🛠 База знаний: Инженер ПНР

Архитектура СКУД и инженерная база

СКУД — это не просто "приложил карточку — дверь открылась". Это сложный комплекс, где цена ошибки — заблокированные при пожаре люди или сгоревшие контроллеры.

1. Золотое правило контроллера (Офлайн-режим)

Любая современная сетевая СКУД состоит из трех уровней: Считыватели, Контроллеры и Сервер. Главное правило: Контроллер должен принимать решение об открытии двери САМ, без связи с сервером. Сервер нужен только для заливки в контроллер базы ключей и сбора логов. Если сеть упадет, дверь должна работать.

2. Протоколы считывателей: Wiegand vs OSDP

• Wiegand: Старый стандарт де-факто. Односторонняя связь (считыватель только шлет данные), данные не шифруются, легко перехватить.
• OSDP: Современный стандарт (работает поверх RS-485). Двусторонняя связь, шифрование AES-128, сервер видит, если считыватель оторвали от стены.

3. Идентификаторы: Почему EM-Marine должен умереть

Эра простых белых карточек EM-Marine (125 кГц) прошла. Их можно скопировать в любом ларьке за 100 рублей. Если вы ставите EM-Marine на завод — СКУД там просто для галочки.

• Mifare Classic (13.56 МГц): Популярны, но их криптозащита (Crypto1) давно взломана. Копируются чуть сложнее, но всё равно копируются.
• Mifare Plus / DESFire: Современный стандарт. Память карты шифруется алгоритмом AES. Нюанс ПНР: Чтобы они работали безопасно, инженер должен перевести карты из заводского режима (SL1) в защищенный режим (SL3) с помощью мастер-карты и крипто-считывателя. Без этого они копируются так же легко, как Classic.
• Биометрия и Смартфоны (BLE/NFC): Абсолютный тренд. Лицо скопировать нельзя, а телефон всегда с собой.

4. Эмиссия: Как программировать защищенные карты (Mifare Plus)

Просто купить дорогие карты Mifare Plus недостаточно. С завода они работают в режиме "SL1" (читается только открытый серийный номер UID, как у дешевых EM-Marine, и они так же легко копируются). Чтобы включить шифрование AES-128 (режим "SL3"), карты и считыватели нужно "познакомить" — этот процесс называется Эмиссией.

Что нужно для настройки:

• Настольный USB-считыватель: Подключается к ПК инженера или кадровика (например, Sigur MR100 USB, Z-2 USB MF, ACR1281U).
• Настенные считыватели: Поддерживающие шифрование Mifare (например, Sigur MR100, RusGuard).
• Чистые карты Mifare Plus (с памятью 2K или 4K).

Процесс программирования (Шаги ПНР):

1. Генерация ключей: В ПО СКУД (например, Sigur) вы нажимаете "Сгенерировать крипто-ключи объекта". Программа создает уникальный пароль для вашего здания.
2. Прошивка настенных считывателей: Считыватели на стенах нужно научить понимать этот пароль. Есть два пути:
   Путь А (Старый): Вы берете чистую карту, кладете на USB-считыватель и делаете из нее "Мастер-карту". Затем идете ногами по объекту и прикладываете эту Мастер-карту к каждому настенному считывателю. Он "съедает" ключ, радостно пищит и перезагружается.
   Путь Б (Современный - OSDP): Если считыватели подключены к контроллеру по цифровой шине RS-485 (OSDP), вы просто нажимаете кнопку в ПО, и ключи заливаются во все считыватели по сети автоматически!
3. Прошивка карт сотрудников: Кадровик кладет чистую карту на USB-считыватель. ПО записывает в защищенный сектор памяти карты крипто-ключ и переводит её в режим SL3. Теперь карту невозможно скопировать.

Расключение считывателя (Провода):

Стандартная цветовая маркировка проводов (косички) настенного считывателя:

• Питание: Красный (+12В), Черный (GND/Земля).
• Если подключаем по Wiegand: Зеленый (D0), Белый (D1).
• Если подключаем по OSDP (RS-485): Желтый (A / TRX+), Синий (B / TRX-). (Цвета A и B могут отличаться у разных брендов, всегда смотрите паспорт!)
• Управление (Индикация): Коричневый (Красный светодиод), Оранжевый (Зеленый светодиод), Желтый (Зуммер/Пищалка) — эти провода используются только при Wiegand. В OSDP индикация управляется по тем же двум проводам данных (A и B).

5. Замки и Пожарная безопасность (NO vs NC)

Замки делятся на два типа по поведению при отключении электричества:

• NO (Normally Open / Нормально открытые): Нет тока — дверь открыта. Это электромагнитные замки.
• NC (Normally Closed / Нормально закрытые): Нет тока — дверь заперта. Это электромеханические защелки.

