NGN业务———NAT穿透技术

　　１ 背景

　　目前，ＮＧＮ正逐步从试验走向商用，在此过程中遇到了很多实际问题，特别是ＮＧＮ用户的接入问题。ＮＧＮ是一个基于分组网承载的网络，接入用户都是通过ＩＰ地址来寻址的，但当前网络的实际情况是，由于ＩＰ地址资源紧缺以及安全等原因，网上大量的企业网和驻地网基本都采用私有ＩＰ地址通过出口的ＮＡＴ（Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｉｏｎ，网络地址转换）／ＦＷ（Ｆｉｒｅ Ｗａｌｌ，防火墙）接入公网，而目前在ＩＰ上承载语音和视频的协议（如Ｈ.３２３、ＳＩＰ、ＭＧＣＰ、Ｈ２４８ 等），由于其本身的特点所决定，在私网用户接入应用中，这些协议的控制通道／媒体通道难以穿越传统的ＮＡＴ／ＦＷ 设备与公网进行互通，或者说目前的ＮＡＴ／ＦＷ大多支持ＨＴＴＰ的数据应用协议穿透，而不支持会话业务的控制与媒体ＮＡＴ／ＦＷ穿透。ＮＧＮ最大的好处就是能为用户提供丰富的业务，特别是能为企业用户提供语音、数据、视频融合的ＩＰ Ｃｅｎｔｒｅｘ业务，因此上面所提到的问题就成为目前开展ＮＧＮ业务最大的障碍，迫切需要解决。目前业界的解决方案有如下几种：

　　ＮＡＴ／ＡＬＧ（Ａｐｐｌｉｃａｔｉｏｎ Ｌａｙｅｒ Ｇａｔｅｗａｙ，应用层网关）方式；

　　ＭＩＤＣＯＭ（Ｍｉｄｄｌｅｂｏｘ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）方式；

　　ＳＴＵＮ（Ｓｉｍｐｌｅ Ｔｒａｖｅｒｓａｌ ｏｆ ＵＤＰ Ｔｈｒｏｕｇｈ Ｎｅｔｗｏｒｋ Ａｄｄｒｅｓｓ Ｔｒａｎｓｌａｔｏｒｓ，ＵＤＰ对ＮＡＴ的简单穿越）方式；

　　ＴＵＲＮ（Ｔｒａｖｅｒｓａｌ Ｕｓｉｎｇ Ｒｅｌａｙ ＮＡＴ，通过中继方式穿越ＮＡＴ）方式；

　　Ｆｕｌｌ Ｐｒｏｘｙ（信令代理＋媒体中继）方式。

　　２ 技术方案

　　２.１ ＮＡＴ／ＡＬＧ方式

　　普通的ＮＡＴ是通过修改ＵＤＰ或ＴＣＰ报文头部地址信息实现地址转换的，但部分承载于ＴＣＰ／ＵＤＰ的应用，如多媒体会话、文件共享、游戏等“端到端”的应用，在ＴＣＰ／ＵＤＰ负载中也需要携带地址信息。一般的方法是应用程序在负载中填写其自身地址，此地址信息在通过ＮＡＴ时被修改为ＮＡＴ上对外的地址。这就是我们常说的ＡＬＧ方式。

　　对于ＮＧＮ业务应用，ＡＬＧ需要支持对ＩＰ 语音和视频协议（Ｈ.３２３、ＳＩＰ、ＭＧＣＰ／Ｈ.２４８）的识别和对ＮＡＴ／ＦＷ的控制，以便使ＮＧＮ业务顺利穿越ＮＡＴ／ＦＷ。

　　ＮＡＴ／ＡＬＧ方式的应用组网的关键为：企业网／驻地网内部终端设备能穿透ＮＡＴ／ＡＬＧ注册到公网软交换上，通过软交换进行协议解析和呼叫处理。

　　公网软交换和企业网终端通过ＳＩＰ／Ｈ.３２３／ＭＧＣＰ／Ｈ.２４８ 协议互通，ＮＡＴ／ＡＬＧ需要识别ＳＩＰ／ Ｈ.３２３／ＭＧＣＰ／Ｈ.２４８协议信令并建立媒体流通道，以支持媒体流顺利穿越ＮＡＴ／ＦＷ。

