kaida’s Blog

2007年8月1日开始实施的数字电视地面传输标准名为DMB-TH标准。作为中国地面数字电视传输的国家标准，DMB-TH既突破了美国地面数字电视ATSC标准不支持移动接收的局限，又超越了欧洲地面数字电视DVB-T标准抗噪声和多径干扰的能力。该标准支持高清晰度电视、标准清晰度电视和多媒体数据广播等多种业务，满足大范围固定覆盖和移动接收需要。目前国内不少大中城市都开通了DMB-TH地面数字高清电视信号（见表1），无线开路不加密播出。绝大部分高清频道都是以MPEG2编码方式播出。由于带宽关系，一个频段只能容纳一个20Mbps左右码率的高清频道。

表1: 国内部分开通高清频道城市

家庭用户如果想通过地面无线传输收看这些高清频道有三种选择。1.内置接收模块的高清数字电视一体机。2.支持DMB-TH接收的数字机顶盒+高清电视机。3.支持DMB-TH接收的电视卡+电脑+高清电视机(可选) 。对于电视普及率极低，电脑普及率接近100%，用户高度密集的高校校园网来说，如果想让校内师生都能够欣赏高清数字电视节目，每人买一块电视卡实在不现实。建议的一种做法是学校的信息化部门可以通过支持DMB-TH的电视卡或数字机顶盒(支持网络TS流输出)，把高清数字电视信号IP流化引入校园网，然后通过单播组播技术传递到校园网每个桌面用户。如果使用接收地面波的数字机顶盒，可以考虑选择F304，但是这种方式成本相对高一点，本文不做过多讨论。我们下面详细说明使用电视卡的低成本实现过程。

图2: VLC 1.0.x 的图形化配置接收电视信号界面

图3: VLC 1.0.x 的命令行配置接收电视信号界面

VLC接收时要指定频率，上图就是上海地区接收666Mhz的东方高清的写法。VLC接收到信号之后，有两种方式可以把其转变为MPEG2的TS流分发出去。1.本地打开监听端口。如图2或图3打开TCP的1234端口，接受服务器端VLC程序发过来的请求并把电视流信号传过去，接收端不直接面对最终用户提供服务。2. 接收端在本地VLC接收信号的同时，以IPv4组播的方式把电视流信号发送进校园网。IPv6组播虽然也可以实现，但目前大部分三层交换机和桌面交换机对IPv6组播支持都不佳，所以实验网里跑跑测试可以，正式网络中几乎无法部署。IPv4组播相对比较成熟，虽然调试过程中可能会比较麻烦，但大都可以完成在校园网内的正式部署。

根据我们的经验，组播必定会有很多到不了的地方，比如交换机不支持组播的地区，各处自建的局域网内部，另外用户端的防火墙配置也可能会影响正常组播报文。所以为了大面积推广使用，单播也是必须要提供的一种方式。上面提到的两种分发TS流的做法可以互相结合，前者服务器拿到流之后可以再次组播发出去，后者在校园网内的服务器收到组播流之后又可以单播方式向用户提供服务。服务器端使用的软件还是VLC，不过版本不再局限于 1.0.x ，也可以使用 0.9.x 系列版本。

有一点需要特别提及的是无论在Windows平台还是Linux平台，VLC长期工作稳定性都欠佳。一个建议的做法是使用监护进程来循环检测VLC进程是否正常工作，正常工作就不动作，如果发现进程异常退出就将其重新启动。以下为Windows平台下一个计划任务加简单批处理脚本的例子，Linux下使用crontab加脚本做定时检查实现起来也非常方便。

Daemon.bat （计划任务里定义每分钟运行一次）

@echo off

netstat -an|find /c /i “0.0.0.0:1234″ > null

if “%errorlevel%” == “1″ goto startvlc

goto exit

:startvlc

vlc.exe –meta-title “HD666″ dvb-t://frequency=666000000 :dvb-bandwidth=-1 :sout=#duplicate{dst=std{access=http,mux=ts,dst=:1234}}

