Рабочий VPN на Raspberry Pi: сначала задайте эти вопросы

Четыре ответа от работодателя определяют, может ли Pi подключиться к рабочему VPN: какой протокол шлюза он использует, какие операционные системы и архитектуры поддерживает, как должна проходить аутентификация и разрешён ли клиент, отличный от официального. URL портала и слово Linux не решают ни одного из них. Спросите до того, как что-либо скачивать, потому что ответы меняют, какой пакет вы установите и возможна ли вообще настройка без экрана.

Запишите четыре ответа. Остальное здесь — это то, что меняет каждый из них.

Протокол шлюза определяет клиент

Шлюз говорит на одном или нескольких протоколах, и клиент должен реализовывать тот, который ваша организация действительно использует. OpenConnect — независимая реализация, начавшаяся с совместимости с Cisco AnyConnect и теперь охватывающая несколько других корпоративных шлюзов; это не фирменный клиент производителя, и совместимость протокола не гарантирует поддержку каждой функции шлюза, проверки состояния или политики устройства. Подтвердите протокол у сетевой команды, а не выводите его из URL портала. Затем подтвердите, что работодатель принимает этот клиент для этого развёртывания.

Доказательства совместимости должны исходить из документации работодателя или от коллеги, сделавшего это на той же модели, а не из наличия пакета в репозитории.

Архитектура — не мелочь

Запишите версию ОС Pi и архитектуру пользовательского пространства, версию клиента, которую вы собираетесь использовать, и откуда берётся этот пакет. Установщик x86 не становится пригодным для другой архитектуры из-за того, что изменилось имя файла, и клиент производителя, который поставляет только сборки x86, вообще не может работать на Pi. Этот единственный факт может решить весь вопрос ещё до обсуждения аутентификации. Проверьте сопровождение источника пакета, вместо того чтобы устанавливать случайный бинарный файл из ветки форума.

64-битное пользовательское пространство на 64-битном ядре — простой случай; 32-битное пользовательское пространство на 64-битной плате — это место, где люди устанавливают неправильный пакет. dpkg --print-architecture и uname -m отвечают на обе половины по одной строке.

Аутентификация определяет рабочий процесс

Пароли, MFA и вход через браузер каждый навязывают собственный рабочий процесс. Сертификат на аппаратном токене может требовать драйвера, которого у Pi нет, тогда как поток SSO может открыть окно браузера, которое сеанс без экрана показать не может. Некоторые шлюзы предлагают путь с кодом устройства или ручным копированием именно для такого случая, а некоторые нет. Спросите, какой метод организация поддерживает для Linux-хоста без экрана, и проверьте его, прежде чем полагаться на него.

Интеграция интерфейса — отдельный выбор от аутентификации. Плагин NetworkManager может организовать подключение и сохранить его секреты, но не может сделать неподдерживаемый метод аутентификации совместимым. Держите эти два вопроса отдельно.

Сохраняйте границу работодателя

Если организация требует свой официальный клиент, управляемое устройство или поддерживаемый дистрибутив, следуйте этому требованию или запросите одобренную альтернативу. Отключение проверок сертификатов, имитация результатов состояния или отключение контроля конечных точек, чтобы другой клиент выглядел принятым, превращает проблему совместимости в нарушение политики. Держите пароли, сессионные cookie и закрытые ключи вне истории оболочки и расшифровок чатов. Работающий challenge-response — не разрешение публиковать материалы сеанса.

После одобренной регистрации подтвердите частный DNS, предполагаемые ресурсы, отклонённый ресурс и переподключение — всё с самого Pi. Туннель с выполненным входом всё ещё может маршрутизировать неправильно или не иметь авторизации.

Результат — поддерживаемое соглашение с названным владельцем: какой клиент, какая версия, какой путь регистрации. Это лучше, чем установить близкий к производителю клиент и надеяться, что остальные требования окажутся необязательными.