Güvenlik Kamerası İçin Ağ Kurulumu: IP Planı, DHCP Rezervasyonu, Ayrı Kamera Ağı ve Güvenli Uzaktan Erişim

Kamera ağı nedir ve neden ayrı planlanır?

Kamera ağı, IP kameraların, kayıt cihazının (NVR) ve bunları bağlayan switch'lerin oluşturduğu yerel ağdır; sürekli ve yüksek hacimli video trafiği taşıdığı için ofis ya da ev ağından ayrı düşünülmelidir. Bir kamera günün 24 saati kesintisiz veri üretir; bu akış aynı switch üzerindeki bilgisayar ve yazıcı trafiğiyle yarışırsa görüntüde kopma ve kayıtta boşluk görülür.

İkinci neden güvenliktir. Kameralar küçük birer bilgisayardır ve üzerlerinde çalışan yazılım zamanla açık bulur. Kameraları diğer cihazlarla aynı ağa koymak, bir cihazın ele geçirilmesi durumunda diğerlerine de erişim yolu açar. Bu yüzden kamera ağı tasarlanırken amaç iki şeydir: video akışı için kararlı bir yol sağlamak ve kamera cihazlarını erişimi sınırlı bir bölgeye almak.

Kayıt cihazı seçimi ağ tasarımını da etkiler. Kameralar doğrudan NVR'ın PoE portlarına bağlanıyorsa ağ çok basittir; kameralar ayrı bir switch üzerinden dağıtılıyorsa IP planı ve switch kapasitesi önem kazanır. Cihaz tipleri için NVR mi DVR mı rehberine bakabilirsiniz.

IP planı nasıl yapılır? Özel adres blokları ve örnek düzen

IP planı, kamera ağındaki her cihaza hangi adres aralığından adres verileceğini baştan yazıya dökmektir; tahmine dayalı adreslemeden daha az çakışma ve daha kolay arıza bulma sağlar. Yerel ağlarda kullanılacak adresler RFC 1918'de tanımlanan üç özel bloktan seçilir: 10.0.0.0/8, 172.16.0.0/12 ve 192.168.0.0/16. Bu adresler internette yönlendirilmez, yani doğrudan dışarıdan erişilemez.

Adres sayısı hesabı basittir: bir /24 alt ağda 256 adres vardır, ağ ve yayın adresleri çıkınca 254 cihaz adresi kalır (formül: 2^(32 − önek) − 2). Küçük ve orta sistemlerin çoğu için bir /24 yeterlidir; 250'den fazla cihaz varsa ya da kameralar kat veya bina bazında ayrılacaksa birden fazla alt ağ planlanır.

Yaygın bir hata, kamera ağını ev ya da ofis ağıyla aynı alt ağ numarasında bırakmaktır. Birçok modemin varsayılan ağı 192.168.1.0/24 ya da 192.168.0.0/24 olduğundan, ileride uzaktan erişim için VPN kurulduğunda iki ağ çakışabilir. Kamera ağı için farklı bir blok seçmek (örneğin 10.20.30.0/24) bu sorunu baştan önler.

• .1 ağ geçidi (router ya da güvenlik duvarı).
• .2 – .9 switch'ler ve erişim noktaları.
• .10 – .19 kayıt cihazları, NAS ve yönetim bilgisayarı.
• .20 – .199 kameralar; her kamera için sabit adres, kat ya da bölgeye göre sıralı.
• .200 – .250 geçici bağlantılar için DHCP havuzu (teknisyen dizüstü bilgisayarı gibi).
• Kayıt defteri: her adresin karşısına cihaz adı, seri numarası, konum ve MAC adresi yazılmalı.

DHCP rezervasyonu mu, statik IP mi?

Kameralara sabit adres vermenin iki yolu vardır: kameranın içinde statik IP girmek ya da DHCP sunucusunda MAC adresine bağlı rezervasyon yapmak. İkisi de adresin değişmemesini sağlar; fark, ayarın nerede tutulduğudur. Statik IP kameranın kendisinde durur, DHCP rezervasyonu ise router ya da DHCP sunucusunda durur.

Rezervasyon, bir kamera değiştirildiğinde ya da fabrika ayarına döndüğünde kolaylık sağlar; yönetim tek yerden yapılır, çakışma riski azalır. Statik IP ise DHCP sunucusu çalışmasa bile kameranın erişilebilir kalmasını sağlar. Kayıt cihazına doğrudan bağlı küçük sistemlerde statik, çok kameralı ve switch üzerinden dağıtılan sistemlerde rezervasyon daha yönetilebilirdir.

Hangi yöntem seçilirse seçilsin kural aynıdır: kamera adresleri DHCP havuzunun dışında kalmalı, aynı adres iki cihaza verilmemeli ve adres listesi güncel tutulmalıdır.

