API устройств через туннель · Qarvix
RU EN KZ

Доступ к API устройств через туннель

Qarvix может дать доступ не только к самому роутеру, но и к устройствам за ним: камерам, PLC, приборам учета, датчикам, кассам, локальным web-интерфейсам и внутренним API.

Главное преимущество: устройство остается в локальной сети объекта, входящие порты наружу не открываются, белый IP не требуется, а доступ проходит через управляемый VPN-контур Qarvix.

Коротко

Когда это нужно

Сценарий подходит, если на объекте есть локальные устройства, к которым нужно обращаться удаленно.

Примеры:

Устройство Зачем нужен доступ
Камера или NVR открыть web-интерфейс, проверить поток, забрать состояние
PLC диагностика контроллера, чтение данных, сервисные работы
Прибор учета сбор показаний, проверка связи, интеграция с учетной системой
Датчик чтение телеметрии или состояния
Касса или терминал сервисное обслуживание и проверка API
Локальный сервер доступ к панели, API или внутреннему сервису

Если раньше для этого использовали проброс портов, белый IP, TeamViewer на рабочем месте или отдельные VPN-файлы, Qarvix позволяет собрать более управляемую схему.

Базовая схема

Сервисная команда или сервер мониторинга
        |
        | WireGuard через Qarvix
        |
Qarvix Hub
        |
        | WireGuard до роутера объекта
        |
Роутер объекта
        |
        | LAN 192.168.10.0/24
        |
Камеры, PLC, датчики, API устройств

Публичный входящий порт на объекте не нужен. Инициатором защищенного подключения выступает роутер или агент, а доступ к LAN проходит через настроенный маршрут.

Что нужно настроить

Для доступа к API через туннель обычно нужны:

  1. Управляемый роутер на объекте.
  2. Сеть Qarvix с корректным VPN-диапазоном.
  3. Маршрут до LAN-подсети за роутером.
  4. ACL или правило доступа для нужных пользователей и сервисов.
  5. Понимание, к какому адресу и порту идет обращение.

Пример:

LAN объекта: 192.168.10.0/24
API прибора учета: 192.168.10.50:8080
Пользователь: сервисная команда
Доступ: только TCP 8080 к 192.168.10.50

Если нужно открыть не всю подсеть, а один сервис, правила доступа должны быть максимально точными.

Камеры и видеонаблюдение

Для камер обычно нужен доступ к web-интерфейсу, RTSP-потоку, NVR или API управления.

Qarvix помогает:

Пример:

Роутер объекта: 10.120.0.4
LAN камер: 192.168.20.0/24
Камера 1: 192.168.20.11
Камера 2: 192.168.20.12
NVR: 192.168.20.100

Для руководителя результат простой: камеры остаются внутри объекта, но сервисная команда получает управляемый доступ без выезда и без открытых портов.

PLC и промышленное оборудование

PLC и промышленное оборудование часто находятся в закрытых LAN-сегментах. Доступ к ним нужно открывать особенно аккуратно.

Рекомендации:

Если оборудование критичное, доступ должен быть временным или строго регламентированным.

Приборы учета и датчики

Для приборов учета и датчиков чаще нужен не ручной доступ инженера, а регулярный сбор данных.

Типовой вариант:

Сервер учета -> Qarvix VPN -> роутер объекта -> API прибора учета

Преимущество: сервер учета получает данные напрямую через защищенный туннель, не публикуя прибор учета в интернет и не требуя ручного VPN на каждом объекте.

Такой сценарий хорошо ложится на отчеты: можно показать, какие объекты подключены, какие устройства доступны и где были проблемы связи.

Доступ для внешней системы

Если внешняя система должна обращаться к устройствам через Qarvix, не используйте учетную запись человека.

Лучше использовать:

Так проще отозвать доступ, заменить токен или перенести интеграцию без влияния на пользователей.

Безопасность

Доступ через туннель безопаснее публикации устройств наружу, но это не означает, что можно открыть все всем.

Проверяйте:

Особенно осторожно открывайте доступ к устройствам, которые имеют слабые пароли, старую прошивку или не поддерживают современную аутентификацию.

Что передать сервисной команде

Чтобы команда могла работать без лишних уточнений, зафиксируйте:

Пример:

Организация: Клиент А
Сеть: warehouse-cameras
Роутер: router-warehouse-01
LAN: 192.168.20.0/24
NVR: 192.168.20.100:443
Доступ: сервисная команда видеонаблюдения

Частые проблемы

API не открывается, хотя роутер online

Проверьте subnet route, ACL, firewall на роутере, локальный IP устройства и доступность API из LAN объекта.

Пингуется роутер, но не устройство за ним

Скорее всего, не настроен маршрут до LAN, не разрешен forward/firewall или локальное устройство не знает обратный маршрут.

Устройство доступно всем пользователям сети

Проверьте ACL и доступ по умолчанию. Маршрут до LAN не должен автоматически означать доступ для всех.

Сервер мониторинга перестал получать данные

Проверьте свежесть WireGuard-handshake статического клиента, доступность роутера, журнал устройства и изменения правил доступа.

Контрольный список

Связанные разделы