Pracovné VPN na Raspberry Pi: najprv si položte tieto otázky

Štyri odpovede od zamestnávateľa rozhodujú, či sa Pi môže pripojiť k pracovnému VPN: akým protokolom brány hovorí, ktoré operačné systémy a architektúry podporuje, ako má prebiehať autentifikácia a či je povolený iný klient než oficiálny. URL portálu a slovo Linux nerozhodnú ani jednu z nich. Pýtajte sa predtým, než čokoľvek stiahnete, pretože odpovede menia, ktorý balík nainštalujete a či je nastavenie bez obrazovky vôbec možné.

Zapíšte si štyri odpovede. Zvyšok textu je to, čo každá z nich mení.

Protokol brány určuje klienta

Brána hovorí jedným alebo viacerými protokolmi a klient musí implementovať ten, ktorý vaša organizácia skutočne prevádzkuje. OpenConnect je nezávislá implementácia, ktorá začala kompatibilitou s Cisco AnyConnect a teraz pokrýva niekoľko ďalších podnikových brán; nie je to značkový klient výrobcu a kompatibilita protokolu nezaručuje podporu každej funkcie brány, kontroly postoja ani politiky zariadenia. Potvrďte protokol so sieťovým tímom namiesto toho, aby ste ho odvodzovali z URL portálu. Potom potvrďte, že zamestnávateľ tohto klienta pre toto nasadenie akceptuje.

Dôkazy o kompatibilite musia pochádzať z dokumentácie zamestnávateľa alebo od kolegu, ktorý to urobil na tom istom modeli, nie z existencie balíka v repozitári.

Architektúra nie je detail

Zapíšte verziu operačného systému a architektúru používateľského priestoru Pi, verziu klienta, ktorú hodláte použiť, a odkiaľ tento balík pochádza. Inštalátor x86 sa nestane vhodným pre inú architektúru len preto, že sa zmenil názov súboru, a klientsky program výrobcu, ktorý dodáva len zostavenia x86, na Pi vôbec nemôže bežať. Tento jediný fakt môže vyriešiť celú otázku ešte predtým, než sa začne hovoriť o autentifikácii. Skontrolujte údržbu zdroja balíka namiesto toho, aby ste inštalovali zblúdilý binárny súbor z vlákna fóra.

64-bitový používateľský priestor na 64-bitovom jadre je jednoduchý prípad; 32-bitový používateľský priestor na 64-bitovej doske je miesto, kde ľudia inštalujú nesprávny balík. dpkg --print-architecture a uname -m odpovedajú na obe polovice jedným riadkom.

Autentifikácia určuje postup práce

Heslá, MFA a prihlásenie cez prehliadač každé vnucuje vlastný postup. Certifikát na hardvérovom tokene môže vyžadovať ovládač, ktorý Pi nemá, zatiaľ čo tok SSO môže otvoriť okno prehliadača, ktoré relácia bez obrazovky nevie zobraziť. Niektoré brány ponúkajú cestu s kódom zariadenia alebo ručným kopírovaním presne pre taký prípad, iné nie. Opýtajte sa, ktorú metódu organizácia podporuje pre hostiteľa Linux bez obrazovky, a potom ju otestujte, než sa na ňu spolehnete.

Integrácia frontendu je samostatná voľba od autentifikácie. Plugin NetworkManageru môže zariadiť pripojenie a uložiť jeho tajomstvá, ale nedokáže nepodporovanú metódu autentifikácie urobiť kompatibilnou. Držte tieto dve otázky oddelene.

Zachovajte hranicu zamestnávateľa

Ak organizácia vyžaduje svojho oficiálneho klienta, spravované zariadenie alebo podporovanú distribúciu, dodržte túto požiadavku alebo požiadajte o schválenú alternatívu. Vypnutie kontrol certifikátov, napodobňovanie výsledkov postoja alebo vypnutie kontrol koncových bodov, aby sa iný klient javil ako prijatý, mení problém kompatibility na porušenie politiky. Držte heslá, cookies relácie a súkromné kľúče mimo histórie shellu a prepisov chatu. Fungujúca výzva-odpoveď nie je povolenie zverejniť materiál relácie.

Po schválenej registrácii potvrďte súkromné DNS, zamýšľané prostriedky, odmietnutý prostriedok a opätovné pripojenie, a to všetko priamo z Pi. Prihlásený tunel môže stále smerovať nesprávne alebo mu môže chýbať oprávnenie.

Výsledkom je udržateľná dohoda s menovaným vlastníkom: ktorý klient, ktorá verzia, ktorá cesta registrácie. To je lepšie než nainštalovať klienta blízkeho výrobcovi a dúfať, že zostávajúce požiadavky sa ukážu ako voliteľné.