一次語音流量穿越飛塔Gate不通問題的解決過程

1、次語音流量穿越飛塔Gate不通的解決過程V1.0北京超圣信華科技有限公司2016年4月11日5三日匚問題：一次語音穿越Gate不通的解決過程版本：V1.0日期：2016年4月11日作者：宋澤春摘要：一次語音穿越Gate不通的解決過程關(guān)鍵字：SIP、SDP、SDF、RTP?2016北京超圣信華科技有限公司第2頁，共19頁http.wwwcnseccn電打與日匚文檔記錄文檔名稱一次語音流量穿越飛塔Gate不通的解決過程保密級別內(nèi)部版本編P更新日期更新摘要修訂復(fù)審1.02016年4月11日建立文檔宋澤春文檔說明本文檔描述了一次語音流量穿越飛塔Gate不通的解決過程的說明。?2016北京超圣信華科技有

2、限公司第3頁，共19頁http.wwwcnseccn©門與日匚目錄文檔記錄3文檔說明3第1章需求5第2章SIP淺析5第3章拓?fù)浣Y(jié)構(gòu)5第4章配置部分64.1 配置火墻地址64.2 開啟負(fù)載均衡功能及VOIP高級特性64.3 配置虛擬服務(wù)器74.4 配置真實(shí)服務(wù)器74.5 監(jiān)控檢查84.6 配置虛擬IP94.7 策略配置10第5章分割點(diǎn)12第6章遇到的問題126.1 負(fù)載均衡回切慢問題126.2 語音無法建立問題146.3 語音IPPBX無法回切問題17?2016北京超圣信華科技有限公司第4頁，共19頁http.wwwcnseccn©門與日匚第1章需求內(nèi)部安裝兩臺(tái)IPPBX,外

3、部IP分機(jī)呼入，通過Fortiner200D可實(shí)現(xiàn)負(fù)載均衡功能。當(dāng)主設(shè)備故障后，呼叫會(huì)切換到備用設(shè)備。需求:默認(rèn)語音網(wǎng)關(guān)訪問飛塔VIP流量分發(fā)到IPPBXA上當(dāng)IPPBXA異常，語音網(wǎng)關(guān)訪問飛塔的VIP的流量分發(fā)到IPPBXB上當(dāng)IPPBXA恢復(fù)后，語音網(wǎng)關(guān)訪問飛塔VIP的流量繼續(xù)分發(fā)到IPPBXA上SIP淺析簡單的說SIP有信令流（5060）和媒體流（兩個(gè)人的通話）兩部分組成，信令流主要用作從語音網(wǎng)關(guān)到IPPBX管理系統(tǒng)的注冊，媒體流用來傳輸建立好通道的語音流量。第3章拓?fù)浣Y(jié)構(gòu)拓?fù)浣Y(jié)構(gòu)如下:?2016北京超圣信華科技有限公司第5頁，共19頁http:wwwcnseccn5與日匚第4章配置部分

4、欲完成上述需求，飛塔防火墻需要啟用負(fù)載均衡功能。即，兩個(gè)IPPBX管理系統(tǒng)作為兩臺(tái)服務(wù)器看待，語音網(wǎng)關(guān)作為訪問者看待，飛塔防火墻通過其負(fù)載均衡模塊將兩臺(tái)IPPBX管理系統(tǒng)向語音網(wǎng)關(guān)發(fā)布。4.1 配置火墻地址確定當(dāng)前配置為：WAN口IP為4;LAN口IP為9確定內(nèi)部IPPBX配置（OM50）IPPBX-A:SIP端口5060,RTP端口1001010266;配置IP分機(jī)220,注冊密碼123321IPPBX-B:SIP端口5060,RTP端口1101011266;配置IP分機(jī)220,注冊密碼123321NAT_IP:需要配置NAT_IP為192

5、.168.120.44,以保證IPPBX信令攜帶的IP地址是防火墻的WAN口IP,從而可以建立正確的語音流。對接語音網(wǎng)關(guān)配置MX8A:IP地址為9,配置注冊服務(wù)器4（200D的WAN口IP）,配置PHONE1口號碼220,注冊密碼1233214.2 開啟負(fù)載均衡功能及VOIP高級特性如下圖所示，在FortiGate中開啟負(fù)載及VOIP特性?2016北京超圣信華科技有限公司第6頁，共19頁http:wwwcnseccn4.3配置虛擬服務(wù)器登錄FortiGate200D的配置界面，進(jìn)入策略&對象下的負(fù)載均衡，打開虛擬服務(wù)器頁面。新建一個(gè)虛

