專利名稱：VoIP應(yīng)用穿越防火墻的方法
技術(shù)領(lǐng)域：
本發(fā)明涉及一種網(wǎng)絡(luò)通訊穿越防火墻的方法，尤其是穿越寬帶城域網(wǎng)或企業(yè)網(wǎng)中防火墻的方法，屬于網(wǎng)絡(luò)通訊技術(shù)領(lǐng)域。
對于VoIP技術(shù)的大規(guī)模應(yīng)用，當(dāng)前存在的一個主要障礙就是很多VoIP解決方案不能順利地與某些用于禁止端對端分組(包)流通過的網(wǎng)絡(luò)實體共存。國際上權(quán)威的因特網(wǎng)工程任務(wù)組(IETF)給這類實體取名為“middlebox”(中間盒)，我國主要應(yīng)用的這類中間盒是指防火墻(firewall)和網(wǎng)址轉(zhuǎn)換器(NAT)。例如在我國迅速普及和廣泛發(fā)展的寬帶城域網(wǎng)、企業(yè)網(wǎng)中普遍采用了網(wǎng)址轉(zhuǎn)換器和防火墻。由于VoIP技術(shù)采用的協(xié)議無法順利通過網(wǎng)址轉(zhuǎn)換器或防火墻，因而造成基于VoIP的IP電話產(chǎn)品無法在寬帶城域網(wǎng)或企業(yè)網(wǎng)中得以應(yīng)用。
為了實現(xiàn)本發(fā)明的目的，申請人對有關(guān)問題進(jìn)行了深入的分析思考，理出如下思路通常，網(wǎng)絡(luò)的運營商和企業(yè)都部署了防火墻，其主要目的是保護(hù)防火墻內(nèi)部的計算機(jī)不受外部網(wǎng)絡(luò)的攻擊影響。通過防火墻可以限定進(jìn)入網(wǎng)內(nèi)的數(shù)據(jù)包類型和流量(這種限定可以基于源IP地址、目的IP地址或端口號等簡單的規(guī)則)。更復(fù)雜些的規(guī)則(如FTP、HTTP)的限定則需要在防火墻上分析OSI的高層協(xié)議，因此付出性能上的代價。在防火墻上如果要設(shè)定信令流通過是非常簡單的，例如要保證SIP的信令通過，只需在防火墻上開放5060端口即可；對于H.323協(xié)議，需要開放的端口為1718或1719(發(fā)向網(wǎng)守的RAS消息所用端口)、1720(呼叫信令消息所用端口)。但是這樣的設(shè)定并不能完整地解決VoIP應(yīng)用穿越防火墻的問題，主要原因是語音的媒體流需要通過RTP協(xié)議來傳輸，而傳輸所需要的源端口和目的端口是動態(tài)確定的。因此通過防火墻上的簡單設(shè)定是無法完成的。
隨著Internet的快速膨脹，IPv4地址空間將處于嚴(yán)重耗盡的境況。為解決這個問題，人們設(shè)計出了網(wǎng)址轉(zhuǎn)換器(NAT)。NAT是置于兩網(wǎng)間的邊界，其功能是將外網(wǎng)可見的IP地址與內(nèi)網(wǎng)所用的地址相映射，這樣，每一受保護(hù)的內(nèi)網(wǎng)可重用特定范圍的IP地址(192.168.x.x)，而這些地址是不用于公網(wǎng)的。從外網(wǎng)來的含公網(wǎng)地址信息的數(shù)據(jù)包先到達(dá)NAT，NAT使用預(yù)設(shè)好的規(guī)則(其組元包含源地址、源端口、目的地址、目的端口、協(xié)議)來修改數(shù)據(jù)包，然后再轉(zhuǎn)發(fā)給內(nèi)網(wǎng)接受點。對于流出內(nèi)網(wǎng)的數(shù)據(jù)包也須經(jīng)過這樣的轉(zhuǎn)換處理。從安全性上來看NAT提供了對外隱藏內(nèi)網(wǎng)拓?fù)涞囊粋€手段，但也給VoIP應(yīng)用帶來巨大的麻煩。協(xié)議(H.323、SIP)消息包一般是在特定區(qū)段中內(nèi)嵌IP地址和端口號，而不是放置在IP包頭，這樣如果僅僅使用NAT，協(xié)議里的IP和端口號不能指向正確的地方。雖然可以利用應(yīng)用層網(wǎng)關(guān)(ALG)等類似的技術(shù)尋求解決方案，但是針對H.323這種采用的是ASN.1PER編碼格式的協(xié)議來說，需要支付非常高昂的代價。目前Internet上的主流語音通訊軟件，Netmeeting、Net2Phone都不支持穿越防火墻和NAT。
