《武汉工程大学学报》 2015年06期
73-78
出版日期：2015-06-30
ISSN:1674-2869
CN:42-1779/TQ
虚拟专用网中语音电话的应用及网络性能
０ 引 言基于ＴＣＰ／ＩＰ体系的Ｉｎｔｅｒｎｅｔ存在网络安全的缺陷，企业通过Ｉｎｔｅｒｎｅｔ来连接远程站点和传输数据，容易对内部网络构成安全威胁．ＩＰＳｅｃ－ＶＰＮ技术能够让企业在互联网的基础上创建私有网络来提供机密性和安全性［１-４］．目前，采用ＩＰＳｅｃ标准的ＶＰＮ技术日臻成熟，得到国际上几乎所有主流网络和安全供应商的鼎力支持，可以断定，ＩＰＳｅｃ将成为未来相当一段时间内企业构筑ＶＰＮ的主流标准［１-４］．ＶｏＩＰ将模拟的语音讯号经过压缩与封包之后，经过ＩＰ网络将数据包传送到目的地．ＶｏＩＰ可以低资费甚至免费传送语音、传真和视频等业务，提供比传统业务更多、更好的服务［５－６］．因此，一方面在企业内部尤其是远程站点中，ＶｏＩＰ的应用具有机密性和安全性的需求，利用现有的ＩＰＳｅｃ－ＶＰＮ技术来提供支持和保障，不失为一种便捷经济的选择，另一方面由于加载ＶｏＩＰ负荷而对网络性能产生的影响以及语音在虚拟专用网中的传输质量也是需要考量的因素．１ 技术原理和隧道封装模式１．１ 工作原理 ＩＰＳｅｃ的工作原理类似于包过滤防火墙，当接收到一个ＩＰ数据包时，通过查询ＳＰＤ（Ｓｅｃｕｒｉｔｙ Ｐｏ１ｉｃｙ Ｄａｔａｂａｓｅ，安全策略数据库）决定对数据包进行丢弃或转发的处理［１，７］．通信双方如果用ＩＰＳｅｃ建立一条安全的传输通道，需要双方事先协商好采用的安全策略，包括加密算法、密钥、密钥的生存期等，安全策略可以由ＡＨ或ＥＳＰ提供．ＩＰＳｅｃ既可以仅对ＩＰ数据包进行加密或认证，也可以同时实施二者，但无论是加密还是认证，其工作模式都有两种：传输模式和隧道模式．传输模式仅对 ＩＰ 有效负载进行加密，只适合ＰＣ到ＰＣ的场景，而隧道模式对 ＩＰ 报头和有效负载进行加密，可以适用于任何场景［１－２，８］．１．２ 隧道封装模式 隧道是封装、路由与解封装的整个过程．隧道将原始数据包隐藏（或封装）在新的数据包内部，该新数据包可能会有新的寻址与路由信息，从而使其能够通过网络进行传输．封装的数据包到达目的地后，会拆除封装，原始数据包头用于将数据包路由到最终目的地．隧道是不可见的，而只能看到网络路径中的点对点连接，连接双方并不关心隧道起点和终点之间的任何路由器、交换机、代理服务器或其它安全网关等．隧道模式下的ＩＰＳｅｃ报文要进行分段和重组操作，将隧道和数据保密性结合使用时，可用于提供ＶＰＮ［８－９］．