Kamera ağını ayırma: ayrı switch ve VLAN

Kamera ağını ayırmanın iki yolu vardır: fiziksel olarak ayrı bir switch kullanmak ya da aynı switch üzerinde VLAN ile mantıksal ayırmak. Ayrı switch en basit ve en anlaşılır yöntemdir; kameralar kendi switch'ine, switch de yalnızca kayıt cihazına bağlanır, ofis ağıyla bağlantı yoktur.

VLAN (Virtual LAN), IEEE 802.1Q standardına dayanır: ethernet çerçevesine bir VLAN etiketi eklenir ve etiket 12 bit olduğundan 4094 kullanılabilir VLAN kimliği bulunur. Yönetilebilir (managed) bir switch'te kamera portları belirli bir VLAN'a atanır; farklı VLAN'lar arasında trafik ancak ağ geçidi üzerinden ve kurallara göre geçebilir. Switch'ler arası bağlantı portu ise birden fazla VLAN taşıyan trunk portu olarak ayarlanır.

VLAN tek başına güvenlik duvarı değildir. Ayrı bir VLAN oluşturmak kamerayı korur gibi görünse de, ağ geçidinde VLAN'lar arası trafiği kısıtlayan kurallar yazılmazsa ayrım etkisiz kalır. Genel ilke, ağ bölümlerini görev ve işleve göre ayırmak ve gereksiz trafiği engellemektir; bu yaklaşım CISA'nın ağ altyapısı güvenliği rehberinde de yer alır.

• Kamera VLAN'ı: yalnız kameralar ve kayıt cihazı; internete çıkış kapalı ya da çok sınırlı.
• Kullanıcı VLAN'ı: ofis ya da ev bilgisayarları; kamera VLAN'ındaki yalnız kayıt cihazına ya da izleme istasyonuna erişir.
• Misafir ağı: kamera ağından tamamen yalıtılmış.
• Kural mantığı: varsayılan olarak reddet; yalnız gerekli yönlere izin ver (kullanıcıdan kayıt cihazına, kayıt cihazından kameralara).
• Yönetim erişimi: switch ve kamera yönetim arayüzlerine yalnız belirli bir yönetim bilgisayarından ulaşılsın.

PoE switch seçimi ve bant genişliği hesabı

PoE (Power over Ethernet) kameranın hem verisini hem gücünü tek ağ kablosundan taşır ve switch seçimi iki hesaba dayanır: güç bütçesi ve veri hızı. Güç tarafında IEEE standartları şöyledir: 802.3af (Type 1) cihaz ucunda yaklaşık 12,95 W, 802.3at (Type 2) yaklaşık 25,5 W, 802.3bt (Type 3 ve 4) ise yaklaşık 51 W ve 71,3 W sağlar. Switch portundan çıkan güç bu değerlerin biraz üstündedir çünkü kabloda kayıp olur.

Güç bütçesi için kameraların etiket değerleri toplanır ve üzerine pay bırakılır: toplam güç = Σ kamera gücü; seçilecek switch'in toplam PoE bütçesi bu toplamın altında kalmamalıdır. Bütçe, port sayısıyla karıştırılmamalıdır: 16 portlu bir switch, tüm portları tam güçte besleyemeyebilir.

Veri tarafında toplam akış = kamera sayısı × kamera bit hızı. Örneğin 16 kamera ve kamera başına 4 Mbit/s için toplam 64 Mbit/s eder. Bu rakam yalnız kameradan kayıt cihazına giden akıştır; canlı izleme yapan her kullanıcı ek akış doğurur. Switch'ler arası bağlantıyı tam kapasiteye yaklaştırmamak ve gerektiğinde gigabit bağlantı kullanmak yaygın uygulamadır. H.265 sıkıştırması aynı görüntü kalitesinde H.264'e göre daha düşük bit hızı sağlar ve ağ yükünü azaltır.

Bakır ethernet kablosunda kanal uzunluğu sınırı 100 metredir; bu sınır PoE için de geçerlidir. Daha uzak noktalar için fiber, PoE genişletici ya da ara switch kullanılır. Elektrik kesintisinde çalışmaya devam etmek için UPS ve enerji rehberine bakılabilir.

Router ve ağ geçidi güvenliği

Kamera ağının güvenliği, çoğunlukla router ya da güvenlik duvarının ayarlarına bağlıdır; internete açılan tek kapı orasıdır. Önce varsayılan parolalar değiştirilmeli: CISA'nın rehberi, varsayılan parolaların değiştirilmesini ve en az sekiz karakterlik, uzun parola kullanımına izin veren bir düzeni öneriyor.

Yönetim arayüzü yalnız yerel ağdan açık olmalı, internetten erişim kapatılmalıdır. Gereksiz hizmetler de kapatılmalıdır: CISA keşif protokolleri, Telnet ve FTP gibi şifresiz yönetim protokolleri ve gereksiz HTTP erişimi gibi servislerin devre dışı bırakılmasını tavsiye eder. Router yazılımı (firmware) güncel tutulmalı ve güncellemeler yalnızca üreticinin resmi sitesinden indirilmelidir.

