摘要：穿透的協(xié)議穿透協(xié)議系列介紹了協(xié)議協(xié)議版本變化屬于的協(xié)議通過與之間發(fā)送數(shù)據(jù)包通信以獲取一些信息。同樣和交互其作用是穿透失敗使用中繼，確保通信成功的低優(yōu)先級策略。

UDP NAT穿透俗稱p2p打洞。
講到NAT, 追溯一下NAT產(chǎn)生原因：使用ipv4的時(shí)候，地址數(shù)量有限，NAT設(shè)備可以讓接上它的其他設(shè)備在其上共享ip,緩解地址不夠用。當(dāng)然ipv6的概念早就來臨了，國內(nèi)推廣的程度和推廣慢原因這里就先忽略，下面介紹一下NAT穿透以及實(shí)現(xiàn)。

NAT的類型（NAPT）

完全錐型(Full Cone)

 內(nèi)部地址[internal_ip:internal_port]通過NAT映射外部地址[external_ip：external_port],
 NAT分配端口后,所有外部設(shè)備可以通過這個(gè)[external_ip：external_port]和[internal_ip:internal_port]通信

受限錐型(Restricted Cone)， 或者說是IP受限錐型

內(nèi)部必須主動鏈接外部,  被訪問的目標(biāo)設(shè)備[tag_exrenal_ip:*]可以與之任意端口通信， 而其他外部IP則不能

端口受限錐型(Port Restricted Cone), 或者說是IP + PORT受限錐型

 在受限錐型的基礎(chǔ)之上，對端口進(jìn)一步約束；目標(biāo)設(shè)備[tag_exrenal_ip:tag_port1]可以與之通信，而[tag_exrenal_ip:tag_port2]不行

對稱型(Symmetric)

  每次對外訪問， NAT映射外部地址[external_ip：external_port]的端口均不一樣。如：
  當(dāng)主機(jī)A訪問主機(jī)B, A的IP被映射為[ip:port1]后;
  當(dāng)主機(jī)A訪問主機(jī)C, A的IP被映射為[ip:port2]后。

穿透NAT的協(xié)議

    Google穿透協(xié)議[RFC3489][RFC5766]系列介紹了[STUN][TURN]協(xié)議(協(xié)議版本變化),屬于
client-server的協(xié)議,通過client與server之間發(fā)送數(shù)據(jù)包,通信以獲取一些信息。

STUN

   STUN-client位于NAT后面,它通過與STUN-server交互,發(fā)送接收[協(xié)議的]數(shù)據(jù)報(bào),可以通過抓包
簡略查看(比如tcpdump)交互過程,最終將NAT類型和內(nèi)外二元組返回給STUN-client。當(dāng)然詳細(xì)的
通信過程,查看goole定義RFCxxxx的協(xié)議,最好結(jié)合開源的client實(shí)現(xiàn)結(jié)合。

TURN

   TURN-client同樣和server交互,其作用是穿透失敗,使用中繼，確保通信成功的低優(yōu)先級策略。
就是實(shí)際數(shù)據(jù)中轉(zhuǎn)的傳輸中心，當(dāng)然如果TURN存在NAT，需要支持hairpin。協(xié)議簡要概括：client
Allocate請求、創(chuàng)建Permission、建立Channel等等，通過在TURN-server上分配一個(gè)Port,作為
己方的一個(gè)候選通信 [ip:port]。

ICE

   穿越協(xié)議[RFC5245],可以理解為對STUN和TURN的擴(kuò)展,利用STUNTURN client收集、檢查、優(yōu)
先級本地候選地址,用于其他peer使用并用于連接。

NAT穿透實(shí)現(xiàn)

試驗(yàn)幾個(gè)組件

  1.STUN服務(wù)器使用google開放stun.l.google.com:19302
  2.TURN使用開源coturn,主機(jī)阿里云即可,支持hairpin
  3.客戶端實(shí)現(xiàn),使用開源ice4j(實(shí)現(xiàn)了STUNTURN的client,協(xié)議版本可能有異)

架構(gòu)

流程

step1:通過ice4j獲取候選[ip:port]
step2:通過login-server權(quán)限校驗(yàn)以及SDP交換
step3:檢測彼方SDP,進(jìn)而通信,ice完成

結(jié)語

UDP穿透成功,兩端位于對稱NAT后,這里沒有使用生日攻擊等端口預(yù)測,通過realy可以通信

測試源碼