Адміністрування Raspberry Pi в локальній мережі без інтернет-каналу

Два пристрої в приватній локальній мережі можуть обмінюватися захищеним трафіком без жодного зовнішнього каналу. Чого вони не можуть — це створити служби, яких очікує обрана ними модель безпеки. Тому робота ділиться навпіл: вибір захисту й інвентаризація всього, що тихо потягнулося б до інтернету.

У цьому розборі припускається, що обидва пристрої мають схвалені адреси в одній приватній мережі. Не робіть висновку про доступність із того, що обидва підключилися до одного Wi-Fi; підключення, маршрутизація та правила доступу й далі це вирішують.

Обирайте захист за завданням, а не за звичкою

Сеанс термінала або підтримуване завдання адміністрування файлів пасує до SSH, архітектура якого розділяє автентифікацію сервера, автентифікацію користувача й канали, що передаються всередині захищеного транспорту. Жодна з цих ролей не потребує комерційного постачальника VPN, і жодна з них не перестає працювати через відсутність маршруту за замовчуванням до інтернету.

Одна додаткова служба TCP може пройти через дозволене перенаправлення SSH, якщо сервер це дозволяє: тримайте локальний слухач строго прив'язаним, а призначення явним, і пам'ятайте, що це перенаправляє одну службу, а не відтворює сегмент Ethernet.

Маршрутизований доступ до кількох адрес або протоколів — інша вимога, і локально завершений VPN може його забезпечити. Партнером у цьому разі є доступний локальний шлюз, а не кінцева точка десь в інтернеті, і шлюзу все ще потрібні задані маршрути, правила перенаправлення та дозволи на служби. Там, де один застосунок уже правильно говорить TLS, часто найменшою робочою відповіддю буде дозволити йому захищати власне з'єднання.

Складіть опис того, що залишить локальну мережу

Підготуйте програмне забезпечення, ідентифікатори вузлів і облікові дані до того, як покладетеся на ізольований стенд, або використайте підтримуваний організацією процес офлайн-доставки. Команда завантаження — не план встановлення для машини, яка не може дістатися до джерела, і з'ясовувати це під час збою — поганий момент для навчання.

Зробіть найменування усвідомленим. Використовуйте передбачену локальну службу DNS або задокументовану схему адрес, бо налаштований публічний розпізнавач не створює шляху до самого себе. Зміна адреси сокета теж не виправдання, щоб пропускати перевірки автентичності застосунку. Якщо відповідь у тому, що стенд просто використовує адреси, запишіть і це, щоб наступному інженеру не довелося витрачати годину на домен пошуку, який ніколи не налаштовувався.

Далі прочитайте модель автентифікації та перевірки для зовнішніх залежностей: реєстрація, постачальник ідентичності, багатофакторне підтвердження, отримання статусу сертифіката, джерело часу. Кожна з них — потенційне блокування в ізольованій мережі. Перелічіть їх до вікна обслуговування, а не під час нього, бо залежність, виявлена в невдалий момент, перетворює п'ятихвилинне завдання на цілий день. Забезпечте схвалене доступне рішення або оберіть модель, що працює офлайн, і ніколи не вимикайте перевірку мовчки через відсутність її служби.

Тримайте перевірки автентичності там, де їм місце

Перевірте очікуваний ключ вузла або сертифікат через процес підготовки, якому довіряєте, і підтримуйте правильний годинник там, де протокол перевіряє строки сертифіката. Спільний комутатор із пристроєм не робить цей пристрій тим, до якого ви хотіли дістатися, і припущення про протилежне — саме та помилка, яку зловмисник у тому ж сегменті хотів би, щоб ви зробили.

Час заслуговує на окремий рядок у плані. Багато протоколів відкидають інакше чинні облікові дані, коли годинник зійшов достатньо далеко, а Pi без мережевого джерела часу може місяцями тихо зсуватися, перш ніж щось запротестує.

Перевірте за справді відсутнього зовнішнього каналу

Від'єднайте зовнішній канал, потім виконайте рівно ту операцію обслуговування, для якої проєктували: сеанс термінала, копіювання файлу, перенаправлену службу, маршрутизоване з'єднання. Підтвердьте, що відхилений ідентифікатор або заборонений ресурс і далі відхиляються, бо проєкт, який доводить лише щасливий шлях, узагалі не перевірений. Читайте журнали під час цього, оскільки цікаві збої — ті, що залишають слід, не змінюючи результату.

Запишіть локальну кінцеву точку, механізм захисту й кожну залежність, яку використала операція. Вихід в інтернет і безпечний шлях для локального адміністрування — дві різні вимоги, і їхнє розділення дозволяє другому пережити втрату першого.