WO2012019508A1

WO2012019508A1 - 基于中继的媒体通道建立方法及系统

Info

Publication number: WO2012019508A1
Application number: PCT/CN2011/077592
Authority: WO
Inventors: 胡永生; 王炜; 陈志峰
Original assignee: 中兴通讯股份有限公司
Priority date: 2010-08-09
Filing date: 2011-07-25
Publication date: 2012-02-16
Also published as: EP2605471A1; EP2605471B1; CN101977178A; US20130138822A1; US9131026B2; EP2605471A4

Abstract

本发明公开了一种基于中继的媒体通道建立方法及系统。其中，该方法包括：在第一用户设备UE与第二UE之间的会话协商过程中，媒体中继控制服务器分配第一业务标识和第二业务标识，并将第一业务标识下发给第一UE，将第二业务标识下发给第二UE，将第一业务标识和第二业务标识下发媒体中继设备；媒体中继设备接收第一UE和第二UE上报的业务标识；媒体中继设备根据媒体中继控制服务器下发的第一业务标识和第二业务标识，验证第一UE和第二UE上报的业务标识，验证通过，建立第一UE与第二UE之间的媒体通道。通过本发明，可以提高网络节点连接的安全性。

Description

基于中继的媒体通道建立方法及系统技术领域本发明涉及通信领域，具体而言，涉及一种基于中继的媒体通道建立方法及系统。背景技术

P2P (Peer-to-Peer) 技术，又称对等互联网络技术，它将网络上的节点平等的互联起来，每个主机节点即是客户端又是服务器。目前，在 P2P技术中，对称型网络地址转换器（Network Address Translation, 简称为 NAT) 穿越主要采用中继实现，通过在互联网上部署中继服务器，在实际会话前获取本次会话的公网地址 -端口（IP-PORT) 对，并将该公网 IP-PORT对作为会话的用户地址信息。图 1 为现有技术解决对称 NAT 穿越的网络结构示意图，其中，用户设备（User Equipment, 简称为 UE) 101为用户使用的终端设备； NAT 102，位于 UE和互联网之间，负责屏蔽对该 UE的访问；媒体中继控制服务器 103，负责为用户会话分配媒体中继设备 104，并控制媒体中继设备 104为用户会话预留资源；媒体中继设备 104，负责为通信用户双方转发通信数据。其中媒体中继控制服务器 103和媒体中继设备 104— 般位于公共互联网中。

UE A和 UE B之间如果要进行媒体通信，首先需要进行会话协商，建立 UE A与 UE B的对等连接，将双方的公网 IP-PORT对通知给对方。图 2是基于中继技术解决 NAT穿越，建立用户节点对等连接的处理流程，主要包括以下步骤：

5201 ,在会话之前， UE A和 UE B均需在媒体中继控制服务器注册。建立会话时， UE A向媒体中继控制服务器发送会话请求，该请求中携带 UE A接收 UE B回复信息的第一目的地址-端口对 A1 ;

5202, 中继服务控制器向媒体中继设备请求为本次会话预留媒体资源。媒体中继设备分配的媒体资源包括用于接收 UE A发送的媒体数据报文的第一公网地址 -端口对、接收 UE B 发送的媒体数据报文的第二公网地址-端口对，且建立第一公网地址- 端口对和第二公网地址-端口对之间数据转发的绑定关系； 5203 , 媒体中继设备将预留的媒体资源信息返回媒体中继控制服务器，同时，媒体中继设备开始在预留资源，即在第一公网地址-端口对和第二公网地址 -端口对地址上监听数据；

5204,媒体中继控制服务器用第一公网地址-端口对替换会话请求消息中的第一目的地址-端口对 A1 ;

5205, 媒体中继控制服务器将替换后的会话请求消息转发给 UE B;

5206, UE B接收该会话请求，从会话请求消息中提取第一公网地址 -端口对作为 UE A的通信地址信息，并向媒体中继控制服务器返回确认响应消息；该响应消息中包含 UE B接收 UE A回复信息的第二目的地址-端口对 B1； S207,媒体中继控制服务器用第二公网地址-端口对替换确认响应消息中的第二目的地址-端口对 B1 ;

S208, UE A收到会话确认响应消息，从确认响应消息中提取第二公网地址 -端口对作为 UE B的通信地址信息；

S209-210, UE A和 UE B之间通过媒体中继设备建立媒体通道进行媒体通信。图 3为现有技术中 UE A、 UE B及媒体中继设备之间建立媒体通道的流程图，主要包括以下步骤：

S301 , UE A收到 UE B的会话确认响应消息后，向 UE B发送第一个媒体数据报文，由于 UE A从确认响应消息中提取第二公网地址 -端口对作为 UE B的通信地址，因此， UE A的媒体数据报文被发往媒体中继设备的第二公网地址-端口对； S302, 媒体中继设备收到 UE A的第一个媒体数据报文，建立第一目的地址端口对 A2 (即 UE A的媒体面地址端口对）与第二公网地址-端口对的绑定关系；并缓存 UE A发送的媒体数据报文，直到收到 UE B的媒体数据报文；

