NVR-kameraer forsvinner over VPN? Sjekk PoE-subnett-overlappen

Åpne NVR-en fra det eksterne stedet, og livevisningen kan feile mens LAN-siden fortsatt lastes. Tunnelen er oppe, opptakeren svarer, og svaret tar en vei ingen har tegnet: opptakerens interne kameraport. På en PoE-modell er det andre tilkoblede nettverket en del av adresseplanen, enten det vises på hovedsiden for LAN-innstillinger eller ikke.

Følg feilen fra klienten til opptakeren og tilbake. Det er på returveien det skjulte grensesnittet dukker opp.

Reproduser fra den eksterne klienten, ikke fra LAN-et

Test fra en klient som faktisk krysser VPN-en. En nettleser på samme LAN når opptakeren direkte, så den prøver aldri veien som feiler. Noter klientadressen, opptakerens LAN-adresse og den nøyaktige tjenesten som feiler.

Prøv mer enn én tjeneste. En nettadministrasjonsside, en direktestrøm og en avspillingsforespørsel kan bruke ulike porter og ulike proxyer, og én kan fungere mens en annen feiler. Sammenligningen forteller om feilen er tjenestespesifikk. Den hindrer også en enkelt feilet port i å bli tatt for en død opptaker.

Legg merke til om forespørselen i det hele tatt når opptakeren. En tilkobling som aldri kommer frem peker på ruting eller brannmur på vei inn; en forespørsel som kommer frem og deretter stopper, peker på returveien eller tjenesten. Bruk opptakerens tilkoblingslogg eller en teller hvis den tilbyr en. Pakkefangst ved stedsgrensen er reservealternativet.

Følg svaret ut av opptakeren

Tenk deg et illustrerende oppsett med to steder. Den eksterne klienten er 10.60.0.25/24, LAN-et på opptakerens sted er 10.70.0.0/24, opptakerens LAN-adresse er 10.70.0.50, og det interne PoE-nettverket er 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Trafikk fra sted A når 10.70.0.50 gjennom tunnelen. Opptakeren slår deretter opp returadressen i sin egen tabell og finner et tilkoblet prefiks som dekker 10.60.0.25. Prefikset er mer spesifikt enn standardruten, så svaret går mot kameraportene i stedet for tunnelen.

Verken tunnelens forhandlede tilstand eller en korrekt returrute på ruteren på sted B kan overstyre det lokale valget. En vellykket forespørsel til en annen server på sted B beviser heller ingenting om denne enhetens andre grensesnitt.

Kartlegg det skjulte PoE-nettverket

Les opptakerens nettverksinnstillinger for et internt NIC, en PoE-seksjon eller et eget kamerasubnett. Noen modeller viser det som et andre grensesnitt med egen adresse; andre skjuler det bak en side for kameraoppsett.

Sjekk dokumentasjonen for modellen og fastvaren i stedet for å anta et fabrikkprefiks. En vanlig standard på én produktlinje er ikke et faktum om hver opptaker, og et kopiert nummer kan skjule den virkelige overlappen i stedet for å avdekke den.

Sammenlign området som ble funnet, med begge stedenes LAN-er, VPN-klientpuljene og ethvert annet tilkoblet nettverk på opptakeren. Overlapp med den eksterne klientpuljen er tilfellet som omdirigerer svar; overlapp med et urelatert lokalt område kan ødelegge lokal kameraatkomst uten å berøre VPN-en. Tegn overlappene på ett ark før du velger nye numre. To overlappende områder ser åpenbare ut der og usynlige på to separate innstillingssider.

Noter området, grensesnittnavnet og kameraadressene på det. Den oversikten er det omnummereringsplanen må bevare. Ta med kameramodeller og fastvareversjoner mens du er der.

Omnummerer med kameraene, ikke bare NVR-en

Velg et kameraområde som verken overlapper stedene, VPN-puljene eller et annet tilkoblet nettverk. List deretter opp alt som avhenger av det gamle: dynamiske leaser, statisk konfigurerte kameraadresser, lagrede kanaler, opptaksplaner og enhver automatisk konfigurasjon modellen utfører. Listen er migreringssjekklisten, ikke en ettertanke.

Flytt det interne nettverket i et autorisert vindu, og hold opptakerens sikkerhetskopi- og gjenopprettingstilgang tilgjengelig. Å endre bare opptakerens interne adresse kan strande kameraer som fortsatt har det gamle området, og opptakeren kan rapportere dem som frakoblet i stedet for feilkonfigurert. Behold eksporten av den gamle konfigurasjonen til de nye strømmene har kjørt en hel dag.

Bekreft lokale kamerastrømmer og opptak før du tester den eksterne klienten. En ekstern rettelse bygget på en opptaker som har mistet kameraene, er ikke en rettelse.

Bekreft strømmer, opptak og ekstern tilgang

Test livevisning, avspilling og administrasjonssiden separat fra den eksterne klienten. Overvåk forespørselen og svaret ved de kontrollerte LAN- og VPN-grensene slik at returveien er synlig, ikke utledet fra en side som virker.

Hvis en proxy for kameraatkomst eller en virtuell vert-funksjon er en del av designet, behandler du porttilordningen og tillatelsene som nok en eksplisitt vei med sin egen gjennomgang. Ikke åpne alle kameraporter og ikke utvid VPN-velgerne for å kompensere for overlappen.

Når omnummerering er umulig, trenger ethvert alternativ for adresseoversettelse en støttet adressevisning og sin egen policygjennomgang. Den generelle lærdommen rekker utover opptakere: et apparat kan holde et kamera-, tjeneste- eller administrasjonsnettverk som et eksternt sted allerede nummererer.

Noter de endelige områdene og de testede tjenestene i stedsplanen. Den neste opptakeren, kamerauthvidelsen eller endringen av VPN-puljen vil gjenbruke numrene, og en overlapp som er rettet én gang, er lett å gjeninnføre.