Камеры NVR знікаюць праз VPN? Праверце перакрыццё падсеткі PoE

Адкрыйце NVR з аддаленай пляцоўкі, і жывы прагляд можа не працаваць, пакуль старонка LAN усё яшчэ загружаецца. Тунэль узняты, рэгістратар адказвае, а адказ ідзе шляхам, якога ніхто не маляваў: унутраны порт камеры рэгістратара. У мадэлі з PoE гэтая другая падключаная сетка ўваходзіць у план адрасоў, незалежна ад таго, ці паказваецца яна на галоўнай старонцы налад LAN.

Прасочыце збой ад кліента да рэгістратара і назад. Менавіта на зваротным участку ўзнікае схаваны інтэрфейс.

Аднавіце з аддаленага кліента, а не з LAN

Тэстуйце з кліента, які сапраўды перасякае VPN. Браўзер у той жа LAN дабіраецца да рэгістратара напрамую, таму ён ніколі не правярае шлях, які збоіць. Запішыце адрас кліента, LAN-адрас рэгістратара і канкрэтную паслугу, якая збоіць.

Паспрабуйце больш за адну паслугу. Вэб-старонка кіравання, жывы паток і запыт на прайграванне могуць выкарыстоўваць розныя порты і розныя проксі, і адна можа працаваць, пакуль іншая збоіць. Гэтае параўнанне паказвае, ці збой залежыць ад паслугі. Яно таксама не дазваляе палічыць адзін збойны порт мёртвым рэгістратарам.

Адзначце, ці даходзіць запыт да рэгістратара наогул. Злучэнне, якое не прыходзіць, паказвае на маршрутызацыю або фірменны шчыток на ўваходным шляху; запыт, які прыходзіць і потым застойваецца, паказвае на зваротны шлях або паслугу. Выкарыстайце журнал злучэнняў рэгістратара або лічыльнік, калі ён прапаноўвае яго. Перахоп пакетаў на мяжы пляцоўкі — запасны варыянт.

Прасочыце адказ з рэгістратара

Разгледзім ілюстрацыйную схему з дзвюма пляцоўкамі. Аддалены кліент — 10.60.0.25/24, LAN пляцоўкі рэгістратара — 10.70.0.0/24, LAN-адрас рэгістратара — 10.70.0.50, а яго ўнутраная сетка PoE — 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Трафік з пляцоўкі A дасягае 10.70.0.50 праз тунэль. Затым рэгістратар шукае зваротны адрас у сваёй табліцы і знаходзіць падключаны прэфікс, які ахоплівае 10.60.0.25. Гэты прэфікс больш канкрэтны, чым яго маршрут па змаўчанні, таму адказ ідзе да портаў камер, а не да тунэля.

Ні ўзгоднены стан тунэля, ні правільны зваротны маршрут на маршрутызатары пляцоўкі B не могуць перамагчы гэты лакальны выбар. Паспяховы запыт да іншага сервера на пляцоўцы B таксама нічога не даказвае пра другі інтэрфейс гэтай прылады.

Праінвентарызуйце схаваную сетку PoE

Прачытайце сеткавыя налады рэгістратара ў пошуку ўнутранай сеткавай карты, раздзела PoE або асобнай падсеткі камер. Некаторыя мадэлі паказваюць яе як другі інтэрфейс з уласным адрасам; іншыя хаваюць яе за старонкай налад камеры.

Праверце дакументацыю мадэлі і прашыўкі, а не мяркуйце заводскі прэфікс. Тыповае значэнне па змаўчанні ў адной лінейцы прадуктаў не з’яўляецца фактам пра кожны рэгістратар, і скапіяваны нумар можа схаваць рэальнае перакрыццё замест таго, каб выявіць яго.

Параўнайце знойдзены дыяпазон з абодвума LAN пляцоўкі, пуламі кліентаў VPN і любой іншай падключанай сеткай на рэгістратары. Перакрыццё з пулам аддаленых кліентаў — гэта выпадак, які перанакіроўвае адказы; перакрыццё з незвязаным лакальным дыяпазонам можа паламаць лакальны доступ да камер, не закранаючы VPN. Намалюйце перакрыцці на адным аркушы перад выбарам новых нумароў. Два перакрывальныя дыяпазоны выглядаюць відавочнымі там і нябачнымі на дзвюх асобных старонках налад.

Запішыце дыяпазон, імя інтэрфейса і адрасы камер на ім. Менавіта гэты інвентар павінен захаваць план перанумарацыі. Згадайце мадэлі камер і версіі прашыўкі, пакуль вы там.

Перанумаруйце разам з камерамі, а не толькі NVR

Выберыце дыяпазон камер, які не перакрывае ні пляцоўкі, ні пулы VPN, ні іншую падключаную сетку. Затым пералічыце ўсё, што залежыць ад старога: дынамічныя арандаванні, статычна настроеныя адрасы камер, захаваныя каналы, графікі запісу і любую аўтаматычную канфігурацыю, якую выконвае мадэль. Гэты спіс — чэк-ліст міграцыі, а не пазнейшая думка.

Перамясціце ўнутраную сетку ў аўтарызаванае акно і захавайце доступ да рэзервовага капіявання і аднаўлення рэгістратара. Змяненне толькі ўнутранага адраса рэгістратара можа пакінуць камеры, якія ўсё яшчэ трымаюць стары дыяпазон, і рэгістратар можа паведаміць пра іх як пра па-за сеткай, а не як пра няправільна настроеныя. Трымайце экспарт старой канфігурацыі, пакуль новыя патокі не прапрацуюць поўны дзень.

Праверце лакальныя патокі камер і запіс перад тэставаннем аддаленага кліента. Аддаленае выпраўленне, пабудаванае на рэгістратары, які страціў камеры, — не выпраўленне.

Праверце патокі, запіс і аддалены доступ

З аддаленага кліента асобна праверце жывы прагляд, прайграванне і старонку кіравання. Назірайце запыт і адказ на кантраляваных межах LAN і VPN, каб зваротны шлях быў бачным, а не выведзеным з працуючай старонкі.

Калі проксі доступу да камер або функцыя віртуальнага хоста ўваходзіць у праект, разглядайце яго адлюстраванне портаў і дазволы як яшчэ адзін яўны шлях з уласным аглядам. Не адкрывайце кожны порт камеры і не пашырайце селектары VPN, каб кампенсаваць перакрыццё.

Калі перанумарацыя немагчымая, любая альтэрнатыва трансляцыі адрасоў патрабуе падтрымоўванага прадстаўлення адрасоў і ўласнага агляду палітык. Агульны ўрок выходзіць за межы рэгістратараў: прылада можа трымаць сетку камер, паслуг або кіравання, якую аддаленая пляцоўка ўжо нумаруе.

Запішыце канчатковыя дыяпазоны і пратэставаныя паслугі ў план пляцоўкі. Наступны рэгістратар, пашырэнне камер або змяненне пула VPN паўторна выкарыстаюць гэтыя нумары, і перакрыццё, выпраўленае аднойчы, лёгка ўвесці зноў.