Pam mae cleient Linux GlobalProtect yn methu ar Ubuntu mwy newydd

Y dybiaeth resymol yw bod y .deb o'ch porth GlobalProtect wedi torri, neu fod y gwerthwr wedi cludo adeiladwaith gwael. Fel arfer nid yw. Mae rhyngwyneb Linux y gwerthwr yn dal i gysylltu â Qt5 WebKit, ac nid yw'r fersiynau mwy newydd o Ubuntu yn ei gludo mwyach, felly mae'r pecyn yn gofyn am lyfrgell a dynnodd eich dosbarthiad allan yn fwriadol. Camgyfatebiaeth becynnu yw hyn, nid lawrlwythiad llygredig, a'r gwahaniaeth hwnnw sy'n penderfynu a fyddwch chi'n treulio'r prynhawn yn gorfodi pecynnau neu ddeng munud yn dewis cleient arall.

Nid yw'r .deb wedi torri

Mae dibyniaeth nad yw'r dosbarthiad yn ei chario mwyach yn ganlyniad arferol i lyfrgell gael ei hymddeol. Tynnwyd Qt5 WebKit o archifau Ubuntu diweddarach ac o Debian, a'r rheswm oedd cynnal a chadw diogelwch yn hytrach na diffyg galw. Pan fydd hynny'n digwydd, mae pob pecyn sy'n dal i gysylltu ag ef yn peidio â bod yn osodadwy, waeth pa mor dda y cafodd ei adeiladu.

Mae dau fethiant yn cael eu hadrodd fel yr un byg ac nid ydynt. Ar ryddhad heb y llyfrgell, mae'r gosodwr yn stopio ar ddibyniaeth heb ei bodloni. Ar ryddhad lle mae'r cleient yn gosod ac yna'n methu wrth fewngofnodi, rydych chi'n gweld problem handshake TLS neu SAML y tu mewn i'r gydran porwr fewnol. Pecynnu yw'r cyntaf; amser rhedeg yw'r ail, ac ni thrwsir y naill na'r llall drwy gopïo hen lyfrgelloedd i mewn i gliniadur modern.

Cadarnhau'r ddibyniaeth yn hytrach na'i gorfodi

Gosodwch y pecyn yn benodol fel bod yr offeryn yn enwi'r ddibyniaeth heb ei datrys yn hytrach na rhoi crynodeb i chi. Yna gofynnwch a oes gan eich rhyddhad unrhyw ymgeisydd o gwbl, oherwydd mae „ddim ar gael yma” a „ar goll dros dro o'r drych hwn” yn arwain at benderfyniadau hollol wahanol:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Os apt-cache policy nad yw'n adrodd unrhyw ymgeisydd, stopiwch geisio ei osod a dechreuwch ddewis dewis arall. Nid yr enw pecyn coll yw'r peth diddorol; y peth diddorol yw'r ffaith nad yw graff dibyniaeth y gwerthwr wedi symud gyda'r dosbarthiadau y mae eich defnyddwyr yn eu rhedeg.

Beth mae gorfodi hen becynnau yn ei wneud i'r cliniadur

Y gwaith-tua y mae'n cylchredeg yw tynnu'r llyfrgell o ryddhad hŷn. Ar Ubuntu cyfredol mae hynny'n glanio mewn gwrthdaro mân-fersiwn Qt5: mae'r hen becynnau yn tynnu libqt5core5t64 yn ôl, ac yna mae pecynnau KDE a PyQt sydd wedi'u gosod yn dechrau mynnu fersiwn ABI nad yw'r llyfrgell ddiraddiedig yn ei darparu mwyach. Y canlyniad yw uwchraddiad rhannol sy'n torri cymwysiadau heb berthynas, sy'n brynhawn llawer gwaeth na'r un y gwnaethoch ddechrau ag ef.

