Darba VPN uz Raspberry Pi: vispirms uzdodiet šos jautājumus

Četras darba devēja atbildes nosaka, vai Pi var pievienoties darba VPN: kādu vārtejas protokolu tas runā, kuras operētājsistēmas un arhitektūras tas atbalsta, kā jānotiek autentifikācijai un vai ir atļauts klients, kas nav oficiālais. Portāla URL un vārds Linux neatrisina nevienu no tām. Jautājiet pirms kaut kā lejupielādes, jo atbildes maina, kuru pakotni jūs instalēsiet un vai iestatīšana bez ekrāna vispār ir iespējama.

Pierakstiet četras atbildes. Pārējais šeit ir tas, ko katra no tām maina.

Vārtejas protokols nosaka klientu

Vārteja runā vienu vai vairākus protokolus, un klientam ir jāievieš tas, ko jūsu organizācija faktiski izmanto. OpenConnect ir neatkarīga implementācija, kas sākās ar Cisco AnyConnect saderību un tagad aptver vairākas citas uzņēmuma vārtejas; tas nav ražotāja zīmola klients, un protokola saderība negarantē atbalstu katrai vārtejas funkcijai, stāvokļa pārbaudei vai ierīces politikai. Apstipriniet protokolu ar tīkla komandu, nevis seciniet to no portāla URL. Pēc tam apstipriniet, ka darba devējs pieņem šo klientu šai ieviešanai.

Saderības pierādījumiem jānāk no darba devēja dokumentācijas vai no kolēģa, kurš to izdarījis tajā pašā modelī, nevis no tā, ka pakotne ir krātuvē.

Arhitektūra nav sīkums

Pierakstiet Pi OS versiju un lietotāja telpas arhitektūru, klienta versiju, kuru plānojat izmantot, un no kurienes šī pakotne nāk. x86 instalētājs nekļūst piemērots citai arhitektūrai tāpēc, ka ir mainījies faila nosaukums, un ražotāja klients, kas piegādā tikai x86 būvējumus, Pi vispār nevar darboties. Šis viens fakts var atrisināt visu jautājumu vēl pirms autentifikācijas apspriešanas. Pārbaudiet pakotnes avota uzturēšanu, nevis instalējiet nejaušu bināro failu no foruma pavediena.

64 bitu lietotāja telpa 64 bitu kodolā ir vienkāršais gadījums; 32 bitu lietotāja telpa 64 bitu platē ir vieta, kur cilvēki instalē nepareizo pakotni. dpkg --print-architecture un uname -m atbild uz abām pusēm ar vienu rindu katrs.

Autentifikācija nosaka darbplūsmu

Paroles, MFA un pieteikšanās ar pārlūku katra uzspiež savu darbplūsmu. Aparatūras tokenā glabāts sertifikāts var prasīt draiveri, kura Pi nav, savukārt SSO plūsma var atvērt pārlūka logu, ko sesija bez ekrāna nevar parādīt. Dažas vārtejas piedāvā ierīces koda vai manuālas kopēšanas ceļu tieši šim gadījumam, bet citas ne. Jautājiet, kuru metodi organizācija atbalsta bez ekrāna Linux saimniekdatoram, un pēc tam pārbaudiet to, pirms paļaujaties uz to.

Priekšgala integrācija ir atsevišķa izvēle no autentifikācijas. NetworkManager spraudnis var sakārtot savienojumu un saglabāt tā noslēpumus, bet tas nevar padarīt neatbalstītu autentifikācijas metodi saderīgu. Turiet šos divus jautājumus atsevišķi.

Saglabājiet darba devēja robežu

Ja organizācija pieprasa savu oficiālo klientu, pārvaldītu ierīci vai atbalstītu distributīvu, ievērojiet šo prasību vai lūdziet apstiprinātu alternatīvu. Sertifikātu pārbaužu izslēgšana, stāvokļa rezultātu imitēšana vai galapunktu kontroles izslēgšana, lai cits klients izskatītos pieņemts, pārvērš saderības problēmu politikas pārkāpumā. Turiet paroles, sesijas sīkfailus un privātās atslēgas ārpus čaulas vēstures un tērzēšanas transkriptiem. Strādājošs izaicinājums-atbilde nav atļauja publicēt sesijas materiālu.

Pēc apstiprinātas reģistrācijas pārbaudiet privāto DNS, paredzētos resursus, noraidīto resursu un atkārtotu savienojumu, to visu no paša Pi. Pieteicies tunelis joprojām var maršrutēt nepareizi vai tam var trūkt autorizācijas.

Rezultāts ir atbalstāma vienošanās ar nosauktu īpašnieku: kurš klients, kura versija, kurš reģistrācijas ceļš. Tas ir labāk nekā instalēt ražotājam tuvu klientu un cerēt, ka pārējās prasības izrādīsies neobligātas.