VOIP H323 e SIP. Alessandro Coneglian Bianchini alessanc@gmail.com

Transcrição

1 VOIP H323 e SIP Alessandro Coneglian Bianchini alessanc@gmail.com

2 Apresentação Alessandro Coneglian Bianchini exerce a função de engenheiro na NEC Brasil, atuando na elaboração de projetos e implantação de VoIP, Wireless, Redes e Segurança da informação; formado em engenharia elétrica com ênfase em telecomunicações pela Escola de Engenharia Mauá-SP, pós-graduado em segurança da informação pelo IBTA-SP e também pós-graduado em engenharia de rede e sistema de telecomunicações pelo INATEL-MG; Possui certificações de fabricantes como Cisco,Allied Telesyn, Fortinet e Vmware. 2

3 Certificações VCP 4 Vmware Certified Professional 4.0 VCP 3 Vmware Certified Professional 3.0 ITIL v3 Foundation CCNP - Cisco Certified Network Professional CCDP - Cisco Certified Design Professional CCVP - Cisco Certified Voice Professional CCSP - Cisco Certified Security Professional CCNA - Cisco Certified Network Associate CCDA - Cisco Certified Design Associate CAWDS Cisco Advanced Wireless Design Specialist CAWFS Cisco Advanced Wireless Field Specialist CISS - Cisco Information Security Specialist CIOSSS - Cisco IOS Security Specialist CFWS - Cisco Firewall Specialist CIPSS - Cisco IPS Specialist FCNSA- Fortinet Certified Network Security Administrator CAIR Certified Allied installation Router CAIS Certified Allied installation switch CASE Certified Allied system engineer 4011 Recognition - CNSS (Committee on National Security Systems) 4013 Recognition CNSS (Committee on National Security Systems) 3

4 Objetivo Mostrar de uma maneira pratica, como ocorre uma chamada usando os protocolos de sinalização mais comum em VOIP. Os principais problemas de implementação e suas devidas soluções 4

5 Agenda Firewall NAT DHCP DNS Pacote de VOIP QOS Interfaces CODEC RTP H323 SIP Problemas e soluções 5

6 Firewall Firewall é o mecanismo de segurança interposto entre a rede interna e a rede externa com a finalidade de liberar ou bloquear o acesso de computadores remotos aos serviços que são oferecidos em um perímetro ou dentro da rede corporativa. Este mecanismo de segurança pode ser baseado em hardware, software ou uma mistura dos dois 6

7 Firewall Internet Terminal service VPN Regra IP origem Porta origem IP destino Porta destino protocolo Ação qualquer qualquer 80 TCP permite qualquer qualquer 23 TCP permite qualquer TCP permite qualquer UDP permite qualquer qualquer qualquer ICMP não permite 6 qualquer qualquer qualquer qualquer qualquer não permite 7

8 NAT NAT como o próprio nome diz (network address translation), faz a tradução dos endereços Ip e portas da rede local para a Internet. Ou seja, o pacote enviado ou a ser recebido de sua estação de trabalho na sua rede local, vai até o servidor onde é trocado pelo ip do mesmo substitui o ip da rede local validando assim o envio do pacote na internet, no retorno do pacote a mesma coisa, o pacote chega e o ip do servidor é trocado pelo Ip da estação que fez a requisição do pacote. 8

9 NAT IP origem IP destino IP origem IP destino Internet IP origem IP destino

10 NAT IP origem IP destino IP origem IP destino IP origem IP destino NAT Internet IP origem IP destino IP origem IP destino IP origem IP destino

11 Pacote de VOIP IP UDP RTP VOZ Codificada IP UDP RTP VOZ VOZ VOZ VOZ 11

12 CODECs Padrão G.711 G.729 G.723 GSM TDMA CDMA Data aprovação Taxa de transmissão 64K 8K 6.3K- 5.3K 5.6K 7.95K 8/4/2/1 Tipo de codificador PCM CS- ACELP CS- ACELP VCELP VCELP Qualcom CELP Qualidade de voz (MOS) /

13 RTP Real Time Protocol Foi projetado para permitir que os receptores compensem o jitter, a perda de seqüência dos pacotes introduzidos pela rede IP Pode ser usado para qualquer fluxo de dados em tempo real como voz e vídeo É usado em cima do UDP É sempre uma porta PAR 13

14 Pacote RTP V P X CC M Tipo de payload Numero de seqüência Timestamp Identificador de fonte de sincronização (SSRC) Identificador de fonte Contribuinte (CSRC) não usado no H323 Depende do perfil Tamanho Dados (voz e Vídeo) 14

15 Pacote RTP V são 2 bits que indica a versão do RTP P Indica se o payload sofreu algum enchimento para fins de alinhamento X Indica a presença de extensões do cabeçalho CC contador de 4 bits que informa quantos identificadores CSRC vem após o cabeçalho fixo M marcador de 1 bit é definido pelo perfil do RTP, informa que para codificações de áudio que supressão de silencio, ele deve ser colocado em 1 15

