网络交换机

需要算出三个数字：端口数、PoE功率预算和上行链路速率。端口数等于摄像机数量再加上给NVR和上行链路用的一到两个端口，并预留约20%的扩展余量，因此16路摄像机选24口型号比较合适。功率方面，按每台固定摄像机12 W估算（通常为6到16 W）：16 × 12 = 192 W，除以0.85以计入线缆损耗约为226 W，再留20%余量约为271 W，因此PoE功率预算需要约300 W或更高。普通摄像机的端口可以是100 Mbps，但交换机到NVR的链路应为千兆；如果需要VLAN或远程监控，请选择Lite-Managed或网管型号。KDT的型号举例：不打算扩容可选KP-1606J3SFT（16个PoE端口，400 W），否则可选KP-2408H4SMU（24个千兆PoE端口，600 W）。

非网管（Unmanaged）交换机没有设置页面，通电即可使用，适合只有一个子网的简单网络，例如KP-0804H4SF，其AI智能功能通过DIP拨码开关选择。Lite-Managed（Smart）交换机带有网页界面，提供VLAN、QoS、端口镜像、端口限速和PoE开关等基础功能，KP-0406H4SLMT就是一个例子。网管（Managed）交换机在网页之外还有控制台和CLI，适用于对安全性、多VLAN、监控和大型网络有要求的场合；例如KDT的KP-2408H4SMU（二层）和KP-2404H5SM3U（三层）可通过网页、控制台、Telnet和SSH管理。简单的选择原则是：只需要PoE供电和联网就选非网管，需要隔离或监控网络就选Lite-Managed，需要安全性和完全控制就选网管。

二层交换机只根据MAC地址在同一个网络（VLAN）内转发数据帧，足以连接同一子网内的摄像机、NVR和计算机。三层交换机还能以硬件速度在不同VLAN和子网之间路由（Inter-VLAN Routing），较大的型号还支持静态和动态路由。当存在多个需要互通的VLAN（例如摄像机VLAN与VMS服务器VLAN）、子网数量较多，或交换机处于网络核心位置时，就需要三层。如果只有一个子网，二层更便宜也更简单，路由可以交给路由器或防火墙。KDT的三层型号有KC-2800H5SM3、KP-4806H5SM3，以及Carbon系列中的KS-C24G-T-6YQ等。

在KP型号中，前两位数字表示PoE端口数，后两位数字表示其余端口（上行端口）数；例如KP-0804H4SF表示8个PoE端口和4个其他端口，KP-2404H5SM3U表示24个PoE端口和4个上行端口。Fast Ethernet表示所有端口均为10/100 Mbps；Semi Gigabit表示PoE端口为10/100 Mbps，上行端口为千兆（部分型号还有一到两个千兆PoE端口）；Full Gigabit表示所有端口均为千兆；10 Gigabit表示型号带有10 Gbps上行端口。PoE+指符合802.3at标准、每个端口最高30 W，Hi-PoE指带有符合802.3bt、最高可达90 W端口的型号（部分型号只有前几个端口），AI指通过DIP拨码开关设置的智能功能，如VLAN、Extend和Watchdog，Lite-Managed则指通过网页进行的简易管理。前缀KP代表PoE交换机，KC代表不带PoE的核心交换机，KS-C代表面向数据中心的Carbon系列。

IEEE 802.3af（即PoE，类型1）在端口（PSE）输出最高15.4 W，到达设备（PD）的功率最高为12.95 W；IEEE 802.3at（即PoE+，类型2）端口输出30 W，设备端25.5 W；IEEE 802.3bt（也常称为PoE++或Hi-PoE）在类型3中端口输出60 W、设备端51 W，在类型4中端口输出90 W、设备端71.3 W。两个数字之差是线缆电阻造成的功率损耗，在100 m线缆这一最坏情况下约为15%至21%，因此应将摄像机的功耗与设备端（PD）数值而不是端口数值比较。af和at使用四对线中的两对，bt可使用全部四对，而且在所有情况下，交换机都会先检测并分级设备，然后才供电。

