Работен VPN на Raspberry Pi: задайте тези въпроси първо

Четири отговора от работодателя решават дали Pi може да се присъедини към работния VPN: кой протокол на шлюза говори, кои операционни системи и архитектури поддържа, как трябва да се извършва удостоверяването и дали е разрешен клиент, различен от официалния. URL на портал и думата Linux не решават нито един от тях. Питайте преди да изтеглите каквото и да е, защото отговорите променят кой пакет инсталирате и дали настройката без графичен интерфейс е изобщо жизнеспособна.

Запишете четирите отговора. Останалото в тази статия е какво променя всеки от тях.

Протоколът на шлюза определя клиента

Шлюзът говори един или повече протоколи и клиентът трябва да реализира този, който вашата организация действително използва. OpenConnect е независима реализация, започнала със съвместимост с Cisco AnyConnect и сега покриваща няколко други корпоративни шлюза; тя не е фирменият клиент на доставчика и съвместимостта на протокола не гарантира поддръжка на всяка функция на шлюза, проверка на състоянието или политика за устройства. Потвърдете протокола с мрежовия екип, вместо да го извеждате от URL на портала. След това потвърдете, че работодателят приема този клиент за това внедряване.

Доказателствата за съвместимост трябва да идват от документацията на работодателя или от колега, който е направил това на същия модел, а не от наличието на пакет в хранилище.

Архитектурата не е подробност

Запишете версията на операционната система на Pi и архитектурата на потребителското пространство, версията на клиента, който смятате да използвате, и откъде идва този пакет. Инсталатор за x86 не става подходящ за друга архитектура, защото името на файла му се е променило, а клиент на доставчика, който предлага само x86 сборки, изобщо не може да работи на Pi. Този един факт може да реши целия въпрос още преди удостоверяването да бъде обсъдено. Проверете поддръжката на източника на пакета, вместо да инсталирате случайно двоично файлово от форумна тема.

64-битово потребителско пространство на 64-битово ядро е простият случай; 32-битово потребителско пространство на 64-битова платка е мястото, където хората инсталират грешния пакет. dpkg --print-architecture и uname -m отговарят на двете половини с по един ред.

Удостоверяването определя работния процес

Паролите, MFA и входът през браузър налагат всеки свой работен процес. Сертификат на хардуерен токен може да изисква драйвер, който Pi няма, докато SSO потокът може да отвори прозорец на браузъра, който сесия без графичен интерфейс не може да покаже. Някои шлюзове предлагат път с код на устройството или ръчно копиране точно за такъв случай, а други не. Питайте кой метод организацията поддържа за Linux хост без графичен интерфейс, след което го тествайте, преди да разчитате на него.

Интеграцията на интерфейса е отделен избор от удостоверяването. Плъгин на NetworkManager може да настрои връзка и да съхрани тайните ѝ, но не може да направи неподдържан метод за удостоверяване съвместим. Дръжте тези два въпроса отделно.

Пазете границата на работодателя

Ако организацията изисква своя официален клиент, управлявано устройство или поддържана дистрибуция, следвайте това изискване или поискайте одобрена алтернатива. Изключването на проверки на сертификати, имитирането на резултати от състоянието или изключването на контроли на крайни точки, за да изглежда друг клиент приет, превръща проблем със съвместимостта в нарушение на политиката. Дръжте паролите, бисквитките за сесии и частните ключове извън историята на командния ред и записите от чата. Работещо предизвикателство-отговор не е разрешение да публикувате материалите от сесията.

След одобрена регистрация потвърдете частния DNS, предвидените ресурси, отказан ресурс и повторното свързване — всичко от самия Pi. Влязъл тунел все още може да маршрутизира неправилно или да няма разрешение.

Резултатът е поддържано споразумение с посочен собственик: кой клиент, коя версия, кой път на регистрация. Това е по-добре от инсталиране на близкия до доставчика клиент и надежда, че останалите изисквания ще се окажат незадължителни.