防火墙H323协议处理流程及H323 ALG应用

《防火墙H323协议处理流程及H323 ALG应用》由会员分享，可在线阅读，更多相关《防火墙H323协议处理流程及H323 ALG应用（12页珍藏版）》请在装配图网上搜索。

1、一.H.323协议简介H.323协议簇是ITU的一个标准协议栈，它是一个有机的整体，根据功能可以将它分为 4类协议，也就是说该协议从系统的总体框架（H.323 ）、视频编解码（H.263 ）、音频编解码 （G.723.1）系统控制（H.245 ）、数据流的复用（H.225 ）等各方面作了比较详细的规定。H323 系统中的信息流是视频、音频和控制消息的组合。系统控制的协议包括 H.323、H245和H225.0,而Q.931和RTP/RTCP是H225.0的主要组成部分。整个系统控制由 H.245控制信道、H225.0呼叫信令信道和RAS （注册、许可、状态）信道提供。H.225 它主要处理传输

2、路径问题，描述了如何操作网络包上的视频、音频、数据和控制 信息使其提供H.323装备会话服务。H.225主要有两个部分：呼叫信令和RAS （注册、 接入允许和状态）。H.225详细定义了 Q.931信令信息的使用和支持。在IP网络的TCP 端口1720需要创建一个可靠的 TCP 呼叫控制信道，该端口完成 Q.931 呼叫控制信息的初 始化，从而实现连接、维持和呼叫分离功能。H.245 是 H.323 多媒体通信体系中的控制信令协议，其主要用于处于通信中的 H.323 终点或终端间的端到端H.245信息交换。H.245制定了一个控制信道分段和重新装配的协 议层（CCSRL，Control Cha

3、nnel Segmentation and Reassembly Layer）,它可以在易出错环境下保证应用的可靠性。H.245提供了一种功能交换的功能，它支持两端设备通过协商 确定一组通用的功能集。二防火墙H.323 ALG功能简介当内部网络的H.323终端穿越防火墙与公网上的H.323终端进行通信时，由于NAT功 能只能将传输层的IP及端口进行转换无法对H.323协议应用层携带的内部数据进行转换， 应用层中内部数据直接被转发至公网，后续协议信息处理时会出现问题；而H323 ALG则可以实现应用层数据转换，协议数据发至 Internet 时，将其应用层内部信息转换成公网信息， 实现完全隐藏内

4、部终端达到通信正常的目的。另外，应用防火墙一般只开放特定端口的数据进入内部网络，H.323协议属于多通道协议，控制连接使用端口 1720,数据交换使用端口为临时协商，无法事先预知，若无ALG功能，协商出数据交换通道所用端口后，外部网络终端尝试对内部终端数据交换的端口进行连 接时，防火墙会对其进行阻断，从而数据传输通道无法建立；开启H.323 ALG功能后，会在 对应用层转换的IP地址及端口进行转换的同时，将其信息进行记录，使其在外部网络终端尝试对内部终端数据交换的端口进行连接时，防火墙进行协议识别，对后续相关协议报文执行放通策略，从而成功建立传输通道。三.H.323 ALG的典型应用组网fnt

5、ernetHNat_塔端2 ; 172.30158.100H323 奨端 1 : 1112.13.99172.30,158.240-172,30.15.245.一次基本的H323协议连接过程及防火墙处理流程1.客户端与服务器建立TCP三次握手连接NnTiryhgFl a rrh n DrrYhvrnlr1 O.OOKbM11.12.13.M172.30.158.IDOTCPcedrosjds h325hcetcall SYN 5Eq=0 Win=6l240 Len=0 M5S=14601 0.0028461 2.159.100U.12.13.M：Fh323host:al 1 :drofijds

6、 STM, ACKJ aq=D 脱=1 Vin=t田5 Len=O R55=146DT5 W倔11.12.13 sa172.5D.15a.lDOTTPcfidros.fds -SJJhKtcall ack Seq=l Ack=l brin=64240 Len=04 0.0273151L.1L1J.9917?. 30.153.100TCP.TCP segnen: at a rflasseifcfd FDUJ5 0.2D&B14172.W.15B.1CK11.1Z. 13.99TLFhSiBhostiall LedrtB_fd5 .KK. Seq=l Ack=5 win=6553L Len=Oa

