Camera maakt onverwachte uitgaande verbindingen met client

[Guido64]

Ik heb een Hikvision camera waarmee ik met VLC verbinding maak d.m.v. dit adres
rtsp://cam2.mydomain.local:554/Streaming/channels/1
Ik verwacht dan dat er een UDP stream uit poort 554 komt maar wat de camera eerst doet is een hele riedel uitgaande udp verbindingen naar het cliënt systeem maakt met poorten in de range van 8233 - 8242 welke unassigned zijn bij iana.

Ik heb er regelmatig naar gezocht op alle manieren die ik kan bedenken maar ik kom niets tegen dat gaat over die port range in combinatie met rtsp, hikvision of de vlc player.

Hoe ik dit opgemerkt heb is omdat ik voor al mijn netwerk clients een lijst heb gemaakt met toestaande uitgaande poorten. De range 8233-8242 zit daar niet bij. Dus als ik verbinding maak met mijn camera verwacht ik dat ik een UDP verbinding op poort 554 kan maken.

Ik verwacht niet dat die camera eerst een hele riedel uitgaande verbindingen vanuit de 8233-8242 range gaat maken. Omdat ik die poorten dus niet toegelaten hebben vielen mij die verbindingen in de pfsense firewall logs op.

Misschien weet hier iemand meer over wat er gaande is en hoe ik dit eventueel kan stoppen. Want doordat de camera eerst een hele riedel uitgaande verbindingen probeert op te zetten duurt het langer eer ik beeld krijg en dan moet je denken aan een 1 minuut zoiets. Daarna heb ik probleemloos beeld van de camera.

In onderstaande is 192.168.160.3 de Hikvision camera in het IOT (vlan) netwerk en 192.168.168.4 is een Windows client systeem met de VLC player in LAN (vlan) netwerk.

[ Voor 4% gewijzigd door Guido64 op 30-01-2022 14:14 ]

[donny007]

Bij het initiëren van de RTSP-stream geeft de client (in dit geval VLC) een port range door waar de camera de stream op af kan leveren:

code:

C->S: SETUP rtsp://example.com/media.mp4/streamid=0 RTSP/1.0
      CSeq: 3
      Transport: RTP/AVP;unicast;client_port=8000-8001

Wikipedia: Real Time Streaming Protocol

De camera gaat dit braaf proberen, maar faalt door je firewallregels. Als fallback wordt de stream uiteindelijk afgeleverd op de server port.

Edit: als je wil weten welke ranges er worden afgesproken kun je de RTSP SETUP pakketjes even capturen met Wireshark.

[ Voor 9% gewijzigd door donny007 op 30-01-2022 14:37 ]

[Guido64]

Ahaa bingo

Is daar een vaste range voor bedacht zodat ik die kan toevoegen aan de lijst met poorten die toegestaan zijn?
In het stuk op wikipedia zie ik dat ze het hebben over poorten 8000-8003 en 9000-9003. VLC gebruikt daar blijkbaar de poorten voor die op mijn bovenstaand plaatje te zien is.
Ik vraag me af hoe ik nu beste mijn firewall rule kan instellen? Ik zou kunnen instellen dat alleen het ip van de camera op alle udp poorten door mag maar als ik die range wat kan beperken zou m.i. beter zijn.

Bedankt Donny007

[donny007]

Je kunt in VLC een client port configureren, standaard staat ie op -1 (random?).

https://securitycamcenter...-stream-security-cameras/ (zie kopje "Other Settings in VLC Player").

Je kunt het ook als argument meegeven bij het openen van de stream: https://forum.videolan.org/viewtopic.php?t=76500

[Guido64]

Tjonge ik moet toch duidelijk wat aan mijn zoek vaardigheden doen.

Of inderdaad even Wireshark eraan hangen.
Ik ging er al meteen vanuit dat het niet deugde maar dit is hoe het werk gewoon.

Ik ga ermee aan de slag!

Enorm bedankt Donny007