Työ-VPN Raspberry Pi:ssä: kysy nämä kysymykset ensin

Neljä työnantajan vastausta ratkaisevat, voiko Pi liittyä työ-VPN:ään: mitä yhdyskäytäväprotokollaa se puhuu, mitä käyttöjärjestelmiä ja arkkitehtuureja se tukee, miten todennus on tehtävä ja sallitaanko muu kuin virallinen asiakasohjelma. Portaalin URL ja sana Linux eivät ratkaise yhtäkään niistä. Kysy ennen kuin lataat mitään, sillä vastaukset muuttavat sitä, minkä paketin asennat ja onko näytötön asennus ylipäätään mahdollinen.

Kirjoita neljä vastausta muistiin. Loput tästä tekstistä on se, mitä kukin niistä muuttaa.

Yhdyskäytäväprotokolla ratkaisee asiakasohjelman

Yhdyskäytävä puhuu yhtä tai useampaa protokollaa, ja asiakasohjelman on toteutettava se, jota organisaatiosi todella käyttää. OpenConnect on riippumaton toteutus, joka alkoi Cisco AnyConnect -yhteensopivuudesta ja kattaa nyt useita muita yritysyhdyskäytäviä; se ei ole toimittajan brändätty asiakasohjelma, eikä protokollayhteensopivuus takaa tukea jokaiselle yhdyskäytävän ominaisuudelle, tilantarkistukselle tai laitekäytännölle. Vahvista protokolla verkkotiimin kanssa sen sijaan, että päättelet sen portaalin URL:stä. Vahvista sitten, että työnantaja hyväksyy tämän asiakasohjelman tähän käyttöönottoon.

Yhteensopivuustodisteiden on tultava työnantajan dokumentaatiosta tai kollegalta, joka on tehnyt sen samalla mallilla, ei siitä, että paketti on olemassa tietovarastossa.

Arkkitehtuuri ei ole yksityiskohta

Kirjaa Pi:n käyttöjärjestelmän versio ja käyttäjäavaruuden arkkitehtuuri, käyttämäsi asiakasohjelman versio ja mistä kyseinen paketti tulee. x86-asennusohjelma ei muutu sopivaksi toiselle arkkitehtuurille siksi, että sen tiedostonimi on muuttunut, ja toimittajan asiakasohjelma, joka toimittaa vain x86-koonnoksia, ei voi lainkaan toimia Pi:llä. Tämä yksi tosiasia voi ratkaista koko kysymyksen ennen kuin todennuksesta edes keskustellaan. Tarkista paketin lähteen ylläpito sen sijaan, että asennat satunnaisen binääritiedoston foorumiketjusta.

64-bittinen käyttäjäavaruus 64-bittisellä ytimellä on yksinkertainen tapaus; 32-bittinen käyttäjäavaruus 64-bittisellä kortilla on se, missä ihmiset asentavat väärän paketin. dpkg --print-architecture ja uname -m vastaavat kumpaankin puoliskoon yhdellä rivillä.

Todennus ratkaisee työnkulun

Salasanat, MFA ja selaimen kautta tapahtuva kirjautuminen pakottavat kukin oman työnkulkunsa. Laitteistotunnuksella säilytettävä sertifikaatti voi vaatia ajurin, jota Pi:llä ei ole, kun taas SSO-virta voi avata selainikkunan, jota näytötön istunto ei voi näyttää. Jotkin yhdyskäytävät tarjoavat juuri tätä tapausta varten laitekoodi- tai manuaalisen kopioinnin polun, toiset eivät. Kysy, mitä menetelmää organisaatio tukee näytöttömälle Linux-isännälle, ja testaa se ennen kuin luotat siihen.

Käyttöliittymäintegraatio on erillinen valinta todennuksesta. NetworkManager-liitännäinen voi järjestää yhteyden ja tallentaa sen salaisuudet, mutta se ei voi tehdä tukemattomasta todennusmenetelmästä yhteensopivaa. Pidä nämä kaksi kysymystä erillään.

Säilytä työnantajan raja ehjänä

Jos organisaatio vaatii virallisen asiakasohjelmansa, hallitun laitteen tai tuetun jakelun, noudata vaatimusta tai pyydä hyväksytty vaihtoehto. Sertifikaattitarkistusten poistaminen käytöstä, tilatulosten jäljitteleminen tai päätepistevalvontojen sammuttaminen, jotta toinen asiakasohjelma näyttäisi hyväksytyltä, muuttaa yhteensopivuusongelman käytäntörikkomukseksi. Pidä salasanat, istuntoevästeet ja yksityiset avaimet poissa komentotulkin historiasta ja keskustelujen litteroinneista. Toimiva haaste-vastaus ei ole lupa julkaista istunnon materiaalia.

Vahvista hyväksytyn ilmoittautumisen jälkeen yksityinen DNS, aiotut resurssit, evätty resurssi ja uudelleenyhdistäminen, kaikki Pi:ltä itseltään. Kirjautunut tunneli voi silti reitittää väärin tai puuttua valtuutus.

Tulos on tuettava sopimus, jolla on nimetty omistaja: mikä asiakasohjelma, mikä versio, mikä ilmoittautumispolku. Se on parempi kuin asentaa toimittajan läheinen asiakasohjelma ja toivoa, että loput vaatimukset osoittautuvat valinnaisiksi.