VPN kerja pada Raspberry Pi: tanya soalan ini dahulu

Empat jawapan daripada majikan menentukan sama ada Pi boleh menyertai VPN kerja: protokol get laluan yang digunakannya, sistem pengendalian dan seni bina yang disokongnya, cara pengesahan perlu berlaku, dan sama ada klien selain klien rasmi dibenarkan. URL portal dan perkataan Linux tidak menyelesaikan satu pun daripadanya. Tanya sebelum memuat turun apa-apa, kerana jawapannya mengubah pakej yang anda pasang dan sama ada persediaan tanpa skrin benar-benar boleh dilaksanakan.

Catat keempat-empat jawapan itu. Selebihnya ialah apa yang diubah oleh setiap satu.

Protokol get laluan menentukan klien

Get laluan bertutur satu atau lebih protokol, dan klien mesti melaksanakan protokol yang organisasi anda benar-benar jalankan. OpenConnect ialah pelaksanaan bebas yang bermula dengan keserasian Cisco AnyConnect dan kini meliputi beberapa get laluan perusahaan lain; ia bukan klien berjenama vendor, dan keserasian protokol tidak menjamin sokongan bagi setiap ciri get laluan, pemeriksaan postur atau dasar peranti. Sahkan protokol dengan pasukan rangkaian dan bukannya membuat kesimpulan daripada URL portal. Kemudian sahkan bahawa majikan menerima klien ini untuk penggunaan ini.

Bukti keserasian mesti datang daripada dokumentasi majikan atau daripada rakan sekerja yang telah melakukannya pada model yang sama, bukan daripada kewujudan pakej dalam repositori.

Seni bina bukan perkara kecil

Catat versi OS dan seni bina ruang pengguna Pi, versi klien yang anda mahu gunakan, dan dari mana pakej itu datang. Pemasang x86 tidak menjadi sesuai untuk seni bina lain kerana nama failnya berubah, dan klien vendor yang hanya menyediakan binaan x86 sama sekali tidak boleh berjalan pada Pi. Fakta tunggal ini boleh menyelesaikan seluruh persoalan sebelum pengesahan pun dibincangkan. Semak penyelenggaraan sumber pakej dan bukannya memasang binari liar daripada utas forum.

Ruang pengguna 64-bit pada kernel 64-bit ialah kes mudah; ruang pengguna 32-bit pada papan 64-bit ialah tempat orang memasang pakej yang salah. dpkg --print-architecture dan uname -m menjawab kedua-dua bahagian dalam satu baris setiap satu.

Pengesahan menentukan aliran kerja

Kata laluan, MFA dan log masuk melalui pelayar masing-masing memaksa aliran kerjanya sendiri. Sijil yang disimpan pada token perkakasan mungkin memerlukan pemacu yang tidak ada pada Pi, manakala aliran SSO mungkin membuka tetingkap pelayar yang tidak dapat ditunjukkan oleh sesi tanpa skrin. Sesetengah get laluan menawarkan laluan kod peranti atau salinan manual khusus untuk kes itu, dan sesetengahnya tidak. Tanya kaedah mana yang disokong organisasi untuk hos Linux tanpa skrin, kemudian ujinya sebelum bergantung padanya.

Integrasi bahagian hadapan ialah pilihan berasingan daripada pengesahan. Pemalam NetworkManager boleh menguruskan sambungan dan menyimpan rahsianya, tetapi ia tidak boleh menjadikan kaedah pengesahan yang tidak disokong serasi. Jauhkan kedua-dua soalan itu.

Kekalkan sempadan majikan

Jika organisasi memerlukan klien rasminya, peranti terurus atau pengedaran yang disokong, ikut keperluan itu atau minta alternatif yang diluluskan. Mematikan pemeriksaan sijil, meniru hasil postur atau mematikan kawalan titik akhir supaya klien lain kelihatan diterima mengubah masalah keserasian menjadi pelanggaran dasar. Jauhkan kata laluan, kuki sesi dan kunci peribadi daripada sejarah shell dan transkrip sembang. Cabaran-tindak balas yang berfungsi bukan kebenaran untuk menerbitkan bahan sesi.

Selepas pendaftaran yang diluluskan, sahkan DNS peribadi, sumber yang dimaksudkan, sumber yang ditolak dan sambungan semula, semuanya daripada Pi itu sendiri. Terowong yang telah log masuk masih boleh menghalakan dengan salah atau kekurangan kebenaran.

Hasilnya ialah perjanjian yang boleh disokong dengan pemilik bernama: klien mana, versi mana, laluan pendaftaran mana. Itu lebih baik daripada memasang klien yang berhampiran dengan vendor dan berharap keperluan selebihnya ternyata pilihan.