Коммутатор L2 и L3: разница, VLAN в видеонаблюдении и расчёт сети под объект

В чём у коммутатора L2 и L3 разница, на маленьком объекте можно не задумываться. Сеть на восемь камер в частном доме собирается почти вслепую: неуправляемый PoE-коммутатор, восемь линий, регистратор — и работает. Сеть на восемьдесят камер в торговом центре по той же логике не работает никогда. Она либо кладёт офисный сегмент широковещательным штормом, либо начинает терять кадры на записи, и причину потом ищут неделю.

Разница между этими двумя сценариями описывается тремя понятиями: класс коммутатора (неуправляемый, L2, L3), VLAN и расчёт двух бюджетов — питания и пропускной способности. Их путают чаще всего: покупают управляемый коммутатор «на всякий случай» и не настраивают, либо наоборот — экономят там, где без сегментации сеть обречена.

Ниже — техническая часть без рекламы вендоров: чем L2 отличается от L3 на практике монтажа, в каких случаях VLAN обязателен, как посчитать нагрузку и какие ошибки на объектах мы разбираем чаще всего.

Короткий ответ

L2-коммутатор разводит трафик внутри одной сети по MAC-адресам, L3 умеет маршрутизировать между подсетями. VLAN делит один физический коммутатор на изолированные логические сети: камеры отдельно, офис отдельно. До 16 камер на одном коммутаторе управляемость обычно не нужна. VLAN и L3 становятся обязательными, когда появляются несколько узлов, общая с офисом инфраструктура и внешний доступ.

В статье разберём

1. Чем L2-коммутатор отличается от L3 на реальном объекте.
2. Что такое VLAN и какие задачи он решает в видеонаблюдении.
3. Когда достаточно неуправляемого PoE-коммутатора.
4. Когда управляемый L2 обязателен, а когда нужен L3.
5. Как посчитать PoE-бюджет и пропускную способность аплинка.
6. Типовые ошибки проектирования сети под камеры и их последствия.
7. Порядок настройки VLAN для сегмента видеонаблюдения.
8. Один большой коммутатор или каскад: что выбрать.

Для кого эта статья

• Монтажным бригадам, которые собирают объекты на 30+ камер и хотят закрыть вопрос топологии до закупки.
• Главным инженерам и IT-службам предприятий: нужно встроить видеонаблюдение в существующую корпоративную сеть, не ломая её.
• Снабженцам и оптовым покупателям — чтобы не переплачивать за L3 там, где хватает управляемого L2.
• Проектировщикам слаботочки, которым нужен короткий чек-лист по расчёту бюджетов.

В чём у коммутатора L2 и L3 разница на реальном объекте?

L2-коммутатор работает на втором уровне модели OSI: он знает MAC-адреса устройств и передаёт кадры внутри одной подсети. L3-коммутатор дополнительно умеет то, что раньше делал только маршрутизатор, — передавать трафик между разными IP-подсетями. На объекте это значит: L2 строит один сегмент, L3 связывает несколько сегментов между собой.

Для видеонаблюдения разница проявляется в одном месте. Пока все камеры и регистратор живут в одной подсети, L3 не нужен — коммутация идёт на втором уровне. Как только появляется задача «камеры в своей подсети, рабочие места охраны в своей, сервер видеоаналитики в третьей, и всё это должно общаться» — нужен маршрутизирующий узел. Им может быть L3-коммутатор ядра или отдельный маршрутизатор; L3-коммутатор обычно быстрее и дешевле в пересчёте на порт.

Отдельно стоит неуправляемый коммутатор. Формально он тоже L2, но без настроек: нет VLAN, нет приоритизации, нет мониторинга, нет защиты от петель. Для восьми камер в одном шкафу этого достаточно, для распределённой сети — нет.

Что такое VLAN и зачем он в видеонаблюдении?

VLAN — логическое разделение одного физического коммутатора на несколько независимых сетей. Порты 1–16 отданы камерам, порты 17–20 — офису, и устройства из этих групп друг друга не видят, хотя физически подключены к одной железке. Трафик, в том числе широковещательный, не выходит за границы своего VLAN.

В видеонаблюдении VLAN решает четыре задачи. Первая — изоляция: камера с устаревшей прошивкой не становится точкой входа в бухгалтерскую сеть. Вторая — ограничение широковещательного трафика: десятки камер, которые ищут регистратор по UPnP и ONVIF-мультикасту, перестают нагружать весь объект. Третья — предсказуемость: сегмент видеонаблюдения можно отдельно мерить и приоритизировать. Четвёртая — организационная: IT-служба заказчика получает чёткую границу ответственности.