１．３ ＶＰＮ技术原理ＶＰＮ（Ｖｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋ，虚拟专用网）．虚拟专用网络可以理解为虚拟出来的企业内部专线，它可以通过特殊加密的通讯协议使Ｉｎｔｅｒｎｅｔ上位于不同地方的多个企业内部网络之间建立一条专有的通讯线路［１，１０］．ＶＰＮ通过公众ＩＰ网络建立私有数据传输通道，将远程的分支办公室、商业伙伴、移动办公人员等连接起来，减轻了企业的远程访问费用负担，节省了电话费用开支，提供了安全的端到端数据通信．２ 网络部署与配置２．１ 背景资料及拓扑图某公司总部和分部分别接入Ｉｎｔｅｒｎｅｔ，但总部和分部都只有一个公网ＩＰ地址，如图１所示．总部和分部之间除了日常通信业务外，内部还设置了语音话机，分别配置了语音交换机和语音路由器，并通过ＶＰＮ集线器建立私有网络进行数据传输．要保证公司总部和分部的用户都能访问Ｉｎｔｅｒｎｅｔ，同时综合考虑办公、安全性和费用等方面的要求，公司总部和分部的内部ＰＣ和ＶｏＩＰ话机通过ＶＰＮ互访．２．２ 主要配置命令及解析２．２．１ 企业语音路由器的配置 以企业总部路由器Ｖｏｉｃｅ Ｅｎａｂｌｅｄ Ｒｏｕｔｅｒ１（简称ＶＲ１）的主要配置命令为例进行解析，分部路由器Ｖｏｉｃｅ Ｅｎａｂｌｅｄ Ｒｏｕｔｅｒ２的配置可以参考总部路由器，不再赘述．图１ 企业ＩＰＳｅｃ－ＶＰＮ虚拟专用网拓扑图Ｆｉｇ．１ Ｔｈｅ ｎｅｔｗｏｒｋ ｔｏｐｏｌｏｇｙ ｏｆ ｔｈｅ ｅｎｔｅｒｐｒｉｓｅ’ｓ ＩＰＳｅｃ－ＶＰＮ在ＶＲ１设置两个ＤＨＣＰ池，分别为企业ＰＣ和语音话机动态分配ＩＰ地址、网关和ＤＮＳ服务器地址．Ｃｉｓｃｏ语音话机需要从ＴＦＴＰ服务器下载配置文件，如果没有相应的ＴＦＴＰ服务器，则向ＤＨＣＰ动态池发送ｏｐｔｉｏｎ １５０命令请求配置信息，配置命令如下．ＶＲ１ （ｃｏｎｆｉｇ）＃ｉｐ ｄｈｃｐ ｐｏｏｌ //动态池名称ＶＲ１ （ｄｈｃｐ－ｃｏｎｆｉｇ）＃ｎｅｔｗｏｒｋ //动态分配的地址范围ＶＲ１ （ｄｈｃｐ－ｃｏｎｆｉｇ）＃ｄｅｆａｕｌｔ－ｒｏｕｔｅｒ //语音话机动态获取的默认网关ＶＲ１ （ｄｈｃｐ－ｃｏｎｆｉｇ）＃ｉｐ ｄｈｃｐ ｅｘｃｌｕｄｅｄ－ａｄｄｒｅｓｓ //在获取的动态ＩＰ中剔除网关地址ＶＲ１ （ｄｈｃｐ－ｃｏｎｆｉｇ）＃ｏｐｔｉｏｎ １５０ ｉｐ //Ｃｉｓｃｏ语音话机请求配置信息 Ｃｉｓｃｏ ＩＰ电话的呼叫控制由Ｃｉｓｃｏ ＣａｌｌＭａｎａｇｅｒ完成，支持各种标准通信协议的语音网关，如Ｈ．