Determinazione dei requisiti di porte e firewall A/V esterni

Requisiti delle porte dei firewall A/V esterni per l'accesso degli utenti esterni

I requisiti delle porte dei firewall per le interfacce SIP esterne e interne e di conferenza (presentazioni di PowerPoint, lavagne e sondaggi) sono uniformi indipendentemente dalla versione utilizzata dal partner federativo.

Non si applicano gli stessi requisiti per l'interfaccia esterna Audio/Video Edge. Nella maggior parte dei casi, il servizio A/V Edge richiede che le regole del firewall esterno consentano il flusso bidirezionale del traffico RTP/TCP e RTP/UDP nell'intervallo di porte 50.000-59.999. È ad esempio necessario aprire questo intervallo di porte per supportare alcuni scenari di federazione e nella tabella precedente vengono forniti i dettagli per ogni scenario. Nella tabella si presuppone che Lync Server 2010 sia il partner federativo primario e che sia configurato per comunicare con uno dei quattro tipi di partner federativi elencati.

Requisiti NAT per l'accesso degli utenti esterni

Il processo NAT in genere è una funzione di routing, ma i dispositivi più recenti come i firewall e addirittura i dispositivi di bilanciamento del carico hardware possono essere configurati per NAT. In questo argomento viene descritto il comportamento NAT necessario anziché i dispositivi su cui viene eseguito questo processo.

Il software di comunicazioneMicrosoft Lync Server 2010 non supporta il processo NAT per il traffico verso o dall'interfaccia interna perimetrale, mentre per l'interfaccia esterna perimetrale è necessario il comportamento NAT seguente. In questa documentazione vengono utilizzati i termini Modifica destinazione e Modifica origine nelle tabelle e nelle figure per definire il comportamento necessario seguente:

• Modifica destinazione   Processo di modifica dell'indirizzo IP di destinazione nei pacchetti destinati per la rete in cui viene utilizzato NAT. Questo processo è noto anche come trasparenza, port forwarding, modalità NAT di destinazione o modalità Half-NAT.

• Modifica origine   Processo di modifica dell'indirizzo IP di origine nei pacchetti provenienti dalla rete in cui viene utilizzato NAT. Questo processo è noto anche come proxy, SecureNAT, stateful NAT, Source NAT o modalità Full-NAT.

Indipendentemente dalla convenzione utilizzata per i nomi, il comportamento NAT necessario per l'interfaccia esterna del server perimetrale è il seguente:

• Per il traffico proveniente da Internet e diretto verso l'interfaccia esterna perimetrale:

  • Cambiare l'indirizzo IP di destinazione del pacchetto in ingresso dall'indirizzo IP pubblico dell'interfaccia esterna perimetrale nell'indirizzo IP convertito dell'interfaccia esterna perimetrale.

  • Lasciare invariato l'indirizzo IP di origine in modo che vi sia una route di ritorno per il traffico.

• Per il traffico proveniente dall'interfaccia esterna perimetrale e diretto verso Internet:

  • Cambiare l'indirizzo IP di origine del pacchetto in uscita dall'interfaccia esterna perimetrale da indirizzo IP convertito a indirizzo IP pubblico dell'interfaccia esterna perimetrale, in modo che l'indirizzo IP dell'interfaccia perimetrale interna non venga esposto e perché si tratta di un indirizzo IP non instradabile.

  • Lasciare invariato l'indirizzo IP di destinazione nei pacchetti in uscita.

Nella figura seguente viene mostrata la distinzione tra la modifica dell'indirizzo IP di destinazione (Modifica destinazione) per il traffico in ingresso e la modifica dell'indirizzo IP di origine (Modifica origine) per il traffico in uscita utilizzando l'interfaccia A/V Edge come esempio.

Modifica dell'indirizzo IP di destinazione (Modifica destinazione) per il traffico in ingresso e modifica dell'indirizzo IP di origine (Modifica origine)

I punti principali sono i seguenti:

• Per il traffico in ingresso nell'interfaccia A/V Edge, l'indirizzo IP di origine non cambia, mentre l'indirizzo IP di destinazione cambia da 131.107.155.30 nell'indirizzo IP convertito 10.45.16.10.

• Per il traffico in uscita dall'interfaccia A/V Edge verso la workstation, l'indirizzo IP di origine cambia dall'indirizzo IP pubblico del server nell'indirizzo IP pubblico A/V Edge. Come IP di destinazione resta l'indirizzo IP pubblico della workstation. Dopo che il pacchetto ha lasciato dal primo dispositivo NAT in uscita, la regola per il dispositivo NAT cambia l'indirizzo IP di origine dall'indirizzo IP dell'interfaccia esterna A/V Edge (10.45.16.10) nel relativo indirizzo IP pubblico (131.107.155.30).