Hoe gee jy familie op afstand toegang tot die kamera oor 'n VPN

Drie vrae bepaal of 'n tuiskamera oor 'n VPN bereikbaar moet wees, en nie een daarvan gaan oor die kamera se handelsmerk nie. Wie moet kyk, wat presies moet hulle bereik, en wat moet selfs vir hulle ontoeganklik bly. Beantwoord dit voordat jy 'n gateway koop, want die antwoorde bepaal die vorm van die netwerk eerder as omgekeerd. 'n VPN-toegangspunt is net so privaat soos die roetes en rekeninge wat jy daaraan koppel.

Besluit wie inkom, en met watter identiteit

Begin met 'n lys kykers en gee elkeen 'n aparte VPN-identiteit wanneer die gateway dit ondersteun. Aparte identiteite maak verwydering 'n enkele aksie eerder as 'n wagwoordverandering wat die hele familie deel. 'n Gedeelde profiel maak ook logboeke nutteloos, want elke verbinding lyk soos dieselfde persoon.

Skryf neer wat elkeen toegelaat word om te bereik. Die gewone antwoord is een kamera se kykdiens, nie die kamera se admin-blad nie en beslis nie die router nie.

Daardie lys is die magtigingsmodel, en dit moet 'n gateway-vervanging oorleef. As 'n nuwe router nie per-gebruiker-roetes kan uitdruk nie, het die ontwerp stilweg alles-of-niks geword. Verkies 'n gateway wat 'n identiteit aan 'n bestemming kan bind eerder as een wat net 'n adres uitdeel.

Beperk die roete tot een kameradiens

'n VPN wat die selfoon op die tuis-LAN plaas, gee meer as kyk. Beperk die toegelate pad tot die kamera-adres en die poorte wat sy app werklik gebruik. As die app 'n ontdekkings-uitsending nodig het, is dit 'n aparte afhanklikheid wat jy doelbewus moet toelaat, nie 'n rede om die hele subnet oop te maak nie.

Wanneer die kamera nie 'n VPN-kliënt kan hardloop nie, beëindig die tonnel op die gateway en roeteer net die goedgekeurde bestemming. Die kamera hoef nie 'n bediener te word nie.

'n Kommersiële internet-uitgang-VPN op die selfoon is nie dit nie. Dit verander waar die selfoon se verkeer skynbaar vandaan kom; dit skep nie 'n pad terug na jou tuisnetwerk nie. Om die twee te verwar is die mees algemene rede waarom 'n VPN-opstelling steeds nie die kamera kan sien nie.

Hou kyk en administrasie apart

Die kamera se eie rekeninge maak net soveel saak soos die netwerkpad. Gebruik 'n kyk-only rol vir gewone familielede wanneer die produk een bied, en hou die administrateurwagwoord uit die groepgesprek. Netwerkfiltrering kan nie twee funksies skei wat een HTTPS-luisteraar deel nie, so as kyk en administrasie op dieselfde poort woon, is die kamera se magtigingskontroles die grens.

Kyk of die verskaffer se app stilweg 'n wolk-aflos gebruik vir afstandkyk. As dit doen, kan die VPN-pad heeltemal omseil word.

Wolktoegang is nie outomaties verkeerd nie, maar dit moet 'n besluit wees. Deaktiveer dit wanneer die private pad die bedoelde een is, en let op dat dit ook firmware-opdaterings of kennisgewings kan deaktiveer waarvan die app afhanklik is.

Maak die ander deure toe voordat jy feesvier

Die verwydering van een poortaanstuur bewys nie dat die kamera van die internet af onbereikbaar is nie. 'n Oorblywende UPnP-kaart, 'n geaktiveerde wolkfunksie van die verskaffer of 'n tweede aflos kan elkeen 'n pad bied wat jy vergeet het. Inventariseer die ondersteunde instellings vir afstandtoegang en besluit watter een jy werklik wil hê.

'n Aparte kamera-segment help wanneer die router dit duidelik kan uitdruk. Laat kyk toe vanaf die goedgekeurde pad en blokkeer die kamera om skootrekenaars en selfone te bereik.

Moenie so aggressief isoleer dat opdaterings of die kyk-werkvloei stop nie. Dokumenteer die uitsonderings eerder as om die reël later onder druk te verbreed. En onthou dat segmentering nie 'n kamera met 'n verstek-administrateurrekening of onondersteunde firmware regmaak nie; dit beperk net wat 'n gekompromitteerde kamera kan bereik.

Toets die grens van beide kante

Kwalifikasie is 'n stel waarnemings, nie 'n gevoel nie. Vanaf 'n goedgekeurde afstandkliënt, bevestig die stroom laai. Vanaf 'n nie-goedgekeurde rekening, bevestig dit laai nie. Vanaf die internet, bevestig die kamera se poort is toe.

'n Vinnige eksterne kontrole vanaf 'n gasheer buite die netwerk:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Toets dan verwydering en herbegin. Verwyder een kyker se identiteit en bevestig die app hou op werk sonder om die ander te raak. Herbegin die gateway en bevestig die roete en die weier-reëls kom terug, want 'n reël wat net in geheue bestaan is nie 'n grens nie. As openbare toegang doelbewus verwyder is, verifieer daardie weiering ook eerder as om dit te aanvaar.