SIP ALG

Operação SIP ALG

Existem dois tipos de tráfego SIP, a sinalização e o fluxo de mídia. O tráfego de sinalização SIP consiste em mensagens de solicitação e resposta entre o cliente e o servidor e usa protocolos de transporte como UDP ou TCP. O fluxo de mídia transporta os dados (dados de áudio, por exemplo) usando protocolos de transporte.

A partir do Junos OS Release 12.3X48-D25 e do Junos OS Release 17.3R1, o SIP ALG oferece suporte a TCP. O suporte a TCP sobre o SIP ALG reduz o tráfego para o servidor, eliminando a necessidade de registrar novamente ou atualizar o servidor com frequência.

Por padrão, o Junos OS oferece suporte a mensagens de sinalização SIP na porta 5060. Você pode configurar a porta criando uma política que permita o serviço SIP, e o software filtra o tráfego de sinalização SIP como qualquer outro tipo de tráfego, permitindo ou negando. O fluxo de mídia, no entanto, usa números de porta atribuídos dinamicamente que podem ser alterados várias vezes durante uma chamada. Sem portas fixas, não é seguro criar uma política estática para controlar o tráfego de mídia. Nesse caso, o dispositivo invoca o SIP ALG. As portas de transporte do dispositivo usadas para as sessões de mídia não são conhecidas com antecedência; no entanto, as portas usadas para a negociação SIP são bem conhecidas (ou predefinidas). O ALG registra interesse em pacotes da sessão de controle, que pode ser facilmente distinguido dos outros pacotes, e inspeciona a negociação para obter as informações de transporte usadas para a sessão de mídia (endereços IP e portas).

O SIP ALG monitora as transações SIP e cria e gerencia dinamicamente pinholes com base nas informações que extrai dessas transações. O SIP ALG da Juniper Networks suporta todos os métodos e respostas SIP. Você pode permitir que transações SIP atravessem o firewall da Juniper Networks criando uma política estática que permita o serviço SIP. Se a política estiver configurada para inspecionar o tráfego SIP (ou, mais apropriadamente, se a política enviar algum tráfego para o SIP ALG para inspeção), as ações permitidas serão permitir o tráfego (nesse caso, os orifícios apropriados são abertos) ou negar o tráfego.

O SIP ALG intercepta mensagens SIP que contêm SDP e, usando um analisador, extrai as informações necessárias para criar orifícios. O SIP ALG examina a parte SDP do pacote e um analisador extrai informações como endereços IP e números de porta, que o SIP ALG registra em uma tabela pinhole. O SIP ALG usa os endereços IP e os números de porta registrados na tabela de orifícios para abrir orifícios e permitir que os fluxos de mídia atravessem o dispositivo.

Os produtos NEC SIP são suportados condicionalmente.

Descrições de sessão do SDP

Uma descrição de sessão SDP é um formato bem definido para transmitir informações suficientes para descobrir e participar de uma sessão multimídia. Uma sessão é descrita por uma série de pares de atributo/valor, um por linha. Os nomes dos atributos são caracteres únicos, seguidos por = e um valor. Os valores opcionais são especificados com =*. Os valores são uma cadeia de caracteres ASCII ou uma sequência de tipos específicos separados por espaços. Os nomes de atributo são exclusivos apenas dentro da construção sintática associada, como somente na sessão, hora ou mídia.

Dos muitos campos na descrição do SDP, dois são particularmente úteis para o SIP ALG porque contêm informações da Camada de Transporte.

• c= para informações de conexão

  Esse campo pode aparecer no nível da sessão ou da mídia. Ele aparece neste formato:

  c=<tipo de rede><tipo de endereço><endereço de conexão>

  O Junos OS oferece suporte apenas a "IN" (para Internet) como o tipo de rede, "IPv4" como o tipo de endereço e um endereço IP ou nome de domínio unicast como o endereço IP de destino (conexão). A partir do Junos OS versão 15.1X49-D40 e do Junos OS versão 17.3R1, o tipo de endereço "IPv6" também é suportado.

  Se o endereço IP de destino for um endereço IP unicast, o SIP ALG criará orifícios usando o endereço IP e os números de porta especificados no campo de descrição de mídia m=.

