Arbeids-VPN på ein Raspberry Pi: still desse spørsmåla først

Fire svar frå arbeidsgjevaren avgjer om ein Pi kan bli med i arbeids-VPN-en: kva gateway-protokoll han snakkar, kva operativsystem og arkitekturer han støttar, korleis autentisering må skje, og om ein annan klient enn den offisielle er tillaten. Ein portal-URL og ordet Linux avgjer ingen av dei. Spør før du lastar ned noko, fordi svara endrar kva pakke du installerer og om eit oppsett utan skjerm i det heile er mogleg.

Skriv ned dei fire svara. Resten av dette er kva kvart av dei endrar.

Gateway-protokollen avgjer klienten

Gatewayen snakkar éin eller fleire protokollar, og klienten må implementere den organisasjonen din faktisk køyrer. OpenConnect er ein uavhengig implementasjon som byrja med Cisco AnyConnect-kompatibilitet og no dekkjer fleire andre bedriftsgatewayar; han er ikkje merkevareklienten til leverandøren, og protokollkompatibilitet garanterer ikkje støtte for kvar gatewayfunksjon, posture-sjekk eller einingpolicy. Stadfest protokollen med nettverksteamet i staden for å utleie han frå URL-en til portalen. Stadfest deretter at arbeidsgjevaren godtek denne klienten for denne utrullinga.

Dokumentasjon av kompatibilitet må kome frå dokumentasjonen til arbeidsgjevaren eller frå ein kollega som har gjort det på same modell, ikkje frå at ein pakke finst i eit depot.

Arkitektur er ikkje ein detalj

Noter OS-versjonen og brukarromsarkitekturen til Pi-en, klientversjonen du planlegg å bruke, og kvar den pakka kjem frå. Ein x86-installasjonsfil blir ikkje eigna for ein annan arkitektur fordi filnamnet er endra, og ein leverandørklient som berre leverer x86-bygg kan ikkje køyre på Pi-en i det heile. Den eine kjensgjerninga kan avgjere heile spørsmålet før autentisering i det heile blir drøfta. Sjekk vedlikehaldet av pakkekjelda i staden for å installere ei tilfeldig binærfil frå ein forumtråd.

Eit 64-bitars brukarrom på ein 64-bitars kjerne er det enkle tilfellet; eit 32-bitars brukarrom på eit 64-bitars kort er der folk installerer feil pakke. dpkg --print-architecture og uname -m svarar på båe halvdelar på kvar si linje.

Autentisering avgjer arbeidsflyten

Passord, MFA og innlogging via nettlesar pålegg kvar sin arbeidsflyt. Eit sertifikat på eit maskinvaretoken kan krevje ein drivar som Pi-en ikkje har, medan ein SSO-flyt kan opne eit nettlesarvindauge som ein sesjon utan skjerm ikkje kan vise. Nokre gatewayar tilbyr ein einingskode- eller manuell kopieringsveg nettopp for det tilfellet, og andre gjer det ikkje. Spør kva metode organisasjonen støttar for ein Linux-vert utan skjerm, og test han deretter før du er avhengig av han.

Frontend-integrasjon er eit separat val frå autentisering. Ein NetworkManager-plugin kan ordne ei tilkopling og lagre løyndomane hennar, men han kan ikkje gjere ein ustøtta autentiseringsmetode kompatibel. Hald dei to spørsmåla frå kvarandre.

Hald grensa til arbeidsgjevaren intakt

Viss organisasjonen krev sin offisielle klient, ei styrt eining eller ein støtta distribusjon, følg kravet eller be om eit godkjent alternativ. Å slå av sertifikatkontrollar, etterlikne posture-resultat eller slå av endepunktskontrollar for at ein annan klient skal sjå godkjend ut gjer eit kompatibilitetsproblem til eit policybrot. Hald passord, sesjonscookies og private nøklar unna skallhistorikken og chat-transkripsjonar. Ein fungerande challenge-response er ikkje løyve til å publisere sesjonsmaterialet.

Etter ei godkjend registrering, stadfest privat DNS, dei tiltenkte ressursane, ein avvist ressurs og gjenoppkopling, alt frå Pi-en sjølv. Ein innlogga tunnel kan framleis rute feil eller mangla ein autorisasjon.

Leveransen er ein avtale som kan støttast, med ein namngjeven eigar: kva klient, kva versjon, kva registreringsveg. Det slår å installere den leverandørnære klienten og håpe at dei gjenverande krava viser seg å vere valfrie.