Watchpost Hub

Адрес облака вендора вшит в прошивку камеры, и поменять его нельзя. Watchpost Hub обходит облако: небольшой релей на вашем сервере и туннель WireGuard, который до него поднимает роутер каждого объекта.

ОбъектКамерыи регистратор

LAN

ОбъектРоутерподключается сам

WireGuard

Ваш серверХабрелей и WireGuard

HTTPS

Ваше устройствоWatchpostприложение

Роутер подключается сам, поэтому белый адрес на объекте не нужен. Объект за мобильным модемом или за CGNAT оператора работает так же, как объект со статическим адресом. В сети объекта приложение подключается напрямую и хаба не касается. Вне её оно отправляет запросы хабу по HTTPS, а хаб передаёт их в туннель нужного объекта. Маршрут приложение выбирает само.

Что даёт хаб

Много объектов на одном сервере

У каждого объекта своя сеть на хабе (10.77.N.0/24), поэтому два объекта с одинаковой 192.168.1.0/24 друг другу не мешают.

Без VPN на телефоне

Приложение говорит с хабом по HTTPS, и этим путём идёт только его трафик. Остальное на телефоне не меняется.

Настройка из приложения

Приложение создаёт ключи и скрипт для роутера и добавляет объект на хаб. Вам остаётся вставить один скрипт в роутер.

Защита из коробки

У каждого объекта и у каждого человека свой токен доступа. Релей открывает только сеть этого объекта, и только порты устройств. Ещё он ограничивает число соединений на устройство и притормаживает тех, кто подбирает токены. Подробности – в разделе «Лимиты и отказы». Что где хранится – на странице «Что где хранится».

Установка одной командой

Поставьте хаб на любой сервер с Linux и systemd.

Что учесть заранее

Хаб видит видео. Между двумя туннелями поток проходит через релей в открытом виде. Держите хаб на сервере, которому доверяете.

Видео проходит через сервер дважды. Основной поток камеры 2560×1440 занимает 3–4 Мбит/с: столько же на входе и на выходе, и так на каждого зрителя. Загляните в лимит трафика вашего тарифа.

Роутеры. Скрипт рассчитан на MikroTik с RouterOS 7. Для Keenetic, ASUS с новыми прошивками и OpenWrt приложение выдаёт файл WireGuard, а трансляцию адресов вы настраиваете вручную. Если на роутере нет WireGuard, поставьте за ним небольшую коробку: GL.iNet или Raspberry Pi.

Часть операторов блокирует WireGuard, чаще всего на трафике к серверам за границей. Проверьте туннель с объекта, прежде чем на него рассчитывать.

Идёт тестирование

Хаб работает на настоящих объектах. Мы проверили через него просмотр и воспроизведение с регистраторов Xiongmai, а также основной поток 2560×1440 со звуком: 4,2 Мбит/с и ни одной ошибки декодирования за 20 секунд. Ещё проверяем устройства Hikvision, экспорт архива, многочасовые потоки и iPhone в сотовой сети. У каждого объекта есть токен доступа, а у каждого человека, которому вы передали объект, свой. В сборках с учётной записью Watchpost на Mac также доступны приглашения и управление доступом: см. «Люди и приглашения».

Дальше

1. Установка хабаСкрипт, порты и проверка, что всё запустилось.

2. Подключение объектаМастер в приложении и скрипт для роутера.

3. Лимиты и отказыЧто ограничивает релей и что значит каждый отказ.

Карта развитияЧто работает сегодня, что проверяем и что будет дальше.

Как изменить хаб и посмотреть серверные объекты – в статье «Управление хабами». Выбор маршрута описан в «Путях подключения объекта», выдача доступа на Mac – в «Людях и приглашениях».