16 Pacote RTP cont. Tipo de payload 7 bits que indica o tipo de dado que esta sendo carregado, este payloads estáticos estão definidas na RFC 1889 e na RFC

17 Tipo de payload PT Codec Aplicação 0 PCM u-law Voz 8 PCM A-LAW Voz 9 G.722 Voz 4 G.723 Voz 15 G.728 Voz 18 G.729 Voz 34 H.263 Vídeo 31 H.261 Vídeo 17

18 Pacote RTP Numero de seqüência 16 bits, e começa com um valor aleatório e é incrementado a cada pacote RTP Timestamp 32 bits, uma forma de mostrar o timestamp é a quantidade de segundos passado desde 01/01/1900 às 00:00 Identificador de fonte de sincronização(ssrc) fonte de fluxo RTP identificada, identificada por 32 bits, todos os pacote RTP com um SSRC comum possuem a mesma referencia de tempo Identificador de fonte contribuinte (CSCR) Quando um fluxo RTP é resultado de uma combinação de vários fluxos contribuintes feita por um misturador (mixer)rtp a lista com os SSRC de cada um dos fluxos contribuintes é adicionadas ao cabeçalho RTP do fluxo resultante, como uma lista de CSRCs. 18

19 H.323 Define principalmente a sinalização necessária para estabelecimento, conferencia,controle da chamada e escolha do CODEC É um conjunto de protocolo: Q.931,H.225,H.245,H

20 M ode m Bank Modem B ank Exemplo de uma chamada simples entre dois terminais 3344 GW1 GW \ \24 20

21 Inicialização da chamada O H.323 usa um subconjunto do protocolo Q931 utilizado em ISDN, mensagem de sinalização para controle de chamada na interface Usuáriorede As seguintes mensagem fazem parte do núcleo do H323 e devem ser suportados por todos os terminais: Setup Alerting Connect Release complete Status Facility 21

22 Mod em Bank Modem Ban k 3344 GW \24 Frame Relay GW \24 H.225 Endereço H :

23 Estabelecendo o canal de controle Canal H245 é mantido durante toda a chamada Negociação de capacidades Canal H245 é único entre dois terminais, mesmo se existir vários fluxo de mídia 23

24 Mod em Bank Modem Ban k 3344 GW \24 Frame Relay GW \24 H.245 G.711 A-LAW G.729 G.711 A-LAW G

25 Inicio da chamada GW1 abre canal de mídia de vos no GW2 Canal é unidirecional Utiliza-se os codecs negociados na fase anterior 25

26 Mod em Bank Modem Ban k 3344 GW \24 Frame Relay GW \24 H.245 Canal lógico 1 RR RTCP 7771 RTP 7770 G711 A LAW Canal lógico 1 SR RTCP 9345 RTP

27 Dialogo O usuário com o telefone 1122 está falando com o usuário do telefone 3344 Os pacotes RTCP SR enviados por GW1 são usado por GW2 para que este sincronize os múltiplos fluxos RTP e também para estimar a taxa de espera Os pacotes RTCP RR enviados por GW2, permite que GW1 meça a qualidade de serviço entre eles 27

28 Mod em Bank Modem Ban k 3344 GW \24 Frame Relay GW \24 Fluxo RTP GW1 para GW2 Canal lógico 1 RR RTCP 7771 RTP 7770 RTCP RR RTCP SR Canal lógico 1 SR RTCP 9345 RTP 9344 Canal H245 TCP 8999 Mensagens de controle Canal H245 TCP

29 Finalização de uma chamada Quem for finalizar a chamada deve enviar uma mensagem H245 Close Logical Channel para cada canal lógico que foi aberto E o destino enviar Close Logical Channel ACK Depois todos os canais lógicos devem ser fechados, O GW1 envia o comando EndSessionCommand Espera a confirmação do GW2 e canal de controle H.245 é fechado E os dois terminais devem enviar uma mensagem H225 release complete 29

30 Mod em Bank Modem Ban k 3344 GW \24 Frame Relay GW \24 Canal H245 TCP 8999 Close Logical Channel Close Logical Channel ACK Canal H245 TCP 8741 Canal lógico 1 RR RTCP 7771 RTP 7770 Fluxo RTP GW1 para GW2 X RTCP RR RTCP SR Canal lógico 1 SR RTCP 9345 RTP 9344 End Session Comand End Session Comand Canal H225 TCP 1720 Release Complete Release Complete Canal H225 TCP

31 Modem Bank Mo dem B ank Chamadas utilizando Gatekeeper Gatekeeper Server GW1 GW \ \24 31

32 Gateway se registra no Gatekeeper O gateway envia uma mensagem RAS RRQ (registration Request) porta UDP 1719 O gatekeeper confirma com uma mensagem RCF (registration Confirm), na qual o gatekeeper designa um identificador único para esse terminal e deverá ser copiado em em todas as mensagens RAS subseqüentes 32

