Ako dať rodine vzdialený prístup ku kamere cez VPN

O tom, či má byť domáca kamera dostupná cez VPN, rozhodujú tri otázky a ani jedna z nich nie je o značke kamery. Kto sa má pozerať, ku čomu presne sa má dostať a čo má zostať nedostupné aj pre neho. Odpovedzte na to pred kúpou brány, pretože odpovede určujú podobu siete a nie naopak. Vstup cez VPN je len taký súkromný, ako sú súkromné trasy a účty, ktoré k nemu pripojíte.

Rozhodnite, kto vstúpi a s akou identitou

Začnite zoznamom divákov a každému dajte samostatnú identitu VPN, ak to brána podporuje. Samostatné identity robia z odstránenia jednu akciu namiesto zmeny hesla, ktoré zdieľa celá rodina. Zdieľaný profil robí aj záznamy nepoužiteľnými, pretože každé pripojenie vyzerá ako tá istá osoba.

Zapíšte, ku čomu má každý divák prístup. Zvyčajná odpoveď je služba prezerania jednej kamery, nie administračná stránka kamery a určite nie router.

Tento zoznam je model autorizácie a mal by prežiť výmenu brány. Ak nový router nevie vyjadriť trasy pre jednotlivých používateľov, návrh sa ticho stal všetkým alebo ničím. Uprednostnite bránu, ktorá vie zviazať identitu s cieľom, pred tou, ktorá len prideľuje adresu.

Obmedzte trasu na jednu službu kamery

VPN, ktorá umiestni telefón do domácej LAN, dáva viac než prezeranie. Obmedzte povolenú cestu na adresu kamery a porty, ktoré jej aplikácia skutočne používa. Ak aplikácia potrebuje vysielanie objavovania, je to samostatná závislosť, ktorú treba vedome povoliť, nie dôvod otvoriť celú podsieť.

Keď kamera nevie spustiť klienta VPN, ukončite tunel na bráne a smerujte len schválený cieľ. Kamera nemusí byť server.

Komerčná VPN na výstup do internetu v telefóne nie je toto. Mení, odkiaľ prevádzka telefónu zdanlivo prichádza; nevytvára cestu späť do vašej domácej siete. Zámena týchto dvoch je najčastejším dôvodom, prečo nastavenie VPN kameru stále nevidí.

Držte prezeranie a správu oddelene

Vlastné účty kamery sú rovnako dôležité ako sieťová cesta. Pre bežných členov rodiny používajte rolu len na prezeranie, keď ju produkt ponúka, a heslo správcu držte mimo skupinového chatu. Sieťové filtrovanie nedokáže oddeliť dve funkcie, ktoré zdieľajú jedného poslucháča HTTPS, takže ak prezeranie a správa žijú na rovnakom porte, hranicou sú autorizačné kontroly kamery.

Skontrolujte, či aplikácia výrobcu ticho nepoužíva cloudový relay na vzdialené prezeranie. Ak áno, cesta cez VPN môže byť úplne obídená.

Prístup do cloudu nie je automaticky nesprávny, ale musí byť rozhodnutím. Vypnite ho, keď je zamýšľaná súkromná cesta, a pamätajte, že vypnutie môže vypnúť aj aktualizácie firmvéru alebo oznámenia, na ktorých aplikácia závisí.

Zatvorte ostatné dvere, kým začnete oslavovať

Odstránenie jedného presmerovania portu nedokazuje, že kamera nie je z internetu dostupná. Zvyškové mapovanie UPnP, zapnutá cloudová funkcia výrobcu alebo druhý relay môžu každý poskytnúť cestu, na ktorú ste zabudli. Zinventarizujte podporované nastavenia vzdialeného prístupu a rozhodnite, ktoré skutočne chcete.

Samostatný segment kamier pomôže, keď ho router vie jasne vyjadriť. Povoľte prezeranie zo schválenej cesty a zablokujte kamere prístup k notebookom a telefónom.

Neizolujte tak agresívne, aby sa zastavili aktualizácie alebo pracovný postup prezerania. Dokumentujte výnimky, namiesto toho, aby ste pravidlo neskôr pod tlakom rozširovali. A pamätajte, že segmentácia neopraví kameru s predvoleným účtom správcu alebo nepodporovaným firmvérom; len obmedzuje, kam sa kompromitovaná kamera dostane.

Otestujte hranicu z oboch strán

Kvalifikácia je súbor pozorovaní, nie pocit. Zo schváleného vzdialeného klienta overte, že sa stream načíta. Z neschváleného účtu overte, že nie. Z internetu overte, že port kamery je zatvorený.

Rýchla vonkajšia kontrola z hostiteľa mimo siete:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Potom otestujte odstránenie a reštart. Vymažte identitu jedného diváka a overte, že aplikácia prestane fungovať bez ovplyvnenia ostatných. Reštartujte bránu a overte, že sa trasa a pravidlá zamietnutia vrátia, pretože pravidlo, ktoré existuje len v pamäti, nie je hranica. Ak bol verejný prístup zámerne odstránený, overte aj toto zamietnutie, namiesto toho, aby ste ho predpokladali.