事實上，復(fù)雜網(wǎng)絡(luò)環(huán)境不外乎以下四中情況1、客戶端和服務(wù)器都在Internet上；2、服務(wù)器在Internet上，客戶端通過NAT或防火墻聯(lián)入；3、客戶端在Internet上，服務(wù)器通過NAT或防火墻聯(lián)入；4、客戶端和服務(wù)器都通過NAT或防火墻聯(lián)入。采用以下的方法可以使四種情況下基于IP的語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)，均可以順利的從服務(wù)器傳送到用戶客戶端，同時客戶端之間也能進(jìn)行可靠的直接通信。
申請人了解到，國內(nèi)市場上已經(jīng)出現(xiàn)了一種代理服務(wù)器。該代理服務(wù)器(型號為LS_IST_0030)可以建立一個TCP(Transmission Control Protocol)的網(wǎng)絡(luò)監(jiān)聽端口，如8010，并且響應(yīng)其它計算機(jī)的連接請求。當(dāng)一臺計算機(jī)(B)與其建立連接后，代理服務(wù)器可以執(zhí)行另一臺計算機(jī)(B)發(fā)出的以下兩種命令一是與其它計算機(jī)(C)建立TCP連接，另一個是建立一個UDP(User Datagram Protocol)的監(jiān)聽端口。如果命令是建立TCP連接，則代理服務(wù)器與計算機(jī)(C)建立TCP連接，并且完成計算機(jī)(B)和(C)之間的相互信息轉(zhuǎn)發(fā)；如果命令是建立一個UDP的監(jiān)聽端口，代理服務(wù)器就在本機(jī)上建立一個監(jiān)聽的UDP端口，此后代理服務(wù)器可以通過TCP連接將其它計算機(jī)發(fā)給這個UDP端口的信息返回給(B)。以上命令控制協(xié)議完全和Socks5的標(biāo)準(zhǔn)相同。這種現(xiàn)有的代理服務(wù)器可以通過遠(yuǎn)程控制，并且可以支持級聯(lián)的操作。
此外還有一種與代理服務(wù)器匹配的反向代理服務(wù)器(型號為LS_IST_0030F)，其工作流程與代理服務(wù)器正好相反，通常安裝在企業(yè)的內(nèi)部，并且和一個外部的代理服務(wù)器連接，用于完成級聯(lián)操作。
如科學(xué)合理地將代理服務(wù)器和反向代理服務(wù)器應(yīng)用于實現(xiàn)本發(fā)明的目的，則在各種復(fù)雜的網(wǎng)絡(luò)環(huán)境中均可使基于IP的語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)，順利的從服務(wù)器傳送到用戶客戶端；同時客戶端之間也能進(jìn)行可靠的直接通信。
實現(xiàn)本發(fā)明的基本技術(shù)解決方案為1、在Internet(國際互聯(lián)網(wǎng))服務(wù)器上設(shè)置代理服務(wù)器；2、當(dāng)客戶端和服務(wù)器都在Internet(公網(wǎng)地址而且沒有防火墻的阻礙)時，直接通過VoIP實現(xiàn)語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)的傳送；3、當(dāng)服務(wù)器在Internet上、客戶端通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟3-1、客戶端與代理服務(wù)器之間建立TCP隧道，即客戶端通過TCP連接到代理服務(wù)器；3-2、由代理服務(wù)器代理客戶端的UDP(User Datagram Protocol)數(shù)據(jù)包的輸入和輸出；3-3、服務(wù)器和代理服務(wù)器之間直接收發(fā)數(shù)據(jù)；即借助客戶端與代理服務(wù)器之間的TCP隧道過渡、最終實現(xiàn)客戶端與服務(wù)器之間UDP(User Datagram Protocol)數(shù)據(jù)包的發(fā)送和接收。
