Wurk-VPN op in Raspberry Pi: freegje earst dizze fragen

Fjouwer antwurden fan de wurkjouwer bepale oft in Pi by it wurk-VPN komme kin: hokker gateway-protokol it praat, hokker bestjoeringssystemen en arsjitektueren it stipet, hoe’t autentikaasje barre moat, en oft in oare kliïnt as de offisjele tastien is. In portaal-URL en it wurd Linux beslisse gjinien fan dy. Freegje foardat jo eat downloade, want de antwurden feroarje hokker pakket jo ynstallearje en oft in ynstelling sûnder skerm hielendal mooglik is.

Skriuw de fjouwer antwurden op. De rest hjirfan is wat elk fan harren feroaret.

It gateway-protokol bepaalt de kliïnt

De gateway praat ien of mear protokollen, en de kliïnt moat dy ien ymplementearje dy’t jo organisaasje echt draait. OpenConnect is in ûnôfhinklike ymplemintaasje dy’t begûn mei Cisco AnyConnect-kompatibiliteit en no ferskate oare bedriuwsgeaten beslacht; it is net de merk-kliïnt fan de leveransier, en protokolkompatibiliteit garandearret gjin stipe foar elke gatewayfunksje, posture-kontrôle of apparaatbelied. Befestigje it protokol by it netwurkteam ynstee fan it ôf te lieden fan ’e URL fan it portaal. Befestigje dan dat de wurkjouwer dizze kliïnt foar dizze útrulling akseptearret.

Bewiis fan kompatibiliteit moat komme út de dokumintaasje fan de wurkjouwer of fan in kollega dy’t it op itselde model dien hat, net út it bestean fan in pakket yn in bewarplak.

Arsjitektuer is gjin detail

Skriuw de OS-ferzje en de brûkersromte-arsjitektuer fan de Pi op, de kliïntferzje dy’t jo brûke wolle, en wêr’t dat pakket wei komt. In x86-ynstallearder wurdt net geskikt foar in oare arsjitektuer om’t de bestânsnamme feroare is, en in leveransierskliïnt dy’t allinne x86-buorgen leveret kin hielendal net op de Pi draaie. Dat iene feit kin de hiele fraach besljochtsje foardat autentikaasje sels besprutsen wurdt. Kontrolearje it ûnderhâld fan ’e pakketboarne ynstee fan in ferdwaald binêr bestân fan in forumboerdiel te ynstallearjen.

In 64-bits brûkersromte op in 64-bits kearn is it ienfâldige gefal; in 32-bits brûkersromte op in 64-bits board is wêr’t minsken it ferkearde pakket ynstallearje. dpkg --print-architecture en uname -m beantwurdzje beide helten yn ien rigel elk.

Autentikaasje bepaalt de wurkstream

Wachtwurden, MFA en oanmelde fia de browser twinge elk har eigen wurkstream ôf. In sertifikaat op in hardwaretoken kin in stjoerder nedich hawwe dy’t de Pi net hat, wylst in SSO-stream in browserfinster iepenje kin dy’t in sesje sûnder skerm net sjen kin. Guon poarten biede in apparaatkoade- of hânmjittich kopiearpaad krekt foar dat gefal, en guon net. Freegje hokker metoade de organisaasje stipet foar in Linux-host sûnder skerm, en test it dan foardat jo derfan ôfhingje.

Frontend-yntegraasje is in aparte kar fan autentikaasje. In NetworkManager-plug-in kin in ferbining regelje en syn geheimen bewarje, mar it kin in net-stipe autentikaasjemetoade net kompatibel meitsje. Hâld dy twa fragen apart.

Hâld de grins fan de wurkjouwer yntakt

As de organisaasje syn offisjele kliïnt, in beheard apparaat of in stipe distribúsje easket, folgje dy eask of freegje om in goedkarde alternative. Sertifikaatkontrôles útskeakelje, posture-resultaten neibeare of einpuntkontrôles útskeakelje sadat in oare kliïnt akseptearre liket, feroaret in kompatibiliteitsprobleem yn in beliedsoertreding. Hâld wachtwurden, sesjekoekjes en priveekaaien bûten de skelhistoarje en chattranskripsjes. In wurkjende útdaging-antwurd is gjin tastimming om it sesjemateriaal te publisearjen.

Nei in goedkarde ynskriuwing, befestigje privee DNS, de bedoelde boarnen, in wegere boarne en opnij ferbinen, alles fan de Pi sels ôf. In oanmelde tunnel kin noch ferkeard routearje of in autorisaasje misse.

It resultaat is in stypbere oerienkomst mei in neamde eigner: hokker kliïnt, hokker ferzje, hokker ynskriuwpaad. Dat is better as de leveransier-neie kliïnt ynstallearje en hoopje dat de oerbleaune easken opsjoneel blike te wêzen.