Сравнение логики: Sigur vs TRASSIR

Главное, что нужно понимать инженеру: TRASSIR идет от видео и нейросетей, а Sigur идет от бизнес-логики и IT-инфраструктуры.

TRASSIR: Магия видеоаналитики и Python

Вся гибкость Трассира кроется в мощнейших модулях нейроаналитики и встроенном интерпретаторе Python. Сервером СКУД выступает сам видеосервер.

• Умная стройка: Камера распознает лицо, но турникет не откроется, пока модуль аналитики не подтвердит, что на человеке надета каска и сигнальный жилет.
• Двойная верификация авто: Камера читает номер авто, вторая камера распознает лицо водителя. Шлагбаум откроется только при совпадении пары "Машина + Водитель".

Sigur: Бог корпоративной логики и интеграций

Sigur — это конструктор для IT-директора и HR. Его гибкость в том, что он «из коробки» умеет общаться с огромным количеством стороннего софта.

• Абсолютный контроль: СКУД + Алкотестер + 1С. При наличии алкоголя в выдохе турникет блокируется, а в 1С:ЗУП автоматически ставится прогул.
• Полный HR-автоматизм: Интеграция с Active Directory. HR принимает человека на работу, Sigur сам создает пропуск и назначает права доступа. При увольнении пропуск блокируется в ту же секунду.

SCADA: Системы диспетчеризации

SCADA (Supervisory Control And Data Acquisition) — это «Режим Бога» для инженера. Система собирает данные со всех инженерных систем (вентиляция, электроснабжение, котельные) и выводит их на экран диспетчера.

Архитектура SCADA

1. Нижний уровень (Полевой): Датчики температуры, давления, реле, задвижки.
2. Средний уровень (ПЛК): Программируемые логические контроллеры (Овен, Wiren Board). Собирают сигналы и управляют клапанами.
3. Верхний уровень (SCADA-сервер): Софт, опрашивающий ПЛК по протоколам Modbus RTU/TCP или OPC UA.

Лидеры рынка РФ

• MasterSCADA: Абсолютный монополист. Применяется от котельных до ТЭЦ. Программируется на языках МЭК (ST, FBD) или C#.
• Simple-Scada: Быстрорастущая, современная SCADA с красивым интерфейсом (DirectX/OpenGL). Скрипты на Pascal/Delphi.
• Trace Mode: Ветеран рынка, невероятно надежная система для тяжелой промышленности и металлургии.
• iRidium pro: Платформа для BMS (Умных зданий). Идеально для элитных ЖК и офисов. Скрипты на JavaScript.

Экосистема Eltex

Eltex идет от «сетевой инфраструктуры». Это крупнейший российский производитель телекоммуникационного оборудования, который строит свою экосистему «Умное здание».

Суперсила Eltex: Моновендорность

С Eltex можно построить всю IT-инфраструктуру здания на одном бренде:

• Ядро сети и коммутаторы доступа
• Wi-Fi по всему зданию
• IP-телефония
• SIP-домофоны и СКУД
• IP-камеры

Специфика для инженера ПНР

Чтобы работать с Eltex, нужно стать сетевым инженером (Network Engineer). Вы должны уметь работать в командной строке (CLI) коммутаторов, настраивать VLAN, транки, маршрутизацию, PoE-бюджеты и QoS.

С чего начать погружение в ПНР?

Шаг 1. Подтянуть IT-базу

• Сети: IP-адресация, маски, шлюзы, VLAN.
• Базы данных: Основы SQL (SELECT, UPDATE, INSERT) для работы с БД СКУД.
• ОС: Базовое администрирование Windows Server и основы командной строки Linux.

Шаг 2. Развернуть виртуальные стенды (Бесплатно)

Вендоры дают возможность тренироваться бесплатно:

• Sigur: Скачайте серверное ПО, включите режим эмуляции контроллеров и создайте виртуальную проходную.
• TRASSIR: Скачайте демо-версию, подключите веб-камеру или RTSP-поток со смартфона, настройте аналитику.

Шаг 3. Собрать "настольный стенд"

Купите б/у IP-контроллер (Sigur E500 или Z-5R Web), считыватель Mifare, несколько карточек и блок питания. Задача: обжать витую пару, подключить всё на столе и добиться, чтобы при прикладывании карты реле щелкало.

Шаг 4. Программирование (Уровень PRO)

Выучите основы Python. Напишите скрипт в TRASSIR для отправки уведомлений в Telegram или скрипт для добавления сотрудников в Sigur через их API.

