جداسازی شبکه دوربین‌ها از شبکه کاربران شرکت

طرح نمونه برای دوربین‌های IP روی سوئیچ مدیریتی و یک NVR با اتصال LAN است؛ شبکه داخلی پورت‌های PoE خود NVR سناریوی دیگری است. دوربین‌ها تصویر را در VLAN 30 به NVR می‌دهند. رایانه مشاهده در VLAN 10 است و برای دیدن کانال‌ها به NVR وصل می‌شود، نه مستقیم به تک‌تک دوربین‌ها. اگر سامانه شما VMS یا دریافت مستقیم جریان از دوربین دارد، ماتریس دسترسی باید مطابق همان معماری تغییر کند.

این آدرس‌ها نمونه‌اند؛ تداخل با شبکه فعلی، VPN و DHCP را پیش از استفاده رفع کنید. VLAN دامنه لایه دوم را جدا می‌کند، ولی پس از ساخت Gateway، روتر می‌تواند بین شبکه‌ها مسیریابی کند؛ محدودیت به قواعد دسترسی نیاز دارد. مفهوم VLAN و تنظیم پایه VLAN در میکروتیک پیش‌نیازهای این بخش‌اند. آموزش پایه فقط تفکیک لایه دوم را می‌سازد و به‌تنهایی Gateway و سیاست زیر را ایجاد نمی‌کند.

در همین VLAN 30، ترافیک دوربین به NVR معمولاً در سوئیچ می‌ماند و از فایروال روتر عبور نمی‌کند. این طرح دوربین‌ها را از یکدیگر جدا نمی‌کند؛ برای چنین نیازی باید جداسازی پورت یا زیرشبکه‌های دیگری طراحی شود. VLAN نیز به‌تنهایی پهنای باند اختصاصی، رمزگذاری تصویر یا ظرفیت کافی سوئیچ را تضمین نمی‌کند.

نمونه قواعد بر مستندات RouterOS 7.26 در ۱۶ اکتبر ۲۰۲۶ تکیه دارد و برای IPv4 با مسیریابی نرم‌افزاری از فایروال روتر نوشته شده است. دو رابط لایه سوم با نام دقیق vlan10-staff و vlan30-cctv، آدرس‌های Gateway جدول و trunk صحیح باید پیش‌تر ساخته و بررسی شده باشند. نام رابط، عضویت bridge و روش سخت‌افزار خودتان را تطبیق دهید؛ این دستورات پیکربندی کامل سوئیچ یا روتر خالی نیستند.

در نمونه، IPها ثابت‌اند، DHCP/DNS/NTP از روتر به VLAN دوربین ارائه نمی‌شود و خروج اینترنت دوربین‌ها نیز مجاز نیست. اگر سرویس زمان لازم است، می‌توان مقصد مجاز داخل همان VLAN داشت؛ برای سرویس بیرون آن، قاعده محدود و آزمون جدا لازم است. این طرح را بدون تعریف وابستگی‌ها به سیستمی که اکنون از Hik-Connect استفاده می‌کند اعمال نکنید؛ پیش‌فرض آن ارتباط بیرونی را قطع می‌کند.

پیش از کار، از تنظیمات مجاز روتر، سوئیچ، IP دوربین‌ها و اتصال کانال‌ها نسخه قابل بازگشت نگه دارید؛ رمزها را در گزارش عمومی قرار ندهید. مدیریت مستقل را عملاً امتحان کنید. در ترمینال RouterOS با Ctrl+X وارد Safe Mode شوید و تغییرات را در گام‌های کوچک انجام دهید؛ Safe Mode تنظیمات سوئیچ یا دوربین را برنمی‌گرداند و ظرفیت تاریخچه آن محدود است.

