Munkahelyi VPN Raspberry Pi-n: először ezeket a kérdéseket tegye fel

A munkáltató négy válasza dönti el, csatlakozhat-e egy Pi a munkahelyi VPN-hez: melyik átjáróprotokollt beszéli, mely operációs rendszereket és architektúrákat támogatja, hogyan kell a hitelesítésnek történnie, és engedélyezett-e a hivatalostól eltérő kliens. Egy portál URL és a Linux szó egyiket sem dönti el. Kérdezzen, mielőtt bármit letölt, mert a válaszok megváltoztatják, melyik csomagot telepíti, és hogy egy képernyő nélküli beállítás egyáltalán megvalósítható-e.

Írja le a négy választ. A szöveg többi része arról szól, hogy melyik mit változtat meg.

Az átjáróprotokoll dönti el a klienst

Az átjáró egy vagy több protokollt beszél, és a kliensnek azt kell megvalósítania, amelyet a szervezete ténylegesen futtat. Az OpenConnect független megvalósítás, amely a Cisco AnyConnect-kompatibilitással kezdődött, és ma több más vállalati átjárót is lefed; nem a gyártó márkázott kliense, és a protokollkompatibilitás nem garantálja minden átjárófunkció, állapotellenőrzés vagy eszközházirend támogatását. Erősítse meg a protokollt a hálózati csapattal, ahelyett hogy a portál URL-jéből következtetne rá. Ezután erősítse meg, hogy a munkáltató elfogadja ezt a klienst ehhez a bevezetéshez.

A kompatibilitási bizonyítéknak a munkáltató dokumentációjából vagy egy kollégától kell származnia, aki ugyanezen a modellen csinálta, nem abból, hogy létezik egy csomag egy tárolóban.

Az architektúra nem részletkérdés

Jegyezze fel a Pi operációs rendszerének verzióját és felhasználói tér architektúráját, a használni kívánt kliensverziót és azt, hogy honnan származik ez a csomag. Az x86-os telepítő nem válik alkalmassá egy másik architektúrára attól, hogy megváltozott a fájlneve, és egy gyártói kliens, amely csak x86-os buildet szállít, egyáltalán nem tud futni a Pi-n. Ez az egyetlen tény az egész kérdést eldöntheti, mielőtt a hitelesítés szóba kerülne. Ellenőrizze a csomagforrás karbantartását, ahelyett hogy egy fórumtémából származó kóbor binárist telepítene.

A 64 bites felhasználói tér 64 bites kernelen az egyszerű eset; a 32 bites felhasználói tér 64 bites lapkán az, ahol az emberek a rossz csomagot telepítik. A dpkg --print-architecture és a uname -m egy-egy sorban válaszol mindkét felére.

A hitelesítés dönti el a munkafolyamatot

A jelszavak, az MFA és a böngészőn keresztüli bejelentkezés mindegyike a saját munkafolyamatát kényszeríti ki. A hardvertokenen tárolt tanúsítvány olyan illesztőprogramot igényelhet, amellyel a Pi nem rendelkezik, míg az SSO-folyamat olyan böngészőablakot nyithat, amelyet egy képernyő nélküli munkamenet nem tud megjeleníteni. Egyes átjárók éppen erre az esetre kínálnak eszközkódos vagy kézi másolási útvonalat, mások nem. Kérdezze meg, melyik módszert támogatja a szervezet egy képernyő nélküli Linux-gazdagéphez, majd tesztelje, mielőtt támaszkodna rá.

A frontend-integráció a hitelesítéstől különálló választás. A NetworkManager beépülő modulja összeállíthat egy kapcsolatot és tárolhatja a titkait, de nem tehet kompatibilissé egy nem támogatott hitelesítési módszert. Tartsa külön ezt a két kérdést.

Őrizze meg a munkáltató határát

Ha a szervezet megköveteli a hivatalos kliensét, egy felügyelt eszközt vagy egy támogatott disztribúciót, kövesse ezt a követelményt, vagy kérjen jóváhagyott alternatívát. A tanúsítványellenőrzések kikapcsolása, az állapoteredmények utánzása vagy a végpontvezérlők kikapcsolása, hogy egy másik kliens elfogadottnak tűnjön, kompatibilitási problémából házirendsértést csinál. Tartsa a jelszavakat, a munkamenet-sütiket és a privát kulcsokat a shell-előzményeken és a csevegési átiratokon kívül. Egy működő kihívás-válasz nem engedély a munkamenet anyagának közzétételére.

Jóváhagyott regisztráció után ellenőrizze a privát DNS-t, a tervezett erőforrásokat, egy megtagadott erőforrást és az újracsatlakozást, mindezt magáról a Pi-ről. Egy bejelentkezett alagút továbbra is rosszul irányíthat, vagy hiányozhat az engedélyezése.

Az eredmény egy fenntartható megállapodás névvel megjelölt felelőssel: melyik kliens, melyik verzió, melyik regisztrációs útvonal. Ez jobb, mint a gyártóhoz közeli klienst telepíteni, és remélni, hogy a fennmaradó követelmények opcionálisnak bizonyulnak.