Есть и правовая сторона. Видеозапись с распознаваемыми людьми — персональные данные, и обработка подпадает под 152-ФЗ «О персональных данных». Изолированный сегмент с ограниченным списком тех, кто в него входит, закрывает требование о разграничении доступа гораздо проще, чем общая сеть «всё в одном».

Технически это порты двух типов. Access-порт отдан одному VLAN — в него включается камера. Trunk-порт несёт несколько VLAN с тегами 802.1Q — по нему коммутаторы связываются между собой и с ядром.

Когда достаточно неуправляемого PoE-коммутатора?

Неуправляемый коммутатор подходит, если выполнены все четыре условия: камер не больше 16, они подключены к одному коммутатору, регистратор стоит в том же шкафу, а сеть видеонаблюдения физически отдельна от любой другой. Частный дом, небольшой магазин, автомойка, офис на один этаж — это его зона.

Как только появляется второй коммутатор в другом помещении, появляется и риск петли. Неуправляемая железка петлю не распознаёт: сеть встаёт полностью, и ищут проблему перетыкиванием патч-кордов. Управляемый L2 с RSTP в той же ситуации просто блокирует лишний порт и пишет об этом в журнал.

Второй триггер к отказу от неуправляемого — общая с заказчиком сеть. Если камеры включают в существующие офисные коммутаторы без VLAN, видеотрафик идёт вперемешку с рабочим. Это самая частая причина жалоб «камеры тормозят по вечерам» на объектах, где видеонаблюдение смонтировали поверх готовой инфраструктуры.

Когда нужен управляемый L2, а когда L3?

Нужен ли управляемый коммутатор для камер — зависит не от числа портов, а от топологии. Управляемый L2 нужен там, где камеры живут в одной подсети, но коммутаторов больше одного или сеть делится с другими службами. L3 нужен там, где подсетей несколько и между ними требуется маршрутизация внутри объекта.

Практический критерий простой. Один сегмент видеонаблюдения, один VLAN, регистратор рядом — хватит управляемого L2 на доступе и управляемого L2 в ядре. Несколько корпусов со своими подсетями, сервер видеоаналитики в отдельном сегменте, рабочие места охраны в третьем, доступ к архиву из офисной сети по правилам — здесь L3 на ядре окупается сразу.

Как посчитать PoE-бюджет и пропускную способность?

Расчёт PoE-бюджета коммутатора и расчёт полосы — два независимых счёта: сколько ватт коммутатор отдаст на все порты и сколько мегабит пролезет в аплинк. Нехватка любого из них ломает запись, но проявляется по-разному: нехватка питания — перезагрузками камер, нехватка полосы — рывками и дырами в архиве.

PoE-бюджет. Купольная уличная камера без обогрева обычно укладывается в 802.3af (до 15,4 Вт на порту коммутатора). Камера с обогревом корпуса, ИК-прожектором или поворотным механизмом требует 802.3at (до 30 Вт). Суммарный бюджет коммутатора берут с запасом 25–30 % к расчётной сумме: зимой потребление уличных камер с обогревом идёт по верхней границе. Коммутатор на 16 портов с бюджетом 150 Вт не прокормит 16 камер по 12 Вт в мороз — это арифметика, в которую упираются каждую зиму.

Пропускная способность. Поток камеры 4 Мп в H.265 при 25 к/с — ориентировочно 4–8 Мбит/с в зависимости от сцены и настроек; 8 Мп — 8–16 Мбит/с. Умножаем на число камер за коммутатором и получаем нагрузку на аплинк. Двадцать камер 4 Мп — до 160 Мбит/с, гигабитный аплинк держит с запасом. Сорок камер 8 Мп — до 640 Мбит/с, и здесь уже нужен либо агрегированный линк, либо 10G/SFP+.

Третий счётчик, про который забывают, — одновременный просмотр. Каждый оператор, который открыл мультиэкран, запрашивает те же потоки повторно. Если просмотр идёт не с регистратора, а напрямую с камер, нагрузка на аплинк удваивается и утраивается.

Какие ошибки на объектах встречаются чаще всего?

Четыре ошибки дают около основной массы «необъяснимых» отказов: отсутствие сегментации, недобор PoE-бюджета, питание камер по длинным линиям без расчёта и каскад коммутаторов на один слабый аплинк.

Камеры в офисной сети без VLAN. Работает до первого дня, когда в офисе начинают активно гонять файлы. Архив получает дыры, записи за нужный час нет. Лечится настройкой VLAN и QoS без замены железа — если коммутаторы управляемые.

Недобор PoE-бюджета. Коммутатор отключает порты по приоритету или уходит в защиту целиком. Камеры «мигают» по кругу, монтажники меняют кабель и камеры, причина — в блоке питания коммутатора.

