Что такое upnp в видеорегистраторе
Технология UPnP — дыра в безопасности вашей системы видеонаблюдения
Технология UPnP — дыра в безопасности вашей системы видеонаблюдения
При настройке IP камер и видеорегистратора многие пользователи по незнанию включают сетевую технологию UPnP в программе видеонаблюдения. Это грубейшая ошибка, которая может привести к взлому вашей системы видеонаблюдения, особенно если у вас внешний статический публичный IP адрес!
Дело в том, что UPnP (Universal Plug and Play) — это архитектура многоранговых соединений между персональными компьютерами или видеорегистраторами и различными интеллектуальными устройствами.
UPnP строится на основе стандартов и технологий интернета, таких как TCP/IP, HTTP и XML, и обеспечивает автоматическое подключение подобных устройств друг к другу и их совместную работу в сетевой среде, в результате чего сеть становится доступной для настройки посторонним пользователям.
Чтобы понять, что такое UPnP, нужно сначала разобраться, что такое переадресация портов. Она используется для установления прямого подключения между домашним устройством или сервером и удаленным устройством. Например, вы можете подключить ноутбук к видеокамере и следить за ним, пока находитесь вдали.
Как это работает? Все ваши домашние устройства, включая маршрутизатор, вместе создают локальную сеть (LAN). Все, что находится за пределами локальной сети, например, серверы сайта или компьютер вашего друга, расположено в глобальной сети (WAN). Как правило, никто за пределами вашей локальной сети не может получить доступ к устройствам в вашей сети, если вы не позволите им воспользоваться переадресацией портов.
Если ваш роутер поддерживает технологию UPnP и данная опция включена в настройках, то и видеорегистратор и IP камеры также включены в настройках. При нажатии кнопки «передать настройку портов UPnP» у вас на роутере автоматически настраивается проброс необходимых портов к вашему видеорегистратору или ip камерам. На первый взгляд это очень удобно, но на самом деле делает вашу систему видеонаблюдения незащищенной.
UPnP не использует аутентификацию или авторизацию, это делают лишь некоторые устройства, где предусмотрена технология UPnP – UP, которая обеспечивает механизмы ввода логина и пароля для устройств и приложений UPnP.
Без этого хакеры могут найти бэкдоры в вашей сети. Например, они отправят UPnP-запрос на ваш маршрутизатор и он откроет им порт без лишних вопросов.
Как только хакер получит доступ к сети, он сможет:
Причем, использование вашего маршрутизатора в качестве прокси означает, что все эти атаки будут выглядеть так, будто они исходят от вас, а не от хакера. Поэтому рекомендуется при настройке системы видеонаблюдения полностью отключить UPnP.
Также перед отключением рекомендуется проверить, уязвим ли ваш маршрутизатор к UPnP-эксплойтам. Отключение UPnP приведет к тому, что настройки камер и видеорегистратора придется делать вручную. Это хоть и сложно, но в Интренете есть множество статей, как это сделать. Достаточно вручную пробросить порты, чтобы система видеоконтроля начала работать.
Чтобы отключить функцию UPnP в программе видеонаблюдения, нужно зайти в раздел Сеть (Network) и убрать галочку, как например сделано на видеорегистраторе Hikvision:
К сожалению в некоторых IP камерах нет даже настроек UPnP, но данная функция включена и автоматически отправляет настройки проброса портов к данной камере. Что позволяет хакерам получить свободный администраторский доступу к вашbv IP-камерам и видеорегистратору.
Очень часто бывает так, что на видеорегистраторе отключают UPnP, а на роутере и IP камере он включен. Это приводит к тому, что в зависимости от кол-ва камер в системе периодически чередуется доступ к ним через стандартные порты 80 или 8080 с логином и паролем admin/admin.
В этом случае придется отключить на роутере поддержку UPnP и уже вручную настраивать проброс необходимых портов. Для профессиональных охранных постов, где других функции, кроме видеонаблюдения не используется это отличный вариант. Однако не стоит забывать, что UPnP используется для других целей, таких как
Как включить UPnP в устройствах Hikvision?
Чтобы удаленно просматривать камеры Hikvision на вашем телефоне, вам необходимо выполнить переадресацию портов, то есть открыть определенные порты в маршрутизаторе. Для многих людей переадресация портов сложна и трудна.
