??? 摘 要: 軟交換" title="軟交換">軟交換和全IP網(wǎng)絡(luò)是通信技術(shù)發(fā)展的趨勢。介紹了應(yīng)用于MGC和MG之間的H.248/Megaco協(xié)議，以及如何在TCP和UDP上傳輸該協(xié)議的各種消息。討論了提高該協(xié)議在IP網(wǎng)上傳輸安全性的兩種方法。
??? 關(guān)鍵詞: H.248/Megaco? 軟交換? 全IP網(wǎng)絡(luò)? 安全

?

??? 隨著IPv6技術(shù)的成熟和市場的發(fā)展，網(wǎng)絡(luò)的全IP化是未來通信網(wǎng)絡(luò)發(fā)展的必然趨勢，傳統(tǒng)電路交換網(wǎng)和互聯(lián)網(wǎng)也正在互相融合，電信網(wǎng)的核心部分將演化成為單一的分組網(wǎng)絡(luò)。作為下一代網(wǎng)絡(luò)（NGN）控制核心的軟交換，結(jié)合了傳統(tǒng)電話網(wǎng)絡(luò)可靠性和IP技術(shù)的靈活性、有效性等優(yōu)點，是傳統(tǒng)的電路交換網(wǎng)向分組化網(wǎng)絡(luò)過渡的重要網(wǎng)絡(luò)概念。軟交換的核心思想就是通過業(yè)務(wù)與呼叫控制" title="呼叫控制">呼叫控制分離以及呼叫控制與承載分離實現(xiàn)相對獨立的業(yè)務(wù)體系，使業(yè)務(wù)真正獨立于網(wǎng)絡(luò)，靈活有效地實現(xiàn)業(yè)務(wù)的提供。因此將傳統(tǒng)的網(wǎng)關(guān)分解為媒體網(wǎng)關(guān)控制器MGC（Media Gateway Controller）和媒體網(wǎng)關(guān)MG（Media Gateway），這種結(jié)構(gòu)的最大好處在于業(yè)務(wù)和網(wǎng)絡(luò)規(guī)模具有良好的可擴展性。
??? 媒體網(wǎng)關(guān)可以劃分為中繼媒體網(wǎng)關(guān)、ATM 中繼媒體網(wǎng)關(guān)和綜合業(yè)務(wù)媒體網(wǎng)關(guān)等類型，主要用于終結(jié)電路交換網(wǎng)的媒體流" title="媒體流">媒體流以及負責各種用戶或接入網(wǎng)的綜合接入。媒體網(wǎng)關(guān)控制器則對與媒體網(wǎng)關(guān)中的媒體通道的連接控制相關(guān)的呼叫狀態(tài)部分進行控制。目前，媒體網(wǎng)關(guān)控制器與媒體網(wǎng)關(guān)之間通過H.248/Megaco協(xié)議進行通信。媒體網(wǎng)關(guān)控制器可以通過它實現(xiàn)對媒體網(wǎng)關(guān)的控制，媒體網(wǎng)關(guān)也可以通過它向媒體網(wǎng)關(guān)控制器報告用戶端的事件，從而實現(xiàn)正常的通信。
1 軟交換的體系結(jié)構(gòu)及H.248/Megaco協(xié)議
??? 軟交換設(shè)備（Soft Switch）也稱為呼叫服務(wù)器（Call Server）或者媒體網(wǎng)關(guān)控制器MGC，它是NGN的控制功能實體，為NGN提供具有實時性要求的業(yè)務(wù)呼叫控制和連接控制功能，是呼叫與控制的核心。MGC的功能主要包括呼叫控制功能、業(yè)務(wù)提供功能、業(yè)務(wù)交換功能、資源管理功能、互聯(lián)互通功能、SIP代理功能、媒體網(wǎng)關(guān)接入功能等。軟交換網(wǎng)絡(luò)從功能上可以分為應(yīng)用層、控制層、傳輸層和接入層，如圖1所示。

?

