Администрирование Raspberry Pi в локальной сети без интернет-канала

Два устройства в частной локальной сети могут обмениваться защищённым трафиком вообще без внешнего канала. Чего они не могут — это создать службы, которых ждёт выбранная ими модель безопасности. Поэтому работа делится пополам: выбор защиты и инвентаризация всего, что тихо потянулось бы в интернет.

В этом разборе предполагается, что оба устройства имеют одобренные адреса в одной частной сети. Не делайте вывод о доступности из того, что оба подключились к одному Wi-Fi; подключение, маршрутизация и правила доступа по-прежнему решают это.

Выбирайте защиту по задаче, а не по привычке

Сеанс терминала или поддерживаемая задача администрирования файлов подходит для SSH, архитектура которого разделяет аутентификацию сервера, аутентификацию пользователя и каналы, передаваемые внутри защищённого транспорта. Ни одна из этих ролей не требует коммерческого поставщика VPN, и ни одна из них не перестаёт работать из-за отсутствия маршрута по умолчанию в интернет.

Одна дополнительная служба TCP может пройти через разрешённое перенаправление SSH, если сервер это позволяет: держите локальный слушатель строго привязанным, а назначение явным, и помните, что это перенаправляет одну службу, а не воспроизводит сегмент Ethernet.

Маршрутизируемый доступ к нескольким адресам или протоколам — другое требование, и локально завершённый VPN может его обеспечить. Партнёром в этом случае является доступный локальный шлюз, а не конечная точка где-то в интернете, и шлюзу по-прежнему нужны заданные маршруты, правила перенаправления и разрешения на службы. Там, где одно приложение уже правильно говорит на TLS, часто самым малым работающим ответом будет позволить ему защищать собственное соединение.

Составьте опись того, что покинет локальную сеть

Подготовьте программное обеспечение, идентификаторы узлов и учётные данные до того, как положитесь на изолированный стенд, или используйте поддерживаемый организацией процесс офлайн-доставки. Команда загрузки — не план установки для машины, которая не может добраться до источника, и выяснять это во время сбоя — плохой момент для обучения.

Сделайте именование осознанным. Используйте предусмотренную локальную службу DNS или задокументированную схему адресов, потому что настроенный публичный распознаватель не создаёт пути к самому себе. Смена адреса сокета тоже не оправдание, чтобы пропускать проверки подлинности приложения. Если ответ в том, что стенд просто использует адреса, запишите и это, чтобы следующему инженеру не пришлось тратить час на домен поиска, который никогда не настраивался.

Затем прочитайте модель аутентификации и проверки для внешних зависимостей: регистрация, поставщик удостоверений, многофакторное подтверждение, получение статуса сертификата, источник времени. Каждая из них — потенциальная блокировка в изолированной сети. Перечислите их до окна обслуживания, а не во время него, потому что зависимость, обнаруженная в неподходящий момент, превращает пятиминутную задачу в целый день. Обеспечьте одобренное доступное решение или выберите модель, работающую офлайн, и никогда не отключайте проверку молча из-за отсутствия её службы.

Держите проверки подлинности там, где им место

Проверьте ожидаемый ключ узла или сертификат через процесс подготовки, которому доверяете, и поддерживайте правильные часы там, где протокол проверяет сроки сертификата. Общий коммутатор с устройством не делает это устройство тем, до которого вы хотели добраться, и предположение об обратном — ровно та ошибка, которую злоумышленник в том же сегменте хотел бы, чтобы вы совершили.

Время заслуживает отдельной строки в плане. Многие протоколы отвергают в остальном действительные учётные данные, когда часы ушли достаточно далеко, а Pi без сетевого источника времени может месяцами тихо уплывать, прежде чем что-то запротестует.

Проверьте при действительно отсутствующем внешнем канале

Отключите внешний канал, затем выполните ровно ту операцию обслуживания, для которой проектировали: сеанс терминала, копирование файла, перенаправленную службу, маршрутизируемое соединение. Подтвердите, что отклонённый идентификатор или запрещённый ресурс по-прежнему отклоняются, потому что проект, доказывающий только счастливый путь, вообще не проверен. Читайте журналы во время этого, поскольку интересные сбои — те, что оставляют след, не меняя результата.

Запишите локальную конечную точку, механизм защиты и каждую зависимость, которую использовала операция. Выход в интернет и безопасный путь для локального администрирования — два разных требования, и их разделение позволяет второму пережить потерю первого.