监控网络出口是摄像头与平台暴露给外网的门面，近年摄像头被批量控制多与三个短板有关：默认弱口令成后门、GB28181 与 RTSP 等视频协议裸奔、传统防火墙对视频流无感知穿透边界直达核心设备。出口配置按最小暴露、纵深防御、动态适应三条原则做：双防火墙加 DMZ 分区，只开业务必需端口，封禁 Telnet、SMB、RDP 等高危端口，NAT 统一出境，前端做资产白名单与弱口令轮扫。

为什么监控网络出口要单独设防

监控网络里接入的摄像头数量大、品牌杂、型号老，大量前端设备默认或简单口令长期不换，是黑客入侵的后门。摄像头本身无法安装传统终端防护软件，网络边界一旦被穿透，攻击者可远程激活摄像头、开关操控、非法监控，还能借摄像头所在的子网对内部共享服务发起横向渗透，勒索软件在几分钟内扩散到关键业务系统。出口边界因此不能只靠一台普通路由器，需要专门的防火墙与分区策略。

视频网络的三类风险要分开治：

  1. 弱口令：默认口令批量改，弱口令轮扫，检测即整改。
  2. 协议裸奔：GB28181、RTSP 信令按访问基线监控，非法调阅与云台操控报警。
  3. 边界穿透：传统防火墙识别不到视频流，需叠加视频协议解析能力。

专网与互联网之间按不可达原则设计：所有非业务关键的前端设备禁止直接访问内网，只允许通过受控网关做必要的数据上报。边界不是开洞放行，而是受控互联、可见流量、可追溯操作。

双防火墙加 DMZ 的基本架构

典型出口架构是双防火墙包夹一个 DMZ 隔离区。外层防火墙部署在互联网与 DMZ 之间，过滤外部威胁；内层防火墙部署在 DMZ 与内网之间，保护核心资产。对外提供的服务放 DMZ，数据库、管理平台等核心系统放内网，严禁直接暴露。

层级 位置 职责
外层防火墙 互联网与 DMZ 之间 只放行业务端口，状态检测，限速防刷
DMZ 两者之间 放置对外服务，如视频平台 Web 端口
内层防火墙 DMZ 与内网之间 白名单放行，禁止主动扫描
内网核心 防火墙之后 数据库、NVR 管理端不对外

内层防火墙只允许 DMZ 中特定服务器按白名单访问内网核心的特定端口，禁止 DMZ 设备主动发起对内网的扫描行为。摄像头、NVR 不在对外服务清单里的，一律不出现在 DMZ，只在内网受控通信。

端口与协议策略怎么定

边界端口按最小暴露原则只开业务必需的端口，Web 服务常见只放行 HTTPS 443，必要时再加 HTTP 80。高危端口全封：Telnet 23、SMB 445、RDP 3389 这类管理类端口对互联网开放等于把钥匙挂门口，防火墙策略中明确拒绝。白名单机制优先：明确允许的访问路径放行，其余请求一律拒绝。

  1. 对外只开业务必需端口，默认拒绝一切未定义访问。
  2. 封禁 Telnet 23、SMB 445、RDP 3389、FTP 21 等高危与管理端口。
  3. 对外暴露的服务全部放 DMZ，数据库与管理端永不出网。
  4. 防火墙开启状态检测，拦截异常连接，配置访问限速。
  5. 拒绝记录全部落日志，日志保存至少 90 天，可溯源。

视频特有协议要单独看：GB28181、RTSP 等信令协议建议由支持协议解析的视频安全设备在边界做深度检测，识别非法调阅、下载、云台操控等异常行为。普通防火墙看不懂信令内容，视频流安全要叠加专门防护，不能只靠端口规则。

NAT 与出站访问怎么管控

出站方向做统一 NAT：内网访问互联网通过出口设备源 NAT 转换，公网地址统一出口，内部 IP 不直接暴露。多个运营商出口时，按网段分配 NAT 策略，重要人员或业务区可单独放行，普通区域走时间策略限制上网时段。

出站收口规则按四点落地：

  1. 源 NAT 统一出口，内部 IP 不直接暴露公网。
  2. 出站仅放行业务必需的协议与端口，禁止大范围放通。
  3. 普通区域叠加时间策略，非工作时段限网。
  4. 平台外发业务由 DMZ 代理转发，内网设备不直接出网。

监控平台需要对外推送报警、事件时，由 DMZ 服务作为代理转发，内网设备不直接发起对外连接。

前端资产与弱口令治理

边界配好了，前端管理不到位仍会被绕开。摄像头资产台账要见底：品牌、型号、IP、MAC、固件版本全部建档，与一机一档平台对接，黑设备与仿冒设备在边界阻断。准入控制用白名单，IP/MAC 绑定加双向准入，非法终端接入即在边界拦截。

  1. 资产清查：全量盘点摄像头与平台设备，建档挂账。
  2. 弱口令治理：默认口令批量改，弱口令轮扫，检测到即整改。
  3. 准入白名单：IP/MAC 绑定，非白名单终端阻断接入。
  4. 协议监控：GB28181、RTSP 信令解析，异常登录与云台操作用报警。
  5. 定期核查：按季做一次出口策略审计与资产比对，策略变更留记录。

TL;DR 检查清单：出口按双防火墙加 DMZ 分区；只开业务必需端口，封 Telnet、SMB、RDP；对外服务全部放 DMZ，核心系统不出网；NAT 统一出境，出站限制端口与时段；前端资产建档加 IP/MAC 白名单；默认弱口令全部整改再上线；拒绝日志保存 90 天可溯源。

参考资料

  • video-network-secure-exchange
  • surveillance-network-ports-protocols
  • video-vlan-acl-isolation