ניהול Raspberry Pi ברשת LAN בלי קישור אינטרנט

שני התקנים ברשת LAN פרטית יכולים להחליף תעבורה מוגנת בלי שום קישור חיצוני. מה שהם לא יכולים לעשות הוא להמציא את השירותים שמודל האבטחה שבחרו מצפה להם. לכן העבודה היא חצי בחירה וחצי מיפוי: בחרו את ההגנה שמתאימה למשימה, ואז פרטו כל מה שיושיט יד בשקט לאינטרנט.

ההנחה של המדריך הזה היא שלשני ההתקנים יש כתובות מאושרות באותה רשת פרטית. אל תסיקו נגישות מכך ששניהם הצטרפו לאותו wifi; החיבור, הניתוב וכללי הגישה עדיין קובעים זאת.

בחרו הגנה לפי המשימה, לא לפי הרגל

הפעלת מסוף או משימת ניהול קבצים נתמכת מתאימה ל-SSH, שאדריכלותו מפרידה בין אימות השרת, אימות המשתמש והערוצים הנישאים בתוך התעבורה המוגנת. אף אחד מהתפקידים האלה לא דורש ספק VPN מסחרי, ואף אחד מהם לא מפסיק לעבוד מפני שאין נתיב ברירת מחדל לאינטרנט.

שירות TCP אחד נוסף יכול לעבור דרך העברת SSH מורשית כשהשרת מאפשר זאת: החזיקו את המאזין המקומי קשור היטב ואת היעד מפורש, וזכרו שזה מעביר את השירות האחד ולא משחזר קטע Ethernet.

גישה מנותבת לכמה כתובות או פרוטוקולים היא דרישה אחרת, ואותה יכול לספק VPN שמסתיים מקומית. הצד השני במקרה כזה הוא שער מקומי נגיש, לא נקודת קצה אי שם באינטרנט, והשער עדיין זקוק לנתיבים המיועדים, לכללי ההעברה ולהרשאות השירות. במקום שבו אפליקציה אחת כבר מדברת TLS כראוי, לאפשר לה להגן על החיבור של עצמה הוא לעתים התשובה הקטנה שעובדת.

מפו מה יעזוב את ה-LAN

הכינו את התוכנה, זהויות המארח והאישורים לפני שאתם נשענים על סטנד מבודד, או השתמשו בתהליך האספקה הלא-מקוון שהארגון תומך בו. פקודת הורדה אינה תוכנית התקנה למכונה שלא יכולה להגיע למקור, וגילוי זה בזמן תקלה הוא זמן גרוע ללמוד אותו.

עשו את השמות מכוונים. השתמשו בשירות ה-DNS המקומי המיועד או בסדר כתובות מתועד, מפני שמתיר ציבורי מוגדר לא יוצר נתיב לעצמו. גם החלפת כתובת שקע אינה הצדקה לדלג על בדיקות הזהות של האפליקציה. אם התשובה היא שהסטנד פשוט משתמש בכתובות, כתבו גם את זה, כדי שהמהנדס הבא לא יבזבז שעה על דומיין חיפוש שמעולם לא הוגדר.

לאחר מכן קראו את מודל האימות והאימות עבור תלות חיצונית: הרשמה, ספק זהות, אישור רב-גורמי, אחזור מצב תעודה, מקור זמן. כל אחד מהם הוא חסם אפשרי ברשת מבודדת. פרטו אותם לפני חלון התחזוקה, לא במהלכו, מפני שתלות שמתגלה ברגע הלא נכון הופכת משימה של חמש דקות לצהריים שלמים. ספקו הסדר נגיש מאושר או בחרו מודל שעובד לא מקוון, ולעולם אל תשביתו בדיקה בשקט מפני שהשירות שלה חסר.

השאירו את בדיקות הזהות במקום שבו הן שייכות

אמתו את מפתח המארח או התעודה המצופים דרך תהליך ההכנה שאתם סומכים עליו, ושמרו על השעון נכון במקום שבו הפרוטוקול מאמת זמני תעודות. שיתוף מתג עם התקן לא הופך את ההתקן לזה שרציתם להגיע אליו, וההנחה ההפוכה היא בדיוק הטעות שתוקף באותו קטע היה רוצה שתעשו.

לזמן מגיע שורה משלו בתוכנית. פרוטוקולים רבים דוחים אישורים שתקפים אחרת כשהשעון סטה מספיק, ו-Pi בלי מקור זמן רשת יכול לסטות בשקט במשך חודשים לפני שמשהו מתלונן.

בדקו כשהקישור החיצוני באמת חסר

נתקו את הקישור החיצוני, ואז בצעו בדיוק את פעולת התחזוקה שאליה תכננתם: הפעלת המסוף, העתקת הקובץ, השירות המועבר, החיבור המנותב. אשרו שזהות שנדחתה או משאב אסור עדיין נדחים, מפני שתכנון שמוכיח רק את המסלול המאושר כלל לא נבדק. קראו את היומנים בזמן שאתם עושים זאת, מפני הכשלים המעניינים הם אלה שמשאירים עקבה בלי לשנות את התוצאה.

רשמו את נקודת הקצה המקומית, את מנגנון ההגנה ואת כל תלות שהפעולה השתמשה בה. יציאה לאינטרנט ונתיב בטוח לניהול מקומי הם שתי דרישות שונות, והחזקתם בנפרד היא מה שמאפשר לשנייה לשרוד את אובדן הראשונה.