VPN sa trabaho sa isang Raspberry Pi: itanong muna ang mga tanong na ito

Apat na sagot mula sa employer ang nagtatakda kung ang isang Pi ay makakasali sa VPN sa trabaho: kung aling protocol ng gateway ang sinasalita nito, aling mga operating system at arkitektura ang sinusuportahan nito, paano dapat mangyari ang pagpapatunay, at kung pinapayagan ang kliyenteng iba sa opisyal. Ang URL ng portal at ang salitang Linux ay hindi nagtatakda ng kahit isa sa mga ito. Itanong bago mag-download ng anuman, dahil binabago ng mga sagot kung aling pakete ang iyong i-install at kung posible bang talaga ang setup na walang screen.

Isulat ang apat na sagot. Ang natitira ay kung ano ang binabago ng bawat isa.

Ang protocol ng gateway ang nagtatakda ng kliyente

Nagsasalita ang gateway ng isa o higit pang protocol, at dapat ipatupad ng kliyente ang ginagamit talaga ng iyong organisasyon. Ang OpenConnect ay isang malayang implementasyon na nagsimula sa pagiging compatible sa Cisco AnyConnect at ngayon ay sumasaklaw sa ilang iba pang enterprise gateway; hindi ito ang branded na kliyente ng vendor, at ang compatibility ng protocol ay hindi ginagarantiyahan ang suporta sa bawat feature ng gateway, pagsusuri ng postura o patakaran ng device. Kumpirmahin ang protocol sa network team sa halip na hulaan ito mula sa URL ng portal. Pagkatapos ay kumpirmahin na tinatanggap ng employer ang kliyenteng ito para sa deployment na ito.

Ang ebidensiya ng compatibility ay dapat magmula sa dokumentasyon ng employer o sa isang kasamahang gumawa nito sa parehong modelo, hindi sa pagkakaroon ng pakete sa isang repository.

Ang arkitektura ay hindi isang detalye

Itala ang bersyon ng OS at arkitektura ng user space ng Pi, ang bersyon ng kliyenteng balak mong gamitin, at kung saan nagmumula ang paketeng iyon. Ang x86 installer ay hindi nagiging angkop sa ibang arkitektura dahil lang nagbago ang pangalan ng file, at ang kliyente ng vendor na nagbibigay lamang ng mga x86 build ay hindi talaga makakatakbo sa Pi. Ang nag-iisang katotohanang ito ay maaaring tumapos sa buong tanong bago pa man pag-usapan ang pagpapatunay. Suriin ang pagpapanatili ng pinagmulan ng pakete sa halip na mag-install ng ligaw na binary mula sa isang thread sa forum.

Ang 64-bit na user space sa 64-bit na kernel ay ang simpleng kaso; ang 32-bit na user space sa 64-bit na board ang lugar kung saan nag-i-install ang mga tao ng maling pakete. Sinasagot ng dpkg --print-architecture at uname -m ang parehong kalahati sa isang linya bawat isa.

Ang pagpapatunay ang nagtatakda ng workflow

Ang mga password, MFA at pag-sign in sa pamamagitan ng browser ay bawat isa ay nagpipilit ng sariling workflow. Ang sertipikong nakaimbak sa isang hardware token ay maaaring mangailangan ng driver na wala sa Pi, habang ang SSO flow ay maaaring magbukas ng window ng browser na hindi maipakita ng session na walang screen. Ang ilang gateway ay nag-aalok ng device-code o manual-copy na landas para sa ganitong kaso, at ang iba ay hindi. Itanong kung aling paraan ang sinusuportahan ng organisasyon para sa Linux host na walang screen, pagkatapos ay subukan ito bago umasa dito.

Ang integrasyon ng frontend ay hiwalay na pagpipilian mula sa pagpapatunay. Ang plugin ng NetworkManager ay maaaring mag-ayos ng koneksyon at mag-imbak ng mga sikreto nito, ngunit hindi nito magagawang compatible ang isang hindi sinusuportahang paraan ng pagpapatunay. Panatilihing hiwalay ang dalawang tanong na iyon.

Panatilihing buo ang hangganan ng employer

Kung hinihiling ng organisasyon ang opisyal nitong kliyente, isang pinamamahalaang device o isang sinusuportahang distribusyon, sundin ang kahilingang iyon o humingi ng aprubadong alternatibo. Ang pag-off ng mga pagsusuri ng sertipiko, paggaya ng mga resulta ng postura o pag-off ng mga kontrol sa endpoint upang magmukhang tinanggap ang ibang kliyente ay ginagawang paglabag sa patakaran ang isang problema sa compatibility. Ilayo ang mga password, cookies ng session at pribadong key sa history ng shell at mga transcript ng chat. Ang gumaganang challenge-response ay hindi pahintulot na ilathala ang materyal ng session.

Pagkatapos ng aprubadong pagpapatala, kumpirmahin ang pribadong DNS, ang mga inilaan na mapagkukunan, isang tinanggihang mapagkukunan at muling pagkonekta, lahat mula sa Pi mismo. Ang naka-log in na tunnel ay maaari pa ring mag-ruta nang mali o kulang sa awtorisasyon.

Ang resulta ay isang napapanatiling kasunduan na may pinangalanang may-ari: aling kliyente, aling bersyon, aling landas ng pagpapatala. Mas mabuti iyon kaysa mag-install ng kliyenteng malapit sa vendor at umasa na ang natitirang mga kinakailangan ay magiging opsyonal.