Monitoring IP – instalacja w Małopolsce dla obiektów rozproszonych

Monitoring IP – instalacja w Małopolsce rzadko ogranicza się do jednego budynku z kamerami wokół. Coraz częściej projektujemy systemy rozproszone: firmę z biurem w Krakowie i magazynem w Niepołomicach, pensjonat w Wieliczce z domkami na stoku, plac budowy pod Myślenicami bez stałego prądu czy kilka posesji jednej rodziny w różnych gminach. W tym artykule pokazujemy, jak połączyć takie lokalizacje w jednym oprogramowaniu, jak rozprowadzić PoE po dużym terenie, jak oddzielić kamery od reszty sieci i jak zapewnić zdalny dostęp bez otwierania furtki dla intruzów.

Monitoring IP w Małopolsce – kiedy obiekt jest rozproszony

Obiekt rozproszony to taki, w którym kamery nie mieszczą się w zasięgu jednego przełącznika i jednego rejestratora albo znajdują się w kilku niezależnych lokalizacjach. W regionie krakowskim spotykamy przede wszystkim takie przypadki:

• Firma wielooddziałowa – biuro w Krakowie, magazyn w strefie przemysłowej w Niepołomicach lub Skawinie, punkt sprzedaży w Bochni. Właściciel chce widzieć wszystko w jednej aplikacji.
• Duży teren w jednej lokalizacji – plac składowy, parking, gospodarstwo z kilkoma budynkami, ośrodek wypoczynkowy, gdzie odległości między kamerami przekraczają 100 m.
• Obiekty turystyczne – pensjonaty i domki w okolicach Wieliczki, Myślenic czy Dobczyc, rozrzucone na nierównym terenie.
• Place budowy – tymczasowe, bez stałego łącza i często bez stałego prądu, przenoszone po zakończeniu inwestycji.
• Działki rekreacyjne i domy letniskowe – rzadko odwiedzane, bez internetu stacjonarnego, narażone na kradzieże poza sezonem.
• Kilka nieruchomości jednej rodziny – dom w Zielonkach, mieszkanie na wynajem w Krakowie, dom rodziców pod miastem.

W każdym z tych przypadków technologia IP daje przewagę, której nie zapewni analog: obraz można przesłać dowolną drogą sieciową – skrętką, światłowodem, radiem lub przez internet – i połączyć w jednym miejscu. Wymaga to jednak przemyślanej architektury sieci i bezpieczeństwa, bo z każdą kolejną lokalizacją przybywa punktów, przez które ktoś mógłby się dostać do systemu. Podstawy techniczne pojedynczego systemu – porównanie analog HD i IP, dobór rejestratora i dysków – opisaliśmy w artykule instalacja kamer CCTV w Krakowie. Tutaj skupiamy się na tym, co dzieje się, gdy system wychodzi poza jeden budynek.

Architektura systemu: zapis lokalny, centralny i na kamerze

Pierwsza decyzja w systemie rozproszonym brzmi: gdzie zapisywać nagrania. Od niej zależą wymagania wobec łączy internetowych, koszty sprzętu i odporność systemu na awarie.

Zapis lokalny w każdej lokalizacji

W każdym obiekcie stoi własny rejestrator NVR z dyskiem. Nagrania nie muszą przechodzić przez internet – do centrali lub na telefon przesyłany jest tylko podgląd na żywo i fragmenty odtwarzane na żądanie. Awaria łącza nie przerywa nagrywania. To najczęstszy i najbezpieczniejszy model dla firm z kilkoma oddziałami.

Zapis centralny

Kamery z kilku lokalizacji nagrywają na jeden serwer lub rejestrator w siedzibie firmy. Upraszcza to zarządzanie i zabezpiecza nagrania przed kradzieżą rejestratora z oddziału, ale wymaga łączy o dużej i stabilnej przepustowości wysyłania w każdej lokalizacji. Przy dziesięciu kamerach 4 Mpx to już kilkadziesiąt Mb/s stałego ruchu – osiągalne na światłowodzie, nierealne na LTE.

