Raspberry Pi haldamine LAN-is ilma internetiühenduseta

Kaks seadet privaatses LAN-is saavad vahetada kaitstud liiklust ilma igasuguse ühenduslingita. Mida nad teha ei saa, on välja võluda teenuseid, mida nende valitud turvamudel eeldab. Töö on seega pool valik ja pool inventuur: valige ülesandele vastav kaitse ja loetlege seejärel kõik, mis hiilivalt interneti järele sirutaks.

Selle ülevaate eeldus on, et mõlemal seadmel on kinnitatud aadressid samas privaatvõrgus. Ärge tuletage kättesaadavust sellest, et mõlemad liitusid sama wifi-ga; ühendus, marsruutimine ja juurdepääsureeglid otsustavad selle endiselt.

Valige kaitse ülesande, mitte harjumuse järgi

Terminaliseanss või toetatud failihaldusülesanne sobib SSH-ga, mille arhitektuur eraldab serveri autentimise, kasutaja autentimise ja kaitstud transpordi sees kantavad kanalid. Ükski neist rollidest ei nõua kommertsiaalset VPN-teenusepakkujat ja ükski ei lõpeta töötamist seetõttu, et interneti suunas puudub vaikimisi marsruut.

Üks täiendav TCP-teenus saab liikuda autoriseeritud SSH-edastuse kaudu, kui server seda lubab: hoidke kohalik kuulaja kitsalt seotud ja sihtkoht selgesõnaline, ning pidage meeles, et see edastab seda ühte teenust, mitte ei taasta Etherneti segmenti.

Marsruuditud juurdepääs mitmele aadressile või protokollile on teine nõue ja kohapeal lõpetatud VPN suudab selle pakkuda. Vastaspool on sel juhul kättesaadav kohalik lüüs, mitte kuskil internetis asuv lõpp-punkt, ja lüüs vajab endiselt kavandatud marsruute, edastusreegleid ja teenuselubasid. Seal, kus üks rakendus juba korralikult TLS-i räägib, on sageli väikseim toimiv vastus lasta tal oma ühendust kaitsta.

Loetlege, mis LAN-ist lahkuks

Hankige tarkvara, hostide identiteedid ja mandaadid enne, kui loote isoleeritud pingile, või kasutage organisatsiooni toetatud võrguühenduseta tarneprotsessi. Allalaadimiskäsk ei ole paigaldusplaan masinale, mis ei pääse allikani, ja selle avastamine katkestuse ajal on halb aeg õppimiseks.

Tehke nimetamine teadlikuks. Kasutage kavandatud kohalikku DNS-teenust või dokumenteeritud aadressikorraldust, sest konfigureeritud avalik resolver ei loo teed iseenda juurde. Ka pesa aadressi muutmine ei ole õigustus rakenduse identiteedikontrollide vahelejätmiseks. Kui vastus on, et pingu kasutab lihtsalt aadresse, kirjutage ka see üles, et järgmine insener ei veedaks tundi otsingudomeenil, mida kunagi ei konfigureeritud.

Seejärel lugege väliste sõltuvuste autentimis- ja kontrollimudelit: registreerimine, identiteedipakkuja, mitmefaktoriline kinnitus, sertifikaadi oleku hankimine, ajaallikas. Igaüks neist on võimalik blokeerija isoleeritud võrgus. Loetlege need enne hooldusakent, mitte selle ajal, sest valel hetkel avastatud sõltuvus muudab viie minuti ülesande terveks pärastlõunaks. Tagage kinnitatud kättesaadav korraldus või valige mudel, mis töötab võrguühenduseta, ja ärge kunagi lülitage kontrolli vaikselt välja seetõttu, et selle teenus puudub.

Hoidke identiteedikontrollid seal, kuhu need kuuluvad

Kontrollige oodatud hostivõtit või sertifikaati usaldusväärse ettevalmistusprotsessi kaudu ja hoidke kell õige seal, kus protokoll sertifikaadiaegu valideerib. Lüliti jagamine seadmega ei tee sellest seadmest seda, milleni te jõuda kavatsesite, ja vastupidise eeldamine on täpselt see viga, mida samas segmendis olev ründaja teilt sooviks.

Aeg väärib plaanis omaette rida. Paljud protokollid lükkavad muidu kehtivad mandaadid tagasi, kui kell on piisavalt triivinud, ja Pi ilma võrgu ajaallikata võib kuid vaikselt triivida, enne kui miski kurdab.

Testige ühenduslingi tegeliku puudumisega

Ühendage ühenduslink lahti ja sooritage seejärel täpselt see hooldustoiming, mille jaoks kavandasite: terminaliseanss, failikoopia, edastatud teenus, marsruuditud ühendus. Kinnitage, et tagasilükatud identiteet või keelatud ressurss on endiselt tagasilükatud, sest kavand, mis tõestab ainult õnnelikku teed, ei ole üldse testitud. Lugege logisid selle ajal, sest huvitavad tõrked on need, mis jätavad jälje ilma tulemust muutmata.

Registreerige kohalik lõpp-punkt, kaitse mehhanism ja iga sõltuvus, mida toiming kasutas. Väljapääs internetti ja turvaline tee kohalikuks haldamiseks on kaks erinevat nõuet ning nende lahus hoidmine on see, mis laseb teisel üle elada esimese kaotuse.