2026-06-02

Цикл аутентификации RTSP: исправление ошибок 401 Unauthorized, Digest Auth и ошибок входа в камеру

Практическое руководство по несанкционированным петлям RTSP 401, дайджест-аутентификации, базовой аутентификации, устаревшим ответам nonce, неправильным пользователям камеры и проблемам с учетными данными URL.

Одна из наиболее распространенных проблем с RTSP-камерой на первый взгляд выглядит простой: "клиент подключается, камера отвечает, но поток так и не запускается. В журнале повторяется сообщение «401 Unauthorized», программа просмотра снова запрашивает пароль или приложение сообщает, что URL-адрес RTSP неправильный, хотя имя пользователя и пароль выглядят правильно." Это цикл аутентификации RTSP. Это происходит, когда камера опрашивает клиента, клиент отправляет учетные данные, а камера отклоняет их или запрашивает снова. Основной причиной может быть неверный пароль, но это также может быть несоответствие аутентификации Digest, устаревшая обработка nonce, разрешения учетной записи, специальные символы в URL-адресе, неправильный путь потока или камера, которая требует аутентификации в DESCRIBE, SETUP и PLAY отдельно.

Инспектор RTSP полезен здесь, потому что важные доказательства находятся в обмене управления RTSP. Медиаплеер часто скрывает детали вызова и повторной попытки за единственной ошибкой входа в систему. Представление диагностики протокола может показать, произошел ли сбой в режимах «OPTIONS», «DESCRIBE», «SETUP» или «PLAY», а также вернула ли камера «WWW-Authenticate», «stale=true» или повторный запрос области.

Что означает несанкционированный ответ RTSP 401

В RTSP «401 Неавторизованный» обычно означает «требуется аутентификация», а не «сервер недоступен». Камера может ответить на неаутентифицированный запрос следующим образом:

RTSP/1.0 401 Unauthorized
CSeq: 2
WWW-Authenticate: Digest realm="IP Camera", nonce="abc123"

Basic authentication vs Digest authentication

Special characters in RTSP URL credentials

Credentials in an RTSP URL can break when the password contains characters such as @, :, /, ?, #, %, or &.

A URL like this is ambiguous:

rtsp://admin:pa@ss@192.168.1.50:554/stream1

rtsp://admin:pa%40ss@192.168.1.50:554/stream1

Account permissions can block RTSP even when web login works

Wrong stream path can look like wrong credentials

That means a 401 does not prove the URL path is valid.

Common RTSP path patterns include:

/stream1
/stream2
/live
/h264
/h265
/cam/realmonitor?channel=1&subtype=0
/Streaming/Channels/101
/profile1/media.smp

Stale nonce and repeated Digest challenges

The camera may respond with:

WWW-Authenticate: Digest realm="IP Camera", nonce="new-value", stale=true

Правильный клиент должен повторить попытку с новым одноразовым номером. Если клиент не понимает обработку устаревших одноразовых номеров, поток может никогда не пройти аутентификацию.

Эта проблема особенно распространена с камерами за прокси-серверами, уровнями ретрансляции NVR или прошивкой, которая слабо реализует дайджест-аутентификацию. Это также может возникнуть, когда клиент слишком агрессивно повторно использует старый сеанс RTSP.

Аутентификация при DESCRIBE, SETUP и PLAY

Некоторые камеры оспаривают только первоначальный запрос DESCRIBE. Другие оспаривают несколько методов. Поток может выйти из строя следующим образом:

DESCRIBE завершается успешно после аутентификации.
SETUP получает ещё один 401 Unauthorized.
Клиент не отправляет повторно учетные данные для SETUP.
Воспроизведение никогда не начинается.

То же самое может произойти и в «PLAY». Камера может требовать заголовки Authorization для всех защищенных запросов. Если клиент аутентифицирует только первый запрос, вместо ошибки аутентификации он может отображать сбивающую с толку ошибку «невозможно воспроизвести поток».

Инспектор RTSP облегчает это наблюдение, поскольку рассматривает последовательность методов RTSP как первоклассное свидетельство. Вопрос не только в том, "сработал ли вход?" но «какой метод был оспорен и правильно ли ответил клиент?»

