得较为复杂。某些情况下还需要防火墙的配合,才能够完成SIP信令和语音流的防火墙/NAT穿透。
  就防火墙和SBC的位置关系,一般分成两种模式:近端防火墙,也就是SBC在防火墙内,对接的设备在近端防火墙外或者在远端防火墙内;远端防火墙,也就是SBC在防火墙外,对接的设备在防火墙内。
  这两种模式下,毅航互联SBC均可以完成信令和媒体的正确穿透。
  二  方案简介
  1 概述
  毅航互联SBC充分考虑了近端和远端防火墙对信令和媒体的影响。在信令层面通过对From/To/Contact/rport/SDP等IP地址进行处理,反映出实际的对接地址,避免信令不通,摘机超时,挂机挂不断等问题。
  同时,SBC支持OPTIONS/REGISTER等心跳模式(接收或者发送),用于保持防火墙的session(保活),保证防火墙/NAT的端口可用和不变化。
  媒体通过识别远端的IP/PORT,然后向这个IP/PORT发送媒体包的方法,达到各种NAT情况的穿透。
  合理的防火墙穿透方式,防火墙/NAT有各种模式和对应的各种穿透方式。但是,较为合理的穿透方式是从防火墙外网IP/PORT收到包,回应或者主动发的包再送回这个IP/PORT。
  示意图如下图:
  2  防火墙SIP ALG
  由于现在的防火墙普遍内置SIP ALG(应用层代理),此功能会对SIP信令和媒体产生很大的影响。但是,由于ALG的实现一般不完善,很容易使得信令和数据不通和单通等各种问题,导致各种不可预测的问题,所以需要将防火墙的SIP ALG功能关闭。
  毅航互联在大量的工程支持中,SIP ALG基本上都会导致问题。建议将此作为一个部署的前置检查项,避免在联调时再检查,会耗费比较多的时间。
  3  远端防火墙
  当SBC对接的设备处于防火墙之内,SBC处于防火墙外时,就构成了远端防火墙模式。比如:SBC放公网,代理内网的座席注册;或者对接内网的PBX等等。
  由于NAT的存在,SBC看到的SIP信令信息和媒体的信息均和原始的信令不同,必须采用一些特别的处理方式来应对这种情况。
  逻辑结构
  远端防火墙的示意结构如下图:
  注意:
  图中用单层防火墙做示意,实际上这种模式可以支持多层防火墙。
  SBC可能在防火墙内。这种模式放到近端防火墙做讨论,不影响远端防火墙的逻辑结构。
  一般将防火墙内的设备作为客户端,毅航互联SBC作为服务端,便于建立和维持互通。
  信令配置
  为了自动的远端防火墙穿透,一般将防火墙内部的设备(座席、PBX等)作为客户端,而防火墙外部的SBC作为服务端。
  由客户端向服务器发起周期性的心跳(比如:注册REGISTER、OPTIONS等),周期时间控制在120s以内,这样就可以维持防火墙的session,达到保活的目的(也就是防火墙不关闭外网的端口,SBC可以从这个端口向内网设备主动发信令消息)。
  各种内网设备均有自己不同的配置界面,一般都可以找到相应的注册和OPTIONS的配置。找到相应的配置后,按照要求进行配置后即可。SBC侧无需对信令做特别配置。
  对于像PBX等设备,可能不能够配置为客户端,此时需要在防火墙上做映射,将PBX的信令IP/PORT映射到防火墙的外网,这样SBC才能够访问。
  毅航SBC支持SIP在TCP协议上传输,如果UDP穿透存在难以配置的情况,也可以通过采用TCP协议来完成信令的穿透。采用TCP协议时,建议采用永久连接,避免连接断开而导致防火墙的阻断。
  信令穿透
  内网设备无需做特殊的协议修改,所有的穿透由SBC完成。
  由于内网设备配置的是内网IP地址,经过防火墙后,这些地址对于SBC来讲是无效的(无法访问),如果根据这些地址作为后续信令的传输地址,将无法通信。
  比如:发送挂机BYE SIP信令时,远端地址来自于内网设备 INVITE SIP信令Contact头域中的IP地址和端口。此时肯定是内网的IP地址,就会导致BYE SIP信令无法触达内网设备,导致不能够挂机。
