Raspberry Pi pārvaldība LAN tīklā bez interneta kanāla

Divi ierīces privātā LAN var apmainīties ar aizsargātu satiksmi bez jebkāda augšupielādes kanāla. Ko tās nevar, ir radīt pakalpojumus, ko sagaida viņu izvēlētais drošības modelis. Tāpēc darbs ir pa pusei izvēle un pa pusei inventarizācija: izvēlieties uzdevumam atbilstošu aizsardzību, pēc tam uzskaitiet visu, kas klusi sniegtos pēc interneta.

Šīs gaitas pieņēmums ir tāds, ka abām ierīcēm ir apstiprinātas adreses tajā pašā privātajā tīklā. Neizdariet secinājumus par sasniedzamību no tā, ka abas pievienojušās vienam un tam pašam wifi; savienojums, maršrutēšana un piekļuves noteikumi joprojām to nosaka.

Izvēlieties aizsardzību pēc uzdevuma, nevis pēc ieraduma

Termināļa sesija vai atbalstīts failu pārvaldības uzdevums atbilst SSH, kura arhitektūra atdala servera autentifikāciju, lietotāja autentifikāciju un kanālus, kas tiek pārnesti aizsargātā transporta iekšienē. Neviena no šīm lomām neprasa komerciālu VPN pakalpojumu sniedzēju, un neviena no tām nepārstāj darboties tāpēc, ka nav noklusējuma maršruta uz internetu.

Viens papildu TCP pakalpojums var ceļot caur autorizētu SSH pāradresāciju, ja serveris to atļauj: turiet lokālo klausītāju cieši piesaistītu un galamērķi skaidru, un atcerieties, ka tas pāradresē vienu pakalpojumu, nevis atveido Ethernet segmentu.

Maršrutēta piekļuve vairākām adresēm vai protokoliem ir cita prasība, un vietēji pabeigts VPN to var nodrošināt. Partneris šajā gadījumā ir sasniedzama vietējā vārteja, nevis kāds galapunkts kaut kur internetā, un vārtejai joprojām ir vajadzīgi paredzētie maršruti, pāradresācijas noteikumi un pakalpojumu atļaujas. Tur, kur viena lietojumprogramma jau pareizi runā TLS, bieži vien mazākā strādājošā atbilde ir ļaut tai aizsargāt savu savienojumu.

Uzskaitiet, kas pamestu LAN

Sagatavojiet programmatūru, resursdatoru identitātes un akreditācijas datus, pirms paļaujaties uz izolētu stendu, vai izmantojiet bezsaistes piegādes procesu, ko atbalsta organizācija. Lejupielādes komanda nav instalācijas plāns mašīnai, kas nevar sasniegt avotu, un to atklāt pārtraukuma laikā ir slikts brīdis mācīties.

Padariet nosaukumu piešķiršanu apzinātu. Izmantojiet paredzēto vietējo DNS pakalpojumu vai dokumentētu adrešu izkārtojumu, jo konfigurēts publiskais atrisinātājs neveido ceļu uz sevi. Arī ligzdas adreses maiņa nav attaisnojums izlaist lietojumprogrammas identitātes pārbaudes. Ja atbilde ir tāda, ka stends vienkārši izmanto adreses, pierakstiet arī to, lai nākamais inženieris nepavadītu stundu meklēšanas domēnā, kas nekad netika konfigurēts.

Pēc tam izlasiet autentifikācijas un verifikācijas modeli ārējām atkarībām: reģistrācija, identitātes pakalpojumu sniedzējs, daudzfaktoru apstiprinājums, sertifikāta statusa iegūšana, laika avots. Katra no tām ir iespējams bloķētājs izolētā tīklā. Uzskaitiet tās pirms apkopes loga, nevis tā laikā, jo nepareizā brīdī atklāta atkarība piecu minūšu uzdevumu pārvērš veselā pēcpusdienā. Nodrošiniet apstiprinātu sasniedzamu risinājumu vai izvēlieties modeli, kas darbojas bezsaistē, un nekad klusi neatspējojiet pārbaudi tāpēc, ka trūkst tās pakalpojuma.

Saglabājiet identitātes pārbaudes tur, kur tām ir vieta

Pārbaudiet gaidīto resursdatora atslēgu vai sertifikātu, izmantojot sagatavošanas procesu, kuram uzticaties, un uzturiet pulksteni pareizu tur, kur protokols validē sertifikāta laikus. Slēdža koplietošana ar ierīci nepadara šo ierīci par to, kuru grasījāties sasniegt, un pretējā pieņēmums ir tieši tā kļūda, ko uzbrucējs tajā pašā segmentā vēlētos, lai jūs pieļautu.

Laiks ir pelnījis savu rindu plānā. Daudzi protokoli atsaka citādi derīgus akreditācijas datus, kad pulkstenis ir pietiekami novirzījies, un Pi bez tīkla laika avota var mēnešiem klusi novirzīties, pirms kāds sūdzas.

Pārbaudiet ar patiešām neesošu augšupielādes kanālu

Atvienojiet augšupielādes kanālu, pēc tam veiciet tieši to apkopes darbību, kurai projektējāt: termināļa sesiju, faila kopiju, pāradresēto pakalpojumu, maršrutēto savienojumu. Apstipriniet, ka noraidīta identitāte vai aizliegts resurss joprojām tiek noraidīts, jo dizains, kas pierāda tikai laimīgo ceļu, nemaz nav pārbaudīts. Lasiet žurnālus, to darot, jo interesantās kļūmes ir tās, kas atstāj pēdas, nemainot iznākumu.

Pierakstiet vietējo galapunktu, aizsardzības mehānismu un katru atkarību, ko izmantoja darbība. Izeja uz internetu un drošs vietējās administrēšanas ceļš ir divas dažādas prasības, un to nošķiršana ir tas, kas ļauj otrajai pārdzīvot pirmās zaudēšanu.