Niania elektroniczna poza domem: Tailscale

Dlaczego nie chmura producenta kamery ani otwarty port?

Są trzy sposoby, żeby zobaczyć domową kamerę z telefonu, który nie jest w domu.

• Chmura producenta. Kamera Tapo, Nest czy Nanit wysyła obraz na serwery firmy, a jej aplikacja pobiera go stamtąd. Działa od razu po zalogowaniu i dlatego tyle osób to wybiera. Cena: Twój pokoik przechodzi przez cudze serwery, a często też na nich leży, chroniony kontem, od którego do obcej osoby dzieli jedno ponownie użyte hasło. Poradnik o bezpieczeństwie omawia udokumentowane przypadki.
• Przekierowanie portów. Mówisz routerowi, żeby wystawił kamerę do internetu. Brytyjskie National Cyber Security Centre radzi wyłączyć przekierowanie portów i UPnP właśnie dlatego, że przestępcy mogą wykorzystać te techniki, żeby dostać się do urządzeń w sieci domowej, na przykład inteligentnych kamer. Sam TP-Link w FAQ Tapo pisze, że RTSP i ONVIF „nie są bardzo bezpiecznymi protokołami” i nie zaleca się ich długotrwałego wystawiania na publiczny adres IP, a jako zalecane rozwiązanie wskazuje szyfrowany VPN. Odpuść tę drogę.
• VPN. Telefon dołącza do sieci domowej szyfrowanym tunelem, a kamera nigdy nie dowiaduje się, że nie jesteś w domu. Tailscale zamienia wieczór z instrukcją routera w dwie instalacje aplikacji i jedno logowanie.

Tailscale opiera się na WireGuard i dokumentuje, że jego architektura szyfruje całą komunikację od końca do końca, niezależnie od tego, czy urządzenia łączą się bezpośrednio, czy przez przekaźnik. Gdy Twoje telefony nie mogą się znaleźć bezpośrednio, pakiety przekazują przekaźniki DERP Tailscale; ponieważ klucze prywatne nigdy nie opuszczają urządzenia, które je wygenerowało, serwer DERP według Tailscale nie jest w stanie odszyfrować ruchu. Inne rozwiązania, na przykład WireGuard skonfigurowany na routerze albo ZeroTier (ma darmowy plan Personal), robią to samo większym lub innym nakładem pracy; ten poradnik zostaje przy Tailscale, bo właśnie nim Mamoon prowadzi Cię w ustawieniach.

Wariant 1: kamerą jest stary telefon

To najczęstszy przypadek z Mamoonem, w którym kamerą jest stary iPhone albo telefon z Androidem przy łóżeczku, i najprostszy, bo telefon sam uruchomi Tailscale. Jak ustawić telefon przy dziecku, opisuje poradnik o starym telefonie jako niani elektronicznej; tutaj dochodzi dostęp spoza domu.

1. Załóż konto Tailscale. Wejdź na tailscale.com i zaloguj się kontem Apple, Google, Microsoft lub GitHub; Tailscale nie ma własnych haseł. Plan Personal jest bezpłatny.
2. Zainstaluj Tailscale na telefonie przy łóżeczku. Z App Store na iPhonie (od iOS 15) albo z Google Play na Androidzie (od wersji 8). Otwórz aplikację, zezwól na konfigurację VPN, gdy telefon o to zapyta, i zaloguj się tym samym kontem.
3. Zainstaluj Tailscale na swoim telefonie tak samo, tym samym kontem. Oba telefony pojawią się w aplikacji Tailscale jako członkowie jednej prywatnej sieci. Zostaw Tailscale włączony na obu.
4. Połącz się raz w domu. Przy obu telefonach w sieci Wi‑Fi otwórz Mamoona na telefonie przy dziecku, wybierz „Przy łóżeczku” i połącz się ze swojego telefonu jak zwykle. Mamoon zapamięta adres Tailscale telefonu przy dziecku na później.
5. Wyjdź z domu. Na próbę wyłącz na swoim telefonie Wi‑Fi: Mamoon nadal pokaże łóżeczko, tym razem przez internet mobilny. Odtąd w domu Mamoon używa Wi‑Fi, a poza domem Tailscale.

