H3C SecPath G9000-X-G系列多级安全互联交换平台典型配置(E6702)-5W100

08-SIP视频应用配置举例

1 简介

本文档介绍了H3C SecPath G9000-X-G系列多级安全互联交换平台（以下简称为平台）的SIP视频应用配置举例。

安防视频行业发展初期，不同视频厂家系统之间的互联，在技术层面没有实现统一标准。各个监控系统之间的视频资源共享，需要集成平台分别对不同厂家的产品单独接入。由于各厂家产品通讯接口各不相同，负责进行资源整合的平台工作量巨大；从升级维护的角度来说，很多厂家的接口软件版本管理变的异常复杂，容易混乱。平台视频功能模块是基于GB/T28181标准开发的视频通道功能。用于对接不同SIP监控域视频平台，帮助不同区域的视频平台，在路由交换彻底阻断的情况下，实现SIP信令协商以及RTP码流推送。

2 配置前提

本文档中的配置均是在实验室环境下进行的配置和验证，配置前设备的所有参数均采用出厂时的缺省配置。如果您已经对设备进行了配置，为了保证配置效果，请确认现有配置和以下举例中的配置不冲突。

本文假设您已了解平台特性。

所有场景涉及到GB/T28181标准的SIP协议时，必须提前导入视频license授权。

3 视频SIP功能配置举例

3.1 组网需求

如图1所示，上级SIP监控域位于平台内侧，下级SIP监控域位于平台外侧。每个SIP监控域都有各自独立的SIP客户端、SIP设备、流媒体服务器、视频服务器（含信令控制服务器、信令网关）。

图1 SIP视频应用配置举例组网图

3.2 配置思路

· 级联/互联是SIP信令安全路由网关之间的联网模式，其中，信令安全路由网关也称“视频网关”、“信令网关”、“SIP网关”或“安全网关”。大多数视频厂商是将其和信令控制服务器部署在一起，也就是用户所说的视频服务器。极少数情况下，视频厂商会将信令安全路由网关独立部署。平台SIP通道要映射的实际是视频网关，而不是视频服务器。。

· 平台只能放在SIP网关和SIP网关之间级联/互联。只有级联/互联才能保证该SIP协议基于GB/T28181标准。各个视频厂商的SIP终端、流媒体及其他组件到SIP服务器之间虽然也是SIP协议，但大部分视频厂商目前仍沿用私有标准。因此，平台不能为SIP终端到对面SIP服务器配置访问通道。

· 两边SIP服务器级联/互联是基于GB/T28181-2011标准，GB/T28181-2016标准。

· 配置前，需统计平台两边的级联/互联线路有多少条。是否存在一对多、多对多关系。规划每一组级联线路，通道必须使用独立的监听IP、连接IP，即便多个下级注册同一个上级，也必用不同的IP做监听，配置不同的SIP通道。其次，即便两条相反的SIP通道，它们的监听IP和连接IP也不能混用，必须独立分开。第三，不能和其他类型的通道或用IP。

· 明确哪些视频平台是下级，哪些视频平台是上级。通道方向由下级向上级注册方向而定。靠近下级侧，配置通道监听参数，靠近上级侧，配置通道连接参数。无需，也不能配置反向通道，否则会引起冲突。如果厂商告知，两侧视频平台互为上下级，只需任意配置一个方向的通道即可。

· 和视频厂商沟通了解，所使用的SIP信令是基于TCP还是UDP的，涉及到通道选择哪种SIP类型。请勿和码流的TCP、UDP概念混淆。通常SIP信令使用UDP居多，而码流无论是TCP还是UDP我们都能支持。

表1 业务梳理：

访问源IP （发起注册的下级信令地址）	监听地址（连接客户端侧的接口地址）	连接地址（连接服务器侧的接口地址）	目的地址（接收注册的上级信令地址）
10.50.48.10	10.50.48.30	62.171.35.6	62.171.0.10

