NVR-Kameras verschwinden über VPN? Prüfen Sie die PoE-Subnetz-Überlappung

Ein Recorder kann einem VPN-Client über seinen internen Kameraport antworten, wenn das PoE-Subnetz den entfernten Standort überlappt. Prüfen Sie diese Schnittstelle vor dem Tunnel.

Öffnen Sie den NVR vom entfernten Standort, und die Live-Ansicht kann ausfallen, während die LAN-Seite noch lädt. Der Tunnel steht, der Recorder antwortet, und die Antwort nimmt einen Weg, den niemand gezeichnet hat: den internen Kameraport des Recorders. Bei einem PoE-Modell gehört dieses zweite angeschlossene Netz zum Adressplan, ob es nun auf der Hauptseite der LAN-Einstellungen erscheint oder nicht.

Verfolgen Sie den Fehler vom Client zum Recorder und zurück. Auf dem Rückweg zeigt sich die verborgene Schnittstelle.

Vom entfernten Client reproduzieren, nicht vom LAN

Testen Sie von einem Client, der die VPN tatsächlich durchquert. Ein Browser im selben LAN erreicht den Recorder direkt und durchläuft daher nie den Weg, der ausfällt. Notieren Sie die Client-Adresse, die LAN-Adresse des Recorders und den genauen Dienst, der ausfällt.

Probieren Sie mehr als einen Dienst. Eine Weboberfläche, ein Live-Stream und eine Wiedergabeanforderung können unterschiedliche Ports und unterschiedliche Proxys nutzen, und einer kann funktionieren, während ein anderer ausfällt. Dieser Vergleich zeigt, ob der Fehler dienstspezifisch ist. Er verhindert auch, dass ein einzelner ausgefallener Port für einen toten Recorder gehalten wird.

Prüfen Sie, ob die Anforderung den Recorder überhaupt erreicht. Eine Verbindung, die nie ankommt, deutet auf Routing oder Firewall auf dem Hinweg; eine Anforderung, die ankommt und dann hängen bleibt, deutet auf den Rückweg oder den Dienst. Nutzen Sie das Verbindungsprotokoll des Recorders oder einen Zähler, falls er einen bietet. Ein Paketmitschnitt an der Standortgrenze ist der Rückfall.

Verfolgen Sie die Antwort aus dem Recorder

Betrachten Sie ein illustratives Layout mit zwei Standorten. Der entfernte Client ist 10.60.0.25/24, das LAN des Recorder-Standorts ist 10.70.0.0/24, die LAN-Adresse des Recorders ist 10.70.0.50, und sein internes PoE-Netz ist 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Verkehr von Standort A erreicht 10.70.0.50 über den Tunnel. Der Recorder schlägt dann die Rückadresse in seiner eigenen Tabelle nach und findet ein verbundenes Präfix, das 10.60.0.25 abdeckt. Dieses Präfix ist spezifischer als seine Standardroute, also geht die Antwort zu den Kameraports statt zum Tunnel.

Weder der ausgehandelte Zustand des Tunnels noch eine korrekte Rückroute auf dem Router von Standort B können diese lokale Entscheidung übergehen. Auch eine erfolgreiche Anfrage an einen anderen Server an Standort B beweist nichts über die zweite Schnittstelle dieses Geräts.

Das verborgene PoE-Netz inventarisieren

Lesen Sie die Netzwerkeinstellungen des Recorders auf eine interne NIC, einen PoE-Abschnitt oder ein separates Kamera-Subnetz. Manche Modelle zeigen es als zweite Schnittstelle mit eigener Adresse; andere verbergen es hinter einer Seite zur Kamera-Konfiguration.

Prüfen Sie Modell- und Firmware-Dokumentation, statt ein Werkspräfix anzunehmen. Ein üblicher Standard einer Produktlinie ist keine Tatsache über jeden Recorder, und eine kopierte Nummer kann die echte Überlappung verbergen statt sie aufzudecken.

Vergleichen Sie den gefundenen Bereich mit beiden Standort-LANs, den VPN-Client-Pools und jedem anderen angeschlossenen Netz am Recorder. Die Überlappung mit dem entfernten Client-Pool ist der Fall, der Antworten umleitet; die Überlappung mit einem unabhängigen lokalen Bereich kann den lokalen Kamerazugriff brechen, ohne die VPN zu berühren. Zeichnen Sie die Überlappungen auf einem Blatt, bevor Sie neue Nummern wählen. Zwei überlappende Bereiche wirken dort offensichtlich und auf zwei getrennten Einstellungsseiten unsichtbar.

Notieren Sie den Bereich, den Schnittstellennamen und die Kameraadressen darauf. Dieses Inventar muss der Umnummerierungsplan bewahren. Nehmen Sie Kameramodelle und Firmware-Versionen mit auf, solange Sie dort sind.

Nummerieren Sie mit den Kameras um, nicht nur den NVR

Wählen Sie einen Kamera-Bereich, der weder die Standorte noch die VPN-Pools noch ein anderes angeschlossenes Netz überlappt. Listen Sie dann alles auf, was vom alten abhängt: dynamische Leases, statisch konfigurierte Kameraadressen, gespeicherte Kanäle, Aufnahmepläne und jede automatische Konfiguration, die das Modell vornimmt. Diese Liste ist die Migrationscheckliste, kein Nachgedanke.

Verschieben Sie das interne Netz in einem autorisierten Fenster und halten Sie den Backup- und Wiederherstellungszugang des Recorders verfügbar. Nur die interne Adresse des Recorders zu ändern, kann Kameras stranden lassen, die noch den alten Bereich halten, und der Recorder meldet sie möglicherweise als offline statt als falsch konfiguriert. Bewahren Sie den alten Konfigurationsexport auf, bis die neuen Streams einen vollen Tag gelaufen sind.

Prüfen Sie lokale Kamerastreams und Aufnahme, bevor Sie den entfernten Client testen. Eine Fernlösung, die auf einem Recorder aufbaut, der seine Kameras verloren hat, ist keine Lösung.

Streams, Aufnahme und Fernzugriff prüfen

Testen Sie vom entfernten Client Live-Ansicht, Wiedergabe und Verwaltungsseite getrennt. Beobachten Sie Anfrage und Antwort an den kontrollierten LAN- und VPN-Grenzen, damit der Rückweg sichtbar ist und nicht aus einer funktionierenden Seite abgeleitet wird.

Wenn ein Kamerazugriffs-Proxy oder eine Virtual-Host-Funktion Teil des Designs ist, behandeln Sie dessen Portzuordnung und Berechtigungen als einen weiteren expliziten Pfad mit eigener Prüfung. Öffnen Sie nicht jeden Kameraport und erweitern Sie nicht die VPN-Selektoren, um die Überlappung auszugleichen.

Wenn eine Umnummerierung unmöglich ist, braucht jede Alternative zur Adressübersetzung eine unterstützte Adressansicht und eine eigene Richtlinienprüfung. Die allgemeine Lehre reicht über Recorder hinaus: Ein Gerät kann ein Kamera-, Dienst- oder Verwaltungsnetz behalten, das ein entfernter Standort bereits nummeriert.

Notieren Sie die endgültigen Bereiche und die getesteten Dienste im Standortplan. Der nächste Recorder, eine Kameraerweiterung oder eine Änderung des VPN-Pools wird diese Nummern wiederverwenden, und eine einmal behobene Überlappung ist leicht wieder einzuführen.

Ähnliche Artikel