Здесь мы покажем вам простой способ открыть порты. По сути, вы можете включить функцию UPnP в своем Hikvision NVR / DVR (или одной IP-камере) и позволить машине открывать порты самостоятельно.
Шаг 1. Включите режим DHCP. Если вы включите DHCP, машина сама назначит IP-адрес (технически маршрутизатор). Таким образом, вам не нужно беспокоиться о конфликте IP-адресов или о том, что формат IP совпадает. Пусть машина сделает это сама.
Добавьте следующие настройки для DNS:
• Предпочитаемый DNS-сервер: 8.8.8.8
• Альтернативный DNS-сервер: 8.8.4.4
Шаг 2. Включите UPnP. Перейдите в главное меню, нажмите «Конфигурация» и выберите «Сеть». Установите флажок UPnP. Нажмите Применить, чтобы сохранить настройки. Подождите, пока состояние портов не станет активным (или действительным). Переход с «Неактивный / Недействительный» на «Активный / Действительный» может занять несколько минут.
Что делать, если порты по-прежнему показывают Inactive / Invalid?
Вы можете столкнуться с этой проблемой, если маршрутизатор, который вы используете, слишком старый и неправильно настроен. Большинство последних и новых маршрутизаторов поддерживают функцию UPnP, и по умолчанию она включена. Однако на некоторых маршрутизаторах эта функция отключена. Все, что вам нужно сделать, это получить доступ к маршрутизатору и включить функцию UPnP. На рисунке ниже показан пример включенной функции UPnP. У каждого маршрутизатора свой интерфейс, но идея одна: войдите в свой маршрутизатор, найдите функцию UPnP и включите ее, как показано ниже.
Что такое UPnP и почему его нужно отключить?
Вы бы предпочли выбрать удобство или безопасность? UPnP помогает быстро подключать устройства к сети — нет необходимости в ручной настройке. Однако он также может позволить хакерам входить в вашу сеть для выполнения вредоносных действий. Стоит узнать, как хакеры используют UPnP и что можно сделать, чтобы защитить себя.
Что такое переадресация портов?
Чтобы понять, что такое UPnP, нужно сначала разобраться, что такое переадресация портов. Она используется для установления прямого подключения между домашним устройством или сервером и удаленным устройством. Например, вы можете подключить ноутбук к видеокамере и следить за ним, пока находитесь вдали.
Как это работает? Все ваши домашние устройства, включая маршрутизатор, вместе создают локальную сеть (LAN). Все, что находится за пределами локальной сети, например, серверы сайта или компьютер вашего друга, расположено в глобальной сети (WAN). Как правило, никто за пределами вашей локальной сети не может получить доступ к устройствам в вашей сети, если вы не позволите им воспользоваться переадресацией портов.
Что такое UPnP?
Это протокол, который позволяет приложениям и другим устройствам в вашей сети автоматически открывать и закрывать порты для подключения друг к другу. Например, если вы решили подключить принтер ко всем устройствам в доме без UPnP, то вам потребуется сделать это вручную, уделяя внимание каждому отдельному девайсу. Но благодаря UPnP можно автоматизировать этот процесс.
UPnP предлагает нулевую конфигурацию, что означает, что ни одно из устройств в вашей сети не нуждается в ручной настройке для обнаружения нового устройства. С поддержкой UPnP они могут автоматически подключаться к сети, получать IP-адрес, находить другие устройства в сети и подключаться к ним, и это очень удобно.
Для чего используется UPnP?
Почему UPnP небезопасен?
Первоначально предполагалось, что UPnP будет работать только на уровне локальной сети, что означает, что устройства только в вашей сети могут подключаться друг к другу. Однако многие производители маршрутизаторов теперь включают UPnP по умолчанию, что делает их доступными для обнаружения из WAN, а это приводит к многочисленным проблемам безопасности.
UPnP не использует аутентификацию или авторизацию (только некоторые устройства), предполагая, что устройства, пытающиеся подключиться к нему, являются надежными и поступают из вашей локальной сети. Это означает, что хакеры могут найти бэкдоры в вашей сети. Например, они отправят UPnP-запрос на ваш маршрутизатор и он откроет им порт без лишних вопросов.
Как только хакер получит доступ к сети, он сможет:
Как защитить себя?
