Arbeids-VPN på en Raspberry Pi: still disse spørsmålene først

Fire svar fra arbeidsgiveren avgjør om en Pi kan bli med i arbeids-VPN-en: hvilken gateway-protokoll den snakker, hvilke operativsystemer og arkitekturer den støtter, hvordan autentisering må skje, og om en annen klient enn den offisielle er tillatt. En portal-URL og ordet Linux avgjør ingen av dem. Spør før du laster ned noe, fordi svarene endrer hvilken pakke du installerer og om et oppsett uten skjerm i det hele tatt er mulig.

Skriv ned de fire svarene. Resten av dette er hva hvert av dem endrer.

Gateway-protokollen avgjør klienten

Gatewayen snakker én eller flere protokoller, og klienten må implementere den organisasjonen din faktisk kjører. OpenConnect er en uavhengig implementasjon som begynte med Cisco AnyConnect-kompatibilitet og nå dekker flere andre bedriftsgatewayer; den er ikke leverandørens merkevareklient, og protokollkompatibilitet garanterer ikke støtte for hver gateway-funksjon, posture-sjekk eller enhetspolicy. Bekreft protokollen med nettverksteamet i stedet for å utlede den fra portalens URL. Bekreft deretter at arbeidsgiveren godtar denne klienten for denne utrullingen.

Dokumentasjon av kompatibilitet må komme fra arbeidsgiverens dokumentasjon eller fra en kollega som har gjort det på samme modell, ikke fra at en pakke finnes i et depot.

Arkitektur er ikke en detalj

Noter Pi-ens OS-versjon og brukerromsarkitektur, klientversjonen du planlegger å bruke, og hvor den pakken kommer fra. En x86-installasjonsfil blir ikke egnet for en annen arkitektur fordi filnavnet er endret, og en leverandørklient som bare leverer x86-bygg kan ikke kjøre på Pi-en i det hele tatt. Den ene kjensgjerningen kan avgjøre hele spørsmålet før autentisering i det hele tatt diskuteres. Sjekk vedlikeholdet av pakkekilden i stedet for å installere en tilfeldig binærfil fra en forumtråd.

Et 64-biters brukerrom på en 64-biters kjerne er det enkle tilfellet; et 32-biters brukerrom på et 64-biters kort er der folk installerer feil pakke. dpkg --print-architecture og uname -m svarer på begge halvdeler på hver sin linje.

Autentisering avgjør arbeidsflyten

Passord, MFA og innlogging via nettleser pålegger hver sin arbeidsflyt. Et sertifikat på et maskinvaretoken kan kreve en driver som Pi-en ikke har, mens en SSO-flyt kan åpne et nettleservindu som en sesjon uten skjerm ikke kan vise. Noen gatewayer tilbyr en enhetskode- eller manuell kopieringsvei nettopp for det tilfellet, og andre gjør det ikke. Spør hvilken metode organisasjonen støtter for en Linux-vert uten skjerm, og test den deretter før du er avhengig av den.

Frontend-integrasjon er et separat valg fra autentisering. En NetworkManager-plugin kan ordne en tilkobling og lagre hemmelighetene dens, men den kan ikke gjøre en ustøttet autentiseringsmetode kompatibel. Hold de to spørsmålene fra hverandre.

Bevar arbeidsgiverens grense

Hvis organisasjonen krever sin offisielle klient, en administrert enhet eller en støttet distribusjon, følg kravet eller be om et godkjent alternativ. Å slå av sertifikatkontroller, etterligne posture-resultater eller slå av endepunktskontroller for at en annen klient skal se godkjent ut gjør et kompatibilitetsproblem til et policybrudd. Hold passord, sesjonscookies og private nøkler unna skallhistorikken og chat-transkripsjoner. En fungerende challenge-response er ikke tillatelse til å publisere sesjonsmaterialet.

Etter en godkjent registrering, bekreft privat DNS, de tiltenkte ressursene, en avvist ressurs og gjenoppkobling, alt fra Pi-en selv. En innlogget tunnel kan fortsatt rute feil eller mangle en autorisasjon.

Leveransen er en avtale som kan støttes, med en navngitt eier: hvilken klient, hvilken versjon, hvilken registreringsvei. Det slår å installere den leverandørnære klienten og håpe at de gjenværende kravene viser seg å være valgfrie.