一、綜述
隨著IP網(wǎng)絡(luò)建設(shè)的大發(fā)展，現(xiàn)在基于IP網(wǎng)絡(luò)環(huán)境下的視頻通信應(yīng)用越來越普遍，不但一部分政府部門、大型企業(yè)采用基于IP的網(wǎng)絡(luò)傳輸環(huán)境構(gòu)筑專用的視頻通信網(wǎng)，商業(yè)、企業(yè)更加傾向于將他們的視頻通信系統(tǒng)構(gòu)建在基于IP的傳輸環(huán)境中，以降低建設(shè)成本，特別是使用成本。
目前符合國際標(biāo)準(zhǔn)的視頻通信應(yīng)用模式，主要為遵循ITU組織H.323標(biāo)準(zhǔn)的系統(tǒng)，以及遵循ITEF組織SIP的系統(tǒng)。
經(jīng)過幾年的實(shí)際應(yīng)用考驗(yàn)和不斷改進(jìn)，基于H.323的應(yīng)用模式的應(yīng)用體系非常成熟，相關(guān)產(chǎn)品在穩(wěn)定性，連接的安全、可靠性等方面可以完全滿足市場，特別是專業(yè)視頻/多媒體會(huì)議的要求。由于H.323標(biāo)準(zhǔn)體系非常完備和嚴(yán)格，從而確保了基于H.323的眾多產(chǎn)品所具有的良好互通互聯(lián)性，這一點(diǎn)為H.323協(xié)議的大范圍推廣奠定了技術(shù)基礎(chǔ)�；赟IP的視頻應(yīng)用是隨著NGN的需求而日益得到市場的重視，特別是在3G背景環(huán)境下，越來越多的廠商相繼推出了基于SIP的視頻通信產(chǎn)品，以滿足個(gè)人用戶、移動(dòng)用戶對視頻通信的需求。SIP提出的目的是在基于Internet環(huán)境中，實(shí)現(xiàn)多媒體通信的應(yīng)用，它和HTTP、SMTP等ITEF的建議一樣，是一種基于“文本”的通信協(xié)議。結(jié)構(gòu)簡單，便于擴(kuò)充、擴(kuò)展是SIP與H.323體系的明顯區(qū)別。
二、視頻通信在防火墻環(huán)境下的應(yīng)用
和所有的網(wǎng)絡(luò)應(yīng)用一樣，無論基于H.323標(biāo)準(zhǔn)還是基于SIP的，視頻通信系統(tǒng)都不可避免地受到所依托網(wǎng)絡(luò)環(huán)境地限制。這一點(diǎn)不但影響到視頻產(chǎn)品選型、系統(tǒng)結(jié)構(gòu)方案，同時(shí)對網(wǎng)絡(luò)環(huán)境本身是否需要進(jìn)一步改造都有著比較大的影響。在所有影響因素中，除了網(wǎng)絡(luò)環(huán)境傳輸條件本身外，如何有效解決“防火墻”對視頻系統(tǒng)是所有用戶，建設(shè)方以及視頻廠商乃至網(wǎng)絡(luò)廠商所不得不面對的一個(gè)“難題”。
從協(xié)議中對握手的定義來看，無論是H.323還是SIP，這個(gè)過程和保證網(wǎng)絡(luò)安全的“防火墻”、NAT等機(jī)制是一對矛盾體。
對于目前經(jīng)常使用的“防火墻”而言，其為保證墻內(nèi)內(nèi)部網(wǎng)絡(luò)的安全性，其工作機(jī)制一般是屏蔽掉外部數(shù)據(jù)對受保護(hù)網(wǎng)絡(luò)中計(jì)算機(jī)的數(shù)據(jù)訪問，而只開放少許的指定地址和通信端口，以保證Internet服務(wù)器等設(shè)備正常工作。
NAT則通過地址轉(zhuǎn)換一方面保護(hù)了內(nèi)部網(wǎng)絡(luò)中各計(jì)算機(jī)被外部惡意數(shù)據(jù)的直接破壞，另一方面也可以保證內(nèi)部局域網(wǎng)絡(luò)對有限公網(wǎng)地址的有效利用。