Практические советы и частые "грабли" ПНР

В полях голая теория часто разбивается о суровую реальность. Вот топ-5 практических сетевых проблем, с которыми вы столкнетесь на объектах.

1. Ловушка PoE-бюджета (Power over Ethernet)

Часто монтажники покупают 24-портовый PoE-коммутатор и думают, что в него можно воткнуть 24 камеры. Но если суммарная мощность камер (особенно ночью, когда включается ИК-подсветка) превысит бюджет коммутатора, он начнет хаотично отключать порты.

• Пример: У вас коммутатор с бюджетом PoE 120 Вт. Вы подключаете 24 камеры. Каждая потребляет 7 Вт (ночью с ИК-подсветкой). 24 * 7 = 168 Вт.
• Итог: Коммутатору не хватает мощности. Ночью часть камер будет просто отключаться и перезагружаться.
• Правило: Всегда считайте суммарное потребление устройств (ватты) перед покупкой железа! Оставляйте запас в 15-20%.

2. Сетевые петли (Broadcast Storm)

Самый страшный сон сисадмина. Классика жанра: монтажник случайно воткнул оба конца одного патч-корда в один коммутатор (или соединил два коммутатора двумя кабелями без настройки агрегации).

3. Физика витой пары

• Правило 100 метров: По стандарту Ethernet максимальная длина кабеля от коммутатора до камеры — 100 метров. На 105 метрах камера может работать днем, но отваливаться ночью (из-за просадки напряжения PoE при включении ИК-подсветки). Если нужно дальше — ставьте PoE-экстендеры (удлинители) или оптику.
• Обжимка: Всегда обжимайте коннекторы RJ-45 по стандарту T568B (Бело-оранжевый, Оранжевый, Бело-зеленый, Синий, Бело-синий, Зеленый, Бело-коричневый, Коричневый). Если перепутать пары местами, линк может подняться, но скорость упадет до 10 Мбит/с, и видео будет жутко тормозить (возникнут коллизии на физическом уровне).

4. Удаленный доступ (Как выпустить систему в мир)

Заказчик всегда хочет смотреть камеры или СКУД с телефона из дома. Есть 3 пути:

1. P2P (Облако): Самый простой. Включаете галочку P2P в регистраторе, сканируете QR-код телефоном. Минусы: работает через чужие серверы (часто китайские), может тормозить, небезопасно для крупных объектов.
2. Белый IP + Проброс портов (Port Forwarding): Провайдер дает статический (белый) IP-адрес роутеру. Вы на роутере настраиваете правило: "Всех, кто стучится снаружи на порт 8000, перенаправлять на внутренний IP камеры 192.168.1.50".
3. VPN (Высший пилотаж): На роутере (например, Mikrotik или Keenetic) поднимается VPN-сервер (WireGuard или OpenVPN). Заказчик включает VPN на телефоне и оказывается как бы внутри локальной сети офиса. Это самый безопасный и профессиональный метод.

5. Алгоритм траблшутинга: "Камера не в сети"

Если устройство не пингуется, не спешите его менять. Идите по шагам (модель OSI снизу вверх):

Интеграции по API: Как системы общаются друг с другом

Времена, когда системы связывали "сухими контактами" (проводками), прошли. Сейчас СКУД, 1С и Видеонаблюдение общаются по сети через API (Application Programming Interface).

1. Что такое REST API?

Это набор правил, по которым одна программа может попросить другую что-то сделать по протоколу HTTP (как в браузере).

• GET-запрос: "Дай мне информацию". (Например, 1С запрашивает у Sigur список всех проходов Иванова за месяц).
• POST-запрос: "Создай/Измени данные". (Например, HR добавляет Иванова в 1С, и 1С отправляет POST-запрос в Sigur, чтобы тот создал Иванову пропуск).

2. Форматы данных: JSON и XML

Чтобы программы понимали друг друга, данные передаются в структурированном текстовом виде. Сегодня стандартом является JSON.

{
  "employee_id": "1054",
  "name": "Иванов Иван",
  "event": "access_granted",
  "time": "2026-05-08T08:00:00"
}

3. Инструменты ПНР-щика (Postman)

Протоколы видеонаблюдения: ONVIF vs RTSP

Главная проблема видеонаблюдения — "зоопарк" брендов. Как заставить камеру Dahua работать с сервером TRASSIR или регистратором Hikvision? Для этого есть два универсальных языка.

1. RTSP (Real-Time Streaming Protocol)

Это "тупая труба", по которой льется только видео и звук. Больше ничего.

