VPN العمل على Raspberry Pi: اطرح هذه الأسئلة قبل البدء

أربع إجابات من صاحب العمل تحدد ما إذا كان بإمكان Pi الانضمام إلى VPN العمل: أي بروتوكول بوابة يتحدث، وأي أنظمة تشغيل وبنيات يدعم، وكيف يجب أن تتم المصادقة، وما إذا كان يُسمح بعميل غير العميل الرسمي. عنوان URL لبوابة وكلمة Linux لا يحسمان أيًا منها. اسأل قبل تنزيل أي شيء، لأن الإجابات تغيّر الحزمة التي تثبتها وما إذا كان إعداد بلا واجهة رسومية قابلًا للتنفيذ أصلًا.

دوّن الإجابات الأربع. وما تبقى من هذا المقال هو ما يغيّره كل منها.

بروتوكول البوابة يحدد العميل

تتحدث البوابة بروتوكولًا واحدًا أو أكثر، وعلى العميل تنفيذ البروتوكول الذي تعمل به مؤسستك فعليًا. OpenConnect تنفيذ مستقل بدأ بتوافق Cisco AnyConnect ويغطي الآن عدة بوابات مؤسسية أخرى؛ وهو ليس عميل البائع ذا العلامة التجارية، ولا يضمن توافق البروتوكول دعم كل ميزة من ميزات البوابة أو فحص الوضع أو سياسة الجهاز. أكّد البروتوكول مع فريق الشبكة بدلًا من استنتاجه من عنوان URL الخاص بالبوابة. ثم أكّد أن صاحب العمل يقبل هذا العميل لهذا النشر.

يجب أن تأتي أدلة التوافق من وثائق صاحب العمل أو من زميل طبّقه على الطراز نفسه، لا من وجود حزمة في مستودع.

البنية ليست تفصيلًا

سجّل إصدار نظام التشغيل وبنية مساحة المستخدم في Pi، وإصدار العميل الذي تنوي استخدامه، ومصدر تلك الحزمة. مثبّت x86 لا يصبح مناسبًا لبنية أخرى لأن اسم ملفه تغيّر، وهناك عميل من البائع لا يوفر سوى بنيات x86 ولا يمكنه العمل على Pi إطلاقًا. هذه الحقيقة الواحدة قد تحسم المسألة كلها قبل أن تُطرح المصادقة أصلًا. افحص صيانة مصدر الحزمة بدلًا من تثبيت ملف ثنائي عابر من منتدى.

مساحة مستخدم 64 بت على نواة 64 بت هي الحالة البسيطة؛ أما مساحة مستخدم 32 بت على لوحة 64 بت فهي حيث يثبّت الناس الحزمة الخاطئة. dpkg --print-architecture و uname -m يجيبان عن الشطرين في سطر واحد لكل منهما.

المصادقة تحدد سير العمل

كلمات المرور وMFA وتسجيل الدخول عبر المتصفح يفرض كل منها سير عمل خاصًا به. قد تحتاج شهادة على رمز أجهزة إلى برنامج تشغيل لا يملكه Pi، بينما قد يفتح مسار SSO نافذة متصفح لا تستطيع جلسة بلا واجهة إظهارها. بعض البوابات توفر مسار رمز الجهاز أو النسخ اليدوي لهذه الحالة تحديدًا، وبعضها لا يوفر ذلك. اسأل عن الطريقة التي تدعمها المؤسسة لمضيف Linux بلا واجهة، ثم اختبرها قبل الاعتماد عليها.

تكامل الواجهة الأمامية خيار منفصل عن المصادقة. يمكن لإضافة NetworkManager ترتيب اتصال وتخزين أسراره، لكنها لا تستطيع جعل طريقة مصادقة غير مدعومة متوافقة. أبقِ هذين السؤالين منفصلين.

حافظ على حدود صاحب العمل

إذا كانت المؤسسة تشترط عميلها الرسمي أو جهازًا مُدارًا أو توزيعة مدعومة، فاتبع هذا الشرط أو اطلب بديلًا معتمدًا. تعطيل فحوص الشهادات أو تقليد نتائج الوضع أو إيقاف ضوابط الأجهزة الطرفية لتبدو نسخة عميل أخرى مقبولة يحوّل مشكلة توافق إلى انتهاك سياسة. أبقِ كلمات المرور وملفات تعريف ارتباط الجلسة والمفاتيح الخاصة بعيدًا عن سجل الصدفة ونصوص الدردشة. وجود تحدي-استجابة يعمل ليس إذنًا بنشر مواد الجلسة.

بعد تسجيل مُعتمد، تحقق من DNS الخاص والموارد المقصودة ومورد مرفوض وإعادة الاتصال، كل ذلك من Pi نفسه. قد يظل نفق مسجّل الدخول يوجه بشكل خاطئ أو يفتقر إلى تصريح.

المُخرَج هو اتفاق قابل للدعم بمالك محدد بالاسم: أي عميل، وأي إصدار، وأي مسار تسجيل. هذا أفضل من تثبيت العميل القريب من البائع والتمني بأن تكون المتطلبات المتبقية اختيارية.