VPN으로 가족에게 카메라 원격 접근 권한을 주는 방법

집 카메라를 VPN으로 접근 가능하게 해야 하는지는 세 가지 질문이 결정하며, 그중 어느 것도 카메라 브랜드에 관한 것이 아니다. 누가 봐야 하는지, 그가 정확히 무엇에 도달해야 하는지, 그리고 그에게조차 무엇이 닿지 않아야 하는지다. 게이트웨이를 사기 전에 이에 답하라. 답이 네트워크의 형태를 결정하지 그 반대가 아니다. VPN 진입점은 거기에 붙이는 경로와 계정만큼만 사적이다.

누가 들어오는지, 어떤 신원으로 들어오는지 정하라

시청자 목록으로 시작하고 게이트웨이가 지원하면 각자에게 별도의 VPN 신원을 주라. 신원을 나누면 삭제가 온 가족이 공유하는 비밀번호 변경이 아니라 한 번의 조치가 된다. 공유 프로필은 모든 연결이 같은 사람처럼 보이므로 로그도 쓸모없게 만든다.

각 시청자가 무엇에 도달하도록 허용되는지 적어 두라. 보통의 답은 카메라 한 대의 시청 서비스이며, 카메라 관리 페이지가 아니고 라우터는 더더욱 아니다.

그 목록이 권한 모델이며 게이트웨이 교체 후에도 살아남아야 한다. 새 라우터가 사용자별 경로를 표현하지 못한다면 설계는 조용히 전부-아니면-전무가 되었다. 주소만 나눠 주는 게이트웨이보다 신원을 목적지에 묶을 수 있는 게이트웨이를 선호하라.

경로를 카메라 서비스 하나로 한정하라

휴대폰을 집 LAN에 두는 VPN은 시청보다 많은 것을 허용한다. 허용 경로를 카메라 주소와 그 앱이 실제로 쓰는 포트로 한정하라. 앱이 검색 브로드캐스트를 필요로 한다면 그것은 의도적으로 허용해야 할 별개의 의존이며, 서브넷 전체를 여는 이유가 아니다.

카메라가 VPN 클라이언트를 실행할 수 없으면 게이트웨이에서 터널을 끝내고 승인된 목적지만 라우팅하라. 카메라가 서버가 될 필요는 없다.

휴대폰의 상용 인터넷 출구 VPN은 이것이 아니다. 그것은 휴대폰 트래픽이 어디서 오는 것처럼 보이는지를 바꿀 뿐, 집 네트워크로 돌아오는 경로를 만들지 않는다. 둘을 혼동하는 것이 VPN 설정이 여전히 카메라를 보지 못하는 가장 흔한 이유다.

시청과 관리를 분리하라

카메라 자체의 계정은 네트워크 경로만큼 중요하다. 제품이 제공하면 일반 가족 구성원에게는 시청 전용 역할을 쓰고, 관리자 비밀번호는 단체 채팅에 두지 마라. 네트워크 필터링은 하나의 HTTPS 리스너를 공유하는 두 기능을 분리할 수 없으므로, 시청과 관리가 같은 포트에 있다면 카메라의 권한 제어가 경계다.

벤더 앱이 원격 시청을 위해 클라우드 릴레이를 조용히 쓰는지 확인하라. 그렇다면 VPN 경로가 완전히 우회될 수 있다.

클라우드 접근이 자동으로 틀린 것은 아니지만 결정이어야 한다. 사설 경로가 의도된 것이라면 그것을 끄고, 끄면 앱이 의존하는 펌웨어 업데이트나 알림도 멈출 수 있음을 알아 두라.

축하하기 전에 다른 문을 닫아라

포트 포워딩 하나를 지웠다고 카메라가 인터넷에서 닿지 않는다는 증거는 아니다. 남은 UPnP 매핑, 켜진 벤더 클라우드 기능, 두 번째 릴레이는 각각 잊고 있던 경로를 제공할 수 있다. 지원되는 원격 접근 설정을 목록화하고 실제로 원하는 것이 무엇인지 정하라.

라우터가 명확히 표현할 수 있다면 별도 카메라 세그먼트가 도움이 된다. 승인된 경로에서의 시청을 허용하고 카메라가 노트북과 휴대폰에 도달하지 못하게 막아라.

업데이트나 시청 작업 흐름이 멈출 만큼 공격적으로 격리하지 마라. 나중에 압박을 받아 규칙을 넓히는 대신 예외를 문서화하라. 그리고 세그먼트화는 기본 관리자 계정이나 지원되지 않는 펌웨어가 있는 카메라를 고치지 않는다는 점을 기억하라. 침해된 카메라가 닿을 수 있는 범위를 제한할 뿐이다.

양쪽에서 경계를 시험하라

적합성은 느낌이 아니라 관찰의 집합이다. 승인된 원격 클라이언트에서 스트림이 로드되는지 확인하라. 승인되지 않은 계정에서는 로드되지 않는지 확인하라. 인터넷에서는 카메라 포트가 닫혀 있는지 확인하라.

네트워크 밖의 호스트에서 하는 빠른 외부 점검:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

다음으로 삭제와 재시작을 시험하라. 시청자 한 명의 신원을 지우고 앱이 다른 사람에게 영향을 주지 않은 채 작동을 멈추는지 확인하라. 게이트웨이를 재시작하고 경로와 거부 규칙이 돌아오는지 확인하라. 메모리에만 존재하는 규칙은 경계가 아니기 때문이다. 공용 접근을 의도적으로 제거했다면 그것을 가정하지 말고 그 거부도 검증하라.