• m= para anúncio de mídia

  Este campo aparece no nível da mídia e contém a descrição da mídia. Ele aparece neste formato:

  lista m=<media><port><transport><fmt>

  Atualmente, o Junos OS oferece suporte ao "RTP" como protocolo de transporte da Camada de aplicativo. O número da porta indica a porta de destino do fluxo de mídia (a origem é alocada pelo UA remoto). A lista de formatos (lista fmt) fornece informações sobre o protocolo da Camada de aplicativo que a mídia usa.

  O software abre portas apenas para RTP e RTCP (Real-Time Control Protocol). Cada sessão RTP tem uma sessão RTCP correspondente. Portanto, sempre que um fluxo de mídia usa RTP, o SIP ALG deve reservar portas (criar orifícios) para o tráfego RTP e RTCP. Por padrão, o número da porta RTCP é um número maior do que o número da porta RTP.

Criação de pinhole

Cada orifício (um para tráfego RTP e outro para tráfego RTCP) compartilha o mesmo endereço IP de destino. O endereço IP vem do campo c= na descrição da sessão do SDP. Como o campo c= pode aparecer na parte no nível da sessão ou no nível da mídia da descrição da sessão do SDP, o analisador determina o endereço IP com base nas seguintes regras (de acordo com as convenções do SDP):

• Primeiro, o analisador SIP ALG procura um campo c= contendo um endereço IP no nível de mídia. Se houver esse campo, o analisador extrai esse endereço IP e o SIP ALG usa esse endereço para criar um orifício para a mídia.

• Se não houver nenhum campo c= no nível de mídia, o analisador SIP ALG extrairá o endereço IP do campo c= no nível de sessão e o SIP ALG usará esse endereço IP para criar um orifício para a mídia. Se a descrição da sessão não contiver um campo c= em nenhum dos níveis, isso indicará um erro na pilha de protocolo, e o dispositivo descartará o pacote e registrará o evento.

O SIP ALG também abre orifícios para o tráfego de sinais. Esses orifícios de sinal são úteis após o tempo limite da sessão de sinal anterior e também são úteis para o tráfego de sinal enviado para um endereço de terceiros que não corresponde à sessão de sinal anterior. Os orifícios de sinal SIP ALG nunca envelhecem, ao contrário dos orifícios RTP ou RTCP, onde apenas o IP de destino e a porta de destino são especificados.

O SIP ALG abre orifícios de sinal para os seguintes cabeçalhos, se necessário:

• VIA

• CONTATO

• ROTA

• ROTA RECORDE

O SIP ALG precisa das seguintes informações para criar um orifício. Essas informações vêm da descrição da sessão do SDP ou dos cabeçalhos SIP (conforme listado acima).

• Protocolo — UDP ou TCP.

• IP de origem — desconhecido.

• Porta de origem — desconhecida.

• IP de destino — O analisador extrai o endereço IP de destino do campo c= no nível de mídia ou sessão.

• Porta de destino — o analisador extrai o número da porta de destino para RTP do campo m= no nível de mídia e calcula o número da porta de destino para RTCP usando a seguinte fórmula:

  Número da porta RTP + um

• Tempo de vida — Esse valor indica o período de tempo (em segundos) durante o qual um orifício é aberto para permitir a passagem de um pacote. Um pacote deve passar pelo orifício antes que o tempo de vida expire. Quando o tempo de vida expira, o SIP ALG remove o orifício.

  Quando um pacote passa pelo orifício dentro do período de vida útil, imediatamente após o SIP ALG remove o orifício para a direção de onde o pacote veio.

  A Figura 1 descreve uma configuração de chamada entre dois clientes SIP e como o SIP ALG cria pinholes para permitir tráfego RTP e RTCP. A ilustração pressupõe que o dispositivo tenha uma política que permita SIP, abrindo assim a porta 5060 para mensagens de sinalização SIP.

  Figura 1: Configuração de chamada SIP ALG

• Entendendo o suporte IPv6 para SIP ALG
• Entendendo o suporte de campo de lâmpada ocupada de escala para o SIP ALG baseado em UDP
• Entendendo os métodos de solicitação SIP ALG
• Visão geral da configuração do SIP ALG
• Entendendo a proteção contra ataques SIP ALG DoS
• Entendendo os tipos de mensagens desconhecidas SIP ALG
• Entendendo a duração e os tempos limite da chamada SIP ALG

Retenção de recursos de retenção SIP ALG (procedimento CLI)

Para acomodar fluxos de chamada SIP proprietários:

Chamadas efetuadas

Quando uma chamada SIP é iniciada com uma mensagem de solicitação SIP da rede interna para a externa, o NAT substitui os endereços IP e números de porta no SDP e vincula os endereços IP e números de porta ao firewall da Juniper Networks. Via, Contato, Rota e Registro-Rota Os campos de cabeçalho SIP, se presentes, também estão vinculados ao endereço IP do firewall. O ALG armazena esses mapeamentos para uso em retransmissões e para mensagens de resposta SIP.