S303 , UE B向 UE A发送第一个媒体数据报文，该媒体数据报文被发往媒体中继设备的第一公网地址-端口对； S304, 媒体中继设备收到 UE B的第一个媒体数据报文，建立第二目的地址端口对 B2 (即 UE B的媒体面地址端口对）与第一公网地址-端口对的绑定关系，并缓存 UE B的媒体数据报文，直到收到 UE A的媒体数据报文； S305-306, 媒体中继设备在分别收到 UE A和 UE B的第一媒体数据报文后，建立第一目的地址端口对 A2、第二公网地址-端口对、第一公网地址-端口对、第二目的地址端口对 B2四者之间的关联关系，并利用该关联关系将第二公网地址 -端口对收到的数据经第一公网地址-端口对转发给 UE B、将第一公网地址-端口对收到的数据经第二公网地址-端口对转发给 UE A;

S307-308, UE A和 UE B之间后继的媒体数据报文通过媒体中继设备按所述关联关系进行中转。其中，上述步骤 S301 302与步骤 S303 304可以同步进行，但步骤 S301 304必须完成后才能进行 S305及其后面的其他步骤。根据上述图 2和图 3所述的流程可知，在现有技术中，媒体中继设备在预分配一对公网地址 -端口对后，开始监听这两个端口，当某个公网地址-端口对上收到第一个媒体数据包时，将该媒体数据包的源 IP地址-端口与该公共 IP地址 -端口绑定，并通过另一个公网地址 -端口对向媒体数据包的最终目的 IP地址 -端口转发。因此，当媒体中继设备在某个公网地址 -端口对上收到的第一个媒体数据包是恶意的，则将导致媒体通道建立失败。发明内容本发明的主要目的在于提供一种基于中继的媒体通道建立，以至少解决上述由于媒体中继设备在某个公网地址 -端口对上收到的第一个媒体数据包是恶意的，而导致媒体通道建立失败问题。根据本发明的一个方面，提供了一种基于中继的媒体通道建立方法，包括：在第一用户设备（UE) 与第二 UE之间的会话协商过程中，媒体中继控制服务器分配第一业务标识和第二业务标识，并将第一业务标识下发给第一 UE，将第二业务标识下发给第二 UE，将第一业务标识和第二业务标识下发媒体中继设备；媒体中继设备接收第一 UE和第二 UE上报的业务标识；媒体中继设备根据媒体中继控制服务器下发的第一业务标识和第二业务标识，验证第一 UE和第二 UE上报的业务标识，验证通过，建立第一 UE与第二 UE之间的媒体通道。所述媒体中继设备接收所述第一 UE和所述第二 UE上报的业务标识包括：所述媒体中继设备接收所述第一 UE向所述第二 UE发送的第一个媒体数据报文，从中获取所述第一 UE上报的业务标识；所述媒体中继设备接收所述第二 UE向所述第一 UE 发送的第一个媒体数据报文，从中获取所述第二 UE上报的业务标识。所述媒体中继设备接收所述第一 UE和所述第二 UE上报的业务标识包括：所述第一 UE在所述会话协商结束后，在向所述媒体中继设备发送第一个媒体数据报文之前，首先向所述媒体中继设备发送第一绑定请求；所述媒体中继设备接收所述第一绑定请求，从中获取所述第一 UE上报的业务标识；所述第二 UE在所述会话协商结束后，在向所述媒体中继设备发送第一个媒体数据报文之前，首先向所述媒体中继设备发送第二绑定请求；所述媒体中继设备接收所述第二绑定请求，从中获取所述第二 UE 上报的业务标识。所述第一业务标识和所述第二业务标识为字符串或序列号，或者，所述第一业务标识和所述第二业务标识为用户名-密码对。所述第一业务标识和所述第二业务标识为报文的起始序列号的范围；所述媒体中继设备分别接收所述第一 UE和所述第二 UE上报的业务标识包括：所述媒体中继设备分别接收所述会话协商完成后来自所述第一 UE和所述第二 UE的第一个报文，获取该报文的序列号；所述媒体中继设备验证所述第一 UE和所述第二 UE上报的业务标识包括：所述媒体中继设备判断来自所述第一 UE的第一个报文的序列号是否在所述第一业务标识指示的范围内，并判断来自所述第二 UE的第一报文的序列号是否在所述第二业务标识指示的范围内，如果均是，则验证通过。所述第一业务标识与所述第二业务标识相同。所述第一业务标识与所述第二业务标识不相同。根据本发明的另一方面，提供了一种基于中继的媒体通道建立系统，包括：媒体中继控制服务器，设置为在第一 UE与第二 UE之间的会话协商过程中分配第一业务标识和第二业务标识，并将第一业务标识下发给第一 UE，将第二业务标识下发给第二 UE, 将第一业务标识和第二业务标识下发媒体中继设备；媒体中继设备，设置为接收第一 UE和第二 UE上报的业务标识，并根据媒体中继控制服务器下发的第一业务标识和第二业务标识，验证第一 UE和第二 UE上报的业务标识，验证通过，建立第一 UE与第二 UE之间的媒体通道。所述媒体中继设备设置为在所述会话协商结束后，接收所述第一 UE和所述第二 UE发送的第一个媒体数据报文，从中获取所述第一 UE和所述第二 UE上报的业务标识。所述媒体中继设备设置为在所述会话协商结束后，接收所述第一 UE和所述第二 UE在发送第一个媒体数据报文之前发送的绑定请求，从中获取所述第一 UE和所述第二 UE上报的业务标识。