U-Prox IVA HUB: как изолировать IP-камеры от интернета и заблокировать удаленные атаки

Оставлять IP-камерам и видеорегистраторам прямой выход в глобальную сеть ради удобного просмотра со смартфона — типичная архитектурная ошибка при запуске системы видеонаблюдения. В октябре 2026 года CERT-UA сообщила о компрометации IP-камер и видеорегистраторов одного из популярных производителей.

Среди последствий такого вмешательства — доступ посторонних к видеопотоку, изменение конфигурации и создание сторонних учетных записей. Новые уязвимости в прошивках появляются постоянно, а выпуск и установка обновлений не всегда успевают за действиями злоумышленников, из-за чего владелец объекта часто даже не подозревает о постороннем доступе к своему видео. Обновления нужны, но полагаться только на них при проектировании защиты не стоит.

Корень проблемы заключается не в конкретном бренде оборудования, а в самом факте прямого доступа камер к интернету. Решить эту задачу без замены уже смонтированных устройств позволяет адаптер облачного видеонаблюдения U-PROX IVA HUB. Устройство выступает защищенным шлюзом: камеры полностью изолируются внутри локальной сети, а внешнюю связь и передачу зашифрованного потока берет на себя адаптер. Разберем, как построена эта архитектура, какие схемы изоляции выбрать при монтаже и что учесть в расчетах сети.

Почему обновления прошивок не спасают при открытом доступе в сеть

Когда IP-камера или регистратор имеют прямой выход в интернет, они становятся видимыми для автоматизированных сетевых сканеров. Атаки происходят дистанционно — как через уже известные ошибки конфигурации, так и через новые уязвимости в программном обеспечении камер, пока производитель готовит патч или инсталлятор планирует выезд на объект для обновления.

Кроме того, подключенные к глобальной сети устройства могут передавать телеметрию и данные в облако производителя без ведома владельца. Отдельный канал доступа создают P2P/облачные сервисы: камера сама подключается к инфраструктуре производителя, и в таком случае устройство может быть доступно даже без проброса портов на маршрутизаторе.

Принцип защиты, который реализует система U-PROX IVA, основан на физическом и логическом отсечении периферии от внешнего мира: без интернета — без взломов, с шифрованием — без чужих глаз. Камера, которой заблокирован выход за пределы локальной сети объекта, не может быть скомпрометирована извне даже через те уязвимости прошивки, которых еще никто не обнаружил.

При этом заказчик сохраняет привычный дистанционный доступ к живому видео и архиву через мобильное приложение U-PROX IVA для iOS и Android, поскольку вся коммуникация с внешним миром происходит исключительно через U-PROX IVA HUB. Изоляция уменьшает поверхность атаки, однако не устраняет риски внутри локальной сети: прошивки камер и HUB необходимо обновлять, а учетные записи — проверять.

Два сценария сетевой изоляции камер на объекте

В зависимости от масштаба объекта, имеющегося сетевого оборудования и требований заказчика к информационной безопасности, инженер может реализовать один из двух уровней изоляции видеокамер. В обоих случаях сами камеры взаимодействуют только с U-PROX IVA HUB в пределах локальной инфраструктуры.

Вариант 1. Базовый уровень: блокировка по MAC-адресам на маршрутизаторе

Эта схема подходит для небольших объектов — частных домов, небольших офисов или магазинов, где все устройства подключены к одному существующему роутеру, а бюджет не предусматривает закупку управляемого сетевого оборудования.

Алгоритм настройки для инсталлятора сводится к четырем шагам:

1. Подключить IP-камеры и U-PROX IVA HUB к локальной сети маршрутизатора и закрепить за ними IP-адреса, чтобы правила доступа оставались действующими после перезагрузки.
2. В настройках безопасности или межсетевого экрана на роутере заблокировать доступ к интернету для MAC-адресов всех установленных камер. Если роутер использует MAC-адреса только для выбора устройств, убедиться, что это именно блокировка интернет-доступа, а не обычный Wi-Fi MAC-фильтр (в бытовых роутерах эта функция часто называется «родительский контроль» или «контроль доступа»). Правила должны учитывать IPv4 и IPv6.
3. Оставить разрешение на выход в глобальную сеть только для MAC-адреса адаптера U-PROX IVA HUB (он указан непосредственно на корпусе устройства).
4. Убрать ненужные пробросы портов, проверить UPnP и отключить P2P/Cloud Access на камерах. После настройки проверить, получает ли HUB видеопотоки, а камеры не устанавливают внешних соединений.

В результате камеры продолжают передавать видеопотоки на адаптер внутри локального сегмента, но полностью теряют способность инициировать соединения с внешними серверами или отвечать на запросы из интернета.

Ограничение схемыОна закрывает выход в WAN, но оставляет камеры в общем LAN с другими устройствами объекта — от угроз внутри локальной сети защищает только Вариант 2.

Вариант 2. Расширенный уровень: выделение камер в отдельную подсеть

Для коммерческих, промышленных и распределенных объектов с повышенными требованиями к кибербезопасности применяется полная сегментация трафика.

В этой топологии все IP-камеры выносятся в отдельную изолированную подсеть без шлюза по умолчанию в глобальную сеть. Алгоритм настройки для инсталлятора сводится к четырем шагам:

1. Разместить камеры и U-PROX IVA HUB в одном видео-VLAN или физически отделенном сетевом сегменте (на практике — отдельный VLAN на управляемом PoE-коммутаторе, который одновременно питает камеры и разделяет сегменты).
2. На маршрутизаторе запретить камерам выход в WAN, а адаптеру разрешить только необходимые соединения с облачным сервисом. Отдельная IP-подсеть или отсутствие шлюза в настройках камер такие правила не заменяют.
3. Закрыть доступ из офисной и гостевой сетей к видеосегменту правилами межсетевого экрана; исключения для обслуживания предоставить только определенным административным узлам. Устройства внутри одного VLAN могут взаимодействовать между собой — если необходимо ограничить и этот доступ, настроить его на коммутаторе.
4. Перед сдачей объекта проверить, что из гостевого Wi-Fi и неавторизованных рабочих мест камеры недоступны, в том числе через IPv6.

