Dotaz: Pristup na IP kamery v jine subsiti

[Karel]

Ahoj, resim zrovna takovy problem. Rozdelil jsem si domaci sit na duveryhodna zarizeni (192.168.200.1/24) a druha sit pro pro ruzne cinske zarizeni Aliexpressu(192.168.200.1/24). Na vetsine cinskych krabicek s tim nemam problem ale u IP kamer (prodává se jako levna chuvicka) mam nasledujici problem: Pokud se na kamery divam pres jejich aplikaci tak vse funguje, ale spojeni to ma nejspis pres cinske servery. Kdyz ale chci z kamery cist video stream (rtsp://192.168.100.42:554/) primo do MotionEye(reseno jako modul u HomeAssistant), ktery je provozovan v duveryhodne podsiti tak video nejde cist. Pokud bych kamery prepojil do duveryhodne site tak to fungovat bude.

Nevite jak protokol rtsp zprovoznit abych ho mohl cist z druhe site ? jako router pouzivam Mikrotik a obe site jsou propojene v bridgi. Jako AP pouzivam Ubiquity UNifi lite.

Karel

Odpovědi

[ewew]

Je zaujímave, že sú dve podsiete s /24. Pokial viem , tak na oddelenie siete je nutné mať iné číslo siete alebo inú sieťovú masku. Napríklad 192.168.200.1/25 a 192.168.200.128/25 alebo 192.168.200.0/24 a 192.168.201.0/24.

[Karel]

omlouvám se za zmateni : sit pro důvěryhodna zarizeni je 192.168.200.0/24 a sit pro cinske krabky je (vcetne tech IP kamer) je 192.168.100.0/24

[majales]

A nechybí vám jen routa do té sítě 192.168.100.0/24?

[Karel]

ping na kamery funguje a i na na webova rozhrani ostatnich zarizeni v neduveryhodne siti se dostanu z pocitacu v duveryhodne siti. Neco musi byt jinak jen s tim protokolem na stream z ip kamer

[czjaromir]

No pokud jsou tam windejsi tak je možné vše. Takže jaký máš systém na PC? Zkusil jsi přepnout rozsah na pc na ten nedůvěryhodný? Protože mám nějakou zkušenost s mikrotikem, občas se mi podařilo v zadávání adresy rozhraní zapomenout to obligatní /24 Pak se to samozřejmě chová všelijak.

[karel]

windows v teto situaci vubec nefiguruje ,,,, je zde jen IP kamera a MotionEye na linuxovem OS ..

[czjaromir]

Není nutný wireshark, taky bych spíš hledal problém v nastavení mikrotika.

[Jendа]

Protože to není přímo /, ale nějaká složitější URL, kterou neznáš a má ji každá kamera jinou. Zkus rtsp://192.168.x.x:554/user=admin&password=&channel=1&stream=0.sdp?real_stream, to na generické kamerky z Ali funguje.

[Jendа]

Teď jsem si všiml tohoto:

Pokud bych kamery prepojil do duveryhodne site tak to fungovat bude.

tak to je možná tím, že RTSP navazuje další spojení pro média, a ty to nějak blbě forwarduješ. Budeš to muset rozpitvat Wiresharkem a opravit.

[Filip Jirsák]

Pokud jsou ty sítě propojené v bridgi, je to špatně a ztrácí smysl to oddělení. Máte dvě samostatné sítě tak provoz mezi nimi normálně routujte. Na firewallu mezi těmi sítěmi je pak potřeba povolit provoz pro ty IP kamery.

[vencour]

Pardon, pokud je to Mikrotik, má tam jeden bridge s 2 rozsahy, tak pořád ještě může použít IP firewall, zakázat fast path a může blokovat přístup z jednoho rozsahu na druhý. A mělo by se to chovat omezeně.
(Jakou že má IP adresu ten bridge? Nebo jinak - kde jsou ty adresy .100.1 a .200.1? Na jakém přesně rozhraní?)

[karel]

Mate pravdu idelane by tam ten bridge nemel byt, ale dokud mam problem s funkcnosti spojeni na zbyvajici zarizeni tak jsem radeji chtel vse hodit docasne do bridge abych vyloucil problem s routovanim.

Spis mam podezreni zda ta IP kamera neodmita spojeni pro jiny rozsah nez ve kterem je ona sama ... ale nevim jak to zjistit. Ve wiresharku je to hledani na dlouho ...

[Filip Jirsák]

Pokud to nastavíte jako bridge, pak musíte správně nakonfigurovat síť. Je to jen jedna síť 192.168.0.0/16.

[j]

Jirsak, zalez na ruut a neblabol ... meles tu zas ty svy hovna a vis vo tom sranec. Bridge naprosto nijak neovlivnuje to, co se jak bude routovat, nema to stim zhola nic spolecnyho a vic subnetu na jedny L2 siti se pouziva zcela bezne.

2Karel: pust si na tom tcpdump, ten by pro mikrotika byt mel. A odchyt si co ti prijde, a co ti odejde, normalne by to mel odroutovat bez ohledu na nesmyslnost tvyho pocinani, protoze by mel obe cesty znat na stejnym rozhrani.

Klidne muzes mit i na tech kamerach zakazano komunikovat do jinyho nez lokalniho subnetu. To ti (mimo jiny) ten tcpdump praskne taky.

