Projektowanie sieci IP dla monitoringu CCTV

• Dobierzesz standard i budżet PoE z rezerwą oraz ograniczeniami okablowania.
• Oszacujesz ruch kamer, NVR i zdalnego podglądu z uwzględnieniem CBR/VBR.
• Zaprojektujesz VLAN-y i minimalne reguły ACL dla CCTV, użytkowników, gości i zarządzania.
• Porównasz VPN z bezpośrednim przekierowaniem portów.
• Przygotujesz kompletny projekt branżowy i plan testów odbiorczych.

Wymagania wstępne

• Projektowanie sieci, Ethernet i okablowanie miedziane
• VLAN, routing, ACL oraz NAT i PAT
• Podstawy QoS, monitoringu i VPN

Typowy przepływ prowadzi od kamer przez switch PoE do NVR. Stanowisko operatora odtwarza obraz z rejestratora, a firewall lub router egzekwuje politykę między segmentami i udostępnia kontrolowany VPN. Switch warstwy trzeciej może realizować routing, ale reguły dostępu nadal muszą wynikać z macierzy przepływów.

PSE jest źródłem zasilania, np. switchem lub midspanem, a PD urządzeniem zasilanym. Do projektu przyjmuj maksymalny pobór z aktualnej karty katalogowej kamery, w tym tryb nocny, IR, grzałkę, silniki PTZ i akcesoria. Nazwa handlowa PoE+ lub PoE++ nie zastępuje sprawdzenia typu, klasy i mocy.

Zsumuj maksymalny pobór wszystkich PD, sprawdź limit każdego portu, a następnie dodaj udokumentowaną rezerwę na rozruch, tryb nocny, temperaturę i rozbudowę. Porównaj wynik z budżetem dostępnym dla konkretnej konfiguracji zasilaczy switcha, nie tylko z jego mocą całkowitą.

Straty w torze miedzianym są powodem różnicy między mocą PSE i gwarantowaną mocą PD. Długość, rezystancja przewodów, jakość zakończeń, temperatura i wiązki kablowe wpływają na warunki pracy. Wymagania instalacyjne i dopuszczalne długości trzeba sprawdzić dla systemu okablowania oraz urządzeń.

Extender PoE albo pośredni switch może utworzyć kolejny segment Ethernet, ale nie jest darmowym przedłużaczem. Sam zużywa moc, ma limit wejścia i wyjścia, zwiększa liczbę punktów awarii oraz wymaga warunków środowiskowych i miejsca serwisowego.

Przed zastosowaniem sprawdź budżet na każdym odcinku, maksymalną długość segmentu, ochronę przepięciową, obudowę, temperaturę, przepustowość uplinku i możliwość zdalnego restartu. Alternatywą może być lokalny switch z własnym zasilaniem i światłowodowym uplinkiem.

Ruch do NVR jest sumą aktywnych strumieni nagrywania. Podgląd zdalny może tworzyć dodatkowy strumień z NVR albo bezpośrednio z kamer, zależnie od architektury. Zapas dobierz do zmienności, narzutów, awarii ścieżki i planowanej rozbudowy.

To model dydaktyczny, nie dane konkretnego urządzenia. Przed zakupem wykonaj pomiary reprezentatywnych scen i odczytaj wartości maksymalne z kart katalogowych. Uplink gigabitowy ma w tym przykładzie duży zapas, lecz trzeba jeszcze uwzględnić podgląd, inne usługi, kierunki ruchu i możliwość awarii.

Osobny VLAN kamer ogranicza domenę L2, ale sam nie jest firewallem. Routing między VLAN-ami musi przejść przez punkt, w którym można egzekwować ACL lub politykę zapory. VLAN zarządzający powinien być oddzielony od ruchu operatora i zwykłych użytkowników.

Preferowany model daje użytkownikowi uwierzytelniony VPN do kontrolowanego punktu brzegowego, a następnie minimalny dostęp do NVR. Bezpośrednie przekierowanie portów wystawia usługę i jej powierzchnię podatności do Internetu, komplikuje kontrolę źródeł i często omija spójny punkt uwierzytelniania.

• Utrzymuj aktualne oprogramowanie kamer, NVR, switcha i bramy VPN.
• Stosuj unikalne konta, silne hasła, MFA tam, gdzie jest wspierane, oraz najmniejsze uprawnienia.
• Wyłącz konta instalacyjne i nieużywane usługi; ogranicz panel zarządzania do dedykowanej sieci.
• Rejestruj logowania, zmiany konfiguracji i stan urządzeń ze spójnym czasem NTP.
• Twórz wersjonowane kopie konfiguracji i testuj odtworzenie bez utraty dokumentacji.