Zapis na kamerze (edge recording)

Kamera zapisuje nagrania na własnej karcie microSD. Jako jedyny sposób zapisu sprawdza się w małych, odległych punktach, np. pojedynczej kamerze przy bramie działki. Jako uzupełnienie jest bardzo cenny: gdy zniknie połączenie z rejestratorem, kamera nagrywa lokalnie, a część systemów potrafi później uzupełnić lukę w archiwum.

Kilka lokalizacji w jednym VMS

VMS (Video Management System) to oprogramowanie do zarządzania wieloma rejestratorami i kamerami z jednego miejsca. W prostszej postaci rolę tę pełni darmowy program lub aplikacja producenta rejestratorów, w bardziej zaawansowanej – profesjonalna platforma z serwerem i licencjami na kamery.

Co daje jeden VMS

• Wspólne drzewo lokalizacji – Kraków, Niepołomice, Bochnia, a w każdej z nich kamery opisane nazwami miejsc, a nie numerami kanałów.
• Uprawnienia per lokalizacja – kierownik magazynu widzi tylko swój magazyn, właściciel wszystko, ochrona tylko podgląd na żywo bez eksportu.
• Mapy i plany – rozmieszczenie kamer na planie obiektu ułatwia szybkie znalezienie właściwego obrazu.
• Wspólne wyszukiwanie zdarzeń – np. wszystkie wykrycia osób po godzinie 22 we wszystkich lokalizacjach.
• Monitorowanie stanu systemu – powiadomienie o utracie obrazu z kamery, błędzie dysku czy rozłączeniu rejestratora. W systemie rozproszonym to najważniejsza funkcja, bo nikt nie zagląda codziennie do każdej kamery.

Kompatybilność sprzętu

Gdy w różnych lokalizacjach pracują urządzenia różnych producentów – na przykład przy przejęciu istniejących systemów – kluczowy staje się standard ONVIF. Profil S obejmuje podstawowe przesyłanie obrazu, profil T rozszerzone funkcje strumieniowania (m.in. kompresję H.265 i zdarzenia analityczne), a profil G zapis i odtwarzanie nagrań. Zgodność z ONVIF nie gwarantuje jednak, że wszystkie funkcje analityczne będą działać w obcym oprogramowaniu, dlatego przed wdrożeniem testujemy połączenie na rzeczywistych urządzeniach.

PoE i transmisja na dużym terenie

Na rozległym terenie – placu składowym, gospodarstwie, ośrodku wypoczynkowym – głównym ograniczeniem jest zasięg 100 m dla pojedynczego odcinka skrętki. Mamy kilka sposobów, by go obejść.

• Przełącznik pośredni – w szafce hermetycznej przy grupie kamer, zasilany lokalnie lub przez PoE z głównej szafy. Każdy kolejny odcinek może mieć do 100 m.
• Przedłużacze PoE – małe urządzenia wpinane w linię, które pozwalają wydłużyć odcinek, kosztem części budżetu mocy. Dobre dla pojedynczej kamery.
• Światłowód – dla odległości od kilkuset metrów do kilku kilometrów, z separacją galwaniczną między budynkami. Na końcu światłowodu stoi przełącznik PoE, który zasila kamery w danej strefie.
• Mosty radiowe – tam, gdzie wykop jest niemożliwy lub zbyt drogi, np. przez drogę, potok czy cudzą działkę. Wymagają bezpośredniej widoczności anten i stabilnego montażu; drzewa, które latem wypuszczają liście, potrafią pogorszyć łącze.

Kamery na masztach i słupach w otwartym terenie są narażone na przepięcia podczas burz. Stosujemy ograniczniki przepięć na liniach sygnałowych przy kamerze i przy przełączniku oraz właściwe połączenie z uziemieniem. Przy większych konstrukcjach warto skonsultować ochronę odgromową z projektantem instalacji elektrycznej.

VLAN i segmentacja sieci monitoringu IP

Kamera IP to mały komputer z systemem operacyjnym, który pracuje 24 godziny na dobę, często w miejscu dostępnym z zewnątrz budynku. Jeśli jest wpięta w tę samą sieć co komputery księgowości czy domowy laptop, każdy, kto odłączy kamerę przy bramie i wepnie własne urządzenie w jej kabel, może znaleźć się w sieci firmowej. Dlatego w instalacjach monitoringu IP stosujemy segmentację sieci.

