Камеры NVR пропадают через VPN? Проверьте пересечение подсети PoE

Откройте NVR с удалённой площадки, и живой просмотр может не работать, пока страница LAN ещё загружается. Туннель поднят, регистратор отвечает, а ответ идёт по пути, который никто не рисовал: через внутренний порт камеры регистратора. В модели с PoE эта вторая подключённая сеть входит в план адресов, независимо от того, отображается она на главной странице настроек LAN или нет.

Проследите сбой от клиента к регистратору и обратно. Именно на обратном участке проявляется скрытый интерфейс.

Воспроизводите с удалённого клиента, а не из LAN

Проверяйте с клиента, который действительно проходит через VPN. Браузер в том же LAN попадает к регистратору напрямую и поэтому никогда не проходит по сбойному пути. Запишите адрес клиента, LAN-адрес регистратора и точный сервис, который отказывает.

Попробуйте больше одного сервиса. Веб-страница управления, прямой поток и запрос воспроизведения могут использовать разные порты и разные прокси, и один может работать, пока другой сбоит. Это сравнение показывает, зависит ли сбой от сервиса. Оно также не даёт принять один сбойный порт за мёртвый регистратор.

Отметьте, доходит ли запрос до регистратора вообще. Соединение, которое не приходит, указывает на маршрутизацию или межсетевой экран на входящем пути; запрос, который приходит и затем застревает, указывает на обратный путь или сервис. Используйте журнал соединений регистратора или счётчик, если он их предлагает. Захват пакетов на границе площадки — запасной вариант.

Проследите ответ на выходе из регистратора

Рассмотрим иллюстративную схему с двумя площадками. Удалённый клиент — 10.60.0.25/24, LAN площадки регистратора — 10.70.0.0/24, LAN-адрес регистратора — 10.70.0.50, а его внутренняя сеть PoE — 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Трафик с площадки A достигает 10.70.0.50 через туннель. Затем регистратор ищет обратный адрес в собственной таблице и находит подключённый префикс, покрывающий 10.60.0.25. Этот префикс конкретнее его маршрута по умолчанию, поэтому ответ уходит к портам камер, а не к туннелю.

Ни согласованное состояние туннеля, ни правильный обратный маршрут на маршрутизаторе площадки B не могут отменить этот локальный выбор. Успешный запрос к другому серверу на площадке B тоже ничего не доказывает о втором интерфейсе этого устройства.

Составьте опись скрытой сети PoE

Прочитайте сетевые настройки регистратора в поисках внутренней сетевой карты, раздела PoE или отдельной подсети камер. Некоторые модели показывают её как второй интерфейс с собственным адресом; другие прячут её за страницей настройки камер.

Проверьте документацию модели и прошивки, а не предполагайте заводской префикс. Обычное значение по умолчанию в одной линейке продуктов не является фактом о каждом регистраторе, и скопированный номер может скрыть реальное пересечение вместо того, чтобы выявить его.

Сравните обнаруженный диапазон с обоими LAN площадок, пулами клиентов VPN и любой другой подключённой сетью на регистраторе. Пересечение с пулом удалённых клиентов — это случай, который перенаправляет ответы; пересечение с несвязанным локальным диапазоном может сломать локальный доступ к камерам, не затрагивая VPN. Нарисуйте пересечения на одном листе, прежде чем выбирать новые номера. Два пересекающихся диапазона там выглядят очевидными, а на двух отдельных страницах настроек не видны.

Запишите диапазон, имя интерфейса и адреса камер на нём. Именно эту опись план перенумерации должен сохранить. Укажите модели камер и версии прошивки, пока вы там.

Перенумеруйте вместе с камерами, а не только NVR

Выберите диапазон камер, который не пересекается ни с площадками, ни с пулами VPN, ни с другой подключённой сетью. Затем перечислите всё, что зависит от старого: динамические аренды, статически настроенные адреса камер, сохранённые каналы, расписания записи и любую автоматическую конфигурацию, которую выполняет модель. Этот список — контрольный список миграции, а не запоздалая мысль.

Перенесите внутреннюю сеть в разрешённое окно и держите доступ к резервной копии и восстановлению регистратора доступным. Изменение только внутреннего адреса регистратора может оставить камеры, всё ещё держащие старый диапазон, а регистратор может сообщить о них как о не в сети, а не как о неверно настроенных. Сохраняйте экспорт старой конфигурации, пока новые потоки не проработают полный день.

Проверьте локальные потоки камер и запись, прежде чем тестировать удалённого клиента. Удалённое исправление, построенное на регистраторе, потерявшем свои камеры, — не исправление.

Проверьте потоки, запись и удалённый доступ

С удалённого клиента проверьте отдельно живой просмотр, воспроизведение и страницу управления. Наблюдайте за запросом и ответом на контролируемых границах LAN и VPN, чтобы обратный путь был виден, а не выведен из работающей страницы.

Если прокси доступа к камерам или функция виртуального хоста входит в проект, рассматривайте его сопоставление портов и разрешения как ещё один явный путь с собственной проверкой. Не открывайте каждый порт камеры и не расширяйте селекторы VPN, чтобы компенсировать пересечение.

Когда перенумерация невозможна, любой альтернативный вариант трансляции адресов требует поддерживаемого представления адресов и собственной проверки политик. Общий урок выходит за пределы регистраторов: устройство может держать сеть камер, сервисов или управления, которую удалённая площадка уже нумерует.

Запишите итоговые диапазоны и проверенные сервисы в план площадки. Следующий регистратор, расширение камер или изменение пула VPN снова используют эти номера, а однажды исправленное пересечение легко внести снова.