So geben Sie der Familie Fernzugriff auf die Kamera über ein VPN

Drei Fragen entscheiden, ob eine Heimkamera über ein VPN erreichbar sein sollte, und keine davon betrifft die Marke der Kamera. Wer muss zuschauen, was genau muss er erreichen, und was muss selbst für ihn unerreichbar bleiben. Beantworten Sie das, bevor Sie ein Gateway kaufen, denn die Antworten bestimmen die Form des Netzes und nicht umgekehrt. Ein VPN-Zugang ist nur so privat wie die Routen und Konten, die Sie daran hängen.

Legen Sie fest, wer hineinkommt und mit welcher Identität

Beginnen Sie mit einer Liste der Zuschauer und geben Sie jedem eine eigene VPN-Identität, wenn das Gateway das unterstützt. Getrennte Identitäten machen das Entfernen zu einer einzigen Aktion statt zu einer Passwortänderung, die die ganze Familie teilt. Ein gemeinsames Profil macht außerdem Protokolle nutzlos, weil jede Verbindung wie dieselbe Person aussieht.

Notieren Sie, was jeder Zuschauer erreichen darf. Die übliche Antwort ist der Anzeigedienst einer Kamera, nicht die Admin-Seite der Kamera und schon gar nicht der Router.

Diese Liste ist das Autorisierungsmodell, und sie sollte einen Gateway-Wechsel überstehen. Wenn ein neuer Router keine Routen pro Benutzer ausdrücken kann, ist das Design stillschweigend zu alles-oder-nichts geworden. Bevorzugen Sie ein Gateway, das eine Identität an ein Ziel binden kann, statt eines, das nur eine Adresse vergibt.

Begrenzen Sie die Route auf einen Kameradienst

Ein VPN, das das Telefon ins Heim-LAN bringt, gewährt mehr als Zuschauen. Begrenzen Sie den erlaubten Pfad auf die Kameraadresse und die Ports, die ihre App tatsächlich nutzt. Wenn die App einen Discovery-Broadcast braucht, ist das eine separate Abhängigkeit, die Sie bewusst erlauben sollten, kein Grund, das ganze Subnetz zu öffnen.

Wenn die Kamera keinen VPN-Client ausführen kann, beenden Sie den Tunnel am Gateway und routen Sie nur das genehmigte Ziel. Die Kamera muss kein Server werden.

Ein kommerzielles Internet-Ausgangs-VPN auf dem Telefon ist das nicht. Es ändert, woher der Datenverkehr des Telefons scheinbar kommt; es schafft keinen Pfad zurück in Ihr Heimnetz. Die beiden zu verwechseln ist der häufigste Grund, warum eine VPN-Einrichtung die Kamera immer noch nicht sieht.

Halten Sie Anzeige und Administration getrennt

Die eigenen Konten der Kamera zählen genauso viel wie der Netzwerkpfad. Verwenden Sie eine reine Anzeigerolle für normale Familienmitglieder, wenn das Produkt eine anbietet, und halten Sie das Administratorkennwort aus dem Gruppenchat. Netzwerkfilterung kann zwei Funktionen nicht trennen, die sich einen HTTPS-Listener teilen; wenn Anzeige und Administration auf demselben Port liegen, sind die Autorisierungskontrollen der Kamera die Grenze.

Prüfen Sie, ob die App des Herstellers stillschweigend ein Cloud-Relay für die Fernanzeige nutzt. Wenn ja, kann der VPN-Pfad vollständig umgangen werden.

Cloud-Zugriff ist nicht automatisch falsch, aber er muss eine Entscheidung sein. Deaktivieren Sie ihn, wenn der private Pfad der beabsichtigte ist, und beachten Sie, dass das Deaktivieren auch Firmware-Updates oder Benachrichtigungen abschalten kann, auf die die App angewiesen ist.

Schließen Sie die anderen Türen, bevor Sie feiern

Das Entfernen einer Portweiterleitung beweist nicht, dass die Kamera aus dem Internet unerreichbar ist. Eine zurückgebliebene UPnP-Zuordnung, eine aktivierte Cloud-Funktion des Herstellers oder ein zweites Relay können jeweils einen Pfad liefern, den Sie vergessen haben. Erfassen Sie die unterstützten Fernzugriffseinstellungen und entscheiden Sie, welche Sie wirklich wollen.

Ein separates Kamerasegment hilft, wenn der Router es klar ausdrücken kann. Erlauben Sie die Anzeige über den genehmigten Pfad und blockieren Sie, dass die Kamera Laptops und Telefone erreicht.

Isolieren Sie nicht so aggressiv, dass Updates oder der Anzeige-Workflow stoppen. Dokumentieren Sie die Ausnahmen, statt die Regel später unter Druck zu erweitern. Und denken Sie daran, dass Segmentierung keine Kamera mit Standard-Administratorkonto oder nicht unterstützter Firmware repariert; sie begrenzt nur, was eine kompromittierte Kamera erreichen kann.

Testen Sie die Grenze von beiden Seiten

Qualifizierung ist eine Reihe von Beobachtungen, kein Gefühl. Bestätigen Sie von einem genehmigten Remote-Client, dass der Stream lädt. Bestätigen Sie von einem nicht genehmigten Konto, dass er es nicht tut. Bestätigen Sie aus dem Internet, dass der Kameraport geschlossen ist.

Eine schnelle externe Prüfung von einem Host außerhalb des Netzwerks:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Testen Sie dann Entfernen und Neustart. Löschen Sie die Identität eines Zuschauers und bestätigen Sie, dass die App aufhört zu funktionieren, ohne die anderen zu beeinträchtigen. Starten Sie das Gateway neu und bestätigen Sie, dass die Route und die Sperrregeln zurückkommen, denn eine Regel, die nur im Speicher existiert, ist keine Grenze. Wenn der öffentliche Zugang absichtlich entfernt wurde, prüfen Sie auch diese Sperre, statt sie anzunehmen.