YD/T 1701-2007 标准解读

一、标准适用范围与执行边界

• 本标准适用于基于H.323协议的视频会议系统、IP电话网关、多媒体通信网关等通信设备的网络安全部署与运维，涵盖企业专网、政务专网、金融内网等封闭或半封闭网络环境。
• 适用主体为H.323系统设备供应商、系统集成商、网络运维单位及终端用户单位，不适用于基于SIP、WebRTC等非H.323协议的通信系统。
• 排除条件包括：仅使用H.323协议进行语音单向传输、无媒体流加密的纯信令系统；部署于公网且未部署防火墙、NAT穿越控制、认证网关的终端设备；未通过国家认可第三方检测机构认证的非标H.323终端。

二、核心实操技术要求

1. 信令通道必须启用H.235安全机制，强制要求使用AES-128加密，密钥轮换周期不得超过72小时，密钥生成需基于PKI体系，证书必须由国家认可CA机构签发。
2. 媒体流传输需强制启用H.235 Media Stream Encryption，禁止使用明文RTP/RTCP，加密算法仅允许AES-128-CBC或AES-256-GCM，密钥协商必须通过H.235.5协议完成，禁止使用静态密钥。
3. 网关设备必须部署H.323 Gatekeeper，实现注册、地址解析、带宽管理与接入控制，准入白名单需包含设备序列号、MAC地址、IP地址三重绑定，拒绝未注册设备接入。
4. 防火墙规则必须限制H.323端口范围：TCP 1720（信令）、UDP 5000–5999（媒体），禁止开放任意端口，进出流量需启用状态检测与会话关联。
5. 日志审计要求：所有认证失败、密钥协商失败、非法地址访问事件必须记录时间戳、源IP、目标IP、设备ID、错误码，日志保存周期不少于180天，支持Syslog过载告警。
6. 设备固件版本必须为官方发布且通过安全补丁验证的稳定版，禁止使用开发版或未签名固件，升级过程需通过数字签名验证，升级后需执行H.323合规性自检脚本。

三、典型业务场景应用案例

四、实操难点与解决方案

• 难点1：NAT环境下H.323媒体流无法建立。解决方案：强制部署H.460.17（H.323 NAT traversal）与H.460.18（H.323 firewall traversal）协议，网关需支持H.460.17/18双通道穿透，禁止使用第三方NAT穿透插件。
• 难点2：老旧终端不支持H.235加密。解决方案：制定淘汰计划，两年内完成替换；过渡期部署中间代理网关，对非加密终端进行媒体流转加密，代理网关需通过国家密码管理局认证。
• 难点3：密钥管理混乱导致会话中断。解决方案：部署集中式H.235密钥管理服务器（KMS），所有终端定时拉取密钥，密钥分发采用双向认证，密钥失效后自动触发重注册流程。
• 难点4：日志无法统一采集。解决方案：所有设备启用Syslog over TLS，统一发送至安全信息与事件管理平台（SIEM），日志格式遵循GB/T 28450-2012，字段缺失率不得超过5%。
• 难点5：第三方设备接入合规性难验证。解决方案：建立设备白名单库，接入前必须提交《H.323安全合规检测报告》，报告需由CNAS认可实验室出具，包含H.235加密强度、认证流程、端口开放范围三项核心指标。