PoE功率预算是交换机电源能同时提供给所有端口的总功率，通常低于各端口功率上限之和；例如KP-2408H4SMU有24个PoE端口（前四个端口最高90 W），但总预算为600 W。计算时先把所有设备的实际功耗相加，除以0.85作为线缆损耗的保守估算，再留出20%余量应对功耗波动。例如：12台固定摄像机每台10 W、2台PTZ摄像机每台25 W，设备端合计12 × 10 + 2 × 25 = 170 W；170 ÷ 0.85 = 200 W，再加20%余量为240 W，因此需要预算不低于250 W的交换机。如果交换机按等级预留功率，每个3级设备即使实际功耗更低也占用15.4 W，每个4级设备占用30 W（此例为12 × 15.4 + 2 × 30 = 244.8 W），所以还要在数据手册中确认功率分配方式。

不需要；端口功率只是上限，每个设备只取自己所需的功率，所以8 W的摄像机接在90 W端口上仍然只消耗8 W。根据KDT摄像机的规格，固定摄像机和半球摄像机通常消耗约6到16 W，使用标准PoE（即802.3af）或PoE+（即802.3at）即可，云台（PTZ）摄像机多为25到30 W，需要PoE+，部分防爆摄像机最高需要60 W（802.3bt）。其他高功耗设备，例如寒冷环境中带加热器的摄像机或部分无线接入点，功耗也可能超过25 W，只有这些设备才需要802.3bt或Hi-PoE端口。比单个端口功率更重要的是交换机的总预算和bt端口的数量；例如在KP-2408H4SMU中，只有前四个端口最高提供90 W。

摄像机的功耗并不恒定：夜间IR LED红外灯会点亮，寒冷时加热器会启动，PTZ转动时功耗也会上升；例如8台白天每台7 W（共56 W）的摄像机，夜间每台12 W，总功耗会达到96 W。如果总功耗超过交换机的PoE预算，或某台摄像机的功耗超过其端口的功率上限，交换机为保护自己会切断一个或多个端口的供电，摄像机随之重启，这就是故障只在夜间或PTZ转动时出现的原因。应按最大功耗进行设计，并至少留出20%的预算不用，把耗电大的摄像机换到功率更强的端口或另一台交换机上，如果交换机有网页界面，还要在其中查看各端口的PoE状态。线缆过长或质量差也会加大电压降，产生同样的现象。

请按顺序检查三点：第一，设备是否真正支持标准PoE 802.3af、802.3at或802.3bt，而不是24 V被动PoE或仅支持12 V输入；第二，设备所需功率是否超过端口功率（需要25 W的设备接到15.4 W的端口上，要么无法启动，要么功能受限），以及交换机的总预算是否已用完；第三，线缆是否为纯铜线、8根线芯是否都正确压接、长度是否不足100 m，因为CCA线缆或有缺陷的水晶头可能导致电力无法送达。快速排查时，可用一根短而完好的线缆把同一台摄像机接到另一个端口，并在可疑端口上试接一台完好的PoE设备；PoE测试仪能显示端口的电压和等级，并指出电力传到了哪里。如果交换机是Lite-Managed或网管型，还要确认网页中该端口的PoE没有被关闭。

非PoE设备（如笔记本电脑、NVR或打印机）不会损坏：标准PoE端口先用低电压检测设备，只有检测到PoE设备的特征电阻（约25 kΩ）才会接通供电。相反，被动PoE设备（例如24 V）无法从标准端口取电，需要配套的注入器，而常通电的被动注入器绝不能接到普通设备上，否则可能烧坏其端口。只需要12 V的摄像机，请使用主动PoE分离器（输入802.3af或802.3at，输出12 V）或单独的适配器供电，并且分离器的功率要大于摄像机（含IR）的功耗。来自任何厂商的标准PoE设备都能与标准PoE交换机配合工作，因为检测和分级过程是统一的；较旧的设备（如af）也可接到较新的端口（如bt），只取自己所需的功率。