通过本发明，媒体中继控制服务器在请求媒体中继设备预留资源的会话协商过程中，同时下发一个为本次会话分配的唯一标识；媒体中继设备在为用户建立本次会话媒体通道时验证用户报文中携带的本次会话标识，从而解决了媒体中继设备在本次会话预留的端口收到恶意数据包而导致媒体通道建立失败的问题，避免了恶意攻击，提高了网络节点连接的安全性。附图说明此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：图 1是对等网节点连接 NAT穿越的网络场景；图 2是现有技术用户穿越 NAT建立对等连接的流程图；图 3是现有技术建立媒体流通道的流程图；图 4是根据本发明实施例一的基于中继的媒体通道建立系统的结构示意图；图 5是根据本发明实施例二的基于中继的媒体通道建立方法的流程图；图 6是根据本发明实施例三的 UE穿越对称 NAT建立对等连接的流程图；图 7是根据本发明实施例三的建立安全媒体流通道的流程图；图 8是根据本发明实施例四的建立安全媒体流通道的流程图；图 9是根据本发明实施例五的建立安全媒体流通道的流程图；图 10是根据本发明实施例六的建立安全媒体流通道的流程图；图 11是根据本发明实施例七的建立安全媒体流通道的流程图。具体实施方式下文中将参考附图并结合实施例来详细说明本发明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互组合。实施例一图 4是根据本发明实施例一的基于中继的媒体通道建立系统的结构示意图，该系统主要包括：媒体中继控制服务器 10和媒体中继设备 20。其中，媒体中继控制服务器 10，设置为在第一 UE与第二 UE之间的会话协商过程中分配第一业务标识和第二业务标识，并将第一业务标识下发给第一 UE，将第二业务标识下发给第二 UE，将第一业务标识和第二业务标识下发媒体中继设备 20; 媒体中继设备 20，设置为分别接收第一 UE和第二 UE上报的业务标识，并根据媒体中继控制服务器 10下发的第一业务标识和第二业务标识，验证第一 UE和第二 UE上报的业务标识，验证通过，建立第一 UE与第二 UE之间的媒体通道。例如，媒体中继服务器 10为第一 UE和第二 UE可以是随机产生的用户名-密码对，也可以是随机产生的一个具有某种含义的字符串、序列号等，例如，第一 UE和第二 UE发送的报文的起始序列号等。并且，媒体中继服务器 10为第一 UE分配的第一业务标识与为第二 UE分配的第二业务标识可以相同也可以不同。由于相关技术中媒体中继设备 20在为会话双方建立媒体通道时，当在某个公网地址 -端口对上收到第一个数据包时，将该数据包源 IP地址-端口与该公网 IP地址 -端口绑定，从而使得第三方可以通过恶意扫描该媒体中继设备 20的地址 -端口对进行攻击，造成媒体通过建立失败。在本发明实施例中，媒体中继服务器 10在会话协商过程中为会话双方分配业务标识，在媒体通道建立时，根据会话双方上报的业务标识根据媒体通道，从而避免了恶意数据包带来的安全隐患，保证了网络节点连接的安全，提高了媒体通道建立的成功率。第一 UE和第二 UE可以在会话协商结束后的第一个媒体数据报文中携带媒体中继服务器 10分配的业务标识，也可以在发送第一个媒体数据报文之前，先发送一个绑定请求，请求媒体中继设备 20绑定终端通信地址-端口对和分配的相应公网地址-端口对，在该绑定请求中携带媒体中继服务器 10 分配的业务标识。因此，媒体中继设备 20可以设置为在会话协商结束后，分别接收第一 UE和第二 UE发送的第一个媒体数据报文，从中获取第一 UE和第二 UE上报的业务标识，并对该业务标识进行验证，验证通过后，建立第一 UE与第二 UE之间的媒体通道；或者，媒体中继设备 20也可以设置为在会话协商结束后，分别接收第一 UE和第二 UE在发送第一个媒体数据报文之前发送的绑定请求，从中获取第一 UE和第二 UE上报的业务标识，这样可以避免由于会话双方中的某一方长时间不发送媒体数据而导致对端数据无法发送的问题。实施例二图 5是根据本发明实施例二的基于中继的媒体通道建立方法的流程图，该方法可以通过实施例一的系统实现。该方法主要包括以下步骤：步骤 S502, 在第一 UE与第二 UE之间的会话协商过程中，媒体中继控制服务器 10为本次会话分配的业务标识，并将该业务标识下发给第一 UE、第二 UE和媒体中继设备 20; 其中，媒体中继控制服务器 10第一业务标识和第二业务标识，并将第一业务标识下发给第一 UE，将第二业务标识下发给第二 UE，将第一业务标识和第二业务标识下发媒体中继设备 20; 其中，媒体中继控制服务器 10分配的业务标识，可以是唯一的用户名 /密码对，也可以是特殊的字符串或序列号等；另外，媒体中继控制服务器 10分配给 UE1/UE2的业务标识，可以是相同的也可是不同的；步骤 S504, 媒体中继设备 20分别接收第一 UE和第二 UE上报的业务标识；其中，第一 UE和第二 UE在完成会话协商后，可以在发送第一个媒体数据报文时携带媒体中继控制服务器 10下发的业务标识；例如，如果媒体中继控制服务器 10 下发给第一 UE和第二 UE的业务标识为用户名-密码对，则第一 UE和第二 UE分别在发送给对端用户的第一个媒体数据报文中携带该用户名-密码对。