Mae'r canlyniad hwnnw i'w ddisgwyl ac nid yn anlwcus. Mae disgwyliadau ABI Qt ar gyfer mân-fersiynau yn llym, ac mae dosbarthiad yn cludo un set gydlynol. Nid yw cymysgu un llyfrgell o ryddhad arall yn atgyweiriad wedi'i dargedu; mae'n ail uwchraddiad, yn llai rheoledig.

Mae'r un cyngor yn berthnasol i amrywiolyn amser rhedeg y methiant. Mae gostwng lefel diogelwch OpenSSL ar draws y system er mwyn i handshake hen gleient lwyddo yn newid pob cysylltiad TLS ar y peiriant i drwsio un cymhwysiad, gan gynnwys y rheolwr pecynnau y byddwch ei angen pan fydd rhywbeth arall yn torri.

Mae openconnect yn siarad y protocol

Mae OpenConnect yn gweithredu protocol GlobalProtect yn uniongyrchol, ac mae'r nodau protocol yn disgrifio'r alwad a'r rhaniad rhwng y ddau ryngwyneb gweinydd. Mae'r porth yn dosbarthu gosodiadau a'r rhestr giatiau; mae'r giât yn terfynu'r twnnel:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Os yw'r porth yn hepgor y giât rydych chi ei hangen, --usergroup=gateway neu URL sy'n gorffen gyda /gateway yn hepgor cam y porth. Pan gynigir sawl giât, --authgroup=NAME mae'n dewis yn eu plith. Dilysiad yw enw defnyddiwr a chyfrinair, yn ddewisol gyda thystysgrif cleient, ac mae giatiau SAML yn gweithio'n ymarferol drwy network-manager-openconnect yn hytrach na llinell orchymyn wedi'i theipio â llaw.

Gall giât â pholisi postur llym hefyd fynnu adroddiad HIP cyn iddi roi twnnel. Gall OpenConnect gynhyrchu a chyflwyno un, ond os yw'r giât yn mynnu rhestr nad yw'n gallu ei chynhyrchu, nid oes unrhyw fflag yn newid y polisi hwnnw; penderfyniad ar ochr y gweinydd yw hwn.

Gwirio'r twnnel, a gwybod beth na fydd openconnect yn ei drwsio

Gwiriwch beth wnaeth y twnnel ei gymhwyso mewn gwirionedd yn hytrach na choelio'r neges lwyddiant. Mae'r giât yn anfon llwybreiddio a chyfluniad fel XML ac mae'r cleient yn eu cymhwyso, felly problem cyfluniad neu ddewis yw llwybr coll, nid byg cleient:

ip -4 addr show
ip route
resolvectl status

Mae MTU yn haeddu golwg ei hun. Mae cyfluniad GlobalProtect bob amser yn adrodd MTU o sero, felly mae'r cleient yn amcangyfrif un o'r gorbenion amgáu. Mae trosglwyddiadau mawr sy'n aros tra bod ceisiadau bach yn mynd drwodd yn symptom clasurol, a'r feddyginiaeth yw MTU penodol ar y cysylltiad yn hytrach na diffodd darganfod llwybr.

Mae IPv6 yn stori arall eto. Ychwanegodd PAN ef yn GlobalProtect 4.0, ac mae cymorth OpenConnect yn cael ei ddisgrifio fel arbrofol o fersiwn 9.0 ymlaen, felly peidiwch â chymryd yn ganiataol bod y teulu cyfeiriadau yn ymddwyn fel IPv4 dim ond oherwydd bod y twnnel wedi codi. Ac os yw'r giât yn gorfodi gwiriad postur na all y cleient cod agored ei fodloni, rhedwch gleient y gwerthwr ar ryddhad LTS a gefnogir, mewn peiriant rhithwir os yw eich gorsaf waith eisoes wedi symud ymlaen. Mae hynny'n cadw'r cliniadur yn gyfan ac yn rhoi'r hen ddibyniaeth o fewn ffin y gallwch ei hailadeiladu.