近年来，数字视频监控系统以其控制灵活、信息容量大、存储和检索便利等优点逐步取代了传统的模拟视频监控系统，被广泛应用于安防、监控、质检等方面。随着计算机及网络技术的发展、普及和网络带宽的迅速扩大，视频监控又逐渐产生了新的需求，即将数字视频监控技术与网络技术相结合，在现场监控主机无人职守情况下，实现局域网或Internet远程监控的功能。这样，将监控信息从监控中心释放出来提高了管理水平和效率。但在通过Internet远程访问视频监控服务传统的远程访问技术体现功能不足，无法保证监控所需的保密性和速度性的要求。VPNVirtual Private Networking)技术的出现，改变了这一局面。通过使用VPN的隧道和加密技术，实现了视频数据经过Internet在虚拟企业网络中安全和便利的传播。本文将结合一套为企业制作的远程数字视频监控系统，介绍一种实用的基于VPN的远程视频监控系统架构。该系统已成功应用于多个部门，对视频监控、网络视频传输开发有很高的参考价值。
图1 用于VPN的IP-in-IP土封装传输原理
VPN的远程数字视频监控系统架构解决方案
1 远程数字视频监控系统的网络设计要求
本系统是一套专门为企业制作的数字视频监控系统，在工程实施过程中，需要提供远程监控(实时图像传输和远程操作)功能。具体地讲，就是利用不同的方式(如拔号上网、局域网等方式)进行单路及多路远程监控，用户在远程的监控中心可以很方便地通过网络了解各网点的基本情况、各路状态控制、云台控制、传输文件、远程解密。工程中将要完成对400余路视频的处理，整个工程将配置20～30台数字硬盘录像机。具体要求：(1)本地主机通过局域网访问本地的任意一台视频服务器；(2)远程传输必须实时、可靠，必须保证视频数据的高速和可靠传输。根据实际需要可以申请DDN，并在价格合适的条件下同时兼顾ADSL、PSTN和 DDN等三种连接方式；(3)远程接入终端通过远程拨号Remote Dial方式透过Internet访问本地局域网的任意一台视频服务器可同时连接16台本地视频服务器；(4)在工程中传输的视频数据可以定性为非高保密数据，在上层的系统软件中完成加密和必要的合法验证，在网络设计中可以不特意选择高性能的防火墙；(5)远程接入终端透过Internet 对本地局域网的访问对上层系统是绝对透明的，从某种意义来说，上层系统可以根据指定的局域网IP 地址来访问任何一台本地视频服务器。
采用方案分析：(1)对于速度要求，可以采用DDN专线、ADSL或将来的宽带传输技术；(2)价格要求，廉价的方式是使用Internet进行数据传输但这必然涉及到数据保密性的要求；(3)网络安全性问题，远程主机的接入身份验证和验证身份的数据必须加密，视频数据可以根据需求加密；(4)远程访问，需要视频服务器提供允许远程接入的能力, 需要进行RAS配置；(5)访问透明性要求，上层系统只需要设计成简单的两步架构，用户指定视频服务器IP---->监控指定IP的视频，无需涉及网络连接的具体实现过程,无需用代码实现远程连接的过程。
鉴于以上需求，可以采用VPN+ADSL方案，这是一个切实可行且成本低廉的方案。能够提供速度及企业移动用户(mobile user)的安全便利接入、数据保密性、客户远程访问透明性的需求.以下将介绍构架VPN的基本原理, 以及本系统的具体实现构架。
图2 Internet网上VPN应用与局域网内部VPN应用
VPN的远程数字视频监控系统架构解决方案
2 VPN介绍
2.1 VPN的概念
随着Internet网络规模与使用的扩大和广泛化，通过Internet传输保密数据的安全性需求日益提上议程。分布式企业想在处于不同地域的部门之间安全传递数据，传统的方法是使用租用线路将各部门的私有网络相连，并使用租用线路进行内部通讯。该方案的主要缺点在于租用线路价格昂贵。一种新的降低成本的途径是允许单位配置VPN技术，不用任何租用线路通过Internet传输加密数据，这样可以把线路费用降到。该技术通过隧道和加密技术达到类似私有网络的安全数据传输功能有着非常广阔的应用前景。它具有以下优点：
