У некоторых роутеров можно открывать порты, фильтруя их по конкретному адресу источника, с которого подключается камера. Это требует гораздо меньше настроек, чем VPN, при этом данные шифруются и не оказываются открытыми для всего интернета. Конечно, это не так безопасно, как аутентифицированный VPN, но для большинства задач это вполне приемлемо.

Лучший способ — туннелировать трафик между сайтами через VPN «сайт-сайт». Я бы ни в коем случае не открывал порты Protect напрямую в интернет — это безумие. Если вы используете OpnSense, для этого отлично подходит Wireguard.

Камера уже установлена и работает. Но она функционирует только при условии, что я разрешаю доступ ко всем портам из этой VLAN.

@UI-Glenn: Ребята, не подскажете, какие порты нужно открыть, чтобы камеры из другой VLAN могли обращаться к Protect-серверу, который работает в основной сети UDMP LAN (жаль, что это нельзя изменить). Без разницы, какие именно порты я открою, если не сделать общее правило, позволяющее сети "camera" обращаться к адресу шлюза, все камеры уходят оффлайн.

У меня настроен конфиг, очень похожий на тот, что у @afitch07 выше, и для работы мне тоже приходится открывать все порты. Кроме того, я бы очень хотел запускать Protect Server в VLAN, но не могу найти в настройках UDMP ничего, что это позволило бы. Ах да, и приложение Protect на моём телефоне на Android всегда говорит, что подключено удалённо, хотя я нахожусь в той же подсети, что и UDMP...

Для отчёта: я столкнулся с проблемой, что удалённые камеры не могли обновить прошивку. Оказалось, что для удалённого обновления прошивки необходимо пробросить порт TCP 7444. В целом, для Unifi Protect я пробросил такие TCP-порты: 7442, 7550, 7444.

Я обновляюсь с UniFi Video на Windows 10 ПК до UNVR с UniFi Protect (V1.17.3). Сначала не мог подключиться к UNVR локально, но через облачный сервис всё работало. Вот что я выяснил. Делюсь здесь, чтобы помочь другим.

ПК в локальной сети находятся в другом VLAN, чем камеры, с правилом фаервола на камерах, которое блокирует пакеты к 192.168.0.0/16. Для устройств на VLAN камер, которым нужно общаться с другими локальными VLAN, перед правилом блокировки стоит разрешающее правило для нужных подсетей. По умолчанию для исходящего трафика стоит accept, так что это правило block запрещает камерам доступ к остальной сети, если специально не разрешено.

Когда я использовал UniFi Video с открытыми портами 1935, 7443-7446 между VLAN, всё работало отлично. Аналогично с входящими портами из WAN. В WAN_IN добавил правило, разрешающее порты 1935, 7443-7446 с определённых подсетей (WAN_OUT разрешает весь трафик).

UniFi Protect вообще не работал на порту 7443. Оказалось, что порт 7443 в UniFi Protect используется для Timelapse и просмотра записей. Для управления и просмотра камер используется стандартный SSL-порт 443. Порт 7446 нужен для просмотра живого видео.

Так как мой роутер использует порт 443 на стороне WAN для своей страницы управления, а UNVR не позволяет изменить порт, я настроил NAT, чтобы перенаправлять порт 5443 на 443 UNVR. Также настроил NAT для проброса портов 22, 7443 и 7446 на UNVR.

Потом добавил порты 22, 443, 7443 и 7446 в исходящее правило фаервола на VLAN камер для IP клиентов, использующих UNVR, и в правило WAN_IN для подсетей или IP клиентов WAN, которым нужен прямой доступ к UNVR.

Теперь всё работает и через облачный сервис, и напрямую из WAN и с других VLAN.

Никаких причин, чтобы VPN был невозможен, просто нет, особенно теперь, когда на Raspberry Pi можно поставить OpenWRT. Полные комплекты Raspberry Pi 3b стоят менее 50 долларов, а по мощности он вполне способен справиться с гигабитным подключением — чего и не потребуется, даже если у вас несколько камер.

Открывать порты и настраивать файрвол так, чтобы входящие подключения могли приходить только с ожидаемых источников — в многих (но не во всех) случаях даже лучше, чем VPN, если только вам не нужно действительно сильно укреплять сеть. Здесь нет нагрузки от VPN, да и все данные между камерой и UFV уже в любом случае зашифрованы. Но да, уж точно не стоит просто открывать порты для всего интернета ради устаревшего ПО.