VPN εργασίας σε Raspberry Pi: ρωτήστε πρώτα αυτά

Τέσσερις απαντήσεις από τον εργοδότη καθορίζουν αν ένα Pi μπορεί να συνδεθεί στο VPN εργασίας: ποιο πρωτόκολλο πύλης μιλά, ποια λειτουργικά συστήματα και αρχιτεκτονικές υποστηρίζει, πώς πρέπει να γίνεται ο έλεγχος ταυτότητας και αν επιτρέπεται πελάτης διαφορετικός από τον επίσημο. Ένα URL πύλης και η λέξη Linux δεν λύνουν κανένα από αυτά. Ρωτήστε πριν κατεβάσετε οτιδήποτε, γιατί οι απαντήσεις αλλάζουν ποιο πακέτο θα εγκαταστήσετε και αν μια εγκατάσταση χωρίς οθόνη είναι καθόλου εφικτή.

Γράψτε τις τέσσερις απαντήσεις. Το υπόλοιπο κείμενο είναι τι αλλάζει καθεμία.

Το πρωτόκολλο της πύλης καθορίζει τον πελάτη

Η πύλη μιλά ένα ή περισσότερα πρωτόκολλα και ο πελάτης πρέπει να υλοποιεί αυτό που εκτελεί πραγματικά ο οργανισμός σας. Το OpenConnect είναι μια ανεξάρτητη υλοποίηση που ξεκίνησε με συμβατότητα Cisco AnyConnect και τώρα καλύπτει αρκετές άλλες επιχειρησιακές πύλες· δεν είναι ο επώνυμος πελάτης του κατασκευαστή και η συμβατότητα πρωτοκόλλου δεν εγγυάται υποστήριξη για κάθε λειτουργία πύλης, έλεγχο κατάστασης ή πολιτική συσκευής. Επιβεβαιώστε το πρωτόκολλο με την ομάδα δικτύου αντί να το συμπεράνετε από το URL της πύλης. Στη συνέχεια επιβεβαιώστε ότι ο εργοδότης δέχεται αυτόν τον πελάτη για αυτή την ανάπτυξη.

Τα στοιχεία συμβατότητας πρέπει να προέρχονται από την τεκμηρίωση του εργοδότη ή από συνάδελφο που το έκανε στο ίδιο μοντέλο, όχι από την ύπαρξη πακέτου σε αποθετήριο.

Η αρχιτεκτονική δεν είναι λεπτομέρεια

Καταγράψτε την έκδοση του λειτουργικού συστήματος και την αρχιτεκτονική χώρου χρήστη του Pi, την έκδοση πελάτη που σκοπεύετε να χρησιμοποιήσετε και από πού προέρχεται αυτό το πακέτο. Ένας εγκαταστάτης x86 δεν γίνεται κατάλληλος για άλλη αρχιτεκτονική επειδή άλλαξε το όνομα αρχείου του, και ένας πελάτης κατασκευαστή που παρέχει μόνο εκδόσεις x86 δεν μπορεί καθόλου να εκτελεστεί στο Pi. Αυτό το ένα γεγονός μπορεί να λύσει όλο το ζήτημα πριν καν συζητηθεί ο έλεγχος ταυτότητας. Ελέγξτε τη συντήρηση της πηγής του πακέτου αντί να εγκαταστήσετε ένα τυχαίο δυαδικό από νήμα φόρουμ.

Ένας χώρος χρήστη 64 bit σε πυρήνα 64 bit είναι η απλή περίπτωση· ένας χώρος χρήστη 32 bit σε πλακέτα 64 bit είναι εκεί όπου οι άνθρωποι εγκαθιστούν το λάθος πακέτο. Τα dpkg --print-architecture και uname -m απαντούν και στα δύο μισά σε μία γραμμή το καθένα.

Ο έλεγχος ταυτότητας καθορίζει τη ροή εργασίας

Οι κωδικοί πρόσβασης, το MFA και η σύνδεση μέσω προγράμματος περιήγησης επιβάλλουν το καθένα τη δική του ροή εργασίας. Ένα πιστοποιητικό σε υλικό token μπορεί να απαιτεί πρόγραμμα οδήγησης που το Pi δεν έχει, ενώ μια ροή SSO μπορεί να ανοίξει παράθυρο περιήγησης που μια συνεδρία χωρίς οθόνη δεν μπορεί να δείξει. Ορισμένες πύλες προσφέρουν διαδρομή κωδικού συσκευής ή χειροκίνητης αντιγραφής ακριβώς για αυτή την περίπτωση, και άλλες όχι. Ρωτήστε ποια μέθοδο υποστηρίζει ο οργανισμός για κεντρικό υπολογιστή Linux χωρίς οθόνη και μετά δοκιμάστε την πριν βασιστείτε σε αυτή.

Η ενσωμάτωση στο frontend είναι ξεχωριστή επιλογή από τον έλεγχο ταυτότητας. Ένα πρόσθετο του NetworkManager μπορεί να ρυθμίσει μια σύνδεση και να αποθηκεύσει τα μυστικά της, αλλά δεν μπορεί να κάνει συμβατή μια μη υποστηριζόμενη μέθοδο ελέγχου ταυτότητας. Κρατήστε αυτά τα δύο ερωτήματα χωριστά.

Διατηρήστε τα όρια του εργοδότη

Αν ο οργανισμός απαιτεί τον επίσημο πελάτη του, μια διαχειριζόμενη συσκευή ή μια υποστηριζόμενη διανομή, ακολουθήστε αυτή την απαίτηση ή ζητήστε εγκεκριμένη εναλλακτική. Το να απενεργοποιείτε ελέγχους πιστοποιητικών, να μιμείστε αποτελέσματα κατάστασης ή να κλείνετε ελέγχους τελικών σημείων ώστε ένας άλλος πελάτης να φαίνεται αποδεκτός μετατρέπει ένα πρόβλημα συμβατότητας σε παραβίαση πολιτικής. Κρατήστε κωδικούς, cookies συνεδρίας και ιδιωτικά κλειδιά έξω από το ιστορικό κελύφους και τα αρχεία συνομιλίας. Μια λειτουργική πρόκληση-απόκριση δεν είναι άδεια δημοσίευσης του υλικού της συνεδρίας.

Μετά από εγκεκριμένη εγγραφή, επιβεβαιώστε το ιδιωτικό DNS, τους προβλεπόμενους πόρους, έναν πόρο που απορρίφθηκε και την επανασύνδεση, όλα από το ίδιο το Pi. Μια σήραγγα με συνδεδεμένη συνεδρία μπορεί ακόμη να δρομολογεί λάθος ή να στερείται εξουσιοδότησης.

Το παραδοτέο είναι μια συμφωνία που μπορεί να υποστηριχθεί, με ονομαστικό υπεύθυνο: ποιος πελάτης, ποια έκδοση, ποια διαδρομή εγγραφής. Αυτό είναι καλύτερο από το να εγκαταστήσετε τον πελάτη που βρίσκεται κοντά στον κατασκευαστή και να ελπίζετε ότι οι υπόλοιπες απαιτήσεις θα αποδειχθούν προαιρετικές.