Управљање Raspberry Pi уређајем на LAN-у без интернет uplink-а

Два уређаја на приватном LAN-у могу размјењивати заштићени саобраћај без икаквог uplink-а. Оно што не могу јесте да створе услуге које њихов изабрани безбједносни модел очекује. Посао је зато пола избор и пола инвентар: одаберите заштиту која одговара задатку, а затим попишите све што би тихо посегнуло за интернетом.

Претпоставка овог поступка је да оба уређаја имају одобрене адресе на истој приватној мрежи. Не закључујте доступност из чињенице да су се оба придружила истом wifi-ју; прикључак, рутирање и правила приступа то још увијек одређују.

Одаберите заштиту према задатку, а не према навици

Терминалска сесија или подржани задатак управљања датотекама одговара SSH-у, чија архитектура раздваја аутентификацију сервера, аутентификацију корисника и канале који се преносе унутар заштићеног транспорта. Ниједна од тих улога не захтијева комерцијалног VPN провајдера и ниједна не престаје да ради зато што не постоји подразумијевана рута према интернету.

Једна додатна TCP услуга може путовати кроз овлашћено SSH преусмјеравање када сервер то дозволи: држите локални слушалац уско везаним, а одредиште експлицитним, и запамтите да се тиме преусмјерава та једна услуга умјесто да се репродукује Ethernet сегмент.

Рутирани приступ већем броју адреса или протокола је другачији захтјев, и локално завршен VPN га може пружити. Партнер је у том случају доступни локални gateway, а не крајња тачка негдје на интернету, и gateway-у су још потребне предвиђене руте, правила просљеђивања и дозволе за услуге. Тамо гдје једна апликација већ правилно говори TLS, пуштање да заштити властиту везу често је најмањи одговор који функционише.

Попишите шта би напустило LAN

Припремите софтвер, идентитете host-ова и акредитиве прије него што се ослоните на изоловану клупу или користите процес offline испоруке који организација подржава. Наредба за преузимање није план инсталације за машину која не може достићи извор, а откривање тога током испада је лош тренутак да то научите.

Учините именовање намјерним. Користите предвиђену локалну DNS услугу или документовани распоред адреса, јер конфигурисани јавни resolver не ствара пут до себе. Промјена socket адресе такође није оправдање за прескакање провјера идентитета апликације. Ако је одговор да клупа једноставно користи адресе, и то запишите, како сљедећи инжењер не би провео сат на домену претраге који никада није био конфигурисан.

Затим прочитајте модел аутентификације и верификације за вањске зависности: упис, провајдер идентитета, мултифакторско одобрење, добављање статуса цертификата, извор времена. Свака је потенцијални блокер на изолованој мрежи. Попишите их прије сервисног оквира, а не током њега, јер зависност коју откријете у погрешном тренутку претвара петоминутни задатак у цијело поподне. Осигурајте одобрен доступан распоред или одаберите модел који ради offline, и никада не онемогућавајте провјеру тихо зато што недостаје њена услуга.

Задржите провјере идентитета тамо гдје им је мјесто

Провјерите очекивани кључ host-а или цертификат кроз процес припреме којем вјерујете, и држите сат исправним тамо гдје протокол валидира времена цертификата. Дијељење прекидача са уређајем не чини тај уређај оним који сте намјеравали достићи, а претпоставка супротног је управо грешка коју би нападач на истом сегменту желио да направите.

Вријеме заслужује свој ред у плану. Многи протоколи одбијају иначе важеће акредитиве када сат довољно одступи, а Pi без мрежног извора времена може тихо одступати мјесецима прије него што се било шта пожали.

Тестирајте с uplink-ом стварно одсутним

Искључите uplink, а затим обавите тачно ону операцију одржавања за коју сте пројектовали: терминалску сесију, копирање датотеке, преусмјерену услугу, рутирану везу. Потврдите да одбијени идентитет или забрањени ресурс и даље остају одбијени, јер дизајн који доказује само срећан пут није уопште тестиран. Читајте логове док то радите, јер су занимљиви кварови они који остављају траг без промјене исхода.

Забиљежите локалну крајњу тачку, механизам заштите и сваку зависност коју је операција користила. Излаз према интернету и сигуран пут за локалну администрацију су два различита захтјева, а њихово раздвајање је оно што омогућава другом да преживи губитак првог.