Správa Raspberry Pi v sieti LAN bez internetového uplinku

Dve zariadenia v privátnej LAN si môžu vymieňať chránenú prevádzku úplne bez uplinku. Čo nedokážu, je vyčariť služby, ktoré ich zvolený bezpečnostný model očakáva. Práca je preto z polovice voľba a z polovice inventúra: zvoľte ochranu, ktorá zodpovedá úlohe, a potom vypíšte všetko, čo by potichu siahalo po internete.

Predpokladom tohto postupu je, že obe zariadenia majú schválené adresy v tej istej privátnej sieti. Neodvodzujte dostupnosť z toho, že sa obe pripojili k rovnakej wifi; pripojenie, smerovanie a pravidlá prístupu o tom stále rozhodujú.

Voľte ochranu podľa úlohy, nie podľa zvyku

Terminálová relácia alebo podporovaná úloha správy súborov sa hodí k SSH, ktorého architektúra oddeľuje autentifikáciu servera, autentifikáciu používateľa a kanály prenášané vnútri chráneného transportu. Žiadna z týchto rolí nevyžaduje komerčného poskytovateľa VPN a žiadna neprestane fungovať preto, že neexistuje predvolená trasa do internetu.

Jedna ďalšia služba TCP môže cestovať autorizovaným presmerovaním SSH, keď to server povolí: držte miestny poslucháč úzko zviazaný a cieľ explicitný a pamätajte, že to presmerúva jednu službu namiesto reprodukcie segmentu Ethernet.

Smerovaný prístup k viacerým adresám alebo protokolom je iná požiadavka a lokálne ukončená VPN ju môže poskytnúť. Protistranou je v tom prípade dostupná miestna brána, nie koncový bod niekde na internete, a brána stále potrebuje zamýšľané trasy, pravidlá preposielania a oprávnenia služieb. Tam, kde jedna aplikácia už správne hovorí TLS, je často najmenšou funkčnou odpoveďou nechať ju chrániť vlastné spojenie.

Zinventarizujte, čo by opustilo LAN

Pripravte softvér, identity hostiteľov a prihlasovacie údaje skôr, než sa spoliahnete na izolované pracovisko, alebo použite offline proces doručenia, ktorý organizácia podporuje. Príkaz na stiahnutie nie je inštalačný plán pre stroj, ktorý nemôže dosiahnuť zdroj, a zistiť to počas výpadku je zlý okamih na to prísť.

Urobte pomenovanie zámerným. Použite zamýšľanú miestnu službu DNS alebo zdokumentované usporiadanie adries, pretože nakonfigurovaný verejný resolver nevytvára cestu k sebe samému. Zmena adresy soketu tiež nie je ospravedlnením na vynechanie kontrol identity aplikácie. Ak je odpoveď, že pracovisko jednoducho používa adresy, zapíšte aj to, aby ďalší inžinier nestrávil hodinu na vyhľadávacej doméne, ktorá nikdy nebola nakonfigurovaná.

Potom si prečítajte model autentifikácie a overovania pre externé závislosti: registrácia, poskytovateľ identity, viacfaktorové schválenie, získavanie stavu certifikátu, zdroj času. Každá z nich je možný blokátor v izolovanej sieti. Vypíšte ich pred servisným oknom, nie počas neho, pretože závislosť objavená v nesprávnej chvíli premení päťminútovú úlohu na celé popoludnie. Zabezpečte schválené dosiahnuteľné usporiadanie alebo zvoľte model, ktorý funguje offline, a nikdy potichu nevypnite kontrolu preto, že chýba jej služba.

Ponechajte kontroly identity tam, kam patria

Overte očakávaný kľúč hostiteľa alebo certifikát cez proces prípravy, ktorému dôverujete, a udržujte hodiny správne tam, kde protokol validuje časy certifikátov. Zdieľanie prepínača so zariadením nerobí z tohto zariadenia to, ktoré ste chceli dosiahnuť, a domnievať sa opak je presne chyba, ktorú by útočník v tom istom segmente chcel, aby ste urobili.

Čas si zaslúži vlastný riadok v pláne. Mnohé protokoly odmietajú inak platné prihlasovacie údaje, keď sa hodiny dostatočne rozišli, a Pi bez sieťového zdroja času sa môže mesiace potichu rozchádzať, kým si niekto sťažuje.

Testujte s uplinkom skutočne neprítomným

Odpojte uplink a potom vykonajte presne tú servisnú operáciu, pre ktorú ste navrhli: terminálovú reláciu, kópiu súboru, presmerovanú službu, smerované spojenie. Potvrďte, že odmietnutá identita alebo zakázaný prostriedok sú stále odmietané, pretože návrh, ktorý dokazuje len šťastnú cestu, nebol vôbec testovaný. Čítajte pritom logy, pretože zaujímavé poruchy sú tie, ktoré zanechajú stopu bez zmeny výsledku.

Zaznamenajte miestny koncový bod, ochranný mechanizmus a každú závislosť, ktorú operácia použila. Výstup do internetu a bezpečná cesta pre miestnu správu sú dve rôzne požiadavky a ich oddeľovanie je to, čo umožňuje druhej prežiť stratu prvej.