??? 應(yīng)用層利用底層的各種網(wǎng)絡(luò)資源為用戶提供豐富多樣的網(wǎng)絡(luò)業(yè)務(wù)。主要包括應(yīng)用服務(wù)器AS（Application Server）、AAA服務(wù)器（Authority Authentication and Accounting Server）、策略服務(wù)器PS（Policy Server）和智能網(wǎng)SCP等。其中最主要的功能實體是應(yīng)用服務(wù)器，它是軟交換網(wǎng)絡(luò)體系中業(yè)務(wù)的執(zhí)行環(huán)境。
??? 控制層主要提供呼叫控制、連接控制、協(xié)議處理等能力，并為業(yè)務(wù)層提供訪問底層各種網(wǎng)絡(luò)資源的開放接口。該層的主要組成部分是MGC。
??? 傳輸層負責提供各種信令和媒體流傳輸?shù)耐ǖ溃W(wǎng)絡(luò)的核心傳輸網(wǎng)將是IP分組網(wǎng)絡(luò)。
??? 接入層提供各種網(wǎng)絡(luò)和設(shè)備接入到核心骨干網(wǎng)的方式和手段，主要包括信令網(wǎng)關(guān)、媒體網(wǎng)關(guān)、接入網(wǎng)關(guān)等多種接入設(shè)備。
??? 在通信系統(tǒng)中，控制是通過協(xié)商解決的，相應(yīng)地就必須有協(xié)議。在NGN體系結(jié)構(gòu)中，軟交換作為控制中心，正是通過支持H.248/Megaco、SIP、SIGTRAN、BICC、H.323等多種協(xié)議實現(xiàn)的。
??? 軟交換設(shè)備之間采用SIP（Session Initiation Protocol）協(xié)議或者BICC（Bearer Independent Call Control）協(xié)議，軟交換設(shè)備與信令網(wǎng)關(guān)之間采用信令傳送協(xié)議SIGTRAN（Signaling Transport）在IP網(wǎng)絡(luò)中傳遞電路交換信令。在軟交換設(shè)備與媒體網(wǎng)關(guān)、H.248終端以及接入網(wǎng)關(guān)之間則采用H.248/Megaco協(xié)議。
??? H.248/Megaco協(xié)議是 2000年由 ITU-T第 16工作組提出的媒體網(wǎng)關(guān)控制協(xié)議" title="媒體網(wǎng)關(guān)控制協(xié)議">媒體網(wǎng)關(guān)控制協(xié)議，它是在早期的 MGCP協(xié)議（RFC2705）基礎(chǔ)上結(jié)合其它媒體網(wǎng)關(guān)控制協(xié)議特點發(fā)展而成的一種協(xié)議。它提供控制媒體的建立、修改和釋放機制，同時也可攜帶某些隨路呼叫信令，支持傳統(tǒng)網(wǎng)絡(luò)終端的呼叫，解決了H.323的復(fù)雜、伸縮性差等問題，是下一代網(wǎng)絡(luò)關(guān)鍵的媒體網(wǎng)關(guān)控制協(xié)議。
??? H.248/Megaco的另一個特點是消息格式既可以采用文本格式，也可以采用ASN.1的二進制編碼格式。在對媒體流進行描述時，如果消息格式是文本格式，則采用SDP描述媒體流。如果消息格式是二進制編碼格式，則使用協(xié)議規(guī)定的編碼。因此在協(xié)議實現(xiàn)時，若要求各廠商設(shè)備互通，就需要實現(xiàn)兩種編碼方式。這一特點是IETF和ITU-T合作的結(jié)果。H.248/Megaco協(xié)議中的主要概念有終結(jié)點、關(guān)聯(lián)和包：
