[Netzwerk] IP-Kameras, POE und Netzwerksicherheit

[lkmicha]

Mit großem Interesse lese ich den Thread "IP-Kameras Hikvision ..." und plane IP-Kameras zu installieren. Jetzt mache ich mir so gedanken über die Netzwerksicherheit, den es ist ja eigentlich ein einfaches eine IP-Kamera am Dachüberstand zu lösen, Netzwerkkabel abziehen, fremden PC ranhängen, der bekommt ne IP-Adresse von meiner Fritz-Box und schon ist man in meinem Netzwerk, auf meiner NAS über IP-Router auf meiner KNX-Anlage usw.
Da scheint es ja schon fast sicherer mit WLAN-Kameras zu arbeiten, dann ist zumindest ein Netzwerkschlüssel erforderlich. Man könnte ja grundsätzlich mit festen IP-Adressen arbeiten, aber will man das im Haus? Wenn ich jetzt IP-Kameras anschaffe sollten diese POE-fähig sein, so daß ich mir einen POE-Switch beschaffe der dann mehrere IP-Kameras versorgen kann.
Jetzt bin ich auf Managed Switches gestoßen, die die Funktion "IP-MAC-Port binding" können. Wenn ich es richtig verstanden habe wird einem POE-Port eine feste MAC-Adresse mit zugehöriger IP-Adresse zugeordnet. Das wäre doch die Lösung um nach außerhalb sicher zu sein.
Funktioniert das so? Wie macht ihr das? Was habt ihr für Ideen?

Schönen Abend
Michael

[BadSmiley]

Gegenfrage: Warum ist die Kamera in keinem Vlan? Warum kannst du ohne Passwort auf dein NAS? Warum kommst du ohne Passwort auf deine VISU?

[b54]

ganz abgesehen davon, das es nicht gerade realistisch ist, das einer bei mir in 7 Meter Höhe am Dachüberstand ein Notebook anschließt, kann man die Ports ja entsprechend absichern Die Kamera´s mit einem eigenen Vlan einrichten. Man kann auch noch die Adresse per NAT umsetzen, da gibt es einige Möglichkeiten.

[lkmicha]

Nein mein NAS hat ein Passwort und auch meine VISU hat eins. Es ging mir mehr darum, wie einfach es ist in ein Netzwerk zu kommen. Wenn ich dann noch meine ETS anschmeisse kann man doch schön den KNX-Verkehr mitschreiben usw. Den das Thema mit dem nach Aussen geführten KNX-Kabel (KNX-Bewegungsmelder usw.) hatten wir ja auch schon. Da scheint mit das nach Aussen geführte Netzwerk eigentlich noch schlechter zu sein.

[rob3rix]

Hi.

@lkmicha Ich hab die Kameras in einer mit Firewall getrennten Zone und entsprechende Regeln gesetzt für den notwendigen Netzwerkverkehr. Aufwändig aber halbwegs sicher (hoff ich).

Danke.

LG

Rob

[tkuehne]

Einen Switch nehmen der 802.1x unterstützt, und die Ports authentisieren? Die Kameras können es.

[Ing-Dom]

Gegenfrage: Warum ist die Kamera in keinem Vlan?

Achtung:
VLAN bieten keinen sicheren Zugangsschutz. VLANs dienen der Segmentierung und Organisation des Netzwerkverkehrs, nicht der Sicherheit. Ja, sie machen den Zugriff schwerer, aber oft nicht unmöglich.

[junibart]

Nein mein NAS hat ein Passwort und auch meine VISU hat eins. Es ging mir mehr darum, wie einfach es ist in ein Netzwerk zu kommen. Wenn ich dann noch meine ETS anschmeisse kann man doch schön den KNX-Verkehr mitschreiben usw. Den das Thema mit dem nach Aussen geführten KNX-Kabel (KNX-Bewegungsmelder usw.) hatten wir ja auch schon. Da scheint mit das nach Aussen geführte Netzwerk eigentlich noch schlechter zu sein.

Mir will auch nach dem gefühlt hundertsten Thread zu so einem Thema nicht einleuchten, warum irgend jemand auf die Idee kommen sollte, sich am Dachkasten oder wo auch immer in mein Netzwerk oder die KNX-Installation einzuklinken und dort mitzulesen, wieviel Ruhestrom meine Kaffemaschine verbraucht oder wie warm es in meinem Schlafzimmer ist. Wer so weit kommt, darf sich auch gerne meine Visu anschauen- die ist nicht passwortgeschützt.

