בעמוד הזה
מצלמת אבטחה מציגה וידאו בטלפון גם כשאתם מחוץ לבית או לעסק. אבל מי מספק את החיבור: המצלמה, מקליט הווידאו, הנתב הביתי או העסקי, או שירות חיצוני? כדי לדעת אם מצלמות אבטחה נגישות ישירות, צריך לבדוק מרשת סלולרית אם התעבורה עוברת בחיבור ענן, דרך כתובת IP ציבורית או במסלול פרטי. זו בדיוק השאלה שהבדיקה כאן מסדירה.
מה באמת פירוש חשיפה לאינטרנט
גישה מקומית וגישה מרחוק אינן אותו דבר. בתוך הבית, המשרד או החנות, הטלפון והמחשב יכולים לפנות אל כתובת IP פרטית של המצלמה או המקליט. הכתובת הזאת פועלת בתוך הרשת המקומית. בדרך כלל אי אפשר להגיע אליה ישירות מרשת אחרת.
חשיפה ישירה קיימת כאשר בקשה שנשלחת מהאינטרנט אל כתובת ניתנת לניתוב מגיעה לשירות במצלמה, במקליט או בנתב. השירות יכול להיות ממשק התחברות בדפדפן, ערוץ וידאו, ממשק ניהול או שירות אחר. אין צורך לראות תמונה כדי לאשר חשיפה. אם ממשק התחברות נטען מחוץ לרשת, השירות שמציג אותו חשוף גם כשהוא דורש שם משתמש וסיסמה.
גישה דרך ענן עובדת אחרת. המצלמה או המקליט יוצרים חיבור החוצה אל שירות מתווך. האפליקציה מתחברת לאותו שירות, והוא מקשר בין הצדדים. במסלול כזה אפשר לצפות מרחוק בלי כלל הפניית פורטים שמקבל חיבור נכנס. לכן עצם הופעת הווידאו בטלפון אינה אומרת שיש פורט ציבורי פתוח.
חשוב גם להפריד בין נקודות הקצה. במערכות מסוימות המקליט הוא הרכיב היחיד שמתקשר החוצה, בעוד המצלמות נשארות ברשת פרטית. במערכות אחרות כל מצלמה היא התקן רשת עצמאי. גם הנתב הוא נקודת קצה משלו, אך ממשק הניהול שלו אינו ממשק המצלמה. ההבחנה הזאת חשובה במיוחד בתכנון מצלמות לבית המחוברות למקליט מרכזי.
וידאו שמגיע מרחוק מוכיח שיש מסלול גישה. הוא לא מוכיח שהמסלול הוא חיבור נכנס וישיר למצלמה.
האם מצלמות אבטחה חשופות לאינטרנט?
מתחילים מחוץ לרשת המקומית. טלפון שעדיין מחובר ל-Wi-Fi עלול להגיע למערכת במסלול פנימי ולתת תשובה מטעה. כבו את ה-Wi-Fi, ודאו שהטלפון משתמש ברשת סלולרית, ורק אז בדקו כל דרך גישה בנפרד.
האם אפליקציית מצלמה מאפשרת גישה מחוץ לבית?
אם האפליקציה מציגה וידאו דרך הרשת הסלולרית, היא אכן מאפשרת גישה מחוץ לבית. עדיין לא ידוע אם היא משתמשת בחיבור ישיר, בשירות ענן או במנהרה פרטית. בדקו במסמכי ההתקנה ובהגדרות אם החיבור מוגדר באמצעות חשבון ענן, שם מארח ציבורי, כתובת IP ציבורית או VPN.
האם מצלמות אבטחה לבית נגישות מרשת חיצונית?
הבדיקה צריכה להפריד בין אפליקציה לדפדפן. פתחו תחילה את האפליקציה ברשת הסלולרית ורשמו מה עובד. לאחר מכן בדקו רק כתובת שאתם מכירים מתיעוד המערכת. אם כתובת ציבורית או שם מארח מציגים ממשק בדפדפן, רשמו את הכתובת, את הפורט ואת סוג המסך שהתקבל. אל תזינו סיסמה באתר בדיקה חיצוני ואל תנסו כתובות שאינן שייכות למערכת שלכם.
- כבו Wi-Fi בטלפון ואמתו שהגלישה עוברת ברשת הסלולרית.
- בדקו את האפליקציה ורשמו אם מתקבלים וידאו חי, הקלטות או רק הודעת חיבור.
- בדקו בנפרד כתובת דפדפן ידועה, אם קיימת בתיעוד ההתקנה.
- רשמו את הכתובת, הפורט וסוג הממשק שהופיע, בלי לפרסם פרטי גישה.
- זהו לפי כותרת הממשק והגדרות המערכת אם הגעתם למצלמה, למקליט או לנתב.