PoE应选用Cat5e或更高等级的纯铜线缆；802.3af和802.3at设备用Cat5e就够了，而对于提供60到90 W的802.3bt，或者多根高负载线缆并排敷设时，最好用Cat6或Cat6A，因为其线芯通常更粗，因此电阻和发热更小。CCA线缆（铜包铝）更便宜，但电阻约为铜线的1.5倍，因此电压降和PoE发热更大，而且质地脆，也不被TIA-568布线标准接受；结果是摄像机即使在不到100 m的距离也会重启或得不到供电。把线缆藏入墙内或线槽之前，请用线缆测试仪确认8根线芯的接线和长度都正确。

PoE注入器只给一台设备供电，串接在普通交换机和设备之间（数据从中穿过，同时叠加电力），因此当只有一两台分散的摄像机，或者现有交换机没有PoE时很合适；每个注入器都需要单独的电源插座和适配器。设备集中在同一地点时，PoE交换机更好，因为它用一个电源、一个UPS和一个监控点就能给所有设备供电，通常也更整齐、更划算。无论哪种方式，从交换机到设备的线缆总长度（包括交换机与注入器之间的线缆）都不能超过100 m，并且注入器的标准（af、at或bt）至少要满足设备的需求。

看门狗（Watchdog）是交换机监控PoE所连设备的功能：一旦设备不再响应，交换机就会切断并重新接通该端口的供电，就像有人拔掉网线再插上，而无需到现场。在KDT的AI PoE+交换机（如KP-0403H2FT和KP-0803H2FT）中，该功能默认开启，而在KP-0804H4SF中通过3号DIP拨码开关开启，无需编程。看门狗只能解决重启即可恢复的故障，例如摄像机或无线接入点的软件死机；如果设备反复重启，就要找出真正的原因，比如PoE预算、线缆或设备本身故障。Lite-Managed交换机（如KP-0406H4SLMT）还可在网页中管理PoE的开关，因此可以手动重启设备。

铜缆布线标准（IEEE 802.3、TIA-568和ISO/IEC 11801）规定10BASE-T、100BASE-TX和1000BASE-T的最大距离为100 m：90 m固定线缆加上最多10 m跳线；超过这个距离，信号衰减和PoE电压降会导致掉线和重启。有三种可行办法：在线路中间加一台PoE交换机或PoE延长器，使每一段都在100 m以内；使用光纤配合光电转换器或SFP模块，并在远端提供本地供电或PoE交换机；或者使用具备Extend模式的交换机（如KDT的AI PoE+系列），以10 Mbps的速率达到250 m。对于很长的距离或室外线路，光纤是最可靠的选择，因为它没有100 m限制，而且如果是非金属光缆，还能切断雷击感应电压的传播路径。

在KDT的AI PoE+交换机（如KP-0403H2FT、KP-0803H2FT和KP-0804H4SF）中，打开相应的DIP拨码开关（前两个型号为2号，KP-0804H4SF为1号），摄像机线缆距离就可从100 m延长到250 m。根据这些型号的数据手册，在250 m时链路以10 Mbps即10BASE-T的速率运行，线缆需为Cat5或更好，而对于100 Mbps和1 Gbps，数据手册只列出约100到120 m。这个距离超出了IEEE 802.3的限制，并取决于纯铜线缆的质量，所以安装后务必用测试仪或摄像机的实际画面进行验证。另一个限制是功率：250 m线缆的电阻是100 m线缆的2.5倍，因此12 W的摄像机在这个距离上会在线缆中损失约1.5 W，仍可正常工作，但25 W的PoE+设备在那里得不到足够的电力；此外，摄像机的整个视频码流也必须容纳在10 Mbps之内。

这类交换机（如KP-0403H2FT、KP-0803H2FT和KP-0804H4SF）是非网管的即插即用（Plug & Play）设备：没有网页和CLI，通过面板上的DIP拨码开关选择三项智能功能：用于端口隔离的VLAN、用于达到250 m的Extend，以及用于自动重启死机设备的Watchdog。各型号的开关编号不同：在KP-0403H2FT和KP-0803H2FT上，1号开关是VLAN，2号是Extend，Watchdog默认开启；在KP-0804H4SF上，1号是Extend，2号是VLAN，3号是Watchdog，4号是2.5G SFP选项。因此请务必阅读面板标签和所用型号的数据手册，并注意每项功能只作用于数据手册中列出的端口。

