Управување со Raspberry Pi на LAN без интернет uplink

Два уреда на приватен LAN можат да разменуваат заштитен сообраќај без никаков uplink. Она што не можат е да ги создадат услугите што ги очекува нивниот избран безбедносен модел. Работата е затоа половина избор и половина инвентар: изберете ја заштитата што одговара на задачата, потоа наведете сето она што тивко би посегнало по интернетот.

Претпоставката на овој преглед е дека двата уреда имаат одобрени адреси на истата приватна мрежа. Не заклучувајте достапност од фактот што двете се поврзани на истото wifi; поврзувањето, рутирањето и правилата за пристап и понатаму го одредуваат тоа.

Изберете заштита според задачата, не според навика

Терминалска сесија или поддржана задача за управување со датотеки одговара на SSH, чија архитектура ги одвојува автентикацијата на серверот, автентикацијата на корисникот и каналите што се пренесуваат во заштитениот транспорт. Ниту една од тие улоги не бара комерцијален VPN провајдер и ниту една не престанува да работи затоа што нема стандардна рута кон интернетот.

Една дополнителна TCP услуга може да патува низ овластено SSH проследување кога серверот тоа го дозволува: држете го локалниот слушач тесно врзан, а одредиштето експлицитно, и запомнете дека ова ја проследува таа една услуга наместо да репродуцира Ethernet сегмент.

Рутиран пристап до повеќе адреси или протоколи е друг услов, и локално завршен VPN може да го обезбеди. Партнерот во тој случај е достапен локален gateway, а не крајна точка некаде на интернетот, и gateway-от и понатаму ги бара предвидените рути, правилата за проследување и дозволите за услуги. Онаму каде една апликација веќе правилно зборува TLS, пуштањето сама да ја заштити својата врска често е најмалиот одговор што функционира.

Направете инвентар на тоа што би го напуштило LAN-от

Ставете го софтверот, идентитетите на домаќините и акредитивите на место пред да се потпрете на изолирана клупа, или користете го процесот за офлајн испорака што организацијата го поддржува. Командата за преземање не е план за инсталација за машина што не може да го достигне изворот, а откривањето на тоа за време на прекин е лош момент да се научи.

Направете именувањето намерно. Користете ја предвидената локална DNS услуга или документиран распоред на адреси, бидејќи конфигуриран јавен resolver не создава пат до себе. Менувањето на socket адреса исто така не е оправдување за прескокнување на проверките за идентитет на апликацијата. Ако одговорот е дека клупата едноставно користи адреси, запишете го и тоа, за да не го помине следниот инженер еден час на домен за пребарување што никогаш не бил конфигуриран.

Потоа прочитајте го моделот на автентикација и верификација за надворешни зависности: запишување, провајдер на идентитет, мултифакторско одобрување, добивање статус на сертификат, извор на време. Секоја е потенцијален блокер на изолирана мрежа. Наведете ги пред сервисниот прозорец, а не за време на него, бидејќи зависност што ја откривате во погрешниот момент претвора петминутна задача во цело попладне. Обезбедете одобрен достапен распоред или изберете модел што работи офлајн, и никогаш не оневозможувајте проверка тивко затоа што недостасува нејзината услуга.

Задржете ги проверките за идентитет таму каде што им е местото

Проверете го очекуваниот клуч на домаќинот или сертификатот преку процесот за подготовки што му верувате, и држете го часовникот точен онаму каде протоколот ги валидира времињата на сертификатот. Споделувањето на прекинувач со уред не го прави тој уред оној што сте сакале да го достигнете, а претпоставката за спротивното е токму грешката што напаѓач на истиот сегмент би сакал да ја направите.

Времето заслужува свој ред во планот. Многу протоколи одбиваат инаку валидни акредитиви кога часовникот доволно отстапил, а Pi без мрежен извор на време може тивко да отстапува со месеци пред нешто да се пожали.

Тестирајте со uplink-от навистина отсутен

Исклучете го uplink-от, потоа извршете ја точно онаа операција за одржување за која сте проектирале: терминалската сесија, копирањето на датотеката, проследената услуга, рутираната врска. Потврдете дека одбиениот идентитет или забранетиот ресурс и понатаму се одбиени, бидејќи дизајн што докажува само среќен пат воопшто не е тестиран. Читајте ги логовите додека го правите тоа, бидејќи интересните дефекти се оние што оставаат трага без да го променат исходот.

Забележете ја локалната крајна точка, механизмот за заштита и секоја зависност што ја користела операцијата. Излезот кон интернетот и безбеден пат за локална администрација се два различни барања, а нивното одвојување е она што ѝ овозможува на втората да го преживее губењето на првата.