(1)费用低--VPN使用Internet进行数据传输免去了昂贵的专线费用只须添加支持VPN的上网设备。
(2)保密性--VPN使用了加密技术保证了通过Internet进行数据传输的安全性。
(3)私有性--连接上VPN服务器的客户就像在使用局域网一样。使用局域网内部IP地址就可以访问整个VPN中的所有主机。
2.2 VPN的基本工作原理
针对VPN实现的几个优点，VPN主要使用了隧道传输,tunneling,技术和加密,encrypting,技术。为了实现保密性, VPN把外发的数据报加密传输。对于私有性，VPN使用隧道技术, 定义了两个网点的路由器之间通过Internet的一个隧道, 并使用IP-in-IP封装通过隧道转发数据报。其基本原理如图1所示，为了确保保密性内层数据经过加密。
图1中，VPN授权主机A发给主机B的整个内层数据报,包括首部,在被封装前进行了加密。当数据报通过隧道到达VPN服务器时, VPN服务器将数据区解密, 还原出内层数据报, 然后转发该数据报给主机B。对A和B而言, 它们之间的数据传输过程是透明的。A要发送的原始信息包的目的地址就是B, 用户并无觉察数据经过打包交由VPN服务器转发给B, 反之亦然。感觉上A和B之间存在一条虚拟的加密直达链路。总之,VPN通过Internet传输数据, 但对网点间传输进行加密,以保证保密性。
市面上的VPN方案繁多但都包含了三个基本元素：(1)授权：VPN服务器对远程接入终端进行授权接入VPN,(2)加密：远程接入终端发送的数据加密后才通过非私有网传输；(3)隧道：远程接入终端发送的数据经过封装由VPN服务器转发。
2.3 VPN的主要应用
设计VPN的初衷在于使用Internet安全传递数据此外VPN也提供了对移动用户和漫游用户的支持这是VPN能迅速推广和被运用的主要原因。在Internet网上的VPN应用及使用步骤，如图2上部所示图中的PPTP是VPN的一种实现方案。远程主机可以有三种方法通过Internet向VPN服务器请求VPN服务。同理，如图2下部，在局域网内部，主机A的加密数据报也可以由VPN服务器转发给主机B，实现A到B的保密传输。
图3 视频监控系统网络架构
VPN的远程数字视频监控系统架构解决方案
3 远程数字视频监控系统架构
3.1网络架构方案
出于系统的设计要求和VPN的优点，本系统采用VPN方案来构架远程数字视频监控系统。在工程设施中，采用预装了VPN协议组的路由器作为VPN服务器。系统网络构架如图3所示。
若不采用传统的远程访问方案，要使远程用户访问视频服务器必须给每台视频服务器配置RAS协议接受传入的访问并在远程访问终端上添加所有要访问的视频服务器的拨号连接每访问一台视频服务器都须拨号一次非常麻烦；但采用了VPN方案远程用户只需拨号访问VPN服务器一次就与本地所有的视频服务器构成一个虚拟的局域网可以使用局域网IP地址直接访问任意的视频服务器大大减小了远程访问连接的开销方便了用户和上层软件系统的设计只需要设计成局域网访问方案就可以了，并做到安全通讯。
3.1.1 VPN路由器/局域网内部主机/远程访问主机的配置
当前VPN行业使用四个标准：点到点隧道协议PPTPPoint-to-Point Tunneling Protocol，第2层发送协议L2F，第2层隧道协议L2TP，IP安全性IPsec。由于本系统中使用的所有主机都是基于WindowNT系统出于协议兼容性考虑本系统VPN方案主体采用微软的PPTP协议构架。
(1)本系统采用VPN路由器，它内置了Web服务器用户可以直接访问其Web服务器进行路由器配置。例如预先向ISP申请了静态的IP地址202.168.25.1可以直接在浏览器地址栏中输入http?//202.168.25.1?80访问网页，输入用户帐户和密码后进入设置界面，对路由器进行如下配置：在VPN协议配置页面中选择“自动选用VPN协议”，并采用加密传输选项；在访问页面设置加入VPN的用户名和密码用于为远程客户授权加入VPN；过滤数据包令VPN路由器只处理VPN数据包，其他数据包丢弃，以减少网络流量。
