Доступ к облачной видеокамере - Форум Kerio-rus

4el9lba · 29.11.2016, 14:38

Уважаемые форумчане,прошу помочь с вопросом который не получается решить самостоятельно.

Необходимо организовать просмотр удаленной (во внешней сети) видеокамеры,для доступа к ней имеется ПК (VirtTestMachine) на котором установлена программа tantos в которую забивается id камеры.
Из информации от тех. поддержки известны порты которые используются для доступа:
80
554
8899
9257
34561
34567
Еще динамически открывается UDP порт

Пробовал два на мой взгляд самых простых варианта.
[Для просмотра данной ссылки нужно зарегистрироваться]
Во втором варианте в поле с портами стоит значение "любой"

Программа при попытке добавить камеру по id сообщает "не удалось подключится к серверу"

Предполагаю что необходимо каким то образом разрешить kerio прокидывать динамический порт для работы програмулины.
Захватил несколько пакетов wireshark'ом в момент установления связи программы и камеры,но разобраться не смог,по дампу видно что идет постоянный обмен пакетами по порту 5060 - это удаленный доступ,а как клиент общается с камерой так и не понял.
Подскажите как можно отладить поиск необходимых портов для работы камеры?

kerio uname

Ifconfig kerio

~ # ifconfig
eth0 Link encap:Ethernet HWaddr 10:fe:ed:02:bc:af
inet addr:192.168.3.102 Bcast:0.0.0.0 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:111382 errors:0 dropped:0 overruns:0 frame:0
TX packets:76195 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:82584530 (78.7 MiB) TX bytes:16232524 (15.4 MiB)
Interrupt:42 Base address:0xa000

eth1 Link encap:Ethernet HWaddr 10:fe:ed:02:ad:46
inet addr:192.168.2.24 Bcast:0.0.0.0 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:568750874 errors:0 dropped:237263 overruns:0 frame:0
TX packets:1378092003 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:2988832131 (2.7 GiB) TX bytes:2363186071 (2.2 GiB)
Interrupt:43 Base address:0xc000

eth2 Link encap:Ethernet HWaddr 90:2b:34:8b:03:5d
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:140983084 errors:0 dropped:0 overruns:0 frame:0
TX packets:93758341 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:67444508 (64.3 MiB) TX bytes:1442735182 (1.3 GiB)
Interrupt:44 Base address:0x6000

eth3 Link encap:Ethernet HWaddr 10:fe:ed:02:9d:bc
inet addr:192.168.8.1 Bcast:0.0.0.0 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:1246499956 errors:0 dropped:0 overruns:0 frame:0
TX packets:476810189 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:3372492387 (3.1 GiB) TX bytes:1417274213 (1.3 GiB)
Interrupt:45 Base address:0x4000

kvnet Link encap:Ethernet HWaddr 44:45:53:54:4f:53
inet addr:192.168.5.5 Bcast:192.168.5.255 Mask:255.255.255.0
inet6 addr: fe80::4645:53ff:fe54:4f53/64 Scope:Link
UP BROADCAST RUNNING MTU:1400 Metric:1
RX packets:6295365 errors:0 dropped:0 overruns:0 frame:0
TX packets:8287306 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:256
RX bytes:748811390 (714.1 MiB) TX bytes:3746198612 (3.4 GiB)

lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:7077770 errors:0 dropped:0 overruns:0 frame:0
TX packets:7077770 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:1016429758 (969.3 MiB) TX bytes:1016429758 (969.3 MiB)

ppp109 Link encap:Point-to-Point Protocol
inet addr:213.141.155.19 P-t-P:212.1.254.109 Mask:255.255.255.255
UP POINTOPOINT RUNNING NOARP MULTICAST MTU:1492 Metric:1
RX packets:21139639 errors:0 dropped:0 overruns:0 frame:0
TX packets:15378204 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:3
RX bytes:179518138 (171.2 MiB) TX bytes:4122749670 (3.8 GiB)

route kerio

ipconfig -all client

C:\Users\KSU>ipconfig /all

Настройка протокола IP для Windows

Имя компьютера . . . . . . . . . : virtpult1
Основной DNS-суффикс . . . . . . : domen
Тип узла. . . . . . . . . . . . . : Гибридный
IP-маршрутизация включена . . . . : Нет
WINS-прокси включен . . . . . . . : Нет
Порядок просмотра суффиксов DNS . : domen

