SR6604 RTP协议视频会议看不到我们的啊

你描述的现象“语音正常，看不到我们的画面，但能看到对方的画面”是解决问题的关键线索。

1. 语音和视频是分开的流：在视频会议中，语音（Audio）和视频（Video）通常是独立的RTP流，它们使用不同的UDP端口。
2. 二层正常，三层异常：这说明物理链路和基础网络是通的。问题出在三层（IP层）的某个环节对视频流做了特殊处理。
3. 视频流的特点：视频流相比语音流，具有码率高、带宽需求大、数据包多的特点。

基本结论是：​ 在你们公司网络的三层边界（很可能是华三SR6604路由器上），视频RTP流被丢弃或未能正确转发，而音频流因为数据量小，可能侥幸通过或未被策略影响。

---

可能的原因和排查步骤（由易到难）

请按照以下顺序在SR6604上进行排查：

1. 检查ACL（访问控制列表）

这是最常见的原因。可能有一条ACL规则无意中阻塞了视频流使用的UDP端口范围。

• 操作：登录SR6604，检查在连接视频会议的接口（通常是连接专线的WAN口或连接内网的LAN口）的入方向和出方向上应用了哪些ACL。
• 命令：
  display acl all # 显示所有ACL配置 display current-configuration interface GigabitEthernet x/x/x # 查看特定接口应用的ACL
• 重点：确认ACL规则是否允许视频会议服务器IP地址段的整个RTP动态端口范围（通常是很大的一个UDP端口范围，如 10000-60000）通过。很可能ACL只允许了语音的端口或范围设置得过小。

2. 检查NAT（网络地址转换）和ASPF（高级安全策略防火墙）

华三设备的状态化防火墙（通常称为ASPF）或NAT会话管理可能会对大流量、多连接的视频流处理不当。

• ASPF/NAT 会话限制：检查是否存在针对UDP协议的会话数量限制、会话存活时间过短等问题。视频流会创建大量会话，如果达到上限，新的视频包会被丢弃。
• 操作：检查相关的安全策略配置。
  display current-configuration | include "aspf|nat|session"
• 解决方案：如果怀疑是此问题，可以尝试为视频会议服务器的IP地址段关闭ASPF检测（谨慎操作），或者放宽相关的会话限制参数。更安全的方法是创建一个更宽松的安全策略域（Security Zone）间策略。

3. 检查QoS（服务质量）策略

QoS本意是保障关键业务，但如果配置不当，会起到反效果。

• 错误标记：可能视频流的DSCP/IP Precedence值被错误地标记为低级（如Best-Effort），而语音流被正确标记为高级（如EF）。当链路出现拥塞时，路由器会优先丢弃低级别的视频包。
• 带宽限制：可能有一条QoS策略对视频流所在的类别进行了不合理的带宽限制或“限速”，导致高码率的视频数据被大量丢弃。
• 操作：检查QoS策略配置。
  display current-configuration | include "qos|traffic|car" display qos policy interface GigabitEthernet x/x/x # 查看接口应用的QoS策略
• 解决方案：确保视频流被正确分类并给予足够的带宽保障。通常需要将RTP流（包括音频和视频）设置为高优先级。

4. 路由器和路径性能问题

• MTU 不匹配：虽然可能性稍低，但如果视频包大小超过了路径上的最小MTU，且没有正确开启分片或PMTUD（路径MTU发现）失效，会导致大包被丢弃。可以尝试在视频会议设备上调小视频码率或分辨率看是否恢复，作为临时判断。
• 路由器CPU/内存过高：在三层转发时，如果SR6604的CPU或内存利用率过高，可能无法及时处理所有数据包，会优先丢弃“不那么重要”的大流量视频包。检查设备性能状态。
  display cpu-usage display memory-usage

---

总结与行动计划

1. 首要排查点（概率最高）：仔细检查ACL规则，确保视频RTP动态端口范围（如UDP 10000-60000）被明确允许通过，且没有在后续被拒绝规则覆盖。
2. 次要排查点（概率很高）：检查ASPF/NAT会话统计和QoS策略。可以尝试在确保安全的前提下，在连接专线的接口上为视频会议服务器地址段关闭aspf，看问题是否解决。如果解决，说明是防火墙会话管理问题。
3. 数据包捕获（终极武器）：如果以上都无法定位，可以在SR6604上进行数据包捕获，这是最直接的证据。
   • 在路由器的内网口和外网口同时抓取视频会议的流。
   • 命令示例：
     # 在接口GE0/1入方向抓取目的IP为会议服务器的包 packet-capture interface GigabitEthernet 0/1 inbound ip host 你的内网IP host 对方服务器IP ulimit 10000
   • 对比两个抓包文件。如果你在内网口能看到视频流发出，但在外网口看不到，或者看到大量重传，那么问题100%确定出在SR6604上，并且能明确看到是哪些包被丢弃了。

请先集中精力排查ACL和ASPF这两项。​ 这个问题很常见，通常就是安全或策略配置未能适配视频流的高带宽特性导致的。