華北石油通信公司 姚軍 張金雙 李宏瑞
摘要：本文從華北油田專網(wǎng)的特點(diǎn)及視頻會(huì)議系統(tǒng)建設(shè)需求入手，詳細(xì)介紹了復(fù)雜專網(wǎng)環(huán)境下，如何解決在同一視頻會(huì)議系統(tǒng)下的混網(wǎng)混速問題，分析了傳統(tǒng)視頻會(huì)議系統(tǒng)與IP網(wǎng)絡(luò)視頻會(huì)議系統(tǒng)級(jí)聯(lián)時(shí)存在的問題以及如何解決等。
關(guān)鍵詞：混網(wǎng)混速NAT 防火墻穿越 VPN
1 引言
華北油田因?yàn)樾袠I(yè)自身特點(diǎn)，地域遼闊、人員分散，區(qū)域跨度大，在全國(guó)各地乃至國(guó)外都有華北油田的分支機(jī)構(gòu)。為了節(jié)約時(shí)間、降低成本、提高效率、打破地域的界限，華北油田在冀中地區(qū)即油田專用傳輸網(wǎng)所及的11個(gè)礦區(qū)建設(shè)了一套視頻會(huì)議系統(tǒng)，并且華北油田任丘礦區(qū)設(shè)有集團(tuán)總公司視頻會(huì)議分會(huì)場(chǎng)。隨著油田生產(chǎn)的需要，在冀中地區(qū)以外如內(nèi)蒙、新疆等油田專網(wǎng)達(dá)不到的4個(gè)二級(jí)單位，準(zhǔn)備建立一套基于IP網(wǎng)絡(luò)的視頻會(huì)議系統(tǒng)。并通過兩套視頻會(huì)議系統(tǒng)的級(jí)聯(lián)，構(gòu)建一個(gè)完整的視頻會(huì)議系統(tǒng)，使華北油田任何一個(gè)礦區(qū)或分支機(jī)構(gòu)，無論通過專網(wǎng)還是公網(wǎng)，都可以通過視頻進(jìn)行有效、直觀的交流和溝通。
華北油田各單位分布示意圖如下：
2 系統(tǒng)的要求及問題、分析
2.1 系統(tǒng)建設(shè)需求
華北油田在2003年建設(shè)的一套基于H.320的視頻會(huì)議系統(tǒng)，解決了華北油田冀中地區(qū)各二級(jí)單位視頻會(huì)議的需求。隨著油田生產(chǎn)的快速發(fā)展，華北油田在全國(guó)各地施工單位及分支機(jī)構(gòu)的增加，原有視頻會(huì)議系統(tǒng)已不能滿足現(xiàn)有的會(huì)議要求，因此華北油田于2005年又新建一套基于IP網(wǎng)絡(luò)的視頻會(huì)議系統(tǒng)。
要求兩套不同廠家的系統(tǒng)能夠進(jìn)行級(jí)聯(lián)，同時(shí)能支持集團(tuán)公司視頻會(huì)議，并能召開混網(wǎng)混速會(huì)議。
2.2 系統(tǒng)建設(shè)存在問題分析
兩套系統(tǒng)級(jí)聯(lián)，一套基于H.320協(xié)議，一套基于H.323協(xié)議，并且由于兩套系統(tǒng)的帶寬、速率各不相同，所以要求能夠召開混網(wǎng)混速會(huì)議，這在理論上沒有任何問題。整套系統(tǒng)還要求終端無論位于公網(wǎng)、單級(jí)私網(wǎng)還是多級(jí)私網(wǎng)不同級(jí)別的不同私網(wǎng)中，彼此之間均可以通信；而且，所有的終端即可以作為主叫方也可以作為被叫方；能同時(shí)完成媒體流和信令流的穿越；終端位于不同的地址域內(nèi)，其媒體流必須通過相關(guān)的NAT設(shè)備；穿越方案的實(shí)施應(yīng)盡量不影響系統(tǒng)網(wǎng)管的工作，應(yīng)該盡量少的影響到網(wǎng)絡(luò)可靠性；穿越方案不能降低現(xiàn)有H.323多媒體系統(tǒng)的網(wǎng)絡(luò)安全；同時(shí)在可能的情況下，應(yīng)能夠考慮提供某些安全措施，因?yàn)樵谝曨l會(huì)議終端在公網(wǎng)上的安全性不高。
