Proxys für IoT-Geräte: So richten Sie intelligente Kameras und Saugroboter über den Router ein

Intelligente Kameras, Saugroboter, Thermostate und andere IoT-Geräte sind ständig mit dem Internet verbunden - und nicht immer dorthin, wo Sie es erwarten. Die Einrichtung eines Proxys auf Router-Ebene ermöglicht es, den gesamten ausgehenden Datenverkehr intelligenter Geräte zu kontrollieren, die echte IP-Adresse des Netzwerks zu verbergen und regionale Einschränkungen zu umgehen, ohne Software auf dem Gerät selbst installieren zu müssen. In diesem Artikel werden wir erläutern, warum dies notwendig ist, welche Proxys geeignet sind und wie man alles Schritt für Schritt einrichtet.

Warum IoT-Geräte einen Proxy benötigen

Die meisten Benutzer denken nicht einmal darüber nach, wohin genau ihre intelligenten Geräte „nach Hause telefonieren“. In der Zwischenzeit senden chinesische Saugroboter wie Roborock, Dreame und Xiaomi regelmäßig Raumkarten und Routeninformationen an die Server des Herstellers. IP-Kameras von Hikvision, Dahua und Reolink verbinden sich mit Cloud-Diensten für den Fernzugriff. Intelligente Steckdosen, Lampen und Thermostate synchronisieren sich mit ausländischen Servern.

Ein auf Router-Ebene eingerichteter Proxy-Server erfüllt mehrere Aufgaben:

• Verbirgt die echte IP Ihres Netzwerks - der Hersteller des Geräts sieht die IP des Proxys, nicht Ihre private Adresse.
• Umgeht Geoblockaden - einige Funktionen intelligenter Geräte sind nur in bestimmten Ländern verfügbar. Ein Proxy mit der richtigen Geolokalisierung gewährt Zugang zu allen Funktionen.
• Kontrolliert den ausgehenden Datenverkehr - Sie sehen, mit welchen Servern jedes Gerät kommuniziert.
• Schützt vor Überwachung - besonders wichtig für Kameras und Geräte mit Mikrofonen.
• Ermöglicht das Testen des Verhaltens von Geräten - nützlich für diejenigen, die sich mit der Überwachung von Smart Homes oder dem Verkauf von IoT-Geräten beschäftigen.

Ein separates Szenario ist die geschäftliche Nutzung. Wenn Sie ein Netzwerk aus mehreren Büros oder Lagerräumen mit IoT-Geräten (Überwachungskameras, Sensoren, intelligente Schlösser) verwalten, ermöglicht ein Proxy über den Router die zentrale Verwaltung der IP-Adressen der gesamten Infrastruktur. Dies ist sowohl aus Sicherheits- als auch aus Administrationssicht praktisch.

Welcher Proxytyp für intelligente Geräte geeignet ist

Nicht alle Proxytypen sind gleich gut für IoT geeignet. Lassen Sie uns die Optionen und ihre Anwendbarkeit auf intelligente Geräte betrachten:

Für die meisten Aufgaben mit intelligenten Haushaltsgeräten ist die optimale Wahl ein residential Proxy. Sie haben echte IP-Adressen von Heimnutzern, was das Risiko einer Blockierung durch die Cloud-Dienste des Herstellers minimiert. Wenn Ihre intelligente Kamera über eine residential IP ins Internet geht, sieht der Server des Herstellers dies als normalen Heimnutzer an.

Wenn die Aufgabe darin besteht, eine strenge regionale Blockade zu umgehen (z. B. Funktionen eines intelligenten Geräts freizuschalten, die nur in den USA oder Europa verfügbar sind), sollten Sie mobile Proxys in Betracht ziehen - sie haben IPs von Mobilfunkanbietern und werden so gut wie nie auf schwarzen Listen geführt.

Für Überwachungs- und Testaufgaben der IoT-Infrastruktur oder für Geräte, die keine strengen Kontrollen haben, sind Rechenzentrums-Proxys geeignet - sie bieten hohe Geschwindigkeit und Stabilität zu geringeren Kosten.

Wie man einen Proxy über den Router einrichtet: Schritt-für-Schritt-Anleitung

Die Einrichtung eines Proxys auf dem Router ist der einzige Weg, um alle IoT-Geräte im Netzwerk abzudecken, ohne jedes einzelne Gerät separat einrichten zu müssen. Lassen Sie uns einige beliebte Szenarien betrachten.

Option 1: Router mit OpenWRT / DD-WRT Firmware

Dies ist die flexibelste Option. Die Firmware OpenWRT und DD-WRT unterstützt die Installation zusätzlicher Pakete, einschließlich Proxy-Clients. Wenn Ihr Router eine dieser Firmware-Versionen unterstützt (ASUS, TP-Link, Netgear und viele andere), haben Sie die volle Kontrolle über den Datenverkehr.

