Como darlle á familia acceso remoto á cámara mediante unha VPN

Tres preguntas deciden se unha cámara da casa debe ser accesible por VPN, e ningunha delas trata da marca da cámara. Quen necesita mirar, que exactamente debe alcanzar e que debe quedar fóra do seu alcance mesmo para el. Responde iso antes de mercar unha pasarela, porque as respostas determinan a forma da rede e non ao revés. Unha entrada VPN é tan privada como as rutas e as contas que lle asocias.

Decide quen entra e con que identidade

Comeza cunha lista de espectadores e dálle a cada un unha identidade VPN separada cando a pasarela o permita. As identidades separadas fan que retirar a alguén sexa unha soa acción en lugar dun cambio de contrasinal compartido por toda a familia. Un perfil compartido tamén inutiliza os rexistros, porque cada conexión parece a mesma persoa.

Anota a que ten permiso de chegar cada espectador. A resposta habitual é o servizo de visualización dunha cámara, non a páxina de administración da cámara e moito menos o router.

Esa lista é o modelo de autorización, e debería sobrevivir a un cambio de pasarela. Se un router novo non pode expresar rutas por usuario, o deseño converteuse en silencio en todo ou nada. Prefire unha pasarela que poida vincular unha identidade a un destino en lugar dunha que só reparte enderezos.

Limita a ruta a un só servizo de cámara

Unha VPN que pon o teléfono na LAN da casa concede máis que visualización. Limita o camiño permitido ao enderezo da cámara e aos portos que a súa aplicación usa de verdade. Se a aplicación necesita un broadcast de descuberta, é unha dependencia aparte que hai que permitir a propósito, non un motivo para abrir toda a subrede.

Cando a cámara non pode executar un cliente VPN, remata o túnel na pasarela e encamiña só o destino aprobado. A cámara non necesita converterse en servidor.

Unha VPN comercial de saída a internet no teléfono non é isto. Cambia de onde parece vir o tráfico do teléfono; non crea un camiño de volta á túa rede da casa. Confundir as dúas é a razón máis común de que unha instalación VPN siga sen ver a cámara.

Mantén a visualización e a administración separadas

As contas da propia cámara importan tanto como o camiño de rede. Usa un rol só de visualización para os membros correntes da familia cando o produto ofreza un, e mantén o contrasinal de administrador fóra da conversa de grupo. O filtrado de rede non pode separar dúas funcións que comparten un só oínte HTTPS, así que se a visualización e a administración viven no mesmo porto, os controis de autorización da cámara son a fronteira.

Comproba se a aplicación do fabricante usa en silencio un relé na nube para a visualización remota. Se o fai, a ruta VPN pode quedar completamente eludida.

O acceso á nube non é automaticamente incorrecto, pero debe ser unha decisión. Desactívao cando o camiño privado sexa o previsto, e ten en conta que desactivalo tamén pode desactivar actualizacións de firmware ou notificacións das que depende a aplicación.

Pecha as outras portas antes de celebralo

Quitar unha redirección de porto non demostra que a cámara sexa inaccesible desde internet. Unha asignación UPnP esquecida, unha función na nube do fabricante activada ou un segundo relé poden cada un abrir un camiño que esqueceras. Inventaría os axustes de acceso remoto admitidos e decide cales queres de verdade.

Un segmento de cámaras á parte axuda cando o router pode expresalo con claridade. Permite a visualización desde o camiño aprobado e bloquea que a cámara chegue a portátiles e teléfonos.

Non illes con tanta agresividade que se deteñan as actualizacións ou o fluxo de visualización. Documenta as excepcións en lugar de ampliar a regra máis tarde baixo presión. E lembra que a segmentación non arranxa unha cámara cunha conta de administrador por defecto ou un firmware non admitido; só limita ata onde pode chegar unha cámara comprometida.

Proba a fronteira desde ambos os lados

A cualificación é un conxunto de observacións, non unha sensación. Desde un cliente remoto aprobado, confirma que o fluxo carga. Desde unha conta non aprobada, confirma que non. Desde internet, confirma que o porto da cámara está pechado.

Unha comprobación externa rápida desde un equipo fóra da rede:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Despois proba a retirada e o reinicio. Borra a identidade dun espectador e confirma que a aplicación deixa de funcionar sen afectar os demais. Reinicia a pasarela e confirma que a ruta e as regras de denegación volven, porque unha regra que só existe na memoria non é unha fronteira. Se o acceso público se retirou a propósito, verifica tamén esa denegación en lugar de dala por feita.