:exit

kaida Work

9月28日，中央电视台、北京卫视、东方卫视、湖南卫视等九家电视台正式开播高清电视节目，加上之前的CCTV高清频道，SiTV高清新视觉频道等，国内已经出现十多个高清频道。上海，北京等大城市已经开通10个以上高清频道。家庭用户可以通过有线电视系统使用高清机顶盒，或者支持接收数字地面波的设备来收看这些频道。但是对于高校来说，电视远远不如电脑一样普及，有线电视系统（未经改造升级无力承载数字电视业务）也没有像校园网一样可以覆盖学校每个角落。在很多校园网里，万M主干已成为主流，这为高带宽视频流传输打下了良好基础。那么是否有可能先把数字电视信号实时转换处理为IP数据流，然后再引入校园网，通过IPv4/IPv6/组播/单播结合方式传输这些流，使广大网络用户通过电脑欣赏到不亚于电视机收看效果的，具有视觉冲击力的高清电视节目呢？实践证明这条路线是完全可行的，而且投资也不大，不过在具体实施过程中会有很多细节需要注意。
我们先谈一下数字电视信号的获取。国内数字电视按信号传输方式可以简单分为地面无线传输(DMB-TH)、卫星传输(DVB-S)、有线传输(DVB-C)三类。信号有加密和不加密之分，不加密的没有什么大问题，加密的可能就会在转换到IP流过程中遇到一些困难，不过有些可以解决。地面波数字电视信号仅仅在一些大中城市才有，而且涉及到的高清频道较少，上海的地面波就只能收到522MHz的央视高清频道和666MHz的东方卫视高清频道。但是使用这种信号无需申请，比较方便，而且投资少，只要配块三百左右的电视卡就可以接收一个台。走卫星传输就不再受地域限制，使用高清数字卫星接收机可以收到上百个国内外频道，其中也有很多高清频道。但是使用卫星信号受很多限制，不是所有地方都有条件使用。地面有线传输数字信号受本地有线接入提供商控制，北京的歌华有线就可以提供最多13个高清频道和几十个标清频道，不过国内不同地区数字机顶盒的CA加密方式还未统一，有所区别。地面有线可以提供较多的数字电视频道，但是没有数字化整体转换过的地区能够提供的数字电视频道有限。
地面波信号转换为IP流可以使用特殊的支持DMB-TH的电视卡或支持地面波接收的高清数字电视接收机（例如F304）。高清卫星接收机DM800系列和F304系列都带有LAN口，配上相应的DVB-C调谐器和对应所在地区的CI模块以及当地有线提供的卡，可以从卫星和有线电视系统获取数字电视信号，并很方便的直接实时转换为MPEG2的TS流，通过http协议或udp组播传输进校园网。
接收地面波数字电视信号并转换为TS流可以使用开源软件VLC，接收高清卫星接收机输出的TS流也是同样使用开源软件VLC。VLC支持IPv4/IPv6/组播/单播，跨多种操作系统平台，既可以作为流媒体服务器对外提供IPv4/IPv6单播服务，也可以对外发送IPv4/IPv6组播流。标清电视SDTV（720*576）MPEG2的TS流占用带宽在5M左右，高清电视HDTV（1920*1080）MPEG2的TS流占有带宽在20M左右。注意VLC仅仅起转发作用，不建议对MPEG2流进行重新编码。重新编码必然是有损的，会带来电视信号的质量降低。
关于VLC程序的稳定性提升，支持DMB-TH的电视卡和数字卫星接收机的详细配置，校园网电视流组播的配置和全网规划部署，支持数千用户的单播转发大规模应用，对转播服务器的系统选择、性能要求和多网卡负载均衡设计，给用户提供友好方便的电视播放界面和快速换台，定期抓取所有电视台画面生成索引浏览列表，在校园网上构建类似IPTV的时移回看系统……后继文章都会陆续涉及到，敬请期待。

kaida Work

DM800原设计为卫星电视接收机,但是在配上一个DVB-C调谐器后,可以用来接收有线电视网络中的数字电视信号.这可是个重大的好消息(卫星台毕竟有限,而且锅也不是哪里都有的).
以北京地区为例,见:http://www.sat-china.com/bbs/viewthread.php?tid=79627 ,使用DM800可以顺利接收上百路标清电视信号和多路高清电视信号.

F3是今年非常流行的多用途电视接收机,配上不同的模块和卡,可以支持DVB-S/S2,DVB-C,DMB-TH,通吃卫星接收/有线电视/无线地面波的高标清信号,并且兼容性和可扩展性很好,对各地有线接入提供商提供对应模块.实在是居家旅行,杀人灭口-必备良药！
btw:F3已经支持组播输出IP流(TS).

