GlobalProtect-ийн Linux клиент шинэ Ubuntu дээр яагаад ажиллахгүй байна

Боломжит таамаг нь GlobalProtect порталаас авсан .deb эвдэрсэн эсвэл нийлүүлэгч муу бүтээц гаргасан гэдэг. Ихэвчлэн тийм биш. Нийлүүлэгчийн Linux интерфэйс Qt5 WebKit-тэй холбогдсоор байгаа бөгөөд шинэ Ubuntu хувилбарууд үүнийг цаашид нийлүүлэхгүй байгаа тул багц таны дистрибьюцийн зориуд хассан сангийг шаардаж байна. Энэ нь багцлалтын зөрүү, эвдэрсэн татан авалт биш бөгөөд энэ ялгаа нь үдээс хойшхи цагийг багц хүчээр суулгахад зарцуулах эсвэл арван минутыг өөр клиент сонгоход зарцуулахыг тодорхойлно.

.deb багц эвдэрээгүй

Дистрибьюцид байхгүй болсон хараат байдал нь санг ашиглалтаас гаргахын хэвийн үр дүн юм. Qt5 WebKit хожуу Ubuntu архивууд болон Debian-аас хасагдсан бөгөөд шалтгаан нь эрэлт хомсдол биш, аюулгүй байдлын засвар үйлчилгээ байв. Ийм үед түүнтэй холбогдсон хэвээр байгаа багц бүр хичнээн сайн бүтээгдсэн ч суулгагдахгүй болно.

Хоёр доголдлыг ижил алдаа гэж мэдээлдэг боловч тийм биш. Сан байхгүй хувилбар дээр суулгагч хангагдаагүй хараат байдал дээр зогсдог. Клиент суусны дараа нэвтрэлт дээр унадаг хувилбар дээр та шигтгэсэн хөтчийн бүрэлдэхүүн доторх TLS эсвэл SAML гар барилтын асуудлыг харж байна. Эхнийх нь багцлалт; хоёр дахь нь ажиллах орчин бөгөөд аль нь ч хуучин санг орчин үеийн ажлын талбарт хуулаад засагдахгүй.

Хараат байдлыг хүчээр биш, баталгаажуул

Багцыг тодорхой суулгаснаар хэрэгсэл шийдэгдээгүй хараат байдлыг нэрлэх бөгөөд хураангуй өгөхгүй. Дараа нь таны хувилбарт ер нь нэр дэвшигч байгаа эсэхийг асуу, учир нь «энд боломжгүй» ба «энэ тольд түр байхгүй» нь огт өөр шийдвэрт хүргэдэг:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Хэрэв apt-cache policy ямар ч нэр дэвшигч мэдээлэхгүй бол суулгахыг оролдохоо болиод өөр хувилбар сонгож эхэл. Сонирхолтой нь байхгүй багцын нэр биш; нийлүүлэгчийн хараат байдлын график таны хэрэглэгчдийн ажиллуулдаг дистрибьюцүүдтэй хамт хөдлөөгүй явдал юм.

Хуучин багцыг хүчээр суулгах нь ажлын талбарт юу хийдэг

Тархаж байгаа арга бол санг хуучин хувилбараас татаж авах юм. Одоогийн Ubuntu дээр энэ нь Qt5-ийн бага хувилбарын зөрчилд хүргэдэг: хуучин багцууд libqt5core5t64 буцааж татаж, дараа нь суусан KDE болон PyQt багцууд бууруулсан сан цаашид өгөхгүй байгаа ABI хувилбарыг шаардаж эхэлдэг. Үр дүн нь хамааралгүй програмуудыг эвддэг хэсэгчилсэн шинэчлэл бөгөөд энэ нь таны эхэлсэн өдрөөс хамаагүй дор юм.

