视频监控跨网点联网的痛点
某物流企业有30个转运中心，每个中心20~50个摄像头，总部安保部门需要实时查看所有画面。
- 传统方案：每个转运中心拉专线 → 成本 30×¥8,000/月 = ¥240,000/月
- 替代方案：公网IP + 端口映射 → 摄像头直接暴露公网，极易被攻击
图1：YSKJ 视频监控跨网点实时回传架构
YSKJ SD-WAN视频监控方案
在每个转运中心部署一台YSKJ网关（安装YSKJ客户端），与总部建立加密隧道：
| 转运中心 | 摄像头数量 | 网段 | NVR地址 | 回传带宽需求 |
|---|---|---|---|---|
| 上海浦东 | 48 | 172.16.1.0/24 | 172.16.1.200 | 8 Mbps（H.264） |
| 北京顺义 | 36 | 172.16.2.0/24 | 172.16.2.200 | 6 Mbps |
| 广州白云 | 52 | 172.16.3.0/24 | 172.16.3.200 | 10 Mbps |
| 成都双流 | 24 | 172.16.4.0/24 | 172.16.4.200 | 4 Mbps |
总部安保部门安装YSKJ客户端后，可直接通过内网IP访问所有转运中心的NVR，无需公网IP。
带宽计算与QoS配置
视频监控流量具有持续、高带宽、低延迟要求，需在YSKJ中配置QoS策略：
# 监控流量优先级最高（DSCP EF） iptables -t mangle -A FORWARD -p tcp --dport 554 -j DSCP --set-dscp-class EF # 限制单路摄像头码率（避免拥塞） tc class add dev wg0 parent 1:1 classid 1:10 htb rate 2mbit ceil 4mbit # ERP流量次优先级（DSCP AF41） iptables -t mangle -A FORWARD -p tcp --dport 1433 -j DSCP --set-dscp-class AF41
安全加固：摄像头隔离
摄像头是IoT设备，固件更新慢、漏洞多，一旦被攻破会成为横向渗透的跳板。YSKJ通过ACL规则实现摄像头网络与办公网络完全隔离。
配置示例：
- 摄像头网段：
172.16.x.0/24（独立VLAN） - 仅允许NVR主动拉取摄像头RTSP流（
TCP 554） - 禁止摄像头主动访问任何地址（防止被控后横向移动）
- 禁止办公网访问摄像头网段（减少攻击面）
实测效果
| 指标 | 改造前（公网IP） | 改造后（YSKJ SD-WAN） |
|---|---|---|
| 摄像头暴露面 | 30×50 = 1500个公网IP | 0个公网IP |
| 画面延迟 | 2~8秒（公网绕行） | 0.3~1.2秒（P2P直连） |
| 录像回放速度 | 卡顿严重 | 流畅（内网速率） |
| 月度成本 | ¥240,000（专线）或 ¥0（公网，但风险高） | ¥299/月（YSKJ企业版） |
✅ 该企业部署后，6个月内未发生一起摄像头被入侵的安全事件，IT负责人评价"省心、省钱、更安全"。