• Плюсы: Поддерживается вообще всеми IP-камерами в мире (даже самыми дешевыми с AliExpress).
• Минусы: Сервер не может управлять камерой. Он не может изменить её IP, не может покрутить объектив (PTZ), не может получить от камеры сигнал "Я увидела движение". Серверу приходится самому анализировать каждый кадр, что сильно грузит процессор.
• Пример ссылки: rtsp://admin:12345@192.168.1.50:554/stream1 (Эту ссылку можно открыть даже в плеере VLC на компьютере).

2. ONVIF (Open Network Video Interface Forum)

Это "умный" стандарт общения. Если камера и сервер поддерживают ONVIF, они становятся лучшими друзьями.

• Сервер может сам найти камеру в сети.
• Сервер может менять настройки камеры (яркость, битрейт).
• Главное: Камера сама детектирует движение и присылает серверу легкое текстовое уведомление ("Тут кто-то ходит!"), а сервер уже включает запись. Это экономит 80% мощности сервера.

Основы Linux для инженера ПНР

Современные серверы СКУД (Sigur, RusGuard) и Видеонаблюдения (TRASSIR OS, Macroscop) всё чаще ставятся на Linux (Debian, Ubuntu). Забудьте про мышку — добро пожаловать в консоль.

Топ-5 команд для выживания на объекте:

1. Узнать IP-адрес сервера:

ip a

(Аналог ipconfig в Windows. Ищите строчки, начинающиеся с inet, например inet 192.168.1.10).

2. Проверить, работает ли служба (серверный модуль):

systemctl status sigur-server

(Покажет, запущен ли сервер СКУД. Если упал — напишет причину красным цветом. Для перезапуска используйте systemctl restart sigur-server).

3. Чтение логов в реальном времени (Магия ПНР):

tail -f /var/log/syslog

(Команда tail -f выводит последние строки файла и обновляет экран в реальном времени. Вы прикладываете карточку к считывателю и сразу видите в консоли, как сервер её обрабатывает).

4. Проверка нагрузки (Почему всё тормозит?):

htop

(Красивый диспетчер задач. Показывает загрузку процессора, оперативной памяти и список самых тяжелых процессов. Выход — клавиша F10 или Q).

5. Редактирование сетевых настроек:

nano /etc/network/interfaces

(Открывает простой текстовый редактор прямо в консоли. Используется для изменения IP-адреса сервера со статики на DHCP или наоборот. Сохранить — Ctrl+O, Выйти — Ctrl+X).

АПС и СОУЭ: Пожарная безопасность

АПС (Автоматическая пожарная сигнализация) и СОУЭ (Система оповещения и управления эвакуацией) — это самые строгие системы в слаботочке. Здесь нельзя "колхозить", всё жестко регламентировано ГОСТами и Сводами Правил (СП 484, СП 3). За ошибку здесь можно сесть в тюрьму.

1. Виды пожарной сигнализации

• Пороговая (Неадресная): Дешевая классика. Датчики (извещатели) висят на одном проводе (шлейфе). Если один датчик сработал, прибор показывает "Пожар в Шлейфе №1". Вы не знаете, какой именно датчик сработал, знаете только зону (например, весь коридор). В конце шлейфа ОБЯЗАТЕЛЬНО ставится оконечный резистор (например, 4.7 кОм), чтобы прибор понимал, что провод не оборван.
• Адресно-аналоговая: Современный стандарт. Прибор общается с каждым датчиком индивидуально. Датчик передает точное значение задымленности или температуры, а прибор сам решает, пожар это или просто пыль. Вы точно знаете: "Пожар, кабинет 305, датчик №14".

2. Виды СОУЭ (Оповещение)

Делятся на 5 типов в зависимости от сложности здания:

• Тип 1 и 2: Звуковое (сирены "Иволга") и световое (табло "ВЫХОД").
• Тип 3, 4 и 5: Речевое оповещение (динамики на потолке, которые приятным женским голосом говорят: "Внимание! Пожарная тревога! Просьба покинуть помещение"). Строится на усилителях (например, Тромбон, Roxton, Inter-M).

3. Главные бренды на рынке РФ

• Болид (ИСО "Орион"): Абсолютный монополист. Стоит в 80% зданий РФ. Дешево, сердито, надежно. Боль ПНР-щика: программируется через жутко архаичные утилиты UProg (настройка приборов) и PProg (настройка пульта С2000М). Связь между приборами идет по интерфейсу RS-485.
• Рубеж: Главный конкурент Болида. Считается более современным в плане адресных линий. Программируется через софт FireSec.
• Аргус-Спектр (Стрелец-ПРО): Короли беспроводных систем. Датчики работают по радиоканалу, батареек хватает на 10 лет. Идеально для музеев, исторических зданий или объектов, где уже сделан чистовой ремонт и нельзя штробить стены.

