SIP ALG

SIP ALG 작업

SIP 트래픽에는 신호와 미디어 스트림의 두 가지 유형이 있습니다. SIP 신호 전송 트래픽은 클라이언트와 서버 간의 요청 및 응답 메시지로 구성되며 UDP 또는 TCP와 같은 전송 프로토콜을 사용합니다. 미디어 스트림은 전송 프로토콜을 사용하여 데이터(예: 오디오 데이터)를 전달합니다.

Junos OS 릴리스 12.3X48-D25 및 Junos OS 릴리스 17.3R1부터 SIP ALG는 TCP를 지원합니다. SIP ALG를 통한 TCP 지원은 서버를 자주 재등록하거나 새로 고칠 필요가 없으므로 서버에 대한 트래픽을 줄입니다.

기본적으로 Junos OS는 포트 5060에서 SIP 신호 메시지를 지원합니다. SIP 서비스를 허용하는 정책을 생성하여 포트를 구성할 수 있으며, 소프트웨어는 다른 유형의 트래픽과 마찬가지로 SIP 신호 트래픽을 필터링하여 허용하거나 거부합니다. 그러나 미디어 스트림은 통화 중에 여러 번 변경될 수 있는 동적으로 할당된 포트 번호를 사용합니다. 고정 포트가 없으면 미디어 트래픽을 제어하기 위한 정적 정책을 만드는 것은 안전하지 않습니다. 이 경우 디바이스는 SIP ALG를 호출합니다. 미디어 세션에 사용되는 디바이스 전송 포트는 미리 알 수 없습니다. 그러나 SIP 협상에 사용되는 포트는 잘 알려져 있거나 미리 정의되어 있습니다. ALG는 제어 세션의 패킷에 대한 관심을 등록하여 다른 패킷과 쉽게 구별할 수 있으며, 미디어 세션에 사용되는 전송 정보(IP 주소 및 포트 모두)에 대한 협상을 검사합니다.

SIP ALG는 SIP 트랜잭션을 모니터링하고 이러한 트랜잭션에서 추출한 정보를 기반으로 핀홀을 동적으로 생성 및 관리합니다. 주니퍼 네트웍스 SIP ALG는 모든 SIP 방법과 응답을 지원합니다. SIP 서비스를 허용하는 정적 정책을 생성하여 SIP 트랜잭션이 주니퍼 네트웍스 방화벽을 통과하도록 허용할 수 있습니다. 정책이 SIP 트래픽을 검사하도록 구성된 경우(또는 보다 적절하게는 정책이 검사를 위해 일부 트래픽을 SIP ALG로 전송하는 경우), 허용된 행동은 트래픽을 허용하거나(이 경우 적절한 핀홀이 열림) 트래픽을 거부하는 것입니다.

SIP ALG는 SDP를 포함하는 SIP 메시지를 가로채고 파서를 사용하여 핀홀을 생성하는 데 필요한 정보를 추출합니다. SIP ALG는 패킷의 SDP 부분을 검사하고 파서는 IP 주소 및 포트 번호와 같은 정보를 추출하며, SIP ALG는 이를 핀홀 테이블에 기록합니다. SIP ALG는 핀홀 테이블에 기록된 IP 주소와 포트 번호를 사용하여 핀홀을 열고 미디어 스트림이 디바이스를 통과할 수 있도록 합니다.

NEC SIP 제품은 조건부로 지원됩니다.

SDP 세션 설명

SDP 세션 설명은 멀티미디어 세션을 검색하고 참여하기에 충분한 정보를 전달하기 위해 잘 정의된 형식입니다. 세션은 한 줄에 하나씩 일련의 속성/값 쌍으로 설명됩니다. 속성 이름은 단일 문자, 그 뒤에 = 및 값입니다. 선택적 값은 =*로 지정됩니다. 값은 ASCII 문자열이거나 공백으로 구분된 특정 유형의 시퀀스입니다. 속성 이름은 세션, 시간 또는 미디어 내에서만 같은 연관된 구문 구성 내에서만 고유합니다.

SDP 설명의 많은 필드 중 두 개는 전송 레이어 정보를 포함하고 있기 때문에 SIP ALG에 특히 유용합니다.