Когда дело доходит до уязвимостей UPnP, есть два варианта, которые вы можете выбрать для собственной защиты.
Другим более безопасным методом является полное отключение UPnP. Перед этим рекомендуется проверить, уязвим ли ваш маршрутизатор к UPnP-эксплойтам. Также нужно подумать о том, хотите ли вы отказаться от удобства UPnP и сможете ли вы настроить свои устройства вручную. Для этого может потребоваться некоторые технические знания.
На видео: Как включить на роутере UPnP?
Проброс портов на роутере для удаленного подключения видеонаблюдения
Удаленное видеонаблюдение все более востребованная услуга. Руководители и директора компаний все чаще ведут свои дела удаленно или в разъездах. Хорошо, когда за персоналом следит опытный заместитель или начальник отдела. А если ваш помощник не так хорош в этом деле? Или есть риск, что в ваше отсутствие будет «слив» клиентов на сторону? Или будет процветать воровство?
Задачи, решаемые удаленным просмотром разнообразны. Для запуска просмотра необходимо на завершающем этапе монтажа камер сделать проброс портов на роутере, иногда эту процедуру называют перенаправлением портов.
Немного теории
Проброс портов несвязан с типом камер. Какая бы у вас система видеонаблюдения ни была: ip или аналоговая — все завязано на роутере. Разница состоит в том, что аналоговые камеры не имеют своего ip адреса.
Принципиальная схема удаленного подключения к видеорегистратору или ip камерам
Каждая аналоговая камера при помощи кабеля напрямую соединяется с видеорегистратором. Видеорегистратор подключается в сеть и в нем делается проброса портов.
Каждая ip камера имеет свой ip адрес в сети, например, одна — 192.168.0.110, вторая — 192.168.0.111. Видеорегистратор тоже имеет свой ip адрес, допустим, 192.168.0.100. В отличие от аналоговых камер, цифровые камеры можно подключать в коммутатор (свитч) в любом месте локальной сети. И когда вы объединяете коммутаторы в одну сеть — вы можете подключаться к ip камерам напрямую и через видеорегистратор.
Настройка программы на ПК для удаленного подключения к видеокамерам
Каждая камера имеет не только свой ip адрес, но и web-интерфейс, логин и пароль для входа.
Таким образом, в действительности вы можете подключаться удаленно не только к видеорегистратору, но и к камерам напрямую. Для этого необходимо сделать проброс портов на роутере не только для ip-адреса видеорегистратора, но и для ip-адреса каждой камеры.
Виды роутеров
На рынке представлено достаточно большое количество роутеров, у каждого из них свой интерфейс. На мой взгляд, самый замудренный имеет D-Link DIR-620. Попробую расположить роутеры в порядке распространенности (это сугубо мои наблюдения):
Чтобы не запутаться роутеры бывают wi-fi и их еще называют маршрутизаторами.
Настройки видеорегистраторов
Подошли к самому важному моменту, попробую предположить к тому, ради которого вы читаете эту статью. Сперва заходим в видеорегистратор и настраиваем. Если у вас одна камера, заходим через web-интерфейс на камеру, настраиваем сетевые настройки видеокамеры.
Сетевые настройки аналогового видеорегистратора
Для удаленного подключения к камерам видеонаблюдения в роутере необходимо выполнить проброс портов, указанных в видеорегистраторе. Для слишком мнительных пользователей, которые думают о безопасности доступа к камерам, открываемые порты можно изменить, но тогда могут возникнуть трудности в настройках.
Краткая инструкция по настройке видеорегистратора
Для того чтобы не ошибиться какие порты нам нужно пробрасывать, заходим в сетевые настройки ip видеорегистратора и открываем порты в роутере, указанные в окнах TCP, HTTP, CDM, RTSP и др. В зависимости от марки производителя и чипсета, они могут быть различны. Также вы можете их задать самостоятельно вручную.
Настройка роутеров
Есть роутеры с автоматическим открытием портов для этого в них предусмотрена функция, и в видеорегистраторе тоже включаем эту функцию. В большинстве случаев, хозяева бизнеса не помнят или не знают логины и пароли от роутеров. Эта функция в некоторых случаях помогает сэкономить время при настройке. Не всегда функция срабатывает тогда ничего не остается, как производить фактори резет роутеру.