Ethernet adapter Подключение по локальной сети:

DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер магистральной сети виртуальной ма
шины (Майкрософт)
Физический адрес. . . . . . . . . : 00-15-5D-02-B2-03
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да
IPv4-адрес. . . . . . . . . . . . : 192.168.2.23(Основной)
Маска подсети . . . . . . . . . . : 255.255.255.0
Основной шлюз. . . . . . . . . : 192.168.2.24
DNS-серверы. . . . . . . . . . . : 192.168.2.22
NetBios через TCP/IP. . . . . . . . : Включен

Туннельный адаптер isatap.{EEA4255D-CD61-4807-AD74-4B9E2DEE9DAB}:

Состояние среды. . . . . . . . : Среда передачи недоступна.
DNS-суффикс подключения . . . . . :
Описание. . . . . . . . . . . . . : Адаптер Microsoft ISATAP
Физический адрес. . . . . . . . . : 00-00-00-00-00-00-00-E0
DHCP включен. . . . . . . . . . . : Нет
Автонастройка включена. . . . . . : Да

route client

C:\Users\KSU>route print
================================================== =========================
Список интерфейсов
11...00 15 5d 02 b2 03 ......Адаптер магистральной сети виртуальной машины (Май
крософт)
1...........................Software Loopback Interface 1
12...00 00 00 00 00 00 00 e0 Адаптер Microsoft ISATAP
================================================== =========================

IPv4 таблица маршрута
================================================== =========================
Активные маршруты:
Сетевой адрес Маска сети Адрес шлюза Интерфейс Метрика
0.0.0.0 0.0.0.0 192.168.2.24 192.168.2.23 261
127.0.0.0 255.0.0.0 On-link 127.0.0.1 306
127.0.0.1 255.255.255.255 On-link 127.0.0.1 306
127.255.255.255 255.255.255.255 On-link 127.0.0.1 306
192.168.2.0 255.255.255.0 On-link 192.168.2.23 261
192.168.2.23 255.255.255.255 On-link 192.168.2.23 261
192.168.2.255 255.255.255.255 On-link 192.168.2.23 261
224.0.0.0 240.0.0.0 On-link 127.0.0.1 306
224.0.0.0 240.0.0.0 On-link 192.168.2.23 261
255.255.255.255 255.255.255.255 On-link 127.0.0.1 306
255.255.255.255 255.255.255.255 On-link 192.168.2.23 261
================================================== =========================
Постоянные маршруты:
Сетевой адрес Маска Адрес шлюза Метрика
0.0.0.0 0.0.0.0 192.168.2.24 По умолчанию
================================================== =========================

IPv6 таблица маршрута
================================================== =========================
Активные маршруты:
Метрика Сетевой адрес Шлюз
1 306 ::1/128 On-link
1 306 ff00::/8 On-link
================================================== =========================
Постоянные маршруты:
Отсутствует

29.11.2016, 15:29

правило трафика в полях "источник" и "назначение" - ЧТО СОДЕРЖИТ?
соответствует ли ЭТО тому ОТКУДА нужно и КУДА?

exchar · 29.11.2016, 15:48

или использовать vpn-клиент керио на удаленном ПК и в туннеле разрешить все порты

4el9lba · 29.11.2016, 16:30

Цитата:

Сообщение от naliman Посмотреть сообщение

правило трафика в полях "источник" и "назначение" - ЧТО СОДЕРЖИТ?
соответствует ли ЭТО тому ОТКУДА нужно и КУДА?

Есть на картинке,продублирую текстом

Источник:Брандмауэр,Интернет интерфейсы,VirtTestMachine(клиент на котором запущена программа tantos)

Назначение:Брандмауэр,Интернет интерфейсы,VirtTestMachine.

По логике соответствует требуемой задаче - просмотр удаленной камеры на локальном пк.
Брандмауэр,наверно не нужен,но и мешать как понимаю не должен,без него пробовал,та же ситуёвина.

29.11.2016, 17:17

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Есть на картинке,продублирую текстом

Источник:Брандмауэр,Интернет интерфейсы,VirtTestMachine(клиент на котором запущена программа tantos)

Назначение:Брандмауэр,Интернет интерфейсы,VirtTestMachine.

