CN102571814B - 一种ip监控系统中穿越隔离设备的方法及代理设备 - Google Patents

Abstract

本发明提供一种IP监控系统中穿越隔离设备的方法及代理设备，该方法应用于监控系统，该监控系统中包括多个监控节点以及LNS；该方法包括：与LNS建立L2TP隧道连接，从LNS获得隧道内层IP地址；从分支网络内收到监控节点向外发送的IP报文，将该IP报文的源IP地址修改为隧道内层IP地址，并记录下报文携带的该监控节点标识与监控节点IP地址的对应关系；将修改后的IP报文通过隧道发送出去；将收到的隧道报文进行解封装获得隧道内层IP报文，根据监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址转发给所述监控节点。本发明能有效地协助分支网络在存在隔离设备时能够被外网的其他监控节点访问到。

Description

一种IP监控系统中穿越隔离设备的方法及代理设备

技术领域

本发明涉及视频监控领域，尤其涉及IP监控系统中内外网通信的代理方法和代理设备。

背景技术

基于IP网络的视频监控已经逐渐发展成为安防业的主流方案，成功应用于平安工程、高速公路、公安网、园区等大型项目。IP的标准性和开放性也使得各个网络孤岛的整合变得容易，使网络规模的扩展变得轻松。考虑到IPv4地址资源紧张和现有各区域网络地址段相互重叠的现实，以及各种网络安全的需要，NAT、防火墙、安全隔离网闸等隔离设备被大量的应用于大型网络中。这就使得基于IP的视频监控系统的信令和业务流程变得非常复杂，甚至导致某些业务在某些特定的组网中无法开展。下面简单阐述下在视频监控网络存在NAT、防火墙、安全隔离网闸等隔离设备时，视频监控网络通信变得复杂困难的缘由。

以最典型的NAT为例，在网络中存在NAT设备的时候，由于IP报文穿过NAT设备之后其源IP地址或目的IP地址会发生改变，而一个监控业务信令报文内部通常也包携带有源IP地址和目的IP地址，由此造成报文内部与外部(报文头部)的地址不统一，这在很多时候会对视频监控业务流程造成困扰。另外，如果NAT外网存在设备要首先发起通向内网的TCP/UDP连接，就必须先在NAT设备上为内网的那些设备分别配置内部服务器的静态地址/端口映射，这样显然会浪费大量公网地址，很多时候也是不允许的。当然，在控制服务器可以判断出交互的两台设备谁处于NAT内网谁处于外网时，可以通知内网的设备主动向外网设备发起连接。但是这要求每个会话连接都实现两种或甚至两种以上的处理流程，对于一个包含了多个会话行为的业务流程这种组合会变得非常复杂。况且某些标准业务也不允许交互的双方颠倒C/S的角色。

再比如说，在存在防火墙时，需要防火墙开放相当数量的UDP/TCP端口以便防火墙外的终端，如视频监控客户端，能主动访问防火墙内的服务器，如视频管理服务器(VM)。这样就给企业内网带来了安全隐患。

在存在安全隔离网闸时，大量以IP代理方式实现的网闸(即来自外部的流量先发送到网闸的一个代理IP，网闸修改目的IP后再往内网转发)，通常会要求网闸协助对业务信令的内部信息做出相应的修改，因为其中可能包含有IP地址信息。于是监控系统厂家每开发一个新特性可能都会要求网闸公司配合做出相应的特性开发。

另外，一些特殊用户还有特殊的视频监控网络需求。比如说公安网络等安全性要求较高的网络需要：所有的会话连接都要求由内网发起，否则外部流量就进入不了内网。在一个典型的集中控制架构中，终端，如编码设备，首先得向服务器，如视频管理服务器，发起注册信令，点播业务也是点播主机先向服务器发起申请，当终端和主机处于外网而服务器处于内网时业务就会遭遇困境。

发明内容

有鉴于此，本发明提供一种IP监控系统中穿越隔离设备的方法，该方法应用于监控系统的分支网络中的一个代理设备上，其中所述监控系统中包括多个监控节点以及LNS，该方法包括：

向LNS发起隧道连接请求以与LNS建立L2TP隧道连接，并从LNS获得隧道内层IP地址；

从分支网络内收到监控节点向外发送的IP报文，将该IP报文的源IP地址修改为隧道内层IP地址，并记录下报文携带的该监控节点标识与监控节点IP地址的对应关系

将修改后的IP报文封装为隧道报文通过隧道发送出去；

从L2TP隧道接收到隧道报文，将该隧道报文进行解封装获得隧道内层IP报文，根据隧道内层IP报文携带监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址，将修改后的IP报文转发给所述监控节点。

