[发明专利]IP监控系统中穿越、协助穿越网络隔离设备的方法和节点

说明书

技术领域

本发明涉及视频监控领域，尤其涉及一种IP监控系统中穿越、协助穿越网络隔离设备的方法和节点。

背景技术

基于IP网络的视频监控已经逐渐发展成为安防业的主流方案，成功应用于平安工程、高速公路、公安网、园区等大型项目。IP的标准性和开放性也使得各个网络孤岛的整合变得容易，使网络规模的扩展变得轻松。考虑到IPv4地址资源紧张和现有各区域网络地址段相互重叠的现实，以及各种网络安全的需要，NAT、防火墙、安全隔离网闸等设备被大量的应用于大型网络中。这就使得基于IP的视频监控系统的信令和业务流程变得非常复杂，甚至导致某些业务在某些特定的组网中无法开展。下面简单阐述下在视频监控网络存在NAT、防火墙、安全隔离网闸时，视频监控网络通信变得复杂困难的缘由。

在存在NAT设备的时候，由于IP报文穿过NAT设备之后其源IP地址或目的IP地址会发生改变，而一个业务信令内部通常也包含有源IP地址和目的IP地址，由此造成内、外部地址的不统一，这在很多时候会对视频监控业务流程造成困扰。另外，如果NAT外网存在设备要首先发起通向内网的TCP/UDP连接，就必须先在NAT设备上为内网的那些设备分别配置内部服务器的地址/端口映射，这样显然会浪费大量公网地址，很多时候也是不允许的。当然，在控制服务器可以判断出交互的两台设备谁处于NAT内网谁处于外网时，可以通知内网的设备主动向外网设备发起连接。但是这要求每个会话连接都实现两种或甚至两种以上的处理流程，对于一个包含了多个会话行为的业务流程这种组合会变得非常复杂。况且某些标准业务也不允许交互的双方颠倒C/S的角色。

在存在防火墙时，需要防火墙开放相当数量的UDP/TCP端口以便防火墙外的终端，如视频监控客户端，能主动访问防火墙内的服务器，如视频管理服务器(VM)。这样就给企业内网带来了安全隐患。

在存在安全隔离网闸时，大量以IP代理方式实现的网闸(即来自外部的流量先发送到网闸的一个代理IP，网闸修改目的IP后再往内网转发)，通常会要求网闸协助对业务信令的内部信息做出相应的修改，因为其中可能包含有IP地址信息。于是监控系统厂家每开发一个新特性可能都会要求网闸公司配合做出相应的特性开发。

另外，一些特殊用户还有特殊的视频监控网络需求。比如说公安网络等安全性要求较高的网络需要：所有的会话连接都要求由内网发起，否则外部流量就进入不了内网。在一个典型的集中控制架构中，终端，如编码设备，首先得向服务器，如视频管理服务器，发起注册信令，点播业务也是点播主机先向服务器发起申请，当终端和主机处于外网而服务器处于内网时业务就会遭遇困境。

发明内容

本发明提供了一种IP监控系统中穿越网络隔离设备的方法和对应的监控节点。

本发明的技术方案是这样实现的：

一种IP监控系统中穿越网络隔离设备的方法，该方法应用于监控系统的监控节点上，其中所述监控系统中包括多个监控节点以及L2TP中继，所述多个监控节点包括EC，VC以及至少一种服务器；其中所述至少一种服务器为VM，该方法包括：位于网络隔离设备内侧网络内的第一监控节点作为LNS，接收作为LAC的L2TP中继发起隧道连接请求，与该L2TP中继建立L2TP隧道连接；L2TP隧道连接建立后，所述第一监控节点分配IP地址给所述L2TP中继，第一监控节点激活自身L2TP虚接口IP地址；第一监控节点从L2TP中继接收隧道报文并将隧道报文进行解封装获得内容为监控信令数据的内层IP报文，所述内层IP报文是网络隔离设备外侧网络的监控节点发送的监控信令数据，所述隧道报文的目的地址为第一监控节点自身的IP地址，隧道报文的源地址为L2TP中继自身的IP地址，所述内层IP报文的目的地址为第一监控节点L2TP虚接口的IP地址，所述内层IP报文的源地址为外侧网络中监控节点的IP地址；第一监控节点从内层IP报文中获得监控信令数据并进行相应的信令处理；第一监控节点将自身生成的监控信令数据封装到内层IP报文中，然后将所述内层IP报文封装到隧道报文中发送给L2TP中继，L2TP中继将内层IP报文转发到网络隔离设备外侧网络的监控节点，其中该内层IP报文的源地址为第一监控节点L2TP虚接口的IP地址，目的地址为外侧网络监控节点的IP地址，该隧道报文的源地址为第一监控节点自身的IP地址，该隧道报文的目的IP地址为L2TP中继自身的IP地址。