GlobalProtect unter Linux Mint: Was vor der Installation zu klären ist

Sie öffnen das Portal im Browser, melden sich an, und die Downloadseite bietet einen Client an, den die Matrix des Herstellers für Ihre Distribution nicht führt. Das ist der Moment, innezuhalten und Fragen zu stellen, nicht der Moment, das Paket trotzdem zu probieren. Die erste Entscheidung ist die unterstützte Endpunktumgebung, und ob sich eine DEB-Datei entpacken lässt, gehört nicht dazu. Beginnen Sie beim Portal und arbeiten Sie sich nach außen.

Das ist die Reihenfolge, die ich mit dem VPN-Verantwortlichen durchgehen würde, bevor ich irgendetwas installiere.

1. Portal und freigegebenes Release erfragen

Holen Sie sich vom Verantwortlichen die Portaladresse, das Client-Release, das die Organisation tatsächlich ausrollt, und die Anforderungen an die Authentifizierung. Eine Portal-URL aus den Notizen eines Kollegen ist nicht dasselbe wie die freigegebene, und das Release zählt, weil sich die Funktionen zwischen Versionen unterscheiden.

Öffnen Sie dann das Portal und sehen Sie nach, was es für Linux anbietet. Die Downloadseite spiegelt meist die Konfiguration des Gateways wider und nicht den Supportstatus Ihrer Distribution, daher kann ein angebotenes Paket trotzdem eine nicht unterstützte Kombination sein. Notieren Sie die Releasenummer, die die Seite nennt, und vergleichen Sie sie mit der ausgerollten.

2. Die Kompatibilitätsmatrix als Tabelle lesen, nicht als Slogan

Die Kompatibilitätsmatrix des Herstellers stellt Linux-Versionen den App-Releases gegenüber und trennt Architektur von Interface-Support. Ein Ubuntu-Eintrag erklärt nicht jede von Ubuntu abgeleitete Distribution für unterstützt, daher braucht eine Mint-Workstation eine eigene Antwort. Prüfen Sie das genaue Release, die Prozessorarchitektur und ob für diese Kombination die CLI oder die GUI die unterstützte Schnittstelle ist.

Wenn die Matrix ein Ubuntu-Release nennt, aber nicht Mint, lautet die ehrliche Antwort für diese Workstation nein, so sauber sich das Paket auch installieren lässt. Die unterstützte Alternative ist eine Distribution, die die Matrix tatsächlich nennt, oder ein Release, das der Verantwortliche bereits auf einer davon ausrollt.

3. Den Authentifizierungsablauf zum Clienttyp passend wählen

Der Authentifizierungspfad entscheidet, welcher Client die Anmeldung abschließen kann. Ein SAML-Ablauf braucht einen Browser, und SAML-Unterstützung in der Linux-CLI kam mit GlobalProtect app 6.2.1, sodass eine ältere CLI denselben Ablauf nicht abschließen kann wie die GUI.

Fragen Sie, welchen Ablauf das Gateway erzwingt, bevor Sie zwischen CLI und GUI wählen, denn die Antwort ist keine Vorliebe. Zertifikatsanmeldung, MFA-Abfragen und jede Gerätebewertung fügen jeweils einen Schritt hinzu, den der Client unterstützen muss. Ein Client, der sich verbindet und dann eine Bewertung nicht besteht, sieht wie ein Netzwerkfehler aus und ist keiner.

4. Wissen, wo ein Drittanbieter-Client aufhört, eine Option zu sein

Ein Drittanbieter-Client ist nur tragfähig, wenn der Administrator sein Protokoll und seinen Funktionsumfang unterstützt. Interoperabilität mit altem XAuth/IPsec ist eine bestimmte Gateway-Vereinbarung, keine Erlaubnis, jede Anwendung zu ersetzen, die sich selbst SSL VPN-Client nennt. Serverprüfung, Geräteanforderungen und Zugangsdaten bleiben genau so, wie die Organisation sie festgelegt hat. Sie abzuschwächen, damit sie zu einem lokalen Client passen, ist eine Richtlinienänderung mit Kompatibilitätsetikett.

Der Test, den der Verantwortliche anwendet, ist kurz: Erzwingt das Gateway SAML, eine MFA-Abfrage oder eine Gerätebewertung, die dieser Client nicht abschließen kann? Wenn eines davon erforderlich ist, rettet keine Interoperabilität auf Protokollebene den Austausch, und das Gespräch gehört zu den unterstützten Endpunkten.

5. Die Antwort an den Verantwortlichen zurückgeben

Tragen Sie die konkrete Kombination zum VPN-Verantwortlichen: Distribution und Release, Architektur, Schnittstelle, Authentifizierungsablauf und das von Ihnen vorgeschlagene Client-Release. Diese Liste ist kurz genug, um sie in einer Nachricht zu beantworten.

Ist die Kombination nicht unterstützt, ist die unterstützte Antwort meist eine andere freigegebene Endpunktumgebung statt eines Notbehelfs. Bitten Sie ausdrücklich darum, denn eine Anfrage im Stil bringt meinen Client zum Laufen lädt zu einer Gateway-Änderung ein, während eine Anfrage im Stil welchen Endpunkt unterstützt ihr für diesen Nutzer zu einer Entscheidung einlädt. Notieren Sie so oder so, was vereinbart wurde, damit die nächste Person den Durchgang nicht wiederholt.