本發(fā)明更為完善的技術(shù)解決方案還包括4、在Intranet(企業(yè)內(nèi)部網(wǎng))服務(wù)器旁設(shè)置反向代理服務(wù)器；5、當(dāng)客戶端在Internet上、服務(wù)器通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟5-1、客戶端通過TCP連接到代理服務(wù)器；5-2、代理服務(wù)器將TCP連接延展到反向代理服務(wù)器；5-3、由反向代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出；5-4、反向代理服務(wù)器和服務(wù)器之間直接收發(fā)數(shù)據(jù)；即借助客戶端與兩級代理服務(wù)器之間的兩級TCP隧道過渡、最終實現(xiàn)客戶端與服務(wù)器之間UDP(User Datagram Protocol)數(shù)據(jù)包的發(fā)送和接收；6、當(dāng)客戶端和服務(wù)器都通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟6-1、客戶端通過TCP連接到代理服務(wù)器(其相互之間可以有防火墻或者HTTP代理服務(wù)器)；6-2、代理服務(wù)器將TCP連接延展到反向代理服務(wù)器；6-3、由反向代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出；6-4、反向代理服務(wù)器和服務(wù)器之間直接收發(fā)數(shù)據(jù)；即借助客戶端與兩級代理服務(wù)器之間的兩級TCP隧道過渡、最終實現(xiàn)客戶端與服務(wù)器之間UDP(User Datagram Protocol)數(shù)據(jù)包的發(fā)送和接收。
由此可見，本發(fā)明的技術(shù)方案巧妙解決了VoIP應(yīng)用穿越防火墻的問題，在復(fù)雜的網(wǎng)絡(luò)環(huán)境里，使基于IP的語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)，可以順利的從服務(wù)器傳送到用戶客戶端；同時客戶端之間也能進(jìn)行可靠的直接通信，從而徹底掃平了VoIP之類網(wǎng)絡(luò)技術(shù)推廣普及的障礙。實施之后，與現(xiàn)有技術(shù)相比，具有以下明顯優(yōu)越之處1、以支持語音的呼入和呼出目前有一些語音應(yīng)用雖然可以穿越防火墻，但其實現(xiàn)方法大多采用了私有的協(xié)議，所以無法接通其他第三方的軟件甚至是普通電話。本發(fā)明中的代理信令、媒體流完全符合國際認(rèn)可的IP電話規(guī)范，不但可以支持第三方IP電話產(chǎn)品，而且可以和電信級IP電話網(wǎng)關(guān)互通。2、支持各種網(wǎng)絡(luò)環(huán)境，甚至是多層的NAT網(wǎng)絡(luò)和防火墻嵌套以往采用私有協(xié)議的應(yīng)用無法穿越多層的防火墻和NAT網(wǎng)絡(luò)，不支持級連操作。本發(fā)明則可以穿越多層NAT和防火墻，幫助VoIP的信令和媒體流跨過阻礙順利進(jìn)行通訊。3、可根據(jù)不同的報文動態(tài)確定優(yōu)先級本發(fā)明可以動態(tài)地決定對不同媒體流的優(yōu)先級。如對視頻、音頻報文(處理這些報文需要的實時性較高)的響應(yīng)優(yōu)先級比較高，而對一般的數(shù)據(jù)報文則相對較低，這樣就可以保證通訊的實時性。4、可支持多個服務(wù)器之間的負(fù)載均衡本發(fā)明中的服務(wù)器支持多個服務(wù)器集群工作，并且進(jìn)行負(fù)載均衡。