Kamera potrzebuje połączenia z systemem zapisu, lecz nie musi mieć swobodnego dostępu do każdego komputera w biurze. Oddzielny VLAN pozwala uporządkować tę granicę. Dopiero reguły komunikacji decydują jednak, które połączenia przez nią przejdą.
VLAN oddziela sieć logicznie
VLAN tworzy osobną domenę rozgłoszeniową w ramach infrastruktury sieciowej. Urządzenia mogą korzystać z tych samych zarządzalnych przełączników, a należeć do różnych segmentów. Axis opisuje tę funkcję jako sposób ograniczania ekspozycji i porządkowania urządzeń według przeznaczenia.
Przeniesienie kamer do innego VLAN-u nie jest szyfrowaniem obrazu. Nie potwierdza też ograniczenia komunikacji pomiędzy wszystkimi kamerami wewnątrz tego samego segmentu. Takie wymagania potrzebują odpowiednich dodatkowych mechanizmów i sprawdzenia ich działania.
Routing i filtrowanie to osobne decyzje
Router lub przełącznik z funkcją routingu może umożliwić komunikację między VLAN-ami. Instrukcja konfiguracji przełączników Axis pokazuje osobno przypisanie portów, połączenia między przełącznikami i routing. Utworzenie segmentów nie oznacza więc, że dowolna wymiana między nimi jest zabroniona.
Ustal, gdzie przechodzi ruch i gdzie działa zapora albo lista kontroli dostępu. Reguły powinny opisywać źródło, cel i potrzebną usługę. Nie otwieraj całej komunikacji między sieciami tylko dlatego, że program nie odnalazł kamer automatycznie.
Przed zmianą przygotuj plan adresacji, portów i połączeń między urządzeniami sieciowymi. Zgodność konfiguracji na obu końcach łącza jest istotna dla przenoszenia właściwych VLAN-ów. Zmiana adresu IP bez zmiany odpowiednich ustawień portu nie tworzy kompletnego podziału.
Plan połączeń wynika z architektury zapisu
Poniższa tabela jest przykładową kartą wymagań dla systemu z serwerem VMS. Nie jest gotowym zestawem reguł dla każdego rejestratora.
| Relacja | Cel dostępu | Co ustalić |
|---|---|---|
| Stanowisko operatora — VMS | Podgląd i odtwarzanie | Potrzebne usługi i uprawnienia użytkownika |
| VMS — kamery | Zapis i obsługa systemu | Protokoły oraz kierunki połączeń według dokumentacji |
| Stanowisko administracyjne — urządzenia | Konfiguracja i utrzymanie | Zakres oraz czas dostępu administratora |
| Urządzenia — wybrane usługi pomocnicze | Np. czas lub rozwiązywanie nazw | Rzeczywiście wymagane serwery i połączenia |
Nie zakładaj, że wszystkie połączenia rozpoczyna rejestrator. Zdarzenia, powiadomienia lub inne funkcje mogą mieć odmienny kierunek. Uwzględnij także ruch odpowiedzi odpowiednio do działania użytej zapory. Porty dobierz według swojego systemu, bez kopiowania przypadkowej listy.
Poradnik AXIS Camera Station Pro rozdziela dostęp operatora do systemu od dostępu administracyjnego do urządzeń oraz zaleca ograniczenie zbędnych dróg między sieciami. To przykład architektury, a nie wymóg zastosowania tego programu.
Internet nie jest domyślnie potrzebny każdej kamerze
Sprawdź zależności chmury, aktualizacji, powiadomień i synchronizacji. Dostęp zdalny powinien mieć osobno ustaloną, zabezpieczoną drogę. Sam VLAN nie chroni urządzenia, którego panel udostępniono bezpośrednio w internecie.
Jeżeli celem jest zapis lokalny, określ potrzebne połączenia lokalne. Zależność od internetu wyjaśnia odrębny tekst o monitoringu bez internetu.
Sprawdź zarówno dostęp dozwolony, jak i zabroniony
Przed wdrożeniem zachowaj konfigurację i przygotuj sposób odzyskania dostępu administracyjnego. Po zmianie sprawdź podgląd, odtwarzanie, zapis, czas i potrzebne zdarzenia. Potwierdź też, że zwykłe stanowisko bez uprawnienia nie uzyskuje dostępu do panelu kamery.
Próbę wykonuj z właściwego segmentu i dla konkretnej usługi. Brak odpowiedzi na ping nie dowodzi zablokowania wszystkich połączeń. Po wymianie switcha lub rejestratora wróć do planu reguł, a nie tylko do sprawdzenia, czy pojawił się obraz.
Segmentacja uzupełnia aktualizacje, konta i właściwe protokoły. Jej rezultat potwierdza ograniczony, działający dostęp zgodny z planem.
