Kiel doni al la familio malproksiman aliron al la kamerao per VPN

Tri demandoj decidas, ĉu hejma kamerao estu atingebla per VPN, kaj neniu el ili temas pri la marko de la kamerao. Kiu devas rigardi, kion ĝuste ili devas atingi, kaj kio devas resti neatingebla eĉ por ili. Respondu tion antaŭ ol aĉeti enirejon, ĉar la respondoj difinas la formon de la reto, ne inverse. VPN-enirejo estas nur tiom privata, kiom la vojoj kaj kontoj, kiujn vi alligas al ĝi.

Decidu, kiu eniras, kaj kun kiu identeco

Komencu per listo de spektantoj kaj donu al ĉiu apartan VPN-identecon, se la enirejo tion subtenas. Apartaj identecoj faras forigon unuopa ago anstataŭ pasvorta ŝanĝo kunhavigata de la tuta familio. Kunhavigita profilo ankaŭ faras protokolojn senutilaj, ĉar ĉiu konekto aspektas kiel la sama persono.

Skribu, kion ĉiu spektanto rajtas atingi. La kutima respondo estas la spektoservo de unu kamerao, ne la administra paĝo de la kamerao kaj certe ne la enkursignilo.

Tiu listo estas la rajtiga modelo, kaj ĝi devus postvivi anstataŭigon de la enirejo. Se nova enkursignilo ne povas esprimi vojojn laŭ uzanto, la dezajno silente fariĝis ĉio-aŭ-nenio. Preferu enirejon, kiu povas ligi identecon al celo, anstataŭ unu, kiu nur disdonas adreson.

Limigu la vojon al unu kameraa servo

VPN, kiu metas la telefonon en la hejman LAN, donas pli ol spektadon. Limigu la permesitan vojon al la adreso de la kamerao kaj al la pordoj, kiujn ĝia aplikaĵo vere uzas. Se la aplikaĵo bezonas malkovran dissendon, tio estas aparta dependeco, kiun oni permesu konscie, ne kialo malfermi la tutan subreton.

Kiam la kamerao ne povas ruli VPN-klienton, finu la tunelon ĉe la enirejo kaj enkursigu nur la aprobitan celon. La kamerao ne bezonas fariĝi servilo.

Komerca interreta elira VPN sur la telefono ne estas tio. Ĝi ŝanĝas, de kie la trafiko de la telefono ŝajne venas; ĝi ne kreas vojon reen en vian hejman reton. Konfuzi la du estas la plej ofta kialo, ke VPN-agordo ankoraŭ ne vidas la kameraon.

Tenu spektadon kaj administradon aparte

La propraj kontoj de la kamerao gravas same kiel la reta vojo. Uzu rolon nur por spektado por ordinaraj familiaj membroj, kiam la produkto proponas tian, kaj tenu la administran pasvorton ekster la grupa babilejo. Reta filtrado ne povas apartigi du funkciojn, kiuj kunhavigas unu HTTPS-auskultanton, do se spektado kaj administrado loĝas sur la sama pordo, la rajtigaj kontroloj de la kamerao estas la limo.

Kontrolu, ĉu la aplikaĵo de la vendisto silente uzas nuban relajson por malproksima spektado. Se jes, la VPN-vojo povas esti tute preterpasita.

Nuba aliro ne estas aŭtomate malĝusta, sed ĝi devas esti decido. Malŝaltu ĝin, kiam la privata vojo estas la celata, kaj notu, ke malŝaltado ankaŭ povas malŝalti firmvarajn ĝisdatigojn aŭ sciigojn, de kiuj la aplikaĵo dependas.

Fermu la aliajn pordojn antaŭ ol festi

Forigi unu pordan plusendadon ne pruvas, ke la kamerao estas neatingebla el la interreto. Restinta UPnP-mapado, ŝaltita nuba funkcio de la vendisto aŭ dua relajso povas ĉiu doni vojon, kiun vi forgesis. Inventaru la subtenatajn agordojn de malproksima aliro kaj decidu, kiujn vi vere volas.

Aparta kameraa segmento helpas, kiam la enkursignilo povas esprimi ĝin klare. Permesu spektadon el la aprobita vojo kaj bloku la kameraon atingi tekokomputilojn kaj telefonojn.

Ne izolu tiel agreseme, ke ĝisdatigoj aŭ la spektada laborfluo haltu. Dokumentu la esceptojn anstataŭ poste larĝigi la regulon sub premo. Kaj memoru, ke segmentado ne riparas kameraon kun defaŭlta administra konto aŭ nesubtenata firmvaro; ĝi nur limigas, kion kompromitita kamerao povas atingi.

Testu la limon de ambaŭ flankoj

Kvalifiko estas aro de observoj, ne sento. De aprobita malproksima kliento, konfirmu, ke la fluo ŝargiĝas. De neaprobita konto, konfirmu, ke ĝi ne ŝargiĝas. El la interreto, konfirmu, ke la pordo de la kamerao estas fermita.

Rapida ekstera kontrolo de gastiganto ekster la reto:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Poste testu forigon kaj restartigon. Forigu la identecon de unu spektanto kaj konfirmu, ke la aplikaĵo ĉesas funkcii sen influi la aliajn. Restartigu la enirejon kaj konfirmu, ke la vojo kaj la malpermesaj reguloj revenas, ĉar regulo, kiu ekzistas nur en memoro, ne estas limo. Se publika aliro estis intence forigita, kontrolu ankaŭ tiun malpermeson anstataŭ supozi ĝin.