¶ Podłączenie UniFi Protect przez tunel
Jeżeli Twoje kamery pracują na sprzęcie UniFi, nagrania zabieramy z rejestratora sami — logujemy się do niego przez szyfrowany tunel i pobieramy materiał do Twojego magazynu. Ta strona prowadzi Cię przez całe podłączenie: od pobrania pliku konfiguracyjnego w panelu, przez cztery ustawienia na bramce UniFi, po sprawdzenie, że tunel naprawdę stoi.
Zaplanuj na to jeden wyjazd do obiektu i mniej więcej pół godziny. Wszystko, co trzeba klikać na bramce, robi się w aplikacji UniFi Network, a wszystko, co trzeba klikać u nas — w panelu na cvr.webdisk.io.
¶ Jak to działa, w trzech zdaniach
Twoja bramka UniFi (np. UCG, UDM, Dream Machine) sama nawiązuje z nami połączenie — dzwoni do nas, a nie odwrotnie. Dzięki temu nie potrzebujesz stałego adresu IP ani przekierowania portów na routerze; działa też wtedy, gdy operator daje Ci internet bez publicznego adresu. Gdy połączenie stoi, logujemy się przez nie do aplikacji UniFi Protect na Twoim urządzeniu, pobieramy nagrania i zapisujemy je w magazynie, który kupiłeś w WebDisk Files.
To połączenie nazywamy tunelem WireGuard. WireGuard to sposób zestawienia szyfrowanego kanału między dwoma urządzeniami — po jego wnętrzu nie da się podsłuchać ruchu, a poza tunelem nic z Twojej sieci nie jest wystawione do internetu.
⚠️ Przerwa w tunelu to opóźnienie, a nie utrata nagrań. Rejestrator UniFi zapisuje materiał najpierw lokalnie, na swoim dysku. Jeżeli tunel padnie — bo zabrakło prądu, internetu albo my mamy awarię — nagrania dalej powstają u Ciebie, a my po powrocie łączności nadrabiamy zaległości i pobieramy to, czego nie zdążyliśmy. Granica jest jedna: pojemność dysku w samym rejestratorze. Jeżeli przerwa potrwa dłużej, niż wynosi okres, po którym Twoje urządzenie zaczyna nadpisywać najstarsze nagrania, to najstarszy materiał zniknie u Ciebie, zanim do nas dotrze. Warto więc wiedzieć, ile dni trzyma lokalnie Twój rejestrator — to Twój realny zapas czasu na naprawę awarii.
¶ Zanim zaczniesz
Sprawdź, że masz komplet — brak którejkolwiek z tych rzeczy zatrzyma Cię w połowie:
- Dostęp administratora do lokalnego portalu urządzenia UniFi OS — czyli logowanie na adres samej bramki w Twojej sieci, nie do konta Ubiquiti w chmurze.
- Aktywny abonament CVR dla tego rejestratora (45 zł netto miesięcznie za urządzenie).
- Magazyn w WebDisk Files przypięty do obiektu i zweryfikowany — bez niego nie mamy gdzie zapisywać nagrań, a zaciąg w ogóle się nie uruchomi.
- Kilka minut przy samym urządzeniu, bo część ustawień robi się w jego lokalnym portalu.
¶ Krok 1. Pobierz konfigurację tunelu z panelu
Plik konfiguracyjny to mały plik tekstowy, w którym zapisany jest klucz Twojego tunelu i adres, pod który ma dzwonić bramka. Generujemy go dla Ciebie w panelu.
- Zaloguj się na cvr.webdisk.io.
- Na pasku kart kliknij Rejestrator.
- Na górze rozwiniętej sekcji znajdziesz Połączenie UniFi. Kliknij Wygeneruj konfigurację.
- Zobaczysz treść pliku wypisaną na ekranie i przycisk Pobierz plik .conf. Kliknij go — na dysk trafi plik
webdisk-cvr.conf. - Przenieś ten plik na komputer, z którego będziesz konfigurować bramkę.
⚠️ Tę konfigurację pokazujemy dokładnie raz. Klucza prywatnego Twojego tunelu u siebie nie zapisujemy — po zamknięciu tej strony nie potrafimy pokazać pliku ponownie, nawet gdybyś poprosił nas o to przez zgłoszenie. Pobierz plik od razu, zanim przejdziesz dalej.