媒体中继设备 20 在接收到第一 UE发送的第一个媒体数据报文后，从中获取第一 UE上报的业务标识，在接收到第二 UE发送的第一个媒体数据报文后，从中获取第二 UE上报的业务标识。采用这种方式， UE只需在发送第一个媒体数据报文中携带分配的业务标识，而无需额外发送消息。或者，第一 UE和第二 UE在向媒体中继设备 20发送的第一个媒体数据报文中也可以不携带业务标识，而是在会话协商结束后，在发送第一个媒体数据报文之前，先向媒体中继设备 20发送一个特殊的绑定请求，用于请求媒体中继设备 20绑定终端通信地址 -端口对和分配的相应公网地址端口对，在该绑定请求中携带业务标识，媒体中继设备 20接收到第一 UE和第二 UE发送的绑定请求后，分别从中获取第一 UE和第二 UE上报的业务标识，然后执行步骤 S506，从而避免第一 UE与第二 UE之间的媒体通道只有在会话双方都发送数据后才能建立的问题。步骤 S506,媒体中继设备 20根据媒体中继控制服务器 10下发的第一业务标识和第二业务标识，验证第一 UE和第二 UE上报的业务标识，验证通过，建立第一 UE与第二 UE之间的媒体通道。例如，如果媒体中继控制服务器 10为第一 UE和第二 UE分配的用户名-密码对，则媒体中继设备 20验证第一 UE和第二 UE上报的用户名-密码对与媒体中继控制服务器 10分配的用户名 -密码对是否匹配，如果是，则验证通过，建立第一 UE与第二 UE 之间的媒体通道，即建立转发地址绑定。在本发明实施例中，媒体中继控制服务器 10在会话协商过程中为会话双方的本次会话分配业务标识，在建立媒体数据流时，通过判断会话双方上报的业务标识与媒体中继控制服务器 10分配的业务标识是否匹配，从而可以有效地避免恶意的端口扫描导致会话双方的媒体通道建立失败的问题。并且，在本发明实施例中，会话双方可以在会话协商过程完成后即向媒体中继设备 20发送绑定请求，请求建立地址绑定，从而可以避免由于会话双方的一方长时间不发送数据而导致对方数据无法发送的问题。实施例三本发明实施例三描述了采用本发明实施例提供的技术方案， UE实施穿越 NAT建立对等连接的流程。在本发明实施例中，媒体中继控制服务器 10在处理 UE的会话请求时，为该会话发布一对唯一的会话业务标识，该会话业务标识同时发布给 UE A、 UE B及相应的媒体中继设备 20。在本发明实施例中，媒体中继控制服务器 10分配的唯一的会话业务标识，可以是随机产生的用户名-密码对，也可以是随机产生的一个具有特殊含义的字符串、序列号等；并且，发布给 UE A和 UE B的会话业务标识可以相同也可以不同。图 6为本发明实施例中 UE A和 UE B穿越对称 NAT建立对等连接的信令流程图，主要包括以下步骤：步骤 S601 , 在会话之前， UE A和 UE B均在媒体中继控制服务器注册，建立会话时， UE A向媒体中继控制服务器发送会话请求，该会话请求消息中携带有 UE A接收 UE B回复信息的第一目的地址-端口对 A1；步骤 S602，中继服务控制器为本次会话双方分配一对唯一的会话业务标识（分别为会话业务标识 1和会话业务标识 2)，并向媒体中继设备请求为本次会话预留媒体资源，该媒体资源预留请求消息中携带为本次会话双方分配的会话业务标识 1/2; 其中，媒体中继设备分配的媒体资源包括用于接收 UE A发送的媒体数据报文的第二公网地址-端口对、接收 UE B发送的媒体数据报文的第一公网地址-端口对，且建立第一公网地址 -端口对和第二公网地址-端口对之间数据转发的绑定关系；步骤 S603 , 媒体中继设备将预留的媒体资源信息返回给媒体中继控制服务器，同时，媒体中继设备开始在预留资源（即第一公网地址-端口对和第二公网地址-端口对) 上监听数据；步骤 S604, 媒体中继控制服务器用第一公网地址-端口对替换会话请求消息中的第一目的地址-端口对 A1，并将分配给 UE B的会话业务标识 2插入到替换后会话请求消息中；步骤 S605, 媒体中继控制服务器将替换后的会话请求消息转发给 UE B; 步骤 S606， UE B接收该会话请求，从该会话请求消息中提取第一公网地址 -端口对作为 UE A的通信地址信息，提取并保存会话业务标识 2用于后续媒体通道建立，并向媒体中继控制服务器返回确认响应消息，该响应消息中包含 UE B接收 UE A回复信息的第二目的地址-端口对 B1；步骤 S607, 媒体中继控制服务器用第二公网地址-端口对替换确认响应消息中的第二目的地址-端口对 B1，并将分配给 UE A的会话业务标识 1插入到替换后确认响应消息中；步骤 S608， UE A收到会话确认响应消息，从确认响应消息中提取第二公网地址- 端口对作为 UE B的通信地址信息，提取并保存会话业务标识 1用于后继媒体通道建

