技術長說 要把一些筆記整理回 OSSLab粉絲團
https://www.facebook.com/groups/pve.tw/permalink/808745672627329/
這邊分享一下OSSLab架設x86 NVR 經驗.
第一套是海康免費的 ivms 4200 NVR
http://www1.hikvision.com/cn/download_more_390.html
(OSSLab只有用到 7顆同廠鏡頭 +2顆非同廠ip cam 沒有收錢 但看起來好像幾百個鏡頭也不會收錢)
但不知道那邊沒設定好 可能re encode了.非常吃CPU !
用了幾天 就沒用了...
另外 關於這些非同廠的nvr與ip cam連線.
大概都用onfi 協議. 不過我看很多都不太可能這樣設定成功. 大概還是要找到IP cam RTSP path.直接餵給 NVR.
直接餵RTSP會有些缺點.
1.比如說動態偵測錄影就沒辦法啟用.
2.再來就是這些非原廠NVR好像不一定可以收H.265碼流. (不過群暉好像是有支持的)
3.當然就是一些同廠ip cam+ nvr協定無法使用.
加上NVR價格好像比 各種x86 或是NAS便宜 有些還內建poe port!!!
所以OSSLab完全沒有意願使用x86 替換nvr.
自己最愛的架構就是NVR + 另外一台雲端獨立backup架構
https://www.osslab.com.tw/%E5%82%99%E4%BB%BDnvr%E7%9B%A3%E…/
最後補充一些真實狀況.
如果想實現"電影上替換ip cam 監控畫面"
流程其實在內網就是要先打下 NVR.
x86 電腦主機 (windows or linux os ), nas 主機(linux os)
,NVR .
那個最好打下. 一看就很明顯....X86電腦+OS漏洞可多了..
然後替換影片用 vlc player可以做 RTSP stream server 回吐給NVR 收.
就可以做到電影效果.
所以 我真的覺得NVR不錯用... OSSLab Geek Lab
#好孩子不要學
#要不然去刑事局授課打卡都會被人問要不要幫忙交保
今天重要把細部的 zoneminder (自建 NVR) 細部設定好. 我家所有的海康 IP Cam 都加進來了, 同時就連快速球的 PTZ 都完全可以控制. 目前考慮還是暫時放在內網, 雖然要丟到外網 https 也是很簡單的事情, 但是為了安全考量, 要看 nvr 還是透過 openvpn 連線回來的好啊.
.
當然也是架設在 pve 底下的 lxc 啦.
.
https://zoneminder.com/
.
#nvr #zoneminder #hikvision #再也不會有監視器授權的困擾了
openvpn架設 在 [攻略] 自己的VPN自己架：OpenVPN架設篇- 看板KanColle 的推薦與評價
延續前文：[攻略] 自己的VPN自己架：基礎建設篇 #1LUM6Das
這次的圖會比較少，因為大部分都是照著指令就可以了。
四、OpenVPN簡介
OpenVPN是一個開放原始碼、跨平台的VPN實作。
雖然連線需要額外的客戶端軟體，但目前幾乎所有平台上都已經有OpenVPN的客戶端。
OpenVPN的優點：
1.使用CA(數位憑證)做身分驗證，目前除了誘騙使用者自己開門外沒有破門方法。
2.使用OpenSSL加密，可以自行更換加密演算法。
預設使用BlowFish做為Cipher(這個有點難解釋 有興趣的朋友可以自己Google)，
BlowFish至今沒有被攻破的紀錄(理論上不可行)。
在常用的VPN方案中擁有最高的安全性。
3.在走UDP的時候(預設)擁有常用VPN方案中僅次於PPTP的速度。
OpenVPN的缺點：
1.需要客戶端軟體。
2.我想不到了，歡迎補充。
五、OpenVPN架設
首先安裝OpenVPN。
因為後面會有一些問題，所以這邊不用sudo，直接進root做。
xxx@xxx:~$ sudo su -
root@xxx:~# apt-get -y install openvpn
安裝好之後我們要先使用附帶安裝的easy-rsa生成OpenVPN所需要的數位憑證。
root@xxx:~# cd /etc/openvpn
root@xxx:/etc/openvpn# mkdir -p easy-rsa
root@xxx:/etc/openvpn# cp /usr/share/easy-rsa/* easy-rsa/
root@xxx:/etc/openvpn# cd easy-rsa
編輯easy-rsa裡面的vars這個檔案。
root@xxx:/etc/openvpn/easy-rsa# nano vars
裡面應該有一段長這樣：
其實不改也可以，總之這段不可以有任何一個為空。
改完以後Ctrl+X、Y、Enter存檔。
然後把vars加到系統的參數中。
root@xxx:/etc/openvpn/easy-rsa# . ./vars ←注意前面有多一個點
