Administrere en Raspberry Pi på et LAN uten internett-uplink

To enheter på et privat LAN kan utveksle beskyttet trafikk helt uten uplink. Det de ikke kan, er å trylle fram tjenestene som sikkerhetsmodellen de har valgt, forventer. Arbeidet er derfor halvt valg og halvt inventar: velg beskyttelsen som passer oppgaven, og list deretter opp alt som i stillhet ville strekke seg etter internett.

Forutsetningen for denne gjennomgangen er at begge enhetene har godkjente adresser på samme private nettverk. Ikke utled at de kan nå hverandre av at begge er koblet til samme wifi; tilkoblingen, rutingen og tilgangsreglene avgjør fortsatt det.

Velg beskyttelse etter oppgaven, ikke av vane

En terminaløkt eller en støttet filadministrasjonsoppgave passer til SSH, der arkitekturen skiller serverautentisering, brukerautentisering og kanalene som bæres inne i den beskyttede transporten. Ingen av disse rollene krever en kommersiell VPN-leverandør, og ingen av dem slutter å virke fordi det ikke finnes en standardrute til internett.

Én ekstra TCP-tjeneste kan reise gjennom en autorisert SSH-videreformidling når serveren tillater det: hold den lokale lytteren snevert bundet og destinasjonen eksplisitt, og husk at dette videreformidler den ene tjenesten i stedet for å gjenskape et Ethernet-segment.

Rutet tilgang til flere adresser eller protokoller er et annet krav, og en lokalt avsluttet VPN kan levere det. Motparten er i så fall en nåbar lokal gateway, ikke et endepunkt et sted på internett, og gatewayen trenger fortsatt de tiltenkte rutene, videreformidlingsreglene og tjenestetillatelsene. Der en enkelt applikasjon allerede snakker TLS ordentlig, er det ofte det minste svaret som virker å la den beskytte sin egen forbindelse.

Inventer hva som ville forlate LAN-et

Få programvaren, vertsidentitetene og påloggingsinformasjonen på plass før du er avhengig av en isolert benk, eller bruk den offlineleveringsprosessen organisasjonen støtter. En nedlastingskommando er ikke en installasjonsplan for en maskin som ikke kan nå kilden, og å oppdage det under et avbrudd er et dårlig tidspunkt å lære det på.

Gjør navngivningen bevisst. Bruk den tiltenkte lokale DNS-tjenesten eller en dokumentert adresseordning, fordi en konfigurert offentlig resolver ikke skaper en vei til seg selv. Å endre en socketadresse er heller ikke en begrunnelse for å hoppe over applikasjonens identitetskontroller. Hvis svaret er at benken rett og slett bruker adresser, skriv det ned også, slik at den neste ingeniøren ikke bruker en time på et søkedomene som aldri ble konfigurert.

Les deretter autentiserings- og verifiseringsmodellen for eksterne avhengigheter: registrering, en identitetsleverandør, en multifaktorgodkjenning, henting av sertifikatstatus, en tidskilde. Hver av dem er en mulig blokkering på et isolert nettverk. List dem opp før vedlikeholdsvinduet, ikke under det, fordi en avhengighet du oppdager på feil tidspunkt gjør en femminutters oppgave til en hel ettermiddag. Sørg for en godkjent nåbar ordning eller velg en modell som virker offline, og deaktiver aldri i stillhet en kontroll fordi tjenesten dens mangler.

Hold identitetskontrollene der de hører hjemme

Verifiser den forventede vertsnøkkelen eller sertifikatet gjennom klargjøringsprosessen du stoler på, og hold klokken riktig der protokollen validerer sertifikattider. Å dele en svitsj med en enhet gjør ikke den enheten til den du mente å nå, og å anta noe annet er nettopp feilen en angriper på samme segment vil at du skal gjøre.

Tiden fortjener sin egen linje i planen. Mange protokoller avviser ellers gyldig påloggingsinformasjon når klokken har drevet langt nok, og en Pi uten nettverkstidskilde kan drive i stillhet i måneder før noe klager.

Test med uplinken faktisk borte

Trekk ut uplinken, og utfør deretter nøyaktig den vedlikeholdsoperasjonen du har designet for: terminaløkten, filkopien, den videreformidlede tjenesten, den rutede forbindelsen. Bekreft at en avvist identitet eller en forbudt ressurs fortsatt avvises, fordi et design som bare beviser den lykkelige veien, ikke er testet i det hele tatt. Les loggene mens du gjør det, fordi de interessante feilene er de som etterlater et spor uten å endre resultatet.

Noter det lokale endepunktet, beskyttelsesmekanismen og hver avhengighet operasjonen brukte. Utgang til internett og en sikker vei for lokal administrasjon er to forskjellige krav, og å holde dem atskilt er det som lar det andre overleve tapet av det første.