Kāpēc GlobalProtect Linux klients nedarbojas jaunākajās Ubuntu versijās

Saprātīgs pieņēmums ir, ka .deb no jūsu GlobalProtect portāla ir bojāts vai ka ražotājs izlaida sliktu būvējumu. Parasti tā nav. Ražotāja Linux saskarne joprojām saistās ar Qt5 WebKit, un jaunākie Ubuntu laidieni to vairs nepiegādā, tāpēc pakotne pieprasa bibliotēku, ko jūsu distributīvs apzināti izņēma. Tā ir iepakošanas neatbilstība, nevis bojāta lejupielāde, un šī atšķirība izšķir, vai pēcpusdienu pavadīsiet, piespiežot pakotnes, vai desmit minūtes, izvēloties citu klientu.

Pakotne .deb nav bojāta

Atkarība, ko distributīvs vairs nenodrošina, ir parasts bibliotēkas izņemšanas no aprites rezultāts. Qt5 WebKit tika izņemts no vēlākiem Ubuntu arhīviem un no Debian, un iemesls bija drošības uzturēšana, nevis pieprasījuma trūkums. Kad tas notiek, katra pakotne, kas joprojām ar to saistās, vairs nav instalējama, lai cik labi tā būtu būvēta.

Divi bojājumi tiek ziņoti kā viena un tā pati kļūda un nav. Laidienā bez bibliotēkas instalētājs apstājas pie neizpildītas atkarības. Laidienā, kur klients instalējas un pēc tam neizdodas pieteikšanās laikā, jūs redzat TLS vai SAML rokasspiediena problēmu iegultajā pārlūka komponentā. Pirmais ir iepakošana; otrais ir izpildlaiks, un neviens no tiem netiek labots, kopējot vecas bibliotēkas mūsdienīgā darbvirsmā.

Apstipriniet atkarību, nevis piespiediet to

Instalējiet pakotni tieši, lai rīks nosauc neatrisināto atkarību, nevis sniedz kopsavilkumu. Pēc tam jautājiet, vai jūsu laidienam vispār ir kāds kandidāts, jo „šeit nav pieejams” un „uz laiku trūkst šajā spogulī” noved pie pilnīgi atšķirīgiem lēmumiem:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Ja apt-cache policy neziņo nevienu kandidātu, pārtrauciet mēģināt to instalēt un sāciet izvēlēties alternatīvu. Interesantais nav trūkstošais pakotnes nosaukums; interesanti ir tas, ka ražotāja atkarību grafs nav pārvietojies līdzi distributīviem, ko izmanto jūsu lietotāji.

Ko vecu pakotņu piespiešana nodara darbvirsmai

Aprindā cirkulējošais apietais risinājums ir izvilkt bibliotēku no vecāka laidiena. Pašreizējā Ubuntu tas nonāk Qt5 mazās versijas konfliktā: vecākās pakotnes velk libqt5core5t64 atpakaļ, un tad instalētās KDE un PyQt pakotnes sāk pieprasīt ABI versiju, ko pazeminātā bibliotēka vairs nenodrošina. Rezultāts ir daļēja atjaunināšana, kas salauž nesaistītas lietotnes, un tā ir daudz sliktāka pēcpusdiena par to, ar ko sākāt.

Šāds iznākums ir gaidāms, nevis neveiksme. Qt ABI gaidas mazajām versijām ir stingras, un distributīvs piegādā vienu saskaņotu kopu. Vienas bibliotēkas iemaisīšana no cita laidiena nav mērķtiecīgs labojums; tā ir otra, mazāk kontrolēta atjaunināšana.

Tas pats padoms attiecas uz bojājuma izpildlaika variantu. OpenSSL sistēmas drošības līmeņa pazemināšana, lai veca klienta rokasspiediens izdotos, maina katru TLS savienojumu mašīnā, lai salabotu vienu lietotni, tostarp pakotņu pārvaldnieku, kas būs vajadzīgs, kad salūzīs kaut kas cits.

openconnect runā šo protokolu

OpenConnect tieši ievieš GlobalProtect protokolu, un protokola piezīmes apraksta gan izsaukumu, gan sadalījumu starp divām servera saskarnēm. Portāls izdala iestatījumus un vārteju sarakstu; vārteja pabeidz tuneli:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Ja portāls izlaiž vajadzīgo vārteju, --usergroup=gateway vai /gateway beidzošs URL izlaiž portāla soli. Kad tiek piedāvātas vairākas vārtejas, --authgroup=NAME izvēlas starp tām. Autentifikācija ir lietotājvārds un parole, pēc izvēles ar klienta sertifikātu, un SAML vārtejas praksē darbojas ar network-manager-openconnect starpniecību, nevis ar manuāli rakstītu komandrindu.

Vārteja ar stingru posture politiku var arī pieprasīt HIP pārskatu, pirms izsniedz tuneli. OpenConnect to spēj ģenerēt un iesniegt, bet, ja vārteja pieprasa inventarizāciju, ko tā nevar sagatavot, neviens karodziņš šo politiku nemaina; tas ir servera puses lēmums.

Pārbaudiet tuneli un ziniet, ko openconnect nelabos

Pārbaudiet, ko tunelis faktiski piemēroja, nevis uzticieties veiksmes ziņojumam. Vārteja sūta maršrutēšanu un konfigurāciju kā XML, un klients tos piemēro, tāpēc trūkstošs maršruts ir konfigurācijas vai izvēles problēma, nevis klienta kļūda:

ip -4 addr show
ip route
resolvectl status

MTU ir pelnījis atsevišķu skatienu. GlobalProtect konfigurācija vienmēr ziņo MTU nulli, tāpēc klients to novērtē no iekapsulēšanas izmaksām. Lieli pārsūtījumi, kas iestrēgst, kamēr mazi pieprasījumi iziet, ir klasiskais simptoms, un līdzeklis ir skaidri noteikts MTU savienojumā, nevis ceļa noteikšanas izslēgšana.

IPv6 atkal ir atsevišķs stāsts. PAN to pievienoja GlobalProtect 4.0, un OpenConnect atbalsts no 9.0 versijas tiek raksturots kā eksperimentāls, tāpēc nepieņemiet, ka adrešu saime uzvedas kā IPv4 tikai tāpēc, ka tunelis pacēlās. Un, ja vārteja uzspiež posture pārbaudi, ko atvērtā koda klients nevar izpildīt, palaidiet ražotāja klientu atbalstītā LTS laidienā, virtuālajā mašīnā, ja jūsu darbstacija jau ir pavirzījusies tālāk. Tas saglabā darbvirsmu neskartu un ievieto mantoto atkarību robežās, ko varat pārbūvēt.