6、擬服務(wù)器。具體配置如下圖。其中虛擬服務(wù)器的IP地址為200D的WAN口地址。史利持曲版名器p包叱器加合載方僮方式憂罰71定HTTT®即料甲EKIUDP»|wan1.1匹16%而4懸，I連卷知，F(xiàn)T個(gè)HTTP：百木.05=ffl-*TCPjlg5SLHM證書假持有尸漏巾群戶謂笈巾GateIFortinSSL可選的TCPmHJ."-FTC的一check-hftp-Pino監(jiān)機(jī)班員TTCPFlfl.-HE嘯粉一ch«k-pm2：0/2554.4 配置真實(shí)服務(wù)器進(jìn)入真實(shí)服務(wù)器頁面，添加兩個(gè)，分別是IPPBX-A和IPPBX-B的IP地址?2016北京超圣信華科技

7、有限公司第7頁，共19頁http:wwwcnseccn5與日匚第一臺(tái)設(shè)為激活模式，作為主設(shè)備i歪七噫日仙即。，含崛t192.J6B.1DO.11G端口506D贓1二起商W0=HIIP工機(jī)嗟大已瓶百，確認(rèn)I盤消第二臺(tái)設(shè)為待機(jī)模式，作為備份設(shè)備|tppbx1rlIPML192J&a.lD0,T20吐口50eG格市1顯大麟數(shù)。mr主機(jī)慢式肯禮.4.5 監(jiān)控檢查點(diǎn)開監(jiān)控檢查頁面，根據(jù)實(shí)際情況配置檢查規(guī)則。此規(guī)則用于FortiGate200D判斷內(nèi)部IPPBX是否處于正常工作狀態(tài)。當(dāng)配置完成監(jiān)控檢查后，需回到虛擬服務(wù)器頁面，選擇健康檢查?2016北京超圣信華科技有限公司第8頁，共19頁http.

8、wwwcnseccn|(SnSBC健康檢直可選的 TCP潴視-4 HTTP監(jiān)視check-http Pinq監(jiān)視成員，TC嚙視，HTTP監(jiān)視-PinQ監(jiān)視-check-ping洋蜂0/2554.6 配置虛擬IP說明：配置虛擬IP是用于建立RTP端口映射進(jìn)入策略&對象下的對象，打開虛擬IP頁面，新建兩個(gè)虛擬IP,用于IPPBX-A和IPPBX-B的端口映射書海生祥建口克里源地此瞞蚱割颯眉圉映月的地同檢囿*瑞口轅發(fā)愉議外承那先端口里對到端口UOTPAI70屋55|喟獻(xiàn)11srarc/vi'Q.0.0.0-0.0,D.Q2,108.100.11010TCPU

9、DP5CTPICMPfl0010-10266W01Q-W2b6?2016北京超圣信華科技有限公司第9頁，共19頁http.wwwcnseccn&門三曰匚用尸名主解捶口類型源地處遢慎外部IF坨址范司映射的I丹蜘島國TCFUDPSCTPICMP外翻畸喘口1J010-11.256|眼4注觸二1101Q-11266梆諛墉認(rèn)由他4.7 策略配置說明：之前建立的虛擬服務(wù)器和虛擬IP,必須建立相應(yīng)的規(guī)則，才可以使用。那么整體需要建立四條規(guī)則規(guī)則1:從內(nèi)到外的允許，啟用NAT規(guī)則2:從外到內(nèi)的VIP發(fā)布規(guī)則3:從外到IPPBXA的媒體流交互規(guī)則4:從外到IPPBXB的媒體流交互建立虛擬服務(wù)器的規(guī)則：進(jìn)