華北油田冀中地區(qū)屬于華北石油通信公司油田專網(wǎng)應(yīng)用范圍之內(nèi)，采用E1專線的終端都可以順利連接，只有一個(gè)會(huì)場(chǎng)因?yàn)樘厥庖蟛捎肐P方式，但也是專線；冀中地區(qū)以外的各外圍施工單位及分支機(jī)構(gòu)都是租用當(dāng)?shù)睾献骰锇榈乃骄W(wǎng)或當(dāng)?shù)仉娦挪块T的線路，對(duì)于電信部門的公網(wǎng)線路，都是獨(dú)立的局域網(wǎng)，直接連接到Internet上，而當(dāng)?shù)睾献骰锇榈木钟蚓W(wǎng)，由于IPv4地址緊張和網(wǎng)絡(luò)安全等問題，私網(wǎng)上普遍放置了NAT、防火墻設(shè)備，使視頻終端位于私網(wǎng)內(nèi)部，尤其新疆塔里木項(xiàng)目指揮部所使用網(wǎng)絡(luò)還是塔里木油田局域網(wǎng)內(nèi)的1個(gè)子網(wǎng)。而且原有視頻會(huì)議系統(tǒng)不支持混速，即所有會(huì)議必須都以同一速率開視頻會(huì)議。
其關(guān)鍵在于目前不同私網(wǎng)內(nèi)大部分NAT和防火墻設(shè)備的存在，阻斷了包括H.323在內(nèi)的多種多媒體通信協(xié)議，導(dǎo)致通信雙方的視頻通道無法正常建立。另外，防火墻設(shè)備在沒有內(nèi)網(wǎng)發(fā)出相應(yīng)消息時(shí)也會(huì)阻止來自于外網(wǎng)的消息，導(dǎo)致視頻通信失敗。
二連、西安、北戴河3地局域網(wǎng)租用當(dāng)?shù)?a class="channel_keylink" href="/search.asp">電信或網(wǎng)通IP線路，組成自己的私網(wǎng)，只有塔指使用塔里木油田局域網(wǎng)中的子網(wǎng)，并且各地網(wǎng)絡(luò)所使用私網(wǎng)IP地址段各不相同。因此，H.323協(xié)議的NAT、防火墻穿越等問題成為開通視訊會(huì)議首需解決的問題之一。
3 解決方案
對(duì)于原有系統(tǒng)不支持混速問題，很好解決，只要升級(jí)系統(tǒng)即可，通過對(duì)舊系統(tǒng)的升級(jí)，兩套系統(tǒng)可以同時(shí)開2M和768K、384K等多種速率的混速會(huì)議。H.320與H.323兩套不同協(xié)議系統(tǒng)之間級(jí)聯(lián)也不存在太多問題。
對(duì)于VPN轉(zhuǎn)換及防火墻穿越問題，經(jīng)過多次的測(cè)試，最后決定采用視頻終端+VPN捆綁的技術(shù)方案，考慮到固定的IP地址不好申請(qǐng)，故使用了支持ADSL+VPN或LAN+VPN的接入方式。
華北油田視頻會(huì)議所采用的VPN是集成NAT和防火墻功能的網(wǎng)關(guān)硬件設(shè)備，內(nèi)置支持H.323協(xié)議的NAT模塊，由該模塊完成H.323NAT的地址翻譯轉(zhuǎn)換功能，進(jìn)行地址翻譯和管理，然后轉(zhuǎn)發(fā)給防火墻，這樣既可以使用戶原有安全策略、上網(wǎng)方式保持不變，又不用更改用戶原有私網(wǎng)。方案不僅不會(huì)降低現(xiàn)有H.323多媒體系統(tǒng)的網(wǎng)絡(luò)安全，同時(shí)在可能的情況下，還考慮提供了某些安全措施。