Como dar à família acesso remoto à câmara através de uma VPN

Três perguntas decidem se uma câmara doméstica deve ser acessível por VPN, e nenhuma delas é sobre a marca da câmara. Quem precisa de ver, o que exatamente tem de alcançar e o que deve ficar inacessível mesmo para essa pessoa. Responda a isso antes de comprar um gateway, porque as respostas determinam a forma da rede e não o contrário. Uma entrada VPN é tão privada como as rotas e as contas que lhe associa.

Decida quem entra, e com que identidade

Comece por uma lista de espetadores e dê a cada um uma identidade VPN separada quando o gateway o permitir. Identidades separadas tornam a remoção uma única ação em vez de uma mudança de palavra-passe partilhada por toda a família. Um perfil partilhado também torna os registos inúteis, porque cada ligação parece a mesma pessoa.

Anote a que cada espetador tem permissão de chegar. A resposta habitual é o serviço de visualização de uma câmara, não a página de administração da câmara e muito menos o router.

Essa lista é o modelo de autorização, e deve sobreviver a uma troca de gateway. Se um novo router não consegue exprimir rotas por utilizador, o desenho tornou-se silenciosamente tudo-ou-nada. Prefira um gateway que consiga ligar uma identidade a um destino em vez de um que apenas distribui um endereço.

Limite a rota a um único serviço de câmara

Uma VPN que coloca o telefone na LAN de casa concede mais do que visualização. Limite o caminho permitido ao endereço da câmara e às portas que a aplicação realmente usa. Se a aplicação precisa de um broadcast de descoberta, é uma dependência separada que deve ser permitida de propósito, não um motivo para abrir toda a sub-rede.

Quando a câmara não consegue executar um cliente VPN, termine o túnel no gateway e encaminhe apenas o destino aprovado. A câmara não precisa de se tornar um servidor.

Uma VPN comercial de saída para a internet no telefone não é isto. Muda de onde parece vir o tráfego do telefone; não cria um caminho de volta para a sua rede doméstica. Confundir as duas é a razão mais comum para uma configuração de VPN ainda não ver a câmara.

Mantenha a visualização e a administração separadas

As contas da própria câmara importam tanto como o caminho de rede. Use um papel apenas de visualização para os membros comuns da família quando o produto oferece um, e mantenha a palavra-passe de administrador fora do chat de grupo. A filtragem de rede não consegue separar duas funções que partilham um único ouvinte HTTPS, por isso, se a visualização e a administração vivem na mesma porta, os controlos de autorização da câmara são a fronteira.

Verifique se a aplicação do fornecedor usa silenciosamente um relé na nuvem para visualização remota. Se usar, o caminho VPN pode ser totalmente contornado.

O acesso à nuvem não é automaticamente errado, mas tem de ser uma decisão. Desative-o quando o caminho privado é o pretendido, e note que desativá-lo também pode desativar atualizações de firmware ou notificações das quais a aplicação depende.

Feche as outras portas antes de celebrar

Remover um encaminhamento de porta não prova que a câmara é inacessível a partir da internet. Um mapeamento UPnP esquecido, uma funcionalidade na nuvem do fornecedor ativada ou um segundo relé podem cada um abrir um caminho que esqueceu. Inventarie as definições de acesso remoto suportadas e decida quais quer realmente.

Um segmento separado para as câmaras ajuda quando o router o consegue exprimir com clareza. Permita a visualização a partir do caminho aprovado e bloqueie a câmara de chegar a portáteis e telefones.

Não isole de forma tão agressiva que as atualizações ou o fluxo de visualização parem. Documente as exceções em vez de alargar a regra mais tarde sob pressão. E lembre-se de que a segmentação não corrige uma câmara com uma conta de administrador predefinida ou firmware não suportado; apenas limita até onde pode chegar uma câmara comprometida.

Teste a fronteira dos dois lados

A qualificação é um conjunto de observações, não uma sensação. A partir de um cliente remoto aprovado, confirme que o fluxo carrega. A partir de uma conta não aprovada, confirme que não. A partir da internet, confirme que a porta da câmara está fechada.

Uma verificação externa rápida a partir de um anfitrião fora da rede:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Depois teste a remoção e o reinício. Apague a identidade de um espetador e confirme que a aplicação deixa de funcionar sem afetar os outros. Reinicie o gateway e confirme que a rota e as regras de negação voltam, porque uma regra que só existe em memória não é uma fronteira. Se o acesso público foi removido de propósito, verifique também essa negação em vez de a presumir.