Stjórna Raspberry Pi á LAN án internetuplinks

Tvö tæki á einkalegu LAN geta skiptst á verndaðri umferð án nokkurs uplinks. Það sem þau geta ekki er að töfra fram þá þjónustu sem öryggislíkanið sem þau völdu gerir ráð fyrir. Vinnan er því hálf val og hálf upptalning: veldu þá vernd sem passar verkefninu og listaðu síðan allt sem myndi hljóðlega teygja sig í átt að internetinu.

Forsenda þessarar yfirferðar er að bæði tækin hafi samþykkt heimilisföng á sama einkanetinu. Ekki álykta að þau nái hvort til annars af því að bæði eru tengd sama wifi; tengingin, leiðunin og aðgangsreglurnar ráða því enn.

Veldu vernd eftir verkefninu, ekki af vana

Skjáseta eða studd skráastjórnunarverkefni hentar SSH, en arkitektúr þess aðskilur auðkenningu þjóns, auðkenningu notanda og rásirnar sem bornar eru inni í verndaða flutningnum. Ekkert þessara hlutverka krefst viðskiptalegs VPN-þjónustuaðila, og ekkert þeirra hættir að virka af því að engin sjálfgefin leið er út á internetið.

Ein viðbótar TCP-þjónusta getur ferðast um heimilaða SSH-framsendingu þegar þjónninn leyfir það: haltu staðbundna hlustandanum þröngt bundnum og áfangastaðnum skýrum, og mundu að þetta sendir þá einu þjónustu áfram í stað þess að endurskapa Ethernet-kafla.

Leiðaður aðgangur að nokkrum heimilisföngum eða samskiptareglum er önnur krafa, og staðbundið afgreitt VPN getur veitt hann. Mótaðilinn er í því tilviki aðgengileg staðbundin gátt, ekki endapunktur einhvers staðar á internetinu, og gáttin þarf enn fyrirhugaðar leiðir, framsendingarreglur og þjónustuheimildir. Þar sem ein forritið talar þegar TLS almennilega er það oft minnsta svarið sem virkar að láta það vernda eigin tengingu.

Taktu upp hvað myndi yfirgefa LAN-ið

Komdu hugbúnaðinum, auðkennum hýsilsins og skilríkjunum fyrir um áður en þú treystir þér á einangraðan bekk, eða notaðu það afhendingarferli án nettengingar sem stofnunin styður. Niðurhalskipun er ekki uppsetningarplan fyrir vél sem kemst ekki í upptökurnar, og að komast að því í niðurfalli er slæmur tími til að læra það.

Gerðu nafngiftina viljandi. Notaðu fyrirhugaða staðbundnu DNS-þjónustu eða skjalfesta heimilisfangaskipan, því stilltur opinber leysir býr ekki til slóð að sjálfum sér. Að breyta socket-heimilisfangi er heldur ekki réttlæting fyrir því að sleppa auðkennisskoðunum forritsins. Ef svarið er að bekkurinn noti einfaldlega heimilisföng, skrifaðu það líka niður, svo næsti verkfræðingur eyði ekki klukkustund í leitarsvæði sem var aldrei stillt.

Lestu síðan auðkenningar- og sannprófunarlíkanið fyrir ytri ósjálfstæði: skráningu, auðkennisveitu, margþátta samþykki, sótt á stöðu skírteinis, tímaheimild. Sérhvert þeirra er möguleg hindrun á einangruðu neti. Listaðu þau fyrir viðhaldsgluggann, ekki í honum, því ósjálfstæði sem þú uppgötvar á röngum tíma gerir fimm mínútna verkefni að heilum síðdegi. Sjáðu fyrir samþykkt fyrirkomulag sem er aðgengilegt eða veldu líkan sem virkar án nettengingar, og slökktu aldrei hljóðlega á skoðun af því að þjónusta hennar vantar.

Haltu auðkennisskoðunum þar sem þær eiga heima

Sannprófaðu væntanlega hýsillykilinn eða skírteinið í gegnum útvegunarferlið sem þú treystir, og haltu klukkunni réttri þar sem samskiptareglurnar sannreyna skírteinistíma. Að deila rofi með tæki gerir það ekki að tækinu sem þú ætlaðir að ná til, og að gera ráð fyrir öðru er einmitt mistökin sem árásarmaður á sama kafla vildi að þú gerðir.

Tíminn á skilið sína eigin línu í áætluninni. Mörg samskiptareglur hafna annars gildum skilríkjum þegar klukkan hefur rekist nógu langt, og Pi án nettímaheimildar getur rekist hljóðlega í marga mánuði áður en eitthvað kvartar.

Prófaðu með uplinkinn raunverulega fjarri

Taktu uplinkinn úr sambandi og framkvæmdu síðan nákvæmlega þá viðhaldsaðgerð sem þú hannaðir fyrir: skjásetuna, skráaafritunina, framsendu þjónustuna, leiðuðu tenginguna. Staðfestu að hafnað auðkenni eða bannað auðlind sé enn hafnað, því hönnun sem sannar bara hamingjusama ferilinn hefur ekki verið prófuð yfirhöfuð. Lestu annálana á meðan þú gerir það, því áhugaverðu bilunin eru þær sem skilja eftir sig spor án þess að breyta niðurstöðunni.

Skráðu staðbundna endapunktinn, verndarbúnaðinn og hvert ósjálfstæði sem aðgerðin notaði. Útganga á internetið og örugg slóð fyrir staðbundna stjórnun eru tvær ólíkar kröfur, og að halda þeim aðskildum er það sem lætur hina seinni lifa af að missa þá fyrri.