(2)本地访问主机B和视频服务器处于同一局域网内部无需其他附加的协议。
(3)远程访问主机A想通过VPN方案访问局域网内的所有视频服务器。需要有连接上Internet的设备如ADSL、ISDN、PSTN；需要安装RAS协议以连接上VPN服务器；需要安装PPTP协议以与VPN服务器通讯并构架VPN。
3.1.2 系统工作流程
(1)25台视频服务器通过100Mbps以太网交换机连接组成局域网每部监控视频服务器数字硬盘录像机通过4张PCI 板卡可以直接连接16个摄像机并完成视频的实时采集、压缩和写盘工作。系统中共有25×16=400路实时视频信号资源。
(2)在特定时段内(可在系统中由用户设置，可以设置为非监控时段)，监控服务器将记录在本机的视频数据资料发送给回放视频服务器存档，供日后检索使用。授权用户可以访问监控视频服务器获取实时监控视频，也可以访问回放视频服务器获取回放视频资料。
(3)在局域网内部例如主机B可以直接访问局域网内部的任何一台视频服务器。
(4)局域网通过VPN路由器与Internet相连为授权移动用户mobil user提供远程访问的能力。远程移动用户A可以在任何地方先使用ADSL、ISDN或PSTN向ISP请求连接上Internet再使用PPTP协议请求连接上私有局域网的VPN路由器预装了VPN相关协议；VPN路由器根据预先设置的授权名单校验授权用户，若校验通过则与远程主机A建立一条VPN隧道供传输数据并将主机加入到虚拟专用网VPN中；此后主机A可以使用私有局域网内部的IP地址访问私有局域网中的任意一台监控或回放视频服务器。3.2 软件架构方案
Internet应用层软件开发主要使用两种方案进行数据传输：传输控制协议TCP(Translate Control Protocol)和用户数据报协议UDPUser Datagram Protocol。TCP采用丢帧重发的方法来提供有可靠保障的数据流服务，UDP提供“大可能地交付”高效小时延但不可靠的数据报传输服务。根据它们各自的特点，可以使用TCP传输有质量要求的控制命令，且用UDP迅速传输大量的音视频数据。
本系统作如下设计：在可靠性要求比较严格的地方使用TCP传输数据，包括服务器信息收集、各路状态控制、云台控制、传输文件、远程解密等；同时在速度要求比较严格的地方--实时视频传输中使用UDP。远程监控的一个问题是实时性，而实时性的障碍就是网络传输时延问题。在这种情况下应该选用UDP传输视频图像，对用户来说，一定程度的数据丢失和次序错误并不是大问题，上一帧的丢失不会影响到下一帧。用户宁愿接受有一定丢帧的实时视频图像，也不愿意接受没有丢帧的具有累加时延的滞后视频图像。若采用TCP，TCP固有的传错传丢重发机制本身就加重了视频传输的时延。在具体编程中可以通过WinSock来使用TCP和UDP协议提供的功能。
整个视频监控系统各部分功能及数据流向如图4所示。
图4 系统总体功能模型
VPN的远程数字视频监控系统架构解决方案
3.3 系统评价及应用前景
作者使用Visual C++6实现数字视频监控系统，该系统经过测试能实际达到的效果：
(1)速度：局域网(100Mbps以太网)内部可以达到实时传输16路×23帧/每秒CIF图像的要求。广域网实用ADSL可以达到2路×23帧/每秒CIF图像的要求，并可以使用通道轮转技术实时监控16路视频的能力。
(2)远程访问的安全性：由于在VPN服务器上设置了远程访问企业内部网的用户权限，并使用VPN的安全用户访问方式(如RADIUS远程验证拨号用户服务)，保证了用户保密资料的传输。
(3)访问方便：远程连接时，在连接上企业的VPN服务器后，用户感觉上就处于一个虚拟的企业内部局域网中，其后操作都与局域网操作致。用户可任意访问任意台视频服务器的任意个视频通道。
该系统架构已经在多个银行和企业部门中使用，其实用性和易操作性受到客户的好评。该系统对于视频监控、网络视频传输开发有很高的参考价值。
