Cách an toàn nhất cho gia đình để xem camera từ xa là dùng kết nối đám mây hoặc P2P có sẵn trong ứng dụng chính thức của hãng, kèm mật khẩu mạnh và xác thực hai lớp; cách rủi ro nhất là mở cổng modem để đưa thẳng trang đăng nhập đầu ghi ra Internet. Cửa hàng, nhà xưởng cần quản lý chặt hơn thì dùng VPN về mạng nội bộ.
Rất nhiều hệ camera lắp vài năm trước vẫn đang chạy theo kiểu mở cổng cộng tên miền động, vì đó từng là cách phổ biến của thợ lắp. Bài này giải thích ba cách kết nối, chỉ cách kiểm modem nhà bạn có đang mở cổng không, cách chuyển sang phương án an toàn hơn, và những thói quen giữ chiếc điện thoại xem camera khỏi thành điểm yếu.
Ba con đường để camera ra ngoài Internet
Camera và đầu ghi nằm trong mạng nhà, phía sau modem. Muốn xem từ nơi khác, cần một con đường từ Internet đi vào. Có ba cách phổ biến. Cách thứ nhất là kết nối qua máy chủ của hãng, thường gọi là đám mây hay P2P: thiết bị chủ động kết nối ra máy chủ trung gian, điện thoại của bạn cũng kết nối tới đó, hai bên gặp nhau mà modem không phải mở cửa nào.
Cách thứ hai là mở cổng, hay chuyển tiếp cổng: bạn cấu hình modem để mọi kết nối từ Internet tới một cổng nhất định được chuyển thẳng vào đầu ghi. Thường đi kèm một dịch vụ tên miền động để có địa chỉ dễ nhớ, vì địa chỉ IP nhà mạng cấp hay đổi. Cách này từng phổ biến vì không phụ thuộc máy chủ hãng.
Cách thứ ba là VPN về nhà: router hoặc một thiết bị trong nhà chạy máy chủ VPN, điện thoại của bạn kết nối vào đó như thể đang đứng trong mạng nội bộ, rồi mới xem đầu ghi. Từ Internet, không ai thấy đầu ghi; chỉ thấy cổng VPN, vốn được thiết kế để chịu được tấn công tốt hơn trang đăng nhập của một chiếc đầu ghi.
So sánh ba cách theo rủi ro và công sức
Bảng dưới không xếp hạng hãng hay sản phẩm nào, chỉ so cách kết nối. Cùng một cách, thiết bị còn được cập nhật thì luôn an toàn hơn thiết bị đã bỏ quên.
| Tiêu chí | Đám mây, P2P của hãng | Mở cổng modem | VPN về nhà |
|---|---|---|---|
| Lộ thiết bị ra Internet | Không trực tiếp | Có, ai cũng thấy trang đăng nhập | Chỉ lộ cổng VPN |
| Phụ thuộc bên thứ ba | Có, máy chủ của hãng | Không | Không |
| Công sức cài đặt | Thấp | Trung bình | Cao hơn, cần người biết |
| Rủi ro chính | Tài khoản ứng dụng bị chiếm, hãng ngừng dịch vụ | Dò mật khẩu, lỗ hổng chưa vá | Cấu hình sai, quên cập nhật router |
| Hợp với | Gia đình, cửa hàng nhỏ | Chỉ khi không còn lựa chọn khác | Cửa hàng, nhà xưởng, người dùng có kỹ thuật |
Với đa số gia đình, kết luận đơn giản: dùng ứng dụng chính thức của hãng, bảo vệ thật kỹ tài khoản, và đóng mọi cổng đã mở. VPN đáng đầu tư khi bạn có nhiều điểm cần quản lý hoặc không muốn hình ảnh đi qua máy chủ của bất kỳ ai.
Vì sao mở cổng là cách rủi ro nhất
Khi một cổng được mở, trang đăng nhập đầu ghi hiện ra trước toàn bộ Internet chứ không riêng gì bạn. Có những công cụ quét tự động chạy liên tục, đi qua hàng loạt địa chỉ để tìm thiết bị đang mở cổng, nhận diện loại đầu ghi, rồi thử mật khẩu mặc định hoặc khai thác lỗ hổng đã biết của đời firmware đó. Chúng không nhắm vào nhà bạn; chúng nhắm vào bất kỳ ai để cửa mở.
Trang đăng nhập của đầu ghi được thiết kế cho người dùng trong nhà, không phải để chịu đựng tấn công liên tục từ bên ngoài. Nhiều đời máy không giới hạn số lần thử sai, không có xác thực hai lớp, và phần mềm máy chủ web bên trong ít được vá. Một lỗ hổng cho phép bỏ qua bước đăng nhập, khi đã công bố, sẽ bị khai thác hàng loạt chỉ trong thời gian ngắn ở những thiết bị đang mở cổng.