交换容量等于所有端口速率之和再乘以2，因为每个端口同时收发（全双工，Full Duplex）。例如24个1 Gbps端口加4个10 Gbps端口，得到24 × 1 + 4 × 10 = 64 Gbps，再乘以2即2 × 64 = 128 Gbps，这正是KP-2404H5SM3U标注的数值；如果标称容量不低于这个数值，交换机就是无阻塞（Non-Blocking）的，可以让所有端口同时全速转发。转发速率反映交换机处理小数据包的能力，单位是Mpps，即每秒百万包：每1 Gbps在64字节数据包下等于1.488 Mpps，所以同样的端口组合为24 × 1.488 + 4 × 14.88 ≈ 95.2 Mpps（KC-2800H5SM3在这种端口组合下标称95.23 Mpps，该数值为单向）。有些数据手册（如Carbon系列）按双向（Bidirectional）给出这两个数字，例如408 Gbps和607.1 Mpps，因此只能比较统计方式相同的数值；在监控系统中，瓶颈通常是上行链路或NVR端口，而不是交换容量。

上行端口把交换机连接到上一级设备（主交换机、NVR、服务器或路由器），由于所有端口的流量都要从这里通过，它应当比摄像机端口更快，通常为1 Gbps或10 Gbps。RJ45上行口通过铜缆最远支持100 m；SFP端口使用可插拔模块，配合合适的模块可覆盖更远距离，例如1000BASE-SX在50微米多模光纤上可达550 m，1000BASE-LX10在单模光纤上可达10 km。SFP+端口尺寸相同，但速率为10 Gbps，Combo口是RJ45与SFP共用的一个物理端口，同一时间只有其中一个工作；例如KP-2408H4SMU有四个Combo口。如果交换机位于不同建筑或相距超过100 m，请选择SFP加光纤，并按光纤主题中的说明选择模块和光纤；如果多台交换机连接到同一个NVR或服务器，请使用10 Gbps或两条上行链路加LACP。

可以：按照IEEE 802.3ad（现已并入IEEE 802.1AX，其协议称为LACP）进行链路聚合后，多根线缆会被视为一条逻辑链路；两条1 Gbps链路合计约2 Gbps总容量，其中一条断开时另一条继续工作。链路两端都必须支持并配置聚合，所以通常无法在非网管交换机上实现。流量按地址哈希分配到各条链路，每个数据流（例如一台摄像机到NVR）只走其中一条链路，因此聚合适合许多设备的流量经过上行链路的场景，若要提高单个数据流的速度，就需要更快的链路，例如10 Gbps。KDT的KC-2800H5SM3和KC-3800H5SM3数据手册列出了802.3ad标准，Carbon系列最多支持64个聚合组。

VLAN利用IEEE 802.1Q标记标准，把一个物理网络划分为多个逻辑网络；VLAN ID是1到4094之间的数字，并会在数据帧中加入一个4字节的标记。Access端口以不带标记的方式为摄像机或计算机提供一个VLAN，Trunk端口则带标记地在交换机之间以及到NVR或路由器之间传送多个VLAN。在监控系统中，把摄像机（如VLAN 20）与办公网络（VLAN 10）和电话（VLAN 30）分开，可以让摄像机的广播和组播流量不再到达计算机，也使办公网络用户无法绕过路由器或防火墙访问摄像机。可配置的802.1Q VLAN需要Lite-Managed或网管交换机（例如KP-0406H4SLMT支持802.1Q和Port VLAN），而不同VLAN之间的通信只能通过三层设备（如路由器或三层交换机）实现。