33 Modem Bank Mo dem B ank Registro no gatekeeper Gatekeeper Server 1122 RRQ RCF 3344 GW1 GW \ \24 33

34 Pedindo permissão para fazer uma chamada ARQ (Admission Request) Numero sequencial Identificador do terminal Tipo de chamada (fim-fim) Informação de destino E.164 CallID Estimativa de largura de banda ACF (Admission Confirm) 34

35 Modem Bank Modem Bank 1122 Server Gatekeeper 3344 GW \24 Frame Relay GW \24 ARQ quero falar 3344 ACF :1720 SETUP ARQ ACF Alerting Connect 35

36 Finalizando uma chamada DRQ (Disangage Request) para avisar para o gatekeeper que a largura de banda foi liberada DCF (Disangage Confirm) 36

37 M o d em B a n k M o d em B a n k Canal H245 TCP 8999 Canal lógico 1 RR RTCP 7771 RTP 7770 G W 1 G W 2 G a t e w a y F X S \ 2 4 S e r v e r Frame Relay G a t e k e e p e r Close Logical Channel Close Logical Channel ACK Fluxo RTP GW1 para GW2 X RTCP RR RTCP SR End Session Comand End Session Comand G a t e w a y F X S \ 2 4 Canal H245 TCP Canal lógico 1 SR RTCP 9345 RTP 9344 Canal H225 TCP 1720 Release Complete Release Complete DRQ Canal H225 TCP 1720 DRQ DCF DCF 37

38 FAX sobre IP T.30 T.38 38

39 Serviços suplementares H.450 H descreve o protocolo funcional genérico para o suporte de serviço suplementares no H.323 H descreve o serviço suplementar para transferência de chamada H Desvio de chamada H450.4 Hold H Call park H Call Waiting H Message Waiting indication MWI H Name Identification H Call Completation H Call Offer H Call Intrusion 39

40 SIP ( Session Initiation Protocol) Definido pela RFC 3261 SDP (Session Description Protocol) RFC2237 SAP (Session Announcement Protocol) RTSP (Real Time Stream Protocol) para controlar os servidores de dados de tempo real. SCCP(Simple Conference Control Protocol) 40

41 Modem Ba nk Modem Bank Exemplo de uma chamada simples entre dois terminais 3344 GW1 GW \ \24 41

42 Mod em Bank Modem Bank 3344 GW \24 Frame Relay GW \24 Invite C=IN IP M=áudio RTP/AVP OK ACK Porta G.711 INVITE 200 -OK ACK G.729 Porta

43 Mod em Bank Modem Bank Rejeição de CODEC 3344 GW \24 Frame Relay GW \24 0 G.711 Invite 3344@ C=IN IP M=áudio RTP/AVP Not Acceptable Aviso: 370 insufucient bandwith C=IN IP M=áudio RTP/AVP GSM 4 G

44 Mod em Bank Modem Bank Proxy de Transcodificação 3344 GW \24 Frame Relay GW \24 Invite C=IN IP M=áudio RTP/AVP Not Acceptable Aviso: 370 insufucient bandwith C=IN IP M=áudio RTP/AVP 3 4 Invite 3344@ C=IN IP M=áudio RTP/AVP 0 Server Invite 3344@ C=IN IP M=áudio 23432RTP/AVP 3 GSM

45 Mod em Bank Modem Bank Chamada - Ocupado 3344 GW \24 Frame Relay GW \24 Invite 3344@ C=IN IP M=áudio RTP/AVP Busy Here ACK 45

46 Mod em Bank Modem Bank Finalizando uma chamada 3344 GW \24 Frame Relay GW \24 BYE OK 46

47 Mod em Bank Modem Bank Sinalização de uma chamada completa 3344 GW \24 Frame Relay GW \24 INVITE OK ACK BYE Conversa Ativa OK 47

48 Modem Bank Modem Bank 1122 Server Proxy SIP 3344 GW \24 Frame Relay GW \24 INVITE INVITE OK OK ACK ACK 48

49 Chamada entre gateways atrás de Firewall Firewall bloqueia ou libera o pacote através de por exemplo IP, Porta, etc. As portas das aplicações são bem defindas. VOIP utiliza portas dinâmica Como eu faço para implementar VOIP atras de um Firewall? 49

50 Modem Bank Modem Ban k 3344 GW1 GW2 INTERNET \ \24 H.225 Endereço H :

51 Chamada entre gateways atrás de NAT Endereços privados não são roteados na internet O Payload traz informação do endereço ip do canal de voz Como posso ter uma conexão de voz atras de NAT? 51

52 Modem Bank Modem Ban k 3344 GW1 GW2 INTERNET \ \24 H.225 Endereço H :