ME5000服务器NAT功能的配置

ME5000服务器NAT功能的配置

一      组网需求：

一般的NAT设备只是转换了去公网的数据报的报头中的源IP地址，一般的应用是能成功穿越NAT设备的，但像FTP、H.323等应用是通过控制信道来协商数据通道IP地址和端口号，它们把协商的数据通道的IP地址和端口号放在数据包通过其控制信道传送。由于它们将IP地址和端口号通过信令传送，因此这类应用是不能够通过一般的NAT服务器的。ME5000就是一种H.323设备，如果ME5000要穿越NAT，就需要ME5000具有自身进行协议层的地址翻译的功能，同时需要NAT设备的静态地址翻译功能进行配合，ME5000才能成功完成穿越NAT的功能。

    ME5000只支持静态NAT，不支持动态NAT和NAPT。在各种不同的组网环境下，ME5000实现NAT功能并不是完全一样的，针对不同的组网环境，ME5000在实现NAT功能时需要配置其他的一些信息，并且这些信息是必不可少的，少了任意一个，ME5000的NAT功能就是不能实现的。下面详细介绍在不同的组网环境下，ME5000只连接一个LAN口实现NAT功能的详细过程。

二      组网图：

    由于共有4种组网方案，为了表述方便，我把组网图挪到“配置步骤”一节，按不同的组网方案标注。

三      配置步骤：

1 功能实现方案一

这种实现方案是ME5000最简单的一种NAT功能实现方案，此方案中，ME5000只需要穿越NAT呼叫公网的终端，并呼叫私网跟自己的LAN口在同一网段的终端。组网图如下图一所示：

 

 

 

 

 

 

            图一   ME5000呼叫公网和私网跟自己LAN口在同一网段终端

 

首先在路由器上一定要做如下配置：

     nat static inside ip 192.168.1.134 global ip 192.168.100.134

     undo nat alg h323 （如果启用了alg，便不能测试ME5000的NAT功能）

      ………….

     interface Ethernet0/0/0

     ip address 192.168.1.251 255.255.255.0

     interface Ethernet0/0/1

     ip address 192.168.100.251 255.255.255.0

     nat outbound static（私网地址在公网端口进行映射）

然后在ME5000上启用NAT功能，如下图二所示：

                  图二   ME5000启用NAT功能

此时交换机作为二层交换机使用，将ME5000的网关设置为路由器私网端口地址192.168.1.251，ME5000便能同时呼叫公网和私网的两台终端。ME5000在发起呼叫时，会检测呼叫的终端跟自己的LAN口是否在同一网段内，如果在同一网段，则用没有转换的地址呼叫；如果不在同一网段，则用转换后的地址去呼叫。因此ME5000呼叫私网的终端，用私网的地址192.168.1.134去呼叫，而呼叫公网的终端时，才使用NAT映射后的地址192.168.100.134去呼叫，如下图三所示：

                   图三  ME5000呼叫公网和私网终端

从上图可以看出，ME5000已经实现了自身对协议层进行的地址转换，因此可以说ME5000在这种方案下已经实现了穿越NAT的功能。

2 ME5000 NAT 功能实现方案二

这种实现方案比第一种稍微复杂一点，不同点就在于ME5000呼叫私网的终端是跟自己的LAN口不在同一网段的终端。组网图如下图四所示：

      图四 ME5000呼叫跟自己LAN口不在同一网段的私网终端和公网终端

     在这种方案中，交换机作为三层交换机使用，这时就存在一个双网关的问题，一个网关是192.168.1.254，另一个网关是192.168.1.251，ME5000如果要同时呼叫两台终端入会，那么ME5000的网关就不能设置为192.168.1.251，而要设置为192.168.1.254（然后在交换机上把网络调通），否则ME5000便不能呼叫IP地址为192.168.2.247的终端入会。同样，如果将ME5000的网关设置为192.168.1.254，则在呼叫公网终端时，数据包到了交换机处，交换机不知道该将数据包送外何处，因此需要在交换机上配置一条路由信息：

ip route-static 192.168.100.0  255.255.255.0  192.168.1.251，以确保数据包能够到达路由器的私网端口处。路由器上的配置同方案一。

     然后在ME5000上启用NAT功能，跟方案一中相同，且需要在ME5000的LAN口下添加一条路由信息：192.168.2.0  255.255.255.0，以确保ME5000能成功呼叫私网终端入会。是否一定要在LAN口下添加这样的一条路由信息呢？答案是肯定的。这是由ME5000的呼叫策略决定的。ME5000的呼叫策略是：如果呼叫跟自己的LAN口在同一网段的终端，则用私网地址去呼叫；如果呼叫跟自己的LAN口不在同一网段的终端，先检查是否配置有路由，如果有，则按照路由去呼叫；如果没有，则使用NAT转换后的地址去呼叫（遵循路由优先的原则）；一旦ME5000用NAT外部地址去呼叫私网终端，呼叫过程能够成功建立，但是终端发送的音视频包不能成功到达ME5000，在大约20S之后，ME5000会挂断此终端，并给出提示信息“对方没有音视频数据被挂断”。