步骤 S609~S610， 1 和1 8、媒体中继设备之间使用会话业务标识 1/2建立安全的媒体通道。其中，使用会话业务标识 1/2建立安全的媒体通道（即上述步骤 S609-S610)的流程如图 7所示，在图 7中， UE A和 UE B在完成媒体会话协商后，在发送第一媒体数据报文时必须携带从会话确认消息 /会话请求消息中提取的会话业务标识 1/2，媒体中继设备在监听端口收到 UE A/UE B的第一媒体数据报文时，提取并验证该会话业务标识是否与收到资源预留请求时的会话业务标识 1/2是否匹配，从而避免对媒体中继设备端口的恶意扫描导致的媒体通道建立失败。如图 7所示，该媒体通道建立主要包括以下步骤：步骤 S701， UE A接收到 UE B的会话确认响应消息后，开始向 UE B发送第一个媒体数据报文；由于 UE A从会话确认响应消息中提取第二公网地址 -端口对作为 UE B的通信地址，因此 UE A的媒体数据报文被发往媒体中继设备的第二公网地址-端口对；同时， UE A发送的第一个数据报文必须携带从会话确认响应消息中提取的会话业务标识 1 ; 步骤 S702, 媒体中继设备接收到 UE A的第一个媒体数据报文，检查到来自该第一目的地址端口对 A2 (即 UE A媒体面的地址端口对）没有完整的关联关系，则从报文中提取到会话业务标识 1并进行验证，验证正确后建立第一目的地址端口对 A2与第二公网地址-端口对的绑定关系，并缓存 UE A的媒体数据报文，直到收到 UE B的媒体数据报文；步骤 S703， UE B向 UE A发送第一个媒体数据报文，由于 UE B从会话请求中提取第一公网地址 -端口对作为 UE A的通信地址，因此 UE B的媒体数据报文被发往媒体中继设备的第一公网地址-端口对；同时， UE B发送的第一个数据报文必须携带从会话请求消息中提取的会话业务标识 2; 步骤 S704, 媒体中继设备接收到 UE B的第一个媒体数据报文，检查到来自该第二目的地址端口对 B2 (即 UE B媒体面的地址端口对）没有完整的关联关系，则从该数据报文中提取到会话业务标识 2并进行验证，验证正确后建立第二目的地址端口对 B2与第一公网地址-端口对的绑定关系，并缓存来自 UE B的媒体数据报文，直到收到 UE A的媒体数据报文；步骤 S705~706，媒体中继设备在分别接收到 UE A和 UE B的第一媒体数据报文后，建立第一目的地址端口对 A2、第二公网地址-端口对、第一公网地址-端口对、第二目的地址端口对 B2四者之间完整的关联关系，并利用该关联关系将第二公网地址- 端口对接收到的数据经第一公网地址-端口对转发给 UE B、将第一公网地址-端口对接收到的数据经第二公网地址-端口对转发给 UE A; 步骤 S707~708， UE A和 UE B之间后继的媒体数据报文通过媒体中继设备按所述关联关系进行中转。其中，上述步骤 S702、 S704 中，对于接收到的媒体数据报文，其第一目的地址端口 A2对若不存在关联关系，且提取不到有效的会话业务标识，则丢弃该报文并继续监听端口，从而有效地避免恶意的端口扫描导致 UE A/UE B之间的媒体通道建立不成功。实施例四在本发明实施例中， UE A与 UE B之间的媒体会话协商过程与实施例三相同，不同之处在于，在媒体数据流建立过程中，即图 7的步骤 S707 508中 UE A和 UE B的第一个媒体数据报文可以不携带的会话业务标识 1/2信息，而是在发送媒体数据报文之前发送的绑定请求中携带。图 8描述了本发明实施例中 UE A/UE B完成会话协商后建立媒体通道的流程。与图 7所描述的流程的不同之处在于， UE A/UE B在在收到会话确认响应 /会话请求之后、发送第一媒体数据报文之前，向媒体中继设备首先发送一个绑定请求，并且在该绑定请求消息携带相应的会话业务标识，从而进一步避免由于一端长时间不发送数据导致的对端数据无法发送的问题。如图 8所示，本发明实施例中 UE A/UE B完成会话协商后建立媒体通道主要包括以下步骤：步骤 S801， UE A接收到 UE B的会话确认响应消息后，立即开始向 UE B发送第一个绑定请求，该绑定请求必须携带从会话确认响应消息中提取的会话业务标识 1 ; 由于 UE A从会话确认响应消息中提取第二公网地址 -端口对作为 UE B的通信地址，因此 UE A的媒体数据报文被发往媒体中继设备的第二公网地址-端口对；步骤 S802, 媒体中继设备接收到 UE A的绑定请求，从报文中提取到会话业务标识 1并进行验证，验证正确后建立第一目的地址端口对 A2与第二公网地址-端口对的绑定关系；步骤 S803 , 媒体中继设备向 UE A返回绑定成功响应消息；步骤 S804， UE B接收到 UE A的会话请求消息后，立即开始向 UE A发送第一个绑定请求，该绑定请求必须携带从会话请求消息中提取的会话业务标识 2; 由于 UE B从会话请求消息中提取第一公网地址 -端口对作为 UE A的通信地址，因此 UE B的媒体数据报文被发往媒体中继设备的第一公网地址-端口对；步骤 S805，媒体中继设备接收到 UE B的绑定请求，从该绑定请求中提取到会话业务标识 2并进行验证，验证正确后建立第二目的地址端口对 B2与第一公网地址-端口对的绑定关系；步骤 S806, 媒体中继设备向 UE B返回绑定成功响应消息；步骤 S807~808，经上述步骤，媒体中继设备建立了第一目的地址-端口对 A2、第二公网地址-端口对、第一公网地址-端口对、第二目的地址-端口对 B2之间完整的关联关系， UE A、 UE B之间的媒体数据报文通过媒体中继设备按该关联关系进行中转。