xx公司polycom hdx视频终端内网跨nat访问外部mcu问题处理

《xx公司polycom hdx视频终端内网跨nat访问外部mcu问题处理》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、XX公司polycom视频终端内网跨NAT访问外部MCU问题处理2011-10-28一、情况描述1.网络拓扑为方便移动视频终端的灵活接入，计划将视频会议终端IP地址设为XX公司办公网内网地址，通过静态NAT实现与位于XX集团中心内网的视频会议MCU的双向通信。视频会议终端接入相应区域的思科29系列交换机，汇聚接入上图中最下方的45系列交换机，再通过Symantec防毒墙、CiscoASA防火墙和Cisco2821路由器出口访问位于XX集团内网的视频会议MCU。2.IP地址：XX公司视频会议终端内网IP地址：172.16.20.11（移动终端）和172.16.20.12（固定终端）XX集

2、团MCU地址：192.168.1.201XX集团内网和XX公司内网属于不同的网络自治域（AS），所以无法直接通过路由互访。在XX集团集团广域网规划中，XX公司的广域网地址段为172.16.10.0/24，所以赋予两台视频终端固定广域网地址，分别为172.16.10.38（移动终端），172.16.10.39（固定终端），通过静态NAT进行转换。3.初始配置方案：初始配置方案中，视频会议终端地址的静态NAT在思科C2821路由器上实现，命令如下：ipnatinsidesourcestatic172.16.20.11172.16.10.38ipnatinsidesourcestatic17

3、2.16.20.12172.16.10.39在CISCOASA防火墙上定义的规则为内外网双向ICMP和IP的AnytoAny允许访问，即未作任何限制。在上述配置下，系统可实现以下功能：XX公司视频终端和XX集团MCU之间可以互相PING通XX公司视频终端可拨入XX集团MCU，XX集团MCU也可通过管理界面将视频终端加入会议中。存在的故障现象：进入会议后，XX公司视频会议终端只能看到本地视频，无法看到由MCU发来的远端视频和音频。二、故障原因分析1.CiscoASA的应用层分析功能对VoIP通信的影响（已确认）根据Polycom的知识库及网络文章（如http://www.ccietalk

4、.com/2009/08/03/cisco-asa-inspection-issues），在CiscoASA5000系列上默认开启的Inspection功能对较新型号的视频会议系统通信存在影响。YibinCityCitytracktrafficplanningisYibincityregionalrangewithintracktrafficsystemofonceintegration,andcitytracktrafficalsoisYibinCityCityintegratedtracktrafficsystemintheofpart,foraccurategraspcitytr

5、acktrafficresearchofobjectCiscoASA的Inspection功能能够对应用层通信进行分析，然后一方面自动开启协议所需的相应通信端口，另一方面阻断协议中不符合其预设规则的内容。在ASA中默认开启对以下协议的支持：policy-mapglobal_policyclassinspection_defaultinspectdnsmaximum-length512inspectftpinspecth323h225inspecth323rasinspectrshinspectrtspinspectesmtpinspectsqlnetinspectskinnyinspe

6、ctsunrpcinspectxdmcpinspectsipinspectnetbiosinspecttftp其中的h323h225、h323ras、skinny、sip均与视频会议通信有关。经过测试已经确认该设置确实对视频会议通信存在影响，当这几项inspect功能处于激活状态时，只有将HDX8000视频会议终端设置为“调试模式”方可正常通信（调试模式DiagnosticMode在系统>管理设置>网络>呼叫首选项下打开，在调试模式下，HDX8000终端在通信中将严格遵循标准的H.323协议，只支持h261编码。不支持其他如H264等高级功能，且无法进行数据内容传输）。这一问题的原因可

7、能是新一代视频会议终端的高级功能实现没有严格遵循H.323协议，导致ASA中的Inspect功能判断错误，影响通信。关闭与视频会议有关的Inspector方法如下：登录ASA命令行界面，进入globalconfiguration状态，键入以下命令(config)#policy-mapglobal_policy(config-pmap)#classinspection_default(config-pmap-c)#noinspecth323h22