QoS告诉交换机，当端口或链路拥塞时应该先发送哪些数据包，必要时丢弃哪些；因此它只在拥塞时起作用，链路不繁忙时不会改变任何东西。交换机按802.1p优先级（三位，取值0到7）或DSCP（例如语音使用的EF，即46）对数据包分类，并通过不同的队列发送，还可以限制端口的速率（Rate Limit）。常见用途是IP电话语音或语音广播与摄像机和办公数据共用同一条链路，而语音又不能有延迟或中断，或者一条上行链路需要在多种业务之间分配。QoS不能代替带宽，所以首先要选对链路容量（例如千兆上行）；在KDT产品中，KP-0406H4SLMT支持QoS和端口速率控制。

在组播中，一个发送端向一组接收端发送数据流，目的地址在224.0.0.0到239.255.255.255之间，但不支持IGMP Snooping的交换机会像广播一样把它送到VLAN的所有端口；例如32台摄像机以组播方式发送，每台4 Mbps，就意味着每个端口上都有128 Mbps的流量，足以占满100 Mbps端口和Wi-Fi无线接入点。启用IGMP Snooping后，交换机会监听成员加入报文（IGMP Join），只把每个组播组转发给请求过它的端口。每个VLAN都需要一个IGMP Querier（查询器），即路由器、三层交换机或交换机本身，这样成员关系才能保持更新，而非网管交换机通常没有这项功能。如果摄像机只发送单播，例如普通的RTSP，就不需要IGMP Snooping；在KDT产品中，Carbon系列的基础许可就包含IGMP Snooping。

当网络中两点之间连接了不止一条路径，例如一根跳线把两个墙面插座或同一台交换机的两个端口连起来，广播包就会无休止地循环，几秒钟内占满链路；表现为所有指示灯快速闪烁、整个网络瘫痪。STP（IEEE 802.1D标准）及其更快的版本RSTP（802.1w标准）会阻塞多余的路径，只在主路径中断时才启用它们；STP在最坏情况下恢复需要30到50秒，而RSTP通常只需一到几秒甚至更短，因此应启用RSTP。把连接摄像机和NVR的端口设为Edge Port或PortFast，使其连接后立即启用，在这些端口上启用BPDU Guard，以便有多余的交换机接入时该端口被阻塞，并在具备的情况下使用Storm Control和Loop Protection。非网管交换机通常没有STP，所以布线时要小心；如果发生广播风暴，请逐根拔掉线缆，直到找到有问题的链路。在KDT产品中，KC-2800H5SM3和KC-3800H5SM3的数据手册列出了802.1D、802.1w和802.1s标准，Carbon系列支持STP、RSTP和MSTP。

可以多层措施并用：第一，禁用未使用的端口，并把摄像机放在单独的VLAN中。第二，在摄像机端口上启用Port Security，使交换机只学习被允许的MAC地址（或最多一到两个MAC地址），出现未知MAC时封锁该端口。第三，如果摄像机支持802.1X，就配合RADIUS服务器使用802.1X认证，对不支持的摄像机可使用MAB，即MAC Authentication Bypass，但要记住MAB可以通过复制MAC地址被欺骗。此外，还应通过HTTPS或SSH并在可能时限定允许的IP列表来限制交换机自身的管理。在KDT产品中，KP-2408H4SMU和KP-0406H4SLMT提供Port Security、Access IP List、802.1X MAB和HTTPS等功能。

交换机上的Port Mirroring（端口镜像，也叫SPAN）会把一个或多个端口的进出流量复制一份发到另一个端口；把运行Wireshark的笔记本电脑接到目标端口，就能在不断开摄像机或NVR的情况下看到数据包。在Port Mirror页面选择源端口（例如摄像机端口或NVR端口）和目标端口；在KDT产品中，Lite-Managed的KP-0406H4SLMT提供端口镜像功能。分析期间，目标端口只用于抓包，不承载正常流量；如果多个源端口的流量之和超过目标端口的速率，数据包就会丢失（例如两个繁忙的1 Gbps端口镜像到1 Gbps的目标端口）。非网管交换机通常没有这项功能。

