Internet ulanishisiz LAN da Raspberry Pi boshqaruvi

Xususiy LAN dagi ikkita qurilma hech qanday yuqori ulanishsiz himoyalangan trafik almashishi mumkin. Ular qila olmaydigan narsa — tanlagan xavfsizlik modeli kutayotgan xizmatlarni yo'qdan yaratishdir. Shuning uchun ish yarmi tanlov, yarmi ro'yxat: vazifaga mos himoyani tanlang, so'ng internetga jimgina cho'ziladigan hamma narsani ro'yxatga oling.

Ushbu qo'llanmaning taxmini shuki, ikkala qurilma ham bir xil xususiy tarmoqda tasdiqlangan manzillarga ega. Ikkalasi bir xil wifi ga ulanganligidan yetib borish imkoniyatini xulosa qilmang; ulanish, marshrutlash va kirish qoidalari buni hanuz hal qiladi.

Himoyani vazifaga qarab tanlang, odatga qarab emas

Terminal seansi yoki qo'llab-quvvatlanadigan fayl boshqaruv vazifasi SSH ga mos keladi, uning arxitekturasi server autentifikatsiyasi, foydalanuvchi autentifikatsiyasi va himoyalangan transport ichida olib o'tiladigan kanallarni ajratadi. Bu rollarning hech biri tijoriy VPN provayderini talab qilmaydi va hech biri internetga standart marshrut yo'qligi sababli ishlashdan to'xtamaydi.

Bitta qo'shimcha TCP xizmati server ruxsat berganida vakolatli SSH yo'naltirish orqali o'tishi mumkin: mahalliy tinglovchini qattiq bog'lab, manzilni aniq tuting va bu bitta xizmatni yo'naltirishini, Ethernet segmentini qayta yaratmasligini yodda tuting.

Bir nechta manzil yoki protokolga marshrutlangan kirish boshqa talabdir va mahalliy yakunlangan VPN uni ta'minlashi mumkin. Bu holatda hamkor yetib boriladigan mahalliy shlyuz, internetning biror joyidagi oxirgi nuqta emas, va shlyuz hali ham mo'ljallangan marshrutlar, yo'naltirish qoidalari va xizmat ruxsatlariga muhtoj. Bitta ilova allaqachon TLS ni to'g'ri gapirsa, unga o'z ulanishini himoya qilishga ruxsat berish ko'pincha ishlaydigan eng kichik javobdir.

LAN ni nima tark etishini ro'yxatga oling

Izolyatsiya qilingan stendga tayanishdan oldin dasturiy ta'minot, xost identifikatorlari va hisob ma'lumotlarini tayyorlang yoki tashkilot qo'llab-quvvatlaydigan oflayn yetkazib berish jarayonidan foydalaning. Yuklab olish buyrug'i manbaga yeta olmaydigan mashina uchun o'rnatish rejasi emas va buni uzilish paytida bilish o'rganish uchun yomon vaqt.

Nomlashni ongli qiling. Mo'ljallangan mahalliy DNS xizmatidan yoki hujjatlashtirilgan manzillar tartibidan foydalaning, chunki sozlangan ommaviy rezolver o'ziga yo'l yaratmaydi. Soket manzilini o'zgartirish ham ilovaning identifikatsiya tekshiruvlarini chetlab o'tish uchun asos emas. Javob stend shunchaki manzillardan foydalanadi bo'lsa, buni ham yozib qo'ying, keyingi muhandis hech qachon sozlanmagan qidiruv domeniga bir soat sarflamasligi uchun.

So'ng tashqi bog'liqliklar uchun autentifikatsiya va tekshirish modelini o'qing: ro'yxatdan o'tish, identifikatsiya provayderi, ko'p faktorli tasdiqlash, sertifikat holatini olish, vaqt manbai. Ularning har biri izolyatsiya qilingan tarmoqda mumkin bo'lgan to'siq. Ularni texnik xizmat oynasidan oldin ro'yxatga oling, uning davomida emas, chunki noto'g'ri paytda aniqlangan bog'liqlik besh daqiqalik ishni butun tushlikdan keyinga aylantiradi. Tasdiqlangan yetib boriladigan tartibni ta'minlang yoki oflayn ishlaydigan modelni tanlang va xizmati yo'qligi sababli hech qachon tekshiruvni jimgina o'chirmang.

Identifikatsiya tekshiruvlarini o'z joyida saqlang

Kutilgan xost kalitini yoki sertifikatni ishonadigan tayyorlash jarayoni orqali tekshiring va protokol sertifikat vaqtlarini tasdiqlaydigan joyda soatni to'g'ri tuting. Qurilma bilan kommutatorni bo'lishish o'sha qurilmani siz yetib bormoqchi bo'lgan qurilma qilmaydi va buning aksini o'ylash xuddi shu segmentdagi hujumchi sizdan ko'rishni xohlaydigan xatodir.

Vaqt rejada o'z satriga loyiq. Ko'p protokollar soat yetarlicha chetga chiqqanda boshqacha to'g'ri hisob ma'lumotlarini rad etadi va tarmoq vaqt manbaisiz Pi oylab jimgina chetga chiqishi mumkin, biror narsa shikoyat qilishidan oldin.

Yuqori ulanish haqiqatan yo'q bo'lganda sinang

Yuqori ulanishni uzing, so'ng mo'ljallagan aniq texnik xizmat amalini bajaring: terminal seansi, fayl nusxasi, yo'naltirilgan xizmat, marshrutlangan ulanish. Rad etilgan identifikatsiya yoki taqiqlangan resurs hali ham rad etilishini tasdiqlang, chunki faqat baxtli yo'lni isbotlaydigan dizayn umuman sinovdan o'tkazilmagan. Buni qilayotganda jurnallarni o'qing, chunki qiziqarli nosozliklar natijani o'zgartirmasdan iz qoldiradiganlaridir.

Mahalliy oxirgi nuqtani, himoya mexanizmini va amal ishlatgan har bir bog'liqlikni yozib oling. Internetga chiqish va mahalliy boshqaruv uchun xavfsiz yo'l ikki xil talabdir va ularni ajratib turish ikkinchisiga birinchisini yo'qotganda omon qolish imkonini beradi.