３２３／ＭＧＣＰ／ＳＩＰ等，提供电话号码注册分配，完成信令控制和通话控制，配置命令如下：ＶＲ１ （ｃｏｎｆｉｇ）＃ｔｅｌｅｐｈｏｎｙ－ｓｅｒｖｉｃｅ //开启电话服务ＶＲ１ （ｃｏｎｆｉｇ－ｔｅｌｅｐｈｏｎｙ）＃ｍａｘ－ｅｐｈｏｎｅｓ //容许的最大电话数ＶＲ１ （ｃｏｎｆｉｇ－ｔｅｌｅｐｈｏｎｙ）＃ｍａｘ－ｄｎ //容许的最大目录号ＶＲ１ （ｃｏｎｆｉｇ－ｔｅｌｅｐｈｏｎｙ）＃ｉｐ ｓｏｕｒｃｅ－ａｄｄｒｅｓｓ //注册到Ｃａｌｌｍａｎａｇｅｒ上的ＩＰ和端口号ＶＲ１ （ｃｏｎｆｉｇ）＃ｅｐｈｏｎｅ－ｄｎ //逻辑电话目录号ＶＲ１ （ｃｏｎｆｉｇ－ｅｐｈｏｎｅ－ｄｎ）＃ｎｕｍｂｅｒ //电话号码ＶＲ１ （ｃｏｎｆｉｇ）＃ｅｐｈｏｎｅ //电话物理参数配置ＶＲ１ （ｃｏｎｆｉｇ－ｅｐｈｏｎｅ）＃ｍａｃ－ａｄｄｒｅｓｓ //绑定ＩＰ电话的ＭＡＣ地址ＶＲ１ （ｃｏｎｆｉｇ－ｅｐｈｏｎｅ）＃ｔｙｐｅ ７９６０ //ＩＰ Ｐｈｏｎｅ电话类型ＶＲ１ （ｃｏｎｆｉｇ－ｅｐｈｏｎｅ）＃ｂｕｔｔｏｎ １：１ //电话按钮与电话目录号绑定ＶＲ１ （ｃｏｎｆｉｇ）＃ｄｉａｌ－ｐｅｅｒ ｖｏｉｃｅ １ ｖｏｉｐ //定义拨号对等体之间的端对端呼叫为语音ＶＲ１ （ｃｏｎｆｉｇ－ｄｉａｌ－ｐｅｅｒ）＃ｄｅｓｔｉｎａｔｉｏｎ－ｐａｔｔｅｒｎ //指定通信对方的ＩＰ地址ＶＲ１ （ｃｏｎｆｉｇ－ｄｉａｌ－ｐｅｅｒ）＃ｓｅｓｓｉｏｎ ｔａｒｇｅｔ ｉｐｖ４： //定义ＶｏＩＰ路由ＩＰＳｅｃ－ＶＰＮ虚拟专用网提供的保护功能有数据机密性、数据完整性和认证等．数据机密性（Ｄａｔａ Ｃｏｎｆｉｄｅｎｔｉａｌｉｔｙ）用于对发送和接收的数据进行加密和解密，加密算法大致可以分为对称式加密和非对称式加密两类，对称式加密算法包括ＤＥＳ、３ＤＥＳ、ＡＥＳ，非对称式加密算法为ＲＳＡ．数据完整性（Ｄａｔａ Ｉｎｔｅｇｒｉｔｙ）用于保证数据在传输过程中不被修改，发送方在发送数据时，为消息附加一个Ｈａｓｈ值１，接收方在接收数据时，根据消息内容和共享密钥计算出Ｈａｓｈ值２，两者相符则说明数据内容没有被篡改，目前常用的Ｈａｓｈ值算法（散列算法）有两种：ＨＭＡＣ－ＭＤ５和ＨＭＡＣ－ＳＨＡ－１．