　　对于ＡＬＧ应用来说，需要在应用业务安全要求上做一些折衷，因为ＡＬＧ 不能识别加密后的报文内容，必须保证报文采用明文传送，这使得报文在公网中传送时存在很大的安全隐患。

　　ＮＡＴ／ＡＬＧ是支持ＮＧＮ应用的一种最简单的方式，但由于网络已部署了大量的、不支持ＮＧＮ业务应用的ＮＡＴ／ＦＷ设备，因此我们不推荐采用这种方式，理由如下：

　　网上大量的ＮＡＴ／ＦＷ设备因不具备ＡＬＧ能力，需要更换或升级；

　　ＮＧＮ业务的ＡＬＧ生产厂商少，也没有一套产品特性需求基线；

　　ＮＡＴ／ＦＷ设备厂商一般不是ＩＰ业务领域的专业厂商，难以支持业务的变化（如ＳＩＰ的扩展多种多样）；

　　用户不愿意重新购买ＮＡＴ／ＦＷ设备，更无法判断各种ＡＬＧ的可行性；

　　用户普遍希望运营商在不改变已有网络设备（ＮＡＴ）的情况下就可以提供新的ＩＰ业务。

　　２.２ ＭＩＤＣＯＭ方式

　　与ＮＡＴ／ＡＬＧ不同的是，ＭＩＤＣＯＭ的框架结构采用可信的第三方（ＭＩＤＣＯＭ Ａｇｅｎｔ）对Ｍｉｄｄｌｅｂｏｘ （ＮＡＴ／ＦＷ ）进行控制的机制，应用业务识别智能也由Ｍｉｄｄｌｅｂｏｘ转移到外部的ＭＩＤＣＯＭ Ａｇｅｎｔ上，因此应用协议对Ｍｉｄｄｌｅｂｏｘ是透明的。

　　由于应用业务识别的智能从Ｍｉｄｄｌｅｂｏｘ转移到外部的ＭＩＤＣＯＭ Ａｇｅｎｔ上，因此根据ＭＩＤＣＯＭ 的架构，在不需要更改Ｍｉｄｄｌｅｂｏｘ基本特性的基础上，通过对ＭＩＤＣＯＭ Ａｇｅｎｔ的升级就可以支持更多的新业务，这是ＭＩＤＣＯＭ相对ＮＡＴ／ＡＬＧ方式的一个很大的优势。

　　在ＮＧＮ业务实际应用中，Ｍｉｄｄｌｅｂｏｘ功能可驻留在ＮＡＴ／ＦＷ中，通过软交换设备（即ＭＩＤＣＯＭ Ａｇｅｎｔ）实现对ＩＰ语音和视频协议（Ｈ.３２３、ＳＩＰ、ＭＧＣＰ／Ｈ.２４８）的识别和对ＮＡＴ／ＦＷ的控制，因此它可以作为ＮＧＮ业务穿越ＮＡＴ／ＦＷ的一个解决方案。

　　从安全性方面考虑，ＭＩＤＣＯＭ方式可支持控制报文和媒体流的加密，因此安全性比较高。

　　ＭＩＤＣＯＭ 方式的应用组网的关键为：公网软交换通过ＭＩＤＣＯＭ协议对私网边缘的ＮＡＴ／ＦＷ设备进行控制，软交换识别主、被叫侧的ＳＩＰ／Ｈ.３２３／ＭＧＣＰ／Ｈ.２４８协议，如主、被叫侧均为局内的私网用户，软交换需要通过ＭＩＤＣＯＭ协议控制主、被叫两侧的ＮＡＴ／ＦＷ，在ＮＡＴ／ＦＷ上创建了媒体流通道后，媒体流可顺利穿越ＮＡＴ／ＦＷ。

　　由于软交换设备上已经实现了对ＳＩＰ／Ｈ.３２３／ＭＧＣＰ／Ｈ.２４８协议的识别，因此只需在软交换和ＮＡＴ／ＦＷ设备上增加ＭＩＤＣＯＭ协议即可，而且以后新的应用业务识别将支持软交换所支持的一切功能。因此，这种方案是一种比较有前途的解决方案，但现有的ＮＡＴ／ＦＷ设备需升级以支持ＭＩＤＣＯＭ协议。

