networking - 通过简单的嗅探来检测 H.323？

Question

是否可以通过简单嗅探相邻节点上的流量来检测 H.323 连接（电话呼叫）是否已启动？

Answer 1

最有效的方法似乎是嗅探到 1719（RAS）和 1720（H.225 信令）端口的所有 TCP 流量。你很有可能收到信号。其他方法要困难得多。

其他选择：

• 从一开始就使用 TPKT 流量检查新的 TCP 连接。
• 如果标头很好（要检查 4 个字节）并且 PDU 的大小似乎合理，则需要将其解码为 H.225 信令（ASN1），这不是那么简单且相对资源消耗操作。

您可能面临的最糟糕的事情是受信号保护的 H.235 安全性。在这种情况下，几乎没有什么可以帮助你；）。

Answer 2

如果您只捕获 1719（RAS）和 1720（H.225 信令），如果有动态协商的 H.245 会话，您将错过 H.245。

我建议您捕获呼叫者/呼叫者/网守之间的所有 TCP 会话和 UDP 1719 会话。