基于iSCSI协议IP SAN存储架构的高清网络监控系统的设计方案

楚叶峰

（长春大学 计算机科学技术学院，长春 130022）

基于iSCSI协议IP SAN存储架构的高清网络监控系统的设计方案

楚叶峰

（长春大学 计算机科学技术学院，长春 130022）

设计了一个基于iSCSI协议IPSAN存储架构的高清网络监控系统的设计方案。视频监控的重点是数据存储，本文重点介绍了存储部分的设计。经过对比分析，说明选取IPSAN和iSCSI协议的原因，并且给出其相应的安全需求。为组建高清网络视频监控系统提供一个向可兼容、可互通的方向发展的可参考的设计方案。

iSCSI协议；IP SAN；网络监控；

0 引言

视频监控系统历来是安防领域的重要组成部分，以其快捷、简便、信息内容丰富等特点而广泛应用于各种场合，网络视频监控系统是适用于传统IP网络的视频监控系统，可以实现多种报警信号的处理，并进行传输、存储，不需要改造原有网络，是一种比较经济的解决方案，近几年来，随着计算机存储容量和网络带宽的快速发展，网络视频监视系统已经有了长足的发展。

1 系统总体设计

现有的网络视频监控系统一般是由中心管理平台、前端设备、客户端和传输网络三层结构组成，具体到设备级则是由编码单元、解码单元、网络录像单元、中心业务平台和客户端单元等设备组成，系统架构的结构图如图1所示，构建一个基于IP网络的星型结构的数字化、网络化的智能IP监控系统，［1］

图1 远程网络视频监控系统架构图

网络视频监控系统具体三层结构如下：

1）前端接入层

前端接入层就是系统的最前端，主要负责视频采集、报警以及相应信号的编码工作，一般由监控视频采集单元（视频监控摄像机）、编码单元和报警单元（报警信号发生装置）组成，编码单元是核心，通过IP网络接入到中心业务平台，它的主要作用是将采集到的多种信号进行编码以及在网络上传输和控制。

2）业务控制/媒体交换层

由媒体处理分发、网络录像单元和中心业务平台组成了业务控制/媒体交换层，是整个系统中的核心层次，本层主要工作是负责视频和音频的传送和存储，除此之外还负责业务处理的控制和系统的管理，其中网络录像单元的作用是实现将视频数据转换成数字格式并进行存储、检索和回放等功能，本层次的核心是中心业务平台，需要在逻辑上完成以下功能：业务功能控制；用户和前端设备的接入认证；系统设备管理和媒体分发转发等功能。

3）用户访问层

用户访问层由两部分组成，第一部分是客户端单元，它负责两个工作：一是实时集中监控从远程传送来的图像；二是维护管理以往的视频（包括浏览和回放），以及其他设备，另一部分是解码单元，它的主要工作是实现视音频信号的电视墙解码输出，在客户端单元的控制与管理下进行。

本文提出的高清网络监控系统的设计方案的重点是存储系统部分，设计网络存储协议采用iSCSI协议，存储架构采用IP SAN，以下内容具体分析采用该协议和架构的具体原因。

2 存储架构设计

2.1 数据存储架构简介

常用的集中式数据存储架构分为三种：

1）DAS（Direct Attached Storage直接外挂存储）：应用服务器独享存储设备，存储设备和应用服务器通过SCSI等I/O总线连接的一种存储架构。

2）SAN（Storage Area Network存储区域网络）：此网络是从主机到存储系统间的高速数据传输的一种专用网络，并且数据可以在同处一级中的多个不同位置的存储设备间进行传输，对外提供块级（block）的存储数据共享，是采用专用网络方式连接存储设备和应用服务器的存储构架。

3）NAS（Network Attached Storage网络附加存储）：本质是一种使用文件共享协议来实现异构主机间文件共享的服务，在内部利用专用的服务器和文件系统管理存储空间；在外部利用多种文件共享协议（例如NFS和CIFS）进行文件访问管理，特别指出：NAS跨平台通用性较好——可在不同的操作系统中共享同一个文件，［2］

三者结构关系如图2所示。

图2 数据存储架构关系图

在网络视频监控系统中的系统架构及扩展上，SAN及NAS系统优于DAS系统，DAS直接连接的方式不能满足目前和将来的需求已经被市场淘汰。

SAN的最大特点——是在网络中将数据传输协议和传输介质独立分割开，使之成为独立的存储区域网络，传输对网络带宽无影响，对数据备份和恢复操作的可靠性和可扩展性有最大的提高，而且对备份和恢复的开销有明显减少，容灾能力的整体提升也是因为SAN可以无缝地与远程备份设备连接。

