Camera's uit andere VLAN benaderen

[Pazo]

Wellicht een noob vraag, maar ik ben nieuw op het gebied van VLAN's

TL;DR Hoe laat ik mijn server met camera software die op VLAN20 zit (192.168.2.x) de beelden van mijn beveiligingscamera's binnen halen die op VLAN30 zitten (192.168.3.x)?

Long story:
Ik wilde al lange tijd mijn netwerk scheiden met VLAN's. Na veel inlezen kwam ik tot de conclusie dat mijn (nu oude) apparatuur dat niet aan kon, dus geïnvesteerd in nieuwe apparatuur:
Router: pricewatch: DrayTek Vigor 2135FVac
Switch: pricewatch: DrayTek VigorSwitch G2280x (Layer 2+ switch met Layer 3 functionaliteit op onder andere VLANs)
Access point: pricewatch: DrayTek VigorAP 960C

Na een week lang ieder avond een paar uren ploeteren nu eindelijk al mijn apparaten ingedeeld in de volgende VLANs:
Default (1) - 192.168.1.x = Management (dus Router, Switch, Access point, verder niets)
VLAN 20 - 192.168.2.x = Trusted (vaste PC's, server, mobiele telefoons, tablets etc)
VLAN 30 - 192.168.3.x = IoT (o.a. 5 beveiligingscamera's)
VLAN 40 - 192.168.4.x = Gastnetwerk

Ik heb alle apparaten in de juiste VLANs weten te krijgen, waarbij ze een vast IP krijgen.
So far so good. Zo zijn mijn beveiligingscamera's te bereiken als ik verbinding maak met het VLAN30 netwerk.
Maar nu dus de vraag: mijn server zit in VLAN20, waar ik BlueIris op heb draaien als security software. Hoe kan ik nu de camera's die in VLAN 30 zitten bereiken? Simpel het IP adres instellen werkt uiteraard niet. Zover ik begrijp moet ik in de switch aan de slag met TAGGED en UNTAGGED? Ik heb al gelezen dat ik waarschijnlijk de poorten waar de camera's op zitten enkel op PVID 30 en UNTAGGED 30 moet laten staan, en dat ik de poort waar de server op zit moeten gaan aanpassen. Nu heb ik daar al verschillende instellingen geprobeerd, maar krijg het niet werkend.

Om even 1 camera als voorbeeld te pakken:
De camera zit op poort 8 (VLAN30)
De server zit op poort 15 (VLAN20)
Uplink tussen switch en router zit op poort 24.



Nu heb ik al op poort 15 (server) 30 als TAGGED VLAN ingesteld, maar dat werkt niet.

Wie kan me op weg helpen?

[g1n0]

Je moet dan op je server ook nog een net-interface aanmaken met tagged vlan 30 en een ip in je iot netwerk. Andere manier zou zijn om firewall rules aan te maken tussen je vlans, maar dat vind ik zelf een minder mooie oplossing om verschillende redenen.

[Blommie01]

g1n0 schreef op zondag 18 april 2021 @ 22:41:
Je moet dan op je server ook nog een net-interface aanmaken met tagged vlan 30 en een ip in je iot netwerk. Andere manier zou zijn om firewall rules aan te maken tussen je vlans, maar dat vind ik zelf een minder mooie oplossing om verschillende redenen.

Die snap ik niet.

Routers en firewalls zijn hier voor gemaakt.

@Pazo Hier moet je gewoon je router/firewall voor gebruiken.

[The Realone]

Blommie01 schreef op zondag 18 april 2021 @ 22:47:
[...]


Die snap ik niet.

Routers en firewalls zijn hier voor gemaakt.

@Pazo Ik zou hier gewoon je router/firewall voor gebruiken.

Dit. Het is bij uitstek een router taak. Een 2e NIC op de server waar je ook nog eens je verkeer op tagged is een net-niet oplossing. Daar kan ik mee leven als je grote hoeveelheden verkeer/connecties tussen cams en server hebt en je router dat niet bij zou kunnen benen, maar dat is het wel zo'n beetje.

Dus, VLAN tussen switch en router taggen, je router daarin een interface geven en routeren.

[g1n0]

Blommie01 schreef op zondag 18 april 2021 @ 22:47:
[...]


Die snap ik niet.

Routers en firewalls zijn hier voor gemaakt.

@Pazo Ik zou hier gewoon je router/firewall voor gebruiken.

Snap je punt.

Bij gehele vlans ben ik het eens, bij 1 device zou ik het niet doen. Firewalling tussen vlans op ip niveau vind ik niet heel netjes, maar dat is wellicht persoonlijk. Daarnaast: je routeert al je verkeer over/naar je router waar je het met 5 camera’s over ongeveer 25mbit hebt (uitgaande van 1080p). Onnodig belastend en onnodige paden in je topology terwijl die camera wellicht op dezelfde switch zit.

Nogmaals, waarschijnlijk persoonlijke voorkeur.

[Blommie01]

g1n0 schreef op zondag 18 april 2021 @ 23:05:
[...]

Snap je punt.

