Raspberry Pi:n hallinta LAN-verkossa ilman internet-ylälinkkiä

Kaksi laitetta yksityisessä LAN-verkossa voivat vaihtaa suojattua liikennettä ilman mitään ylälinkkiä. Mitä ne eivät voi tehdä, on loihtia esiin palveluita, joita niiden valittu turvamalli odottaa. Työ on siis puoliksi valintaa ja puoliksi luettelointia: valitse tehtävään sopiva suoja ja luettele sitten kaikki, mikä hiljaa kurkottaisi internetiin.

Tämän läpikäynnin oletuksena on, että molemmilla laitteilla on hyväksytyt osoitteet samassa yksityisverkossa. Älä päättele tavoitettavuutta siitä, että molemmat liittyivät samaan wifiin; liitäntä, reititys ja käyttösäännöt päättävät sen edelleen.

Valitse suoja tehtävän, älä tottumuksen mukaan

Päätesessio tai tuettu tiedostohallintatehtävä sopii SSH:lle, jonka arkkitehtuuri erottaa palvelimen tunnistuksen, käyttäjän tunnistuksen ja suojatun siirtoyhteyden sisällä kuljetettavat kanavat. Mikään näistä rooleista ei vaadi kaupallista VPN-palveluntarjoajaa, eikä mikään niistä lakkaa toimimasta siksi, ettei internetiin ole oletusreittiä.

Yksi ylimääräinen TCP-palvelu voi kulkea valtuutetun SSH-edelleenohjauksen läpi, kun palvelin sallii sen: pidä paikallinen kuuntelija tiukasti sidottuna ja kohde eksplisiittisenä, ja muista, että tämä välittää yhtä palvelua sen sijaan, että se toistaisi Ethernet-segmentin.

Reititetty pääsy useisiin osoitteisiin tai protokolliin on eri vaatimus, ja paikallisesti päätetty VPN voi tarjota sen. Vastapuoli on silloin tavoitettavissa oleva paikallinen yhdyskäytävä, ei jossain internetissä oleva päätepiste, ja yhdyskäytävä tarvitsee edelleen aiottu reitit, edelleenohjaussäännöt ja palveluoikeudet. Siellä missä yksi sovellus jo puhuu TLS:ää kunnolla, on usein pienin toimiva vastaus antaa sen suojata oma yhteytensä.

Luettele, mitä LAN-verkosta lähtisi

Hanki ohjelmisto, isäntien identiteetit ja tunnistetiedot ennen kuin tukeudut eristettyyn penkkiin, tai käytä organisaation tukemaa offline-toimitustapaa. Latauskomento ei ole asennussuunnitelma koneelle, joka ei tavoita lähdettä, ja sen huomaaminen keskeytyksen aikana on huono hetki oppia.

Tee nimeämisestä tarkoituksellista. Käytä aiottua paikallista DNS-palvelua tai dokumentoitua osoitejärjestelyä, koska määritetty julkinen ratkaisija ei luo polkua itseensä. Myöskään pistokkeen osoitteen muuttaminen ei ole perustelu sovelluksen identiteettitarkistusten ohittamiselle. Jos vastaus on, että penkki yksinkertaisesti käyttää osoitteita, kirjoita sekin muistiin, jotta seuraava insinööri ei vietä tuntia hakutoimialueella, jota ei koskaan määritetty.

Lue sitten ulkoisten riippuvuuksien tunnistus- ja varmennusmalli: rekisteröinti, identiteetintarjoaja, monivaiheinen hyväksyntä, varmenteen tilan haku, aikalähde. Jokainen niistä on mahdollinen estäjä eristetyssä verkossa. Luettele ne ennen huoltoikkunaa, ei sen aikana, koska väärään hetkeen löydetty riippuvuus muuttaa viiden minuutin tehtävän kokonaiseksi iltapäiväksi. Järjestä hyväksytty tavoitettavissa oleva ratkaisu tai valitse malli, joka toimii offline-tilassa, äläkä koskaan poista tarkistusta käytöstä hiljaa siksi, että sen palvelu puuttuu.

Pidä identiteettitarkistukset siellä, minne ne kuuluvat

Varmenna odotettu isäntäavain tai varmenne luottamasi valmistelun kautta ja pidä kello oikeana siellä, missä protokolla validoi varmenteen aikoja. Kytkimen jakaminen laitteen kanssa ei tee siitä laitteesta sitä, johon aioit päästä, ja päinvastaisen olettaminen on juuri se virhe, jonka samassa segmentissä oleva hyökkääjä toivoisi sinun tekevän.

Aika ansaitsee oman rivinsä suunnitelmassa. Monet protokollat hylkäävät muuten kelvolliset tunnistetiedot, kun kello on ajautunut tarpeeksi kauas, ja Pi ilman verkon aikalähdettä voi ajautua hiljaa kuukausia ennen kuin mikään valittaa.

Testaa ylälinkin ollessa todella poissa

Irrota ylälinkki ja suorita sitten täsmälleen se huoltotoimenpide, jota varten suunnittelit: päätesessio, tiedostokopio, välitetty palvelu, reititetty yhteys. Vahvista, että hylätty identiteetti tai kielletty resurssi hylätään edelleen, koska suunnitelma, joka todistaa vain onnellisen polun, ei ole lainkaan testattu. Lue lokeja samalla, sillä kiinnostavat viat ovat niitä, jotka jättävät jäljen muuttamatta tulosta.

Kirjaa paikallinen päätepiste, suojamekanismi ja jokainen riippuvuus, jota toimenpide käytti. Internetiin lähteminen ja turvallinen polku paikalliseen hallintaan ovat kaksi eri vaatimusta, ja niiden erillään pitäminen on se, mikä antaa jälkimmäisen selvitä edellisen menettämisestä.