NVR-kameror försvinner över VPN? Kontrollera PoE-subnätets överlappning

Öppna NVR:en från den fjärran platsen och livevyn kan misslyckas medan LAN-sidan fortfarande laddas. Tunneln är uppe, inspelaren svarar och svaret tar en väg som ingen har ritat: inspelarens interna kameraport. På en PoE-modell ingår det andra anslutna nätet i adressplanen, oavsett om det syns på huvudsidan för LAN-inställningar eller inte.

Följ felet från klienten till inspelaren och tillbaka. Det är på returvägen den dolda gränssnittet dyker upp.

Reproducera från fjärrklienten, inte från LAN:et

Testa från en klient som verkligen korsar VPN:en. En webbläsare på samma LAN når inspelaren direkt och provar därför aldrig den väg som misslyckas. Anteckna klientadressen, inspelarens LAN-adress och den exakta tjänst som misslyckas.

Prova mer än en tjänst. En webbadministrationssida, en direktström och en uppspelningsbegäran kan använda olika portar och olika proxyservrar, och en kan fungera medan en annan misslyckas. Den jämförelsen säger om felet är tjänstespecifikt. Det hindrar också en enda misslyckad port från att tas för en död inspelare.

Lägg märke till om begäran överhuvudtaget når inspelaren. En anslutning som aldrig kommer fram pekar på routning eller brandvägg på vägen in; en begäran som kommer fram och sedan fastnar pekar på returvägen eller tjänsten. Använd inspelarens anslutningslogg eller en räknare om den erbjuder en. Paketfångst vid platsgränsen är reservalternativet.

Följ svaret ut ur inspelaren

Tänk dig en illustrativ layout med två platser. Fjärrklienten är 10.60.0.25/24, LAN:et på inspelarens plats är 10.70.0.0/24, inspelarens LAN-adress är 10.70.0.50 och dess interna PoE-nät är 10.60.0.0/24.

Site A client:        10.60.0.25/24
Site B LAN:           10.70.0.0/24
NVR LAN address:      10.70.0.50
NVR internal PoE net: 10.60.0.0/24

Trafik från plats A når 10.70.0.50 genom tunneln. Inspelaren slår då upp returadressen i sin egen tabell och hittar ett anslutet prefix som täcker 10.60.0.25. Prefixet är mer specifikt än dess standardrutt, så svaret går mot kameraportarna i stället för tunneln.

Varken tunnelns förhandlade tillstånd eller en korrekt returrutt på routern på plats B kan åsidosätta det lokala valet. En lyckad begäran till en annan server på plats B bevisar inte heller något om den här enhetens andra gränssnitt.

Inventera det dolda PoE-nätet

Läs inspelarens nätverksinställningar efter ett internt NIC, en PoE-sektion eller ett separat kamerasubnät. Vissa modeller visar det som ett andra gränssnitt med egen adress; andra gömmer det bakom en sida för kamerakonfiguration.

Kontrollera dokumentationen för modellen och firmware i stället för att anta ett fabriksprefix. Ett vanligt standardvärde på en produktlinje är inte ett faktum om varje inspelare, och ett kopierat nummer kan dölja den verkliga överlappningen i stället för att avslöja den.

Jämför det hittade intervallet med båda platsernas LAN, VPN-klientpoolerna och alla andra anslutna nätverk på inspelaren. Överlappning med fjärrklientpoolen är det fall som omdirigerar svar; överlappning med ett orelaterat lokalt intervall kan bryta lokal kameraåtkomst utan att röra VPN:en. Rita överlappningarna på ett enda ark innan du väljer nya nummer. Två överlappande intervall ser självklara ut där och osynliga på två separata inställningssidor.

Anteckna intervallet, gränssnittsnamnet och kameradresserna på det. Den inventeringen är vad omnumreringsplanen måste bevara. Ta med kameramodeller och firmwareversioner medan du är där.

Numrera om tillsammans med kamerorna, inte bara NVR:en

Välj ett kameraintervall som varken överlappar platserna, VPN-poolerna eller ett annat anslutet nätverk. Lista sedan allt som beror på det gamla: dynamiska leaseavtal, statiskt konfigurerade kameradresser, sparade kanaler, inspelningsscheman och all automatisk konfiguration som modellen utför. Listan är migreringens checklista, inte en eftertanke.

Flytta det interna nätet under ett auktoriserat fönster och håll inspelarens säkerhetskopierings- och återställningsåtkomst tillgänglig. Att bara ändra inspelarens interna adress kan lämna kameror som fortfarande har det gamla intervallet strandade, och inspelaren kan rapportera dem som offline i stället för felkonfigurerade. Behåll exporten av den gamla konfigurationen tills de nya strömmarna har kört en hel dag.

Verifiera lokala kameraströmmar och inspelning innan du testar fjärrklienten. En fjärråtgärd byggd på en inspelare som har förlorat sina kameror är inte en åtgärd.

Verifiera strömmar, inspelning och fjärråtkomst

Testa livevy, uppspelning och administrationssidan separat från fjärrklienten. Observera begäran och svaret vid de kontrollerade LAN- och VPN-gränserna så att returvägen syns, inte sluts från en sida som fungerar.

Om en proxy för kameraåtkomst eller en virtuell värd-funktion är en del av designen, behandla dess portmappning och behörigheter som ännu en explicit väg med egen granskning. Öppna inte alla kameraportar och bredda inte VPN-väljarna för att kompensera överlappningen.

När omnumrering är omöjlig behöver varje alternativ för adressöversättning en stödd adressvy och en egen policygranskning. Den allmänna lärdomen sträcker sig bortom inspelare: en apparat kan hålla ett kamera-, tjänst- eller administrationsnät som en fjärran plats redan numrerar.

Anteckna de slutliga intervallen och de testade tjänsterna i platsplanen. Nästa inspelare, kameraexpansion eller ändring av VPN-poolen kommer att återanvända numren, och en överlappning som rättats en gång är lätt att återinföra.