Conectividade para push RTMP: VPN IPsec ou RTMP com firewall

Existem duas formas seguras de enviar o vídeo das suas câmeras à Pix Force por push RTMP. Veja os requisitos de cada uma e escolha a que combina com a sua rede. Se ainda não conhece o modo push, comece pelo Guia de configuração de câmeras via RTMP. Para o modo pull, veja o guia via RTSP.

1. RTMP com firewall rígido

O cliente envia o push RTMP diretamente à plataforma pela internet, com acesso restrito por regras de firewall.

Requisitos do cliente

• IP(s) público(s) fixo(s) de saída dos equipamentos que farão o push (ou do Fortigate, com SNAT para um IP único), informados com antecedência para liberação.
• Liberar saída TCP/1935 para o IP de destino informado.
• Câmeras/encoders com suporte a RTMP e a autenticação por chave ou usuário/senha por stream.
• Aviso prévio em caso de mudança do IP de saída.

Controles de segurança aplicados

• Allowlist por origem: somente os IPs do cliente são aceitos; qualquer outra origem é descartada.
• Porta única, serviço único: apenas RTMP (TCP/1935).
• Credencial de publicação por câmera: revogável e rotacionável sem afetar as demais.
• Fluxo unidirecional: o cliente envia o vídeo; a plataforma nunca inicia conexão para a rede do cliente e nenhuma rota para ela é criada.
• Auditoria: conexões permitidas e bloqueadas são registradas.

2. VPN IPsec + RTMP

2.1 Tipo de VPN

• IPsec site-to-site, route-based (interface mode) no Fortigate. É o modelo que se conecta ao Cloud VPN da GCP.
• SSL VPN não se aplica: no Fortigate ela é voltada a acesso remoto de usuários, não à interconexão de redes.
• IPsec Dialup não é indicado: serve a peers com IP dinâmico discando para um hub; aqui precisamos de gateways com IP público fixo.
• Dispositivo com NAT na frente: a GCP só suporta NAT 1:1 com NAT-T (UDP encapsulation); NAT com tradução de portas não é suportado.

2.2 Requisitos no Fortigate

• IP público fixo no Fortigate (ou NAT 1:1 na frente dele).
• IPsec route-based com IKEv2 e suporte a BGP para a troca de rotas com a plataforma.
• Rota restrita ao RTMP: o Fortigate receberá apenas a rota (/32) do servidor de ingest RTMP, sem acesso a nenhuma outra rede.
• Política de firewall do Fortigate: origem = câmeras/encoders; destino = /32 do servidor RTMP; serviço = TCP/1935; negar todo o restante pela VPN. Recomendado fazer SNAT para um IP único de origem.
• Faixas internas do cliente sem sobreposição com a rede da plataforma (ou NAT para evitar conflito).
• Liberar entre o Fortigate e os IPs do gateway VPN da plataforma: UDP 500 (IKE), UDP 4500 (NAT-T) e ESP (protocolo IP 50).
• MTU do dispositivo no máximo 1460 bytes, com prefragmentation habilitada; habilitar também IKE fragmentation (RFC 7383).

2.3 Parâmetros IPsec sugeridos

Alternativa sem AEAD, se o Fortigate exigir: AES-CBC-256 com HMAC-SHA2-256. Confira no FortiOS os nomes equivalentes de cada algoritmo.

3. RTMPS + firewall rígido (em integração)

Estamos integrando o RTMPS à plataforma. RTMPS é o RTMP sobre TLS: acrescenta criptografia em trânsito e autenticação do servidor por certificado, mantendo as mesmas regras de firewall do RTMP. Previsão de disponibilidade: a confirmar.

Requisitos do cliente

• Câmeras/encoders com suporte a RTMPS (TLS). Dispositivos mais antigos podem não suportar; os equipamentos serão validados antes da migração.
• IP público fixo de saída, como no RTMP, e liberação de saída TCP para o IP de destino, na porta que será informada.
• Credencial de publicação por câmera, como no RTMP.
• RTMP e RTMPS podem coexistir em portas distintas durante a transição.