NVR-camera's verdwijnen via VPN? Controleer de PoE-subnetoverlap

Open de NVR vanaf de externe locatie en de liveweergave kan mislukken terwijl de LAN-pagina nog laadt. De tunnel staat, de recorder antwoordt, en het antwoord neemt een pad dat niemand heeft getekend: de interne camerapoort van de recorder. Bij een PoE-model hoort dat tweede aangesloten netwerk bij het adresplan, of het nu op de hoofdpagina met LAN-instellingen verschijnt of niet.

Volg de storing van de client naar de recorder en terug. Juist op het retourtraject duikt de verborgen interface op.

Reproduceer vanaf de externe client, niet vanaf de LAN

Test vanaf een client die de VPN echt doorkruist. Een browser op dezelfde LAN bereikt de recorder rechtstreeks en doorloopt dus nooit het pad dat faalt. Noteer het adres van de client, het LAN-adres van de recorder en de exacte dienst die faalt.

Probeer meer dan één dienst. Een webbeheerpagina, een livestream en een weergaveverzoek kunnen verschillende poorten en verschillende proxy's gebruiken, en de ene kan werken terwijl de andere faalt. Die vergelijking zegt of de storing dienstspecifiek is. Ze voorkomt ook dat één mislukte poort voor een dode recorder wordt aangezien.

Let op of het verzoek de recorder überhaupt bereikt. Een verbinding die nooit aankomt wijst op routing of een firewall op het inkomende pad; een verzoek dat aankomt en dan blijft hangen wijst op het retourpad of de dienst. Gebruik het verbindingslog van de recorder of een teller als die er is. Een pakketopname bij de grens van de locatie is het vangnet.

Volg het antwoord de recorder uit

Overweeg een illustratieve opzet met twee locaties. De externe client is 10.60.0.25/24, de LAN van de recorderlocatie is 10.70.0.0/24, het LAN-adres van de recorder is 10.70.0.50, en het interne PoE-netwerk is 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Verkeer van locatie A bereikt 10.70.0.50 via de tunnel. De recorder zoekt dan het retour adres op in zijn eigen tabel en vindt een verbonden prefix dat 10.60.0.25 dekt. Dat prefix is specifieker dan zijn standaardroute, dus het antwoord gaat naar de camerapoorten in plaats van naar de tunnel.

Noch de onderhandelde toestand van de tunnel noch een correcte retourroute op de router van locatie B kan die lokale keuze overrulen. Een geslaagd verzoek aan een andere server op locatie B bewijst ook niets over de tweede interface van dit apparaat.

Inventariseer het verborgen PoE-netwerk

Lees de netwerkinstellingen van de recorder voor een interne NIC, een PoE-sectie of een apart camerasubnet. Sommige modellen tonen het als een tweede interface met een eigen adres; andere verbergen het achter een pagina voor cameraconfiguratie.

Controleer de documentatie van het model en de firmware in plaats van een fabrieksprefix aan te nemen. Een gangbare standaardwaarde op één productlijn is geen feit over elke recorder, en een gekopieerd nummer kan de echte overlap verbergen in plaats van onthullen.

Vergelijk het gevonden bereik met beide LAN's van de locaties, de VPN-clientpools en elk ander aangesloten netwerk op de recorder. Overlap met de externe clientpool is het geval dat antwoorden omleidt; overlap met een ongerelateerd lokaal bereik kan lokale cameratoegang breken zonder de VPN te raken. Teken de overlappen op één vel voordat je nieuwe nummers kiest. Twee overlappende bereiken lijken daar vanzelfsprekend en onzichtbaar op twee aparte instellingenpagina's.

Noteer het bereik, de interfacenaam en de camera-adressen erop. Die inventaris is wat het omnummeringsplan moet behouden. Neem de cameramodellen en firmwareversies mee terwijl je er bent.

Nummer om samen met de camera's, niet alleen de NVR

Kies een camerabereik dat noch de locaties, noch de VPN-pools, noch een ander aangesloten netwerk overlapt. Som vervolgens alles op wat van het oude afhangt: dynamische leases, statisch geconfigureerde camera-adressen, opgeslagen kanalen, opnameschema's en elke automatische configuratie die het model uitvoert. Die lijst is de migratiechecklist, geen bijgedachte.

Verplaats het interne netwerk tijdens een geautoriseerd venster en houd de back-up- en hersteltoegang van de recorder beschikbaar. Alleen het interne adres van de recorder wijzigen kan camera's die nog het oude bereik hebben, achterlaten, en de recorder kan ze als offline rapporteren in plaats van verkeerd geconfigureerd. Bewaar de export van de oude configuratie tot de nieuwe streams een volledige dag hebben gedraaid.

Controleer lokale camerastreams en opname voordat je de externe client test. Een externe oplossing die op een recorder is gebouwd die zijn camera's kwijt is, is geen oplossing.

Controleer streams, opname en externe toegang

Test vanaf de externe client liveweergave, weergave en de beheerpagina afzonderlijk. Observeer het verzoek en het antwoord op de gecontroleerde LAN- en VPN-grenzen zodat het retourpad zichtbaar is, niet afgeleid van een werkende pagina.

Als een proxy voor cameratoegang of een virtual-hostfunctie deel van het ontwerp is, behandel de poorttoewijzing en rechten ervan als nog een expliciet pad met een eigen beoordeling. Open niet elke camerapoort en verbreed de VPN-selectors niet om de overlap te compenseren.

Wanneer omnummeren onmogelijk is, heeft elk alternatief voor adresvertaling een ondersteunde adresweergave en een eigen beleidsbeoordeling nodig. De algemene les reikt verder dan recorders: een apparaat kan een camera-, dienst- of beheernetwerk houden dat een externe locatie al nummert.

Noteer de definitieve bereiken en de geteste diensten in het locatieplan. De volgende recorder, camera-uitbreiding of VPN-poolwijziging hergebruikt die nummers, en een overlap die één keer is verholpen is gemakkelijk opnieuw in te voeren.