  又比如:SBC会根据INVITE SIP信令中的From/To/Contact等头域中的IP地址校验有效性,或者进行中继组的匹配。穿透模块会用TCP/IP协议栈的真实IP/PORT替换相应的域,达到有效校验或者匹配的目的。
  毅航SBC会用从网络协议栈收到的真实IP/PORT替换上述的关键头域中的IP/PORT等信息,满足安全和中继组识别等要求。并且将给内网设备的SIP信令送给上述真实的IP/PORT,保证了信令可以触达内网设备。
  媒体穿透
  和信令类似,SBC在收到内网设备发送的RTP/RTCP包后,识别出真实的IP/PORT,然后将送给内网设备的RTP/RTCP包转发到此IP/PORT,完成穿透。
  毅航SBC的媒体引擎有多种模式用于帮助媒体的穿透和适应变化:
  断流检测
  在一定时间内没有收到对端的RTP包视为断流,将触发告警,用于主动挂机或者reinvite重协商。
  NAT等待
  在未收到对端包,端点学习未完成的情况下,不执行向这个端点的包转发。
  非对称端点
  只接受SDP中地址的包,关闭远端端点学习功能。
  严格端点地址
  执行一次远端端点学习,识别出远端端点后,将只转发此端点的包。
  端点开放模式
  转发过程中会重学习,可能导致远端端点的切换。
  4  近端防火墙
  当SBC处于防火墙之内时,就构成了近端防火墙模式。由于近端防火墙/NAT的存在,防火墙和SBC均需要做一些配置才能够完成穿透功能。
  逻辑结构
  近端防火墙的示意结构如下图:
  如下图,外部网络处于防火墙内部也是比较常见的场景,此情况也归类为近端防火墙,要求是相同的。
  注意:
  近端防火墙尽量使单层防火墙,如果是多层防火墙,可能会涉及到每层防火墙的修改,导致维护上的问题。
  远端设备是否在防火墙内,不影响近端防火墙的逻辑结构。
  一般将毅航互联SBC作为服务端,远端设备作为客户端,便于建立和维持互通。
  防火墙配置
  需要将SBC的地址映射到防火墙的外网,并且可以只开放信令端口和媒体端口段。映射建议采用简单的开端口模式(有些叫开服务),避免复杂的IP地址替换之类的策略,避免对原始数据的修改,从而影响穿透的效果。
  注意:
  防火墙开端口不修改防火墙的安全和过滤规则,不要降低防火墙的安全要求。
  建议打开的SIP信令端口和SBC上配置的信令端口相同,减少问题查找时的转换。
  媒体端口需要开放一个端口段,缺省为40000~60000。可以根据并发(一通音频呼叫需要两个UDP端口)量调整端口段的范围,此值必须和SBC上的配置一致。
  上述端口转发的规则是一一对应的。也就是防火墙40000端口收到包,需要转发到SBC的40000端口,其他依次类推。
  SBC信令配置
  需除了在防火墙外网配置信令的IP和端口外,还需要在对接的SBC SIP栈上配置相应的信息,用于在送给远端设备的信令中反映出这种变化。要在SIP栈上面进行的配置如下图:
  SBC媒体配置
  目前采用修改配置文件的方式,后续会在web上进行修改。
  三  问题分析
  日志分析
  当出现问题时,建议首先进行日志分析,确认SBC收到呼叫,并且动作正常。
  抓包分析
  由于在防火墙上抓包可能会比较困难,首先需要在SBC上进行抓包,分析呼叫流程是否正确,媒体流是否存在?
  在SBC上确认正常后,就需要防火墙配合抓包,此时就需要防火墙对内外网均抓包,查看问题是出在外网、内网还是防火墙的转发规则。
 
【免责声明】本文仅代表作者本人观点,与CTI论坛无关。CTI论坛对文中陈述、观点判断保持中立,不对所包含内容的准确性、可靠性或完整性提供任何明示或暗示的保证。请读者仅作参考,并请自行承担全部责任。

专题

CTI论坛会员企业