CN103326882A - 一种视频监控网络管理方法及装置 - Google Patents

Abstract

本发明提供一种视频监控网络管理方法及对应的装置，应用于视频监控系统中的管理服务器上，其中该方法包括：步骤A、接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；步骤B、在收到来自监控设备的发起监控业务的信令报文时，从该信令报文中获取该监控业务的网络传输特征；步骤C、根据所述网络传输特征确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。相较于现有技术，本发明根据监控业务的分析结果来动态调整网络的部署，对于管理者来说网络部署更加方便简洁的方式，无需过多的人工干预，而且网络的安全性还可以进一步得到提升。

Description

一种视频监控网络管理方法及装置

技术领域

本发明涉及视频监控领域，尤其涉及一种视频监控业务管理方法及装置。

背景技术

随着网络技术的推广，尤其是IP网络技术的蓬勃发展，基于IP技术的视频监控系统已经成为主流技术。在IP视频监控系统中，所有视频监控业务与IP网络紧密结合。视频监控系统的业务承载在IP网络之上，IP网络影响着视频监控系统的运行。

视频监控的业务类型有很多，比如单播/组播实况、告警、云台、对讲等。这些视频监控业务都是在系统运行的过程中根据需求动态产生的，然而承载这些业务的IP网络的规划一般事先定义好。随着视频监控业务不断地变化，网络作为相对静态的基础设施往往不能跟随监控业务的改变而改变，这就要求管理者要及时地对网络进行调整，比如调整ACL设置，调整单播/组播设置，缓存开启，接口开启/关闭等等。更为重要的是，由于网络中可能存在各种类型的安全性隐患，这可能导致视频监控流量的外泄，比如客户端接入视频监控网络中的交换机，模拟加入组播组进行视频流量窃取等，这无疑给视频监控系统的拥有者带来极大的信息安全问题。

发明内容

有鉴于此，本发明提供一种视频监控网络管理装置，应用于视频监控系统中的管理服务器上，其中该视频监控系统还包括若干监控设备以及若干网络设备，该装置包括配置管理模块、业务分析模块以及动态管理模块，其中：

配置管理模块，用于接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；

业务分析模块，用于在收到来自监控设备的发起监控业务的信令报文时，从该信令报文中获取该监控业务的网络传输特征；

动态管理模块，用于根据所述网络传输特征确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。

本发明还提供一种视频监控网络管理方法，应用于视频监控系统中的管理服务器上，其中该视频监控系统还包括若干监控设备以及若干网络设备，其中该方法包括以下步骤：

步骤A、接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；

步骤B、在收到来自监控设备的发起监控业务的信令报文时，从该信令报文中获取该监控业务的网络传输特征；

步骤C、根据所述网络传输特征确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。

相较于现有技术，本发明根据监控业务的分析结果来动态调整网络的部署，对于管理者来说网络部署更加方便简洁的方式，无需过多的人工干预，而且网络的安全性还可以进一步得到提升。

附图说明

图1是本发明一种实施方式中视频监控系统组网图。

图2是本发明一种实施方式中视频监控网络管理装置的逻辑结构图。

图3是本发明一种实施方式中视频监控网络管理方法的处理流程图。

具体实施方式

为解决现有技术的问题，本发明提出一种基于业务分析控制来动态调整网络的机制，从广义上来说可以理解对广义软件定义网络（SDN）基础上的创新。以软件实现为例，在一种优选的实施方式中，本发明提供一种视频监控业务管理装置。该装置运行环境的典型硬件架构包括CPU、内存、非易失存储器以及其他硬件。如图2，该装置在逻辑上包括：配置管理模块、业务分析模块、动态管理模块。该装置通常应用在视频监控系统的管理服务器上，比如VM（视频管理服务器）。在实际使用过程中通常该装置执行处理流程和业务部署前的配置流程如下。

步骤101，通过静态配置或动态的方式在VM上配置网络设备的IP地址等基本属性信息；

步骤102，配置管理模块通过网络管理通道在网络设备上配置初始接入控制策略；

步骤103，配置管理模块接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；

步骤104，在收到来自监控设备的发起监控业务的信令报文时，业务分析模块从该信令报文中获取该监控业务的网络传输特征；

步骤105，动态管理模块根据所述网络传输特征以及该监控设备的权限确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。

请参考图1，除了VM之外，视频监控系统通常还包括很多种负责处理监控业务的监控设备，比如提供监控视频的编码终端EC或网络摄像机IPC，比如用户使用的视频客户端VC，比如在监控业务层面承担视频流转发任务媒体转发服务器MS，比如提供视频流网络存储服务的VM等等。这些监控设备都是监控业务的实际参与者，其参与监控业务的过程通常在VM的调度下实现的。比如说，VC可能会点播某个EC上的实况视频，此时其需要向VM发送包括点播请求的信令报文，VM根据请求来调度EC直接发送或者通过MS转发视频流给该VC。而这些监控业务实际上是承载在视频监控系统的网络上的，该网络通常包括各种网络设备，比如交换机或路由器等。监控设备作为通信的终端节点通过网络设备接入到网络中来。