Прежде чем делать factory reset спросите у заказчика о наличии настроек от провайдера, предоставляющего доступ в интернет.
Если у вас есть доступ к настройкам роутера и видеорегистратора смело включайте функцию UPnP, которая поможет достаточно быстро решать вопрос проброса портов. Особенно полезно, когда вы вручную задаете все порты и в локальной сетке есть еще ряд других устройств, к которым нужен удаленный доступ. Иначе, вы будете долго разбираться, какие устройства конфликтуют между собой.
UPnP функция автоматического проброса портов. Должна быть включена и в роутере, и в видеорегистраторе
Когда вы зашли в настройки роутера (маршрутизатора), найдите в нем меню «Виртуальные серверы», именно там необходимо прописывать перенаправление портов.
Где это может быть проиллюстрирую на скриншотах:
Ньюансы
Еще несколько важных моментов и на этом завершу статью. Если об этом не сказать, у вас могут возникнуть трудности в настройке.
Я постарался максимально широко раскрыть эту тему, чтобы у вас не возникало вопросов, но если все-таки они есть задавайте в комментариях.
Пример настроек для подключения удаленного просмотра ip камеры с телефона
Посмотрите видео, где провожу сравнительный анализ видеокамер, в нем показано, как производится настройка и подключение камер к видеорегистратору.
Проверка
Прежде чем радоваться завершению настроек оборудования и приступать к настройке CMS или телефона клиента, рекомендую проверить перенаправление портов с помощью онлайн-сервиса. С помощью сервиса можно определить внешний ip адрес компьютера, проверить статический он или динамический.
Сервис проверки портов
Внешний IP адрес необходим для ввода в CMS или телефон при настройке удаленного подключения. В сервисе 2ip проверяем порты на открытость или закрытость. Если они закрыты, у вас не получиться подключиться удаленно. Проверяем все настройки снова. Исправляем ошибки.
В заключение упомяну, что подключаться к камерам удалено можно не только напрямую. Существуют облачные сервисы, с помощью которых можно миновать процедуру проброса портов, и покупки видеорегистратора. Достаточно лишь постоянного подключения к интернету. У них есть свои минусы, какие — эта история для следующей статьи.
Настраиваем роутер Mikrotik для работы видеорегистратора RVi-R16MA с мобильного телефона
Для корректной работы видеорегистратора через роутер Mikrotik потребуется белый IP-адрес, смартфон с 3G(4G) доступом к сети Интернет и немного умения настраивать RouterOS. Хотя помимо этого в ходе настройки встретились несколько подводных камней, которые пришлось обойти. И, собственно, ради которых появилась эта статья.
Так, например, после настройки роутера Mikrotik, регистратор не отображал видео с камер в реальном времени, но об этом после настройки сети в маршрутизаторе.
Настройка роутера Mikrotik в качестве шлюза Интернета
Настройка сети в RouterOS несколько отличается от действий в привычной “коробочки” какого-нибудь ASUS-а. Помимо веб-интерфейса для управления Mikrotik-ом можно использовать Windows-приложение winbox, которое даже не нужно устанавливать, достаточно загрузить ее с сайта разработчика. Я лично использую Winbox, поскольку она позволяет находить устройства не только по IP-, но и по MAC-адресу (используйте вкладочку Neighbors), а также хранить список администрируемых устройств.
И так, начинаем, подключаемся к устройству. По умолчанию роутер имеет IP-адрес 192.168.88.1, пользователь – admin, пароль – пустая строка.
Настройка сетевых интерфейсов в роутерах Mikrotik
В роутерах Mikrotik нет четких ограничений по назначению Ethenet-портов. Вы можете самостоятельно выбрать каким из предложенных портов будет уходить к провайдеру, а какие – образовывать локальную сеть, в т.ч. и на VLAN.
Для достижения цели статьи, а именно настройки доступа к видеорегистратору из сети Интернет через роутер Mikrotik, не будем усложнять задачу и настроим только 2 интерфейса:
В дальнейшем остальные порты можно объединить в brige или разделить на VLAN.
В случае получения настроек от провайдера по DHCP, используем пункт IP-DHCP Client и кнопкой + открываем новое окно, в котором выбираем интерфейс ether1.
