CN103036761B - 一种隧道服务器和客户端装置 - Google Patents

Abstract

本发明提供一种隧道服务器以及隧道客户端。该隧道服务器处理第一监控节点发送的隧道建立请求，分配虚拟IP给第一监控节点；对第一监控节点发送的对第二监控节点进行访问的请求进行确认；在本地建立访问对应的隧道转发表项，该表项包括第一监控节点的真实IP，第一监控节点的虚拟IP，第二监控节点IP以及与该访问对应的标识；根据访问对应的隧道转发表项对第一监控节点发送的访问第二监控节点的报文的IP头进行重封装并发送给第二监控节点，重封装后的IP头包括：作为源IP的第一监控节点虚拟IP，作为目的IP地址的第二监控节点IP。本发明实现了对存在NAT的监控网络中的前端设备的流量控制和网络安全。

Description

一种隧道服务器和客户端装置

技术领域

本发明涉及视频监控领域，尤其涉及应用于视频监控网络的隧道服务器和客户端装置。

背景技术

随着标准化且易扩展的IP网络技术的不断发展，基于IP网络的视频监控技术也得到了快速发展，IP监控已经成为目前监控的主流。通常用户根据自己对安全性的需求，在设计IP监控网络的时候会使用NAT技术，比如将监控中心的一些设备，如监控服务器，IPSAN设备等部署在NAT私网。存在有NAT的IP监控网络在实现互通互联的时候可以考虑隧道技术，申请人之前的一些专利申请记载过该技术的实现方案。但是隧道技术在实现网络互通的时候，无论是监控信令报文还是监控数据报文均被封装在隧道报文中，比如图1公网中的EC向处于NAT内部的监控服务器VM发送报文的时候，以L2TP隧道封装为例，封装的报文格式示意如图2。其中IP头1包含EC的地址（源IP地址），LNS设备的地址（目的IP地址）；UDP头1、L2TP头以及PPP头为L2TP封装；IP头2、UDP头2和数据data是VM实际接收的报文，它们作为隧道报文的载荷在LNS处解封装后被发送给VM，其中IP头2中包含作为源IP的EC的虚拟IP地址（建隧道的时候由LNS分配给EC的），作为目的IP的VM的IP地址。

由于监控前端设备经常处于公共区域，比如道路两旁，小区电梯中，所以有被攻击者替换的可能，如果能对其发送的流量进行控制会进一步增强网络的安全性。一种流量控制的方法为：在监控前端设备的接入交换机上设置ACL规则，仅允许监控相关的业务通过。在设置ACL规则的时候UDP端口号是经常需要被使用的，但是对于隧道封装后的报文，其UDP端口号固定为1701（如图2的UDP头1），普通的交换机无法对其进行ACL的流量监控，所以如何实现对存在NAT的监控网络中的监控前端设备进行流量控制是需要解决的问题。

发明内容

有鉴于此，本发明的目的是提供一种适于流量控制的隧道服务器和隧道客户端装置。

为实现上述目的，本发明提供技术方案如下：

一种隧道服务器，该隧道服务器位于视频监控网络，该视频监控网络包括相互隔离的第一监控节点和第二监控节点，该隧道服务器包括：隧道处理单元，用于处理第一监控节点发送的隧道建立请求，分配虚拟IP地址给第一监控节点，以建立和第一监控节点的隧道；访问处理单元，用于对第一监控节点发送的对第二监控节点进行访问的请求进行确认回复，并通知表项处理单元建立该访问对应的隧道转发表项；表项处理单元，用于在本地建立所述访问对应的隧道转发表项，该表项包括第一监控节点的真实IP地址，第一监控节点的虚拟IP地址，第二监控节点的IP地址以及与该访问对应的标识，该标识在所述访问第二监控节点的请求中携带或者由所述访问处理单元收到所述请求后分配；报文处理单元，用于根据所述访问对应的隧道转发表项对第一监控节点未经隧道发送的访问第二监控节点的报文的IP头进行重封装并发送给第二监控节点，重封装后的IP头包括：作为源IP地址的第一监控节点的虚拟IP地址，作为目的IP地址的第二监控节点的IP地址。