??? （1）終結(jié)點（Termination）是媒體網(wǎng)關(guān)上的一個邏輯實體，能夠發(fā)送和接收一種或多種媒體，如模擬用戶接入網(wǎng)關(guān)中的電話線、中繼網(wǎng)關(guān)中的中繼電路，一個終端在任一時刻屬于且只能屬于一個關(guān)聯(lián)。
??? （2）關(guān)聯(lián)（Context）是一些終端之間的聯(lián)系，描述了終端間拓撲關(guān)系和媒體混合/交換的參數(shù)，表示一組終結(jié)點之間的連接關(guān)系。在一個關(guān)聯(lián)中可以存在若干個終結(jié)點，其數(shù)目完全由媒體網(wǎng)關(guān)的特性決定。空關(guān)聯(lián)表示所有與其它終結(jié)點沒有聯(lián)系的終結(jié)點。
??? （3）包（Package）通過允許終結(jié)點具有可選的特性、事件、信號和數(shù)據(jù)，媒體網(wǎng)關(guān)控制協(xié)議實現(xiàn)了對具有不同特點的終結(jié)點的支持。同時，為了實現(xiàn)媒體網(wǎng)關(guān)與媒體網(wǎng)關(guān)控制器的互操作，這些可選項可以被組合成包。
??? H.248/Megaco協(xié)議建立了多種傳輸機制，保證了協(xié)議消息在媒體網(wǎng)關(guān)和媒體網(wǎng)關(guān)控制器之間的可靠傳輸。
2 TCP/UDP協(xié)議的區(qū)別及運用場合
??? H.248/Megaco定義的各種協(xié)議消息既可以在TCP上傳輸，也可以在UDP上傳輸，TCP和UDP之間的主要區(qū)別是可靠性和復(fù)雜度。
??? TCP協(xié)議可以提供端到端可靠的數(shù)據(jù)傳輸。TCP協(xié)議采用了多項提高可靠性的技術(shù)以克服底層IP網(wǎng)絡(luò)傳輸?shù)牟豢煽啃裕⒉粎^(qū)分結(jié)構(gòu)化的數(shù)據(jù)流，只支持數(shù)據(jù)流的傳輸。應(yīng)用程序" title="應(yīng)用程序">應(yīng)用程序必須在連接之前了解數(shù)據(jù)流的內(nèi)容，并對其格式進行協(xié)商，對數(shù)據(jù)流的進一步處理完全留給應(yīng)用程序本身來完成。TCP也允許用戶指定連接的安全性和優(yōu)先級，這兩個功能并非是現(xiàn)在所有的TCP產(chǎn)品中都有，但在TCP標準中作了定義。TCP協(xié)議還提供了全雙工聯(lián)接、向應(yīng)用進程提供PUSH功能和流量控制。
??? UDP協(xié)議面向應(yīng)用程序提供數(shù)據(jù)傳輸服務(wù)，并且支持組播。與IP層相比，IP層只負責互聯(lián)網(wǎng)上的一對主機之間的數(shù)據(jù)傳輸，實現(xiàn)主機間的通信；而UDP層通過端口機制標識同一主機上運行的多個進程，完成進程間通信。與TCP協(xié)議相比，它們同屬于傳輸層，都是完成面向進程的數(shù)據(jù)傳輸服務(wù)。不同之處在于，TCP協(xié)議提供的是面向連接的、可靠的數(shù)據(jù)傳輸服務(wù)，而UDP提供的是面向無連接的、不可靠的數(shù)據(jù)傳輸服務(wù)。
??? 所以，對廣播或多播應(yīng)用程序必須使用UDP。此時任何期望的錯誤控制必須加入到應(yīng)用程序中。UDP也可以用于較簡單的請求—應(yīng)答式應(yīng)用程序，但是應(yīng)用程序內(nèi)部必須有檢查錯誤的功能，至少涉及確認、超時和重傳。UDP不適用大量數(shù)據(jù)的傳輸，因為大量數(shù)據(jù)的傳輸要求將窗口式流控、擁塞避免和慢啟動等特性在應(yīng)用程序中實現(xiàn)，這也意味著要在應(yīng)用程序中重建TCP。
