海康设备、LiveNVR等通过GB35114国密协议对接到LiveGBS GB28181/GB35114平台的详细操作说明

一、LiveNVR通过GB35114接入LiveGBS

1.1 开启LiveGBS 35114功能

信令服务livecms.ini配置文件中[sip]增加一行gm=1 启动LiveCMS

1.2 生成设备端证书

我们用LiveNVR做为设备端向LiveGBS注册，这里先生成LiveNVR的设备证书，并将LiveNVR的设备证书给LiveGBS端平台端。

创建证书请求时国家填CN（表示中国），其他内容可以根据实际情况选择性输入。

创建证书请求后，会生成一个请求的证书。有2种方式给这个请求证书签名：

方式一、自签名：

可以自己给自己签名，直接点自签名，点自签名后输入证书有效期，默认10年，会生成一个本地证书。这个本地证书就是需要下载下来传给LiveGBS服务器端导入的。

方式二、交由CA机构签名

上图中点击下载按钮，将下载下来的请求证书给LiveGBS或者其他第三方证书签发机构签名。下图示例就是将LiveGBS作为信任的CA机构，用LiveGBS签发证书时的操作示例：

上传LiveNVR等设备端的请求证书后，点击签发证书。签发后下载下来的证书就是有效的设备证书了。此证书就是后续接入LiveGBS等GB34114平台时需要发给平台端校验的设备证书。

       LiveNVR页面可以在证书请求那一行点击 “CA签名“ 将此证书上传备份保存，以备后续接入平台时下载下来传给平台，上传后会多出一行本地证书就是上传签名后的证书。如下图：

      LiveNVR如果希望检验第三方签名的证书是否合法，需要在上传签名证书前，先上传CA证书，CA证书上传成功后，再上传前面第三方签名的设备证书。如果是LiveGBS签名的，可以按1.3章节中生成一个LiveGBS自签名证书下载下来上传到LiveNVR页面CA证书中。

1.3 LiveGBS平台上传CA证书

CA证书是签发证书机构的证书，在LiveGBS平台中可以不上传，如果不上传后续添加GB35114设备时不会检验设备证书的签发者是否合法。

LiveGBS平台端如果需要根据CA根证书校验设备证书的合法性，就先在基础配置页面上传CA证书。CA证书上传后，后续接入的设备证书，以及LiveGBS服务器自己的本地证书（不包括自签名证书）都会被校验是否当前CA机构签发。

如果把LiveGBS自己作为CA机构，所有的设备证书都是用LiveGBS平台自己签发的，这里的CA证书也可以上传LiveGBS自己的本地自签名证书。LiveGBS先创建证书请求，然后自签名，下载自签名证书上传到“CA证书”的地方。这样后续所有接入的设备证书都会被检验是否当前LiveGBS平台签发的。

1.4 LiveGBS白名单中添加需要接入的国密设备

LiveGBS web页面 基础配置的白名单中添加设备。指定需要添加的国密设备的国标编号，并选择35114单向或双向认证，同时上传该设备的签名后的设备证书，即1.2章节生成的设备自签名证书或者第三方签名的证书。单向认证是上级服务端校验下级设备的证书，双向认证的话是下级设备也同时校验上级平台侧证书。

1.5 生成并导出LiveGBS平台端证书给设备（双向认证时需要）

类似1.2章节中生成设备端证书的步骤，在LiveGBS平台端也生成一个平台端的证书。

在LiveGBS页面基础配置中先创建证书请求，生成的请求证书可以自签名，也可以下载下来由第三方CA机构签名。第三方签名机构签好的证书可以点击“CA签名”上传签名后的证书。如果需要校验签名证书的合法性，先上传CA证书，再上传签名后的证书，这样上传签名证书时就会用CA证书校验签名证书的合法性。

自签名或者第三方签名证书上传后就会多一行本地证书，此证书就是LiveGBS平台测的证书，双向认证时，设备端需要上传此证书。单向认证不需要。

LiveGBS本地证书下载下来后，在LiveNVR页面中“上传服务证书”，LiveNVR如果已经上传了CA证书，上传服务证书时也会用CA证书校验服务证书的合法性。

1.6 设备端导入LiveGBS平台端证书并向平台注册

启用35114国密认证时，不需要再输入接入密码，通过证书方式检验了。

1.6 成功接入播放视频

按照上面步骤操作后，就可以成功通过GB35114接入到平台测了。接入成功后播放视频等操作与GB28181方式完全相同。

二、海康设备通过GB35114接入LiveGBS

2.1 生成设备端证书

海康设备web页面先“启用国密模式”。如果勾选“启用证书交换”需要LiveGBS白名单添加设备时指定为35114双向认证，并安装SIP服务器CA证书和SIP服务器证书。

海康设备默认没有设备证书，需要先创建证书请求，创建证书请求前，需要先将上图中SIP相关信息填写正确，创建证书请求时需要用到。

请求的内容国家为必填，其他可以不填。

创建好后下载下来给第三方CA机构或者LiveGBS来签名

在LiveGBS页面基础配置中点击“签发设备证书”，在签发设备证书页面上传下载的摄像头的请求证书并签名。

将签名后的设备证书导入到海康设备。

2.2 LiveGBS白名单添加设备

LiveGBS web页面 基础配置的白名单中添加设备。指定需要添加的国密设备的国标编号，并选择35114单向或双向认证，同时上传2.1中生成的该设备的签名后证书。

2.3 导出LiveGBS平台端证书给设备（双向认证时需要）

参考章节1.5中生成LiveGBS平台端证书的步骤或者到服务器证书和CA证书。如果是自签名证书CA证书可以和服务器证书是同一个证书。

2.4设备端导入LiveGBS平台端证书并向平台注册