P2P云端方式与VPN方式该如何选择
P2P/云端方式设置最简单,对大多数家庭来说也很好用,因为摄像头从不接受来自互联网的直接入站连接,只会主动连接厂商的服务器。VPN方式前期设置要多花一些功夫,但完全不依赖厂商的云端基础设施,能让摄像头对公网完全不可见——如果安全是你的首要考量,或者你不太放心把摄像头画面交给第三方云服务,这是更稳妥的选择。
为什么把摄像头直接暴露在互联网上是真实的风险
确实存在专门扫描互联网上暴露设备(包括摄像头)的搜索引擎,并按厂商、位置和开放端口对其进行索引。再加上很多人从未修改过摄像头的默认密码,通过端口转发直接暴露摄像头,已经导致了大量有据可查的案例——陌生人窥视他人家中的实时画面。如果确实必须直接暴露摄像头,至少应该修改默认密码,只开放视频流端口而非整个管理界面,并强制要求HTTPS。
一个历史教训:默认密码如何让摄像头变成攻击工具
2016年,Mirai恶意程序通过尝试一小批出厂默认用户名和密码,感染了大量联网摄像头和录像机,并利用它们发动了规模很大的拒绝服务攻击。这些设备并不是被高深的手段攻破的,只是保持了默认口令并暴露在互联网上。它提醒我们,最重要的第一步往往很朴素:改掉默认密码并及时更新固件。
建议的设置顺序
先让摄像头在局域网内正常使用并确认本地查看没有问题;立刻更改管理员密码,并为每台设备设置不同的密码;更新固件;关闭用不到的服务,如UPnP、Telnet和不用的远程访问。然后选择远程方式:厂商应用最简单,VPN最私密,端口转发则应作为最后的手段。最后在家外用移动数据测试,并每隔几个月检查登录记录或已登录设备列表。
常见问题
有必须使用端口转发的摄像头吗?
有。部分老式摄像头和专业级NVR系统不支持云端应用,需要端口转发或VPN。这种情况下,应只转发摄像头的视频流端口而非管理界面端口,并务必搭配强密码和HTTPS一起使用。
手机应用上显示"P2P",这真的安全吗?
如果是摄像头厂商正规运营的P2P云服务,由于不会把摄像头直接暴露给互联网,通常比手动端口转发更安全。不过并非所有服务都同样值得信赖,最好选择知名厂商的正版应用来使用。
UPnP是什么?为什么建议关掉?
UPnP可以让设备请求路由器自动开放端口。这虽然方便,但也意味着摄像头可能在你没有决定的情况下就暴露在互联网上。在路由器和摄像头上都关闭UPnP,才能由你自己控制哪些端口可被访问。
家用摄像头可以使用免费DDNS吗?
可以,但DDNS只是给家里一个固定名字,不提供安全性,在CGNAT环境下也无法使用。如果使用,请搭配强密码、HTTPS和尽量少的开放端口,或者改用VPN。