Les caméras NVR disparaissent via le VPN ? Vérifiez le chevauchement du sous-réseau PoE

Ouvrez le NVR depuis le site distant et la vue en direct peut échouer pendant que la page LAN se charge encore. Le tunnel est actif, l’enregistreur répond, et la réponse emprunte un chemin que personne n’a dessiné : le port caméra interne de l’enregistreur. Sur un modèle PoE, ce second réseau connecté fait partie du plan d’adressage, qu’il apparaisse ou non sur la page principale des paramètres LAN.

Suivez la panne du client vers l’enregistreur puis au retour. C’est sur le trajet retour que l’interface cachée apparaît.

Reproduisez depuis le client distant, pas depuis le LAN

Testez depuis un client qui traverse réellement le VPN. Un navigateur sur le même LAN atteint l’enregistreur directement, il n’emprunte donc jamais le chemin qui échoue. Notez l’adresse du client, l’adresse LAN de l’enregistreur et le service exact qui échoue.

Essayez plusieurs services. Une page d’administration web, un flux en direct et une demande de lecture peuvent utiliser des ports et des proxys différents, et l’un peut fonctionner pendant qu’un autre échoue. Cette comparaison indique si la panne est propre au service. Elle évite aussi de prendre un seul port en échec pour un enregistreur mort.

Vérifiez si la requête atteint l’enregistreur. Une connexion qui n’arrive jamais pointe vers le routage ou le pare-feu sur le chemin entrant ; une requête qui arrive puis se bloque pointe vers le chemin retour ou le service. Utilisez le journal de connexions de l’enregistreur ou un compteur s’il en propose. Une capture de paquets à la frontière du site est la solution de repli.

Suivez la réponse à la sortie de l’enregistreur

Considérez une disposition illustrative avec deux sites. Le client distant est 10.60.0.25/24, le LAN du site de l’enregistreur est 10.70.0.0/24, l’adresse LAN de l’enregistreur est 10.70.0.50 et son réseau PoE interne est 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Le trafic du site A atteint 10.70.0.50 par le tunnel. L’enregistreur recherche ensuite l’adresse de retour dans sa propre table et trouve un préfixe connecté couvrant 10.60.0.25. Ce préfixe est plus spécifique que sa route par défaut, la réponse part donc vers les ports caméra plutôt que vers le tunnel.

Ni l’état négocié du tunnel ni une route de retour correcte sur le routeur du site B ne peuvent annuler ce choix local. Une requête réussie vers un autre serveur du site B ne prouve pas davantage quoi que ce soit sur la seconde interface de cet appareil.

Inventoriez le réseau PoE caché

Lisez les paramètres réseau de l’enregistreur pour une carte réseau interne, une section PoE ou un sous-réseau caméra séparé. Certains modèles l’exposent comme une seconde interface avec sa propre adresse ; d’autres le cachent derrière une page de configuration des caméras.

Consultez la documentation du modèle et du firmware au lieu de supposer un préfixe d’usine. Une valeur par défaut courante sur une gamme de produits n’est pas un fait pour chaque enregistreur, et un numéro copié peut masquer le chevauchement réel au lieu de le révéler.

Comparez la plage découverte avec les deux LAN des sites, les pools de clients VPN et tout autre réseau connecté à l’enregistreur. Le chevauchement avec le pool de clients distants est le cas qui redirige les réponses ; le chevauchement avec une plage locale sans rapport peut casser l’accès local aux caméras sans toucher au VPN. Dessinez les chevauchements sur une seule feuille avant de choisir de nouveaux numéros. Deux plages qui se chevauchent paraissent évidentes là et invisibles sur deux pages de paramètres séparées.

Notez la plage, le nom de l’interface et les adresses des caméras dessus. Cet inventaire est ce que le plan de renumérotation doit préserver. Incluez les modèles de caméras et les versions de firmware pendant que vous y êtes.

Renumérotez avec les caméras, pas seulement le NVR

Choisissez une plage de caméras qui ne chevauche ni les sites, ni les pools VPN, ni un autre réseau connecté. Listez ensuite tout ce qui dépend de l’ancienne : baux dynamiques, adresses de caméras configurées statiquement, canaux enregistrés, planifications d’enregistrement et toute configuration automatique effectuée par le modèle. Cette liste est la checklist de migration, pas une réflexion après coup.

Déplacez le réseau interne pendant une fenêtre autorisée et gardez l’accès de sauvegarde et de restauration de l’enregistreur disponible. Changer uniquement l’adresse interne de l’enregistreur peut laisser en rade des caméras qui conservent encore l’ancienne plage, et l’enregistreur peut les signaler comme hors ligne plutôt que mal configurées. Conservez l’export de l’ancienne configuration jusqu’à ce que les nouveaux flux aient tourné une journée entière.

Vérifiez les flux caméra locaux et l’enregistrement avant de tester le client distant. Un correctif distant bâti sur un enregistreur qui a perdu ses caméras n’est pas un correctif.

Vérifiez les flux, l’enregistrement et l’accès distant

Depuis le client distant, testez séparément la vue en direct, la lecture et la page d’administration. Observez la requête et la réponse aux frontières contrôlées du LAN et du VPN pour que le chemin retour soit visible, et non déduit d’une page qui fonctionne.

Si un proxy d’accès aux caméras ou une fonction d’hôte virtuel fait partie de la conception, traitez son mappage de ports et ses permissions comme un autre chemin explicite avec sa propre revue. N’ouvrez pas tous les ports caméra et n’élargissez pas les sélecteurs VPN pour compenser le chevauchement.

Quand la renumérotation est impossible, toute alternative de traduction d’adresses nécessite une vue d’adresses prise en charge et sa propre revue de politique. La leçon générale dépasse les enregistreurs : un appareil peut conserver un réseau de caméras, de services ou d’administration qu’un site distant numérote déjà.

Notez les plages finales et les services testés dans le plan du site. Le prochain enregistreur, l’extension des caméras ou le changement de pool VPN réutilisera ces numéros, et un chevauchement corrigé une fois est facile à réintroduire.