Töö-VPN Raspberry Pi peal: esitage kõigepealt need küsimused

Neli tööandja vastust otsustavad, kas Pi saab töö-VPN-iga liituda: millist lüüsiprotokolli see räägib, milliseid operatsioonisüsteeme ja arhitektuure toetab, kuidas autentimine peab toimuma ja kas on lubatud muu klient kui ametlik. Portaali URL ja sõna Linux ei otsusta neist ühtegi. Küsige enne, kui midagi alla laadite, sest vastused muudavad, millise paketi installite ja kas peaklita seadistus on üldse teostatav.

Kirjutage need neli vastust üles. Ülejäänu sellest tekstist on see, mida iga vastus muudab.

Lüüsiprotokoll otsustab kliendi

Lüüs räägib ühte või mitut protokolli ja klient peab rakendama seda, mida teie organisatsioon tegelikult kasutab. OpenConnect on sõltumatu rakendus, mis algas Cisco AnyConnecti ühilduvusega ja katab nüüd mitut teist ettevõtte lüüsi; see ei ole tootja brändinguga klient ja protokolli ühilduvus ei taga iga lüüsi funktsiooni, olekukontrolli ega seadme poliitika tuge. Kinnitage protokoll võrgumeeskonnaga, selle asemel et tuletada seda portaali URL-ist. Seejärel kinnitage, et tööandja aktsepteerib seda klienti selle juurutuse jaoks.

Ühilduvuse tõendid peavad tulema tööandja dokumentatsioonist või kolleegilt, kes on seda sama mudeliga teinud, mitte sellest, et pakett on hoidlas olemas.

Arhitektuur ei ole detail

Märkige üles Pi OS-i väljalase ja kasutajaruumi arhitektuur, kliendi versioon, mida kavatsete kasutada, ja kust see pakett pärineb. x86 paigaldaja ei muutu teise arhitektuuri jaoks sobivaks sellepärast, et failinimi muutus, ja tootja klient, mis tarnib ainult x86 ehitisi, ei saa Pi peal üldse töötada. See üks fakt võib kogu küsimuse lahendada enne, kui autentimist üldse arutatakse. Kontrollige paketi allika hooldust, selle asemel et installida foorumilõimest juhuslik binaarfail.

64-bitine kasutajaruum 64-bitises tuumas on lihtne juhtum; 32-bitine kasutajaruum 64-bitises plaadis on koht, kus inimesed paigaldavad vale paketi. dpkg --print-architecture ja uname -m vastavad mõlemale poolele ühe reaga.

Autentimine otsustab töövoo

Paroolid, MFA ja brauseri kaudu sisselogimine kehtestavad igaüks oma töövoo. Riistvaralises tokenis hoitav sertifikaat võib vajada draiverit, mida Pi-l pole, samal ajal kui SSO voog võib avada brauseriakna, mida peaklita seanss ei saa näidata. Mõned lüüsid pakuvad just selleks juhtumiks seadme koodi või käsitsi kopeerimise teed, mõned mitte. Küsige, millist meetodit organisatsioon peaklita Linuxi hosti jaoks toetab, ja testige seda enne, kui sellele loote.

Frontendi integratsioon on autentimisest eraldi valik. NetworkManageri pistikprogramm saab ühenduse korraldada ja selle saladused salvestada, kuid ei saa muuta toetamata autentimismeetodit ühilduvaks. Hoidke need kaks küsimust lahus.

Hoidke tööandja piir puutumatuna

Kui organisatsioon nõuab oma ametlikku klienti, hallatavat seadet või toetatud distributsiooni, järgige seda nõuet või taotlege kinnitatud alternatiivi. Sertifikaadikontrollide väljalülitamine, olekutulemuste jäljendamine või lõpp-punkti juhtelementide väljalülitamine, et teine klient näiks aktsepteerituna, muudab ühilduvusprobleemi poliitikarikkeks. Hoidke paroolid, seansi küpsised ja privaatvõtmed shelli ajaloost ja vestlusest väljas. Toimiv väljakutse-vastus ei ole luba seansi materjali avaldada.

Pärast kinnitatud registreerimist kontrollige privaatset DNS-i, kavandatud ressursse, keelatud ressurssi ja taasühendumist, kõike Pi enda pealt. Sisselogitud tunnel võib ikkagi valesti marsruutida või jääda autoriseerimisest ilma.

Tulemus on toetatav kokkulepe nimetatud omanikuga: milline klient, milline versioon, milline registreerimistee. See on parem kui paigaldada tootjale lähedane klient ja loota, et ülejäänud nõuded osutuvad valikulisteks.