VPN di lavoro su Raspberry Pi: fate prima queste domande

Quattro risposte del datore di lavoro decidono se un Pi può unirsi alla VPN di lavoro: quale protocollo gateway parla, quali sistemi operativi e architetture supporta, come deve avvenire l’autenticazione e se è consentito un client diverso da quello ufficiale. Un URL di portale e la parola Linux non ne risolvono nessuna. Chiedete prima di scaricare qualsiasi cosa, perché le risposte cambiano quale pacchetto installate e se un’installazione senza schermo sia davvero praticabile.

Annotate le quattro risposte. Il resto di questo testo è ciò che ciascuna cambia.

Il protocollo del gateway decide il client

Il gateway parla uno o più protocolli, e il client deve implementare quello che la vostra organizzazione esegue davvero. OpenConnect è un’implementazione indipendente nata con la compatibilità con Cisco AnyConnect e oggi copre diversi altri gateway aziendali; non è il client di marca del fornitore, e la compatibilità di protocollo non garantisce il supporto di ogni funzione del gateway, controllo di postura o criterio del dispositivo. Confermate il protocollo con il team di rete invece di dedurlo dall’URL del portale. Poi confermate che il datore di lavoro accetti questo client per questa distribuzione.

Le prove di compatibilità devono venire dalla documentazione del datore di lavoro o da un collega che l’ha fatto sullo stesso modello, non dall’esistenza di un pacchetto in un repository.

L’architettura non è un dettaglio

Annotate la versione del sistema operativo e l’architettura dello spazio utente del Pi, la versione del client che intendete usare e da dove proviene quel pacchetto. Un installer x86 non diventa adatto a un’altra architettura perché è cambiato il nome del file, e un client del fornitore che distribuisce solo build x86 non può funzionare affatto sul Pi. Questo singolo fatto può risolvere l’intera questione prima ancora che si parli di autenticazione. Controllate la manutenzione della sorgente del pacchetto invece di installare un binario vagante da un thread di forum.

Uno spazio utente a 64 bit su un kernel a 64 bit è il caso semplice; uno spazio utente a 32 bit su una scheda a 64 bit è dove le persone installano il pacchetto sbagliato. dpkg --print-architecture e uname -m rispondono a entrambe le metà in una riga ciascuno.

L’autenticazione decide il flusso di lavoro

Password, MFA e accesso tramite browser impongono ciascuno un proprio flusso di lavoro. Un certificato custodito su un token hardware può richiedere un driver che il Pi non ha, mentre un flusso SSO può aprire una finestra del browser che una sessione senza schermo non può mostrare. Alcuni gateway offrono un percorso con codice dispositivo o copia manuale proprio per quel caso, e altri no. Chiedete quale metodo l’organizzazione supporta per un host Linux senza schermo, poi provatelo prima di dipenderne.

L’integrazione frontend è una scelta separata dall’autenticazione. Un plugin di NetworkManager può predisporre una connessione e conservarne i segreti, ma non può rendere compatibile un metodo di autenticazione non supportato. Tenete separate queste due domande.

Mantenete intatto il confine del datore di lavoro

Se l’organizzazione richiede il suo client ufficiale, un dispositivo gestito o una distribuzione supportata, seguite quel requisito o chiedete un’alternativa approvata. Disattivare i controlli dei certificati, imitare i risultati di postura o spegnere i controlli degli endpoint per far sembrare accettato un altro client trasforma un problema di compatibilità in una violazione della policy. Tenete password, cookie di sessione e chiavi private fuori dalla cronologia della shell e dalle trascrizioni delle chat. Una challenge-response funzionante non è un permesso per pubblicare il materiale della sessione.

Dopo un’iscrizione approvata, confermate il DNS privato, le risorse previste, una risorsa negata e la riconnessione, tutto dal Pi stesso. Un tunnel con sessione attiva può comunque instradare male o mancare di un’autorizzazione.

Il risultato è un accordo sostenibile con un responsabile nominato: quale client, quale versione, quale percorso di iscrizione. È meglio che installare il client vicino al fornitore e sperare che i requisiti restanti si rivelino facoltativi.