Cổng mở cũng hay bị quên. Thợ mở để cài đặt, sau đó hệ chuyển sang dùng đám mây nhưng không ai đóng cổng cũ. Hoặc modem bật UPnP, cho phép thiết bị trong nhà tự mở cổng mà không ai hay biết. Kết quả là nhiều nhà đang lộ đầu ghi ra Internet mà chủ nhà không biết mình có một cánh cửa như vậy.
Kiểm modem và đóng cổng đã mở
Việc này mất khoảng nửa tiếng. Bạn cần mật khẩu quản trị modem; nếu modem do nhà mạng quản lý và bạn không vào được, gọi tổng đài nhà mạng nhờ kiểm giúp các mục dưới đây.
- Đăng nhập trang quản trị modem, tìm mục chuyển tiếp cổng, máy chủ ảo hoặc NAT. Ghi lại mọi dòng đang có: cổng nào, chuyển tới địa chỉ nội bộ nào.
- Tìm mục DMZ. Nếu DMZ đang trỏ tới đầu ghi hay camera, đó là trạng thái mở toàn bộ, cần tắt ngay.
- Tìm mục UPnP. Xem danh sách cổng do UPnP tự mở nếu modem hiển thị; tắt UPnP nếu không có máy chơi game hay thiết bị nào thật sự cần.
- Trước khi xoá các dòng chuyển tiếp, kiểm ứng dụng xem camera chính thức đã xem từ xa được qua đám mây chưa, bằng điện thoại dùng dữ liệu di động.
- Xoá các dòng chuyển tiếp cổng dành cho camera, đầu ghi. Tắt dịch vụ tên miền động trong đầu ghi nếu không còn dùng.
- Kiểm lại từ điện thoại dùng dữ liệu di động: ứng dụng vẫn xem được, còn địa chỉ tên miền động cũ không còn mở ra trang đăng nhập.
- Đổi mật khẩu quản trị đầu ghi, vì trong thời gian mở cổng có thể đã có người thử.
Nếu đầu ghi đời cũ không hỗ trợ đám mây và bạn buộc phải giữ cổng mở trong lúc chờ thay, hãy đổi sang cổng không phải mặc định, đặt mật khẩu thật mạnh, cập nhật firmware mới nhất, và coi đó là giải pháp tạm có hạn, ghi rõ ngày sẽ đóng lại.
Dùng đám mây của hãng sao cho chắc
Tài khoản là cánh cửa duy nhất, nên bảo vệ như tài khoản ngân hàng. Mật khẩu riêng, dài, không dùng lại; bật xác thực hai lớp nếu ứng dụng có.
Bật mã hoá hình nếu có. Một số hãng cho đặt mã riêng để giải hình, khiến người có tài khoản mà không có mã cũng không xem được.
Theo dõi danh sách thiết bị đăng nhập. Đăng xuất những điện thoại cũ, máy tính bảng không còn dùng.
Đọc thông báo của hãng. Khi hãng thông báo sự cố bảo mật hay yêu cầu đổi mật khẩu, làm ngay; đó là thông tin thật quan trọng, chỉ cần kiểm nó đến qua ứng dụng hoặc trang chính thức, không qua đường dẫn lạ.
Có phương án khi hãng ngừng dịch vụ. Giữ khả năng xem nội bộ và lưu trữ tại chỗ để nếu máy chủ hãng gián đoạn, camera vẫn ghi hình bình thường.
Tắt các đường vào song song. Khi đã dùng đám mây, những cách kết nối cũ như tên miền động, cổng mở, tài khoản xem qua trình duyệt nên được tắt. Giữ nhiều đường vào cùng lúc chỉ làm tăng số cửa phải canh, trong khi bạn chỉ thật sự dùng một.
VPN về nhà: khi nào cửa hàng, nhà xưởng nên dùng
VPN hợp với nơi có nhiều điểm cần quản lý, có đầu ghi đời cũ không hỗ trợ đám mây, hoặc chủ không muốn hình ảnh nội bộ đi qua máy chủ của hãng. Router đời mới cho cửa hàng và văn phòng nhỏ thường có sẵn chức năng máy chủ VPN; điện thoại cài ứng dụng VPN tương ứng là kết nối được. Một số nhà mạng cũng có modem hỗ trợ việc này.
Đổi lại, VPN đòi hỏi người cấu hình hiểu việc mình làm. Phải dùng giao thức hiện đại, tài khoản VPN riêng cho từng người, cập nhật firmware router đều đặn, và thu hồi tài khoản khi người dùng nghỉ việc. Một máy chủ VPN cấu hình cẩu thả cũng là một cánh cửa, chỉ khác là to hơn vì nó dẫn vào cả mạng nội bộ chứ không riêng đầu ghi.
