Διαχείριση Raspberry Pi σε LAN χωρίς ζεύξη διαδικτύου

Δύο συσκευές σε ένα ιδιωτικό LAN μπορούν να ανταλλάσσουν προστατευμένη κίνηση χωρίς κανέναν ζεύξη ανόδου. Αυτό που δεν μπορούν να κάνουν είναι να δημιουργήσουν από το τίποτα τις υπηρεσίες που περιμένει το μοντέλο ασφαλείας που επέλεξαν. Η δουλειά είναι επομένως μισή επιλογή και μισή απογραφή: διαλέξτε την προστασία που ταιριάζει στην εργασία και έπειτα καταγράψτε ό,τι θα άπλωνε σιωπηλά προς το διαδίκτυο.

Η παραδοχή αυτής της διαδρομής είναι ότι και οι δύο συσκευές έχουν εγκεκριμένες διευθύνσεις στο ίδιο ιδιωτικό δίκτυο. Μην συμπεράνετε προσβασιμότητα από το ότι και οι δύο συνδέθηκαν στο ίδιο wifi· η σύνδεση, η δρομολόγηση και οι κανόνες πρόσβασης το αποφασίζουν ακόμη.

Διαλέξτε προστασία με βάση την εργασία, όχι τη συνήθεια

Μια συνεδρία τερματικού ή μια υποστηριζόμενη εργασία διαχείρισης αρχείων ταιριάζει στο SSH, του οποίου η αρχιτεκτονική διαχωρίζει τον έλεγχο ταυτότητας διακομιστή, τον έλεγχο ταυτότητας χρήστη και τα κανάλια που μεταφέρονται μέσα στην προστατευμένη μεταφορά. Κανένας από αυτούς τους ρόλους δεν απαιτεί εμπορικό πάροχο VPN και κανένας δεν σταματά να λειτουργεί επειδή δεν υπάρχει προεπιλεγμένη διαδρομή προς το διαδίκτυο.

Μια επιπλέον υπηρεσία TCP μπορεί να ταξιδέψει μέσα από μια εξουσιοδοτημένη προώθηση SSH όταν ο διακομιστής το επιτρέπει: κρατήστε τον τοπικό ακροατή στενά δεσμευμένο και τον προορισμό ρητό, και θυμηθείτε ότι αυτό προωθεί τη μία υπηρεσία αντί να αναπαράγει ένα τμήμα Ethernet.

Η δρομολογημένη πρόσβαση σε πολλές διευθύνσεις ή πρωτόκολλα είναι διαφορετική απαίτηση, και ένα τοπικά τερματισμένο VPN μπορεί να την παρέχει. Ο ομόλογος σε αυτή την περίπτωση είναι μια προσβάσιμη τοπική πύλη, όχι ένα τελικό σημείο κάπου στο διαδίκτυο, και η πύλη εξακολουθεί να χρειάζεται τις προβλεπόμενες διαδρομές, τους κανόνες προώθησης και τις άδειες υπηρεσιών. Όπου μια μεμονωμένη εφαρμογή μιλά ήδη σωστά TLS, το να την αφήσετε να προστατεύσει τη δική της σύνδεση είναι συχνά η μικρότερη απάντηση που λειτουργεί.

Απογράψτε τι θα άφηνε το LAN

Τοποθετήστε το λογισμικό, τις ταυτότητες κεντρικών υπολογιστών και τα διαπιστευτήρια πριν βασιστείτε σε έναν απομονωμένο πάγκο, ή χρησιμοποιήστε τη διαδικασία παράδοσης εκτός σύνδεσης που υποστηρίζει ο οργανισμός. Μια εντολή λήψης δεν είναι σχέδιο εγκατάστασης για μηχάνημα που δεν μπορεί να φτάσει την πηγή, και το να το ανακαλύψετε κατά τη διάρκεια μιας διακοπής είναι κακή στιγμή για να το μάθετε.

