Formation CiRen 2006 Visioconférence H323 Guy.bisiaux@univ-valenciennes.fr Comité Réseau des Universités Université de Valenciennes et du Hainaut Cambrésis
H323 Recommandation de l International Telecommunication Union (1996)( H323 = H320 avec adaptation pour IP Avantage : Interopérabilité des systèmes sur RNIS et IP Inconvénient : Technologie complexe et mal adaptée à l Internet Dans les années 90 : problèmes liés à la bande passante Aujourd'hui : problèmes liés à la sécurité et à l'adressage IP
Environnement H323 Terminal H323 Gatekeeper Proxy Internet Zone H323 Pont multipoint (MCU) Gateway H320/H323 RNIS Terminal H320
Logiciels de visioconférence H323 Logiciels «gratuits» Netmeeting si on dispose de l'environnement Windows Microsoft Ohphone (commande ligne), openphone (interface utilisateur) http://www.openh323.org (Windows, Linux, Mac OS) Gnomemeeting Linux, Mac OS X XMeeting Mac OS X (H323 et SIP) Logiciels commerciaux Exemple : PVX Polycom...et d'autres
Terminaux H323 hardware Usage de groupe ou individuel Equipement autonome : Codec hardware, interface réseau, caméra, micro, logiciel Système d'exploitation propriétaire : Pas d'attaque connue au niveau sécurité Solution à privilégier par rapport aux logiciels sur PC Coût approximatif : 4000 et plus selon les modèles
MCU : Multipoint Control Unit Serveur qui centralise les flux et qui les redistribue aux participants Mode activation par la voix, l image de celui qui prend la parole est vue par les autres Mode présence continue, l image intègre l ensemble ou une partie des participants. 2 types de MCU Ceux intégré dans des terminaux (4 à 5 ports maxi) Serveurs administrés par des services (CRI par exemple)
Exemple de MCU sur Syrhano, présentation Alain Bidaud
MCU : Multipoint Control Unit Quelques produits du commerce (prix indicatif) MGC 25 IP 12 : 24 sites 128K, 12 à 384 (23 K ) MGC 25 IP 16 + V : 24 à 128K, 16 à 384K, 8 en téléphone, présence continue, transcoding : (57 K ) Radvision Invision 112 présence continue (61 K ) Codian MCU-4205 12 ports IP 2Mb + 12 audio (24 K ) FVC Click to Meet 10 utilisateurs (19 K + 6K présence continue) Autres produits Cisco IP/VC 3511 15 sites à 128K ou 12 à 768K Tandberg IP/RNIS 16 sites
MCU Codian http://www.codian.com «Demo & Free Trial Université du Littoral, voir : http://visio.univlittoral.fr/nmmcu/confignm.html Solution libre OpenMCU : http://www.openh323.org Eventuellement pour faire des tests Après installation, voici un exemple de ligne de commande pour lancer openmcu : openmcu -u 9999 -g a.b.c.b -t -o openmcu.log -v --videolarge -- videotxquality 1 --videotxfps 20 9999 : numéro à appeler au niveau du terminal qui sera enregistré sur le GK. a.b.c.d : @IP du GK
Gatekeeper Point central de tous les appels dans une zone de communication H323, il fournit des services de contrôle d appel. C est une sorte de PABX. Le GK est indispensable si Le terminal ne dispose que d'une adresse IP privée Le terminal est protégé par un firewall (terminal en dehors d'une DMZ)
Architecture H323 Etape d une connexion H323 RAS (optionnel) : Registration Admission Status Enregistrement sur un GK Q.931 : Signalisation de l appel, «ça sonne!!» permet d initialiser un appel et d ouvrir une connexion H.245 par négociation d un port dynamique TCP H.245 : Signalisation de contrôle des communications multimédia : Permet un échange des capacités des deux terminaux, détermination des CoDec (h26x, G7xx), des adresses IP des terminaux, des numéros des ports UDP pour RTP et RTCP Activation des canaux logiques audio et vidéo (connexions RTCP et RTP, émission des flux) Activation partage de données T120 (optionnel) H.225 : mise en paquet des données