7、0.206711.12.1199172. JO. 153.100H.225.0C5： S&7JP1 0.217539SH 血 10011.12.13.M: PTCP segmen; af a rfasseibld FDU9 fl.41179U.12.13.9917230.153.100TCPcfldros_fd -32JhD5tcill ftCK Sq=217 Ack-5 liiMiZJt .en=09 0.412928172.30.159.100U.U.U.MH.225.0cs： alerti 叩10 0.61375411.12.13.99172.30.153.103KFCdrO5_fdS

8、- 5?JhD5lCall _K.K_ 5纠=2打 ACk=4 1111)=54197 L6n=311 5.H螂in. an 血 ioo11.12.13.M: pTCP segmen; af a rfasseibld FDU12 5.94441011.12.11M172.30.153. LMTCPcedros_fds hlhcGtcill ACK Seq=2J7 Ank=48 ftin=54L53 Len=O13 5.M5432172 JO. 1 SB. 10011.12.13.99H. 225.0C： CDriKCt14 6.O5E27911.12.13. MU2.50.158.HWTCP(

9、rirtgc rifip 帥Seq=O Yin=6424O _mn=O N5S=Ufi0g Fram 1 (52 bytes on wire, E bytes captured)J Eihernei n, 5ri； LD：Oc；29：e3：ZO；la (10：(K；29：e3；20:1a). dsi: Hangihuj；曲：5Q (DD；Z4；cL；-5fl；6a：5(l)3 internet ProtDCDl.：一12.；關(1L12.：LW Dst! f 2.3O.iy.lDD (f?. 20.： 58.100)g Tinsnssion control FratocDl, src Port

10、: :edrffi ffc (4140), Kt Fart: h323hD5tcall (L7M), 5eq: 0, Lai: 02建立TCP连接之后，主叫终端通过H.225协议发送setup消息至被叫终端，表示主叫方 希望建立通话（FW开启了 H323 ALG功能）1）内网主叫终端抓包报文FjJJar |ip. id=I.TZ30 158.100亍. n-nru Lm恥恥ig二心j呃“如t匸|卵齐w!点 臼“阴汕别时己日PDHB F讥 253S (2K b;7：e5 OH 巴 286 bT5 .ipTur&jjH FthErnet II, Src: 10:de:29:b3:20:1abst:

11、 HangzhaM_aa：ba:5d (0O:21:a:Ba：6a: 5D)B iniErnei prawojl. sre； 11.12.13.W 11.12.15.). DSC： lT2.30.15a.lCiQ (L72.3D.L5B.lWjEl Trarrnissim Contra! ProtacDl, 匚 Port: gprs-tie (3751J, Dst Port: h323hnFtcan (1720)? 5eq: 5( Ack: 1, LEti: 232 田ReaiSEnbled TCP Segnents (236 faytesl; #=2582(4Js f253B(232)E I

12、PKTP version:益 Length: 236B Q. 9辺日 H.225.D LS日 H323-Userlnfarmati etiei hwuu-pdj日 h323 -(lesagE-body!： setup (OJ日 serupfraracolIdEtnif 1 er: D.Cl9.3250.0.2 (vision 2)E saureJ-ddrEJs: L itemB sourceinfoE ctewt匚all/中alAdd刖乍出:s J)Q Ifi.ddress斗 InterrK!t i3?7-i.：sllip: 172.3D.LSB.1M (172_30.15B.10D) por

13、i： 1720Cl.” acriusMC： Falsacanberen-:eID: 0371056S-a0-33i2-ad96-2ib24C-bSSM 5Q confeFenceGaal： creare (0)El calllype: paintToPaint (Cl)日 ipAddress1p： 11.12.13 port:町！ilE ca llldentifier, redlatailtFcrCmnect: FalseDu. u canZerlappend: FalsEa nnnstantisrdD.aia2）外网被叫终端抓包报文由上面2个报文可以明显看出ALG对协议应用层的数据进行了处理