¶ Co jest w tym pliku
Nie musisz nic w nim zmieniać — ma działać dokładnie taki, jaki go dostajesz. Warto jednak wiedzieć, co oznaczają poszczególne wpisy, bo do dwóch z nich wrócisz przy ustawieniach bramki:
| Wpis w pliku | Co znaczy |
|---|---|
Address = 10.80.x.y/32 |
Adres, pod którym Twoja bramka będzie widoczna wewnątrz tunelu. Każdy klient dostaje własny, pojedynczy adres. Ten sam adres wpisujesz potem rejestratorowi. |
DNS = 9.9.9.9 |
Publiczny serwer nazw, nie nasz. Nie chcemy widzieć, jakie adresy odpytuje Twoja sieć, a nasza awaria nie ma prawa zepsuć Ci rozwiązywania nazw w obiekcie. Aplikacja UniFi odmawia importu pliku bez tego wpisu — dlatego on tam jest. |
Endpoint = <adres>:51820 |
Nasz punkt odbioru i port, pod który dzwoni bramka (port 51820, protokół UDP). Adres jest już wpisany. |
AllowedIPs = 10.80.0.0/16 |
Najważniejszy wpis pod kątem bezpieczeństwa Twojej sieci. Mówi bramce: przez ten tunel kieruj ruch wyłącznie do naszej puli adresów. Nie ma tu 0.0.0.0/0, czyli „cały ruch" — nie stajemy się Twoim dostawcą internetu i nie widzimy ruchu Twoich komputerów ani kamer poza tym, po co przychodzimy. |
PersistentKeepalive = 25 |
Co 25 sekund bramka wysyła krótki sygnał podtrzymujący. Bez niego router operatora „zapominałby" o połączeniu i nie moglibyśmy się do bramki odezwać, mimo że tunel formalnie stoi. |
¶ Gdy zgubisz plik
Nie ma sposobu na odzyskanie starego pliku — jest natomiast prosty sposób na wydanie nowego. W panelu, w tej samej sekcji Połączenie UniFi, kliknij Wydaj nową konfigurację i potwierdź.
Co się wtedy dzieje:
- powstaje nowa para kluczy, a stara przestaje działać w chwili wydania nowej;
- bramka traci połączenie i nie odzyska go, dopóki nie zaimportujesz nowego pliku — zaplanuj to więc na moment, w którym możesz od razu wejść w UniFi Network;
- adres w tunelu zostaje ten sam, więc ustawienia rejestratora, trasy i reguły zapory zostają bez zmian;
- konto Protect i wszystkie dodane rejestratory zostają nietknięte;
- archiwum, które już u nas jest, nie jest w żaden sposób ruszane.
¶ Krok 2. Wgraj konfigurację w UniFi Network
- Otwórz lokalny portal swojego urządzenia UniFi OS i wejdź w aplikację UniFi Network.
- Przejdź do Settings → VPN → VPN Client.
- Kliknij Create New i wybierz typ WireGuard, a następnie skorzystaj z opcji Import i wskaż pobrany plik
webdisk-cvr.conf. - Nazwij to połączenie
CVR. To nie jest kosmetyka — za chwilę będziesz musiał wybrać je z listy przy tworzeniu trasy, a wśród kilku połączeń VPN łatwo trafić w niewłaściwe. - Zapisz i włącz połączenie.
💡 Jeżeli import kończy się komunikatem „Invalid DNS in [Interface]", to znak, że plik został po drodze zmieniony albo obcięty — wgraj go dokładnie takim, jaki pobrałeś, bez edycji w notatniku.
⚠️ Kreatory „Device Wizard" i „Content Wizard" zostaw wyłączone (Off). Służą do przepychania ruchu Twoich urządzeń przez połączenie VPN. Włączone skierowałyby przez nasz tunel ruch, którego wcale nie chcemy widzieć, a przy naszej awarii zabrałyby tym urządzeniom internet. Do archiwizacji nagrań nie są potrzebne.
¶ Krok 3. Dodaj trasę powrotną
Bramka po zestawieniu tunelu wie, jak do nas zadzwonić, ale nie wie jeszcze, jak odpowiadać na to, o co ją pytamy. Trasa to właśnie ta droga powrotna.
- W UniFi Network przejdź do Routing i kliknij Create New Route.
- Typ trasy: Static.
- Interface: wybierz połączenie VPN o nazwie CVR (to, które utworzyłeś w kroku 2).
