Як даць сям'і аддалены доступ да камеры праз VPN

Тры пытанні вырашаюць, ці павінна хатняя камера быць дасяжнай праз VPN, і ні адно з іх не пра марку камеры. Хто павінен глядзець, да чаго менавіта ён павінен дабрацца і што павінна застацца недасяжным нават для яго. Адказвайце на гэта перад купляй шлюза, бо адказы вызначаюць форму сеткі, а не наадварот. Уваход праз VPN такі ж прыватны, як маршруты і ўліковыя запісы, якія вы да яго далучаеце.

Вызначце, хто ўваходзіць і з якім ідэнтыфікатарам

Пачніце са спісу гледачоў і дайце кожнаму асобны VPN-ідэнтыфікатар, калі шлюз гэта падтрымлівае. Асобныя ідэнтыфікатары робяць выдаленне адзіным дзеяннем замест змены пароля, які дзеліць уся сям'я. Агульны профіль таксама робіць журналы бескарыснымі, бо кожнае злучэнне выглядае як той жа чалавек.

Запішыце, да чаго кожнаму гледачу дазволена дабрацца. Звычайны адказ — служба прагляду адной камеры, а не адмін-старонка камеры і тым больш не маршрутызатар.

Гэты спіс — мадэль аўтарызацыі, і ён павінен перажыць замену шлюза. Калі новы маршрутызатар не можа выказаць маршруты для асобных карыстальнікаў, дызайн ціха стаў усё-або-нічога. Аддавайце перавагу шлюзу, які можа прывязаць ідэнтыфікатар да прызначэння, а не таму, які толькі выдае адрас.

Абмяжуйце маршрут адной службай камеры

VPN, які змяшчае тэлефон у хатнюю LAN, дае больш за прагляд. Абмяжуйце дазволены шлях адрасам камеры і портамі, якія яе праграма фактычна выкарыстоўвае. Калі праграме патрэбна шырокавяшчальнае выяўленне, гэта асобная залежнасць, якую трэба дазволіць свядома, а не прычына адкрываць усю падсетку.

Калі камера не можа запускаць VPN-кліент, завяршыце тунэль на шлюзе і маршрутызуйце толькі ўзгодненае прызначэнне. Камера не павінна станавіцца серверам.

Камерцыйны VPN для выхаду ў інтэрнэт на тэлефоне — гэта не тое. Ён змяняе тое, адкуль нібыта ідзе трафік тэлефона; ён не стварае шлях назад у вашу хатнюю сетку. Блытаніна паміж гэтымі двума — самая распаўсюджаная прычына, чаму налада VPN усё яшчэ не бачыць камеру.

Трымайце прагляд і адміністраванне асобна

Уласныя ўліковыя запісы камеры важныя не менш за сеткавы шлях. Выкарыстоўвайце роль толькі для прагляду для звычайных членаў сям'і, калі прадукт яе прапануе, і трымайце пароль адміністратара па-за групавым чатам. Сеткавая фільтрацыя не можа падзяліць дзве функцыі, якія дзеляць адзін HTTPS-слухач, таму калі прагляд і адміністраванне жывуць на адным порце, мяжой з'яўляюцца сродкі аўтарызацыі камеры.

Праверце, ці праграма пастаўшчыка моўчкі выкарыстоўвае хмарны рэлей для аддаленага прагляду. Калі так, шлях праз VPN можа быць цалкам абыйдзены.

Хмарны доступ не аўтаматычна памылковы, але ён павінен быць рашэннем. Адключыце яго, калі прыватны шлях — мэтавы, і ўлічыце, што адключэнне можа таксама адключыць абнаўленні прашыўкі або апавяшчэнні, ад якіх залежыць праграма.

Зачыніце іншыя дзверы, перш чым святкаваць

Выдаленне аднаго пракідання порта не даказвае, што камера недасяжная з інтэрнэту. Пакінутае адлюстраванне UPnP, уключаная хмарная функцыя пастаўшчыка або другі рэлей — кожнае можа даць шлях, пра які вы забыліся. Праінвентарызуйце падтрыманыя налады аддаленага доступу і вырашыце, якія з іх вам сапраўды патрэбны.

Асобны сегмент камеры дапамагае, калі маршрутызатар можа ясна яго выказаць. Дазвольце прагляд з узгодненага шляху і заблакуйце камеры доступ да ноўтбукаў і тэлефонаў.

Не ізалюйце так агрэсіўна, каб абнаўленні або працэс прагляду спыніліся. Дакументуйце выключэнні замест таго, каб пазней пашыраць правіла пад ціскам. І памятайце, што сегментацыя не выправіць камеру з стандартным уліковым запісам адміністратара або непадтрыманай прашыўкай; яна толькі абмяжоўвае, да чаго можа дабрацца скампраметаваная камера.

Праверце мяжу з абодвух бакоў

Кваліфікацыя — гэта набор назіранняў, а не пачуццё. З узгодненага аддаленага кліента пераканайцеся, што паток загружаецца. З неўзгодненага ўліковага запісу пераканайцеся, што не. З інтэрнэту пераканайцеся, што порт камеры зачынены.

Хуткая знешняя праверка з хоста па-за сеткай:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Затым праверце выдаленне і перазапуск. Выдаліце ідэнтыфікатар аднаго гледача і пераканайцеся, што праграма перастае працаваць, не закранаючы іншых. Перазапусціце шлюз і пераканайцеся, што маршрут і правілы забароны вяртаюцца, бо правіла, якое існуе толькі ў памяці, — не мяжа. Калі публічны доступ быў наўмысна выдалены, праверце і гэтую забарону, а не мяркуйце пра яе.