Cum să oferiți familiei acces de la distanță la cameră printr-un VPN

Trei întrebări decid dacă o cameră de acasă ar trebui să fie accesibilă prin VPN și niciuna nu este despre marca camerei. Cine trebuie să privească, la ce anume trebuie să ajungă și ce trebuie să rămână inaccesibil chiar și pentru el. Răspundeți la acestea înainte de a cumpăra un gateway, pentru că răspunsurile determină forma rețelei și nu invers. O intrare VPN este doar atât de privată cât sunt rutele și conturile pe care le atașați la ea.

Decideți cine intră și cu ce identitate

Începeți cu o listă de spectatori și dați fiecăruia o identitate VPN separată atunci când gateway-ul permite. Identitățile separate fac eliminarea o singură acțiune în locul unei schimbări de parolă partajată de toată familia. Un profil partajat face și jurnalele inutile, pentru că fiecare conexiune arată ca aceeași persoană.

Notați la ce are voie să ajungă fiecare spectator. Răspunsul obișnuit este serviciul de vizualizare al unei camere, nu pagina de administrare a camerei și cu siguranță nu routerul.

Această listă este modelul de autorizare și ar trebui să supraviețuiască unei schimbări de gateway. Dacă un router nou nu poate exprima rute per utilizator, designul a devenit în liniște tot-ori-nimic. Preferați un gateway care poate lega o identitate de o destinație în locul unuia care doar distribuie o adresă.

Limitați ruta la un singur serviciu al camerei

Un VPN care pune telefonul în LAN-ul de acasă acordă mai mult decât vizualizare. Limitați calea permisă la adresa camerei și la porturile pe care aplicația ei le folosește efectiv. Dacă aplicația are nevoie de o difuzare de descoperire, aceea este o dependență separată care trebuie permisă în mod deliberat, nu un motiv de a deschide întreaga subrețea.

Când camera nu poate rula un client VPN, terminați tunelul pe gateway și rutați doar destinația aprobată. Camera nu trebuie să devină server.

Un VPN comercial de ieșire în internet pe telefon nu este acesta. Schimbă de unde pare să vină traficul telefonului; nu creează o cale de întoarcere în rețeaua dumneavoastră de acasă. Confundarea celor două este cel mai frecvent motiv pentru care o configurație VPN încă nu vede camera.

Țineți vizualizarea și administrarea separate

Conturile camerei înseși contează la fel de mult ca calea de rețea. Folosiți un rol doar pentru vizualizare pentru membrii obișnuiți ai familiei când produsul oferă unul și țineți parola de administrator în afara chatului de grup. Filtrarea de rețea nu poate separa două funcții care împart un singur ascultător HTTPS, așa că dacă vizualizarea și administrarea trăiesc pe același port, controalele de autorizare ale camerei sunt granița.

Verificați dacă aplicația producătorului folosește în tăcere un releu în cloud pentru vizualizarea de la distanță. Dacă o face, calea VPN poate fi ocolită complet.

Accesul la cloud nu este automat greșit, dar trebuie să fie o decizie. Dezactivați-l când calea privată este cea dorită și rețineți că dezactivarea poate opri și actualizări de firmware sau notificări de care depinde aplicația.

Închideți celelalte uși înainte de a sărbători

Eliminarea unei redirecționări de port nu dovedește că camera este inaccesibilă din internet. O mapare UPnP rămasă, o funcție cloud a producătorului activată sau un al doilea releu pot fiecare oferi o cale pe care ați uitat-o. Inventariați setările de acces la distanță acceptate și decideți pe care le doriți cu adevărat.

Un segment separat pentru camere ajută când routerul îl poate exprima clar. Permiteți vizualizarea din calea aprobată și blocați camera să ajungă la laptopuri și telefoane.

Nu izolați atât de agresiv încât actualizările sau fluxul de vizualizare să se oprească. Documentați excepțiile în loc să lărgiți regula mai târziu sub presiune. Și rețineți că segmentarea nu repară o cameră cu un cont de administrator implicit sau cu firmware neacceptat; doar limitează la ce poate ajunge o cameră compromisă.

Testați granița din ambele părți

Calificarea este un set de observații, nu o senzație. De la un client la distanță aprobat, confirmați că fluxul se încarcă. De la un cont neaprobat, confirmați că nu. Din internet, confirmați că portul camerei este închis.

O verificare externă rapidă de la un gazdă din afara rețelei:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Apoi testați eliminarea și repornirea. Ștergeți identitatea unui spectator și confirmați că aplicația încetează să funcționeze fără a-i afecta pe ceilalți. Reporniți gateway-ul și confirmați că ruta și regulile de refuz revin, pentru că o regulă care există doar în memorie nu este o graniță. Dacă accesul public a fost eliminat intenționat, verificați și acel refuz în loc să îl presupuneți.