nemanagovatelný switch ti neumožní izolovat porty nebo tagovat vlan, každý pak může mluvit s každým připojeným zařízením. Přístup k těmhle aktivním prvkům se ideálně řeší přes revezní proxy nebo SSO bránu (např. občas používám Apache knox, komerčně se používá IBM WebSEAL), ona jediná pak má povoleno síťově komunikovat s konkrétními porty u kamery, provoz jde přes ní, řeší přihlášení či hlídá oprávnění.
Doma nebo v malých instalacích právě používám variantu, kdy připojenou kameru (či televizi nebo jakékoliv zařízení) na nejbližším prvku síťově izoluji a provoz nasměruji přes knox, na autorizaci používám kerberos a s kamerou poté komunikuji přes spnego šifrovaný protokol, knox to přeloží občas i na prosté http (když kamera neumí nic jiného), ale nikdo jiný se k tomu http než knox nedostane. Navenek je pak vše transparentní, v IDM nastavím, který principal může s kamerou komunikovat a IDM podle toho vydává klíče.
K věcem, které jsou připojené mimo prostě vždy přidám krabičku, která ten provoz zabalí a naváže vpn spojení. V desítkách ks používám rád Mikrotik mAP, mám tam nahraný tinc vpn, který zajišťuje bezpečné připojení do sítě. Na FW mám omezené vzdálené adresy, s kterými je možné komunikovat a provoz mustí pouze na vpn brány. Zároveň to je titěrné zařízení, které umí PoE, nepotřebuji k tomu nic pájet a podporovat, stojí to pár stovek a jsem schopný takhle připojit bezpečně kameru, stačí mi k tomu 2 PoE porty.
Ve firemní prostředí na to člověk má lepší nástroje, ale ty nejsou zdarma. Doma to je kvůli ceně těžší. Každopádně mít otevřené kamery přípojené přímo na internet je obrovský nesmysl, jistotou ti je někdo někdy napadne a využije je buď k útoku nebo k napadání dalších zařízení v tvé síti. Nezřídka kdy jsou infikovány malwarem a ten šíří k tomu, když se na ně připojíš. Je v podstatě jedno od kterého výrobce ta kamera je.
8 Odpovědí
3584 Zhlédnutí