Raspberry Pi bat administratzea LAN batean interneteko estekarik gabe

LAN pribatu bateko bi gailuk trafiko babestua truka dezakete goiko estekarik gabe. Ezin dutena da haien segurtasun-ereduak espero dituen zerbitzuak sortzea. Lana, beraz, erdia hautaketa eta erdia inbentarioa da: aukeratu zereginari dagokion babesa, eta gero zerrendatu isilpean internetera joango litzatekeen guztia.

Ibilbide honen abiapuntua da bi gailuek helbide onartuak dituztela sare pribatu berean. Ez ondorioztatu irisgarritasuna biek wifi berera konektatu izanagatik; konexioak, bideratzeak eta sarbide-arauak erabakitzen dute oraindik.

Aukeratu babesa zereginaren arabera, ez ohituraz

Terminal-saio batek edo onartutako fitxategi-administrazio zeregin batek SSH-rekin bat egiten du; haren arkitekturak bereizten ditu zerbitzariaren autentifikazioa, erabiltzailearen autentifikazioa eta garraio babestuaren barruan daramatzaten kanalak. Paper horietako batek ere ez du VPN hornitzaile komertzialik behar, eta batek ere ez dio funtzionatzeari uzten interneterako biderik lehenetsirik ez dagoelako.

TCP zerbitzu gehigarri bat baimendutako SSH birbidalketa batetik joan daiteke zerbitzariak onartzen duenean: mantendu tokiko entzulea estuki lotuta eta helmuga esplizitua, eta gogoratu horrek zerbitzu bakarra birbidaltzen duela, Ethernet segmentu bat birsortu beharrean.

Helbide edo protokolo batzuetarako bideratutako sarbidea beste eskakizun bat da, eta tokian amaitutako VPN batek eman dezake. Parekidea kasu horretan tokiko pasabide irisgarria da, ez interneten nonbait dagoen amaiera-puntua, eta pasabideak aurreikusitako ibilbideak, birbidaltze-arauak eta zerbitzu-baimenak behar ditu oraindik. Aplikazio bakar batek jada TLS behar bezala hitz egiten duen lekuan, askotan erantzun txikiena izaten da berak bere konexioa babesteko uztea.

Inbentariatu LANA utziko lukeena

Jarri softwarea, ostalari-identitateak eta kredentzialak beren tokian banku isolatu batean fidatu aurretik, edo erabili erakundeak onartzen duen lineaz kanpoko entrega-prozesua. Deskarga-komando bat ez da instalazio-plana iturria iritsi ezin den makina baterako, eta hori etenaldi batean aurkitzea une txarra da ikasteko.

Egin izendapena deliberatua. Erabili aurreikusitako tokiko DNS zerbitzua edo dokumentatutako helbide-antolaketa, konfiguratutako resolver publiko batek ez baitu bere bururako biderik sortzen. Socket helbide bat aldatzea ere ez da aplikazioaren identitate-egiaztapenak saltzeko arrazoia. Erantzuna bankuak helbideak besterik erabiltzen ez baditu, idatzi hori ere, hurrengo ingeniariak inoiz konfiguratu ez zen bilaketa-domeinu batean ordu bat egin ez dezan.

Ondoren irakurri kanpoko mendekotasunen autentifikazio- eta egiaztapen-eredua: izen-ematea, identitate-hornitzaile bat, faktore anitzeko onespena, ziurtagiriaren egoeraren lortzea, denbora-iturri bat. Horietako bakoitza blokeo posiblea da sare isolatu batean. Zerrendatu mantentze-leihoaren aurretik, ez bitartean, une okerrean aurkitzen duzun mendekotasun batek bost minutuko zeregina arratsalde oso bihurtzen baitu. Eman onartutako antolaketa irisgarri bat edo aukeratu lineaz kanpo funtzionatzen duen eredu bat, eta inoiz ez desgaitu isilpean egiaztapen bat haren zerbitzua falta delako.

Mantendu identitate-egiaztapenak dagokien lekuan

Egiaztatu espero den ostalari-gakoa edo ziurtagiria konfiantza duzun hornikuntza-prozesuaren bidez, eta mantendu erlojua zuzen protokoloak ziurtagiri-orduak egiaztatzen dituen lekuan. Gailu batekin switch bat partekatzeak ez du gailu hori lortu nahi zenuen hura bihurtzen, eta kontrakoa suposatzea segmentu bereko erasotzaile batek egin nahi lukeen akatsa da.

Denborak bere lerro propioa merezi du planean. Protokolo askok bestela baliozko kredentzialak baztertzen dituzte erlojua nahikoa desbideratu denean, eta sareko denbora-iturririk gabeko Pi bat isilpean desbidera daiteke hilabeteetan zerbait kexatu aurretik.

Probatu goiko esteka benetan absent dagoela

Deskonektatu goiko esteka, eta egin gero diseinatu zenuen mantentze-eragiketa zehatza: terminal-saioa, fitxategi-kopia, birbidalitako zerbitzua, bideratutako konexioa. Berretsi ukatutako identitate bat edo debekatutako baliabide bat oraindik ukatuta daudela, bide zoriontsua soilik frogatzen duen diseinua ez baita batere probatu. Irakurri erregistroak horretan ari zaren bitartean, porrot interesgarriak emaitza aldatu gabe arrastoa uzten dutenak baitira.

Erregistratu tokiko amaiera-puntua, babes-mekanismoa eta eragiketak erabili zuen mendekotasun bakoitza. Interneteko irteera eta tokiko administraziorako bide segurua bi eskakizun desberdin dira, eta horiek bereiz mantentzea da bigarrenari lehenengoaren galera gainditzen uzten diona.