專利名稱：一種媒體業(yè)務穿越防火墻的方法及防火墻的制作方法
技術領域：
本發(fā)明涉及網絡通信技術領域，尤其涉及一種語音業(yè)務穿越防火墻的方法及防火墻。
背景技術：
隨著IP技術的普及，VoIP(IP電話)業(yè)務在企業(yè)中得到了越來越廣泛的應用。同時，越來越多的運營商也將自己原有的電路交換網絡升級為VoIP網絡，如NGN(下一代網絡)或者IMS(IP多媒體業(yè)務子系統(tǒng))網絡，從而使得在網絡中能夠提供相應的VoIP業(yè)務。
由于運營商網絡和企業(yè)網絡均提供了針對VoIP業(yè)務的支持，因此，若運營商網絡與企業(yè)網絡對接實現(xiàn)VoIP業(yè)務的互通，一方面將給企業(yè)用戶帶來巨大的方便，另一方面可以為運營商網絡提供更多的運營收入。
在現(xiàn)有的企業(yè)網絡中，由于人們對網絡安全問題逐步重視，絕大多數企業(yè)都在自己的企業(yè)網出口配置了防火墻。目前，通常采用的防火墻分為三種即包過濾防火墻、狀態(tài)防火墻和代理型防火墻。
其中，包過濾防火墻和狀態(tài)防火墻都是通過分析檢測網絡層或者傳輸層報文的內容來達到過濾攻擊、保護企業(yè)網安全的目的。
而代理型防火墻則是工作在會話層或者應用層，代理型防火墻位于客戶機與服務器之間，用于代理客戶機實現(xiàn)相應的數據業(yè)務功能，從而完全阻擋了二者間的直接數據交流操作。
由于企業(yè)網絡出口處配置了防火墻，因此，為實現(xiàn)企業(yè)VoIP業(yè)務與運營商網絡對接，關鍵需要實現(xiàn)VoIP業(yè)務穿越企業(yè)網出口的防火墻。
目前，較為常用的是采用包過濾或者狀態(tài)防火墻配合運營商網絡中的SBC(會話邊界控制器)設備實現(xiàn)防火墻的穿越。然而，由于本質上包過濾或者狀態(tài)防火墻在IP層兩個不同域之間可以是互通的，所以，無法實現(xiàn)拓撲隱藏，這必然會使得VoIP業(yè)務的穿越存在安全性能較差的問題。
代理型防火墻，由于其僅支持常見的HTTP、FTP、POP3、SMTP等數據傳輸協(xié)議，而對于媒體數據傳輸協(xié)議并不支持；同時，還因為其完全隔離了不同域之間的IP報文轉發(fā)，所以，無法采用SBC來實現(xiàn)防火墻的穿越，進而使其無法代理VoIP業(yè)務，即無法實現(xiàn)VoIP業(yè)務的穿越，導致企業(yè)的VoIP業(yè)務無法與運營商網絡對接。
因此，現(xiàn)有的防火墻由于存在功能上的缺陷，使得其無法在不降低網絡安全性能的基礎上實現(xiàn)VoIP的穿越，從而也無法實現(xiàn)企業(yè)的VoIP業(yè)務與運營商的網絡成功對接。

發(fā)明內容
本發(fā)明的實施例提供了一種媒體業(yè)務穿越防火墻的方法及防火墻，從而使得可以在不降低網絡安全性能的情況下，實現(xiàn)企業(yè)媒體業(yè)務與運營商網絡的成功對接。
本發(fā)明的實施例提供了一種媒體業(yè)務穿越防火墻的方法，所述的防火墻設置于內部網絡的出口處，該方法包括信息發(fā)送端將需要向防火墻另一側的信息接收端發(fā)送的媒體業(yè)務或信令，發(fā)送到防火墻；防火墻根據收到的媒體業(yè)務或信令的內容信息將其代理轉發(fā)給防火墻另一側的信息接收端。
本發(fā)明的實施例提供了一種防火墻，包括信令代理單元和媒體代理單元，其中，信令代理單元，用于接收信令發(fā)送端發(fā)送的信令，并根據所述信令的內容將該信令代理轉發(fā)給信令接收端；