??? 利用UDP傳輸H.248/Megaco消息時，如果對等實體沒有提供相應(yīng)的通信端口，各種指令應(yīng)當被送到默認端口上：對于文本編碼的操作，端口號應(yīng)當使用2944；對于二進制編碼操作，則端口號應(yīng)當使用2945。在UDP 上傳輸消息可能會發(fā)生丟失，如果沒有及時響應(yīng)的話，命令就會重復(fù)，從而導(dǎo)致MG狀態(tài)的不可預(yù)料性，所以，傳輸進程必須能夠提供一種“At- Most-Once”功能，以防止命令的重復(fù)執(zhí)行。
??? 利用TCP傳輸H.248/Megaco消息時，如果對方?jīng)]有提供端口的話，各種指令應(yīng)當被送到默認端口上。TCP 是一個基于流的協(xié)議，使用TPKT 來描述TCP 流中的各種消息。在面向事務(wù)的協(xié)議中，事務(wù)請求與響應(yīng)消息仍然有可能由于這樣那樣的原因而丟失。因此，建議各種實體使用TCP 傳輸機制作為每一次請求和響應(yīng)過程實現(xiàn)應(yīng)用層的定時器，這一點與對UDP上應(yīng)用層幀結(jié)構(gòu)的描述是類似的。
??? 雖然在TCP上傳輸?shù)南⒉粫l(fā)生傳輸丟失，但是事務(wù)請求或其響應(yīng)消息的丟失在實際實現(xiàn)中仍然有可能發(fā)生。如果沒有及時響應(yīng)的話，指令就會重復(fù)。大多數(shù)指令的操作要求是不一樣的。因此，MG的狀態(tài)是無法預(yù)料的，所以，在使用TCP時也應(yīng)該提供“At- Most-Once”功能。
??? 另外，在協(xié)議中還加入了三次握手機制和計算重傳機制來進一步提高協(xié)議的可靠性。
3 協(xié)議傳輸安全與加密
??? 由于IP網(wǎng)絡(luò)是一個開放的網(wǎng)絡(luò)，極易受到非法攻擊。為了防止未經(jīng)授權(quán)的實體利用媒體網(wǎng)關(guān)控制協(xié)議建立非法呼叫，或者干涉合法呼叫，應(yīng)當建立一整套嚴密的安全機制，對此協(xié)議的傳輸進行保護。目前提出了兩種方案來解決在IP網(wǎng)絡(luò)上傳輸H.248/Megaco協(xié)議的安全問題：一種是采用IPsec對協(xié)議傳輸進行安全保護；另一種是采用過渡性AH方案。
??? 利用IPsec對H.248/Megaco消息的傳輸主要包括封裝安全載荷協(xié)議ESP（Encapsulating Security Payload）、網(wǎng)絡(luò)認證協(xié)議AH（Authentication Header）和密鑰管理協(xié)議IKE（Internet Key Exchange）三部分。它規(guī)定了如何在對等層之間選擇安全協(xié)議、確定安全算法和密鑰交換，向上提供了訪問控制、數(shù)據(jù)源認證、數(shù)據(jù)加密等網(wǎng)絡(luò)安全服務(wù)。
??? 封裝安全載荷協(xié)議ESP對媒體網(wǎng)關(guān)/終端設(shè)備和軟交換設(shè)備之間傳送的消息提供加密，為IP數(shù)據(jù)包提供完整性檢查、認證和加密，在MGC向MG傳送會話密鑰SK（Session Key）時用于加密包含密鑰的會話描述信息。
??? 網(wǎng)絡(luò)認證協(xié)議AH對在媒體網(wǎng)關(guān)/終端設(shè)備和軟交換設(shè)備之間傳送的消息提供數(shù)據(jù)源認證、無連接完整性保護和可選的抗重發(fā)保護。此協(xié)議還提供了數(shù)據(jù)完整性和反重插保證，能保護通信免受篡改，但不能防止竊聽，用于保護媒體網(wǎng)關(guān)控制器MGC和媒體網(wǎng)關(guān)MG之間的協(xié)議連接。
??? 密鑰管理協(xié)議IKE提供媒體網(wǎng)關(guān)/終端設(shè)備和軟交換設(shè)備之間進行密鑰協(xié)商的機制，以保證密鑰的安全性。