各个监控设备在上线之后，都会主动地向VM发起注册。在本发明一种是实施方式中，各个监控设备除了携带自身的IP地址等基本信息外，还携带其网络接入信息，比如其直连交换机或者路由器的IP地址，网络接入信息可以协助VM获知其通过哪个网络设备接入到网络中的。如前所述，通常VM上可以保存视频监控系统的包括各个网络设备的基本属性信息以及互相连接关系在内的全面的网络拓扑数据。配置管理模块可以根据网络拓扑数据以及网络接入信息获知监控终端与负责将其接入网络的接入网络设备的对应关系。比如图1中，对于各个USER（比如一个VC）而言，由于其注册消息中携带了接入交换机IP地址这样的网络接入信息，因此配置管理模块方便地知晓各个USER所在监控设备是如何接入网络的。当然网络接入信息并不是必须携带的，在一种更加智能的实施方式中，由于监控设备发送注册消息到VM时，承载该消息的报文势必会经过其接入交换机，因此配置管理模块可以在交换机的MAC地址表进行查找，通过交换机对监控终端MAC地址的学习结果来确定监控设备到底是通过哪个交换机接入网络的。这种通过MAC地址查找来确定一个终端（也就是监控设备）对应的接入网络设备的方法可参考各种现有技术来实现。

当监控设备发起监控业务的时候，其会先通过信令报文来向VM请求发起该监控业务。VM收到对应的信令报文后，业务分析模块确定可以表征该监控业务的网络传输特征，网络传输特征可以是包括发起者的IP地址、业务对端的IP地址、业务端口号、业务类型等等各种属性的组合。值得注意的是，这里所说的网络传输特征并不是这个信令报文自身的网络传输特征，而是接下来即将发生的监控业务数据传输的网络特征。比如说这里的发起者的IP地址并不是信令报文的源IP地址，而对端的IP地址通常也不是信令报文的目的IP地址，因为信令报文的目的IP地址是VM的IP地址。这里的发起者IP地址以及对端IP地址，通常是监控业务数据传输的双方，比如说VC发送信令报文给VM请求实况视频，这时发起者IP地址应该是信令报文中EC或IPC的IP地址，也就是发送实况视频的一方，监控业务数据传输的起点；有时候监控业务数据（视频流或音频流）的传输是需要经过MS来转发的，发起者的IP地址也可能是VM选择的MS的IP地址。而对端IP地址则可能是VC自身的IP地址。当然在这个过程中，还可能会涉及权限判定的问题，比如说VC可能不具有点播某个EC上实况视频的权限，此时VM会丢弃其发起监控业务的信令。

业务分析模块确定了网络传输特征之后，动态管理模块就可以据此生成对应接入控制策略，然后将该接入控制策略下发到与监控设备对应的接入网络设备上去。初始的时候，接入网络设备上的接入控制策略可能是不允许所有业务通过，此时下发新的接入策略相当于下发了一个白名单，允许特定的监控业务通过。由此可见本发明可以基于实际需求来下发接入控制策略，未经VM验证过的监控业务是无法通过任何一个接入设备的，可大大提高业务层面安全水平，并且可允许开发者根据业务实际需要来定义网络对于监控业务的承载和转发。以下以一个组播监控业务为例进行说明。

在初始的时候，用户可以通过VM在其所管理的所有交换机路由器的三层接口上使能PIM SM和IGMP，并在所管理的二层接入交换机上使能IGSP，通过静态指定，或者根据设备型号和相应算法指定全网的C-BSR和C-RP这两个角色，使整网的组播可达。对于此操作，VM可以通过SNMP标准网管协议控制整个网络中相关的网络设备。这个过程是在网络上开展组播业务前的基本准备工作，不再详细描述。

在全网具备的组播业务能力，但在没有监控业务需要通过组播承载传输时，用户可以通过VM禁止该业务开展。也就是在初始的时候VM不允许接入侧的各个接入交换机为任何组播组提供服务，也就是说任何一个组播报文都无法通过网络。VM可以通过设置IGMP的group-policy和C-RP的相关ACL，禁止交换机为任何组播组服务。值得注意的是，由于上述ACL只是针对组播业务的，由于信令报文是单播报文，因此监控设备与VM之间的信令交互并不会受到上述ACL的任何影响。

如前所述，作为监控设备之一的视频客户端（比如图1中的各个作为VC的USER）在上线的时候会向VM发起注册，而该视频客户端发送的注册报文中可以携带自身接入交换机IP地址这样的网络接入信息，配置管理模块则可以在VM上记录下该视频客户端与其接入交换机的对应关系，比如图1中的各个视频客户端与接入交换机之间的对应关系可以归纳为表1这样的示例。

