Mengurus Raspberry Pi di LAN tanpa pautan internet

Dua peranti pada LAN peribadi boleh bertukar trafik terlindung tanpa sebarang pautan atas. Apa yang tidak boleh mereka lakukan ialah mencipta perkhidmatan yang dijangka oleh model keselamatan pilihan mereka. Oleh itu kerja itu separuh pemilihan dan separuh inventori: pilih perlindungan yang sesuai dengan tugas, kemudian senaraikan semua yang akan menjangkau internet secara senyap.

Andaian panduan ini ialah kedua-dua peranti mempunyai alamat yang diluluskan pada rangkaian peribadi yang sama. Jangan menyimpulkan kebolehhubungan daripada fakta bahawa kedua-duanya menyertai wifi yang sama; sambungan, penghalaan dan peraturan akses masih menentukannya.

Pilih perlindungan mengikut tugas, bukan mengikut kebiasaan

Sesi terminal atau tugas pentadbiran fail yang disokong sesuai dengan SSH, yang seni bina memisahkan pengesahan pelayan, pengesahan pengguna dan saluran yang dibawa di dalam pengangkutan terlindung. Tiada satu pun peranan itu memerlukan penyedia VPN komersial, dan tiada satu pun berhenti berfungsi kerana tiada laluan lalai ke internet.

Satu perkhidmatan TCP tambahan boleh merentas pemajuan SSH yang dibenarkan apabila pelayan mengizinkannya: ikat pendengar setempat dengan ketat dan kekalkan destinasi secara eksplisit, dan ingat bahawa ini memajukan satu perkhidmatan itu dan bukan menghasilkan semula segmen Ethernet.

Akses berhalakan ke beberapa alamat atau protokol ialah keperluan berbeza, dan VPN yang ditamatkan secara setempat boleh menyediakannya. Rakan dalam kes itu ialah gerbang setempat yang boleh dicapai, bukan titik akhir di suatu tempat di internet, dan gerbang itu masih memerlukan laluan yang dimaksudkan, peraturan pemajuan dan kebenaran perkhidmatan. Di tempat satu aplikasi sudah bercakap TLS dengan betul, membiarkannya melindungi sambungannya sendiri selalunya jawapan terkecil yang berkesan.

Inventori apa yang akan meninggalkan LAN

Sediakan perisian, identiti hos dan kelayakan sebelum bergantung pada bangku terasing, atau gunakan proses penghantaran luar talian yang disokong organisasi. Perintah muat turun bukan pelan pemasangan untuk mesin yang tidak dapat mencapai sumber, dan menemukannya semasa gangguan ialah masa yang buruk untuk mempelajarinya.

Jadikan penamaan itu sengaja. Gunakan perkhidmatan DNS setempat yang dimaksudkan atau susunan alamat yang didokumenkan, kerana penyelesai awam yang dikonfigurasikan tidak mencipta laluan ke dirinya sendiri. Menukar alamat soket juga bukan justifikasi untuk melangkau pemeriksaan identiti aplikasi. Jika jawapannya ialah bangku itu hanya menggunakan alamat, catatkan juga perkara itu, supaya jurutera seterusnya tidak menghabiskan satu jam pada domain carian yang tidak pernah dikonfigurasikan.

Kemudian baca model pengesahan dan pengesahsahihan untuk kebergantungan luaran: pendaftaran, penyedia identiti, kelulusan berbilang faktor, pengambilan status sijil, sumber masa. Setiap satu ialah penghalang berpotensi pada rangkaian terasing. Senaraikannya sebelum tetingkap penyelenggaraan, bukan semasanya, kerana kebergantungan yang ditemui pada saat yang salah menjadikan tugas lima minit sebagai sepanjang petang. Sediakan pengaturan yang boleh dicapai dan diluluskan atau pilih model yang berfungsi luar talian, dan jangan sekali-kali melumpuhkan pemeriksaan secara senyap kerana perkhidmatannya tiada.

Kekalkan pemeriksaan identiti di tempatnya

Sahkan kunci hos atau sijil yang dijangka melalui proses penyediaan yang anda percayai, dan kekalkan jam dengan betul di tempat protokol mengesahsahihkan masa sijil. Berkongsi suis dengan peranti tidak menjadikan peranti itu sebagai yang anda bertujuan untuk dicapai, dan menganggap sebaliknya ialah tepat kesilapan yang penyerang pada segmen yang sama mahu anda lakukan.

Masa wajar mendapat barisnya sendiri dalam pelan. Banyak protokol menolak kelayakan yang sebenarnya sah apabila jam telah menyimpang cukup jauh, dan Pi tanpa sumber masa rangkaian boleh menyimpang secara senyap berbulan-bulan sebelum sesuatu merungut.

Uji dengan pautan atas benar-benar tiada

Cabut pautan atas, kemudian lakukan operasi penyelenggaraan yang tepat anda reka: sesi terminal, salinan fail, perkhidmatan yang dimajukan, sambungan berhalakan. Sahkan bahawa identiti yang ditolak atau sumber yang dilarang masih ditolak, kerana reka bentuk yang hanya membuktikan laluan lancar belum diuji sama sekali. Baca log semasa melakukannya, kerana kegagalan yang menarik ialah yang meninggalkan kesan tanpa mengubah hasilnya.

Rekod titik akhir setempat, mekanisme perlindungan dan setiap kebergantungan yang digunakan operasi itu. Keluar ke internet dan laluan selamat untuk pentadbiran setempat ialah dua keperluan berbeza, dan memisahkannya itulah yang membolehkan yang kedua bertahan apabila kehilangan yang pertama.