Upravljanje Raspberry Pi v omrežju LAN brez internetnega uplinka

Dve napravi v zasebnem LAN lahko izmenjujeta zaščiten promet brez kakršnega koli uplinka. Česar ne moreta, je pričarati storitve, ki jih pričakuje njun izbrani varnostni model. Delo je zato pol izbor in pol popis: izberite zaščito, ki ustreza opravilu, nato pa popišite vse, kar bi tiho seglo po internetu.

Predpostavka tega sprehoda je, da imata obe napravi odobrene naslove v istem zasebnem omrežju. Dosegljivosti ne sklepajte iz dejstva, da sta se obe pridružili istemu wifi; o tem še vedno odločajo priklop, usmerjanje in pravila dostopa.

Zaščito izberite po opravilu, ne po navadi

Terminalska seja ali podprto opravilo upravljanja datotek se prilega SSH, katerega arhitektura ločuje preverjanje pristnosti strežnika, preverjanje pristnosti uporabnika in kanale, ki se prenašajo znotraj zaščitenega prevoza. Nobena od teh vlog ne potrebuje komercialnega ponudnika VPN in nobena ne preneha delovati zato, ker ni privzete poti v internet.

Ena dodatna storitev TCP lahko potuje skozi pooblaščeno posredovanje SSH, ko strežnik to dovoli: lokalni poslušalec držite tesno vezan, cilj pa izrecen, in ne pozabite, da to posreduje tisto eno storitev, namesto da bi poustvarilo segment Ethernet.

Usmerjen dostop do več naslovov ali protokolov je drugačna zahteva in lokalno zaključen VPN jo lahko zagotovi. Nasprotna stran je v tem primeru dosegljiva lokalna prehodna točka, ne končna točka nekje na internetu, in prehodna točka še vedno potrebuje predvidene poti, pravila posredovanja in dovoljenja za storitve. Kjer ena aplikacija že pravilno govori TLS, je pogosto najmanjši odgovor, ki deluje, da ji pustite zaščititi lastno povezavo.

Popišite, kaj bi zapustilo LAN

Pripravite programsko opremo, identitete gostiteljev in poverilnice, preden se zanesete na izolirano delovno mesto, ali uporabite postopek dostave brez povezave, ki ga organizacija podpira. Ukaz za prenos ni načrt namestitve za stroj, ki ne more doseči vira, in odkriti to med izpadom je slab trenutek za učenje.

Imenovanje naredite premišljeno. Uporabite predvideno lokalno storitev DNS ali dokumentirano razporeditev naslovov, ker konfiguriran javni razreševalnik ne ustvari poti do sebe. Tudi sprememba naslova vtiča ni opravičilo za preskakovanje preverjanj identitete aplikacije. Če je odgovor, da delovno mesto preprosto uporablja naslove, zapišite tudi to, da naslednji inženir ne bo preživel ure na iskalni domeni, ki ni bila nikoli konfigurirana.

Nato preberite model preverjanja pristnosti in overjanja za zunanje odvisnosti: vpis, ponudnik identitete, večfaktorska odobritev, pridobivanje stanja potrdila, vir časa. Vsaka je morebitna ovira v izoliranem omrežju. Popišite jih pred servisnim oknom, ne med njim, ker odvisnost, odkrita ob napačnem trenutku, spremeni petminutno opravilo v celo popoldne. Zagotovite odobreno dosegljivo ureditev ali izberite model, ki deluje brez povezave, in nikoli tiho ne onemogočite preverjanja, ker manjka njegova storitev.

Preverjanja identitete ohranite tam, kamor spadajo

Preverite pričakovani ključ gostitelja ali potrdilo skozi postopek priprave, ki mu zaupate, in uro ohranjajte pravilno tam, kjer protokol overja čase potrdil. Skupna uporaba stikala z napravo te naprave ne naredi za tisto, ki ste jo želeli doseči, in domneva nasprotnega je natanko napaka, ki bi jo napadalec v istem segmentu rad videl pri vas.

Čas si zasluži svojo vrstico v načrtu. Številni protokoli zavrnejo sicer veljavne poverilnice, ko je ura dovolj odstopila, in Pi brez omrežnega vira časa lahko mesece tiho odstopa, preden se kdo pritoži.

Preizkusite z resnično odsotnim uplinkom

Odklopite uplink in nato izvedite natanko tisto vzdrževalno operacijo, za katero ste načrtovali: terminalsko sejo, kopijo datoteke, posredovano storitev, usmerjeno povezavo. Potrdite, da sta zavrnjena identiteta ali prepovedan vir še vedno zavrnjena, ker zasnova, ki dokazuje le srečno pot, sploh ni bila preizkušena. Medtem berite dnevnike, saj so zanimive okvare tiste, ki pustijo sled, ne da bi spremenile izid.

Zabeležite lokalno končno točko, zaščitni mehanizem in vsako odvisnost, ki jo je operacija uporabila. Izhod v internet in varna pot za lokalno upravljanje sta dve različni zahtevi, in njuno ločevanje je tisto, kar drugi omogoča, da preživi izgubo prve.