VPN công việc trên Raspberry Pi: hãy hỏi những câu này trước

Bốn câu trả lời từ nhà tuyển dụng quyết định liệu một Pi có thể tham gia VPN công việc hay không: nó nói giao thức cổng nào, hỗ trợ hệ điều hành và kiến trúc nào, xác thực phải diễn ra ra sao, và có cho phép ứng dụng khách không chính thức hay không. URL cổng thông tin và từ Linux không giải quyết được điều nào trong số đó. Hãy hỏi trước khi tải xuống bất cứ thứ gì, vì câu trả lời thay đổi gói bạn cài và liệu thiết lập không màn hình có khả thi hay không.

Ghi lại bốn câu trả lời. Phần còn lại là điều mỗi câu trả lời thay đổi.

Giao thức cổng quyết định ứng dụng khách

Cổng nói một hoặc nhiều giao thức, và ứng dụng khách phải triển khai giao thức mà tổ chức của bạn thực sự chạy. OpenConnect là một triển khai độc lập khởi đầu bằng khả năng tương thích với Cisco AnyConnect và nay bao phủ một số cổng doanh nghiệp khác; nó không phải ứng dụng khách có thương hiệu của nhà cung cấp, và tương thích giao thức không bảo đảm hỗ trợ mọi tính năng cổng, kiểm tra tư thế hay chính sách thiết bị. Xác nhận giao thức với nhóm mạng thay vì suy đoán từ URL cổng thông tin. Sau đó xác nhận nhà tuyển dụng chấp nhận ứng dụng khách này cho lần triển khai này.

Bằng chứng tương thích phải đến từ tài liệu của nhà tuyển dụng hoặc từ đồng nghiệp đã làm trên cùng mẫu máy, không phải từ việc có một gói trong kho.

Kiến trúc không phải chi tiết nhỏ

Ghi lại phiên bản hệ điều hành và kiến trúc không gian người dùng của Pi, phiên bản ứng dụng khách bạn định dùng và nguồn gốc của gói đó. Trình cài đặt x86 không trở nên phù hợp với kiến trúc khác chỉ vì tên tệp đã thay đổi, và ứng dụng khách của nhà cung cấp chỉ phát hành bản dựng x86 hoàn toàn không thể chạy trên Pi. Riêng sự thật này có thể giải quyết toàn bộ câu hỏi trước khi xác thực được bàn đến. Hãy kiểm tra việc bảo trì nguồn gói thay vì cài một tệp nhị phân lạc từ một luồng diễn đàn.

Không gian người dùng 64 bit trên nhân 64 bit là trường hợp đơn giản; không gian người dùng 32 bit trên bo mạch 64 bit là nơi mọi người cài nhầm gói. dpkg --print-architecture và uname -m trả lời cả hai nửa bằng một dòng mỗi cái.

Xác thực quyết định quy trình làm việc

Mật khẩu, MFA và đăng nhập qua trình duyệt mỗi thứ áp đặt một quy trình riêng. Chứng chỉ lưu trên token phần cứng có thể cần trình điều khiển mà Pi không có, trong khi luồng SSO có thể mở cửa sổ trình duyệt mà phiên không màn hình không thể hiển thị. Một số cổng cung cấp đường mã thiết bị hoặc sao chép thủ công đúng cho trường hợp đó, số khác thì không. Hỏi tổ chức hỗ trợ phương thức nào cho máy chủ Linux không màn hình, rồi kiểm thử trước khi phụ thuộc vào nó.

Tích hợp giao diện là lựa chọn tách biệt với xác thực. Một plugin NetworkManager có thể sắp xếp kết nối và lưu bí mật của nó, nhưng không thể làm cho một phương thức xác thực không được hỗ trợ trở nên tương thích. Hãy tách hai câu hỏi đó.

Giữ nguyên ranh giới của nhà tuyển dụng

Nếu tổ chức yêu cầu ứng dụng khách chính thức, thiết bị được quản lý hoặc bản phân phối được hỗ trợ, hãy tuân theo yêu cầu đó hoặc xin một phương án thay thế đã được phê duyệt. Tắt kiểm tra chứng chỉ, mô phỏng kết quả tư thế hoặc tắt kiểm soát điểm cuối để ứng dụng khách khác trông như được chấp nhận biến một vấn đề tương thích thành vi phạm chính sách. Giữ mật khẩu, cookie phiên và khóa riêng tư ngoài lịch sử shell và bản ghi trò chuyện. Một challenge-response hoạt động không phải là quyền công bố tài liệu phiên.

Sau khi đăng ký được phê duyệt, hãy xác nhận DNS riêng, các tài nguyên dự định, một tài nguyên bị từ chối và việc kết nối lại, tất cả từ chính Pi. Một đường hầm đã đăng nhập vẫn có thể định tuyến sai hoặc thiếu quyền.

Kết quả là một thỏa thuận có thể hỗ trợ với người sở hữu được nêu tên: ứng dụng khách nào, phiên bản nào, đường đăng ký nào. Điều đó tốt hơn việc cài ứng dụng khách gần nhà cung cấp và hy vọng các yêu cầu còn lại hóa ra là tùy chọn.