     ME5000在发起呼叫时，使用私网地址呼叫私网终端，使用NAT转换后的地址去呼叫公网终端，如下图五所示：

                   图五  ME5000呼叫私网和公网终端

3功能实现方案三

这种方案就更为复杂一点，ME5000和终端分别都穿越NAT后在公网上进行呼叫，组网图如下图六所示：

 

               图六  ME5000穿越NAT呼叫同样也穿越NAT的终端

在组网图中，将三层交换机这一部分看作是公网部分，公网部分是连通起来的，主要是要确保终端穿越NAT后的数据包都能到达与ME5000相连的路由器的公网端口处，且确保ME5000穿越NAT后的数据包能到达与终端相连的路由器的公网端口处，因此就需要分别在两台路由器上配置如下信息：

路由器（左）：

nat static inside ip 192.168.100.169 global ip 192.168.1.169

     undo nat alg h323 （如果启用了alg，便不能测试ME5000的NAT功能）

      ………….

     interface Ethernet0/0/0

     ip address 192.168.100.251 255.255.255.0

     interface Ethernet0/0/1

     ip address 192.168.1.251 255.255.255.0

    nat outbound static（私网地址在公网端口进行映射）

     …………

ip route-static 192.168.2.0 255.255.255.0 192.168.1.254 preference 60

路由器（右）：

nat static inside ip 192.168.200.136 global ip 192.168.2.136

     undo nat alg h323 （如果启用了alg，便不能测试ME5000的NAT功能）

      ………….

     interface Ethernet0/0/0

     ip address 192.168.200.251 255.255.255.0

     interface Ethernet0/0/1

     ip address 192.168.2.251 255.255.255.0

    nat outbound static（私网地址在公网端口进行映射）

ip route-static 192.168.1.0 255.255.255.0 192.168.2.254 preference 60

ME5000上的网关设置为192.168.200.251，启用NAT功能，NAT外部IP地址设置为192.168.2.136，终端上也启用NAT，将NAT网关设置为192.168.100.251，NAT外部IP地址设置为192.168.1.169。

在ME5000上添加呼叫终端时，添加的IP地址一定要为192.168.1.169（即终端启用NAT后的地址），否则ME5000是无法找到192.168.100.169这个地址的，最后将导致呼叫无法成功建立。如下图七所示：

                 图七  ME5000呼叫同样穿越NAT的终端

4 ME5000启用NAT再注册内置GK NAT功能实现

前面的三个方案都是ME5000在未注册GK的情况下NAT功能的实现方案，除此之外，

ME5000也支持启用NAT后，注册内置GK实现NAT功能。在这种实现方式中，ME5000呼叫私网终端的方式跟上述三个方案相同，不同点就在于ME5000在注册了内置GK的情况下如何能成功呼叫公网终端入会，下面将详细介绍在这种情况下，ME5000实现NAT功能的全过程。

      下面以方案一为例，介绍ME5000注册内置GK后实现NAT功能的过程。组网图如下图八所示：

            图八  ME5000启用NAT且注册内置GK呼叫私网和公网终端

在ME5000的Web页面上进行设置时，必须要先启用NAT，然后再注册内置GK，如果先注册内置GK，NAT部分将被灰掉，不能进行设置。如果按照方案一中介绍的那样配置路由器，则ME5000在启用NAT后，再注册内置GK时，会发现不能成功注册，造成这种现象的原因是什么呢？原因就是ME5000会向NAT转换后的地址发RRQ信令，注册包到达路由器后，无法返回到ME5000，因此需要在路由器的私网端口上配置nat outbound static，以确保注册包能回到ME5000处。

在路由器上做如下配置：

nat static inside ip 192.168.1.134 global ip 192.168.20.20

     undo nat alg h323 （如果启用了alg，便不能测试ME5000的NAT功能）

      ………….

     interface Ethernet0/0/0

     ip address 192.168.1.251 255.255.255.0

     nat outbound static

     interface Ethernet0/0/1

     ip address 192.168.20.251 255.255.255.0

   nat outbound static

私网终端注册到ME5000的私网地址，公网终端注册到ME5000的NAT转换后的地址，终端和ME5000都注册成功后，ME5000就可以向终端发起呼叫。如下图所示：

  对于另外的几种实现方案，ME5000启用NAT再注册内置GK的实现方法跟前面介绍的一样，唯一不同的就是要在路由器连接私网端口上配置nat outbound static。

以上介绍的就是ME5000在实际组网环境中，可能会碰到的几种实现NAT功能的环境，暂时只能想到这么多，后续想到了再进行补充。

 

四      配置关键点：

1、在不同的组网环境下，需要注意ME5000的网关设置，一旦网关设置错误，呼叫的建立过程就会失败；

    2、在类似于方案二的组网环境中，在ME5000上一定要添加路由信息，否则ME5000无法呼叫私网终端入会；

    3、ME5000既启用内置GK也启用NAT时，一定要先启用NAT，然后再注册内置GK，如果先注册内置GK，NAT部分将被灰掉，不能进行设置。