כך עוקבים אחר מסלול הגישה מרחוק
אחרי שמוודאים שהגישה פועלת מבחוץ, צריך להבין כיצד. ההגדרה החשובה נמצאת בדרך כלל בנתב, במצלמה, במקליט או ביישום ה-VPN. חפשו התאמה בין מה שעובד בפועל לבין אחד המסלולים הבאים.
| מסלול גישה | מה מחפשים | משמעות אופיינית |
|---|---|---|
| חיבור ענן | התקן שמחובר לחשבון או לשירות מתווך | החיבור מתחיל מתוך הרשת ויכול לעבוד בלי הפניית פורטים |
| הפניית פורטים ידנית | כלל בנתב שמחבר פורט חיצוני לכתובת פנימית | שירות במצלמה או במקליט מקבל תעבורה דרך הכתובת הציבורית |
| מיפוי אוטומטי | אפשרות מיפוי פעילה ורשומות שנוצרו אוטומטית | התקן מקומי ביקש מהנתב לפתוח עבורו מסלול נכנס |
| כתובת ציבורית בהתקן | כתובת ניתנת לניתוב שמוגדרת ישירות בממשק רשת | ההתקן עשוי להיות נגיש בלי תרגום כתובות רגיל בנתב |
| VPN או מנהרה פרטית | חיבור VPN פעיל לפני פתיחת הממשק | המשתמש נכנס לרשת פרטית ורק אחר כך פונה להתקן |
בהפניית פורטים ידנית, כלל בנתב מקבל תעבורה בפורט חיצוני ומעביר אותה לכתובת IP פרטית ולפורט פנימי. היעד הפנימי מגלה איזה רכיב נחשף. אם הכתובת שייכת למקליט, אין להסיק שכל מצלמה מחוברת חשופה בנפרד.
מיפוי אוטומטי דומה בתוצאה אך שונה בדרך שבה נוצר. במקום שמישהו יגדיר כלל ידנית, ההתקן מבקש מהנתב ליצור אותו. לכן רשימת ההפניות הידניות עלולה להיראות ריקה בזמן שקיימות רשומות אוטומטיות. יש לבדוק את שני המקומות.
כתובת ציבורית שמופיעה ישירות על התקן דורשת תשומת לב נפרדת. גם אם אין כלל תרגום בנתב, חומת האש עדיין קובעת אילו חיבורים מתקבלים. הדבר נכון במיוחד ב-IPv6, שבו כל התקן יכול לקבל כתובת ניתנת לניתוב בלי להשתמש בהפניית IPv4 רגילה.
איך בודקים פורטים פתוחים במצלמה?
ראשית מזהים איזו כתובת ציבורית הנתב מציג עבור החיבור לאינטרנט. אחר כך משווים אותה לכתובת שאליה האפליקציה או הדפדפן פונים, אם המידע זמין. כתובות שאינן זהות אינן בהכרח תקלה: ייתכן שהספק מתרגם כתובות, שהגישה עוברת בענן או שהמערכת משתמשת בשם מארח שמתעדכן.
איך בודקים פורטים פתוחים של מצלמה?
אפשר לבצע בדיקת פורט חיצונית מול הכתובת הציבורית, כאשר השירות אמור להיות פעיל. בודקים רק פורטים שמתועדים בהגדרות שלכם. תוצאה פתוחה אומרת ששירות כלשהו קיבל את החיבור; היא אינה מזהה לבדה את סוג השירות ואינה מוכיחה שמדובר במצלמה. תוצאה סגורה יכולה לנבוע מחומת אש, משירות כבוי, מכתובת שגויה או מתרגום אצל ספק החיבור.
- השוו את הפורט החיצוני לכלל ההפניה בנתב.
- בדקו לאיזו כתובת IP פרטית ולכל פורט פנימי הכלל מעביר תעבורה.
- זהו את הכתובת הפנימית ברשימת ההתקנים של הנתב.
- עברו על כללי חומת האש, ולא רק על רשימת הפניית הפורטים.
- בדקו אם מיפוי אוטומטי פעיל ואם קיימות רשומות שהתקן יצר.
- בצעו בדיקת IPv6 נפרדת; תוצאת IPv4 אינה עונה עליה.
ב-IPv6 אין להסתפק בחיפוש אחר כלל הפניה. בדקו אם למצלמה או למקליט יש כתובת IPv6 ציבורית, ואילו כללים בחומת האש של הנתב חלים עליה. גם כאן הבדיקה צריכה להגיע מרשת חיצונית. סריקה מתוך הרשת המקומית מלמדת על נגישות פנימית בלבד.
