通过简单的嗅探检测H.323？

Question

是否可以通过简单地嗅探相邻节点上的流量来检测H.323连接(电话呼叫)是否处于工作状态？

Answer 1

最有效的方法似乎是嗅探到1719 (RAS)和1720 (H.225信令)端口的所有TCP流量。你得到信号的概率很高。其他方法要困难得多。

其他替代方案：

• 从一开始就使用TPKT通信检查新的TCP连接。
• 如果报头良好(需要检查4个字节)，并且PDU大小合理，则需要将其解码为H.225信令(ASN1)。这不是一项简单且相对消耗资源的操作。

你能面对的最糟糕的事情是H.235安全和信令保护。在这种情况下，几乎没有什么能帮到你;)。

Answer 2

如果您只捕获1719 (RAS)和1720 (H.225信令)，如果存在动态协商的H.245会话，您将错过和H.245。

我建议您捕获调用者/调用者/网守之间的所有TCP会话和UDP 1719会话。