IT 部门

IT 部门须知

在工作室使用 Bernard Review 需要安装什么、需要哪些权限、需要在网络上开放什么。

需要安装什么

  • Windows：安装程序。
  • Linux：RPM 软件包，适用于 Rocky Linux、AlmaLinux 和 RHEL 8、9、10。
  • Linux：DEB 软件包，适用于 Ubuntu。
  • Linux：便携式压缩包，不需要管理员权限。
  • 来宾无需安装任何软件：通过网页浏览器加入。

播放器可从下载页面免费下载，无需账户。

管理员权限

  • Windows 安装程序、RPM 软件包和 DEB 软件包由管理员安装。
  • 便携式压缩包由用户解压并启动，不需要管理员权限。
  • 在工作站防火墙中开放端口由管理员完成。只有在工作室网络内托管的会话才需要（见下文）。
  • 使用浏览器的来宾不需要任何权限，也不需要账户。

网络：在线会话

在线会话通过中继服务器进行。工作站只建立出站连接：无需向工作室方向开放任何端口。

目标端口协议用途是否开放
review.bernardengine.com443TCPHTTPS 和 WSS：API、同步、来宾网页、视频信令是
turn.review.bernardengine.com443TCPTURN over TLS：其他路径都不通时的视频和语音是（如果只开放 443 端口）
review.bernardengine.com50000-50100UDP视频和语音，直连（最佳路径）建议
review.bernardengine.com7881TCPUDP 关闭时视频和语音的备用路径UDP 关闭时建议开放
turn.review.bernardengine.com3478UDPTURN over UDP可选
  • 只要到这两个域名的出站 TCP 443 可用，所有功能都能使用。此时视频通过 TURN over TLS 传输，延迟略高。
  • 工作室登录（SSO）使用系统浏览器访问工作室的身份提供商，通过 443 端口的 HTTPS。
  • 如果中继服务器安装在工作室内（企业版），请使用其管理人员提供的域名。

在工作室的一台工作站上检查：

curl -sS https://review.bernardengine.com/api/v1/health

预期结果：返回包含 "status":"ok" 的 JSON。

网络：工作室网络内的会话

在本地网络托管的会话既不使用中继服务器，也不使用互联网。其他播放器通过 TCP 端口 9000（默认值，可更改）连接到主持人的工作站。

只在主持人的工作站上开放此端口，用于来自内部网络的入站连接。在线会话不需要此端口。

  • Windows：安装程序会为“域”和“专用”配置文件添加防火墙规则，绝不为“公用”配置文件添加。
  • 如果组策略（GPO）管理 Windows 防火墙并忽略本地规则，请在策略中添加规则：入站 TCP 9000，“域”和“专用”配置文件。

firewalld（Rocky Linux、AlmaLinux、RHEL）：

sudo firewall-cmd --permanent --zone=<zone> --add-service=bernard-review
sudo firewall-cmd --reload

ufw（Ubuntu）：

sudo ufw allow from <subnet> to any port 9000 proto tcp

请将 <zone> 替换为内部网络的区域，将 <subnet> 替换为工作室的子网。

代理和证书颁发机构

  • HTTP 代理必须允许通过 443 端口对中继服务器的两个域名使用 CONNECT。
  • 请将这两个域名排除在 TLS 检查之外：解密流量的代理会导致 TURN over TLS 无法工作。
  • 请勿在 120 秒内关闭空闲连接。
  • HTTP 代理不传输 UDP：只有代理时，视频使用 TURN over TLS。
  • 安装在工作室内的中继服务器可以使用工作室自有证书颁发机构签发的证书，并使用内部 DNS 的名称。

机密信息

  • 播放器将登录机密保存在操作系统的凭据存储中。
  • 中继服务器以哈希形式保存会话密码、令牌和验证码，绝不以明文保存。

播放器不会做的事

  • 单独使用（本机或工作室网络内）时，播放器不会向 AArts Lab 发送任何数据。
  • 在当前版本的服务中，工作室的媒体文件不会发送给 AArts Lab：它们保留在工作室的机器上。
  • 视频、语音和聊天不会被录制：数据流只在会话期间存在。

安全联系方式

如有安全问题，或需要索取安全资料： 联系表单