Hoe u de familie op afstand toegang geeft tot de camera via een VPN

Drie vragen bepalen of een huiscamera via een VPN bereikbaar moet zijn, en geen ervan gaat over het merk van de camera. Wie moet er kijken, wat precies moet hij bereiken, en wat moet zelfs voor hem onbereikbaar blijven. Beantwoord dat voordat u een gateway koopt, want de antwoorden bepalen de vorm van het netwerk en niet andersom. Een VPN-ingang is alleen zo privé als de routes en accounts die u eraan koppelt.

Bepaal wie binnenkomt, en met welke identiteit

Begin met een lijst van kijkers en geef ieder een aparte VPN-identiteit wanneer de gateway dat ondersteunt. Aparte identiteiten maken verwijderen één handeling in plaats van een wachtwoordwijziging die het hele gezin deelt. Een gedeeld profiel maakt ook logboeken nutteloos, omdat elke verbinding er als dezelfde persoon uitziet.

Schrijf op wat elke kijker mag bereiken. Het gebruikelijke antwoord is de kijkdienst van één camera, niet de beheerpagina van de camera en zeker niet de router.

Die lijst is het autorisatiemodel, en die moet een vervanging van de gateway overleven. Als een nieuwe router geen routes per gebruiker kan uitdrukken, is het ontwerp stilzwijgend alles-of-niets geworden. Geef de voorkeur aan een gateway die een identiteit aan een bestemming kan binden in plaats van een die alleen een adres uitgeeft.

Beperk de route tot één cameradienst

Een VPN die de telefoon op het thuis-LAN zet, geeft meer dan kijken. Beperk het toegestane pad tot het adres van de camera en de poorten die zijn app echt gebruikt. Als de app een discovery-broadcast nodig heeft, is dat een aparte afhankelijkheid die u bewust moet toestaan, geen reden om het hele subnet te openen.

Als de camera geen VPN-client kan draaien, beëindig de tunnel dan op de gateway en routeer alleen de goedgekeurde bestemming. De camera hoeft geen server te worden.

Een commerciële internet-exit-VPN op de telefoon is dit niet. Die verandert waar het verkeer van de telefoon vandaan lijkt te komen; die maakt geen pad terug naar uw thuisnetwerk. De twee verwarren is de meest voorkomende reden dat een VPN-opstelling de camera nog steeds niet ziet.

Houd kijken en beheer gescheiden

De eigen accounts van de camera zijn net zo belangrijk als het netwerkpad. Gebruik een rol met alleen kijken voor gewone gezinsleden wanneer het product die biedt, en houd het beheerderswachtwoord buiten de groepschat. Netwerkfiltering kan twee functies die één HTTPS-listener delen niet scheiden, dus als kijken en beheer op dezelfde poort leven, zijn de autorisatiecontroles van de camera de grens.

Controleer of de app van de fabrikant stilletjes een cloudrelay gebruikt voor kijken op afstand. Als dat zo is, kan het VPN-pad volledig worden omzeild.

Cloudtoegang is niet automatisch verkeerd, maar het moet een beslissing zijn. Schakel het uit wanneer het privépad het bedoelde is, en let op dat uitschakelen ook firmware-updates of meldingen kan uitschakelen waarvan de app afhankelijk is.

Sluit de andere deuren voordat u viert

Het verwijderen van één portforwarding bewijst niet dat de camera onbereikbaar is vanaf internet. Een achtergebleven UPnP-mapping, een ingeschakelde cloudfunctie van de fabrikant of een tweede relay kunnen elk een pad geven dat u vergeten was. Inventariseer de ondersteunde instellingen voor toegang op afstand en bepaal welke u echt wilt.

Een apart camerassegment helpt wanneer de router het duidelijk kan uitdrukken. Sta kijken toe vanaf het goedgekeurde pad en blokkeer dat de camera laptops en telefoons bereikt.

Isoleer niet zo agressief dat updates of de kijkworkflow stoppen. Documenteer de uitzonderingen in plaats van de regel later onder druk te verruimen. En onthoud dat segmentering een camera met een standaardbeheerdersaccount of niet-ondersteunde firmware niet repareert; het beperkt alleen wat een gecompromitteerde camera kan bereiken.

Test de grens van beide kanten

Kwalificatie is een reeks waarnemingen, geen gevoel. Vanaf een goedgekeurde externe client bevestigt u dat de stream laadt. Vanaf een niet-goedgekeurd account bevestigt u dat niet. Vanaf internet bevestigt u dat de poort van de camera dicht is.

Een snelle externe controle vanaf een host buiten het netwerk:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Test daarna verwijderen en herstarten. Verwijder de identiteit van één kijker en bevestig dat de app stopt met werken zonder de anderen te beïnvloeden. Herstart de gateway en bevestig dat de route en de weigeringsregels terugkomen, want een regel die alleen in het geheugen bestaat is geen grens. Als openbare toegang opzettelijk is verwijderd, verifieer die weigering dan ook in plaats van hem aan te nemen.