Какое нужно оборудование для объединение трёх локальных сетей в одну с выводом трансляции IP- камер на рабочее место?

Question

[Der0nded]

Есть 3 сети в одном городе нужно объединить их в одну через интернет. В каждой локальной сети находятся камеры, нужно вывести их трансляции (не всех) на рабочее место. Какие маршрутизаторы лучше для этого подойдут? Какие средства(IPsec; OpenVPN; WireGuard; ...) лучше всего использовать?
LAN_1: 25 шт IP-видеокамер по 2 Мп
LAN_2: 19 шт работают через регистратор
LAN_3: ~20 шт IP-видеокамер по 2 Мп (В эту сеть нужно вывести другие. И в ней же будет рабочее место. У это локальной сети имеет белое ip)
Бюджет 50к, VPS не канает.
Прошу помочь. Опыта в этом деле маловато. Спрашивайте если не понятно, постараюсь ответить на все ваши вопросы.

Comments

[Valentin Barbolin]

Сколько денег есть?

[Der0nded]

Valentin Barbolin, есть 50к

[Valentin Barbolin]

Der0nded,

Есть 3 сети в одном городе нужно объединить их в одну через интернет.

Раз все объекты в одном городе, то возможно в рамках одного провайдера можно получить, организовать тунель (VLAN). В даммно случае достаточно коммутатора уровня L3 каждой локации.

ИЛИ VPN
Предположим, что тебе надо протягивать одномоментно 40 камер через VPN. Каждая камера в среднем 2.5 Mbit/s, получаем 100Mbit/s постоянного потока.

Mikrotik ax3 вывезет, так же тебе нужен белый ip, в идеале на всех локациях. Или хотя бы на локации где будут смотреть камеры.

VPN любой IPsec, WG.
OpenVPN ранее плохо был оптимизирован на микротике.

Если не требований шифровать, то можно просто тунели построить IPIP нагрузка на роутеры будет минимальной.

[AntHTML]

Valentin Barbolin,

Каждая камера в среднем 2.5 Mbit/s, получаем 100Mbit/s постоянного потока.

Нафига кидать во внешнюю сеть первые потоки? Для мультивью охранника достаточно 320р, все остальное на локальный регистратор и оттуда по запросу.
Тогда любая мыльница справится.

[Valentin Barbolin]

AntHTML, Согласен, substream использовать логичнее и вы вполне правы в своих изречения, но при расчетах решения необходимо отталкиваться от максимальных значений и брать с запасом, т.к. руководство которое оплачивает это решение с вами может не согласиться)

[TheBigBear]

"У это локальной сети имеет белое ip" - без обид, но это на каком языке?
Я правильно понял, что только одна локальная сеть имеет белый IP?
Исходя из озвученного бюджета:
Поставьте в ней Микротик, любой RB серии или hAP не лайт серии, если ещё вайфай нужен. Да, микротики по сравнению с другими роутерами несколько сложны в настройке, но зато ОЧЕНЬ ГИБКИЕ! Например, позволят загнать камеры в отдельный VLAN, можно настроить квотирование (чтобы трафик камер не мешал остальным пользоваться интернетом)
Я бы порекомендовал RB3011UiAS-RM, а с других сторон что-то вроде RB750Gr3 (главное чтоб Гигабит)
Поднимите L2TP сервер без IPSEC (можете закидать тапками, но есть анекдот про "неуловимого Джо". Т.е. вероятность того, что перехватывать ваш трафик нафиг никому не здалось - очень высока)
Это позволит использовать канал не загружая процессор роутера, т.е по максимуму
Кинетики очень хороши в сохо-сегменте. В разве ещё в небольших офисах. Других производителей рассматривать даже не рекомендую
з.ы. Если внешний IP на всех трех сетях - то можно поднять EoIP (по трафику самый толстый)

[Der0nded]

TheBigBear, У это локальной сети имеет белое ip - не корректно выразился, но суть вы поняли.
Возьму на заметку ваш ответ, но я тут подумал и решил (это ещё до вашего ответа, уже человеку сказал взять 3 шт. таких) во всех трёх сетях ставить Mikrotik RB2011iL-RM.
Хватит ли производительности этого маршрутизатора для моих нужд?

