H.460.18 и NAT

Question

Я рассматриваю Технический документ RADVISION по обходу NAT / Firewall для конечных точек H.323. Там предлагается использовать МСЭ-Т H.460.18,17 и 19.

460.17 - это очень понятный способ прохождения NAT, но я не очень уверен насчет 460.18. Оба представляют ясное решение для брандмауэра, но как 460.18 является решением для обхода NAT?

С уважением,

Answer 1

H.460.18 работает, открывая отверстия при переходе от одного протокола / сетевого соединения к следующему. H.323 работает следующим классическим способом подключения вызова:

• RAS используется через UDP для регистрации на привратнике
• Q.931 используется по TCP (обычно) для инициирования вызова
• H.245 используется для согласования медиа-возможностей и открытых медиа-каналов
• RTP / RTCP используется для отправки фактического носителя

Теперь, чтобы иметь возможность открыть Q.931 и H.245, вам нужно, чтобы конечная точка прослушивала TCP-адрес для входящих соединений. Если конечная точка находится за NAT - достичь этого будет невозможно.

Таким образом, H.460.18 добавляет специальные сообщения, чтобы получить эти соединения TCP изнутри (= наоборот).

В RAS, когда нужно открыть новое TCP-соединение для Q.931, сообщение RAS SCI (ServiceControlIndication) будет отправлено конечной точке, так что конечная точка откроет TCP-соединение для Q.931, а не просто в ожидании входящего соединения.

В Q.931, когда необходимо открыть новое соединение H.245, оно инициируется сегодня уже в Q.931; но теперь это всегда будет выполняться с конечной точки за NAT на публичный адрес.

Подводя итог:

• H.460.17 использует одно соединение, исходящее от конечной точки к привратнику, а затем просто туннелирует все поверх него.
• H.460.18 просто открывает новое отверстие от одного протокола к другому, когда конечная точка за NAT выполняет подключение вместо прослушивания.

Answer 2

Проблема с H.460.17 заключается в том, что практически никакое оборудование H.323 не поддерживает его.

H.460.18 прекрасно работает даже у разных поставщиков. Это позволяет конечной точке за брандмауэром тыкать целое, а затем использовать это целое для обоих способов связи. Это довольно просто, когда вы читаете документ по стандартам. Но имейте в виду, что он запатентован Tandberg, поэтому вы должны получить (бесплатную) лицензию, прежде чем сможете ее реализовать.

Вы можете посмотреть на GNU Gatekeeper , чтобы увидеть подробности прохождения H.460.18 через брандмауэр.