Kamery NVR znikają przez VPN? Sprawdź nakładanie się podsieci PoE

Otwórz NVR ze zdalnej lokalizacji, a podgląd na żywo może zawieść, podczas gdy strona LAN wciąż się ładuje. Tunel działa, rejestrator odpowiada, a odpowiedź idzie ścieżką, której nikt nie narysował: wewnętrznym portem kamery rejestratora. W modelu PoE ta druga podłączona sieć jest częścią planu adresacji, niezależnie od tego, czy pojawia się na głównej stronie ustawień LAN.

Prześledź awarię od klienta do rejestratora i z powrotem. Właśnie na odcinku powrotnym ujawnia się ukryty interfejs.

Odtwórz ze zdalnego klienta, nie z LAN-u

Testuj z klienta, który naprawdę przechodzi przez VPN. Przeglądarka w tej samej sieci LAN dociera do rejestratora bezpośrednio, więc nigdy nie testuje ścieżki, która zawodzi. Zapisz adres klienta, adres LAN rejestratora i dokładną usługę, która zawodzi.

Wypróbuj więcej niż jedną usługę. Strona zarządzania web, strumień na żywo i żądanie odtwarzania mogą używać różnych portów i różnych proxy, a jedna może działać, gdy inna zawodzi. To porównanie mówi, czy awaria dotyczy konkretnej usługi. Zapobiega też uznaniu jednego nieudanego portu za martwy rejestrator.

Zwróć uwagę, czy żądanie w ogóle dociera do rejestratora. Połączenie, które nigdy nie dociera, wskazuje na routing lub zaporę ogniową na ścieżce wejściowej; żądanie, które dociera i potem się zatrzymuje, wskazuje na ścieżkę powrotną lub usługę. Użyj dziennika połączeń rejestratora lub licznika, jeśli je oferuje. Przechwytywanie pakietów na granicy lokalizacji jest rozwiązaniem zapasowym.

Śledź odpowiedź wychodzącą z rejestratora

Rozważ przykładowy układ z dwiema lokalizacjami. Zdalny klient to 10.60.0.25/24, LAN lokalizacji rejestratora to 10.70.0.0/24, adres LAN rejestratora to 10.70.0.50, a jego wewnętrzna sieć PoE to 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Ruch z lokalizacji A dociera do 10.70.0.50 przez tunel. Następnie rejestrator szuka adresu powrotnego we własnej tabeli i znajduje podłączony prefiks obejmujący 10.60.0.25. Ten prefiks jest bardziej szczegółowy niż jego trasa domyślna, więc odpowiedź idzie do portów kamer, a nie do tunelu.

Ani wynegocjowany stan tunelu, ani poprawna trasa powrotna na routerze lokalizacji B nie mogą unieważnić tego lokalnego wyboru. Udane żądanie do innego serwera w lokalizacji B także niczego nie dowodzi o drugim interfejsie tego urządzenia.

Zinwentaryzuj ukrytą sieć PoE

Przeczytaj ustawienia sieci rejestratora pod kątem wewnętrznej karty sieciowej, sekcji PoE lub osobnej podsieci kamer. Niektóre modele pokazują ją jako drugi interfejs z własnym adresem; inne ukrywają ją za stroną konfiguracji kamer.

Sprawdź dokumentację modelu i firmware'u, zamiast zakładać fabryczny prefiks. Typowa wartość domyślna w jednej linii produktów nie jest faktem o każdym rejestratorze, a skopiowany numer może ukryć rzeczywiste nakładanie się zamiast je ujawnić.

Porównaj wykryty zakres z obiema sieciami LAN lokalizacji, pulami klientów VPN i każdą inną podłączoną siecią w rejestratorze. Nakładanie się z pulą klientów zdalnych to przypadek, który przekierowuje odpowiedzi; nakładanie się z niepowiązanym zakresem lokalnym może zepsuć lokalny dostęp do kamer, nie dotykając VPN-u. Narysuj nakładania na jednym arkuszu, zanim wybierzesz nowe numery. Dwa nakładające się zakresy wyglądają tam oczywiście i są niewidoczne na dwóch osobnych stronach ustawień.

Zapisz zakres, nazwę interfejsu i adresy kamer na nim. Ten spis musi zachować plan przenumerowania. Uwzględnij modele kamer i wersje firmware'u, póki tam jesteś.

Przenumeruj razem z kamerami, nie tylko NVR

Wybierz zakres kamer, który nie nakłada się ani na lokalizacje, ani na pule VPN, ani na inną podłączoną sieć. Następnie wypisz wszystko, co zależy od starego: dzierżawy dynamiczne, statycznie skonfigurowane adresy kamer, zapisane kanały, harmonogramy nagrywania i każdą automatyczną konfigurację wykonywaną przez model. Ta lista to lista kontrolna migracji, a nie myśl po fakcie.

Przenieś wewnętrzną sieć w autoryzowanym oknie i utrzymuj dostęp do kopii zapasowej i odzyskiwania rejestratora. Zmiana wyłącznie wewnętrznego adresu rejestratora może osierocić kamery wciąż trzymające stary zakres, a rejestrator może zgłosić je jako offline, a nie jako błędnie skonfigurowane. Zachowaj eksport starej konfiguracji, dopóki nowe strumienie nie będą działać przez cały dzień.

Sprawdź lokalne strumienie kamer i nagrywanie przed testowaniem zdalnego klienta. Zdalna poprawka zbudowana na rejestratorze, który stracił kamery, nie jest poprawką.

Sprawdź strumienie, nagrywanie i dostęp zdalny

Zdalnego klienta sprawdź osobno podgląd na żywo, odtwarzanie i stronę zarządzania. Obserwuj żądanie i odpowiedź na kontrolowanych granicach LAN i VPN, aby ścieżka powrotna była widoczna, a nie wywnioskowana z działającej strony.

Jeśli proxy dostępu do kamer lub funkcja wirtualnego hosta jest częścią projektu, traktuj jej mapowanie portów i uprawnienia jako jeszcze jedną jawną ścieżkę z własnym przeglądem. Nie otwieraj każdego portu kamery i nie poszerzaj selektorów VPN, aby zrekompensować nakładanie się.

Gdy przenumerowanie jest niemożliwe, każda alternatywa translacji adresów wymaga obsługiwanego widoku adresów i własnego przeglądu polityk. Ogólna lekcja wykracza poza rejestratory: urządzenie może utrzymywać sieć kamer, usług lub zarządzania, którą zdalna lokalizacja już numeruje.

Zapisz końcowe zakresy i przetestowane usługi w planie lokalizacji. Następny rejestrator, rozbudowa kamer lub zmiana puli VPN ponownie użyje tych numerów, a raz naprawione nakładanie się łatwo wprowadzić ponownie.