GlobalProtect w Linux Mint: co sprawdzić przed instalacją

Otwierasz portal w przeglądarce, logujesz się, a strona pobierania proponuje klienta, którego matryca dostawcy nie wymienia dla twojej dystrybucji. To jest moment, by się zatrzymać i zadać pytania, a nie moment, by mimo wszystko wypróbować pakiet. Pierwsza decyzja dotyczy obsługiwanego środowiska punktu końcowego, a to, czy plik DEB się rozpakuje, nie jest jej częścią. Zacznij od portalu i idź na zewnątrz.

To kolejność, którą przeszedłbym z właścicielem VPN, zanim cokolwiek zainstaluję.

1. Poproś o portal i zatwierdzone wydanie

Uzyskaj od właściciela adres portalu, wydanie klienta, które organizacja faktycznie wdraża, oraz wymagania dotyczące uwierzytelniania. Adres URL portalu z notatek kolegi to nie to samo co zatwierdzony, a wydanie ma znaczenie, bo funkcje różnią się między wersjami.

Następnie otwórz portal i zobacz, co oferuje dla Linuksa. Strona pobierania zwykle odzwierciedla konfigurację bramy, a nie status wsparcia twojej dystrybucji, więc oferowany pakiet nadal może być nieobsługiwanym połączeniem. Zapisz numer wydania podany na stronie i porównaj go z wdrożonym.

2. Czytaj matrycę zgodności jak tabelę, nie jak slogan

Matryca zgodności dostawcy zestawia wersje Linuksa z wydaniami aplikacji i oddziela architekturę od wsparcia interfejsu. Wpis Ubuntu nie ogłasza obsługiwaną każdej dystrybucji wywodzącej się z Ubuntu, więc stacja robocza z Mintem potrzebuje własnej odpowiedzi. Sprawdź dokładne wydanie, architekturę procesora oraz to, czy dla tego połączenia obsługiwanym interfejsem jest CLI czy GUI.

Gdy matryca wymienia wydanie Ubuntu, ale nie Mint, uczciwa odpowiedź dla tej stacji roboczej brzmi nie, choćby pakiet instalował się najczyściej. Obsługiwanym zamiennikiem jest dystrybucja, którą matryca rzeczywiście wymienia, albo wydanie, które właściciel już wdraża na jednej z nich.

3. Dopasuj przebieg uwierzytelniania do typu klienta

Ścieżka uwierzytelniania decyduje, który klient może dokończyć logowanie. Przebieg SAML wymaga przeglądarki, a wsparcie SAML w Linux CLI pojawiło się z GlobalProtect app 6.2.1, więc starszy CLI nie może dokończyć tego samego przebiegu co GUI.

Zapytaj, jaki przebieg wymusza brama, zanim wybierzesz między CLI a GUI, bo odpowiedź nie jest kwestią preferencji. Logowanie certyfikatem, monity MFA i każda ocena urządzenia dodają krok, który klient musi obsługiwać. Klient, który się łączy, a potem nie przechodzi oceny, wygląda jak awaria sieci i nią nie jest.

4. Wiedz, gdzie klient innej firmy przestaje być opcją

Klient innej firmy jest realny tylko wtedy, gdy administrator obsługuje jego protokół i zestaw funkcji. Współdziałanie ze starym XAuth/IPsec to konkretne rozwiązanie bramy, a nie zgoda na zastąpienie dowolnej aplikacji, która nazywa siebie klientem SSL VPN. Weryfikacja serwera, wymagania dotyczące urządzenia i dane uwierzytelniające pozostają dokładnie takie, jakie ustawiła organizacja. Osłabianie ich, by pasowały do lokalnego klienta, to zmiana polityki w etykiecie zgodności.

Test, który zastosuje właściciel, jest krótki: czy brama wymusza SAML, monit MFA albo ocenę urządzenia, której ten klient nie może dokończyć? Jeśli którekolwiek z nich jest wymagane, żadne współdziałanie na poziomie protokołu nie uratuje zamiany, a rozmowa należy do obsługiwanych punktów końcowych.

5. Oddaj odpowiedź właścicielowi

Zanieś konkretne połączenie właścicielowi VPN: dystrybucja i wydanie, architektura, interfejs, przebieg uwierzytelniania oraz proponowane przez ciebie wydanie klienta. Ta lista jest dość krótka, by odpowiedzieć na nią w jednej wiadomości.

Jeśli połączenie nie jest obsługiwane, obsługiwaną odpowiedzią jest zwykle inne zatwierdzone środowisko punktu końcowego, a nie obejście. Poproś o to wprost, bo prośba sformułowana jako sprawcie, żeby mój klient działał, zaprasza do zmiany bramy, a prośba sformułowana jako który punkt końcowy obsługujecie dla tego użytkownika zaprasza do decyzji. Tak czy inaczej zapisz, co uzgodniono, żeby następna osoba nie powtarzała tej samej drogi.