就目前企事業(yè)單位、國家機(jī)關(guān)的現(xiàn)有網(wǎng)絡(luò)狀況來看，標(biāo)準(zhǔn)的網(wǎng)絡(luò)安全防護(hù)措施一般是“防火墻”和NAT是同時(shí)使用，而且在所保護(hù)網(wǎng)絡(luò)中開辟出一個(gè)DMZ區(qū)域供Internet和E-mail等服務(wù)器使用，而將所有辦公計(jì)算機(jī)放置于受保護(hù)的內(nèi)網(wǎng)，位于外網(wǎng)的數(shù)據(jù)只能到達(dá)位于DMZ區(qū)域的設(shè)備，而不能直接訪問位于內(nèi)網(wǎng)的設(shè)備，它們之間的數(shù)據(jù)而是通過位于DMZ區(qū)的各種服務(wù)器來實(shí)現(xiàn)。如圖1所示，這樣位于外網(wǎng)的視頻設(shè)備A是不能直接和位于內(nèi)網(wǎng)的設(shè)備B直接進(jìn)行通信的。對于一般的數(shù)據(jù)應(yīng)用而言，在這種網(wǎng)絡(luò)結(jié)構(gòu)下，位于內(nèi)網(wǎng)的計(jì)算機(jī)可以訪問外網(wǎng)的設(shè)備。但和常規(guī)的網(wǎng)絡(luò)應(yīng)用不同，基于H.323或SIP的視音頻通信設(shè)備通信時(shí)，在握手的同時(shí)，發(fā)出呼叫申請的一端將自己本身的地址包括在有效的數(shù)據(jù)包中，這樣在如圖1所示的環(huán)境中，設(shè)備B向A發(fā)出一個(gè)呼叫申請，A要根據(jù)數(shù)據(jù)包中的有效地址發(fā)出應(yīng)答信息，而這個(gè)有效地址是一個(gè)內(nèi)網(wǎng)的“私有”地址，該應(yīng)答會(huì)被“防火墻”有效屏蔽，由于在指定的時(shí)間周期不能得到A端的應(yīng)答信息，在B端會(huì)顯示呼叫被拒絕。即使通過開放端口的手段后，A端的應(yīng)答信息可以到達(dá)B端，建立連接。對于有嚴(yán)格合法性，“同源性”檢查的H.323系統(tǒng)而言，視音頻數(shù)據(jù)可以從B發(fā)送到A，但A的視音頻信號難以到達(dá)B，這種現(xiàn)象在具體的視頻通信網(wǎng)絡(luò)建設(shè)過程中會(huì)經(jīng)常看到。
為有效解決在有安全機(jī)制的網(wǎng)絡(luò)環(huán)境中的視頻應(yīng)用，網(wǎng)絡(luò)設(shè)備商已做了大量工作，相繼推出了一些支持H.323 / SIP的防火墻產(chǎn)品，而視頻通信廠商則對標(biāo)準(zhǔn)H.323/SIP產(chǎn)品和系統(tǒng)體系加以擴(kuò)充，推出了可以在NAT/防火墻環(huán)境中使用的視頻產(chǎn)品。
下面就幾種目前常見的解決方案進(jìn)行簡單介紹：
�。�1）開放網(wǎng)絡(luò)/VPN
這種方法是直接將視頻設(shè)備放置在DMZ區(qū)或直接放置在外網(wǎng)，這種辦法不需要對于現(xiàn)有網(wǎng)絡(luò)進(jìn)行大的改造，但這是基本喪失對視頻產(chǎn)品進(jìn)行網(wǎng)絡(luò)安全保護(hù)為代價(jià)的，同時(shí)由于和內(nèi)網(wǎng)之間原有的“隔絕”沒有消除，難以實(shí)現(xiàn)到桌面的視頻應(yīng)用。這種辦法比較適合在全網(wǎng)有較好的安全保障的專網(wǎng)使用，或在VPN內(nèi)部使用。
�。�2）選用支持NAT的視頻產(chǎn)品
由于H.323產(chǎn)品在呼叫信息的有效數(shù)據(jù)包中包含了本地的地址信息，在經(jīng)過NAT轉(zhuǎn)換后，被邀請端設(shè)備難以給予有效應(yīng)答，因而部分H.323產(chǎn)品通過在呼叫過程中將有效的NAT映射地址取代本地私有地址來完成呼叫應(yīng)答，解決了地址解析問題。如VTEL公司的VISTA系列產(chǎn)品，不但可以支持NAT的地址解析，還可以指定NAT端口，便于網(wǎng)絡(luò)設(shè)置。這種方案對單一NAT機(jī)制比較有效，如ADSL等PPPOE網(wǎng)絡(luò)環(huán)境下，可以不附加其他網(wǎng)絡(luò)或H.323設(shè)備，就可以解決問題。
�。�3）代理服務(wù)器
