Camera's op een apart netwerk of VLAN: zo houd je ze bereikbaar én veiliger
Een los cameranetwerk kan voorkomen dat een kwetsbare camera zomaar bij je laptop of NAS-beheerpagina kan. Maar een té streng geïsoleerd gastnetwerk kan ook de opnamen breken: Synology, Frigate of Home Assistant moet de camerastream immers nog kunnen bereiken. Hieronder vind je een veilige, praktisch uitvoerbare aanpak.
Een gast-wifi biedt vaak eenvoudige isolatie, maar laat apparatuur op je hoofdnetwerk niet automatisch bij de camera komen. Een echt VLAN met firewallregels kan meer controle geven over precies welk apparaat mag verbinden. Een extra wifi-netwerknaam (SSID) op hetzelfde LAN is op zichzelf nog geen gescheiden netwerk.
1. Waarom het nuttig is
De Amerikaanse consumentenautoriteit FTC raadt aan om thuiscamera's bij voorkeur van computers en printers te scheiden, wachtwoorden uniek te maken, firmware bij te werken en routerbeveiliging aan te zetten. Een aparte netwerkzone vermindert de mogelijkheden voor ongewenst verkeer tussen apparaten, maar vervangt geen goede gebruikersaccounts of updates.
2. Welke netwerkopstelling past bij jou?
| Opstelling | Voordeel | Mogelijke beperking |
|---|---|---|
| Eén hoofdnetwerk | Eenvoudige installatie, automatische cameradetectie | Camera's delen netwerktoegang met andere apparaten |
| Gast-wifi met isolatie | Snel apart draadloos netwerk | Kan livestream naar NAS of Home Assistant volledig blokkeren |
| Camera-VLAN met router/firewall | Gerichte toestemming voor recorder naar camera | Vereist router, switch/accesspoint en correcte VLAN-routing |
Een PoE-camera met netwerkkabel heeft doorgaans een VLAN-geschikte switchpoort nodig. Een wifi-camera moet worden gekoppeld aan een SSID dat ook echt op de bedoelde netwerkzone uitkomt. Controleer eerst of je router, accesspoint en switch dit ondersteunen.
3. Praktisch voorbeeld met een eigen NAS
Stel dat camera's in een afzonderlijk netwerk 192.168.30.0/24 staan en je recorder in het normale thuisnetwerk. Reserveer voor elke camera een vast IP-adres via DHCP. Sta vanuit de recorder alleen de benodigde verbindingen toe naar de IP-adressen en diensten van je camera's. Denk aan de modelspecifieke RTSP- en ONVIF-/webbeheerpoorten: het zijn geen universele defaults. Voor Tapo C120 geldt doorgaans RTSP 554 en ONVIF 2020; bij andere modellen kunnen poorten anders liggen.
Blokkeer nieuwe, ongevraagde verbindingen vanuit het cameranetwerk naar vertrouwde apparaten, tenzij je bewust een uitzondering nodig hebt. Bestaand antwoordverkeer voor toegestane sessies moet wel terug kunnen; daar zorgt een stateful firewall normaal gesproken voor. Sta tijdelijk extra verkeer toe voor diagnose en maak regels daarna weer strenger.
4. Let op ONVIF-detectie tussen netwerken
Veel automatische apparaatdetectie werkt met broadcast of multicast binnen een subnet. Dat gaat niet zomaar door iedere router of VLAN-grens. Daarom kan een camera die in de app werkt toch ontbreken bij Home Assistant of Surveillance Station. Probeer in dat geval handmatig IP-adres, poort en gebruikersaccount in te stellen; open niet zomaar je hele VLAN.
De ONVIF-documentatie van Home Assistant beschrijft deze handmatige route. Controleer vervolgens daadwerkelijk de livestream, snapshots en opname na een herstart.
5. Geen portforwarding voor een gewone livestream
Voor opname op je eigen NAS hoeft een lokale RTSP-stream niet op internet bereikbaar te zijn. Vermijd daarom het rechtstreeks doorsturen van RTSP-, ONVIF- of beheerpoorten vanaf je router. Wil je onderweg kijken, gebruik dan een zorgvuldig beheerde VPN of een andere beveiligde toegangsmethode met passende rechten. De FTC-adviezen voor camerabeveiliging benadrukken versleuteling, sterke unieke wachtwoorden en software-updates.
6. Test of het nog echt lokaal werkt
- Voeg één camera toe en controleer of je NAS of NVR lokaal een livebeeld ontvangt.
- Schakel op de camera tijdelijk de internettoegang uit, zonder de lokale netwerkverbinding te verbreken. Bekijk of videostream en opname blijven werken.
- Start recorder, camera en netwerkapparatuur opnieuw en controleer of IP-reserveringen en firewallregels nog kloppen.
- Controleer afzonderlijk of firmware-updates en tijdsynchronisatie (NTP) kunnen worden uitgevoerd; zonder betrouwbare tijd zijn gebeurtenisopnamen lastig terug te zoeken.
- Test meldingen en externe toegang pas na de lokale opname. Slimme fabrikantpushmeldingen kunnen afhankelijk blijven van externe diensten.
Leg wijzigingen eerst vast zodat je bij verlies van camerabeeld de verbinding gecontroleerd kunt herstellen. Bij wifi met een gastnetwerk kan client-isolatie bovendien verhinderen dat zelfs twee apparaten in dezelfde zone rechtstreeks contact maken.
Veelgestelde vragen
Is een apart wifi-wachtwoord genoeg?
Nee, twee SSID's kunnen nog op hetzelfde LAN terechtkomen. Controleer of je router werkelijk een afzonderlijk gastnetwerk of VLAN biedt en of verkeer ertussen gefilterd wordt.
Kan een Synology NAS camera's op een ander VLAN opnemen?
Dat kan wanneer je netwerkrouter de noodzakelijke route en firewalltoegang vanaf NAS of recorder naar de camera toelaat. De camera moet de gebruikte stream aanbieden; een VLAN maakt een ontbrekende RTSP-functie niet beschikbaar.
Waarom verdwijnt mijn ONVIF-camera uit de automatische zoeklijst?
Automatische ontdekking kan netwerkgrenzen niet passeren. Probeer handmatig toevoegen via IP-adres en poort, en test de daadwerkelijke H.264-stream.
Bronnen: FTC camera's beveiligen, FTC thuis-wifi beveiligen, Home Assistant ONVIF, TP-Link Tapo RTSP/ONVIF. Geraadpleegd op 13 oktober 2026. Router- en firmware-instellingen verschillen per apparaat.