Контрольный список для циклов аутентификации RTSP 401

Используйте этот порядок при отладке:

Подтвердите точное имя пользователя и пароль с помощью известной учетной записи камеры.
URL-кодирование специальных символов в URL-адресе RTSP.
Проверьте, требует ли камера дайджест- или базовую аутентификацию.
Проверьте заголовок WWW-Authenticate на наличие флагов области, nonce, алгоритма и устаревших флагов.
Проверьте, отправляет ли клиент Authorization по DESCRIBE, SETUP и PLAY.
Убедитесь, что у учетной записи есть разрешения RTSP и канала, а не только разрешения веб-интерфейса.
Проверьте пути основного потока и подпотока отдельно.
Сравните URI, используемый в запросе RTSP, с URI, используемым при вычислении ответа дайджеста.
Проверьте, изменило ли прошивка камеры поведение аутентификации.
Избегайте диагностики медиакодеков до фактического завершения аутентификации RTSP.

Что обычно означают поисковые запросы Google

Когда кто-то ищет «Несанкционированная IP-камера RTSP 401», ему обычно необходимо знать, неверны ли учетные данные. Когда они ищут «цикл аутентификации RTSP Digest», они обычно уже пробовали пароль и нуждаются в подтверждении протокола. Когда они ищут «камера RTSP неоднократно запрашивает пароль», им необходимо проверить последовательность запроса и повторить попытку.

Полезный ответ — не просто «сбросить пароль». Полезный ответ:

Камера оспорила просьбу?
Ответил ли клиент ожидаемой схемой аутентификации?
Камера приняла ответ?
Был ли более поздний метод RTSP снова неудачным?
Не удалось указать путь к потоку или разрешение учетной записи после входа в систему?

Вот почему для этого класса проблем инструмент, ориентированный на протокол, лучше, чем тест только для игроков.

Окончательный диагноз

Цикл аутентификации RTSP решается путем сопоставления учетных данных, кодирования URL-адреса, схемы аутентификации, URI запроса, разрешения учетной записи и поведения авторизации на уровне метода. Если трассировка показывает повторяющиеся ответы «401 Unauthorized» с изменением одноразовых номеров, проверьте обработку дайджеста. Если он показывает успешную аутентификацию, за которой следуют ошибки потока, перейдите к диагностике URL-адреса, SDP, транспорта, RTP и кодека.

RTSP Inspector предназначен для такого рабочего процесса, основанного на доказательствах: проверьте путь управления RTSP, прежде чем предполагать, что камера, проигрыватель, кодек или сеть неисправны.

Воспроизводимая проверка темы «Цикл аутентификации RTSP: исправление ошибок 401 Unauthorized, Digest Auth и ошибок входа в камеру»

Краткий ответ: чёрный экран или одиночный код не доказывает источник сбоя. Надёжная диагностика связывает запрос и ответ RTSP, согласованный Transport, действующую Session, а затем номера последовательности RTP, временные метки и данные RTCP. Для «Цикл аутентификации RTSP: исправление ошибок 401 Unauthorized, Digest Auth и ошибок входа в камеру» начните с уровня, ближайшего к симптому, но сохраняйте единую временную шкалу, чтобы не смешать управление, сеть и декодирование.

До изменения камеры, межсетевого экрана или VMS создайте небольшой базовый тест. Запишите RTSP URL без пароля, время, путь, запрошенный Transport, ответ сервера и момент первого медиапакета. Проверяйте UDP и TCP interleaved отдельно, если устройство поддерживает оба режима. Не меняйте одновременно путь, учётные данные и транспорт: иначе успешная вторая попытка не покажет решающую переменную.

Уровень	Сохраняемое доказательство	Вопрос
RTSP	метод, статус, заголовки, CSeq и Session	Сервер принял именно эту операцию?
SDP	control, payload type, clock rate и codec	Описана ожидаемая дорожка?
Transport	client_port, server_port или interleaved	Обе стороны используют один канал?
RTP	SSRC, sequence, timestamp и marker	Медиаданные идут в объяснимом порядке?
RTCP	sender report, CNAME и BYE	Часы, идентичность и конец прослеживаются?
Decoder	SPS/PPS/VPS и packetization mode	Полученный payload позволяет инициализацию?

Разделяйте «медиа не пришло» и «медиа пришло, но не декодируется». Отсутствие RTP после успешных SETUP и PLAY ведёт к проверке UDP, NAT, firewall и ответа Transport. Пробелы последовательности доказывают потерю или перестановку. Непрерывный RTP без изображения переводит расследование к payload type, clock rate, границам кадра и параметрам H.264 или H.265. Эта граница полезнее общего сообщения проигрывателя.

Как написать цитируемый ответ?

Используйте три предложения: последняя успешная операция, первое отсутствующее доказательство и следующий разделяющий тест. Пример: «DESCRIBE, SETUP и PLAY успешны; RTP не приходит на объявленные порты клиента; проверка TCP interleaved отделит блокировку UDP от неверного медиапути». Не обвиняйте камеру или сеть без ответа либо пакета, подтверждающего границу.

