VPN de feina en una Raspberry Pi: feu aquestes preguntes primer

Quatre respostes de l’empresari decideixen si una Pi pot unir-se a la VPN de feina: quin protocol de passarel·la parla, quins sistemes operatius i arquitectures admet, com s’ha de fer l’autenticació i si es permet un client diferent de l’oficial. Una URL de portal i la paraula Linux no resolen cap d’aquestes qüestions. Pregunteu abans de baixar res, perquè les respostes canvien quin paquet instal·leu i si una configuració sense pantalla és viable de tot.

Anoteu les quatre respostes. La resta d’aquest article és què canvia cadascuna.

El protocol de passarel·la decideix el client

La passarel·la parla un o més protocols, i el client ha d’implementar el que la vostra organització executa realment. OpenConnect és una implementació independent que va començar amb la compatibilitat amb Cisco AnyConnect i ara cobreix diverses altres passarel·les empresarials; no és el client de marca del fabricant, i la compatibilitat de protocol no garanteix el suport de cada funció de la passarel·la, comprovació de postura o política de dispositiu. Confirmeu el protocol amb l’equip de xarxa en lloc d’inferir-lo de l’URL del portal. Després confirmeu que l’empresari accepta aquest client per a aquest desplegament.

Les proves de compatibilitat han de venir de la documentació de l’empresari o d’un company que ho hagi fet al mateix model, no de l’existència d’un paquet en un dipòsit.

L’arquitectura no és un detall

Anoteu la versió del sistema operatiu i l’arquitectura d’espai d’usuari de la Pi, la versió del client que penseu utilitzar i d’on prové aquest paquet. Un instal·lador x86 no esdevé adequat per a una altra arquitectura perquè hagi canviat el nom del fitxer, i un client del fabricant que només distribueix compilacions x86 no pot funcionar de cap manera a la Pi. Aquest sol fet pot resoldre tota la qüestió abans que es discuteixi l’autenticació. Reviseu el manteniment de la font del paquet en lloc d’instal·lar un binari perdut d’un fil de fòrum.

Un espai d’usuari de 64 bits sobre un nucli de 64 bits és el cas senzill; un espai d’usuari de 32 bits en una placa de 64 bits és on la gent instal·la el paquet equivocat. dpkg --print-architecture i uname -m responen a les dues meitats en una línia cadascun.

L’autenticació decideix el flux de treball

Les contrasenyes, l’MFA i l’inici de sessió mitjançant el navegador imposen cadascun un flux de treball propi. Un certificat en un testimoni de maquinari pot necessitar un controlador que la Pi no té, mentre que un flux d’SSO pot obrir una finestra de navegador que una sessió sense pantalla no pot mostrar. Algunes passarel·les ofereixen un camí de codi de dispositiu o de còpia manual justament per a aquest cas, i d’altres no. Pregunteu quin mètode admet l’organització per a un amfitrió Linux sense pantalla, i després proveu-lo abans de dependre’n.

La integració de la interfície és una tria separada de l’autenticació. Un connector de NetworkManager pot preparar una connexió i desar-ne els secrets, però no pot fer compatible un mètode d’autenticació no admès. Manteniu aquestes dues qüestions separades.

Manteniu intacta la frontera de l’empresari

Si l’organització exigeix el seu client oficial, un dispositiu gestionat o una distribució admesa, seguiu aquest requisit o demaneu una alternativa aprovada. Desactivar les comprovacions de certificats, imitar resultats de postura o desactivar controls de punt final perquè un altre client sembli acceptat converteix un problema de compatibilitat en una violació de política. Manteniu les contrasenyes, les galetes de sessió i les claus privades fora de l’historial de l’intèrpret i de les transcripcions de xat. Un desafiament-resposta que funciona no és permís per publicar el material de la sessió.

Després d’una inscripció aprovada, confirmeu el DNS privat, els recursos previstos, un recurs denegat i la reconnexió, tot des de la mateixa Pi. Un túnel amb sessió iniciada encara pot encaminar malament o no tenir autorització.

El lliurable és un acord sostenible amb un propietari nomenat: quin client, quina versió, quin camí d’inscripció. Això supera instal·lar el client adjacent al fabricant i esperar que la resta de requisits resultin opcionals.