VPN de serviciu pe un Raspberry Pi: puneți mai întâi aceste întrebări

Patru răspunsuri de la angajator decid dacă un Pi se poate alătura VPN-ului de serviciu: ce protocol de gateway vorbește, ce sisteme de operare și arhitecturi acceptă, cum trebuie să aibă loc autentificarea și dacă este permis un alt client decât cel oficial. Un URL de portal și cuvântul Linux nu rezolvă niciunul dintre ele. Întrebați înainte de a descărca ceva, pentru că răspunsurile schimbă ce pachet instalați și dacă o configurație fără ecran este deloc fezabilă.

Notați cele patru răspunsuri. Restul textului este ceea ce schimbă fiecare.

Protocolul gateway-ului decide clientul

Gateway-ul vorbește unul sau mai multe protocoale, iar clientul trebuie să implementeze protocolul pe care organizația dumneavoastră îl rulează efectiv. OpenConnect este o implementare independentă care a început cu compatibilitatea cu Cisco AnyConnect și acoperă acum mai multe gateway-uri de întreprindere; nu este clientul de marcă al furnizorului, iar compatibilitatea protocolului nu garantează suportul pentru fiecare funcție a gateway-ului, verificarea posturii sau politica dispozitivului. Confirmați protocolul cu echipa de rețea în loc să îl deduceți din URL-ul portalului. Apoi confirmați că angajatorul acceptă acest client pentru această implementare.

Dovezile de compatibilitate trebuie să vină din documentația angajatorului sau de la un coleg care a făcut-o pe același model, nu din existența unui pachet într-un depozit.

Arhitectura nu este un detaliu

Notați versiunea sistemului de operare și arhitectura spațiului de utilizator al Pi-ului, versiunea de client pe care intenționați să o folosiți și de unde provine acel pachet. Un instalator x86 nu devine potrivit pentru altă arhitectură pentru că i s-a schimbat numele fișierului, iar un client al furnizorului care livrează doar compilări x86 nu poate rula deloc pe Pi. Acest singur fapt poate rezolva întreaga chestiune înainte ca autentificarea să fie măcar discutată. Verificați întreținerea sursei pachetului în loc să instalați un binar rătăcit dintr-un fir de forum.

Un spațiu de utilizator pe 64 de biți pe un nucleu pe 64 de biți este cazul simplu; un spațiu de utilizator pe 32 de biți pe o placă pe 64 de biți este locul unde oamenii instalează pachetul greșit. dpkg --print-architecture și uname -m răspund la ambele jumătăți într-o singură linie fiecare.

Autentificarea decide fluxul de lucru

Parolele, MFA și autentificarea prin browser impun fiecare propriul flux de lucru. Un certificat păstrat pe un token hardware poate necesita un driver pe care Pi-ul nu îl are, în timp ce un flux SSO poate deschide o fereastră de browser pe care o sesiune fără ecran nu o poate afișa. Unele gateway-uri oferă o cale cu cod de dispozitiv sau copiere manuală exact pentru acel caz, iar altele nu. Întrebați ce metodă acceptă organizația pentru un host Linux fără ecran, apoi testați-o înainte de a vă baza pe ea.

Integrarea frontend-ului este o alegere separată de autentificare. Un plugin NetworkManager poate pregăti o conexiune și îi poate stoca secretele, dar nu poate face compatibilă o metodă de autentificare neacceptată. Țineți aceste două întrebări separate.

Păstrați intactă granița angajatorului

Dacă organizația cere clientul său oficial, un dispozitiv administrat sau o distribuție acceptată, urmați cerința sau cereți o alternativă aprobată. Dezactivarea verificărilor de certificate, imitarea rezultatelor de postură sau oprirea controalelor de punct final pentru ca un alt client să pară acceptat transformă o problemă de compatibilitate într-o încălcare de politică. Țineți parolele, cookie-urile de sesiune și cheile private în afara istoricului shell-ului și a transcrierilor de chat. Un challenge-response funcțional nu este permisiunea de a publica materialul sesiunii.

După o înregistrare aprobată, confirmați DNS-ul privat, resursele dorite, o resursă refuzată și reconectarea, toate de pe Pi-ul însuși. Un tunel autentificat poate totuși să rutareze greșit sau să nu aibă autorizare.

Rezultatul este un acord sustenabil cu un proprietar numit: ce client, ce versiune, ce cale de înregistrare. Asta este mai bun decât să instalați clientul apropiat de furnizor și să sperați că cerințele rămase se dovedesc opționale.