Як дати родині віддалений доступ до камери через VPN

Три питання вирішують, чи має домашня камера бути доступною через VPN, і жодне з них не про марку камери. Кому треба дивитися, чого саме він має досягти і що має залишитися недоступним навіть для нього. Дайте відповідь на це до купівлі шлюзу, бо відповіді визначають форму мережі, а не навпаки. Вхід через VPN приватний рівно настільки, наскільки приватні маршрути й облікові записи, які ви до нього прив'язуєте.

Вирішіть, хто входить і з якою особистістю

Почніть зі списку глядачів і дайте кожному окрему особистість VPN, якщо шлюз це підтримує. Окремі особистості роблять видалення однією дією замість зміни пароля, спільного для всієї родини. Спільний профіль також робить журнали марними, бо кожне підключення виглядає як та сама людина.

Запишіть, чого може досягти кожен глядач. Звичайна відповідь — служба перегляду однієї камери, а не сторінка адміністратора камери і точно не роутер.

Цей список і є моделлю авторизації, і вона має пережити заміну шлюзу. Якщо новий роутер не вміє виражати маршрути за користувачем, проєкт тихо став усім-або-нічим. Надавайте перевагу шлюзу, який уміє прив'язувати особистість до призначення, а не тому, що лише видає адресу.

Обмежте маршрут однією службою камери

VPN, який розміщує телефон у домашній LAN, дає більше, ніж перегляд. Обмежте дозволений шлях адресою камери й портами, які її застосунок справді використовує. Якщо застосунку потрібна широкомовна розсилка виявлення, це окрема залежність, яку треба дозволити свідомо, а не привід відкривати всю підмережу.

Коли камера не може запустити клієнт VPN, завершіть тунель на шлюзі й спрямовуйте лише схвалене призначення. Камері не потрібно ставати сервером.

Комерційний VPN виходу в інтернет на телефоні — це не те. Він змінює те, звідки нібито надходить трафік телефона; він не створює шлях назад у вашу домашню мережу. Плутанина між цими двома — найчастіша причина, чому налаштування VPN досі не бачить камеру.

Тримайте перегляд і адміністрування окремо

Облікові записи самої камери важливі не менше за мережевий шлях. Використовуйте роль лише для перегляду для звичайних членів родини, коли продукт це пропонує, і тримайте пароль адміністратора поза груповим чатом. Мережева фільтрація не може розділити дві функції, які ділять один HTTPS-слухач, тому якщо перегляд і адміністрування живуть на одному порту, межею є засоби авторизації камери.

Перевірте, чи застосунок виробника нишком використовує хмарний релей для віддаленого перегляду. Якщо так, шлях через VPN може бути повністю обійдений.

Хмарний доступ не є автоматично помилкою, але він має бути рішенням. Вимкніть його, коли задуманий приватний шлях, і зважте, що вимкнення може також вимкнути оновлення прошивки або сповіщення, від яких залежить застосунок.

Закрийте інші двері, перш ніж святкувати

Видалення одного переспрямування порту не доводить, що камера недоступна з інтернету. Залишене зіставлення UPnP, увімкнена хмарна функція виробника або другий релей — кожен може дати шлях, про який ви забули. Проінвентаризуйте підтримувані налаштування віддаленого доступу і вирішіть, які з них вам справді потрібні.

Окремий сегмент для камер допомагає, коли роутер уміє ясно його виразити. Дозвольте перегляд зі схваленого шляху й заблокуйте камері доступ до ноутбуків і телефонів.

Не ізолюйте так агресивно, щоб зупинилися оновлення або робочий процес перегляду. Документуйте винятки, а не розширюйте правило пізніше під тиском. І пам'ятайте, що сегментація не виправляє камеру з обліковим записом адміністратора за замовчуванням або непідтримуваною прошивкою; вона лише обмежує те, чого може досягти скомпрометована камера.

Перевірте межу з обох боків

Кваліфікація — це набір спостережень, а не відчуття. Зі схваленого віддаленого клієнта переконайтеся, що потік завантажується. З несхваленого облікового запису переконайтеся, що ні. З інтернету переконайтеся, що порт камери закритий.

Швидка зовнішня перевірка з хоста поза мережею:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Потім перевірте видалення й перезапуск. Видаліть особистість одного глядача й переконайтеся, що застосунок перестає працювати, не зачіпаючи інших. Перезапустіть шлюз і переконайтеся, що маршрут і правила заборони повертаються, бо правило, яке існує лише в пам'яті, не є межею. Якщо публічний доступ було навмисно видалено, перевірте й цю заборону, а не припускайте її.