Lời khuyên thực tế cho chủ cửa hàng không chuyên kỹ thuật: thuê người có nghề cấu hình một lần, yêu cầu bàn giao tài liệu ghi rõ cách thêm và xoá tài khoản, rồi kết hợp với việc tách mạng camera để người dùng VPN chỉ thấy đúng phần cần thấy.
Giữ chiếc điện thoại xem camera khỏi thành điểm yếu
Kênh kết nối an toàn đến đâu cũng vô ích nếu chiếc điện thoại mở ứng dụng nằm trong tay người khác. Vài thói quen nhỏ sau đây khép lại lỗ hổng cuối cùng:
- Đặt mã khoá màn hình cho điện thoại, và bật khoá riêng cho ứng dụng camera nếu ứng dụng có tuỳ chọn.
- Ẩn nội dung thông báo trên màn hình khoá, để ảnh chụp kèm cảnh báo chuyển động không hiện ra cho người cầm máy thấy.
- Không cài ứng dụng xem camera đa năng của bên thứ ba lạ để xem cho tiện; mỗi ứng dụng như vậy giữ thông tin đăng nhập của bạn.
- Khi cho mượn điện thoại hay mang đi sửa, đăng xuất ứng dụng camera trước.
- Có thể nhờ chatbot AI giải thích các mục trong trang quản trị modem như chuyển tiếp cổng, DMZ, UPnP bằng lời dễ hiểu, nhưng không dán ảnh chụp trang quản trị, mật khẩu hay địa chỉ IP công cộng vào cuộc trò chuyện.
Một câu hỏi mẫu hữu ích: “Giải thích cho người không chuyên sự khác nhau giữa chuyển tiếp cổng, DMZ và UPnP trên modem gia đình, mỗi cái ảnh hưởng thế nào tới việc lộ đầu ghi camera ra Internet, và nên kiểm theo thứ tự nào.” Đối chiếu câu trả lời với giao diện thật của modem nhà mạng, vì tên mục mỗi nơi mỗi khác.
Câu hỏi thường gặp
Đổi sang cổng lạ thay vì cổng mặc định có đủ an toàn không?
Không đủ. Đổi cổng chỉ giảm bớt các lượt quét đơn giản, còn công cụ quét kỹ vẫn tìm ra. Trang đăng nhập vẫn lộ ra Internet với mọi điểm yếu của nó. Đây chỉ là giải pháp tạm khi bạn chưa chuyển được sang đám mây của hãng hoặc VPN.
Kết nối P2P của hãng có bị người khác xem trộm không?
Rủi ro chính nằm ở tài khoản ứng dụng: ai có tên đăng nhập và mật khẩu là xem được. Vì vậy mật khẩu riêng, xác thực hai lớp và mã hoá hình nếu có là ba lớp cần bật. Kiểm thêm danh sách chia sẻ và thiết bị đăng nhập định kỳ.
Làm sao biết đầu ghi nhà mình đang lộ ra Internet?
Cách chắc nhất là kiểm trang quản trị modem như hướng dẫn trong bài: chuyển tiếp cổng, DMZ, UPnP. Nếu bạn từng xem camera bằng một địa chỉ tên miền hoặc IP gõ vào trình duyệt hay ứng dụng, khả năng cao hệ đang dùng mở cổng.
Đi nước ngoài có xem camera ở nhà được không?
Được, với đám mây của hãng hay VPN đều không phụ thuộc bạn đang ở đâu. Chỉ cần lưu ý xác thực hai lớp bằng tin nhắn có thể không nhận được khi đổi sim, nên chuẩn bị phương án dự phòng như ứng dụng xác thực hoặc mã khôi phục trước khi đi.
Camera năng lượng mặt trời dùng sim 4G ở vườn có cần lo chuyện mở cổng không?
Loại này thường kết nối ra máy chủ hãng qua mạng di động, không cần mở cổng. Rủi ro chính chuyển sang tài khoản ứng dụng và bản thân thiết bị đặt ngoài trời có thể bị lấy mất. Bảo vệ tài khoản như mọi camera khác và đặt camera ở vị trí khó với.
Có nên cho thợ lắp đặt truy cập từ xa để hỗ trợ không?
Chỉ khi cần và trong thời gian giới hạn. Tạo tài khoản riêng với quyền vừa đủ, không mở cổng chỉ để thợ tiện vào. Xong việc thì xoá tài khoản và kiểm lại modem xem có cổng nào được mở thêm không.