Pangangasiwa sa Raspberry Pi sa LAN na walang uplink sa internet

Dalawang device sa isang pribadong LAN ang makakapagpalitan ng protektadong trapiko nang walang anumang uplink. Ang hindi nila kayang gawin ay likhain ang mga serbisyong inaasahan ng napiling modelo ng seguridad. Kaya kalahati ng trabaho ay pagpili at kalahati ay imbentaryo: piliin ang proteksyong bagay sa gawain, pagkatapos ay ilista ang lahat ng tahimik na aabot sa internet.

Ang palagay ng gabay na ito ay may aprubadong address ang dalawang device sa iisang pribadong network. Huwag maghinuha ng kakayahang maabot mula sa katotohanang pareho silang konektado sa iisang wifi; ang koneksyon, routing at mga tuntunin sa pag-access pa rin ang nagpapasya niyan.

Piliin ang proteksyon ayon sa gawain, hindi ayon sa ugali

Ang sesyon ng terminal o sinusuportahang gawain sa pangangasiwa ng file ay bagay sa SSH, na ang arkitektura ay naghihiwalay ng pagpapatotoo ng server, pagpapatotoo ng user at ng mga channel na dinadala sa loob ng protektadong transport. Wala sa mga tungkuling iyon ang nangangailangan ng komersyal na tagapagbigay ng VPN, at wala sa kanila ang tumitigil sa paggana dahil walang default na ruta patungo sa internet.

Isang karagdagang serbisyong TCP ang maaaring dumaan sa awtorisadong forward ng SSH kapag pinapayagan ng server: panatilihing mahigpit ang pagkakatali ng lokal na tagapakinig at tahasan ang destinasyon, at tandaan na ipinapasa nito ang isang serbisyong iyon sa halip na muling likhain ang isang segment ng Ethernet.

Ang niruruting pag-access sa maraming address o protocol ay ibang pangangailangan, at makapagbibigay nito ang isang VPN na tinatapos nang lokal. Ang kapares sa kasong iyon ay isang maaabot na lokal na gateway, hindi isang dulo sa kung saan sa internet, at kailangan pa rin ng gateway ang mga nilalayong ruta, tuntunin sa pag-forward at pahintulot sa serbisyo. Kung saan ang isang aplikasyon ay marunong nang magsalita ng TLS nang tama, madalas na ang pinakamaliit na sagot na gumagana ay hayaang protektahan nito ang sarili nitong koneksyon.

Imbentaryuhin ang aalis sa LAN

Ihanda ang software, mga pagkakakilanlan ng host at mga kredensyal bago umasa sa isang hiwalay na bench, o gamitin ang proseso ng offline na paghahatid na sinusuportahan ng organisasyon. Ang utos ng pag-download ay hindi planong pag-install para sa makinang hindi kayang maabot ang pinagmulan, at ang matuklasan iyon sa gitna ng outage ay masamang oras para pag-aralan ito.

Gawing sinadya ang pagpapangalan. Gamitin ang nilalayong lokal na serbisyong DNS o dokumentadong kaayusan ng address, dahil ang naka-configure na pampublikong resolver ay hindi gumagawa ng landas patungo sa sarili nito. Ang pagpalit ng address ng socket ay hindi rin katwiran para laktawan ang mga pagsusuri ng pagkakakilanlan ng aplikasyon. Kung ang sagot ay gumagamit lang ng address ang bench, isulat din iyon, para hindi mag-aksaya ng isang oras ang susunod na inhinyero sa isang search domain na hindi kailanman na-configure.

Pagkatapos ay basahin ang modelo ng pagpapatotoo at pagpapatunay para sa mga panlabas na dependency: enrolment, tagapagbigay ng pagkakakilanlan, multi-factor na pag-apruba, pagkuha ng katayuan ng sertipiko, pinagmulan ng oras. Bawat isa ay posibleng harang sa hiwalay na network. Ilista ang mga ito bago ang window ng maintenance, hindi habang nandoon, dahil ang dependency na natuklasan sa maling sandali ay ginagawang isang buong hapon ang limang minutong gawain. Magbigay ng aprubadong maaabot na kaayusan o pumili ng modelong gumagana offline, at huwag kailanman tahimik na patayin ang isang pagsusuri dahil kulang ang serbisyo nito.

Panatilihin ang mga pagsusuri ng pagkakakilanlan sa tamang lugar

Patunayan ang inaasahang host key o sertipiko sa pamamagitan ng proseso ng paghahanda na pinagkakatiwalaan mo, at panatilihing tama ang orasan kung saan binabalido ng protocol ang mga oras ng sertipiko. Ang pagbabahagi ng switch sa isang device ay hindi ginagawang iyon ang device na nilalayon mong abutin, at ang pagpapalagay ng kabaligtaran ay eksaktong pagkakamaling nais ng isang mananakop sa parehong segment na gawin mo.

Ang oras ay karapat-dapat sa sariling linya sa plano. Maraming protocol ang tumatanggi sa mga kredensyal na kung hindi ay balido kapag ang orasan ay lumihis nang sapat, at ang Pi na walang pinagmulan ng oras ng network ay maaaring tahimik na lumihis nang mga buwan bago may magreklamo.

Subukan kapag talagang wala ang uplink

Alisin ang uplink, pagkatapos ay gawin ang eksaktong operasyon ng maintenance na dinisenyo mo: ang sesyon ng terminal, ang kopya ng file, ang na-forward na serbisyo, ang niruruting koneksyon. Kumpirmahin na ang tinanggihang pagkakakilanlan o ipinagbabawal na resource ay tinatanggihan pa rin, dahil ang disenyong nagpapatunay lamang ng masuwerteng landas ay hindi pa nasubukan. Basahin ang mga log habang ginagawa ito, dahil ang kawili-wiling mga pagkabigo ay ang mga nag-iiwan ng bakas nang hindi binabago ang resulta.

Itala ang lokal na dulo, ang mekanismo ng proteksyon at bawat dependency na ginamit ng operasyon. Ang labasan sa internet at ang ligtas na landas para sa lokal na administrasyon ay dalawang magkaibang pangangailangan, at ang paghihiwalay sa kanila ang nagpapahintulot sa pangalawa na mabuhay kapag nawala ang una.