直接回答
将摄像机放置在专用 VLAN 或实用的等效部分上。 仅允许批准的管理、RTSP/ONVIF、DNS、时间和更新流程，然后从每个授权的查看器路径进行测试。
为什么会发生这种情况
扁平网络可以让易受攻击或配置错误的摄像头到达不相关的设备。 过于严格的分段还会破坏发现、时间、更新或媒体，并产生令人困惑的部分故障。
保持摄像头服务的私密性，最大限度地减少凭证暴露并记录每个信任边界。
受控测试
从数据流图构建规则集，而不是开放广泛的地址范围和端口。
一次更改一个变量。 记录相机型号、固件、终端、账号； 然后将网络可达性、协议响应、媒体传输和解码作为单独的层进行测试。
使用专用的仅供查看的帐户和值得信赖的本地诊断工具。 在共享输出之前编辑凭证、私人地址和识别数据。
诊断顺序
| 查看 | 行动 | 进展的证据 |
|---|---|---|
| 存货 | 列出摄像机、录像机、查看器和管理主机。 | 每个端点都有一个所有者和目的。 |
| 流量 | 文档发现、服务、媒体、DNS、NTP 和更新。 | 每个规则都映射到所需的功能。 |
| 默认拒绝 | 阻止不相关的东西向和出站流量。 | 相机无法到达任意系统。 |
| 验证 | 测试规则更改后的查看、更新和恢复。 | 安全控制保留所需的操作。 |
保留证据
保留规则到功能矩阵和数据包证据，以防止意外流量被拒绝。 当设备或固件更改时查看它。
边界和安全说明
分段可减少影响范围，但不会取代独特的凭证、支持的固件和安全的远程访问。
对于远程查看，请使用托管 VPN，而不是将 RTSP 或摄像机管理端口直接暴露到公共互联网。
SmartRTSP
SmartRTSP 是一款以相机为中心的 RTSP 和 ONVIF 查看器，适用于 Apple 设备、Windows 和 Android。 适合直接观看、发现和多机位检查； 当需要连续记录、证据导出或集中企业控制时，保留专用的 NVR 或 VMS。
常见问题
VLAN 会阻止 ONVIF 的发现吗？
除非设计了作用域中继，否则它通常会停止本地多播发现； 仍然可以允许单播服务和媒体。
相机应该访问整个互联网吗？
否。仅允许已批准的部署实际需要的供应商服务或更新路径。
观众可以生活在另一个 VLAN 上吗？
是的，具有针对所需服务的显式路由和最低权限防火墙规则。
主要参考文献
相关 SmartRTSP 指南
打开相关指南将摄像机放置在受控网络和文档查看器、记录器、DNS、时间和明确更新路径上。