媒體代理單元，用于接收媒體業(yè)務發(fā)送端發(fā)來的媒體業(yè)務，并根據媒體業(yè)務的內容將該媒體業(yè)務代理轉發(fā)給媒體業(yè)務接收端。
由上述本發(fā)明實施例提供的技術方案可以看出，本發(fā)明實施例在防火墻中增加了信令代理和媒體代理的功能，從而獲得一種支持媒體業(yè)務穿越的新型防火墻。這樣，若將該防火墻設置于企業(yè)網絡出口處，則可以使得在不降低網絡安全性能的情況下，保證媒體業(yè)務能夠順利穿越企業(yè)網絡出口處配置的防火墻，從而實現(xiàn)企業(yè)媒體業(yè)務與運營商網絡的對接。


圖1為本發(fā)明實施例中實現(xiàn)信令流和媒體流代理的示意圖；圖2為本發(fā)明實施例基于UDP協(xié)議的SIP協(xié)議實現(xiàn)信令代理和媒體代理的功能的流程圖；圖3為本發(fā)明實施例所述的方法的具體實施處理過程示意圖，圖4為本發(fā)明實施例所述的裝置的具體實施結構示意圖一；圖5為本發(fā)明實施例所述的裝置的具體實施結構示意圖二。
具體實施例方式
本發(fā)明實施例是在防火墻上增加信令代理和媒體代理的功能，從而提供一種能夠支持媒體業(yè)務穿越的防火墻，所述的媒體業(yè)務包括VoIP業(yè)務、視頻電話業(yè)務，等等。
為便于對本發(fā)明實施例的理解，下面將結合附圖對信令代理和媒體代理功能的具體實現(xiàn)進行說明。
本發(fā)明實施例提供的防火墻中包括信令代理功能和媒體代理功能，具體包括(一)如圖1所示，本發(fā)明實施例中，具有信令代理功能的防火墻對媒體業(yè)務用戶終端來說，其可以被看作運營商網絡中的軟交換系統(tǒng)，即終端用戶的注冊和呼叫消息都會先發(fā)給防火墻，防火墻監(jiān)聽到信令請求處理時，對所述的信令進行信令處理后轉發(fā)給所述的軟交換系統(tǒng)。
同時，防火墻相對于軟交換系統(tǒng)來說又可以被看作是用戶，軟交換系統(tǒng)首先將經過分析處理的信令(如呼叫被叫請求等)先發(fā)給防火墻，之后，由防火墻經過信令處理后再轉發(fā)給真正的被叫用戶。
采用此方案的代理型防火墻一般支持SIP、H.323、MGCP、H.248等協(xié)議中的一種或多種代理功能。
(二)如圖1所示，具有媒體代理功能的防火墻所代理的用戶與外界互通的媒體流都經過防火墻進行處理和轉發(fā)。
所述的媒體數據通過防火墻在客戶終端之間(即主被叫用戶之間)傳送，具體為終端1向終端2發(fā)送的媒體業(yè)務在到達防火墻后，由防火墻對所述的媒體業(yè)務進行轉發(fā)，且媒體業(yè)務的源地址為防火墻的地址，終端2向終端1發(fā)送的媒體業(yè)務處理與之類似。這樣，當防火墻下的用戶作為主叫用戶時，主叫用戶所收到的媒體業(yè)務來自于防火墻；當防火墻下的用戶作為被叫用戶時，主叫用戶看到的被叫地址也是防火墻的地址。
下面以基于用戶數據報協(xié)議(UDP)的起始會話協(xié)議(SIP)在防火墻中實現(xiàn)信令代理和媒體代理的功能為例對本發(fā)明實施例的實現(xiàn)過程作進一步的描述，如圖2所示。
步驟21在防火墻中啟動UDP監(jiān)聽進程，監(jiān)聽SIP協(xié)議的知名端口，通常是5060端口；步驟22監(jiān)聽進程接收到從終端來的SIP報文后送給SIP協(xié)議代理模塊進行地址信息修改，將地址為從終端到防火墻修改為從防火墻到軟交換系統(tǒng)；步驟23將修改后的SIP報文發(fā)送給軟交換系統(tǒng)，建立會話連接；步驟24監(jiān)聽進程接收報文，如是會話描述協(xié)議(SDP)報文；則執(zhí)行步驟25；
