วิธีให้ครอบครัวเข้าถึงกล้องจากระยะไกลผ่าน VPN

สามคำถามเป็นตัวตัดสินว่ากล้องในบ้านควรเข้าถึงได้ผ่าน VPN หรือไม่ และไม่มีข้อใดเกี่ยวกับยี่ห้อกล้อง. ใครต้องดู ต้องเข้าถึงอะไรกันแน่ และอะไรต้องยังเข้าถึงไม่ได้แม้แต่กับเขา. ตอบคำถามเหล่านี้ก่อนซื้อเกตเวย์ เพราะคำตอบเป็นตัวกำหนดรูปร่างของเครือข่าย ไม่ใช่กลับกัน. ทางเข้า VPN จะเป็นส่วนตัวได้เท่ากับเส้นทางและบัญชีที่คุณผูกไว้กับมัน.

ตัดสินว่าใครเข้ามา และด้วยตัวตนใด

เริ่มจากรายชื่อผู้ชมและให้แต่ละคนมีตัวตน VPN แยกกันเมื่อเกตเวย์รองรับ. ตัวตนแยกกันทำให้การถอดออกเป็นการกระทำเดียวแทนการเปลี่ยนรหัสผ่านที่ทั้งครอบครัวใช้ร่วมกัน. โปรไฟล์ที่ใช้ร่วมกันยังทำให้บันทึกไร้ประโยชน์ เพราะทุกการเชื่อมต่อดูเหมือนคนคนเดียวกัน.

เขียนว่าผู้ชมแต่ละคนได้รับอนุญาตให้เข้าถึงอะไร. คำตอบปกติคือบริการดูกล้องหนึ่งตัว ไม่ใช่หน้าผู้ดูแลของกล้อง และแน่นอนไม่ใช่เราเตอร์.

รายการนั้นคือรูปแบบการอนุญาต และควรอยู่รอดเมื่อเปลี่ยนเกตเวย์. ถ้าเราเตอร์ใหม่ไม่สามารถแสดงเส้นทางตามผู้ใช้ได้ การออกแบบก็กลายเป็นทั้งหมดหรือไม่มีเลยอย่างเงียบ ๆ. เลือกเกตเวย์ที่ผูกตัวตนกับปลายทางได้ มากกว่าอันที่แจกแค่ที่อยู่.

จำกัดเส้นทางให้เหลือบริการกล้องเดียว

VPN ที่วางโทรศัพท์ไว้บน LAN ของบ้านให้มากกว่าการดู. จำกัดเส้นทางที่อนุญาตให้ถึงที่อยู่กล้องและพอร์ตที่แอปใช้จริง. หากแอปต้องการการออกอากาศเพื่อค้นหา นั่นคือการพึ่งพาแยกต่างหากที่ต้องอนุญาตอย่างตั้งใจ ไม่ใช่เหตุผลที่จะเปิดซับเน็ตทั้งหมด.

เมื่อกล้องไม่สามารถรันไคลเอนต์ VPN ได้ ให้สิ้นสุดอุโมงค์ที่เกตเวย์และกำหนดเส้นทางเฉพาะปลายทางที่อนุมัติ. กล้องไม่จำเป็นต้องกลายเป็นเซิร์ฟเวอร์.

VPN เชิงพาณิชย์สำหรับออกอินเทอร์เน็ตบนโทรศัพท์ไม่ใช่สิ่งนี้. มันเปลี่ยนว่า traffic ของโทรศัพท์ดูเหมือนมาจากที่ไหน. มันไม่ได้สร้างเส้นทางกลับเข้าสู่เครือข่ายบ้านของคุณ. การสับสนสองสิ่งนี้คือสาเหตุที่พบบ่อยที่สุดที่การตั้งค่า VPN ยังมองไม่เห็นกล้อง.