本发明还提供一种IP监控系统中穿越隔离设备的代理设备，其中所述监控系统中包括多个监控节点以及LNS；，该设备包括隧道处理单元以及业务处理单元：其中

隧道处理单元，用于向LNS发起隧道连接请求以与LNS建立L2TP隧道连接，并从LNS获得隧道内层IP地址；该隧道处理单元进一步用于将隧道处理单元修改后的IP报文封装为隧道报文发送出去或者将接收到的隧道报文解封装得到隧道内层IP报文提交给业务代理单元；

业务代理单元，用于在从分支网络内收到监控节点向外发送的IP报文时，将该IP报文的源IP地址修改为隧道内层IP地址后提交给隧道处理单元，并记录报文携带的该监控节点标识与监控节点IP地址的对应关系；其中该业务处理单元进一步用于根据隧道处理单元解封装获得的隧道内层IP报文中携带的监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址，并将修改后的报文所述监控节点。

与现有技术相比，本发明则不受这样NAT流表老化机制这样的限制。更为重要的是，现有技术中，监控业务开发过程中可能需要为各种监控业务都进行NAT配置的考虑，并且网络管理员的管理任务更加复杂和繁琐，而本发明通过隧道代理的方式有效地解决了这个问题，隧道代理机制位于监控业务的下层，对各种监控业务基本是透明的。另外，相对于传统配置NAT等隔离设备的方式，本发明由于使用了L2TP隧道，天然继承L2TP隧道的VPN安全性，认证机制以及数据压缩等优势，在完成穿越隔离设备的同时保证了监控系统的安全。最后，由于本发明还采用业务代理的方式，大量内网的监控节点并不需要建立L2TP隧道，避免了增加内网监控节点的处理负担。

附图说明

图1为本发明一种实施方式中监控系统的组网示意图；

图2为本发明L2TP隧道建立的抽象组网图；

图3为本发明代理设备的基本硬件架构；

图4为本发明代理设备的逻辑结构图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

图1显示了一个IP监控系统。该IP监控系统指包括三个分支网络，三个分支网络之间通过中间的公网相连。其中视频管理服务器VM所在的分支网络C是公网，分支网络A(192.168.x.x，图1中的区域A)及分支网络B(10.x.x.x，图1中区域B)均是私网。该监控系统包括了网络隔离设备(如NAT、防火墙、网闸等)、EC、VC、VM以及其他服务器(如IP存储服务器IPSAN、媒体交换服务器MS、数据管理服务器DM等)。在本发明的监控系统中，EC、VC及各种服务器被称为监控节点。在图1中，分支网络A中的EC与VC位于自身网络出口网络隔离设备的内侧，即被隔离或者说被保护的一侧，也称为内网侧。而监控服务器相对于上述隔离设备来说自然是位于隔离设备的外侧，也称为外网侧。

隔离设备的存在导致内网可以主动访问外网，但是外网在隔离设备没有特殊配置的前提下是无法访问内网的问题。本发明并不是从NAT等隔离设备入手，而是从业务与通信结合入手来解决这个问题。在在本发明中，首先由位于内网的代理设备(L2TP Proxy，LP)作为L2TP客户端(LAC)向L2TP服务端(LNS)发起隧道连接请求，隧道连接建立后内网监控终端将获得由L2TP服务端分配的隧道内层IP地址。然后LP开始代理内部各种监控节点与外网之间的监控业务。在图2中LP位于分支网络A的出口处，比如通过软/硬件技术集成在出口网络设备上，这样的部署相对简单，可以为分支网络2内所有需要代理服务的监控节点提供服务，当然也可以部署在网络中其他的位置。

图2是图1中LP建立L2TP隧道的抽象模型，LNS为作为LAC客户端的LP分配的隧道内层IP地址是12.12.11.10。位于中心网络的LNS与内网连接接口的IP地址为12.12.10.10，这个地址从内网的角度来看是一个公网地址，也就是说是内网可以直接访问的；如果该地址不能被直接访问到，可以在本网络出口的隔离设备上配置静态映射的对应公网地址。在隧道通信模式中，它是隧道外层IP地址。LNS与外网其他设备连接的接口IP地址为12.12.12.9/24。需要说明的是，公网地址及私网地址是相对而言的，其取决于网络的规划，比如互联网上的公网IP地址也可以被规划起来作为私网地址重复使用。LP采用新分配到的IP地址12.12.11.10/24通过隧道与外网的VM进行通信。隧道通信模式所使用的报文请参考表1所示的报文封装模型。

