把 PoE 交换机接到 NVR，本质是先做对三个按顺序来的决定：选哪一种拓扑、摄像头是否和录像机同网段、录像机上联链路实际要扛多少带宽。这三件事定下来，剩下的就是打线、配 VLAN、加摄像头。
锐应（深圳锐应科技）是 GPON OLT 与工业以太网交换机的制造商。
拓扑一，NVR 下面挂外置 PoE 交换机，扩展性最好；拓扑二，用 NVR 自带 PoE 口，受限于机身标注的端口数和功率预算；拓扑三，双网口，适合摄像头绝不能进入公司局域网的情况。
把摄像头放进独立 VLAN 并开端口隔离，同时记住 ONVIF 发现走的是链路本地组播。录像机一旦换到别的网段，发现就失效，只能靠 IP 地址手动添加。
画面卡顿很少是交换机上联带宽的问题。按这个顺序查：上联利用率 → 广播和组播 → 摄像头码率自适应 → PoE 单口供电与在线时长。
下面就是把 PoE 交换机连到 NVR 的实际做法：接线、交换机配置，以及它们之间的先后顺序。
买设备之前先把拓扑定下来，因为它直接决定了端口数、功率预算和 IP 规划。监控用的 PoE 交换机，在下面三种方案里有两种是摆在录像机前面，第三种则由交换机承载所有摄像头、录像机只负责"收看"。
| 方案 1：NVR 下挂外置 PoE 交换机 | 方案 2：NVR 内置 PoE 口 | 方案 3：NVR 双网口 | |
|---|---|---|---|
| 接线方式 | 摄像头接交换机，交换机一根上联连到 NVR 的 LAN 口 | 摄像头直接插录像机背面的 PoE 口 | 网卡 1 接摄像头交换机，网卡 2 接公司网络或上联 |
| PoE 来源 | 交换机 | 录像机内部电源 | 交换机 |
| 端口上限 | 交换机端口数，常见 8 到 24 | 录像机端口数，常见 4、8 或 16 | 交换机端口数 |
| 功率上限 | 交换机的 PoE 预算，可自行测算 | 录像机内部电源允许值，通常整机 40–80 W | 交换机的 PoE 预算 |
| 摄像头隔离 | 可做完整 VLAN 与端口隔离 | 通常是一颗固定内部交换芯片，VLAN 控制有限或没有 | 摄像头侧可完整控制 |
| 最适合 | 8 路及以上、长距离布线、户外机柜 | 小站点，录像机和摄像头同处一个机柜 | 必须把摄像头挡在公司网之外的站点 |
| 主要弱点 | 多一台要供电、要配置的设备 | 端口和功率会同时耗尽 | 配两个默认网关是经典误操作 |
这是大多数站点最终的形态，内部还有一个真正要选的点：同网段还是不同网段。
| 同网段（二层） | 不同网段（三层） | |
|---|---|---|
| 地址规划 | 录像机和摄像头在同一 IP 段，例如 192.168.10.0/24 | 摄像头在 192.168.10.0/24，录像机摄像头侧网卡在 192.168.20.0/24 |
| ONVIF 发现 | 可用，因为发现组播留在广播域内 | 跨不过路由器，只能按 IP 地址手动添加摄像头 |
| 广播域 | 摄像头、录像机和同 VLAN 内任何客户端共享 | 摄像头的广播风暴被限制在摄像头子网内 |
| 配置工作量 | 最低 | 需要网关、路由，还要手动录入摄像头 |
| 典型用途 | 单一机柜、16 路以内 | 摄像头超过 16 路，或有隔离的安全策略要求 |
ONVIF 这点最坑人。摄像头发现用的是 WS-Discovery，一种发往 239.255.255.250、走 UDP 3702 端口的链路本地组播，TTL 过不了路由器。把录像机挪到另一个网段，自动发现列表就空了——看起来像交换机坏了，其实是正确的行为。
接线顺序，按这个次序做能避免返工：
