14.IPネットワークの抱える課題【NAT/Firewall越え】
テレビ会議教室

INATは、IPv6になっても避けられない問題と言われています。
以前にもお話ししましたが、NATはその仕組み上、ネットワークの外側から内側にコネクションを張ることができません。その解決策として、内側から外側に 一旦接続し、その接続を維持し続ける方法があります。その原理に基づいて、ITU-TではH.460.18/H.460.19という標準ができました。こ れから製品に実装する段階に入っています。

H.323では、通信の最初にRAS (Registration, Admission and Status)メッセージをゲートキーパーに送ります。そこには、次に呼制御のメッセージを送るべき通信相手のアドレスが書かれているのです。パケットの 中にそれが書かれているので、NATを越えるときにそれが問題になります。NATの外側からは内側には接続できませんので、送られてきたアドレスに返して も通信が成り立たないのです。
それを回避するために、セッション・ボーダー・コントローラーをNATの外側に置いて、そこに内側から一旦接続します。その接続を維持し続けられれば、外側からも接続することができるという仕組みです。
これに関するITU-T勧告が、H.460.18とH.460.19です。

Firewallの方は多分に利用者のポリシーにかかわることで、どの種類のパケットを通して、どれ を通さないようにするかというのが、ネットワーク管理者の判断で設定されます。テレビ会議のパケットは通してねというのが、社内でテレビ会議システムの利 用者からネットワーク管理者への依頼ということになりますね。
世界中どこでも、ネットワーク管理者というのは、セキュリティのためになるべくパケットを通さないようにするものです。何が起こるか分からないので、なるべく開くべきポートの数を減らして通信するというのが、１つのセキュリティ対策手段ですよね。

IPネットワーク上で音声・映像・データをリアルタイムにデータ交換するための標準H.323の世界 では、IPネットワークに関わる3つの大きな問題の１つであるNAT/Firewall越えについて、制御信号の扱いを定めたH.460.18、メディア 信号の扱いを定めたH.460.19というソリューションができたという状況です。

これまでは、独自仕様として、各社それぞれに「当社の製品ではNAT/Firewall越えができますよ」とやってきたわけですが、H.460.18/H.460.19ができましたので、今後は異なるベンダーのシステムでも原理的には相互接続できるはずです。

ただし、端末だけでは100％解決できません。大規模なネットワークにしようとすると、どうしてもゲートキーパーが必要になります。それは各企業が自ら運用するか、どこかのサービスを使うことになるのではないでしょうか。

私が仕事をしている早稲田大学の職場にも、2種類のテレビ会議システムがあります。1つは大学のネットワーク内で使用し、もう一方はインターネット上で使用します。これが相互には繋がらないんです。学内のネットワークがFirewallの内側にあるせいです。このような場合は、H.460.18/H.460.19に対応したテレビ会議システムを買っただけでは解決しなくて、ゲートキーパーやセッションボーダーコントローラーを経由しなければなりません。

大規模なネットワークのときは、Firewallの内側でセキュリティ管理したいというのが根強いですね。大規模ネットワークでは、海外だけはインターネットでゲートキーパーなどを経由して入ってきて、国内は場合によってはISDNで入ってくるようにすることが多いのですが、1台2台の小規模なネットワークのときは、かえってネックになります。そう考えると、普及するにはまだまだ課題があると思います。
小規模なネットワーク向けのゲートキーパーや、セッションボーダーコントローラーをサービスするプロバイダが出てくるといいですね。需要が多ければ、このようなサービスも登場すると思うのですが。