Delovni VPN na Raspberry Pi: najprej postavite ta vprašanja

Štirje odgovori delodajalca odločajo, ali se lahko Pi pridruži delovnemu VPN: kateri protokol prehoda govori, katere operacijske sisteme in arhitekture podpira, kako mora potekati preverjanje pristnosti in ali je dovoljen drug klient od uradnega. URL portala in beseda Linux ne odločita nobenega od njih. Vprašajte, preden karkoli prenesete, ker odgovori spremenijo, kateri paket namestite in ali je nastavitev brez zaslona sploh izvedljiva.

Zapišite štiri odgovore. Preostanek besedila je to, kar vsak od njih spremeni.

Protokol prehoda odloči o klientu

Prehod govori enega ali več protokolov, klient pa mora izvesti tistega, ki ga vaša organizacija dejansko uporablja. OpenConnect je neodvisna izvedba, ki se je začela s združljivostjo s Cisco AnyConnect in zdaj pokriva več drugih poslovnih prehodov; ni blagovni klient proizvajalca in združljivost protokola ne zagotavlja podpore za vsako funkcijo prehoda, preverjanje drže ali politiko naprave. Potrdite protokol z omrežno ekipo, namesto da ga sklepate iz URL-ja portala. Nato potrdite, da delodajalec tega klienta za to uvedbo sprejema.

Dokazi o združljivosti morajo priti iz dokumentacije delodajalca ali od kolega, ki je to naredil na istem modelu, ne iz obstoja paketa v shrambi.

Arhitektura ni podrobnost

Zapišite različico operacijskega sistema in arhitekturo uporabniškega prostora Pi, različico klienta, ki ga nameravate uporabiti, in od kod prihaja ta paket. Namestitveni program x86 ne postane primeren za drugo arhitekturo zato, ker se je spremenilo ime datoteke, in klient proizvajalca, ki dobavlja samo gradnje x86, na Pi sploh ne more teči. To eno dejstvo lahko reši celotno vprašanje, še preden se začne govoriti o preverjanju pristnosti. Preverite vzdrževanje vira paketa, namesto da namestite zablodelo binarno datoteko iz niti foruma.

64-bitni uporabniški prostor na 64-bitnem jedru je preprost primer; 32-bitni uporabniški prostor na 64-bitni plošči je mesto, kjer ljudje namestijo napačen paket. dpkg --print-architecture in uname -m odgovorita na obe polovici z eno vrstico.

Preverjanje pristnosti odloči o poteku dela

Gesla, MFA in prijava prek brskalnika vsak vsiljujejo svoj potek dela. Potrdilo na strojnem žetonu lahko zahteva gonilnik, ki ga Pi nima, medtem ko lahko tok SSO odpre okno brskalnika, ki ga seja brez zaslona ne more prikazati. Nekateri prehodi ponujajo pot s kodo naprave ali ročnim kopiranjem prav za tak primer, drugi ne. Vprašajte, katero metodo organizacija podpira za gostitelja Linux brez zaslona, in jo nato preizkusite, preden se nanjo zanesete.

Integracija čelnega dela je ločena izbira od preverjanja pristnosti. Vtičnik NetworkManager lahko uredi povezavo in shrani njene skrivnosti, ne more pa nepodprte metode preverjanja pristnosti narediti združljive. Ti dve vprašanji imejte ločeni.

Ohranite mejo delodajalca

Če organizacija zahteva svojega uradnega klienta, upravljano napravo ali podprto distribucijo, sledite tej zahtevi ali zaprosite za odobreno alternativo. Izklop preverjanj potrdil, posnemanje rezultatov drže ali izklop nadzora končnih točk, da bi se drug klient zdel sprejet, spremeni težavo združljivosti v kršitev politike. Gesla, piškotke seje in zasebne ključe hranite zunaj zgodovine lupine in prepisov klepeta. Delujoč izziv-odgovor ni dovoljenje za objavo gradiva seje.

Po odobreni registraciji potrdite zasebni DNS, predvidene vire, zavrnjen vir in ponovno povezavo, vse z samega Pi. Prijavljen tunel lahko še vedno usmerja napačno ali mu manjka pooblastilo.

Rezultat je vzdržen dogovor z imenovanim lastnikom: kateri klient, katera različica, katera pot registracije. To je bolje kot namestiti proizvajalcu bližnjega klienta in upati, da se bodo preostale zahteve izkazale za neobvezne.