nat与防火墙穿越技术探究

《nat与防火墙穿越技术探究》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、NAT与防火墙穿越技术探究　　摘要：在研究分析常用的NAT和防火墙穿越技术优缺点的基础上，设计了“STUN+TURN”的STRNAT和防火墙穿越整体方案，同时对该方案涉及的相关问题进行了深入研究，形成了相得益彰、浑然一体、普适易用的NAT和防火墙穿越解决方案。关键词：NAT和防火墙穿越；STUN；TURN中图分类号：TP309文献标识码：A文章编号：1672-7800（2014）003-0134-030引言6随着互联网的发展，IP资源变得越来越紧张，为了解决IP资源匮乏的问题，出现了网络地址转换（NAT）方法。NAT是将IP地址从一个编址域映射到另外一个编址域

2、的方法[1]，最典型的应用是把私有IP地址映射到互联网的公有IP地址上。NAT在节省IP地址空间的同时，也破坏了Internet最基本的“端到端的透明性”的设计理念，增加了网络的复杂性，阻断了现有的很多IP应用。特别是像SIP这样的端到端软交换协议，由于需要协商多个端口并维护多个UDP或TCP数据流，无法自己穿越NAT[2]；另外，出于安全的考虑，绝大多数的企业都配置了专用的防火墙。和NAT一样，防火墙在增加安全性的同时，也使现存IP应用无法穿透。基于此，本文在研究常用NAT和防火墙穿越技术的基础上，提出了相应的解决方案，使具有NAT和防火墙问题的用户也可以像

3、公有IP地址的用户一样，顺畅地使用各种网络服务。1常用NAT和防火墙穿越技术介绍目前，常用的NAT和防火墙穿越技术主要有STUN（SimpleTraversalofUDPThroughNetworkAddressTranslators，即UDP对NAT的简单穿透方式）和TURN（TraversalUsingRelayNAT，即通过转发的方式穿透NAT）两种。STUN主要用于UDP传输，其基本思想如图1所示，STUN客户端向NAT外的STUN服务器通过UDP发送请求STUN消息，STUN服务器收到请求消息，产生响应消息，响应消息中携带STUN客户端在NAT上对应

4、的外部端口，响应消息通过NAT发送给STUN客户端，STUN客户端通过响应消息体中的内容得知其在NAT上对应的外部地址，并且将其填入以后呼叫协议的UDP负载中，告知被叫端（Peer）的UDP接收地址和端口号为NAT上映射的IP地址和端口号[3]，这样，应用程序就可以收到被叫端发来的报文。STUN的优点是处理简单，缺点是不支持TCP，也不支持对称类型（同时限制IP和端口）的NAT。6TURN的基本思想如图2所示，NAT或防火墙内的TURN客户端通过向TURN服务器申请绑定，获得外部IP地址和端口（由TURN服务器分配），这样该用户就可以使用这个外部的IP地址和端

5、口接收NAT和防火墙外的用户发送的报文[4]。TURN的优点是可以穿越所有类型的NAT及防火墙，缺点在于所有报文都必须经过TURN服务器转发，增大了包的延迟和丢包的可能性，同于也增加了TURN服务器的负载，容易造成网络瓶颈。2NAT和防火墙穿越整体解决方案为了解决NAT类型的复杂性，使具有NAT和防火墙问题的用户也可以像公有IP地址的用户一样，顺畅地使用各种网络服务，根据NAT和防火墙穿越原理和常用方法的特点，设计提出了“STUN+TURN”的NAT和防火墙穿越的综合解决方案（以下简称“STRNAT穿越方案”）。2.1统一协议栈STRNAT穿越方案是STUN和

6、TURN两种方法的结合，要使它们形成一个整体穿越方案，对用户表现出一致性，就不能简单地将两种方法进行叠加，需要提供两种穿越消息的一致处理。STR6NAT穿越方案根据STUN和TURN的消息格式及属性相同的特点，设计了统一的协议栈，使得STUN和TURN对用户表现为一个整体。如图5所示，统一协议栈主要由接收/发送消息、消息判断、消息分析、消息分类、消息处理、应答消息生成、错误处理、消息池以及协议栈的接口几部分组成。其中最主要的是“接收/发送消息”和“消息池”两个部分。接收/发送消息是对网络传输层的封装，其主要作用一是为上层提供一个易用的网络传输层接口，二是隔离上

7、层逻辑和网络传输层，屏蔽不同操作系统对网络传输要求的差异，增强系统的可移置性。“消息池”是数据交换的中心，它把STUN和TURN协议中对消息的串行处理变成并行处理，从而提高处理效率。2.3连续端口申请对于像RTP和RTCP这样的协议（组），要求使用两个或者更多的连续端口进行通信，而TURN的原有协议并没有考虑到这些要求。为此，STRNAT穿越方案通过增加TURN的消息类型，实现了多个连续端口的绑定和申请。2.4代理绑定为了使TURN服务器可以和SIPProxy服务器配合使用，帮助SIP用户透明地穿透NAT和防火墙，STRNAT穿越方案通过提供代理绑定接口，使得

8、TURN服务器信任的第三方服务器（或客