Jak wygląda podział sieci

• VLAN kamer – osobna sieć wirtualna, w której są tylko kamery i rejestrator. Kamery nie mają dostępu do internetu ani do innych sieci.
• VLAN zarządzania – dla interfejsów administracyjnych przełączników, rejestratorów i UPS-ów, dostępna tylko dla upoważnionych osób.
• Sieć użytkowników – komputery i telefony, z których ogląda się obraz; ruch do rejestratora przechodzi przez zaporę z jasno określonymi regułami.

Dodatkowe zabezpieczenia

• Wyłączenie nieużywanych portów na przełącznikach i – tam, gdzie to możliwe – przypisanie portu do konkretnego urządzenia.
• Wyłączenie funkcji automatycznego otwierania portów (UPnP) w routerze i urządzeniach.
• Blokada wychodzącego ruchu kamer do internetu – kamery komunikują się tylko z rejestratorem.
• Synchronizacja czasu z wewnętrznego źródła NTP, tak by wszystkie lokalizacje miały spójny czas na nagraniach.

W małym domu tak rozbudowana segmentacja nie zawsze jest potrzebna – często wystarczy rejestrator z wbudowanym przełącznikiem PoE, który sam tworzy odizolowaną sieć dla kamer. W firmach i obiektach z kilkoma lokalizacjami traktujemy ją jako standard. Projektowanie i konfigurację sieci wykonujemy w ramach usługi sieci LAN.

Zdalny dostęp bez dziur w bezpieczeństwie

W systemie rozproszonym zdalny dostęp to nie dodatek, tylko podstawa działania – nikt nie będzie jeździł do Bochni, żeby obejrzeć nagranie. Jednocześnie to właśnie sposób zdalnego dostępu najczęściej decyduje o tym, czy system jest bezpieczny.

Przekierowanie portów – dlaczego go unikamy

Najprostsza metoda, wciąż spotykana w starszych instalacjach, polega na otwarciu w routerze portu i wystawieniu rejestratora bezpośrednio do internetu. Rejestrator staje się wtedy widoczny dla automatycznych skanerów, które stale przeszukują sieć w poszukiwaniu urządzeń z domyślnymi hasłami i znanymi lukami. Wystarczy jedna niezałatana podatność, by ktoś obcy oglądał Twoje kamery albo wykorzystał rejestrator do ataków na inne systemy.

Bezpieczniejsze metody

• VPN – zaszyfrowany tunel między telefonem lub komputerem a siecią w obiekcie albo tunel stały między lokalizacjami (site-to-site). Rejestrator nie jest widoczny w internecie, a dostęp mają tylko urządzenia z konfiguracją VPN.
• Usługa chmurowa producenta (P2P) – rejestrator sam łączy się z serwerem producenta, a aplikacja łączy się przez niego. Nie wymaga otwierania portów i działa także na łączach LTE bez publicznego adresu IP. Wymaga zaufania do producenta i dbania o aktualizacje.
• Centralny serwer VMS z dostępem dla użytkowników – użytkownicy łączą się z jednym, dobrze zabezpieczonym serwerem, a nie z każdym rejestratorem osobno.

Zasady, które stosujemy niezależnie od metody

• Imienne konta użytkowników z minimalnymi potrzebnymi uprawnieniami – nikt nie loguje się jako administrator na co dzień.
• Silne, unikalne hasła i – tam, gdzie oprogramowanie na to pozwala – uwierzytelnianie dwuskładnikowe.
• Regularne aktualizacje oprogramowania kamer, rejestratorów i routerów.
• Dziennik logowań i eksportu nagrań, przeglądany przy okresowym serwisie.
• Natychmiastowe usuwanie kont osób, które przestały współpracować z firmą.

LTE na działkach i budowach

W wielu miejscach w Małopolsce – na działkach rekreacyjnych, nowych placach budowy, przy budynkach gospodarczych na skraju wsi – nie ma internetu stacjonarnego, a często także stałego zasilania. Monitoring IP może działać i tam, jeśli odpowiednio zaplanujemy łączność i energię.

