¿Las cámaras NVR desaparecen por la VPN? Comprueba la superposición de la subred PoE

Abre el NVR desde el sitio remoto y la vista en directo puede fallar mientras la página LAN todavía se carga. El túnel está activo, el grabador responde y la respuesta toma un camino que nadie dibujó: el puerto interno de cámara del grabador. En un modelo PoE, esa segunda red conectada forma parte del plan de direcciones, aparezca o no en la página principal de ajustes de LAN.

Sigue el fallo desde el cliente hasta el grabador y de vuelta. Es precisamente en el tramo de vuelta donde aparece la interfaz oculta.

Reproduce desde el cliente remoto, no desde la LAN

Prueba desde un cliente que realmente cruce la VPN. Un navegador en la misma LAN llega al grabador directamente, así que nunca recorre el camino que falla. Anota la dirección del cliente, la dirección LAN del grabador y el servicio exacto que falla.

Prueba más de un servicio. Una página de gestión web, un flujo en directo y una solicitud de reproducción pueden usar puertos y proxys distintos, y uno puede funcionar mientras otro falla. Esa comparación te dice si el fallo es específico del servicio. También evita que un solo puerto fallido se confunda con un grabador muerto.

Fíjate en si la solicitud llega al grabador. Una conexión que nunca llega apunta al enrutamiento o al cortafuegos del camino de entrada; una solicitud que llega y luego se atasca apunta al camino de vuelta o al servicio. Usa el registro de conexiones del grabador o un contador si lo ofrece. La captura de paquetes en el límite del sitio es la alternativa.

Sigue la respuesta al salir del grabador

Considera una disposición ilustrativa con dos sitios. El cliente remoto es 10.60.0.25/24, la LAN del sitio del grabador es 10.70.0.0/24, la dirección LAN del grabador es 10.70.0.50 y su red PoE interna es 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

El tráfico del sitio A llega a 10.70.0.50 por el túnel. Después el grabador busca la dirección de retorno en su propia tabla y encuentra un prefijo conectado que cubre 10.60.0.25. Ese prefijo es más específico que su ruta por defecto, así que la respuesta va hacia los puertos de cámara en lugar del túnel.

Ni el estado negociado del túnel ni una ruta de retorno correcta en el router del sitio B pueden anular esa elección local. Una solicitud correcta a otro servidor del sitio B tampoco demuestra nada sobre la segunda interfaz de este dispositivo.

Inventaría la red PoE oculta

Lee la configuración de red del grabador en busca de una NIC interna, una sección PoE o una subred de cámaras separada. Algunos modelos la exponen como segunda interfaz con su propia dirección; otros la esconden tras una página de configuración de cámaras.

Consulta la documentación del modelo y del firmware en lugar de suponer un prefijo de fábrica. Un valor por defecto habitual en una línea de producto no es un hecho sobre todos los grabadores, y un número copiado puede ocultar la superposición real en vez de revelarla.

Compara el rango descubierto con las dos LAN de los sitios, los pools de clientes VPN y cualquier otra red conectada al grabador. La superposición con el pool de clientes remotos es el caso que redirige las respuestas; la superposición con un rango local no relacionado puede romper el acceso local a las cámaras sin tocar la VPN. Dibuja las superposiciones en una sola hoja antes de elegir nuevos números. Dos rangos superpuestos se ven evidentes allí e invisibles en dos páginas de ajustes separadas.

Anota el rango, el nombre de la interfaz y las direcciones de cámara que hay en él. Ese inventario es lo que el plan de renumeración debe preservar. Incluye los modelos de cámara y las versiones de firmware mientras estés allí.

Renumera con las cámaras, no solo con el NVR

Elige un rango de cámaras que no se superponga con ninguno de los sitios, los pools VPN ni otra red conectada. Después enumera todo lo que depende del antiguo: concesiones dinámicas, direcciones de cámara configuradas estáticamente, canales guardados, programaciones de grabación y cualquier configuración automática que haga el modelo. Esa lista es la lista de comprobación de la migración, no una idea posterior.

Mueve la red interna durante una ventana autorizada y mantén disponible el acceso de copia de seguridad y recuperación del grabador. Cambiar solo la dirección interna del grabador puede dejar varadas cámaras que aún conservan el rango antiguo, y el grabador puede informarlas como fuera de línea en lugar de mal configuradas. Conserva la exportación de la configuración antigua hasta que los nuevos flujos hayan funcionado un día completo.

Verifica los flujos de cámara locales y la grabación antes de probar el cliente remoto. Una solución remota construida sobre un grabador que ha perdido sus cámaras no es una solución.

Verifica los flujos, la grabación y el acceso remoto

Desde el cliente remoto, prueba por separado la vista en directo, la reproducción y la página de gestión. Observa la solicitud y la respuesta en los límites controlados de la LAN y la VPN para que el camino de vuelta sea visible, no inferido de una página que funciona.

Si un proxy de acceso a cámaras o una función de host virtual forma parte del diseño, trata su mapeo de puertos y sus permisos como otro camino explícito con su propia revisión. No abras todos los puertos de cámara ni amplíes los selectores de la VPN para compensar la superposición.

Cuando la renumeración es imposible, cualquier alternativa de traducción de direcciones necesita una vista de direcciones compatible y su propia revisión de políticas. La lección general va más allá de los grabadores: un dispositivo puede mantener una red de cámaras, de servicios o de gestión que un sitio remoto ya numera.

Anota los rangos finales y los servicios probados en el plan del sitio. El próximo grabador, la ampliación de cámaras o el cambio de pool VPN reutilizará esos números, y una superposición que se corrigió una vez es fácil de reintroducir.