Если же провайдер не поддерживает DHCP – настройки интернета будем вводить вручную. Сначала указываем IP-адрес и маску в меню IP-Addresses. Ниже приведены настройки WAN-интерфейса, конфигурируемые в примере:
После этого указываем шлюз по умолчанию в меню IP-Routes:
И также необходимо указать DNS провайдера в меню IP-DNS.
На этом моменте в роутере Mikrotik настроен Интернет, но для того, чтобы им могла пользоваться локальная сеть необходимо настроить NAT.
Настройка NAT на маршрутизаторе Mikrotik: коллективный доступ в Интернет для локальной сети
Преобразование сетевых адресов в Mikrotik осуществляется из встроенного файервола, вызываемого из меню IP-Firewall. Добавляем кнопкой + правило, состоящее из нескольких вкладок.
На вкладке General выбираем:
Теперь при подключении компьютера в порт ether2 и назначении ему адреса из сети 192.168.1.0/24, пользователю станет доступен Интернет. Для автоматического назначения адресации внутри локальной сети также необходимо настроить DHCP-сервер.
Настройка DHCP-сервера на роутерах Mikrotik: автоматическое назначение сетевых настроек в локальной сети
Указываем какой интерфейс будет раздавать IP-адреса. У нас это ether1.
На следующем шаге выбираем пространство адресов:
На следующем шаге указываем внутренний IP-адрес роутера Mikrotik (тот, что мы назначили интерфейсу ether2)
На слудующем шаге позволяем выбрать диапазон назначаемых автоматически IP-адресов. Заложим некий диапазон для статически назначаемых устройств, например для серверов, точек доступа и видеорегистратора RVi, который в итоге и будет подключен к локальной сети.
Следующим шагом заканчиваем настройку указав адреса DNS-серверов, назначаемых пользователям. Как правило указывается внутренний адрес роутера Mikrotik и (стрелочкой вниз можно добавить 1 или несколько серверов) один из общедоступных DNS, например Google
Параметры lease time можно оставить по умолчанию. Нажатие на кнопку Next завершит настройку DHCP-сервера на роутере Mikrotik.
Настройка проброса портов в роутере Mikrotik для доступа к видеорегистратору RVi
Добившись работы видеорегистратора RVi-R16MA из внутренней сети (адрес устройства 192.168.1.220), настало время обеспечить доступ к нему с мобильных устройств Android или iPhone.
Для реализации данной возможности пришлось проанализировать сайт производителя, его форум и основные сетевые настройки. Суммируя полученную в Интернете информацию были получены следующие вводные: собственной программы для мобильных устройств RVi не располагает и предлагает, в зависимости от типа регистратора, пользоваться либо gDMSS (Dahua) для устройств с портом управления 37777, либо iVMS-4500 (Hikvision) для устройств, порт управления по уолчанию 8000.
Таким образом для управления устройством необходимо установить программу iVMS-4500 и настроить проброс портов tcp 8000(управление) и tcp 554(RTSP – потоковое видео) с внешнего IP-адреса маршрутизатора Mikrotik (1.2.3.4) на внутренний адрес видеорегистратора RVi-R16MA (192.168.1.220).
Проверяем работу iVMS-4500 с видеорегистратором RVi через Mikrotik
Установка мобильного приложения не вызывает особых трудностей, собственно как и его настройка. Добавляем устройство с настройками вручную:
Программа принимает все настройки, добавляет устройство и … видео с камер не отображается. При этом запись отображается корректно, а, если подключиться к Wi-Fi точке доступа, подключенной к локальной сети и прописать внутренний адрес регистратора в настройках – изображение появляется и в реальном времени.
Дело оказалось в протоколе RTSP и выключенном UPnP в роутере Mikrotik. На эту мысль навели настройки видеорегистратора RVi-R16MA, доступные только из консоли и не отображающиеся в веб-интерфейсе, в которых значилась вкладка UPnP со следующими параметрами:
Таким образом, необходимо включить поддержку UPnP на роутере Mikrotik.
Настройка UPnP на роутере Mikrotik для просмотра видео с регистратора RVi в реальном времени
Теперь в мобильном приложении должно отображаться видео со всех камер видеорегистратора RVi в режиме реального времени, а в меню Mikrotik IP-Firewall во вкладке NAT добавится правило UPnP из сети Интернет на 192.168.1.220:554.