Vigilabebés con Tailscale: desde fuera de casa

¿Por qué no usar la nube del fabricante de la cámara, o abrir un puerto?

Hay tres formas de ver una cámara de casa desde un teléfono que no está en casa.

• La nube del fabricante. Una cámara Tapo, Nest o Nanit envía la imagen a los servidores de la empresa y su app la recoge de allí. Funciona en cuanto inicias sesión, y por eso la gente la elige. El precio es que la habitación de tu bebé pasa por servidores ajenos, y a menudo se queda en ellos, protegida por una cuenta a la que un extraño llega con una contraseña reutilizada. La guía de seguridad repasa los casos documentados.
• Abrir un puerto (redirección de puertos). Le dices al router que exponga la cámara a internet. El Centro Nacional de Ciberseguridad del Reino Unido (NCSC) aconseja desactivar la redirección de puertos y el UPnP precisamente porque los ciberdelincuentes pueden aprovechar estas tecnologías para acceder a dispositivos de tu red, como las cámaras inteligentes. La propia página de ayuda de Tapo dice que RTSP y ONVIF «no son protocolos muy seguros y no se recomienda su exposición prolongada en una IP pública», y que una VPN segura y cifrada es el método recomendado. Esta, mejor no.
• Una VPN. Tu teléfono entra en tu red de casa por un túnel cifrado, y la cámara ni se entera de que no está en casa. Tailscale convierte lo que antes era una tarde con el manual del router en dos apps instaladas y un inicio de sesión.

Tailscale se basa en WireGuard y documenta que su arquitectura cifra de extremo a extremo todas las comunicaciones, tanto si los dispositivos se conectan directamente como a través de un relé. Cuando tus teléfonos no pueden conectarse directamente, sus relés DERP reenvían los paquetes, pero, como las claves privadas de Tailscale nunca salen del dispositivo que las generó, un servidor DERP no puede descifrar el tráfico. Otras opciones, como WireGuard configurado por ti en el router o ZeroTier (gratis hasta 10 dispositivos), hacen lo mismo con más esfuerzo, o con otro; esta guía se queda con Tailscale porque es lo que Mamoon te explica en sus ajustes.

Opción 1: la cámara es un teléfono viejo

Es el caso habitual con Mamoon, con un iPhone o un Android viejo junto a la cuna como cámara, y el más fácil, porque un teléfono puede ejecutar Tailscale él mismo. Cómo preparar el teléfono del bebé está en la guía del teléfono viejo; aquí le añadimos el acceso remoto.

1. Crea una cuenta de Tailscale. Entra en tailscale.com e inicia sesión con una cuenta de Apple, Google, Microsoft o GitHub; Tailscale no tiene contraseñas propias. El plan Personal es gratis.
2. Instala Tailscale en el teléfono de la cuna. App Store en iPhone (iOS 15 o posterior), Google Play en Android (Android 8 o posterior). Ábrelo, toca «Get Started», permite la configuración de VPN cuando el teléfono lo pida e inicia sesión con la misma cuenta.
3. Instala Tailscale en tu teléfono de la misma forma, con la misma cuenta. Los dos teléfonos aparecen ahora en la app de Tailscale como miembros de una misma red privada. Deja Tailscale activado en los dos.
4. Conéctalos una vez en casa. Con los dos teléfonos en tu wifi, abre Mamoon en el del bebé y elige «Junto a la cuna»; luego conéctate desde tu teléfono como siempre. Mamoon apunta la dirección de Tailscale del teléfono del bebé para más adelante.
5. Sal de casa. Para probarlo, apaga el wifi de tu teléfono: Mamoon sigue mostrando la cuna con datos móviles. Desde ahora, Mamoon usa el wifi de casa cuando estás en casa y Tailscale cuando no.

Opción 2: la cámara pasa por Home Assistant o go2rtc

Si tus cámaras ya pasan por go2rtc, sea en Home Assistant o en Frigate, lo que va en Tailscale es el servidor, no la cámara. Home Assistant tiene un complemento de la comunidad para Tailscale: instálalo desde la tienda de complementos, inícialo, abre su interfaz web e inicia sesión en tu cuenta de Tailscale. Tu teléfono, con Tailscale instalado como en la opción 1, llega entonces a la emisión de go2rtc desde cualquier sitio; en Mamoon escribes la dirección de Tailscale del servidor en lugar de la de casa. El resto, los nombres de las emisiones y el requisito de sonido G.711, está en la guía de Home Assistant.

Si ya entras en tu panel de Home Assistant a través de Tailscale, Mamoon usa esa misma conexión.

Opción 3: una cámara Wi-Fi leída directamente (Tapo y compañía)

Una cámara Tapo, Hikvision, Dahua o Imou que Mamoon lee por RTSP, como en la guía de cámaras IP, no puede instalar Tailscale. Algo en casa tiene que prestarle la conexión. Tailscale lo llama router de subred: un dispositivo de tu red que amplía tu red de Tailscale para incluir dispositivos que no tienen o no pueden tener el cliente de Tailscale. Puede hacerlo una Raspberry Pi, un NAS, un ordenador siempre encendido o el complemento de Home Assistant (su opción advertise_routes); Tailscale cita Linux, macOS, Windows, Android y Apple TV.

En resumen: en ese dispositivo le dices a Tailscale que anuncie tu subred de casa, normalmente 192.168.1.0/24, y luego apruebas la ruta una vez en la consola de administración de Tailscale, en el apartado Subnets de esa máquina. Desde entonces tu teléfono, fuera de casa, llega a cualquier dirección de tu red, también a la cámara. Mamoon muestra una lista de comprobación en sus ajustes para que lo vayas marcando paso a paso.

¿Qué tienes fuera de casa?

El mismo vigilabebés, con datos móviles. Sonido e imagen de la cuna, los estados Calma / Ruido / Llanto, las alertas de llanto como notificaciones normales y el resumen de la mañana. La detección de llanto sigue funcionando en el teléfono del bebé, así que el sonido no va a ningún sitio más que a ti. Si se corta la conexión, Mamoon se pone en gris a los 20 segundos más o menos y te dice que no está vigilando, que con una cobertura móvil inestable es justo el aviso que agradecerás.

La imagen gasta datos, así que con una tarifa pequeña la vista «Solo sonido» es la opción ahorradora. Y lo que es privado en casa sigue siéndolo fuera: sin cuenta de Mamoon, sin nube de Mamoon, sin ningún vídeo guardado en ningún sitio. La única cuenta que hay es tu inicio de sesión de Tailscale, así que protégela con verificación en dos pasos, como harías con tu correo.

Cuándo Tailscale no es la respuesta

• Quieres verlo a distancia sin configurar nada. Eso es lo que vende la nube del fabricante, y para una cámara que miras sobre todo desde el trabajo es un trato razonable. Eso sí, activa la verificación en dos pasos.
• La cámara está apagada. Una VPN no puede encender una cámara en el modo privacidad de Tapo o en un enchufe inteligente; una automatización de Home Assistant sí, y la guía de Home Assistant explica cómo encaja con Mamoon.
• Necesitas hablar con el bebé, nanas o grabaciones. Mamoon no tiene nada de eso, ni en casa ni fuera.
• Quieres ver dos habitaciones a la vez. Mamoon muestra una cámara en cada teléfono de los padres.

Preguntas frecuentes