ترافیک این دو شبکه باید واقعاً از فایروال IP عبور کند. FastTrack و مسیریابی سخت‌افزاری لایه سوم می‌توانند مسیر بررسی را عوض کنند؛ برای اجرای نمونه، آن‌ها نباید ترافیک دوربین را دور بزنند. نشست‌های قبلاً FastTrack‌شده نیز باید در پنجره مجاز پایان یابند یا فقط ورودی‌های مرتبط آن‌ها پاک شوند. همه ارتباط‌های شرکت را کورکورانه پاک نکنید. وجود مسیر IPv6، روتر دوم یا اتصال هم‌زمان Wi-Fi باید جدا بررسی و محدود شود؛ قواعد IPv4 زیر IPv6 را کنترل نمی‌کنند.

پشتیبانی رسمی Hikvision برای اتصال مستقیم کلاینت، Server Port و RTSP را توضیح می‌دهد؛ مقدارهای متداول آن 8000 و 554 هستند و روی دستگاه قابل تغییرند. شاخه زیر فقط وقتی مناسب است که پورت واقعی NVR همین باشد و کلاینت شما جریان را با TCP دریافت کند. پیش از انتقال، تصویر و بازپخش همین کلاینت را در مسیر کنترل‌شده بررسی کنید. اگر مرورگر HTTPS، UDP، کشف خودکار یا پورت دیگری لازم است، نیاز واقعی را مستند و قاعده محدود همان را طراحی کنید؛ همه پورت‌ها را باز نکنید.

زنجیره nm-cctv و توضیح‌های NM-CCTV باید در روتر فعلی وجود نداشته باشند. قواعد زیر را فقط یک‌بار در محیط منطبق اضافه کنید. سه قاعده اتصال به زنجیره‌ها disabled هستند؛ تا زمانی که ترتیبشان اصلاح و فعال نشوند، هیچ محدودیت جدیدی اعمال نمی‌کنند.

/ip firewall filter
add chain=nm-cctv action=drop connection-state=invalid comment="NM-CCTV invalid"
add chain=nm-cctv action=accept in-interface=vlan10-staff out-interface=vlan30-cctv src-address=192.168.10.20 dst-address=192.168.30.10 protocol=tcp dst-port=8000,554 connection-state=new,established comment="NM-CCTV viewer to NVR"
add chain=nm-cctv action=accept in-interface=vlan30-cctv out-interface=vlan10-staff src-address=192.168.30.10 dst-address=192.168.10.20 protocol=tcp src-port=8000,554 connection-state=established comment="NM-CCTV NVR reply"
add chain=nm-cctv action=drop comment="NM-CCTV other routed traffic"
add chain=forward action=jump jump-target=nm-cctv in-interface=vlan30-cctv disabled=yes comment="NM-CCTV inbound hook"
add chain=forward action=jump jump-target=nm-cctv out-interface=vlan30-cctv disabled=yes comment="NM-CCTV outbound hook"
add chain=input action=drop in-interface=vlan30-cctv disabled=yes comment="NM-CCTV router input"

در فهرست IP > Firewall > Filter Rules، دو قاعده forward با توضیح inbound hook و outbound hook را پیش از FastTrack، پذیرش عمومی established/related و هر مجوز گسترده قرار دهید. قاعده router input را نیز پیش از مجوزهای عمومی input بگذارید. شماره ردیف ثابت در روترهای مختلف یکی نیست؛ قواعد را با توضیحشان شناسایی و ترتیب نهایی را بازبینی کنید. سپس هر سه قاعده را فعال کنید. زنجیره سفارشی، ترافیک مربوط به VLAN 30 را می‌پذیرد یا متوقف می‌کند و برای آن مجوز عمومی باقی نمی‌گذارد.

این قواعد به حساب NVR دست نمی‌زنند؛ حساب مشاهده باید همچنان مجوز محدود داشته باشد. IP رایانه، هویت غیرقابل جعل نیست و در شبکه‌ای با کاربران نامطمئن به کنترل پورت و دسترسی شبکه هم نیاز دارید. دسترسی مدیر به خود روتر در زنجیره input است، نه forward؛ راهنمای حفاظت مدیریت میکروتیک کنترل‌های مکمل را توضیح می‌دهد.