• Varsayılan parola: router, switch, kamera ve kayıt cihazında değiştirilsin; kameralar için her cihaza ayrı ve uzun parola kullanılsın.
• UPnP: kamera ağı için kapatılsın; çünkü cihazların router'da kendiliğinden port açmasına yol açabilir.
• Uzak yönetim: router arayüzüne internetten erişim kapalı olsun.
• Gereksiz servisler: Telnet, FTP ve kullanılmayan kamera protokolleri kapatılsın; yalnız gerekli olan (örneğin ONVIF ya da RTSP) açık kalsın.
• Firmware: router, switch, kamera ve kayıt cihazı için güncelleme takvimi oluşturulsun.
• Kayıt tutma: ağ geçidi günlükleri bir süre saklansın; olağandışı bağlantı denemeleri fark edilebilsin.

Uzaktan erişim için güvenli yöntemler

Kameraya uzaktan erişmenin en riskli yolu router'da kamera ya da kayıt cihazı portlarını doğrudan internete yönlendirmektir (port forwarding). Bu yöntemde cihaz, internet taramalarında görünür hale gelir ve her açık port saldırı yüzeyini büyütür. Bunun yerine VPN ya da üreticinin bulut hizmeti tercih edilmelidir.

VPN (sanal özel ağ) dışarıdaki telefonu ya da bilgisayarı şifreli bir tünelle kamera ağına bağlar; kameralar internete hiç açılmaz. Router ya da güvenlik duvarı üzerinde VPN sunucusu (WireGuard, IPsec ya da OpenVPN) çalıştırılır ve yalnız bu hizmetin portu dışarıya açılır. Parola yerine anahtar ya da çok adımlı doğrulama kullanmak güvenliği artırır. İnternet sağlayıcınız ortak (CGNAT) adres veriyorsa dışarıdan sunucuya ulaşmak zorlaşır; bu durumda sağlayıcıdan sabit ya da genel IP istenmesi gerekir.

Üreticilerin bulut (P2P) hizmetleri ise kamera ya da kayıt cihazının dışarıya doğru bağlantı kurmasına dayanır; router'da port açmak gerekmez. Bu yöntem kurulum açısından kolaydır, fakat güvenlik hesap parolasının gücüne ve çok adımlı doğrulamaya bağlıdır. Uygulama kurulumları için Hik-Connect ve DMSS gibi uygulama rehberleri, telefonla izlemenin temelleri için kamerayı telefondan izleme rehberi kullanılabilir.

Hangi yöntem seçilirse seçilsin canlı izleme ve kayıt için kullanılan RTSP protokolünün IANA'ya kayıtlı varsayılan portu 554'tür; bu porta internetten erişim açılmaz. Kayıtların bir NAS'a aktarılması düşünülüyorsa NAS ile kamera kaydı rehberi ağ ve disk planı için yol gösterir.

Kurulum sırası: adım adım kontrol listesi

Ağ kurulumunda sıra önemlidir; önce plan, sonra donanım, en son erişim ayarı yapılır. Aşağıdaki adımlar küçük ve orta ölçekli bir sistem için uygulanabilir bir iş akışı sunar.

• 1. Keşif: kamera sayısı, kablo mesafeleri (en çok 100 m), switch yerleri ve elektrik durumu çıkarılır.
• 2. IP planı: alt ağ, adres aralıkları ve cihaz listesi yazılır; mevcut ağla çakışma kontrol edilir.
• 3. Güç ve veri hesabı: toplam PoE gücü ve toplam bit hızı hesaplanır, switch ve uplink buna göre seçilir.
• 4. Ayrım: ayrı switch ya da VLAN kurulur; VLAN'lar arası kurallar yazılır.
• 5. Adresler: kameralara sabit adres ya da DHCP rezervasyonu verilir, liste güncellenir.
• 6. Parola ve firmware: tüm cihazlarda varsayılan parolalar değişir, yazılımlar güncellenir.
• 7. Kayıt cihazı: kameralar tanıtılır, uyumluluk için gerekirse ONVIF desteği kontrol edilir.
• 8. Uzaktan erişim: VPN ya da bulut hizmeti kurulur, port yönlendirme yapılmaz.
• 9. Test ve belge: kayıt, izleme ve uzaktan erişim denenir; ağ şeması ve parolalar yetkili kişiye teslim edilir.

Kurulumcu bulmak ve Bayifi'nin yeri

Ağ ayarlarını kendiniz yapmak istemiyorsanız, keşif yapan ve ağ şemasını yazılı teslim eden bir kurulumcu seçmek işi kolaylaştırır. Bayifi'de il il kurulumcu dizinine bayi listesi üzerinden ulaşabilirsiniz.

Toptancıların anlık stoklu ürünlerini görmek ve tek talep ile çok toptancıdan teklif almak için Bayifi pazar yerine bakabilirsiniz. Firmanızı dizine eklemek isterseniz kaydol sayfası kullanılır.