Wer wirklich böses im Schilde führt und einigermaßen professionell vorgeht, wird sich mit solchem Kram nicht aufhalten, sondern einfach eine mechanische Schwachstelle am Haus finden und hereinspazieren. Da hilft wohl am besten ein Hund- und der kümmert sich dann auch gleich um den Freak mit dem Notebook auf der Leiter.

es grüßt,
der Junibart

[Claus.Mallorca]

Nein mein NAS hat ein Passwort und auch meine VISU hat eins. Es ging mir mehr darum, wie einfach es ist in ein Netzwerk zu kommen. Wenn ich dann noch meine ETS anschmeisse kann man doch schön den KNX-Verkehr mitschreiben usw. Den das Thema mit dem nach Aussen geführten KNX-Kabel (KNX-Bewegungsmelder usw.) hatten wir ja auch schon. Da scheint mit das nach Aussen geführte Netzwerk eigentlich noch schlechter zu sein.

Dann solltes du vor dem Start deiner ETS immer eine Kontrollrunde ums Haus machen! So bekommst du auch gleine Portion frische Luft, die deine ETS-Leistungsfähigkeit steigern dürfte!

[srom]

Oder einfach mit Coax Kameras und Coax zu Ethernet Converter arbeiten, würde so bei einem Kunden realisiert.
Dort haben wir für DECT und WLAN auch Indoor AP verwendet und dann mit externen Antennen gearbeitet.

Ist für privat Eher uninteressant, da es dort auffällt wenn jemand mit der Leiter da rumfummelt.
Bei einem größeren Firmengelände gibt es da mehr Möglichkeiten dies unbemerkt zutun.

Alles andere wurde bereits mehrfach im Forum geschildert.
Vlan, Firewall, Portsecurity

[Alexander79]

Oder kein China Export kaufen, sondern etwas vernünftiges, bei der nicht in der Kamera die Netzwerkbuchse sitzt, sondern im Gebäude.
Was bei China Export rauskam hat man ja bei dem DDos Attacke auf den Dyn Service gesehen.
Meine IP Kamera hat eine dicke Kabelpeitsche, worüber Strom Netzwerk Alarm IO etc drüber laufen. Der Anschluß des Netzwerksteckers befindet sich im Gebäude.
Viel Erfolg

[Andreas1]

Meine IP Kamera hat eine dicke Kabelpeitsche, worüber Strom Netzwerk Alarm IO etc drüber laufen.

Genau so ist es auch bei den billigen China-Kameras.

Bei den teureren, z.B. Hikvision 4er Serie, werden die Kabel ins Gehäuse geführt und dort gesteckt. So ist es auch bei Axis. Aber klar, Axis-Kameras sind natürlich nichts Vernünftiges. ;-)

Was hast du denn für einen Kamera?

[Alexander79]

Instar HD5907 und HD7011.
Egal welche Firma.
Wenn ein reines Netzwerkkabel außerhalb des gesicherten Bereiches angeschlossen werden kann ist das in meinen Augen Pfusch.
Das ist der gleiche Pfusch wie bei manchen Türsprechstellen mit Türöffner, da schraubt man die Türsprechstelle außen ab, entweder reicht eine Brücke setzen oder man nimmt ne 12V Batterie und steuert den Türöffner direkt an.

[Sovereign]

Was spricht gegen RG59? Gibt es inzwischen auch HD fähig und läßt sich nicht so einfach missbrauchen. Zugriff erfolgt dann über den Rekorder per LAN
Vorteil in meinen Augen, man belastet das allgemeinen Netzwerk nicht so stark
Bei Videoüberwachung auch auf dem eigenen Grundstück bitte immer an die geltenden Gesetze beachten (Hinweisschilder das gefilmt wird z.B.)

[ewfwd]

"Vorsicht Einbrecher, hier wird gefilmt". Am besten noch ne Karte aufhängen wo die Kameras genau montiert sind. Mit dem Gesetz kenn ich mich nicht aus, würde allerdings auf dem eigenen Grundstück (wenn ich dort selber wohne ausschließlich) keine "Hinweisschilder" aufstellen.
Aber ich warte mitten inner Nacht auch nicht an einer roten Ampel wenn ich kilometerweit keine Seele sehe...

Wenn man vermietet kann ich es ja nachvollziehen aber sonst nicht. Ergo würde ich nicht machen den Blödsinn mit den Schildern.

Achtung:
VLAN bieten keinen sicheren Zugangsschutz. VLANs dienen der Segmentierung und Organisation des Netzwerkverkehrs, nicht der Sicherheit. Ja, sie machen den Zugriff schwerer, aber oft nicht unmöglich.

Sorry aber wenn ein Switch im Gebäude die Packets "tagt" glaube ich das kaum, denn dort hängt der Port schon in einem VLAN drin.
Ich mein wenn du dazu mehr Informationen hast mit Quellenangaben usw. wäre ich interesiert aber so als ITler glaube ich das so erstmal nicht.

Würde auch mit VLANs arbeiten oder eventuell sogar eigenständigen Switch, Router zwischen den beiden Netzwerken etc.