H.323代理服務(wù)器是為解決防火墻/NAT環(huán)境下，實(shí)現(xiàn)H.323通信的一種“非標(biāo)準(zhǔn)”H.323設(shè)備，在標(biāo)準(zhǔn)的H.323的系統(tǒng)中沒有它的嚴(yán)格意義的定位。和Internet代理服務(wù)器一樣，它同樣被置于網(wǎng)絡(luò)的DMZ區(qū)，在實(shí)際呼叫過程中所有的內(nèi)外網(wǎng)的呼叫都通過它來“中繼”，既代理服務(wù)器將一個(gè)呼叫轉(zhuǎn)換成為由它發(fā)起的2個(gè)呼叫來完成，從而繞過了防火墻的限制。
使用代理服務(wù)器不需要防火墻/NAT設(shè)備以及H.323設(shè)備的特殊支持，實(shí)現(xiàn)比較容易，但由于代理服務(wù)器本身能力的限制，對呼叫數(shù)量以及數(shù)據(jù)交互量的規(guī)模都有一定的影響，同時(shí)使用H.323代理服務(wù)器對視頻網(wǎng)絡(luò)建設(shè)成本的影響也是需要根據(jù)實(shí)際情況考慮的一個(gè)問題。如當(dāng)本地只有一臺(tái)視頻終端的情況，使用代理服務(wù)器不是一個(gè)經(jīng)濟(jì)的解決方案。
相對于H.323代理服務(wù)器，SIP的靈活性使得SIP代理服務(wù)器解決方案更為簡單靈活，通過位于公網(wǎng)的一個(gè)代理/注冊服務(wù)器可以較為簡單和便宜地解決這個(gè)問題。目前Microsoft的MSN就是一個(gè)比較好的應(yīng)用實(shí)例。
�。�4）使用應(yīng)用層網(wǎng)關(guān)（ALG）
應(yīng)用層網(wǎng)關(guān)也就是具有協(xié)議分析功能的防火墻產(chǎn)品，通過這些防火墻在判斷數(shù)據(jù)是否可以時(shí)，不是簡單地對IP數(shù)據(jù)包的包頭進(jìn)行分析，而是要對數(shù)據(jù)包中的具體數(shù)據(jù)進(jìn)行相應(yīng)的協(xié)議分析，并對視音頻通信過程中所需求的數(shù)據(jù)通道進(jìn)行動(dòng)態(tài)打開/關(guān)閉，以保證視音頻通信的正常進(jìn)行。
現(xiàn)在許多網(wǎng)絡(luò)設(shè)備商推出了采用ALG支持H.323和SIP的產(chǎn)品，可以在新建視音頻網(wǎng)絡(luò)時(shí)，或進(jìn)行網(wǎng)絡(luò)改造時(shí)考慮。
�。�5）視頻網(wǎng)關(guān)
為在標(biāo)準(zhǔn)H.323框架下，解決防火墻/NAT對視頻通信的影響，出現(xiàn)了一種“變形”的MCU，如圖3所示。該產(chǎn)品一般由2個(gè)獨(dú)立的網(wǎng)絡(luò)接口分別和內(nèi)網(wǎng)和外網(wǎng)連接，位于內(nèi)外網(wǎng)的H.323設(shè)備分別和對應(yīng)的端口進(jìn)行連接，而視音頻數(shù)據(jù)的交換則通過MCU本身來實(shí)現(xiàn)。采用該類產(chǎn)品在構(gòu)造視音頻通信網(wǎng)時(shí)，不需對網(wǎng)絡(luò)結(jié)構(gòu)進(jìn)行改造，實(shí)現(xiàn)方法比較直接，簡單。如VTEL公司的Codian MCU是這種產(chǎn)品的一個(gè)代表，采用雙工作端口模式，不需要對內(nèi)外網(wǎng)的規(guī)模進(jìn)行預(yù)先定義，也不會(huì)對MCU總的處理能力有所影響，有較好的實(shí)際應(yīng)用效果。
以上的幾種方法是目前的幾種經(jīng)�？赡苁褂玫慕鉀Q防火墻/NAT環(huán)境下實(shí)現(xiàn)視音頻通信的方法，這些方法之間不是相互獨(dú)立的，在一個(gè)實(shí)際的應(yīng)用中可根據(jù)各個(gè)通信點(diǎn)的實(shí)際網(wǎng)絡(luò)狀態(tài)，使用情況以及建設(shè)成本等多方面因素進(jìn)行綜合考慮。
三、結(jié)束語
防火墻/NAT是視音頻通信網(wǎng)絡(luò)建設(shè)使用中必須面對的一個(gè)問題，相對于H.323而言，SIP的解決方案更加靈活，隨著H.323和SIP之間可能的融和，我們也許在不遠(yuǎn)的將來看到更加靈活和經(jīng)濟(jì)的解決方案。