Ports UDP/TCP utilisé en H323 Port Type Description 389 statique TCP ILS Registration (LDAP) 1300 Statique TCP H.235 Secure Signaling 1503 statique TCP T120 1718 statique UDP Gatekeeper Discovery 1719 statique UDP Gatekeeper RAS 1720 statique TCP Q.931 Call Setup 1024-655535 1024-655535 Dynamique TCP Dynamique UDP H245 Control Channel RTP/RTCP - Video/Audio Streams
Fonctionnement de H323 Exemple : appel entre 2 terminaux Q.931 port TCP 1720 H.245 port TCP > 1024 (négocié avec Q.931) RTP G7xx (audio) Port paire Transport des données RTCP port impaire Contrôle des données RTP h261, h263, h264 (vidéo) UDP>1024 Négociés Avec H.245 RTCP RTP audio RTCP RTP vidéo RTCP
Appel à travers un Firewall sans fonctionnalités H323 Message Q.931 TCP 1720 Négociation port TCP H245 Message H.245 FW Un appel a bien été reçu, les terminaux sont en communication mais les canaux vidéo et audio ne sont pas ouverts
Appel à travers un Firewall H323 Message Q.931 TCP 1720 Négociation port TCP H245 Message H.245 RTP/RTCP audio UDP paire/impaire RTP/RTCP vidéo UDP paire/impaire RTP/RTCP audio UDP paire/impaire RTP/RTCP vidéo UDP paire/impaire
Appel à travers l Internet Terminal H323 en adressage privé (NAT) @IP3 privée Internet @IP1 publique Q.931 (TCP 1720) H.245 : échange des adresses IP1 et IP3 Vers @IP3 privée non routée!! NAT @IP2 publique Canaux audio et vidéo ouverts par des connexions UDP sur IP1
Quelles solutions sur un campus? (1) La plus simple mais pas sécurisée Terminal en Adressage IP public INTERNET Ouverture des ports UDP & TCP au delà de 1024 du terminal H323
Quelles solutions sur un campus? (2) FireWall H323 Terminal en Adressage IP public INTERNET Ouverture dynamique des Ports TCP et UDP lors de la communication
Quelles solutions sur un campus? (3) Vlan dédié ou DMZ Préférence pour les terminaux hardware avec OS spécifique Terminal H323 @IP publique DMZ H323 Terminal en Adressage public Vlan H323 dédié Ports ouverts: TCP 1720 UDP > 1024 TCP > 1024 INTERNET
Quelles solutions sur un campus? (4) GK Proxy H323 Appel par un alias ou numéro d identifiant Adresse privée Adresse publique RAS GateKeeper Proxy H323 INTERNET Audio vidéo H245 Q.931 RAS Site avec GK/proxy Solution sécurisée Site sans GK/proxy S enregistre sur le GK du site partenaire Solution sécurisée s il y a un Firewall H323, sinon ouverture des ports.
Quelles solutions sur un campus? (5) Peering de GKs Adresse privée peering INTERNET Adresse privée RAS GK/Proxy Audio vidéo H245 Q.931 GK/Proxy RAS Appel par un plan de numérotation Solution idéale avec des Firewall H323 mais nécessite d établir des peering
Quelles solutions sur un campus? (6) Peering sur le GK national de Renater Appel par GDS (Global Dialing System) GDS basé sur E164 IAC : International Access Code CC : Country Code OP : Organisational Prefix EN : Endpoint Number Ex: 00 1 189 7201234 GK International Prévu : <station ID>@<nom de domaine> Préfixe 00 GK national GK GK Renater GK GK GIP Terminal : 8001 Préfixe : 15394 Appel 0327511336 http://www.vide.net/help/gdsintro.shtml UVHC Terminal : 1336 Préfixe 32751
GateKeeper Proxy H323 GNU GK : www.gnugk.org Gatekeeper.ini [Gatekeeper::Main] Name=GK-UVHC Extension H323 (E.164) 1336 10.0.0.1 GK-UVHC Ports ouverts du GK-UVHC TCP 1720 (ou 1721) UDP 1719 si RAS externe TCP [30000-30100] UDP [20000-20100] GIPRenater1 Préfixe E.164 032751 peering [RoutedMode] ; la signalisation passe par le GK GKRouted=1 SupportNATedEndpoints=1 ; réduction du nombre de ports à ouvrir Q931PortRange=20000-20100 H245PortRange=30000-30100 [Proxy] ; on active le proxy, tous les appels passent par le GK Enable=1 InternalNetwork=X.Y.Z.0/24 ProxyForNAT=1 [RasSrv::RewriteE164] ; on renumérote 0325511 en 1. Ex si le terminal est numéroté en 1336, ; l appel en dehors de la zone locale sera 0327511336 0327511=1 [RasSrv::Neighbors] ; tout ce qui commence par 0 est envoyé vers le GK national. GIPRenater1=A1.B1.C1.D1;0 GIPRenater2=A2.B.2.C2.D2;0 ; autre lien avec le Japon GK-Japon=A3.B3.C3.D3;0081
Questions?