Fjernadgang til hjemmenetværket

De fleste, der vil nå hjemmenettet udefra, har et af tre ønsker. De vil hente filer fra en NAS, se billeder fra et overvågningskamera, eller bruge en computer derhjemme, mens de er på farten. Nogle vil også styre smart home-udstyr eller printe, når de er væk. Alle ønskerne har det til fælles, at dit hjemmenet normalt er lukket udefra, og det er en god ting.

Lukket udefra betyder, at routeren afviser forespørgsler, som ingen bag den har bedt om. Det er en del af, hvordan NAT og firewall beskytter dig. Når du vil have adgang udefra, skal du derfor aktivt åbne en vej ind, og det er her, de fleste sikkerhedsfejl opstår. Vælg derfor metoden efter, hvor følsomt det, du vil nå, er.

En VPN lader dig oprette en krypteret tunnel fra din telefon eller computer til hjemmenettet. Når tunnelen er oprettet, opfører din enhed sig, som om den var hjemme. Du kan åbne din NAS, kameraet og printeren på de samme adresser, som du bruger derhjemme. Fra omverdenen er der kun ét åbent punkt: selve VPN-serveren.

Det er den metode, der anbefales for det meste, fordi du kun eksponerer ét veldefineret punkt, og fordi adgangen kræver en nøgle eller et kodeord, før nogen slipper ind. Mange routere kan fungere som VPN-server, og mange NAS-enheder kan også. Populære protokoller er OpenVPN, IPsec og WireGuard, hvor sidstnævnte er en nyere og enklere protokol, som er indbygget i Linux-kernen. Hvilke protokoller din enhed understøtter, står i databladet eller i enhedens menu.

Husk at skelne mellem en VPN til hjemmet og en VPN-tjeneste, du betaler for, for at skjule din adresse på nettet. De hedder det samme, men gør noget forskelligt. Den anden type forbinder dig til en tjeneste et sted på nettet, mens den første forbinder dig til dit eget hus. Hvordan den anden slags påvirker din hastighed, er forklaret i guiden om VPN og hastighed hjemme. Her handler det kun om den første slags, og det er den, du selv er herre over, fordi serveren står hjemme hos dig.

Opsætningen følger som regel disse trin:

Slå VPN-serveren til i routeren eller NAS

Find menuen for VPN-server, vælg protokol og opret en bruger med et stærkt kodeord eller en nøgle. Notér portnummeret, serveren bruger.

Åbn én port til VPN-serveren

Er VPN-serveren på en NAS bag routeren, skal du lave en regel i routeren, der sender trafik på den port videre til NAS. Er den i routeren selv, skal den som regel bare slås til.

Installer klienten på din telefon eller computer

Download appen til den valgte protokol, og indlæs de oplysninger, serveren giver dig. Test forbindelsen, mens du er på mobilnet og ikke på hjemmets wifi.

Brug et navn i stedet for en adresse

Fordi din offentlige adresse kan skifte, kan du bruge en tjeneste til dynamisk DNS, som holder et navn opdateret med din aktuelle adresse. Mange routere og NAS-enheder har det indbygget.

Her laver du en port forwarding-regel i routeren, som sender trafik på en bestemt port fra internettet direkte til én enhed, for eksempel din NAS. Det er den enkleste metode, men også den mest risikable. Enheden bliver synlig for hele internettet, og der findes programmer, der leder efter åbne porte og forsøger at logge ind med almindelige kodeord eller kendte fejl.

Hvis du alligevel gør det, så brug lange, unikke kodeord, slå tofaktorlogin til, hvis enheden kan det, hold softwaren opdateret, og åbn kun den port, der er nødvendig. Åbn aldrig en port til noget, du ikke selv har tjek på, for eksempel et ældre kamera uden opdateringer. Hold dig fra standardporte, hvis du kan vælge, og kig i loggen, om nogen forsøger at logge ind.

Læs også om at holde udstyret opdateret i guiden til router-opdatering og firmware. En åben port til en enhed med en kendt fejl er det værste udgangspunkt.

De fleste NAS-producenter og kameramærker tilbyder en tjeneste, hvor din enhed selv opretter en forbindelse ud til producentens server, og hvor du så kommer ind via en app eller en hjemmeside. Det kaldes ofte en relay- eller cloud-forbindelse. Du skal ikke åbne porte i routeren, og det virker som regel også, hvis din udbyder bruger CGNAT.

