СКУД и IP-камеры: когда физическая безопасность приходит в сеть

Примерно раз в квартал к нам приходит запрос, в котором слово «безопасность» означает не вирусы и файрвол, а замки и камеры. Руководство хочет знать, кто заходит на склад и что происходит у кассы. Охранные фирмы такое ставят охотно, а потом оказывается, что у них своя коробка с DVR, свои провода через весь офис, и вся эта конструкция к сети имеет ровно нулевое отношение. Заказчик доволен не очень: видеозапись есть, но посмотреть её из другого кабинета нельзя, а СКУД живёт сам по себе, никак не связанный с остальным.

В этом году мы несколько раз занимались именно интеграцией - когда заказчик хотел сделать это нормально, через сеть, с единой точкой управления. Расскажем, что из этого получается на практике.

Контроль доступа. Системы с карточками или брелоками - ничего принципиально сложного. Контроллер на дверь, считыватель, электромагнитный замок. Почти все более или менее вменяемые системы умеют подключаться по RS-485 или по сети к центральному серверу, где крутится ПО управления. Вот с этим ПО обычно и начинается история: оно чаще всего работает под Windows, хочет выделенный комп, и его интеграция с Active Directory - это либо отдельная опция за деньги, либо ручная синхронизация. Уволился сотрудник - надо помнить удалить его из СКУД отдельно, потому что само не отвалится. На практике мы видели карточки уволенных сотрудников, которые продолжали открывать двери через полгода после увольнения - просто забыли.

Мы решили это через регламент: при закрытии учётки в AD на сисадмине висит чеклист, и СКУД в нём есть. Не автоматизация, зато работает прямо сейчас.

Камеры - вот где интереснее. Аналоговые камеры с DVR - это просто, понятно и изолировано. IP-камеры подключаются в сеть, пишут на сервер, и картинку можно смотреть откуда угодно. Это привлекательно. Это и есть главная засада.

Один клиент - небольшой торговый офис, восемь рабочих мест, восемь камер - поставил IP-камеры и подключил их в основную сеть. Камеры пишут в постоянном режиме, качество выбрали «нормальное» - около 700 кбит/с на камеру. Восемь камер, несложная арифметика: 5,6 мегабит постоянно. Интернет-канал у клиента - 8 мегабит симметричный выделенный, по тем временам вполне приличный. Сотрудники начали жаловаться, что интернет «лагает». Мы пришли, посмотрели - трафик прибит к потолку, всё занято камерами. Никто не подумал, что видеопоток будет всё время, а не только когда кто-то смотрит запись.

Решение прямолинейное, но его надо было сделать сразу: камеры - в отдельный VLAN, запись идёт на локальный видеосервер в той же подсети, наружу это не уходит вообще. Если надо смотреть удалённо - явно открываем порт с ограничениями, не льём всё в мир. Управляющий сервер СКУД - туда же, в изолированный сегмент. С основной сетью общаются только там, где это необходимо.

Про кабельную инфраструктуру разговор отдельный: камеры хотят либо свой кабель, либо свитч с PoE в каждой точке. Если офис уже разведён витой парой под рабочие места, то камеры в коридорах и у входа - это новая разводка. Одна камера у входа может потребовать тянуть кабель через три перегородки. Это надо считать до начала монтажа, а не после.

Ещё одна вещь, которую мы теперь всегда уточняем на старте: где хранится запись и сколько. Восемь камер при нормальном качестве - это примерно 80-120 гигабайт в сутки. Клиент хочет хранить две недели - считайте дисковое пространство сами. Это не детали, это основа расчёта бюджета. Несколько раз мы видели, как камеры ставили, а потом оказывалось, что за хранилище никто не думал, и запись крутится поверх старой каждые двое суток.

Что проверяем при такой работе. Что ПО видеосервера и СКУД не требуют прямого выхода в интернет - некоторые системы ломятся за обновлениями или «активацией» наружу, это надо отследить на файрволе. Что камеры в изолированном сегменте не могут самостоятельно никуда лезть - производители иногда встраивают в прошивку всякое интересное. Что пароль «admin/admin» на каждой камере сменён - это вообще отдельная история, половина IP-камер приходит с одинаковыми дефолтными реквизитами.

Когда всё это складывается в нормальную схему - интеграция физической и сетевой безопасности перестаёт быть экзотикой и становится рабочей частью инфраструктуры. Но без сегментации сети и внятного расчёта трафика и хранилища - это просто красивая идея, которая положит вам аплинк или кончится через неделю из-за переполненного диска.

Мы уже видели оба варианта. Лучше сразу второй.