Эмне үчүн GlobalProtect Linux клиенти жаңы Ubuntu чыгарылыштарында иштебейт

Акылга сыйган божомол — GlobalProtect порталыңыздагы .deb бузулган же өндүрүүчү жаман курулма чыгарган деген. Адатта андай эмес. Өндүрүүчүнүн Linux интерфейси али Qt5 WebKit менен байланышат, ал эми жаңы Ubuntu чыгарылыштары аны мындан ары жеткирбейт, ошондуктан пакет дистрибутивиңиз атайын алып салган китепкананы сурайт. Бул таңгактоо дал келбестиги, бузулган жүктөө эмес, жана бул айырма түштөн кийинки убакытты пакеттерди мажбурлоого жумшайсызбы же он мүнөт башка клиент тандайсызбы — ошону чечет.

.deb пакети бузулган эмес

Дистрибутив мындан ары алып жүрбөгөн көз карандылык — китепкананы колдонуудан чыгаруунун кадимки натыйжасы. Qt5 WebKit кийинки Ubuntu архивдеринен жана Debian'дан жоголду, ал эми себеби суроо-талаптын жоктугу эмес, коопсуздук тейлөөсү болду. Бул болгондо, ага али байланышкан ар бир пакет канчалык жакшы курулса да, орнотулбай калат.

Эки бузулуу бирдей ката деп билдирилет жана андай эмес. Китепкана жок чыгарылышта орноткуч канааттандырылбаган көз карандылыкка токтолот. Клиент орнотулуп, анан кирүүдө ийгиликсиз болгон чыгарылышта сиз орнотулган браузер компонентинин ичиндеги TLS же SAML кол алышуу маселесин көрөсүз. Биринчиси — таңгактоо; экинчиси — аткаруу чөйрөсү, жана экөө тең эски китепканаларды заманбап иш тактасына көчүрүү менен оңдолбойт.

Көз карандылыкты мажбурлоонун ордуна ырастоо

Пакетти ачык орнотуңуз, ошондо курал чечилбеген көз карандылыкты атап берет, корутунду бербейт. Анан чыгарылышыңызда жалпы талапкер барбы деп сураңыз, анткени «бул жерде жеткиликсиз» жана «бул күзгүдө убактылуу жок» таптакыр башка чечимдерге алып барат:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Эгер apt-cache policy эч кандай талапкерди билдирбесе, аны орнотууга аракет кылууну токтотуп, альтернатива тандоого өтүңүз. Кызыктуусу жок пакеттин атында эмес; кызыктуусу — өндүрүүчүнүн көз карандылык графы колдонуучуларыңыз жүргүзгөн дистрибутивдер менен кошо жылбаганында.

Эски пакеттерди мажбурлоо иш тактасына эмне кылат

Тарап жүргөн айланып өтүү жолу — китепкананы эскирээк чыгарылыштан сууруп алуу. Азыркы Ubuntu'до бул Qt5 кичине версия кагылышуусуна алып келет: эскирээк пакеттер libqt5core5t64 артка тартат, анан орнотулган KDE жана PyQt пакеттери төмөндөтүлгөн китепкана мындан ары бербеген ABI версиясын талап кыла баштайт. Натыйжа — байланышсыз колдонмолорду бузган жарым-жартылай жаңыртуу, бул сиз баштаган күндөн алда канча жаман.

Бул натыйжа күтүлүүчү, таалимсиз эмес. Qt'тын кичине версияларга ABI күтүүлөрү катуу, ал эми дистрибутив бир макулдашылган топтомду жеткирет. Башка чыгарылыштын китепканасын аралаштыруу — так оңдоо эмес; бул экинчи, начар көзөмөлдөнгөн жаңыртуу.

Ушул эле кеңеш бузулуунун аткаруу учурундагы вариантына да тиешелүү. Эски клиенттин кол алышуусу өтүшү үчүн OpenSSL системалык коопсуздук деңгээлин төмөндөтүү бир колдонмону оңдоо үчүн машинадагы ар бир TLS байланышын өзгөртөт, анын ичинде башка нерсе бузулганда керек боло турган пакет менеджерин да.

openconnect ушул протокол менен сүйлөйт

OpenConnect GlobalProtect протоколун түздөн-түз ишке ашырат, ал эми протокол тууралуу жазуулар чакырууну да, эки сервердик интерфейстин ортосундагы бөлүнүштү да сүрөттөйт. Портал жөндөөлөрдү жана шлюздардын тизмесин таратат; шлюз туннелди бүтүрөт:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Эгер портал сизге керектүү шлюзду көрсөтпөсө, --usergroup=gateway же аягы /gateway болгон URL портал кадамын өткөрүп жиберет. Бир нече шлюз сунушталганда, --authgroup=NAME алардын арасынан тандайт. Аутентификация — колдонуучунун аты жана сырсөз, керек болсо клиенттик сертификат менен, ал эми SAML шлюздары иш жүзүндө network-manager-openconnect аркылуу иштейт, кол менен терилген буйрук сабы аркылуу эмес.

Катуу posture саясаты бар шлюз туннел берүүдөн мурун HIP отчётун да талап кылышы мүмкүн. OpenConnect аны түзүп жөнөтө алат, бирок шлюз түзө албаган инвентаризацияны талап кылса, эч бир желек бул саясатты өзгөртпөйт; бул сервер тараптагы чечим.

Туннелди текшериңиз жана openconnect эмнени оңдобой турганын билиңиз

Ийгилик тууралуу билдирүүгө ишенүүнүн ордуна туннелдин эмнени иш жүзүндө колдонгонун текшериңиз. Шлюз маршруттоо жана конфигурацияны XML түрүндө жөнөтөт, клиент аларды колдонот, ошондуктан жок маршрут — конфигурация же тандоо маселеси, клиенттин катасы эмес:

ip -4 addr show
ip route
resolvectl status

MTU өзүнчө кароону талап кылат. GlobalProtect конфигурациясы ар дайым нөлгө барабар MTU билдирет, ошондуктан клиент аны инкапсуляция чыгымынан баалайт. Кичине сурамдар өтүп жатканда тыгылып калган чоң өткөрмөлөр — классикалык симптом, ал эми дары — жолду табууну өчүрүү эмес, байланыштагы ачык MTU.

IPv6 — дагы өзүнчө окуя. PAN аны GlobalProtect 4.0'до кошкон, ал эми OpenConnect колдоосу 9.0 версиясынан баштап эксперименталдык деп сүрөттөлөт, ошондуктан туннел көтөрүлдү деп дарек тобу IPv4 сыяктуу жүрөт деп ойлобоңуз. Ал эми шлюз ачык коддуу клиент аткара албаган posture текшерүүсүн талап кылса, өндүрүүчүнүн клиентин колдоого алынган LTS чыгарылышында иштетиңиз, иш станцияңыз илгери кетсе, виртуалдык машинада. Бул иш тактасын бүтүн сактайт жана эскирген көз карандылыкты кайра курууга боло турган чектин ичине коёт.