[TheBigBear]

Der0nded, Я не знаю, сколько ещё устройств в Ваших сетях, но думаю что хватит.
Если у меня несколько древних RB450G с аптаймом лет 10-11 (обновление прошивки не в счёт) успешно держат сети на полсотни устройств каждая на интернет каналах до 100Мбит, то уж RB2011 должен справиться. Смущает у него только одноядерный проц и памяти только 64Мб

[Der0nded]

TheBigBear, Смущает у него только одноядерный проц и памяти только 64Мб. Вот тоже что то не впечатляет характеристики

Answer 1

[Drno]

Арендовать VPS в ДЦ, можно самый простой на makecloud - там сеть 1Гб +...
Настроить WG сервер
Подключиться к нему со всех сетей, смотреть.
Из роутеров - ну возьмите Кинетики...

Либо настройте ВПН сервера на LAN_3, по той же схеме

Comments

[Der0nded]

VPS не канает это гос учереждение надо проще сделать.
Вот только какой кинектик? Он же должен переваривать трафик в размере ~300 мбит по VPN. Что можете посоветовать?

[Drno]

Der0nded, возможно Вы не поняли. Кинетики на других точках.
Там где сервер - это либо отдальный ПК - да хоть на intel n100...
либо виртуалка адекватная)

25 и 16 каналов потянет через впн кинетик среднего ценового сегмента.

Либо ставьте туда шлюз на ПК - как пример что то подобное, на ubuntu
https://www.ozon.ru/product/mini-pk-beelink-beelin...

[Der0nded]

Drno, Так а если в качестве сервера использовать Mikrotik RB2011iL-RM, а Mikrotik hEX на других точках?

[Drno]

Der0nded, я то только ЗА микротик)) просто мне казалось что раз такие вопросы, то микротик не осилят)

и кстати поменяю свой ответ, по поводу ВПН - делайте sstp ... его точно будут банить в последнюю очередь)
На микротике он чудно работает

[Дмитрий]

Der0nded, микротики из вашего варианта вролне вывезут и по трафику и по туннелированию. На центральном микроте поднимаете openvpn server, т.к. он на белом ip, остальные к нему цепляете и маршрутизацию.

[Der0nded]

Drno, Я просто не уверен в выбранном железе. Оно должно переваривать трафик 24/7 без каких либо проблем, я имею виду что не надо будет бегать перезапускать их.

[Drno]

Der0nded, микротики перезагружать?))
Зачем?))
Кстати - там и hex по идее должен вывозить по скорости

Answer 2

[asmelnik]

Сколько камер надо "прокинуть" в третью сеть? При потоке до 10-15 тыс пакетов/сек. (не путать с мегабитами):
Концептуально -- wireguard или OpenVPN на белом IP, можно вообще без участия роутера непосредственно в VPN-е, на сервере все организовать.
"Чистый" IPsec - не ваш вариант скорее всего, там придется связку из 2-х протоколов накручивать.

Какой-то роутер "на сейчас" у вас там скорее всего есть, а порты пробрасывать умеют нынче даже "мыльницы", что хорошо для OpenVPN/wireguard, т.к. IPSec -- (если мне память не изменяет) НЕ tcp и НЕ
udp, через NAT работать может, но с оговорками.

И 50К - это на все 3 точки или по 50К на каждую?
Наилучшее соотношение цена-возможности у железок с перепрошивкой на OpenWRT, но тут вопрос в сопровождении, решение не типовое.

кинетики-микротики в теории дороже обойдутся, проще сопровождать, вроде как, но можно упереться в некие концептуальные ограничения.
Пару лет назад так и удалось по OpenVPN подружить 2 микротика и диагностика была сильно творческим занятием.

