Radni VPN na Raspberry Pi-ju: prvo postavite ova pitanja

Četiri odgovora poslodavca odlučuju može li se Pi pridružiti radnom VPN-u: koji gateway protokol govori, koje operacijske sustave i arhitekture podržava, kako se autentifikacija mora odvijati i je li dopušten klijent koji nije službeni. URL portala i riječ Linux ne rješavaju nijedan od njih. Pitajte prije nego što bilo što preuzmete, jer odgovori mijenjaju koji paket instalirate i je li postavka bez zaslona uopće izvediva.

Zapišite četiri odgovora. Ostatak ovoga je ono što svaki od njih mijenja.

Gateway protokol odlučuje o klijentu

Gateway govori jedan ili više protokola, a klijent mora implementirati onaj koji vaša organizacija doista koristi. OpenConnect je neovisna implementacija koja je počela kompatibilnošću s Cisco AnyConnect i sada pokriva nekoliko drugih poslovnih gatewaya; to nije brendirani klijent proizvođača i kompatibilnost protokola ne jamči podršku za svaku funkciju gatewaya, provjeru stanja ili politiku uređaja. Potvrdite protokol s mrežnim timom umjesto da ga zaključujete iz URL-a portala. Zatim potvrdite da poslodavac prihvaća ovaj klijent za ovo uvođenje.

Dokazi o kompatibilnosti moraju doći iz poslodavčeve dokumentacije ili od kolege koji je to učinio na istom modelu, a ne iz postojanja paketa u repozitoriju.

Arhitektura nije detalj

Zabilježite izdanje OS-a na Pi-ju i arhitekturu korisničkog prostora, verziju klijenta koju namjeravate koristiti i odakle taj paket dolazi. x86 instalater ne postaje prikladan za drugu arhitekturu zato što mu se promijenio naziv datoteke, a klijent proizvođača koji isporučuje samo x86 gradnje ne može uopće raditi na Pi-ju. Ta jedna činjenica može riješiti cijelo pitanje prije nego što se autentifikacija uopće razmotri. Provjerite održavanje izvora paketa umjesto da instalirate zalutalu binarnu datoteku s forumske teme.

64-bitni korisnički prostor na 64-bitnom jezgru jednostavan je slučaj; 32-bitni korisnički prostor na 64-bitnoj ploči mjesto je gdje ljudi instaliraju pogrešan paket. dpkg --print-architecture i uname -m odgovaraju na obje polovice u po jednom retku.

Autentifikacija odlučuje o tijeku rada

Lozinke, MFA i prijava posredstvom preglednika svaki nameću vlastiti tijek rada. Certifikat na hardverskom tokenu može zahtijevati upravljački program koji Pi nema, dok SSO tijek može otvoriti prozor preglednika koji sesija bez zaslona ne može prikazati. Neki gatewayi nude putanju s kodom uređaja ili ručnim kopiranjem upravo za taj slučaj, a neki ne. Pitajte koji metod organizacija podržava za Linux host bez zaslona, pa ga testirajte prije nego što se na njega oslonite.

Integracija sučelja odvojen je izbor od autentifikacije. NetworkManager dodatak može urediti vezu i sačuvati njezine tajne, ali ne može nepodržani metod autentifikacije učiniti kompatibilnim. Držite ta dva pitanja odvojeno.

Sačuvajte granicu poslodavca

Ako organizacija zahtijeva svoj službeni klijent, upravljani uređaj ili podržanu distribuciju, slijedite taj zahtjev ili zatražite odobrenu alternativu. Isključivanje provjera certifikata, oponašanje rezultata stanja ili isključivanje kontrola krajnjih točaka da bi drugi klijent izgledao prihvaćen pretvara problem kompatibilnosti u kršenje politike. Držite lozinke, kolačiće sesije i privatne ključeve izvan povijesti ljuske i transkripata razgovora. Ispravan izazov-odgovor nije dopuštenje za objavljivanje sesijskog materijala.

Nakon odobrene registracije potvrdite privatni DNS, predviđene resurse, odbijeni resurs i ponovno povezivanje, sve s Pi-ja samog. Prijavljeni tunel i dalje može pogrešno usmjeravati ili mu nedostajati ovlaštenje.

Rezultat je održiv sporazum s imenovanim vlasnikom: koji klijent, koja verzija, koja putanja registracije. To je bolje od instaliranja klijenta bliskog proizvođaču i nade da će se preostali zahtjevi pokazati neobveznima.