家庭监控的安全和隐私问题

[HackerTerry]

如题，最近打算再买一个新的监控摄像头，但是有点纠结买什么品牌和型号的。因为国内家里平常只有老母亲一个人居住，人在海外不是很放心，便打算把监控放在主卧，方便随时查看老母亲和宠物的情况。 目前国内家里的宽带有公网 IP ，已经有了两个支持 ONVIF 协议的 TP-LINK 摄像头，连接到威联通 NAS 存储录像，也可以通过威联通 NAS 的监控套件查看录像回放、直播和控制云台转动。主路由是爱快路由器，看到 V 友们普遍采取禁用监控联网权限的方法来避免泄露隐私，但是平时老母亲会用监控的语音对讲和云台控制功能，出门在外也会用监控看家里的宠物。这些功能都依赖 TP-LINK 的官方 APP ，只能允许监控联网，也有泄露隐私的风险。出国之前给母亲的手机上安装了 wireguard 方便连回家，但是她一直用不习惯，出门在外看监控也经常忘记打开 wireguard ，有没有什么好的方案可以平衡隐私和便利呢？ 家中的路由器都是爱快的，也考虑过 ac+ap 配置 VLAN ，把家庭设备（手机、电脑）、NAS 、打印机和监控之类的物联网设备隔离开，但是一直没研究明白怎么配置设备跨 VLAN 互访，也希望大佬们能够多多指教~

[liuyee]

可以买个智能插座，不看监控的时候关闭插座

[shinsekai]

纯本地摄像头连接电脑，电脑 24 小时开机，然后登远程桌面看

[Damn]

看你愿不愿意相信运营商，以及你所在的地方运营商有没有整活。
https://www.chiphell.com/thread-2666772-1-1.html

[Damn]

@Damn 你的老母亲可以无感访问，你自己 VPN 回家。

[alfawei]

出国之前给母亲的手机上安装了 wireguard 方便连回家，但是她一直用不习惯，出门在外看监控也经常忘记打开 wireguard => 设置自动化，打开 APP 会自动启动 wireguard 连接

[dfly0603]

支持 ONVIF Profile T 就能利用通用客户端实现双向语音

[xcodeghost]

你人在国外，稳定使用要放在第一位，搞挂了网络怎么办。不要搞那么复杂，万一哪一天运营商的公网 IP 给你取消了呢。

[archxm]

好像数据传到服务器是不加密的，中间某个路由器，如果有监控，可以截获数据。

[wolonggl]

直接 萤石之类就可以了。老人使用方便简单，隐私其实不太重要

[xiamy1314]

TP LINK 就挺好。。。至于隐私。。。。考虑的可能有点多了。

[clemente]

买两个米家摄像头完事了 搞那么复杂

[azhangbing]

家里 4 个米家 除了卫生间和厨房卧室 其他地方都有监控

[Elissa]

隐私这玩意只能说全看监控运营方，我司在我们自己系统里接入某运营商的共享视频，来源就是宽带业务捆绑的摄像头增值服务，这种监控理论上是放在室外的，但是我们在过滤站点的时候，发现有卧室、食堂后厨、办公室走廊、等等室内场景，我们拿视觉大模型过滤了一遍，已经把室内站点列表反馈给了运营商

[carrionlee]

我的做法
1. camera 单独一个 vlan
2. 禁止这个 vlan 访问互联网，只允许 main lan 访问这个 vlan
3. 做好回家网络，平时手机反正一直开着 vpn ，你可以给你母亲设置好，平时也一直开着，规则不影响她正常上网就行
4. 这样在外也可以通过摄像头的 app ，使用局域网 ip 访问

[ptrxeu]

@carrionlee 同样操作 - cams 和 smart home 用单独 vlan, 禁止 wan access 只允许 home hub(apple tv) 和 vpn 访问. 只要能隔离开的设备都单独 vlan

[zyp38263547]

如果用 ios 的话，可以试试快捷指令（设置繁体中文的话，叫捷径），离开特定 wifi 自动连上 wireguard ，回到家里连上家里的 wifi 自动断开。

[MacsedProtoss]

使用 HomeKit 摄像头 对讲和串流走苹果的中转 这是最兼顾隐私的简单远程访问方案了

[datocp]

无解吧？

语音功能要用到互联网，至于语音和监控的功能关系，不解。

比较正常的情况，都是禁止监控联互联网，手机 vpn 访问。看似这么简单的功能萤石/大华好像都不行，海康的 ivms4500 也下架了，不确认新出的产品能否 vpn 再内网访问。看似在这个站也只剩下 tplink ，又因为语音功能要启用互联网。。。

[zsqduke]

@dfly0603 老哥有没有手机已知支持 profile T 的品牌或型号

[zsqduke]

@dfly0603 手机=收集

[6AbK2rj2vLBD]

使用 tailscale ，

[dfly0603]

