Så ger du familjen fjärråtkomst till kameran över en VPN

Tre frågor avgör om en hemmakamera ska vara nåbar över en VPN, och ingen av dem handlar om kamerans märke. Vem ska titta, exakt vad ska hen nå, och vad ska förbli onåbart även för hen. Svara på det innan du köper en gateway, eftersom svaren bestämmer nätets form och inte tvärtom. En VPN-ingång är bara så privat som de rutter och konton du kopplar till den.

Bestäm vem som kommer in, och med vilken identitet

Börja med en lista över tittare och ge var och en en egen VPN-identitet när gatewayen stöder det. Separata identiteter gör borttagning till en enda åtgärd i stället för en lösenordsändring som hela familjen delar. En delad profil gör också loggarna oanvändbara, eftersom varje anslutning ser ut som samma person.

Skriv ner vad varje tittare får nå. Det vanliga svaret är visningstjänsten för en kamera, inte kamerans adminsida och absolut inte routern.

Den listan är auktoriseringsmodellen, och den bör överleva ett byte av gateway. Om en ny router inte kan uttrycka rutter per användare har designen tyst blivit allt-eller-inget. Föredra en gateway som kan binda en identitet till en destination framför en som bara delar ut en adress.

Begränsa vägen till en kameratjänst

En VPN som sätter telefonen på hemmets LAN ger mer än visning. Begränsa den tillåtna vägen till kamerans adress och de portar som dess app faktiskt använder. Om appen behöver en upptäcktsbroadcast är det ett separat beroende som måste tillåtas medvetet, inte ett skäl att öppna hela subnätet.

När kameran inte kan köra en VPN-klient, avsluta tunneln på gatewayen och rutta bara den godkända destinationen. Kameran behöver inte bli en server.

En kommersiell internet-utgångs-VPN på telefonen är inte detta. Den ändrar varifrån telefonens trafik verkar komma; den skapar inte en väg tillbaka till ditt hemnätverk. Att blanda ihop de två är den vanligaste orsaken till att en VPN-inställning fortfarande inte ser kameran.

Håll visning och administration isär

Kamerans egna konton spelar lika stor roll som nätverksvägen. Använd en roll enbart för visning för vanliga familjemedlemmar när produkten erbjuder en, och håll administratörslösenordet utanför gruppchatten. Nätverksfiltrering kan inte skilja två funktioner som delar en enda HTTPS-lyssnare, så om visning och administration bor på samma port är kamerans auktoriseringskontroller gränsen.

Kontrollera om leverantörens app i tysthet använder en molnrelä för fjärrvisning. Om den gör det kan VPN-vägen kringgås helt.

Molnåtkomst är inte automatiskt fel, men det måste vara ett beslut. Inaktivera den när den privata vägen är den avsedda, och notera att inaktivering också kan stänga av firmwareuppdateringar eller aviseringar som appen är beroende av.

Stäng de andra dörrarna innan du firar

Att ta bort en portvidarebefordran bevisar inte att kameran är onåbar från internet. En kvarvarande UPnP-mappning, en aktiverad molnfunktion från leverantören eller ett andra relä kan var och en ge en väg du glömde. Inventera de inställningar för fjärråtkomst som stöds och bestäm vilka du faktiskt vill ha.

Ett eget kamerasegment hjälper när routern kan uttrycka det tydligt. Tillåt visning från den godkända vägen och blockera kameran från att nå bärbara datorer och telefoner.

Isolera inte så aggressivt att uppdateringar eller visningsarbetsflödet stannar. Dokumentera undantagen i stället för att vidga regeln senare under press. Och kom ihåg att segmentering inte reparerar en kamera med ett standardadministratörskonto eller fast programvara som inte stöds; det begränsar bara vad en komprometterad kamera kan nå.

Testa gränsen från båda håll

Kvalificering är en uppsättning observationer, inte en känsla. Från en godkänd fjärrklient, bekräfta att strömmen laddas. Från ett icke godkänt konto, bekräfta att den inte gör det. Från internet, bekräfta att kamerans port är stängd.

En snabb extern kontroll från en värd utanför nätverket:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Testa sedan borttagning och omstart. Ta bort en tittares identitet och bekräfta att appen slutar fungera utan att påverka de andra. Starta om gatewayen och bekräfta att vägen och nekandereglerna kommer tillbaka, eftersom en regel som bara finns i minnet inte är en gräns. Om allmän åtkomst togs bort med avsikt, verifiera även det nekandet i stället för att anta det.