14、。3.被叫终端返回 CallProceeding 给主叫终端，表示被叫终端正在处理。4被叫终端返回Alerting报文给主叫终端，表示被叫用户已被振铃。1）内网主叫终端抓包报文L1 5. 31649?巧 0. 2039B7 ll.LZull. SF97 0.247539172. ID. 15取 100172. JD.15-B.1CKpall 比盂占电口2 3；丁n扈吃口ll.LZaLj.99tall (3 TransiissicMi canrrol prmzxol * et匚 rorr s h331hasrcan 1720), dsl port: tdras_f ds (414-0)seq:

15、5, Ack： 337, Len j 59 丄i Reaseiibled tcp s&gneYi： (4 J byt as! #7(4) P 9(39)(3 TP KT, Version:Length: 430) Q.9J1日 H.2Z5,0 CSh h523-Us erlnfar nas i onB h323-uu-pdu_ h32J-message-body! alerting (3I alertingprotocolIdentifier： 0,0,2250.0,2 tVersion 2)t. desrinarionlnfotrnincl.0. i u u rTK : False.aIri

16、edNDde: False曰 calIzdantificrguid; b38aaebS-bJde-S847-alS4-ce7M4cbtE5 captured (74 bits-H EthernEr llH src: .flwarE.SczocETki (00EDc:29nc:De:7bjB tirz riarpg2hau_EE:a-4e (CMac：aa：&a4ejII inrernei： pfotqcdI verslcri 4, src: L72.3D.158.1DD (L72-3D.L58.1DO), DSC： 172.3D.153.341 (172.3 0.153.341)3 Trans

17、mnssian Control Protacol P 5匚 Port: h323hD5tcall CX72QJ r Mt Pert: cedrD5_fds. Seq; 5-. Ack: 237P L印；3&9 2 Reassenblerl TCP segnerits M3 hyres) j(3 tpktb Erslont 3 133 -931Q HB225aQ C5曰 M323-L5DnrnrurmdLlijnB h323-uu-pdu hS23-nessage-bedy: alerting 3J日 al erringpratomlidenncifier: D.O.a.225D.0.2 Cve

18、rslon 2)-destinationlnfoTernrlnal 0- a u a a a me! False.-0. . . . undef inedliJade: Fal se-zallliimTlflErguF cl: ti弼saEM-ti3 dE-aa4 7-E1B4 -ce7M4bif-4 d5被叫终端返回Connect报文给主叫终端，表示被叫用户已摘机并告知被叫终端已开放特定端口来进行下一阶段的协议协商过程1）内网主叫终端抓包报文11 5.516499172.30.15B.1Q011.12.13.99TCPKP segnerllof a reassrfijledPCU1峠 _rO

19、jjjt jtt t-fc _峠！ r_c_. r r-hik if _ %-rle- - j卫 i i ri 血 E P壮 托P甜.f 打 i &B刃131和湘 血 FN-Lh*3ahft6lfrMl 1期 n 百 *心卄”4 &45452172 30.15B.1Q011.12.13.99H225.GCS： -cannGCC.IS 5. J:93oL irZ.SO.LjS.UOLL.12. 1E. ?jVi i u;Lul.l；!. im-C :- Jr-訂5弗Ic： IFrame 12 (17 bytes on tiiret bytes zaptured)田 Ether net ii)sr

20、c: Hangzhou_8a；:fiJi:5Q CKkMu匚：阴：和：5D). dsl: 10:肚：西;的：加；11 (10：0c:293:20:1a)s internet protocol. src: 172,30.158, loo (172 3Q.i5a.lOD)r ost: 11巴1人羽 Cli.iz.13, 99)田 TransBiission Control Protocal 3 3rc Port: h32Bhostcall 1720), Dst Part: cedras_fd5 (4140)3 Seq: 48a Act: 237a Len: 113 S Redsssrrbled T