??? 如果底層協(xié)議不支持IPsec，則應(yīng)建議采用過渡性AH方案。由于IPSec要求AH頭或ESP頭緊跟在IP包頭后面，這在應(yīng)用層上的實現(xiàn)有一定難度，所以H.248/Megaco定義了一種折衷的AH頭，調(diào)整了數(shù)據(jù)完整性檢查的范圍，作為在底層操作系統(tǒng)或傳輸網(wǎng)絡(luò)不支持IPSec時的一種臨時解決方案。過渡性AH方案是在H.248/Megaco協(xié)議頭中定義可選的AH頭來實現(xiàn)對協(xié)議連接的保護，過渡性AH方案只能提供一定程度的保護，例如該方案不能提供防竊聽保護。同時，為了保護在媒體網(wǎng)關(guān)之間傳輸?shù)拿襟w流免受由非法實體發(fā)起惡意攻擊，媒體網(wǎng)關(guān)控制器也可以通過媒體網(wǎng)關(guān)控制協(xié)議向媒體網(wǎng)關(guān)提供會話密鑰，用來對音頻消息進行加密。
??? 由于IPSec工作在網(wǎng)絡(luò)層，在當前的IPv4網(wǎng)絡(luò)上完全實現(xiàn)H.248/Megaco的安全機制有一定難度。另外，H.248/Megaco協(xié)議采用的IPSec對系統(tǒng)性能有較大的影響，這種影響在采用公鑰算法對數(shù)據(jù)包進行加解密時尤其明顯。與IPv4不同，IPv6已經(jīng)把IPsec集成到了自身協(xié)議中，通過IPsec提供IP層的安全性。IPv6實現(xiàn)了認證頭AH和封裝安全載荷ESP兩種機制，前者實現(xiàn)數(shù)據(jù)的完整性及對IP數(shù)據(jù)包的來源的認證，保證分組確實來自源地址所標記的節(jié)點，后者提供數(shù)據(jù)加密功能，實現(xiàn)端到端的加密。
??? 3GPP已經(jīng)決定以IPv6為基礎(chǔ)構(gòu)筑下一代移動網(wǎng)絡(luò)，很多通信廠商正致力于構(gòu)建基于IPv6的全IP的3G核心網(wǎng)（All-IP Core Network）。3GPP R4 以及隨后的R5結(jié)構(gòu)中都將傳統(tǒng)的MSC分割成MGC和MG，它們之間采用H.248/Megaco等協(xié)議相互通信，從而實現(xiàn)呼叫控制和處理，與網(wǎng)絡(luò)承載相分離。因此基于IP的H.248/Megaco協(xié)議的應(yīng)用，以及適應(yīng)IPv6環(huán)境的進一步發(fā)展，是未來移動通信研究的一個重要課題。
參考文獻
1 Tom Taylor. Megaco/H.248: A New Standard for Media?Gateway Control. IEEE Communications Magazine[J]，October?2000:124~132
2 Abdi R. Modarressi. Control and Management in Next-Gen-eration Networks: Challenges and Opportunities. IEEE Communications Magazine[J]，October 2000:94~102
3 IETF RFC2705: Media Gateway Control Protocol （MGCP）?Version 1.0[S]. October 1999
4 IETF RFC3525: Gateway Control Protocol Version 1[S].June?2003
5 YD/T 1292-2003. 基于H.248的媒體網(wǎng)關(guān)控制協(xié)議技術(shù)要求[S]. 2003
6 石友康. 軟交換技術(shù)研究進展[J]. 電信科學(xué)，2004；（1）