Loop di autenticazione RTSP: correzione degli errori 401 non autorizzati, digest auth e di accesso alla fotocamera

Uno dei problemi più comuni della telecamera RTSP sembra semplice a prima vista: "il client si connette, la telecamera risponde, ma lo streaming non si avvia mai. Il registro ripete "401 Unauthorized", il visualizzatore richiede nuovamente una password o l'applicazione dice che l'URL RTSP è sbagliato anche se il nome utente e la password sembrano corretti." Questo è un ciclo di autenticazione RTSP. Succede quando la telecamera sfida il cliente, il cliente invia le credenziali e la telecamera le rifiuta o le chiede di nuovo. La causa principale può essere una password errata, ma può anche essere una mancata corrispondenza dell'autenticazione Digest, una gestione dei nonce obsoleta, autorizzazioni dell'account, caratteri speciali nell'URL, un percorso di flusso errato o una telecamera che richiede l'autenticazione su "DESCRIBE", "SETUP" e "PLAY" separatamente.

RTSP Inspector è utile in questo caso perché la prova importante si trova nello scambio di controllo RTSP. Un lettore multimediale spesso nasconde i dettagli della sfida e riprova dietro un singolo errore di accesso. Una visualizzazione diagnostica del protocollo può mostrare se l'errore si è verificato in "OPTIONS", "DESCRIBE", "SETUP" o "PLAY" e se la fotocamera ha restituito "WWW-Authenticate", "stale=true" o una richiesta di realm ripetuta.

Cosa significa una risposta non autorizzata RTSP 401

In RTSP, "401 Unauthorized" di solito significa "autenticazione richiesta" anziché "il server non è raggiungibile". Una telecamera può rispondere a una richiesta non autenticata come questa:

RTSP/1.0 401 Unauthorized
CSeq: 2
WWW-Authenticate: Digest realm="IP Camera", nonce="abc123"

The client must then send another request with an Authorization header. For Digest authentication, the client does not send the raw password. It computes a response from the username, password, realm, nonce, method, and URI.

If the computed response does not match what the camera expects, the camera returns another 401 Unauthorized. That repeated challenge is the authentication loop.

Basic authentication vs Digest authentication

Some older cameras support Basic authentication. Basic authentication is simpler: the client base64-encodes the username and password. It is easy to implement, but it is not ideal on untrusted networks because the credentials are not protected by the RTSP protocol itself.

Digest authentication is more common on modern IP cameras and NVRs. It avoids sending the password directly, but it is more sensitive to exact request details. A Digest response can fail if:

• The username or password is wrong.
• The client uses the wrong URI in the Digest calculation.
• The camera's realm changed after a firmware update.
• The nonce expired and the client did not retry correctly.
• The camera expects MD5 but the client tries a different algorithm.
• The stream path in the URL is not the same path used in the Authorization calculation.

When users search for "RTSP Digest auth not working" or "RTSP 401 loop camera", they often assume the camera password is the only possible problem. In practice, the method, URI, nonce, and request order matter just as much.

Special characters in RTSP URL credentials

Credentials in an RTSP URL can break when the password contains characters such as @, :, /, ?, #, %, or &.

A URL like this is ambiguous:

rtsp://admin:pa@ss@192.168.1.50:554/stream1

The second @ may be interpreted as the separator between credentials and host. The client may send the wrong password or parse the host incorrectly. The fix is to URL-encode special characters:

rtsp://admin:pa%40ss@192.168.1.50:554/stream1

This is a very common cause of "RTSP works in one app but not another." One application may encode credentials automatically, while another expects the URL to already be valid.

Account permissions can block RTSP even when web login works

Logging into the camera web interface does not always prove that RTSP access is allowed. Many cameras have separate permissions for:

• Live view
• Remote streaming
• ONVIF access
• RTSP access
• Sub-stream access
• Main stream access
• Administrator settings

A user account may work in the browser but fail for RTSP DESCRIBE or PLAY. Some NVRs also require that the account has permission for the specific channel number.

If an NVR URL contains a channel path like /Streaming/Channels/101, the account may be valid but unauthorized for that channel. The result still looks like an authentication failure.

Wrong stream path can look like wrong credentials

Not every camera returns 404 Not Found for a bad RTSP path. Some devices return 401 Unauthorized first for every protected path, even if that path does not exist. After credentials are accepted, the camera may return 404, 454 Session Not Found, or another error.

That means a 401 does not prove the URL path is valid.

Common RTSP path patterns include:

• /stream1
• /stream2
• /live
• /h264
• /h265
• /cam/realmonitor?channel=1&subtype=0
• /Streaming/Channels/101
• /profile1/media.smp

If a camera keeps challenging credentials, test both the authentication result and the stream path. A protocol trace helps separate "credentials rejected" from "credentials accepted but path failed later."