步驟25對SDP報文中媒體流的地址信息進行修改，將對端地址修改為防火墻的地址和端口，其中，所述端口是針對所述媒體流分配的。這樣終端發(fā)出的媒體流就被重定向到防火墻，而不是對端的終端；步驟26接收到被叫的摘機報文200 OK，并執(zhí)行步驟27；步驟27防火墻啟動媒體監(jiān)聽進程，且相應的監(jiān)聽端口是針對所述媒體流分配；步驟28媒體監(jiān)聽進程接收到從終端來的媒體報文后送給媒體代理模塊進行地址信息修改，將地址從終端到防火墻修改為從防火墻到對端終端。
同理，對于從軟交換來的SIP報文，處理方法同步驟22，只是源目的地址方向相反；對于從對端終端來的媒體報文，處理步驟同步驟28，只是源目的地址方向相反。
下面將結合附圖對本發(fā)明實施例在防火墻上增加信令代理和媒體代理功能后，以相應的VoIP業(yè)務作為媒體業(yè)務為例，描述VoIP業(yè)務穿越防火墻的具體實現(xiàn)過程進行詳細的說明。
如圖1和圖3所示，假設位于企業(yè)內部網絡的終端1和位于外部網絡的終端2之間需要進行VoIP業(yè)務的交互，則相應的處理過程包括(一)若終端1發(fā)起呼叫，則相應的處理過程包括終端1通過內部網絡將發(fā)起呼叫的信令發(fā)送到企業(yè)網設置的防火墻；防火墻收到所述信令后，解析所述信令，并獲知其為向終端2發(fā)起呼叫的信令，則代理終端1向終端2發(fā)起呼叫，即將終端1發(fā)來的信令處理后轉發(fā)給終端2，從終端2來看，向其發(fā)起呼叫的是防火墻；在發(fā)起呼叫過程中防火墻具體是通過軟交換系統(tǒng)向終端2發(fā)起呼叫；終端2確認接受終端1發(fā)起的呼叫，如摘機，則相應的確認消息將通過軟交換系統(tǒng)傳遞到防火墻，并由防火墻代理向終端1返回相應的確認消息；至此，終端1與終端2之間的通路建立，之后，便可以進行VoIP業(yè)務(即媒體數據)的傳遞，相應的VoIP業(yè)務同樣需要由防火墻代理在終端1和終端2之間代理轉發(fā)。
(二)若終端2發(fā)起呼叫，則相應的處理過程包括終端2通過外部網絡將發(fā)起呼叫的信令發(fā)送到企業(yè)網設置的防火墻；防火墻收到所述信令后，解析所述信令，并獲知其為向終端1發(fā)起呼叫的信令，則代理終端2向終端1發(fā)起呼叫，即將相應的發(fā)起呼叫的信令代理轉發(fā)給企業(yè)網內部的終端1；終端1確認接受該呼叫，則相應的確認消息將被傳遞到防火墻，并由防火墻代理通過軟交換系統(tǒng)向終端2返回相應的確認消息；至此，由終端2發(fā)起的呼叫通路建立完成，之后，便可以進行VoIP業(yè)務(即媒體數據)的傳遞，相應的VoIP業(yè)務同樣需要由防火墻代理在終端1和終端2之間代理轉發(fā)。
本發(fā)明實施例還提供了一種防火墻，其具體實現(xiàn)結構如圖4所示，具體包括在防火墻中設置相應的信令代理單元和媒體代理單元。
(1)信令代理單元所述的信令代理單元用于對每個信令進行狀態(tài)檢測，并根據信令內容代理轉發(fā)給信令接收端；且具體可以包括信令信息監(jiān)聽子單元、信令地址修改子單元和信令發(fā)送子單元，其中，信令信息監(jiān)聽子單元，用于監(jiān)聽從信息發(fā)送端發(fā)送來的信令信息；信令地址修改子單元，用于將從信息發(fā)送端發(fā)送來的信令信息進行地址修改，將信令的源地址修改為防火墻地址；信令發(fā)送子單元，用于將地址修改后的信令發(fā)送給信息接收端；所述的防火墻實現(xiàn)信令代理轉發(fā)的處理過程具體可以包括防火墻啟動監(jiān)聽進程，將從信息發(fā)送端發(fā)送來的信令信息進行地址修改，如信息發(fā)送端是用戶終端，則將地址從終端到防火墻修改為從防火墻到軟交換系統(tǒng)，如信息發(fā)送端是軟交換系統(tǒng)，則將地址從軟交換系統(tǒng)到防火墻修改為從防火墻到終端，并將修改地址后的信令信息發(fā)送給信息接收端，建立連接。
