Неге GlobalProtect Linux клиенті жаңа Ubuntu нұсқаларында жұмыс істемейді

Орынды болжам — GlobalProtect порталыңыздан алынған .deb бүлінген немесе өндіруші нақты емес құрастыру шығарған деген. Әдетте олай емес. Өндірушінің Linux интерфейсі әлі де Qt5 WebKit-ке сілтеме жасайды, ал жаңа Ubuntu шығарылымдары оны әрі қарай жеткізбейді, сондықтан бума дистрибутивіңіз әдейі алып тастаған кітапхананы сұрайды. Бұл бумалау сәйкессіздігі, бүлінген жүктеу емес, және бұл айырмашылық түстен кейінгі уақытты бумаларды мәжбүрлеуге жұмсайсыз ба, әлде он минут басқа клиент таңдауға жұмсайсыз ба — соны шешеді.

.deb бумасы бүлінген емес

Дистрибутив енді алып жүрмейтін тәуелділік — кітапхананы қолданыстан шығарудың қалыпты нәтижесі. Qt5 WebKit кейінгі Ubuntu мұрағаттарынан және Debian-нан жойылды, ал себебі сұраныстың жоқтығы емес, қауіпсіздік қызметі болды. Бұл орын алғанда, әлі де соған сілтеме жасайтын әрбір бума қаншалықты жақсы құрастырылса да, орнатылмайтын болады.

Екі ақау бірдей қате деп хабарланады, бірақ олай емес. Кітапхана жоқ шығарылымда орнатушы қанағаттандырылмаған тәуелділікке тіреледі. Клиент орнатылып, кейін кіру кезінде сәтсіздікке ұшырайтын шығарылымда сіз ендірілген браузер компонентінің ішіндегі TLS немесе SAML қол алысу мәселесін көресіз. Біріншісі — бумалау; екіншісі — орындалу ортасы, және екеуі де ескі кітапханаларды заманауи жұмыс үстеліне көшірумен түзелмейді.

Тәуелділікті мәжбүрлеудің орнына растау

Буманы нақты түрде орнатыңыз, сонда құрал шешілмеген тәуелділікті атап береді, түйіндеме бермейді. Содан кейін шығарылымыңызда жалпы кандидат бар-жоғын сұраңыз, өйткені «мұнда қолжетімсіз» және «бұл айнада уақытша жоқ» мүлдем басқа шешімдерге апарады:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Егер apt-cache policy ешқандай кандидат хабарламаса, оны орнатуға тырысуды доғарып, балама таңдай бастаңыз. Қызығы жоқ бума атауында емес; қызығы — өндірушінің тәуелділік графы пайдаланушыларыңыз жүргізетін дистрибутивтермен бірге жылжымағанында.

Ескі бумаларды мәжбүрлеу жұмыс үстеліне не істейді

Тарап жүрген айналма жол — кітапхананы ескірек шығарылымнан суырып алу. Ағымдағы Ubuntu-да бұл Qt5 кіші нұсқа қақтығысына әкеледі: ескірек бумалар libqt5core5t64 кері тартады, содан кейін орнатылған KDE және PyQt бумалары төмендетілген кітапхана енді бермейтін ABI нұсқасын талап ете бастайды. Нәтиже — байланыссыз қолданбаларды бұзатын ішінара жаңарту, бұл сіз бастаған күннен әлдеқайда нашар.

Бұл нәтиже күтілетін, сәтсіздік емес. Qt-тың кіші нұсқаларға ABI күтулері қатаң, ал дистрибутив бір келісілген жиынтық жеткізеді. Басқа шығарылымның кітапханасын араластыру — нүктелік түзету емес; ол екінші, нашар бақыланатын жаңарту.

Дәл сол кеңес ақаудың орындалу кезіндегі нұсқасына да қатысты. Ескі клиенттің қол алысуы өтуі үшін OpenSSL жүйелік қауіпсіздік деңгейін төмендету бір қолданбаны жөндеу үшін машинадағы әрбір TLS қосылымын өзгертеді, соның ішінде басқа нәрсе бұзылғанда қажет болатын бума менеджерін де.

openconnect осы протоколда сөйлейді

OpenConnect GlobalProtect протоколын тікелей іске асырады, ал протокол туралы жазбалар шақыруды да, екі серверлік интерфейс арасындағы бөліністі де сипаттайды. Портал параметрлер мен шлюздер тізімін таратады; шлюз туннельді аяқтайды:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Егер портал сізге қажет шлюзді көрсетпесе, --usergroup=gateway немесе соңы /gateway болатын URL портал қадамын аттап өтеді. Бірнеше шлюз ұсынылғанда, --authgroup=NAME олардың арасынан таңдайды. Аутентификация — пайдаланушы аты мен құпиясөз, қажет болса клиент сертификатымен, ал SAML шлюздері іс жүзінде network-manager-openconnect арқылы жұмыс істейді, қолмен терілген командалық жолмен емес.

Қатаң posture саясаты бар шлюз туннель бермес бұрын HIP есебін де талап етуі мүмкін. OpenConnect оны құрастырып жібере алады, бірақ шлюз жасай алмайтын түгендеуді талап етсе, ешбір жалауша бұл саясатты өзгертпейді; бұл сервер жағындағы шешім.

Туннельді тексеріңіз және openconnect нені түзетпейтінін біліңіз

Сәттілік туралы хабарға сенудің орнына туннельдің нақты нені қолданғанын тексеріңіз. Шлюз маршруттау мен конфигурацияны XML түрінде жібереді, ал клиент оларды қолданады, сондықтан жоқ маршрут — конфигурация немесе таңдау мәселесі, клиент қатесі емес:

ip -4 addr show
ip route
resolvectl status

MTU бөлек қарауды қажет етеді. GlobalProtect конфигурациясы әрқашан нөлге тең MTU хабарлайды, сондықтан клиент оны инкапсуляция шығынынан бағалайды. Кіші сұраныстар өтіп жатқанда тұрып қалатын үлкен тасымалдар — классикалық симптом, ал емі — жолды табуды өшіру емес, қосылымдағы айқын MTU.

IPv6 — тағы бөлек әңгіме. PAN оны GlobalProtect 4.0-де қосты, ал OpenConnect қолдауы 9.0 нұсқасынан бастап эксперименттік деп сипатталады, сондықтан туннель көтерілді деп мекенжай тобы IPv4 сияқты әрекет етеді деп ойламаңыз. Ал егер шлюз ашық кодты клиент орындай алмайтын posture тексеруін талап етсе, өндіруші клиентін қолдау көрсетілетін LTS шығарылымында іске қосыңыз, жұмыс станцияңыз ілгері кетсе, виртуалды машинада. Бұл жұмыс үстелін бүтін сақтайды және ескірген тәуелділікті қайта құруға болатын шекараның ішіне қояды.