État de l'art et fonctionnement des firewalls applicatifs compatibles avec les protocoles "multimédia" H323 et SIP FI 2005 - Option RIO le 28/09/2004 Claire VIGODA Romain LAHOCHE

PLAN I. Difficultés des flux multimédias II. Solutions III. Produits Différents protocoles : H323, SIP, MGCP, MEGACO Problèmes de traversé des routeurs NAT et firewalls II. Solutions Communication relais : Serveur d ’application, agent, proxy et TURN Communication directe : tunnel, UPnP, Midcom, STUN et ICE III. Produits

Flux Multimédias Né des lacunes d’IP H323 : orienté téléphonie 1996, Microsoft & UIT. H320 (visiophonie sur RNIS). Stratégie de bout à bout. Nombreux protocoles :communication (RTP, RTCP) codec audio /vidéo inéraction de signalisation (RAS, Q931) SIP : orienté IP 1997, EITF. Ouverture de session Niveau applicatif. MGCP : couche 3 et 4 MEGACO : évolution de MGCP

Pile de protocoles et ports utilisés par H323

Pile de protocoles et ports utilisés par SIP

Problème Firewall & NAT détruits tous les paquets transitant non autorisés explicitement Problème de la dynamique des ports utilisés par les protocoles multimédia NAT: Attribue {@Ip;n°port) aux flux sortants rendant invisible les stations situées derrière. Problème de communication de bout en bout.

Solution : les relais Serveur d’application Déploiement d ’un serveur d ’application dans le réseau privé ou dans une DMZ Le serveur joue le rôle de relais entre des postes désireux de communiquer ensemble L’utilisation de cette technique permet la traversée de tous les dispositifs de sécurité et de toutes les topologies

Solution : les relais Serveur d’application avec agent Ajout d ’un agent à la solution précédente à l ’intérieur du réseau privé Création d ’un tunnel d ’information grâce aux deux entités (serveur et agent) Communications effectuées par des ports prédéfinis Avantage : serveur public facilement accessible Inconvénient : maintenance plus difficile et temps de latence accru dû à l ’ajout de l ’agent dans le réseau.

Solution : les relais Passerelle de la couche d ’application Firewall et routeur NAT « intelligents  » capables de travailler au niveau 7 Inspection complète du contenu du paquet pour « filtrage applicatif »

Solution : les relais Traversal Using Relay NAT (TURN) Protocole en cours de développement Serveur de relais Comble les lacunes de STUN : indépendant vis-à-vis de la topologie, des éléments de sécurité déployés et du protocole de communication utilisé Points forts : indépendance, aucune modification sur le réseau Points faibles : peu répandu, intégration de TURN dans les programmes Traversal Using Relay NAT (TURN)

Solution : directe Tunnel de données Canal de communication grâce à un Réseau Privé Virtuel (VPN) Tunnel de données Besoin d’un RPV + maintenance Traverse tous les dispositifs de sécurité. Traverse tous les réseaux. Aucune modification de l’existant. Inconvénients Avantages

Solution : directe UPnP Universal Plug and Play Extension du standard Plug and Play Détection des NAT et Firewall de façon automatique Création de trous de communication de façon automatique Brèche de sécurité Ne traverse pas les chaînes de routeurs NAT et firewalls Convivial Produit UPnP sur le marché Inconvénients Avantages

Solution : directe Midcom En cours de développement Donne de l’« intelligence » aux équipements Trous en manière dynamique avec contrôle d’accès Encore théorique Ne traverse pas les chaînes de routeurs NAT et firewalls Authentification Inconvénients Avantages

Solution : directe STUN Simple Traverse of UDP Through Network Address Translation devices RFC 3489 - Groupe de travail Midcom Donne {@ip; n port} publique pour établir des canaux de communication Ne traverse pas les routeurs NAT symétrique et les firewalls Standardiser Aucune modification de l’existant. Inconvénients Avantages

Solution : directe ICE Interactive Connectivity Establishment Intègre STUN et TURN au sein des clients SIP pour déterminer toutes les connections possibles entre deux postes gère une liste d ’@IP Temps d’établissement d’un appel long. Ne traverse pas les firewalls Traverse tous les types de NAT Traverse tous les types de réseaux STUN/TURN standardisé Peu de déploiement Inconvénients Avantages

Produits Il s’agit de matériels réseaux regroupant plusieurs fonctions : Firewall Nat Proxy d ’application (SIP, H323, MGCP) Exemple : Session Controllers de Netrake

Vos questions… … nos réponses !