一、引言
    
     　　下一代网络（Next Generation Network，NGN）是一种基于分组交换技术的通信网络，在整体构架、信令控制、承载网络等方面都与现有的电路交换网络存在很大不同。软交换技术作为一种在分组网内实现通信话路交换与媒体传输的技术，将是NGN网络的核心技术。由于软交换技术本身就是基于IP分组网的，因此在现有的基础数据网上，完全可以建立起一套软交换的构架。带来的好处有：现有的许多基于IP的协议可以被继续利用，大量的网络设备和终端设备都可以直接被应用到软交换网络中。虽然在现有数据网的基础上构建软交换网络具有上述的优点，但也存在许多问题，其中私网穿越就是一个需要解决的问题。
    
     二、在软交换体系中面临的私网穿越问题
    
     　　1. 私网的概念与NAPT技术的产生
    
     　　随着基于TCP/IP的互联网的普及，私有网络（简称私网）的数量和规模也越来越大。私网，就是采用私有的IP地址来连接各个网络设备组成的相对独立和封闭的网络。这种组网方式在组建各种规模局域网时被大量应用。可以说，在当今的网络世界里，使用私网IP地址的网络设备的数量，要远远大于拥有合法Internet网IP地址的设备数量。为了能够让这些设备可以访问私网外部的资源，NAT（网络地址转换）技术也就应运而生。私网内部设备试图访问外部网络时NAT技术可以将其私有的IP地址转换成合法的IP地址。在运用NAT的同时，一般还会运用动态的端口转换（PAT）技术，以解决合法IP地址紧缺的问题。这种技术实现方法是，对于一个私网中的所有设备，共用一个或多个合法的IP地址作为出口地址，只有在设备请求连接外部网络时，才为这个请求分配一个合法IP地址和一个端口号，来进行外部连接；当这个请求结束时，端口号和IP地址也就随即被收回。NAT与PAT经常被同时使用，称为网络地址端口转换（NAPT）。NAPT的运用，为IP网络带来了很多好处：如缓解了IPv4构架下Internet网络的IP地址紧张问题，提高了私有网络内部的安全性和可管理性。由于具有这些优点，NAPT被大量运用到各种私网网关设备上，它是绝大多数网络路由器设备的一个基本功能，也是网络防火墙功能的重要组成部分。
    
    
      
    
    
     　　2. NAPT影响软交换的问题
    
     　　（1）NAT问题
    
     　　现在假设我们具有一个如图1所示的软交换网络，在这个网络中，终端A与终端B在私网内，只有私网IP地址，而终端C具有独立的合法IP地址。为了便于描述，假设所有终端都是SIP终端，软交换与终端间的通讯也采用标准的SIP协议。若终端A向终端B发起呼叫请求，则会产生一个如图2所示的消息包，这个消息包在经过路由器的NAPT后，变成图3所示的消息包(其中1050为NAPT动态分配的端口号)。
    
    
      
    
    
     　　由于终端B在向软交换注册时，通过SIP协议层的注册消息告诉软交换的是它的私有地址，并且在终端B没有主动对外发起连接请求时，防火墙不会为其分配可被访问的IP地址和端口号，因此软交换根本无法将INVITE消息发送给终端B，呼叫无法接续。
    
     　　（2）PAT问题
    
     　　假设由终端A向终端C发起呼叫，由于终端C上面没有防火墙或路由器，软交换可以顺利地把INVITE消息包转发到终端C，这个消息中携带SDP信息，用于终端间的媒体协商。媒体协商的主要目的就是选择合适的编解码器，并建立RTP媒体流的连接。由终端A发送的INVITE消息中携带的SDP信息内容如图4所示(其中10006是终端A建立RTP连接的端口号)。
    
    
    
     
     图4 INVITE消息中的SDP信息
    
    
     　　终端C收到SDP信息后，就会试图与192.168.0.3:10006建立RTP连接，很明显这是一个私网内部的地址，因此通话也自然无法建立起来。
    
     　　从以上分析可以看出，NAPT影响到软交换通信的主要有两方面：一方面，私网内设备都采用内部IP地址，虽然经过NAPT可以将IP层的地址转换为外部地址，但是对于更上面的应用层消息中的私有IP地址却无能为力，称作NAT问题。另一方面，私网设备只是在向外部主动发起连接时，才会被分配到合法IP和端口号。若不做特殊处理，设备对外部网络来说是不可见的，也无法接受软交换发来的呼叫请求，这个可以称作PAT问题。基于SIP协议的问题如此，当软交换与终端间使用其它协议如H.323，MGCP或H.248协议时，类似的问题也同样存在。
    
     三、一种私网穿越问题的解决方法
    
     　　1. 解决NAPT穿越问题的各种方法
    
     　　（1）NAT/ALG方法
    
     　　此方法通过在防火墙或路由器上，增加对VoIP相关的应用层协议的识别和处理能力，来实现私网穿越。这种方案比较直观，但是最大缺点就是对于用户来说，必须更换或升级他们的路由器或防火墙，并且随着相关协议的发展和扩充，设备也必须跟着进行升级。
    
     　　（2）为私网设备设置代理的方法
    
     　　这种方法不用对用户设备做任何改动，仅在运营软交换网络的局端增加一种特殊的Proxy设备，就可以实现私网的穿越。笔者认为，这种技术与前面的技术相比，具有更大的优越性。这种Proxy，在进行信令的代理和转换的同时，也进行媒体流的代理，我们暂且称其为NAT/FW Proxy。
    
     　　（3）其它的一些方案
    
     　　其它穿越私网的方案，还有MIDCOM 方案、STUN方案、TURN方案等，这些方案与NAT/ALG方案类似，不是需要升级路由器、防火墙，就是需要升级终端设备。
    
     　　2. 用NAT/FW Proxy解决私网PAT问题
    
     　　以图1为例，将NAT/FW Proxy设备添加到软交换网络中，形成的如图5所示的网络结构。添加了NAT/FW Proxy设备以后，所有私网网关（路由器或防火墙）后面的终端设备，都要将注册地址从软交换设备地址更改为NAT/FW Proxy设备的IP地址。而NAT/FW Proxy设备与软交换设备之间的交互可以采用SIP，MGCP或者H.248等协议，这与其代理的设备类型有关。
    
     　　一方面，在设备向NAT/FW Proxy发出注册信息后，NAT/FW Proxy会为设备分配一个代理信令端口，然后用NAT/FW Proxy的地址替换原注册信息中的终端地址（Contact域），并通过这个端口向软交换发送。这样，今后无论是终端发向软交换的信令消息，还是软交换发向终端的信令消息，都会经过NAT/FW Proxy，以便于其对这些信令进行特殊处理。另一方面，当私网中的终端设备向NAT/FW Proxy设备发出注册消息时，安装在私网外层的私网网关就会给这个连接随机分配一个合法IP地址与端口号，形成一个“窗口”。NAT/FW PROXY设备收到注册消息后，只要能够设法保持这个“窗口”一直开放，然后把这个端口号与在设备上分配的代理端口号绑定，就相当于建立了一条设备到软交换之间透明的信令通道，也就解决了NAPT中的PAT问题。
    
     　　保持这个“窗口”的方法，根据终端的不同也会有所区别。比如对于SIP终端，可以设置一个较小的注册有效期，这样终端设备就会不断的向NAT/FW Pro

（责任编辑：企业网 来源：企业网D1Net）