Les càmeres NVR desapareixen a través de la VPN? Comproveu la superposició de la subxarxa PoE

Obriu el NVR des del lloc remot i la vista en directe pot fallar mentre la pàgina LAN encara es carrega. El túnel està actiu, el gravador respon i la resposta segueix un camí que ningú no va dibuixar: el port intern de càmera del gravador. En un model PoE, aquesta segona xarxa connectada forma part del pla d’adreces, tant si apareix com si no a la pàgina principal de configuració de la LAN.

Seguiu la fallada des del client fins al gravador i de tornada. És precisament en el tram de tornada on apareix la interfície oculta.

Reproduïu-ho des del client remot, no des de la LAN

Proveu-ho des d’un client que realment travessi la VPN. Un navegador a la mateixa LAN pot arribar al gravador directament, així que mai no exerceix el camí que falla. Anoteu l’adreça del client, l’adreça LAN del gravador i el servei exacte que falla.

Proveu més d’un servei. Una pàgina de gestió web, un flux en directe i una sol·licitud de reproducció poden utilitzar ports i proxys diferents, i un pot funcionar mentre un altre falla. Aquesta comparació us diu si la fallada és específica del servei. També evita que un sol port fallit es confongui amb un gravador mort.

Fixeu-vos si la sol·licitud arriba al gravador. Una connexió que no arriba mai apunta a l’encaminament o al tallafoc del camí d’entrada; una sol·licitud que arriba i després s’atura apunta al camí de tornada o al servei. Utilitzeu el registre de connexions del gravador o un comptador si n’ofereix. La captura de paquets a la frontera del lloc és l’alternativa.

Seguiu la resposta en sortir del gravador

Considereu una disposició il·lustrativa amb dos llocs. El client remot és 10.60.0.25/24, la LAN del lloc del gravador és 10.70.0.0/24, l’adreça LAN del gravador és 10.70.0.50 i la seva xarxa PoE interna és 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

El trànsit del lloc A arriba a 10.70.0.50 pel túnel. Aleshores el gravador busca l’adreça de retorn a la seva pròpia taula i troba un prefix connectat que cobreix 10.60.0.25. Aquest prefix és més específic que la seva ruta per defecte, així que la resposta va cap als ports de càmera en lloc del túnel.

Ni l’estat negociat del túnel ni una ruta de retorn correcta al router del lloc B no poden anul·lar aquesta elecció local. Una sol·licitud correcta a un altre servidor del lloc B tampoc no demostra res sobre la segona interfície d’aquest dispositiu.

Inventarieu la xarxa PoE oculta

Llegiu la configuració de xarxa del gravador per buscar una NIC interna, una secció PoE o una subxarxa de càmeres separada. Alguns models l’exposen com a segona interfície amb la seva pròpia adreça; d’altres l’amaguen darrere d’una pàgina de configuració de càmeres.

Consulteu la documentació del model i del firmware en lloc de suposar un prefix de fàbrica. Un valor per defecte habitual en una línia de producte no és un fet sobre tots els gravadors, i un número copiat pot amagar la superposició real en lloc de revelar-la.

Compareu el rang descobert amb les dues LAN dels llocs, els pools de clients VPN i qualsevol altra xarxa connectada al gravador. La superposició amb el pool de clients remots és el cas que redirigeix les respostes; la superposició amb un rang local no relacionat pot trencar l’accés local a les càmeres sense tocar la VPN. Dibuixeu les superposicions en un sol full abans de triar números nous. Dos rangs superposats es veuen evidents allà i invisibles en dues pàgines de configuració separades.

Anoteu el rang, el nom de la interfície i les adreces de càmera que hi ha. Aquest inventari és el que el pla de re-numeració ha de preservar. Incloeu-hi els models de càmera i les versions de firmware mentre hi sou.

Re-numereu amb les càmeres, no només amb el NVR

Trieu un rang de càmeres que no se superposi amb cap dels llocs, els pools VPN ni cap altra xarxa connectada. Després llisteu tot el que depèn del vell: lloguers dinàmics, adreces de càmera configurades estàticament, canals desats, programacions de gravació i qualsevol configuració automàtica que faci el model. Aquesta llista és la llista de verificació de la migració, no una idea posterior.

Moveu la xarxa interna durant una finestra autoritzada i manteniu disponible l’accés de còpia de seguretat i recuperació del gravador. Canviar només l’adreça interna del gravador pot deixar encallades càmeres que encara tenen el rang vell, i el gravador pot informar que estan fora de línia en lloc de mal configurades. Conserveu l’exportació de la configuració antiga fins que els fluxos nous hagin funcionat un dia sencer.

Verifiqueu els fluxos de càmera locals i la gravació abans de provar el client remot. Una solució remota construïda sobre un gravador que ha perdut les càmeres no és una solució.

Verifiqueu els fluxos, la gravació i l’accés remot

Des del client remot, proveu per separat la vista en directe, la reproducció i la pàgina de gestió. Observeu la sol·licitud i la resposta a les fronteres controlades de la LAN i la VPN perquè el camí de tornada sigui visible, no inferit d’una pàgina que funciona.

Si un proxy d’accés a càmeres o una funció d’amfitrió virtual forma part del disseny, tracteu el seu mapatge de ports i permisos com un altre camí explícit amb la seva pròpia revisió. No obriu tots els ports de càmera ni amplieu els selectors de la VPN per compensar la superposició.

Quan la re-numeració és impossible, qualsevol alternativa de traducció d’adreces necessita una vista d’adreces suportada i la seva pròpia revisió de polítiques. La lliçó general va més enllà dels gravadors: un aparell pot mantenir una xarxa de càmeres, de serveis o de gestió que un lloc remot ja numera.

Anoteu els rangs finals i els serveis provats al pla del lloc. El proper gravador, l’ampliació de càmeres o el canvi de pool VPN reutilitzarà aquests números, i una superposició que es va corregir una vegada és fàcil de reintroduir.