İnternet bağlantısı olmayan LAN'da Raspberry Pi yönetimi

Özel bir LAN'daki iki cihaz, hiçbir dış bağlantı olmadan korumalı trafik alışverişi yapabilir. Yapamadıkları şey, seçtikleri güvenlik modelinin beklediği hizmetleri yoktan var etmektir. Bu yüzden iş yarı seçim, yarı envanterdir: göreve uygun korumayı seçin, sonra sessizce internete uzanan her şeyi listeleyin.

Bu anlatının varsayımı, her iki cihazın da aynı özel ağda onaylanmış adreslere sahip olmasıdır. İkisinin de aynı wifi'ye katıldığından erişilebilirlik çıkarmayın; bağlantı, yönlendirme ve erişim kuralları buna hâlâ karar verir.

Korumayı göreve göre seçin, alışkanlığa göre değil

Bir terminal oturumu veya desteklenen bir dosya yönetimi görevi SSH'a uygundur; mimarisi sunucu kimlik doğrulamasını, kullanıcı kimlik doğrulamasını ve korumalı taşıma içinde taşınan kanalları ayırır. Bu rollerin hiçbiri ticari bir VPN sağlayıcısı gerektirmez ve hiçbiri internete varsayılan bir yol olmadığı için çalışmayı bırakmaz.

Bir ek TCP hizmeti, sunucu izin verdiğinde yetkili bir SSH yönlendirmesinden geçebilir: yerel dinleyiciyi sıkı bağlı, hedefi açık tutun ve bunun tek bir hizmeti yönlendirdiğini, bir Ethernet segmentini yeniden üretmediğini unutmayın.

Birden çok adrese veya protokole yönlendirilmiş erişim başka bir gereksinimdir ve yerelde sonlandırılan bir VPN bunu sağlayabilir. Karşı taraf bu durumda erişilebilir bir yerel ağ geçididir, internette bir yerdeki uç nokta değildir ve ağ geçidi hâlâ amaçlanan rotalara, yönlendirme kurallarına ve hizmet izinlerine ihtiyaç duyar. Tek bir uygulama zaten TLS'i düzgün konuşuyorsa, onun kendi bağlantısını korumasına izin vermek çoğu zaman işleyen en küçük yanıttır.

LAN'dan çıkacak olanların envanterini çıkarın

İzole bir tezgâha güvenmeden önce yazılımı, ana makine kimliklerini ve kimlik bilgilerini yerleştirin veya kuruluşun desteklediği çevrimdışı teslim sürecini kullanın. İndirme komutu, kaynağa ulaşamayan bir makine için kurulum planı değildir ve bunu bir kesinti sırasında keşfetmek öğrenmek için kötü bir zamandır.

Adlandırmayı bilinçli yapın. Amaçlanan yerel DNS hizmetini veya belgelenmiş bir adres düzenini kullanın, çünkü yapılandırılmış bir genel çözümleyici kendine yol oluşturmaz. Yuva adresini değiştirmek de uygulamanın kimlik denetimlerini atlamak için bir gerekçe değildir. Yanıt, tezgâhın yalnızca adresleri kullandığıysa, bunu da yazın, böylece sonraki mühendis hiç yapılandırılmamış bir arama etki alanında bir saat harcamasın.

Ardından dış bağımlılıklar için kimlik doğrulama ve doğrulama modelini okuyun: kayıt, kimlik sağlayıcı, çok faktörlü onay, sertifika durumu alma, zaman kaynağı. Her biri izole bir ağda olası bir engeldir. Bunları bakım penceresinden önce listeleyin, pencerede değil, çünkü yanlış anda keşfedilen bir bağımlılık beş dakikalık bir görevi bütün bir öğleden sonraya çevirir. Onaylanmış erişilebilir bir çözüm sağlayın veya çevrimdışı çalışan bir model seçin ve hizmeti eksik diye bir denetimi asla sessizce devre dışı bırakmayın.

Kimlik denetimlerini ait oldukları yerde tutun

Beklenen ana makine anahtarını veya sertifikayı güvendiğiniz hazırlık süreciyle doğrulayın ve protokolün sertifika zamanlarını doğruladığı yerde saati doğru tutun. Bir cihazla anahtar paylaşmak o cihazı ulaşmak istediğiniz cihaz yapmaz ve tersini varsaymak, aynı segmentteki bir saldırganın yapmanızı isteyeceği tam olarak o hatadır.

Zaman planda kendi satırını hak eder. Birçok protokol saat yeterince kaydığında başka türlü geçerli kimlik bilgilerini reddeder ve ağ saat kaynağı olmayan bir Pi, bir şey şikâyet edene kadar aylarca sessizce kayabilir.

Dış bağlantı gerçekten yokken test edin

Dış bağlantıyı çekin, sonra tasarladığınız tam bakım işlemini gerçekleştirin: terminal oturumu, dosya kopyası, yönlendirilmiş hizmet, yönlendirilmiş bağlantı. Reddedilen bir kimliğin veya yasaklanmış bir kaynağın hâlâ reddedildiğini doğrulayın, çünkü yalnızca mutlu yolu kanıtlayan bir tasarım hiç test edilmemiştir. Bunu yaparken günlükleri okuyun, çünkü ilginç arızalar sonucu değiştirmeden iz bırakanlardır.

Yerel uç noktayı, koruma mekanizmasını ve işlemin kullandığı her bağımlılığı kaydedin. İnternete çıkış ve yerel yönetim için güvenli bir yol iki farklı gereksinimdir ve bunları ayrı tutmak, ikincisinin birincisinin kaybına dayanmasını sağlar.