Łączność LTE

Podstawą jest router LTE (lub 5G) z możliwością podłączenia anteny zewnętrznej. Na terenach pagórkowatych, w dolinach i przy granicy lasu zasięg bywa zmienny, dlatego przed instalacją mierzymy sygnał różnych operatorów i dobieramy antenę kierunkową lub dookolną. Nagrania zapisywane są lokalnie – na rejestratorze lub kartach w kamerach – a przez LTE przesyłamy tylko powiadomienia, krótkie klipy zdarzeń i podgląd na żądanie. Dzięki temu zużycie danych jest umiarkowane: godzina podglądu strumienia pomocniczego około 1 Mb/s to około 0,45 GB.

Zasilanie bez sieci energetycznej

Na budowie zwykle korzystamy z rozdzielnicy budowlanej, ale trzeba pamiętać, że bywa ona wyłączana po godzinach pracy – monitoring musi mieć wtedy własne podtrzymanie. Na działkach bez przyłącza można zastosować zestaw z panelem fotowoltaicznym i akumulatorem. Przykładowy bilans: dwie kamery po 6 W i router LTE około 8 W to razem około 20 W, czyli około 480 Wh na dobę. Akumulator o pojemności około 1 kWh energii użytecznej zapewni wtedy około dwóch dób pracy bez słońca. Zimą, przy krótkim dniu i zachmurzeniu, produkcja z paneli spada bardzo mocno, dlatego zestaw dobieramy z dużym zapasem albo ograniczamy pobór, np. przez nagrywanie tylko zdarzeń i wyłączanie doświetlenia tam, gdzie nie jest konieczne.

Monitoring placu budowy

• Maszt lub słup tymczasowy z kamerami obejmującymi wjazd, kontenery, magazyn materiałów i maszyny.
• Szafka hermetyczna z zamkiem na rejestrator, router i zasilanie, zamocowana wysoko lub w kontenerze.
• Analityka przekroczenia linii po godzinach pracy z powiadomieniem na telefon kierownika budowy.
• Oznakowanie terenu monitorowanego i poinformowanie osób pracujących na budowie o monitoringu.
• Możliwość demontażu i przeniesienia zestawu na kolejną inwestycję.

Instalacja monitoringu IP w gminach wokół Krakowa

Pracujemy w Krakowie i okolicach. Poniżej przykłady miejscowości, do których dojazd jest dla nas codziennością, wraz z typowymi obiektami i kwestiami, na które zwracamy tam uwagę. Zakres dojazdu do innych miejscowości Małopolski najlepiej potwierdzić telefonicznie.

W Niepołomicach monitoring często łączy się z systemem alarmowym i kontrolą dostępu – o tym piszemy w artykule systemy alarmowe Niepołomice. Specyfikę hal, magazynów i parkingów, w tym analitykę i odczyt tablic rejestracyjnych, opisujemy w tekście kamery przemysłowe – montaż w Krakowie i okolicach.

Utrzymanie systemu rozproszonego

System z jedną lokalizacją właściciel ogląda codziennie i szybko zauważy, że któraś kamera nie działa. W systemie rozproszonym awaria kamery na odległym placu może pozostać niezauważona przez tygodnie – aż do dnia, w którym nagranie będzie potrzebne. Dlatego utrzymanie planujemy już na etapie projektu.

• Monitorowanie stanu – powiadomienia o utracie obrazu, błędach dysku, zaniku zasilania (z UPS) i rozłączeniu lokalizacji.
• Zdalna diagnostyka – dzięki bezpiecznemu dostępowi wiele problemów, jak zawieszona kamera czy błędna konfiguracja, da się rozwiązać bez dojazdu.
• Zdalne restarty – przełączniki zarządzalne pozwalają wyłączyć i włączyć zasilanie PoE pojedynczej kamery z poziomu panelu.
• Kopie konfiguracji – zapisane ustawienia rejestratorów, przełączników i routerów skracają przywrócenie działania po awarii.
• Przeglądy okresowe – czyszczenie obudow, kontrola uszczelnień i uchwytów, test akumulatorów, przegląd logów i aktualizacje.

Szczegółowo o typowych awariach, konserwacji i umowach serwisowych piszemy w artykule serwis monitoringu w Krakowie. Pełny zakres naszych usług CCTV znajdziesz na stronie monitoring Kraków i okolice.

Najczęściej zadawane pytania