在組建視頻會(huì)議系統(tǒng)時(shí)，設(shè)計(jì)使用VPN技術(shù)，讓各節(jié)點(diǎn)間傳輸?shù)臄?shù)據(jù)均通過底層加密，采用128位AES加密VPN隧道，并且通過專用的隧道路由傳輸，可以有效隔絕來自外部網(wǎng)絡(luò)的攻擊，并且可以杜絕信息在傳輸過程中可能的泄漏情況，保證網(wǎng)關(guān)/客戶端和策略中心間的配置數(shù)據(jù)、日志數(shù)據(jù)和控制數(shù)據(jù)的安全。如：為了防止病毒和黑客的攻擊，除了標(biāo)準(zhǔn)的用戶名、密碼接入認(rèn)證之外，同時(shí)提供硬件捆綁的接入認(rèn)證，采用硬件的特殊屬性以及USB口的DEKY作為雙重接入身份驗(yàn)證，指定特定用戶訪問局域網(wǎng)的特定資源，只有總部授權(quán)的硬件設(shè)備和硬件DKEY才能允許接入；這樣有效防止各種黑客攻擊。另外還采用了自主中心控制系統(tǒng)，不需要專門的第三方服務(wù)提供商進(jìn)行動(dòng)態(tài)DNS尋址，所有功能、權(quán)鑒都在本地服務(wù)器上完成。
而且針對(duì)臨時(shí)駐外辦事處、Internet接入方式復(fù)雜的情況，即有電信線路，又有網(wǎng)通線路，而且視頻通信本身還具有：信息量大、傳輸帶寬高、對(duì)網(wǎng)絡(luò)性能要求較高等特征，所以采用多線路捆綁技術(shù)。在主會(huì)場(chǎng)所在地采用雙線路出口，對(duì)外圍使用ADSL的會(huì)場(chǎng)，采用兩條ADSL線路上網(wǎng)方式來開視頻會(huì)議，這樣對(duì)寬帶質(zhì)量不穩(wěn)定的會(huì)場(chǎng)，可以起到保證帶寬的作用。
方案組網(wǎng)示意圖如下：
目前這套系統(tǒng)不僅可以擁有眾多的會(huì)場(chǎng)數(shù)量（按全部384K帶寬下開會(huì)，可支持384個(gè)會(huì)場(chǎng)），并且可以實(shí)現(xiàn)雙視頻流發(fā)送；同時(shí)支持專網(wǎng)、互聯(lián)網(wǎng)、外網(wǎng)和內(nèi)網(wǎng)融合應(yīng)用，公私網(wǎng)穿越技術(shù)，低帶寬傳輸，三級(jí)級(jí)聯(lián)等先進(jìn)技術(shù)；整個(gè)方案實(shí)現(xiàn)了資源的統(tǒng)一調(diào)度、用戶集中管理、會(huì)議集中控制，并提供了完善的號(hào)碼編址體系，注重了系統(tǒng)的可靠性、擴(kuò)展性和設(shè)備的兼容性，使建成后的系統(tǒng)除了具有較高的會(huì)議圖象及話音質(zhì)量外，還有使用靈活、控制簡(jiǎn)單、統(tǒng)一管理的特點(diǎn)，還支持桌面?zhèn)魉汀㈦p屏顯示、速率和協(xié)議適配、多畫面等功能。
4 結(jié)束語(yǔ)
視頻通信中的NAT/Firewall穿越是一個(gè)非常普遍的問題，因?yàn)樯婕暗木W(wǎng)絡(luò)情況復(fù)雜多樣，現(xiàn)有的解決方案和技術(shù)眾多，因此一個(gè)成功的應(yīng)用方案，對(duì)運(yùn)營(yíng)商建設(shè)下一代網(wǎng)絡(luò)并普及多媒體增值業(yè)務(wù)，提供良好的借鑒作用。
行業(yè)企業(yè)市場(chǎng)一直是僅次于政府的視頻會(huì)議第二大市場(chǎng)，專網(wǎng)專用也正好符合企業(yè)內(nèi)部的宗旨，在企業(yè)的遠(yuǎn)程教育和培訓(xùn)、企業(yè)內(nèi)部的實(shí)時(shí)溝通、工作匯報(bào)、內(nèi)部外部遠(yuǎn)程項(xiàng)目的合作等需求上，都存在著良好的應(yīng)用前景。