认证（Ａｕｔｈｅｎｔｉｃａｔｉｏｎ）也叫起源认证，即对对等体进行验证，也称对等体验证（Ｐｅｅｒ Ａｕｔｈｅｎｔｉｃａｔｉｏｎ），是指对数据发送者的身份识别，确保信息的来源真实可靠，目前有两种方法：预共享密钥（ＰＳＫ）、ＲＳＡ签名，配置命令如下：ＶＲ１ （ｃｏｎｆｉｇ）＃ｃｒｙｐｔｏ ｉｓａｋｍｐ ｐｏｌｉｃｙ //建立ｉｓａｋｍｐ策略ＶＲ１ （ｃｏｎｆｉｇ－ｉｓａｋｍｐ）＃ｈａｓｈ ｍｄ５ //数据完整性加密算法 ＶＲ１ （ｃｏｎｆｉｇ－ｉｓａｋｍｐ）＃ｅｎｃｒｙｐｔｉｏｎ ｄｅｓ //数据机密性对称式加密算法ＶＲ１（ｃｏｎｆｉｇ－ｉｓａｋｍｐ）＃ａｕｔｈｅｎｔｉｃａｔｉｏｎ ｐｒｅ－ｓｈａｒｅ //预共享密钥认证ＶＲ１（ｃｏｎｆｉｇ）＃ｃｒｙｐｔｏ ｉｓａｋｍｐ ｋｅｙ //ＩＫＥ验证密码，对等体两端需一致ＶＲ１（ｃｏｎｆｉｇ）＃ｃｒｙｐｔｏ ｉｐｓｅｃ ｔｒａｎｓｆｏｒｍ－ｓｅｔ ＊ ａｈ－ｍｄ５－ｈｍａｃ ｅｓｐ－ｄｅｓ //为交换集命名和设定封装方式，*为交换集名称（下同），两端可以不同，但ａｈ－ｍｄ５－ｈｍａｃ ｅｓｐ－ｄｅｓ必须一致ＶＲ１（ｃｏｎｆｉｇ）＃ｃｒｙｐｔｏ ｍａｐ ﹡ １ ｉｐｓｅｃ－ｉｓａｋｍｐ //创建密码图，调用密钥策略号，﹡为密码图名称（下同）ＶＲ１（ｃｏｎｆｉｇ－ｃｒｙｐｔｏ－ｍａｐ）＃ｓｅｔ ｐｅｅｒ //密码图指向对端外网端口ＩＰＶＲ１（ｃｏｎｆｉｇ－ｃｒｙｐｔｏ－ｍａｐ）＃ｓｅｔ ｔｒａｎｓｆｏｒｍ－ｓｅｔ ＊ //调用交换集ＶＲ１（ｃｏｎｆｉｇ－ｃｒｙｐｔｏ－ｍａｐ）＃ｍａｔｃｈ ａｄｄｒｅｓｓ //应用访问控制列表ＡＣＬ企业总部和分部的ＰＣ，除了通过虚拟专用网进行通信外，还有访问外网获取信息的需求，通过问控制列表（ＡＣＬ）和ＮＡＴ地址转换技术来实现这两个目的．ＶＲ１（ｃｏｎｆｉｇ）＃ａｃｃｅｓｓ－ｌｉｓｔ //配置ＡＣＬ，控制企业私网内部数据的流向ＶＲ１（ｃｏｎｆｉｇ－ｉｆ）＃ｉｐ ｎａｔ ｏｕｔｓｉｄｅ //配置ＮＡＴ，除ＶＰＮ隧道外的其它流量都允许访问外网ＶＲ１（ｃｏｎｆｉｇ－ｉｆ）＃ｃｒｙｐｔｏ ｍａｐ ﹡ //将密码图放置在ＡＣＬ上，迫使内网流量（包括语音流量）走ＶＰＮ隧道ＶＲ１（ｃｏｎｆｉｇ）＃ｉｐ ｒｏｕｔｅ //默认路由用于本地私网访问外网２．２．２ 企业语音交换机的配置 Ｃｉｓｃｏ 语音交换机支持一种独特的功能，称为语音ＶＬＡＮ，它将Ｃｉｓｃｏ ＩＰ电话和工作站加入不同的ＶＬＡＮ中．通过使用语音ＶＬＡＮ，可将端口的ＶｏＩＰ通信流加入到另一个ＶＬＡＮ中，而且只需要配置交换机，无需在Ｃｉｓｃｏ ＩＰ电话上做额外的配置．企业总部语音交换机Ｖｏｉｃｅ Ｅｎａｂｌｅｄ Ｓｗｉｔｃｈ１（简称ＶＳ１）的主要配置命令如下，分部语音交换机Ｖｏｉｃｅ Ｅｎａｂｌｅｄ Ｓｗｉｔｃｈ２的配置可参考之．