10、入策略&對象下的測率，打開IPV4頁面，點(diǎn)擊新建。注意目的地址配置為虛擬服務(wù)器輸入的名稱。下圖簡單介紹VIP發(fā)布及IPPBX發(fā)布配置?2016北京超圣信華科技有限公司第10頁，共19頁http.wwwcnseccn日門與日匚克人接口原境北月產(chǎn);3克出揍口目的利H目盍；q曉I動(dòng)作L防火暗/網(wǎng)絡(luò)避項(xiàng)只用河支至靛正文fT府痛毒網(wǎng)幣討出M，應(yīng)劇的、，IVoIP.白山卦初|default闋I'dsfault晶Idefault|鬲IdfAUltI國|certIflcate-irpectlQin國建立虛擬IP的規(guī)則：注意目的地址配置為虛擬IP輸入的名稱流人接口源地址用尸設(shè)普融接口目的地址同回

11、去服務(wù)推防火病/網(wǎng)將選項(xiàng)啟用N3T安全配置文件反病毒網(wǎng)良過濾-應(yīng)用I瀾LVoIPj-SH顫default圉default國defaultj孱dsfult_一奧certificatenrispeaior晶至此配置完成。?2016北京超圣信華科技有限公司第11頁，共19頁http.wwwcnseccn©門與日匚第5章分割點(diǎn)若無問題，配置到上面即可結(jié)束，本人在測試的過程中不是很順利，發(fā)生了若干問題。具體的每個(gè)問題下面會(huì)有介紹，通過有解決方法和排錯(cuò)過程。第6章遇到的問題6.1 負(fù)載均衡回切慢問題此會(huì)且慢問題本人在自己的電腦上搭建的測試環(huán)境進(jìn)行測試:測試環(huán)境如下:1、Windows7筆記本一臺(tái)

12、2、workstation軟件3、虛擬windows7環(huán)境4、HFS網(wǎng)站快速發(fā)布工具搭建好的環(huán)境監(jiān)控負(fù)載狀態(tài)如下:?2016北京超圣信華科技有限公司第12頁，共19頁http:wwwcnseccnIWttImHVI南H.nttn«n其中一臺(tái)為主機(jī)一臺(tái)為備機(jī)，當(dāng)主機(jī)異常后流量會(huì)切換到備機(jī)，當(dāng)主機(jī)修復(fù)后發(fā)現(xiàn)流量要5分鐘后才會(huì)切換回主機(jī)。5分鐘為飛塔本身的特性，飛塔防火墻負(fù)載下面的服務(wù)器做一個(gè)hold時(shí)間，修復(fù)方式如下：默認(rèn):rortiGatc-xib4#configfircwAnvipFortiGate-vw64(vip)#edittcstFortiGatE-V64(teGt)仲conf

13、"igrealserversFortiGate-VMfi4(realservers)#edit1FerriGate-vw64(1)#showconfiqrealserversedit1setip10.1.1,254port6080nexterdFortlGzte-M64(1)#getid:1ip:10,1,1,254port:EOE。,grLi5holddown-interval:300heaTthcfieck:vipmax-GQnnecfions:0cllent-ip:Forr-ite-VN64#|修改:?2016北京超圣信華科技有限公司第13頁，共19頁http.wwwcnsec

14、cn5與日匚最小時(shí)間為30S，修改為30S保存FortiGate-vw64Cl)#sethoiddown-interval<1ntegcr>Holddownrange(30-65555sec,d電fault=300sqc5.ForTiGate-VM64Cl)#sethoiddown-inrerval20FortiGate-VM64Q)#endFortiGate-VW64Ctest>#endFortiGate-vw64年在兩個(gè)IPPBX上分別更改上面的配置，至此且緩慢的問題解決。6.2 語音無法建立問題在用戶的真是場景中發(fā)生了這樣的問題，語音交換機(jī)可以注冊，但是無法建立語音媒體

15、流。在接觸到這個(gè)問題的時(shí)候首先想到了是否是飛塔的ALG的問題導(dǎo)致的，同時(shí)參考廠商大牛的一個(gè)關(guān)于SIP故障問題處理手冊一個(gè)SIP語音單通故障的處置v1.0_(1).zip參考后有所啟迪，但是并沒有解決本次問題。第一：刪除飛塔的ALG,具體刪除方式不再提及。第二：按照廠商大牛的文檔中的描述，配置VOIP屬性，分別在策略中調(diào)用命令：configvoipprofile命令：editdefault命令：configsip命令：setno-sdp-fixupenable用show命令看一下配置FG20OD3915807831(sip)#showcanfigsipsetlog-violationsenabl