该未经隧道发送的访问第二监控节点的报文使用的端口号不同于通过隧道发送的报文的端口号。

该报文处理单元，还用于根据所述访问对应的隧道转发表项对第二监控节点返回给第一监控节点的报文的IP头进行重封装并不经过隧道发送给第一监控节点，重封装后的IP头包括：该访问对应的标识，作为源IP的隧道服务器的IP地址，作为目的IP的第一监控节点的真实IP地址。

该访问处理单元，还用于对第一监控节点发送的访问撤销请求进行确认回复，该访问撤销请求携带该访问对应的标识，并通知表项处理单元删除该访问对应的隧道转发表项；表项处理单元，还用于收到所述通知时删除该访问对应的隧道转发表项。

该隧道处理单元，还用于在判断第一监控节点和自身的隧道断开时通知表项处理单元；表项处理单元，还用于第一监控节点和自身的隧道断开时删除该隧道对应的所有隧道转发表项。

与本发明的隧道服务器配合工作的一种隧道客户端装置，该装置应用于第一监控节点，该第一监控节点位于视频监控网络，该视频监控网络还包括隧道服务器，以及与第一监控节点网络隔离的第二监控节点，该装置包括：

隧道处理单元，用于向隧道服务器发送隧道建立请求，获取隧道服务器分配的虚拟IP地址，建立和隧道服务器的隧道；访问请求单元，用于向隧道服务器发送对第二监控节点进行访问的请求，并在收到隧道服务器的确认回复后通知表项处理单元建立该访问对应的隧道转发表项；表项处理单元，用于在本地建立所述访问对应的隧道转发表项，该表项包括第二监控节点的IP地址以及与该访问对应的标识，该标识在所述访问第二监控节点的请求中携带或者由所述隧道服务器收到所述请求后分配；报文处理单元，用于在访问第二监控节点时，根据所述访问对应的隧道转发表项对报文进行IP头封装并不经隧道发送到第一监控节点，封装后的IP头包括：该访问对应的标识，作为源IP地址的第一监控节点的真实IP地址，作为目的IP地址的隧道服务器的IP地址。

该未经隧道发送的访问第二监控节点的报文使用的端口号不同于通过隧道发送的报文的端口号。

该报文处理单元，还用于根据所述访问对应的隧道转发表项对隧道服务器未经隧道发送报文的IP头进行还原；还原后的IP头包括：作为目的IP地址的第一监控节点的虚拟IP地址、作为源IP地址的第二监控节点的IP地址。

该访问请求单元，还用于发送访问撤销请求，该访问撤销请求携带该访问对应的标识，并通知表项处理单元删除该访问对应的隧道转发表项；表项处理单元，还用于在收到所述删除通知后删除对应的隧道转发表项。

该隧道处理单元，还用于在自身节点和隧道服务器的隧道断开时通知表项处理单元；表项处理单元，还用于自身节点和隧道服务器的隧道断开时删除该隧道对应的所有隧道转发表项。

与现有技术相比，本发明实现了对存在NAT的监控网络中的前端设备的流量控制、网络安全等。

附图说明

图1是一种监控网络示意图。

图2是现有的L2TP隧道封装报文示意图。

图3是本发明实施例一种隧道服务器逻辑图。

图4是本发明实施例一种隧道客户端装置逻辑图。

图5是～图9是本发明实施例各种报文示意图。

具体实施方式

针对上述提出的技术问题，本发明提供一种适于流控的隧道技术。以下结合具体实施例进行详细说明。

图3为一种隧道服务器的逻辑结构图。该隧道服务器包括：隧道处理单元31、访问处理单元32、表项处理单元33和报文处理单元34。

图4为和图3隧道服务器配合工作的一隧道客户端装置的逻辑结构图，该客户端装置应用于第一监控节点，其包括：隧道处理单元41、访问请求单元42、表项处理单元43和报文处理单元44。

