安全实时传输协议配置该怎么查看？

安全实时传输协议（SRTP）是用于保护实时媒体流（如语音、视频）安全性的关键协议，通过加密和消息认证机制防止窃听、篡改和重放攻击，要确保SRTP配置正确、有效，需从工具分析、配置文件检查、日志监控及网络设备验证等多维度入手,以下详细说明如何查看和验证SRTP配置。

通过命令行工具分析SRTP配置

命令行工具是直接查看SRTP运行状态的有效手段，常见工具包括Wireshark、OpenSSL及sngrep等。

Wireshark抓包分析：Wireshark作为网络协议分析工具，可深度解析SRTP包结构，在过滤栏输入srtp或rtp && udp.port >= 16384 && udp.port <= 32767（RTP/SRTP默认端口范围），可查看SRTP载荷，重点关注以下字段：

• 加密算法：如AES-128（载荷类型0x90）、AES-256（0x92），通过Encryption字段确认；
• 认证算法：如HMAC-SHA-1（80位或32位密钥），通过Authentication Tag字段识别；
• 密钥信息：若已提供主密钥（Master Key），可在Wireshark的RTP协议层展开SRTP Cryptographic Context，查看密钥参数（如ROC、序列号）。

OpenSSL验证密钥配置：若SRTP使用基于证书的密钥交换（如DTLS-SRTP），可通过OpenSSL检查证书和密钥对：

openssl x509 -in server.crt -text -noout  # 查看证书支持的加密算法（如AES-GCM）
openssl rsa -in server.key -check          # 验证私钥有效性

sngrep监控SIP/RTP协商：sngrep是专门用于SIP/RTP的抓包工具，通过srtp过滤模式可直观查看SRTP协商过程，在SIP Invite消息中检查a=crypto属性（如a=crypto:1 AES_CM_128_HMAC_SHA1_32 inline:abcd1234...），确认双方支持的加密套件是否匹配，以及密钥参数是否正确传递。

检查配置文件中的SRTP参数

不同通信系统（如Asterisk、FreeSWITCH、Jitsi）通过配置文件管理SRTP，需重点关注与加密、认证相关的参数。

Asterisk配置示例：在sip.conf或rtp.conf中，SRTP相关参数包括：

• srtpenable=yes：启用SRTP支持；
• srtpcrypto=aes128_ahmac_sha1_80：指定加密套件（AES-128加密 + HMAC-SHA-1认证，80位密钥）；
• insecure_media_port=yes：允许非加密媒体流（需谨慎使用）。
  通过rtp show stats命令可查看实时SRTP统计，如加密包数、认证失败次数。

FreeSWITCH配置示例：在sip_profiles目录下的配置文件中，srtp参数需在<settings>标签内配置：

<param name="enable srtp" value="true"/>  
<param name="srtp secured media" value="true"/>  
<param name="srtp key size" value="128"/>  

通过fs_cli执行rtp show stats可查看SRTP会话状态，包括加密算法和密钥信息。

通过日志与监控分析SRTP运行状态

系统日志记录了SRTP协商和运行过程中的关键信息，是排查问题的核心依据。

系统日志位置：

• Asterisk：/var/log/asterisk/full，关键词SRTP、RTP crypto；
• FreeSWITCH：/var/log/freeswitch/console，关键词srtp_negotiation、crypto error；
• 通用系统：/var/log/syslog（Linux）或Event Viewer（Windows），过滤SRTP相关事件。

日志分析要点：

• 成功协商：日志中出现SRTP negotiation successful、Using crypto suite AES_CM_128_HMAC_SHA1_32；
• 协商失败：若提示No matching SRTP crypto suite，需检查双方配置的加密算法是否一致；
• 密钥错误：Invalid SRTP master key通常表示密钥参数（如盐值、索引）配置错误。

验证网络设备与中间件的SRTP支持

企业环境中，防火墙、NAT及SBC（会话边界控制器）可能影响SRTP传输，需确认其配置是否兼容SRTP。

防火墙/NAT配置：SRTP基于UDP传输，需开放RTP端口范围（默认16384-32767），并允许ESP协议（若使用IPsec保护SRTP），部分防火墙需启用ALG（应用层网关）以解析SRTP载荷。

SBC配置：SBC作为媒体中继，需配置SRTP策略（如强制加密、指定加密套件），在Cisco SBC中，通过session policy设置srtp-allowed-crypto-suites，仅允许客户端使用AES-256-GCM算法，避免弱算法风险。

查看SRTP配置需综合工具分析、文件检查、日志监控及网络验证：通过Wireshark/sngrep抓包确认协议细节，检查配置文件参数（如加密套件、密钥长度），分析日志排查协商错误，并确保网络设备支持SRTP穿透，只有多维度验证，才能保障实时通信的安全性与稳定性。

FAQs

Q1：为什么Wireshark抓取到的SRTP包显示为“Encrypted RTP”且无法解析内容？
A：SRTP默认对媒体载荷加密，Wireshark无法直接解密，需通过以下方式获取明文：1）提供主密钥（Master Key）：在Wireshark中Edit → Preferences → Protocols → RTP → SRTP导入密钥文件（如.srtp格式）；2）使用sdescriptions工具：通过SIP消息中的a=crypto属性手动解析密钥；3）检查是否启用DTLS-SRTP：若密钥通过DTLS协商，需在Wireshark中导入TLS会话密钥。

Q2：SRTP配置后通话建立失败，日志提示“SRTP policy rejected”，如何解决？
A：该错误通常表示加密策略不匹配，排查步骤：1）检查双方配置的加密套件是否一致（如客户端支持AES-128，服务器强制要求AES-256）；2）验证密钥参数是否正确（如a=crypto属性中的密钥长度、盐值是否匹配）；3）确认网络设备是否阻止SRTP流量（如防火墙未开放RTP端口，或SBC未启用SRTP中继）；4）尝试降低安全策略（如临时允许insecure_media测试是否为加密算法兼容性问题）。