Κάντε την ονοματοδοσία συνειδητή. Χρησιμοποιήστε την προβλεπόμενη τοπική υπηρεσία DNS ή μια τεκμηριωμένη διάταξη διευθύνσεων, γιατί ένας ρυθμισμένος δημόσιος επιλυτής δεν δημιουργεί μονοπάτι προς τον εαυτό του. Η αλλαγή μιας διεύθυνσης υποδοχής δεν είναι ούτε αυτή δικαιολογία για να παρακάμψετε τους ελέγχους ταυτότητας της εφαρμογής. Αν η απάντηση είναι ότι ο πάγκος απλώς χρησιμοποιεί διευθύνσεις, γράψτε το κι αυτό, ώστε ο επόμενος μηχανικός να μην περάσει μια ώρα σε έναν τομέα αναζήτησης που δεν ρυθμίστηκε ποτέ.

Έπειτα διαβάστε το μοντέλο ελέγχου ταυτότητας και επαλήθευσης για τις εξωτερικές εξαρτήσεις: εγγραφή, πάροχος ταυτότητας, έγκριση πολλαπλών παραγόντων, ανάκτηση κατάστασης πιστοποιητικού, πηγή χρόνου. Καθεμία είναι πιθανό εμπόδιο σε ένα απομονωμένο δίκτυο. Καταγράψτε τις πριν από το παράθυρο συντήρησης, όχι κατά τη διάρκειά του, γιατί μια εξάρτηση που ανακαλύπτεται τη λάθος στιγμή μετατρέπει μια εργασία πέντε λεπτών σε ένα ολόκληρο απόγευμα. Εξασφαλίστε μια εγκεκριμένη προσβάσιμη λύση ή διαλέξτε ένα μοντέλο που λειτουργεί εκτός σύνδεσης, και μην απενεργοποιείτε ποτέ σιωπηλά έναν έλεγχο επειδή λείπει η υπηρεσία του.

Κρατήστε τους ελέγχους ταυτότητας εκεί που ανήκουν

Επαληθεύστε το αναμενόμενο κλειδί κεντρικού υπολογιστή ή το πιστοποιητικό μέσω της διαδικασίας προετοιμασίας που εμπιστεύεστε, και κρατήστε το ρολόι σωστό όπου το πρωτόκολλο επικυρώνει τις ώρες πιστοποιητικών. Το να μοιράζεστε έναν μεταγωγέα με μια συσκευή δεν κάνει αυτή τη συσκευή εκείνη που θέλατε να φτάσετε, και το να υποθέσετε το αντίθετο είναι ακριβώς το λάθος που θα ήθελε ένας επιτιθέμενος στο ίδιο τμήμα να κάνετε.

Ο χρόνος αξίζει τη δική του γραμμή στο σχέδιο. Πολλά πρωτόκολλα απορρίπτουν κατά τα άλλα έγκυρα διαπιστευτήρια όταν το ρολόι έχει ξεφύγει αρκετά, και ένα Pi χωρίς πηγή χρόνου δικτύου μπορεί να ξεφεύγει σιωπηλά για μήνες πριν παραπονεθεί κάτι.

Δοκιμάστε με τον ζεύξη ανόδου πραγματικά απόντα

Αποσυνδέστε τον ζεύξη ανόδου και έπειτα εκτελέστε ακριβώς τη συντηρητική εργασία για την οποία σχεδιάσατε: τη συνεδρία τερματικού, την αντιγραφή αρχείου, την προωθημένη υπηρεσία, τη δρομολογημένη σύνδεση. Επιβεβαιώστε ότι μια απορριφθείσα ταυτότητα ή ένας απαγορευμένος πόρος εξακολουθούν να απορρίπτονται, γιατί ένα σχέδιο που αποδεικνύει μόνο το ευνοϊκό μονοπάτι δεν έχει δοκιμαστεί καθόλου. Διαβάστε τα αρχεία καταγραφής καθώς το κάνετε, γιατί οι ενδιαφέρουσες αστοχίες είναι εκείνες που αφήνουν ίχνος χωρίς να αλλάζουν το αποτέλεσμα.

Καταγράψτε το τοπικό τελικό σημείο, τον μηχανισμό προστασίας και κάθε εξάρτηση που χρησιμοποίησε η εργασία. Η έξοδος προς το διαδίκτυο και μια ασφαλής διαδρομή για την τοπική διαχείριση είναι δύο διαφορετικές απαιτήσεις, και το να τις κρατάτε χωριστά είναι αυτό που επιτρέπει στη δεύτερη να επιβιώσει από την απώλεια της πρώτης.