- Network: wpisz
10.80.0.0/16— to nasza pula adresów, ta sama, która jest w pliku konfiguracyjnym. - Zapisz.
Bez tej trasy tunel wstanie, panel pokaże kontakt, a nagrania i tak nie zaczną płynąć — bramka po prostu nie odeśle nam odpowiedzi.
¶ Krok 4. Dodaj regułę zapory
UniFi traktuje połączenie VPN jak kawałek internetu, więc domyślnie przepuszcza wyłącznie ruch, który bramka sama zaczęła. My przychodzimy po nagrania z własnej inicjatywy, więc musimy dostać jawną zgodę — i tylko my.
- W UniFi Network przejdź do Firewall → Internet Local i utwórz nową regułę.
- Action:
Accept. - Protocol:
All. - Source IP:
10.80.0.1— to adres naszej bramy wewnątrz tunelu i jedyny adres, który ta reguła wpuszcza. - Zaznacz „Before Predefined", żeby reguła trafiła nad fabryczne reguły blokujące. Bez tego zostanie pod nimi i nic nie zmieni.
- Zapisz.
¶ Co dokładnie otwierasz, a czego nie
To najczęstsza obawa przy tej konfiguracji, więc rozpiszmy ją wprost:
| Co | Stan po tej konfiguracji |
|---|---|
Dostęp z naszej bramy (10.80.0.1) do Twojej bramki |
otwarty — tego wymaga pobieranie nagrań |
| Dostęp z jakiegokolwiek innego adresu w internecie | zamknięty; reguła wskazuje jeden adres źródłowy i nic poza nim |
| Przekierowanie portów na Twoim routerze | niepotrzebne — nie zakładasz żadnego |
| Twoje komputery, telefony, drukarki, kasa w sklepie | poza zasięgiem tunelu; nie kierujemy do siebie ruchu Twoich urządzeń |
| Ruch DNS Twojej sieci | nie przechodzi przez nas — konfiguracja wskazuje publiczny serwer nazw |
| Inni klienci CVR | nie widzą Twojej sieci ani Ty ich; ruch między klientami jest zablokowany po naszej stronie |
Formalny zapis tych zobowiązań znajdziesz w regulaminie CVR (punkty o bezpieczeństwie) oraz w umowie powierzenia.
¶ Krok 5. Załóż nam lokalne konto w Protekcie
Tunel to droga, ale przy końcu tej drogi musimy się jeszcze czymś zalogować. Potrzebujemy lokalnego konta w aplikacji UniFi Protect — nigdy Twojego konta Ubiquiti w chmurze.
- W lokalnym portalu urządzenia UniFi OS wejdź w Users.
- Zakładka Roles → Add Role. Nazwij rolę np.
webdisk cvri nadaj jej Full Management dla aplikacji UniFi Protect. - Zakładka User → Add User. W polu Role wybierz przed chwilą utworzoną rolę, a Account Type ustaw na Local Access Only.
- Otwórz nowego użytkownika, przejdź na zakładkę Assignments i zaznacz wszystkie kamery, które mają być archiwizowane. Kamera niezaznaczona tutaj po prostu nie trafi do archiwum.
- Wróć do panelu CVR, w sekcji Rejestrator dodaj urządzenie, wybierz protokół UniFi Protect i wpisz login oraz hasło tego konta.
💡 Dlaczego Full Management, a nie sam podgląd? Pobranie plików z nagraniami wymaga więcej uprawnień niż oglądanie obrazu na żywo. To konto zostaje lokalne na Twoim urządzeniu, dotyczy wyłącznie Protecta i możesz je skasować w każdej chwili — co natychmiast odcina także nasz dostęp.
Przy dodawaniu rejestratora panel zapyta jeszcze, od czego zacząć: tylko od nowych nagrań, czy od całej historii, którą Protect jeszcze trzyma. Ta druga opcja potrafi zająć łącze na całą noc i od razu zapełnić magazyn — wybierz ją świadomie. Ile materiału zostaje u nas i kiedy jest kasowany, opisuje strona Retencja nagrań.
¶ Jak sprawdzić, że tunel stoi
Sprawdź w dwóch miejscach — dopiero zgodność obu daje pewność.
