איך לתת למשפחה גישה מרחוק למצלמה דרך VPN

שלוש שאלות קובעות אם מצלמת בית צריכה להיות נגישה דרך VPN, ואף אחת מהן לא עוסקת במותג המצלמה. מי צריך לצפות, למה בדיוק הוא צריך להגיע, ומה צריך להישאר בלתי נגיש אפילו עבורו. ענו על זה לפני שקונים שער, כי התשובות קובעות את צורת הרשת ולא להפך. כניסת VPN פרטית בדיוק כמו המסלולים והחשבונות שאתם מחברים אליה.

החליטו מי נכנס, ובאיזו זהות

התחילו ברשימת צופים ותנו לכל אחד זהות VPN נפרדת כשהשער תומך בכך. זהויות נפרדות הופכות הסרה לפעולה אחת במקום שינוי סיסמה שמשפחה שלמה חולקת. פרופיל משותף גם הופך יומנים לחסרי תועלת, כי כל חיבור נראה כמו אותו אדם.

רשמו למה כל צופה רשאי להגיע. התשובה הרגילה היא שירות הצפייה של מצלמה אחת, לא עמוד הניהול של המצלמה ובוודאי לא הנתב.

הרשימה הזאת היא מודל ההרשאה, והיא צריכה לשרוד החלפת שער. אם נתב חדש לא יכול לבטא מסלולים לפי משתמש, העיצוב הפך בשקט להכול-או-כלום. העדיפו שער שיכול לקשור זהות ליעד במקום כזה שרק מחלק כתובת.

הגבילו את המסלול לשירות מצלמה אחד

VPN שמכניס את הטלפון ל-LAN הביתי מעניק יותר מצפייה. הגבילו את המסלול המותר לכתובת המצלמה ולפורטים שהאפליקציה שלה באמת משתמשת בהם. אם האפליקציה צריכה שידור גילוי, זו תלות נפרדת שצריך לאשר במכוון, לא סיבה לפתוח את כל תת-הרשת.

כשהמצלמה לא יכולה להריץ לקוח VPN, סיימו את המנהרה בשער ונתבו רק את היעד המאושר. המצלמה לא צריכה להפוך לשרת.

VPN מסחרי ליציאת אינטרנט בטלפון הוא לא זה. הוא משנה מאיפה נראה שהתעבורה של הטלפון מגיעה; הוא לא יוצר מסלול חזרה לרשת הביתית שלכם. ערבוב בין השניים הוא הסיבה הנפוצה ביותר לכך שהגדרת VPN עדיין לא רואה את המצלמה.

הפרידו בין צפייה לניהול

החשבונות של המצלמה עצמה חשובים לא פחות ממסלול הרשת. השתמשו בתפקיד צפייה בלבד לבני משפחה רגילים כשהמוצר מציע אחד, ושמרו את סיסמת המנהל מחוץ לצ'אט הקבוצתי. סינון רשת לא יכול להפריד בין שתי פונקציות שחולקות מאזין HTTPS אחד, לכן אם צפייה וניהול חיים באותו פורט, בקרות ההרשאה של המצלמה הן הגבול.

בדקו אם האפליקציה של היצרן משתמשת בשקט בממסר ענן לצפייה מרחוק. אם כן, ייתכן שמסלול ה-VPN נעקף לגמרי.

גישה לענן אינה שגויה אוטומטית, אבל היא צריכה להיות החלטה. השביתו אותה כשהמסלול הפרטי הוא המיועד, וזכרו שהשבתה עשויה גם להשבית עדכוני קושחה או התראות שהאפליקציה תלויה בהן.

סגרו את הדלתות האחרות לפני החגיגה

הסרת הפניית פורט אחת אינה מוכיחה שהמצלמה אינה נגישה מהאינטרנט. מיפוי UPnP שנשאר, תכונת ענן מופעלת של היצרן, או ממסר שני יכולים כל אחד לספק מסלול ששכחתם. עשו מלאי של הגדרות הגישה מרחוק הנתמכות והחליטו אילו מהן אתם באמת רוצים.

סגמנט מצלמות נפרד עוזר כשהנתב יכול לבטא אותו בבירור. אפשרו צפייה מהמסלול המאושר וחסמו את המצלמה מלהגיע למחשבים ניידים וטלפונים.

אל תבדדו באגרסיביות כזו שעדכונים או זרימת העבודה של הצפייה ייעצרו. תעדו את החריגים במקום להרחיב את הכלל מאוחר יותר תחת לחץ. וזכרו שסגמנטציה לא מתקנת מצלמה עם חשבון מנהל ברירת מחדל או קושחה לא נתמכת; היא רק מגבילה למה מצלמה שנפרצה יכולה להגיע.

בדקו את הגבול משני הצדדים

הסמכה היא סט של תצפיות, לא תחושה. מלקוח מרוחק מאושר, ודאו שהזרם נטען. מחשבון לא מאושר, ודאו שהוא לא. מהאינטרנט, ודאו שפורט המצלמה סגור.

בדיקה חיצונית מהירה ממארח מחוץ לרשת:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

אחר כך בדקו הסרה והפעלה מחדש. מחקו זהות של צופה אחד וודאו שהאפליקציה מפסיקה לעבוד בלי להשפיע על האחרים. הפעילו מחדש את השער וודאו שהמסלול וכללי החסימה חוזרים, כי כלל שקיים רק בזיכרון אינו גבול. אם גישה ציבורית הוסרה במכוון, אמתו גם את החסימה הזו במקום להניח אותה.