深度檢測防火墻：VOIP網絡安全的基石

陸耀光 2005/06/03

　　摘要:本文討論了與安全VoIP網絡部署相關的問題和復雜性，然后詳細介紹了SonicWALL公司的完全VoIP解決方案。

內容

1. 與VoIP和網絡安全性相關的問題



2. 現(xiàn)有VoIP安全性解決方案

• VoIP安全性



• VoIP網絡互操作性和協(xié)議支持



• VoIP供應商互操作性

• 畸形請求DoS - 可以利用精心編制的協(xié)議請求來利用已知的漏洞，從而導致服務部分或全部中斷。可以利用這種方法導致目標崩潰，也可以用來控制目標。
  


• 針對媒體的DoS - VoIP媒體由實時協(xié)議(RTP)數(shù)據(jù)包承載，因此容易受到攻擊。例如，網絡阻塞型攻擊，或者是削弱或破壞終端設備(電話或網關)實時處理數(shù)據(jù)包的能力。


　　如果攻擊者能夠訪問網絡中媒體傳輸經過的部分，那么只需要簡單地注入大量媒體數(shù)據(jù)包或者高服務質量(QoS)優(yōu)先級的數(shù)據(jù)包就可以擾亂合法媒體數(shù)據(jù)包的傳輸。


• 基于負載的DoS - DoS攻擊并不一定需要利用畸形數(shù)據(jù)包才能達到目的。向目標發(fā)送大量合法請求很容易就會使設計不好的系統(tǒng)癱瘓。

• VoIP工作時采用兩組協(xié)議 - 信令(在客戶和VoIP服務器)和媒體(客戶間)。每個對話中媒體協(xié)議(RTP/RTCP)所使用的端口/IP地址是由信令協(xié)議動態(tài)協(xié)商的。防火墻需要動態(tài)跟蹤和維護這一信息，在適當?shù)臅r候為會話安全地打開所選擇的端口并適時關閉它們。



• 多個媒體端口通過信令會話動態(tài)協(xié)商;媒體端口的協(xié)商內容包含在信令協(xié)議的凈荷中(IP地址和端口信息)。防火墻需要深入檢測每個數(shù)據(jù)包來獲得所需要的信息并動態(tài)維持會話，因此需要防火墻具備額外的處理能力。



• 源和目標IP地址嵌入在VoIP信令數(shù)據(jù)包中。支持NAT的防火墻對數(shù)據(jù)包在IP頭一級進行IP地址和端口轉換。更為不利的是，全對稱NAT防火墻經常調整其NAT綁定，而且為了保護內部網絡，可能會隨時關閉允許外部數(shù)據(jù)包進入的針孔通道，從而使得服務供應商無法向內部網絡的客戶發(fā)送呼叫請求。



• 為有效地支持VoIP，NAT防火墻需要在數(shù)據(jù)包通過防火墻時進行深度數(shù)據(jù)包檢測并轉換嵌入的IP地址和端口信息。



• 防火墻還必須能夠處理由不同VoIP系統(tǒng)所使用的不同消息格式組成的信令協(xié)議組。實際上，兩家供應商采用了同樣的協(xié)議組并不意味著他們之間就可以互操作。

圖 1.

　　SonicWALL VoIP 解決方法

　　SonicWALL VoIP解決方案的核心包括以下方面(將在本文后面的章節(jié)詳細描述):

• 在整個VoIP呼叫期間的狀態(tài)數(shù)據(jù)包檢測和變換



• 呼叫注冊



• 呼叫建立/拆除



• 媒體交換



• 安全性



• VoIP入侵防御、防病毒、內容過濾



• VoIP over WLAN，支持全面的威脅預防功能



• 檢測并丟棄畸形惡意數(shù)據(jù)包



• 強制‘封閉’VoIP網絡 – 防止非授權呼叫



• 架構



• 支持流式媒體和組播應用



• 任意設備組合可以位于任何區(qū)域(H.323 和 SIP 端點、H.323 關守、H.323 多點控制單元、SIP代理和重定向服務器)


• 網守和代理可以位于網絡的任何位置，甚至在DMZ區(qū)



• 全對稱NAT



• 豐富的報告



• 呼叫跟蹤



• ‘異常’數(shù)據(jù)包日志



• 簡化問題排除和調試過程

• 業(yè)務流合法性


　　對通過防火墻的每個VoIP信令和媒體數(shù)據(jù)包進行狀態(tài)檢測可保證所有業(yè)務流的合法性。對于攻擊者來說，攻擊所使用的主要方法就是利用特殊編制的數(shù)據(jù)包來窺探和利用軟硬件實現(xiàn)的缺陷，從而導致目標設備出現(xiàn)緩沖區(qū)溢出等問題。SonicWALL能夠在奇異或非法數(shù)據(jù)包到達目標之前檢測到它們并將其丟棄。


• 對VoIP協(xié)議的應用層保護

• DoS 和 DDoS攻擊保護


　　防止DoS和DDoS攻擊，如SYN Flood、Ping of Death以及LAND(IP)攻擊。這些攻擊會造成網絡或服務癱瘓。

　　
• 驗證采用TCO的VoIP信令數(shù)據(jù)包的順序。不允許失序或在窗口外重傳的數(shù)據(jù)包。


　　
• 在每一TCP會話中采用隨機TCP順序號(在連接建立時由加密隨機數(shù)生成器生成)并驗證數(shù)據(jù)流，防止重放和數(shù)據(jù)插入攻擊。


　　
• SYN Flood保護保證了攻擊者無法通過打開多個TCP/IP連接(并未完全建立 – 通常是采用欺騙源地址)來使服務器過載。


　　
• 狀態(tài)監(jiān)控


　　狀態(tài)監(jiān)控保證數(shù)據(jù)包(即使表面上看起來正確)符合目前所關聯(lián)的VoIP連接的狀態(tài)。


• SonicWALL防病毒

• 無縫支持加密媒體


　　一些VoIP設備可以利用加密來保護VoIP會話期間交換的媒體數(shù)據(jù)，防止竊聽和重放。


• 強認證和加密

• 無線局域網上的VoIP ( VoIP over WLAN)


　　SonicWALL利用其分布式無線解決方案將完全的VoIP安全性擴展到附屬的無線網絡。無論是利用內置802.11無線功能的TZ 170系列，還是配合使用PRO系列設備和SonicPoint 802.11a/b/g智能接入點，利用無線網絡的VoIP設備可以擁有與SonicWALL設備后面有線網絡上的VoIP設備一樣的所有安全特性和優(yōu)點。

　　
• 通過帶寬管理保證可用性和呼叫質量


　　帶寬管理(包括入和出兩個方向)可保證時間敏感的VoIP業(yè)務流所需要的帶寬。通過連續(xù)監(jiān)控和管理可用的帶寬，SonicWALL可以保證VoIP設備享有呼叫所需要的帶寬。

　　
• WAN冗余和負載平衡


　　WAN冗余和負載平衡允許利用一個接口做為輔助或備份WAN端口。輔助WAN端口可采用簡單的主/被(active/passive)設置，僅在主WAN端口故障和/或不可用時業(yè)務流才會路由到這個端口。輔助WAN端口還可采用更為動態(tài)的(active/active)配置，出口業(yè)務流被分配到主和輔WAN端口，以提供更大的吞吐能力。

　　
• 高可用性


　　SonicWALL硬件故障切換能力可在系統(tǒng)故障時保證可靠連接的連接，從而保障了高可用性。

ChinaByte(e.chinabyte.com)