E Raspberry Pi an engem LAN ouni Internet-Uplink administréieren

Zwee Geräter op engem private LAN kënnen ofgesécherte Verkéier austauschen ouni iergendeen Uplink. Wat se net kënnen, ass d'Servicer ze zauberen, déi hiert gewielten Sécherheetsmodell erwaart. D'Aarbecht ass dowéinst hallef Auswiel an hallef Inventar: wielt de Schutz, dee fir d'Aufgab passt, an notéiert dann alles, wat stëll no dem Internet gräife géif.

D'Annam fir dëse Duerchgang ass, datt béid Geräter geneemegt Adressen am selwechte private Netzwierk hunn. Zitt keng Erreechbarkeet doraus of, datt béid mam selwechte Wifi verbonne sinn; d'Uschloss, d'Routing an d'Zougangsreegele entscheeden dat nach ëmmer.

Schutz no der Aufgab wielen, net aus Gewunnecht

Eng Terminalsitzung oder eng ënnerstëtzte Fichiersverwaltungsaufgab passt zu SSH, deem seng Architektur Server-Authentifizéierung, Benotzer-Authentifizéierung an d'Kanäl bannent dem ofgesécherten Transport trennt. Keng vun dëse Rollen erfuerdert e kommerzielle VPN-Ubidder, a keng vun hinnen hält op ze funktionéieren, well et keng Standardroute an d'Internet gëtt.

En zousätzlechen TCP-Service kann duerch eng autoriséiert SSH-Weidergab reesen, wann de Server et erlaabt: halen de lokale Listener enk gebonnen an d'Destinatioun explizit, an denkt drun, datt dëst deen eenzege Service weidergëtt an net en Ethernet-Segment nei mécht.

Gerouteten Zougang zu méi Adressen oder Protokollen ass eng aner Ufuerderung, an eng lokal ofgeschlossene VPN kann si liwweren. De Peer ass an deem Fall en erreechbare lokale Gateway, keen Endpunkt irgendwou am Internet, an de Gateway brauch weiderhin déi virgesinn Routen, Weidergabsreegele an d'Servicerberechtegungen. Wou eng eenzeg Applikatioun schonn richteg TLS schwätzt, ass et dacks déi klengst Äntwert déi funktionéiert, si hir eege Verbindung schütze ze loossen.

Inventar: wat de LAN verloosse géif

Kritt d'Software, d'Hostidentitéiten an d'Umeldungsinformatiounen op hire Plaz, ier Dir Iech op eng isoléiert Bänk verloosst, oder benotzt den Offline-Liwwerungsprozess, deen d'Organisatioun ënnerstëtzt. En Downloadkommando ass kee Installatiounsplang fir eng Maschinn, déi d'Quell net erreeche kann, an dat wärend engem Ausfall erauszefannen ass e schlechten Ament, et ze léieren.

Maacht d'Nummgebung bewosst. Benotzt de virgesinne lokalen DNS-Service oder eng dokumentéiert Adressreegelung, well en konfiguréierte ëffentleche Resolver kee Wee zu sech selwer mécht. D'Ännere vun enger Socketadress ass och keng Rechfäertegung, d'Identitéitskontrollen vun der Applikatioun ze iwwersprangen. Wann d'Äntwert ass, datt d'Bänk einfach Adressen benotzt, schreift dat och op, sou datt den nächsten Ingenieur net eng Stonn op enger Sichdomän verbréngt, déi ni konfiguréiert gouf.

Liest dann d'Authentifizéierungs- an d'Verifikatiounsmodell fir extern Ofhängegkeeten: Umeldung, en Identitéitsubidder, eng Multifaktor-Bestätegung, den Ofruff vum Zertifikatsstatus, eng Zäitquell. Jidderee vun hinnen ass e méigleche Blocker op engem isoléierte Netzwierk. Notéiert se virum Ënnerhaltsfenster, net während deem, well eng Ofhängegkeet, déi Dir am falschen Ament entdeckt, aus enger Fënnefminuttenaufgab en Nomëtteg mécht. Suergt fir eng geneemegt erreechbar Reegeleung oder wielt e Modell, deen offline funktionéiert, a schalt ni stëll eng Kontroll aus, well hiren Service feelt.

Halen d'Identitéitskontrollen do, wou se gehéieren

Verifizéiert de erwaarten Hostschlëssel oder d'Zertifikat duerch de Provisionéierungsprozess, deem Dir vertraut, an halen d'Auer richteg, wou de Protokoll Zertifikatszäiten validéiert. En Switch mat engem Gerät ze deelen mécht datt d'Gerät net zu deem, deen Dir erreeche wollt, a fir d'Géigendeel unzehuelen ass genee de Feeler, deen en Ugräifer am selwechte Segment Iech gär mécht.

D'Zäit verdéngt hir eege Linn am Plang. Vill Protokollen huelen soss gülteg Umeldungsinformatiounen net un, wann d'Auer wäit genuch gedriwwe wicht, an e Pi ouni Netzwierkzäitquell kann Méint laang stëll driften, ier eppes sech beschwéiert.

Teste mat tatsächlech fehlendem Uplink

Zitt den Uplink aus an maacht dann genee déi Ënnerhaltsoperatioun, fir déi Dir designt hutt: d'Terminalsitzung, d'Fichierskopie, de weiderginn Service, d'geroutet Verbindung. Bestätegt, datt eng refuséiert Identitéit oder eng verbueden Ressource nach ëmmer refuséiert gëtt, well en Design, deen nëmmen de gléckleche Wee beweist, ass iwwerhaapt net getest. Liest d'Logbicher, während Dir et maacht, well déi interessant Feeler sinn déi, déi eng Spuer hannerloossen, ouni d'Resultat ze änneren.

Notéiert den lokalen Endpunkt, de Schutzmechanismus an all Ofhängegkeet, déi d'Operatioun benotzt huet. Den Ausgang an d'Internet an en séchere Wee fir d'lokal Administratioun sinn zwou verschidden Ufuerderungen, an se auserneen ze halen ass dat, wat déi zweet iwwerliewe léisst, wa déi éischt fortfält.