DM800和F3都自带LAN口(这个是关键!),可以直接把电视信号实时转为MPEG2的IP流(TS)引入校园网,在电脑上收看效果和电视已经没有差别.
DM800单台价格在1k+,F304单台价格在2k+.

校园网转发和服务端都使用VLC,IPv4/IPv6单播和IPv4/IPv6组播配合传给最终用户,细节这里不详述.总结是入门简单,花钱少,效果好,秒杀国内外其他所有电视直播系统.

kaida Work, 未分类

9月28日，中央电视台、北京卫视、东方卫视、湖南卫视等九家电视台正式开播高清电视节目，加上之前的CCTV高清频道，SiTV高清新视觉频道等，国内已经出现十多个高清频道。对于高校师生来说，如何才能欣赏到这些具有视觉冲击力的内容？机顶盒＋高清电视机这条路显然走不通。把高标清电视频道信号IP流化，再引入校园网是一条比较好的解决途径。
用户只要有一台电脑就可以随时随地自由收看高标清电视,效果和使用电视收看没有区别，很有诱惑力吧。

实现过程中需要注意几点：
1.信号源获取
a.来自卫星的高标清信号(N套，国内外都有);
b.来自地面有线的高标清信号(上海目前12套高清,北京13套高清);
c.来自地面无线的高标清信号(上海目前2套高清);
a方案比较灵活，但是部分频道的解密可能存在困难，投入较大；
b方案也不错，使用DM800或F304即可,优点是拿到的台多；
c方案比较廉价，支持DMB-TH地面接收的电视卡不到三百即可买到，但是收到台非常少，而且受地域限制；

2.1.可以使用硬件接收
支持输出TS网络流的数字卫星接收机，比如DM系列和F3等等，这里不多详细讨论,但要注意长期工作的稳定性。
2.2.也可以使用软件接收
VLC(VideoLAN Client)＋各类数字电视卡/卫星数据接收卡(DVB卡)。

3.编码格式
还是用MPEG2的TS流吧，原因有若干，不提…
能软解压放的动H264编码高清电视的电脑应该不多吧。
一路mpeg2高清流大约占用带宽20M左右。
一路mpeg2标清流大约占用带宽5M左右。
是否需要二次转码、重新压缩？我觉得是多此一举。
图的就是高清的视觉冲击效果，何必人为来降低码率，引起画质下降？

4.服务器选择
服务端程序还是VLC(VideoLAN Client),原因有若干，不提…
Windows还是Linux？无论哪一种，都可以满足需要。
校园网内经过北京奥运会电视转播的考验，没有问题。
10G网卡还是多千M网卡绑定对外输出?各有优缺点。
CPU主频越高越好，两个多核即可，多了也是浪费。

5.可扩展性分析：
单播＋组播配合可以满足数千或更多用户需要。这个也在我们的校园网环境里实际验证通过了。

6.网络升级改造：
毫无疑问，如果校园网不做适当调整，很难承载高清电视转播的业务。
电视广播网和Internet需要融合，校园网不考虑商业因素，应该比较好做。

kaida Work, 未分类

下面是我们学校几个本科生正在做的东西，还在继续做细节功能完善，欢迎试用和提建议。
病毒木马传播，网页挂马，钓鱼网站，僵尸网络，恶意下载，网站分级控制……都离不开和DNS之间的通讯，改进DNS并配合其他对应服务，目的是增强用户网络安全可控访问，还有其他附加功能（IPv4/IPv6互访之类）。

发布网站：http://www.opensdns.com

什么是 OpenSDNS？
OpenSDNS 是一个改进的域名解析服务，让用户上网更加安全、便捷。OpenSDNS 提供多项实用的功能，适用于各种不同的用户和网络环境。
OpenSDNS 不是软件：使用 OpenSDNS 不需要下载和安装软件，只需将你的计算机或路由器等设备的 DNS 服务器设置为 OpenSDNS 的IP地址即可使用我们的服务。