root@xxx:/etc/openvpn/easy-rsa# ./clean-all
接下來產生憑證。
root@xxx:/etc/openvpn/easy-rsa# ./build-ca
會問你一些東西，因為剛才已經在vars裡面設定好了所以一直Enter就可以了。
root@xxx:/etc/openvpn/easy-rsa# ./build-key-server server
也是一直Enter，後面會出現一個幾個額外的東西，可以不用管它們，直接留空。
最後會有兩個問題，要打上y，不能直接Enter。
然後產生DH(這個也有點難解釋)。
root@xxx:/etc/openvpn/easy-rsa# ./build-dh
會跑出很多'.'和'+'，需要一段時間，請耐心等候。
以上是伺服器端的憑證，現在要製作客戶端的。
這邊有分歧路線：
1.生成有密碼的憑證：建議
這樣生成的憑證在每次連線的時候都會額外詢問密碼。
root@xxx:/etc/openvpn/easy-rsa# ./build-key-pass client
Enter PEM pass phrase: (打上你要的密碼)
Verifying - Enter PEM pass phrase: (再一次)
後面與build-key-server操作相同。
2.生成沒有密碼的憑證：不建議
root@xxx:/etc/openvpn/easy-rsa# ./build-key client
和build-key-server操作完全相同。
接著要編寫伺服器端的設定檔。首先回到/etc/openvpn。
root@xxx:/etc/openvpn/easy-rsa# cd ..
因為字太多了所以我還是放在codepad.org：https://codepad.org/xWE6zhtI
(已更正，原先的版本少了一行)
把這些設定值寫在server.conf裡面。
root@xxx:/etc/openvpn# nano server.conf
然後先建好用來分配ip的文件檔。
root@xxx:/etc/openvpn# touch ipp.txt
現在可以打開OpenVPN的伺服器端了。
root@xxx:/etc/openvpn# systemctl start [email protected]
如果沒有任何反應就是開成功了。
為了要讓它能夠每次開機都自動啟動，要啟用它：
root@xxx:/etc/openvpn# systemctl enable [email protected]
(先前疏忽了，忘了這部分，非常抱歉)
接著為了要讓連線能透過VPS往外走，要修改一部分的系統設定。
首先暫時關閉 fail2ban。
root@xxx:~# systemctl stop fail2ban.service
這邊可能會需要數十秒的時間。
關閉 fail2ban 後修改 iptables 的設定值。
root@xxx:~# iptables -t nat -A POSTROUTING -s 192.168.100.0/24
-o eth0 -j MASQUERADE
(縮成一行 -o前面要空格)
為了讓重新開機後 iptables 能夠自動載入，要把這行設定存下來：
root@xxx:~# iptables-save > /etc/iptables.save
root@xxx:~# nano /etc/network/if-up.d/iptables
編輯這個檔案如下：
#! /bin/sh
iptables-restore < /etc/iptables.save
存檔後讓它可以被執行
root@xxx:~# chmod 0700 /etc/network/if-up.d/iptables
然後修改 IP forwarding 規則。
root@xxx:~# nano /etc/sysctl.conf
在檔案的最後加上
net.ipv4.ip_forward=1
(前面不要加#)
存檔後重新載入剛剛修改的設定檔。
root@xxx:~# sysctl -p
最後重新打開 fail2ban。
root@xxx:~# systemctl start fail2ban.service
六、連線至OpenVPN
在這邊建議先下載OpenVPN和任意FTP軟體(將以FileZilla示範)。
OpenVPN：https://openvpn.net/index.php/open-source/downloads.html
FileZilla：https://filezilla-project.org/download.php?type=client
首先先把連線需要的憑證下載下來。
root@xxx:/etc/openvpn# apt-get -y install zip
root@xxx:/etc/openvpn# mkdir -p client
root@xxx:/etc/openvpn# cp easy-rsa/keys/ca.crt client/