• c= 연결 정보

  이 필드는 세션 또는 미디어 수준에 나타날 수 있습니다. 다음 형식으로 나타납니다.

  c=<네트워크 유형><주소 유형><연결 주소>

  Junos OS는 네트워크 유형으로 "IN"(인터넷용), 주소 유형으로 "IPv4", 대상(연결) IP 주소로 유니캐스트 IP 주소 또는 도메인 이름만 지원합니다. Junos OS 릴리스 15.1X49-D40 및 Junos OS 릴리스 17.3R1부터는 "IPv6" 주소 유형도 지원됩니다.

  대상 IP 주소가 유니캐스트 IP 주소인 경우, SIP ALG는 미디어 설명 필드 m=에 지정된 IP 주소와 포트 번호를 사용하여 핀홀을 생성합니다.

• m= 미디어 발표용

  이 필드는 미디어 수준에 나타나며 미디어에 대한 설명을 포함합니다. 다음 형식으로 나타납니다.

  m=<media><port><transport><fmt list>

  현재 Junos OS는 애플리케이션 레이어 전송 프로토콜로 "RTP"를 지원합니다. 포트 번호는 미디어 스트림의 대상 포트를 나타냅니다(원본은 원격 UA에 의해 할당됨). 형식 목록(fmt 목록)은 미디어가 사용하는 애플리케이션 레이어 프로토콜에 대한 정보를 제공합니다.

  소프트웨어는 RTP 및 RTCP(Real-Time Control Protocol)에 대해서만 포트를 엽니다. 모든 RTP 세션에는 해당 RTCP 세션이 있습니다. 따라서 미디어 스트림이 RTP를 사용할 때마다 SIP ALG는 RTP와 RTCP 트래픽 모두에 대해 포트를 예약(핀홀 생성)해야 합니다. 기본적으로 RTCP의 포트 번호는 RTP 포트 번호보다 1 높습니다.

핀홀 생성

각 핀홀(RTP 트래픽용과 RTCP 트래픽용)은 동일한 대상 IP 주소를 공유합니다. IP 주소는 SDP 세션 설명의 c= 필드에서 가져옵니다. c= 필드는 SDP 세션 설명의 세션 수준 또는 미디어 수준 부분에 나타날 수 있으므로 구문 분석기는 (SDP 규칙에 따라) 다음 규칙에 따라 IP 주소를 결정합니다.

• 먼저 SIP ALG 파서는 미디어 수준에서 IP 주소를 포함하는 c= 필드를 찾습니다. 이러한 필드가 있는 경우, 파서는 해당 IP 주소를 추출하고 SIP ALG는 해당 주소를 사용하여 미디어에 대한 핀홀을 생성합니다.

• 미디어 수준에 c= 필드가 없는 경우, SIP ALG 파서는 세션 수준의 c= 필드에서 IP 주소를 추출하고 SIP ALG는 해당 IP 주소를 사용하여 미디어에 대한 핀홀을 생성합니다. 세션 설명에 어느 수준에서든 c= 필드가 포함되어 있지 않은 경우, 이는 프로토콜 스택에 오류가 있음을 나타내며, 디바이스는 패킷을 삭제하고 이벤트를 기록합니다.

SIP ALG는 신호 트래픽을 위한 핀홀도 엽니다. 이러한 신호 핀홀은 이전 신호 세션 시간 초과 후에 유용하며, 이전 신호 세션과 일치하지 않는 타사 주소로 전송되는 신호 트래픽에도 유용합니다. SIP ALG 신호 핀홀은 대상 IP와 대상 포트만 지정되는 RTP 또는 RTCP 핀홀과 달리 절대 만료되지 않습니다.

SIP ALG는 필요한 경우 다음 헤더에 대한 신호 핀홀을 엽니다.

• 비아

• 연락처

• 경로

• 기록 경로

SIP ALG는 핀홀을 생성하기 위해 다음 정보가 필요합니다. 이 정보는 SDP 세션 설명 또는 SIP 헤더(위에 나열된 대로)에서 제공됩니다.

• 프로토콜—UDP 또는 TCP.

• 소스 IP - 알 수 없음.

• 소스 포트 - 알 수 없음.

• 대상 IP - 파서는 미디어 또는 세션 수준의 c= 필드에서 대상 IP 주소를 추출합니다.

