Administrere ein Raspberry Pi på eit LAN utan internett-opplenk

To einingar på eit privat LAN kan utveksle verna trafikk heilt utan ein opplenk. Det dei ikkje kan, er å trylle fram tenestene som tryggleiksmodellen dei valde, ventar. Arbeidet er difor halvt val og halvt oversyn: vel vernet som passar oppgåva, og list deretter opp alt som i stillheit ville strekkje seg mot internett.

Føresetnaden for denne gjennomgangen er at begge einingane har godkjende adresser på same private nett. Ikkje utleie at dei når kvarandre av at begge er kopla til same wifi; tilkoplinga, rutinga og tilgangsreglane avgjer framleis det.

Vel vern etter oppgåva, ikkje av vane

Ei terminaløkt eller ei støtta filstyringsoppgåve passar til SSH, der arkitekturen skil serverautentisering, brukarautentisering og kanalane som vert borne inne i den verna transporten. Ingen av desse rollene krev ein kommersiell VPN-leverandør, og ingen av dei sluttar å verke fordi det ikkje finst ei standardrute til internett.

Éi ekstra TCP-teneste kan reise gjennom ei autorisert SSH-vidaresending når tenaren tillèt det: hald den lokale lyttaren strengt bunden og målet eksplisitt, og hugs at dette vidaresender den eine tenesta i staden for å gjenskape eit Ethernet-segment.

Ruta tilgang til fleire adresser eller protokollar er eit anna krav, og ein lokalt avslutta VPN kan gje det. Motparten er i så fall ein nåbar lokal gateway, ikkje eit endepunkt ein stad på internett, og gatewayen treng framleis dei tiltenkte rutene, vidaresendingsreglane og tenesteløyva. Der ein einskil applikasjon alt talar TLS ordentleg, er det ofte det minste svaret som verkar å la han verne si eiga tilkopling.

Før oversyn over kva som ville forlate LAN-et

Skaff programvara, vertsidentitetane og påloggingsinformasjonen på plass før du er avhengig av ein isolert benk, eller bruk den fråkopla leveringsprosessen organisasjonen støttar. Ein nedlastingskommando er ikkje ein installasjonsplan for ein maskin som ikkje når kjelda, og å oppdage det under eit avbrot er eit dårleg tidspunkt å lære det på.

Gjer namngjevinga medviten. Bruk den tiltenkte lokale DNS-tenesta eller eit dokumentert adresseoppsett, fordi ein oppsett offentleg løysar ikkje lagar ein veg til seg sjølv. Å bytte ei sokkeladresse er heller ikkje grunn til å hoppe over identitetskontrollane til applikasjonen. Om svaret er at benken rett og slett brukar adresser, skriv det ned òg, så den neste ingeniøren ikkje brukar ein time på eit søkjedomene som aldri vart sett opp.

Les så autentiserings- og stadfestingsmodellen for eksterne avhengnader: registrering, identitetsleverandør, fleirfaktor-godkjenning, henting av sertifikatstatus, ei tidskjelde. Kvar av dei er ein mogleg blokkar på eit isolert nett. List dei opp før vedlikehalsvindauget, ikkje under det, fordi ei avhengnad du oppdagar i galen augneblink gjer ei femminutts oppgåve til ein heil ettermiddag. Sørg for eit godkjent nåbart oppsett eller vel ein modell som verkar fråkopla, og slå aldri av ein kontroll i stillheit fordi tenesta hans manglar.

Hald identitetskontrollane der dei høyrer heime

Stadfest den venta vertsnøkkelen eller sertifikatet gjennom klargjeringsprosessen du stolar på, og hald klokka rett der protokollen stadfester sertifikattidene. Å dele ein svitsj med ei eining gjer ikkje den eininga til den du meinte å nå, og å tru det motsette er nett den feilen ein åtakar i same segmentet vil at du skal gjere.

Tida fortener si eiga line i planen. Mange protokollar avviser elles gyldig påloggingsinformasjon når klokka har drive langt nok, og ein Pi utan nettverkstidskjelde kan drive i stillheit i månader før noko klagar.

Test med opplenken faktisk borte

Dra ut opplenken, og utfør så nøyaktig den vedlikehaldsoperasjonen du designa for: terminaløkta, filkopien, den vidaresende tenesta, den ruta tilkoplinga. Stadfest at ein avvist identitet eller ein forboden ressurs framleis er avvist, fordi eit design som berre provar den lukkelege vegen ikkje er testa i det heile. Les loggane medan du gjer det, fordi dei interessante feila er dei som lèt att eit spor utan å endre resultatet.

Noter det lokale endepunktet, vernemekanismen og kvar avhengnad operasjonen brukte. Utgang til internett og ein trygg veg for lokal administrasjon er to ulike krav, og å halde dei frå kvarandre er det som lèt det andre overleve tapet av det første.