Raspberry Pi-де жұмыс VPN-і: алдымен осы сұрақтарды қойыңыз

Жұмыс берушінің төрт жауабы Pi-дің жұмыс VPN-іне қосыла алатынын шешеді: ол қай шлюз протоколында сөйлейді, қандай операциялық жүйелер мен архитектураларды қолдайды, аутентификация қалай жүруі керек және ресми клиенттен басқа клиентке рұқсат етілген бе. Портал URL-і мен Linux сөзі олардың ешқайсысын шешпейді. Бірдеңе жүктемес бұрын сұраңыз, өйткені жауаптар қай пакетті орнататыныңызды және экрансыз конфигурацияның мүлде мүмкін екенін өзгертеді.

Төрт жауапты жазып алыңыз. Қалғаны — олардың әрқайсысы нені өзгертетіні.

Шлюз протоколы клиентті анықтайды

Шлюз бір немесе бірнеше протоколда сөйлейді, ал клиент ұйымыңыз шын мәнінде іске қосатын протоколды жүзеге асыруы керек. OpenConnect — Cisco AnyConnect-пен үйлесімділіктен басталған және қазір бірнеше басқа кәсіпорындық шлюзді қамтитын тәуелсіз іске асыру; ол өндірушінің брендтік клиенті емес және протокол үйлесімділігі шлюздің әр функциясына, күй тексерісіне немесе құрылғы саясатына қолдау кепілдігін бермейді. Протоколды портал URL-інен болжаудың орнына желілік топпен растаңыз. Содан кейін жұмыс берушінің осы орналастыру үшін осы клиентті қабылдайтынын растаңыз.

Үйлесімділік дәлелдері жұмыс берушінің құжаттамасынан немесе дәл сол модельде жасаған әріптестен келуі керек, қоймада пакет бар болуынан емес.

Архитектура — ұсақ-түйек емес

Pi-дің ОЖ шығарылымы мен пайдаланушы кеңістігінің архитектурасын, пайдалануды жоспарлап отырған клиент нұсқасын және бұл пакеттің қайдан келетінін жазып алыңыз. Файл атауы өзгергендіктен x86 орнатқышы басқа архитектураға жарамды болып қалмайды, ал тек x86 құрастырмаларын ұсынатын өндіруші клиенті Pi-де мүлде жұмыс істей алмайды. Осы бір факт аутентификация талқыланбай тұрып-ақ бүкіл мәселені шеше алады. Форум тақырыбынан қаңғыбас бинарлық файл орнатудың орнына пакет көзінің қолдауын тексеріңіз.

64 биттік ядродағы 64 биттік пайдаланушы кеңістігі — қарапайым жағдай; 64 биттік тақтадағы 32 биттік пайдаланушы кеңістігі — адамдар қате пакетті орнататын жер. dpkg --print-architecture мен uname -m екі жартысына да бір-бір жолмен жауап береді.

Аутентификация жұмыс ағынын анықтайды

Құпия сөздер, MFA және браузер арқылы кіру әрқайсысы өз жұмыс ағынын талап етеді. Аппараттық токендегі сертификат Pi-де жоқ драйверді қажет етуі мүмкін, ал SSO ағыны экрансыз сессия көрсете алмайтын браузер терезесін ашуы мүмкін. Кейбір шлюздер дәл осы жағдай үшін құрылғы коды немесе қолмен көшіру жолын ұсынады, кейбіреулері ұсынбайды. Ұйым экрансыз Linux хост үшін қай әдісті қолдайтынын сұраңыз, содан кейін оған сену алдында оны тексеріңіз.

Фронтенд интеграциясы — аутентификациядан бөлек таңдау. NetworkManager плагині қосылымды реттеп, оның құпияларын сақтай алады, бірақ қолдау көрсетілмейтін аутентификация әдісін үйлесімді ете алмайды. Бұл екі сұрақты бөлек ұстаңыз.

Жұмыс берушінің шекарасын сақтаңыз

Егер ұйым өзінің ресми клиентін, басқарылатын құрылғыны немесе қолдау көрсетілетін дистрибутивті талап етсе, сол талапты орындаңыз немесе бекітілген балама сұраңыз. Сертификат тексерістерін өшіру, күй нәтижелерін имитациялау немесе басқа клиент қабылданған болып көрінуі үшін соңғы нүкте бақылауларын өшіру — үйлесімділік мәселесін саясат бұзуға айналдырады. Құпия сөздерді, сессия cookie-лерін және жеке кілттерді shell тарихынан және чат транскрипттерінен тыс ұстаңыз. Жұмыс істейтін challenge-response сессия материалын жариялауға рұқсат емес.

Бекітілген тіркеуден кейін жеке DNS-ті, жоспарланған ресурстарды, қабылданбаған ресурсты және қайта қосылуды тексеріңіз — барлығын Pi-дің өзінен. Кірген туннель әлі де дұрыс бағыттамауы немесе рұқсаты болмауы мүмкін.

Нәтиже — атаулы иесі бар қолдауға болатын келісім: қай клиент, қай нұсқа, қай тіркеу жолы. Бұл өндірушіге жақын клиентті орнатып, қалған талаптар міндетті емес болып шығады деп үміттенуден жақсы.