16、esstno-sdp-fixLjpenableend命令：end命令：end在用到的所有出向和入向策略中UTM啟用VOIP,調(diào)用default發(fā)現(xiàn)刪除了ALG和配置VOIP后問題沒有得到解決，這個(gè)時(shí)候沒人任何辦法的情況下，在飛塔的外網(wǎng)口和內(nèi)網(wǎng)口分別抓去數(shù)據(jù)包。?2016北京超圣信華科技有限公司第14頁，共19頁http:wwwcnseccnnssc數(shù)據(jù)包如下:LAN.pcapWAN.pcap打開LAN的數(shù)據(jù)包查看信息如下:制.外.一“中1/5*口口時(shí)應(yīng)，蛆EtagdEggarifiMAsrxscaT«fi(r£n|Jum口znac®Ti|TiF7日日風(fēng)日網(wǎng)F.h二

17、MAdla.W0*:iTu-rc_72fl"'erf'?F，rE，t；6"旗1耳王|1喑卡rot101Rte*i4p，L>p*wd«"-iOe#-No.TnwiutrzaDrarwba-iP-cJLwaLvndiLHuItU.LiMIJU»illJa111a|ii-kuMJWlHIWi4112*I!$，W&iW|Fri!Idl1491WM“曰*VI*IfV/rInternet什efeIUbWg&rc-192m1Z0LJi£19?fet-1W.1IBIKI1U1口EJ/AJN01Q7J?2016北京

18、超圣信華科技有限公司第17頁，共19頁http:wwwcnseccn?2016北京超圣信華科技有限公司第18頁，共19頁http:wwwcnseccn?2016北京超圣信華科技有限公司第19頁，共19頁http.wwwcnseccn.LM.m.LJiUEl*S0«>Lq用口INvin幻，儲(chǔ)1U.LVU.1.-U11440.Him第4-B工251后一192.14914412#112.Ltfi-j110.103F3TKdtEi18TT*gIJhlWlW1睡-IM”H*W，B；】g14LEol?l"137.1EBLIOT-T7Dnz_i6E_Iio.inra-h'm

19、LUK3,tus：kkidk,冊XM*MTan占XbijsrZn*ww'TflJ.l5ff.lflriffFHJE.INLlMUil/Uk-mfjqiwrSTW"1!ti，i'lflUBl-1W-RID.1WJ-D&931X3.33-71A193.1H&.13O.1G31-97.L«B.IDD.imC7P-29LAaqunu：d”K1p-7DDB1：Q7.1：U.UU.1JQJEWM工口依1W.L箝&3«MlRdCid：JJILHITWLPIUV.ULVIIMM&IHMI4.31J-XHd.XBD.IUU.JJU11

20、9U.£M.MHJ.XjEUJBUM.：AW_JCA.X£U.XUJL.XMU：.Jm.XAM.1BJ-JI.uvifMwwR，班qcm,Ere#5rt:£，牛一,Mr自k口*Sosia-iKn'lL'iat'n-iPtGxk:口J如酎丸。MqCKwei3*fieHeidw-WEE時(shí)岫/asmsIohDe5cr1p<1OTrr-Moc#l-4h!fteMFipMn"racwolverj'lcw1(->:0-(Mwir/craTa-.31aid(£陰-i*堂儂E虬；61門及inip412.164.IbO

21、.lltMM田NW(t)："-CcrviK-T-lmHErTfa-Har-ian$h”TtaXP-LIQ.1BE.121kddTiwA£l.ht>tinsfl)I»0iArfi1：R3Cr1p<1wi.p.sne-2-d*E5(R：_Z，0<11241ftFP.iyp】5101?得.2-|3喝?2!4如匕鵬2<!壬riCLBdd中，&<!3X.-31JW-I-333"g署嗓舄4找odnJIJfl3n-*ri*bci'l-KTo14-uQJFS9riiA-1Jw1JT-s31-uii4ri.o.H-&F

