Le telecamere NVR sparire attraverso la VPN? Controllate la sovrapposizione della sottorete PoE

Aprire l’NVR dal sito remoto e la visualizzazione live può fallire mentre la pagina LAN è ancora in caricamento. Il tunnel è attivo, il registratore risponde e la risposta prende un percorso che nessuno ha disegnato: la porta telecamera interna del registratore. Su un modello PoE, quella seconda rete collegata fa parte del piano di indirizzamento, che compaia o no nella pagina principale delle impostazioni LAN.

Seguite il guasto dal client al registratore e ritorno. È proprio sul tratto di ritorno che compare l’interfaccia nascosta.

Riproducete dal client remoto, non dalla LAN

Provate da un client che attraversa davvero la VPN. Un browser sulla stessa LAN raggiunge il registratore direttamente, quindi non percorre mai il percorso che fallisce. Annotate l’indirizzo del client, l’indirizzo LAN del registratore e il servizio esatto che fallisce.

Provate più di un servizio. Una pagina di gestione web, un flusso live e una richiesta di riproduzione possono usare porte e proxy diversi, e uno può funzionare mentre un altro fallisce. Quel confronto dice se il guasto è specifico del servizio. Impedisce anche che una singola porta fallita venga presa per un registratore morto.

Notate se la richiesta arriva al registratore. Una connessione che non arriva mai indica routing o firewall sul percorso in ingresso; una richiesta che arriva e poi si blocca indica il percorso di ritorno o il servizio. Usate il registro delle connessioni del registratore o un contatore se lo offre. La cattura dei pacchetti al confine del sito è la soluzione di riserva.

Seguite la risposta in uscita dal registratore

Considerate una disposizione illustrativa con due siti. Il client remoto è 10.60.0.25/24, la LAN del sito del registratore è 10.70.0.0/24, l’indirizzo LAN del registratore è 10.70.0.50 e la sua rete PoE interna è 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Il traffico dal sito A raggiunge 10.70.0.50 attraverso il tunnel. Il registratore cerca poi l’indirizzo di ritorno nella propria tabella e trova un prefisso connesso che copre 10.60.0.25. Quel prefisso è più specifico della sua rotta predefinita, quindi la risposta va verso le porte telecamera invece che verso il tunnel.

Né lo stato negoziato del tunnel né una rotta di ritorno corretta sul router del sito B possono annullare quella scelta locale. Una richiesta riuscita verso un altro server del sito B non dimostra nulla sulla seconda interfaccia di questo dispositivo.

Inventariate la rete PoE nascosta

Leggete le impostazioni di rete del registratore per una NIC interna, una sezione PoE o una sottorete telecamere separata. Alcuni modelli la espongono come seconda interfaccia con un proprio indirizzo; altri la nascondono dietro una pagina di configurazione delle telecamere.

Consultate la documentazione del modello e del firmware invece di presupporre un prefisso di fabbrica. Un valore predefinito comune su una linea di prodotto non è un fatto su ogni registratore, e un numero copiato può nascondere la sovrapposizione reale anziché rivelarla.

Confrontate l’intervallo scoperto con entrambe le LAN dei siti, i pool di client VPN e qualsiasi altra rete collegata al registratore. La sovrapposizione con il pool dei client remoti è il caso che reindirizza le risposte; la sovrapposizione con un intervallo locale non correlato può rompere l’accesso locale alle telecamere senza toccare la VPN. Disegnate le sovrapposizioni su un unico foglio prima di scegliere nuovi numeri. Due intervalli sovrapposti sembrano ovvi lì e invisibili su due pagine di impostazioni separate.

Annotate l’intervallo, il nome dell’interfaccia e gli indirizzi delle telecamere su di esso. Quell’inventario è ciò che il piano di rinumerazione deve preservare. Includete i modelli di telecamera e le versioni del firmware mentre siete sul posto.

Rinumerate con le telecamere, non solo con l’NVR

Scegliete un intervallo telecamere che non si sovrapponga a nessuno dei siti, ai pool VPN o a un’altra rete collegata. Poi elencate tutto ciò che dipende dal vecchio: lease dinamici, indirizzi telecamera configurati staticamente, canali salvati, pianificazioni di registrazione e qualsiasi configurazione automatica eseguita dal modello. Quell’elenco è la checklist di migrazione, non un pensiero successivo.

Spostate la rete interna durante una finestra autorizzata e mantenete disponibile l’accesso di backup e ripristino del registratore. Cambiare solo l’indirizzo interno del registratore può lasciare bloccate telecamere che detengono ancora il vecchio intervallo, e il registratore può segnalarle come offline anziché configurate male. Conservate l’esportazione della vecchia configurazione finché i nuovi flussi non hanno funzionato per un giorno intero.

Verificate i flussi telecamera locali e la registrazione prima di testare il client remoto. Una correzione remota costruita su un registratore che ha perso le telecamere non è una correzione.

Verificate flussi, registrazione e accesso remoto

Dal client remoto, testate separatamente la visualizzazione live, la riproduzione e la pagina di gestione. Osservate la richiesta e la risposta ai confini controllati della LAN e della VPN, così che il percorso di ritorno sia visibile e non dedotto da una pagina che funziona.

Se un proxy di accesso alle telecamere o una funzione di host virtuale fa parte del progetto, trattate la sua mappatura delle porte e i suoi permessi come un altro percorso esplicito con la propria revisione. Non aprite ogni porta telecamera e non ampliate i selettori VPN per compensare la sovrapposizione.

Quando la rinumerazione è impossibile, qualsiasi alternativa di traduzione degli indirizzi richiede una vista degli indirizzi supportata e una propria revisione delle policy. La lezione generale va oltre i registratori: un apparato può mantenere una rete di telecamere, servizi o gestione che un sito remoto già numera.

Annotate gli intervalli finali e i servizi testati nel piano del sito. Il prossimo registratore, l’ampliamento delle telecamere o il cambio di pool VPN riutilizzerà quei numeri, e una sovrapposizione corretta una volta è facile da reintrodurre.