Korleis gi familien fjernåtkomst til kameraet over ein VPN

Tre spørsmål avgjer om eit heimekamera skal vera tilgjengeleg over ein VPN, og ingen av dei handlar om merket på kameraet. Kven skal sjå på, kva nøyaktig skal dei nå, og kva skal vera utilgjengeleg sjølv for dei. Svar på det før du kjøper ein gateway, fordi svara bestemmer forma på nettet og ikkje omvendt. Ein VPN-inngang er berre så privat som rutene og kontoane du knyter til han.

Avgjer kven som slepp inn, og med kva identitet

Byrja med ei liste over sjåarar og gi kvar einskild ein eigen VPN-identitet når gatewayen støttar det. Eigne identitetar gjer fjerning til éi handling i staden for ei passordendring som heile familien deler. Ein delt profil gjer også loggane ubrukelege, fordi kvar tilkopling ser ut som same person.

Skriv ned kva kvar sjåar har lov til å nå. Det vanlege svaret er visingstenesta til eitt kamera, ikkje admin-sida til kameraet og absolutt ikkje rutaren.

Den lista er autorisasjonsmodellen, og ho bør overleva ei utskifting av gatewayen. Viss ein ny ruter ikkje kan uttrykkja ruter per brukar, har designet stille vorte alt-eller-inkje. Føretrekk ein gateway som kan binda ein identitet til ein destinasjon framfor ein som berre deler ut ei adresse.

Avgrens ruta til éi kamerateneste

Ein VPN som set telefonen på heimenettet gir meir enn vising. Avgrens den tillatne vegen til adressa til kameraet og portane appen faktisk brukar. Viss appen treng ein oppdagings-kringkasting, er det ein eigen avhengnad som må tillatast medvite, ikkje ein grunn til å opna heile subnettet.

Når kameraet ikkje kan køyra ein VPN-klient, avslutt tunnelen på gatewayen og rut berre den godkjende destinasjonen. Kameraet treng ikkje bli ein tenar.

Ein kommersiell internett-utgangs-VPN på telefonen er ikkje dette. Han endrar kvar trafikken til telefonen ser ut til å koma frå; han skapar ikkje ein veg tilbake til heimenettet ditt. Å forveksla dei to er den vanlegaste grunnen til at eit VPN-oppsett framleis ikkje ser kameraet.

Hald vising og administrasjon åtskilde

Kontoane til kameraet sjølv tyder like mykje som nettverksvegen. Bruk ei rolle berre for vising for vanlege familiemedlemmer når produktet tilbyr ei, og hald administratorpassordet utanfor gruppechatten. Nettverksfiltrering kan ikkje skilja to funksjonar som deler ein HTTPS-lyttar, så viss vising og administrasjon bur på same port, er autorisasjonskontrollane til kameraet grensa.

Sjekk om appen til leverandøren stille brukar eit skyrelé for fjernvising. Viss han gjer det, kan VPN-vegen bli heilt omgått.

Skyåtkomst er ikkje automatisk feil, men det må vera ei avgjerd. Slå han av når den private vegen er den tiltenkte, og merk at avslåing også kan slå av fastvareoppdateringar eller varsel som appen er avhengig av.

Lukk dei andre dørene før du feirar

Å fjerna éi portvideresending beviser ikkje at kameraet er utilgjengeleg frå internett. Ei attverande UPnP-mapping, ein aktivert skyfunksjon frå leverandøren eller eit andre relé kan kvar gi ein veg du gløymde. Kartlegg dei støtta innstillingane for fjernåtkomst og avgjer kva du faktisk vil ha.

Eit eige kamerasegment hjelper når rutaren kan uttrykkja det tydeleg. Tillat vising frå den godkjende vegen og blokker kameraet frå å nå berebare datamaskinar og telefonar.

Ikkje isoler så aggressivt at oppdateringar eller visingsarbeidsflyten stoppar. Dokumenter unntaka i staden for å utvida regelen seinare under press. Og hugs at segmentering ikkje reparerer eit kamera med ein standard administratorkonto eller fastvare som ikkje er støtta; det avgrensar berre kva eit kompromittert kamera kan nå.

Test grensa frå begge sider

Kvalifisering er ei samling observasjonar, ikkje ei kjensle. Frå ein godkjend fjernklient, stadfest at straumen lastar. Frå ein ikkje-godkjend konto, stadfest at han ikkje gjer det. Frå internett, stadfest at porten til kameraet er lukka.

Ein rask ekstern sjekk frå ein vert utanfor nettet:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Test deretter fjerning og omstart. Slett identiteten til ein sjåar og stadfest at appen sluttar å verka utan å påverka dei andre. Start gatewayen på nytt og stadfest at ruta og avvisingsreglane kjem tilbake, fordi ein regel som berre finst i minnet er ikkje ei grense. Viss offentleg tilgang vart fjerna med vilje, verifiser den avvisinga også i staden for å anta ho.