ＶＳ１ （ｃｏｎｆｉｇ－ｉｆ）＃ｓｗｉｔｃｈｐｏｒｔ ａｃｃｅｓｓ ｖｌａｎ //在Ｃｉｓｃｏ ＩＰ电话连接交换机的端口设置ＶＬＡＮＶＳ１ （ｃｏｎｆｉｇ－ｉｆ）＃ｓｗｉｔｃｈｐｏｒｔ ｖｏｉｃｅ ｖｌａｎ １ //语音ＶＬＡＮＶＳ１ （ｃｏｎｆｉｇ－ｉｆ）＃ｓｗｉｔｃｈｐｏｒｔ ｍｏｄｅ ｔｒｕｎｋ //语音路由器连接交换机的端口设置ｔｒｕｎｋ干道２．２．３ 外网服务器的配置 在ＷＷＷ服务器中制作一个简单网页ｉｎｄｅｘ．ｈｔｍｌ，网页域名ｈｔｔｐ：//ｗｗｗ．ｌｑｐ．ｃｏｍ，作为企业内网主机访问外网服务器中Ｗｅｂ页面的验证．在ＤＮＳ服务器中建立对应ｈｔｔｐ：//ｗｗｗ．ｌｑｐ．ｃｏｍ的域名解析，并使用公网ＩＰ地址２０２．１０１．１７２．１，如图２所示．图２ ＷＷＷ和ＤＮＳ服务器的配置Ｆｉｇ．２ Ｔｈｅ ｃｏｎｆｉｇｕｒａｔｉｏｎ ｏｆ ＷＷＷ ｓｅｒｖｅｒ ａｎｄ ＤＮＳ ｓｅｒｖｅｒ３ 测试结果企业总部的ＩＰ ｐｈｏｎｅ１及分部的ＩＰ ｐｈｏｎｅ４之间能相互通话．企业内网的ＰＣ通过域名ｈｔｔｐ：//ｗｗｗ．ｌｑｐ．ｃｏｍ访问ＷＷＷ服务器中的Ｗｅｂ页面，如图３所示．图３ 企业内网ＰＣ访问ＷＷＷ服务器中的Ｗｅｂ页面Ｆｉｇ．３ Ｔｈｅ ｗｅｂ ｐａｇｅ ｉｎ ＷＷＷ ｓｅｒｖｅｒ ａｃｃｅｓｓｅｄ ｂｙ ｔｈｅ ｅｎｔｅｒｐｒｉｓｅ ｉｎｔｒａｎｅｔ ＰＣ隧道模式中，ＩＰＳｅｃ的ＡＨ头或ＥＳＰ头插入原来的ＩＰ地址之前，加密和认证之后重新产生的ＩＰ头加到ＡＨ头或ＥＳＰ头之前．通过“ｓｈｏｗ ｉｐ ｒｏｕｔｅ”命令查询ＶＲ１的路由信息可以看出，真正的ＩＰ源地址和目的地址都隐藏在Ｉｎｔｅｒｎｅｔ传送的普通数据中，如下所示．Ｇａｔｅｗａｙ ｏｆ ｌａｓｔ ｒｅｓｏｒｔ ｉｓ ２０．０．０．２ ｔｏ ｎｅｔｗｏｒｋ ０．０．０．０Ｃ ２０．０．０．０／８ ｉｓ ｄｉｒｅｃｔｌｙ ｃｏｎｎｅｃｔｅｄ， Ｓｅｒｉａｌ１／０Ｃ １９２．１６８．１０．０／２４ ｉｓ ｄｉｒｅｃｔｌｙ ｃｏｎｎｅｃｔｅｄ， ＦａｓｔＥｔｈｅｒｎｅｔ０／０．１Ｃ １９２．１６８．２０．０／２４ ｉｓ ｄｉｒｅｃｔｌｙ ｃｏｎｎｅｃｔｅｄ， ＦａｓｔＥｔｈｅｒｎｅｔ０／０．２Ｓ* ０．０．０．０／０ ［１／０］ ｖｉａ ２０．０．０．