其中，上述步骤 S801 803和步骤 S804-806可以同步进行。实施例五在本发明实施例中，采用会话初始化协议（ Session Initiation Protocol,简称为 SIP) 进行会话协商、采用实时传输协议（Real-Time Transport Protocol, 简称为 RTP) 进行媒体通道建立。在本发明实施例中，会话双方 UE A和 UE B首先采用图 6所述流程进行媒体协商，由于消息流程基本相同，因此在本发明实施例中不再赘述，其中，媒体中继控制服务器在步骤 S605 和步骤 S608 中将会话业务标识 2/1 嵌入在会话描述协议（Session Description Protocol, 简称为 SDP) 消息体中发布给 UE B/UE A。图 9描述了本发明实施例中 UE A和 UE B完成媒体会话协商后建立媒体通道的具体流程，如图 9所示，主要包括以下步骤：步骤 S901， UE A接收到 UE B的会话确认响应消息后，立即开始向 UE B发送绑定请求，该绑定请求必须携带从会话确认响应消息中提取的用户名 1/密码 1 ; 由于 UE A从会话确认响应中提取第二公网地址 -端口对作为 UE B的通信地址，因此 UE A的绑定请求被发往媒体中继设备的第二公网地址-端口对；步骤 S902, 媒体中继设备收到 UE A的绑定请求，从该绑定请求报文中提取到用户名 1/密码 1并进行验证，验证正确后建立第一目的地址端口对 A2与第二公网地址- 端口对的绑定关系；步骤 S903 , 媒体中继设备向 UE A返回绑定成功响应消息；步骤 S904， UE B接收到 UE A的会话请求消息后，立即开始向 UE A发送绑定请求，该绑定请求必须携带从会话请求消息中提取的用户名 2/密码 2; 由于 UE B从会话请求消息中提取第一公网地址 -端口对作为 UE A的通信地址，因此 UE B的媒体数据报文被发往媒体中继设备的第一公网地址-端口对；步骤 S905, 媒体中继设备收到 UE B的绑定请求，从该绑定请求报文中提取到用户名 2/密码 2并进行验证，验证正确后建立第二目的地址端口对 B2与第一公网地址- 端口对的绑定关系；步骤 S906, 媒体中继设备向 UE B返回绑定成功响应消息；步骤 S907~908，经上述步骤，媒体中继设备建立了第一目的地址-端口对 A2、第二公网地址-端口对、第一公网地址-端口对、第二目的地址-端口对 B2之间完整的关联关系， UE A、 UE B之间的媒体数据报文通过媒体中继设备按该关联关系进行中转。实施例六本发明实施例描述了基于 RTP协议的媒体通道建立流程，在本发明实施例中媒体通道建立使用 RTP报文头的序号来携带会话业务标识。会话双方 UE A和 UE B首先基于图 6所述流程进行媒体协商，由于消息流程基本相同不再进行图示。其中会话业务标识 1/2可以在 SIP消息或 SDP消息中发布给 UE A和 UE B，其中的会话业务标识 1/2为一个 RTP报文起始序列号的范围（即 UE A和 UE B发送第一个 RTP报文的序列号的范围）。图 10为本发明实施例中 UE A和 UE B之间建立媒体通道的具体里流程图，主要包括以下步骤：步骤 S1001 , UE A接收到 UE B的会话确认响应消息后，开始向 UE B发送第一个 RTP报文，该 RTP报文为媒体数据报文，由于 UE A从会话确认响应中提取第二目的地址-端口对 B2对作为 UE B的通信地址，因此 UE A的媒体数据报文被发往媒体中继设备的第二公网地址-端口对；其中， UE A发送的第一个 RTP报文的序列号必须在会话业务标识 1指定的范围内；步骤 S1002, 媒体中继设备接收到 UE A的第一个 RTP报文，检查到来自该第一目的地址端口对 A2没有完整的关联关系，则从该 RTP报文中提取 RTP序列号并验证是否在业务标识 1指定的范围内，验证正确后建立第一目的地址端口对 A2与第二公网地址-端口对的绑定关系；并缓存 UE A的媒体数据报文，直到接收到 UE B的媒体数据报文；步骤 S1003 , UE B向 UE A发送第一个 RTP报文，该 RTP报文为媒体数据报文，由于 UE B从会话请求中提取第一公网地址 -端口对作为 UE A的通信地址，因此 UE B 的媒体数据报文被发往媒体中继设备的第一公网地址-端口对；同时， UE B发送的第一个 RTP报文其序列号必须在会话业务标识 2指定的范围内；步骤 S1004, 媒体中继设备接收到 UE B的第一个 RTP报文，检查到来自该第二目的地址端口 B2对没有完整的关联关系，则从 RTP报文中提取 RTP序列号并验证是否在会话业务标识 2是指定的范围内，验证正确后建立第二目的地址端口对 B2与第一公网地址-端口对的绑定关系；并缓存 UE B的媒体数据报文，直到接收到 UE A的媒体数据报文；步骤 S1005~1006，媒体中继设备在分别接收到 UE A和 UE B的第一 RTP报文后，建立第一目的地址端口对 A2、第二公网地址-端口对、第一公网地址-端口对、第二目的地址端口对 B2四者之间完整的关联关系，并利用该关联关系将第二公网地址 -端口对接收到的数据经第一公网地址-端口对转发给 UE B、将第一公网地址-端口对接收到的数据经第二公网地址-端口对转发给 UE A; 步骤 S1007~1008， UE A和 UE B之间后继的媒体数据报文通过媒体中继设备按上述关联关系进行中转。实施例七在本发明实施例中描述了基于安全实时传输协议（Secure Real-Time Transport

