Administrimi i Raspberry Pi në LAN pa lidhje interneti

Dy pajisje në një LAN private mund të shkëmbejnë trafik të mbrojtur pa asnjë lidhje të sipërme. Ajo që nuk mund të bëjnë është të krijojnë nga hiçi shërbimet që pret modeli i sigurisë i zgjedhur prej tyre. Prandaj puna është gjysmë zgjedhje dhe gjysmë inventar: zgjidhni mbrojtjen që i përshtatet detyrës, pastaj renditni gjithçka që do të shtrihej në heshtje drejt internetit.

Supozimi i këtij udhëzuesi është se të dyja pajisjet kanë adresa të miratuara në të njëjtin rrjet privat. Mos nxirrni arritshmërinë nga fakti se të dyja u lidhën me të njëjtin wifi; lidhja, rrugëtimi dhe rregullat e aksesit ende e vendosin atë.

Zgjidhni mbrojtjen sipas detyrës, jo sipas zakonit

Një sesion terminali ose një detyrë e mbështetur e administrimit të skedarëve i përshtatet SSH-së, arkitektura e të cilit ndan vërtetimin e serverit, vërtetimin e përdoruesit dhe kanalet e transportuara brenda transportit të mbrojtur. Asnjë prej këtyre roleve nuk kërkon një ofrues komercial VPN dhe asnjë prej tyre nuk pushon së punuari sepse nuk ka rrugë të parazgjedhur drejt internetit.

Një shërbim shtesë TCP mund të udhëtojë përmes një përcjelljeje SSH të autorizuar kur serveri e lejon: mbajeni dëgjuesin lokal të lidhur ngushtë dhe destinacionin të qartë, dhe mbani mend se kjo përcjell atë shërbim të vetëm në vend që të riprodhojë një segment Ethernet.

Aksesi i rrugëtuar në disa adresa ose protokolle është një kërkesë tjetër, dhe një VPN e përfunduar lokalisht mund ta ofrojë atë. Pala tjetër në atë rast është një portë hyrëse lokale e arritshme, jo një pikë fundore diku në internet, dhe porta hyrëse ende ka nevojë për rrugët e synuara, rregullat e përcjelljes dhe lejet e shërbimit. Aty ku një aplikacion i vetëm tashmë flet saktë TLS, lënia e tij të mbrojë lidhjen e vet është shpesh përgjigjja më e vogël që funksionon.

Bëni inventarin e asaj që do të linte LAN-in

Përgatitni softuerin, identitetet e hostit dhe kredencialet përpara se të mbështeteni në një stol të izoluar, ose përdorni procesin e dorëzimit jashtë linje që mbështet organizata. Një komandë shkarkimi nuk është plan instalimi për një makinë që nuk mund të arrijë burimin, dhe zbulimi i kësaj gjatë një ndërprerjeje është kohë e keqe për ta mësuar.

Bëjeni emërtimin e qëllimshëm. Përdorni shërbimin lokal të DNS të synuar ose një rregullim të dokumentuar adresash, sepse një zgjidhës publik i konfiguruar nuk krijon një rrugë drejt vetvetes. Edhe ndryshimi i një adrese soketi nuk është justifikim për të anashkaluar kontrollet e identitetit të aplikacionit. Nëse përgjigjja është se stoli thjesht përdor adresa, shkruajeni edhe atë, që inxhinieri i ardhshëm të mos harxhojë një orë në një domen kërkimi që nuk u konfigurua kurrë.

Pastaj lexoni modelin e vërtetimit dhe verifikimit për varësitë e jashtme: regjistrimi, ofruesi i identitetit, miratimi shumëfaktorësh, marrja e statusit të certifikatës, një burim kohe. Secili prej tyre është një bllokues i mundshëm në një rrjet të izoluar. Renditini përpara dritares së mirëmbajtjes, jo gjatë saj, sepse një varësi e zbuluar në momentin e gabuar e kthen një detyrë pesëminutëshe në një pasdite të tërë. Siguroni një rregullim të arritshëm të miratuar ose zgjidhni një model që funksionon jashtë linje, dhe mos çaktivizoni kurrë në heshtje një kontroll sepse i mungon shërbimi.

Mbajini kontrollet e identitetit aty ku u takon

Verifikoni çelësin e pritur të hostit ose certifikatën përmes procesit të përgatitjes që i besoni, dhe mbajeni orën saktë aty ku protokolli vërteton kohët e certifikatës. Ndarja e një switch-i me një pajisje nuk e bën atë pajisje atë që kishit ndërmend të arrinit, dhe supozimi i kundërt është pikërisht gabimi që një sulmues në të njëjtin segment do të donte të bënit.

Koha meriton rreshtin e vet në plan. Shumë protokolle refuzojnë kredenciale ndryshe të vlefshme kur ora ka shmangur mjaftueshëm, dhe një Pi pa burim kohe rrjeti mund të shmangë në heshtje për muaj të tërë përpara se diçka të ankohet.

Testoni me lidhjen e sipërme vërtet të munguar

Shkëputeni lidhjen e sipërme, pastaj kryeni saktësisht operacionin e mirëmbajtjes për të cilin e kishit projektuar: sesionin e terminalit, kopjimin e skedarit, shërbimin e përcjellë, lidhjen e rrugëtuar. Konfirmoni se një identitet i refuzuar ose një burim i ndaluar janë ende të refuzuar, sepse një dizajn që vërteton vetëm rrugën e mirë nuk është testuar fare. Lexoni regjistrat ndërsa e bëni këtë, sepse dështimet interesante janë ato që lënë gjurmë pa ndryshuar rezultatin.

Regjistroni pikën fundore lokale, mekanizmin e mbrojtjes dhe çdo varësi që përdori operacioni. Dalja drejt internetit dhe një rrugë e sigurt për administrimin lokal janë dy kërkesa të ndryshme, dhe mbajtja e tyre e ndarë është ajo që i lejon të dytës të mbijetojë kur humbet e para.