ولې د GlobalProtect لینکس کلاینټ په نویو اوبنټو کې ناکام کیږي

مناسب انګېرنه دا ده چې ستاسو د GlobalProtect پورټال .deb خراب دی، یا پلورونکي ناسم بیلډ خپور کړی۔ معمولاً داسې نه ده۔ د پلورونکي لینکس انټرفیس لاهم Qt5 WebKit سره تړلی دی، او نوي اوبنټو خپرونې نور هغه نه برابروي، نو پیکج هغه کتابخانه غواړي چې ستاسو وېش په قصد لرې کړې۔ دا د بسته بندۍ ناسم والی دی، نه خرابه ډاونلوډ، او همدا توپیر پرېکړه کوي چې ماسپښین به د پیکجونو په زور سمول کې تېر کړئ که لس دقیقې په بل کلاینټ غوره کولو کې۔

.deb خراب نه دی

هغه انحصار چې وېش یې نور نه ساتي، د کتابخانې د تقاعد عادي پایله ده۔ Qt5 WebKit له وروستیو اوبنټو ارشیفونو او له ډیبيان څخه لرې شو، او لامل د امنیت ساتنه وه نه د غوښتنې کموالی۔ کله چې دا پېښ شي، هر هغه پیکج چې لاهم ورسره تړلی وي د نصب وړ نه پاتې کیږي، هرڅومره ښه جوړ شوی وي۔

دوه ناکامۍ د یوې هماغې بګ په توګه راپور کیږي او داسې نه دي۔ په هغه خپرونه کې چې کتابخانه نه لري، نصب کوونکی په نیمګړي انحصار بند پاتې کیږي۔ په هغه خپرونه کې چې کلاینټ نصب شي او بیا په ننوتلو کې ناکام شي، تاسو د دننه نصب شوي براوزر برخې په داخل کې د TLS یا SAML لاس ورکولو ستونزه وینئ۔ لومړی بسته بندي ده؛ دویم د اجرا وخت، او هیڅ یو هم د زړو کتابخانو په عصري ډیسک ټاپ کې کاپي کولو سره نه سمیرې۔

انحصار تایید کړئ، نه دا چې په زور یې ومنئ

پیکج په څرګند ډول نصب کړئ چې وسیله د نه حل شوي انحصار نوم واخلي نه دا چې تاسو ته لنډیز درکړي۔ بیا وپوښتئ چې ایا ستاسو خپرونه اصلاً کوم نوماند لري، ځکه ”دلته نه شته“ او ”په دې عکس کې لنډمهاله نسته“ بشپړ توپیر لرونکو پرېکړو ته رسوي:

sudo apt install ./GlobalProtect_UI_deb-*.deb
apt-cache policy libqt5webkit5
apt-cache rdepends --installed libqt5webkit5

که apt-cache policy هیڅ نوماند ونه ښیي، د نصبولو هڅه پرېږدئ او بدیل غوره کول پیل کړئ۔ په زړه پورې خبره د ورک پیکج نوم نه دی؛ په زړه پورې دا ده چې د پلورونکي انحصار ګراف هغو وېشونو سره نه دی خوځېدلی چې ستاسو کاروونکي یې چلوي۔

زړو پیکجونو ته زور ورکول ډیسک ټاپ ته څه کوي

هغه حل چې ګرځي دا دی چې کتابخانه له زړې خپرونې څخه راکش کړئ۔ په اوسني اوبنټو کې دا د Qt5 کوچني نسخې شخړې ته رسي: زړه پیکجونه libqt5core5t64 شاته کش کوي، بیا نصب شوي KDE او PyQt پیکجونه هغه ABI نسخه غواړي چې ټیټه شوې کتابخانه نوره نه برابروي۔ پایله یوه جزوي لوړونه ده چې ناتړلي اپلیکیشنونه ماتوي، او دا له هغه ماسپښین څخه ډېر بدتر دی چې پیل یې کړی و۔