21、CP Segments (117 bytes): 11(4) s 13(113)田 tpkt. version:珀 Length: 117田 q. 931日H225D CS日 H323-UserTnfor nati on日 h323-uu-pdu-h323-rTiessage-boic: conned (2.)Ei connectE. 225G.0.2 百电厂宜耳 2Q日 h2d5Address; i pAddress (0)0 1pAddressip： 172.50,153.100 (172,30.18,100) port: 1121B d-estinatiaminl-DB vendorg

22、vendorH, 221 Nwufacturr: Mlcrusoft Dxb5OT534c) productTd: Micra64236 Len-O1讥i匚勺？ 门 h匚mLj：- mJ：L.S：.15 = .：L-225. J CSj rii-ij=.jjririfjiji-i2ra h1n=&42J0 Len=ol MZ5=1J6D StEK PERM=H.225.0 cs： alertingTCF cedrD5_fcb - h3Z3 host call ACK 5eq=237 Ack=44 frin-E4197 Len=DTCP GEnent of a r也舟抽2d PDU网H叭.Fri

23、r 1 冲2711叭柿”1 ACK 5eq=237 Ack=48 诂2皿1乃 Len=0 巳仆叨门厂.皿fw Jnq-i6主叫方收到Connect报文后，进入H.245协商阶段，H.245整个协商阶段包括能力交换、主从确定、打开逻辑通道（通道打开之后传输数据）、关闭逻辑通道、断开H.245TCP连接。1）内网主叫终端抓包报文（TCP三次握手阶段）it s.ai&igg 172.ao.159.un11.12.13. W12 5.94441D11.12.13.99lrz.w.isj.iwTCPTCPj j w m h丑mtosusni .ack seq=237 Ack=i& rin二讷四3 Lin

24、=Q)ZD rnppLl=0 MS5-11.1Z.13.9916 6.215116二,2 二朋172.2D.158.100TCPcirtgsvc rirpp ACK Eeq-L AcH btin-64240 Len-0Hi. Ju. 1J&. Jlw| IILI- ，匕yilWILL Ul d 11 -td.tULI 1 tU 严LAJ18 6.222197172.30.15ft. U11.12.IB. 99TCPtcf segnent of a reassenbled pd olrrgsvc sw, ack 5eq=o Ack=i wl n=6jj33 Lerrf M53=H6015 &.D

25、59361172.30.15S.KH)I Etherret II, 10:0c:29:e3:20:la (ID:Dc:29:e3:20:1a；, Dst: Hanqzhou_33:5a:5O 0D:24:ac：aa；6a:50)I interret Protocol, 5rc;(11.12.13.99), Kt: 172.1D.15B. J1C fJ .1.1 DP)H TTansnissic- Oaitrol Protocol, j-c Pert: oirtgsvt (4L41J,Fort:【叩p (1121), 5eq: 0, Ler: 0Source port: oirtgsvc (4L

26、41)Destination port.:npp (1121)stream iindex; 1Sequence mnber: 0 (relative salience nunber)Header length: 28 b)tes Flags:(SVN)sHndoh size: 6424D Checksum: 0x74Od validation disabledE Options: (A bytes)、*避的目的粥社鳩綁方制册鮒彌2）内网主叫终端抓包报文（ 打开逻辑通道阶段（能力交换、主从确定阶段省略）27 6.577721172-30.158-1002S b.5?797611.12.13.99

27、172-30.158-100 r I：111ZLJ2-l?l?11-12-13-99H-24529 6.581116172.30. ISA. 11)0H_24511-12-13-99TCPM 北口 4 血F-nLoglcakhaflnel cl2a operLogicalChannel (t!20) tcp serene of a reasserbld pdj弟 fi.61162511-12.13.09172.30.15fl.lfl0H 245cpwliX|i ca iChannelCeiectJ3 6.61655911-1L1T9917T3CL 153.100TCPoidocsvc irtc

28、-rcs 5YH 5eq=0 Wirrf124DLe3 N55=li6i54 G.61B0I1U2J0-158,10011.12.13.99TCPimc-rK5 oidocsvc 5Y肌 irtc-rcs.CK. Seq=l 4ck=l Hin=51240 LefM56 6-6193561L：12.13.99172.%15H.1IMTCPoldocsvr irrc-rcs P5H, 3k冏-1 嚥1 win-展出q Ler-25J7 6.621151172.3.158.IMii.i2.lL ggTCPirrtc-ncs oidnesve P5H, ACK 3eq=L Jdc=26 Min=65

