Sådan giver du familien fjernadgang til kameraet over en VPN

Tre spørgsmål afgør, om et hjemmekamera skal være tilgængeligt over en VPN, og ingen af dem handler om kameraets mærke. Hvem skal se med, hvad skal de helt præcist kunne nå, og hvad skal forblive utilgængeligt selv for dem. Svar på det, før du køber en gateway, for svarene bestemmer netværkets form og ikke omvendt. En VPN-indgang er kun så privat, som de ruter og konti du knytter til den.

Beslut hvem der kommer ind, og med hvilken identitet

Start med en liste over seere og giv hver enkelt en separat VPN-identitet, når gatewayen understøtter det. Separate identiteter gør fjernelse til en enkelt handling i stedet for en adgangskodeændring, som hele familien deler. En delt profil gør også logfiler ubrugelige, fordi hver forbindelse ser ud som den samme person.

Skriv ned, hvad hver seer har lov til at nå. Det sædvanlige svar er én kameras visningstjeneste, ikke kameraets admin-side og bestemt ikke routeren.

Den liste er autorisationsmodellen, og den bør overleve en udskiftning af gatewayen. Hvis en ny router ikke kan udtrykke ruter pr. bruger, er designet stille blevet alt-eller-intet. Foretræk en gateway, der kan binde en identitet til en destination, frem for en der kun uddeler en adresse.

Afgræns ruten til én kameratjeneste

En VPN, der sætter telefonen på hjemmets LAN, giver mere end visning. Afgræns den tilladte vej til kameraets adresse og de porte, som dens app faktisk bruger. Hvis appen har brug for et discovery-broadcast, er det en separat afhængighed, som skal tillades bevidst, ikke en grund til at åbne hele subnettet.

Når kameraet ikke kan køre en VPN-klient, afslut tunnelen på gatewayen og rut kun den godkendte destination. Kameraet behøver ikke at blive en server.

En kommerciel internet-udgangs-VPN på telefonen er ikke dette. Den ændrer, hvor telefonens trafik ser ud til at komme fra; den skaber ikke en vej tilbage til dit hjemmenetværk. At forveksle de to er den mest almindelige grund til, at en VPN-opsætning stadig ikke kan se kameraet.

Hold visning og administration adskilt

Kameraets egne konti betyder lige så meget som netværksvejen. Brug en rolle kun til visning til almindelige familiemedlemmer, når produktet tilbyder en, og hold administratorens adgangskode ude af gruppechatten. Netværksfiltrering kan ikke adskille to funktioner, der deler én HTTPS-lytter, så hvis visning og administration lever på samme port, er kameraets autorisationskontroller grænsen.

Kontroller, om leverandørens app i det stille bruger et cloud-relay til fjernvisning. Hvis den gør, kan VPN-ruten blive helt omgået.

Cloudadgang er ikke automatisk forkert, men det skal være en beslutning. Deaktiver den, når den private rute er den tilsigtede, og bemærk, at deaktivering også kan deaktivere firmwareopdateringer eller notifikationer, som appen afhænger af.

Luk de andre døre, før du fejrer

At fjerne én portforwarding beviser ikke, at kameraet er utilgængeligt fra internettet. En efterladt UPnP-mapping, en aktiveret cloudfunktion fra leverandøren eller et andet relay kan hver især give en vej, du havde glemt. Kortlæg de understøttede fjernadgangsindstillinger og beslut, hvilke du faktisk vil have.

Et separat kamerasegment hjælper, når routeren kan udtrykke det klart. Tillad visning fra den godkendte vej og bloker kameraet fra at nå bærbare computere og telefoner.

Isoler ikke så aggressivt, at opdateringer eller visningsarbejdsgangen stopper. Dokumentér undtagelserne i stedet for at udvide reglen senere under pres. Og husk, at segmentering ikke retter et kamera med en standardadministratorkonto eller ikke-understøttet firmware; det begrænser kun, hvad et kompromitteret kamera kan nå.

Test grænsen fra begge sider

Kvalificering er en række observationer, ikke en følelse. Fra en godkendt fjernklient skal du bekræfte, at streamen indlæses. Fra en ikke-godkendt konto skal du bekræfte, at den ikke gør. Fra internettet skal du bekræfte, at kameraets port er lukket.

Et hurtigt eksternt tjek fra en vært uden for netværket:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Test derefter fjernelse og genstart. Slet én seers identitet og bekræft, at appen holder op med at virke uden at påvirke de andre. Genstart gatewayen og bekræft, at ruten og afvisningsreglerne vender tilbage, fordi en regel, der kun findes i hukommelsen, ikke er en grænse. Hvis offentlig adgang blev fjernet med vilje, skal du også verificere den afvisning i stedet for at antage den.