Энэ үр дүн хүлээгдэж байгаа бөгөөд азгүй тохиол биш. Qt-ийн бага хувилбарт тавих ABI хүлээлт хатуу бөгөөд дистрибьюц нэг уялдсан багц нийлүүлдэг. Өөр хувилбарын санг холих нь цэгэн засвар биш; энэ нь хоёр дахь, бага хяналттай шинэчлэл юм.

Мөн адил зөвлөмж нь доголдлын ажиллах үеийн хувилбарт хамаарна. Хуучин клиентийн гар барилт амжилттай болохын тулд OpenSSL-ийн системийн түвшний аюулгүй байдлыг бууруулах нь нэг програмыг засахын тулд машины бүх TLS холболтыг өөрчилдөг, үүнд өөр зүйл эвдрэх үед хэрэгтэй болох багц менежерийг оролцуулан.

openconnect энэ протоколоор ярьдаг

OpenConnect нь GlobalProtect-ийн протоколыг шууд хэрэгжүүлдэг бөгөөд протоколын тэмдэглэл нь дуудлага болон хоёр серверийн интерфэйсийн хоорондын хуваалтыг хоёуланг нь тайлбарладаг. Портал нь тохиргоо болон гарцын жагсаалтыг тараадаг; гарц нь туннелийг дуусгадаг:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Хэрэв портал танд хэрэгтэй гарцыг оруулаагүй бол, --usergroup=gateway эсвэл төгсгөл нь /gateway байх URL нь порталын алхмыг алгасна. Хэд хэдэн гарц санал болгох үед, --authgroup=NAME тэдгээрийн дундаас сонгоно. Баталгаажуулалт нь хэрэглэгчийн нэр ба нууц үг, шаардлагатай бол клиентийн гэрчилгээтэй, SAML гарцууд практикт network-manager-openconnect ажилладаг, гараар бичсэн командын мөрөөр биш.

Хатуу posture бодлоготой гарц нь туннель олгохоос өмнө HIP тайлан шаардаж болно. OpenConnect үүнийг үүсгэж илгээж чадна, гэхдээ гарц нь үүсгэж чадахгүй бүртгэлийг шаардвал ямар ч туг энэ бодлогыг өөрчлөхгүй; энэ нь серверийн талын шийдвэр.

Туннелийг шалгаж, openconnect юуг засахгүйг мэд

Амжилтын мэдээлэлд итгэхийн оронд туннель бодитоор юу хэрэглэснийг шалга. Гарц нь чиглүүлэлт болон тохиргоог XML хэлбэрээр илгээдэг, клиент тэдгээрийг хэрэглэдэг тул байхгүй маршрут нь тохиргоо эсвэл сонголтын асуудал, клиентийн алдаа биш:

ip -4 addr show
ip route
resolvectl status

MTU нь тусдаа харах ёстой. GlobalProtect тохиргоо үргэлж тэг MTU мэдээлдэг тул клиент үүнийг инкапсуляцийн зардлаас тооцдог. Жижиг хүсэлтүүд өнгөрч байхад гацах том дамжуулалт нь сонгодог шинж тэмдэг бөгөөд эм нь замын илрүүлэлтийг унтраах биш, холболт дээрх тодорхой MTU юм.

IPv6 дахин тусдаа түүх. PAN үүнийг GlobalProtect 4.0-д нэмсэн бөгөөд OpenConnect-ийн дэмжлэг 9.0 хувилбараас эхлэн туршилтын гэж тодорхойлогддог тул туннель боссон гэдгээр хаягийн гэр бүл IPv4 шиг ажиллана гэж бүү бод. Хэрэв гарц нээлттэй кодын клиент биелүүлж чадахгүй posture шалгалтыг шаардвал, нийлүүлэгчийн клиентийг дэмжигдсэн LTS хувилбар дээр ажиллуул, ажлын станц чинь урагшилсан бол виртуал машин дотор. Энэ нь ажлын талбарыг бүтэн үлдээж, хуучин хараат байдлыг дахин бүтээх боломжтой хил дотор байрлуулна.