Подключение объекта

Объект - это единая точка для подключения камер: дом, магазин, склад. Почти всё делает приложение, а вам нужно лишь добавить скрипт на роутер.

Как создать объект в реестре и отнести к нему устройства – в статье «Объекты».

Что понадобится

• Установленный хаб и его код с токеном администратора.
• Объект в приложении: устройства добавлены и доступны в локальной сети.
• Роутер объекта с WireGuard. Скрипт рассчитан на MikroTik с RouterOS 7, для остальных роутеров см. раздел «Другие роутеры».

Шаги

1. Добавьте хаб в приложение. Откройте Хабы…, выберите Новый хаб… и вставьте код хаба. Приложение заполнит адрес, порт и токен администратора.

2. Откройте Подключение к объекту… и выберите Настроить на хабе…. Приложение создаст ключи и скрипт для роутера и добавит объект на хаб. Хаб назначит объекту сеть, и приложение её покажет.

3. Откройте Настройка роутера…, скопируйте скрипт и выполните его в терминале роутера. Пока роутер не подключился, в листе написано «Роутер ещё не подключился».

4. Дождитесь, пока состояние сменится с «Роутер ещё не подключился» на «Роутер подключён».

5. Выберите Автоматически в настройках подключения объекта, выйдите из сети объекта и откройте просмотр. Watchpost выберет хаб, когда прямой путь перестанет отвечать.

Что скрипт делает на роутере

Ко всему, что он создаёт, скрипт ставит комментарий watchpost. Начинает он с удаления собственной прежней версии, поэтому запускать его повторно безопасно.

• Создаёт интерфейс WireGuard wg-watchpost и пир к хабу. Роутер подключается сам и шлёт keepalive каждые 25 секунд, на мобильном тарифе это около 1 МБ в сутки.
• Переводит каждую сеть объекта в свою 10.77.N.0/24, где N – номер, который хаб назначил этой сети.
• Пускает из туннеля только к устройствам из списка и только на их служебные порты.

Хаб достаёт только до устройств из списка. Добавили устройство в объект – создайте скрипт заново.

Как приложение выбирает путь

В режиме Автоматически Watchpost предпочитает доступный прямой путь, затем первый доступный маршрут в сохранённом списке. При выборе конкретного пути перехода на другой после ошибки нет. Проверка, ручные маршруты хаба и VPN, сохранение и удаление локального маршрута описаны в статье «Пути подключения объекта».

Объект с несколькими сетями

Камеры в одной сети /24, а регистратор в другой – обычное дело. Приложение смотрит на адреса устройств объекта и просит у хаба номер для каждой сети /24, где они стоят, до восьми. Роутер получает адрес в туннеле по первому номеру, а скрипт переводит каждую сеть в её 10.77.N.0/24.

Добавили устройство из новой сети – откройте Настройка роутера… ещё раз и вставьте скрипт. Номера, которые у объекта уже есть, остаются на месте. Файл экспорта с таким объектом откроют только приложения, которые знают о нескольких сетях. Старые откажутся, а не отправят все устройства в первую сеть.

Ограничения

• Номера на хабе – от 1 до 253, и каждая сеть каждого объекта занимает один.
• У объекта до восьми сетей.
• Нумерация даёт каждой сети свой диапазон, поэтому объекты с одинаковой локальной сетью не пересекаются.

Другие роутеры

Концом туннеля может быть любой роутер с WireGuard. Приложение выдаёт файл конфигурации WireGuard, а трансляцию адресов и файрвол вы настраиваете вручную. Подходят Keenetic, ASUS с новыми прошивками и OpenWrt. Для MikroTik нужна RouterOS 7.

Нет WireGuard на роутере? Поставьте за ним небольшую коробку: GL.iNet или Raspberry Pi.

Добавление без токена администратора

В коде хаба из watchpost-relay info токена администратора нет, поэтому приложение не может добавить объект само. Оно покажет команду с подставленными значениями. Выполните её на хабе:

watchpost-relay site add -name home -key <публичный ключ роутера> \
  -address 10.77.0.2 -network 10.77.1.0/24 -token-sha256 <хеш>

Если у объекта несколько сетей, повторите -network для каждой.

Секретов в команде нет: релей хранит только хеш токена объекта.

Доступ для другого человека

На Mac используйте разделы «Люди» и «Приглашения» на экране хаба: пригласите человека, дождитесь согласия и отправьте защищённый пакет устройств. Пароли, сроки и отзыв описаны в статье «Люди и приглашения». Одно лишь согласие не добавляет камеры.

Перенос файлом с вариантом Для другого человека остаётся отдельным способом передачи устройств. Проверьте включённые пароли и персональные токены выбранных маршрутов. Удаление устройств или маршрутов из вашего реестра не отзывает доступ другого человека.

Удаление объекта

Откройте экран хаба или Объекты хаба… из сохранённого маршрута. Удаление серверного объекта закрывает туннель его роутера и доступ через этот объект для всех. Локальный маршрут останется в настройках подключения, пока вы не удалите его отдельно. Удаление с сервера, локального маршрута и записи хаба описано в статье «Управление хабами».

Туннели, которые вы добавили в WireGuard хаба вручную, лист показывает тоже, и убрать их можно оттуда.