Firwat de GlobalProtect Linux-Client op méi neien Ubuntu-Versiounen net funktionéiert

Déi vernünfteg Unhuel ass, datt den .deb aus Ärem GlobalProtect-Portal futti ass oder datt den Hiersteller en schlechte Build geliwwert huet. Meeschtens ass et net esou. D'Linux-Interface vum Hiersteller hängt nach ëmmer un Qt5 WebKit, an déi méi nei Ubuntu-Versiounen liwweren et net méi, dofir freet de Pak eng Bibliothéik un, déi Är Distributioun bewosst ewechgeholl huet. Dat ass eng Verpackungs-Onstëmmegkeet, keen beschiedegten Download, an deen Ënnerscheed entscheet, ob Dir den Nomëtteg domat verbréngt, Päck ze forcéieren oder zéng Minutten domat, en anere Client auszewielen.

Den .deb ass net futti

Eng Ofhängegkeet, déi d'Distributioun net méi huet, ass e normale Resultat vun der Ausmusterung vun enger Bibliothéik. Qt5 WebKit gouf aus méi spéiden Ubuntu-Archiven an aus Debian ewechgeholl, an de Grond war Sécherheetswaartung an net e Mangel un Nofro. Wann dat geschitt, gëtt all Pak, deen nach ëmmer un et hänkt, net méi installéierbar, egal wéi gutt et gebaut gouf.

Zwee Feeler ginn als dee selwechte Bug gemellt a sinn et net. Op enger Versioun ouni d'Bibliothéik bleift den Installateur bei enger net erfëllter Ofhängegkeet stoen. Op enger Versioun, wou de Client sech installéiert an dann bei der Umeldung feelt, gesitt Dir amplaz e TLS- oder SAML-Handshake-Problem an der agebauter Browserkomponent. Dat éischt ass Verpackung; dat zweet ass Laufzäit, an keen vun deenen zwee gëtt reparéiert, andeem een al Bibliothéiken an en modernen Desktop kopéiert.

D'Ofhängegkeet bestätegen amplaz se ze forcéieren

Installéiert de Pak explizit, sou datt den Tool déi ongeléist Ofhängegkeet nenne kann, amplaz Iech eng Zesummefassung ze ginn. Frot dann, ob Är Versioun iwwerhaapt ee Kandidat huet, well „hei net verfügbar“ an „deem temporär an dësem Spigel feelt“ zu ganz ënnerschiddlechen Entscheedungen féieren:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Wann apt-cache policy kee Kandidat mëttelt, da stoppt et ze probéieren ze installéieren a fänkt un eng Alternativ auszewielen. Interessant ass net den feelenden Paknumm; interessant ass d'Tatsaach, datt den Ofhängegkeetsgraf vum Hiersteller net mat de Distributiounen, déi Är Benotzer bedreiwen, matgewuess ass.

Wat d'Forcéiere vun alen Päck mam Desktop mécht

Den Ëmwee, deen zirkuléiert, ass d'Bibliothéik aus enger eelerer Versioun ze zéien. Op engem aktuelle Ubuntu leeft dat an e Qt5-Minorversiouns-Konflikt: déi eeler Päck zéien libqt5core5t64 zréck, an dann fänken déi installéiert KDE- a PyQt-Päck un eng ABI-Versioun ze verlaangen, déi déi erofgesat Bibliothéik net méi liwwert. D'Resultat ass en deelweises Update, dat onverbonnen Applikatiounen zerbriecht, wat e vill schlëmmen Nomëtteg ass wéi deen, mat deem Dir ugefaangen hutt.

Dat Resultat ass erwaart an net onglécklech. Dem Qt seng ABI-Erwaardunge fir Minorversiounen si strikt, an eng Distributioun liwwert ee kohärenten Ensembel. Eng Bibliothéik aus enger anerer Versioun derbäi ze mëschen ass keng gezielt Reparatur; et ass en zweeten, manner kontrolléierten Update.

Dee selwechten Rot gëllt fir d'Laufzäitvariant vum Feeler. D'OpenSSL-Sécherheetsniveau systemwäit erofzesetzen, fir datt den Handshake vun engem ale Client geléngt, ännert all TLS-Verbindung op der Maschinn, fir eng eenzeg Applikatioun ze reparéieren, abegraff de Pakmanager, deen Dir braucht, wann eppes anescht zerbriecht.

openconnect schwätzt de Protokoll

OpenConnect implementéiert de Protokoll vu GlobalProtect direkt, an d'Protokollnotizen beschreiwen souwuel den Opruff wéi och d'Opdeelung tëschent den zwou Serverinterfacen. De Portal verdeelt Astellungen an d'Gatewaylëscht; de Gateway terminéiert den Tunnel:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Wann de Portal de Gateway, deen Dir braucht, ewechléisst, --usergroup=gateway oder eng URL, déi op /gateway ophält, iwwerspréngt de Portalschrëtt. Wa méi Gatewayen ugebuede ginn, --authgroup=NAME wielt doraus. D'Authentifikatioun ass e Benotzernumm an e Passwuert, optional mat engem Clientzertifikat, a SAML-Gatewayen funktionéieren an der Praxis iwwer network-manager-openconnect amplaz enger vun Hand getippte Kommandozeil.

E Gateway mat enger strenger Posturpolitik kann och e HIP-Bericht verlaangen, ier en en Tunnel ausgëtt. OpenConnect kann een generéieren an aginn, awer wann de Gateway eng Inventur verlaangt, déi en net produzéiere kann, ännert keen Flag déi Politik; dat ass eng Entscheedung op der Serversäit.

Verifizéiert den Tunnel a wësst, wat openconnect net reparéiert

Kuckt, wat den Tunnel tatsächlech ugewannt huet, amplaz der Erfollegsmeldung ze vertrauen. De Gateway schéckt Routing a Konfiguratioun als XML an de Client setzt se ëm, dofir ass eng feelend Route e Konfiguratiouns- oder Auswielproblem an keen Clientbug:

ip -4 addr show
ip route
resolvectl status

D'MTU verdéngt ee eegenen Bléck. D'GlobalProtect-Konfiguratioun mëttelt ëmmer eng MTU vun null, dofir schätzt de Client eng aus dem Verkapselungsoverhead. Grouss Iwwerdroungen, déi stocken, wärend kleng Ufroe duerchginn, sinn de klassesche Symptom, an d'Mëttel ass eng explizit MTU op der Verbindung amplaz d'Path Discovery auszeschalten.

IPv6 ass nach eng Kéier eppes Apartes. PAN huet et am GlobalProtect 4.0 derbäigesat, an dem OpenConnect seng Ënnerstëtzung gëtt vun der Versioun 9.0 un als experimentell beschriwwen, dofir huelt net un, datt d'Adressfamill sech wéi IPv4 behëlt, just well den Tunnel eropkoum. A wann de Gateway eng Posturkontroll forcéiert, déi den Open-Source-Client net erfëlle kann, bedreift den Hiersteller-Client op enger ënnerstëtzter LTS-Versioun, an enger virtueller Maschinn, wann Är Aarbechtsplaz sech schonn weiderbeweegt huet. Dat hält den Desktop intakt an setzt déi al Ofhängegkeet an eng Grenz, déi Dir nei ka bauen.