• 대상 포트 - 파서는 미디어 수준의 m= 필드에서 RTP의 대상 포트 번호를 추출하고 다음 공식을 사용하여 RTCP의 대상 포트 번호를 계산합니다.

  RTP 포트 번호 + 1

• Lifetime—이 값은 패킷이 통과할 수 있도록 핀홀이 열리는 시간(초 단위)을 나타냅니다. 패킷은 수명이 만료되기 전에 핀홀을 통과해야 합니다. 수명이 만료되면 SIP ALG는 핀홀을 제거합니다.

  패킷이 수명 기간 내에 핀홀을 통과하면 그 직후 SIP ALG는 패킷이 들어온 방향의 핀홀을 제거합니다.

  그림 1 은 두 SIP 클라이언트 간의 통화 설정과 SIP ALG가 RTP 및 RTCP 트래픽을 허용하기 위해 핀홀을 만드는 방법을 설명합니다. 이 그림은 디바이스에 SIP를 허용하는 정책이 있으므로 SIP 신호 메시지를 위한 포트 5060을 여는 것으로 가정합니다.

  그림 1: SIP ALG 통화 설정

• SIP ALG에 대한 IPv6 지원 이해하기
• UDP 기반 SIP ALG에 대한 사용 중 램프 필드 지원 확장 이해
• SIP ALG 요청 방법 이해하기
• SIP ALG 구성 개요
• SIP ALG DoS 공격 보호 이해하기
• SIP ALG 알 수 없는 메시지 유형 이해
• SIP ALG 통화 시간 및 시간 초과 이해

SIP ALG 보류 리소스 유지(CLI 절차)

독점 SIP 통화 흐름을 수용하려면:

발신 통화

내부에서 외부 네트워크로 SIP 요청 메시지로 SIP 통화가 시작되면 NAT는 SDP의 IP 주소와 포트 번호를 대체하고 IP 주소와 포트 번호를 주니퍼 네트웍스 방화벽에 바인딩합니다. Via, Contact, Route 및 Record-Route SIP 헤더 필드(있는 경우)도 방화벽 IP 주소에 바인딩됩니다. ALG는 재전송 및 SIP 응답 메시지에 사용하기 위해 이러한 매핑을 저장합니다.

그런 다음 SIP ALG는 방화벽에 핀홀을 열어 SDP 및 Via, Contact, Record-Route 헤더 필드의 정보를 기반으로 협상된 동적으로 할당된 포트의 디바이스를 통해 미디어가 허용됩니다. 또한 핀홀을 통해 수신 패킷이 Contact, Via 및 Record-Route IP 주소 및 포트에 도달할 수 있습니다. 반환 트래픽을 처리할 때 ALG는 원래 Contact, Via, Route 및 Record-Route SIP 필드를 패킷에 다시 삽입합니다.

수신 전화

수신 통화는 공용 네트워크에서 공용 정적 NAT 주소 또는 디바이스의 인터페이스 IP 주소로 시작됩니다. 정적 네트워크 주소 변환(NAT)은 내부 호스트를 가리키는 정적으로 구성된 IP 주소입니다. 인터페이스 IP 주소는 내부 호스트가 SIP 등록 기관으로 보내는 REGISTER 메시지를 모니터링할 때 ALG에 의해 동적으로 기록됩니다. 디바이스가 수신 SIP 패킷을 수신하면 세션을 설정하고 패킷의 페이로드를 SIP ALG로 전달합니다.

ALG는 SIP 요청 메시지(처음에는 INVITE)를 검사하고 SDP의 정보를 기반으로 나가는 미디어에 대한 게이트를 엽니다. 200 OK 응답 메시지가 도착하면 SIP ALG는 IP 주소 및 포트에서 NAT를 수행하고 아웃바운드 방향으로 핀홀을 엽니다. (열린 게이트의 수명은 짧으며 200 OK 응답 메시지가 신속하게 수신되지 않으면 시간이 초과됩니다.)

200 OK 응답이 도착하면 SIP 프록시는 SDP 정보를 검사하고 각 미디어 세션에 대한 IP 주소와 포트 번호를 읽습니다. 디바이스의 SIP ALG는 주소 및 포트 번호에 대해 NAT를 수행하고, 아웃바운드 트래픽에 대한 핀홀을 열며, 인바운드 방향의 게이트에 대한 시간 제한을 새로 고칩니다.

