인터넷 업링크가 없는 LAN에서 Raspberry Pi 관리

사설 LAN의 두 장치는 업링크가 전혀 없어도 보호된 트래픽을 교환할 수 있습니다. 할 수 없는 일은 선택한 보안 모델이 기대하는 서비스를 마법처럼 만들어내는 것입니다. 따라서 작업은 절반이 선택이고 절반이 목록 작성이며, 작업에 맞는 보호를 고르고, 그다음 조용히 인터넷으로 손을 뻗을 모든 것을 나열하는 일입니다.

이 안내의 전제는 두 장치가 같은 사설 네트워크에서 승인된 주소를 가진다는 것입니다. 둘 다 같은 와이파이에 접속했다는 사실만으로 도달 가능성을 추론하지 마십시오 — 연결, 라우팅, 접근 규칙이 여전히 그것을 결정합니다.

습관이 아니라 작업에 따라 보호를 고르십시오

터미널 세션이나 지원되는 파일 관리 작업에는 SSH가 맞으며, 그 구조는 서버 인증, 사용자 인증, 보호된 전송 내부에서 운반되는 채널을 분리합니다. 어느 역할도 상용 VPN 제공자를 요구하지 않으며, 인터넷으로 가는 기본 경로가 없다고 해서 작동을 멈추지도 않습니다.

서버가 허용하면 추가 TCP 서비스 하나를 승인된 SSH 포워딩으로 통과시킬 수 있습니다 — 로컬 리스너는 좁게 묶고 목적지는 명시하며, 이것은 그 하나의 서비스를 전달할 뿐 이더넷 세그먼트를 재현하는 것이 아니라는 점을 기억하십시오.

여러 주소나 프로토콜에 대한 라우팅된 접근은 다른 요구 사항이며, 로컬에서 종료되는 VPN이 그것을 제공할 수 있습니다. 그 경우 상대는 도달 가능한 로컬 게이트웨이이지 인터넷 어딘가의 종단점이 아니며, 게이트웨이에는 의도한 경로, 포워딩 규칙, 서비스 권한이 여전히 필요합니다. 단일 애플리케이션이 이미 TLS를 올바르게 말한다면, 그 애플리케이션이 자기 연결을 스스로 보호하게 두는 것이 가장 작은 유효 답인 경우가 많습니다.

LAN을 떠날 것을 목록으로 만들기

격리된 벤치에 의존하기 전에 소프트웨어, 호스트 신원, 자격 증명을 준비하거나 조직이 지원하는 오프라인 전달 절차를 사용하십시오. 다운로드 명령은 소스에 도달할 수 없는 머신의 설치 계획이 아니며, 장애 도중에 그것을 알아내는 것은 배우기에 나쁜 시점입니다.

이름 지정을 의도적으로 하십시오 — 의도한 로컬 DNS 서비스나 문서화된 주소 배치를 사용하십시오. 설정된 공용 리졸버는 자기 자신으로 가는 경로를 만들지 않습니다. 소켓 주소를 바꾸는 것도 애플리케이션의 신원 확인을 건너뛸 이유가 되지 않습니다. 답이 벤치는 그냥 주소를 쓴다라면 그것도 적어 두십시오 — 다음 엔지니어가 한 번도 설정된 적 없는 검색 도메인에 한 시간을 쓰지 않도록.

다음으로 외부 의존성에 대한 인증과 검증 모델을 읽으십시오 — 등록, 신원 제공자, 다중 요소 승인, 인증서 상태 조회, 시간 원천입니다. 어느 것이나 격리 네트워크에서 걸림돌이 될 수 있습니다. 유지보수 창 이전에 나열하고 그 도중에는 하지 마십시오 — 잘못된 순간에 발견한 의존성은 오 분 작업을 하루 종일로 바꿉니다. 승인된 도달 가능한 방식을 마련하거나 오프라인으로 동작하는 모델을 고르고, 서비스가 없다고 해서 검사를 조용히 끄지 마십시오.

신원 확인은 있어야 할 자리에 두십시오

기대하는 호스트 키나 인증서를 신뢰하는 프로비저닝 절차로 검증하고, 프로토콜이 인증서 시각을 검증하는 곳에서는 시계를 정확하게 유지하십시오. 스위치를 장치와 공유한다고 해서 그 장치가 도달하려던 대상이 되지는 않으며, 반대로 가정하는 것이 바로 같은 세그먼트의 공격자가 여러분에게 바라는 실수입니다.

시간은 계획에서 제 몫의 줄을 가질 자격이 있습니다. 많은 프로토콜은 시계가 충분히 어긋나면 그 밖에는 유효한 자격 증명을 거부하고, 네트워크 시간 원천이 없는 Pi는 무언가 항의하기 전까지 몇 달 동안 조용히 어긋날 수 있습니다.

업링크가 실제로 없는 상태에서 시험하십시오

업링크를 뽑은 다음 설계한 그대로의 유지보수 작업을 수행하십시오 — 터미널 세션, 파일 복사, 포워딩된 서비스, 라우팅된 연결입니다. 거부된 신원이나 금지된 리소스가 여전히 거부되는지 확인하십시오 — 순조로운 경로만 증명하는 설계는 전혀 시험되지 않은 것입니다. 그동안 로그를 읽으십시오 — 흥미로운 실패는 결과를 바꾸지 않고 흔적을 남기는 것입니다.

로컬 종단점, 보호 메커니즘, 그 작업이 사용한 모든 의존성을 기록하십시오. 인터넷으로의 출구와 로컬 관리를 위한 안전한 경로는 서로 다른 요구 사항이며, 둘을 분리해 두는 것이 전자를 잃었을 때 후자가 살아남게 합니다.