O SIP ALG então abre orifícios no firewall para permitir que a mídia através do dispositivo nas portas atribuídas dinamicamente negociadas com base nas informações no SDP e nos campos de cabeçalho Via, Contact e Record-Route. Os orifícios também permitem que os pacotes de entrada alcancem os endereços IP e portas de contato, via e rota de registro. Ao processar o tráfego de retorno, o ALG insere os campos SIP originais de Contato, Via, Rota e Registro-Rota de volta nos pacotes.

Chamadas recebidas

As chamadas recebidas são iniciadas da rede pública para endereços NAT estáticos públicos ou para endereços IP de interface no dispositivo. NATs estáticos são endereços IP configurados estaticamente que apontam para hosts internos; Os endereços IP da interface são registrados dinamicamente pelo ALG enquanto ele monitora as mensagens REGISTER enviadas por hosts internos ao registrador SIP. Quando o dispositivo recebe um pacote SIP de entrada, ele configura uma sessão e encaminha a carga útil do pacote para o SIP ALG.

O ALG examina a mensagem de solicitação SIP (inicialmente um INVITE) e, com base nas informações do SDP, abre portas para mídia de saída. Quando uma mensagem de resposta 200 OK chega, o SIP ALG executa NAT nos endereços IP e portas e abre orifícios na direção de saída. (Os portões abertos têm um curto tempo de vida e atingem o tempo limite se uma mensagem de resposta 200 OK não for recebida rapidamente.)

Quando uma resposta 200 OK chega, o proxy SIP examina as informações do SDP e lê os endereços IP e os números de porta para cada sessão de mídia. O SIP ALG no dispositivo executa NAT nos endereços e números de porta, abre pinholes para tráfego de saída e atualiza o tempo limite para portões na direção de entrada.

Quando o ACK chega para o 200 OK, ele também passa pelo SIP ALG. Se a mensagem contiver informações de SDP, o SIP ALG garantirá que os endereços IP e os números de porta não sejam alterados em relação ao INVITE anterior — se forem, o ALG excluirá os orifícios antigos e criará novos orifícios para permitir a passagem da mídia. O ALG também monitora os campos SIP Via, Contact e Record-Route e abre novos orifícios se determinar que esses campos foram alterados.

Chamadas encaminhadas

Uma chamada encaminhada é quando, por exemplo, o usuário A fora da rede chama o usuário B dentro da rede e o usuário B encaminha a chamada para o usuário C fora da rede. O SIP ALG processa o CONVITE do usuário A como uma chamada de entrada normal. Mas quando o ALG examina a chamada encaminhada de B para C fora da rede e percebe que B e C são alcançados usando a mesma interface, ele não abre furos no firewall, porque a mídia fluirá diretamente entre o usuário A e o usuário C.

Terminação de chamadas

A mensagem BYE encerra uma chamada. Quando o dispositivo recebe uma mensagem BYE, ele traduz os campos de cabeçalho da mesma forma que faz com qualquer outra mensagem. Mas como uma mensagem BYE deve ser confirmada pelo receptor com um 200 OK, o ALG atrasa a desmontagem da chamada por 5 segundos para dar tempo para a transmissão do 200 OK.

Mensagens de reconvite de chamada

Re-INVITE mensagens, adicione novas sessões de mídia a uma chamada e remova as sessões de mídia existentes. Quando novas sessões de mídia são adicionadas a uma chamada, novos orifícios são abertos no firewall e novas ligações de endereço são criadas. O processo é idêntico à configuração original da chamada. Quando todas as sessões de mídia ou orifícios de mídia são removidos de uma chamada, a chamada é removida quando uma mensagem BYE é recebida.

