能用手机查看店铺、仓库或前门的情况，是许多业主安装摄像系统的主要原因。连接是如何建立的，比您用哪个应用更重要。监控摄像头的远程访问可以通过厂商的云服务、通过接入您自己网络的 VPN，或者通过路由器上开放的端口来实现，这三种方式暴露给互联网的内容差别很大。本文对它们进行比较，说明如何为员工分配各自的访问权限，并列出应用突然提示录像机离线时应当检查的事项。
设置监控摄像头远程访问的三种方式
如今销售的几乎每台录像机（NVR 或 DVR）都至少支持其中两种方式：
| 方式 | 连接方式 | 暴露给互联网的内容 |
|---|---|---|
| P2P 云连接 | 录像机与厂商的服务保持一条对外连接；应用通过序列号或二维码找到它 | 路由器上不开放任何端口，但您要依赖厂商的服务和账户安全 |
| VPN | 手机通过加密隧道加入您的网络，访问录像机的本地地址 | 只有路由器或防火墙上的 VPN 端点 |
| 端口转发 | 路由器规则把来自互联网的流量直接转给录像机 | 录像机自己的登录页面和视频服务 |
P2P 摄像头连接的工作原理，以及如何加固
在 P2P 摄像头连接中，录像机向厂商的平台注册自己，手机应用通过该平台访问它，可以是直连，也可以经过中继服务器。因为录像机只发起对外连接，所以不需要开放入站端口，公网 IP 地址变化也无关紧要。代价是信任：您的视频现在依赖厂商的服务，以及控制该设备所属账户的人。
- 掌握账户所有权。把录像机添加到以企业名义注册、使用共享管理员邮箱的账户下，而不是安装人员或前员工的个人登录。
- 设置设备验证码或加密码。许多平台使用单独的验证码来加密视频流；请把它从默认值改掉。
- 开启两步验证登录（云账户的应用支持时），并让录像机的固件保持最新。
- 在录像机和路由器上都关闭 UPnP。UPnP 允许设备自行开放端口，这可能悄悄重新制造出您本想避免的暴露。
什么时候监控摄像头 VPN 更合适
监控摄像头 VPN 让整个系统都留在您的网络之内。员工把手机连接到办公室的 VPN，然后打开指向录像机本地地址的查看应用。一切都不依赖摄像头厂商的服务器。对于政策不允许使用第三方云服务的企业，或者已经为远程办公使用 VPN 的企业，这是常见的选择；我们的 OpenVPN 安装与配置服务涵盖这方面。取舍是很实际的：每位用户的手机上都需要一份 VPN 配置文件，VPN 端点需要一个可访问的地址（静态 IP 或动态 DNS 域名），而且只有隧道接通时应用才能工作。对于已经有防火墙的企业，这通常是最干净的 NVR 远程访问形式。
为什么应当淘汰端口转发
把端口转发到录像机，会让它的登录页面暴露在自动扫描程序面前，这些程序专门在互联网上搜索这类设备。使用默认或重复使用密码的录像机已经被招募进僵尸网络；2016 年的 Mirai 主要就是通过联网的摄像头、录像机和路由器传播的。要消除这种暴露：
- 先搭建好替代方案，P2P 或 VPN，并确认每位用户都能查看和回放录像。
- 删除路由器上的转发规则，并关闭 UPnP。
- 更改录像机的管理员密码，删除不用的账户，并更新固件。
- 用使用移动数据的手机检查旧地址是否不再响应。
如何与员工共享摄像头权限
发放管理员密码是最常见的捷径，也是最难撤销的一个。与员工共享摄像头权限时，请在录像机或应用中为每个人单独建立用户，权限与工作相匹配：前台只能实时查看，经理可以回放和导出，设置只留给管理员。把每位用户限制在其所需的摄像头范围内，并在人员离职当天就移除他们。分开的用户还意味着录像机的日志会显示是谁导出了哪段视频，当录像交给警方或保险公司时，这一点很重要。
摄像头应用显示离线时
如果摄像头应用显示离线，而摄像头在现场仍在录像，问题几乎总是出在通往互联网的路径上。请按顺序检查：
- 新的路由器或调制解调器。更换服务商往往会改变本地网络的地址范围，让使用固定 IP 地址的录像机失去可用的网关。
- 录像机上的 DNS 或网关错误。它的网络状态页面通常会显示与平台的连接是否在线。
- 平台访问被关闭，通常发生在恢复出厂设置或固件更新之后。
- 密码已更改，而应用中仍保存着旧密码。
这些设置属于任何闭路电视摄像头配置中的网络部分，我们的远程查看摄像头与手机访问服务就从这里开始：先配置录像机的网络设置和平台访问，再安装应用。
用手机流量远程查看
大多数录像机为每个摄像头发送两路码流：高分辨率的主码流和较轻量的子码流。用手机流量远程查看时，默认打开子码流，只在需要细节时才切换到主码流。限制往往来自现场的上传速度，因为每位远程查看者都会通过企业的宽带线路拉取一路单独的码流。无论您使用 iPhone 还是在安卓手机上查看监控摄像头，情况都一样，而在安卓上，省电模式可能会延迟推送提醒，除非把查看应用设为例外。
常见问题：监控摄像头远程访问
厂商的 P2P 云服务安全吗？
比端口转发安全得多，前提是账户归企业所有，设置了设备验证码和强密码，固件也保持最新。如果您的政策不允许视频经过第三方服务，请改用 VPN。
远程查看摄像头需要静态 IP 吗？
P2P 不需要，因为录像机是对外发起连接。VPN 的端点需要稳定的地址，可以是静态 IP，也可以是动态 DNS 域名。
远程查看会用掉多少手机流量？
这取决于码流的比特率，可以在录像机的视频设置中看到。例如，设为 512 kbps 的码流，每小时查看大约用掉 230 MB。
想在不开放网络的情况下用手机看摄像头？我们的远程查看摄像头与手机访问设置涵盖录像机的网络设置、每部手机或电脑上的应用、独立的用户账户，以及回放和导出的简短演示，服务于长滩和洛杉矶的住宅与企业。如果是新系统，请参阅 网络摄像机安装。请联系我们，告知您录像机的品牌和型号，我们可以讨论合适的连接方式。
