Hvers vegna GlobalProtect Linux-viðskiptavinurinn bregst á nýrri Ubuntu

Hæfilega ætlað er að .deb úr GlobalProtect-gáttinni þinni sé brotið eða að framleiðandinn hafi sent frá sér slæma byggingu. Venjulega er það ekki. Linux-viðmót framleiðandans tengist enn Qt5 WebKit, og nýrri Ubuntu-útgáfur senda það ekki lengur, svo pakkinn biður um bókasafn sem dreifingin þín fjarlægði viljandi. Það er pökkunarmisræmi, ekki skemmd niðurhal, og sá munur ræður því hvort þú eyðir síðdeginu í að þvinga pakka eða tíu mínútum í að velja annan viðskiptavin.

.deb-pakkinn er ekki brotinn

Ósjálfstæði sem dreifingin ber ekki lengur er eðlileg afleiðing af því að bókasafn er tekið úr notkun. Qt5 WebKit var fjarlægt úr síðari Ubuntu-skjalasöfnum og úr Debian, og ástæðan var öryggisviðhald en ekki skortur á eftirspurn. Þegar það gerist hættir hver pakki sem enn tengist því að vera uppsetjanlegur, sama hversu vel hann var byggður.

Tveimur bilunum er lýst sem sama galla og eru það ekki. Á útgáfu án bókasafnsins stöðvast uppsetningarforritið á óuppfylltu ósjálfstæði. Á útgáfu þar sem viðskiptavinurinn setur sig upp og bregst svo við innskráningu ertu í raun að horfa á TLS- eða SAML-handshake vandamál inni í innbyggða vafrahlutanum. Fyrra er pökkun; seinna er keyrslutími, og hvort tveggja er ekki lagað með því að afrita gömul bókasöfn inn í nútímalegan skjáborð.

Staðfestu ósjálfstæðið í stað þess að þvinga það

Settu pakkann upp með skýrum hætti svo tólið nefni óleysta ósjálfstæðið í stað þess að gefa þér samantekt. Spurðu svo hvort útgáfan þín hafi yfirhöfuð einhvern frambjóðanda, því „ekki fáanlegt hér” og „tímabundið vantar í þennan spegil” leiða til gjörólíkra ákvarðana:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Ef apt-cache policy tilkynnir engan frambjóðanda skaltu hætta að reyna að setja það upp og byrja að velja annan kost. Það áhugaverða er ekki vantað pakkanafn; það áhugaverða er sú staðreynd að ósjálfstæðisgraf framleiðandans hefur ekki hreyfst með þeim dreifingum sem notendur þínir keyra.

Hvað þvingun gamalla pakka gerir skjáborðinu

Vinnulausnin sem gengur er að draga bókasafnið úr eldri útgáfu. Á núverandi Ubuntu endar það í Qt5 minniháttar útgáfustrekningu: eldri pakkarnir draga libqt5core5t64 aftur á bak, og þá byrja uppsettu KDE- og PyQt-pakkarnir að krefjast ABI-útgáfu sem niðurfærða bókasafnið veitir ekki lengur. Niðurstaðan er hlutauppfærsla sem brýtur ótengd forrit, sem er mun verri síðdegi en sá sem þú byrjaðir með.

Þessi niðurstaða er væntanleg en ekki óheppni. ABI-væntingar Qt fyrir minniháttar útgáfur eru strangar, og dreifing sendir eitt samhangandi sett. Að blanda einu bókasafni úr annarri útgáfu inn er ekki markviss lagfæring; það er önnur, minna stýrð uppfærsla.

Sama ráð á við keyrslutímaafbrigði bilunarinnar. Að lækka öryggisstig OpenSSL á kerfisvísu svo handshake gömuls viðskiptavinar takist breytir hverri TLS-tengingu á vélinni til að laga eitt forrit, þar á meðal pökkustjóranum sem þú þarft þegar eitthvað annað bilar.

openconnect talar samskiptareglurnar

OpenConnect útfærir samskiptareglur GlobalProtect beint, og samskiptareglunóturnar lýsa bæði kalli og skiptingunni milli tveggja netþjónaviðmóta. Gáttin dreifir stillingum og hliðlistanum; hliðið lýkur göngunni:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Ef gáttin sleppir hliðinu sem þú þarft, --usergroup=gateway eða URL sem endar á /gateway sleppir skrefi gáttarinnar. Þegar mörgum hliðum er boðið, --authgroup=NAME velur á milli þeirra. Auðkenning er notandanafn og lykilorð, valfrjálst með viðskiptavinsskírteini, og SAML-hlið virka í reynd í gegnum network-manager-openconnect í stað handskrifaðrar skipanalínu.

Hlið með stranga posture-stefnu getur líka krafist HIP-skýrslu áður en það veitir göng. OpenConnect getur búið eina til og sent inn, en ef hliðið krefst birgðaskrár sem það getur ekki framleitt breytir ekkert flagg þeirri stefnu; það er ákvörðun á netþjónshlið.

Staðfestu göngin og vitið hvað openconnect lagar ekki

Athugaðu hvað göngin beittu í raun í stað þess að treysta árangursskilaboðunum. Hliðið sendir leiðarvísun og stillingar sem XML og viðskiptavinurinn beitir þeim, svo leið sem vantar er stillingar- eða valvandamál en ekki galli í viðskiptavininum:

ip -4 addr show
ip route
resolvectl status

MTU á skilið sérstaka skoðun. GlobalProtect-stillingin tilkynnir alltaf MTU núll, svo viðskiptavinurinn áætlar eitt út frá umbúðakostnaði. Stórar flutningar sem stíflast á meðan litlar beiðnir komast í gegn eru klassískt einkenni, og lækningin er skýrt MTU á tengingunni en ekki að slökkva á leiðarleit.

IPv6 er aftur sérstakt mál. PAN bætti því við í GlobalProtect 4.0, og stuðningur OpenConnect er lýstur sem tilrauna frá útgáfu 9.0, svo ekki gera ráð fyrir að vistfangafjölskyldan hagi sér eins og IPv4 bara af því að göngin komust upp. Og ef hliðið knýr fram posture-athugun sem opinn hugbúnaður viðskiptavinurinn getur ekki uppfyllt skaltu keyra viðskiptavin framleiðandans á studdri LTS-útgáfu, í sýndarvél ef vinnustöðin þín er þegar komin lengra. Það heldur skjáborðinu ósködduðu og setur gamla ósjálfstæðið innan marka sem þú getur endurbyggt.