4. Беспроводные системы АПС (Радиоканал)

Когда тянуть кабель невозможно или слишком дорого (например, в Эрмитаже или в офисе с готовым дорогим ремонтом), на сцену выходят беспроводные системы. Флагман в РФ — «Стрелец-ПРО» от Аргус-Спектр.

• Плюсы: Скорость монтажа (прикрутил датчик на 2 самореза — готово), сохранение интерьера, топология Mesh (каждое устройство работает как ретранслятор, передавая сигнал от соседей, если прямой путь до пульта перекрыт).
• Минусы: Оборудование стоит дороже проводного. Радиосигнал плохо проходит через толстый железобетон и металлические перекрытия.

5. Расключение и Кабели: За что бьет инспектор

В АПС нельзя использовать обычную витую пару (UTP) или ШВВП!

• Кабель должен быть огнестойким: маркировка FRLS (Fire Resistance Low Smoke) или FRHF (без галогенов). Он красный или оранжевый.
• Кабель АПС нельзя класть в один лоток с силовыми кабелями 220В и даже с витой парой от интернета (по СП 484 должен быть отступ).
• Скрутки запрещены! Соединения делаются только в огнестойких распределительных коробках (УК-ОП) на клеммниках.

Умный дом и BMS (Building Management System)

BMS — это мозг здания. Если SCADA чаще применяется на заводах, то BMS — это элитные ЖК, офисы А-класса и частные виллы.

1. Основные протоколы

• KNX: Золотой стандарт автоматизации зданий. Децентрализованная шина (нет главного контроллера, каждое устройство имеет свои "мозги"). Очень дорого, невероятно надежно.
• DALI: Специализированный протокол только для управления освещением (диммирование, RGB).
• Modbus (RTU/TCP): Классика для управления климатом (фанкойлы, кондиционеры, счетчики).

2. Специфика ПНР (Софт ETS)

Всё оборудование KNX (от выключателей до реле) программируется через единый софт — ETS (Engineering Tool Software). Инженер создает групповые адреса (например, "Свет в гостиной") и связывает кнопку выключателя с каналом реле в щитке.

Системы защиты периметра

Периметралка — это первый рубеж обороны (заборы заводов, аэропортов, коттеджных поселков).

1. Основные технологии

• ИК-барьеры (Лучевые): Две стойки (приемник и передатчик) светят друг в друга невидимыми лучами. Пересек луч — тревога.
• Трибоэлектрический кабель: Специальный кабель стяжками крепится на сетчатый забор (например, "Гюрза", "Трезор"). Реагирует на вибрацию и деформацию, когда кто-то лезет через забор или режет сетку.
• Радиоволновые датчики: Создают объемную невидимую "колбасу" из радиоволн вдоль забора.

Инструменты и Софт инженера (Чек-лист)

С чем инженер ПНР должен приезжать на объект.

1. Must-have Софт на ноутбуке

• Advanced IP Scanner: Быстрый поиск всех устройств в локальной сети.
• Wireshark: Анализатор трафика. Если сервер не видит камеру, запускаем Wireshark и смотрим, летят ли вообще от нее пакеты.
• PuTTY / MobaXterm: SSH-клиенты для подключения к консоли Linux-серверов и коммутаторов.
• Postman: Для тестирования и отладки REST API интеграций.
• Утилиты вендоров: SADP Tool (Hikvision), ConfigTool (Dahua), UProg/PProg (Болид).

2. Аппаратный набор (Железо)

• Кабельный тестер с рефлектометром: Не просто "пикалка" за 500 рублей, а прибор (например, Noyafa или Fluke), который покажет длину кабеля и на каком метре произошел обрыв.
• USB-RS485 конвертер ("Свисток"): Жизненно необходим для подключения ноутбука напрямую к датчикам, ПЛК и контроллерам СКУД. Без него вы как без рук.
• Мультиметр: Проверить наличие 12В/24В, прозвонить кабель на КЗ, замерить сопротивление оконечных резисторов.
• Патч-корд 3 метра: Для подключения ноутбука напрямую к оборудованию.

3. Софт на дежурной флешке инженера (Набор выживания)

На объектах часто нет интернета. Этот набор программ должен быть заранее скачан и лежать в архиве (на флешке или FTP-сервере):

Сетевые утилиты (Основа)

• Advanced IP Scanner / Angry IP Scanner — портативные сканеры локальной сети.
• Winbox — для настройки роутеров Mikrotik.
• PuTTY / MobaXterm — SSH/Telnet-клиенты, и главное — подключение через COM-порт (Serial).
• Tftpd32 / Tftpd64 — легкий DHCP, TFTP и Syslog сервер (для заливки прошивок).
• iPerf3 — утилита командной строки для измерения реальной пропускной способности сети.