Bij gehele vlans ben ik het eens, bij 1 device zou ik het niet doen. Firewalling tussen vlans op ip niveau vind ik niet heel netjes, maar dat is wellicht persoonlijk. Daarnaast: je routeert al je verkeer over/naar je router waar je het met 5 camera’s over ongeveer 25mbit hebt (uitgaande van 1080p). Onnodig belastend en onnodige paden in je topology terwijl die camera wellicht op dezelfde switch zit.

Nogmaals, waarschijnlijk persoonlijke voorkeur.

Dan kan TS zijn NVR beter in het VLAN van de camera’s plaatsen.

[Frogmen]

Dit is waarom je grote vraagtekens kan zetten bij het nut van VLAN's in thuis situaties, je wilt teveel uitzondering die toch weer in meerdere VLAN's kunnen. Waardoor het nut vervalt.
Uitzondering is het gast VLAN maar dat kan vaak ook op een andere manier gerealiseerd worden.

[Pazo]

Bedankt voor de antwoorden

The Realone schreef op zondag 18 april 2021 @ 23:01:
[...]


Dit. Het is bij uitstek een router taak. Een 2e NIC op de server waar je ook nog eens je verkeer op tagged is een net-niet oplossing. Daar kan ik mee leven als je grote hoeveelheden verkeer/connecties tussen cams en server hebt en je router dat niet bij zou kunnen benen, maar dat is het wel zo'n beetje.

Dus, VLAN tussen switch en router taggen, je router daarin een interface geven en routeren.

In theorie kan ik een 2e NIC op mijn server gebruiken, ik er 4 op zitten waarvan 2 in gebruik Maar als het beter is om het gewoon aan de router / switch over te laten, graag.

g1n0 schreef op zondag 18 april 2021 @ 23:05:
[...]

Snap je punt.

Bij gehele vlans ben ik het eens, bij 1 device zou ik het niet doen. Firewalling tussen vlans op ip niveau vind ik niet heel netjes, maar dat is wellicht persoonlijk. Daarnaast: je routeert al je verkeer over/naar je router waar je het met 5 camera’s over ongeveer 25mbit hebt (uitgaande van 1080p). Onnodig belastend en onnodige paden in je topology terwijl die camera wellicht op dezelfde switch zit.

Qua info mbt de camera's: ik heb er 4x 1080P camera's op zitten en 1x 4K camera. Alle 5 bedraad, alle 5 dus een eigen poort op de switch.

Blommie01 schreef op zondag 18 april 2021 @ 23:10:
[...]


Dan kan TS zijn NVR beter in het VLAN van de camera’s plaatsen.

Dat wil ik nu net niet. NVR (Blueiris) draait op de server waar ook de rest van netwerk (in VLAN20) mee verbonden is.

Ik wil eigenlijk, en volgens mij moet dat wel kunnen, dat BlueIris op VLAN20 dus de beelden van de camera's op VLAN30 kan binnen halen. Maar dan moet het wel zo zijn dat het eenrichtingsverkeer is? Althans, bedoel te zeggen dat mocht een camera gehackt worden, dat de rest van VLAN 20 dan wel veilig is. Of werkt dat niet zo? Daar schiet mijn kennis dus tekort.

(Wat ik evt ook nog kan doen, als dat het makkelijker zou maken, is op de server een VM maken met daarom weer Windows + BlueIris. Die krijgt dan een eigen NIC die ik dan ook in VLAN30 zou kunnen zetten. Maar dan nog, wil wel makkelijk bij opgeslagen beelden kunnen komen. En lijkt me toch weel omslachtiger en meer belasting voor de server).

Frogmen schreef op maandag 19 april 2021 @ 10:46:
Dit is waarom je grote vraagtekens kan zetten bij het nut van VLAN's in thuis situaties, je wilt teveel uitzondering die toch weer in meerdere VLAN's kunnen. Waardoor het nut vervalt.
Uitzondering is het gast VLAN maar dat kan vaak ook op een andere manier gerealiseerd worden.

Misschien wel, maar ik wil toch mijn camera's apart hebben. Blijft toch allemaal Chinees spul (Hikvision en Revotech).

[jvanhambelgium]

Je zal even op de website van de NVR moeten kijken welke poorten er allemaal nodig zijn voor hun product en vervolgens gewoon in de firewall een policy maken.

Op je NVR zal je inderdaad gewoon de IP's van de camera's in moeten geven en als je FW-policy goed staat zal de NVR prima kunnen praten met camera's.
Omgekeerd moet je ook bestuderen of je bepaalde flows moet toelaten opgezet vanuit je IPCAMS richting je NVR en die toelaten.

[Ora et Labora]

Er zijn 3 eenvoudige oplossingen.
- Als je server de camera's niet kan bereiken op IP, gaat het verkeer standaard naar de router. Dan zul je in de router moeten gaan routeren naar het juiste VLAN.
- Je Layer-3 functionaliteit van de switch gebruiken. De switch wordt dan je default-gateway voor alle apparatuur en vanaf daar de 0.0.0.0 naar de router, met policy's kun je dan verkeer tussen VLAN's toestaan of weigeren
- 2e NIC op je server.

Ik zou voor de eerste oplossing gaan, dat werkt het beste alleen belast je de router voor intern verkeer.

[Pazo]

@jvanhambelgium en @Ora et Labora bedankt voor jullie antwoorden, ik moet het dus in de hoek gaan zoeken van de firewall en routering naar de juiste VLAN. Daar ga ik mee aan de slag