Cara memberi keluarga akses kamera dari jarak jauh lewat VPN

Tiga pertanyaan menentukan apakah kamera rumah sebaiknya dapat dijangkau lewat VPN, dan tidak satu pun tentang merek kamera. Siapa yang perlu menonton, apa tepatnya yang harus ia capai, dan apa yang harus tetap tidak terjangkau bahkan baginya. Jawab itu sebelum membeli gateway, karena jawabannya menentukan bentuk jaringan dan bukan sebaliknya. Pintu masuk VPN hanya seprivat rute dan akun yang Anda tempelkan padanya.

Putuskan siapa yang masuk, dan dengan identitas apa

Mulai dengan daftar penonton dan beri masing-masing identitas VPN terpisah saat gateway mendukungnya. Identitas terpisah membuat pencabutan menjadi satu tindakan alih-alih perubahan kata sandi yang dibagi seluruh keluarga. Profil bersama juga membuat log tidak berguna, karena setiap koneksi tampak seperti orang yang sama.

Tuliskan apa yang boleh dicapai setiap penonton. Jawaban biasanya layanan tampilan satu kamera, bukan halaman admin kamera dan tentu bukan router.

Daftar itu adalah model otorisasi, dan seharusnya bertahan saat gateway diganti. Jika router baru tidak dapat menyatakan rute per pengguna, desainnya diam-diam menjadi semua-atau-tidak-sama-sekali. Pilih gateway yang dapat mengikat identitas ke tujuan daripada yang hanya membagikan alamat.

Batasi rute ke satu layanan kamera

VPN yang menempatkan ponsel di LAN rumah memberi lebih dari sekadar menonton. Batasi jalur yang diizinkan ke alamat kamera dan port yang benar-benar dipakai aplikasinya. Jika aplikasi membutuhkan siaran penemuan, itu dependensi terpisah yang harus diizinkan dengan sengaja, bukan alasan membuka seluruh subnet.

Saat kamera tidak dapat menjalankan klien VPN, akhiri terowongan di gateway dan rutekan hanya tujuan yang disetujui. Kamera tidak perlu menjadi server.

VPN keluar internet komersial di ponsel bukan ini. Itu mengubah dari mana trafik ponsel tampak berasal; itu tidak membuat jalur kembali ke jaringan rumah Anda. Mencampuradukkan keduanya adalah alasan paling umum sebuah penyiapan VPN masih tidak bisa melihat kamera.

Pisahkan menonton dan administrasi

Akun kamera itu sendiri sama pentingnya dengan jalur jaringan. Gunakan peran hanya-menonton untuk anggota keluarga biasa saat produk menawarkannya, dan jauhkan kata sandi administrator dari obrolan grup. Penyaringan jaringan tidak dapat memisahkan dua fungsi yang berbagi satu listener HTTPS, jadi jika menonton dan administrasi berada di port yang sama, kendali otorisasi kamera adalah batasnya.

Periksa apakah aplikasi vendor diam-diam memakai relai cloud untuk menonton dari jarak jauh. Jika ya, jalur VPN bisa dilewati sepenuhnya.

Akses cloud tidak otomatis salah, tetapi harus menjadi keputusan. Nonaktifkan saat jalur privat yang dimaksud, dan perhatikan bahwa menonaktifkannya juga dapat menonaktifkan pembaruan firmware atau notifikasi yang diandalkan aplikasi.

Tutup pintu lain sebelum merayakan

Menghapus satu penerusan port tidak membuktikan kamera tidak terjangkau dari internet. Pemetaan UPnP yang tertinggal, fitur cloud vendor yang aktif, atau relai kedua masing-masing dapat memberi jalur yang Anda lupakan. Inventarisasi pengaturan akses jarak jauh yang didukung dan putuskan mana yang benar-benar Anda inginkan.

Segmen kamera terpisah membantu saat router dapat menyatakannya dengan jelas. Izinkan menonton dari jalur yang disetujui dan blokir kamera menjangkau laptop dan ponsel.

Jangan mengisolasi begitu agresif sampai pembaruan atau alur kerja menonton berhenti. Dokumentasikan pengecualian alih-alih memperlebar aturan nanti di bawah tekanan. Dan ingat bahwa segmentasi tidak memperbaiki kamera dengan akun administrator bawaan atau firmware yang tidak didukung; itu hanya membatasi apa yang dapat dijangkau kamera yang disusupi.

Uji batas dari kedua sisi

Kualifikasi adalah kumpulan pengamatan, bukan perasaan. Dari klien jarak jauh yang disetujui, pastikan aliran termuat. Dari akun yang tidak disetujui, pastikan tidak. Dari internet, pastikan port kamera tertutup.

Pemeriksaan eksternal cepat dari host di luar jaringan:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Lalu uji pencabutan dan mulai ulang. Hapus identitas satu penonton dan pastikan aplikasi berhenti bekerja tanpa memengaruhi yang lain. Mulai ulang gateway dan pastikan rute serta aturan penolakan kembali, karena aturan yang hanya ada di memori bukan batas. Jika akses publik sengaja dihapus, verifikasi juga penolakan itu alih-alih mengasumsikannya.