แยกการดูและการดูแลออกจากกัน

บัญชีของกล้องเองสำคัญพอ ๆ กับเส้นทางเครือข่าย. ใช้บทบาทดูอย่างเดียวสำหรับสมาชิกครอบครัวทั่วไปเมื่อผลิตภัณฑ์มีให้ และเก็บรหัสผ่านผู้ดูแลไว้นอกแชตกลุ่ม. การกรองเครือข่ายไม่สามารถแยกสองหน้าที่ที่ใช้ตัวรับฟัง HTTPS ตัวเดียวกัน ดังนั้นหากการดูและการดูแลอยู่บนพอร์ตเดียวกัน การควบคุมการอนุญาตของกล้องคือขอบเขต.

ตรวจสอบว่าแอปของผู้ขายใช้รีเลย์คลาวด์สำหรับการดูระยะไกลอย่างเงียบ ๆ หรือไม่. หากใช้ เส้นทาง VPN อาจถูกข้ามไปทั้งหมด.

การเข้าถึงคลาวด์ไม่ผิดโดยอัตโนมัติ แต่ต้องเป็นการตัดสินใจ. ปิดใช้งานเมื่อเส้นทางส่วนตัวคือสิ่งที่ตั้งใจ และสังเกตว่าการปิดอาจปิดการอัปเดตเฟิร์มแวร์หรือการแจ้งเตือนที่แอปพึ่งพาด้วย.

ปิดประตูอื่นก่อนฉลอง

การลบการส่งต่อพอร์ตหนึ่งรายการไม่ได้พิสูจน์ว่ากล้องเข้าถึงไม่ได้จากอินเทอร์เน็ต. การแมป UPnP ที่หลงเหลือ คุณสมบัติคลาวด์ของผู้ขายที่เปิดอยู่ หรือรีเลย์ตัวที่สอง แต่ละอย่างสามารถให้เส้นทางที่คุณลืมได้. จัดทำรายการการตั้งค่าการเข้าถึงระยะไกลที่รองรับ และตัดสินว่าคุณต้องการอันไหนจริง ๆ

เซกเมนต์กล้องแยกต่างหากช่วยได้เมื่อเราเตอร์สามารถแสดงได้ชัดเจน. อนุญาตให้ดูจากเส้นทางที่อนุมัติและปิดกั้นไม่ให้กล้องเข้าถึงแล็ปท็อปและโทรศัพท์.

อย่าแยกโดดจนการอัปเดตหรือขั้นตอนการดูหยุดชะงัก. จดบันทึกข้อยกเว้นแทนการขยายกฎภายหลังเมื่อถูกกดดัน. และจำไว้ว่าการแบ่งเซกเมนต์ไม่ได้แก้ไขกล้องที่มีบัญชีผู้ดูแลเริ่มต้นหรือเฟิร์มแวร์ที่ไม่รองรับ. มันเพียงจำกัดว่ากล้องที่ถูกบุกรุกจะเข้าถึงอะไรได้.

ทดสอบขอบเขตจากทั้งสองด้าน

คุณสมบัติคือชุดของการสังเกต ไม่ใช่ความรู้สึก. จากไคลเอนต์ระยะไกลที่อนุมัติ ยืนยันว่าฟีดโหลดได้. จากบัญชีที่ไม่อนุมัติ ยืนยันว่าโหลดไม่ได้. จากอินเทอร์เน็ต ยืนยันว่าพอร์ตกล้องปิดอยู่.

การตรวจสอบภายนอกอย่างรวดเร็วจากโฮสต์นอกเครือข่าย:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

จากนั้นทดสอบการถอดออกและการรีสตาร์ต. ลบตัวตนของผู้ชมหนึ่งคนและยืนยันว่าแอปหยุดทำงานโดยไม่กระทบคนอื่น. รีสตาร์ตเกตเวย์และยืนยันว่าเส้นทางและกฎการปฏิเสธกลับมา เพราะกฎที่มีอยู่เพียงในหน่วยความจำไม่ใช่ขอบเขต. หากการเข้าถึงสาธารณะถูกถอดออกโดยเจตนา ให้ตรวจสอบการปฏิเสธนั้นด้วยแทนการสันนิษฐาน.