SAN有以下特性（与传统网络相比较）：

1）传输速度快、距离远。

2）资源全面共享。

3）能作为远程镜像，在安全等方面可提供有效保证。

4）通过SAN备份，可整体降低流量数量，并且提高使用单位的内部网络的整体服务质量。

5）集中化的存储设备管理，为使用单位节省管理时间和管理人员。

SAN并不完美，同样也存在缺点：

1）扩展造价高，需要建立独立光纤网络。

2）使用的器件贵，不容易被小规模单位接受。

3）需要考虑进行流控制也是FC（Fibre Chalinel光纤通道）的一个问题，使其趋于合理有效，［3］

这也是本文所设计的高清网络监控系统不采用FC技术的原因，本文所采用的是基于高速以太网技术的IP SAN。

2.2 IP SAN

IPSAN是基于高速以太网的网络存储系统，通过TCP/IP协议来实现存储数据高速传输，IP SAN的优点是：既有传统SAN的高性能；又有NAS的数据共享优势，IP SAN的工作原理是虚拟化存储交换机，实现对异构存储资源的整合和数据的集中存储，更进一步地模糊了本地存储和远程存储的界限，对于主机和存储系统，无论在任何位置，只要能提供标准接口就可以任意访问数据。

IP SAN虽然有着效率高、价格相对低廉、管理及维护成本低、传输距离长和搭建方便及成本方面的优势，但是同时把IP技术固有的安全性能上的缺陷同样继承下来，所以在安全性能上要重点防范。

2.3 基于iSCSI协议的IP SAN安全需求

IP SAN是基于IP网络的，对于IP网络的安全策略都适用于IP SAN，IP网络的安全策略有：加密、认证和数据完整性，因为使用IP网络，主机不能直接控制存储设备，所以采用命令通道（密钥通道）和数据通道分离的方法比较安全。

基于iSCSI协议的IP SAN有以下安全考虑：

1）用户认证与访问控制

首先需要进行用户身份认证，在验证通过基础上还需要提供对存储网络系统的访问权限控制，是可以访问整个存储设备还是只能访问其中的一部分。

2）网络传输安全

因为是基于IP网络传输的，所以IP网络上的攻击和破坏都是要考虑的要点，需要对在IP SAN网络上传输的数据源和数据完整性进行认证，并且要对用户数据加密保护。

3）数据存储安全

在存储网络（SAN）中，数据和主机在物理上是分离的，所以一次通过身份认证仍然是不可以互相信任的，而数据需要长期保存，那么分在异地的存储设备上的数据的安全会受到威胁，例如非授权的访问和篡改，所以即使主机认证了存储设备，存储设备或存储子系统仍然是不被信任的，也不能保证存储设备上数据安全，因此，主机与存储设备之间必须进行持续地逐一认证，对存储系统中的数据也必须进行保护（包括数据加密和保证数据完整性），主机和共享存储设备之间必须进行授权等，［4］

3 网络存储协议

实现IP SAN的协议有三种：FCIP、iFCP、iSCSI，FCIP是基于TCP/IP的光纤通道，通过TCP/IP协议实现光纤和存储网络的互连；iFCP是互联网光纤通道协议，是一种网关到网关的协议，解决光纤的距离问题及其路由体系结构；iSCSI是最完全、最彻底的IP存储协议，本文只讨论iSCSI，［5］

iSCSI是Internet SCSI，也可称为SCSIover TCP/IP，是SCSI标准和IP协议相结合的结果（架构在SCSI标准之上建立在TCP/IP协议上的），于2004年正式通过成为标准，iSCSI协议使得数据的存储不再受地域的限制，iSCSI是一种端到端的协议，运行在存储设备（称为target，即目标端）和服务器（称为initiator，即启动端）之间（也包含协议传输网关设备），［6］

iSCSI协议的核心是在TCP/IP网络上传输SCSI协议，其原理是将标准的SCSI命令用TCP/IP报文封装，使其得以在使用TCP/IP协议的网络上传送，通过标准的IP网络基础设施实现的系统之间的连接，只需要不多的投资就可以在原有的IP网络上方便、快捷地对信息和数据进行交互式传输及管理，iSCSI协议的应用对网络存储领域的发展起到了巨大的推动作用，并在许多领域取得了广泛的应用，［7］

