Работен VPN на Raspberry Pi: прво поставете ги овие прашања

Четири одговори од работодавачот одлучуваат дали Pi може да се приклучи на работниот VPN: кој протокол на порта го говори, кои оперативни системи и архитектури ги поддржува, како треба да се одвива автентикацијата и дали е дозволен клиент различен од официјалниот. URL на портал и зборот Linux не решаваат ниту еден од нив. Прашајте пред да преземете нешто, зашто одговорите менуваат кој пакет ќе го инсталирате и дали поставувањето без екран е воопшто изводливо.

Запишете ги четирите одговори. Останатото е она што секој од нив го менува.

Протоколот на портата го одредува клиентот

Портата говори еден или повеќе протоколи, а клиентот мора да го имплементира оној што вашата организација навистина го користи. OpenConnect е независна имплементација што почна со компатибилност со Cisco AnyConnect и сега покрива неколку други корпоративни порти; таа не е брендираниот клиент на производителот и компатибилноста на протоколот не гарантира поддршка за секоја функција на портата, проверка на состојба или политика за уреди. Потврдете го протоколот со мрежниот тим наместо да го заклучувате од URL-то на порталот. Потоа потврдете дека работодавачот го прифаќа овој клиент за ова распоредување.

Доказите за компатибилност мора да доаѓаат од документацијата на работодавачот или од колега што го направил тоа на истиот модел, а не од постоење на пакет во складиште.

Архитектурата не е детаљ

Запишете го изданието на ОС на Pi и архитектурата на корисничкиот простор, верзијата на клиентот што планирате да ја користите и од каде доаѓа тој пакет. Инсталерот за x86 не станува соодветен за друга архитектура затоа што му се сменило името на датотеката, а клиент на производителот што доставува само x86 изградби воопшто не може да работи на Pi. Овој единствен факт може да го реши целото прашање пред воопшто да се разговара за автентикација. Проверете го одржувањето на изворот на пакетот наместо да инсталирате заталкано бинарно издание од форумска тема.

64-битен кориснички простор на 64-битно јадро е едноставниот случај; 32-битен кориснички простор на 64-битна плоча е местото каде што луѓето го инсталираат погрешниот пакет. dpkg --print-architecture и uname -m одговараат на двете половини со по еден ред.

Автентикацијата го одредува работниот тек

Лозинките, MFA и најавувањето преку прелистувач секој наметнува свој работен тек. Сертификат на хардверски токен може да бара драјвер што Pi го нема, додека SSO текот може да отвори прозорец на прелистувач што сесија без екран не може да го прикаже. Некои порти нудат пат со код на уред или рачно копирање токму за тој случај, а некои не. Прашајте кој метод организацијата го поддржува за Linux домаќин без екран, потоа тестирајте го пред да се потпрете на него.

Интеграцијата на предниот дел е одделен избор од автентикацијата. Додаток на NetworkManager може да намести врска и да ги зачува нејзините тајни, но не може да направи неподдржана автентикациска метода компатибилна. Држете ги овие две прашања одделно.

Зачувајте ја границата на работодавачот

Ако организацијата бара свој официјален клиент, управуван уред или поддржана дистрибуција, следете го тоа барање или побарајте одобрена алтернатива. Исклучувањето на проверките на сертификати, имитирањето на резултатите од состојбата или исклучувањето на контролите на крајните точки за друг клиент да изгледа прифатен го претвора проблемот со компатибилност во кршење на политиката. Држете ги лозинките, колачињата за сесија и приватните клучеви надвор од историјата на школката и транскриптите од разговор. Работечки предизвик-одговор не е дозвола да се објави материјалот од сесијата.

По одобрена регистрација, потврдете го приватниот DNS, предвидените ресурси, одбиениот ресурс и повторното поврзување, сето тоа од самиот Pi. Најавениот тунел сѐ уште може погрешно да насочува или да нема авторизација.

Резултатот е поддржлив договор со именуван сопственик: кој клиент, која верзија, кој пат на регистрација. Тоа е подобро од инсталирање на клиентот близок до производителот и надеж дека останатите барања ќе се покажат како опционални.