ACK가 200 OK에 도착하면 SIP ALG도 통과합니다. 메시지에 SDP 정보가 포함된 경우, SIP ALG는 IP 주소와 포트 번호가 이전 INVITE에서 변경되지 않도록 합니다. 변경된 경우 ALG는 오래된 핀홀을 삭제하고 새로운 핀홀을 생성하여 미디어가 통과할 수 있도록 합니다. 또한 ALG는 Via, Contact, Record-Route SIP 필드를 모니터링하고 이러한 필드가 변경되었다고 판단되면 새로운 핀홀을 엽니다.

착신 전환된 통화

착신 전환된 통화는 예를 들어 네트워크 외부의 사용자 A가 네트워크 내부의 사용자 B에게 전화를 걸고 사용자 B가 네트워크 외부의 사용자 C에게 통화를 전달하는 경우입니다. SIP ALG는 사용자 A의 INVITE를 일반 수신 통화로 처리합니다. 그러나 ALG가 네트워크 외부에서 B에서 C로 전달된 통화를 검사하고 B와 C가 동일한 인터페이스를 사용하여 도달한다는 것을 알아차리면 미디어 가 사용자 A와 사용자 C 사이에 직접 흐르기 때문에 방화벽에 핀홀을 열지 않습니다.

통화 종료

BYE 메시지가 호출을 종료합니다. 디바이스가 BYE 메시지를 수신하면 다른 메시지와 마찬가지로 헤더 필드를 변환합니다. 그러나 BYE 메시지는 수신자가 200 OK로 승인해야 하기 때문에 ALG는 200 OK를 전송할 시간을 허용하기 위해 5초 동안 호출 해제를 지연합니다.

Re-INVITE 메시지 호출

Re-INVITE 메시지는 통화에 새 미디어 세션을 추가하고 기존 미디어 세션을 제거합니다. 새로운 미디어 세션이 통화에 추가되면 방화벽에 새 핀홀이 열리고 새 주소 바인딩이 생성됩니다. 프로세스는 원래 통화 설정과 동일합니다. 모든 미디어 세션 또는 미디어 핀홀이 통화에서 제거되면 BYE 메시지가 수신될 때 통화가 제거됩니다.

통화 세션 타이머

예방 조치로, SIP ALG는 하드 타임아웃 값을 사용하여 통화가 존재할 수 있는 최대 시간을 설정합니다. 이렇게 하면 다음 이벤트 중 하나가 발생할 경우 디바이스가 보호됩니다.

• 통화 중에 엔드 시스템이 충돌하고 BYE 메시지가 수신되지 않습니다.

• 악의적인 사용자는 SIP ALG를 공격하려는 시도로 BYE를 보내지 않습니다.

• SIP 프록시의 잘못된 구현은 Record-Route를 처리하지 못하고 BYE 메시지를 보내지 않습니다.

• 네트워크 장애로 인해 BYE 메시지를 수신할 수 없습니다.

통화 취소

어느 쪽이든 CANCEL 메시지를 보내 통화를 취소할 수 있습니다. 취소 메시지를 수신하면 SIP ALG는 방화벽을 통해 핀홀을 닫고(열린 경우) 주소 바인딩을 해제합니다. 리소스를 해제하기 전에 ALG는 제어 채널 만료를 약 5초 동안 지연하여 최종 200 OK가 통과할 시간을 허용합니다. 487 또는 비 200 응답이 도착하는지에 관계없이 5초 시간 제한이 만료되면 통화가 종료됩니다.

포킹

포크를 사용하면 SIP 프록시가 단일 INVITE 메시지를 여러 대상에 동시에 보낼 수 있습니다. 단일 통화에 대해 여러 개의 200 OK 응답 메시지가 도착하면 SIP ALG는 구문 분석하지만 수신한 처음 200개의 OK 메시지로 통화 정보를 업데이트합니다.