由此可見，該單元具體實現(xiàn)的功能可以為當防火墻監(jiān)聽到來自企業(yè)內網的用戶的注冊和呼叫等信令時，信令代理單元分析該信令的內容，并根據分析結果決定是否代理轉發(fā)給核心軟交換系統(tǒng)，如符合轉發(fā)策略，則進行代理轉發(fā)，否則，將該信令丟棄。
(2)媒體代理單元所述的媒體代理單元用于對媒體數據包進行監(jiān)測，并根據媒體數據包承載的內容信息將數據代理轉發(fā)到媒體數據包接收端；且具體可以包括媒體信息監(jiān)聽子單元、媒體地址修改子單元和媒體發(fā)送子單元，其中，媒體信息監(jiān)聽子單元，用于監(jiān)聽從信息發(fā)送端發(fā)送來的媒體流信息；媒體地址修改子單元，用于將從信息發(fā)送端發(fā)送來的媒體業(yè)務進行地址修改，即將媒體業(yè)務的源地址修改為防火墻地址；媒體發(fā)送子單元，用于將修改地址后的媒體業(yè)務發(fā)送給信息接收端。
所述的防火墻實現(xiàn)媒體代理轉發(fā)的處理過程具體可以包括防火墻監(jiān)聽進程將接收到的媒體流信息的對端地址修改為防火墻地址，并啟動媒體監(jiān)聽進程，將從終端發(fā)送來的媒體報文經過媒體代理模塊進行地址修改，即將地址從終端到防火墻修改為從防火墻到對端終端。
由此可見，該單元具體實現(xiàn)的功能可以為當防火墻所代理的用戶與外界的媒體流進行互通時，根據防火墻監(jiān)聽到媒體數據包，媒體代理單元對接收的媒體數據包的狀態(tài)及內容進行分析，并根據分析結果進行處理和代理轉發(fā)，即若接收的媒體數據包符合轉發(fā)策略，則進行代理轉發(fā)，否則，丟棄。
本發(fā)明實施例還提供了一種防火墻，其具體實現(xiàn)結構如圖5所示，具體包括在防火墻中設置監(jiān)聽單元，以及相應的信令代理單元和媒體代理單元。
(1)監(jiān)聽單元所述監(jiān)聽單元用于啟動媒體業(yè)務和信令監(jiān)聽進程，若監(jiān)聽到信令信息，則將該信令發(fā)送給信令代理單元，若監(jiān)聽到媒體業(yè)務，則將該媒體業(yè)務發(fā)送給所述媒體代理單元。
(2)信令代理單元所述的信令代理單元用于對每個信令進行狀態(tài)檢測，并根據信令內容代理轉發(fā)給信令接收端；且具體可以包括信令地址修改子單元和信令發(fā)送子單元，其中，信令地址修改子單元，用于將從信息發(fā)送端發(fā)送來的信令信息進行地址修改，將信令的源地址修改為該防火墻地址；信令發(fā)送子單元，用于將地址修改后的信令發(fā)送給信息接收端。
(3)媒體代理單元所述的媒體代理單元用于對媒體數據包進行監(jiān)測，并根據媒體數據包承載的內容信息將數據代理轉發(fā)到媒體數據包接收端；且具體可以包括媒體地址修改子單元和媒體發(fā)送子單元，其中，媒體地址修改子單元，用于將從信息發(fā)送端發(fā)送來的媒體業(yè)務進行地址修改，即將媒體業(yè)務的源地址修改為該防火墻地址；媒體發(fā)送子單元，用于將修改地址后的媒體業(yè)務發(fā)送給信息接收端。