• Dobór switcha tylko po liczbie portów, bez limitu per port i budżetu PoE.
• Liczenie poboru typowego zamiast maksymalnego z IR, grzałką lub PTZ.
• Sumowanie wyłącznie średniego bitrate bez szczytów VBR, podglądu i rezerwy.
• Umieszczenie kamer, gości i użytkowników w jednym segmencie.
• Bezpośredni dostęp kamer do Internetu oraz przekierowanie portów panelu zarządzania.
• Brak UPS dla switcha PoE lub brak testu zaniku zasilania.
• Brak planu odbioru, dokumentacji portów, kont i kopii konfiguracji.

Zaprojektuj sieć dla obiektu z 18 kamerami IP, rejestratorem NVR, dwoma stanowiskami operatora, urządzeniami użytkowników, osobnym Wi-Fi gościnnym i wydzielonym zarządzaniem. Sześć kamer zewnętrznych ma grzałkę i IR, a dwie są PTZ. Organizacja wymaga zdalnego podglądu dla trzech uprawnionych osób oraz czterogodzinnego podtrzymania krytycznego toru.

Nie ma jednego gotowego rozwiązania. Każde założenie dotyczące bitrate, mocy, zapasu, adresacji i dostępności musi mieć źródło albo jawne uzasadnienie.

• Przygotuj topologię fizyczną i logiczną z punktami routingu, filtracji i pojedynczymi punktami awarii.
• Dobierz VLAN-y, podsieci, bramy i sposób adresowania kamer, NVR, operatorów, użytkowników, gości i zarządzania.
• Oblicz sumę bitrate nagrywania, ruch podglądu oraz zapas dla scen trudnych i rozbudowy.
• Oblicz maksymalny budżet PoE, limity portów, rezerwę i obciążenie UPS.
• Przygotuj macierz podstawowych ACL między VLAN-ami, w tym wymagane usługi czasu i zarządzania.
• Opisz dostęp zdalny przez VPN, uwierzytelnianie, najmniejsze uprawnienia i logowanie zdarzeń.
• Wskaż co najmniej cztery punkty awarii oraz sposób ograniczenia albo świadomej akceptacji ryzyka.
• Przygotuj plan testów odbiorczych obejmujący obraz dzień/noc, PoE, przepływność, izolację, VPN, czas i odtworzenie konfiguracji.

Rozszerz własny projekt o cztery kamery 4K w drugim budynku oddalonym o 180 m. Porównaj extender PoE, pośredni switch i światłowodowy uplink z lokalnym zasilaniem. Zaktualizuj bitrate, PoE, UPS, VLAN-y, punkty awarii i test odbiorczy, nie publikując pełnego rozwiązania projektu bazowego.

1. Narysuj topologię kamera — switch PoE — NVR — operator — firewall/VPN i zaznacz kierunki ruchu.
2. Dla ośmiu przykładowych kamer oblicz łączny maksymalny pobór 90 W oraz rezerwę 25%, a potem sprawdź limit każdego portu.
3. Oblicz bitrate 6 × 4 Mb/s + 2 × 6 Mb/s i dodaj 25% rezerwy; osobno opisz wpływ zdalnego podglądu.
4. Przygotuj VLAN-y kamer, operatora, użytkowników, gości i zarządzania wraz z adresacją dokumentacyjną.
5. Zapisz macierz minimalnych ACL: kamery — NVR, operator — NVR, administracja — urządzenia oraz blokady gości i Internetu kamer.
6. Opisz zdalny dostęp przez VPN, konta, MFA, najmniejsze uprawnienia, logi i odebranie dostępu.
7. Wskaż punkty awarii zasilania, uplinku, switcha, NVR i czasu oraz zaproponuj mierzalne ograniczenia ryzyka.
8. Przygotuj plan odbioru z testami pozytywnymi, negatywnymi, awaryjnymi, kopią konfiguracji i rollbackiem.

• Projekt CCTV łączy bilans zasilania, przepływności, segmentację, bezpieczeństwo i utrzymanie.
• Budżet PoE musi uwzględniać maksymalny pobór, limit portu, straty, rezerwę i właściwy zasilacz.
• Bitrate zależy od profilu obrazu i sceny; VBR wymaga obserwacji szczytów oraz zapasu.
• Kamery, operatorzy, goście i zarządzanie powinny mieć jawnie rozdzielone role oraz minimalne przepływy.
• Zdalny dostęp należy opierać na kontrolowanym VPN i NVR, nie na przypadkowym wystawianiu paneli kamer.

• Projektowanie sieci
• Urządzenia sieciowe i PoE
• QoS i jakość transmisji
• VLAN i trunk IEEE 802.1Q
• Bezpieczeństwo sieci i ACL
• Sieci WAN i VPN

• IEEE 802.3 Ethernet Working Group
• IEEE 802.3bt-2018 — Power over Ethernet over 4 Pairs
• Axis — Typical and maximum power consumption in cameras
• Axis — Bitrate control for IP video
• RFC 7296 — Internet Key Exchange Protocol Version 2