Управление вне дома

Дома вы открываете камеру напрямую: она в той же сети, что и вы. Вне дома напрямую до неё не достучаться – и вот что происходит вместо этого.

Что такое туннель

Облако сводит сокет до одного порта одного устройства: вы просите соединение до ONVIF камеры – получаете соединение до ONVIF камеры, и ничего больше. Внутрь этих байтов облако не смотрит и паролей от камеры не хранит: разговаривает с ней ваш браузер или ваше приложение, её же учётными данными.

Три вещи, которые из этого следуют:

Порт должен быть заявлен. Узел сам говорит, что он слушает; открывается только то, что есть в этом списке – не «любой порт по просьбе клиента».
Разрешение переспрашивается, пока соединение живо. Отозвали доступ – рвётся уже открытое соединение, а не только следующее.
Ключ у камеры остаётся камериным. Облако сводит, но не расшифровывает и не подменяет.

Кому что можно

Роль сама по себе ничего не решает – решает глагол. Вот вся таблица:

Что делаем	Нужно право	У кого оно есть
Смотреть поток, снимок	view	владелец и любой грант
Пульт, пресеты, разговор	control	владелец, грант `Member` и выше
Настройки камеры, RTSP-логин, перезагрузка	configure	владелец и грант `Owner`
SSH	shell	только владелец устройства

Про последнюю строку стоит сказать прямо: shell не даёт ни один грант, включая самый сильный. Root на камере – это возможность сменить ей ключи и владельца, то есть уже не доступ, а владение; владение не выдаётся вместе с доступом к картинке.

Member получает управление, но не настройки: повернуть камеру – обратимо и ожидаемо, сменить ей конфиг – нет.

Откуда это делается

Из панели. Кнопка «Пульт» у камеры в живом просмотре: браузер сам говорит с камерой через сведённое соединение, её учётные данные остаются во вкладке.
Из приложения. То же самое и тем же путём – см. Приложение.

Кнопки «Пульт» нет – значит, либо камера не заявила ONVIF, либо у вас нет права control.