Protocol, 简称为 SRTP) 实现媒体通道建立的流程，在本发明实施例中，会话双发基于图 6所述流程进行媒体协商时，媒体中继控制服务器直接生成符合 SRTP要求的主密钥作为业务标识，发布给 UE A、 UE B和媒体中继设备。图 11为本发明实施例中会话双方基于 SRTP协议建立媒体通道的流程图，如图 11 所示，在本发明实施例中，与图 10所示的流程相似，不同之处在于，在图 11中 UE A 和 UE B发送的第一个媒体数据报文为 SRTP报文，该 SRTP报文中携带为媒体中继控制服务器为 UE A或 UE B分配的主密钥，在媒体通道建立时，媒体中继设备对 UE A、 UE B发送的第一个 SRTP报文中携带的主密钥进行认证，认证通过后进行地址 -端口绑定；媒体中继设备对后续 SRTP报文不必进行认证流程。因此，基于 SRTP协议实现的媒体通道建立，不会对现有 SRTP协议存在任何改动，仅需在媒体中继控制服务器上增加主密钥分布功能、在媒体中继设备上增加首报文认证功能。从以上的描述中，可以看出，在本发明实施例中，媒体中继控制服务器在请求媒体中继设备预留资源、向用户转发媒体中继信息时，同时下发一个为本次会话分配的唯一标识；媒体中继设备在为用户建立本次会话媒体转发表时验证用户报文中携带的本次会话标识，从而避免了媒体中继设备在本次会话预留的端口收到恶意数据包可能导致的媒体通道建立失败。同时，用户在收到媒体中继控制服务器转发的媒体中继信息时，可以立即向分配的媒体中继设备发送一个绑定请求，从而避免媒体中继设备只有在收到通信双方用户媒体报文后才能成功转发媒体报文的限制。显然，本领域的技术人员应该明白，上述的本发明的各模块或各步骤可以用通用的计算装置来实现，它们可以集中在单个的计算装置上，或者分布在多个计算装置所组成的网络上，可选地，它们可以用计算装置可执行的程序代码来实现，从而，可以将它们存储在存储装置中由计算装置来执行，并且在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤，或者将它们分别制作成各个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims

