Għaliex il-klijent Linux GlobalProtect ifalli fuq Ubuntu aktar ġodda

Is-suppożizzjoni raġonevoli hija li d-.deb mill-portal GlobalProtect tiegħek huwa miksur, jew li l-venditur ħareġ build difettuż. Normalment mhuwiex. L-interface Linux tal-venditur għadha tgħaqqad ma' Qt5 WebKit, u l-verżjonijiet aktar ġodda ta' Ubuntu ma jibagħtuhx aktar, għalhekk il-pakkett jitlob librerija li d-distribuzzjoni tiegħek neħħiet apposta. Dan huwa nuqqas ta' qbil fil-pakkettjar, mhux download korrott, u dik id-differenza tiddetermina jekk tqattax il-wara nofsinhar tġiegħel il-pakketti jew għaxar minuti tagħżel klijent ieħor.

Id-.deb mhuwiex miksur

Dipendenza li d-distribuzzjoni ma ġġorrx aktar hija riżultat normali ta' librerija rtirata. Qt5 WebKit tneħħa mill-arkivji aktar tard ta' Ubuntu u mid-Debian, u r-raġuni kienet manutenzjoni tas-sigurtà u mhux nuqqas ta' domanda. Meta jiġri dan, kull pakkett li għadu jgħaqqad miegħu jieqaf milli jkun installabbli, kemm jekk inbena tajjeb.

Żewġ fallimenti jiġu rappurtati bħala l-istess bug u mhumiex. Fuq rilaxx mingħajr il-librerija, l-installatur jieqaf fuq dipendenza mhux sodisfatta. Fuq rilaxx fejn il-klijent jiġi installat u mbagħad ifalli fil-login, qed tara problema ta' handshake TLS jew SAML ġewwa l-komponent tal-browser inkorporat. L-ewwel hija pakkettjar; it-tieni hija runtime, u lanqas waħda ma tiġi msewwija billi tikkopja libreriji qodma f'desktop modern.

Ikkonferma d-dipendenza minflok ma ġġegħelha

Installa l-pakkett b'mod espliċitu sabiex l-għodda ssemmi d-dipendenza mhux solvuta minflok ma tagħtik sommarju. Imbagħad staqsi jekk ir-rilaxx tiegħek għandux xi kandidat, għax „mhux disponibbli hawn” u „temporanjament nieqes minn dan il-mera” iwasslu għal deċiżjonijiet kompletament differenti:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

Jekk apt-cache policy ma jirrappurtax xi kandidat, waqaf milli tipprova tinstallah u ibda agħżel alternattiva. L-interessanti mhuwiex l-isem tal-pakkett nieqes; l-interessanti huwa l-fatt li l-graf tad-dipendenzi tal-venditur ma mexxiex mad-distribuzzjonijiet li jużaw l-utenti tiegħek.

Xi jkun id-desktop meta ġġiegħel pakketti qodma

Il-workaround li qed jiċċirkola huwa li tiġbed il-librerija minn rilaxx eqdem. Fuq Ubuntu attwali dan jispiċċa fi kunflitt ta' minor-verżjoni ta' Qt5: il-pakketti eqdem jiġbdu libqt5core5t64 lura, u mbagħad il-pakketti KDE u PyQt installati jibdew jesiġu verżjoni ABI li l-librerija mnaqqsa ma tipprovdix aktar. Ir-riżultat huwa aġġornament parzjali li jkisser applikazzjonijiet mhux relatati, li huwa wara nofsinhar ħafna agħar minn dak li bdejt bih.

Dak ir-riżultat huwa mistenni u mhux sfortuna. L-aspettattivi tal-ABI ta' Qt għall-minor-verżjonijiet huma stretti, u distribuzzjoni tbagħat sett wieħed koerenti. Li tħallat librerija waħda minn rilaxx ieħor mhuwiex tiswija mmirata; huwa tieni aġġornament, inqas ikkontrollat.

L-istess parir japplika għall-varjant tar-runtime tal-falliment. Li tnaqqas il-livell tas-sigurtà tal-OpenSSL fil-livell tas-sistema biex l-handshake ta' klijent qadim jirnexxi jbiddel kull konnessjoni TLS fuq il-magna biex isewwi applikazzjoni waħda, inkluż il-maniġer tal-pakketti li tkun teħtieġ meta xi ħaġa oħra tinkiser.

openconnect jitkellem il-protokoll

OpenConnect jimplimenta l-protokoll ta' GlobalProtect direttament, u n-noti tal-protokoll jiddeskrivu kemm is-sejħa kif ukoll id-diviżjoni bejn iż-żewġ interfaces tas-server. Il-portal iqassam is-settings u l-lista tal-gateways; il-gateway jtemm it-tunnel:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

Jekk il-portal iħalli barra l-gateway li għandek bżonn, --usergroup=gateway jew URL li jispiċċa b'/gateway jaqbeż il-pass tal-portal. Meta jiġu offruti diversi gateways, --authgroup=NAME jagħżel fosthom. L-awtentikazzjoni hija isem tal-utent u password, b'mod fakultattiv b'ċertifikat tal-klijent, u l-gateways SAML jaħdmu fil-prattika permezz ta' network-manager-openconnect minflok linja tal-kmand ittajpjata bl-idejn.

Gateway bi politika ta' posture stretta jista' wkoll jitlob rapport HIP qabel ma jagħti tunnel. OpenConnect jista' jiġġenera u jibgħat wieħed, imma jekk il-gateway jesiġi inventarju li ma jistax jipproduċi, l-ebda flag ma jbiddel dik il-politika; hija deċiżjoni fuq in-naħa tas-server.

Ivverifika t-tunnel, u kun af x'ma jsewwix openconnect

Iċċekkja x'applika t-tunnel fil-fatt minflok ma tafda l-messaġġ ta' suċċess. Il-gateway jibgħat ir-routing u l-konfigurazzjoni bħala XML u l-klijent japplikahom, għalhekk rotta nieqsa hija problema ta' konfigurazzjoni jew ta' għażla u mhux bug tal-klijent:

ip -4 addr show
ip route
resolvectl status

L-MTU jistħoqqlu ħarsa tiegħu. Il-konfigurazzjoni ta' GlobalProtect dejjem tirrapporta MTU ta' żero, għalhekk il-klijent jistma waħda mill-overhead tal-inkapsulament. Trasferimenti kbar li jieqfu waqt li talbiet żgħar jgħaddu huma s-sintomu klassiku, u l-mediċina hija MTU espliċita fuq il-konnessjoni minflok ma titfi l-iskoperta tal-passaġġ.

IPv6 huwa storja oħra. PAN żiedu fil-GlobalProtect 4.0, u l-appoġġ tal-OpenConnect huwa deskritt bħala sperimentali mill-verżjoni 9.0, għalhekk ma tassumix li l-familja tal-indirizzi tġib ruħha bħall-IPv4 biss għax it-tunnel tela'. U jekk il-gateway jinfurza verifika tal-posture li l-klijent open source ma jistax jissodisfa, ħaddem il-klijent tal-venditur fuq rilaxx LTS appoġġjat, f'magna virtwali jekk ix-xogħol tiegħek diġà mexxa 'l quddiem. Dan iżomm id-desktop intatt u jqiegħed id-dipendenza antika ġewwa fruntiera li tista' terġa' tibniha.