In Raspberry Pi beheare op in LAN sûnder ynternet-uplink

Twa apparaten op in privee LAN kinne beskerme ferkear útwikselje hielendal sûnder in uplink. Wat se net kinne, is de tsjinsten tsjoene dy't har keazen feiligensmodel ferwachtet. It wurk is dêrom heal seleksje en heal ynventarisaasje: kies de beskerming dy't by de taak past, en set dan alles op in list dat stilhâldend nei it ynternet reikje soe.

De oanname foar dizze trochrin is dat beide apparaten goedkarde adressen op itselde privee netwurk hawwe. Lûk gjin berikberens ôf út it feit dat beide by deselde wifi oansletten binne; de oansluting, it rûtesjen en de tagongsregels beslisse dat noch altyd.

Kies beskerming op grûn fan de taak, net út gewoante

In terminalsesje of in stipe bestânbeheartaak past by SSH, waans arsjitektuer serverferifikaasje, brûkerferifikaasje en de kanalen yn it beskerme transport skiedt. Gjin fan dy rollen fereasket in kommersjele VPN-oanbieder, en gjin fan harren hâldt op mei wurkjen om't der gjin standertrûte nei it ynternet is.

Ien ekstra TCP-tsjinst kin troch in autorisearre SSH-oerstjoering reizgje as de server dat tastiet: hâld de lokale listener nau bûn en de bestimming eksplisyt, en tink derom dat dit de iene tsjinst oerstjoert ynstee fan in Ethernet-segmint nei te meitsjen.

Rûte tagong ta ferskate adressen of protokollen is in oare eask, en in lokaal beëinige VPN kin dat leverje. De peer is yn dat gefal in berikbere lokale gateway, gjin einpunt earne op it ynternet, en de gateway hat noch altyd de bedoelde rûtes, oerstjoeringsregels en tsjinstrjochten nedich. Wêr't ien applikaasje al goed TLS praat, is it it lytste antwurd dat wurket om it syn eigen ferbining beskermje te litten.

Ynventarisearje wat it LAN ferlitte soe

Krij de software, hostidentiteiten en ynloggegevens op har plak foardat jo op in isolearre bank fertrouwe, of brûk it offline-leveringsproses dat de organisaasje stipet. In downloadopdracht is gjin ynstallaasjeplan foar in masine dy't de boarne net berikke kin, en dat ûntdekke by in útfal is in min momint om it te learen.

Meitsje nammejouwing bewust. Brûk de bedoelde lokale DNS-tsjinst of in dokumintearre adresregeling, want in konfigurearre iepenbiere resolver makket gjin paad nei himsels. It feroarjen fan in socketadres is ek gjin rjochtfeardiging om de identiteitskontrôles fan de applikaasje oer te slaan. As it antwurd is dat de bank gewoan adressen brûkt, skriuw dat dan ek op, sadat de folgjende yngenieur net in oere besteget oan in sykdomein dat nea konfigurearre waard.

Lês dan it ferifikaasje- en befêstigingsmodel foar eksterne ôfhinklikens: ynskriuwing, in identiteitsleveransier, in multifaktor-goedkarring, it opheljen fan sertifikaatstatus, in tiidboarne. Elk is in mooglike blokkade op in isolearre netwurk. Set se op in list foar it ûnderhâldsfinster, net derûnder, want in ôfhinklikens dy't jo op it ferkearde momint ûntdekke makket fan in taak fan fiif minuten in middei. Soargje foar in goedkarde berikbere regeling of kies in model dat offline wurket, en skeakelje nea stil in kontrôle út om't syn tsjinst ûntbrekt.

Hâld identiteitskontrôles wêr't se hearre

Ferifiearje de ferwachte hostkaai of it sertifikaat fia it foarsjenningproses dat jo fertrouwe, en hâld de klok krekt wêr't it protokol sertifikaattiiden falidearret. In switch diele mei in apparaat makket dat apparaat net it apparaat dat jo bedoelden te berikken, en it tsjinoerstelde oannimme is krekt de flater dy't in oanfaller op itselde segmint jo graach meitsje litte wol.

Tiid fertsjinnet syn eigen rigel yn it plan. In protokollen ferwerpe oars jildige ynloggegevens as de klok fier genôch ôfdreaun is, en in Pi sûnder netwurktiidboarne kin moannen stil ôfdriuwe foardat eat klaget.

Test mei de uplink echt ôfwêzich

Lûk de uplink út en doch dan de krekte ûnderhâldsbewurking dy't jo ûntwurpen hawwe: de terminalsesje, de bestânskopy, de oerstjoerde tsjinst, de rûte ferbining. Befêstigje dat in wegere identiteit of in ferbeane boarne noch altyd wegere wurdt, want in ûntwerp dat allinnich it gelokkige paad bewist hat, is hielendal net test. Lês de logboeken wylst jo it dogge, want de nijsgjirrige flaten binne dy't in spoar efterlitte sûnder de útkomst te feroarjen.

Notearje it lokale einpunt, it beskermingsmeganisme en elke ôfhinklikens dy't de bewurking brûkte. Útgong nei it ynternet en in feilich paad foar lokaal behear binne twa ferskillende easken, en se skieden hâlde is wat de twadde oerlibje lit as de earste weifalt.