A jestli chces vic rad, tak sem hod ip ad ls + ip ro ls z toho mikrotika (nejsem si teda uplne jistej, jestli dodrzujou syntax).

---

Dete s tim guuglem dopice!

[X]

vic subnetu na jedny L2 siti se pouziva zcela bezne

Jenze tohle podle masky nejsou subnety, ale dve samostatne ceckove site..

[bigBRAMBOR]

u všech všudy

[bigBRAMBOR]

můj ty tondo

[X]

Co je? Pripada ti 192.168.200.0/24 jako klasicky subnet? Ceho? 192.168.0.0/16, nebo snad 192.168.200.0/23.. silne pochybuju, ze to tazatel ma..

[czjaromir]

Z toho co jsem tady četl jsem chytil totální chaos, protože to co jsem si myslel že vím zde bylo změněno. Tak pro jistotu a pro všechny https://cs.wikipedia.org/wiki/Maska_s%C3%ADt%C4%9B Myslím že to původní /24 je ok na obou subnetech.

[vencour]

Jo.
A pokud bude mít bridge rozsah /16, tak v tom rozsahu budou obě sítě.
Na druhou stranu občas slýcham o zařízeních, co toto nereflektují, že je něco jako brána a do cizí sítě neodpoví. A proto je dobře prozkoumat okolnosti.

[bigBRAMBOR]

Třídy adres A,B,C,D se nepouzivaji asi 30let a vsechno jsou jen subnety od /0

[X]

Tak jiste, ale ocekaval bych 192.168.0.0/23, /22, ale 192.168.100.0/24 a 192.168.200.0/24 jsou na subnety proste moc daleko..

[...]

Tak hlavně aby ta zařízení na dvou subnetech v jedné L2 síti věděla, že se tam ten druhý subnet vyskytuje. Aby to ty čínské krabičky vůbec kously.

[Filip Jirsák]

Buď jsou to dvě sítě, pak zařízení o té druhé síti nic vědět nemusí, protože komunikaci mezi sítěmi zajistí router. Pokud je to jedna síť (což tazatel nechce) – pak je to jedna síť a není co řešit. Problém je právě v tom, pokud by se to částečně tvářilo jako jedna síť a částečně jako dvě sítě. S tím se právě nejspíš jednoduchá zařízení nevypořádají.

[Filip Jirsák]

Chápu už zase všem nadáváte, protože něčemu nerozumíte. Vysvětlím vám to.

Pokud jsou dvě zařízené ve stejné síto, komunikují přímo. Pokud jsou v různých sítích, komunikují přes router. Takhle jednoduché to je.

Sice se to občas dá různě ohackovat, aby to bylo jinak, ale IP kamery asi zrovna nebudou ta zařízení, ve kterých můžete síť nakonfigurovat jak vás napadne. Takže bych se u těch kamer držel osvědčeného schématu popsaného v předchozím odstavci.

[bigBRAMBOR]

a pritom pravdu mate oba dva(doslova ani jeden). Opravdu tam muze byt bridge mezi sitovkama a nema to vliv na adresaci, muze si dat na jednu stranu 192.168.100.0/24 a na druhou 192.168.200.0/24 a routovat mezi sitema, pokud nastavi na ten bridge(a nebo nekam jinam) pro obe dve site IP adresu pri routovani. Pokud tam ma bridge muze ty adresy klidne misit jak chce a bude to fungovat a budou splu komunikovat pres router.

on velmi hrube reagoval na tvoji větu Pokud to nastavíte jako bridge, pak musíte správně nakonfigurovat síť. Je to jen jedna síť 192.168.0.0/16 a to proste pravda neni.

[Filip Jirsák]

Takže abychom si to shrnuli. Pokud je tam jen bridge, je tam jedna síť. Pokud jsou tam dvě sítě, musí mezi nimi být router. A je úplně jedno, zda ty dvě sítě jsou na stejném L2 segmentu nebo jsou propojené přes bridge, prostě mezi nimi pořád musí být router.

Můžeme si to ukázat i na konkrétním příkladu. Když obyčejné zařízení, které je v síti 192.168.100.0/24 a které umí akorát nastavit svou IP adresu, masku sítě a bránu, dostane k odeslání paket s cílovou adresou z 192.168.200.0/24, podívá se, jaká je adresa brány a odešle na ní paket. Je pak na bráně, aby paket doručila do cílové sítě (nebo ho alespoň poslala do nějaké sítě, která je cíli blíž).

[X]

Jakou bude mit branu 192.168.100.0/24 a jakou 192.168.200.0/24? Takze na to mostu budou dve brany? Pekny hnus.

[Filip Jirsák]

Jakou bude mit branu 192.168.100.0/24

Ideálně nějakou z 192.168.100.0/24.

jakou 192.168.200.0/24?

Ideálně nějakou z 192.168.200.0/24.

Takze na to mostu budou dve brany?

S mostem to nijak nesouvisí. Prostě v každé síti bude jedna brána. To je standardní konfigurace, většina hlavně jednodušších zařízení ani s ničím jiným pracovat neumí.

[X]

Jaky vyznam tam potom melo vytvaret ten bridge, kdyz se to vsechno stejne musi routovat?

žádný

[Filip Jirsák]

Podle mne žádný a je to chyba, mělo by tam být jen routování. Pochopil jsem to tak, že smyslem je ty dvě sítě oddělit.