а теперь надо попытаться ответить на вопрос - а почему источник с получателем одинаковые?

Цитата

Сообщение от 4el9lba Посмотреть сообщение

По логике соответствует требуемой задаче

нет здесь никакой логики

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Брандмауэр,наверно не нужен,но и мешать как понимаю не должен,без него пробовал,та же ситуёвина.

вот тут совсем стало интересно

4el9lba · 29.11.2016, 17:37

Цитата:

Сообщение от naliman Посмотреть сообщение

а теперь надо попытаться ответить на вопрос - а почему источник с получателем одинаковые?

нет здесь никакой логики

вот тут совсем стало интересно

Потому что изначально пк выступает в качестве источника,а в последствии в качестве получателя используя те же порты.

Сделано так еще из за того,что до этого порты прокидывались так же и это работало.(еще до меня,логика работы таким образом и появилась)

Если есть возможность указать на ошибку(ки),рассказать где можно почитать,а еще лучше,подсказать как заставить работать камеру,то с меня

Добавлено через 15 минут
[Для просмотра данной ссылки нужно зарегистрироваться]
Пример работающих правил,буду благодарен если поправите.

exchar · 29.11.2016, 23:20

Цитата

Сообщение от 4el9lba Посмотреть сообщение

а еще лучше,подсказать как заставить работать камеру

я так вижу, что собственно модель камеры нам предлагается угадать?

ага, по портам

- я угадаю эту камеру с пяти портов!
- а я с трех!
- угадывай!
почти (с) Влад Пельш в 90е

29.11.2016, 23:53

бггг

4el9lba · 30.11.2016, 15:17

tantos TSi-Ple1F

exchar · 30.11.2016, 16:33

Цитата

Сообщение от 4el9lba Посмотреть сообщение

tantos TSi-Ple1F

[Для просмотра данной ссылки нужно зарегистрироваться] камер читал?

сделай правило
инет инт. -> Брандбауэр, список портов (проверь их по инструкции), разрешить, БЕЗ Nat, MAP (ip камеры во внутренней сети)

4el9lba · 01.12.2016, 17:39

Цитата

Сообщение от exchar Посмотреть сообщение

[Для просмотра данной ссылки нужно зарегистрироваться] камер читал?

сделай правило
инет инт. -> Брандбауэр, список портов (проверь их по инструкции), разрешить, БЕЗ Nat, MAP (ip камеры во внутренней сети)

Инструкцию читал.
Камеры у меня во внешней сети,значит правило должно выглядеть так?
ip компа(или учетка) -> Брандмауэр,интернет интерф. разрешить и маппинг до целевого хоста
exchar,я пробовал готовить правило по твоему рецепту и многим различным вариациям,положительного результата не добился.

Отталкиваюсь от малого,пытаюсь посмотреть камеру через IE ([Для просмотра данной ссылки нужно зарегистрироваться] разрешения и исключения добавлены в ie.
Создал правило:
Уч.запись с ip компа -> Брандмауэр,инт. интерф. - порты 8080,8000,34567,554,8899 - маппинг до Ip моего компа.

Порты через ie используются 80,8000,8080,выяснил через панель разработчика в ie при подключении через мобильный интернет,когда все работает,остальные порты добавил для подстраховки,порт 80 добавлять в правило не надо как я понял))

К моему сожалению при вышеперечисленных настройках ie сообщает о ошибке "ServerError52.210.62.192" и смотреть видео через браузер так же не выходит.

exchar · 01.12.2016, 18:29

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Инструкцию читал.

все порты в админке камеры реально соответствуют портам, прописываемым в правиле керио?

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Уч.запись с ip компа -> Брандмауэр,инт. интерф. - порты 8080,8000,34567,554,8899 - маппинг до Ip моего компа.

при просмотре внутри локальной под сети и разрешающем всё правиле локальной сети дополнительные правила на керио не требуются. вбиваешь в браузер ip камеры, порт и смотришь.

если же это правило было попыткой просмотра извне, то это какой-то фарш
при чем здесь учетная запись (если соединение идет не через vpn)?
или там в учетке прописан внешний белый ip удаленной точки?
зачем инет интерфейсы?
зачем маппинг до твоего компа, а не до камеры?