W panelu CVR. Wejdź w kartę Rejestrator, sekcja Połączenie UniFi. Zobaczysz swój adres w tunelu, a obok jedną z dwóch informacji:
- „ostatni kontakt" z datą i godziną — bramka się z nami łączy. Datę odświeżamy co kilkanaście sekund, więc po poprawnym imporcie odczekaj minutę i przeładuj stronę.
- „bramka jeszcze się nie połączyła" — nie mieliśmy z nią kontaktu ani razu od wydania tej konfiguracji. Przejdź do tabeli objawów niżej.
W UniFi Network. W Settings → VPN → VPN Client połączenie CVR powinno być oznaczone jako aktywne.
Ostateczny dowód to jednak nie tunel, tylko nagrania: po kilkunastu minutach od dodania rejestratora w archiwum powinny pojawić się pierwsze pliki.
¶ Gdy tunel nie stoi — objawy i przyczyny
| Co widzisz | Najczęstsza przyczyna | Co zrobić |
|---|---|---|
| Panel uparcie pokazuje „bramka jeszcze się nie połączyła", a w UniFi połączenie jest nieaktywne | Zaimportowany został stary plik — np. po wydaniu nowej konfiguracji ktoś wgrał poprzednią | Wydaj konfigurację od nowa i zaimportuj ten świeżo pobrany plik |
| To samo, a plik na pewno jest świeży | Zapora nadrzędna albo operator blokuje wychodzący ruch na porcie 51820 UDP | Sprawdź, czy między bramką a internetem nie stoi drugi router z własną zaporą; ruch wychodzący na 51820/UDP musi przejść |
| UniFi odmawia importu: „Invalid DNS in [Interface]" | Plik został zmieniony albo obcięty przy kopiowaniu | Pobierz plik ponownie (nową konfiguracją) i wgraj bez otwierania go w edytorze |
| Panel pisze, że punkt odbioru nie jest wystawiony | To po naszej stronie — nie ma dokąd dzwonić | Nie konfiguruj bramki; zgłoś to nam, konfiguracja wydana teraz i tak wskazywałaby adres, który nie odpowiada |
| „Ostatni kontakt" zatrzymał się kilka godzin temu | Bramka straciła internet albo prąd; ewentualnie przerwa u operatora | Sprawdź łącze w obiekcie; po jego powrocie tunel wstaje sam, a my nadrabiamy zaległe nagrania |
| Tunel stoi, kontakt świeży, ale nagrania nie przychodzą | Brakuje trasy z kroku 3 albo reguły zapory z kroku 4 | To najczęstszy przypadek — sprawdź oba ustawienia po kolei; tunel wygląda wtedy zdrowo, a mimo to nic nie płynie |
| Tunel stoi, trasa i reguła są, nadal pusto | Złe hasło konta Protect, konto założone jako chmurowe zamiast Local Access Only, albo kamery niezaznaczone w Assignments | Przejdź krok 5 jeszcze raz, ze szczególną uwagą na punkt 4 |
| Przychodzą nagrania tylko z części kamer | Brakujące kamery nie są zaznaczone w Assignments konta, którego używamy | Zaznacz je i zapisz; kolejne nagrania zaczną przychodzić |
| Nagrania nagle przestały przychodzić po długim okresie działania | Magazyn się zapełnił, a blokada nadpisywania nie pozwala zwolnić miejsca — wstrzymujemy wtedy przyjmowanie danych, żeby nie obciążać Twojego łącza na darmo | Zwiększ pojemność magazynu w WebDisk Files; zaciąg ruszy sam |
| Rejestrator zniknął z archiwum po wydaniu nowej konfiguracji | Nie zaimportowano nowego pliku na bramce | Wgraj nowy plik w UniFi Network (krok 2); trasa i reguła zapory pozostają bez zmian, bo adres w tunelu się nie zmienił |
¶ Gdy nic z powyższego nie pomogło
Napisz do nas przyciskiem Zgłoś problem w panelu albo na support@webdisk.io. Żeby od razu ruszyć z miejsca, dołącz:
- adres w tunelu widoczny w sekcji Połączenie UniFi,
- to, co pokazuje panel: datę ostatniego kontaktu albo informację, że bramki jeszcze nie widzieliśmy,
- zrzut ekranu ze stanu połączenia VPN w UniFi Network,
- godzinę, o której ostatnio próbowałeś, i model bramki oraz rejestratora.
Przez ten czas Twój rejestrator nagrywa dalej, lokalnie — a my nadrobimy zaległości, gdy tylko połączenie wróci.