29、510 Len=21站 6. KIWI11.12.13.99U2.%15H.1QOTCPcridonvc inc-rcs ftCK Sfiq-出uin-MZl? Len-;l妁 6.61616S11.12.13.99172.3D.158. IMKPaidocs-u匚 irtc-rcs P5H, 4jCkJ Seq=26 :k=22 UiR=6121Q Len=lSl40 6.648887172-30.158-10011-12-13-99KPiffil Qldocsvc P5H, ACK SKj-22 -207 Ia1 1-65329 Lfift-11341 fi.64951611.12.13.

30、172.30.15B.10flKPoidocuc irtc-rcs FIH,吐町 Seq=20? Adc=115 ftirubilllb Len=DS Ethernet II, 5rcHaTgzhou_SS:6a:Wi 汕山伍:刖:民邓】Dst: 10:fe:2zel:20zla 10:0c:29:e3:20:laji internet Protacal,172. M.1H.1M (172.3D.15B.1IH,Dst： n.u.iJ.M (it.is. 13.gg)d Transrissinn Control Pratixoh art Fot;1卩卩：1121h Ost Port: oirt

31、gs- (4141), 5eq;列Ch Ack; IB* Len: 21d Reasserbled kp 洱snu (25 tyres)J29t4), J3K21)：a TPKT, version: 3Length： 25H.2+5cakhanne172.3CJ5a.10C11.12-13-99E H.245E PCll T/pe: response (1)E response: QperL.cic.alCh=melAck (5) opm叫忙才囲丫定1总 forrdLogicalChariflMjt: 257S reuerseLDgicalCharielPr=n?tersE 占即arate5t

32、aJ551232L72.3Q.15B.1DDL72.3O.15E.241h.zTs叩 BTLaglcalchannelAck?1471L652594172.30.15B.241L72.30A5B.1DOH.245opETLog-i ca lchannel R ej ect2L5OT1： 573o7L72.30.15E-1DODltiXSUC * IrflTCIlLS2151 13.t577fi9ZL53 13.659714172. 30.15Eu 241 17j./；.ISS,IDO L72.30.15E?241L72.20.15B- 2UZLN 13.050505L7Z.3Q.15B.241

33、i rr -iA -icr r m代172.3 Qa 15 B-IDOL72.30.15B.1DOI rr -ia i rr iTCP TCP TCP TCPirntc-iJickParanieter： h22 5DLDqicdlchanneli&cl:ParaniEter (Cl) h225QLogicalchinnElAckParaiieiers由以上报文可以看出后续数据传输被叫方将使用1503 端口来建立连接。7. 通道建立之后，进行数据传输（主叫方将使用多个端口与被叫方的1503 端口进行连接来进行视频、音频数据的传输）Io. - TimeScurreDestinationProtac

34、dInfoL IF、35 6.6LB67011.12.13.99172.30.156.LMTCP36 6.619356n.12.13.991723CC56. LOOTCP27 G.62UM172.3D.158.1OOIL 12.13.99TCP18 6.63797LIL12.13.ffl1723D.15fi.L00TCP39 D.MHG8IL12.13.3BUZ.30.158.1WTCP40 6.64BBS?172.30.158.10011.12.13.99TCPcidotFrtiirtt-nu ack seu=l Auk=l *in=64M0 l切=041 6. St 9546n.12.13

35、.9942 e.65DDI4 | 172.30.158.10043 e.650354U.12.13.9944 6血Z1 羽U.1Z.13.991?2.3D. 158.11X111.12.13.9917230.158.1()01/Z. 30.158.100TCP TCP KP KPaidocsvc irtc-ics imtc-Bcs nidoc&uc aidocstc irtc-ics aldocstc im: oidocsvc aidocsvc i irtc-ics inrtc-ncs oidor&uc aidocstc J irtc-icsPSH, ACK seq=l flclc=l bri