Schritt 1. Melden Sie sich im Web-Interface des Routers an. Die Adresse ist normalerweise 192.168.1.1 oder 192.168.0.1.

Schritt 2. Gehen Sie zu System → Software (in OpenWRT) oder Administration → Befehle (in DD-WRT).

Schritt 3. Installieren Sie das Paket redsocks - dies ist ein Tool für das transparente Proxysurfen über SOCKS5 oder HTTP-Proxy.

opkg update
opkg install redsocks

Schritt 4. Bearbeiten Sie die Konfigurationsdatei /etc/redsocks.conf. Geben Sie die Daten Ihres Proxy-Servers an:

base {
  log_debug = off;
  log_info = on;
  daemon = on;
  redirector = iptables;
}

redsocks {
  local_ip = 0.0.0.0;
  local_port = 12345;
  ip = IHR_PROXY_IP;
  port = IHR_PORT;
  type = socks5;
  login = "IHR_LOGIN";
  password = "IHR_PASSWORT";
}

Schritt 5. Konfigurieren Sie iptables, um den Datenverkehr über redsocks umzuleiten. Sie können den gesamten Datenverkehr oder nur von bestimmten IP-Adressen umleiten (z. B. nur von der IP Ihrer Kamera):

# Umleitung des Datenverkehrs eines bestimmten Geräts (IP Kamera: 192.168.1.50)
iptables -t nat -A PREROUTING -s 192.168.1.50 -p tcp -j REDIRECT --to-ports 12345

# Oder Umleitung des gesamten Datenverkehrs im Netzwerk (außer dem Router selbst)
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-ports 12345
iptables -t nat -A PREROUTING -p tcp --dport 443 -j REDIRECT --to-ports 12345

Schritt 6. Starten Sie redsocks und fügen Sie es zur Autostart-Liste hinzu:

/etc/init.d/redsocks start
/etc/init.d/redsocks enable

Option 2: ASUS-Router mit Merlin-Firmware

Die Asuswrt-Merlin-Firmware (für ASUS RT-Serie Router) unterstützt Skripte und ermöglicht die Proxy-Konfiguration über den integrierten Manager. Das Prinzip ist dasselbe - Installation von redsocks oder einem ähnlichen Tool über den Entware-Paketmanager, der in Merlin integriert ist.

Vorgehensweise: Schließen Sie ein USB-Laufwerk an den Router an → installieren Sie Entware über den Abschnitt Administration → Skripte → installieren Sie redsocks über opkg → konfigurieren Sie die Datei ähnlich wie im obigen Beispiel.

Option 3: Raspberry Pi als Proxy-Gateway

Wenn Ihr Router keine benutzerdefinierten Firmware unterstützt, können Sie Raspberry Pi als Zwischen-Gateway verwenden. Raspberry Pi wird zwischen dem Router und den Geräten angeschlossen und leitet den Datenverkehr über den Proxy. Dies ist eine flexiblere Lösung, die keine Änderung der Router-Firmware erfordert.

Auf dem Raspberry Pi wird dasselbe Set installiert: redsocks + iptables. IoT-Geräte verbinden sich über Raspberry Pi mit dem Netzwerk, das automatisch ihren Datenverkehr proxyt.

Intelligente Kameras: Besonderheiten der Einrichtung und Risiken

IP-Kameras gehören zu den „gesprächigsten“ IoT-Geräten. Sie halten ständig eine Verbindung zu Cloud-Servern für den Fernzugriff aufrecht, senden Bewegungsbenachrichtigungen und synchronisieren Aufzeichnungen. Beliebte Modelle sind Hikvision, Dahua, Reolink, Xiaomi Mi Camera, Ezviz, TP-Link Tapo.

Die Hauptszenarien für die Verwendung von Proxys für intelligente Kameras sind:

• Verbergen der echten IP des Überwachungsobjekts - wichtig für Unternehmensobjekte und Privatpersonen, die ihren Standort nicht offenlegen möchten.
• Zugriff auf Funktionen, die in der Region blockiert sind - einige Cloud-Dienste von Kameras funktionieren nur in bestimmten Ländern.
• Überwachung mehrerer Objekte über einen einzigen Proxy - praktisch für Sicherheitsunternehmen, die Kameras an verschiedenen Standorten verwalten.
• Schutz vor DDoS-Angriffen auf IP-Kameras - die echte IP ist hinter dem Proxy verborgen.

Für Kameras, die das RTSP-Protokoll verwenden (die meisten Hikvision und Dahua), funktioniert der Proxy auf Router-Ebene korrekt - RTSP wird über TCP übertragen. Bei P2P-Kameras (Xiaomi, Ezviz, TP-Link Tapo) ist die Situation komplizierter: Sie verwenden proprietäre Protokolle, von denen einige über UDP arbeiten.

