VIGI Network Isolation: protege tus cámaras de ataques de red sin cambiar tu forma de trabajar

Tus cámaras están para vigilar tu negocio, no para quedar expuestas a todos los dispositivos de tu red local. Con VIGI Network Isolation, los NVR PoE VIGI de TP-Link colocan las cámaras conectadas por PoE en una subred propia, de modo que los PCs de la red del negocio ya no pueden alcanzar directamente sus direcciones IP. El visionado y la grabación siguen funcionando igual desde el NVR.

El problema: cámaras alcanzables desde toda la red del negocio

En muchos negocios, las cámaras comparten la misma red local (LAN) con el TPV, los ordenadores del personal y otros equipos. Eso significa que cualquiera de esos dispositivos puede llegar directamente a las cámaras.

Muchos clientes se preguntan qué pasaría si alguien lograra infiltrarse en uno de los equipos de su red: desde ahí podría moverse por la red y localizar otros dispositivos, y unas cámaras accesibles ampliarían la superficie de ataque. Otros se cuestionan por qué todos los equipos deberían poder llegar directamente a las cámaras, cuando en la mayoría de los casos ese acceso no es necesario. Todos buscan lo mismo: reducir la exposición sin cambiar su forma de trabajar y seguir viendo y grabando el vídeo desde el NVR como hasta ahora.

¿Qué es VIGI Network Isolation? ¿Y cómo funciona?

VIGI Network Isolation coloca las cámaras VIGI conectadas directamente a los puertos PoE del NVR en una subred independiente de la red del negocio. Los PCs de la red del negocio no pueden alcanzar directamente las IP de esas cámaras, lo que reduce la exposición a ataques que dependen de ese acceso directo. El NVR actúa como punto de acceso al vídeo: tiene una dirección interna del lado de las cámaras y otra en la red del negocio.

La puesta en marcha es sencilla: las cámaras VIGI reciben su configuración IP de forma automática mediante un protocolo privado exclusivo de VIGI, así que no hay que configurarlas una a una.

Acceso a Internet de las cámaras: dos modos

La opción PoE Access to Internet decide si las cámaras aisladas pueden salir a Internet:

Permitir el acceso a Internet no elimina el aislamiento: en ambos modos, las IP internas de las cámaras siguen sin ser alcanzables directamente desde fuera, y las cámaras no quedan totalmente expuestas. Aun así, conviene mantener credenciales robustas, el firmware actualizado y una seguridad de red completa en el diseño.

Proyectos ideales: empieza por la preocupación del cliente

El tipo de negocio no basta para saber si el proyecto encaja: lo importante es que el cliente quiera reducir la exposición de sus cámaras a ataques y que el cableado y los requisitos de acceso lo permitan. Tres escenarios donde funciona especialmente bien:

Tienda con TPV y PCs del personal

Lo que preocupa al cliente: «si alguien logra infiltrarse en un dispositivo del negocio, no quiero que mis cámaras sean accesibles directamente desde esa red». La solución separa las cámaras VIGI con PoE directo de la red del negocio, elimina el acceso directo de esa red a las cámaras y mantiene el vídeo en el NVR.

Oficina pequeña o sucursal

Lo que plantea el cliente: «los empleados necesitan la red del negocio, no acceso directo a cada cámara». El NVR es el punto de acceso al vídeo y las direcciones aisladas de las cámaras quedan fuera del alcance directo de los PCs del personal.

Almacén o trastienda

Lo que pide el cliente: «quiero las cámaras separadas de los equipos de oficina, sin configurar cada una a mano». Se aprovechan el aislamiento PoE integrado y la configuración IP interna automática de las cámaras VIGI, mientras que el visionado y la grabación diarios siguen en el NVR.

Cómo comprobar o reactivar el aislamiento en el NVR

Todos los NVR PoE VIGI actuales admiten Network Isolation, y la inicialización nueva lo activa por defecto. Conviene revisarlo si alguien cambió la configuración a mano o si el NVR se actualizó desde un firmware anterior. Desde la interfaz web o la GUI del NVR:

1. Comprueba el acceso de las cámaras. Conecta las cámaras VIGI a los puertos PoE integrados. En Settings > Camera > Device Access, añádelas mediante TP-Link Protocol y confirma que aparecen como Connected.
2. Activa o revisa el aislamiento. Abre Settings > Network > Network Isolation. Comprueba el interruptor, la Internal IP y la Start IP, y usa una subred independiente de la red del negocio.
3. Elige el acceso, guarda y verifica. Ajusta PoE Access to Internet según necesites y guarda. Confirma que las IP están aisladas, que no hay acceso directo desde la red del negocio a las cámaras y que el visionado en directo y la grabación del NVR funcionan con normalidad.

¿Qué tener en cuenta?

Para que el proyecto encaje, debe cumplir tres condiciones:

1. Que el cliente quiera sacar las cámaras del alcance directo de la red del negocio.
2. Que las cámaras se conecten a los puertos PoE integrados del NVR.
3. Que necesite una solución centrada en el grabador, con visionado en directo, grabación y gestión de cámaras centralizados.

La configuración IP de las cámaras dependiendo de su tipo:

• Cámaras VIGI. La IP se configura automáticamente.
• Cámaras de terceros. Hay que configurar manualmente una dirección IP dentro de la misma subred que la IP interna del NVR y comprobar después que se conectan correctamente al NVR.

Importante: Network Isolation es una capa adicional de protección, pero no sustituye al resto de medidas de ciberseguridad. Es necesario mantener el firmware actualizado, utilizar credenciales robustas y aplicar buenas prácticas de seguridad en toda la infraestructura de red.

Compatibilidad con dispositivos

Todos los NVR PoE VIGI son compatibles con esta funcionalidad. Para aprovecharla, las cámaras deben conectarse directamente a los puertos PoE integrados del NVR.