Как получить доступ к разным устройствам в локальной сети из внешней по 1 ip адресу?

Question

[kustiktm]

Всем привет. Короче есть проблема. У меня дома есть камеры наблюдения и пк с включенным удаленным доступом + WOL. Есть статический 1 ip адрес. Я немного тупенький в этом.
Как сделать маршрутизацию между ними, чтобы я мог работать с каждым устройством? Что для этого нужно?

Comments

[kustiktm]

Так. Я понял, что сейчас есть два варианта.
1. VPN на роутере
2. Проброс портов
Какие могут быть дыры в обеих способах?

Answer 1

[Vadim Priluzkiy]

Проброс портов, как сказали выше, но это не слишком безопасно, точнее сказать совсем небезопасно. Лучше поднять VPN, через который уже и получать доступ к внутренней сети.

Comments

[АртемЪ]

Vadim Priluzkiy, А какая опасность в пробросе портов??? Что там может быть небезопасного?

[Vadim Priluzkiy]

АртемЪ, https://www.zoomeye.org/searchResult?q=app%3A%22Li... например -- торчащие голой попой в интернет. Плохо даже не то что левые люди получают доступ к камерам, хуже то что периодически находят уязвимости во всяких IOT устройствах, через которые уже получают доступ во внутреннюю сеть.

[Владимир]

АртемЪ, не так давно лечил шесть камер, которые подняли у себя DHCP, начали мониторить трафик и отсылать в неизвестном направлении. На них как раз был доступ через проброс портов.
kustiktm_kirill, если ip "белый" - то VPN, если нет - то VPS за 200 рублей в месяц, и на нём VPN.

[kustiktm]

Владимир, ip белый

[Владимир]

kustiktm_kirill, тогда на устройстве которое вытянет подними VPN, а на шлюзе пробрось до него порты. Если позволяет шлюз - поднимай VPN на нём.

[kustiktm]

Владимир, на роутере имеется фишка для своего vpn

[Владимир]

kustiktm_kirill, и в чем тогда вопрос?

[АртемЪ]

Vadim Priluzkiy, А при чем тут проброс портов?
Если выставляют наружу, в интернет - надо настраивать нужную безопасность.
Например доступ к только с одного адреса, как обычно делается.

Если нужна безопасность - ее надо настраивать.
Но при чем тут проброс портов? Он полностью безопасен!

[YMakeev]

АртемЪ, Писалось выше. Проблема не в самом пробросе, как средстве, а в том, что твои устройства внутри - сломают и намного быстрее.

Вариант с ВПН - идеален.

[АртемЪ]

YMakeev, Вариант с VPN далеко не идеален, хотя удобен в некоторых случаях.
В большинстве же случаев VPN просто не нужен.

[kustiktm]

АртемЪ, в чем преимущество VPN от проброса портов? Иль его нет? У меня роутер Tenda AC10U. Там уже просто есть встроенный сервис для открытия vpn pptp

[АртемЪ]

kustiktm_kirill, VPN изолирует вашу внутреннюю сеть - сначала нужно подключиться к VPN, и только потом получите доступ к камерам. Плюс в случае VPN возможно шифрование трафика. Поэтому решение вполне неплохое, но зачастую излишнее.

В большинстве случаев достаточно просто ограничить адреса с которых будут подключаться к камерам на файерволе.

[YMakeev]

А если подключается с динамических адресов, что делать будем?
ВПН сразу скрывает начинку вашей сети. А вот если с пробросом портов и без ограничения по адресам то может быть швах. Поверхность атаки значительно выростает:
Можно роутер ломать,
Можно камеры ломать, каждую отдельно...
Можно ломать и долбить все порты, что торчат наружу и брутфорсить их...

[kustiktm]

АртемЪ, Я буду подключаться с динамического ip адреса

Answer 2

[АртемЪ]

Как получить доступ к разным устройствам в локальной сети из внешней по 1 ip адресу?

Пробросить порты. Доступ из интернета возможен только в случае если у вас есть белый IP адрес. Если же просто из внешней сети - тогда не обязательно.

Как сделать маршрутизацию между ними, чтобы я мог работать с каждым устройством?

Маршрутизация тут никак не поможет, у вас NAT.

Просто пробрасываете для каждой камеры свой порт. Потом подключаетесь к нужной камере указывая порт, и все.
Например у вас три камеры на локальных адресах 192.168.0.1, 192.168.0.2, 192.168.0.3. Доступ к камере осуществляется на порту 4000.
Значит вы просто пробрасываете 50001 на адрес 192.168.0.1 и порт 4000, порт 5002 на адрес 192.168.0.2 и порт 4000 и так далее.
Когда надо попасть на первую камеру подключаtтесь - внешний_IP:50001

Answer 3

[chifth]

Если простенько и со вкусом:
- Ставим OpenWRT на маршрутизатор
- Настраиваем проброс портов к камерам
- Настраиваем фаервол по типу (не больше 5 новых подключений в сутки на порт камеры)
- Вех кто ломится на стандартные порты - вообще бан на сутки по первому же поводу.
- Ставим нормальные пароли на камеры

Главное не выстрелить себе в ногу

Comments

[kustiktm]

Нет необходимости в OpenWRT, на роутере уже есть все настройки. Но вариант хороший

[chifth]

kustiktm_kirill, хозяин-барин, как говорится.
Мне всегда казалось мало настроек в стоковой прошивке (ну разве что кроме микротика).
А OpenWRT это же чистый Linux. Если память позволяет - можно очень многое прикрутить. В том числе и разнообразные правила в iptables. И Wireguard VPN например. Него точно нету нигде в стоке.

[kustiktm]

chifth, у меня роутер Tenda AC6 с прошивкой multi. Мне функционала хватает пока что. У меня стоит OpenWRT на втором роутере. Мне кажется, что там достаточно сложно сразу разобраться, по крайней мере для меня первое знакомство с ней было еще той проблемой.

[chifth]

kustiktm_kirill, не сложнее чем с микротиком :)
Мне даже проще оказалось.
Почему я так топлю за опенврт? Из-за iptables. В стоковой у вас есть возможность самому писать правила фаервола?

Тут писали что безопасно это только впн.
В принципе, согласен, но имхо, можно сделать и проброс с жёсткой фильтрацией. Тогда выйдет не хуже.
Например повесить всё на нестандартные порты, а всех кто соединяется на стандартные 22, 119, 80, RDP,... - блокировать сразу на много часов (защита от портскана).
И получится что ваша новогодняя ёлка из портов не скоро обнаружится.