在處理大規(guī)模的語音應(yīng)用時，有可能有大量的媒體流穿越本發(fā)明中的服務(wù)器，造成相當(dāng)大的負(fù)載，尤其是對服務(wù)器IO和網(wǎng)絡(luò)帶寬的要求非常高。通過使用集群的工作方式，可以將多個服務(wù)器分布并行工作，就不會出現(xiàn)因為服務(wù)器的性能和帶寬造成的瓶頸問題。5、采用本發(fā)明的技術(shù)不會對企業(yè)的內(nèi)部網(wǎng)絡(luò)造成安全漏洞由于本發(fā)明中的服務(wù)器支持各種主流的操作系統(tǒng)平臺(Solaris、AIX、Linux、NT等)，用戶可以根據(jù)不同的安全要求選擇不同的系統(tǒng)平臺。而且服務(wù)器可以安放在公網(wǎng)上，一旦被攻破，也無法直接對企業(yè)的內(nèi)部網(wǎng)絡(luò)造成破壞。系統(tǒng)的安全性很高。6、本發(fā)明的技術(shù)也可以應(yīng)用在各種音頻、視頻和P2P(點對點)的系統(tǒng)中由于在這類應(yīng)用中，有可能在兩個相互獨立的網(wǎng)段傳送數(shù)據(jù)，而這兩個網(wǎng)段之間的連接是未知的，同樣面臨著防火墻和NAT的問題。采用本發(fā)明的技術(shù)顯然可以解決這類問題。
下面結(jié)合附圖對本發(fā)明的技術(shù)解決方案作進(jìn)一步的說明。


圖1是本發(fā)明的基本實施方案示意圖。
圖2是本發(fā)明一個具體實施例的示意圖。
第一種情況，當(dāng)客戶端和服務(wù)器都在Internet上，如圖1中①Client1到Server1的路徑。這是最簡單的一種情況，不需要代理，Client1和Server1之間直接收發(fā)數(shù)據(jù)，普通的VoIP應(yīng)用即可支持這種情況。
第二種情況，當(dāng)服務(wù)器在Internet上，客戶端通過NAT或防火墻聯(lián)入，如圖1中②所示Client2到Server1的路徑。這種情況下，客戶端不能接收服務(wù)器傳來的UDP數(shù)據(jù)包。由于在Internet服務(wù)器Server1旁邊放置了一臺代理服務(wù)器Proxy，并且客戶端Client2和代理服務(wù)器Proxy之間建立了TCP隧道，因此通過該隧道，客戶端Client2和服務(wù)器Server1之間可以發(fā)送和接收UDP數(shù)據(jù)包。換句話說，操作時，Client2通過TCP連接到Proxy，由其代理UDP數(shù)據(jù)包輸入和輸出，實現(xiàn)Server1和Proxy之間直接收發(fā)數(shù)據(jù)。
第三種情況，當(dāng)客戶端在Internet上，服務(wù)器通過NAT或防火墻聯(lián)入，如圖一中③所示Client1到Server2的路徑。這種情況下，服務(wù)器不能接收Internet上傳來的UDP數(shù)據(jù)包。由于在Internet服務(wù)器Server1旁邊放置了一臺代理服務(wù)器Proxy，在Intranet服務(wù)器Server2旁邊放置一臺反向代理服務(wù)器Proxy，并且客戶端Client1和兩級代理服務(wù)器之間建立了TCP隧道，因此通過兩級隧道，客戶端Client1和服務(wù)器Server2之間可以發(fā)送和接收UDP數(shù)據(jù)包?；蛘哒f，Client1通過TCP連接到Proxy，Proxy把連接延展到Proxy，再由Proxy代理Client1的UDP數(shù)據(jù)包輸入和輸出，實現(xiàn)Server2和Proxy之間直接收發(fā)數(shù)據(jù)。
