СКУД Bolid и IP-камеры Axis на одной сети: VLAN, PoE и интеграция журналов

К нам обратился производственный клиент с нетипичным запросом: у них уже стоит СКУД на базе оборудования Bolid и аналоговые камеры через DVR, и они хотят перейти на IP-видеонаблюдение, но не хотят тянуть вторую физическую инфраструктуру. Вопрос - можно ли посадить камеры и контроллеры СКУД на ту же сетевую структуру, что и рабочие станции, и при этом не потерять ни безопасность, ни надёжность?

Спойлер: можно. Но это не «воткнули коммутатор и поехали» - там своя специфика.

Почему вообще объединять

До последнего времени физическая безопасность и ИТ-инфраструктура жили параллельными мирами. Отдел безопасности тянул свои коаксиальные кабели, ставил DVR, вёл собственный журнал событий. ИТ про это ничего не знал и знать не хотел. Результат - дублирование кабельных трасс, отдельные серверные на каждый куст оборудования и полная невозможность сопоставить событие на камере с событием в СКУД без телефонного разговора между двумя отделами.

IP-камеры меняют расклад. Axis серии P и Q работают через стандартный Ethernet с PoE, СКУД Bolid серии С-2000 тоже давно умеет Ethernet-интерфейс через сетевой контроллер С-2000-Ethernet. Всё это - просто IP-устройства, которые прекрасно себя чувствуют на нормальном коммутаторе.

Архитектура: выделенный VLAN как основа

Первое решение, которое мы приняли сразу и не отступали от него - выделенный VLAN для всего оборудования физической безопасности. Не потому что так положено по учебнику, а потому что это решает сразу несколько реальных проблем.

Изоляция трафика. Видеопоток с IP-камер - это несколько мегабит на камеру постоянно. Восемь камер с разрешением 1080p дают нагрузку, которая заметно сказывается на сегменте сети, если камеры сидят вместе с рабочими станциями. В отдельном VLAN этот трафик не конкурирует ни с чем корпоративным.

Контроль доступа. Рабочие станции сотрудников не должны видеть поток с камер напрямую. Весь доступ - через NVR-сервер с авторизацией. ACL между VLAN это реализует без танцев с настройками на каждом устройстве.

Мониторинг. Устройства физической безопасности хочется мониторить отдельно - и по доступности, и по трафику. Когда они в своём VLAN, это тривиально.

На коммутаторах развернули отдельный VLAN 50 под физбез. Uplink до ядра сети - тегированный транк. Маршрутизация между VLAN на уровне ядра с явным ACL: камеры и СКУД могут ходить только к NVR-серверу и к серверу управления Bolid, больше никуда.

PoE-коммутаторы: выбор и нюансы

Axis P-серия потребляет от 6 до 15 Вт в зависимости от модели и подогрева объектива. Контроллеры Bolid через Ethernet-адаптер - меньше. PoE 802.3af (15,4 Вт на порт) закрывает всё без проблем.

Брали HP ProCurve 2610-24-PWR - 24 порта PoE, managed, умеет VLAN, SNMP, port security. Не самый дешёвый вариант, но на HP в этом классе нас ни разу не подводило питание PoE при смешанной нагрузке. Был опыт с no-name PoE-коммутаторами, где заявленный бюджет мощности на практике оказывался примерно в полтора раза скромнее - когда пытаешься поднять сразу несколько камер с обогревом, порты начинают отваливаться по одному.

На каждый коммутатор - UPS. Это не опция, это обязательство перед службой безопасности: если пропало питание, камеры должны писать ещё минимум 15 минут.

NVR-сервер на Linux

Выбрали Linux (Ubuntu Server 10.04 LTS) с ZoneMinder в качестве основной платформы для записи и архива. Аргумент простой - ZoneMinder свободно интегрируется с Axis через RTSP и ONVIF, стоит денег только за железо, и под Linux мы лучше понимаем что происходит с дисками и сетью.

Хранилище - RAID 5 из четырёх дисков по 2 ТБ. При средней нагрузке в режиме motion detection и 8 камерах хватает примерно на три недели видеоархива. Клиент хотел месяц - пришлось либо снижать качество, либо добавлять диски. Выбрали второе.

ZoneMinder имеет репутацию инструмента, который работает, но требует внимания при настройке. В частности, по умолчанию он пишет каждый кадр как отдельный JPEG на диск - это убийца производительности файловой системы при большом числе камер. Переключились на запись в формате видеопотока через ffmpeg, нагрузка на диск упала вдвое.

Интеграция журналов СКУД и видеоархива

Это была самая интересная часть проекта. Служба безопасности клиента хотела следующее: когда открывается дверь по карточке, рядом с записью в журнале СКУД должна быть прямая ссылка на видеофрагмент с камеры у этой двери в соответствующее время.

Bolid C-2000 экспортирует журнал событий через собственный API по COM или Ethernet. Написали небольшой Python-скрипт, который опрашивает сервер Bolid по расписанию, забирает новые события и через HTTP API ZoneMinder запрашивает ссылку на видеофрагмент с нужной камеры на нужное время.

Результат складывается в простую PostgreSQL-таблицу: время события, тип события, номер считывателя, держатель карточки (из базы Bolid), идентификатор камеры, ссылка на видео. Веб-интерфейс на PHP - собственная разработка, ничего сложного - даёт службе безопасности возможность фильтровать по времени, по считывателю или по сотруднику.

Это не продукт, не коробочное решение - самописный клей между двумя системами. Но клей, который реально работает и закрывает конкретную задачу.

Что оказалось сложнее ожидаемого

Синхронизация времени. Когда СКУД говорит «дверь открыта в 14:23:07», а камера пишет в своё время, которое ушло на 8 секунд - видеофрагмент «не то». NTP на все устройства, включая контроллеры Bolid, и периодическая проверка дрейфа - это не рекомендация, это требование для работающей интеграции.

Второй момент - обнаружение движения ZoneMinder при динамичном освещении (вход в здание, где за день меняется интенсивность естественного света). Чувствительность, выставленную утром, к вечеру либо гонит ложные срабатывания, либо пропускает реальное движение. Разобрались через адаптивные пороги и маски зон - но потратили на настройку заметно больше, чем планировали.

Текущее состояние

Система работает второй месяц в боевом режиме. Восемь IP-камер, три считывателя на входных группах, NVR пишет в архив без сбоев. Журнал интеграции служба безопасности использует ежедневно.

Задача интеграции систем физической и ИТ-безопасности на одной инфраструктуре - это рабочий вариант, который не требует экзотических решений. Требует аккуратного проектирования сети, нормального PoE-оборудования и готовности написать немного клея между системами, которые изначально не думали друг о друге.