Доступ к этому сегменту имеет исключительно U-PROX IVA HUB, который собирает локальные потоки через интерфейс Gigabit Ethernet, обрабатывает их и передает далее на защищенный сервер. Даже если злоумышленник получит доступ к корпоративной или гостевой Wi-Fi сети офиса, сегмент видеонаблюдения останется для него недоступным.

Маршрут и шифрование видеопотока: от объектива до смартфона

Изоляция камер решает проблему несанкционированного входа на объект, а вторая составляющая безопасности U-PROX IVA — защита самого видеоконтента во время передачи и хранения в облаке. В отличие от стандартных схем, где поток шифруется только на транспортном уровне или остается открытым для администраторов облачной площадки, здесь реализована сквозная защита:

• Шифрование на объекте: U-PROX IVA HUB забирает видеопотоки с камер и шифрует их непосредственно на объекте, еще до того, как пакеты данных покинут пределы локальной сети. Защита участка «камера — HUB» зависит от протокола и настроек самой камеры: шифрование на адаптере не делает входящий поток от камеры автоматически зашифрованным — именно поэтому изоляция сегмента и шифрование работают в паре.
• Хранение на защищенных европейских серверах: зашифрованные записи передаются на защищенный сервер U-PROX, расположенный в дата-центрах ЕС, где формируется облачный архив. Уже загруженная копия остается вне объекта в случае повреждения или кражи локального оборудования.
• Расшифровка только на устройстве клиента: ключи для просмотра работают на стороне авторизованного пользователя в мобильном приложении U-PROX IVA, поэтому просмотреть видео невозможно даже непосредственно на облачном сервере.

Аппаратная база и расчет нагрузки для проекта

Адаптер работает на встроенном специализированном программном обеспечении, разработанном и доработанном украинскими специалистами. Устройство выполнено в компактном черном корпусе размером 49,5 × 49,5 × 29 мм и весом 86,5 г, что позволяет легко разместить его в любом слаботочном щите или монтажной коробке рядом с коммутатором.

При проектировании системы и составлении сметы инсталлятору стоит учесть ключевые технические параметры устройства:

• Пропускная способность до 100 Мбит/с: это суммарный битрейт всех подключенных к одному адаптеру IP-камер. Планируя количество камер на один U-PROX IVA HUB, необходимо сложить битрейты их рабочих потоков, чтобы не превысить порог в 100 Мбит/с. Физический порт — Gigabit Ethernet, но в расчет берите именно 100 Мбит/с. Ориентир: 8 камер 1080p по 4 Мбит/с — 32 Мбит/с с запасом; 8 камер 4K по 12–16 Мбит/с — 96–128 Мбит/с, уже на пределе. Поскольку архив формируется в облаке, канал интернета на объекте (upload) должен выдерживать суммарный битрейт потоков, передаваемых на сервер.
• Мультибрендовая совместимость: до 8 IP-камер на один адаптер; система поддерживает большинство популярных IP-камер ведущих производителей (актуальный перечень совместимого оборудования и протоколов публикуется на сайте сервиса). Для модернизации уже смонтированной системы не нужно демонтировать имеющиеся камеры.
• Требования к питанию: устройство питается через разъем USB-C (5 В / 2 А), а в заводской комплект поставки уже входит блок питания с кабелем на 5 В / 3 А и патч-корд Ethernet.
• Условия эксплуатации и индикация: адаптер рассчитан на работу при температурах от 0 °C до +60 °C и влажности до 75 % (климатический класс II согласно EN 50131-1). На корпусе предусмотрены индикаторы состояния системы (красный SYS LED) и подключения (зеленый LED1), слот micro-SD, кнопки RESET и RCRY, а также QR-код для быстрой регистрации устройства в приложении. Гарантийный срок эксплуатации устройства (кроме блока питания) составляет 10 лет с даты продажи.

Важный нюансДля питания разрешается использовать только адаптеры с напряжением 5 В и током не менее 2 А — неподходящие блоки питания могут привести к некорректной работе или повреждению платы.

Для инсталлятора внедрение U-PROX IVA HUB означает быстрое закрытие вопроса кибербезопасности на новых и старых объектах без длительной перенастройки камер и регулярных сервисных выездов для обновления прошивок. Для заказчика — это защита от текущих и будущих сетевых атак, невидимость камер для интернет-сканеров, отсутствие скрытой передачи данных на сторонние серверы производителей и уверенность в том, что видео с объекта доступно исключительно ему.

Заказ и комплектация в B2B-кабинете VIATEC

Добавляйте облачные адаптеры U-PROX IVA HUB в проектные спецификации и формируйте смету в личном B2B-кабинете VIATEC:

• проверка актуальных остатков на складе в режиме реального времени;
• персональные партнерские цены для точного расчета маржинальности проекта;
• дополнение заказа совместимыми IP-камерами, PoE-коммутаторами, маршрутизаторами и монтажными боксами;
• мгновенное резервирование оборудования под проект в один клик.

По вопросам проверки совместимости имеющегося парка камер на объекте заказчика и расчета суммарного битрейта потоков обращайтесь к вашему персональному менеджеру или специалистам технической поддержки VIATEC.