Praktischer Tipp: Wenn Sie die IP für den Steuerungsdatenverkehr der Kamera (Einstellungen, Benachrichtigungen, Cloud-Synchronisierung) verbergen müssen, wird der Proxy über den Router diese Aufgabe erfüllen. Wenn Sie den gesamten Videostream proxen müssen, ziehen Sie ein VPN als Ergänzung zum Proxy in Betracht.

Saugroboter und andere intelligente Gadgets

Saugroboter sind ein Sonderfall unter den IoT-Geräten. Modelle wie Roborock S-Serie, Dreame L-Serie, Xiaomi Mi Robot, Ecovacs Deebot nutzen aktiv die Cloud zur Speicherung von Raumkarten, Firmware-Updates und zur Synchronisierung von Einstellungen. All diese Daten werden an die Server des Herstellers gesendet - in der Regel in China.

Ein Proxy über den Router ermöglicht:

• Die echte IP und den Standort vor dem Hersteller zu verbergen
• Funktionen freizuschalten, die in Ihrer Region nicht verfügbar sind (z. B. einige Sprachbefehle oder Integrationen)
• Zu überwachen, mit welchen Servern das Gerät kommuniziert
• Unerwünschte Verbindungen zu blockieren (durch eine Kombination aus Proxy und Firewall)

Eine ähnliche Logik gilt für andere intelligente Geräte:

HTTP vs SOCKS5: Was für IoT zu wählen ist

Bei der Einrichtung eines Proxys für IoT-Geräte über den Router werden Sie mit der Wahl des Protokolls konfrontiert. Hier ist, was Sie wissen müssen:

HTTP/HTTPS-Proxys

Funktioniert nur mit Web-Datenverkehr (Ports 80 und 443). Geeignet für Geräte, die ausschließlich über HTTP-Anfragen mit der Cloud kommunizieren. Vorteil - einfache Einrichtung und die Möglichkeit, den Datenverkehr auf Proxy-Ebene zu analysieren. Nachteil - unterstützt keine nicht standardmäßigen Ports und Protokolle, die einige IoT-Geräte verwenden.

SOCKS5-Proxys

Funktioniert auf einer niedrigeren Ebene und unterstützt beliebige TCP-Verbindungen an beliebigen Ports. Dies macht SOCKS5 zur bevorzugten Wahl für IoT-Geräte, da sie häufig nicht standardmäßige Ports und eigene Protokolle über TCP verwenden. Redsocks, das wir oben erwähnt haben, funktioniert genau mit SOCKS5.

Sicherheit und Kontrolle des Datenverkehrs im intelligenten Netzwerk

Die Einrichtung eines Proxys ist nur ein Teil der Arbeit zur Sicherstellung der Sicherheit des IoT-Netzwerks. Für einen umfassenden Schutz wird ein ganzheitlicher Ansatz empfohlen.

Segmentierung des Netzwerks

Trennen Sie IoT-Geräte in ein separates Subnetz (VLAN). Dies ist eine gängige Sicherheitspraktik: Wenn eines der Geräte kompromittiert wird, hat der Angreifer keinen Zugriff auf das Hauptnetzwerk mit Computern und Smartphones. Die meisten modernen Router (ASUS, TP-Link, Mikrotik) unterstützen VLAN über das Web-Interface.

Überwachung des ausgehenden Datenverkehrs

Nach der Proxy-Einrichtung verwenden Sie Überwachungstools zur Analyse des Datenverkehrs von IoT-Geräten. In OpenWRT ist das Paket tcpdump zur Paketaufnahme und ntopng zur visuellen Überwachung verfügbar. Dies ermöglicht es Ihnen zu sehen, mit welchen Servern Ihre Geräte kommunizieren, und bei Bedarf unerwünschte Verbindungen zu blockieren.

Whitelist und Blacklist von IPs

Mit iptables in Kombination mit einem Proxy können Sie eine Whitelist von erlaubten IP-Adressen für jedes Gerät erstellen. Zum Beispiel sollte Ihre Reolink-Kamera nur mit Reolink-Servern verbinden - alles andere wird blockiert. Dies ist ein effektiver Schutz vor unerwarteten Verbindungen und potenziellen Schwachstellen in der Firmware.

Authentifizierung am Proxy

Verwenden Sie einen Proxy mit Login und Passwort - dies verhindert die unbefugte Nutzung des Proxy-Servers durch andere Geräte oder Personen, die Zugriff auf Ihr Netzwerk haben könnten. Alle seriösen Proxy-Anbieter unterstützen die Authentifizierung per Login/Passwort oder per IP-Adresse.