Stale nonce and repeated Digest challenges

Digest authentication can include a stale=true flag. This means the username and password may be correct, but the nonce expired or is no longer accepted.

The camera may respond with:

WWW-Authenticate: Digest realm="IP Camera", nonce="new-value", stale=true

Un client corretto dovrebbe riprovare con il nuovo nonce. Se il client non comprende la gestione del nonce obsoleto, il flusso potrebbe non superare mai l'autenticazione.

Questo problema è particolarmente comune con le telecamere dietro proxy, livelli di inoltro NVR o firmware che implementano l'autenticazione Digest in modo approssimativo. Può anche apparire quando un client riutilizza una vecchia sessione RTSP in modo troppo aggressivo.

Autenticazione su DESCRIBE, SETUP e PLAY

Alcune fotocamere contestano solo la richiesta iniziale "DESCRIBE". Altri sfidano metodi multipli. Uno streaming può fallire in questo modo:

1. L'operazione "DESCRIBE" ha esito positivo dopo l'autenticazione.
2. "SETUP" riceve un altro "401 Non autorizzato".
3. Il client non invia nuovamente le credenziali per "SETUP".
4. La riproduzione non inizia mai.

Lo stesso può accadere in "PLAY". Una telecamera può richiedere intestazioni "Autorizzazione" su tutte le richieste protette. Se il client autentica solo la prima richiesta, potrebbe mostrare un errore confuso "impossibile riprodurre lo streaming" anziché un errore di autenticazione.

RTSP Inspector semplifica la visualizzazione perché tratta la sequenza del metodo RTSP come prova di prima classe. La domanda non è solo "il login ha funzionato?" ma "quale metodo è stato contestato e il cliente ha risposto correttamente?"

Lista di controllo per i cicli di autenticazione RTSP 401

Utilizza questo ordine durante il debug:

1. Conferma il nome utente e la password esatti con un account della fotocamera noto.
2. Codifica URL di caratteri speciali nell'URL RTSP.
3. Verifica se la fotocamera richiede l'autenticazione Digest o Base.
4. Esamina l'intestazione "WWW-Authenticate" per verificare la presenza di flag realm, nonce, algoritmo e obsoleti.
5. Controlla se il client invia "Autorizzazione" su "DESCRIBE", "SETUP" e "PLAY".
6. Verifica che l'account disponga dell'autorizzazione RTSP e del canale, non solo dell'autorizzazione dell'interfaccia utente Web.
7. Testare separatamente i percorsi del flusso principale e del flusso secondario.
8. Confronta l'URI utilizzato nella richiesta RTSP con l'URI utilizzato nel calcolo della risposta Digest.
9. Controlla se il firmware della fotocamera ha modificato il comportamento di autenticazione.
10. Evitare di diagnosticare i codec multimediali finché l'autenticazione RTSP non è stata effettivamente completata.

Cosa significano solitamente le ricerche su Google

Quando qualcuno cerca "Telecamera IP non autorizzata RTSP 401", di solito ha bisogno di sapere se le credenziali sono sbagliate. Quando cercano "loop di autenticazione del digest RTSP", di solito hanno già provato la password e necessitano di prove del protocollo. Quando cercano "la telecamera RTSP richiede ripetutamente la password", devono controllare la verifica e riprovare la sequenza.

La risposta utile non è semplicemente "reimpostare la password". La risposta utile è:

• La telecamera ha contestato la richiesta?
• Il client ha risposto con lo schema di autenticazione previsto?
• La fotocamera ha accettato la risposta?
• Un metodo RTSP successivo ha fallito di nuovo?
• Il percorso dello streaming o l'autorizzazione dell'account non sono riusciti dopo l'accesso?

Ecco perché uno strumento orientato al protocollo è migliore di un test riservato ai soli giocatori per questa classe di problemi.

Diagnosi finale

Un ciclo di autenticazione RTSP viene risolto abbinando credenziali, codifica URL, schema di autenticazione, URI di richiesta, autorizzazione dell'account e comportamento di autorizzazione a livello di metodo. Se la traccia mostra risposte "401 non autorizzate" ripetute con nonce modificati, controlla la gestione del digest. Se mostra il successo dell'autenticazione seguito da errori di flusso, passa alla diagnostica del percorso URL, SDP, trasporto, RTP e codec.

RTSP Inspector è progettato per quel flusso di lavoro basato sull'evidenza: conferma il percorso di controllo RTSP prima di presumere che la fotocamera, il lettore, il codec o la rete siano difettosi.