外层DIP

外层SIP

内层DIP

内层SIP

监控信令数据或业务数据

表1

上表中外层DIP表示隧道外层IP目的地址(如12.12.10.10/24)，外层SIP表示隧道外层源地址(如192.168.1.10/24)，内层DIP表示隧道内层目的IP地址(如12.12.12.9/24)，内层SIP表示隧道内层源IP地址(如12.12.11.10/24)。通过以上描述可以知道，如果管理员的IP地址规划合理，LAC获得隧道内层IP地址之后，外网的节点就可以经由隧道访问到位于内网的节点了。而本发明并不需要大量内网的监控节点都与LNS建立隧道，而是采用业务代理的方式让尽可能少的设备建立隧道。

图3所示为本发明各种LP的一种通用的基础硬件架构，LP可能实施在各种网络设备上(交换机、路由器、防火墙、服务器等等)，本发明在此硬件架构的基础上可以通过计算机程序来实现。在计算机程序实现的实施方式中，本发明LP逻辑结构图可归纳为图4所示的结构。LP包括第一及第二网络接口单元、隧道处理单元以及过滤单元。以下详细介绍本发明的处理流程。

步骤101，LP向LNS发起隧道连接请求以与LNS建立L2TP隧道连接，并从LNS获得隧道内层IP地址；本步骤由隧道处理单元处理。具体描述请参考以上的描述。

步骤102，从分支网络收到监控节点向外发送的IP报文，将该IP报文的源IP地址(也就是监控节点自身的IP地址)修改为隧道内层IP地址，并记录下报文携带的该监控节点标识与监控节点IP地址的对应关系，本步骤业务代理单元处理。

请参考图1，当分支网络内的监控节点(比如EC或者VC)上电之后，其通常会发送注册报文到VM，假设分支网络内没有VM，EC和VC的注册报文需要发送到外部。经过步骤102的地址修改以后，最终外网收到报文的对端监控节点为认为本端监控节点的IP地址是修改后的IP地址(即隧道内层IP地址)，后续对端监控节点可以向本端发起通信会以该隧道内层IP地址为目的IP地址来发送报文。进一步来说，由于LNS只会分配一个隧道内层IP地址，而分支网络中的监控节点可能有多个，因此为了能区分出每个监控节点，需要使用报文中能够标识监控节点的唯一标识，监控系统中监控节点的URL是一种较佳的方式，当然也可以使用其他诸如设备名称及地址等标识。步骤102记录下URL与监控节点自身IP地址的对应关系，这个对应关系在后续步骤中可以协助正确转发反向业务报文。

考虑到并非所有分支网络内的监控节点都需要LP进行业务代理的，因此在业务处理单元执行源IP地址修改之前，还可以根据预设的服务范围来当前这个本端监控节点是否需要代理服务；如果是则继续，否则通过跳过隧道封装过程将其转发出去。服务范围可以是预先配置的IP地址段，也可以是满足一定条件的URL，比如URL中包括有特定字符的需要代理或不需要代理服务，服务范围还可以是主机名列表等。

步骤103，将修改后的IP报文封装为隧道报文通过隧道发送出去。

步骤104，从L2TP隧道接收到隧道报文，将该隧道报文进行解封装获得隧道内层IP报文。步骤103及步骤104由隧道处理单元执行；隧道报文的封装以及解封装请参考上文的描述。

步骤105，根据隧道内层IP报文携带监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址，将修改后的IP报文转发给所述监控节点。本步骤由业务代理单元处理。

在步骤104通过解封装得到隧道内层IP报文，该IP报文的目的地址是所述LP的隧道内层IP地址，需要将其修改为本端监控节点的IP地址。由于步骤102已经记录下URL与本端监控节点IP地址的对应关系。所以从报文中找到URL这个标识查找LP中保存的记录得到本端监控节点的IP地址。接下来将这个IP报文的目的地址替换为本端监控节点的IP地址，查找转发表转发给本端监控节点。

