Administrowanie Raspberry Pi w sieci LAN bez łącza internetowego

Dwa urządzenia w prywatnej sieci LAN mogą wymieniać chroniony ruch bez żadnego łącza nadrzędnego. Nie potrafią jednak wyczarować usług, których oczekuje wybrany przez nie model bezpieczeństwa. Praca jest więc w połowie wyborem, a w połowie inwentaryzacją: wybierz ochronę pasującą do zadania, a następnie wypisz wszystko, co po cichu sięgnęłoby do internetu.

Założeniem tego przeglądu jest to, że oba urządzenia mają zatwierdzone adresy w tej samej sieci prywatnej. Nie wnioskuj o osiągalności z faktu, że oba dołączyły do tego samego wifi; o tym nadal decydują podłączenie, trasowanie i reguły dostępu.

Wybierz ochronę według zadania, a nie według przyzwyczajenia

Sesja terminala lub obsługiwane zadanie administracji plikami pasuje do SSH, którego architektura rozdziela uwierzytelnianie serwera, uwierzytelnianie użytkownika i kanały przenoszone wewnątrz chronionego transportu. Żadna z tych ról nie wymaga komercyjnego dostawcy VPN i żadna nie przestaje działać dlatego, że nie ma domyślnej trasy do internetu.

Jedna dodatkowa usługa TCP może podróżować przez autoryzowane przekierowanie SSH, gdy serwer na to pozwala: utrzymuj lokalny nasłuch ściśle związany, a cel jawny, i pamiętaj, że przekierowuje to tę jedną usługę, a nie odtwarza segmentu Ethernet.

Trasowany dostęp do wielu adresów lub protokołów to inne wymaganie, i VPN zakończony lokalnie może je zapewnić. Drugą stroną jest wtedy osiągalna lokalna brama, a nie punkt końcowy gdzieś w internecie, a brama nadal potrzebuje zamierzonych tras, reguł przekazywania i uprawnień usług. Tam, gdzie jedna aplikacja już poprawnie mówi TLS, pozwolenie jej chronić własnego połączenia jest często najmniejszą odpowiedzią, która działa.

Zinwentaryzuj, co opuściłoby sieć LAN

Przygotuj oprogramowanie, tożsamości hostów i poświadczenia, zanim zaczniesz polegać na odizolowanym stanowisku, albo użyj obsługiwanego przez organizację procesu dostarczania offline. Polecenie pobrania nie jest planem instalacji dla maszyny, która nie może dotrzeć do źródła, a odkrycie tego podczas awarii to zły moment na naukę.

Uczyń nazewnictwo zamierzonym. Użyj przewidzianej lokalnej usługi DNS lub udokumentowanego układu adresów, ponieważ skonfigurowany publiczny resolver nie tworzy ścieżki do siebie. Zmiana adresu gniazda też nie jest uzasadnieniem pomijania kontroli tożsamości aplikacji. Jeśli odpowiedź brzmi, że stanowisko po prostu używa adresów, zapisz to również, aby następny inżynier nie spędził godziny na domenie wyszukiwania, której nigdy nie skonfigurowano.

Następnie przeczytaj model uwierzytelniania i weryfikacji dla zależności zewnętrznych: rejestracja, dostawca tożsamości, zatwierdzenie wieloskładnikowe, pobieranie statusu certyfikatu, źródło czasu. Każda z nich jest potencjalną blokadą w odizolowanej sieci. Wypisz je przed oknem serwisowym, a nie w jego trakcie, ponieważ zależność odkryta w złym momencie zamienia pięciominutowe zadanie w całe popołudnie. Zapewnij zatwierdzony osiągalny układ lub wybierz model działający offline i nigdy nie wyłączaj po cichu kontroli, ponieważ brakuje jej usługi.

Zatrzymaj kontrole tożsamości tam, gdzie należą

Zweryfikuj oczekiwany klucz hosta lub certyfikat przez proces przygotowania, któremu ufasz, i utrzymuj poprawny zegar tam, gdzie protokół waliduje czasy certyfikatów. Dzielenie przełącznika z urządzeniem nie czyni tego urządzenia tym, do którego chciałeś dotrzeć, a założenie przeciwieństwa to dokładnie błąd, który atakujący w tym samym segmencie chciałby, abyś popełnił.

Czas zasługuje na własną pozycję w planie. Wiele protokołów odrzuca skądinąd ważne poświadczenia, gdy zegar odchylił się wystarczająco daleko, a Pi bez źródła czasu sieciowego może cicho odchylać się przez miesiące, zanim cokolwiek zaprotestuje.

Testuj z rzeczywiście nieobecnym łączem nadrzędnym

Odłącz łącze nadrzędne, a następnie wykonaj dokładnie tę operację serwisową, dla której zaprojektowałeś: sesję terminala, kopiowanie pliku, przekierowaną usługę, trasowane połączenie. Potwierdź, że odrzucona tożsamość lub zabroniony zasób nadal są odrzucane, ponieważ projekt, który dowodzi tylko szczęśliwej ścieżki, nie został w ogóle przetestowany. Czytaj logi podczas tej czynności, bo ciekawe awarie to te, które zostawiają ślad bez zmiany wyniku.

Zapisz lokalny punkt końcowy, mechanizm ochrony i każdą zależność, której użyła operacja. Wyjście do internetu i bezpieczna ścieżka do lokalnej administracji to dwa różne wymagania, a trzymanie ich osobno jest tym, co pozwala drugiemu przetrwać utratę pierwszego.