访问源IP

（发起注册的下级信令地址）

监听地址

（连接客户端侧的接口地址）

连接地址

（连接服务器侧的接口地址）

目的地址

（接收注册的上级信令地址）

10.50.48.10

10.50.48.30

62.171.35.6

62.171.0.10

3.3 使用版本

本举例是在ESS 6702P01版本上进行配置和验证的。

3.4 配置步骤

3.4.1 通过B/S方式登录平台前置机

通过平台前置机MAN管理口登录平台，打开浏览器输入https://192.168.0.1，（MAN口为前置机专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图2 前置机登录页面

3.4.2 前置机网络配置

点击“网络管理”>“IP地址管理”，选中GE0/0，点击“+”设置平台前置系统的IP。

图3 设置前置系统IP

设置完后点“保存”退出。

图4 添加、保存前置IP设置

击“网络管理”>“路由配置”设置前置机的路由，如下图。

图5 路由管理

点击“新增路由”按钮添加路由。设置完毕后点“保存”退出。

图6 添加、保存前置路由

3.4.3 通过B/S方式登录平台后置机

通过平台后置机MAN管理口登录平台，打开浏览器输入https://192.168.0.2，（MAN口为后置机专用管理口）

系统管理员默认账号：admin；默认密码：adminh3c

安全管理员默认账号：secrecy；默认密码：secrecyh3c

图7 后置机登录页面

3.4.4 后置机网络配置

点击“网络管理”>“IP地址管理”，选中GE0/0，点击“+”设置平台后置系统的IP。

图8 设置后置系统IP

设置完后点“保存”退出。

图9 添加、保存后置IP设置

点击“网络管理”>“路由配置”设置后置机的路由，如下图。

图10 路由管理

点击“新增路由”按钮添加路由。设置完毕后点“保存”退出。

图11 添加、保存后置路由

3.4.5 通道设置

该配置在前、后置系统的安全管理员secrecy下操作

1. 前置通道管理

如果视频服务器使用UDP来封装SIP信令（不涉及码流类型），则配置SIP-28181-UDP通道。

添加SIP-28181-UDP连接通道

图12 SIP-28181-UDP连接通道配置界面

保存并启用SIP-28181-UDP连接通道

表2 必填参数说明：

参数	说明	注意事项
通道ID	由用户自定义一个1～2000的自然数，将两侧的监听通道和连接通道关联上，形成一条完整的转发规则。	前后置同一个应用的通道需要配置相同的ID。部分通道类型只有监听通道，没有连接通道。这类通道配置后，可能会导致两侧自增长的ID错位，后续通道保存前请谨慎核对。
类型	应用类型：配置应用时请选择对应协议类型	前后置同一个应用的协议类型必须一致
通道方向	监听通道指入口规则连接通道指出口规则	靠近下级视频平台，则选择监听通道靠近上级视频平台，则选择连接通道
端口类型	选择单个端口或者多个端口	前后置同一个应用的端口类型必须一致
连接地址	出口地址即连接上级视频平台侧的前后置接口地址，重新封装数据包时，会以此IP作为源地址发出。	选择连接IP，即选择出口地址。请确保出口地址到上级平台路由可达。同一个连接地址只能对应一组级联。
目的地址	另一端上级平台的信令服务IP
目的端口	另一端上级平台的信令服务端口

图13 已保存的前置SIP-28181-UDP连接通道

如果视频服务器使用TCP来封装SIP信令（和码流无关），则配置SIP-28181-TCP通道。SIP-28181-UDP和SIP-28181-TCP通常2选1，不需要全配。请按照视频厂商的级联设置选择对应类型。

添加SIP-28181-TCP连接通道

图14 SIP-28181-TCP连接通道配置界面

保存并启用SIP-28181-TCP连接通道

图15 已保存的前置SIP-28181-TCP连接通道

2. 后置通道管理

对应前置机的SIP通道类型，如果前置机配置的是SIP-28181-UDP，则后置机也配置SIP-28181-UDP。如果前置机配置的是SIP-28181-TCP，则后置机也配置SIP-28181-TCP。且通道id保持一致；

