Radni VPN na Raspberry Pi-ju: prvo postavite ova pitanja

Četiri odgovora poslodavca odlučuju može li se Pi pridružiti radnom VPN-u: koji gateway protokol govori, koje operativne sisteme i arhitekture podržava, kako autentifikacija mora da se odvija i da li je dopušten klijent koji nije službeni. URL portala i riječ Linux ne rješavaju nijedan od njih. Pitajte prije nego što bilo šta preuzmete, jer odgovori mijenjaju koji paket instalirate i da li je postavka bez ekrana uopće izvediva.

Zapišite četiri odgovora. Ostatak ovoga je ono što svaki od njih mijenja.

Gateway protokol odlučuje o klijentu

Gateway govori jedan ili više protokola, a klijent mora implementirati onaj koji vaša organizacija zaista koristi. OpenConnect je nezavisna implementacija koja je počela kompatibilnošću s Cisco AnyConnect i sada pokriva nekoliko drugih poslovnih gatewaya; to nije brendirani klijent proizvođača i kompatibilnost protokola ne garantuje podršku za svaku funkciju gatewaya, provjeru stanja ili politiku uređaja. Potvrdite protokol s mrežnim timom umjesto da ga zaključujete iz URL-a portala. Zatim potvrdite da poslodavac prihvata ovaj klijent za ovo uvođenje.

Dokazi o kompatibilnosti moraju doći iz poslodavčeve dokumentacije ili od kolege koji je to uradio na istom modelu, a ne iz postojanja paketa u repozitoriju.

Arhitektura nije detalj

Zabilježite izdanje OS-a na Pi-ju i arhitekturu korisničkog prostora, verziju klijenta koju namjeravate koristiti i odakle taj paket dolazi. x86 instalater ne postaje prikladan za drugu arhitekturu zato što mu se promijenio naziv datoteke, a klijent proizvođača koji isporučuje samo x86 gradnje ne može uopće raditi na Pi-ju. Ta jedna činjenica može riješiti cijelo pitanje prije nego što se autentifikacija uopće razmotri. Provjerite održavanje izvora paketa umjesto da instalirate zalutali binarni fajl s forumske teme.

64-bitni korisnički prostor na 64-bitnom jezgru je jednostavan slučaj; 32-bitni korisnički prostor na 64-bitnoj ploči je mjesto gdje ljudi instaliraju pogrešan paket. dpkg --print-architecture i uname -m odgovaraju na obje polovine u po jednom redu.

Autentifikacija odlučuje o toku rada

Lozinke, MFA i prijava posredstvom preglednika svaki nameću vlastiti tok rada. Certifikat na hardverskom tokenu može zahtijevati upravljački program koji Pi nema, dok SSO tok može otvoriti prozor preglednika koji sesija bez ekrana ne može prikazati. Neki gatewayi nude putanju s kodom uređaja ili ručnim kopiranjem upravo za taj slučaj, a neki ne. Pitajte koji metod organizacija podržava za Linux host bez ekrana, pa ga testirajte prije nego što se na njega oslonite.

Integracija sučelja je odvojen izbor od autentifikacije. NetworkManager dodatak može urediti vezu i sačuvati njene tajne, ali ne može nepodržani metod autentifikacije učiniti kompatibilnim. Držite ta dva pitanja odvojeno.

Sačuvajte granicu poslodavca

Ako organizacija zahtijeva svoj službeni klijent, upravljani uređaj ili podržanu distribuciju, slijedite taj zahtjev ili zatražite odobrenu alternativu. Isključivanje provjera certifikata, oponašanje rezultata stanja ili isključivanje kontrola krajnjih točaka da bi drugi klijent izgledao prihvaćen pretvara problem kompatibilnosti u kršenje politike. Držite lozinke, kolačiće sesije i privatne ključeve izvan historije ljuske i transkripata razgovora. Ispravan izazov-odgovor nije dopuštenje za objavljivanje sesijskog materijala.

Nakon odobrene registracije potvrdite privatni DNS, predviđene resurse, odbijeni resurs i ponovno povezivanje, sve s Pi-ja samog. Prijavljeni tunel i dalje može pogrešno usmjeravati ili mu nedostajati ovlaštenje.

Rezultat je održiv sporazum s imenovanim vlasnikom: koji klijent, koja verzija, koja putanja registracije. To je bolje od instaliranja klijenta bliskog proizvođaču i nade da će se preostali zahtjevi pokazati neobveznim.