Как да дадете на семейството отдалечен достъп до камера през VPN

Три въпроса решават дали домашна камера трябва да е достъпна през VPN и нито един от тях не е за марката на камерата. Кой трябва да гледа, до какво точно трябва да стигне и какво трябва да остане недостъпно дори за него. Отговорете на тях, преди да купите шлюз, защото отговорите определят формата на мрежата, а не обратното. Входът през VPN е точно толкова частен, колкото маршрутите и акаунтите, които прикачите към него.

Решете кой влиза и с каква самоличност

Започнете със списък на зрителите и дайте на всеки отделна VPN самоличност, когато шлюзът я поддържа. Отделните самоличности правят премахването едно действие вместо смяна на парола, споделена от цялото семейство. Споделеният профил също прави журналите безполезни, защото всяка връзка изглежда като един и същ човек.

Запишете до какво има право да стигне всеки зрител. Обичайният отговор е услугата за гледане на една камера, а не администраторската страница на камерата и със сигурност не рутера.

Този списък е моделът на оторизация и трябва да преживее подмяна на шлюза. Ако нов рутер не може да изрази маршрути за отделни потребители, дизайнът тихо е станал всичко-или-нищо. Предпочитайте шлюз, който може да обвърже самоличност с дестинация, а не такъв, който само раздава адрес.

Ограничете маршрута до една услуга на камерата

VPN, който поставя телефона в домашната LAN, дава повече от гледане. Ограничете разрешения път до адреса на камерата и портовете, които приложението й наистина използва. Ако приложението се нуждае от broadcast за откриване, това е отделна зависимост, която да разрешите умишлено, а не причина да отворите цялата подмрежа.

Когато камерата не може да стартира VPN клиент, прекратете тунела на шлюза и маршрутизирайте само одобрената дестинация. Камерата не трябва да става сървър.

Търговски VPN за изход към интернет на телефона не е това. Той променя откъде изглежда, че идва трафикът на телефона; не създава път обратно към домашната ви мрежа. Объркването на двете е най-честата причина една VPN настройка все още да не вижда камерата.

Дръжте гледането и администрирането отделно

Собствените акаунти на камерата са също толкова важни, колкото мрежовият път. Използвайте роля само за гледане за обикновените членове на семейството, когато продуктът предлага такава, и дръжте паролата на администратора извън груповия чат. Мрежовата филтрация не може да раздели две функции, които споделят един HTTPS слушател, така че ако гледането и администрирането живеят на един порт, границата са контролите за оторизация на камерата.

Проверете дали приложението на доставчика тихо използва облачен релей за отдалечено гледане. Ако да, VPN пътят може да бъде напълно заобиколен.

Облачният достъп не е автоматично грешен, но трябва да е решение. Изключете го, когато частният път е предвиденият, и имайте предвид, че изключването може да изключи и актуализации на фърмуера или известия, от които приложението зависи.

Затворете другите врати, преди да празнувате

Премахването на едно пренасочване на порт не доказва, че камерата е недостъпна от интернет. Остатъчно UPnP съпоставяне, включена облачна функция на доставчика или втори релей — всяко може да даде път, който сте забравили. Направете инвентар на поддържаните настройки за отдалечен достъп и решете кои всъщност искате.

Отделен сегмент за камерата помага, когато рутерът може да го изрази ясно. Разрешете гледане от одобрения път и блокирайте камерата да стига до лаптопи и телефони.

Не изолирайте толкова агресивно, че актуализациите или работният поток за гледане да спрат. Документирайте изключенията, вместо по-късно да разширявате правилото под натиск. И помнете, че сегментирането не поправя камера с акаунт по подразбиране за администратор или неподдържан фърмуер; то само ограничава до какво може да стигне компрометирана камера.

Тествайте границата от двете страни

Квалификацията е набор от наблюдения, а не усещане. От одобрен отдалечен клиент потвърдете, че потокът се зарежда. От неодобрен акаунт потвърдете, че не. От интернет потвърдете, че портът на камерата е затворен.

Бърза външна проверка от хост извън мрежата:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

След това тествайте премахване и рестарт. Изтрийте самоличността на един зрител и потвърдете, че приложението спира да работи, без да засяга останалите. Рестартирайте шлюза и потвърдете, че маршрутът и правилата за отказ се връщат, защото правило, което съществува само в паметта, не е граница. Ако публичният достъп е бил умишлено премахнат, проверете и този отказ, вместо да го предполагате.