先把交换机上架、上电。 做好接地，确认输入电压在机身标签标注范围内，任何摄像头打线之前先登录设备。
把摄像头打进 PoE 端口，看 PoE 指示灯。能 Link 但不供电，是线或 Class 等级问题，不是配置问题。
建监控 VLAN，把每个摄像头端口作为不带标签的 Access 口划入。
在摄像头端口上开端口隔离，让摄像头之间互不可达，只能走上行。
配置上联口：如果录像机在别处，上联口做成承载监控 VLAN 的 Trunk；如果同网段，就做成同 VLAN 的 Access 口。
设录像机摄像头侧地址，再添加摄像头——同网段走发现，跨路由走 IP 地址。
逐路设分辨率、帧率、码率，然后启录像计划。
保存并备份交换机配置，再关机柜门。
小站点上，这是最便宜也最正确的答案：一台典型的 8 路录像机，背面 8 个 PoE 口，接 8 个摄像头、给它们供电、再录像，全程不用配交换机。
它的限制是物理层面的，而且会一起到来。端口数固定，第 9 个摄像头无论如何要加交换机。功率是所有端口共用一颗内部电源，所以 8 个带红外加热的摄像头在黄昏一起启动时，即便单路都在 Class 范围内，合计也可能超出录像机供给。而且内置交换芯片通常不可网管，意味着没有 VLAN、没有端口隔离、也没有单口供电优先级。
适用条件：摄像头数量留至少两个余量、总功耗低于录像机标称 PoE 预算的 80%、且没有把摄像头流量和其他流量分开的要求。
带两个网络接口的录像机，可以把摄像头网络在物理和逻辑上都和其他网络分开。网卡 1 朝向摄像头交换机，网卡 2 朝向办公局域网或互联网网关。
防止大多数故障只有一条铁律：只在一个接口上配默认网关，就是朝向互联网或公司网那个。摄像头侧接口只配 IP 和子网掩码，如果录像机需要访问摄像头子网，再加一条静态路由。一台主机配两个默认网关，路由表会二义，症状是远程查看时好时坏——连得上，过一会儿又断了。
做到位之后，办公局域网里的客户端经网卡 2 访问录像机，摄像头码流从不离开网卡 1 的子网，监控 VLAN 上哪怕有一台摄像头被攻陷，也没有通往办公网的路由。
三个 VLAN 能覆盖大多数站点，三者的目的都是让摄像头流量待在该待的地方。
| VLAN | 成员 | 上联处理 | 存在原因 |
|---|---|---|---|
| 监控 | 所有摄像头端口，加上录像机摄像头侧端口 | 以 Trunk 上联到录像机 | 收住摄像头广播，把摄像头流量挡在办公网之外 |
| 管理 | 交换机管理地址、网管系统、工程笔记本 | Trunk 上联，并在端口限速 | 让你能管交换机，又不把它暴露给摄像头 |
| 客户端访问（可选） | 看实时和回放的工作站 | 路由到录像机第二接口，绝不桥接到监控 VLAN | 让查看者到达录像机，而不是摄像头 |
VLAN 划分之外，还有两个设置关键。摄像头端口的端口隔离能阻止一台被攻陷的摄像头去够它的邻居，也消除了摄像头之间的互访流量——后者本来会占满上联。同端口的风暴控制把广播和组播压在链路速率的一个小百分比内，这是对付"一台故障摄像头淹没整个网段"最有效的方法。
不要拿端口速率拍脑袋，要逐路摄像头算完再加开销。监控 PoE 交换机的上联口通常是一个非 PoE 的千兆口，于是 8 路摄像头码流加上客户端流量全压在这一根链路上。
8 路摄像头每路 4 Mbps 是 32 Mbps 码流。以太网帧封装、帧间隙和重传再加约 20%，所以按 38 Mbps 规划。再加上录像机向每个客户端工作站的实时查看流：3 个操作员各看一路 4 Mbps 又是 12 Mbps。回放读盘也走同一个接口，所以事故复盘时录像机端口轻松超过 50 Mbps。
