Raspberry Pi administravimas LAN tinkle be interneto jungties

Du įrenginiai privačiame LAN gali keistis apsaugotu srautu be jokios išorinės jungties. Ko jie negali, tai išburti paslaugų, kurių tikisi jų pasirinktas saugumo modelis. Todėl darbas pusiau pasirinkimas, pusiau inventorius: pasirinkite užduotį atitinkančią apsaugą, tada surašykite viską, kas tyliai siektų interneto.

Šios apžvalgos prielaida yra ta, kad abu įrenginiai turi patvirtintus adresus tame pačiame privačiame tinkle. Nespręskite pasiekiamumo iš to, kad abu prisijungė prie to paties wifi; prisijungimas, maršrutizavimas ir prieigos taisyklės vis dar tai lemia.

Rinkitės apsaugą pagal užduotį, o ne pagal įprotį

Terminalo sesija arba palaikoma failų administravimo užduotis tinka SSH, kurio architektūra atskiria serverio autentifikavimą, vartotojo autentifikavimą ir kanalus, perduodamus apsaugoto transporto viduje. Nė vienas iš šių vaidmenų nereikalauja komercinio VPN teikėjo, ir nė vienas nenustoja veikti todėl, kad nėra numatytojo maršruto į internetą.

Viena papildoma TCP paslauga gali keliauti per autorizuotą SSH perdavimą, kai serveris tai leidžia: laikykite vietinį klausytoją griežtai susietą, o paskirties vietą aiškią, ir atminkite, kad tai perduoda tą vieną paslaugą, o ne atkuria Ethernet segmentą.

Maršrutizuota prieiga prie kelių adresų ar protokolų yra kitas reikalavimas, ir vietoje užbaigtas VPN gali ją suteikti. Partneris tokiu atveju yra pasiekiama vietinė tinklo sąsaja, o ne koks nors galutinis taškas internete, ir sąsajai vis dar reikia numatytų maršrutų, perdavimo taisyklių ir paslaugų leidimų. Ten, kur viena programa jau tinkamai kalba TLS, dažnai mažiausias veikiantis atsakymas yra leisti jai apsaugoti savo paties ryšį.

Surašykite, kas paliktų LAN

Pasiruoškite programinę įrangą, pagrindinių kompiuterių tapatybes ir prisijungimo duomenis prieš pasikliaudami izoliuotu stendu arba naudokite organizacijos palaikomą neprisijungusį pristatymo procesą. Atsisiuntimo komanda nėra diegimo planas mašinai, kuri negali pasiekti šaltinio, o tai sužinoti sutrikimo metu yra blogas laikas mokytis.

Padarykite vardijimą sąmoningą. Naudokite numatytą vietinę DNS paslaugą arba dokumentuotą adresų išdėstymą, nes sukonfigūruotas viešas sprendėjas nesukuria kelio į save. Pakeisti lizdo adresą taip pat nėra pateisinimas praleisti programos tapatybės patikras. Jei atsakymas yra toks, kad stendas tiesiog naudoja adresus, užrašykite ir tai, kad kitas inžinierius nepraleistų valandos ties paieškos domenu, kuris niekada nebuvo sukonfigūruotas.

Tada perskaitykite autentifikavimo ir tikrinimo modelį išorinėms priklausomybėms: registracija, tapatybės teikėjas, kelių veiksnių patvirtinimas, sertifikato būsenos gavimas, laiko šaltinis. Kiekviena jų yra galimas blokatorius izoliuotame tinkle. Surašykite jas prieš techninės priežiūros langą, o ne jo metu, nes netinkamu metu aptikta priklausomybė penkių minučių užduotį paverčia visu popietę. Užtikrinkite patvirtintą pasiekiamą sprendimą arba pasirinkite modelį, kuris veikia neprisijungus, ir niekada tyliai neišjunkite patikros dėl to, kad trūksta jos paslaugos.

Laikykite tapatybės patikras ten, kur joms vieta

Patikrinkite numatomą pagrindinio kompiuterio raktą arba sertifikatą per pasitikėjimo vertą parengimo procesą ir laikykite laikrodį teisingą ten, kur protokolas tikrina sertifikato laikus. Bendra jungiklio naudojimas su įrenginiu nepadaro to įrenginio tuo, kurį ketinote pasiekti, o manyti priešingai yra būtent ta klaida, kurios užpuolikas tame pačiame segmente norėtų, kad padarytumėte.

Laikas nusipelno savo eilutės plane. Daugelis protokolų atmeta kitaip galiojančius prisijungimo duomenis, kai laikrodis pakankamai nukrypsta, o Pi be tinklo laiko šaltinio gali mėnesiais tyliai krypti, kol kas nors nepradeda skųstis.

Išbandykite, kai išorinės jungties tikrai nėra

Atjunkite išorinę jungtį, tada atlikite tiksliai tą techninės priežiūros operaciją, kuriai suprojektavote: terminalo sesiją, failo kopiją, perduodamą paslaugą, maršrutizuotą ryšį. Patvirtinkite, kad atmesta tapatybė ar uždraustas išteklius vis dar atmetami, nes projektas, įrodantis tik laimingą kelią, apskritai nebuvo išbandytas. Skaitykite žurnalus tai darydami, nes įdomūs gedimai yra tie, kurie palieka pėdsaką nekeisdami rezultato.

Užrašykite vietinį galutinį tašką, apsaugos mechanizmą ir kiekvieną priklausomybę, kurią naudojo operacija. Išėjimas į internetą ir saugus vietinio administravimo kelias yra du skirtingi reikalavimai, o jų atskyrimas yra tai, kas leidžia antrajam išgyventi praradus pirmąjį.