איך מפרשים את תוצאות הבדיקה
הטעות הנפוצה היא לתת לתוצאה משמעות רחבה מדי. אפליקציה שעובדת ברשת סלולרית מוכיחה גישה מרחוק, לא חשיפה ישירה. פורט שמקבל חיבור מוכיח ששירות עונה, אך לא בהכרח מציג וידאו. ממשק התחברות ציבורי מוכיח שהשירות שמציג אותו חשוף, גם אם לא ניתן להמשיך בלי אימות.
| תוצאה | מה אפשר להסיק | מה עדיין לא ידוע |
|---|---|---|
| האפליקציה עובדת ברשת סלולרית | קיים מסלול גישה מרחוק | אם המסלול ישיר, דרך ענן או דרך VPN |
| דפדפן מציג מסך התחברות בכתובת ציבורית | שירות ההתחברות נגיש מבחוץ | אילו שירותים נוספים נגישים |
| בודק חיצוני מדווח על פורט פתוח | שירות מקבל חיבור באותו פורט | אם היעד הוא מצלמה, מקליט או שירות אחר |
| אין מענה בכתובת הציבורית | הבדיקה המסוימת לא הגיעה לשירות | אם קיימים חיבור ענן, IPv6 או כתובת ציבורית אחרת |
| ממשק המקליט נפתח | המקליט חשוף במסלול שנבדק | אם המצלמות עצמן נגישות בנפרד |
כתובת שמופיעה בנתב אך אינה מגיבה מבחוץ עשויה להיות כתובת שעוברת תרגום נוסף אצל ספק החיבור. במצב כזה, הפניית פורטים מקומית לא בהכרח יוצרת מסלול ציבורי מלא. מנגד, חיבור ענן יכול להמשיך לעבוד משום שהוא מתחיל מתוך הרשת.
במערכת עם NVR או DVR, המקליט עשוי להציג את כל הערוצים המחוברים אליו אף שרק הוא נגיש מבחוץ. התמונה מהמצלמות עוברת דרכו. לכן גישה לכל הערוצים אינה ראיה לכך שלכל מצלמה יש ממשק ציבורי משלה. יש להשוות את יעד כללי ההפניה לרשימת הכתובות המקומיות.
בחירת שיטת גישה בטוחה ומצומצמת
המטרה אינה לבטל גישה מרחוק בכל מצב, אלא להשאיר מסלול ברור ונחוץ. התחילו ברשימת המשתמשים שצריכים גישה, המכשירים שמהם הם מתחברים והפעולות שהם מבצעים. בבית זו יכולה להיות צפייה מהטלפון. בעסק קטן ייתכן שנדרשת גם גישה להקלטות ממחשב מורשה.
הסירו כללי הפניית פורטים שאין להם יעד מוכר או צורך פעיל. השבתת שירות במצלמה אינה תחליף למחיקת כלל ישן מהנתב. הכלל עלול להפנות בעתיד להתקן אחר שיקבל את אותה כתובת פנימית. במקביל, השביתו מיפוי אוטומטי אם אף התקן אינו זקוק לו, ובדקו שוב שלא נוצרו רשומות חדשות.
כאשר אפשר, העדיפו מנהרה פרטית או חיבור ענן מנוהל על פני ממשק התחברות ציבורי. מנהרה פרטית מחייבת תחילה כניסה למסלול מאובטח ורק אחר כך גישה לכתובת המקומית. חיבור מתווך מאפשר להתקן ליזום את התקשורת החוצה. בשני המקרים צריך להגן על החשבונות, להסיר משתמשים שאינם נחוצים ולעדכן את התיעוד כאשר מחליפים טלפון או מחשב.
הקלטה מקומית אינה מחייבת חשיפה ציבורית. מצלמה יכולה להקליט אל NVR ברשת המקומית, ומקליט יכול לשמור וידאו גם בלי לקבל חיבורים נכנסים מהאינטרנט. אם אין צורך בצפייה מרחוק, אפשר להשאיר את מסלול ההקלטה המקומי פעיל ולסגור את נתיבי הכניסה.
- תעדו מי זקוק לגישה מרחוק ומאיזה מכשיר.
- שמרו רשימה של כתובות פנימיות, יעדי הפניה ופורטים שנדרשים בפועל.
- הסירו כללים כפולים, ישנים או כאלה שהיעד שלהם אינו מזוהה.
- בדקו בנפרד הגדרות IPv4, הגדרות IPv6 ומיפוי אוטומטי.
- חזרו על הבדיקה מרשת סלולרית אחרי כל שינוי כדי לוודא איזה מסלול נשאר פעיל.
עיקרי הדברים
- גישה מרחוק באפליקציה אינה מוכיחה שהמצלמה מקבלת חיבורים ישירים מהאינטרנט.
- בדיקה אמינה של חשיפה מתחילה ברשת חיצונית, כאשר החיבור לרשת המקומית כבוי.
- כללי הפניית פורטים וחומת האש בנתב מגלים אילו שירותים מקבלים תעבורה נכנסת.
- יש לבדוק בנפרד את המצלמה, מקליט הווידאו והנתב, מפני שכל אחד מהם הוא נקודת קצה אחרת.
- רצוי להשאיר פעילים רק נתיבי גישה מרחוק שנחוצים בפועל ומתועדים היטב.