دا پایله تمه کیږي، بده مرغه نه ده۔ د Qt د ABI تمې د کوچنیو نسخو لپاره سختې دي، او یو وېش یو همغږی ټولګه برابروي۔ له بلې خپرونې یوه کتابخانه ګډول هدفمن اصلاح نه ده؛ دا دویمه، لږ کنټرول شوې لوړونه ده۔

همدا سلا د ناکامۍ د اجرا وخت نسخې لپاره هم صدق کوي۔ د OpenSSL سیسټمي امنیتي کچه ټیټول څو د زړي کلاینټ لاس ورکول بریالي شي، په ماشین کې هره TLS اړیکه بدلوي څو یو اپلیکیشن سم شي، په شمول هغه پیکج مدیر چې تاسو ته به یې اړتیا وي کله چې بل څه مات شي۔

openconnect دا پروتوکول وایي

OpenConnect د GlobalProtect پروتوکول مستقیم پلي کوي، او د پروتوکول یادښتونه هم بلنه او هم د دوو سرور انټرفیسونو ترمنځ وېش بیانوي۔ پورټال ترتیبات او د ګیټ ویز لړلیک ویشي؛ ګیټ وے ټنل پای ته رسوي:

openconnect --protocol=gp vpn.example.com
openconnect --protocol=gp --authgroup=staff vpn.example.com

که پورټال هغه ګیټ وے پرېږدي چې تاسو ته ورته اړتیا ده، --usergroup=gateway یا داسې URL چې په /gateway پای ته رسي، د پورټال ګام پرېږدي۔ کله چې څو ګیټ ویز وړاندې شي، --authgroup=NAME له هغوی څخه غوره کوي۔ تصدیق کارن نوم او پټنوم دی، اختیاري د کلاینټ سند سره، او SAML ګیټ ویز په عمل کې د network-manager-openconnect له لارې کار کوي، نه د لاسي لیکل شوې کمانډ کرښې۔

سخت posture پالیسي لرونکی ګیټ وے کېدای شي د ټنل ورکولو دمخه HIP راپور هم وغواړي۔ OpenConnect یو جوړول او لېږلای شي، خو که ګیټ وے داسې فهرست وغواړي چې هغه یې نه شي جوړولای، هیڅ بیرغ هغه پالیسي نه بدلوي؛ دا د سرور خوا پرېکړه ده۔

ټنل تایید کړئ، او پوه شئ چې openconnect څه نه سمېږي

د بریالیتوب پیغام باور کولو پرځای وګورئ چې ټنل واقعاً څه پلي کړل۔ ګیټ وے لارښوونه او ترتیبات د XML په توګه لېږي او کلاینټ یې پلي کوي، نو ورکه لار د ترتیباتو یا ټاکلو ستونزه ده نه د کلاینټ تېروتنه:

ip -4 addr show
ip route
resolvectl status

MTU د جلا کتنې وړ دی۔ د GlobalProtect ترتیبات تل د صفر MTU راپور ورکوي، نو کلاینټ له انکپسولیشن لګښت څخه یو اټکل کوي۔ لوی لېږدونه چې بند پاتې کیږي پداسې حال کې چې کوچنۍ غوښتنې تېریږي، کلاسیک نښه ده، او درملنه په اړیکه کې څرګند MTU دی نه د لارې کشف بندول۔

IPv6 بیا بېله خبره ده۔ PAN هغه په GlobalProtect 4.0 کې زیات کړ، او د OpenConnect ملاتړ له 9.0 نسخې څخه تجربي بلل کیږي، نو دا مه انګېرئ چې د آدرس کورنۍ لکه IPv4 چلند کوي یوازې ځکه چې ټنل پورته شو۔ او که ګیټ وے داسې posture کتنه تحمیل کړي چې پرانیستی سرچینه کلاینټ یې نه شي پوره کولای، د پلورونکي کلاینټ په ملاتړ شوې LTS خپرونه کې چل کړئ، په مجازي ماشین کې که ستاسو کاري سټیشن مخکې تللی وي۔ دا ډیسک ټاپ جوړ ساتي او زوړ انحصار داسې پولې دننه ږدي چې تاسو یې بیا جوړولای شئ۔