第四種情況，當(dāng)客戶端和服務(wù)器都通過NAT或防火墻聯(lián)入，如圖一中④所示Client2到Server2的路徑。這種情況下，客戶端和服務(wù)器都不能接收Internet上傳來的UDP數(shù)據(jù)包。由于在Internet服務(wù)器Server1旁放置了一臺代理服務(wù)器Proxy，在Intranet服務(wù)器Server2旁邊放置了一臺反向代理服務(wù)器Proxy，并且客戶端Client2和兩級代理服務(wù)器之間建立了TCP隧道，通過兩級隧道，客戶端Client2和Intranet服務(wù)器Server2之間可以發(fā)送和接收UDP數(shù)據(jù)包。換言之，Client2通過TCP連接到Proxy(其相互之間可以有防火墻或者HTTP代理服務(wù)器)，Proxy把連接延展到Proxy，由Proxy代理Client2的UDP數(shù)據(jù)包輸入和輸出，實現(xiàn)Server2和Proxy之間直接收發(fā)數(shù)據(jù)。
由此可見，本實施方案囊括了各種復(fù)雜的網(wǎng)絡(luò)環(huán)境，使基于IP的語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)，可以順利的從服務(wù)器傳送到用戶客戶端。同時客戶端之間也可以籍此進(jìn)行可靠的直接通信。
另外，以應(yīng)用在北極星產(chǎn)品系列中的網(wǎng)絡(luò)電話——WebPhone為例。
WebPhone通過Internet撥打普通電話，這里的Internet用戶可能在一個防火墻或者使NAT的網(wǎng)絡(luò)環(huán)境中，如果需要在這種復(fù)雜的網(wǎng)絡(luò)環(huán)境中能正常通話，就可以使用本發(fā)明的技術(shù)，在Internet服務(wù)器Server1旁設(shè)置代理服務(wù)器iShuttle。如圖2所示1.對于直接連接在Internet上的WebPhone Client 2而言，由于沒有通過防火墻或者是NAT網(wǎng)絡(luò)，所以可以直接通過連接在Internet上的WebPhoneServer(網(wǎng)絡(luò)電話服務(wù)器)，建立起VoIP的連接。連接建立后，WebPhoneServer負(fù)責(zé)將媒體流和信令流交給媒體網(wǎng)關(guān)MG(Media Gateway)，再由媒體網(wǎng)關(guān)將H.323/SIP信令轉(zhuǎn)換成7號信令，并且根據(jù)實際情況，在信令建立后，對媒體流進(jìn)行轉(zhuǎn)換，建立與公共電話網(wǎng)(PSTN)的聯(lián)接，達(dá)到從計算機(jī)撥打普通電話的目的。
2.對于NAT Network中的WebPhone Client 1來說，由于媒體流沒有辦法通過防火墻和NAT網(wǎng)絡(luò)，所以在信令建立后，媒體流無法建立。在此情況下，WebPhone Client 1首先和位于Internet上的代理服務(wù)器iShuttle建立連接，再通過TCP協(xié)議建立信令流，媒體流的UDP協(xié)議通過TCP的連接在代理服務(wù)器iShuttle上重現(xiàn)出來，和WebPhone Server(信令流)以及MG(媒體流)通信，再由媒體網(wǎng)關(guān)將H.323/SIP信令轉(zhuǎn)換成7號信令，并且根據(jù)實際情況，在信令建立后，對媒體流進(jìn)行轉(zhuǎn)換，建立與公共電話網(wǎng)(PSTN)的聯(lián)接，達(dá)到從計算機(jī)撥打普通電話的目的。
權(quán)利要求
1.一種VoIP應(yīng)用穿越防火墻的方法，其特征在于包括1、在Internet服務(wù)器旁設(shè)置代理服務(wù)器；2、當(dāng)客戶端和服務(wù)器都在Internet上時，直接通過VoIP實現(xiàn)語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)的傳送；3、當(dāng)服務(wù)器在Internet上、客戶端通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟3-1、客戶端與代理服務(wù)器之間建立TCP隧道；3-2、由代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出；3-3、服務(wù)器和代理服務(wù)器之間直接收發(fā)數(shù)據(jù)。
