Comment offrir à la famille un accès distant à la caméra via un VPN

Trois questions décident si une caméra domestique doit être joignable via un VPN, et aucune ne porte sur la marque de la caméra. Qui doit regarder, ce qu'il doit exactement atteindre et ce qui doit rester inaccessible même pour lui. Répondez-y avant d'acheter une passerelle, car les réponses déterminent la forme du réseau et non l'inverse. Une entrée VPN n'est privée que dans la mesure des routes et des comptes que vous y rattachez.

Décidez qui entre, et avec quelle identité

Commencez par une liste de spectateurs et donnez à chacun une identité VPN distincte lorsque la passerelle le permet. Des identités séparées font du retrait une seule action au lieu d'un changement de mot de passe partagé par toute la famille. Un profil partagé rend aussi les journaux inutiles, car chaque connexion ressemble à la même personne.

Notez ce que chaque spectateur est autorisé à atteindre. La réponse habituelle est le service de visualisation d'une caméra, pas la page d'administration de la caméra et certainement pas le routeur.

Cette liste est le modèle d'autorisation, et elle devrait survivre au remplacement d'une passerelle. Si un nouveau routeur ne peut pas exprimer des routes par utilisateur, la conception est devenue discrètement tout ou rien. Préférez une passerelle qui sait lier une identité à une destination plutôt qu'une qui ne fait que distribuer une adresse.

Limitez la route à un seul service de caméra

Un VPN qui place le téléphone sur le LAN domestique accorde plus que la visualisation. Limitez le chemin autorisé à l'adresse de la caméra et aux ports que son application utilise réellement. Si l'application a besoin d'une diffusion de découverte, c'est une dépendance distincte à autoriser délibérément, pas une raison d'ouvrir tout le sous-réseau.

Quand la caméra ne peut pas exécuter de client VPN, terminez le tunnel sur la passerelle et n'acheminez que la destination approuvée. La caméra n'a pas besoin de devenir un serveur.

Un VPN commercial de sortie internet sur le téléphone n'est pas cela. Il change l'origine apparente du trafic du téléphone ; il ne crée pas de chemin de retour vers votre réseau domestique. Confondre les deux est la raison la plus fréquente pour laquelle une installation VPN ne voit toujours pas la caméra.

Séparez la visualisation et l'administration

Les comptes de la caméra comptent autant que le chemin réseau. Utilisez un rôle de visualisation seule pour les membres ordinaires de la famille lorsque le produit en propose un, et gardez le mot de passe administrateur hors de la discussion de groupe. Le filtrage réseau ne peut pas séparer deux fonctions qui partagent un même écouteur HTTPS, donc si la visualisation et l'administration vivent sur le même port, les contrôles d'autorisation de la caméra sont la frontière.

Vérifiez si l'application du fabricant utilise silencieusement un relais cloud pour la visualisation à distance. Si oui, le chemin VPN peut être entièrement contourné.

L'accès au cloud n'est pas automatiquement une erreur, mais il doit être une décision. Désactivez-le lorsque le chemin privé est celui voulu, et notez que le désactiver peut aussi désactiver des mises à jour de firmware ou des notifications dont l'application dépend.

Fermez les autres portes avant de célébrer

Retirer une redirection de port ne prouve pas que la caméra est inaccessible depuis internet. Une correspondance UPnP oubliée, une fonction cloud du fabricant activée ou un second relais peuvent chacun ouvrir un chemin que vous avez oublié. Inventoriez les réglages d'accès distant pris en charge et décidez lesquels vous voulez vraiment.

Un segment de caméras distinct aide quand le routeur sait l'exprimer clairement. Autorisez la visualisation depuis le chemin approuvé et empêchez la caméra d'atteindre les ordinateurs portables et les téléphones.

N'isolez pas si agressivement que les mises à jour ou le flux de visualisation s'arrêtent. Documentez les exceptions au lieu d'élargir la règle plus tard sous la pression. Et rappelez-vous que la segmentation ne corrige pas une caméra avec un compte administrateur par défaut ou un firmware non pris en charge ; elle limite seulement ce qu'une caméra compromise peut atteindre.

Testez la frontière des deux côtés

La qualification est un ensemble d'observations, pas un ressenti. Depuis un client distant approuvé, confirmez que le flux se charge. Depuis un compte non approuvé, confirmez que non. Depuis internet, confirmez que le port de la caméra est fermé.

Une vérification externe rapide depuis un hôte hors du réseau :

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Testez ensuite le retrait et le redémarrage. Supprimez l'identité d'un spectateur et confirmez que l'application cesse de fonctionner sans affecter les autres. Redémarrez la passerelle et confirmez que la route et les règles de refus reviennent, car une règle qui n'existe qu'en mémoire n'est pas une frontière. Si l'accès public a été retiré volontairement, vérifiez aussi ce refus au lieu de le supposer.