36、n=6424fl Len=25P5H, ACK eq-l Ack-26 Uin-65510 Lht-21ACK 5eq=2a Adc=22 Win=HZ13 Len=QP5H,心PSH, ACKJ FIN, FIN, ACseq=Z6 Ack=2? rtin=S4219 Len=iaiSec=22 Ack=2G7 Wir=65329 Len=113 丸q=20? Ack=135 hi=64L0fi Len=O Sec-125 Ack-207 tfin-G5229 L#n-0ACK Seq=208 Ack=136 *rin=6410C Len=O45 i 砧2190L72.3D.15S.1004

37、 6.653Q33172.158.1D047 6.661673fi. 66235411.12.13.38io 曲a刼17?和1昭mn11.12.13.9911.12.13.99172.3D. 156.100172.10.158.1D011 17 12 inrc-mcs 5血5eq=o 箭=64却Len=o F5S=1460 imtc-KS oidocsvc ACK seq=136 Ack=2DB rin=65329 Len=0 imtc-ics oidsr 5训 ACK 5ec=0 Ack=l =65535 Len=0 K5S inrtc-Bcs ACK 5eq-l Ack-1 *in-&42

38、40 Len-0 aidsr imtc-ics psh, kk seq=l Ack=l iin=6*240 Len=25imtr-nr、nirirMH iTFl Bn=1 ilrlf=?h 站化=芯订。I 口n=71m Frame 15 f54 byt仍 on wire, 54 bytes captured-Ethernet II, 5rc: LO:O LU J. JU. UU172, J0.15i.100uiuji hi!.LilianLrJiip.*%jcq-ji*-叫丄u睥“tjhvplciijoidsr -iirtc-mcsPSHf.ajckJ5eq=S33Ack=JJ6WirM390

39、iLeroicbr 3intc-mc5FFNrAfK死q=X2Ack=JJ6WirH39O5LeMlD1JTiT 北！酹 勺 皿阳哼吧wM幅iFDU理 JO-UO.Ef庖 簷MHMwanmena55ionConnarj.100强弓 ZLW74Q5 11.1Z.1J.4141 -intc-ncs FINr KK 5eq=?B62 4ck=L611 in=64L06 Ler=flwr-control 1mtc-nc5 RN3 ack 5eq=78J86 Act-OU Xin=6i240 Len=O3出 Zir 94845211.39)同 眄盯的加351 23-950906 17230.158.10

40、0J52 23-950906 17230.158.100J53 23-95090? 17230.158.100172.3D.15&.104 IL 1此门49 11.12.13. OT11.12.13. W11.12.13. wr-control IKK Seq=2QU Ack=783B7 Win=6S050 Ler=0 rrpp oirtggvc 比K 5eq=401 Ack=372 h1n=65165 len=0 iutc-rrcs 4144 ack 5eq=ieil Aclc=2fl63 Win=M153 Len=O决 Ack二543 win=H9 Len=O3*4 23 - 947477

41、 11.12,13,99J45 23.947533 11.12.13.172. W.158.1Wa Fraire 347【5筍 byres on 詬 r缶 56 bytes cape lred)g Ethernet IIt Src: 10: &c:2:ei:20:la (10 :Ocz2:e3:2O:ls) t IDst: Hangzhaj_a:6a: 50 (i30:2l :ac:B3:fia :50)S internet Protocal ? 5rc: 11.12,13, Cll. 12,13.99) D5t: 172.30,158,100 (172,30.153.100)Q Transn

42、l&siofri control Protocol, rc Port: oirtqsvc (4141)! ter Port: rnpp (1121),宝q: 1&9)Ack: 401)Lian: 2 ffl ReaSiSenbl ed TCP SegnEfrts (6 btes) : 546(4),34-7(2)田 TPKTa version： 3P Length： 6B H.2453 PDU Type: cofflund (?)S coManri: endSesai crConvrand (5)日 endsslorKoiiiiand: disconnect fl)di scannect: UULL2) 外网被叫终端抓包报文