Upravljanje Raspberry Pi uređajem na LAN-u bez internet uplinka

Dva uređaja na privatnom LAN-u mogu razmjenjivati zaštićeni saobraćaj bez ikakvog uplinka. Ono što ne mogu jeste da stvore usluge koje njihov odabrani sigurnosni model očekuje. Posao je zato pola izbor i pola inventar: odaberite zaštitu koja odgovara zadatku, a zatim popišite sve što bi tiho posegnulo za internetom.

Pretpostavka ovog postupka je da oba uređaja imaju odobrene adrese na istoj privatnoj mreži. Ne zaključujte dostupnost iz činjenice da su se oba pridružila istom wifi-ju; priključak, rutiranje i pravila pristupa to još uvijek određuju.

Odaberite zaštitu prema zadatku, a ne prema navici

Terminalska sesija ili podržani zadatak upravljanja datotekama odgovara SSH-u, čija arhitektura razdvaja autentifikaciju servera, autentifikaciju korisnika i kanale koji se prenose unutar zaštićenog transporta. Nijedna od tih uloga ne zahtijeva komercijalnog VPN provajdera i nijedna ne prestaje raditi zato što ne postoji podrazumijevana ruta prema internetu.

Jedna dodatna TCP usluga može putovati kroz ovlašteno SSH preusmjeravanje kada server to dopusti: držite lokalni slušalac usko vezanim, a odredište eksplicitnim, i zapamtite da se time preusmjerava ta jedna usluga umjesto da se reprodukuje Ethernet segment.

Rutirani pristup većem broju adresa ili protokola je drugačiji zahtjev, i lokalno završen VPN ga može pružiti. Partner je u tom slučaju dostupni lokalni gateway, a ne krajnja točka negdje na internetu, i gatewayu su još potrebne predviđene rute, pravila prosljeđivanja i dozvole za usluge. Tamo gdje jedna aplikacija već pravilno govori TLS, puštanje da zaštiti vlastitu vezu često je najmanji odgovor koji funkcioniše.

Popišite šta bi napustilo LAN

Pripremite softver, identitete hostova i akreditive prije nego što se oslonite na izoliranu klupu ili koristite proces offline isporuke koji organizacija podržava. Naredba za preuzimanje nije plan instalacije za mašinu koja ne može dosegnuti izvor, a otkrivanje toga tokom ispada je loš trenutak da to naučite.

Učinite imenovanje namjernim. Koristite predviđenu lokalnu DNS uslugu ili dokumentirani raspored adresa, jer konfigurirani javni resolver ne stvara put do sebe. Promjena socket adrese također nije opravdanje za preskakanje provjera identiteta aplikacije. Ako je odgovor da klupa jednostavno koristi adrese, i to zapišite, kako sljedeći inženjer ne bi proveo sat na domenu pretrage koji nikada nije bio konfiguriran.

Zatim pročitajte model autentifikacije i verifikacije za vanjske zavisnosti: upis, provajder identiteta, multifaktorsko odobrenje, dohvaćanje statusa certifikata, izvor vremena. Svaka je potencijalni blokator na izoliranoj mreži. Popišite ih prije servisnog okvira, a ne tokom njega, jer zavisnost koju otkrijete u pogrešnom trenutku pretvara petominutni zadatak u cijelo poslijepodne. Osigurajte odobren dostupan raspored ili odaberite model koji radi offline, i nikada ne onemogućavajte provjeru tiho zato što nedostaje njena usluga.

Zadržite provjere identiteta tamo gdje im je mjesto

Provjerite očekivani ključ hosta ili certifikat kroz proces pripreme kojem vjerujete, i držite sat ispravnim tamo gdje protokol validira vremena certifikata. Dijeljenje prekidača s uređajem ne čini taj uređaj onim koji ste namjeravali dosegnuti, a pretpostavka suprotnog je upravo greška koju bi napadač na istom segmentu želio da napravite.

Vrijeme zaslužuje svoj red u planu. Mnogi protokoli odbijaju inače važeće akreditive kada sat dovoljno odstupi, a Pi bez mrežnog izvora vremena može tiho odstupati mjesecima prije nego što se bilo šta požali.

Testirajte s uplinkom stvarno odsutnim

Isključite uplink, a zatim obavite tačno onu operaciju održavanja za koju ste projektovali: terminalsku sesiju, kopiranje datoteke, preusmjerenu uslugu, rutiranu vezu. Potvrdite da odbijeni identitet ili zabranjeni resurs i dalje ostaju odbijeni, jer dizajn koji dokazuje samo sretan put nije uopće testiran. Čitajte logove dok to radite, jer su zanimljivi kvarovi oni koji ostavljaju trag bez promjene ishoda.

Zabilježite lokalnu krajnju točku, mehanizam zaštite i svaku zavisnost koju je operacija koristila. Izlaz prema internetu i siguran put za lokalnu administraciju su dva različita zahtjeva, a njihovo razdvajanje je ono što omogućava drugom da preživi gubitak prvog.