海康摄像头预览失败：RTSP流无法拉取或解码异常

Question

海康摄像头预览失败中，**RTSP流无法拉取或解码异常**的典型问题是：**客户端使用非海康SDK（如FFmpeg/VLC）直接拉取标准RTSP地址（如`rtsp://ip:554/Streaming/Channels/101`）时，因未启用“平台取流”或未配置ONVIF/GB28181对接，导致返回401/404错误或黑屏无帧**。根本原因在于：部分海康新固件（v5.6+）默认关闭HTTP/RTSP匿名访问，且强制要求鉴权（Digest认证）；同时，H.265编码流在旧版FFmpeg（<4.3）中缺乏完整SEI解析能力，易触发解码卡顿、花屏或avcodec_send_packet返回-22（EINVAL）。此外，NAT穿透失败、防火墙拦截554/8000端口、RTP over TCP/UDP协商不一致，亦会表现为“连接成功但无视频”。建议优先通过海康Web预览插件或iVMS-4200验证基础连通性，再排查协议栈兼容性与网络策略。

Answer 1

```html

一、现象层：典型失败表征与日志线索

• FFmpeg执行ffplay -v debug "rtsp://192.168.1.64:554/Streaming/Channels/101"时输出401 Unauthorized或404 Not Found；
• VLC播放器显示“连接成功”但画面持续黑屏/卡在首帧，无解码错误提示；
• 自研流媒体服务调用avcodec_send_packet()频繁返回-22 (EINVAL)，伴随H.265 SEI payload解析失败告警；
• Wireshark抓包显示RTSP SETUP后无RTP包（UDP端口未启用）或TCP重传激增；
• iVMS-4200可正常预览，但同一IP的RTSP直连失败——指向鉴权/协议栈策略差异。

二、协议层：RTSP鉴权机制与海康固件演进冲突

自v5.6.0起，海康默认禁用RTSP匿名访问，强制Digest认证（RFC 2617），且不兼容Basic Auth。标准RTSP URL需显式携带凭证：

rtsp://admin:password@192.168.1.64:554/Streaming/Channels/101

但即使带凭证，若设备未开启“平台取流”（Web界面→配置→网络→高级配置→平台取流→启用），仍会拒绝非SDK客户端请求。该开关本质是白名单机制，控制ONVIF/GB28181/第三方RTSP的访问权限。

三、编解码层：H.265 SEI依赖与FFmpeg版本陷阱

FFmpeg版本	H.265 SEI解析能力	典型异常
< 4.3	缺失VUI/SEI timing info解析	avcodec_send_packet返回-22，解码器无法推导pts/dts
4.3–4.4	基础SEI支持，但忽略部分海康私有SEI	花屏、B帧乱序、GOP首帧丢失
≥ 5.1 + --enable-libx265	完整支持ITU-T H.265 Annex D & E	稳定解码，支持海康时间戳扩展字段

四、网络层：NAT/防火墙/RTP传输模式协同故障

graph LR A[客户端发起RTSP DESCRIBE] --> B{设备响应SDP} B -->|含a=control:rtsp://...| C[客户端选择RTP传输] C --> D{协商传输模式} D -->|RTP/UDP| E[需开放554+动态端口范围
如8000-9000] D -->|RTP/TCP| F[需设备开启“TCP长连接”
且客户端指定transport=tcp] E & F --> G[防火墙/NAT必须放行对应端口] G -->|任一阻断| H[连接建立但无RTP流]

五、验证路径：分层诊断流程图

1. ✅ 使用iVMS-4200或海康Web插件确认视频源可用性（排除设备/编码问题）；
2. ✅ curl -v "http://admin:password@192.168.1.64/ISAPI/Streaming/channels/101" 验证HTTP API鉴权通路；
3. ✅ FFmpeg添加-rtsp_transport tcp -v verbose强制TCP，并观察SETUP响应头中Transport:字段；
4. ✅ 抓包过滤ip.addr == 192.168.1.64 and udp.port == 554，确认RTP包是否发出；
5. ✅ 检查设备Web界面：网络→高级配置→平台取流、ONVIF服务器、GB28181注册状态是否启用。

六、工程实践：生产环境加固建议

• 统一升级FFmpeg至5.1+，并启用--enable-libdav1d提升H.265解码鲁棒性；
• 构建RTSP代理网关：在边缘节点部署nginx-rtmp-module或gstreamer rtspclientsink，完成Digest认证透传与SEI标准化；
• 对公网暴露设备，禁用RTSP明文凭证，改用GB28181国标注册（SIP over TLS + RTP/SAVPF）；
• 编写自动化检测脚本，定期轮询设备API获取/ISAPI/Event/notification/subscription状态，预警取流权限变更；
• 在Kubernetes集群中为流媒体服务注入iptables -t nat -A OUTPUT -p udp --dport 554 -j DNAT --to-destination 127.0.0.1:554规避UDP NAT超时。

```