root@xxx:/etc/openvpn# cp easy-rsa/keys/client.crt client/
root@xxx:/etc/openvpn# cp easy-rsa/keys/client.key client/
root@xxx:/etc/openvpn# zip -r client.zip client/
root@xxx:/etc/openvpn# cp client.zip ~xxx ←xxx請代換成之前建立的使用者
root@xxx:/etc/openvpn# chown xxx:xxx ~xxx/client.zip ←同上
接著打開FileZilla，點擊左上角的「站台管理員」，然後點「新增站台」。
在右半邊，主機填上你的VPS的IP，協定選擇SFTP，
登入型式選擇詢問密碼並打上VPS的使用者名稱。
然後按連線。打上密碼後會有個類似PieTTY第一次連線時的東西，點選確認。
在左邊找到OpenVPN的安裝目錄。(應該會在C:\Program Files\OpenVPN)
進到其中的config資料夾並把client.zip拉到左邊。
下載完就可以關掉FileZilla了。
到C:\Program Files\OpenVPN\config裡面，首先解壓縮client.zip，
並把client資料夾裡的三個檔案拉到config裡面。
在config裡面新增一個文件名為client.ovpn，
內容還是字很多所以一樣貼在codepad.org：https://codepad.org/AmiYEbhd
<ip>請換成你的VPS的IP，如果你的OpenVPN安裝位置不同也請自行依格式修改。
另外有關 routing 的部分：
1.設定DNS：建議但非必須，改成中華DNS亦可
dhcp-option DNS 8.8.8.8
dhcp-option DNS 8.8.4.4
2.所有流量都通過VPN
redirect-gateway def1
3.只讓dmm流量過VPN：不可和2並用
route 203.209.0.0 255.255.0.0
route 203.104.0.0 255.255.0.0
4.讓ptt流量不過VPN(懶人法，直接讓112流量不過VPN)：要和2並用
route 140.112.0.0 255.255.0.0 net_gateway
其中 2 或 3 至少要存在一個才能順利連上 DMM。
接著打開OpenVPN GUI，預設安裝的話你應該能在桌面上找到捷徑。
打開後應該能在螢幕右下角找到OpenVPN GUI。設定正確的話點兩下就會開始連線。
產生客戶端憑證時如果有設定密碼它就會詢問你密碼。
打上密碼後，稍微等一下，連線成功的話視窗就會自己消失到右下角。
想要中斷連線的話再把視窗點出來按斷線即可。
然後就可以上去戳艦娘啦！
啊，只是隻...什麼你說馬克撈到了？
七、雜談/廢話
發了基礎建設篇後有些板友提醒安全性的部分，非常感謝。
其實我一直很難拿捏的是想要盡量簡單但同時也要有足夠的安全性，
於是就變成這樣不上不下，但普遍的安全性來說已經OK了。
也有板友覺得有專業知識再做較好。
我個人的觀點是，有的話很好，沒有的話照著做也可以完成；
當然在管理上可能有些不易，但我認為是可以克服的。Linux很有趣的，真的
小弟高中是文組，大學讀資工，也是從照著做開始慢慢學起來的。
回歸到VPN，起初我自己也是使用PPTP VPN，因為它架設非常之簡單，
但因為某大網路長城過於強大，有時候會導致連線極度不穩定，
後來還是改用穿透性較強且安全性較高的OpenVPN。
目前在強大的網路長城(應該沒有對岸那個強就是了)下沒有任何使用上的問題。
也因為PPTP的穿透性較弱，經板友來信告知與我個人測試後，
確定ConoHa阻擋掉GRE協定，導致PPTP在ConoHa無法架設(OpenVPN沒問題)，
要租用ConoHa的板友請再三考慮。
再次提醒，設置密碼時，
請使用大小寫字母、數字、底線、問號等符號混雜的密碼，且避開既有單詞。
一切的加密都防止不了密碼被暴力破解。
本次VPN架設教學至此，感謝收看；有問題歡迎發表推文或來信。
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 140.112.217.55
※ 文章網址: https://www.ptt.cc/bbs/KanColle/M.1434186790.A.FC9.html
VPN的話我在伺服器端的設定檔寫了一行「duplicate-cn」，可以讓同組key同時多人連線
如果希望有多組key發配給不同的人
可以在產生的地方 ./build-key-pass <任何名稱>
假設取叫 test 好了 ./build-key-pass test
然後後面就自行把client代換成test (test.crt test.key test.ovpn)
可以用一樣的方法製作多組key分別給甲乙丙
... <看更多>
相關內容