　　２.３ ＳＴＵＮ方式

　　解决ＮＧＮ中ＮＡＴ问题的另一种思路是：私网接入用户通过某种机制预先得到其地址对应在出口ＮＡＴ上的对外地址，然后直接填写出口ＮＡＴ上的对外地址，而不是私网内用户的私有ＩＰ地址，这样报文负载中的内容在经过ＮＡＴ时就无需被修改了，只需按普通ＮＡＴ流程转换报文头的ＩＰ地址即可，而此时负载中的ＩＰ地址信息和报文头地址信息是一致的。ＳＴＵＮ协议就是基于此思路来解决应用层地址转换问题的。

　　ＳＴＵＮ协议最大的优点是无需对现有的ＮＡＴ／ＦＷ设备做任何改动。由于实际的网络环境中已有大量的ＮＡＴ／ＦＷ，并且这些ＮＡＴ／ＦＷ并不支持ＶｏＩＰ的应用，因此若采用ＭＩＤＣＯＭ或ＮＡＴ／ＡＬＧ方式来解决此问题，则需要替换现有的ＮＡＴ／ＦＷ，这是不太容易实现的。除此之外，ＳＴＵＮ方式还可在多个ＮＡＴ串联的网络环境中使用，这也是ＭＩＤＣＯＭ方式无法做到的。

　　ＳＴＵＮ的局限性是：需要应用程序支持ＳＴＵＮ Ｃｌｉｅｎｔ的功能，即ＮＧＮ终端需要具备ＳＴＵＮ Ｃｌｉｅｎｔ的功能；不适合支持ＴＣＰ连接的穿越，因此不支持Ｈ?郾３２３ 应用协议；不支持ＮＧＮ业务对防火墙的穿越，也不支持对称ＮＡＴ（Ｓｙｍｍｅｔｒｉｃ ＮＡＴ）类型（在安全性要求较高的企业网中，出口ＮＡＴ通常就是这种类型）的穿越。

　　ＳＴＵＮ方式的应用组网的关键是：ＳＴＵＮ Ｓｅｒｖｅｒ必须放在公网中，也可以内嵌在公网软交换中。由于通过ＳＴＵＮ协议已在ＮＡＴ上预先建立媒体流的ＮＡＴ映射表项，因此媒体流可顺利穿越ＮＡＴ。

　　２.４ ＴＵＲＮ方式

　　ＴＵＲＮ方式解决ＮＡＴ问题的思路与ＳＴＵＮ相似，实际应用原理也基本相同。

　　ＴＵＲＮ应用方式采用ＴＵＲＮ Ｓｅｒｖｅｒ的地址和端口作为客户端对外的接收地址和端口，即私网用户发出的报文都要经过ＴＵＲＮ Ｓｅｒｖｅｒ进行Ｒｅｌａｙ转发。这种应用方式除了具有ＳＴＵＮ方式的优点外，还解决了ＳＴＵＮ应用无法穿透对称ＮＡＴ（Ｓｙｍｍｅｔｒｉｃ ＮＡＴ）以及类似的ＦＷ设备的问题（即无论企业网／驻地网出口为哪种类型的ＮＡＴ／ＦＷ，都可以实现ＮＡＴ的穿透），同时ＴＵＲＮ还支持基于ＴＣＰ的应用，如Ｈ.３２３协议。此外，ＴＵＲＮ Ｓｅｒｖｅｒ控制分配地址和端口，能分配ＲＴＰ／ＲＴＣＰ地址对（ＲＴＣＰ端口号=ＲＴＰ端口号+１）作为本端客户的接收地址，从而避免了ＳＴＵＮ应用方式下出口ＮＡＴ对ＲＴＰ／ＲＴＣＰ地址端口号的任意分配。