采用iSCSI协议优势有以下几点：

1）IP技术成熟、功能丰富、适用范围广，组成网络所使用的设备较低廉。

2）组网产品较成熟，并且辅助管理工具较多。

3）利用原有IP广域网，可以和远程存储设备进行连接和传输，不需重新构建专用网络。

目前根据成本、性能、安全等方面考虑，主要实现的方法是软件方式和硬件方式两种。

软件方式：网络连接设备使用服务器网卡，网卡接收在数据链路层上传输的数据帧，然后由主机的CPU和相应软件从帧中提取SCSI数据和命令的操作，回溯过程也同样由主机CPU和软件实现，优点是组网的硬件成本低，缺点是处理耗时相对长，原因是将SCSI命令封装、TCP/IP报文转换会占用主机端的资源，耗费一些时间。

硬件方式晚于软件方式出现，可解决高速传送瓶颈问题，硬件方式有TOE方式和iSCSIHBA方式两种。

1）TOE（TCP Offload Engine TCP卸载引擎）方式，TOE方式是使用了TOE网卡，TOE网卡集成了TCP/IP卸载引擎处理逻辑芯片，网卡完成了协议中的大部分工作，CPU不需处理网络协议工作，从而节约处理时间，采用这种方式，CPU和软件部分只需要完成iSCSI协议数据单元的封装和解封。

2）iSCSIHBA方式，在iSCSI的通信过程中，CPU和软件仅承担少量的管理任务，底层的TIP/IP协议和iSCSI协议的处理任务都由iSCSI存储主机总线适配器（HBA）完成，［8］

硬件方式优点可以减少CPU处理时间，适用于对可靠性实时性要求较高的业务，缺点是有额外开支，需要在主机上安装专门的硬件板卡。

选择软件方式还是硬件方式要从单位自身实际情况出发，结合预算与适用性进行选取。

4 结语

随着iSCSI存储设备性价比的不断提高，基于iSCSI的IP SAN存储解决方案将会成为高清网络监控系统中的主流存储技术，本文设计的高清网络视频监控系统，可满足不同行业的应用，例如：政府、教育、工业、企事业单位、商场等，基于iSCSI协议IP SAN存储架构的系统可扩展性强，可在原有布线基础上进行扩展；造价低廉，所需购买的设备少；性能稳定，可以实现长时间的录像和图片存储，安全可靠。

［1］ 夏卫虎.构建企业iSCSI廉价存储［J］.硅谷，2014（11）：122-123.

［2］ 徐佳健.网络监控系统控制命令传输方案的设计［J］.杭州电子科技大学学报，2012（5）：171-174.

［3］ 向建均.FC SAN与iSCSISAN比较分析研究［J］.情报探索，2007（2）：61-63.

［4］ 豆雅纯.浅析监控数据的存储模式［J］.计算机与网络，2008（1）：41-42.

［5］ 白勇，朱清新.基于iSCSI的IP SAN网络存储技术及其安全性研究［J］.计算机研究与发展，2009，46（增刊）：12-17.

［6］ 彭亮，涂晓东，牛长喜等.存储区域网络iSCSI协议的通信机制研究［J］.电子科技大学学报，2005（6）：988-991.

［7］ 黄振宇.iSCSISAN技术及其应用［J］.计算机时代，2003（5）：1-3.

［8］ 任星.基于iSCSI协议的IP SAN安全机制研究与实现［D］.郑州：中国人民解放军信息工程大学，2008.

责任编辑：吴旭云

Design Schem e for High-definition NetWork M onitoring System of IP SAN Storage Architecture Based on iSCSIProtocol

CHU Yefeng
（College of ComPuter Science and Technology，Changchun University，Changchun 130022，China）

This PaPer gives a design scheme for the high-definition network monitoring system of IPSAN storage architecture based on iSCSIProtocol.The focus of video surveillance is data storage，and the design of the storage Part ismainly introduced.Through com-Parative analysis，it exPlains the reasons of choosing IPSAN and iSCSIProtocol，and gives their resPective security needs，which Provides a design scheme with a comPatible and interoPerable direction for the formation of high-definition network video surveillance system.

iSCSIProtocol；IP SAN；network monitoring

TP393.094

A

1009-3907（2015）06-0041-04

2015-03-09

楚叶峰（1979-），女，吉林长春人，讲师，硕士，主要从事GIS及计算机应用方面的研究。