Ulempen er, at du er afhængig af producentens tjeneste og sikkerhed, og at trafikken kan gå gennem deres servere. Læs producentens vilkår og privatlivsregler, og vælg, hvad du lader gå den vej. Det er en bekvem løsning til billeder og dokumenter, men måske ikke til noget, du ikke vil have på andres servere.

Når du skal vælge udstyr, så se efter, hvad producenten oplyser om fjernadgang og kryptering. Produktsiden til Ugreen NASync DH4300 Plus beskriver for eksempel, at data ligger lokalt hos dig i stedet for hos en cloud-tjeneste. Hvordan en NAS i øvrigt bruges i hjemmet, kan du læse om i NAS og printer på hjemmenetværket.

Nogle programmer til at styre en computer udefra, for eksempel Windows' fjernskrivebord, bruger faste porte, og det er netop dem, angribere leder efter. Åbn ikke den slags direkte mod internettet. Brug en VPN, og lad først tunnelen give adgang til computeren. Det samme gælder printere, kameraer og smart home-centraler. Mange af dem er ikke bygget til at stå åbne på nettet og får sjældent sikkerhedsrettelser.

Tænk også over, at adgangen skal kunne tages tilbage. Hvis din telefon bliver væk, skal du kunne spærre dens VPN-nøgle uden at ændre alt andet. Brug derfor én nøgle pr. enhed, og giv dem sigende navne. Så kan du slette den ene, og de andre virker videre.

Spørg dig selv, hvad du vil nå, og hvor følsomt det er. Skal du blot se et kamerabillede en gang imellem, kan producentens app være nok. Skal du nå private dokumenter, billeder af familien eller en computer, så vælg VPN. Skal du dele filer med andre, kan du i stedet bruge delingslinks med udløbsdato fra en tjeneste, der er bygget til det, og lade være med at give dem adgang til hele dit net.

Overvej også, hvor ofte du får brug for det. Bruger du fjernadgang en gang om året, er det måske ikke værd at holde en VPN-server kørende og opdateret. Så kan du i stedet slå funktionen til, når du skal bruge den, og slå den fra bagefter. Er du i tvivl, så vælg den løsning, der eksponerer mindst, og byg videre derfra.

Når du er væk fra hjemmet, er det din uploadhastighed hjemme, der afgør, hvor hurtigt du kan hente filer. Alt, du henter fra din NAS udefra, sendes ud af dit hjems forbindelse. Er upload kun en brøkdel af download, bliver filerne langsomt hentet, og et videokamera i høj kvalitet kan hakke. Læs, hvorfor upload betyder noget, i upload-hastighed forklaret.

Hvis hastigheden bliver for dårlig, kan du i mange tilfælde vælge en lavere kvalitet på kameraet eller bruge forhåndsvisninger i stedet for fulde filer. Husk også, at VPN tilføjer en lille forsinkelse og kan reducere hastigheden en smule, fordi alt krypteres og pakkes ind.

Nogle udbydere deler én offentlig adresse mellem mange kunder. Det kaldes CGNAT og betyder, at ingen kan nå dig udefra, uanset hvilke porte du åbner. Så virker metode 1 og 2 ikke direkte. Du kan teste det ved at sammenligne den adresse, din router viser som sin eksterne, med den adresse, en hjemmeside viser, at du har. Er de forskellige, er du bag CGNAT. Læs hele forklaringen i CGNAT og fast IP.

Du har så tre muligheder. Du kan bede udbyderen om en offentlig adresse, hvis de tilbyder det. Du kan bruge producentens relay-tjeneste i stedet. Eller du kan bruge en tjeneste, der laver en tunnel ud fra dit hjem til en server, du kan nå, hvilket kræver lidt mere teknik. Har du IPv6 med en offentlig adresse, kan det også være en vej ind, hvis dem, der skal forbinde, også har IPv6.

Skriv de enheder ned, du vil kunne nå udefra, og vælg den enkleste og sikreste metode til hver. Brug unikke og lange kodeord. Slå tofaktorlogin til overalt, hvor det findes. Opdater udstyret. Slå funktioner fra, du ikke bruger, og tjek, hvad enhederne kan nås på uden dit kendskab. Overvej et gæstenet til smart home og kameraer, så de ikke har adgang til dine computere. Se sikkert wifi og gæstenet.

Skriv også ned, hvordan du genskaber adgangen, hvis routeren nulstilles eller skiftes. Mange glemmer, at VPN-serveren og alle reglerne forsvinder, når routeren går tilbage til fabriksindstillinger.

Test til sidst fra et net uden for dit hjem, for eksempel din telefon på mobildata. Fungerer det kun hjemmefra, har du ikke testet fjernadgang.