Bestuur 'n Raspberry Pi op 'n LAN sonder internet-uplink

Twee toestelle op 'n privaat LAN kan beskermde verkeer uitruil sonder enige uplink. Wat hulle nie kan doen nie, is om die dienste te tower wat hul gekose sekuriteitsmodel verwag. Die werk is dus half keuse en half inventaris: kies die beskerming wat by die taak pas, en lys dan alles wat stil-stil na die internet sou gryp.

Die aanname vir hierdie deurloop is dat beide toestelle goedgekeurde adresse op dieselfde privaat netwerk het. Moenie bereikbaarheid aflei uit die feit dat albei by dieselfde wifi aangesluit het nie; die aansluiting, roetering en toegangsreëls besluit dit steeds.

Kies beskerming volgens die taak, nie volgens gewoonte nie

'n Terminaalsessie of 'n ondersteunde lêeradministrasietaak pas by SSH, wie se argitektuur bedienerverifikasie, gebruikerverifikasie en die kanale binne die beskermde transport skei. Nie een van daardie rolle vereis 'n kommersiële VPN-verskaffer nie, en nie een van hulle hou op werk omdat daar geen standaardroete na die internet is nie.

Een ekstra TCP-diens kan deur 'n gemagtigde SSH-deurvoer reis wanneer die bediener dit toelaat: hou die plaaslike luisteraar nou gebind en die bestemming eksplisiet, en onthou dat dit die een diens deurvoer eerder as om 'n Ethernet-segment te herskep.

Gerouteerde toegang tot verskeie adresse of protokolle is 'n ander vereiste, en 'n plaaslik beëindigde VPN kan dit lewer. Die eweknie is in daardie geval 'n bereikbare plaaslike poort, nie 'n eindpunt ergens op die internet nie, en die poort het steeds die beoogde roetes, deurvoerreëls en diensregte nodig. Waar 'n enkele toepassing reeds behoorlik TLS praat, is dit dikwels die kleinste antwoord wat werk om dit sy eie verbinding te laat beskerm.

Inventariseer wat die LAN sou verlaat

Kry die sagteware, gasheeridentiteite en geloofsbriewe in plek voordat jy op 'n geïsoleerde bank staatmaak, of gebruik die vanlyn-leweringsproses wat die organisasie ondersteun. 'n Aflaaiopdrag is nie 'n installasieplan vir 'n masjien wat nie die bron kan bereik nie, en om dit tydens 'n onderbreking uit te vind is 'n slegte tyd om dit te leer.

Maak naamgewing doelbewus. Gebruik die beoogde plaaslike DNS-diens of 'n gedokumenteerde adresreëling, want 'n gekonfigureerde openbare oplosser skep nie 'n pad na homself nie. Om 'n socketadres te verander is ook nie 'n regverdiging om die toepassing se identiteitskontroles oor te slaan nie. As die antwoord is dat die bank bloot adresse gebruik, skryf dit ook neer, sodat die volgende ingenieur nie 'n uur op 'n soekdomein vermors wat nooit gekonfigureer is nie.

Lees dan die verifikasie- en bevestigingsmodel vir eksterne afhanklikhede: inskrywing, 'n identiteitsverskaffer, 'n multifaktor-goedkeuring, die ophaal van sertifikaatstatus, 'n tydbron. Elkeen is 'n moontlike hindernis op 'n geïsoleerde netwerk. Lys hulle voor die onderhoudsvenster, nie tydens dit nie, want 'n afhanklikheid wat jy op die verkeerde oomblik ontdek, maak 'n taak van vyf minute 'n hele middag. Voorsien 'n goedgekeurde bereikbare reëling of kies 'n model wat vanlyn werk, en deaktiveer nooit stilweg 'n kontrole omdat sy diens ontbreek nie.

Hou identiteitskontroles waar hulle hoort

Verifieer die verwagte gasheersleutel of sertifikaat deur die voorsieningsproses wat jy vertrou, en hou die klok korrek waar die protokol sertifikaattye valideer. Om 'n skakelaar met 'n toestel te deel maak nie daardie toestel die een wat jy bedoel het om te bereik nie, en om anders te aanvaar is presies die fout wat 'n aanvaller op dieselfde segment graag wil hê jy moet maak.

Tyd verdien sy eie reël in die plan. Baie protokolle verwerp andersins geldige geloofsbriewe wanneer die klok ver genoeg gedryf het, en 'n Pi sonder 'n netwerktydbron kan maande lank stil dryf voordat iets kla.

Toets met die uplink werklik afwesig

Trek die uplink uit en voer dan die presiese onderhoudsbewerking uit waarvoor jy ontwerp het: die terminaalsessie, die lêerkopie, die deurgevoerde diens, die geroteerde verbinding. Bevestig dat 'n geweierde identiteit of 'n verbode hulpbron steeds geweier word, want 'n ontwerp wat net die gelukkige pad bewys, is glad nie getoets nie. Lees die logboeke terwyl jy dit doen, want die interessante foute is dié wat 'n spoor agterlaat sonder om die uitkoms te verander.

Teken die plaaslike eindpunt, die beskermingsmeganisme en elke afhanklikheid aan wat die bewerking gebruik het. Uitgang na die internet en 'n veilige pad vir plaaslike administrasie is twee verskillende vereistes, en om hulle apart te hou is wat die tweede laat oorleef wanneer die eerste verlore gaan.