Slik gir du familien fjernadgang til kameraet over en VPN

Tre spørsmål avgjør om et hjemmekamera skal være tilgjengelig over en VPN, og ingen av dem handler om kameraets merke. Hvem skal se på, hva nøyaktig skal de nå, og hva skal forbli utilgjengelig selv for dem. Svar på det før du kjøper en gateway, fordi svarene bestemmer formen på nettverket og ikke omvendt. En VPN-inngang er bare så privat som rutene og kontoene du knytter til den.

Bestem hvem som slipper inn, og med hvilken identitet

Start med en liste over seere og gi hver enkelt en egen VPN-identitet når gatewayen støtter det. Egne identiteter gjør fjerning til én handling i stedet for en passordendring som hele familien deler. En delt profil gjør også loggene ubrukelige, fordi hver tilkobling ser ut som samme person.

Skriv ned hva hver seer har lov til å nå. Det vanlige svaret er visningstjenesten til ett kamera, ikke kameraets admin-side og absolutt ikke ruteren.

Den listen er autorisasjonsmodellen, og den bør overleve en utskifting av gatewayen. Hvis en ny ruter ikke kan uttrykke ruter per bruker, har designet stille blitt alt-eller-ingenting. Foretrekk en gateway som kan binde en identitet til en destinasjon fremfor en som bare deler ut en adresse.

Avgrens ruten til én kameratjeneste

En VPN som setter telefonen på hjemmets LAN gir mer enn visning. Avgrens den tillatte veien til kameraets adresse og portene appen faktisk bruker. Hvis appen trenger en oppdagelses-kringkasting, er det en egen avhengighet som må tillates bevisst, ikke en grunn til å åpne hele subnettet.

Når kameraet ikke kan kjøre en VPN-klient, avslutt tunnelen på gatewayen og rut bare den godkjente destinasjonen. Kameraet trenger ikke å bli en server.

En kommersiell internett-utgangs-VPN på telefonen er ikke dette. Den endrer hvor telefonens trafikk ser ut til å komme fra; den skaper ikke en vei tilbake til hjemmenettverket ditt. Å forveksle de to er den vanligste grunnen til at en VPN-oppsett fortsatt ikke ser kameraet.

Hold visning og administrasjon atskilt

Kameraets egne kontoer betyr like mye som nettverksveien. Bruk en rolle kun for visning for vanlige familiemedlemmer når produktet tilbyr en, og hold administratorpassordet utenfor gruppechatten. Nettverksfiltrering kan ikke skille to funksjoner som deler én HTTPS-lytter, så hvis visning og administrasjon bor på samme port, er kameraets autorisasjonskontroller grensen.

Sjekk om leverandørens app i det stille bruker et sky-relé for fjernvisning. Hvis den gjør det, kan VPN-ruten bli helt omgått.

Skyadgang er ikke automatisk feil, men det må være en beslutning. Deaktiver den når den private ruten er den tiltenkte, og merk at deaktivering også kan deaktivere fastvareoppdateringer eller varsler som appen er avhengig av.

Lukk de andre dørene før du feirer

Å fjerne én portvideresending beviser ikke at kameraet er utilgjengelig fra internett. En gjenværende UPnP-mapping, en aktivert skyfunksjon fra leverandøren eller et andre relé kan hver gi en vei du glemte. Kartlegg de støttede innstillingene for fjernadgang og bestem hvilke du faktisk vil ha.

Et eget kamerasegment hjelper når ruteren kan uttrykke det tydelig. Tillat visning fra den godkjente veien og blokker kameraet fra å nå bærbare datamaskiner og telefoner.

Ikke isoler så aggressivt at oppdateringer eller visningsarbeidsflyten stopper. Dokumenter unntakene i stedet for å utvide regelen senere under press. Og husk at segmentering ikke reparerer et kamera med en standard administratorkonto eller fastvare som ikke støttes; det begrenser bare hva et kompromittert kamera kan nå.

Test grensen fra begge sider

Kvalifisering er en samling observasjoner, ikke en følelse. Fra en godkjent fjernklient, bekreft at strømmen lastes. Fra en ikke-godkjent konto, bekreft at den ikke gjør det. Fra internett, bekreft at kameraets port er lukket.

En rask ekstern sjekk fra en vert utenfor nettverket:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Test deretter fjerning og omstart. Slett identiteten til én seer og bekreft at appen slutter å fungere uten å påvirke de andre. Start gatewayen på nytt og bekreft at ruten og avvisningsreglene kommer tilbake, fordi en regel som bare finnes i minnet ikke er en grense. Hvis offentlig tilgang ble fjernet med vilje, verifiser den avvisningen også i stedet for å anta den.