Comments

[Drno]

чего там дружить то их... гугл завален инструкциями)

[asmelnik]

Drno,
Не поверите - не помогло :)
Сильно они разные оказались.
Моделей уже не помню, к сожалению.

[CityCat4]

"Чистый" IPsec - не ваш вариант скорее всего, там придется связку из 2-х протоколов накручивать.

Чо? Каких двух протоколов? Там достаточно грамотно политики написать, чтобы роутер, который будет тащить на себе подключения всех трех подсетей, знал куда пакеты направлять.
(Еслиф че, в IPSec нет маршрутизации, там вместо нее политики)

IPSec -- (если мне память не изменяет) НЕ tcp и НЕ
udp, через NAT работать может, но с оговорками.

IPSec - это вообще не протокол :) Это семейство протоколов. Там есть ESP, AH, IKE, IKEv2... Так вот, как раз IKE (любой версии, но сейчас очень популярна v2) работает по UDP, проходит через NAT (для инициатора соединения) и про оговорки я ничего не слышал. Можно сидеть на сером IP, главное чтобы IP назначения был белый.

но можно упереться в некие концептуальные ограничения.

Какие? (мысленно перебрал - с чем я сталкивался на микротиках...)

[asmelnik]

CityCat4,
Если объединение будет L2, а не L3, то чистым IPSec вы не обойдетесь.
Остальные 2 примерно одинаково конфигурятся хоть для L2, хоть для L3.

[CityCat4]

Конечно, тут EoIP понадобится. Но разве WG умеет обьединять L2?

[Der0nded]

В 3 сетку нужно прокинуть 44 камеры.
Какой то роутер там стоит. Я пока что ещё не смотрел.
Допустим 50к на все 3 сети
Вот mikrotik мне нравится. Думаю использовать Mikrotik RB2011iL-RM в 3 сетки, а в остальных Mikrotik hEX

[asmelnik]

Данные по Mikrotik RB2011iL-RM
https://mikrotik.com/product/RB2011iL-RM
CPU AR9344
CPU core count 1
CPU nominal frequency 600 MHz

Сомневаюсь, что как OpenVPN шлюз он переварит нужные вам объемы..
Это все-таки софтовая, а не железячная обработка.
Есть экспертное мнение по этому поводу?
Грубый подсчет:
Одна камера 2Мп, грубо, 2-4Мбит, это примерно 200-500 пакетов/сек.
OpenVPN эти пакеты будет бить на 2 части, т.е. на выходе получим 400-1000 пакетов/сек
10 камер, 10К пакетов и примерно 20-40Мбит.
С рекомендаций OpenVPN
As a rule of thumb, you should assume that on a modern CPU with an AES-NI chipset, you need approximately 12MHz for each megabit per second (Mbps) transferred in one direction.
Т.е. в идеальных условиях, если в "CPU AR9344" вшита поддержка AES-NI и у вас шифруется оптимальным протоколом (их в OpenVPN несколько) и ПО микротика оптимально использует все возможности CPU, и микрот больше вообще ничем не занят, то 50Мбит суммарного туда-обратно ваш потолок. Реальность обычно гораздо скромнее.

Может я неправильно считаю?

[asmelnik]

CityCat4,
Извиняюсь, действительно в "чистом" виде WG похоже не умеет EoIP.

[Der0nded]

asmelnik, Тогда что можете посоветовать?

[asmelnik]

CityCat4,

Какие? (мысленно перебрал - с чем я сталкивался на микротиках...)

Для начала
OpenVPN сядет на одно ядро CPU или будет все использовать??
Производительность протокола может сильно зависеть от поддержки "железом" нужных алгоритмов и поддержки ПО этих возможностей "железа".

Answer 3

[Гарри]

изза гибкости я бы взял микроты. но надо знать какие, исходя из нагрузки, мегапиксели и количество - ничего не дают толком. вам надо знать трафик+количество пакетов, и надо учесть фрагментацию. в идеале, если камеры умеют, уменьить их mtu дабы роутеры не занимались фрагментацией