以下通过一个监控终端节点UA1(如EC或者VC)的注册过程示例来说明本发明LP代理过程。

UA1IP：192.168.1.100

LP自身IP：192.168.10.1

LP隧道内层：2.2.2.2

VM IP：138.100.100.100

UA发出的注册请求报文如下：

    REGISTER sip:138.100.100.100:5060SIP/2.0

    Via：SIP/2.0/UDP192.168.1.100:5060；branch＝z9hG4bK5de81be584e81be50

ae81be59ee81be5

    Call-ID：591ad510801ad5100e1ad5109a1ad5108bUA1_IP

    From：<sip:UA1_URL192.168.1.100:5060>；tag＝45707ca79c707ca7

    To：<sip:UA1_URL192.168.1.100>

    CSeq：663REGISTER

    RegMode：

DEVICE；Describe＝devicetype；register；DevVer＝EC2016HC-IMOS110-B1818

    Contact：<sip:UA1_URL192.168.1.100:5060>

    Max-Forwards：70

    Content-Length：0

LP收到该消息后，判断UA1_IP是否在服务范围内，如果是则记录如下对应关系：UA1_URLUA1_IP←→UA1_URLLP_隧道内层IP

将UA1注册报文的源IP地址修改为LP隧道内层IP地址，并进行隧道封装后转发给VM。修改后的报文如下

    REGISTER sip:138.100.100.100:5060SIP/2.0

    Via：                                            SIP/2.0/UDP

2.2.2.2:5060；branch＝z9hG4bK5de81be584e81be50ae81be59ee81be5

    Call-ID：591ad510801ad5100e1ad5109a1ad5108bUA1_IP

    From：<sip:UA1_URL2.2.2.2:5060>；tag＝45707ca79c707ca7

    To：<sip:UA1_URL2.2.2.2>

    CSeq：663REGISTER

    RegMode：

DEVICE；Describe＝devicetype；register；DevVer＝EC2016HC-IMOS110-B1818

    Contact：<sip:UA1_URL2.2.2.2:5060>

    Max-Forwards：70

    Content-Length：0

VM收到注册报文后，会认为UA1_URL终端的IP地址是LP的隧道内层IP地址，VM接收UA1的注册，于是向LP发送200OK报文。需要说明的是，在本发明中VM需要将同一个IP地址(LP的隧道内层IP地址)的UA_URL不同的报文视为不同的设备发送，也就是说VM也许要通过监控设备标识来区分监控设备，而不是通过IP地址。LP收到VM回复消息后，修改相应地址，发送给UA1，此时UA1注册成功。

以下再介绍一个分支网络外监控节点(如VC)点播LP服务的分钟网络中某个监控终端节点(UAX，通常是一个EC)的监控视频流的示例性过程：

VC登录VM服务器，点播某终端节点UAX摄像头的监控视频流，VM服务器向LP发送请求消息(因为VM认为LP的隧道内层IP地址是UAX的IP地址)。请求消息的报文格式如下：

    INVITE sip:UAX_URL2.2.2.2:5060SIP/2.0

    Via：SIP/2.0/UDP138.100.100.100:5060；branch＝z9hG4bKd06b4b6a626b4b6

aba6b4b6a896b4b6a

    Call-ID：2f52f6389d52f6384552f6387652f638138.100.100.100

    From：<sip:User_URL138.100.100.100:6001>；tag＝1f4144ccad4144cc

    To：<sip:UAX_URL2.2.2.2:5060>

    CSeq：2INVITE

    Contact：<sip:User_URL138.100.100.100:5060>

    Max-Forwards：70

    Content-Length：259

    Content-Type：application/sdp

    v＝0

    o＝H3C 0 0IN IP4100.1.10.79

    s＝-

    c＝IN IP4 100.1.10.79

    m＝video 39604udp 98

    i＝primary

    b＝AS：2048

    a＝fmtp:98MPEG4-TS/90000resolution＝D1 manufacturer＝H3C ver＝V3.0

DecoderTag＝h3c-v3

    a＝recvonly

    m＝audio 39604udp 0

    a＝fmtp:0G711U-TS/8000

    a＝recvonly

当LP收到上述请求消息报文后，根据之前记录的对应关系表，得到UAX自身的IP地址，将报文的目的地址修改后转发给UAX。UAX确认后向VC发送实况的监控视频流数据。LP在收到UAX发送的数据后，将源地址替换为LP隧道内层IP地址，并封装在L2TP隧道中发送给VC。

