NetdefendOS_2.27.01_Firewall_User_Manual_RUS

Для того чтобы понять, как настроить сценарии SIP в системе NetDefendOS, сначала необходимо
выяснить как действует функция SIP proxy Record-Route. SIP proxy поддерживают либо включенную,
либо выключенную функцию Record-Route. Если функция включена, proxy-сервер известен как
Stateful proxy. Если функция выключена, то proxy-сервер сообщает, что будет посредником для всех
SIP сигналов между двумя клиентами.
При установке SIP-сессии, клиент отправляет сообщение INVITE на внешний SIP proxy-сервер. SIP
proxy передает это сообщение на удаленный proxy-сервер, ответственный за контактную
информацию об удаленном клиенте. Затем удаленный proxy передает сообщение INVITE
вызываемому клиенту. После того, как два клиента изучили IP-адреса друг друга, они могут
общаться непосредственно друг с другом и остальные сообщения SIP могут «обойти» proxy-сервер.
Это облегчает масштабирование, так как proxies используются только для первоначального обмена
SIP-сообщениями.
Недостаток удаления proxy-серверов из сессии в том, что IP-правила NetDefendOS должны
разрешать прохождение всех SIP-сообщений через межсетевой экран NetDefend, и если сеть
источника сообщений не известна, то появляется большое количество потенциально опасных
соединений, разрешенных набором IP-правил. Эта проблема не возникает, если на локальном proxyсервере
включена функция Record-Route. В этом режиме все SIP-сообщения будут исходить только
от proxy-сервера.
Различные правила, необходимые, если функция Record-Route включена или выключена, находятся
в двух списках наборах IP-правил, представленных ниже в подробном описании Сценарий 1 Защита
локальных клиентов – Proxy, расположенные в сети Internet.
IP-правила для медиа-данных
При рассмотрении потоков SIP-данных выделяют два различных типа обмена данными:
• SIP-сессия, установленная между двумя клиентами до начала обмена медиа-данными.
• Обмен медиа-данными, например, зашифрованные речевые данные, которые являются основой
для телефонных VoIP-звонков.
В настройках SIP, описанных ниже, необходимо указать IP-правила, используемые для выше
представленного первого пункта, протокол обмена SIP используется для коммуникации по схеме
«клиент–клиент». Нет необходимости в указании IP-правил или других объектов для обработки
второго указанного выше пункта, обмена медиа-данными. SIP ALG автоматически создает
соединения (иногда называемые SIP pinholes), необходимые для прохождения потока данных через
межсетевой экран NetDefend.
Совет
Убедитесь в отсутствии предыдущих правил в наборе IP-правил,
запрещающих или разрешающих тот же самый тип трафика.
Сценарии использования SIP
Система NetDefendOS поддерживает различные варианты использования SIP. Следующие три
сценария охватывают практически все возможные типы использования:
• Сценарий 1
Защита локальных клиентов – Proxy-сервер расположен в Интернет
SIP-сессия между клиентом на локальной, защищенной стороне межсетевого экрана NetDefend и
клиентом, который находится на внешней, незащищенной стороне. SIP proxy расположен на
внешней, незащищенной стороне межсетевого экрана NetDefend. Как правило, передача данных
262