2.根據(jù)權(quán)利要求1所述VoIP應(yīng)用穿越防火墻的方法，其特征在于還包括4、在企業(yè)內(nèi)部網(wǎng)服務(wù)器旁設(shè)置反向代理服務(wù)器；5、當(dāng)客戶端在Internet上、服務(wù)器通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟5-1、客戶端通過TCP連接到代理服務(wù)器；5-2、代理服務(wù)器將TCP連接延展到反向代理服務(wù)器；5-3、由反向代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出；5-4、反向代理服務(wù)器和服務(wù)器之間直接收發(fā)數(shù)據(jù)；6、當(dāng)客戶端和服務(wù)器都通過NAT或防火墻聯(lián)入時，執(zhí)行以下操作步驟6-1、客戶端通過TCP連接到代理服務(wù)器；6-2、代理服務(wù)器將TCP連接延展到反向代理服務(wù)器；6-3、由反向代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出；6-4、反向代理服務(wù)器和服務(wù)器之間直接收發(fā)數(shù)據(jù)。
3.根據(jù)權(quán)利要求2所述VoIP應(yīng)用穿越防火墻的方法，其特征在于所述代理服務(wù)器使用標(biāo)準(zhǔn)的Socks5通訊協(xié)議，各客戶端和所述代理服務(wù)器之間僅僅建立TCP的連接，在每個客戶端上配置一個Socks5 Client的協(xié)議棧。
4.根據(jù)權(quán)利要求1所述VoIP應(yīng)用穿越防火墻的方法，其特征在于所述服務(wù)器為網(wǎng)絡(luò)電話服務(wù)器，所述客戶端為網(wǎng)絡(luò)電話客戶端，當(dāng)其間的連接建立后，網(wǎng)絡(luò)電話服務(wù)器負(fù)責(zé)將媒體流和信令流交給媒體網(wǎng)關(guān)，再由媒體網(wǎng)關(guān)將H.323/SIP信令轉(zhuǎn)換成7號信令，在信令建立后，對媒體流進(jìn)行轉(zhuǎn)換，建立與公共電話網(wǎng)(PSTN)的聯(lián)接。
全文摘要
本發(fā)明涉及一種VoIP應(yīng)用穿越防火墻的方法，屬于網(wǎng)絡(luò)通訊技術(shù)領(lǐng)域。該方法的基本技術(shù)方案為在Internet服務(wù)器旁設(shè)置代理服務(wù)器；當(dāng)客戶端和服務(wù)器都在Internet上時，直接通過VoIP實現(xiàn)網(wǎng)絡(luò)數(shù)據(jù)的傳送；當(dāng)服務(wù)器在Internet上、客戶端通過NAT或防火墻聯(lián)入時，先在客戶端與代理服務(wù)器之間建立TCP隧道，再由代理服務(wù)器代理客戶端的UDP數(shù)據(jù)包的輸入和輸出，實現(xiàn)服務(wù)器和代理服務(wù)器之間直接收發(fā)數(shù)據(jù)。本發(fā)明巧妙解決了VoIP應(yīng)用穿越防火墻的問題，可以在復(fù)雜的網(wǎng)絡(luò)環(huán)境里，使基于IP的語音流、多媒體數(shù)據(jù)和其他網(wǎng)絡(luò)數(shù)據(jù)順利的從服務(wù)器傳送到用戶客戶端；同時客戶端之間也能進(jìn)行可靠的直接通信。
文檔編號H04L12/56GK1466344SQ0213782
公開日2004年1月7日 申請日期2002年6月21日 優(yōu)先權(quán)日2002年6月21日
發(fā)明者汪渝波 申請人:南京北極星軟件有限公司