Raspberry Pi üzerinde iş VPN’i: önce bu soruları sorun

İşverenden alınan dört yanıt, bir Pi’nin iş VPN’ine katılıp katılamayacağını belirler: hangi ağ geçidi protokolünü konuştuğu, hangi işletim sistemlerini ve mimarileri desteklediği, kimlik doğrulamanın nasıl yapılması gerektiği ve resmi olmayan bir istemciye izin verilip verilmediği. Bir portal URL’si ve Linux kelimesi bunlardan hiçbirini çözmez. Bir şey indirmeden önce sorun, çünkü yanıtlar hangi paketi kuracağınızı ve ekransız bir kurulumun mümkün olup olmadığını değiştirir.

Dört yanıtı yazın. Geri kalanı, her birinin neyi değiştirdiğidir.

İstemciyi ağ geçidi protokolü belirler

Ağ geçidi bir veya daha fazla protokol konuşur ve istemci, kuruluşunuzun gerçekte çalıştırdığı protokolü uygulamalıdır. OpenConnect, Cisco AnyConnect uyumluluğuyla başlayan ve artık birkaç başka kurumsal ağ geçidini kapsayan bağımsız bir uygulamadır; satıcının markalı istemcisi değildir ve protokol uyumluluğu her ağ geçidi özelliği, duruş denetimi veya cihaz ilkesi için destek garanti etmez. Protokolü portalın URL’sinden çıkarmak yerine ağ ekibiyle doğrulayın. Ardından işverenin bu dağıtım için bu istemciyi kabul ettiğini doğrulayın.

Uyumluluk kanıtları işverenin belgelerinden veya aynı modelde bunu yapmış bir iş arkadaşından gelmelidir; bir depoda paket bulunmasından değil.

Mimari bir ayrıntı değildir

Pi’nin işletim sistemi sürümünü ve kullanıcı alanı mimarisini, kullanmayı planladığınız istemci sürümünü ve bu paketin nereden geldiğini kaydedin. Bir x86 yükleyicisi, dosya adı değiştiği için başka bir mimariye uygun hale gelmez ve yalnızca x86 derlemeleri sunan bir satıcı istemcisi Pi’de hiç çalışamaz. Bu tek gerçek, kimlik doğrulama tartışılmadan önce tüm soruyu çözebilir. Forum başlığından başıboş bir ikili dosya kurmak yerine paket kaynağının bakımını kontrol edin.

64 bit çekirdek üzerinde 64 bit kullanıcı alanı kolay durumdur; 64 bit kart üzerinde 32 bit kullanıcı alanı, insanların yanlış paketi kurduğu yerdir. dpkg --print-architecture ve uname -m her iki yarıyı da tek satırda yanıtlar.

İş akışını kimlik doğrulama belirler

Parolalar, MFA ve tarayıcı üzerinden oturum açma her biri kendi iş akışını dayatır. Bir donanım belirtecinde saklanan sertifika, Pi’de olmayan bir sürücü gerektirebilir; SSO akışı ise ekransız bir oturumun gösteremeyeceği bir tarayıcı penceresi açabilir. Bazı ağ geçitleri tam bu durum için cihaz kodu veya elle kopyalama yolu sunar, bazıları sunmaz. Kuruluşun ekransız bir Linux ana bilgisayarı için hangi yöntemi desteklediğini sorun, sonra ona güvenmeden önce test edin.

Ön uç entegrasyonu kimlik doğrulamadan ayrı bir seçimdir. Bir NetworkManager eklentisi bir bağlantı düzenleyebilir ve sırlarını saklayabilir, ancak desteklenmeyen bir kimlik doğrulama yöntemini uyumlu hale getiremez. Bu iki soruyu ayrı tutun.

İşverenin sınırını koruyun

Kuruluş resmi istemcisini, yönetilen bir cihazı veya desteklenen bir dağıtımı zorunlu kılıyorsa bu gerekliliğe uyun ya da onaylanmış bir alternatif isteyin. Sertifika denetimlerini kapatmak, duruş sonuçlarını taklit etmek veya başka bir istemcinin kabul edilmiş görünmesi için uç nokta denetimlerini kapatmak, bir uyumluluk sorununu ilke ihlaline dönüştürür. Parolaları, oturum çerezlerini ve özel anahtarları kabuk geçmişinden ve sohbet dökümlerinden uzak tutun. Çalışan bir challenge-response, oturum malzemesini yayımlama izni değildir.

Onaylanmış bir kayıttan sonra özel DNS’i, amaçlanan kaynakları, reddedilen bir kaynağı ve yeniden bağlanmayı Pi’nin kendisinden doğrulayın. Oturum açmış bir tünel yine de yanlış yönlendirebilir veya bir yetkilendirmeden yoksun olabilir.

Sonuç, adlandırılmış bir sahibi olan sürdürülebilir bir anlaşmadır: hangi istemci, hangi sürüm, hangi kayıt yolu. Bu, satıcıya yakın istemciyi kurup kalan gereksinimlerin isteğe bağlı olduğunu ummaktan daha iyidir.