Cara memberi keluarga akses kamera jauh melalui VPN

Tiga soalan menentukan sama ada kamera rumah patut boleh dicapai melalui VPN, dan tiada satu pun tentang jenama kamera. Siapa perlu menonton, apa sebenarnya yang perlu dicapai dan apa yang mesti kekal tidak tercapai walaupun olehnya. Jawab perkara itu sebelum membeli gateway, kerana jawapan menentukan bentuk rangkaian dan bukan sebaliknya. Pintu masuk VPN hanya seperibadi laluan dan akaun yang anda kaitkan dengannya.

Tentukan siapa masuk, dan dengan identiti apa

Mulakan dengan senarai penonton dan beri setiap seorang identiti VPN berasingan apabila gateway menyokongnya. Identiti berasingan menjadikan pembuangan satu tindakan dan bukan perubahan kata laluan yang dikongsi seluruh keluarga. Profil dikongsi juga menjadikan log tidak berguna, kerana setiap sambungan kelihatan seperti orang yang sama.

Catat apa yang setiap penonton dibenarkan capai. Jawapan biasa ialah perkhidmatan tonton satu kamera, bukan halaman pentadbir kamera dan pasti bukan penghala.

Senarai itu ialah model kebenaran, dan ia harus bertahan apabila gateway diganti. Jika penghala baharu tidak dapat menyatakan laluan mengikut pengguna, reka bentuk itu senyap-senyap menjadi semua-atau-tiada. Utamakan gateway yang boleh mengikat identiti kepada destinasi daripada yang hanya mengagihkan alamat.

Hadkan laluan kepada satu perkhidmatan kamera

VPN yang meletakkan telefon pada LAN rumah memberi lebih daripada menonton. Hadkan laluan yang dibenarkan kepada alamat kamera dan port yang benar-benar digunakan oleh aplikasinya. Jika aplikasi memerlukan siaran penemuan, itu kebergantungan berasingan yang mesti dibenarkan dengan sengaja, bukan alasan untuk membuka seluruh subnet.

Apabila kamera tidak dapat menjalankan klien VPN, tamatkan terowong di gateway dan hala tuju hanya destinasi yang diluluskan. Kamera tidak perlu menjadi pelayan.

VPN keluar internet komersial pada telefon bukan ini. Ia mengubah dari mana trafik telefon kelihatan datang; ia tidak mencipta laluan kembali ke rangkaian rumah anda. Mengelirukan kedua-duanya ialah sebab paling biasa sesuatu persediaan VPN masih tidak nampak kamera.

Asingkan tontonan dan pentadbiran

Akaun kamera itu sendiri sama pentingnya dengan laluan rangkaian. Gunakan peranan hanya-tonton untuk ahli keluarga biasa apabila produk menawarkannya, dan jauhkan kata laluan pentadbir daripada sembang kumpulan. Penapisan rangkaian tidak dapat memisahkan dua fungsi yang berkongsi satu pendengar HTTPS, jadi jika tontonan dan pentadbiran berada pada port yang sama, kawalan kebenaran kamera itulah sempadannya.

Semak sama ada aplikasi vendor menggunakan geganti awan secara senyap untuk tontonan jauh. Jika ya, laluan VPN mungkin dipintas sepenuhnya.

Akses awan bukan automatik salah, tetapi ia mesti satu keputusan. Lumpuhkan apabila laluan peribadi ialah yang dimaksudkan, dan ambil perhatian bahawa melumpuhkannya mungkin juga melumpuhkan kemas kini firmware atau pemberitahuan yang bergantung pada aplikasi itu.

Tutup pintu lain sebelum meraikan

Membuang satu pemajuan port tidak membuktikan kamera tidak tercapai dari internet. Pemetaan UPnP yang tertinggal, ciri awan vendor yang diaktifkan, atau geganti kedua masing-masing boleh memberi laluan yang anda lupa. Inventori tetapan akses jauh yang disokong dan tentukan mana yang benar-benar anda mahu.

Segmen kamera berasingan membantu apabila penghala dapat menyatakannya dengan jelas. Benarkan tontonan dari laluan yang diluluskan dan sekat kamera daripada mencapai komputer riba dan telefon.

Jangan asingkan sehingga kemas kini atau aliran kerja tontonan berhenti. Dokumenkan pengecualian dan bukan melebarkan peraturan kemudian di bawah tekanan. Dan ingat bahawa segmentasi tidak membaiki kamera yang mempunyai akaun pentadbir lalai atau firmware tidak disokong; ia hanya mengehadkan apa yang boleh dicapai oleh kamera yang diceroboh.

Uji sempadan dari kedua-dua belah

Kelayakan ialah satu set pemerhatian, bukan perasaan. Daripada klien jauh yang diluluskan, sahkan suapan dimuatkan. Daripada akaun yang tidak diluluskan, sahkan ia tidak dimuatkan. Dari internet, sahkan port kamera ditutup.

Pemeriksaan luaran pantas dari hos di luar rangkaian:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Kemudian uji pembuangan dan mula semula. Padam identiti seorang penonton dan sahkan aplikasi berhenti berfungsi tanpa menjejaskan yang lain. Mulakan semula gateway dan sahkan laluan serta peraturan penafian kembali, kerana peraturan yang wujud hanya dalam ingatan bukan sempadan. Jika akses awam sengaja dibuang, sahkan penafian itu juga dan bukan menganggapnya.