V-LAN für PoE Reolink RLC-811A Kamera

[sh1mo]

Hallo,

ich habe mir eine Reolink RLC-811A Überwachungskamera zugelegt und bin gerade dabei diese Netzwerktechnisch einzurichten. Ich habe nun mehrmals gelesen, dass man PoE Kameras in ein V-LAN stecken soll und MAC-Zugangsberechtigung aktivieren soll. MAC verstehe ich und ist schnell gemacht, aber wie genau würde ich ein V-LAN logisch aufbauen können?

Die Kamera hängt an diesem Switch;

TP-Link TL-SG108PE

• Managed PoE Switch
• 8 Port Gigabit Network Switch mit 4 PoE+ Ports
• 4 W, 802.3af/at PoE+
• "kann" V-LAN

Das Switch hängt an einer FritzBox 5590 (Glasfaser) woher es dann auch Internet erhält. Später soll auch noch ein NAS dazu (QNAP?) welches ich für das speichern der Aufnahmen verwenden möchte.

Sind somit überhaupt die technischen vorraussetzungen für ein "V-LAN" bei mirgegeben? Wenn ich am Switch nun Port 1-4 auf V-LAN A und Port 5-8 auf V-LAN B schiebe, was genau hätte das jetzt für die Kamera für einen Vorteil? Mir ist klar, dass der Port der "außen" ist nicht einfach für fremde Zugriff auf mein Netzwerk/Internet gewähren soll - aber Internet bräuchte das V-LAN A ja dann trotzdem?

Vielen Dank!

 

[gaym0r]

Der Sinn des ganzen ist, dass die Kamera keinen Zugang auf dein internes Netzwerk hat, sollte sie mal "gekapert" werden. Du bräuchtest aber noch einen Router für das Netz, ansonsten ist es komplett abgeschottet, auch vom Internet. Wenn du das Gastnetz auf Port 4 der Fritzbox legst, kannst du es darüber abwickeln.

 

[SaxnPaule]

Ich habe nun mehrmals gelesen, dass man PoE Kameras in ein V-LAN stecken soll und MAC-Zugangsberechtigung aktivieren soll.

Achso? Ich noch nie. Ich glaube auch nicht, dasss mehr als 1% der Kamera Nutzer eine VLAN fähige Infrastruktur daheim hat.

Ich habe meinen Reolinks einfach im Router komplett das Internet verboten, fertig.

Dann braucht man sich auch keine Gedanken über eine Zugriffskontrolle machen.

Den Zugriff auf die Kameras selbst kannst du ja per Nutzer/Passwort einschränken.

 

[gaym0r]

Achso? Ich noch nie.

Das wundert mich, das ist eigentlich eine Standardempfehlung bei jeglichem IoT Zeug.

 

[SaxnPaule]

Oh genau, und schon ist ein System sicher und hat keine Sicherheitslücken.

Das habe ich nicht behauptet. Aber um sich diese Lücken zu Nutze zu machen muss ein Eingreifer ja erstmal das Lokale Netz infiltrieren. Wenn er das geschafft hat, sind die Kameras vermutlich das geringste Problem.

IoT Zeug was auf das Internet angewiesen ist (Alexa zun Beispiel) sperre ich auch ins Gast Netz. Ich wüsste aber nicht, wozu die Kameras überhaupt Intenet brauchen, außer evtl. gelegentlich mal für neue Firmware.

 

[thealex]

Wenn du das Gastnetz auf Port 4 der Fritzbox legst, kannst du es darüber abwickeln.

Womit er aber die Aufnahmen nirgends hinspeichern kann (falls NAS im Netzwerk) oder aber (falls SD Karte in der Karte) kommt er an die Aufnahmen aus seinem normalen Netzwerk nicht ran. Muss er immer das Netz wechseln.

Kameras in eigenes VLAN ist für Privat eigentlich auch übertrieben. Willst du von unterwegs auf die Kameras zugreifen? Falls nein, sperr der Kamera einfach das Internet (geht in der Fritzbox Oberfläche) und gut ist.

 

[SaxnPaule]

Willst du von unterwegs auf die Kameras zugreifen? Falls nein, sperr der Kamera einfach das Internet (geht in der Fritzbox Oberfläche) und gut ist.

Von unterwegs einfach per VPN ins heimische Netz einwählen und die Reolink App öffnen. Funktioniert bestens, auch wenn die Cams nicht ins Internet dürfen

 

[thealex]

@SaxnPaule Ich weiß. So handhabe ich das ja auch. Aber auch dafür wäre es unpraktisch, die Kamera ins Gastnetz zu packen. Das war ja der eigentliche Inhalt meines Posts.

 

[chrigu]

Das lustige an einem vlan Switch ist… du hast bis zum Switch vlan. fritzboxen können kein vlan. Für dubiose iot Geräte würde ich den Fritz gastzugang nutzen.
Übrigens, die fritzbox kann die Geräte auch nach aussen sperren, so dass kein Bit nach aussen geht, auch nicht für die reolink App zum live überwachen.
Übrigens 2: Mac Adressen zu sperren oder zuzulassen hat mit Sicherheit nicht zu tun. Macadressen kann man innert Sekunden aushebelt.