@zsqduke 根据这位博主所说（ https://akbwe.com/posts/how-to-make-a-homekit-video-doorbell-using-scrypted/），海康的没有问题。我自己买的 tplink 在使用 PTZ 的时候会有问题，云台转动限位会卡住，不知道新固件有没有解决。大华的没试过，目前插在 NVR 上录像。

[wolffcat]

海康 大华 次之 tplink 最次之就是某些米、某 60 之类的代工产品 想安全就控制出口路由端口暴露，以及 wifi 密码，如果 wifi 密码泄露，考虑得关闭监控不必要的服务 比如组播推流，也可以考虑 vlan 隔离，直接镜头 vlan 隔离，只把 nvr 做 Nat 映射只访问 nvr 就好了。
考虑到其他安全，你是否有资金财力自己实现公网远程访问，如果是这样你完全可以不依赖厂商的云服务，或者是你 nvr 和镜头不是同一品牌，停用镜头的厂商云接入功能，只需要 nvr 做外网访问即可。

[anonymity]

不知道有没有开源的监控方案

[zfree]

ubnt 方案

[HackerTerry]

@liuyee 看监控的时候手动开启，不看的时候就直接断电？也是个办法，就是不知道稳不稳定
@shinsekai 人不在家的时候不太方便吧，而且老母亲也习惯用手机 app
@Damn 前置条件看起来有点高啊，要折腾一下了，也不知道家里的宽带有没有完成 vBRAS 改造
@xcodeghost 是，我也担心公网 IP 被回收这个问题，所以怎么样能兼顾隐私和稳定使用呢？
@carrionlee vlan 多了 WiFi 名称也要相应变多吧？那家里就有四个 ssid 了（家庭+访客+物联网+监控），可以把监控和其它的物联网设备放在一个 vlan 下吗？爱快路由器可以按照 mac 地址禁止设备联网
@alfawei @zyp38263547 那如果退出了 qvr pro 这种监控软件，wireguard 也能自动断开并退出吗？老母亲经常忘记断开 wireguard 连接
@datocp 其实爱快路由器可以按照 mac 地址禁止设备联网，但是语音对讲、转动云台、人形侦测这类功能好像只有 tplink 的官方 app 才能用？

[HackerTerry]

@MacsedProtoss 那已有的 tplink 摄像头能够接入苹果的家庭吗？之前试过 home assistant ，但是经常掉线，家庭 app 也看不到画面
@wolffcat 海康和大华的监控支持 onvif 和录像存储到 nas 吗？有一台 cn2 gia 线路的 vps ，可以实现公网远程访问吗？

[undefinedsymbol]

老人的话，隐私问题应该不是那么重要吧，优先稳定性吧，毕竟人在国外，稳定性第一。

[wolffcat]

@HackerTerry 你得买商用版 不能买家庭版 买之前看型号参数支持什么协议 国标？ rtsp ？组播？ ONVIF 版本？私有协议？ RTSP over TLS ？你和 nas 的协议 不管你是 nas 和 nvr 你都得看什么协议
大华和 tp 的商用我都有 是商用！不是家用！都有 rtsp 和 onvif tp 我记得还有个 ftp 协议 稍有些不专业

[carrionlee]

@HackerTerry unifi 可以同一个 wifi ssid ，通过不同的密码接入不同的 vlan

[HackerTerry]

@carrionlee 这功能有点厉害了，可惜我没有 unifi 设备

[dude4]

你目前的方法我觉得就可以了，IPV4 确实够呛，但是 IPV6 公网大部分地区还是都有的，不放心你只有打洞了
我目前也在用 TP 的摄像头，如果路由器是 openwrt ，直接一条防火墙规则丢弃转发就禁止联网了，对摄像头和智能电视灰常有用，TP 的 app 本地可以连接摄像头的，不需要登录。

[cheshirex]

老人一个人在家，建议是结构越简单越好，我在用的是 3 个 TP 摄像头+1 个 NVR 录像机，通过网线连接，录像机插了一块 4T 西数紫盘，可以回放 2 个月的录像。已经用了四五年了。
智能开关可以考虑下，远程断电送电。不过频繁断电不知道会不会对设备造成影响。TP 摄像头应该支持视频遮挡吧，我三个都看到有这个功能。

[HackerTerry]

@dude4 公网 ipv6 肯定是有的，就是不放心给摄像头分配 ipv6 地址，那样更不安全了

[HackerTerry]

@cheshirex 确实可以定时视频遮挡，但这样就只能依赖 tplink 的官方 app 了，不知道有没有开源方案能够代替 tplink 官方 app 实现这些功能？

[dude4]

@HackerTerry 能保证公网 IP ，那就用 VPN 回家连 TP 的 app 呗，本地局域网连摄像头不需要登录，在路由器防火墙里丢弃摄像头数据转发，就可以禁止联外网，我就是这样用的。