Администриране на Raspberry Pi в LAN без интернет канал

Две устройства в частна LAN могат да обменят защитен трафик без никакъв външен канал. Това, което не могат, е да създадат услугите, които избраният от тях модел на сигурност очаква. Затова работата е наполовина избор и наполовина инвентаризация: изберете защитата, подходяща за задачата, после избройте всичко, което тихо би посегнало към интернет.

В това описание се приема, че двете устройства имат одобрени адреси в една и съща частна мрежа. Не правете извод за достъпност от факта, че и двете са се свързали към същия wifi; свързването, маршрутизацията и правилата за достъп все още решават това.

Избирайте защита според задачата, а не според навика

Терминална сесия или поддържана задача за администриране на файлове подхожда на SSH, чиято архитектура разделя удостоверяването на сървъра, удостоверяването на потребителя и каналите, пренасяни вътре в защитения транспорт. Никоя от тези роли не изисква търговски доставчик на VPN и никоя не спира да работи защото няма маршрут по подразбиране към интернет.

Една допълнителна TCP услуга може да пътува през оторизирано SSH пренасочване, когато сървърът го позволява: дръжте локалния слушател тясно обвързан, а дестинацията явна, и помнете, че това пренасочва едната услуга, вместо да възпроизвежда Ethernet сегмент.

Маршрутизираният достъп до няколко адреса или протокола е друго изискване и локално завършен VPN може да го осигури. Партньорът в този случай е достъпен локален шлюз, а не крайна точка някъде в интернет, и шлюзът все още се нуждае от предвидените маршрути, правила за пренасочване и разрешения за услуги. Там, където едно приложение вече говори TLS правилно, често най-малкият работещ отговор е да му се позволи да защитава собствената си връзка.

Направете инвентаризация на това, което би напуснало LAN

Подгответе софтуера, идентичностите на хостовете и идентификационните данни, преди да разчитате на изолирана площадка, или използвайте поддържания от организацията процес за офлайн доставка. Командата за изтегляне не е план за инсталиране на машина, която не може да достигне източника, а да го откриете по време на прекъсване е лош момент да го научите.

Направете именуването съзнателно. Използвайте предвидената локална DNS услуга или документирано подреждане на адреси, защото конфигуриран публичен резолвер не създава път към себе си. Смяната на socket адрес също не е оправдание да се пропуснат проверките за идентичност на приложението. Ако отговорът е, че площадката просто използва адреси, запишете и това, за да не прекара следващият инженер час върху домейн за търсене, който никога не е бил конфигуриран.

След това прочетете модела за удостоверяване и проверка на външните зависимости: регистрация, доставчик на идентичност, многофакторно одобрение, извличане на статуса на сертификат, източник на време. Всяка от тях е потенциална блокировка в изолирана мрежа. Избройте ги преди сервизния прозорец, а не по време на него, защото зависимост, открита в грешния момент, превръща петминутна задача в цял следобед. Осигурете одобрено достъпно решение или изберете модел, който работи офлайн, и никога не изключвайте проверка тихо, защото липсва нейната услуга.

Пазете проверките за идентичност там, където им е мястото

Проверете очаквания ключ на хоста или сертификата чрез процеса на подготовка, на който вярвате, и поддържайте часовника правилен там, където протоколът валидира времената на сертификата. Споделянето на комутатор с устройство не прави това устройство това, което сте искали да достигнете, а обратното предположение е точно грешката, която нападател в същия сегмент би искал да направите.

Времето заслужава свой ред в плана. Много протоколи отхвърлят иначе валидни идентификационни данни, когато часовникът се е отклонил достатъчно, а Pi без мрежов източник на време може месеци тихо да се отклонява, преди нещо да се оплаче.

Тествайте при действително отсъстващ външен канал

Изключете външния канал, после извършете точно онази операция по поддръжка, за която сте проектирали: терминалната сесия, копирането на файл, пренасочената услуга, маршрутизираната връзка. Потвърдете, че отказана идентичност или забранен ресурс все още се отказват, защото проект, който доказва само щастливия път, изобщо не е тестван. Четете журналите, докато го правите, защото интересните откази са тези, които оставят следа, без да променят резултата.

Запишете локалната крайна точка, защитния механизъм и всяка зависимост, която операцията е използвала. Изходът към интернет и сигурният път за локално администриране са две различни изисквания и разделянето им е това, което позволява на второто да преживее загубата на първото.