SIP 메시지

SIP 메시지 형식은 SIP 헤더 섹션과 SIP 본문으로 구성됩니다. 요청 메시지에서 헤더 섹션의 첫 번째 줄은 메서드 유형, request-URI 및 프로토콜 버전을 포함하는 요청 줄입니다. 응답 메시지에서 첫 번째 줄은 상태 코드가 포함된 상태 줄입니다. SIP 헤더에는 신호 전송에 사용되는 IP 주소와 포트 번호가 포함되어 있습니다. 빈 줄로 헤더 섹션과 구분된 SIP 본문은 세션 설명 정보를 위해 예약되어 있으며 이는 선택 사항입니다. Junos OS는 현재 SDP만 지원합니다. SIP 본문에는 미디어 전송에 사용되는 IP 주소와 포트 번호가 포함되어 있습니다.

SIP 헤더

다음 샘플 SIP 요청 메시지에서 NAT는 헤더 필드의 IP 주소를 대체하여 외부 네트워크에서 숨깁니다.

IP 주소 변환이 수행되는 방법은 메시지의 유형과 방향에 따라 다릅니다. 메시지는 다음 중 하나일 수 있습니다.

• 인바운드 요청

• 아웃바운드 대응

• 아웃바운드 요청

• 인바운드 응답

표 1 은 이러한 각 사례에서 네트워크 주소 변환(NAT)이 어떻게 수행되는지 보여줍니다. 몇몇 헤더 필드의 경우 ALG는 메시지가 네트워크 내부에서 오는지 외부에서 오는지는 그 이상을 결정합니다. 또한 어떤 클라이언트가 호출을 시작했는지, 메시지가 요청인지 응답인지를 판별해야 합니다.

SIP 본문

SIP 본문의 SDP 정보에는 ALG가 미디어 스트림을 위한 채널을 생성하는 데 사용하는 IP 주소가 포함됩니다. 또한 SDP 섹션의 변환은 리소스를 할당합니다, 즉 미디어를 보내고 받기 위한 포트 번호입니다.

샘플 SDP 섹션에서 발췌한 다음 내용은 리소스 할당을 위해 변환되는 필드를 보여줍니다.

SIP 메시지에는 둘 이상의 미디어 스트림이 포함될 수 있습니다. 이 개념은 전자 메일 메시지에 여러 파일을 첨부하는 것과 비슷합니다. 예를 들어, SIP 클라이언트에서 SIP 서버로 전송된 INVITE 메시지에는 다음 필드가 있을 수 있습니다.

Junos OS는 각 방향에 대해 협상된 최대 6개의 SDP 채널을 지원하여 통화당 총 12개의 채널을 지원합니다. 자세한 정보는 SIP ALG 이해를 참조하십시오.

SIP NAT 시나리오

그림 2 와 그림 3 은 SIP 통화 INVITE 및 200 OK를 보여줍니다. 그림 2에서 ph1은 ph2에 SIP INVITE 메시지를 보냅니다. 굵은 글꼴로 표시된 헤더 필드의 IP 주소가 디바이스에 의해 어떻게 변환되는지 확인합니다.

INVITE 메시지의 SDP 섹션은 발신자가 미디어를 수신할 위치를 나타냅니다. 미디어 핀홀에는 RTCP 및 RTP를 위한 두 개의 포트 번호인 52002와 52003이 포함되어 있습니다. Via/Contact Pinhole은 SIP 신호를 위한 포트 번호 5060을 제공합니다.

그림 3의 200 OK 응답 메시지에서 INVITE 메시지에서 수행된 변환이 어떻게 반전되는지 관찰하십시오. 이 메시지의 IP 주소는 공용이므로 변환되지 않지만 미디어 스트림이 개인 네트워크에 액세스할 수 있도록 게이트가 열립니다.

그림 2: SIP NAT 시나리오 1

그림 3: SIP NAT 시나리오 2

SIP 응답의 클래스

SIP 응답은 SIP 트랜잭션에 대한 상태 정보를 제공하고 응답 코드 및 이유 구를 포함합니다. SIP 응답은 다음 클래스로 그룹화됩니다.

• 정보(100 - 199) - 요청이 수신되었으며 요청을 계속 처리합니다.

• 성공(200 - 299) - 작업이 성공적으로 수신, 파악 및 수락되었습니다.

• 리디렉션(300 - 399) - 요청을 완료하는 데 추가 조치가 필요합니다.