HOG · 02.12.2016, 04:30

4el9lba, слушай, я так понимаю, что адрес системы к которой ты подключаешься для просмотра камеры известен (ну по логике-то)?? Тогда почему-бы не разрешить целевому источнику подключения (твоей машине tantos) соединения с этой внешней системой (IP, DNS name) соединения с любым портом UDP/TCP/ICMP/IP, то есть ANY, и не устраивать пляски с бубнами на пустом месте? Если учитывать то, что соединения разрешены с единственной системой во внешней сети, то никаких нарушений безопасности периметра не представляется.

4el9lba · 05.12.2016, 10:35

Цитата

Сообщение от exchar Посмотреть сообщение

все порты в админке камеры реально соответствуют портам, прописываемым в правиле керио?

при просмотре внутри локальной под сети и разрешающем всё правиле локальной сети дополнительные правила на керио не требуются. вбиваешь в браузер ip камеры, порт и смотришь.

если же это правило было попыткой просмотра извне, то это какой-то фарш
при чем здесь учетная запись (если соединение идет не через vpn)?
или там в учетке прописан внешний белый ip удаленной точки?
зачем инет интерфейсы?
зачем маппинг до твоего компа, а не до камеры?

На камере все порты соответствуют настроенным на kerio.
Дело в том что камера через роутер подключена к облаку(на роутере с камерой прокидывать порты не требуется)соответственно просто зайти по Ip и порту нельзя.
Учетная запись при том что к ней привязан ip компа с которого я пытаюсь законнектится с камерой,тем самым указывая в правиле в качестве источника его.Инет интерфейсы в графе назначение т.к. камера подсоеденена к облаку и мы соеденяемся с ресурсом в интернете.
Про маппинг,не понятно как его организовать до камеры ведь я не знаю её ip,только её id.
Схемка для понимания.

4el9lba · 05.12.2016, 10:56

Цитата:

Сообщение от HOG Посмотреть сообщение

4el9lba, слушай, я так понимаю, что адрес системы к которой ты подключаешься для просмотра камеры известен (ну по логике-то)?? Тогда почему-бы не разрешить целевому источнику подключения (твоей машине tantos) соединения с этой внешней системой (IP, DNS name) соединения с любым портом UDP/TCP/ICMP/IP, то есть ANY, и не устраивать пляски с бубнами на пустом месте? Если учитывать то, что соединения разрешены с единственной системой во внешней сети, то никаких нарушений безопасности периметра не представляется.

Создал правило:
ip моего компа -> [Для просмотра данной ссылки нужно зарегистрироваться] | любой | разрешить.
При попытке соединения,сайт не грузится с таким правилом.
Если я правильно понимаю то для доступа к камере через браузер по идее вообще никаких манипуляций производить не надо.
Пробовал отключать фильтрацию содержимого,результат тот же.
Возможно конфликт возникает с одним из правил,проверил,на вид конфликтующих правил нет.
Так же не понятно почему при выше обозначенном правиле блокируется(не открывается) сайт в графе назначения,каким то образом блокируется 80 порт?

exchar · 05.12.2016, 11:35

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Дело в том что камера через роутер подключена к облаку

...а мы типа это угадать должны были?

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Программа при попытке добавить камеру по id сообщает "не удалось подключится к серверу"

Цитата

Сообщение от 4el9lba Посмотреть сообщение

Захватил несколько пакетов wireshark'ом в момент установления связи программы и камеры,но разобраться не смог,по дампу видно что идет постоянный обмен пакетами по порту 5060 - это удаленный доступ,а как клиент общается с камерой так и не понял.

в логе wireshark попыток клиента куда-то достучаться нет вообще
поставь фильтр и сам глянь
!(tcp.port == 5650) and !arp and !llmnr and !ssdp and !nbns and !(ip.addr == 192.168.2.255)
или по времени промахнулся, или клиент совсем того.

HOG · 05.12.2016, 15:25

Цитата

Сообщение от 4el9lba Посмотреть сообщение

ip моего компа -> [Для просмотра данной ссылки нужно зарегистрироваться] | любой | разрешить.

не правильно. Проавильно было-бы: ip_source_system -> *.xmeye.net -> ANY -> permit -> NAT. А еще лучше посмотреть с каким IP оно соединяться думает, ибо с www системы ссылка может идти куда угодно и на какой угодно service/tcp/udp/ip_proto

05.12.2016, 18:11

мда...

Опции темы
Версия для печати Отправить по электронной почте