Видеонаблюдение (СВН)

• ONVIF Device Manager (ODM) — универсальный поиск и управление любыми ONVIF-камерами.
• VLC Media Player (Portable) — для прямой проверки RTSP-потоков.
• Утилиты вендоров: SADP Tool (Hikvision), ConfigTool (Dahua), Trassir Client.

ОПС, СКУД и БД

• Софт для "Болида": UProg, PProg, RS485Settings.
• DBeaver (Portable) / pgAdmin — прямое подключение к базам данных (PostgreSQL, MS SQL).
• Postman (Portable) — отладка HTTP/REST API при интеграциях.

Аппаратная диагностика

• CrystalDiskInfo — проверка "здоровья" жестких дисков (S.M.A.R.T.) на видеосерверах.
• HWiNFO — портативный мониторинг температур (когда сервер перегревается).
• Rufus / BalenaEtcher — создание загрузочных флешек (Linux/Windows, LiveCD).
• Lazesoft Recovery / Active@ Password Changer — сброс забытого пароля администратора Windows.

Повседневные инструменты

• Notepad++ или Sublime Text — с плагинами JSON Viewer и XML Tools, для комфортного чтения логов и конфигов.
• Sumatra PDF / Foxit Reader (Portable) — легкие читалки для огромных проектов (РД).
• AnyDesk / RustDesk (Portable) — удаленный доступ техподдержке.
• HashTab — проверка контрольных сумм скачанных прошивок.
• Draw.io (diagrams.net) — быстрое создание схем подключения и топологий сети.

Базовый SQL для инженера СКУД

Базы данных СКУД (Sigur, RusGuard) обычно крутятся на PostgreSQL или MS SQL. Умение залезть в базу напрямую спасает, когда интерфейс программы не позволяет сделать хитрую выгрузку.

1. Инструмент: DBeaver

Бесплатный и мощный клиент для подключения к любым базам данных. Вводите IP сервера, логин, пароль — и видите все таблицы СКУД.

SELECT name, department 
FROM employees 
WHERE id NOT IN (
    SELECT employee_id 
    FROM access_logs 
    WHERE event_date > CURRENT_DATE - INTERVAL '30 days'
);

Типовые решения

Настройка VLAN

Настройка VLAN (Virtual Local Area Network) — это классический способ разделить один физический коммутатор на несколько логических, изолированных друг от друга сетей. Это позволяет отделить, например, тяжелый трафик видеонаблюдения от обычной офисной сети, повысить безопасность и уменьшить количество широковещательного мусора.

Давайте разберем настройку на типовом сценарии. Логика настройки 802.1Q VLAN абсолютно одинакова для Dahua, TP-Link, D-Link и других вендоров, могут лишь немного отличаться названия меню.

📋 Наш сценарий:

У нас есть 24-портовый L2-коммутатор. Мы хотим разделить трафик на два потока:

• VLAN 10 (Офис): Порты 1–4. Сюда подключены компьютеры сотрудников.
• VLAN 20 (Видеонаблюдение): Порты 5–8. Сюда подключены IP-камеры.
• Порт 24 (Uplink): Подключен к главному роутеру или серверу. Через этот порт должны проходить данные обеих сетей.

Важные понятия перед настройкой:

1. Access порт (Untagged) — порт для конечных устройств (ПК, камеры). Устройство не знает ничего про VLAN. Коммутатор сам вешает ярлык (тег) на входящий трафик и снимает его при выходе.
2. Trunk порт (Tagged) — порт для связи коммутаторов или роутеров. Трафик идет с «ярлыками» (тегами), чтобы принимающее устройство понимало, к какому VLAN относится каждый пакет.
3. PVID (Port VLAN ID) — номер VLAN, который коммутатор присваивает любому входящему нетегированному трафику на конкретном порту.

Вариант 1: Настройка через Web-интерфейс (типично для Dahua / TP-Link)

В большинстве современных коммутаторов настройка сводится к трем шагам в разделе L2 Features -> VLAN -> 802.1Q VLAN:

Шаг 1. Создание VLAN

1. Зайдите в меню 802.1Q VLAN.
2. Нажмите Add (Добавить).
3. Введите VLAN ID: 10, Name: Office.
4. Введите VLAN ID: 20, Name: CCTV.