22、2件iI,3Bxri23«33al3d43d履hmMMMllMandil-fldisidHd-rli3FT4zi?*3m黑?|方0號改>3f1fejdf31EHIU+F6flaei.-cn尹gHZ需&d,3M*而Iddri-zdsm3n-rj-h,TJr.n3.H4±-S>CM修*14MlXSddS-SlifiMSCrlpflOAITM口53爐Itocripuflfl-ameqk附(mJ：9OwW.Cjg1口1r.5hH±±1I13£d>:-1-1«ODU-91.*皿?T日?Xh二gLRZ.165-120L4

23、4I4Mli)r-6ncni-rCominnTn#wparlEg*Pi*+If?144l?01*-Tiw出當(dāng)b如rim,m.11vitis*Ct>i0dhHl1-aDcscripcioF,rweandfdcesal.p)smHq112-4rtf©2|fl<n8制Jly畫。山gunoOH，3捕3。02誕OJiM加Ffjozw!»JIW曲4111nd川如-i界JI20H201HQ4Ql7同U3«1?>a*:kl皿MXI*FCrpax-etu-tGM"biFvm；tiflwicln*-iwe-iaiL4.>krtprxvrAa-12口用

24、171CHISHHl?il.CKEI；.-.p-jdlaTP.'j«tP-1T田Tra-BP714a-cuul<ipHAp.AH西Ms躺ft：Upe&Lpit；31*gPm如包力帽皿如電?Krk#LHLudtm*.anfiiMlJO.L2fl.fi-2-uIfMIK,IBS-IMDlMJJ,E0rm5014Q2RIP3uTiTfz3.Hl_JH5引：14HfCT?9M.r«-»?0EEd74tpi-v101teIc|te-e?'*c.的Dn,WrtpiiDl0-g.HFjl.qgE.瓠闡打開WAN口的數(shù)據(jù)包發(fā)現(xiàn)信息如下:.rwfh】a

25、(Wfe*«*mm:4乂宙MQBl修&if典可口C#ojv：EnxcjoT*lfi(riwImb|-fiti事30*N=、卬*電事*-口0已、口圖E“*Fite*10E««K5i»n.Oe*>加內(nèi)4hWBifloguauauiflilit.”mwaB*51i*STIWVTTifl鼻.IM!|辰，.|.imdtWl|Kl«A5111WK19Z.10H.IZQ.4419Z.1W.1ZV.193SI*34*St-itvi_1QQTryngM1打JStLUQJ*川；評鋁JW-SM*41niKHiJ110IrgliiV97.啊3騙1?7.1

26、0HIZU4419Z.I05I2W103-用*/ML1MliIkW豆目R-mr1F50StJ£V3_ZOOQK>»ltti305iENulptl此1111770.mviw?llQL2.ififl_1210.101：ia-3.16S.lM.44/工事*HKu癡5TKVTST|2iM*L*?.ie-S.ir0.*421睥21,安1*匚曳,1時(shí)UO打19：IM-JOJ£1*J?2NQ也通過抓包對比，發(fā)現(xiàn)LAN口的RTP端口是11248，到達(dá)WAN口出去的時(shí)候的RTP是11226。發(fā)現(xiàn)RTP的端口被防火墻修改掉了。也就是語音流中的SDP被NAT了。?2016北京超圣

27、信華科技有限公司第15頁，共19頁http.wwwcnseccn電門與日匚修復(fù)方式:配置VOIPprofile,將SDP設(shè)置為不修改Fort!Gate-VM64/Forti<jate-VM64/configvoipprofiledefaultForxlGate-w64(profile#editFortlGate-VM64(default)#conf1gsipFort1Gate-vm64(sip)#setno-sdp-fixupenableFort1cate-vw64(sip)0保存配置后，發(fā)現(xiàn)語音流量已經(jīng)可以建立完成。這個(gè)時(shí)候分別在防火墻的LAN口和WAN口抓包，信息如下:lan.pca

28、pwan.pcapLAN口抓包信息:WAN口抓包信息:&門三日匚Ra日值a百口白皿%鼻HudcTdikciMf»比fitmc0s*用NF7目仁歿ELU回電“J：11LVM1，IA；.ijQi.iOp«pWUSWmETTWEH”射】MIN,1姆，+制、TH7*的1圈1仍243.MT019Z.1DB.129.44lEhZ.1Q«1;UB«3吐JjjNb“川；記.12213=1i.»>95?a&J.ari*1Z0dd19-J.144103-&TM"1PJ.1DI.1TH.14T3J7.IQB.I1/?.H_DA

