Administrar una Raspberry Pi en una LAN sense enllaç a internet

Dos dispositius en una LAN privada poden intercanviar trànsit protegit sense cap enllaç ascendent. El que no poden fer és fer aparèixer els serveis que el seu model de seguretat triat espera. La feina és, així, meitat selecció i meitat inventari: trieu la protecció que encaixa amb la tasca i després llisteu tot el que aniria silenciosament a buscar internet.

La premissa d'aquest recorregut és que tots dos dispositius tenen adreces aprovades a la mateixa xarxa privada. No deduïu l'abastabilitat del fet que tots dos s'hagin connectat al mateix wifi; la connexió, l'encaminament i les regles d'accés encara ho decideixen.

Triar la protecció per la tasca, no pel costum

Una sessió de terminal o una tasca d'administració de fitxers admesa encaixa amb SSH, l'arquitectura del qual separa l'autenticació del servidor, l'autenticació de l'usuari i els canals transportats dins del transport protegit. Cap d'aquests rols no requereix un proveïdor de VPN comercial, i cap d'ells no deixa de funcionar perquè no hi hagi una ruta per defecte cap a internet.

Un servei TCP addicional pot viatjar per un reenviament SSH autoritzat quan el servidor ho permet: manteniu l'escoltador local estretament lligat i la destinació explícita, i recordeu que això reenvia aquest únic servei en lloc de reproduir un segment Ethernet.

L'accés encaminat a diverses adreces o protocols és un requisit diferent, i una VPN acabada localment el pot proporcionar. El parell en aquest cas és una passarel·la local abastable, no un punt final en algun lloc d'internet, i la passarel·la encara necessita les rutes previstes, les regles de reenviament i els permisos de servei. On una única aplicació ja parla TLS correctament, deixar que protegeixi la seva pròpia connexió és sovint la resposta més petita que funciona.

Inventarieu què sortiria de la LAN

Prepareu el programari, les identitats d'amfitrió i les credencials abans de dependre d'un banc aïllat, o utilitzeu el procés de lliurament fora de línia que l'organització admet. Una ordre de descàrrega no és un pla d'instal·lació per a una màquina que no pot arribar a l'origen, i descobrir-ho durant una avaria és un mal moment per aprendre-ho.

Feu el nomenament deliberat. Utilitzeu el servei DNS local previst o una disposició d'adreces documentada, perquè un resolutor públic configurat no crea un camí cap a si mateix. Canviar una adreça de sòcol tampoc no és una justificació per saltar-se les comprovacions d'identitat de l'aplicació. Si la resposta és que el banc simplement fa servir adreces, escriviu-ho també, perquè el següent enginyer no passi una hora en un domini de cerca que mai no es va configurar.

Després llegiu el model d'autenticació i verificació de les dependències externes: inscripció, un proveïdor d'identitat, una aprovació multifactor, l'obtenció de l'estat del certificat, una font de temps. Cadascuna és un blocatge potencial en una xarxa aïllada. Llisteu-les abans de la finestra de manteniment, no durant, perquè una dependència descoberta en el moment equivocat converteix una tasca de cinc minuts en una tarda. Proporcioneu un arranjament abastable aprovat o trieu un model que funcioni fora de línia, i no desactiveu mai en silenci una comprovació perquè falti el seu servei.

Manteniu les comprovacions d'identitat on pertanyen

Verifiqueu la clau d'amfitrió o el certificat esperat mitjançant el procés d'aprovisionament en què confieu, i manteniu el rellotge correcte on el protocol valida les hores del certificat. Compartir un commutador amb un dispositiu no fa que aquest dispositiu sigui el que volíeu assolir, i suposar el contrari és exactament l'error que un atacant al mateix segment voldria que féssiu.

El temps mereix la seva pròpia línia al pla. Molts protocols rebutgen credencials altrament vàlides quan el rellotge ha derivat prou, i una Pi sense font de temps de xarxa pot derivar en silenci durant mesos abans que res es queixi.

Proveu amb l'enllaç ascendent realment absent

Desconnecteu l'enllaç ascendent i feu després l'operació de manteniment exacta per a la qual heu dissenyat: la sessió de terminal, la còpia de fitxers, el servei reenviat, la connexió encaminada. Confirmeu que una identitat denegada o un recurs prohibit continuen denegats, perquè un disseny que només demostra el camí feliç no s'ha provat gens. Llegiu els registres mentre ho feu, ja que les fallades interessants són les que deixen rastre sense canviar el resultat.

Registreu el punt final local, el mecanisme de protecció i cada dependència que va utilitzar l'operació. La sortida a internet i un camí segur per a l'administració local són dos requisits diferents, i mantenir-los separats és el que permet que el segon sobrevisqui a la pèrdua del primer.