Каскад из трёх-четырёх коммутаторов по гигабиту. Последний в цепочке отдаёт свой трафик через все предыдущие. Суммарная нагрузка превышает гигабит, и теряются потоки именно с дальних камер. Решение — звезда с ядром, а не цепочка.

Петля в кольце без RSTP. Монтажник замкнул резервную линию «чтобы было надёжнее». На управляемом коммутаторе порт заблокировался, на неуправляемом объект встал.

Длина линии. Ethernet по витой паре — до 100 м от порта до устройства, и это не «примерно 120, если кабель хороший». На 110–130 м линк может подняться и работать месяц, а потом начать разваливаться при перепаде температуры. Выход — промежуточный коммутатор в герметичном шкафу или оптика.

Как настроить VLAN для сегмента видеонаблюдения?

Как настроить VLAN для камер, порядок один и тот же почти у всех вендоров — меняется только синтаксис. Сначала план адресации, потом VLAN, потом порты, потом проверка — и только после этого подключение камер.

1. Выделите подсеть под видеонаблюдение и зафиксируйте её в журнале объекта. Отдельная подсеть под камеры, отдельные адреса под регистраторы и рабочие места охраны.
2. Создайте VLAN на всех коммутаторах пути, включая ядро. Номер VLAN должен быть одинаковым по всему объекту — расхождение в нумерации между шкафами ищут потом часами.
3. Настройте access-порты: каждый порт с камерой — в VLAN видеонаблюдения, без тега.
4. Настройте trunk-порты между коммутаторами: разрешите нужные VLAN, уберите лишние, явно задайте native VLAN.
5. Включите RSTP на всех управляемых коммутаторах — даже если кольца в проекте нет.
6. Включите IGMP snooping, если камеры или ПО используют многоадресную рассылку.
7. Задайте приоритет видеотрафику через QoS, если сегмент делится с другими службами.
8. Отключите неиспользуемые порты и смените пароли по умолчанию на всех коммутаторах.
9. Проверьте: с рабочего места охраны камеры доступны, из офисного VLAN — нет, кроме разрешённых адресов.

Пункт 8 пропускают чаще остальных. Управляемый коммутатор с заводским паролем в сети видеонаблюдения — готовая точка входа; настройку VLAN в такой схеме можно снять за минуту.

Один большой коммутатор или каскад?

Для компактного объекта — один коммутатор нужной портовой ёмкости. Для распределённого — звезда: коммутаторы доступа в шкафах по зонам и один узел ядра, к которому они сходятся. Длинные цепочки «коммутатор в коммутатор» не используем.

Логика в двух цифрах: при звезде трафик каждого шкафа идёт в ядро одним шагом, при цепочке — суммируется на каждом участке. Плюс отказоустойчивость: в цепочке падение второго коммутатора отключает все последующие, в звезде — только свою зону.

Экономика тоже не в пользу одного огромного коммутатора. Шестьдесят камер на одной железке в одной серверной означают шестьдесят линий витой пары, сведённых в одну точку, — расход кабеля и трудозатраты на прокладку перекроют экономию на оборудовании. Правильнее поставить коммутаторы доступа рядом с группами камер и связать их с ядром оптикой или агрегированными линками.

Связанные категории товаров

• Коммутаторы — управляемые L2 и L3 для ядра и доступа.
• PoE-коммутаторы — питание камер по витой паре, подбор по бюджету ватт.
• Камеры видеонаблюдения — от них зависит и PoE-бюджет, и нагрузка на аплинк.
• Видеорегистраторы и NVR — узел записи, под который считается полоса.
• Кабельная продукция — витая пара и оптика для магистралей.

Как мы можем помочь

Мы в Волгограде с 2013 года проектируем и монтируем сети под видеонаблюдение, а не просто продаём коробки. Если нужна топология под конкретный объект — считаем число шкафов, PoE-бюджеты, нагрузку на аплинки и подбираем класс коммутаторов под задачу, а не «с запасом на всё».

Монтаж структурированной кабельной системы и магистралей — направление СКС и сетей связи: от прокладки до маркировки и журнала объекта. Монтажным организациям и снабженцам работаем по оптовым условиям — это раздел для партнёров, включая подбор аналогов под уже согласованный проект.

Главный вывод

Класс коммутатора выбирается не по бренду и не по числу портов, а по топологии объекта. До 16 камер в одном шкафу и в отдельной сети — хватит неуправляемого PoE-коммутатора. Больше одного шкафа, общая с заказчиком инфраструктура или внешний доступ — управляемый L2 с VLAN. Несколько подсетей и корпусов — L3 в ядре.

VLAN в видеонаблюдении не роскошь, а способ не ловить чужой трафик в своём архиве. А два бюджета — ватты и мегабиты — считаются до закупки, а не после первого отказа в морозы.

Вопросы и ответы (FAQ)