添加SIP-28181-UDP监听通道

图16 SIP-28181-UDP监听通道配置界面

保存并启用SIP-28181-UDP监听通道

表3 必填参数说明：

参数	说明	注意事项
通道ID	由用户自定义一个1～2000的自然数，将两侧的监听通道和连接通道关联上，形成一条完整的转发规则。	前后置同一个应用的通道需要配置相同的ID。部分通道类型只有监听通道，没有连接通道。这类通道配置后，可能会导致两侧自增长的ID错位，后续通道保存前请谨慎核对。
类型	应用类型：配置应用时请选择对应协议类型	前后置同一个应用的协议类型必须一致
通道方向	监听通道指入口规则连接通道指出口规则	靠近下级视频平台，则选择监听通道靠近上级视频平台，则选择连接通道
端口类型	只能选择单个端口不可以选择多个端口	上下级之间的级联只能使用单端口
监听地址	映射IP和映射端口。监听地址是连接下级视频平台侧的前后置接口地址。这2个参数用于入口规则监听通道上。当访问的请求，其目标IP、目标端口符合监听地址、监听端口时，受理其访问请求，转发到另一端上。	同一个监听IP和监听端口的组合只能对应一个级联
监听端口		同一个监听IP和监听端口的组合只能对应一个级联

图17 已保存的后置SIP-28181-UDP监听通道

添加SIP-28181-TCP监听通道

图18 SIP-28181-TCP监听通道配置界面

保存并启用SIP-28181-TCP监听通道

图19 已保存的后置SIP-28181-TCP监听通道

上级平台如果是基于GB/T28181-2016标准，平台并非一定要配置SIP-28181-TCP，应视现场实际情况而定。如果平台厂商没有开启TCP信令监听服务，可以不用配置SIP-28181-TCP通道。如果厂商将SIP信令和码流传输协议选择基于TCP协议，那问题排查可能会很困难。因为基于TCP的SIP会对报文进行加密，加密后我们无法再通过分析报文来判断问题具体原因了，码流的质量也很难通过抓包软件来统计。所以建议视频厂商优先采用基于UDP的SIP以及码流。

视频平台在信令协议上选TCP或UDP，跟码流的TCP、UDP不是一个概念。平台在选SIP_28181_TCP或SIP_28181UDP通道时，只取决于信令的协议类型，和视频码流是否为TCP、UDP无关。Invite信令（点播）协商成功后，这两种通道类型，都能同时支持TCP码流和UDP码流。

监听端口和目的端口需要保持一致，不能做转换。虽然界面允许将这2个参数配置不同数值，但目前各大视频厂商均不允许端口转换。SIP信令中有大量协议字段会涉及到端口号，平台转换后，视频平台不一定能适配、兼容。

当存在一对多的级联关系时，比如内网1个上级视频服务器，外网2个下级视频服务器。平台前、后置需要各准备2个IP作为监听和连接IP，不能使用同一个IP不同端口的方法来映射。

当码流代理设置为空时，RTP码流端口段不需要配置，平台是通过解析SIP信令中的协商结果，动态生成RTP码流通道的。以内网点播外网视频为例，平台SIP代理该过程分2步骤：首先，解析内网SIP服务器发送过来的SIP报文，经过合规性检查后，将收流地址替换为平台后置机连接IP，使外网流媒体将RTP码流发送到平台后置。第二步，平台将上级SIP请求端收流IP映射到平台后置IP，将平台收到的RTP码流转发至SIP请求端，有时也可能是上级流媒体服务器。

如果RTP码流并发较高，可以适当调整线程数。建议不超过10。

每一组级联/互联，需要配置单向SIP-28181-UDP或SIP-28181-TCP通道。方向由下级到上级注册方向而定，如果两边平台是双向注册，任选一个方向都行。注意，同一组级联不可以配双向SIP通道，否则反向的注册会产会话冲突。而SIP-28181-UDP或SIP-28181-TCP两种类型，要根据上级开启的信令监听服务而定，通常2选1，UDP居多，不需要两种全配。

