Darbo VPN „Raspberry Pi“: pirmiausia užduokite šiuos klausimus

Keturi darbdavio atsakymai lemia, ar Pi gali prisijungti prie darbo VPN: kokį tinklų sietuvo protokolą jis kalba, kokias operacines sistemas ir architektūras palaiko, kaip turi vykti autentifikavimas ir ar leidžiamas kitas nei oficialus klientas. Portalo URL ir žodis Linux nei vieno iš jų neišsprendžia. Klauskite prieš ką nors atsisiųsdami, nes atsakymai keičia, kokį paketą įdiegsite ir ar diegimas be ekrano apskritai įmanomas.

Užsirašykite keturis atsakymus. Likusi dalis – tai, ką kiekvienas jų pakeičia.

Sietuvo protokolas nulemia klientą

Sietuvas kalba vienu ar daugiau protokolų, o klientas turi įgyvendinti tą, kurį jūsų organizacija iš tikrųjų naudoja. OpenConnect yra nepriklausoma implementacija, prasidėjusi nuo suderinamumo su Cisco AnyConnect ir dabar apimanti keletą kitų įmonės sietuvų; tai nėra gamintojo firminis klientas, o protokolo suderinamumas negarantuoja kiekvienos sietuvo funkcijos, būsenos patikros ar įrenginio politikos palaikymo. Patvirtinkite protokolą su tinklo komanda, o ne spėkite jį iš portalo URL. Tada patvirtinkite, kad darbdavys priima šį klientą šiam diegimui.

Suderinamumo įrodymai turi ateiti iš darbdavio dokumentacijos arba kolegos, kuris tai padarė tame pačiame modelyje, o ne iš to, kad paketas yra saugykloje.

Architektūra – ne smulkmena

Užsirašykite Pi OS versiją ir vartotojo erdvės architektūrą, kliento versiją, kurią ketinate naudoti, ir iš kur šis paketas gaunamas. x86 diegimo programa netampa tinkama kitai architektūrai dėl to, kad pasikeitė failo pavadinimas, o gamintojo klientas, kuris tiekia tik x86 kompiliacijas, Pi apskritai negali veikti. Šis vienas faktas gali išspręsti visą klausimą dar prieš svarstant autentifikavimą. Patikrinkite paketo šaltinio priežiūrą, o ne diegkite atsitiktinį dvejetainį failą iš forumo temos.

64 bitų vartotojo erdvė 64 bitų branduolyje yra paprastas atvejis; 32 bitų vartotojo erdvė 64 bitų plokštėje yra vieta, kur žmonės įdiegia netinkamą paketą. dpkg --print-architecture ir uname -m atsako į abi puses po vieną eilutę.

Autentifikavimas nulemia darbo eigą

Slaptažodžiai, MFA ir prisijungimas per naršyklę kiekvienas primeta savo darbo eigą. Sertifikatas aparatinės įrangos žetone gali reikalauti tvarkyklės, kurios Pi neturi, o SSO srautas gali atidaryti naršyklės langą, kurio sesija be ekrano negali parodyti. Kai kurie sietuvai siūlo įrenginio kodo arba rankinio kopijavimo kelią būtent tokiam atvejui, o kiti ne. Paklauskite, kokį metodą organizacija palaiko be ekrano Linux serveriui, tada išbandykite jį prieš juo pasikliaudami.

Frontendo integracija yra atskiras pasirinkimas nuo autentifikavimo. NetworkManager papildinys gali sutvarkyti ryšį ir išsaugoti jo paslaptis, bet negali padaryti nepalaikomo autentifikavimo metodo suderinamo. Laikykite šiuos du klausimus atskirai.

Išsaugokite darbdavio ribą

Jei organizacija reikalauja savo oficialaus kliento, valdomo įrenginio ar palaikomos distribucijos, laikykitės šio reikalavimo arba prašykite patvirtintos alternatyvos. Sertifikatų patikrų išjungimas, būsenos rezultatų imitavimas arba galinių taškų kontrolės išjungimas, kad kitas klientas atrodytų priimtas, suderinamumo problemą paverčia politikos pažeidimu. Laikykite slaptažodžius, sesijos slapukus ir privačius raktus už komandinės eilutės istorijos ir pokalbių įrašų. Veikiantis iššūkis-atsakas nėra leidimas skelbti sesijos medžiagą.

Po patvirtintos registracijos patikrinkite privatų DNS, numatytus išteklius, atmestą išteklių ir prisijungimą iš naujo – visa tai iš paties Pi. Prisijungęs tunelis vis tiek gali maršrutizuoti neteisingai arba neturėti autorizacijos.

Rezultatas – palaikoma sutartis su įvardytu savininku: kuris klientas, kuri versija, kuris registracijos kelias. Tai geriau nei įdiegti gamintojui artimą klientą ir tikėtis, kad likę reikalavimai pasirodys neprivalomi.