该隧道服务器可以集成在监控节点上，比如说媒体交换服务器MS；也可以集成在路由器等网络设备上。第一监控节点一般是监控前端设备，比如编码器，网络摄像机，在一些应用中需要对其发送的流量进行控制。

隧道服务器和第一监控节点的隧道客户端装置相互配合的处理流程如下：

步骤501、第一监控节点的隧道处理单元41向隧道服务器发送隧道建立请求，获取隧道服务器分配的虚拟IP地址，建立和隧道服务器的隧道。

步骤502、隧道服务器的隧道处理单元31处理上述隧道建立请求，分配虚拟IP地址给第一监控节点，以建立和第一监控节点的隧道。

上述两个步骤为隧道的建立过程，属于现有技术。本实施例设置这两个步骤主要为了使隧道服务器获得第一监控节点分配的虚拟IP地址。

步骤503、第一监控节点的访问请求单元42向隧道服务器发送对内网中第二监控节点进行访问的请求，并在收到隧道服务器的确认回复后通知自身的表项处理单元43建立该访问对应的隧道转发表项。

步骤504、隧道服务器的访问处理单元32对上述访问请求进行确认回复，并通知自身的表项处理单元33建立该访问对应的隧道转发表项。

第一监控节点在实现对第二监控节点（处于NAT网络内）的正式访问之前，先向隧道服务器发送访问请求，然后由隧道服务器对该访问进行确认。该访问请求的发送和确认促使隧道服务器和第一监控节点针对该访问建立对应的转发表项，为后续监控信令报文和监控业务报文的发送和处理做好准备工作。一个访问包括访问对象和被访问对象，这里的访问对象对第一监控节点，被访问对象为第二监控节点。隧道服务器和第一监控节点针对访问建立的表项包括标识，该标识用于和该访问进行对应。该标识可以由第一监控节点分配，携带在访问请求报文中发送给隧道服务器；也可以由隧道服务器进行分配，携带在确认回复报文中发送给第一监控节点。访问请求报文和确认回复报文可以通过之前建立的隧道进行发送，当然也可以不通过隧道发送。

步骤505、隧道服务器的表项处理单元33和第一监控节点的表项处理单元43分别在本地建立该访问对应的隧道转发表项，该表项包括第一监控节点的真实IP地址，第一监控节点的虚拟IP地址，隧道服务器的IP地址，第二监控节点的IP地址以及与该访问对应的标识。

针对该访问的表项建立完毕后，后续第一监控节点对第二监控节点的访问便可以正式开始了，第一监控节点将依据该表项进行报文的封装，隧道服务器将依据该表项进行报文的重新封装。实际上，隧道服务器在本地建立的隧道转发表项可以不包括隧道服务器IP地址；而第一监控节点在本地建立的隧道转发表项可以不包括自身的真实IP地址和虚拟IP地址。

步骤506、第一监控节点的报文处理单元44在第一监控节点访问第二监控节点时，根据该访问对应的隧道转发表项对报文进行IP头封装并不经隧道发送到隧道服务器，封装后的IP头包括：该访问对应的标识，作为源IP地址的第一监控节点的真实IP地址，作为目的IP地址的隧道服务器的IP地址。

步骤507、隧道服务器的报文处理单元34根据该访问对应的隧道转发表项对步骤56报文处理单元发送的报文IP头进行重封装并发送给第二监控节点，重封装后的IP头包括：作为源IP地址的隧道服务器的虚拟IP地址，作为目的IP地址的第二监控节点的IP地址。

第一监控节点的报文处理单元依据访问对应的隧道转发表项进行访问报文的封装，该访问报文可以是监控信令报文，也可以是监控数据报文。封装后的报文携带该访问对应的标识。为了对隧道服务器发出的报文进行流量控制，第一监控节点封装的报文不再具有隧道头，其源IP地址为第一监控节点真实的IP地址，其目的IP地址为隧道服务器的IP地址。该第一监控节点封装的报文的端口号将不同于隧道报文的端口号信息。访问标识可置于IP头的可选字段中。中间的网络设备（交换机/路由器）根据该报文的目的地址将该报文转发给隧道服务器。隧道服务器收到该报文后对其进行解析获得源IP地址、目的IP地址以及标识，并据此查找隧道转发表项。隧道服务器根据查找到的隧道转发表项对第一监控节点发送的该报文进行重封装，以期发送到真正的被访问对象。重封装后的报文的源IP地址为第一监控节点的虚拟IP地址，目的IP地址为第二监控节点的IP地址。网络设备根据目的地址对该重新封装后的报文进行转发，到达第二监控节点。