工业交换机是为温度、振动、灰尘和电气干扰比机房更恶劣的场所设计的：坚固的金属外壳、DIN导轨安装、宽得多的工作温度范围、双路冗余直流电源输入，以及更好的抗干扰和防浪涌能力。例如，KDT大多数普通Platinum交换机的规定温度为-15到50 °C，而工业型号KP-0402H4SMIUH和KP-0804H5SMIUH采用铝外壳和DIN导轨安装，适用温度为-40到80 °C，并有两路48到54 V DC电源输入。电控柜、集装箱、泵房和没有通风的室外机箱应选用工业交换机；机架机房或办公楼里用普通交换机就够了，而且更便宜。请根据PoE预算并加20%余量选择直流电源，并把两个独立电源分别接到两个输入端，这样一个电源故障时交换机仍能继续工作。

在环形拓扑中，交换机首尾相连成一个圆环，这样一根线缆断开时，流量可以从另一个方向到达目的地；但没有协议的环会造成环路和广播风暴，所以必须由协议阻塞其中一条链路，并在出现故障时将其打开。RSTP即IEEE 802.1w标准，几乎所有网管交换机都支持，但其恢复时间取决于环的规模，通常在几百毫秒到几秒之间。ERPS由ITU-T G.8032定义，专为以太网环设计，目标是在约50 ms或更短时间内恢复，这对实时视频和工业控制的不间断性很重要；环上的所有交换机都必须支持ERPS。在KDT产品中，Carbon系列（例如KS-C24G-TP-6YQ）的数据手册列出了恢复时间低于50 ms的ERPS，以及恢复时间低于1 s的RSTP和MSTP，而ERPS的多环模式需要可选许可。

雷击通常是通过在室外线缆上感应出电压来损坏设备的，而不仅仅是直接雷击，网线是其侵入的途径之一。防护是多层的：在每根引出建筑物的线缆两端安装支持PoE的以太网浪涌保护器（SPD），即摄像机旁和建筑物入口或交换机附近；用短而粗的接地线把保护器连到同一个共用接地系统，避免设备之间出现电位差；在可能的情况下，建筑物之间使用非金属光纤，切断感应电压的通路。部分数据手册会按IEC 61000-4-5给出交换机自身内部保护的浪涌测试等级，但这并不能替代外部保护器，而且保护器必须与所用的PoE类型（af、at或bt）兼容。另外，交换机也要良好接地，并接在带浪涌保护的电源或UPS上。

先看端口的链路和PoE状态：如果链路或端口供电反复中断又恢复，问题出在供电、线缆或接头；如果链路稳定但画面卡顿，就去检查网络、上行链路和设置。如果交换机能显示端口统计信息（Lite-Managed和网管型号），请查看CRC或FCS错误计数；数字持续上升说明线缆、接头或接线有问题。有三个快速测试：用一根短而完好的线缆把同一台摄像机换到另一个端口，把一台完好的摄像机接到可疑端口，并把PoE总耗电与交换机预算比较（尤其是夜间IR点亮的时候）。如果所有摄像机同时掉线，就要怀疑环路、STP或上行链路饱和；能显示长度、接线和电压的线缆测试仪或PoE测试仪可以加快排查。

可以。交换机的级联数量没有固定上限（早期的5-4-3规则只适用于集线器和共享介质网络），两台交换机之间的每根线缆都必须短于100 m。真正的限制是上行链路带宽和PoE预算：每条链路都要承载其后所有摄像机的流量，例如NVR接在第一台交换机上，四台交换机串联、每台16路摄像机、每路4 Mbps，则第一台与第二台之间的链路要承载其后的48路摄像机，即48 × 4 = 192 Mbps，在1 Gbps链路上很轻松，在100 Mbps链路上则不可能。每台交换机都有自己的PoE预算和电源。实际应用中应让级联链路保持较短（三到四台是常见的经验值，不是标准），或者把每台交换机以星型方式接到一台中心交换机，因为中间一台交换机或一条链路发生故障会使其后所有交换机断开；需要更高可靠性时，可使用带RSTP或ERPS的环网。