Com donar a la família accés remot a la càmera per VPN

Tres preguntes decideixen si una càmera de casa ha de ser accessible per VPN, i cap d'elles no tracta de la marca de la càmera. Qui ha de mirar, a què exactament ha d'arribar i què ha de quedar fora del seu abast. Respon això abans de comprar una passarel·la, perquè les respostes determinen la forma de la xarxa i no a l'inrevés. Una entrada VPN és tan privada com les rutes i els comptes que hi associes.

Decideix qui entra i amb quina identitat

Comença amb una llista d'espectadors i dona a cadascun una identitat VPN separada quan la passarel·la ho admeti. Les identitats separades fan que retirar algú sigui una sola acció en lloc d'un canvi de contrasenya compartit per tota la família. Un perfil compartit també fa inútils els registres, perquè cada connexió sembla la mateixa persona.

Anota a què té permís d'arribar cada espectador. La resposta habitual és el servei de visualització d'una càmera, no la pàgina d'administració de la càmera i molt menys el router.

Aquesta llista és el model d'autorització, i hauria de sobreviure a un canvi de passarel·la. Si un router nou no pot expressar rutes per usuari, el disseny s'ha convertit en silenci en tot o res. Prefereix una passarel·la que pugui lligar una identitat a una destinació en lloc d'una que només reparteix adreces.

Limita la ruta a un sol servei de càmera

Una VPN que posa el telèfon a la LAN de casa dona més que visualització. Limita el camí permès a l'adreça de la càmera i als ports que la seva aplicació fa servir de veritat. Si l'aplicació necessita un broadcast de descoberta, és una dependència separada que cal permetre expressament, no un motiu per obrir tota la subxarxa.

Quan la càmera no pot executar un client VPN, acaba el túnel a la passarel·la i encamina només la destinació aprovada. La càmera no cal que es converteixi en servidor.

Una VPN comercial de sortida a internet al telèfon no és això. Canvia d'on sembla que ve el trànsit del telèfon; no crea un camí de tornada a la teva xarxa de casa. Confondre les dues és el motiu més habitual que una configuració VPN encara no vegi la càmera.

Mantén la visualització i l'administració separades

Els comptes propis de la càmera importen tant com el camí de xarxa. Fes servir un rol només de visualització per als membres ordinaris de la família quan el producte n'ofereixi un, i mantén la contrasenya d'administrador fora del xat de grup. El filtratge de xarxa no pot separar dues funcions que comparteixen un sol oient HTTPS, així que si la visualització i l'administració viuen al mateix port, els controls d'autorització de la càmera són la frontera.

Comprova si l'aplicació del fabricant fa servir en silenci un relé al núvol per a la visualització remota. Si ho fa, el camí VPN pot quedar completament eludit.

L'accés al núvol no és automàticament incorrecte, però ha de ser una decisió. Desactiva'l quan el camí privat sigui el previst, i tingues present que desactivar-lo també pot desactivar actualitzacions de firmware o notificacions de les quals depèn l'aplicació.

Tanca les altres portes abans de celebrar-ho

Treure una redirecció de port no demostra que la càmera sigui inaccessible des d'internet. Una assignació UPnP oblidada, una funció al núvol del fabricant activada o un segon relé poden cadascun obrir un camí que havies oblidat. Inventaria la configuració d'accés remot admesa i decideix quines vols de veritat.

Un segment de càmeres a part ajuda quan el router el pot expressar amb claredat. Permet la visualització des del camí aprovat i bloqueja que la càmera arribi als portàtils i als telèfons.

No aïllis tan agressivament que s'aturin les actualitzacions o el flux de visualització. Documenta les excepcions en lloc d'ampliar la regla més tard sota pressió. I recorda que la segmentació no arregla una càmera amb un compte d'administrador per defecte o un firmware no admès; només limita fins on pot arribar una càmera compromesa.

Prova la frontera des de tots dos costats

La qualificació és un conjunt d'observacions, no una sensació. Des d'un client remot aprovat, confirma que el flux carrega. Des d'un compte no aprovat, confirma que no. Des d'internet, confirma que el port de la càmera és tancat.

Una comprovació externa ràpida des d'un amfitrió fora de la xarxa:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Després prova la retirada i el reinici. Esborra la identitat d'un espectador i confirma que l'aplicació deixa de funcionar sense afectar els altres. Reinicia la passarel·la i confirma que la ruta i les regles de denegació tornen, perquè una regla que només existeix a la memòria no és una frontera. Si l'accés públic es va retirar expressament, verifica també aquesta denegació en lloc de donar-la per feta.