Raspberry Pi дээр ажлын VPN: эхлээд эдгээр асуултыг асуугаарай

Ажил олгогчийн дөрвөн хариулт Pi ажлын VPN-д нэгдэх боломжтой эсэхийг шийднэ: аль гарцын протоколоор ярьдаг, ямар үйлдлийн систем, архитектурыг дэмждэг, баталгаажуулалт хэрхэн явагдах ёстой, албан ёсны бус клиент зөвшөөрөгдөх эсэх. Порталын URL болон Linux гэдэг үг эдгээрийн аль нэгийг ч шийдэхгүй. Ямар нэгэн зүйл татахаас өмнө асуугаарай, учир нь хариултууд аль багцыг суулгах, дэлгэцгүй тохиргоо огт боломжтой эсэхийг өөрчилдөг.

Дөрвөн хариултыг бичиж аваарай. Үлдсэн хэсэг нь тус бүр юу өөрчлөх тухай юм.

Гарцын протокол клиентийг тодорхойлно

Гарц нэг буюу хэд хэдэн протоколоор ярьдаг бөгөөд клиент танай байгууллага бодитоор ажиллуулж буй протоколыг хэрэгжүүлэх ёстой. OpenConnect нь Cisco AnyConnect-тай нийцэлээс эхэлж, одоо хэд хэдэн бусад аж ахуйн нэгжийн гарцыг хамарсан бие даасан хэрэгжүүлэлт юм; энэ нь үйлдвэрлэгчийн брэнд клиент биш бөгөөд протоколын нийцэл нь гарцын бүх функц, төлөв шалгалт, төхөөрөмжийн бодлогын дэмжлэгийг баталгаажуулахгүй. Протоколыг порталын URL-аас таамаглахын оронд сүлжээний багтай баталгаажуулаарай. Дараа нь ажил олгогч энэ байршуулалтад энэ клиентийг хүлээн зөвшөөрч байгааг баталгаажуулаарай.

Нийцлийн нотолгоо нь ажил олгогчийн баримт бичгээс эсвэл ижил загвар дээр хийсэн хамт олноос ирэх ёстой, агуулахад багц байгаагаас биш.

Архитектур бол жижиг зүйл биш

Pi-ийн OS хувилбар болон хэрэглэгчийн орон зайн архитектур, ашиглахаар төлөвлөж буй клиентийн хувилбар, энэ багц хаанаас ирснийг бичиж аваарай. Файлын нэр өөрчлөгдсөнөөр x86 суулгагч өөр архитектурт тохиромжтой болохгүй бөгөөд зөвхөн x86 бүтээц нийлүүлдэг үйлдвэрлэгчийн клиент Pi дээр огт ажиллахгүй. Энэ нэг баримт нь баталгаажуулалтын талаар ярихаас өмнө бүх асуудлыг шийдэж чадна. Форумын сэдвээс тэнэсэн бинары суулгахын оронд багцын эх сурвалжийн засвар үйлчилгээг шалгаарай.

64 битийн цөм дээрх 64 битийн хэрэглэгчийн орон зай бол энгийн тохиолдол; 64 битийн самбар дээрх 32 битийн хэрэглэгчийн орон зай бол хүмүүс буруу багц суулгадаг газар юм. dpkg --print-architecture болон uname -m хоёр хагаст тус бүр нэг мөрөөр хариулна.

Баталгаажуулалт ажлын урсгалыг тодорхойлно

Нууц үг, MFA, хөтчөөр нэвтрэх нь тус бүр өөрийн ажлын урсгалыг шаарддаг. Техник хангамжийн токен дээрх гэрчилгээнд Pi-д байхгүй драйвер шаардлагатай байж болох бол SSO урсгал дэлгэцгүй сесс харуулж чадахгүй хөтчийн цонх нээж болно. Зарим гарц яг энэ тохиолдолд зориулж төхөөрөмжийн код эсвэл гараар хуулах зам санал болгодог, зарим нь болохгүй. Байгууллага дэлгэцгүй Linux хостод аль аргыг дэмждэг вэ гэж асуугаад, түүнд найдахаас өмнө туршиж үзээрэй.

Фронтендийн интеграц нь баталгаажуулалтаас тусдаа сонголт юм. NetworkManager залгаас холболтыг зохицуулж, түүний нууцыг хадгалж чадна, гэхдээ дэмжлэггүй баталгаажуулалтын аргыг нийцтэй болгож чадахгүй. Эдгээр хоёр асуултыг тусдаа байлгаарай.

Ажил олгогчийн хил хязгаарыг хадгалаарай

Хэрэв байгууллага өөрийн албан ёсны клиент, удирдлагатай төхөөрөмж эсвэл дэмжигдсэн түгээлтийг шаарддаг бол энэ шаардлагыг дагах эсвэл зөвшөөрөгдсөн хувилбарыг хүсээрэй. Гэрчилгээний шалгалтыг унтраах, төлөвийн үр дүнг дуурайх, эсвэл өөр клиент хүлээн зөвшөөрөгдсөн мэт харагдахын тулд төгсгөлийн цэгийн хяналтыг унтраах нь нийцлийн асуудлыг бодлогын зөрчил болгон хувиргадаг. Нууц үг, сессийн күүки, хувийн түлхүүрүүдийг shell-ийн түүх болон чатын хуулбараас гадуур байлгаарай. Ажиллаж буй challenge-response нь сессийн материалыг нийтлэх зөвшөөрөл биш.

Батлагдсан бүртгэлийн дараа хувийн DNS, төлөвлөсөн нөөц, татгалзсан нөөц, дахин холбогдолтыг Pi-ээс өөрөөс нь шалгаарай. Нэвтэрсэн туннель буруу чиглүүлэх эсвэл зөвшөөрөлгүй байж болно.

Үр дүн нь нэрлэсэн эзэмшигчтэй дэмжигдэх гэрээ юм: аль клиент, аль хувилбар, аль бүртгэлийн зам. Энэ нь үйлдвэрлэгчид ойрхон клиентийг суулгаж, үлдсэн шаардлага сонголттой болно гэж найдахаас дээр.