权利要求书

1. 一种基于中继的媒体通道建立方法，包括：

在第一用户设备 UE与第二 UE之间的会话协商过程中，媒体中继控制服务器分配第一业务标识和第二业务标识，并将所述第一业务标识下发给所述第一 UE，将所述第二业务标识下发给所述第二 UE，将所述第一业务标识和所述第二业务标识下发媒体中继设备；

所述媒体中继设备接收所述第一 UE和所述第二 UE上报的业务标识；所述媒体中继设备根据所述媒体中继控制服务器下发的所述第一业务标识和所述第二业务标识，验证所述第一 UE和所述第二 UE上报的业务标识，验证通过，建立所述第一 UE与所述第二 UE之间的媒体通道。

2. 根据权利要求 1所述的方法，其中，所述媒体中继设备接收所述第一 UE和所述第二 UE上报的业务标识包括：

所述媒体中继设备接收所述第一 UE向所述第二 UE发送的第一个媒体数据报文，从中获取所述第一 UE上报的业务标识；

所述媒体中继设备接收所述第二 UE向所述第一 UE发送的第一个媒体数据报文，从中获取所述第二 UE上报的业务标识。

3. 根据权利要求 1所述的方法，其中，所述媒体中继设备接收所述第一 UE和所述第二 UE上报的业务标识包括：

所述第一 UE在所述会话协商结束后，在向所述媒体中继设备发送第一个媒体数据报文之前，首先向所述媒体中继设备发送第一绑定请求；

所述媒体中继设备接收所述第一绑定请求，从中获取所述第一 UE上报的业务标识；

所述第二 UE在所述会话协商结束后，在向所述媒体中继设备发送第一个媒体数据报文之前，首先向所述媒体中继设备发送第二绑定请求；

所述媒体中继设备接收所述第二绑定请求，从中获取所述第二 UE上报的业务标识。

4. 根据权利要求 1所述的方法，其中，所述第一业务标识和所述第二业务标识为字符串或序列号，或者，所述第一业务标识和所述第二业务标识为用户名 -密码对。

5. 根据权利要求 1所述的方法，其中，所述第一业务标识和所述第二业务标识为报文的起始序列号的范围；

所述媒体中继设备分别接收所述第一 UE和所述第二 UE上报的业务标识包括：所述媒体中继设备分别接收所述会话协商完成后来自所述第一 UE和所述第二 UE的第一个报文，获取该报文的序列号；

所述媒体中继设备验证所述第一 UE和所述第二 UE上报的业务标识包括: 所述媒体中继设备判断来自所述第一 UE的第一个报文的序列号是否在所述第一业务标识指示的范围内，并判断来自所述第二 UE的第一报文的序列号是否在所述第二业务标识指示的范围内，如果均是，则验证通过。

6. 根据权利要求 4或 5所述的方法，其中，所述第一业务标识与所述第二业务标识相同。

7. 根据权利要求 4或 5所述的方法，其中，所述第一业务标识与所述第二业务标识不相同。

8. 一种基于中继的媒体通道建立系统，包括：

媒体中继控制服务器，设置为在第一 UE与第二 UE之间的会话协商过程中分配第一业务标识和第二业务标识，并将所述第一业务标识下发给所述第一 UE, 将所述第二业务标识下发给所述第二 UE，将所述第一业务标识和所述第二业务标识下发媒体中继设备；

所述媒体中继设备，设置为接收所述第一 UE和所述第二 UE上报的业务标识，并根据所述媒体中继控制服务器下发的所述第一业务标识和所述第二业务标识，验证所述第一 UE和所述第二 UE上报的业务标识，验证通过，建立所述第一 UE与所述第二 UE之间的媒体通道。

9. 根据权利要求 8所述的系统，其中，所述媒体中继设备设置为在所述会话协商结束后，接收所述第一 UE和所述第二 UE发送的第一个媒体数据报文，从中获取所述第一 UE和所述第二 UE上报的业务标识。

0. 根据权利要求 9所述的系统，其中，所述媒体中继设备设置为在所述会话协商结束后，接收所述第一 UE和所述第二 UE在发送第一个媒体数据报文之前发送的绑定请求，从中获取所述第一 UE和所述第二 UE上报的业务标识。