《CSNA網(wǎng)絡(luò)分析認(rèn)證專家實(shí)戰(zhàn)案例》課件-第15章

第15章VoIP通信受干擾故障分析15.1環(huán)境概述 15.2故障分析 15.3解決方案

某單位擁有一套內(nèi)部VoIP系統(tǒng)，采用SIP(SessionInitiationProtocol，信令控制協(xié)議)與SCCP(SkinnyCallControlProtocol，信令連接控制協(xié)議)混合構(gòu)架，共覆蓋六個(gè)分支節(jié)點(diǎn)。同時(shí)，使用第三方VoIP運(yùn)營商的服務(wù)進(jìn)行落地呼叫(硬件PSTN落地目前沒有部署完成)。15.1環(huán)境概述我們原來使用某運(yùn)營商提供的落地服務(wù)，因?yàn)樗峁┧淼澜尤?，不會被?本地ISP會封鎖VoIP)，但是其服務(wù)實(shí)在不穩(wěn)定，有時(shí)連續(xù)幾個(gè)小時(shí)(甚至一天)都無法使用。因此，我們申請了另一家運(yùn)營商的服務(wù)。經(jīng)測試，該運(yùn)營商的服務(wù)較為穩(wěn)定，延遲低，可以滿足穩(wěn)定的通話需求。雖然該服務(wù)提供了加密接入方式，但只能由其客戶端軟件使用，并不兼容第三方PBX(PrivateBranchExchange，用戶級交換機(jī))。所以，我們?nèi)匀灰ㄟ^標(biāo)準(zhǔn)的SIP協(xié)議進(jìn)行注冊。

在接下來的測試中我們發(fā)現(xiàn)，落地呼叫的拆除和建立都很正常。但是，在IP電話上聽對方的語音有很明顯的爆音和背噪。此種情況在本地區(qū)一直存在，實(shí)際上是ISP對VoIP造成了干擾。

我們的PBX采用商業(yè)版3CX軟件交換系統(tǒng)，此系統(tǒng)運(yùn)行在Windows環(huán)境下，因此我們可以在PBX上同時(shí)運(yùn)行科來網(wǎng)絡(luò)分析系統(tǒng)。15.2故障分析首先，落地呼叫的建立和拆除沒有異常，因此我們可以推測ISP并沒有屏蔽SIP協(xié)議，也沒有干擾SIP信令。不過為了穩(wěn)妥起見，還是需要抓包確認(rèn)一下。如圖15-1所示，呼叫的建立和拆除信令完整，且沒有受到干擾，這也證明了我們之前的推論。

圖15-1其次，VoIP通信的語音數(shù)據(jù)由RTP包承載(RTP封裝在UDP中)。如果ISP丟棄了RTP包，那么在IP電話中應(yīng)該聽不到任何聲音，而不是聽到爆音和背噪。這也就說明，ISP并沒有丟棄正常的RTP流。

當(dāng)然，話音失真還可能是由于另外一個(gè)原因——抖動(Jitter)。所謂抖動，是指兩個(gè)數(shù)據(jù)包之間的時(shí)間間隔有差異，利用科來Ping工具我們可以很好地觀察這一點(diǎn)。通過兩次Ping延遲的差異，我們可以粗略地觀察抖動的情況。實(shí)際測試結(jié)果表明，平均抖動基本處于10毫秒左右，最大的也不過25毫秒，不足以影響VoIP的通話質(zhì)量。那么，只有一種可能——ISP向RTP流中增加了額外的RTP包，從而干擾VoIP通信。VoIP屬于實(shí)時(shí)應(yīng)用，要求數(shù)據(jù)能盡力快速傳遞，因此沒有采取重傳和防偽造機(jī)制。

從圖15-2中可以看到ISP發(fā)送的干擾RTP數(shù)據(jù)包，從廣義上講，這也是一種會話劫持。

圖15-2我們之前提到，判定會話劫持攻擊有兩個(gè)參考點(diǎn)：TTL和IPID。對于一個(gè)路由穩(wěn)定的網(wǎng)絡(luò)，進(jìn)程間通信的一方連續(xù)發(fā)送的IP報(bào)文中，這兩個(gè)參數(shù)的值是有規(guī)律可循的。我們只要對比這兩個(gè)參數(shù)的值，就能輕易地發(fā)現(xiàn)“不速之客”。

從圖15-2中可以看到，VoIP運(yùn)營商服務(wù)器發(fā)回的RTP包中的IPID是有序遞增的，但是其中夾雜著一些異常而且相同的IPID。再檢查一下這些異常數(shù)據(jù)包的TTL，也與服務(wù)器返回的TTL不符。很明顯，這就是運(yùn)營商發(fā)送的干擾RTP數(shù)據(jù)包。另外我們知道，RTP包不一定會按照發(fā)送的順序抵達(dá)目的地，因此它帶有一個(gè)序列號，用于在目的地進(jìn)行重新排列。前文中我們也提到了，RTP屬于實(shí)時(shí)應(yīng)用，不會重傳數(shù)據(jù)包。那么，在一個(gè)RTP流中，如果短時(shí)間(幾秒鐘)內(nèi)出現(xiàn)了序列號相同的RTP包，那么一定存在網(wǎng)絡(luò)故障或惡意攻擊。

從圖15-3中可以很明顯地看出，一些RTP包發(fā)生了重傳的情況(解碼區(qū)為RTP序列號)，圖中圈內(nèi)的兩個(gè)包為ISP偽造。這樣我們就可以得出最終結(jié)論：ISP沒有封鎖或干擾SIP信令，也沒有封禁RTP包，只是在RTP流中插入了用于干擾的RTP包，產(chǎn)生爆音和背噪，導(dǎo)致通話質(zhì)量的下降。

圖15-3

由于這些干擾RTP包具有明顯的特征，因此我們可