Gweinyddu Raspberry Pi ar LAN heb uplink rhyngrwyd

Mae dau ddyfais ar LAN preifat yn gallu cyfnewid traffig gwarchodedig heb unrhyw uplink o gwbl. Yr hyn na allant ei wneud yw dwyn i'r golwg y gwasanaethau y mae eu model diogelwch dewisol yn disgwyl amdanynt. Felly mae'r gwaith yn hanner dewis a hanner rhestr: dewiswch yr amddiffyniad sy'n gweddu i'r dasg, yna rhestrwch bopeth a fyddai'n ymestyn yn dawel at y rhyngrwyd.

Rhagdybiaeth y daith gerdded hon yw bod gan y ddwy ddyfais gyfeiriadau cymeradwy ar yr un rhwydwaith preifat. Peidiwch â chasglu cyrhaeddadwyedd o'r ffaith bod y ddwy wedi ymuno â'r un wifi; mae'r cysylltiad, y llwybro a'r rheolau mynediad yn dal i benderfynu hynny.

Dewiswch amddiffyniad yn ôl y dasg, nid yn ôl arfer

Mae sesiwn terfynell neu dasg gweinyddu ffeiliau â chymorth yn gweddu i SSH, y mae ei bensaernïaeth yn gwahanu dilysu gweinydd, dilysu defnyddiwr a'r sianeli a gludir o fewn y cludiant gwarchodedig. Nid oes unrhyw un o'r rolau hynny'n gofyn am ddarparwr VPN masnachol, ac nid oes yr un ohonynt yn rhoi'r gorau i weithio am nad oes llwybr diofyn i'r rhyngrwyd.

Gall un gwasanaeth TCP ychwanegol deithio trwy flaenffryd SSH awdurdodedig pan fydd y gweinydd yn caniatáu hynny: cadwch y gwrandawr lleol wedi'i rwymo'n dynn a'r cyrchfan yn eglur, a chofiwch fod hyn yn blaenffrydio'r un gwasanaeth yn hytrach na dyblygu segment Ethernet.

Mae mynediad llwybredig at sawl cyfeiriad neu brotocol yn ofyniad gwahanol, a gall VPN a derfynnir yn lleol ei ddarparu. Y cymar yn yr achos hwnnw yw porth lleol cyrhaeddadwy, nid pwynt terfyn yn rhywle ar y rhyngrwyd, ac mae'r borth yn dal i fod angen y llwybrau bwriadedig, y rheolau blaenffrydio a'r caniatadau gwasanaeth. Lle mae un cymhwysiad eisoes yn siarad TLS yn iawn, ei wneud i amddiffyn ei gysylltiad ei hun yw'r ateb lleiaf sy'n gweithio'n aml.

Rhestrwch beth a fyddai'n gadael y LAN

Rhowch y meddalwedd, hunaniaethau'r gwesteiwr a'r tystlythyrau yn eu lle cyn dibynnu ar fainc wedi'i hynysu, neu defnyddiwch y broses gyflawni all-lein y mae'r sefydliad yn ei chefnogi. Nid yw gorchymyn lawrlwytho yn gynllun gosod ar gyfer peiriant na all gyrraedd y ffynhonnell, ac mae darganfod hynny yn ystod diffyg yn amser gwael i'w ddysgu.

Gwnewch yr enwi'n fwriadol. Defnyddiwch y gwasanaeth DNS lleol bwriadedig neu drefniant cyfeiriadau wedi'i ddogfennu, oherwydd nid yw datryswr cyhoeddus wedi'i ffurfweddu yn creu llwybr ato'i hun. Nid yw newid cyfeiriad soced yn gyfiawnhad dros hepgor gwiriadau hunaniaeth y cymhwysiad chwaith. Os mai'r ateb yw bod y fainc yn defnyddio cyfeiriadau'n syml, ysgrifennwch hynny hefyd, fel na fydd y peiriannydd nesaf yn treulio awr ar barth chwilio na chafodd ei ffurfweddu erioed.

Yna darllenwch y model dilysu a gwirio ar gyfer dibyniaethau allanol: ymrestru, darparwr hunaniaeth, cymeradwyaeth amlfactor, adalw statws tystysgrif, ffynhonnell amser. Mae pob un yn rhwystr posibl ar rwydwaith wedi'i hynysu. Rhestrwch nhw cyn y ffenestr gynnal a chadw, nid yn ystod, oherwydd mae dibyniaeth a ddarganfyddwch ar yr adeg anghywir yn troi tasg pum munud yn brynhawn. Darparwch drefniant cyrhaeddadwy cymeradwy neu dewiswch fodel sy'n gweithio all-lein, ac na analluogwch wiriad yn dawel oherwydd bod ei wasanaeth yn eisiau.

Cadwch wiriadau hunaniaeth lle maen nhw'n perthyn

Gwiriwch yr allwedd gwesteiwr neu'r dystysgrif a ddisgwylir trwy'r broses ddarparu rydych yn ymddiried ynddi, a chadwch y cloc yn gywir lle mae'r protocol yn dilysu amseroedd tystysgrif. Nid yw rhannu switsh â dyfais yn gwneud y ddyfais honno yn un rydych yn bwriadu ei chyrraedd, ac mae tybio fel arall yn union y camgymeriad y byddai ymosodwr ar yr un segment am i chi ei wneud.

Mae amser yn haeddu ei linell ei hun yn y cynllun. Mae llawer o brotocolau'n gwrthod tystlythyrau a fyddai fel arall yn ddilys pan fydd y cloc wedi drifftio'n ddigon pell, a gall Pi heb ffynhonnell amser rhwydwaith drifftio'n dawel am fisoedd cyn i unrhyw beth gwyno.

Profwch gyda'r uplink yn wirioneddol absennol

Tynnwch y cysylltiad uplink allan, yna cyflawnwch yr union weithrediad cynnal a chadw y gwnaethoch ei gynllunio ar ei gyfer: y sesiwn terfynell, y copi ffeil, y gwasanaeth blaenffrydio, y cysylltiad llwybredig. Cadarnhewch fod hunaniaeth a wrthodwyd neu adnodd a waherddir yn dal i gael ei wrthod, oherwydd nid yw dyluniad sy'n profi dim ond y llwybr hapus wedi'i brofi o gwbl. Darllenwch y logiau wrth wneud hynny, gan mai'r methiannau diddorol yw'r rhai sy'n gadael ôl heb newid y canlyniad.

Cofnodwch y pwynt terfyn lleol, y mecanwaith amddiffyn a phob dibyniaeth a ddefnyddiwyd gan y gweithrediad. Mae allanfa i'r rhyngrwyd a llwybr diogel ar gyfer gweinyddu lleol yn ddau ofyniad gwahanol, a'u cadw ar wahân yw'r hyn sy'n gadael i'r ail oroesi colli'r cyntaf.