ICE: VoIP穿墙术

VoIP带来的利益是能够为远程员工提供高性价比的电信接入方案，凡是有宽带的地方都能实现。但是，要确保VoIP的连接性通常是很有挑战性的，因为很可能在用户和企业网络之间存在数量和种类繁多的网络地址转换（NAT）防火墙。

　　目前有许多种解决方案都可以让基于SIP的VoIP呼叫穿透防火墙，但每一种类型的NAT防火墙都要求使用不同的技术。另外，每种NAT穿透解决方案只适用于一种类型的NAT设备，这也使事情 变得更复杂。例如， 简单UDP穿透NAT（STUN）技术只适用于对称式的NAT，通常部署在企业环境之中。

　　互动式连接建立（Interactive Connectivity Establishment ——ICE）草案是由IETF的MMUSIC工作组开发出来的，它所提供的是一种框架，使各种NAT穿透技术可以实现统一。该技术可以让基于SIP的VoIP客户端成功地穿透远程用户与网络之间可能存在的各类防火墙。

ICE定义的是一种标准化的方法，使SIP客户端（或者是基于其他多媒体会话协议的客户端）能够确定客户端之间存在的是哪一种类型的NAT防火墙，并且确定一连串可以用于实现连接的IP地址。通过使用多种协议及网络连接机制，如STUN、中继NAT实现的穿透（Traversal Using Relay NAT ，TURN）和特定域IP（Realm Specific IP ，RSIP），ICE可以学习客户端所在网络的拓扑结构以及这些设备可以实现通信的各类网络地址。

　　当一个具备ICE功能的客户端（发起端）希望与另外一台设备（接收端）通信时，它首先会从STUN、TURN、RSIP等来源中收集尽可能多的IP地址信息，并在本地对那些地址进行配置，选择其中可以向客户端提供IP流量的地址。ICE的一项关键优势就是能够统一这些IP地址信息源提供的信息，并创建尽可能多的路径来连接自己的目的地。

　　此时，发起的客户端通过这些地址连接至一台STUN服务器，并向所需要的接收端客户机发送一条启动信息。这条信息中包含先前学习到的所有可能的地址组合，并利用它们到达自己的目的地。

　　当接收端收到启动信息后，它会通过这些地址向发起端发送一系列的STUN请求。通常情况下，由于沿途网络拓扑结构和NAT防火墙的缘故，接收端发出的STUN请求中至少会有一条到达发起端。当发起端接收到这些STUN请求后，它会逐条进行回复。如果一部分STUN请求能够穿透并抵达接收端，那么就表明设备可以利用这部分地址进行通信。在此基础上，设备还会利用启动信息中排序的那部分地址进行进一步的设备间通信。

　　由于该技术是建立在多种NAT穿透协议的基础之上，并且提供了一个统一的框架，所以ICE具备了所有这些技术的优点，同时还避免了任何单个协议可能存在的缺陷。因此，ICE可以实现在未知网络拓扑结构中实现的设备互连，而且不需要进行对手配置。另外，由于该技术不需要为VoIP流量手动打开防火墙，所以也不会产生潜在的安全隐患。