每一组联网关系中，平台所使用的IP（含前、后置监听IP、连接IP）必须独立，不能和其它级联/互联关系混用IP。也不能和其它数据通道混用。虽然用同一个IP，不同SIP端口可以配置，也不影响SIP协商。但是平台在生成RTP码流的时候，内部码流规则可能会产生逻辑冲突。因此要求，每一组级联/互联，必须使用独立IP。在一对多环境中，需要格外注意。

SIP业务和其他应用业务不能使用同一对监听地址和连接地址，必须独立使用。

3.4.6 上级流媒体负载分发配置

当上级平台存在多个流媒体服务器做集群时（大于等于8个），平台下级侧仅靠一个连接IP代收码流可能存在端口冲突。当并发越高时，冲突概率就越高，会影响点播成功率。为了规避这种问题，ESS6702在SIP通道上，引入了码流集群代理功能。即，允许在平台下级侧添加多个IP，通过SIP通道中的码流代理设置，将平台上的这些IP和上级流媒体服务器一一对应。然后平台可以用这些新增IP作为监听地址，添加多条码流通道同时分摊码流压力，同时也能避免端口冲突（不支持TCP主动模式）。这些新增的IP和码流通道也可以部署到其他平台链路上，实现多线路码流负载。

如图所示，上级域和下级域存在多个流媒体服务器做负载的情况，此时就需要进行码流代理的配置。

图20 SIP视频应用流媒体服务负载配置举例组网图

添加码流代理

图21 多流媒体负载时后置监听通道配置码流代理

表4 必填参数说明：

参数	说明	注意事项
通道ID	由用户自定义一个1～2000的自然数，将两侧的监听通道和连接通道关联上，形成一条完整的转发规则。	前后置同一个应用的通道需要配置相同的ID。部分通道类型只有监听通道，没有连接通道。这类通道配置后，可能会导致两侧自增长的ID错位，后续通道保存前请谨慎核对。
类型	应用类型：配置应用时请选择对应协议类型	前后置同一个应用的协议类型必须一致
通道方向	监听通道指入口规则连接通道指出口规则	靠近下级视频平台，则选择监听通道靠近上级视频平台，则选择连接通道
端口类型	只能选择单个端口不可以选择多个端口	上下级之间的级联只能使用单端口
监听地址	映射IP和映射端口。监听地址是连接下级视频平台侧的前后置接口地址。这2个参数用于入口规则监听通道上。当访问的请求，其目标IP、目标端口符合监听地址、监听端口时，受理其访问请求，转发到另一端上。	同一个监听IP和监听端口的组合只能对应一个级联
监听端口		同一个监听IP和监听端口的组合只能对应一个级联
码流代理地址	码流通道配置的监听地址	同一行的数据必须是同一条通道的
码流转发地址	码流通道配置的连接地址
流媒体地址	码流通道的目的地址，实际的流媒体服务IP

添加码流后置监听通道

图22 多流媒体负载时码流后置监听通道配置

保存并启用码流监听通道

图23 已保存启用的后置码流监听通道

添加码流连接通道

图24 多流媒体负载时码流连接通道配置

表5 必填参数说明：

参数	说明	注意事项
通道ID	由用户自定义一个1～2000的自然数，将两侧的监听通道和连接通道关联上，形成一条完整的转发规则。	前后置同一个应用的通道需要配置相同的ID。部分通道类型只有监听通道，没有连接通道。这类通道配置后，可能会导致两侧自增长的ID错位，后续通道保存前请谨慎核对。
类型	应用类型：配置应用时请选择对应协议类型	前后置同一个应用的协议类型必须一致
通道方向	监听通道指入口规则连接通道指出口规则	靠近下级视频平台，则选择监听通道靠近上级视频平台，则选择连接通道
端口类型	选择单个端口或者多个端口	前后置同一个应用的端口类型必须一致
连接地址	出口地址即连接上级视频平台侧的前后置接口地址，重新封装数据包时，会以此IP作为源地址发出。	选择连接IP，即选择出口地址。请确保出口地址到上级视频平台路由可达。
目的地址	上级视频平台的流媒体服务IP
目的端口	上级视频平台的流媒体服务端口