ابتدا نقشه پورت و IP فعلی، وضعیت ضبط همه کانال‌ها و یک فیلم تازه را ثبت کنید. VLANها و سیاست محدودکننده را پیش از اتصال کاربران به شبکه جدید آماده کنید. تغییر پورت یا IP دوربینِ در حال ضبط می‌تواند همان کانال را موقتاً قطع کند؛ اگر وقفه قابل قبول نیست، به مسیر موازی و طرح مهاجرت متناسب با دستگاه نیاز دارید.

برای یک دوربین آزمایشی مجاز و NVR، پورت access و IP را طبق طرح جدید تغییر دهید و آدرس دوربین را در تنظیمات کانال NVR اصلاح کنید. حساب دوربین را بی‌دلیل عوض نکنید. پس از برگشت تصویر، یک حرکت معلوم ایجاد و بازپخش همان بازه را در NVR کنترل کنید. اگر NVR فقط یک رابط LAN دارد و دوربین‌های دیگری هنوز در شبکه قدیم‌اند، انتقال NVR می‌تواند آن‌ها را قطع کند؛ پیش از شروع باید ترتیب انتقال همه کانال‌ها یا مسیر موقت محدود و زمان حذف آن تعیین شده باشد.

پس از پذیرش کانال آزمایشی، انتقال بقیه را طبق همان طرح انجام دهید. کابل دوم NVR یا یک رایانه دوکارت‌شبکه‌ای نباید ناخواسته دو شبکه را به هم پل کند. برای تغییر شبکه، هارد را Initialize نکنید و برنامه ضبط را از نو نسازید؛ فیلم قبلی باید حفظ شود.

برای هر آزمون، مبدأ، مقصد، پورت، زمان، نتیجه و شمارنده قاعده را ثبت کنید. Wi-Fi یا VPN موازی رایانه را از مسیر آزمون کنار بگذارید و با نشست تازه کار کنید. شکست ping به‌تنهایی کافی نیست؛ در این نمونه ICMP بین دو VLAN مجاز نشده است. اگر شمارنده‌ها تغییر نمی‌کنند، قبل از پذیرش نتیجه، مسیر، offload و قواعد جلوتر را بررسی کنید.

مرز این نتیجه IPv4 مسیریابی‌شده است. اگر IPv6 در محیط فعال است، سیاست و آزمون IPv6 نیز باید کامل شود یا عبور آن در مسیر موردنظر به‌طور کنترل‌شده بسته باشد. MAC management، دسترسی فیزیکی به پورت‌ها و ارتباط داخل VLAN 30 نیز با این جدول آزموده نشده‌اند.

اگر ضبط یا مشاهده مجاز برنگشت، ابتدا مسیر کانال آزمایشی را طبق ثبت اولیه برگردانید: پورت و VLAN، IP و Gateway دستگاه و آدرس کانال NVR. پاک‌کردن همه قواعد یا خاموش‌کردن VLAN filtering در حالی که کابل‌ها وصل‌اند می‌تواند شبکه‌ها را دوباره به هم متصل کند. بازگشت را از مسیر مدیریت مستقل و با حفظ محدودیت دسترسی انجام دهید؛ Safe Mode جای برگرداندن تنظیم دوربین و سوئیچ را نمی‌گیرد.

پس از آزمون موفق، تغییرات RouterOS را با خروج آگاهانه از Safe Mode تثبیت، تنظیمات نهایی را ذخیره و هر مسیر موقت را حذف کنید. مشخص کنید چه کسی اجازه مشاهده، مدیریت و تغییر قواعد را دارد. اگر بعداً انتقال تصویر بیرونی می‌خواهید، انتخاب روش انتقال تصویر را جدا انجام دهید؛ در VPN فقط مقصد لازم به این سیاست افزوده می‌شود و در سرویس سازنده، ارتباط خروجی لازم باید با مستند همان سرویس طراحی و آزموده شود.