GlobalProtect на Linux Mint: што ўдакладніць перад усталёўкай

Вы адкрываеце партал у браўзеры, уваходзіце, і старонка спампоўкі прапануе кліент, якога матрыца пастаўшчыка не змяшчае для вашага дыстрыбутыва. Гэта момант спыніцца і задаць пытанні, а не момант паспрабаваць пакет усё роўна. Першае рашэнне — гэта асяроддзе канчатковага пункта, якое падтрымліваецца, і ці распакоўваецца DEB-файл, да яго не адносіцца. Пачніце з партала і рухайцеся вонкі.

Гэта парадак, які я прайшоў бы з уладальнікам VPN перад усталёўкай чаго-небудзь.

1. Запытайце партал і зацверджаны выпуск

Атрымайце ва ўладальніка адрас партала, выпуск кліента, які арганізацыя фактычна разгортвае, і патрабаванні да аўтэнтыфікацыі. URL партала з нататак калегі — не тое самае, што зацверджаны, і выпуск мае значэнне, бо функцыі адрозніваюцца паміж версіямі.

Затым адкрыйце партал і паглядзіце, што ён прапануе для Linux. Старонка спампоўкі звычайна адлюстроўвае канфігурацыю шлюза, а не статус падтрымкі вашага дыстрыбутыва, таму прапанаваны пакет можа быць неподтрымліванай камбінацыяй. Запішыце нумар выпуску, які называе старонка, і параўнайце яго з разгорнутым.

2. Чытайце матрыцу сумяшчальнасці як табліцу, а не як лозунг

Пастаўшчык публікуе матрыцу сумяшчальнасці, дзе версіі Linux супастаўляюцца з выпускамі праграмы, а архітэктура аддзелена ад падтрымкі інтэрфейсу. Запіс Ubuntu не абвяшчае падтрыманымі ўсе вытворныя ад Ubuntu дыстрыбутывы, таму працоўнай станцыі Mint патрэбны ўласны адказ. Праверце дакладны выпуск, архітэктуру працэсара і тое, ці CLI або GUI з'яўляецца падтрымліваным інтэрфейсам для гэтай камбінацыі.

Калі матрыца называе выпуск Ubuntu, але не Mint, сумленны адказ для гэтай працоўнай станцыі — не, як бы чыста ні ўсталёўваўся пакет. Падтрымліваная замена — дыстрыбутыў, які матрыца называе, або выпуск, які ўладальнік ужо разгортвае на адным з іх.

3. Суаднясіце схему аўтэнтыфікацыі з тыпам кліента

Шлях аўтэнтыфікацыі вызначае, які кліент можа завяршыць уваход. Схема SAML патрабуе браўзера, а падтрымка SAML у Linux CLI з'явілася з GlobalProtect app 6.2.1, таму старэйшы CLI не можа завяршыць тую ж схему, што і GUI.

Спытайце, якую схему абавязвае шлюз, перш чым выбіраць паміж CLI і GUI, бо адказ — не пытанне перавагі. Уваход па сертыфікаце, запыты MFA і любая ацэнка прылады дадаюць крок, які кліент павінен падтрымліваць. Кліент, які падключаецца, а потым не праходзіць ацэнку, выглядае як збой сеткі, але ім не з'яўляецца.

4. Ведайце, дзе старонні кліент перастае быць варыянтам

Старонні кліент прыдатны толькі тады, калі адміністратар падтрымлівае яго пратакол і набор функцый. Сумяшчальнасць са старым XAuth/IPsec — гэта пэўная дамоўленасць шлюза, а не дазвол замяніць любую праграму, якая называе сябе кліентам SSL VPN. Праверка сервера, патрабаванні да прылад і ўліковыя даныя застаюцца менавіта такімі, як іх задала арганізацыя. Паслабленне іх пад мясцовы кліент — гэта змена палітыкі з ярлыком сумяшчальнасці.

Тэст, які ўжыве ўладальнік, кароткі: ці абавязвае шлюз SAML, запыт MFA або ацэнку прылады, якую гэты кліент не можа прайсці? Калі патрабуецца хоць адно з гэтага, ніякая сумяшчальнасць на ўзроўні пратакола не выратуе замену, і размова павінна ісці пра падтрымліваныя канчатковыя пункты.

5. Вярніце адказ уладальніку

Прынясіце канкрэтную камбінацыю ўладальніку VPN: дыстрыбутыў і выпуск, архітэктуру, інтэрфейс, схему аўтэнтыфікацыі і прапанаваны вамі выпуск кліента. Гэты спіс дастаткова кароткі, каб адказаць на яго ў адным паведамленні.

Калі камбінацыя не падтрымліваецца, падтрымліваны адказ звычайна — іншае зацверджанае асяроддзе канчатковага пункта, а не абыходны шлях. Запытайце гэта непасрэдна, бо запыт, сфармуляваны як зрабіце так, каб мой кліент працаваў, запрашае змену шлюза, а запыт, сфармуляваны як які канчатковы пункт вы падтрымліваеце для гэтага карыстальніка, запрашае рашэнне. У любым выпадку запішыце дамоўленае, каб наступны чалавек не паўтараў гэты праход.