Cách cho gia đình truy cập camera từ xa qua VPN

Ba câu hỏi quyết định liệu camera trong nhà có nên truy cập được qua VPN hay không, và không câu nào nói về thương hiệu camera. Ai cần xem, chính xác họ phải chạm tới điều gì, và điều gì phải vẫn không thể chạm tới ngay cả với họ. Hãy trả lời trước khi mua cổng, vì câu trả lời quyết định hình dạng của mạng chứ không phải ngược lại. Một lối vào VPN chỉ riêng tư bằng các tuyến đường và tài khoản mà bạn gắn vào nó.

Quyết định ai được vào, và bằng danh tính nào

Bắt đầu bằng danh sách người xem và cấp cho mỗi người một danh tính VPN riêng khi cổng hỗ trợ. Danh tính riêng khiến việc gỡ bỏ chỉ là một thao tác thay vì đổi mật khẩu mà cả gia đình dùng chung. Hồ sơ dùng chung cũng làm nhật ký trở nên vô dụng, vì mọi kết nối trông như cùng một người.

Ghi lại mỗi người xem được phép chạm tới điều gì. Câu trả lời thông thường là dịch vụ xem của một camera, không phải trang quản trị của camera và chắc chắn không phải router.

Danh sách đó là mô hình phân quyền, và nó phải sống sót qua việc thay cổng. Nếu router mới không diễn đạt được tuyến theo từng người dùng, thiết kế đã âm thầm trở thành tất cả hoặc không có gì. Ưu tiên cổng có thể gắn danh tính với đích đến hơn là cổng chỉ phát địa chỉ.

Giới hạn tuyến đường trong một dịch vụ camera

Một VPN đưa điện thoại vào LAN của nhà cấp nhiều hơn việc xem. Giới hạn đường đi được phép trong địa chỉ camera và các cổng mà ứng dụng của nó thực sự dùng. Nếu ứng dụng cần phát hiện qua quảng bá, đó là một phụ thuộc riêng cần được cho phép có chủ đích, không phải lý do để mở toàn bộ mạng con.

Khi camera không chạy được ứng dụng khách VPN, hãy kết thúc đường hầm tại cổng và chỉ định tuyến đích đến đã được phê duyệt. Camera không cần trở thành máy chủ.

Một VPN thoát internet thương mại trên điện thoại không phải là điều này. Nó thay đổi nơi lưu lượng của điện thoại trông như xuất phát; nó không tạo đường quay lại mạng nhà của bạn. Nhầm lẫn hai thứ này là lý do phổ biến nhất khiến một thiết lập VPN vẫn không thấy camera.

Tách việc xem và quản trị

Tài khoản của chính camera quan trọng ngang với đường mạng. Dùng vai trò chỉ xem cho các thành viên bình thường trong gia đình khi sản phẩm có cung cấp, và giữ mật khẩu quản trị ngoài cuộc trò chuyện nhóm. Lọc mạng không thể tách hai chức năng dùng chung một trình lắng nghe HTTPS, nên nếu việc xem và quản trị nằm cùng một cổng thì các kiểm soát phân quyền của camera chính là ranh giới.

Kiểm tra xem ứng dụng của nhà cung cấp có âm thầm dùng rơ-le đám mây để xem từ xa không. Nếu có, đường VPN có thể bị bỏ qua hoàn toàn.

Truy cập đám mây không tự động sai, nhưng nó phải là một quyết định. Tắt nó khi đường riêng là điều đã định, và lưu ý rằng việc tắt cũng có thể tắt các bản cập nhật firmware hoặc thông báo mà ứng dụng phụ thuộc.

Đóng những cánh cửa khác trước khi ăn mừng

Gỡ một chuyển tiếp cổng không chứng minh camera không thể chạm tới từ internet. Một ánh xạ UPnP còn sót, một tính năng đám mây của nhà cung cấp đang bật, hoặc rơ-le thứ hai đều có thể cung cấp một đường mà bạn đã quên. Kiểm kê các cài đặt truy cập từ xa được hỗ trợ và quyết định cái nào bạn thực sự muốn.

Một phân đoạn camera riêng giúp ích khi router diễn đạt rõ ràng. Cho phép xem từ đường đã phê duyệt và chặn camera chạm tới máy tính xách tay và điện thoại.

Đừng cô lập mạnh đến mức bản cập nhật hoặc quy trình xem dừng lại. Ghi lại các ngoại lệ thay vì mở rộng quy tắc sau này dưới áp lực. Và nhớ rằng phân đoạn không sửa được camera có tài khoản quản trị mặc định hoặc firmware không được hỗ trợ; nó chỉ giới hạn những gì camera bị xâm phạm có thể chạm tới.

Kiểm thử ranh giới từ hai phía

Tư cách là một tập quan sát, không phải cảm giác. Từ một ứng dụng khách từ xa đã phê duyệt, xác nhận luồng tải được. Từ một tài khoản không được phê duyệt, xác nhận là không. Từ internet, xác nhận cổng của camera đã đóng.

Một kiểm tra bên ngoài nhanh từ một máy chủ ngoài mạng:

nmap -Pn -p 443,554,8000 203.0.113.10
curl -sS -o /dev/null -w "%{http_code}" --max-time 5 http://203.0.113.10/

Sau đó kiểm thử việc gỡ bỏ và khởi động lại. Xóa danh tính của một người xem và xác nhận ứng dụng ngừng hoạt động mà không ảnh hưởng đến những người khác. Khởi động lại cổng và xác nhận tuyến đường cùng các quy tắc từ chối quay lại, vì một quy tắc chỉ tồn tại trong bộ nhớ không phải là ranh giới. Nếu truy cập công khai đã được gỡ bỏ có chủ đích, hãy xác minh cả việc từ chối đó thay vì giả định.