本發(fā)明實施例中，相應的信令及媒體代理功能可以選擇在不同類型的防火墻中實現(xiàn)，如包過濾防火墻、狀態(tài)防火墻或代理型防火墻等。其中，由于代理型防火墻具有其他協(xié)議的代理功能，故可以優(yōu)先選用在代理型防火墻中實現(xiàn)本發(fā)明實施例提供的技術方案。
所述的代理型防火墻工作在會話層或者應用層，從客戶機來看，代理型防火墻相當于一臺真正的服務器；而從服務器來看，代理型防火墻又是一臺真正的客戶機。當客戶機需要使用服務器上的數據時，首先將數據請求發(fā)給代理型防火墻，代理型防火墻再根據這一請求向服務器索取數據，然后再由代理型防火墻將數據傳輸給客戶機。
而且，由于外部系統(tǒng)與內部服務器之間沒有直接的數據通道，外部的惡意侵害也就很難影響到企業(yè)內部網絡系統(tǒng)。所以代理型防火墻可以實現(xiàn)網絡拓撲隱藏，在安全方面具有不可比擬的優(yōu)勢，對付基于應用層的侵入和病毒都十分有效。
因此，本發(fā)明實施例優(yōu)選采用在代理型防火墻上增加信令代理和媒體代理功能的方案，不僅可以實現(xiàn)網絡的拓撲隱藏，同時也可以實現(xiàn)防火墻的穿越，從而實現(xiàn)企業(yè)VoIP業(yè)務與運營商網絡的對接。
綜上所述，本發(fā)明實施例不僅可以實現(xiàn)企業(yè)VoIP業(yè)務與運營商網絡的對接；同時，還可以實現(xiàn)網絡拓撲隱藏，從而有效提高網絡的安全性。
也就是說，本發(fā)明實施例在防火墻中增加了信令代理和媒體代理的功能后，便可以獲得一種支持VoIP業(yè)務穿越的新型防火墻。這樣，就可以將該防火墻設置于企業(yè)網絡出口處，從而使得在不降低網絡安全性能的情況下，保證VoIP業(yè)務能夠順利穿越企業(yè)網絡出口處配置的防火墻，從而實現(xiàn)企業(yè)VoIP業(yè)務與運營商網絡的對接，為企業(yè)用戶開展VoIP業(yè)務提供了便利。
以上所述，僅為本發(fā)明較佳的具體實施方式
，但本發(fā)明的保護范圍并不局限于此，任何熟悉本技術領域的技術人員在本發(fā)明揭露的技術范圍內，可輕易想到的變化或替換，都應涵蓋在本發(fā)明的保護范圍之內。因此，本發(fā)明的保護范圍應該以權利要求的保護范圍為準。
權利要求
1.一種媒體業(yè)務穿越防火墻的方法，所述的防火墻設置于內部網絡的出口處，其特征在于，該方法包括信息發(fā)送端將需要向防火墻另一側的信息接收端發(fā)送的媒體業(yè)務或信令，發(fā)送到防火墻；防火墻根據收到的媒體業(yè)務或信令的內容信息將其代理轉發(fā)給防火墻另一側的信息接收端。
2.根據權利要求1所述的方法，其特征在于，所述的信息發(fā)送端包括內部網絡的用戶終端或外部網絡的用戶終端或軟交換系統(tǒng)，且對應的所述的信息接收端為外部網絡的用戶終端或軟交換系統(tǒng)或內部網絡的用戶終端。
3.根據權利要求1所述的方法，其特征在于，所述的方法還包括防火墻收到所述媒體業(yè)務或信令后，根據其包含的內容信息確定該媒體業(yè)務或信令是否符合預定的轉發(fā)策略，并僅在確定符合時，將所述媒體業(yè)務或信令代理轉發(fā)給信息接收端。
4.根據權利要求1、2或3所述的方法，其特征在于，所述的信令包括基于會話初始協(xié)議SIP、H.323、媒體網關控制協(xié)議MGCP和H.248協(xié)議中的至少一種協(xié)議的信令，所述的媒體業(yè)務包括基于實時傳輸協(xié)議RTP或實時傳輸控制協(xié)議RTCP的媒體業(yè)務。
5.根據權利要求1、2或3所述的方法，其特征在于，所述的防火墻包括代理型防火墻。
