Jak dát rodině vzdálený přístup ke kameře přes VPN

O tom, zda má být domácí kamera dostupná přes VPN, rozhodují tři otázky a ani jedna z nich se netýká značky kamery. Kdo se má dívat, k čemu přesně se má dostat a co má zůstat nedostupné i pro něj. Odpovězte na to před koupí brány, protože odpovědi určují podobu sítě, a ne naopak. Vstup přes VPN je jen tak soukromý, jak soukromé jsou trasy a účty, které k němu připojíte.

Rozhodněte, kdo dovnitř a s jakou identitou

Začněte seznamem diváků a každému dejte samostatnou identitu VPN, pokud to brána podporuje. Samostatné identity dělají z odebrání jednu akci místo změny hesla sdílené celou rodinou. Sdílený profil také dělá záznamy nepoužitelné, protože každé připojení vypadá jako stejná osoba.

Zapište, k čemu má každý divák přístup. Obvyklá odpověď je služba prohlížení jedné kamery, ne administrační stránka kamery a rozhodně ne router.

Tento seznam je model autorizace a měl by přežít výměnu brány. Pokud nový router neumí vyjádřit trasy pro jednotlivé uživatele, návrh se tiše stal vším nebo ničím. Dejte přednost bráně, která umí svázat identitu s cílem, před tou, která jen přiděluje adresu.

Omezujte trasu na jednu službu kamery

VPN, která dá telefon do domácí LAN, poskytuje víc než prohlížení. Omezte povolenou cestu na adresu kamery a porty, které její aplikace skutečně používá. Pokud aplikace potřebuje broadcast pro zjišťování, je to samostatná závislost, kterou je třeba povolit vědomě, ne důvod otevřít celou podsíť.

Když kamera neumí spustit VPN klienta, ukončete tunel na bráně a směrujte jen schválený cíl. Kamera se nemusí stát serverem.

Komerční VPN pro výstup do internetu v telefonu není tohle. Mění, odkud provoz telefonu zdánlivě přichází; nevytváří cestu zpět do vaší domácí sítě. Záměna těchto dvou věcí je nejčastějším důvodem, proč nastavení VPN kameru stále nevidí.

Držte prohlížení a správu oddělené

Vlastní účty kamery jsou stejně důležité jako síťová cesta. Pro běžné členy rodiny používejte roli jen pro prohlížení, když ji produkt nabízí, a heslo správce držte mimo skupinový chat. Síťové filtrování nedokáže oddělit dvě funkce, které sdílejí jeden HTTPS posluchač, takže pokud prohlížení a správa žijí na stejném portu, hranicí jsou autorizační kontroly kamery.

Zkontrolujte, zda aplikace výrobce tiše nepoužívá cloudový relay pro vzdálené prohlížení. Pokud ano, cesta přes VPN může být zcela obejita.

Cloudový přístup není automaticky špatný, ale musí to být rozhodnutí. Vypněte ho, když je zamýšlená soukromá cesta, a pamatujte, že vypnutí může také vypnout aktualizace firmwaru nebo oznámení, na kterých aplikace závisí.

Zavřete ostatní dveře, než budete slavit

Odstranění jednoho přesměrování portu neprokazuje, že kamera není z internetu dostupná. Zbytkové mapování UPnP, zapnutá cloudová funkce výrobce nebo druhý relay mohou každý poskytnout cestu, na kterou jste zapomněli. Zinventarizujte podporovaná nastavení vzdáleného přístupu a rozhodněte, která skutečně chcete.

Samostatný segment pro kamery pomůže, když ho router umí jasně vyjádřit. Povolte prohlížení ze schválené cesty a zablokujte kameře přístup k notebookům a telefonům.

Neizolujte tak agresivně, že se zastaví aktualizace nebo pracovní postup prohlížení. Dokumentujte výjimky, místo abyste pravidlo později pod tlakem rozšiřovali. A pamatujte, že segmentace neopraví kameru s výchozím účtem správce nebo nepodporovaným firmwarem; jen omezuje, kam se kompromitovaná kamera dostane.

Otestujte hranici z obou stran

Kvalifikace je soubor pozorování, ne pocit. Ze schváleného vzdáleného klienta ověřte, že se stream načte. Z neschváleného účtu ověřte, že ne. Z internetu ověřte, že port kamery je zavřený.

Rychlá vnější kontrola z hostitele mimo síť:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Potom otestujte odebrání a restart. Smažte identitu jednoho diváka a ověřte, že aplikace přestane fungovat, aniž by to ovlivnilo ostatní. Restartujte bránu a ověřte, že se trasa a pravidla zamítnutí vrátí, protože pravidlo, které existuje jen v paměti, není hranice. Pokud byl veřejný přístup záměrně odstraněn, ověřte i toto zamítnutí, místo abyste ho předpokládali.