Шаг 2. Настройка портов (Tagged / Untagged)

Теперь нужно указать, какие порты принадлежат каким VLAN:

• Для VLAN 10:
  • Порты 1, 2, 3, 4 отмечаем как Untagged (или Access).
  • Порт 24 отмечаем как Tagged (или Trunk).
• Для VLAN 20:
  • Порты 5, 6, 7, 8 отмечаем как Untagged.
  • Порт 24 отмечаем как Tagged.

Шаг 3. Настройка PVID (Port VLAN ID)

Это критически важный шаг, про который часто забывают. Перейдите во вкладку VLAN Port Setup (или Port PVID):

• Для портов 1–4 установите PVID = 10.
• Для портов 5–8 установите PVID = 20.
• Для порта 24 оставьте PVID = 1 (по умолчанию, так как трафик на нем уже будет ходить с тегами).

Вариант 2: Настройка через CLI (типично для D-Link DGS / TP-Link JetStream / Cisco)

Если вы подключаетесь по SSH или консольному кабелю, настройка выглядит так (команды могут минимально отличаться в зависимости от синтаксиса конкретной прошивки):

# Переходим в режим конфигурации
enable
configure terminal

# Создаем VLAN 10 и 20
vlan 10
 name Office
 exit
vlan 20
 name CCTV
 exit

# Настраиваем порты для компьютеров (Access / Untagged)
interface range ethernet 1/0/1-4
 switchport mode access
 switchport access vlan 10
 exit

# Настраиваем порты для камер (Access / Untagged)
interface range ethernet 1/0/5-8
 switchport mode access
 switchport access vlan 20
 exit

# Настраиваем Uplink-порт до роутера (Trunk / Tagged)
interface ethernet 1/0/24
 switchport mode trunk
 switchport trunk allowed vlan 10,20
 exit

# Сохраняем конфигурацию
end
write memory

Итог: как это работает

1. Камера на порту 5 отправляет видео. Пакет попадает в коммутатор без тега.
2. Коммутатор видит, что у порта 5 стоит PVID 20. Он вешает на пакет невидимую бирку «VLAN 20».
3. Пакет с этой биркой не может попасть на порты 1-4 (офис), так как они принадлежат VLAN 10. Трафик полностью изолирован.
4. Пакет направляется в порт 24 (Trunk), так как там разрешен VLAN 20. Пакет уходит на роутер вместе с биркой «VLAN 20».
5. Роутер (если на нем настроены соответствующие сабинтерфейсы) принимает этот пакет, понимает, что это от камер, и направляет его на видеорегистратор.

Частая ошибка: Один IP-диапазон на разные VLAN

Золотое правило сетей: 1 VLAN = 1 отдельная IP-подсеть.

Если вы разделили порты на разные VLAN, вы обязаны раздать устройствам в этих VLAN IP-адреса из разных подсетей. Если оставить всем устройствам IP-адреса из одной сети (например, 192.168.1.X), они не смогут общаться. Устройство будет отправлять широковещательный ARP-запрос в свой VLAN, но коммутатор не пропустит его в другой VLAN. Связи не будет.

Как делать ПРАВИЛЬНО:

• VLAN 10 (Офис): Подсеть 192.168.10.X, маска 255.255.255.0. Шлюз: 192.168.10.1.
• VLAN 20 (Камеры): Подсеть 192.168.20.X, маска 255.255.255.0. Шлюз: 192.168.20.1.

Правильный порядок настройки (Алгоритм ПНР)

Если сначала воткнуть все камеры и компьютеры в свитч, а потом пытаться настраивать VLAN, сеть будет постоянно «отваливаться», а вы запутаетесь.

1. Бумага (IP-план). Расписываем подсети и шлюзы для каждого VLAN.
2. Настройка Роутера (Ядра). Создаем на роутере виртуальные интерфейсы (сабинтерфейсы) и назначаем им IP-адреса шлюзов.
3. Настройка Коммутатора. Настраиваем VLAN на свитче, делаем порт до роутера Trunk-ом, а порты для устройств — Access-портами (как описано выше).
4. Подключение устройств. Только теперь берем камеру, подключаем напрямую к ноутбуку, меняем ее IP и шлюз, и втыкаем в нужный порт коммутатора.

Настройка маршрутизации: "Роутер на палочке" (на примере MikroTik)

Чтобы устройства из разных VLAN могли общаться, им нужен маршрутизатор. Схема, когда роутер соединен с коммутатором одним кабелем, по которому бегают тегированные пакеты, называется «Роутер на палочке» (Router on a stick).

Допустим, коммутатор подключен во 2-й порт роутера (ether2).

