防火墙H323协议处理流程与H323_ALG应用

一．H.323 协议简介H.323 协议簇是 ITU 的一个标准协议栈，它是一个有机的整体，根据功能可以将它分为 4 类协议，也就是说该协议从系统的总体框架（H.323）、视频编解码（H.263）、音频编解码（G.723.1）、系统控制（H.245）、数据流的复用（H.225）等各方面作了比较详细的规定。H323 系统中的信息流是视频、音频和控制消息的组合。系统控制的协议包括H.323、H245 和 H225.0，而 Q.931 和 RTP/RTCP 是 H225.0 的主要组成部分。整个系统控制由 H.245 控制信道、H225.0 呼叫信令信道和 RAS（注册、许可、状态）信道提供。H.225 它主要处理传输路径问题，描述了如何操作网络包上的视频、音频、数据和控制信息使其提供 H.323 装备会话服务。H.225 主要有两个部分：呼叫信令和 RAS （注册、接入允许和状态）。H.225 详细定义了 Q.931 信令信息的使用和支持。在 IP 网络的 TCP 端口 1720 需要创建一个可靠的 TCP 呼叫控制信道，该端口完成 Q.931 呼叫控制信息的初始化，从而实现连接、维持和呼叫分离功能。H.245 是 H.323 多媒体通信体系中的控制信令协议，其主要用于处于通信中的 H.323 终点或终端间的端到端 H.245 信息交换。H.245 制定了一个控制信道分段和重新装配的协议层（CCSRL，Control Channel Segmentation and Reassembly Layer），它可以在易出错环境下保证应用的可靠性。H.245 提供了一种功能交换的功能，它支持两端设备通过协商确定一组通用的功能集。二．防火墙 H.323 ALG 功能简介当部网络的 H.323 终端穿越防火墙与公网上的 H.323 终端进行通信时，由于 NAT 功能只能将传输层的 IP 及端口进行转换，无法对 H.323 协议应用层携带的部数据进行转换，应用层中部数据直接被转发至公网，后续协议信息处理时会出现问题；而 H323 ALG 则可以实现应用层数据转换，协议数据发至 Internet 时，将其应用层部信息转换成公网信息，实现完全隐藏部终端达到通信正常的目的。另外，应用防火墙一般只开放特定端口的数据进入部网络， H.323 协议属于多通道协议，控制连接使用端口 1720，数据交换使用端口为临时协商，无法事先预知，若无 ALG 功能，协商出数据交换通道所用端口后，外部网络终端尝试对部终端数据交换的端口进行连接时，防火墙会对其进行阻断，从而数据传输通道无法建立；开启 H.323 ALG 功能后，会在对应用层转换的 IP 地址及端口进行转换的同时，将其信...