Jak dać rodzinie zdalny dostęp do kamery przez VPN

Trzy pytania decydują, czy kamera domowa powinna być dostępna przez VPN, i żadne z nich nie dotyczy marki kamery. Kto ma patrzeć, do czego dokładnie ma dotrzeć i co ma pozostać nieosiągalne nawet dla niego. Odpowiedz na to przed zakupem bramy, bo odpowiedzi wyznaczają kształt sieci, a nie odwrotnie. Wejście VPN jest tylko tak prywatne, jak trasy i konta, które do niego podłączysz.

Zdecyduj, kto wchodzi i z jaką tożsamością

Zacznij od listy widzów i daj każdemu osobną tożsamość VPN, jeśli brama to obsługuje. Osobne tożsamości czynią usunięcie jedną czynnością zamiast zmiany hasła współdzielonego przez całą rodzinę. Wspólny profil czyni też logi bezużytecznymi, bo każde połączenie wygląda jak ta sama osoba.

Zapisz, do czego każdy widz ma prawo dotrzeć. Zwykła odpowiedź to usługa podglądu jednej kamery, nie strona administracyjna kamery i na pewno nie router.

Ta lista to model autoryzacji i powinna przetrwać wymianę bramy. Jeśli nowy router nie potrafi wyrazić tras dla poszczególnych użytkowników, projekt po cichu stał się wszystkim-albo-niczym. Preferuj bramę, która potrafi powiązać tożsamość z celem, zamiast takiej, która tylko przydziela adres.

Ogranicz trasę do jednej usługi kamery

VPN, który umieszcza telefon w domowej sieci LAN, daje więcej niż podgląd. Ogranicz dozwoloną ścieżkę do adresu kamery i portów, których naprawdę używa jej aplikacja. Jeśli aplikacja potrzebuje rozgłoszenia wykrywania, to osobna zależność, którą trzeba świadomie dopuścić, a nie powód, by otwierać całą podsieć.

Gdy kamera nie może uruchomić klienta VPN, zakończ tunel na bramie i kieruj tylko zatwierdzony cel. Kamera nie musi stawać się serwerem.

Komercyjny VPN wyjścia do internetu w telefonie to nie to. Zmienia on, skąd pozornie pochodzi ruch telefonu; nie tworzy ścieżki powrotnej do twojej sieci domowej. Mylenie obu to najczęstsza przyczyna, dla której konfiguracja VPN nadal nie widzi kamery.

Trzymaj podgląd i administrację osobno

Konta samej kamery znaczą tyle samo co ścieżka sieciowa. Używaj roli tylko do podglądu dla zwykłych członków rodziny, gdy produkt ją oferuje, a hasło administratora trzymaj poza czatem grupowym. Filtrowanie sieci nie potrafi rozdzielić dwóch funkcji, które dzielą jeden odbiornik HTTPS, więc jeśli podgląd i administracja żyją na tym samym porcie, granicą są mechanizmy autoryzacji kamery.

Sprawdź, czy aplikacja producenta po cichu nie używa przekaźnika w chmurze do zdalnego podglądu. Jeśli tak, ścieżka VPN może być całkowicie ominięta.

Dostęp do chmury nie jest automatycznie błędem, ale musi być decyzją. Wyłącz go, gdy prywatna ścieżka jest zamierzona, i pamiętaj, że wyłączenie może też wyłączyć aktualizacje firmware lub powiadomienia, od których zależy aplikacja.

Zamknij pozostałe drzwi, zanim zaczniesz świętować

Usunięcie jednego przekierowania portu nie dowodzi, że kamera jest nieosiągalna z internetu. Pozostałe mapowanie UPnP, włączona funkcja chmurowa producenta albo drugi przekaźnik mogą każdy dać ścieżkę, o której zapomniałeś. Zinwentaryzuj obsługiwane ustawienia zdalnego dostępu i zdecyduj, których naprawdę chcesz.

Osobny segment kamer pomaga, gdy router potrafi go jasno wyrazić. Zezwól na podgląd z zatwierdzonej ścieżki i zablokuj kamerze dostęp do laptopów i telefonów.

Nie izoluj tak agresywnie, żeby stanęły aktualizacje albo przepływ pracy podglądu. Dokumentuj wyjątki, zamiast później rozszerzać regułę pod presją. I pamiętaj, że segmentacja nie naprawi kamery z domyślnym kontem administratora lub nieobsługiwanym firmware; ogranicza tylko to, do czego może dotrzeć przejęta kamera.

Przetestuj granicę z obu stron

Kwalifikacja to zbiór obserwacji, nie uczucie. Z zatwierdzonego klienta zdalnego potwierdź, że strumień się ładuje. Z niezatwierdzonego konta potwierdź, że nie. Z internetu potwierdź, że port kamery jest zamknięty.

Szybka kontrola zewnętrzna z hosta poza siecią:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Potem przetestuj usunięcie i restart. Usuń tożsamość jednego widza i potwierdź, że aplikacja przestaje działać bez wpływu na pozostałych. Zrestartuj bramę i potwierdź, że trasa i reguły blokowania wracają, bo reguła istniejąca tylko w pamięci nie jest granicą. Jeśli dostęp publiczny usunięto celowo, zweryfikuj też to blokowanie, zamiast je zakładać.