29、34GtlU-lfiB.1204iLM=16«.1”.1,9.Vim1IT.Lfll.lZO10)lH.lQtia.4dU.1383：bO102/ELlaOLlgIfil-lgA.120-44IL般睦收1IL1MJW.d1.1441押l】力J14.-SJ1133102.Bi!：.1204-419：.IdK.12H-3032/M1MIQ九IMHQ19J19WIFVMCMSI*StJCMJ-100Try-ng剪ty.；11?.IlWlgSI».'5*<B5ZSTJKW3-2(H)CM；wltiidBSionfeacrpt1iehij|2,«6"

30、Kgso-h*XEF435M4MMT!*)B1KElp：2MM.lK.H*.IM,IH：Hi41*何找"加。加SET=i5r-iCuiST.IHiZTE£1pL；2O0B1!9l2.Ifil-.,afTh1d0£Cf1E"iO!in鼾M95V4K«9；1Wlry*rigSir4QTScum:SBD國If-Ftt*W睢媼蚪戲£?QQ«3e,-RliqPt!mkhdhacmTncm-rsfatut-Urw：BFXJ,03g工K-he±-j-I4«Me-iderSdMlDfiM&crlpciiOHwtn

31、acalfiincriptrwikq杷qleMe(m):Q=DwTKr-CT8Ur£l££l<alIJI(Dj.-14&0Q214ii25J35iIHIP41U-16A-100.110E+1qnunf(1):-”Canwca-Icm1TersatdanJ:ETCiM-112-lifi-fl-3JC>n-4-4-Ttw04fc£/l0tlaniKl1vlllwfE>l00I«e4l4MKrigdb.n»eand1u)ruirtHo1QL2Jrtpt2UG.Q1*1。0J24OJCOH。AIM-md1aAXErl

32、buTifcGah匹1*:就a硬CMBmC«hrcmp：Jut<J£>.«UWHfliiH.A-cEr-Jbu<*i:iHradr-flcvArirMIdgWyETPAVFli1717.j-pilMi:2C.k-rcpi；f-:lBr博M鈉*ser»c5r«.'.imfii.fi.-()Me箕1ft：口口向AdHupg317tl注PLZlX111Embw4i.力KrMd-ILudE.UUUJ)：IlAmj-Tc,2*3對比兩個(gè)數(shù)據(jù)包重的RTP端口，均一致為10124.RTP端口均一致，至此呼叫不通問本次抓包共進(jìn)行了三次

33、呼叫，打開數(shù)據(jù)包進(jìn)行對比，發(fā)現(xiàn)題解決。6.3 語音IPPBX無法回切問題在用戶的環(huán)境中發(fā)現(xiàn)，當(dāng)IPPBX切換到備機(jī)的時(shí)候，擋住主機(jī)的IPPBX恢復(fù)后，無法切換回主機(jī)的IPPBX上工作。在此現(xiàn)象上，經(jīng)過一系列排查，發(fā)現(xiàn)是由于備機(jī)的IPPBX的會(huì)話無法結(jié)束導(dǎo)致。對于此問題的解決思路如下：第一：調(diào)整飛塔設(shè)備上的UDP會(huì)話存活時(shí)間。udp-idle-timer是udp信息在火墻中的存活時(shí)間的，將時(shí)間調(diào)整為16S第二：通過在語音設(shè)備的管理控制臺(tái)上看，最后發(fā)送信令的時(shí)間是19:021：叫!-ir卻LUM翼，IKmm二中L士打的旭/.4舊小亂!11把二-P.'S口zm,VikilPj'LCvtJiMP1=1電121?也與口賓ruaaad-1SI2-43劉44：im：gMUb«1'&7被叮4££9型際1To"ZaniIpZSO®iceIWI2W>uq*14JG&J3BM1-1From.ap-XXQift2.1£AIM1-14&dl!WEl11岑*IB14Go46，MK?WC91Y11的23：C&t»l&lMrMf出”“tL乎咐產(chǎn)，0但是過非常久的時(shí)間還是沒有切換回主機(jī)，這個(gè)時(shí)候我去關(guān)注了idle的時(shí)間設(shè)定的是16s。于是在這種情況下，我將idle