Administrarea unui Raspberry Pi într-o LAN fără uplink la internet

Două dispozitive dintr-o LAN privată pot schimba trafic protejat fără niciun uplink. Ce nu pot face este să facă să apară serviciile pe care le așteaptă modelul de securitate ales. Munca este așadar jumătate selecție și jumătate inventar: alegeți protecția care se potrivește sarcinii, apoi enumerați tot ce ar căuta în liniște internetul.

Premisa acestui parcurs este că ambele dispozitive au adrese aprobate în aceeași rețea privată. Nu deduceți accesibilitatea din faptul că ambele s-au conectat la același wifi; conectarea, rutarea și regulile de acces decid încă acest lucru.

Alegeți protecția după sarcină, nu după obicei

O sesiune de terminal sau o sarcină de administrare a fișierelor acceptată se potrivește cu SSH, a cărui arhitectură separă autentificarea serverului, autentificarea utilizatorului și canalele transportate în interiorul transportului protejat. Niciunul dintre aceste roluri nu necesită un furnizor comercial de VPN și niciunul nu încetează să funcționeze pentru că nu există o rută implicită către internet.

Un serviciu TCP suplimentar poate călători printr-o redirecționare SSH autorizată atunci când serverul permite: mențineți ascultătorul local strâns legat și destinația explicită și rețineți că aceasta redirecționează acel singur serviciu în loc să reproducă un segment Ethernet.

Accesul rutat la mai multe adrese sau protocoale este o cerință diferită, și un VPN terminat local îl poate furniza. Partenerul în acest caz este o poartă locală accesibilă, nu un punct final undeva pe internet, iar poarta are în continuare nevoie de rutele prevăzute, de regulile de redirecționare și de permisiunile de serviciu. Acolo unde o singură aplicație vorbește deja corect TLS, lăsarea ei să își protejeze propria conexiune este adesea cel mai mic răspuns care funcționează.

Inventariați ce ar părăsi LAN-ul

Pregătiți software-ul, identitățile gazdă și acreditările înainte de a depinde de un stand izolat sau folosiți procesul de livrare offline pe care îl acceptă organizația. O comandă de descărcare nu este un plan de instalare pentru o mașină care nu poate atinge sursa, iar descoperirea acestui lucru în timpul unei întreruperi este un moment prost pentru a-l învăța.

Faceți denumirea deliberată. Folosiți serviciul DNS local prevăzut sau o aranjare documentată a adreselor, deoarece un resolver public configurat nu creează o cale către el însuși. Nici schimbarea unei adrese de socket nu este o justificare pentru a sări peste verificările de identitate ale aplicației. Dacă răspunsul este că standul folosește pur și simplu adrese, notați și asta, ca următorul inginer să nu petreacă o oră pe un domeniu de căutare care nu a fost niciodată configurat.

Apoi citiți modelul de autentificare și verificare pentru dependențele externe: înrolare, un furnizor de identitate, o aprobare multifactor, obținerea stării certificatului, o sursă de timp. Fiecare este un potențial blocaj într-o rețea izolată. Enumerați-le înainte de fereastra de mentenanță, nu în timpul ei, deoarece o dependență descoperită în momentul greșit transformă o sarcină de cinci minute într-o după-amiază. Asigurați o soluție accesibilă aprobată sau alegeți un model care funcționează offline și nu dezactivați niciodată în tăcere o verificare pentru că îi lipsește serviciul.

Păstrați verificările de identitate acolo unde le este locul

Verificați cheia de gazdă sau certificatul așteptat prin procesul de aprovisionare în care aveți încredere și mențineți ceasul corect acolo unde protocolul validează orele certificatului. Partajarea unui comutator cu un dispozitiv nu face din acel dispozitiv cel pe care intenționați să îl atingeți, iar presupunerea contrară este exact greșeala pe care un atacator din același segment ar vrea să o faceți.

Timpul merită o linie proprie în plan. Multe protocoale resping acreditări altfel valide atunci când ceasul a derivat destul de mult, iar un Pi fără sursă de timp de rețea poate deriva în liniște luni întregi înainte ca ceva să se plângă.

Testați cu uplinkul efectiv absent

Deconectați uplinkul, apoi efectuați exact operațiunea de mentenanță pentru care ați proiectat: sesiunea de terminal, copierea fișierului, serviciul redirecționat, conexiunea rutată. Confirmați că o identitate refuzată sau o resursă interzisă rămân refuzate, deoarece un design care dovedește doar calea fericită nu a fost testat deloc. Citiți jurnalele în timp ce faceți asta, fiindcă eșecurile interesante sunt cele care lasă o urmă fără să schimbe rezultatul.

Consemnați punctul final local, mecanismul de protecție și fiecare dependență folosită de operațiune. Ieșirea către internet și o cale sigură pentru administrarea locală sunt două cerințe diferite, iar păstrarea lor separate este ceea ce permite celei de-a doua să supraviețuiască pierderii primei.