Шаг 1. Создаем виртуальные интерфейсы (VLAN)

Идем в меню Interfaces -> вкладка VLAN. Добавляем:

• Name: vlan10-office, VLAN ID: 10, Interface: ether2 (указываем физический порт!)
• Name: vlan20-cctv, VLAN ID: 20, Interface: ether2

Шаг 2. Назначаем IP-адреса (Шлюзы)

Идем в меню IP -> Addresses. Добавляем:

• Address: 192.168.10.1/24 (обязательно с маской /24), Interface: vlan10-office
• Address: 192.168.20.1/24, Interface: vlan20-cctv

Шаг 3. Маршрутизация и Безопасность (Firewall)

Любой коммерческий роутер (MikroTik, Cisco, Keenetic) автоматически маршрутизирует трафик между всеми сетями, которые подключены к нему напрямую. Как только вы назначили IP-адреса, роутер сам добавил маршруты.

PoE-экстендеры (удлинители и разветвители)

PoE-экстендеры (удлинители/разветвители) спасают на объектах, когда забыли заложить кабель или заказчик внезапно просит «добавить вон там еще одну камеру», а тянуть новую трассу 80 метров через готовый ремонт невозможно.

Давайте разберем всю физику и логику этого устройства, чтобы понимать, где оно спасет, а где устроит катастрофу.

1. Как это устроено внутри? Почему регистратор видит 2 камеры?

Многие думают, что разветвитель — это какая-то хитрая магия, которая «склеивает» видеопотоки. На самом деле всё гораздо проще.

Как данные ходят по сети:

1. Внутри экстендера стоит чип коммутации. У него есть своя MAC-таблица.
2. Камера №1 и Камера №2 имеют свои уникальные MAC-адреса и IP-адреса.
3. Когда они шлют видео, экстендер просто пересылает их Ethernet-кадры в приходящий кабель (Uplink).
4. Главный коммутатор в серверной видит, что на его порту (куда подключен экстендер) «висят» сразу два MAC-адреса. Для коммутатора это абсолютно нормальная ситуация.
5. Регистратор (NVR) обращается к камерам по их IP-адресам. Ему вообще всё равно, сколько коммутаторов стоит между ним и камерой. Он отправляет запрос, главный свитч кидает его в нужный порт, экстендер читает MAC-адрес и отдает пакет в нужный порт нужной камере.

(Примечание: Существуют еще "пассивные штаны" — дешевые разветвители, которые ставятся с двух сторон кабеля и физически делят 8 жил витой пары на две группы по 4 жилы. Это устаревший и плохой метод, мы говорим именно про современные активные экстендеры).

2. Как НАДО делать (Правила выживания)

Если вы решили использовать PoE-экстендер, вы обязаны учитывать законы физики, а именно — бюджет мощности и падение напряжения.

• Считайте ватты (Стандарты PoE):
  Сам экстендер потребляет на свою работу около 1.5–2 Вт. Обычный порт коммутатора (стандарт 802.3af) выдает максимум 15.4 Вт. Если вы повесите на него экстендер (2 Вт) и две уличные камеры с ИК-подсветкой (по 7 Вт каждая), то в сумме получится 16 Вт. Днем всё будет работать, а ночью, когда включится подсветка, порт на главном коммутаторе уйдет в защиту по перегрузке и отключит обе камеры.
  Как надо: Порт главного коммутатора, от которого питается экстендер, ОБЯЗАТЕЛЬНО должен поддерживать стандарт PoE+ (802.3at), который выдает до 30 Вт. Этого с запасом хватит на экстендер и 2-3 камеры.
• Используйте только чистую медь (AWG24):
  При передаче постоянного тока по тонким проводам на большие расстояния происходит просадка напряжения. Если вы используете дешевый кабель CCA (омедненный алюминий), напряжение может упасть с 48В до 35В еще до того, как дойдет до экстендера. Экстендеру не хватит сил запитать камеры. Только 100% медь!
• Учитывайте пропускную способность:
  Экстендеры обычно имеют порты 100 Мбит/с. Для 2-3 камер (даже 4K разрешения), которые генерят по 8-10 Мбит/с, этого канала (Uplink) хватит с головой.

3. Как НЕ НАДО делать (Частые ошибки монтажников)

Исполнительная документация (ИД)

Инженер ПНР — это не только провода и код. Это сдача объекта заказчику. Нет бумаги — нет денег.

Что входит в ИД:

• Кабельный журнал: Таблица, где расписан каждый кабель (Откуда, Куда, Марка, Длина).
• Таблица IP-адресов и паролей: Самый важный документ для сисадмина заказчика. Передается в защищенном виде.
• Схемы расположения: Поэтажные планы с точным указанием, где висит какая камера и какой у нее MAC-адрес.
• Акт комплексного опробования: Бумага, в которой комиссия подписывается, что при имитации пожара двери открылись, а сирена завыла.