• 클라이언트 오류(400 - 499) - 요청에 잘못된 구문이 포함되어 있거나 이 서버에서 이행할 수 없습니다.

• 서버 오류(500 - 599) - 서버가 겉보기에 유효한 요청을 이행하지 못했습니다.

• 전역 장애(600 - 699) - 어떤 서버에서도 요청을 이행할 수 없습니다.

표 2는 현재 SIP 응답의 전체 목록을 제공합니다.

SIP IPv6 ALG에 대한 순수 IPv6 모드(NAT66)의 NAT 모드

SIP IPv6 ALG는 NAT44와 마찬가지로 NAT66을 지원합니다. NAT66(IPv6 NAT)은 NAT44(IPv4 NAT)와 유사한 소스 NAT 및 정적 NAT 기능을 제공합니다.

NAT-PT

NAT-PT(네트워크 주소 변환 프로토콜 변환)(RFC 2766)는 IPv4 및 IPv6 데이터그램의 프로토콜 독립 변환을 통해 IPv6 전용 노드와 IPv4 전용 노드 간의 통신을 허용하는 프로토콜 변환 메커니즘으로, 세션에 대한 상태 정보가 필요하지 않습니다.

NAT-PT는 IPv6 주소에서 IPv4 주소로 또는 그 반대로 일반 NAT로 구현됩니다. SIP ALG는 주소가 일반 네트워크 주소 변환(NAT)에서 처리되는 것처럼 페이로드에서 이러한 주소 변환을 처리합니다.

NAT-PT는 IPv6 네트워크의 주소를 IPv4 네트워크의 주소와 또는 그 반대로 바인딩하여 주소 영역 사이를 트래버스하는 데이터그램에 투명한 라우팅을 제공합니다.

NAT-PT의 주요 장점은 최종 디바이스와 네트워크가 IPv4 주소 또는 IPv6 주소를 실행할 수 있고 트래픽은 어느 쪽에서든 시작할 수 있다는 것입니다.

NAT64

NAT64는 IPv6 호스트가 IPv4 서버와 통신할 수 있도록 하는 메커니즘입니다. NAT64는 IPv6에서 IPv4로의 주소 매핑을 유지하는 데 필요합니다. 이러한 주소 매핑은 시스템 관리자에 의해 정적으로 구성되거나(무상태 변환), IPv6 네트워크의 첫 번째 패킷이 변환될 NAT64에 도달할 때 자동으로 생성되기도 합니다(스테이트풀).

NAT64는 영구 NAT를 사용하여 디바이스에서 구현됩니다. 첫 번째 SIP 요청 메시지(첫 번째 패킷은 IPv6에서만 제공되어야 함)가 DUT를 통과하면 주소 바인딩이 생성되고 패킷이 양방향으로 흐를 수 있습니다.

NAT64 메커니즘은 IPv6 패킷을 IPv4 패킷으로 또는 그 반대로 변환하며, 이를 통해 IPv6 클라이언트는 유니캐스트 UDP, TCP 또는 ICMP를 사용하여 IPv4 서버에 연결할 수 있습니다. NAT-PT 및 NAT64 동작은 비슷해 보이지만 이러한 메커니즘은 다르게 구현됩니다.

영구 NAT64가 구현되면 NAT가 레코드 주소에 구성된 경우 IPv6을 지원하는 SIP ALG는 NAT 변환을 영구 NAT 바인딩 테이블에 추가합니다. 영구 NAT는 구성된 주소를 복제할 수 없으므로 동일한 주소에 구성된 NAT66과 NAT64의 공존은 지원되지 않습니다.

동일한 소스 IP 주소에 대해 하나의 바인딩만 생성됩니다.

STUN 및 SIP ALG

STUN(Session Traversal 공공 서비스 설비 for NAT)은 VoIP가 NAT 및 방화벽을 통해 작동하도록 하는 솔루션입니다.

이전에는 STUN이 SIP ALG 없이 작동했습니다. 이는 영구 NAT가 구성될 때 SIP ALG가 관여하지 않았다는 것을 의미합니다.

STUN은 SIP ALG와 공존할 수 있으며 영구 NAT가 구성되면 SIP ALG가 관여합니다.

그림 4: SIP 레지스트라 사용