　　ＴＵＲＮ的局限性是：需要终端支持ＴＵＲＮ Ｃｌｉｅｎｔ，且所有报文都必须经过ＴＵＲＮ Ｓｅｒｖｅｒ转发，增大了包的延迟和丢包的可能性。

　　２.５ Ｆｕｌｌ Ｐｒｏｘｙ方式

　　Ｆｕｌｌ Ｐｒｏｘｙ方式通过对私网内用户呼叫的信令和媒体同时做Ｒｅｌａｙ来实现出口ＮＡＴ／ＦＷ的穿越。

　　当私网终端呼叫信令到达Ｆｕｌｌ Ｐｒｏｘｙ时，Ｆｕｌｌ Ｐｒｏｘｙ将对呼叫信令协议中携带的ＲＴＰ／ＲＴＣＰ信息进行解析与处理，在记录用户私网内ＲＴＰ／ＲＴＣＰ地址和端口号的同时，修改ＲＴＰ／ＲＴＣＰ私网地址信息为Ｆｕｌｌ Ｐｒｏｘｙ本身对外的公网ＩＰ地址，并修改媒体流端口为Ｆｕｌｌ Ｐｒｏｘｙ上分配的外部端口，然后将呼叫信令发送到软交换或对端。这样呼叫信令以及媒体流就可以通过Ｆｕｌｌ Ｐｒｏｘｙ在主被叫之间进行中转了。

　　在Ｆｕｌｌ Ｐｒｏｘｙ 方式下，无需对现有的ＮＡＴ设备做任何改动，采用普通的设备即可，同时私网内的终端也无需支持ＳＴＵＮ和ＴＵＲＮ协议即可开展ＮＧＮ业务，这是其较大的一个优势。它的局限性同ＴＵＲＮ一样，增加了包的延时和丢包的可能性。

　　Ｆｕｌｌ Ｐｒｏｘｙ方式的应用组网的关键是：同时完成对终端呼叫信令的代理转发和媒体Ｒｅｌａｙ。同时，Ｆｕｌｌ Ｐｒｏｘｙ还可借鉴ＴＵＲＮ的应用组网方式，拓展应用范围。

　　由于Ｆｕｌｌ Ｐｒｏｘｙ方式会对呼叫协议进行解析，因此除了可以处理ＮＡＴ问题外，还可完成对每次呼叫带宽等ＱｏＳ信息的解析与处理，从接入层保证ＱｏＳ的安全问题。此外，通过对呼叫状态的把握，还可实现对媒体流的动态防火墙，保证网络安全和防止带宽被盗用等。

　　在应用领域，Ｆｕｌｌ Ｐｒｏｘｙ由于配置灵活，因此组网应用也很灵活，除了可实现私网地址向公网地址的转换外，还可实现公网地址向私网地址的转换，或其它不同地址域之间的变换，以满足ＮＧＮ不同场合下的组网应用。

　　３ 小结

　　根据上面的方案介绍和方案的对比分析，推荐采用Ｆｕｌｌ Ｐｒｏｘｙ和ＭＩＤＣＯＭ两种解决方案。

　　Ｆｕｌｌ Ｐｒｏｘｙ方式由于不用对运营商和客户端的现有网络设备进行任何改造，因此具有很强的适应性，并且组网灵活，可满足ＮＧＮ初期多样化的组网和用户接入要求。除了解决ＮＡＴ问题外，其功能还可以大大地被扩展，同时在接入层可完成对会话业务ＱｏＳ和安全的处理，从而可发展成为一个ＮＧＮ的用户接入平台。

　　ＭＩＤＣＯＭ方式具有很强的扩展性，一旦ＮＡＴ／ＦＷ设备支持ＭＩＤＣＯＭ协议，ＭＩＤＣＯＭ Ａｇｅｎｔ就可内嵌于软交换中，便可一劳永逸地解决ＮＧＮ业务的ＮＡＴ／ＦＷ的穿透问题；同时，由于软交换自身对用户呼叫协议的解析与处理同样能动态下发呼叫的ＱｏＳ和安全信息，下面的Ｍｉｄｄｌｅｂｏｘ（ＮＡＴ／ＦＷ）设备可根据这些信息采取必要的保证措施。由于目前网上大量的ＮＡＴ／ＦＷ设备不支持ＭＩＤ.ＣＯＭ功能，需要对目前网上ＮＡＴ／ＦＷ设备进行修改，同时ＮＧＮ应用初期软交换设备布点数量过少，网络层次较高，因此在一定程度上影响了这种方式在现有网络情况下的应用。