反钓鱼网站：OpenSDNS 阻止钓鱼网站，保护你免受网络欺诈的威胁，提高在线交易和网站帐号的安全性。
网站分级和内容过滤：OpenSDNS 允许你对你的 IP 地址设置网站分级过滤，屏蔽色情、暴力、广告、间谍程序等数十类网站，你也可以自己添加过滤的域名，保护你的网络安全。
智能纠错：当你访问的域名无法解析时，OpenSDNS 的导航页面帮助你找到最接近的内容，并能够自动纠正常见拼写错误，改善用户的网络体验。

正在改进完善的几项功能：
IPv4/IPv6互访：Native IPv6网和Native IPv4网之间网站互访更加简单，接入网络和web服务器无需任何改动。
（很多人应该知道 sixxs.org 这个服务，就是类似的东西了）

恶意和高风险挂马网站访问控制；

域名缩写自定义，中文域名，NAT下的支持增强；

DNS的反拦截和反域名缓存中毒功能（这个不细说，都明白怎么回事）；

kaida Work

http://code.google.com/intl/zh-CN/apis/safebrowsing/

• 注册以获取一个安全浏览 API 密钥

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

kaida Work

最近处理了一些DDOS事件, 深深感受到如果各地都能做好源地址检查，将会大大降低伪造源地址的各种类型攻击流量（这些流量很难追查）。
至于不伪造源地址的攻击流量，追查可就容易的多了。

以校园网为例：
汇聚层交换机可以使用标准ACL来实现源地址检查。
例如：
access-list 12 permit 202.120.0.0 0.0.63.255
access-list 12 permit 111.186.0.0 0.0.63.255
access-list 12 deny any

不同设备具体配置实现方式可能会有区别，不过思想还是很明确的。
Cisco 的路由器也可以用 ipv4 verify unicast source 来做检查。
边界出口设备上也建议加上这类源地址检查。

虽然是常识，还是值得反复强调，
全网都这样显然不现实，但先把自家篱笆扎牢总归能办到。

kaida Work

在v4/v6互通转换方面，一些简单有效的东西却往往被忽视。

使用netsh，在不对应用本身做改动的前提下，可以实现几乎所有v4、v6应用的快速互访。

以下内容来源于：http://technet.microsoft.com/zh-cn/library/cc776297(WS.10).aspx

kaida Work

数年前接触过iSCSI,就一直很欣赏这种灵活的远程文件使用方式.
用户体验很好,简单的iSCSI Initiator配置后,远程服务器目录映射到本地,相当于多了块本地硬盘.

昨天和兰州大学的老师聊天,他们在使用FreeNAS给校内一些用户提供iSCSI方式文件服务,总算找到知音了.

FreeNAS支持 LDAP 和 Active Directory 认证,方便集成统一身份认证,
用户可以通过

今日硬盘报价:
Seagate希捷 Barracuda 7200.11 ST31500341AS SATAII接口台式机硬盘(1.5TB/7200转/32M)  价格:￥869.00

花2万多,就可以搭一个10T的SATA阵列(至少做个RAID5)服务器出来,每个用户按10G空间计算,就可以满足1k用户了.

我个人比较推崇这种花钱少,效果好的模式,但是没有亲自做过,有兴趣的老师可以考虑一下,也许可以提供校园网个人用户文件存储服务.

kaida Work

IPv6使用中RA 干扰是个各地网络管理人员都普遍遇到的常见问题,也是IPv6的一大安全问题,值得总结分析一下.

1.客户端配置策略
    XP/Vista/Linux
    之前我有文章简单提到过部分思路.

2.交换机配置策略(ACL…)

3.如何发现并定位异常RA源,    深入分析 Rogue IPv6 RA 
    网管人员配置错误?用户操作系统默认配置或不当设定?来自恶意攻击?

有兴趣可以找我同事   sjtu.edu.cn 约稿,他这方面很有研究.

附参考文档:
http://tools.ietf.org/html/draft-chown-v6ops-rogue-ra-03

ACL举例:
下面是在某一台二层交换机上使用ACL来解决用户端的RA配置示例.
mac access-list extended DenyV6RA
  10 deny any host 3333.0000.0001 0×86DD
  20 permit any any etype-any
interface FastEthernet 0/1
  mac access-group DenyV6RA in

Fe 0/1 做个检查就可以拒绝非法RA.

多说两句,科研和实际要结合. 对于网络中心来说,对第一线,对实际的了解是其天然优势,从中抽取实际问题,带着问题进行科研,透彻分析并提出可能的解决方案,这才是实实在在的科研.

kaida Work