Arbeids-VPN på en Raspberry Pi: still disse spørsmålene først

Fire svar fra arbeidsgiveren avgjør om en Pi kan koble seg til arbeids-VPN-et: hvilken gateway-protokoll den bruker, hvilke operativsystemer og arkitekturer den støtter, hvordan autentiseringen skal foregå, og om en annen klient enn den offisielle er tillatt. En portal-URL og ordet Linux avgjør ingen av dem. Spør før du laster ned noe, fordi svarene endrer hvilken pakke du installerer og om en oppsett uten skjerm i det hele tatt lar seg gjøre.

Skriv ned de fire svarene. Resten av teksten handler om hva hvert av dem endrer.

Gateway-protokollen bestemmer klienten

Gatewayen snakker én eller flere protokoller, og klienten må implementere den protokollen organisasjonen din faktisk kjører. OpenConnect er en uavhengig implementasjon som startet med Cisco AnyConnect-kompatibilitet og nå dekker flere andre bedriftsgatewayer; den er ikke leverandørens merkevareklient, og protokollkompatibilitet garanterer ikke støtte for alle gatewayfunksjoner, posture-kontroller eller enhetsretningslinjer. Bekreft protokollen med nettverksteamet i stedet for å gjette den ut fra portalens URL. Bekreft deretter at arbeidsgiveren godtar denne klienten for denne utrullingen.

Dokumentasjon av kompatibilitet må komme fra arbeidsgiverens dokumentasjon eller fra en kollega som har gjort det på samme modell, ikke fra at en pakke finnes i et depot.

Arkitektur er ikke en bagatell

Noter Pi-ens OS-versjon og brukerromsarkitektur, klientversjonen du har tenkt å bruke, og hvor pakken kommer fra. En x86-installasjon blir ikke egnet for en annen arkitektur fordi filnavnet er endret, og en leverandørklient som bare leverer x86-bygg kan ikke kjøre på Pi-en i det hele tatt. Denne ene kjensgjerningen kan avgjøre hele spørsmålet før autentisering i det hele tatt blir diskutert. Kontroller vedlikeholdet av pakkekilden i stedet for å installere en tilfeldig binærfil fra en forumtråd.

Et 64-biters brukerrom på en 64-biters kjerne er det enkle tilfellet; et 32-biters brukerrom på et 64-biters kort er der folk installerer feil pakke. dpkg --print-architecture og uname -m svarer på begge halvdelene med én linje hver.

Autentiseringen bestemmer arbeidsflyten

Passord, MFA og innlogging via nettleser pålegger hver sin arbeidsflyt. Et sertifikat på et maskinvaretoken kan kreve en driver som Pi-en ikke har, mens en SSO-flyt kan åpne et nettleservindu som en sesjon uten skjerm ikke kan vise. Noen gatewayer tilbyr en enhetskode- eller manuell kopieringsvei nettopp for dette tilfellet, andre gjør det ikke. Spør hvilken metode organisasjonen støtter for en Linux-vert uten skjerm, og test den før du gjør deg avhengig av den.

Frontend-integrasjon er et eget valg fra autentiseringen. En NetworkManager-plugin kan sette opp en tilkobling og lagre hemmelighetene dens, men den kan ikke gjøre en ustøttet autentiseringsmetode kompatibel. Hold de to spørsmålene adskilt.

Bevar grensen til arbeidsgiveren

Hvis organisasjonen krever sin offisielle klient, en administrert enhet eller en støttet distribusjon, følg kravet eller be om et godkjent alternativ. Å slå av sertifikatkontroller, etterligne posture-resultater eller skru av endepunktskontroller for at en annen klient skal se godkjent ut gjør et kompatibilitetsproblem om til et brudd på retningslinjene. Hold passord, sesjonskaker og private nøkler unna skallhistorikken og chat-transkripsjoner. En fungerende challenge-response er ikke tillatelse til å publisere sesjonsmaterialet.

Etter en godkjent registrering, bekreft privat DNS, de tiltenkte ressursene, en avvist ressurs og gjenoppkobling, alt fra Pi-en selv. En innlogget tunnel kan fortsatt rute feil eller mangle en autorisasjon.

Resultatet er en avtale som kan støttes, med en navngitt eier: hvilken klient, hvilken versjon, hvilken registreringsvei. Det er bedre enn å installere den leverandørnære klienten og håpe at de resterende kravene viser seg å være valgfrie.