Temporizadores de sessão de chamada

Como medida de precaução, o SIP ALG usa valores de tempo limite rígidos para definir a quantidade máxima de tempo que uma chamada pode existir. Isso garante que o dispositivo esteja protegido caso ocorra um dos seguintes eventos:

• Os sistemas finais travam durante uma chamada e uma mensagem BYE não é recebida.

• Usuários mal-intencionados nunca enviam um BYE na tentativa de atacar um SIP ALG.

• Implementações ruins do proxy SIP falham ao processar Record-Route e nunca enviam uma mensagem BYE.

• Falhas de rede impedem que uma mensagem BYE seja recebida.

Cancelamento de chamadas

Qualquer uma das partes pode cancelar uma chamada enviando uma mensagem CANCELAR. Ao receber uma mensagem CANCEL, o SIP ALG fecha os orifícios no firewall — se algum tiver sido aberto — e libera as ligações de endereço. Antes de liberar os recursos, o ALG atrasa o envelhecimento do canal de controle por aproximadamente 5 segundos para dar tempo para a passagem dos 200 OK finais. A chamada é encerrada quando o tempo limite de 5 segundos expira, independentemente de uma resposta 487 ou não 200 chegar.

Bifurcação

A bifurcação permite que um proxy SIP envie uma única mensagem INVITE para vários destinos simultaneamente. Quando as várias mensagens de resposta 200 OK chegam para a chamada única, o SIP ALG analisa, mas atualiza as informações da chamada com as primeiras 200 mensagens OK recebidas.

Mensagens SIP

O formato de mensagem SIP consiste em uma seção de cabeçalho SIP e o corpo SIP. Em mensagens de solicitação, a primeira linha da seção de cabeçalho é a linha de solicitação, que inclui o tipo de método, o URI de solicitação e a versão do protocolo. Nas mensagens de resposta, a primeira linha é a linha de status, que contém um código de status. Os cabeçalhos SIP contêm endereços IP e números de porta usados para sinalização. O corpo SIP, separado da seção de cabeçalho por uma linha em branco, é reservado para informações de descrição da sessão, que são opcionais. Atualmente, o Junos OS oferece suporte apenas ao SDP. O corpo SIP contém endereços IP e números de porta usados para transportar a mídia.

Cabeçalhos SIP

No exemplo de mensagem de solicitação SIP a seguir, o NAT substitui os endereços IP nos campos de cabeçalho para ocultá-los da rede externa.

A forma como a conversão de endereço IP é executada depende do tipo e da direção da mensagem. Uma mensagem pode ser qualquer uma das seguintes:

• Solicitação de entrada

• Resposta de saída

• Solicitação de saída

• Resposta de entrada

A Tabela 1 mostra como o NAT é realizado em cada um desses casos. Observe que, para vários dos campos de cabeçalho, o ALG determina mais do que apenas se as mensagens vêm de dentro ou de fora da rede. Ele também deve determinar qual cliente iniciou a chamada e se a mensagem é uma solicitação ou resposta.

Corpo SIP

As informações de SDP no corpo SIP incluem endereços IP que o ALG usa para criar canais para o fluxo de mídia. A tradução da seção SDP também aloca recursos, ou seja, números de porta para enviar e receber a mídia.

O trecho a seguir de uma seção SDP de exemplo mostra os campos que são convertidos para alocação de recursos.

As mensagens SIP podem conter mais de um fluxo de mídia. O conceito é semelhante a anexar vários arquivos a uma mensagem de email. Por exemplo, uma mensagem INVITE enviada de um cliente SIP para um servidor SIP pode ter os seguintes campos:

O Junos OS oferece suporte a até 6 canais SDP negociados para cada direção, para um total de 12 canais por chamada. Para obter mais informações, consulte Noções básicas sobre o SIP ALG.

Cenário SIP NAT

A Figura 2 e a Figura 3 mostram uma chamada SIP INVITE e 200 OK. Na Figura 2, ph1 envia uma mensagem SIP INVITE para ph2. Observe como os endereços IP nos campos de cabeçalho — mostrados em negrito — são traduzidos pelo dispositivo.

A seção SDP da mensagem INVITE indica onde o chamador está disposto a receber mídia. Observe que o orifício de mídia contém dois números de porta, 52002 e 52003, para RTCP e RTP. O orifício de via/contato fornece o número da porta 5060 para sinalização SIP.