这仍然只是千兆链路的一小部分——有用的结论在这里：画面卡顿，交换机上联几乎从不会跑满。真正跑满的是录像机自己的网络接口，因为入向摄像头码流、出向客户端码流、回放读盘都从同一个口经过，只接了一块网卡时尤其如此。
除非路径上每台设备都支持大帧——摄像头、交换机端口、上联、录像机，以及中间任何路由器——否则 MTU 就留在 1500。IEEE 802.3 把标准以太网帧定在含 CRC 共 1518 字节，加了 802.1Q 标签后是 1522 字节；更大的帧（通常是 9000 字节）是厂商约定而非标准，这正是各设备支持程度不一的原因。大帧到了 1500 字节的接口，要么被分片要么被丢弃，而且故障是间歇性的，极难诊断。4 Mbps 摄像头码流的吞吐收益本就可忽略，所以这个取舍是用真实风险换理论改善。
从链路往里查，每一步排除一整类原因。
看交换机上联口利用率。 卡顿期间上联到录像机如果低于链路速率的 50%，带宽就不是问题，往下走。
看广播和组播速率。 一台摄像头淹没网段，会先把录像机和交换机的 CPU 打满，远在占满千兆之前。风暴控制计数器和端口隔离一分钟就能告诉你。
看摄像头是否自己降了码率。 很多摄像头在上联拥塞或录像机跟不上时会自动降帧率或降分辨率。对比摄像头里配置的码流模板和录像机实际收到的。
看单口 PoE 功耗与在线时长。 几分钟重启一次的摄像头，通常是丢了电而不是网络。看单口功耗和端口在线计数，尤其黄昏——红外和加热同时启动。IEEE 802.3af 把 PSE 端口上限定为 15.4 W、保证受电端约 12.95 W；IEEE 802.3at 把这两个数抬到 30 W 和约 25.5 W。所以一台空闲 6 W、开加热后 11 W 的摄像头仍在 Class 3 预算内——直到 8 台共用一台 40 W 内部电源的录像机，黄昏重启就是从这里来的。
四步都干净，问题就在录像机本身：磁盘吞吐、解码能力，或客户端的渲染。
摄像头和 NVR 能不在同一网段吗？ 能，但录像机会停止自动发现它们。ONVIF 发现用的是链路本地组播，过不了路由器，所以跨路由设计里要按 IP 地址逐个添加摄像头，而不是从发现列表里挑。
为什么只接一个网口时 NVR 会卡？ 因为入向摄像头码流、出向客户端实时查看、出向回放读盘都从这一块接口经过，于是在交换机上联远未满载之前，录像机自己的网卡就成了瓶颈。第二块网卡——且只在其中之一配默认网关——能把两个方向分开。
摄像头一定要单独 VLAN 吗？ 几乎总是要。带端口隔离的监控 VLAN 能收住摄像头广播、阻止摄像头互访，并让摄像头风暴远离办公网。同端口的风暴控制是配套的必开项。
8 路 4 Mbps 摄像头上联要多少带宽？ 约 32 Mbps 码流，再加约 20% 帧封装与开销，所以按 38 Mbps 规划，再加上到客户端的实时查看和回放流量。千兆上联因此还有大量余量，这也是卡顿很少是纯带宽问题的原因。
视频流量要不要开巨型帧？ 默认不开。路径上每台设备都得支持更大 MTU，不匹配会产生难以追查的间歇丢包。4 Mbps 摄像头码流的吞吐收益不值得冒这个险。
先定拓扑，再配 VLAN，再配地址，最后加摄像头——这个次序能避开最费时间的两类故障：二义的默认网关，以及因为录像机换了网段而空空如也的发现列表。锐应为这类场景打造了 8+4 口千兆工业交换机系列，可选 PoE 版本，网管机型支持 VLAN、端口隔离和风暴控制；上面的配置步骤，适用于任何一台用于视频监控的网管型 PoE 交换机。了解锐应工业交换机与 PoE 产品可访问 交换机产品线，需要 GPON/OLT 方案可查看 PON 解决方案，企业背景见 关于锐应。
关于作者： Sara —— 锐应客户经理，在通信领域有 10 余年经验，业余喜欢羽毛球和游泳。
关于锐应： 深圳锐应科技有限公司 —— 公司简介
