Zergatik huts egiten du GlobalProtect-en Linux bezeroak Ubuntu berriagoetan

Suposizio zentzuzkoa da zure GlobalProtect ataritik jaitsitako .deb hondatuta dagoela, edo hornitzaileak build akastuna kaleratu duela. Normalean ez da horrela. Hornitzailearen Linux interfazea oraindik Qt5 WebKit-ekin lotuta dago, eta Ubuntu berriagoek jada ez dute hura hornitzen, beraz paketeak zure banaketak nahita kendu zuen liburutegi bat eskatzen du. Hau paketatze-desadostasuna da, ez deskarga hondatua, eta alde horrek erabakitzen du arratsaldea paketeak behartzen emango duzun edo hamar minutu beste bezero bat hautatzen.

.deb ez dago hondatuta

Banaketak jada eramaten ez duen menpekotasuna liburutegi bat erretiratzearen ondorio arrunta da. Qt5 WebKit Ubuntu berantiarragoen artxiboetatik eta Debianetik kendu zen, eta arrazoia segurtasun-mantentze-lana izan zen, ez eskari falta. Hori gertatzen denean, oraindik harekin lotuta dagoen pakete oro ez da instalagarria izango, nahiz eta oso ondo eraiki.

Bi hutsegite bug berdin gisa salatzen dira eta ez dira. Liburutegirik ez duen bertsioan instalatzailea bete gabeko menpekotasun batean gelditzen da. Bezeroa instalatu eta gero saioa hastean huts egiten duen bertsioan, txertatutako nabigatzaile osagaiaren barruko TLS edo SAML esku-emate arazoa ikusten ari zara. Lehenengoa paketatzea da; bigarrena exekuzio-denbora, eta biak ez dira konpontzen liburutegi zaharrak mahaigain moderno batera kopiatuz.

Berretsi menpekotasuna, behartu beharrean

Instalatu paketea modu esplizituan, tresnak konpondu gabeko menpekotasunari izena eman diezaion, laburpen bat eman beharrean. Gero galdetu zure bertsioak hautagairik ba ote duen, zeren „hemen ez dago erabilgarri” eta „ispilu honetatik aldi baterako falta da” erabaki oso desberdinak ekar ditzakete:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Baldin apt-cache policy ez badu hautagairik jakinarazten, utzi hura instalatzen saiatzeari eta hasi alternatiba bat hautatzen. Interesgarria ez da falta den paketearen izena; interesgarria da hornitzailearen menpekotasun-grafikoak ez duela zure erabiltzaileek exekutatzen dituzten banaketekin batera mugitu.

Zer egiten die mahaigainari pakete zaharrak behartzeak

Zirkulatzen duen saihesbidea bertsio zaharrago batetik liburutegia ateratzea da. Uneko Ubuntu batean hori Qt5-ren bertsio txikiaren gatazkara iristen da: pakete zaharrek libqt5core5t64 atzera tiratzen dute, eta gero instalatutako KDE eta PyQt paketeek beheratutako liburutegiak jada ematen ez duen ABI bertsioa eskatzen hasten dira. Emaitza aplikazio erlazionatugabeak hausten dituen eguneraketa partziala da, eta hori hasi zinen arratsaldea baino askoz okerragoa da.

Emaitza hori espero daiteke eta ez da zorte txarra. Qt-ren ABI itxaropenak bertsio txikietarako zorrotzak dira, eta banaketa batek multzo koherente bakarra ematen du. Beste bertsio bateko liburutegi bat nahastea ez da zuzenketa puntuala; bigarren eguneraketa bat da, gutxiago kontrolatua.

Aholku bera aplikatzen zaio hutsegitearen exekuzio-denborako aldaerari. OpenSSL-ren sistemako segurtasun maila jaistea bezero zahar baten esku-ematea lortzeko aplikazio bat konpontzeagatik makinako TLS konexio guztiak aldatzen ditu, beste zerbait apurtzen denean beharko duzun pakete-kudeatzailea barne.

openconnect protokolo hori mintzo da

OpenConnect-ek GlobalProtect-en protokoloa zuzenean implementatzen du, eta protokolo-oharrak deiek eta bi zerbitzari-interfazeen arteko banaketak deskribatzen dituzte. Atariak ezarpenak eta ate-zerrenda banatzen ditu; ateak tunela amaitzen du:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Atariak behar duzun atea uzten badu, --usergroup=gateway edo URL batek, /gateway amaieran duela, atariaren urratsa saltatzen du. Hainbat ate eskaintzen direnean, --authgroup=NAME horien artean aukeratzen du. Autentifikazioa erabiltzaile-izena eta pasahitza dira, aukeran bezero-ziurtagiriarekin, eta SAML ateak praktikan network-manager-openconnect bidez funtzionatzen dute, eskuz idatzitako komando-lerroa erabili beharrean.

Posture politika zorrotza duen ate batek HIP txosten bat ere eska dezake tunela eman aurretik. OpenConnect gai da bat sortu eta bidaltzeko, baina ateak ekoiztu ezin duen inbentarioa eskatzen badu, bandera batek ere ez du politika hori aldatzen; zerbitzariaren aldeko erabakia da.

Egiaztatu tunela, eta jakin openconnect-ek zer ez duen konponduko

Begiratu tunelek zer aplikatu zuen benetan, arrakasta-mezuan fidatu beharrean. Ateak bideratzea eta konfigurazioa XML gisa bidaltzen ditu eta bezeroak aplikatu egiten ditu, beraz falta den ibilbidea konfigurazio edo hautapen arazoa da, ez bezeroaren buga:

ip -4 addr show
ip route
resolvectl status

MTU-k aparteko begirada merezi du. GlobalProtect-en konfigurazioak beti zero MTU jakinarazten du, beraz bezeroak kapsulatzeko gainkostutik kalkulatzen du. Eskari txikiak pasatzen diren bitartean blokeatzen diren transferentzia handiak sintoma klasikoa dira, eta erremedioa konexioan MTU esplizitua da, bidearen aurkikuntza itzaltzea beharrean.

IPv6 berriz beste kontu bat da. PAN-ek GlobalProtect 4.0-n gehitu zuen, eta OpenConnect-en babesa 9.0 bertsiotik esperimentaltzat deskribatzen da, beraz ez pentsa helbide familia IPv4 bezala portatzen denik tunela igo zelako bakarrik. Eta ateak kode irekiko bezeroak bete ezin duen posture egiaztapena inposatzen badu, exekutatu hornitzailearen bezeroa onartutako LTS bertsio batean, makina birtual batean zure lan-estazioa aurrera egin badu. Horrek mahaigaina ukitu gabe mantentzen du eta menpekotasun zaharra berreraiki dezakezun muga baten barruan jartzen du.