步骤508、隧道服务器的报文处理单元34，根据所述访问对应的隧道转发表项对第二监控节点返回给第一监控节点的报文的IP头进行重封装并不经过隧道发送给第一监控节点，重封装后的IP头包括：该访问对应的标识，作为源IP的隧道服务器的IP地址，作为目的IP的第一监控节点的真实IP地址。

步骤509、第一监控节点的报文处理单元44，根据所述访问对应的隧道转发表项对隧道服务器未经隧道发送报文的IP头进行还原；还原后的IP头包括：作为目的IP地址的第一监控节点的虚拟IP地址、作为源IP地址的第二监控节点的IP地址。

第二监控节点如果有报文需要返回到第一监控节点，则按照现有技术进行处理。该返回报文的源IP为第二监控节点的IP地址，目的IP为第一监控节点的虚拟IP地址。该返回的报文会到达隧道服务器（如何到达隧道服务器属于现有技术），隧道服务器的报文处理单元34对其进行解封装后，根据该报文的目的IP地址和源IP地址匹配本地的隧道转发表项，根据匹配到的表项重新封装后发送给第一监控节点。重封装后的IP头包括：该访问对应的标识，作为源IP的隧道服务器的IP地址，作为目的IP的第一监控节点的真实IP地址。经过网络设备的转发，该重新封装后的报文最终到达第一监控节点。

第一监控节点的报文处理单元44对接收到的报文进行解封装后获得源IP地址、目的IP地址以及标识，并根据这些信息查找本地的隧道转发表项。查找到对应的表项后对该报文的IP头进行还原；还原后的IP头包括：作为目的IP地址的第一监控节点的虚拟IP地址、作为源IP地址的第二监控节点的IP地址。还原IP头的目的在于判断该报文的真实发送者，这里经过还原后，第一监控节点获知该报文是NAT网络内的第二监控节点发送的，从而可以进行后续监控业务的进一步处理。

步骤510、第一监控节点的访问请求单元42发送访问撤销请求，该访问撤销请求携带该访问对应的标识，并通知表项处理单元43删除该访问对应的的隧道转发表项；表项处理单元收到所述删除通知后删除该隧道转发表项。

步骤511、隧道服务器的所述访问处理单元32对第一监控节点发送的访问撤销请求进行确认回复，并通知表项处理单元33删除该访问对应的隧道转发表项；隧道服务器的表项处理单元33收到所述通知后删除该隧道转发表项。

当第一监控节点需要结束对第二监控节点的访问时，第一监控节点的访问处理单元32需要向隧道服务器发送访问撤销请求，该访问撤销请求的处理类似于访问请求的处理。在隧道服务器收到该访问撤销请求后由表项处理单元43删除本地对应的隧道转发表项，同样，第一监控节点的表项处理单元33也需要删除本地的隧道转发表项，第一监控节点的删除动作可以在发送访问撤销请求的时候，也可以在收到隧道服务器的确认回复后。

另外，需要说明的是，当隧道服务器和第一监控节点的隧道断开时，无论是正常断开还是异常断开，隧道服务器和第一监控节点的隧道处理单元都需要通知自身的表项处理单元删除该隧道对应的所有隧道转发表项。

以下结合实际的监控网络图，并一L2TP隧道为例更形象的对本发明实施方式进行说明。参见图1，公网中的编码设备EC需要访问私网中管理服务器VM。首先，EC作为LAC以自身IP地址IP1向隧道中继LNS发起L2TP隧道建立请求，LNS分配虚拟IP地址IP1’给EC，经过双方隧道处理单元的处理，在EC和MS之间建立起L2TP隧道。L2TP隧道的建立过程属于现有技术，不再详细说明。