２ ４ 网络性能影响ＩＰＳｅｃ－ＶＰＮ是需要消耗资源的保护性措施，一方面隧道模式加密的复杂性需要占有一定的网络带宽，另一方面ＩＰＳｅｃ保护的兴趣流会触发协商，触发的过程通常是将数据包中的源、目的地址、协议以及源、目的端口号与ＡＣＬ进行匹配，协商的内容主要包括双方身份的确认、密钥种子刷新周期、ＡＨ／ＥＳＰ的组合方式及各自使用的算法、封装模式等，这些都是网络延迟的影响因素．在ＯＰＮＥＴ平台上对网络性能进行仿真和分析［１０～１１］，图４显示，企业总部网络的吞吐量和分部网络的吞吐量基本相当，说明在ＩＰＳｅｃ－ＶＰＮ隧道中数据的丢包率比较低，ＶｏＩＰ语音数据基本上能完整到达对方．图４ 企业总部和分部网络的吞吐量Ｆｉｇ．４ Ｔｈｅ ｎｅｔｗｏｒｋ ｔｈｒｏｕｇｈｐｕｔ ｏｆ ＨＱ ａｎｄ ｄｉｖｉｓｉｏｎ从图５可以看出，企业总部ＰＣ机开始时数据包的发送速度很快，ＶＲ１路由器接到数据包后进行加密、封装，接收速率逐渐缓慢下来，一直到数据发送完毕．在接收方，开始时由于与发送方建立会话和协商，数据包的传输速率比较平缓，当发送方的数据全部发送完成后，接收方ＶＲ２路由器进行解密和解封装，还原数据，企业分部ＰＣ机的输送速率陡然提高，直到全部接受数据完毕．图５ 企业总部和分部ＰＣ数据包的传输速率Ｆｉｇ．５ Ｔｈｅ ｄａｔａ ｐａｃｋｅｔ ｔｒａｎｓｍｉｓｓｉｏｎ ｒａｔｅ ｏｆ ＨＱ ａｎｄ ｄｉｖｉｓｉｏｎＩＰＳｅｃ－ＶＰＮ的机制对网络延迟的影响比较明显．图６显示，企业总部网络随着ＩＰＳｅｃ的会话协商、数据的加密认证和ＶｏＩＰ数据包的发送出现３次较为明显的延迟现象，分部网络由于没有ＶＰＮ隧道的数据发送，网络延迟有所减缓．图６ 企业总部和分部网络的网络延迟Ｆｉｇ．６ Ｔｈｅ ｎｅｔｗｏｒｋ ｄｅｌａｙ ｏｆ ＨＱ ａｎｄ ｄｉｖｉｓｉｏｎ５ 结 语随着企业组织机构区域性扩展及员工日益分散，分支机构采用ＶＰＮ方式与总部建立一个大的虚拟专用网并进行集中管理操作，从而达到节省成本和实时管理的目的．基于ＩＰＳｅｃ标准的ＶＰＮ技术为企业内部网络数据的安全传输提供了技术保障，但ＶＰＮ的数据机密性、数据完整性、起源认证等加密措施和隧道封装技术使得网络配置变得复杂．在ＩＰＳｅｃ－ＶＰＮ专用网中虽然数据包的传送基本上是完整的，但ＩＰＳｅｃ采用的安全策略对数据包的传输速率尤其是网络延迟的变化无疑会产生较大的影响，导致网络抖动明显，收敛速度慢，ＶｏＩＰ语音的质量也随之减低．因此，采取诸如数据高速透明压缩、流量整形、智能带宽分配、ＶＰＮ数据双向加速等技术，提高上／下行带宽速度，减少网络延迟，以获得高速应用性能，是ＩＰＳｅｃ－ＶＰＶ技术关注和研发的重点．致 谢感谢学院同仁和合作企业提供的大力支持和帮助！