对于其他业务过程，如视频流存储业务，LP的处理方式基本一致，不再一一赘述。本发明采用L2TP Proxy的方式，可以使得分支网络内的终端节点避免因为网络出口的隔离设备而无法被外网设备访问到的情形。尤其值得注意的是，虽然本发明描述的处理过程中是内网先向外网发送报文形成对应关系的。但是这不同于NAT的方式，虽然NAT在内网发送报文之后会形成转换流表，但是NAT表项天然存在老化机制，所以外网设备隔了一段时间可能就无法访问到内网的监控节点了，而本发明则不受这样的限制。更为重要的是，为了解决这个问题，传统的方式是需要为监控节点配置静态映射，这严重影响监控业务特性的开发，开发过程中可能需要为各种监控业务都进行NAT配置的考虑，并且网络管理员的管理任务更加复杂和繁琐。而本发明通过隧道代理的方式有效地解决了这个问题，代理机制位于监控业务的下层，对各种监控业务基本是透明的。另外，相对于传统配置NAT等隔离设备的方式，本发明由于使用了L2TP隧道，天然继承L2TP隧道的VPN安全性，认证机制以及数据压缩等优势，在完成穿越隔离设备的同时保证了监控系统的安全。由于本发明还采用业务代理的方式，大量内网的监控节点并不需要建立L2TP隧道，避免了增加内网监控节点的处理负担。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (8)

1.一种IP监控系统中穿越隔离设备的方法，该方法应用于监控系统的分支网络中的一个代理设备上，其中所述监控系统中包括多个监控节点以及第二层隧道协议服务端LNS，该方法包括：

向LNS发起隧道连接请求以与LNS建立L2TP隧道连接，并从LNS获得隧道内层IP地址，将LNS与所述代理设备连接的端口的IP地址作为隧道外层IP地址，判断所述隧道外层IP地址是否能被访问到，若不能被访问到，在LNS所在网络出口的隔离设备上配置静态映射的对应公网地址，并将所述对应的公网地址作为隧道外层IP地址；从分支网络内收到监控节点向外发送的IP报文，将该IP报文的源IP地址修改为隧道内层IP地址，并记录下报文携带的该监控节点标识与监控节点IP地址的对应关系；

将修改后的IP报文封装为隧道报文通过隧道发送出去；

从L2TP隧道接收到隧道报文，将该隧道报文进行解封装获得隧道内层IP报文，根据隧道内层IP报文携带监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址，将修改后的IP报文转发给所述监控节点。

2.如权利要求1所述的方法，其中所述监控节点标识是监控节点的URL。

3.如权利要求1所述的方法，在将IP报文的源地址修改之前，进一步根据配置的服务范围判断是否需要为该监控节点提供代理服务，如果需要则继续；否则跳过隧道封装将该IP报文转发出去。

4.如权利要求3所述的方法，所述服务范围是预设的IP地址段或者符合预定规则的URL。

5.一种IP监控系统中穿越隔离设备的代理设备，其中所述监控系统中包括多个监控节点以及第二层隧道协议服务端LNS，该代理设备包括隧道处理单元以及业务处理单元：

隧道处理单元，用于向LNS发起隧道连接请求以与LNS建立L2TP隧道连接，并从LNS获得隧道内层IP地址；将LNS与所述代理设备连接的端口的IP地址作为隧道外层IP地址，判断所述隧道外层IP地址是否能被访问到，若不能被访问到，在LNS所在网络出口的隔离设备上配置静态映射的对应公网地址，并将所述对应的公网地址作为隧道外层IP地址；该隧道处理单元进一步用于将隧道处理单元修改后的IP报文封装为隧道报文发送出去或者将接收到的隧道报文解封装得到隧道内层IP报文提交给业务代理单元；

业务代理单元，用于在从分支网络内收到监控节点向外发送的IP报文时，将该IP报文的源IP地址修改为隧道内层IP地址后提交给隧道处理单元，并记录报文携带的该监控节点标识与监控节点IP地址的对应关系；其中该业务处理单元进一步用于根据隧道处理单元解封装获得的隧道内层IP报文中携带的监控节点标识以及所述对应关系将该隧道内层IP报文的目的地址修改为所述监控节点的IP地址，并将修改后的报文所述监控节点。

6.如权利要求5所述的设备，其中所述监控节点标识是监控节点的URL。

7.如权利要求5所述的设备，其中所述业务处理单元进一步用于，在将IP报文的源地址修改之前，根据配置的服务范围判断是否需要为该监控节点提供代理服务，如果需要则继续；否则跳过隧道封装将该IP报文转发出去。

8.如权利要求7所述的设备，所述服务范围是预设的IP地址段或者符合预定规则的URL。