VPN的远程数字视频监控系统架构

    近年来，数字视频监控系统以其控制灵活、信息容量大、存储和检索便利等优点逐步取代了传统的模拟视频监控系统，被广泛应用于安防、监控、质检等方面。随着计算机及网络技术的发展、普及和网络带宽的迅速扩大，视频监控又逐渐产生了新的需求，即将数字视频监控技术与网络技术相结合，在现场监控主机无人职守情况下，实现局域网或Ｉｎｔｅｒｎｅｔ远程监控的功能。这样，将监控信息从监控中心释放出来提高了管理水平和效率。但在通过Ｉｎｔｅｒｎｅｔ远程访问视频监控服务传统的远程访问技术体现功能不足，无法保证监控所需的保密性和速度性的要求。ＶＰＮＶｉｒｔｕａｌ Ｐｒｉｖａｔｅ Ｎｅｔｗｏｒｋｉｎｇ）技术的出现，改变了这一局面。通过使用ＶＰＮ的隧道和加密技术，实现了视频数据经过Ｉｎｔｅｒｎｅｔ在虚拟企业网络中安全和便利的传播。本文将结合一套为企业制作的远程数字视频监控系统，介绍一种实用的基于ＶＰＮ的远程视频监控系统架构。该系统已成功应用于多个部门，对视频监控、网络视频传输开发有很高的参考价值。
    图1 用于VPN的IP-in-IP土封装传输原理
    １ 远程数字视频监控系统的网络设计要求
    本系统是一套专门为企业制作的数字视频监控系统，在工程实施过程中，需要提供远程监控（实时图像传输和远程操作）功能。具体地讲，就是利用不同的方式（如拔号上网、局域网等方式）进行单路及多路远程监控，用户在远程的监控中心可以很方便地通过网络了解各网点的基本情况、各路状态控制、云台控制、传输文件、远程解密。工程中将要完成对４００余路视频的处理，整个工程将配置２０～３０台数字硬盘录像机。具体要求：（１）本地主机通过局域网访问本地的任意一台视频服务器；（２）远程传输必须实时、可靠，必须保证视频数据的高速和可靠传输。根据实际需要可以申请ＤＤＮ，并在价格合适的条件下同时兼顾ＡＤＳＬ、ＰＳＴＮ和 ＤＤＮ等三种连接方式；（３）远程接入终端通过远程拨号Ｒｅｍｏｔｅ Ｄｉａｌ　方式透过Ｉｎｔｅｒｎｅｔ访问本地局域网的任意一台视频服务器 最多可同时连接１６台本地视频服务器；（４）在工程中传输的视频数据可以定性为非高保密数据，在上层的系统软件中完成加密和必要的合法验证，在网络设计中可以不特意选择高性能的防火墙；（５）远程接入终端透过Ｉｎｔｅｒｎｅｔ 对本地局域网的访问对上层系统是绝对透明的，从某种意义来说，上层系统可以根据指定的局域网ＩＰ 地址来访问任何一台本地视频服务器。
    采用方案分析：（１）对于速度要求，可以采用ＤＤＮ专线、ＡＤＳＬ或将来的宽带传输技术；（２）价格要求，最廉价的方式是使用Ｉｎｔｅｒｎｅｔ进行数据传输但这必然涉及到数据保密性的要求；（３）网络安全性问题，远程主机的接入身份验证和验证身份的数据必须加密，视频数据可以根据需求加密；（４）远程访问，需要视频服务器提供允许远程接入的能力， 需要进行ＲＡＳ配置；（５）访问透明性要求，上层系统只需要设计成简单的两步架构，用户指定视频服务器ＩＰ－－－－＞监控指定ＩＰ的视频，无需涉及网络连接的具体实现过程，无需用代码实现远程连接的过程　。
    鉴于以上需求，可以采用ＶＰＮ＋ＡＤＳＬ方案，这是一个切实可行且成本低廉的方案。能够提供速度及企业移动用户（ｍｏｂｉｌｅ ｕｓｅｒ）的安全便利接入、数据保密性、客户远程访问透明性的需求。以下将介绍构架ＶＰＮ的基本原理， 以及本系统的具体实现构架。
    图2 Internet网上VPN应用与局域网内部VPN应用
    ２ ＶＰＮ介绍
    ２。１ ＶＰＮ的概念
    随着Ｉｎｔｅｒｎｅｔ网络规模与使用的扩大和广泛化，通过Ｉｎｔｅｒｎｅｔ传输保密数据的安全性需求日益提上议程。分布式企业想在处于不同地域的部门之间安全传递数据，传统的方法是使用租用线路将各部门的私有网络相连，并使用租用线路进行内部通讯。该方案的主要缺点在于租用线路价格昂贵。一种新的降低成本的途径是允许单位配置ＶＰＮ技术，不用任何租用线路 通过Ｉｎｔｅｒｎｅｔ传输加密数据，这样可以把线路费用降到最低。该技术通过隧道和加密技术达到类似私有网络的安全数据传输功能有着非常广阔的应用前景。它具有以下优点：
    （１）费用低--ＶＰＮ使用Ｉｎｔｅｒｎｅｔ进行数据传输免去了昂贵的专线费用 只须添加支持ＶＰＮ的上网设备。
    （２）保密性--ＶＰＮ使用了加密技术 保证了通过Ｉｎｔｅｒｎｅｔ进行数据传输的安全性。
    （３）私有性--连接上ＶＰＮ服务器的客户就像在使用局域网一样。使用局域网内部ＩＰ地址就可以访问整个ＶＰＮ中的所有主机。
    ２。２ ＶＰＮ的基本工作原理
    针对ＶＰＮ实现的几个优点，ＶＰＮ主要使用了隧道传输，ｔｕｎｎｅｌｉｎｇ，技术和加密，ｅｎｃｒｙｐｔｉｎｇ，技术。为了实现保密性， ＶＰＮ把外发的数据报加密传输。对于私有性，ＶＰＮ使用隧道技术， 定义了两个网点的路由器之间通过Ｉｎｔｅｒｎｅｔ的一个隧道， 并使用ＩＰ－ｉｎ－ＩＰ封装通过隧道转发数据报。其基本原理如图１所示，为了确保保密性内层数据经过加密。
    图１中，ＶＰＮ授权主机Ａ发给主机Ｂ的整个内层数据报，包括首部，在被封装前进行了加密。当数据报通过隧道到达ＶＰＮ服务器时， ＶＰＮ服务器将数据区解密， 还原出内层数据报， 然后转发该数据报给主机Ｂ。对Ａ和Ｂ而言， 它们之间的数据传输过程是透明的。Ａ要发送的原始信息包的目的地址就是Ｂ， 用户并无觉察数据经过打包交由ＶＰＮ服务器转发给Ｂ， 反之亦然。感觉上Ａ和Ｂ之间存在一条虚拟的加密直达链路。总之，ＶＰＮ通过Ｉｎｔｅｒｎｅｔ传输数据， 但对网点间传输进行加密，以保证保密性。
    市面上的ＶＰＮ方案繁多但都包含了三个基本元素：（１）授权：ＶＰＮ服务器对远程接入终端进行授权接入ＶＰＮ，（２）加密：远程接入终端发送的数据加密后才通过非私有网传输；（３）隧道：远程接入终端发送的数据经过封装由ＶＰＮ服务器转发。