6.根據權利要求1、2或3所述的方法，其特征在于，所述的代理轉發(fā)的過程具體包括防火墻啟動媒體業(yè)務和信令監(jiān)聽進程；將所述監(jiān)聽進程監(jiān)聽到的來自所述信息發(fā)送端的媒體業(yè)務或信令的源地址修改為該防火墻地址，并發(fā)送給信息接收端。
7.一種防火墻，其特征在于，包括信令代理單元和媒體代理單元，其中，信令代理單元，用于接收信令發(fā)送端發(fā)送的信令，并根據所述信令的內容將該信令代理轉發(fā)給信令接收端；媒體代理單元，用于接收媒體業(yè)務發(fā)送端發(fā)來的媒體業(yè)務，并根據媒體業(yè)務的內容將該媒體業(yè)務代理轉發(fā)給媒體業(yè)務接收端。
8.根據權利要求7所述的防火墻，其特征在于，還包括監(jiān)聽單元，用于啟動媒體業(yè)務和信令監(jiān)聽進程，若監(jiān)聽到信令，則將該信令發(fā)送給信令代理單元，若監(jiān)聽到媒體業(yè)務，則將該媒體業(yè)務發(fā)送給所述媒體代理單元；且，所述的信令代理單元具體包括信令地址修改子單元和信令發(fā)送子單元，其中，信令地址修改子單元，用于將從信息發(fā)送端發(fā)送來的信令信息的源地址修改為該防火墻地址；信令發(fā)送子單元，用于將地址修改后的信令發(fā)送給信息接收端；所述的媒體代理單元具體包括媒體地址修改子單元和媒體發(fā)送子單元，其中，媒體地址修改子單元，用于將從信息發(fā)送端發(fā)送來的媒體業(yè)務的源地址修改修改為該防火墻地址；媒體發(fā)送子單元，用于將地址修改后的媒體業(yè)務發(fā)送給信息接收端。
9.根據權利要求7所述的防火墻，其特征在于，所述的信令代理單元具體包括信令信息監(jiān)聽子單元、信令地址修改子單元和信令發(fā)送子單元，其中，信令信息監(jiān)聽子單元，用于監(jiān)聽從信息發(fā)送端發(fā)送來的信令信息；信令地址修改子單元，用于將從信息發(fā)送端發(fā)送來的信令信息的源地址修改為防火墻地址；信令發(fā)送子單元，用于將地址修改后的信令發(fā)送給信息接收端；所述的媒體代理單元具體包括媒體信息監(jiān)聽子單元、媒體地址修改子單元和媒體發(fā)送子單元，其中，媒體信息監(jiān)聽子單元，用于監(jiān)聽從信息發(fā)送端發(fā)送來的媒體流信息；媒體地址修改子單元，用于將從信息發(fā)送端發(fā)送來的媒體業(yè)務的源地址修改修改為防火墻地址；媒體發(fā)送子單元，用于將地址修改后的媒體業(yè)務發(fā)送給信息接收端。
10.根據權利要求7、8或9所述的防火墻，其特征在于，所述的防火墻包括代理型防火墻。
11.根據權利要求7、8或9所述的防火墻，其特征在于，所述的信令代理單元包括基于SIP、H.323、MGCP和H.248協(xié)議中的至少一種協(xié)議實現(xiàn)；所述的媒體代理單元包括基于RTP或RTCP協(xié)議的實現(xiàn)。
全文摘要
本發(fā)明涉及一種媒體業(yè)務穿越防火墻的方法及防火墻。本發(fā)明主要包括在防火墻上增加信令代理和媒體代理的功能，從而產生一種能夠支持VoIP等媒體業(yè)務的防火墻。因此，本發(fā)明的實現(xiàn)既可以實現(xiàn)企業(yè)的VoIP業(yè)務等媒體業(yè)務與運營商的網絡對接，同時，還可以完全隔離不同域之間的網絡層流量，實現(xiàn)網絡拓撲隱藏。
文檔編號H04M7/00GK101018229SQ20071000505
公開日2007年8月15日 申請日期2007年2月12日 優(yōu)先權日2007年2月12日
發(fā)明者張瑞 申請人:華為技術有限公司