EC的访问请求单元向LNS发送访问VM（VM的IP地址为IP3）的请求报文。该访问请求报文可以是EC和LNS之间私自定义的报文，只要LNS收到该报文后能解析出“EC向自身请求访问VM”。LNS收到该请求后，向EC反馈确认回复报文，并由表项处理单元在本地建立隧道转发表项，如表1。EC收到VM的确认回复报文后在本地建立同样的转发表项。IP1为EC的实际IP地址，IP2为LNS设备的IP地址，IP’为EC分配到的虚拟IP地址，IP3为VM的IP地址，访问标识001代表EC对VM的访问所对应的标识。

源地址	目的地址	访问标识	隧道源地址	隧道目的地址
					IP1	IP2	001	IP1’	IP3

表1

所有的工作准备就绪后，EC就可以正式开始访问VM了。EC依据本地建立的该访问的隧道转发表项，封装IP报文。封装后的IP报文如图5所示。IP头包括：“源IP地址”：IP1，“目的IP地址”：IP2，“其它字段”为IP头固定的一些字段，“可选字段”中携带访问对应的标识。UDP信息包含UDP端口号，如果本次访问为EC向VM进行注册，这里的UDP端口号可以为5060。

EC发给私网中VM的报文经过上述封装后，EC的接入交换机很容易进行流量控制。如果进行流量控制的规则为：对UDP端口号为5060的报文允许通行，那该报文就可以被转发到LNS设备上。

LNS收到EC发送的图5的报文后对其进行解封装获得：源IP地址：IP1，目的IP地址：IP2，标识：001，LNS以此信息匹配隧道转发表项，获得隧道源IP地址：IP1’，隧道目的IP地址：IP3。LNS重新封装EC发送给VM的报文，重新封装后的报文如图6。重新封装后的报文的源IP地址为EC的虚拟IP地址：IP1’，目的IP地址为VM的IP地址：IP3。LNS将重新封装后的报文进行发送，该报文最终被发送到VM。

对于VM的回应报文，如图7，根据路由表项，该报文会被转发到LNS设备。LNS收到VM的回应报文后，反向查找本地的隧道转发表项，去掉IP头后重新进行IP头封装，封装后的报文如图8。LNS将图8的报文发送后最终将被EC接收到。EC接收到后，解封装并反向查找本地隧道转发表项，将报文还原成图9的报文，从而获知该报文是由VM进行发送的。

通过上述例子，将EC接入监控网络的接入交换机接收到的EC发送给VM的报文为普通的IP报文，所以很容易根据一般的ACL规则进行策略控制。另外，该报文由于没有了隧道封装，所以还节省了网络带宽。

如果EC要访问图1中的媒体交换服务器MS（IP地址为IP4），可以使用和访问VM类似的方法。访问标识可以设置为002，这个访问标识可以有EC来确定，也可以由LNS来确定。访问标识的设置要保证在根据隧道转发表项进行报文封装的时候不会出错即可。在EC和VM通信的时候还和MS进行通信，则在EC和LNS的隧道转发表项中将存在两条表项，如表2：

表2

如果EC需要结束和MS的通信，则可以向LNS发送撤销请求，撤销请求报文类似与访问请求报文，其中携带访问对应的标识。LNS和EC删除本地的隧道转发表项：表项2。

如果EC和LNS之间的隧道断开，则EC和LNS需要删除本地和该隧道相关的所有隧道转发表项。以表2为例，则需要将表项1和表项2全部删除。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (10)

1.一种隧道服务器，该隧道服务器位于视频监控网络，该视频监控网络包括相互隔离的第一监控节点和第二监控节点，其特征在于，该隧道服务器包括：

隧道处理单元，用于处理第一监控节点发送的隧道建立请求，分配虚拟IP地址给第一监控节点，以建立和第一监控节点的隧道；

访问处理单元，用于对第一监控节点发送的对第二监控节点进行访问的请求进行确认回复，并通知表项处理单元建立该访问对应的隧道转发表项；

表项处理单元，用于在本地建立所述访问对应的隧道转发表项，该表项包括第一监控节点的真实IP地址，第一监控节点的虚拟IP地址，第二监控节点的IP地址以及与该访问对应的标识，该标识在所述访问第二监控节点的请求中携带或者由所述访问处理单元收到所述请求后分配；

