Kako družini omogočiti oddaljeni dostop do kamere prek VPN

Tri vprašanja odločajo, ali naj bo domača kamera dostopna prek VPN, in nobeno od njih ni o blagovni znamki kamere. Kdo mora gledati, do česa točno mora priti in kaj mora ostati nedostopno tudi zanj. Odgovorite na to pred nakupom prehoda, ker odgovori določajo obliko omrežja in ne obratno. Vstop prek VPN je le toliko zaseben, kolikor so zasebne poti in računi, ki jih nanj pritrdite.

Odločite, kdo vstopi in s katero identiteto

Začnite s seznamom gledalcev in vsakemu dajte ločeno identiteto VPN, ko prehod to podpira. Ločene identitete naredijo odstranitev eno dejanje namesto menjave gesla, ki ga deli cela družina. Skupni profil naredi tudi dnevnike neuporabne, ker je vsaka povezava videti kot ista oseba.

Zapišite, do česa sme priti vsak gledalec. Običajen odgovor je storitev ogleda ene kamere, ne skrbniška stran kamere in zagotovo ne usmerjevalnik.

Ta seznam je model pooblastil in moral bi preživeti zamenjavo prehoda. Če nov usmerjevalnik ne more izraziti poti na uporabnika, je zasnova tiho postala vse-ali-nič. Raje izberite prehod, ki lahko poveže identiteto s ciljem, kot takega, ki le dodeljuje naslov.

Omejite pot na eno storitev kamere

VPN, ki telefon postavi v domači LAN, daje več kot ogled. Omejite dovoljeno pot na naslov kamere in vrata, ki jih njena aplikacija res uporablja. Če aplikacija potrebuje oddajanje odkrivanja, je to ločena odvisnost, ki jo je treba zavestno dovoliti, ne razlog za odpiranje celotne podomrežja.

Ko kamera ne more poganjati odjemalca VPN, končajte tunel na prehodu in usmerite samo odobreni cilj. Kameri ni treba postati strežnik.

Komercialni VPN za izhod v internet na telefonu ni to. Spreminja, od kod naj bi prihajal promet telefona; ne ustvari poti nazaj v vaše domače omrežje. Zamenjava teh dveh je najpogostejši razlog, da nastavitev VPN še vedno ne vidi kamere.

Ogled in upravljanje držite ločeno

Računi same kamere so enako pomembni kot omrežna pot. Za običajne družinske člane uporabite vlogo samo za ogled, ko jo izdelek ponuja, in geslo skrbnika hranite zunaj skupinskega klepeta. Omrežno filtriranje ne more ločiti dveh funkcij, ki si delita enega poslušalca HTTPS, zato če ogled in upravljanje živita na istih vratih, so meja nadzori pooblastil kamere.

Preverite, ali aplikacija proizvajalca tiho uporablja oblačni rele za oddaljeni ogled. Če ga, je pot prek VPN lahko povsem obidena.

Dostop do oblaka ni samodejno napačen, a mora biti odločitev. Onemogočite ga, ko je predvidena zasebna pot, in upoštevajte, da lahko onemogočanje izklopi tudi posodobitve vdelane programske opreme ali obvestila, od katerih je aplikacija odvisna.

Zaprite druga vrata, preden praznujete

Odstranitev enega posredovanja vrat ne dokazuje, da kamera ni dostopna z interneta. Preostalo preslikavo UPnP, omogočena oblačna funkcija proizvajalca ali drugi rele lahko vsak ponudi pot, ki ste jo pozabili. Popišite podprte nastavitve oddaljenega dostopa in se odločite, katere res želite.

Ločen segment kamer pomaga, ko ga usmerjevalnik zna jasno izraziti. Dovolite ogled s odobrene poti in preprečite kameri dostop do prenosnikov in telefonov.

Ne izolirajte tako agresivno, da se posodobitve ali potek ogleda ustavijo. Dokumentirajte izjeme, namesto da pravilo pozneje pod pritiskom razširite. In ne pozabite, da segmentacija ne popravi kamere z privzetim skrbniškim računom ali nepodprto vdelano programsko opremo; le omejuje, do česa lahko pride kompromitirana kamera.

Preizkusite mejo z obeh strani

Usposobljenost je nabor opažanj, ne občutek. S odobrenega oddaljenega odjemalca potrdite, da se pretok naloži. Z neodobrenega računa potrdite, da se ne. Z interneta potrdite, da so vrata kamere zaprta.

Hiter zunanji pregled z gostitelja zunaj omrežja:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Nato preizkusite odstranitev in ponovni zagon. Izbrišite identiteto enega gledalca in potrdite, da aplikacija preneha delovati, ne da bi prizadela druge. Znova zaženite prehod in potrdite, da se pot in pravila zavrnitve vrnejo, ker pravilo, ki obstaja le v pomnilniku, ni meja. Če je bil javni dostop namerno odstranjen, preverite tudi to zavrnitev, namesto da bi jo predpostavili.