Wariant 2: kamera działa przez Home Assistant lub go2rtc

Jeśli Twoje kamery już działają przez go2rtc, w Home Assistant albo Frigate, Tailscale dostaje serwer, nie kamera. Dla Home Assistant jest dodatek społeczności z Tailscale: zainstaluj go w sklepie z dodatkami, uruchom, otwórz interfejs w przeglądarce i zaloguj się kontem Tailscale. Twój telefon, z Tailscale jak w wariancie 1, dotrze wtedy do strumienia go2rtc z każdego miejsca; w Mamoonie wpisujesz adres serwera w Tailscale zamiast adresu domowego. Resztę, nazwy strumieni i wymagany dźwięk G.711, wyjaśnia poradnik o Home Assistant.

Jeśli do pulpitu Home Assistant już docierasz przez Tailscale, Mamoon jedzie tym samym połączeniem.

Wariant 3: kamera Wi‑Fi bezpośrednio (Tapo i spółka)

Kamera Tapo, Hikvision, Dahua lub Imou, którą Mamoon odczytuje przez RTSP, jak w poradniku o kamerze IP, nie zainstaluje Tailscale. Ktoś w domu musi jej pożyczyć połączenie. Tailscale nazywa to subnet routerem: urządzenie w Twojej sieci, które rozszerza sieć Tailscale o urządzenia niemogące uruchomić klienta Tailscale. Poradzi sobie z tym Raspberry Pi, serwer NAS, komputer działający non stop albo dodatek do Home Assistant (opcja advertise_routes); Tailscale wymienia Linux, macOS, Windows, Androida i Apple TV.

W skrócie: na takim urządzeniu mówisz Tailscale, żeby ogłosiło Twoją sieć domową, na przykład 192.168.1.0/24 (pierwsze trzy liczby adresu routera), i raz zatwierdzasz trasę w konsoli administracyjnej Tailscale przy tym urządzeniu. Potem Twój telefon poza domem dociera do każdego adresu w sieci domowej, także do kamery. Mamoon pokazuje w ustawieniach listę kontrolną, którą odhaczasz punkt po punkcie.

Co dostajesz poza domem?

Tę samą nianię elektroniczną, tylko przez internet mobilny. Dźwięk i obraz z łóżeczka, stany Spokój, Odgłosy i Płacz, alarm o płaczu jako zwykłe powiadomienie i przegląd rano. Rozpoznawanie płaczu nadal działa na telefonie przy dziecku, więc dźwięk nie trafia nigdzie poza Tobą. Gdy połączenie się urwie, po około 20 sekundach Mamoon robi się szary i mówi, że w tej chwili nie czuwa; przy kapryśnym internecie mobilnym to właśnie ten alarm, z którego się ucieszysz.

Wideo zużywa pakiet danych, więc przy małym pakiecie oszczędnym wyborem jest widok „Tylko dźwięk”. A to, co w domu zostaje prywatne, zostaje takie też poza nim: bez konta Mamoona, bez chmury Mamoona, bez zapisanego nigdzie nagrania. Jedyne konto w grze to Twój login Tailscale, więc zabezpiecz go uwierzytelnianiem dwuskładnikowym, tak jak pocztę.

Kiedy Tailscale to nie odpowiedź

• Chcesz dostępu spoza domu zupełnie bez konfiguracji. Dokładnie to sprzedaje chmura producenta i dla kamery, na którą patrzysz głównie z pracy, to uczciwa wymiana. Włącz tylko uwierzytelnianie dwuskładnikowe.
• Kamera jest wyłączona gniazdkiem. VPN nie włączy kamery w trybie prywatności Tapo ani na inteligentnym gniazdku; automatyzacja w Home Assistant może, a poradnik o Home Assistant pokazuje, jak Mamoon ją wyzwala.
• Potrzebujesz rozmowy dwustronnej, kołysanek albo nagrań. Mamoon nie ma żadnej z tych rzeczy, ani w domu, ani poza nim.
• Chcesz widzieć dwa pokoje naraz. Mamoon pokazuje jedną kamerę na telefon rodzica.

Pytania