Observe como, na mensagem de resposta 200 OK na Figura 3, as traduções realizadas na mensagem INVITE são revertidas. Os endereços IP nesta mensagem, sendo públicos, não são traduzidos, mas os portões são abertos para permitir que o fluxo de mídia acesse a rede privada.

Figura 2: Cenário 1 do SIP NAT

Figura 3: Cenário 2 do SIP NAT

Classes de respostas SIP

As respostas SIP fornecem informações de status sobre transações SIP e incluem um código de resposta e uma frase de motivo. As respostas SIP são agrupadas nas seguintes classes:

• Informativo (100 a 199) — Solicitação recebida, continuando a processá-la.

• Sucesso (200 a 299) — Ação recebida, compreendida e aceita com sucesso.

• Redirecionamento (300 a 399) — Ação adicional necessária para concluir a solicitação.

• Erro do cliente (400 a 499) — A solicitação contém sintaxe incorreta ou não pode ser atendida neste servidor.

• Erro de servidor (500 a 599) — O servidor falhou ao atender a uma solicitação aparentemente válida.

• Falha global (600 a 699) — A solicitação não pode ser atendida em nenhum servidor.

A Tabela 2 fornece uma lista completa das respostas SIP atuais.

Modo NAT no modo IPv6 puro (NAT66) para SIP IPv6 ALG

O SIP IPv6 ALG suporta NAT66 assim como NAT44. O NAT66 (IPv6 NAT) fornece funções NAT de origem e NAT estáticas semelhantes ao NAT44 (IPv4 NAT).

NAT-PT

Network Address Translation Protocol Translation (NAT-PT) (RFC 2766) é um mecanismo de tradução de protocolo que permite a comunicação entre nós somente IPv6 e IPv4 por meio da tradução independente de protocolo de datagramas IPv4 e IPv6, não exigindo informações de estado para a sessão.

NAT-PT é implementado por NAT normal do endereço IPv6 para o endereço IPv4 e vice-versa. O SIP ALG processa essas traduções de endereços no payload da mesma forma que os endereços são processados no NAT normal.

O NAT-PT vincula os endereços na rede IPv6 aos endereços na rede IPv4 e vice-versa para fornecer roteamento transparente para os datagramas que atravessam entre os domínios de endereço.

A principal vantagem do NAT-PT é que os dispositivos finais e as redes podem executar endereços IPv4 ou IPv6 e o tráfego pode ser iniciado de qualquer lado.

NAT64

O NAT64 é um mecanismo para permitir que hosts IPv6 se comuniquem com servidores IPv4. O NAT64 é necessário para manter o mapeamento de endereços IPv6 para IPv4. Esse mapeamento de endereço é configurado estaticamente pelo administrador do sistema (tradução sem estado) ou, mais frequentemente, criado automaticamente quando o primeiro pacote da rede IPv6 atinge o NAT64 para ser traduzido (stateful).

O NAT64 é implementado em dispositivos usando NAT persistente. Quando a primeira mensagem de solicitação SIP (o primeiro pacote deve ser apenas do IPv6) atravessa o DUT, a vinculação de endereços é criada e, em seguida, os pacotes podem fluir em ambas as direções.

O mecanismo NAT64 converte pacotes IPv6 em pacotes IPv4 e vice-versa, o que permite que os clientes IPv6 entrem em contato com os servidores IPv4 usando UDP, TCP ou ICMP unicast. O comportamento do NAT-PT e do NAT64 parece semelhante, mas esses mecanismos são implementados de forma diferente.

Quando NAT64 com NAT persistente é implementado, o SIP ALG com suporte a IPv6 adiciona a conversão de NAT à tabela de associação de NAT persistente se o NAT estiver configurado no endereço de registro. Como o NAT persistente não pode duplicar o endereço configurado, não há suporte para a coexistência de NAT66 e NAT64 configurados no mesmo endereço.

Apenas uma associação é criada para o mesmo endereço IP de origem.

STUN e SIP ALG

Session Traversal Concessionárias for NAT (STUN) é uma solução para fazer o VoIP funcionar através de NAT e firewall.

Anteriormente, o STUN funcionava sem o SIP ALG. Isso significa que o SIP ALG não estava envolvido quando o NAT persistente foi configurado.

O STUN pode coexistir com o SIP ALG e o SIP ALG está envolvido quando o NAT persistente está configurado.

Figura 4: Usando o registrador SIP