Адміністраванне Raspberry Pi ў лакальнай сетцы без інтэрнэт-канала

Два прылады ў прыватнай лакальнай сетцы могуць абменьвацца абароненым трафікам без якога-небудзь знешняга канала. Чаго яны не могуць — гэта стварыць службы, якіх чакае абраная імі мадэль бяспекі. Таму праца дзеліцца напалову: выбар абароны і інвентарызацыя ўсяго, што ціха пацягнулася б да інтэрнэту.

У гэтым разборы мяркуецца, што абедзве прылады маюць ухваленыя адрасы ў адной прыватнай сетцы. Не рабіце выснову пра дасяжнасць з таго, што абедзве падключыліся да аднаго Wi-Fi; падключэнне, маршрутызацыя і правілы доступу па-ранейшаму гэта вырашаюць.

Выбірайце абарону паводле задачы, а не паводле звычкі

Сеанс тэрмінала або заўважаная задача адміністравання файлаў падыходзіць да SSH, архітэктура якога падзяляе аўтэнтыфікацыю сервера, аўтэнтыфікацыю карыстальніка і каналы, што перадаюцца ўнутры абароненага транспарту. Ніводная з гэтых роляў не патрабуе камерцыйнага правайдэра VPN, і ніводная з іх не перастае працаваць праз адсутнасць маршруту па змаўчанні ў інтэрнэт.

Адна дадатковая служба TCP можа прайсці праз дазволенае перанакіраванне SSH, калі сервер гэта дазваляе: трымайце лакальны слухач строга прывязаным, а прызначэнне яўным, і памятайце, што гэта перанакіроўвае адну службу, а не ўзнаўляе сегмент Ethernet.

Маршрутызаваны доступ да некалькіх адрасоў або пратаколаў — іншае патрабаванне, і лакальна завершаны VPN можа яго забяспечыць. Партнёрам у гэтым выпадку з'яўляецца дасяжны лакальны шлюз, а не канчатковы пункт дзесьці ў інтэрнэце, і шлюзу па-ранейшаму патрэбныя зададзеныя маршруты, правілы перанакіравання і дазволы на службы. Там, дзе адзін дастатак ужо правільна гаворыць TLS, часта найменшым працоўным адказам будзе дазволіць яму абараняць уласнае злучэнне.

Складзіце вопіс таго, што пакіне лакальную сетку

Падрыхтуйце праграмнае забеспячэнне, ідэнтыфікатары вузлоў і ўліковыя даныя да таго, як спадзявацца на ізаляваны стэнд, або выкарыстайце падтрыманы арганізацыяй працэс афлайн-дастаўкі. Каманда загрузкі — не план усталявання для машыны, якая не можа дабрацца да крыніцы, і высвятляць гэта падчас збою — дрэнны момант для навучання.

Зрабіце найменне ўсвядомленым. Выкарыстоўвайце прадугледжаную лакальную службу DNS або дакументаваную схему адрасоў, бо наладжаны публічны распазнавальнік не стварае шляху да самога сябе. Змена адраса сокета таксама не апраўданне, каб прапускаць праверкі аўтэнтычнасці дастатка. Калі адказ у тым, што стэнд проста выкарыстоўвае адрасы, запішыце і гэта, каб наступнаму інжынеру не давялося марнаваць гадзіну на домен пошуку, які ніколі не наладжваўся.

Далей прачытайце мадэль аўтэнтыфікацыі і праверкі для знешніх залежнасцяў: рэгістрацыя, правайдэр ідэнтычнасці, шматфактарнае пацверджанне, атрыманне статусу сертыфіката, крыніца часу. Кожная з іх — патэнцыйная блакіроўка ў ізаляванай сетцы. Пералічыце іх да акна абслугоўвання, а не падчас яго, бо залежнасць, выяўленая ў няўдалы момант, ператварае пяціхвілінную задачу ў цэлы дзень. Забяспечце ўхваленае дасяжнае рашэнне або абярыце мадэль, што працуе афлайн, і ніколі не выключайце праверку моўчкі праз адсутнасць яе службы.

Трымайце праверкі аўтэнтычнасці там, дзе ім месца

Праверце чаканы ключ вузла або сертыфікат праз працэс падрыхтоўкі, якому давяраеце, і падтрымлівайце правільны гадзіннік там, дзе пратакол правярае тэрміны сертыфіката. Агульны камутатар з прыладай не робіць гэтую прыладу той, да якой вы хацелі дабрацца, і меркаванне пра адваротнае — менавіта тая памылка, якую зламыснік у тым жа сегменце хацеў бы, каб вы зрабілі.

Час заслугоўвае асобнага радка ў плане. Многія пратаколы адхіляюць інакш сапраўдныя ўліковыя даныя, калі гадзіннік сышоў досыць далёка, а Pi без сеткавай крыніцы часу можа месяцамі ціха зрушвацца, перш чым нешта запратэстуе.

Праверце пры сапраўды адсутным знешнім канале

Адключыце знешні канал, потым выканайце роўна тую аперацыю абслугоўвання, для якой праектавалі: сеанс тэрмінала, капіраванне файла, перанакіраваную службу, маршрутызаванае злучэнне. Пацвердзіце, што адхілены ідэнтыфікатар або забаронены рэсурс па-ранейшаму адхіляюцца, бо праект, які даказвае толькі шчаслівы шлях, зусім не правераны. Чытайце журналы падчас гэтага, бо цікавыя збоі — тыя, што пакідаюць след, не змяняючы выніку.

Запішыце лакальную канчатковую кропку, механізм абароны і кожную залежнасць, якую выкарыстала аперацыя. Выхад у інтэрнэт і бяспечны шлях для лакальнага адміністравання — дзве розныя патрабаванні, і іх раздзяленне дазваляе другой перажыць страту першай.