VPN עבודה על Raspberry Pi: שאלו את השאלות האלה קודם

ארבע תשובות מהמעסיק קובעות אם Pi יכול להצטרף ל-VPN העבודה: באיזה פרוטוקול שער הוא מדבר, אילו מערכות הפעלה וארכיטקטורות הוא תומך, כיצד חייב האימות להתבצע, והאם מותר לקוח שאינו הלקוח הרשמי. כתובת URL של פורטל והמילה Linux לא מכריעות אף אחת מהן. שאלו לפני שמורידים משהו, כי התשובות משנות איזה חבילה תתקינו והאם התקנה ללא מסך בכלל אפשרית.

רשמו את ארבע התשובות. שאר הטקסט הוא מה שכל אחת מהן משנה.

פרוטוקול השער קובע את הלקוח

השער מדבר פרוטוקול אחד או יותר, והלקוח חייב ליישם את זה שהארגון שלכם מפעיל בפועל. OpenConnect הוא יישום עצמאי שהחל בתאימות ל-Cisco AnyConnect וכיום מכסה כמה שערים ארגוניים אחרים; הוא אינו הלקוח הממותג של הספק, ותאימות פרוטוקול אינה מבטיחה תמיכה בכל תכונת שער, בדיקת מצב או מדיניות מכשיר. אשרו את הפרוטוקול עם צוות הרשת במקום להסיק אותו מכתובת ה-URL של הפורטל. אחר כך אשרו שהמעסיק מקבל את הלקוח הזה לפריסה הזו.

ראיות לתאימות חייבות להגיע מתיעוד המעסיק או מעמית שעשה זאת באותו דגם, לא מכך שחבילה קיימת במאגר.

ארכיטקטורה היא לא פרט

רשמו את גרסת מערכת ההפעלה וארכיטקטורת מרחב המשתמש של ה-Pi, את גרסת הלקוח שאתם מתכוונים להשתמש בה, ומאין מגיעה החבילה הזו. מתקין x86 לא הופך מתאים לארכיטקטורה אחרת מפני ששם הקובץ השתנה, וכן לקוח של ספק שמספק רק בניות x86 לא יכול לפעול על ה-Pi כלל. העובדה האחת הזו יכולה להכריע את כל השאלה לפני שאפילו דנים באימות. בדקו את תחזוקת מקור החבילה במקום להתקין קובץ בינארי תועה משרשור פורום.

מרחב משתמש של 64 ביט על גרעין 64 ביט הוא המקרה הפשוט; מרחב משתמש של 32 ביט על לוח 64 ביט הוא המקום שבו אנשים מתקינים את החבילה הלא נכונה. dpkg --print-architecture ו-uname -m עונים על שני החצאים בשורה אחת כל אחד.

האימות קובע את זרימת העבודה

סיסמאות, MFA וכניסה דרך הדפדפן כופים כל אחד זרימת עבודה משלו. תעודה המוחזקת על אסימון חומרה עשויה לדרוש מנהל התקן שאין ל-Pi, בעוד שזרימת SSO עשויה לפתוח חלון דפדפן שסשן ללא מסך אינו יכול להציג. חלק מהשערים מציעים מסלול קוד מכשיר או העתקה ידנית בדיוק למקרה הזה, וחלקם לא. שאלו איזו שיטה הארגון תומך בה עבור מארח Linux ללא מסך, ואז בדקו אותה לפני שאתם מסתמכים עליה.

אינטגרציית החזית היא בחירה נפרדת מהאימות. תוסף NetworkManager יכול לסדר חיבור ולשמור את הסודות שלו, אך הוא אינו יכול להפוך שיטת אימות לא נתמכת לתאימה. הפרידו בין שתי השאלות האלה.

שמרו על גבול המעסיק

אם הארגון דורש את הלקוח הרשמי שלו, מכשיר מנוהל או הפצה נתמכת, פעלו לפי הדרישה או בקשו חלופה מאושרת. השבתת בדיקות תעודות, חיקוי תוצאות מצב או כיבוי בקרות נקודת קצה כדי שלקוח אחר ייראה מקובל הופכת בעיית תאימות להפרת מדיניות. הרחיקו סיסמאות, קובצי cookie של סשן ומפתחות פרטיים מהיסטוריית המעטפת ומתמלולי צ׳אט. תגובת אתגר עובדת אינה רשות לפרסם את חומר הסשן.

לאחר רישום מאושר, אשרו DNS פרטי, את המשאבים המיועדים, משאב שנדחה והתחברות מחדש, הכול מה-Pi עצמו. מנהרה שאליה התחברתם עדיין עשויה לנתב לא נכון או להיות חסרת הרשאה.

התוצר הוא הסכם בר-תמיכה עם בעלים נקוב: איזה לקוח, איזו גרסה, איזה מסלול רישום. זה עדיף על התקנת הלקוח הקרוב לספק וקיווי שהדרישות הנותרות יתבררו כאופציונליות.