Videosorveglianza IP: dimensionare banda, VLAN e storage

Un impianto di videosorveglianza IP è a tutti gli effetti una rete dati parallela che condivide switch e cablaggio con il resto dell'azienda. Sottovalutarne il dimensionamento produce due sintomi tipici: registrazioni con frame mancanti quando la rete è carica, e traffico di rete che degrada tutto il resto quando qualcuno apre la vista live a 16 riquadri.

Quanta banda consuma una telecamera

Il bitrate dipende da risoluzione, frame rate, codec e — soprattutto — da quanto si muove nella scena. Valori realistici per telecamera, in H.265 con bitrate variabile:

H.265 dimezza circa il bitrate rispetto a H.264 a parità di qualità percepita, ma richiede più CPU sul NVR in fase di decodifica. Molti costruttori aggiungono varianti proprietarie (H.265+, Smart Codec, Zipstream) che riducono ulteriormente il bitrate su scene statiche alzando il fattore di compressione sullo sfondo: funzionano bene su parcheggi notturni, meno su scene con vegetazione mossa dal vento.

Il calcolo pratico: 20 telecamere 4 MP a 20 fps in scena movimentata sono circa 200 Mbps sostenuti verso il NVR. Su uno switch Gigabit non è un problema di banda aggregata, ma lo diventa se l'uplink verso il NVR è una sola porta Gigabit condivisa anche con il traffico di visualizzazione remota.

Attenzione al doppio flusso: la vista live di solito usa un sotto-stream a bassa risoluzione, ma se il client richiede il main stream la banda raddoppia per ogni telecamera aperta.

Segmentazione: VLAN dedicata, sempre

Le telecamere IP sono tra i dispositivi meno aggiornati di qualunque rete aziendale. Firmware fermi da anni, credenziali di default, servizi UPnP e ONVIF esposti. Vanno isolate:

• VLAN dedicata (es. VLAN 40) con subnet propria, separata da uffici, VoIP e guest.
• Nessun accesso a Internet in uscita dalla VLAN telecamere, salvo eventuale NTP verso un server interno e — se serve — il cloud del produttore, limitato per destinazione.
• Regole firewall inter-VLAN: solo il NVR e le postazioni di monitoraggio raggiungono le telecamere, sulle porte necessarie (80/443 per configurazione, 554 RTSP, porte proprietarie del produttore).
• Accesso remoto solo via VPN. Il port forwarding verso una telecamera o verso l'interfaccia del NVR è tra le cause più frequenti di compromissione: esistono motori di ricerca che indicizzano esattamente questo.

Se l'impianto usa multicast per la distribuzione dei flussi, serve IGMP snooping attivo sugli switch della VLAN e un querier configurato, altrimenti il traffico viene inondato su tutte le porte.

PoE e alimentazione

Quasi tutte le telecamere IP si alimentano via PoE. I consumi indicativi:

• Bullet/dome fissa con IR: 5-9 W (802.3af sufficiente)
• Dome con riscaldatore: 12-15 W (af al limite, meglio at)
• PTZ motorizzata: 25-60 W (802.3at o 802.3bt a seconda del modello)

Il budget PoE dello switch va calcolato sul totale reale più un margine del 20%, non sul numero di porte. Uno switch 24 porte con budget 370 W regge comodamente 24 dome fisse, ma non 8 PTZ con riscaldatore.

Va previsto anche l'UPS: se le telecamere restano alimentate durante un blackout ma lo switch o il NVR no, l'impianto non registra comunque. L'autonomia va dimensionata sulla catena completa — switch PoE, NVR, eventuale router per la notifica remota.

Dimensionare lo storage

La formula è diretta:

GB = (bitrate in Mbps × 3600 × ore al giorno × giorni di conservazione × n. telecamere) / 8192

Esempio: 16 telecamere 4 MP a 4 Mbps medi, registrazione continua 24h, 30 giorni di conservazione:

(4 × 3600 × 24 × 30 × 16) / 8192 ≈ 20.250 GB, ovvero circa 20 TB.

Due leve riducono drasticamente il numero:

• Registrazione su evento o su motion detection: taglia tipicamente il 50-80% su scene con poco traffico, ma richiede pre-buffer configurato (5-10 secondi prima dell'evento) per non perdere l'inizio della scena.
• Frame rate ridotto: 12-15 fps sono più che sufficienti per identificazione e ricostruzione di un evento. 25 fps servono raramente.

Sul lato dischi, vanno usati modelli specifici per videosorveglianza (WD Purple, Seagate SkyHawk): sono progettati per scrittura sequenziale continua 24/7 e per carichi multi-stream, dove i dischi desktop falliscono in pochi mesi. RAID 5 o RAID 6 per la tolleranza al guasto, tenendo presente che il RAID non è un backup — protegge dal guasto disco, non dalla cancellazione o dal ransomware.

Conservazione e regole

In Italia il termine di conservazione delle immagini è generalmente contenuto entro le 24-72 ore, estendibile solo in presenza di esigenze specifiche e documentate. Se sono inquadrate aree in cui operano dipendenti, si applica l'art. 4 dello Statuto dei lavoratori: serve accordo sindacale o autorizzazione dell'Ispettorato del lavoro. Vanno inoltre esposti i cartelli informativi e va redatto il registro dei trattamenti.

Questi vincoli hanno un effetto diretto sul dimensionamento: un impianto configurato per 90 giorni di conservazione in un contesto in cui ne sono ammessi 7 è sovradimensionato nello storage e potenzialmente irregolare. Conviene definire il periodo prima di acquistare i dischi.

Checklist di progetto

• Calcolare il bitrate aggregato e verificare l'uplink verso NVR e verso le postazioni di monitoraggio
• Assegnare VLAN dedicata, con firewall inter-VLAN e nessuna esposizione diretta su Internet
• Verificare il budget PoE totale, non il numero di porte
• Dimensionare lo storage sul periodo di conservazione effettivamente ammesso
• Prevedere UPS su switch PoE e NVR, non solo sulle telecamere
• Cambiare le credenziali di default e disattivare UPnP su ogni dispositivo prima della messa in esercizio