Cén fáth a dteipeann ar chliant Linux GlobalProtect ar Ubuntu níos nuaí

Is é an toimhde réasúnach go bhfuil an .deb ó do thairseach GlobalProtect briste, nó gur sheol an díoltóir build lochtach. De ghnáth ní hamhlaidh atá. Tá comhéadan Linux an díoltóra fós nasctha le Qt5 WebKit, agus ní sheachadann eisiúintí níos nuaí de Ubuntu é a thuilleadh, mar sin iarrann an pacáiste leabharlann a bhain do dháileadh amach d'aon ghnó. Is mí-oiriúnú pacáistithe é sin, ní íoslódáil thruaillithe, agus socraíonn an difríocht sin an gcaithfidh tú an tráthnóna ag iallach a chur ar phacáistí nó deich nóiméad ag roghnú cliant eile.

Níl an .deb briste

Is toradh normal ar leabharlann a scor é spleáchas nach gcoimeádann an dáileadh a thuilleadh. Baineadh Qt5 WebKit as cartlanna Ubuntu níos déanaí agus as Debian, agus ba é an chúis cothabháil slándála seachas easpa éilimh. Nuair a tharlaíonn sin, stopann gach pacáiste atá fós nasctha leis a bheith in suiteáilte, is cuma cé chomh maith agus a tógadh é.

Tuairiscítear dhá theip mar an bhfáth chéanna agus ní hea. Ar eisiúint gan an leabharlann, stadann an suiteálaí ar spleáchas neamhshásta. Ar eisiúint ina suiteáiltear an cliant agus ina dteipeann air ansin ag logáil isteach, tá fadhb chroitheadh láimhe TLS nó SAML á feiceáil agat taobh istigh den chomhpháirt bhrabhsálaí leabaithe. Pacáistiú is ea an chéad cheann; am rite is ea an dara ceann, agus ní dheisítear ceachtar acu trí sheanleabharlanna a chóipeáil isteach i deasc nua-aimseartha.

Deimhnigh an spleáchas seachas é a iallachadh

Suiteáil an pacáiste go sainráite ionas go n-ainmneoidh an uirlis an spleáchas neamhréitithe seachas achoimre a thabhairt duit. Ansin fiafraigh an bhfuil aon iarrthóir ag d'eisiúint ar chor ar bith, mar téann „nach bhfuil ar fáil anseo” agus „ar iarraidh go sealadach ón scáthán seo” chuig cinntí iomlán difriúla:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Má apt-cache policy nach dtuairiscíonn aon iarrthóir, stop ag iarraidh é a shuiteáil agus tosaigh ag roghnú rogha eile. Ní hé ainm an phacáiste atá ar iarraidh an rud suimiúil; is é an rud suimiúil nach bhfuil graf spleáchais an díoltóra tar éis bogadh leis na dáiltí a ritheann do chuid úsáideoirí.

Cad a dhéanann iallach ar sheanphacáistí don deasc

Is é an t-imréiteach a scaiptear an leabharlann a tharraingt ó eisiúint níos sine. Ar Ubuntu reatha tagann sé sin chun solais mar choimhlint mhionleagain Qt5: tarraingíonn na seanspacáistí libqt5core5t64 ar gcúl, agus ansin tosaíonn na pacáistí KDE agus PyQt atá suiteáilte ag éileamh leagan ABI nach soláthraíonn an leabharlann dhíghrádaithe a thuilleadh. Is é an toradh uasghrádú páirteach a bhriseann feidhmchláir neamhghaolmhara, rud atá ina thráthnóna i bhfad níos measa ná an ceann ar thosaigh tú leis.

Tá an toradh sin le súil agus ní drochrath. Tá ionchais ABI Qt do mhionleagain dian, agus seachadann dáileadh aon tacar comhleanúnach. Ní deisiú spriocdhírithe é leabharlann amháin ó eisiúint eile a mheascadh isteach; is dara huasghrádú é, ceann is lú rialaithe.

Tá an chomhairle chéanna bailí don leagan am-rite den teip. Athraíonn ísliú leibhéal slándála OpenSSL ar fud an chórais chun go n-éireodh le croitheadh láimhe seanchliaint gach nasc TLS ar an meaisín chun feidhmchlár amháin a dheisiú, lena n-áirítear an bainisteoir pacáistí a bheidh uait nuair a bhriseann rud éigin eile.

Labhraíonn openconnect an prótacal

Cuireann OpenConnect prótacal GlobalProtect i bhfeidhm go díreach, agus déanann na nótaí prótacail cur síos ar an nglao agus ar an scoilteadh idir an dá chomhéadan freastalaí. Dáileann an tairseach na socruithe agus an liosta geataí; críochnaíonn an geata an tollán:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Má fhágann an tairseach ar lár an geata a theastaíonn uait, --usergroup=gateway nó URL a chríochnaíonn le /gateway seachnaíonn sé céim na tairsí. Nuair a thairgtear roinnt geataí, --authgroup=NAME roghnaíonn sé ina measc. Is é an fíordheimhniú ainm úsáideora agus focal faire, go roghnach le teastas cliaint, agus oibríonn geataí SAML go praiticiúil trí network-manager-openconnect seachas líne ordaithe a clóscríobhadh de láimh.

Féadfaidh geata le polasaí posture dian tuarascáil HIP a éileamh freisin sula dtugann sé tollán. Is féidir le OpenConnect ceann a ghiniúint agus a chur isteach, ach má éilíonn an geata fardal nach féidir leis a tháirgeadh, ní athraíonn aon bhratach an polasaí sin; is cinneadh ar thaobh an fhreastalaí é.

Fíoraigh an tollán, agus bíodh a fhios agat cad nach ndeiseoidh openconnect

Seiceáil cad a chuir an tollán i bhfeidhm i ndáiríre seachas muinín a chur sa teachtaireacht ratha. Seolann an geata ródú agus cumraíocht mar XML agus cuireann an cliant i bhfeidhm iad, mar sin is fadhb chumraíochta nó roghnaithe é ród atá ar iarraidh, ní bug cliaint:

ip -4 addr show
ip route
resolvectl status

Tá MTU tuillte ag féachaint dá chuid féin. Tuairiscíonn cumraíocht GlobalProtect MTU nialas i gcónaí, mar sin measann an cliant ceann ón bhforchostas imchlúdaigh. Is é an tsiomptóm clasaiceach aistrithe móra a stopann agus iarratais bheaga ag dul tríd, agus is é an leigheas MTU sainráite ar an nasc seachas aimsiú conaire a mhúchadh.

Is scéal eile ar fad é IPv6 arís. Chuir PAN leis i GlobalProtect 4.0, agus cuirtear síos ar thacaíocht OpenConnect mar thurgnamhach ó leagan 9.0, mar sin ná glac leis go n-iompraíonn an teaghlach seoladh mar IPv4 díreach toisc gur éirigh an tollán. Agus má chuireann an geata iallach ar sheiceáil posture nach féidir leis an gcliant foinse oscailte a chomhlíonadh, rith cliant an díoltóra ar eisiúint LTS thacaithe, i meaisín fíorúil má tá do stáisiún oibre tar éis bogadh ar aghaidh. Coimeádann sin an deasc slán agus cuireann sé an seanspleáchas taobh istigh de theorainn is féidir leat a atógáil.