Tamministra Raspberry Pi fuq LAN mingħajr uplink tal-internet

Żewġ apparati fuq LAN privata jistgħu jiskambjaw traffiku protett mingħajr ebda uplink. Dak li ma jistgħux jagħmlu hu li joħorġu s-servizzi li l-mudell tas-sigurtà magħżul tagħhom jistenna. Ix-xogħol għalhekk huwa nofs għażla u nofs inventarju: agħżel il-protezzjoni li taqbel mal-kompitu, imbagħad elenka kollox li jasal għall-internet fis-skiet.

Il-premessa ta' din il-mixja hija li ż-żewġ apparati għandhom indirizzi approvati fuq l-istess netwerk privat. Tassumix li jistgħu jilħqu xulxin mill-fatt li t-tnejn ingħaqdu mal-istess wifi; il-konnessjoni, ir-routing u r-regoli tal-aċċess għadhom jiddeċiedu dan.

Agħżel il-protezzjoni skont il-kompitu, mhux skont id-drawwa

Sessjoni ta' terminal jew kompitu ta' amministrazzjoni tal-fajls appoġġjat jaqbel ma' SSH, li l-arkitettura tiegħu tifred l-awtentikazzjoni tas-server, l-awtentikazzjoni tal-utent u l-kanali li jinġarru ġewwa t-trasport protett. Ebda wieħed minn dawn ir-rwoli ma jeħtieġ fornitur VPN kummerċjali, u ebda wieħed minnhom ma jieqaf jaħdem għax m'hemmx rotta awtomatika lejn l-internet.

Servizz TCP addizzjonali jista' jivvjaġġa permezz ta' forward SSH awtorizzat meta s-server jippermettih: żomm is-semmiegħ lokali marbut sewwa u d-destinazzjoni espliċita, u ftakar li dan jgħaddi dak is-servizz wieħed minflok ma jirriproduċi segment Ethernet.

Aċċess routed għal diversi indirizzi jew protokolli huwa rekwiżit differenti, u VPN mitmuma lokalment tista' tipprovdih. Il-pari f'dak il-każ huwa gateway lokali li jintlaħaq, mhux punt tat-tmiem imkien fuq l-internet, u l-gateway għadu jeħtieġ ir-rotot maħsuba, ir-regoli tal-forwarding u l-permessi tas-servizz. Fejn applikazzjoni waħda diġà titkellem TLS kif suppost, li tħalliha tipproteġi l-konnessjoni tagħha stess spiss hija l-iżgħar tweġiba li taħdem.

Inventarja dak li jħalli l-LAN

Qiegħed is-software, l-identitajiet tal-host u l-kredenzjali f'posthom qabel ma tiddependi fuq bank iżolat, jew uża l-proċess ta' kunsinna offline li jappoġġja l-organizzazzjoni. Komanda ta' download mhijiex pjan ta' installazzjoni għal magna li ma tistax tilħaq is-sors, u li ssir taf biha waqt waqfa hija ħin ħażin biex titgħallimha.

Agħmel l-ismijiet deliberati. Uża s-servizz DNS lokali maħsub jew arranġament ta' indirizzi dokumentat, għax resolver pubbliku kkonfigurat ma joħloqx triq lejh innifsu. Li tbiddel indirizz ta' socket lanqas mhu ġustifikazzjoni biex taqbeż il-verifiki tal-identità tal-applikazzjoni. Jekk it-tweġiba hija li l-bank sempliċement juża indirizzi, ikteb dan ukoll, sabiex l-inġinier li jmiss ma jqattax siegħa fuq dominju ta' tfittxija li qatt ma ġie kkonfigurat.

Imbagħad aqra l-mudell ta' awtentikazzjoni u verifika għad-dipendenzi esterni: reġistrazzjoni, fornitur tal-identità, approvazzjoni multifattur, ġbir tal-istat taċ-ċertifikat, sors tal-ħin. Kull waħda hija blokk potenzjali fuq netwerk iżolat. Elenkahom qabel it-tieqa tal-manutenzjoni, mhux waqtha, għax dipendenza li tiskopri fil-mument żbaljat tibdel kompitu ta' ħames minuti f'wara nofsinhar. Ipprovdi arranġament aċċessibbli approvat jew agħżel mudell li jaħdem offline, u qatt ma tiddiżattiva bil-kwiet verifika għax is-servizz tagħha nieqes.

Żomm il-verifiki tal-identità fejn jixirqilhom

Ivverifika l-host key jew iċ-ċertifikat mistenni permezz tal-proċess tal-provvista li tafda, u żomm l-arloġġ korrett fejn il-protokoll jivvalida l-ħinijiet taċ-ċertifikat. Li taqsam switch ma' apparat ma jagħmilx dak l-apparat dak li kellha l-ħsieb tilħaq, u li tassumi mod ieħor huwa eżattament l-iżball li attakkant fuq l-istess segment jixtieq li tagħmel.

Il-ħin jistħoqqlu linja tiegħu fil-pjan. Ħafna protokolli jirrifjutaw kredenzjali li kieku validi meta l-arloġġ ikun drifta biżżejjed, u Pi mingħajr sors tal-ħin tan-netwerk jista' jidderiva bil-kwiet għal xhur qabel ma jilmenta xi ħadd.

Ittestja bl-uplink verament nieqes

Aqla' l-uplink, imbagħad wettaq eżattament l-operazzjoni tal-manutenzjoni li ddisinjajt għaliha: is-sessjoni tat-terminal, il-kopja tal-fajl, is-servizz forwardjat, il-konnessjoni routed. Ikkonferma li identità miċħuda jew riżorsa pprojbita għadhom miċħuda, għax disinn li jipprova biss it-triq ferħana ma ġiex ittestjat xejn. Aqra l-logs waqt li tagħmel dan, għax il-fallimenti interessanti huma dawk li jħallu traċċa mingħajr ma jbiddlu r-riżultat.

Irreġistra l-punt tat-tmiem lokali, il-mekkaniżmu tal-protezzjoni u kull dipendenza li użat l-operazzjoni. Il-ħruġ lejn l-internet u triq sigura għall-amministrazzjoni lokali huma żewġ rekwiżiti differenti, u li żżommhom separati huwa dak li jħalli t-tieni jgħix wara li jintilef l-ewwel.