Радни VPN на Raspberry Pi-ју: прво поставите ова питања

Четири одговора послодавца одлучују може ли се Pi придружити радном VPN-у: који gateway протокол говори, које оперативне системе и архитектуре подржава, како аутентификација мора да се одвија и да ли је дозвољен клијент који није службени. URL портала и реч Linux не решавају ниједан од њих. Питајте пре него што било шта преузмете, јер одговори мењају који пакет инсталирате и да ли је поставка без екрана уопште изводљива.

Запишите четири одговора. Остатак овога је оно што сваки од њих мења.

Gateway протокол одлучује о клијенту

Gateway говори један или више протокола, а клијент мора да имплементира онај који ваша организација заиста користи. OpenConnect је независна имплементација која је почела компатибилношћу са Cisco AnyConnect и сада покрива неколико других пословних gateway-а; то није брендирани клијент произвођача и компатибилност протокола не гарантује подршку за сваку функцију gateway-а, проверу стања или политику уређаја. Потврдите протокол са мрежним тимом уместо да га закључујете из URL-а портала. Затим потврдите да послодавац прихвата овај клијент за ово увођење.

Докази о компатибилности морају доћи из документације послодавца или од колеге који је то урадио на истом моделу, а не из постојања пакета у репозиторијуму.

Архитектура није детаљ

Забележите издање OS-а на Pi-ју и архитектуру корисничког простора, верзију клијента коју намеравате да користите и одакле тај пакет долази. x86 инсталатер не постаје прикладан за другу архитектуру зато што му се променио назив датотеке, а клијент произвођача који испоручује само x86 градње не може уопште да ради на Pi-ју. Та једна чињеница може да реши цело питање пре него што се аутентификација уопште размотри. Проверите одржавање извора пакета уместо да инсталирате залутали бинарни фајл са форумске теме.

64-битни кориснички простор на 64-битном језгру је једноставан случај; 32-битни кориснички простор на 64-битној плочи је место где људи инсталирају погрешан пакет. dpkg --print-architecture и uname -m одговарају на обе половине у по једном реду.

Аутентификација одлучује о току рада

Лозинке, MFA и пријава посредством прегледача сваки намећу сопствени ток рада. Сертификат на хардверском токену може захтевати управљачки програм који Pi нема, док SSO ток може отворити прозор прегледача који сесија без екрана не може да прикаже. Неки gateway-и нуде путању са кодом уређаја или ручним копирањем управо за тај случај, а неки не. Питајте који метод организација подржава за Linux host без екрана, па га тестирајте пре него што се на њега ослоните.

Интеграција сучеља је одвојен избор од аутентификације. NetworkManager додатак може да уреди везу и сачува њене тајне, али не може неподржани метод аутентификације да учини компатибилним. Држите та два питања одвојено.

Сачувајте границу послодавца

Ако организација захтева свој службени клијент, управљани уређај или подржану дистрибуцију, следите тај захтев или затражите одобрену алтернативу. Искључивање провера сертификата, опонашање резултата стања или искључивање контрола крајњих тачака да би други клијент изгледао прихваћен претвара проблем компатибилности у кршење политике. Држите лозинке, колачиће сесије и приватне кључеве изван историје љуске и транскрипата разговора. Исправан изазов-одговор није дозвола за објављивање сесијског материјала.

Након одобрене регистрације потврдите приватни DNS, предвиђене ресурсе, одбијени ресурс и поновно повезивање, све са самог Pi-ја. Пријављени тунел и даље може погрешно да усмерава или му може недостајати овлашћење.

Резултат је одржив споразум са именованим власником: који клијент, која верзија, која путања регистрације. То је боље од инсталирања клијента блиског произвођачу и наде да ће се преостали захтеви показати као необавезни.