Häufige Probleme und deren Lösungen

Bei der Einrichtung eines Proxys für IoT-Geräte über den Router können Sie auf eine Reihe typischer Probleme stoßen. Hier sind die häufigsten und deren Lösungen:

Problem 1: Gerät verbindet sich nach der Proxy-Einrichtung nicht mit der Cloud

Ursache: Das Gerät verwendet Certificate Pinning - eine Überprüfung des SSL-Zertifikats, die das Arbeiten über einen transparenten Proxy mit Zertifikatsänderung verhindert.

Lösung: Verwenden Sie transparentes Proxysurfen ohne SSL-Inspektion (redsocks im SOCKS5-Modus ohne TLS-Abfangung). Das Gerät funktioniert über den Proxy, aber der Inhalt des Datenverkehrs bleibt verschlüsselt - das ist in Ordnung für IP-Verbergungsaufgaben.

Problem 2: Hohe Latenz bei der Arbeit über den Proxy

Ursache: Der Proxy-Server ist geografisch weit von den Servern des Geräteherstellers entfernt.

Lösung: Wählen Sie einen Proxy mit einer Geolokalisierung, die nahe bei den Servern des Herstellers liegt. Zum Beispiel, für chinesische Geräte (Xiaomi, Roborock) verwenden Sie Proxys in Hongkong oder Singapur. Für amerikanische Geräte (Amazon, Google) - Proxys in den USA.

Problem 3: Proxy funktioniert, aber UDP-Datenverkehr wird nicht proxiert

Ursache: Redsocks und die meisten SOCKS5/HTTP-Proxys funktionieren nur mit TCP.

Lösung: Für Geräte, die UDP verwenden (einige Kameras, intelligente Lautsprecher), fügen Sie dem Proxy einen VPN-Tunnel hinzu (WireGuard oder OpenVPN auf dem Router). VPN ermöglicht das Proxysurfen von UDP-Datenverkehr, und SOCKS5-Proxys verwenden Sie für TCP.

Problem 4: Nach dem Neustart des Routers werden die iptables-Regeln zurückgesetzt

Ursache: Die iptables-Regeln werden in den meisten Systemen nicht automatisch gespeichert.

Lösung: Speichern Sie die Regeln mit iptables-save und fügen Sie deren Wiederherstellung in das Autostart-Skript ein. In OpenWRT verwenden Sie die Datei /etc/firewall.user für permanente Regeln.

# Speichern der iptables-Regeln (Debian/Ubuntu-basierte Systeme)
iptables-save > /etc/iptables/rules.v4

# Wiederherstellung beim Booten
iptables-restore < /etc/iptables/rules.v4

Problem 5: Proxy-Server lehnt Verbindungen vom Router ab

Ursache: Der Proxy ist auf IP-Authentifizierung eingestellt, und die IP des Routers ist nicht auf der Whitelist.

Lösung: Fügen Sie entweder die IP des Routers zur Whitelist beim Proxy-Anbieter hinzu oder verwenden Sie die Authentifizierung per Login/Passwort in der redsocks-Konfiguration (Parameter login und password in der Konfiguration).

Fazit und Empfehlungen

Die Einrichtung eines Proxys für IoT-Geräte über den Router ist keine schwierige Aufgabe für diejenigen, die bereit sind, eine Stunde für die Einrichtung aufzuwenden, aber das Ergebnis ist es wert. Sie erhalten die volle Kontrolle darüber, welche Daten und wohin Ihre intelligenten Geräte senden, verbergen die echte IP des Netzwerks und umgehen bei Bedarf regionale Einschränkungen.

Lassen Sie uns die wichtigsten Punkte zusammenfassen:

• IoT-Geräte können nicht direkt konfiguriert werden - der Proxy wird am Router eingerichtet
• Das Tool redsocks + iptables ist die Standardlösung für OpenWRT/DD-WRT/Merlin
• SOCKS5 ist bevorzugt gegenüber HTTP für IoT aufgrund der Unterstützung nicht standardmäßiger Ports
• Für UDP-Datenverkehr (einige Kameras) ist ein VPN zusätzlich zum Proxy erforderlich
• Segmentieren Sie IoT-Geräte in ein separates VLAN für zusätzliche Sicherheit
• Wählen Sie Proxys mit einer Geolokalisierung, die nahe bei den Servern des Geräteherstellers liegt

Wenn Ihr Ziel darin besteht, die echte IP intelligenter Geräte zu verbergen und maximales Vertrauen seitens der Cloud-Dienste des Herstellers zu gewährleisten, empfehlen wir, residential Proxys in Betracht zu ziehen - sie verwenden echte IP-Adressen von Heimnutzern und wecken bei den Servern der IoT-Gerätehersteller kaum Verdacht.