27 ноября 2013 г.
Вопросам безопасности подключения можно посвятить отдельную развернутую статью, так как здесь слишком много вещей, подлежащих рассмотрению. В этой статье постараемся обратить внимание только на основные положения.
Необходимо помнить, что как только Вы подключаетесь к внешнему каналу с возможностью доступа к Вашей сети из Интернета, Вы даете возможность различным людям и программам попытаться получить санкции на доступ в сеть. В настоящее время появилось достаточно много средств, позволяющих просканировать доступные порты Вашего подключения, попытаться подобрать пароли на вход, организовать атаку на Ваш маршрутизатор таким образом, чтобы вызвать отказ соединения... Занимаются такими вещами как люди ("хакеры"), так и различного рода зловредные программы - вирусы, сетевые черви и т.п. Самое главное - помните, что Ваша система может быть уязвима, если не соблюдать некоторые простые правила:
Не стоит думать, что Ваша система никому не интересна, и в Вашу сеть никто не полезет. Это не так.
Не стоит надеяться только на парольную защиту - как показывает практика, пароли воруются или подбираются.
Не стоит оставлять в системе доступными порты, которые не используются Вашим оборудованием. Свободный порт - дырка в системе безопасности.
Очень желательно имена и пароли иметь такими, которые не могут подобрать программы-подборщики. Лучше всего иметь пароли несмысловыми. Например - пароль admin1234 весьма уязвим. В то же время пароль вида x4_%er4Df подобрать намного сложнее.
Пароли записывать не стоит. Лучше их запоминать. Если все же Вы записываете пароли, храните их так, чтобы к ним имел доступ только ограниченный круг лиц.
Данные входа (имена и пароли) стоит менять с определенной периодичностью. Скажем, раз в месяц.
При настройке внешнего канала запрещайте доступ на Ваш IP адрес с помощью протокола ICMP - тогда внешние зловреды не смогут найти Ваш IP с помощью команд ping. Это не всегда возможно, но сделать желательно.
Если Вы не собираетесь использовать внешнее подключение для настроек Вашей системы, разрешайте внешний вход только для непривилегированных пользователей. Например, многие видеорегистраторы запрещают удаленный вход с правами администратора системы - только операторам. Тогда в систему будет разрешен вход только на просмотр, но не для настроек. Настройка системы будет производиться только с локальной консоли.
Если Вы используете беспроводные соединения (для внешнего канала или в составе Вашей локальной сети), используйте защиту канала с помощью одного из методов шифрования и защищенной аутентификации (регистрации) в сети. Например, для WiFi можно использовать методы WPA2, WPA или WEP с достаточно длинным ключом шифрования, выбранным по правилам для паролей.
Выбор оборудования
Стандартная схема подключения системы (локальной сети) к внешнему каналу содержит некоторое устройство подключения (модем) и маршрутизатор ("роутер", "рутер"). Модем в этом случае может выполнятьСхема подключения внешнего канала функции маршрутизатора, если в нем предусмотрена такая возможность.
Модем (или часть маршрутизатора) обеспечивает подключение к внешнему каналу и (при необходимости) преобразование физической среды передачи из формата внешнего канала к требуемому формату локальной сети (обычно медный кабель Ethernet). Например, кабельный модем сети телевидения, точка доступа к сети WiFi или ADSL модем. В зависимости от требований провайдера этот узел может быть предписан свойствами подключения и выдаваться самим провайдером. Так что выбор модема и режимов его работы сильно зависит от провайдера.
Режим работы модема также зависит от его функциональности. Современные модемы (кроме самых простых) могут работать как в режиме моста (bridge), так и в режиме маршрутизатора (router). Если модем может работать в режиме маршрутизатора, то может оказаться, что на него можно возложить функции как модема, так и маршрутизатора. Это зависит от требований провайдера - некоторые провайдеры требую работы модема только в режиме моста.
Маршрутизатор служит для выполнения нескольких функций. Нас интересуют следующие:
обеспечения преобразования адреса внешнего канала во внутреннюю адресацию Вашей локальной сети. Это нужно для того, чтобы организовать работу с Интернетом нескольких рабочих мест Вашей сети совместно. Такая функция называется NAT (Network Address Translation). Именно эта функция маршрутизатора позволяет Вам открыть доступ внешним клиентам к определенным портам Вашего видеорегистратора;
создания защитного "слоя" для предотвращения несанкционированного доступа к Вашей сети. Эта функция называется "огненной стеной" (firewall) и реализована в большинстве маршрутизаторов. Firewall обеспечивает многие из требований, указанных в разделе этой статьи, посвященном безопасности;
в том случае, если Ваш провайдер не предоставляет постоянный внешний IP-адрес, машрутизатор должен иметь в своем составе клиент сервиса предоставления динамического DNS, такого как DynDNS или подобного.
Итак, для выбора оборудования надо учесть следующее:
Какое оборудование для подключения рекомендует (или требует) использовать провайдер.
В каком режиме будет работать оборудование доступа к внешнему каналу - в режиме моста или маршрутизатора.
Как будет предоставляться доступ извне к Вашей сети - с помощью постоянного или динамического IP-адреса.
Какие порты разрешены для подключения к Вашей сети и какие блокируются оборудованием провайдера.
Исходя из этих соображений можно выбрать оборудование из очень большого списка недорогих, но эффективных устройств, предлагаемых различными производителями. Кроме того, можно значительно сэкономить на приобретаемом оборудовании, используя устройства, совмещающие в себе функции модема и маршрутизатора. Многие маршрутизаторы имеют также встроенный коммутатор на необходимое число портов, позволяющие организовать небольшую локальную сеть без использования отдельного коммутатора.
Позволим себе обратить Ваше внимание на хорошо зарекомендовавшую себя продукцию фирм Dlink (маршрутизаторы серии DIR-100, DIR-300, ADSL модемы серии DSL-2500, DSL-2520, DSL-2540 и т.п.), Zyxel (ADSL модемы серии P-660RT2, P-660HT2, P-660HTW2 и другие), LinkSys и других. Большинство указанных устройств имеют всю необходимую функциональность для организации подключения системы видеонаблюдения к сети Интернет.