Что делает случай воспроизводимым?

Сохраните OPTIONS, DESCRIBE, SETUP и PLAY, SDP, ответ Transport и очищенный Session. Для RTP запишите SSRC, первый и последний sequence, clock rate, число пробелов и длительность. Результат VLC или другой VMS используйте как дифференциальный тест, а не как доказательство правильной реализации всех правил успешным клиентом.

Когда проверять сервер или клиент?

Проверяйте сервер при отказе метода, несуществующем control URL, несовместимом Transport или необъяснимой смене SSRC или часов. Проверяйте клиент при повторном старом nonce, потере Session, запросе UDP без открытых портов или трактовке каждого конца NAL как конца access unit. Для промежуточной неисправности каждому выводу нужны пакет и время.

Как проверить отчёт?

Повторите тест с нового соединения и сравните временные шкалы до первого отличия. Удалите пароли и полные Authorization. Свяжите выводы с CSeq, sequence или timestamp. Используйте связанный справочник RTSP, а RTSP Inspector — для локальной проверки RTSP-потока и сбора доказательств без загрузки видео в публичный сервис.

Добавьте явный критерий приёмки. На том же URL и с теми же учётными данными управляющие запросы должны завершиться ожидаемыми статусами, RTP — непрерывно идти по выбранному Transport, а после нужных параметров кодека должен восстановиться реальный кадр. Смена Session или SSRC после нового подключения сама по себе не является ошибкой; не объединяйте пакеты старой и новой сессии. Оставшуюся неопределённость формулируйте как непроверенный порт, трек, интервал времени или условие декодера, а не как общий «сбой камеры».

От наблюдения к проверяемому послойному выводу

Для «Цикл аутентификации RTSP: исправление ошибок 401 Unauthorized, Digest Auth и ошибок входа в камеру» сначала запишите наблюдение, затем интерпретацию. Наблюдение другой инженер может найти в захвате: статус RTSP с CSeq, значение SDP, ответ Transport, пробел последовательности, смена SSRC или разница RTP timestamp и RTCP sender report. «Сервер медленный» или «кодек несовместим» остаётся гипотезой, пока конкретное доказательство не объяснит результат лучше альтернатив.

Разделите путь на границы. Сначала открывается TCP, затем принимается OPTIONS или DESCRIBE. SDP описывает рабочую дорожку, control URL, payload type и clock rate. SETUP требует совместимого Transport, PLAY — действующей Session. После этого проверяются приход RTP, порядок, время и готовность декодера. Остановитесь на первой границе без доказательства успеха.

В сравнении сохраняйте источник и интервал. UDP и TCP interleaved проверяйте с одним путём и учётными данными. Main stream и sub stream — одним клиентом и транспортом. При сравнении VLC с VMS запишите реальные методы, заголовки и URL. Разница control URL, Authorization, Session или keepalive иногда объясняет результат лучше названия программы.

Матрица исключения

Начните с двух гипотез. При отсутствии медиа UDP может блокироваться или сервер может отправлять на другие порты. TCP interleaved проверяет первую; сравнение предложения и ответа Transport, IP и портов — вторую. При повреждённом изображении RTP sequence отделяет потери от неполной инициализации, а SPS/PPS/VPS перед первым frame проверяет параметры codec.

Для гипотезы запишите подтверждающее и опровергающее доказательство. Утверждение, которое нельзя опровергнуть пакетом, слишком широко. «NAT удаляет UDP» опровергается RTP на порту клиента. «Нет параметров H.264» опровергается действительными SPS и PPS перед IDR. Отчёт становится приоритетным выводом, а не списком вариантов.

Не смешивать время

RTSP CSeq упорядочивает транзакции, RTP sequence — пакеты, RTP timestamp — время выборки, capture clock — приход в точку наблюдения. Это разные часы. Неравномерный приход не доказывает drift; скачок timestamp без sequence не доказывает потерю. RTCP sender report связывает часы RTP аудио и видео с общей опорой.

Пакет приёмки

Закройте случай, когда исправление повторяется в новом соединении с одним документированным изменением. Укажите входы, последнюю успешную границу, первое отсутствующее доказательство, изменение, результат и открытые тесты. Приложите короткий transcript или статистику. Скройте секреты, но сохраните CSeq, очищенную Session, SSRC и интервал.

Устранение неполадок RTSP помогает повторить порядок, а отчёты RTSP Inspector передают доказанную границу команде камеры, сети или VMS.