报文处理单元，用于根据所述访问对应的隧道转发表项对第一监控节点未经隧道发送的访问第二监控节点的报文的IP头进行重封装并发送给第二监控节点，重封装后的IP头包括：作为源IP地址的第一监控节点的虚拟IP地址，作为目的IP地址的第二监控节点的IP地址。

2.如权利要求1所述的隧道服务器，其特征在于，未经隧道发送的访问第二监控节点的报文使用的端口号不同于通过隧道发送的报文的端口号。

3.如权利要求1所述的隧道服务器，其特征在于，所述报文处理单元，还用于根据所述访问对应的隧道转发表项对第二监控节点返回给第一监控节点的报文的IP头进行重封装并不经过隧道发送给第一监控节点，重封装后的IP头包括：该访问对应的标识，作为源IP的隧道服务器的IP地址，作为目的IP的第一监控节点的真实IP地址。

4.如权利要求1所述的隧道服务器，其特征在于，所述访问处理单元，还用于对第一监控节点发送的访问撤销请求进行确认回复，该访问撤销请求携带该访问对应的标识，并通知表项处理单元删除该访问对应的隧道转发表项；

表项处理单元，还用于收到所述通知时删除该访问对应的隧道转发表项。

5.如权利要求1所述的隧道服务器，其特征在于，隧道处理单元，还用于在判断第一监控节点和自身的隧道断开时通知表项处理单元；

表项处理单元，还用于第一监控节点和自身的隧道断开时删除该隧道对应的所有隧道转发表项。

6.一种隧道客户端装置，该装置应用于第一监控节点，该第一监控节点位于视频监控网络，该视频监控网络还包括隧道服务器，以及与第一监控节点网络隔离的第二监控节点，其特征在于，该装置包括：

隧道处理单元，用于向隧道服务器发送隧道建立请求，获取隧道服务器分配的虚拟IP地址，建立和隧道服务器的隧道；

访问请求单元，用于向隧道服务器发送对第二监控节点进行访问的请求，并在收到隧道服务器的确认回复后通知表项处理单元建立该访问对应的隧道转发表项；

表项处理单元，用于在本地建立所述访问对应的隧道转发表项，该表项包括第二监控节点的IP地址以及与该访问对应的标识，该标识在所述访问第二监控节点的请求中携带或者由所述隧道服务器收到所述请求后分配；

报文处理单元，用于在访问第二监控节点时，根据所述访问对应的隧道转发表项对报文进行IP头封装并不经隧道发送到第一监控节点，封装后的IP头包括：该访问对应的标识，作为源IP地址的第一监控节点的真实IP地址，作为目的IP地址的隧道服务器的IP地址。

7.如权利要求6所述的装置，其特征在于，未经隧道发送的访问第二监控节点的报文使用的端口号不同于通过隧道发送的报文的端口号。

8.如权利要求6所述的装置，其特征在于，所述报文处理单元，还用于根据所述访问对应的隧道转发表项对隧道服务器未经隧道发送报文的IP头进行还原；还原后的IP头包括：作为目的IP地址的第一监控节点的虚拟IP地址、作为源IP地址的第二监控节点的IP地址。

9.如权利要求6所述的装置，其特征在于，所述访问请求单元，还用于发送访问撤销请求，该访问撤销请求携带该访问对应的标识，并通知表项处理单元删除该访问对应的隧道转发表项；

表项处理单元，还用于在收到删除通知后删除对应的隧道转发表项。

10.如权利要求6所述的装置，其特征在于，隧道处理单元，还用于在自身节点和隧道服务器的隧道断开时通知表项处理单元；

表项处理单元，还用于自身节点和隧道服务器的隧道断开时删除该隧道对应的所有隧道转发表项。