客户端	接入交换机
		USER A	SWITCH B
USER B	SWITCH C
		USER C	SWITCH C

表1

当USER A请求某个IPC的组播实况时，VM检查该用户的权限，假设USERA具备该权限。VM会提取USER A此时请求的监控业务（也就是组播实况）对应的网络传输特征并获取其接入网络设备的IP地址，然后给USER A的接入交换机下发一个新的允许通过的接入控制策略（比如IGMPPolicy相关的ACL规则）：允许组播接收者IP地址为USER A，目的组播组地址为该监控业务中传输发起者对应的组播组地址的组播报文通过；此时网络传出特征主要是信令报文中携带的组播接收者的IP地址以及其要点播的组播组IP地址，这个策略的本意是允许该组播接收者IP地址与该组播组IP地址之间进行双向通信。此时如果USERB如果伪造IGMP report报文（一种常见的组播报文，组播接收者请求加入组播组的报文），则无法通过接入控制规则认证，因为SWITCH C上没有下发允许该组播组服务的接入控制规则，因此USER B是无法获取组播组服务。另外请参考表1，USER B以及USER C接入交换机为同一台，假设USER B合法点播组播实况，而USERC伪造IGMP report报文企图接收该组播实况。但是此时由于SWITCH C上下发的接入控制规则只允许USER B接收该组播组服务，USER C的IP地址无法匹配，因此会被SWITCH C拒绝。

本发明不仅仅局限于组播业务，只不过组播业务在安全控制上更具有代表性，因此以其为例进行说明。本领域普通技术人员可以根据上述设计在单播业务上进行同样原理的开发。本发明不仅仅适用于数据层面的监控业务的对网络配置的触发，还适用于控制层面的监控业务。尤其是告警类的监控业务。比如说，当业务分析模块从信令报文中获得特定类型的告警消息的时候，同样可以从告警消息中提取出与该监控业务所涉及的关键网络设备，然后由于动态管理模块生成对应的接入控制策略下发到这些的网络设备。比如当有攻击者对网络的组播业务进行攻击，或者组播业务出现异常时，网络设备或其他监控设备可能会发送特定告警到VM，VM收到之后会根据告警消息来确定关键网络设备，比如说根据告警消息中可能会携带表征某个网络区域的IP地址段这样的信息，VM则可根据IP地址段确定对应的关键网络设备，然后下发与监控业务对应的接入控制策略。比如说动态去使能这些网络设备的PIM功能或者IGSP功能等等。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (12)

1.一种视频监控网络管理装置，应用于视频监控系统中的管理服务器上，其中该视频监控系统还包括若干监控设备以及若干网络设备，该装置包括配置管理模块、业务分析模块以及动态管理模块，其特征在于：

配置管理模块，用于接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；

业务分析模块，用于在收到来自监控设备的发起监控业务的信令报文时，从该信令报文中获取该监控业务的网络传输特征；

动态管理模块，用于根据所述网络传输特征确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。

2.如权利要求1所述的管理装置，其特征在于，所述配置管理模块进一步用于从所述注册消息中获取该监控设备与其接入网络设备的对应关系。

3.如权利要求1所述的管理装置，其特征在于，所述接入网络设备为交换机，所述配置管理模块进一步用于根据网络中交换机对于该监控设备的MAC地址学习结果确定该监控设备与其接入网络设备的对应关系。

4.如权利要求1所述的管理装置，其特征在于，所述监控业务为组播数监控业务，所述网络传输特征至少包括组播接收者IP地址以及组播组IP地址。

5.如权利要求4所述的管理装置，其特征在于，所述接入网络设备初始时被配置为禁止所有组播报文通过，所述接入控制策略为允许组播接收者IP地址与组播组IP地址之间相互通信的组播报文通过。

6.如权利要求1所述的管理装置，其特征在于，所述动态管理模块进一步用于根据所述网络传输特征以及该监控设备的权限确定对应的接入控制策略。

7.一种视频监控网络管理方法，应用于视频监控系统中的管理服务器上，其中该视频监控系统还包括若干监控设备以及若干网络设备，其特征在于，该方法包括以下步骤：

步骤A、接收并处理监控设备发送的注册消息，并获取该监控设备与其接入网络设备的对应关系；

步骤B、在收到来自监控设备的发起监控业务的信令报文时，从该信令报文中获取该监控业务的网络传输特征；

步骤C、根据所述网络传输特征确定对应的接入控制策略，并将该接入控制策略下发给与该监控设备对应的接入网络设备。

8.如权利要求7所述的方法，其特征在于，所述步骤A进一步包括：

从所述注册消息中获取该监控设备与其接入网络设备的对应关系。

9.如权利要求7所述的方法，其特征在于，所述接入网络设备为交换机，所述步骤A进一步包括：

根据网络中交换机对于该监控设备的MAC地址学习结果确定该监控设备与其接入网络设备的对应关系。

10.如权利要求7所述的方法，其特征在于，所述监控业务为组播数监控业务，所述网络传输特征至少包括组播接收者IP地址以及组播组IP地址。

11.如权利要求10所述的方法，其特征在于，所述接入网络设备初始时被配置为禁止所有组播报文通过，所述接入控制策略为允许组播接收者IP地址与组播组IP地址之间相互通信的组播报文通过。

12.如权利要求7所述的方法，其特征在于，所述步骤C进一步包括：根据所述网络传输特征以及该监控设备的权限确定对应的接入控制策略。

Images